Sådan gennemfører du en risikovurdering efter ISO 27005 og NIS2

Risikovurdering som fællesnævner for ISO 27005 og NIS2

NIS2 kræver, at virksomheder og myndigheder tager ansvar for cybersikkerhed gennem tekniske og organisatoriske foranstaltninger, der håndterer risici mod systemerne. Rismasystems peger på strenge krav til ledelsesansvar og forsyningskædesikkerhed i omfattede sektorer. Kravene omfatter hændelseshåndtering, backup og krisehåndtering, forsyningskædesikkerhed, medarbejderuddannelse og politikker for kryptering. Hvilke foranstaltninger der er nødvendige, og hvor stramt de skal skrues, afgøres af en risikovurdering — ikke af en generel checkliste.

ChangeGroup beskriver en introduktion til risikoanalyse og risikostyring af trusler og sårbarheder inden for informationssikkerhed baseret på ISO 27005. Guiden viser, hvordan en risikovurdering implementeres i virksomheden og holdes ved lige. Rækkefølgen er: afklar omfang, kortlæg aktiver, identificér trusler og sårbarheder, vurdér risiko, vælg foranstaltninger, lav gap-analyse og handlingsplan, og dokumentér.

Ifølge ChangeGroup kan manglende efterlevelse af NIS2-kravene give sanktioner på op til 10 millioner euro eller to procent af virksomhedens samlede globale omsætning.

IT-sikkerhedskonsulent Karsten Vandrup siger ifølge samme artikel: »Det betyder, at vi skal have løftet bunden op på det niveau, som EU kræver, og det er jo rigtigt, som nogen siger, at det kommer til at koste noget. Men det gør det jo bestemt også at lade være.«

Forankr arbejdet hos ledelsen

NIS2-compliance begynder med ledelsens aktive engagement og forankring i cybersikkerhedsstrategien. Strategien bør være en central del af driften og de langsigtede mål.

Ifølge Rismasystems betyder det konkret, at ledelsen skal sikre, at risici identificeres og håndteres proaktivt, at nødvendige ressourcer allokeres, og at cybersikkerhed integreres i alle beslutningsprocesser.

Direktivet fastslår ifølge Rismasystems, at den øverste ledelse kan holdes personligt ansvarlig for organisationens efterlevelse af NIS2. Konsekvenserne kan være bøder, tab af ret til at besidde en ledelsesmæssig stilling og i værste fald juridisk ansvar for individuelle bestyrelsesmedlemmer.

Fire beslutninger skal træffes på ledelsesniveau, før analysen sættes i gang: fastlæg virksomhedens risikotolerance og acceptkriterier, godkend den strategiske retning for sikkerhedsarbejdet, udpeg en navngiven ejer af risikostyringsprocessen, og fastsæt en kadence for, hvornår vurderingen skal opdateres og rapporteres til ledelsen.

Vælg ISO 27005 som metode til risikovurderingen

ISO/IEC 27005 ligger i ISO 27000-familien som vejledning i informationssikkerhedsrisikostyring. Standarden uddyber den risikostyringsproces, som ISO/IEC 27001 kræver, at organisationen har.

Processen omfatter at fastlægge kontekst og omfang, gennemføre risikovurdering med identifikation, analyse og evaluering, behandle risikoen samt løbende kommunikere og overvåge. Rækkefølgen er ikke tilfældig: uden fastlagt kontekst kan man ikke vurdere, om en hændelse er kritisk.

Før analysen skal metoden beskrives, så den kan gentages og revideres af andre end den, der byggede den. Vælg skalaer for sandsynlighed og konsekvens, beslut kvalitativ eller kvantitativ vurdering, definér beregning af risikoniveau, og fastsæt hvornår en risiko skal behandles.

Beskriv også datakilderne: egne hændelsesdata, leverandøroplysninger, aktivfortegnelser og offentligt tilgængelige trusselvurderinger.

Metoden skal holdes ved lige, ikke kun etableres. ChangeGroup fremhæver eksempler på, hvordan en risikovurdering implementeres i virksomheden og løbende holdes ved lige, og DNV påpeger, at risikovurderinger skal gennemføres regelmæssigt og ved ændringer. I praksis gentages vurderingen regelmæssigt og revideres ved væsentlige ændringer i infrastruktur, leverandører eller trusselsbillede.

