Sikkerhet i lagersystemet: Slik beskytter du bedriftens data

Et lagersystem inneholder mer sensitiv informasjon enn de fleste tenker over. Ansattnavn og PIN-koder, prosjektdata med kundedetaljer, leverandøropplysninger og innkjøpspriser, forbruksmønstre som avslører bedriftens kapasitet og økonomi. Denne dataen har verdi — både for bedriften og for potensielle uvedkommende.

For håndverksbedrifter som går fra penn og papir eller Excel til et digitalt lagersystem, er datasikkerhet et nytt tema. Men det er et tema som fortjener oppmerksomhet. I denne artikkelen ser vi på de viktigste sikkerhetstiltakene du bør forvente av et moderne lagersystem, og hva du selv kan gjøre for å beskytte bedriftens data.

Hvorfor datasikkerhet betyr noe for lagersystemer

Mange små bedrifter tenker at datasikkerhet er noe som gjelder banker og store selskaper. Men virkeligheten er at også små bedrifter er mål for dataangrep, og konsekvensene kan være alvorlige.

Ansattdata er personopplysninger. Navn, PIN-koder og aktivitetslogger er personopplysninger i henhold til GDPR. Som arbeidsgiver er du ansvarlig for å beskytte denne informasjonen. Et datalekkasje kan føre til bøter, tap av tillit og juridiske problemer.

Prosjektdata har forretningsverdi. Informasjon om hvilke prosjekter du jobber med, hva de koster i materialer, og hvem kundene er, er sensitiv forretningsinformasjon. I feil hender kan dette gi konkurrenter et urettmessig fortrinn.

Leverandørpriser er forhandlingskort. Prisene du betaler til leverandørene dine er konfidensielle. Hvis denne informasjonen lekker, kan det påvirke fremtidige forhandlinger og kunderelasjoner.

PIN-basert tilgangskontroll

I et lagermiljø der flere ansatte deler samme enhet — for eksempel en strekkodeskanner på lageret — er tradisjonell innlogging med brukernavn og passord upraktisk. Ingen orker å taste inn e-post og passord når de bare skal skanne en vare.

PIN-kode er den praktiske løsningen. Hver ansatt får sin egen firesifrede PIN-kode som de taster inn på skannerenheten. Det tar to sekunder, og systemet vet umiddelbart hvem som er logget inn. Alle handlinger — uttak, mottak, telleregistreringer — knyttes til riktig person.

Automatisk utlogging. Etter en periode med inaktivitet bør systemet automatisk logge ut brukeren. Dette forhindrer at noen bruker en annen persons økt til å registrere handlinger de ikke har utført. På en delt enhet på lageret er dette spesielt viktig.

Enkel administrasjon. Når en ny ansatt begynner, oppretter administrator en ny PIN-kode. Når noen sluttar, deaktiveres koden umiddelbart. Ingen delte kontoer, ingen passord som må tilbakestilles. Det er enkelt nok til at det faktisk blir gjort.

Rollebaserte tillatelser

Ikke alle ansatte trenger tilgang til alt. En montør trenger å skanne varer ut og inn, men trenger ikke se innkjøpspriser eller eksportere rapporter. En prosjektleder trenger oversikt over materialforbruk per prosjekt, men trenger kanskje ikke å endre systeminnstillinger.

Administrator-rollen gir full tilgang til alle funksjoner: brukeradministrasjon, systeminnstillinger, rapporter, eksport og sletting av data. Denne rollen bør begrenses til én eller to personer i bedriften — typisk daglig leder og den som er ansvarlig for lageret.

Vanlig bruker-rollen gir tilgang til de daglige funksjonene: skanne varer, registrere uttak og mottak, se lagerbeholdning. Brukeren ser kun den informasjonen som er nødvendig for å gjøre jobben sin, og kan ikke endre systemkonfigurasjon eller administrere andre brukere.

