Et dystert trusselsbillede

I et hav af sikkerhedstrusler, ransomwareangreb og cyberkrigsførelse på tværs af industrier og landegrænser, kan det være uoverskueligt at bestemme, hvordan budgettet skal bruges og hvilke tiltag, der skal prioriteres når det kommer til cybersikkerhed.

Center for Cybersikkerhed, der er en del af Forsvarets Efterretningstjeneste holder konstant øje med trusselsbilledet mod Danmark og konklusionen er klar; det ser dystert ud. Årligt udgiver de en rapport om emnet og i seneste udgave vurderer de at:

”Truslen fra cyberkriminalitet er MEGET HØJ. Den mest alvorlige trussel fra cyberkriminalitet mod Danmark kommer fra ransomware-angreb. Cyberkriminelles muligheder for samarbejde, arbejdsdeling og specialisering understøtter truslen og bidrager til at fastholde den meget høje trussel fra cyberkriminalitet.”

Dertil kommer det at 78 % af adspurgte virksomheder i den private sektor og finansielle sektor er blevet udsat for phishingangreb i 2022. Det fastslår PwC’s Cybercrime Survey, hvor 518 virksomhedsledere, it-chefer og specialister fra danske virksomheder har deltaget i undersøgelsen.

Kædens svageste led

Som IT-sikkerhedsansvarlig er det din fornemmeste opgave at værne om sikkerheden i virksomhedens digitale økosystem. Derfor er det vigtigt at kende til potentielle sårbarheder, så du kan slå ring om de tre hovedsøjler inden for cybersikkerhed; fortrolighed, integritet & tilgængelighed.

Fortrolighed

• Information forbliver i de rette hænder.

Integritet

• Data kan ikke modificeres på uautoriseret vis.

Tilgængelighed

• Systemer og data er altid tilgængelig for godkendte brugere.

Cybersikkerheden kan ses som en kæde af led, der tilsammen udgør virksomhedens grad af modstandsdygtighed mod trusler fra cyberkriminalitet, men en kæde er som bekendt ikke stærkere end sit svageste led.

Et eksempel på det er, at selvom avanceret teknologi er på plads til at beskytte systemer og data, så nytter det ikke noget, hvis dine brugere ikke har modtaget awareness-træning, der klæder dem på til at undgå phishingangreb. Det samme gælder, hvis din backup-løsning både er placeret online på disk og offline på tape i et pengeskab. Dette nytter heller ikke det store, hvis der ikke udføres restore tests, der kan validere at data rent faktisk kan genskabes.

Det er denne identificering af de svage led i kæden, der i sidste ende kan afværge en potentiel katastrofe i form af hackerangreb eller ransomware. Derfor er helhedsforståelse afgørende i dit arbejde med cybersikkerhed, da du kommer hele vejen rundt og får løftet de svageste led.

Strukturér din Cybersikkerhed med NIST

Så, hvordan går man bedst til værks? Det er helt sikkert nødvendigt med et effektivt værktøj, der gør det muligt at finde de svage led i kæden.  På den måde sikrer du det bedste grundlag for at beslutte hvilke initiativer, der skal søsættes.

En overskuelig og effektiv vej til at komme i mål kan findes hos det amerikanske agentur for standardisering og teknologi; NIST. De har udarbejdet et cybersecurity framework, der tilbyder en struktureret og komplet tilgang til implementering af tiltag inden for cybersikkerhed i alle slags organisationer. Det framework er i dag anerkendt som branchestandard og består af fem områder, som virksomheder og deres IT-ansvarlige skal have styr på.

De fem områder er:

Identify: Identificer hvilke aktiver og processer, der skal beskyttes og optimeres.

• Inden man overhovedet bør overveje at gå i gang med at implementere diverse tiltag inden for cybersikkerhed, er det vigtigt at få skabt sig et overblik over, hvor der bør sættes ind. Derfor skal ens sårbarheder i sikkerheden belyses og identificeres.