Afklar omfang: Er I omfattet, og hvad skal beskyttes?

Første skridt er at afgøre, om organisationen er omfattet af NIS2. Ifølge Teknologisk Institut gælder direktivet for mellemstore og store virksomheder i essentielle og vigtige sektorer — fx energi, finans, transport, sundhed, digital infrastruktur, affaldshåndtering, fødevareproduktion og visse digitale tjenesteudbydere.

Det danske NIS2-lovforslag lægger op til, at virksomheder, der opfylder bestemte størrelseskriterier og sektorafgrænsninger, bliver omfattet direkte. Andre, der arbejder tæt sammen med eller leverer til NIS2-omfattede virksomheder, kan indirekte blive mødt af krav.

Den direkte konsekvens er registreringspligt. Ifølge Teknologisk Institut skal en omfattet organisation registrere sig i Erhvervsstyrelsens register, fx via virk.dk, senest tre måneder efter lovens ikrafttræden.

Den indirekte konsekvens er, at der kan opstå krav om skærpet sikkerhed fra kunder eller partnere, selv om virksomheden ikke selv er direkte omfattet. Teknologisk Institut understreger, at vurderingen kræver juridisk, teknisk og forretningsmæssig indsigt.

Når omfanget er afklaret, skal det fastlægges, hvad der skal beskyttes. De europæiske retningslinjer lægger ifølge Teknologisk Institut vægt på forretningskritiske afhængigheder — fx it-systemer, OT-miljøer, cloud-tjenester, dataopbevaring og eksterne leverandører.

Afgrænsningen bør være både organisatorisk og teknisk. Organisatorisk: hvilke enheder, lokationer og selskaber indgår. Teknisk: hvilke systemer og grænseflader indgår. Den bør skrives ned, så den kan revideres ved ændringer.

Kortlæg kritiske aktiver og afhængigheder

Rismasystems anbefaler at tænke bredt i aktivkortlægningen og overveje data, processer, hardware, software, medarbejdere og lokationer. Teknologisk Institut peger på, at NIS2-kravene rækker ud over traditionel IT-sikkerhed, så overblikket også skal omfatte OT-miljøer, cloud-tjenester, dataopbevaring og eksterne leverandører. Et aktiv er ikke kun en server: en nøglemedarbejder, en fysisk adgangsvej eller en ekstern SaaS-leverandør kan være lige så kritisk for leverancerne.

Tre testspørgsmål fra Teknologisk Institut skiller det kritiske fra det øvrige. Hvilke systemer vil true virksomhedens leverancer ved nedbrud eller kompromittering? Hvilke processer og leverandører understøtter forretningsdriften? Er der styr på backup, fysisk adgang og integration til tredjepartssystemer? Aktiver med uklare svar skal med i vurderingen.

Registrér for hvert aktiv: ejer, fysisk eller logisk placering, hvilke data og personoplysninger det behandler, hvem der har adgang, hvilke leverandører der indgår, og hvilke andre aktiver det afhænger af. Afhængighedskortet afgør senere, om en enkelt kompromitteret leverandør kan vælte flere kritiske processer på én gang.

Identificér trusler og sårbarheder

Når de kritiske aktiver er defineret, skal potentielle trusler identificeres og vurderes ud fra sandsynlighed og konsekvenser, skriver Rismasystems.

Arbejd scenariebaseret pr. aktiv eller proces: beskriv hændelsesforløbet, hvilken sårbarhed i aktivet eller organisationen der udnyttes, og hvilke eksisterende kontroller der ville bremse forløbet. Først derefter giver det mening at sætte tal på sandsynlighed og konsekvens.

Trusselsbilledet bygges af flere kilder: egne registrerede hændelser og nærhændelser, sårbarheder fundet i aktiverne, information fra leverandører og offentligt tilgængelige trusselvurderinger.

Sektorspecifikke forhold vejer tungt. En produktionsvirksomhed med OT-miljøer har andre konsekvenser af nedbrud end en dataleverandør. Det skal afspejles i scenarierne, ikke i en generisk trusselsliste.

