.png)
Riskhantering inom informationssäkerhet är en grundläggande del av varje framgångsrik cybersäkerhetsstrategi.
Riskhantering inom informationssäkerhet handlar i grund och botten om att identifiera, utvärdera, behandla och övervaka risker. Målet är att ha en tydlig process som leder till att man hittar de största riskerna och använder de egna resurserna effektivt för att minska dem.
Processen kan sammanfattas i fyra viktiga steg: identifiering, utvärdering, behandling och övervakning. Först identifierar man vad man står inför. Sedan analyserar man riskerna (särskilt deras sannolikhet och påverkan) för att få dem i en prioriterad ordning. Sedan beslutar man om behandling för en kontrollerbar mängd av de högsta riskerna, vilket vanligtvis innebär ytterligare säkerhetsåtgärder för att minska riskens sannolikhet eller påverkan. När åtgärderna har genomförts är dessa risker behandlade för tillfället. Du kanske fortfarande vill utvärdera den kvarvarande risken och sedan gå vidare till att behandla nästa högsta risknivå.
Så här uttryckt kanske processen inte låter så skrämmande. Men i en organisation finns det många olika synvinklar att ta hänsyn till: många olika typer av risker, olika viktiga tillgångar som du kanske vill identifiera risker specifikt för eller olika grupper av människor som ska involveras i processen.
I nästa avsnitt går vi djupare in på viktiga framgångsfaktorer i dessa steg i riskhanteringsprocessen. Kom ihåg att en väl implementerad riskhanteringsprocess kraftigt kan minska sannolikheten för och effekterna av ett stort säkerhetsintrång.
Informationssäkerhetsrisker kan ta sig många olika uttryck. På ett eller annat sätt äventyrar de sekretessen, integriteten och tillgängligheten för organisationens informationstillgångar. Här är några vanliga exempel:
För att hantera dessa risker krävs ett omfattande informationssäkerhetsprogram som omfattar tekniska, organisatoriska och personella åtgärder. Åtgärderna bör uppdateras kontinuerligt för att svara mot den föränderliga hotbilden.
Det här första steget i riskhanteringen handlar om att fundera över vad som kan gå fel. Du måste fundera över potentiella hot och relaterade sårbarheter som kan äventyra din informationssäkerhet.
Som ett första steg i riskhanteringen för informationssäkerhet måste du tydligt identifiera och dokumentera dina informationstillgångar. Dessa omfattar värdefulla data och dokument (t.ex. kundregister, anställningsuppgifter, finansiell information, immateriella rättigheter) och de programvarutillgångar som används för att hantera dessa (t.ex. CRM-system, HR-system, produktionssystem, ERP-system). Men det handlar inte bara om digitala data. Fysiska platser (t.ex. kontor, datacenter) och fysiska tillgångar (t.ex. servrar, datorer och annan viktig hårdvara) som ger tillgång till dessa digitala data är också viktiga.
Tillsammans med tillgångarna är det viktigt att förstå vilka intressenter som behövs för att hantera dem. Hur är t.ex. viktiga datasystemleverantörer eller personuppgiftsbiträden? Även dina egna anställda, särskilt olika enheter med viktiga databehandlingsansvar, är viktiga tillgångar för din organisations informationssäkerhet.
Slutligen effektiviseras riskhanteringsprocessen genom att tillgångarna dokumenteras på ett tydligt och organiserat sätt. Dokumentationen bör vara dynamisk och uppdateras i takt med att nya tillgångar tillkommer eller gamla försvinner. Vissa organisationer fortsätter också att kartlägga var information finns och hur den flödar för att upptäcka potentiella sårbarheter, men det är redan lite mer avancerat.
För att lyckas med riskhantering inom informationssäkerhet måste du förstå vad du skyddar (tillgångarna) och hur du för närvarande implementerar skyddet (säkerhetsåtgärder).
