Risikobaseret cybersikkerhed: Sådan opbygger du et samlet forsvarsværk i en større organisation

Risikobaseret cybersikkerhed i en større organisation

Trusselsbilledet er alvorligt og hverdagsagtigt. Danmark står over for det mest alvorlige risiko- og trusselsbillede siden anden verdenskrig. Cybertruslen mod Danmark 2025 kalder cybertruslen et grundvilkår. Danske myndigheder, virksomheder og borgere udsættes dagligt for cyberangreb.

Angrebene kommer fra både statslige og ikke-statslige aktører. Truslen er steget siden Ruslands invasion af Ukraine i 2022. Den skifter løbende karakter, når hackere tager nye værktøjer og metoder i brug.

For en større organisation er cybersikkerhed ikke et teknisk produkt, der købes og sættes i drift. Et samlet forsvar kræver en ledelsesdrevet, risikobaseret tilgang. Indsatsen prioriteres efter organisationens værdier og det aktuelle trusselsbillede.

Den risikobaserede tilgang er bærende i ISO/IEC 27001. Standarden hjælper med at investere i informationssikkerhed, hvor afkastet er størst. Den giver en struktureret metode til at identificere, analysere og håndtere informationssikkerhedsrisici.

En fælles dansk ramme er ISO/IEC 27001. Den kan kombineres med krav i GDPR og NIS 2. Datatilsynet er den uafhængige tilsynsmyndighed for databeskyttelse og fører tilsyn med, at reglerne overholdes.

Fælles ramme: ISMS efter ISO/IEC 27001

ISO/IEC 27001 er den førende internationale standard for et informationssikkerhedsledelsessystem (ISMS). Den hjælper organisationer med at få processer på plads, så værdifulde informationer – også persondata – beskyttes sikkert og troværdigt.

Standarden kræver, at et ISMS etableres, implementeres, vedligeholdes og forbedres løbende. Kravene dækker risikostyring, dokumentation af processer og en klar ansvarsfordeling på informationssikkerhedsområdet.

Målet er effektiv informationssikkerhedsledelse tilpasset organisationens særlige behov. Den holdes effektiv gennem fortsat forbedring, så sikkerheden følger en verden i konstant forandring.

ISO/IEC 27001 er en ledelsesstandard: den indeholder de informationssikkerhedsemner, en ledelse bør forholde sig til. Den kan bruges i hele organisationen eller på udvalgte forretningsområder og processer. Den passer til alle brancher og størrelser.

For store organisationer skaber standarden én fælles ramme og et fælles sprog. Det erstatter løsrevne initiativer i forskellige forretningsenheder.

Standarden giver en internationalt anerkendt ramme for etablering, implementering og løbende forbedring af et ISMS.

Afgrænsning, ledelsesforankring og ansvar

Første skridt i en større organisation er at beslutte, hvad ledelsessystemet skal dække. ISO/IEC 27001 kan omfatte hele virksomheden eller udvalgte forretningsområder og processer. En klar afgrænsning gør det muligt at starte, hvor værdier og risici er størst, og udvide senere.

Afgrænsningen skal følges op af tydelig ansvarsplacering. Standarden kræver dokumenterede processer og en klar opgavefordeling på informationssikkerhedsområdet. Det skal stå skriftligt, hvem der ejer hvilke informationer og systemer, hvem der gennemfører risikovurderinger, hvem der godkender kontroller, og hvem der rapporterer til ledelsen.

Ledelsesforankring er ikke en formalitet. Ledelsen skal eje risikobeslutningerne og den løbende prioritering mellem sikkerhedsindsatser og forretningsmæssige hensyn. Uden ejerskab bliver informationssikkerhed et projekt ved siden af driften i stedet for en integreret del af styringen.

Databeskyttelsesforordningen har også krav til ansvar. Artikel 24 handler om den dataansvarliges ansvar. Artikel 25 handler om databeskyttelse gennem design og gennem standardindstillinger.