Konsekvenser bør vurderes på flere akser end økonomi: påvirkning af leverancer og forretningskontinuitet, tab eller kompromittering af data, personsikkerhed og fysisk sikkerhed samt juridiske og omdømmemæssige følger.

Definer på forhånd, hvilke konsekvenstyper der indgår, og hvordan hver type scores, så to vurderinger af samme aktiv kan sammenlignes. Notér samtidig usikkerheden i vurderingen, så ledelsen kan se, hvor grundlaget er tyndt.

Vurder risiko og vælg foranstaltninger

Risikoniveauet fastlægges ved at kombinere sandsynlighed og konsekvens for hvert scenarie og holde resultatet op mod ledelsens acceptkriterier.

Rismasystems beskriver, at der afhængigt af risikoniveauet skal iværksættes passende foranstaltninger. Ledelsens strategiske retning er ramme for de mitigerende tiltag.

Behandlingen kan falde i fire muligheder: reducere risikoen med en kontrol, undgå den ved at ændre proces eller arkitektur, overføre den via aftale eller forsikring, eller acceptere den bevidst.

Vælg ét spor pr. risiko, skriv begrundelsen ned, angiv ansvarlig og frist, og registrér rest-risikoen efter tiltaget. Risici, der accepteres, skal være en beslutning på rette ledelsesniveau — ikke en tavs udeladelse.

Foranstaltningerne skal kunne rummes i NIS2-kravene. Rismasystems nævner som eksempler de foranstaltninger, der er listet i indledningen.

Kortlæg hver identificeret risiko til de kontroller, der skal håndtere den. Markér steder, hvor der i dag ikke findes en kontrol, ingen ejer eller ingen øvet plan. Det er den analyse, der senere bliver gap-analysens input.

Lav gap-analyse og handlingsplan

Når risikovurderingen er gennemført, er næste skridt en gap-analyse.

Rismasystems beskriver den som en systematisk sammenligning af organisationens kontroller og politikker med NIS2. Det kortlægger forskellen mellem det, organisationen gør i dag, og det, direktivet kræver.

Teknologisk Institut kalder solid dokumentation og gap-analyse i forhold til NIS2-kravene for første trin i selve overholdelsen. Analysen bør forankres i organisationens risikovurdering, typisk med bistand fra eksterne og interne eksperter.

Handlingsplanen bygges ved at kombinere to rækkefølger: risikoens størrelse fra risikovurderingen og gap'ets alvor fra gap-analysen. Start med manglende kontroller, der dækker høje risici eller bryder afhængigheder mellem kritiske aktiver.

Hvert punkt i planen skal have en konkret leverance, en navngiven ansvarlig, en frist og en angivelse af, hvilken risiko eller hvilket krav punktet lukker.

Planen skal tilbage til ledelsen til godkendelse og ressourceallokering. Her omsættes beslutningerne til, hvad der gøres nu, hvad der gøres senere, og hvad der bevidst accepteres.

Dokumentér, følg op og hold risikovurderingen levende

Efter NIS2 skal der føres omfattende dokumentation for information- og cybersikkerhed. Ifølge Teknologisk Institut skal eksisterende politikker og beredskabsplaner systematisk opdateres, samles og kunne fremlægges for myndighederne. Det stiller krav til, hvordan dokumenterne versionstyres, hvor de opbevares, og hvem der kan fremfinde dem inden for rimelig tid.

Vurderingen er ikke en engangsøvelse. Fastlæg en fast kadence for vurderingen. Fastlæg også en liste af udløsere, der kræver revision uden for kadencen.

Udløsere kan være nye systemer eller leverandører, ændret cloudopsætning, organisatoriske ændringer eller en indtruffet hændelse.

Den dokumentation, der skal kunne fremlægges, bør som minimum indeholde: den valgte metode og skalaer, aktivfortegnelsen med ejere og afhængigheder, trussels- og sårbarhedsscenarierne, vurderingerne af sandsynlighed og konsekvens, behandlingsbeslutningerne med begrundelser og rest-risici, gap-analysen mod NIS2, den prioriterede handlingsplan samt dato og godkendelse for hver revision.