Dina nuvarande säkerhetsåtgärder omfattar med största sannolikhet tekniska åtgärder som intrångsdetektering eller programvara för endpointskydd, organisatoriska åtgärder som företagspolicyer för lösenord och beviljande av användarrättigheter samt personella åtgärder som regler för säkert distansarbete eller användning av mobila enheter. Innan du tar en omfattande titt på alla skyddsåtgärder som finns på plats kan du inte utvärdera och jämföra risker med varandra på ett framgångsrikt sätt.
Genom att dokumentera dina tillgångar och aktuella säkerhetsåtgärder skapar du grunden för ditt ISMS (information security management system). När du gör detta kan du redan upptäcka att vissa standardrutiner saknas, vilket du kan åtgärda redan nu utan att gå igenom riskhanteringsprocessen. Men när du har inventerat och dokumenterat dina nuvarande åtgärder och du är relativt nöjd med dem, kommer du att få ut det mesta av den robusta riskhanteringsprocessen för att förbättra dig ytterligare.
Att förstå hur det står till med cybersäkerheten idag är ett viktigt steg för att bygga en mer motståndskraftig morgondag.
Det här första steget i riskhanteringen handlar om att fundera över vad som kan gå fel. Du måste fundera över potentiella hot och relaterade sårbarheter som kan äventyra din informationssäkerhet.
Informationssäkerhetsrisker kan se ut på många olika sätt och du kan säkert använda dig av exempellistor som stöd för ditt tänkande. Tekniska sårbarheter i kod, oseriösa före detta anställda eller dåligt skötta partnerföretag är olika, men alla relevanta källor till informationssäkerhetsrisker.
Både teknisk och organisatorisk kunskap är viktig för att identifiera risker. Att hålla ett öga på aktuella säkerhetsnyheter är också ett sätt att hålla sig uppdaterad om de senaste hotvektorerna och se vilken typ av risker som har realiserats i närliggande företag.
Utmaningar uppstår ofta på grund av den dynamiska karaktären hos både teknik och hot, samt systemens komplexitet. En systematisk riskidentifiering lägger dock grunden för nästa steg i riskutvärderingen och riskhanteringen. Det är en process som du måste hålla igång ett tag för att hitta de bästa sätten som fungerar för din organisation.
Tips för framgångsrik riskidentifiering:
Smarta ISMS-verktyg kan automatiskt identifiera vissa allmänna risker och till och med rangordna dem enligt dina åtgärder
Riskutvärdering innebär att identifierade risker ordnas. Utvärdering innebär att hitta tydliga värden för riskens påverkan och sannolikhet och på så sätt ta reda på risknivån. För varje risk bör du undersöka potentiella riskscenarier, deras sannolikhet och potentiella påverkan.
Poängen är att ta reda på vilka risker som är mest angelägna att fokusera på just nu. Det är bara med de högst prioriterade riskerna som det är smart att gå vidare till nästa steg om behandling, dvs. att definiera riskreducerande åtgärder för att minska riskens påverkan eller sannolikhet.
För att analysera och fastställa riskens sannolikhetsvärde bör du tänka på de potentiella händelsescenarier som leder till att risken realiseras. Genom att lista scenarierna kan du i slutändan t.ex. uppskatta sannolikheten (%) för att risken ska inträffa under ett år och sedan omvandla den till ett riskvärde (t.ex. 10 % = måttlig).
Aspekter som att den relaterade aktiviteten är mycket sällsynt, goda befintliga säkerhetskontroller eller omfattande vägledning för relaterade medarbetare kan göra risken mindre sannolik i dina utvärderingar.
För att analysera och fastställa värdet av riskpåverkan bör du tänka på konsekvenserna av risken. Riskpåverkan ska ses i ett brett perspektiv - det kan handla om ekonomiska konsekvenser, skador på anseendet, rättsliga konsekvenser, avbrott i tjänster och därmed förlorade affärer eller förlorade konkurrensfördelar (och ibland till och med direkta hot mot människors hälsa). Genom att tänka igenom olika konsekvenser bör du kunna uppskatta riskens monetära påverkan (€) och sedan omvandla den till ett riskvärde (t.ex. kan 100 000 € vara lika med högt i vissa organisationer).
