Så GDPR-säkrar du din webbplats

Med bara några ynka timmar kvar innan GDPR, den nya EU-gemensamma lagstiftningen för hantering av personuppgifter, träder i kraft är det förstås många som har lite panik över hur långt (eller snarare kort) de hunnit i GDPR-anpassningen av sin verksamhet. Som de flesta förhoppningsvis känner till så genomsyrar den nya lagstiftningen enormt mycket av företag och myndigheters arbete och hantering av personuppgifter. Vi har tidigare publicerat en längre GDPR-guide, läs den gärna.

I den här artikeln kommer vi att zooma in på något som givetvis ligger oss på Binero lite extra varmt om hjärtat – webbplatser. Väldigt många webbplatser hanterar personuppgifter och omfattas därmed av GDPR. Utöver en korrekt hantering och lagring måste webbplatsägaren också försäkra sig om att personuppgifterna skyddas på bästa möjliga sätt – eventuella intrång och datastölder kan bli dyra att åtgärda, i både pengar, tid och resurser (GDPR ställer bland annat mycket hårdare krav på incidentrapportering).

Därför är det oerhört viktigt att ha koll på vad som sker med personuppgifter i webbläsaren, webbpubliceringssystemet, på webbservern samt alla kopplingar som görs från webbservern och/eller webbläsaren till externa system eller externa aktörer och tjänster. Här kommer några goda råd på vägen mot en GDPR-anpassad webbplats!

1. Se över din webbplats struktur

Var hanteras personuppgifter? Hur lagras och skyddas de? Hur används de och vem/vilka har åtkomst till dem? Den viktigaste frågan är dock varför du överhuvudtaget sparar personuppgifter på din webbplats. Tänk på data (minst) lika mycket som en belastning som en nödvändighet. Om du inte absolut måste lagra vissa personuppgifter så bör du överväga att sluta med det, eller i alla fall minska omfattningen det görs i. Se också över hur pass aktuella personuppgifterna du hanterar är, alltför många sitter med mängder av ”kan vara bra att ha”-register och listor. Ta bort allt sådant! Kom ihåg att du tydligt måste kunna motivera varför du sparar vissa uppgifter.

2. Inventera databaser, externa system och verktyg

Många webbplatser är anslutna till olika typer av tredjepartssystem. Se till att skaffa dig järnkoll på var och hur dessa lagrar information som dina besökare lämnar ifrån sig och säkerställ att samtliga system är GDPR-anpassade. Detta gäller allt från betalsystem som lagrar kort- och bankuppgifter till trafikanalysverktyg, mailformulär och plugins för livechatt. Var extra noga med att amerikanska tredjepartsaktörer måste kunna följa GDPR:s riktlinjer för hur data får flöda mellan USA och Europa.

Tänk på att många system och verktyg kan spara och cacha data i onödan. Det är till exempel inte ovanligt att onödig formulärdata (som bland annat kan innehålla e-postadresser och telefonnummer) sparas. Se därför över samtliga databaser på din webbplats och töm de som inte absolut behövs. Se över dina databasinställningar och undvik om det går att onödiga personuppgifter sparas eller ställ in att databaserna ska rensas med jämna mellanrum.

3. Var tydlig med din integritetspolicy

Uppdatera informationen om integritetspolicyn på din webbplats. Berätta tydligt och enkelt hur, varför och vilka data som samlas in på din webbplats och hur du hanterar och skyddar personuppgifter i enlighet med GDPR. Erbjud gärna besökaren att ladda ner policyn som pdf. Förklara också hur det kan gå att få data raderad enligt GDPR.

4. Innehållsdeklarera dina kakor

Var tydlig med hur din webbplats använder cookies och varför det kan ha fördelar för besökarens helhetsupplevelse (för det kan det förstås ha, inte minst i onlinebutiker). Villkoren för cookies måste dock presenteras direkt för besökaren så att hen kan ställning till om hen vill godkänna detta. Använd gärna en så kallad cookie-bar där besökaren under hela sitt besök enkelt kan ändra sitt val om huruvida hen vill att din webbplats ska få använda cookies. Om besökaren väljer att inte acceptera cookies kan detta leda till en avskalad version av webbplatsen, men det ska fortfarande gå att använda webbplatsen – se även till att vara tydlig med att informera om vilken eventuell funktionalitet som ej är tillgänglig utan cookies.

5. Biffa upp säkerheten

Vad gäller säkerheten för de personuppgifter som din webbplats hanterar är det två grundläggande saker du måste fokusera på att uppnå: att ingen obehörig på ett enkelt sätt kommer åt personuppgifterna direkt via webbplatsen och att inga personuppgifter läcker till system som du inte har kontroll över.

Det finns ett antal saker du definitivt bör ha på plats om din webbplats hanterar personuppgifter och andra känsliga data (förvisso saker du borde haft på plats långt innan GDPR kom in i bilden). SSL är till exempel helt nödvändigt för att uppfylla de säkerhetskrav som ställs i GDPR. Genom att implementera SSL krypteras och skyddas informationen som överförs mellan din webbplats och besökaren/kunden. Det gör det mycket svårare (om än inte helt omöjligt) för en angripare att snappa upp känslig information i kommunikationen. Från och med i sommar kommer Google dessutom låta sin webbläsare Chrome markera webbplatser utan SSL/TLS (dvs. de som inte har https utan bara http) som osäkra webbplatser.