Risikovurdering: Fra trusselsbillede til prioritering

ISO/IEC 27001 giver en struktureret og risikobaseret metode til at identificere, analysere og håndtere informationssikkerhedsrisici. Metoden kobler det konkrete trusselsbillede til organisationens egne værdier. Sandsynlighed, konsekvens og forretningspåvirkning vejes mod hinanden. Det gør det muligt at investere, hvor afkastet er størst.

Trusselsbilledet bør hentes fra de danske vurderinger. Cybertruslen mod Danmark 2025 fastholder, at cybertruslen er et grundvilkår. Den understreger, at vi skal kende truslerne for bedst muligt at målrette indsatsen.

På samsik.dk findes trusselsvurderingen Cybertruslen mod Danmark, som beskriver cybertruslen mod Danmark.

For en dansk organisation er det naturligt at gå ud fra, at angreb kommer fra både statslige og ikke-statslige aktører, og at metoderne hele tiden ændrer sig. Alvorlige cyberhændelser mod kritisk infrastruktur kan få store konsekvenser. Derfor skal konsekvenser for samfundskritiske og forretningskritiske processer vægtes højt i risikovurderingen.

I praksis opgøres risici systematisk og gentageligt. Identificér informationsaktiver og de processer, de understøtter. Vurdér relevante trusler, sandsynlighed og konsekvens.

Beslut derefter, om hver risiko skal accepteres, reduceres, overføres eller undgås. Dokumentér begrundelsen, den ansvarlige godkender, den valgte behandling og den kontrol, der følger af beslutningen. Godkend beslutninger på et niveau, der matcher risikoens betydning.

Risikovurderingen tager normalt udgangspunkt i lister over generiske scenarier for, hvad der kan gå galt. Datatilsynet har udarbejdet en skabelon til den risikovurdering/konsekvensanalyse, der skal laves efter artikel 36. Datatilsynet peger på, at databeskyttelsesforordningen ikke stiller konkrete krav til metode eller modeller til risikovurderingen.

Databeskyttelsesforordningens risikobaserede tilgang ses i flere artikler. Artikel 32 handler om behandlingssikkerhed. Risikovurderingen efter artikel 32 skal vise, om der er etableret tilstrækkelige foranstaltninger til at håndtere risici.

Kontroller efter ISO/IEC 27002, overvågning og beredskab

Omsæt risikovurderingen til konkrete kontrolvalg, og knyt hver kontrol til den risiko, den skal behandle. ISO/IEC 27001 kræver, at organisationer identificerer risici og vælger relevante kontroller; ISO/IEC 27002 vejleder om valg og anvendelse af Annex A-kontroller (DNV; Dansk Standard). Beskriv ansvar og opfølgning for hver valgt kontrol.

Kontrollerne skal ses i et helhedsbillede. Standarden understøtter helhedsorienteret risikostyring på tværs af mennesker, processer og teknologi. Det bidrager til øget robusthed og forretningskontinuitet.

Tekniske tiltag står ikke alene. Adgangsstyring, hændelseshåndtering, leverandørforhold, kompetencer og arbejdsgange hører med i samme prioritering.

Formålet er at beskytte informationens grundlæggende egenskaber. En ISO/IEC 27001-certificering viser, at organisationen arbejder systematisk med at beskytte information og styre sikkerhedsrisici. Det skal sikre fortrolighed, integritet og tilgængelighed af data.

Overvågning og beredskab begrænser skaden, når noget går galt. Arbejdet med standarden styrker beredskabet og evnen til at håndtere og afbøde hændelser. For en større organisation betyder det typisk klare hændelsesprocesser, definerede eskalationsveje og en plan for at holde kritiske forretningsprocesser i gang under og efter en hændelse.

Datatilsynets katalog over sikkerhedsforanstaltninger kan bruges som tjekliste. Kataloget indeholder blandt andet ændringsstyring (Change Management) og softwaretest med fokus på sikkerhed.