Leser-rollen gir skrivebeskyttet tilgang. Nyttig for prosjektledere eller regnskapsførere som trenger innsyn i forbruksdata og rapporter, men som ikke skal registrere bevegelser i lageret.

Kryptert kommunikasjon og skylagring

Når lagersystemet synkroniserer data mellom skannerenheten på lageret og skyløsningen, sendes informasjon over internett. Denne kommunikasjonen må være kryptert for å hindre at uvedkommende kan avlytte eller manipulere dataen underveis.

HTTPS og TLS-kryptering. All kommunikasjon mellom klienten og serveren bør gå over HTTPS med TLS-kryptering. Dette er den samme teknologien som nettbanken din bruker, og den sørger for at dataen er uleselig for alle andre enn avsender og mottaker.

Datalagring i EU. For norske bedrifter er det viktig at dataen lagres på servere innenfor EU/EØS-området. Dette er et krav i GDPR for de fleste typer personopplysninger. Velger du et lagersystem med servere i for eksempel Tyskland eller Norge, vet du at dataen er underlagt europeisk personvernlovgivning.

Kryptert lagring. I tillegg til kryptert overføring bør også selve lagringen være kryptert. Det betyr at selv om noen skulle få fysisk tilgang til serveren, er dataen uleselig uten krypteringsnøkkel.

Automatiske sikkerhetskopier

Data som bare finnes étt sted er data som er i fare. Harddisker feiler, servere krasjer, og menneskelige feil kan slette årevis med informasjon. Automatiske sikkerhetskopier er den viktigste forsikringen mot datatap.

Daglige sikkerhetskopier. Et godt lagersystem tar automatisk sikkerhetskopi minst én gang i døgnet. Kopiene lagres på en separat lokasjon fra hoveddataen, slik at en feil på én server ikke rammer både originalen og kopien.

Historiske kopier. Det er ikke nok å bare ha én sikkerhetskopi. Hva om feilen skjedde for tre dager siden, og den nyeste kopien allerede inneholder feilen? Et godt system beholder sikkerhetskopier i minst 30 dager, slik at du kan gå tilbake til et vilkårlig tidspunkt.

Lokal kopi som ekstra sikkerhet. I tillegg til skykopier kan skannerenheten på lageret beholde en lokal kopi av dataen. Det betyr at selv om internettforbindelsen forsvinner, kan du fortsette å jobbe — og dataen synkroniseres automatisk når forbindelsen er tilbake.

GDPR-overholdelse for ansattsporing

Når lagersystemet registrerer hvilken ansatt som har tatt ut materialer, når de logget inn, og hvilke prosjekter de har jobbet på, er dette personopplysninger som faller inn under GDPR. Som arbeidsgiver har du både rett og plikt til å håndtere dette korrekt.

Rettslig grunnlag. Registrering av materialuttak per ansatt har et legitimt formål: å kontrollere varebeholdning og forebygge svinn. Dette faller normalt under «berettiget interesse» i GDPR, som er et gyldig rettslig grunnlag. Det er likevel god praksis å informere de ansatte om at systemet logger hvem som tar ut hva.

Dataminimering. Systemet bør kun samle inn de opplysningene som er nødvendige for formålet. Navn, PIN-kode og handlingslogg er nødvendig. Posisjonssporing, tastetrykklogging eller skjermbilder er det ikke.

Innsyn og sletting. Ansatte har rett til å se hvilke data som er registrert om dem. Når en ansatt slutter, bør personopplysningene slettes eller anonymiseres etter en rimelig periode, med mindre det finnes lovpålagt grunn til å beholde dem, for eksempel for regnskapsformål.

Datasikkerhet i et lagersystem handler ikke om avansert teknologi — det handler om grunnleggende hygienetiltak. PIN-basert tilgang, rollestyring, kryptert kommunikasjon, automatiske sikkerhetskopier og GDPR-overholdelse er minimumskravene. Velg et system som tar dette på alvor, så kan du fokusere på det du faktisk driver med — å bygge.