Ett ytterligare steg mot betydligt säkrare webbplatskommunikation är så kallad pseudonymisering, vilket innebär att alla insamlad data och dess olika kopplingar ska hållas anonyma och krypterade.Användare ska exempelvis kunna identifieras genom enbart ett användarnamn, och även om din webbplats skulle råka ut för ett intrång gör pseudonymisering det extremt svårt för angriparen att koppla samman en användare med rätt data. Se till att det webbpubliceringssystem du använder har stöd för pseudonymisering, och sätt dig in i hur det funkar och hur du använder det.

Men jag kör ju bara WordPress, är inte allt lugnt då?

Haha, knappast! En mycket stor andel (någonstans kring 30-40 procent) av världens webbplatser är byggda på WordPress-plattformen. Därför är det inte särskilt förvånande att plattformen är ett mycket attraktivt mål för angripare av alla de slag. Och inte blir läget bättre av att enormt många WordPress-installationer inte är uppdaterade till den senaste och säkraste versionen eller att webbplatserna använder föråldrade plugins och andra tredjepartsverktyg.

En nyligen genomförd undersökning gjord av säkehetsföretaget CyberScanner, scannade 93 930 WordPress-webbplatser och 9834 WooCommerce-webbplatser baserade i Storbritannien och fann att i genomsnitt 80,7 procent innehöll minst ett känt ”hackbart” säkerhetshål som kunde klassas som en allvarlig säkerhetsrisk.

Det finns dessvärre hundratusentals kända sårbarheter i WordPress som kan utnyttjas av hackare för att extrahera kunddata, plantera program för kryptokapning, eller till och med konfigurera falska formulärfält för att stjäla kreditkortsinformation som användare har sparat i sina webbläsare.

Det finns ingen universallösning för att fullt ut säkra din WordPress-webbplats, men det finns ett antal åtgärder som alla WordPress-webbansvariga definitivt bör se till att få på plats:

• Uppdatera allt och alltid

Teman och plugins är ryggraden på alla WordPress-webbplatser, men de kan enkelt bli säkerhetshot om de inte regelbundet uppdateras och underhålls. Att inte uppdatera dina teman och plugins kan innebära allvarliga problem – inte minst för att angripare helt enkelt räknar med faktumet att många användare kommer att slarva med sina uppdateringar. Väldigt ofta utnyttjar angriparna buggar och sårbarheter som redan har fixats i nyare versioner. De använder också automatiserade verktyg för att specifikt söka efter webbplatser som körs på äldre WordPress-installationer med kända säkerhetshål.

• Anpassa inloggningssidans adress

Vanligtvis är webbadressen för en WordPress-webbplats inloggningssida /wp-login.php eller /wp-admin. Smidigt att komma ihåg, men ett automatiserat program kan enkelt leta efter just dessa inloggningssidor. Genom att byta namn på den webbadressen till någonting mer unikt förhindrar du i alla fall att sidan hittas omedelbart av angriparens automatiska program – och du vill ju försvåra så mycket som möjligt, eller hur?

Det rekommenderas också att du tar bort ditt WordPress-versionsnummer, eftersom det är offentligt synligt i din webbplats källkod. Vissa äldre WordPress-versioner har ett större antal sårbarheter än andra, därför är det inte ovanligt att angripare försöker hitta webbplatser med versioner som har redan kända säkerhetshål. Det finns ett bra gratis plugin som hjälper dig att ta bort versionsnumret från din kod.

• Begränsa antalet inloggningsförsök

Ett måste på såväl WordPress-webbplatser som alla andra webbplatser är att begränsa antalet inloggningsförsök som kan göras. Detta försvårar avsevärt för angripare att använda så kallade brute force-attacker, där angriparen med hjälp av automatiserad programvara genererar en en extremt hög volym av gissningar i både inloggnings- och lösenordsfältet. För WordPress finns ett antal gratis plugins (till exempel WP Limit Login Attempts) som gör det enkelt att ställa i begränsningar.

• Aktivera tvåfaktorsautentisering

För alla webbplatser som hanterar personuppgifter bör detta definitivt övervägas. Tvåfaktorsautentisering kan implementeras relativt enkelt på en WordPress-webbplats (och via ett plugin som Google Authenticator). Detta kräver att användaren installerar en applikation på sin telefon och när de går till inloggningen på webbplatsen måste de också gå till appen för att få en slumpmässigt genererad kod att mata in för att slutföra inloggningsprocessen.

• Förstärk skyddet av din databas

Databasen är oerhört viktig att skydda och bra databasrutiner borde helt enkelt vara best practice för alla webbplatsägare. För WordPress finns ett antal lösningar (både gratis och premium) som hjälper dig att hantera databasen på ett optimalt och så säkert sätt som möjligt. Spana exempelvis in VaultPress, BlogVault och Backup Buddy.

Och slutligen, passa gärna på att bokmärka det WordPress-specialiserade säkerhetsföretaget Sucuris utmärkta guide till att både kontrollera säkerheten och åtgärda eventuella problem och incidenter. Mycket nyttig info!