ISO/IEC 27002 omfatter 93 kontroller med anbefalinger til politikker, processer, procedurer, organisationsstrukturer samt software- og hardwarefunktioner. Dansk Standard grupperer dem i organisatoriske, teknologiske, fysiske og adfærdsmæssige temaer (Dansk Standard). DNV fremhæver, at organisationer ikke forventes at indføre alle kontroller; valget afhænger af risici, forretningsmål, lovkrav og driftsmiljø (DNV).

Roller, dokumentation og sikkerhedskultur

ISO/IEC 27001 forudsætter dokumentation af processer og klare ansvarsområder i informationssikkerhedsarbejdet. Dokumentationen er ikke et mål i sig selv. Den gør sikkerheden gentagelig: samme type beslutning træffes på samme måde, uanset enhed eller medarbejder.

Standarden hjælper med at definere klare sikkerhedsroller og ansvarsområder og med at implementere konsistente, dokumenterede sikkerhedsprocesser. I en stor organisation er det ensartetheden på tværs af forretningsområder og processer, der skaber værdien.

Kulturen er den anden halvdel. Arbejdet med standarden understøtter en kultur for løbende forbedring af informationssikkerheden. Det indebærer træning og bevidsthed hos medarbejderne, øvelser i hændelseshåndtering og en praksis, hvor observationer og fejl bruges til at justere processerne i stedet for at blive tiet ihjel.

Ansvarligheden skal være synlig. Opgaver, beføjelser og rapporteringslinjer bør fremgå af styringsdokumenter og være kendt i organisationen. Det skal være tydeligt, hvem der beslutter, hvem der udfører, og hvem der kontrollerer.

Integration, GDPR og NIS 2-compliance

ISO/IEC 27001 bygger på ISO’s harmoniserede struktur. Derfor kan standarden integreres med andre ledelsessystemer som ISO 9001, ISO 14001 og ISO 45001. Alle ledelsessystemstandarderne følger samme skabelon. Det gør det nemt at systematisere processer og bruge flere ledelsessystemer parallelt.

Den danske NIS 2-lov (Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau) er den primære nationale implementering af NIS 2-direktivet. Den fastsætter krav til omfattede enheder om cybersikkerhedsforanstaltninger, ledelsen og underretning af myndigheder ved væsentlige hændelser (digst.dk). Standarden kan også hjælpe med at samle arbejdet med GDPR og kontraktkrav.

For en større organisation handler det om at undgå siloer og dobbeltarbejde. Når risici, kontroller og dokumentation kobles på tværs i ét ledelsessystem, kan de samme oplysninger genbruges i arbejdet med databeskyttelse, sektorkrav og kundekontrakter. Hvert regelområde behøver ikke drive sit eget dokumentationsregime.

Bekendtgørelsen om udpegning af kompetente myndigheder angiver, hvilke danske myndigheder der fører tilsyn med NIS 2-kravene (digst.dk). SAMSIK er kompetent myndighed for statslige myndigheder, kommuner, visse dele af fremstillingssektoren (branchekode 26-30) og enheder inden for fremstilling, produktion og distribution af kemikalier (samsik.dk). FE håndterer indberetninger om væsentlige hændelser som national CSIRT (samsik.dk).

Datatilsynet er en uafhængig tilsynsmyndighed, som har ansvaret for, at reglerne om databeskyttelse bliver overholdt. Tilsynet rådgiver og vejleder, behandler klager og gennemfører tilsyn hos myndigheder og virksomheder.

Datatilsynet består af Datarådet og et sekretariat. Datarådet træffer afgørelse i konkrete sager af principiel karakter, mens sekretariatet varetager den daglige drift.

ISO/IEC 27001 i forhold til GDPR og NIS 2

Vigtige kilder og myndigheder i dansk cybersikkerhed

Løbende forbedring, audit og certificering

ISO/IEC 27001 kræver, at ledelsessystemet for informationssikkerhed vedligeholdes og forbedres løbende. Informationssikkerheden skal derfor hele tiden opdateres, så organisationen kan håndtere udfordringerne i en verden under konstant forandring.