Aspekter som en liten mängd relaterade tillgångar, att den relaterade aktiviteten endast har en begränsad betydelse för din organisation eller starka befintliga säkerhetskontroller kan minska riskpåverkan i dina utvärderingar.
Tips för framgångsrik riskbedömning:
Efter de första två stegen bör du ha skapat en tydligt prioriterad lista över olika informationssäkerhetsrisker. Under riskhanteringen planerar och genomför du åtgärder för att minska de högsta riskerna. Vissa risker kanske du kan dela eller eliminera, men vanligtvis inom informationssäkerhet implementerar du någon form av nytt skydd för att minska riskens påverkan eller sannolikhet.
Mer konkret kan hanteringen av en viss risk innebära att man skapar bättre organisatoriska kontroller (t.ex. tydligare övervakningsprocesser, striktare avtal, riktlinjer för anställda), implementerar bättre tekniska skydd (t.ex. krypteringsprogram, larmsystem, sårbarhetsskanning) eller förbättrar riktlinjer och instruktioner för anställda (t.ex. om distansarbete, lösenordsanvändning, behandling av personuppgifter).
När du skapar behandlingsplaner för risker kan du dra nytta av samarbete och expertis från flera olika områden. Din uppgift är att hitta det bästa sättet att sänka risknivån med minsta möjliga investering.
Tips för framgångsrik riskbedömning:
Genom de tre första viktiga stegen i riskhanteringen för informationssäkerhet har du i princip gjort en stor del av arbetet.
Poängen med riskövervakning är att se till att du återkommer till relevanta risker med valda intervall. Saker och ting förändras - antingen runt din organisation eller inom den. Cybersäkerhetshoten utvecklas, nya regleringar tillkommer och du kanske gör stora organisatoriska förändringar (t.ex. lägger till mycket ny personal, lanserar nya produkter etc.). Den här typen av förändringar kan behöva påverka dina riskbedömningar.
När en risk förändras avsevärt kanske den inte längre ligger inom acceptabla gränser. Detta är också nära relaterat till utvärdering av kvarstående risk.
Med kvarstående risk avses den risk som återstår efter att riskbehandlingen har genomförts. Risken utvärderas alltså i princip på nytt enligt samma kriterier som före behandlingen. Genom att utvärdera denna kvarstående risk säkerställer man att man är medveten om den kvarstående risken, även om den i princip har accepterats.
Med dina nyckeltillgångar avses de viktigaste komponenterna i din organisations databehandlingsmiljö. De är kärnan som du försöker skydda med dina säkerhetsåtgärder. Några exempel på nyckeltillgångar är t.ex:
Att använda tillgångsbaserad riskidentifiering i samband med mer allmänna riskbedömningar är ett utmärkt sätt att få ännu bättre resultat av riskhanteringsarbetet.
Tillgångsbaserad riskidentifiering kommer att hjälpa dig:
Smarta ISMS-system kan tvinga ägarna till dina viktigaste tillgångar att gå igenom arbetsflöden för riskidentifiering.
I alla robusta informationssäkerhetsprogram är systematisk riskhantering ett sätt att kontinuerligt förbättra informationssäkerheten. Genom att anta ett strukturerat tillvägagångssätt för att identifiera, utvärdera, behandla och övervaka organisationens informationssäkerhetsrisker har du goda förutsättningar att lyckas.
Från våra diskussioner om riskidentifiering, riskvärdering, riskbehandling och övervakning har du lärt dig att denna process är en cykel, inte en engångsinsats. Genom att kontinuerligt omvärdera säkerhetsläget med hjälp av riskerna kommer din organisation alltid att vara redo för den risk som kommer härnäst.
Du bör dock inte kasta dig rakt in i riskhanteringen. Dokumentation av dina informationstillgångar och nuvarande försvar utgör en grund för effektiv riskhantering. Involvering av viktiga intressenter, öppen kommunikation, robusta analyser och effektivt samarbete är också delar som utgör ett framgångsrikt riskhanteringsprogram.
Informationssäkerhet är inte en lyx - det är en nödvändighet. Nu är det dags att bygga upp en robust process för att hantera organisationens informationssäkerhetsrisker.