Protect: Implementer de nødvendige foranstaltninger, der skal til for at beskytte infrastruktur og data.

• Når overblikket er skabt og sårbarheder vurderet, så skal hullerne lappes. Der er ikke noget, der hedder at springe over, hvor gærdet er lavest. Personale skal uddannes, processer skal adopteres og infrastruktur skal beskyttes med den bedste teknologi. Kæden er kun lige så stærk som det svageste led.

Detect: Overvåg, opdag og slå ned på de steder, der sker incidents og cyberangreb.

• Sårbarhederne er identificeret. Alle nødvendige sikkerhedsforanstaltninger er implementeret. Men det er først nu kampen starter. Truslerne vil konstant lure lige rundt om hjørnet, men med intelligent overvågning af infrastrukturen, samt restriktioner for de mennesker, der har adgang, er det muligt at fange både eksterne og interne fjender inden de for alvor får skabt problemer.

Respond: Hav kompetencer og beredskab klar til at reagere på incidents og cyberangreb.

• Selvom der er blevet foretaget alle de nødvendige foranstaltninger, er der bare ikke nogen garantier når det kommer til cybersikkerhed. Så hvis og når angrebet sætter ind, skal der reageres hurtigt og uden panik. På den måde kan man minimere impact af angrebet og komme hurtigt tilbage til normalen. Det kræver dog et kompetent beredskab af IT-specialister, der sidder klar 24/7 og ved hvad der skal gøres, og hvem på holdet, der gør hvad.

Recover: Vær i stand til at genskabe data og systemer med en komplet backupstrategi og plan for restore.

• Selvom, der blev gjort alt, hvad der var muligt inden for evner og budget, så lykkedes det alligevel bøllerne at trænge igennem og få kompromitteret systemerne. Virksomheden står i stampe og man kan vælge at betale en masse løsepenge i håbet om at komme på rette spor igen. Men med en komplet 3-2-1 (1-0) backup strategi kan der hurtigt genskabes systemer og data i prioriteret rækkefølge. Tabet er minimalt og bøllerne får ikke en krone.

Klæd dig selv ordentligt på med en risk assessment

For at undgå at skyde med spredehagl når opgaven lyder på at udvælge tiltag, der skal styrke cybersikkerheden, anbefaler vi at udføre en komplet risk assessment. Den giver dig det komplette overblik over sikkerhedssituationen i dit digitale økosystem. En risk assessment har til formål at dykke ned i NIST frameworket og vurdere, hvor godt I er klædt på inden for hver af de 5 områder.

Vi anbefaler følgende overordnede fremgangsmetode:

1. Identificering af kritiske aktiver

Aktiver som forretningskritiske systemer og værdifulde data skal identificeres. Derefter skal de tildeles en værdi og prioriteres efter hvor kritisk aktivet er.

2. Vurdering af sårbarheder

Kortlæg ulmende cybertrusler og lad dem danne grundlaget for evaluering af eventuelle sårbarheder,der kan føre til realisering af truslerne.

3. Beregning af risiko

Beregn din risiko ud fra vurderingen af de identificerede sårbarheder. Disse vurderes i forhold til truslens sandsynlighed for at blive realiseret samt angrebets konsekvens.

4. Rapport + Anbefalinger

Når situationen er kortlagt, skal resultaterne præsenteres til virksomhedens beslutningstagere. Udarbejd en rapport med konklusioner og anbefalinger, der kan præsenteres til ledelse og beslutningstagere til risikohåndtering og budgettering.

Guide: Lav din egen risk assessment

Er du frisk på at kaste dig ud i en risk assessment? Download vores guide her og bliv inspireret til hvordan man praktisk går til værks vha. af vores format, fremgangsmåde og visuelle scorecard.

Nu hvor du ved, hvordan en risk assessment kan strømligne din cybersikkerhed, har vi lavet en guide til hvordan du selv kan komme i gang.

Download