Løbende forbedring understøttes af interne audits og ledelsesgennemgang. Den nærmere udformning følger standardens krav til ledelsessystemet. Formålet er dokumenteret indsigt i, om kontrollerne virker, og hvor der skal justeres.

Trusselsvurderingerne viser, hvorfor det er nødvendigt. Cybertruslen ændrer løbende karakter, og hackere tager hele tiden nye værktøjer og metoder i brug.

Uafhængig tredjepartscertificering kan dokumentere effekten. Certificering efter ISO/IEC 27001 foretaget af en uafhængig tredjepart viser, at informationssikkerhedsledelsessystemet lever op til standardens krav. Organisationen arbejder systematisk med at beskytte information og håndtere risici.

Certificeringen kan give øget tillid og troværdighed hos kunder, partnere og myndigheder. Den giver mulighed for at konkurrere på markeder, hvor certificering er et krav eller en forventning. Eksterne audits giver uvildig indsigt til at finde risici og forbedringsmuligheder.

Certificeringen giver mere ensartede og kontrollerede sikkerhedsprocesser. Den dokumenterer compliance med lovkrav og kontrakter. Den reducerer sandsynligheden for og konsekvensen af sikkerhedshændelser og styrker beredskabet.

Også forsikringsselskaber kan efterspørge dokumentation. Nogle erhvervsforsikringsselskaber kræver nu dokumentation for, at informationssikkerheden er under kontrol, før de tilbyder dækning.

Implementeringsplan: Sådan bygger du forsvarsværket

Fase 1 – forankring og afgrænsning: Beslut på ledelsesniveau, hvad ledelsessystemet skal omfatte. Standarden kan bruges i hele organisationen eller på udvalgte forretningsområder og processer. Fastlæg opgaver og beføjelser samt dokumentationskrav, og sørg for, at ledelsen ejer risikobeslutningerne.

Fase 2 – risikovurdering: Afgræns informationsaktiverne og de processer, de understøtter. Beskriv generiske scenarier for, hvad der kan gå galt, og vurder sandsynlighed, konsekvens og forretningspåvirkning. Prioritér risiciene, og beslut for hver, om den skal accepteres, reduceres, overføres eller undgås. Datatilsynet oplyser, at GDPR ikke stiller konkrete krav til metode eller modeller for risikovurderingen (datatilsynet.dk).

Fase 3 – valg af kontroller: Tag udgangspunkt i Annex A i ISO/IEC 27001, og brug ISO/IEC 27002 som vejledning til at vælge relevante kontroller. Sortér valgene efter organisatoriske, teknologiske, fysiske og adfærdsmæssige områder, og knyt hver kontrol til den risiko, ansvarlige funktion og opfølgning. Kontrollerne skal samlet beskytte information på tværs af mennesker, processer og teknologi.

Fase 4 – roller, dokumentation og træning: Udpeg ejere for informationer og systemer, ansvarlige for risikovurderinger og kontroller samt modtagere af ledelsesrapportering. Skriv ansvar, beføjelser og rapporteringslinjer ind i styringsdokumenter. Træn medarbejdere, og brug øvelser og observationer til at forbedre processerne.

Fase 5 – overvågning og beredskab: Sikr løbende opfølgning på kontrollerne. Organisationen skal have et beredskab, der kan håndtere og afbøde hændelser og opretholde forretningskontinuiteten, når noget alligevel sker.

Fase 6 – audit og forbedring: Gennemfør interne audits og ledelsesgennemgange. Juster ledelsessystemet efter ændringer i trusselsbilledet. Overvej uafhængig tredjepartscertificering som dokumentation for effekten. Modellen gentages: etablér, implementér, vedligehold og forbedr ledelsessystemet for informationssikkerhed løbende – uden binding til enkelte leverandører eller teknologier.

Konkrete metoder: Brug Datatilsynets skabelon til den risikovurdering/konsekvensanalyse, der skal laves efter artikel 36. Datatilsynets katalog over sikkerhedsforanstaltninger kan bruges som tjekliste og nævner ændringsstyring (Change Management) og softwaretest med fokus på sikkerhed.