Styrelsen for Samfundssikkerhed (SAMSIK) har hævet trusselsniveauet for destruktive cyberangreb mod Danmark fra middel til høj. Det ændrede trusselsbillede bør få virksomheder til at se på, om deres eksisterende risikovurderinger stadig er retvisende.
Risikovurderinger bygger på de forhold, virksomheden kender på det tidspunkt, de bliver udarbejdet. Når de ydre forudsætninger ændrer sig, kan det også ændre vurderingen af konkrete hændelser, effektiviteten af foranstaltningerne og dermed virksomhedens samlede risikobillede.
Risikovurderinger skal følge udviklingen
Trusselsbilledet står ikke stille.
Nye sårbarheder bliver opdaget, virksomheder tager nye systemer i brug, leverandørrelationer ændrer sig, og nye angrebsmetoder opstår. Samtidig kan den sikkerhedspolitiske situation påvirke sandsynligheden for bestemte typer cyberangreb.
Når SAMSIK hæver trusselsniveauet for destruktive cyberangreb, bør virksomheder derfor se på, om ændringen har betydning for de risikoscenarier, de allerede arbejder med.
Det kan eksempelvis være relevant at genbesøge scenarier, hvor kompromittering af IT- eller OT-systemer kan føre til driftsstop, tab af data, ødelæggelse af systemer eller påvirkning af fysiske processer.
Hvad betyder det for jeres risikobillede?
En ændring i det nationale trusselsniveau betyder ikke nødvendigvis, at alle risici i jeres risikoregister skal vurderes højere.
Betydningen afhænger blandt andet af virksomhedens sektor, eksponering, systemer, afhængigheder og den metode, I bruger til risikovurdering.
Det relevante er at undersøge, om ændringen påvirker nogle af de scenarier, I allerede arbejder med.
Det kan være værd at stille følgende spørgsmål:
- Er nogle af vores eksisterende risikoscenarier blevet mere sandsynlige?
- Er der scenarier, vi ikke tidligere har vurderet som relevante, som er det nu?
- Er vores nuværende sikkerhedsforanstaltninger fortsat tilstrækkelige?
- Har ændringen betydning for vores restrisiko?
- Er restrisikoen fortsat på et niveau, som virksomheden kan acceptere?
- Er der behov for yderligere tekniske, organisatoriske eller beredskabsmæssige tiltag?
Hvis vurderingen viser, at de eksisterende sikkerhedsforanstaltninger fortsat reducerer risikoen til et acceptabelt niveau, kan det sagtens være konklusionen.
Det væsentlige er, at virksomheden har taget stilling til ændringen og kan dokumentere vurderingen.
NIS2 stiller krav til løbende risikostyring
For virksomheder, der er omfattet af NIS2, er risikobaseret styring en central del af kravene.
Virksomheden skal arbejde systematisk med at identificere og håndtere cybersikkerhedsrisici og have passende tekniske, operationelle og organisatoriske foranstaltninger på plads.
Det betyder også, at risikovurderinger ikke bør behandles som statiske dokumenter.
Hvis trusselsbilledet ændrer sig væsentligt, bør virksomheden vurdere, om det påvirker sandsynligheden for konkrete hændelser, og om de eksisterende kontroller stadig har den ønskede effekt.
Det samme princip giver mening for virksomheder, der ikke er omfattet af NIS2, men som arbejder struktureret med informationssikkerhed.
En risikovurdering har kun reel værdi, hvis den afspejler den situation, virksomheden befinder sig i, i dag.
Compliance kræver løbende opfølgning
Informationssikkerhed og compliance er løbende arbejde. Det gælder risikovurderinger, kontroller, beredskabsplaner, politikker og dokumentation.
En virksomhed kan godt have udarbejdet grundige risikovurderinger og implementeret relevante sikkerhedsforanstaltninger. Men hvis arbejdet ikke bliver vedligeholdt, mister det hurtigt værdi og relevans.
For NIS2-omfattede virksomheder er det derfor vigtigt at kunne dokumentere, at risici bliver fulgt, at ændringer i trusselsbilledet bliver vurderet og at sikkerhedsforanstaltninger løbende bliver kontrolleret og tilpasset.
Ved et tilsyn vil det være relevant at kunne vise, hvordan virksomheden arbejder med risikostyring over tid.
Det kan blandt andet være dokumentation for, hvornår risikovurderinger er blevet genbesøgt, hvilke ændringer der er konstateret, og hvilke beslutninger der er truffet på den baggrund.
Brug ændringen som anledning til at genbesøge risikovurderingen
SAMSIK’s nye trusselsvurdering er en oplagt anledning til at gennemgå de dele af risikobilledet, der kan være påvirket.
Find de relevante risikoscenarier frem og vurder, om billedet har ændret sig. Se derefter på de sikkerhedsforanstaltninger, I allerede har etableret, og vurder om de stadig reducerer risikoen tilstrækkeligt.
Hvis restrisikoen ikke længere er acceptabel, bør man tage stilling til, hvilke yderligere tiltag der skal prioriteres.
Det behøver ikke være en stor øvelse. En målrettet gennemgang af de relevante risici kan være nok til at afgøre, om der er behov for ændringer.
Skal I have hjælp til at genbesøge jeres risikovurderinger?
Hos GapSolutions hjælper vi virksomheder på tværs af sektorer med at systematisere arbejdet med informationssikkerhed og risikostyring.
Vi hjælper blandt andet med at gennemgå eksisterende risikovurderinger, vurdere konsekvenserne af ændringer i trusselsbilledet og prioritere de indsatser, der giver bedst mening i forhold til virksomhedens risici og eksisterende sikkerhedsforanstaltninger.
Kontakt os, hvis I har brug for hjælp til at komme i gang med revurderingen eller ønsker at få arbejdet forankret som en del af jeres samlede informationssikkerhedsarbejde.
