.png)
Riskhantering är en vanlig fras i det moderna affärslivet. Men utan tydliga metoder för att implementera den och koppla den till det dagliga arbetet finns det en risk att riskhanteringen förblir en fristående, till synes värdelös enhet för verksamheten.
Riskhantering inom informationssäkerhet är ett område inom riskhantering som ständigt ökar i betydelse. I synnerhet när det gäller organisationer med hög grad av digitalisering bör detta område ligga i framkant av riskhanteringen.
Tanken med denna artikel är att tillhandahålla en tydlig verksamhetsmodell för hantering av informationssäkerhetsrisker, som sträcker sig från att identifiera riskerna till att stänga dem, involvera olika personer i olika roller och övervaka de åtgärder som beslutas i riskhanteringen.
Vi ser på frågan främst utifrån god praxis i informationssäkerhetsstandarden ISO 27001.
Generellt sett belyser varje standard för informationssäkerhet eller relaterad lagstiftning riskhantering. ISO 27001 innehåller sina egna krav, men liknande punkter finns t.ex. i NIST CSF.
ISO 27001 innehåller tydliga krav på riskhantering för informationssäkerhet:
Det första kravet vägleder organisationen att genomföra riskhanteringen enligt en uppsättning gemensamma grundregler. Det är redan en betydande risk om var och en utvärderar risker på sitt eget sätt.
Den andra punkten kräver att organisationen gör en omfattande granskning av de kontroller som anges i ISO 27002. Standarden erbjuder därför mer konkret bästa praxis för att minska sannolikheten för eller effekten av risker.
Den tredje punkten kräver att organisationen sammanfattar sin användning av kontroller på ett tydligt sätt: Vilka av de kontroller som listas i ISO 27002 har vi implementerat och på vilka grunder har vi låtit bli att implementera vissa? Genom tillämpningsförklaringen är det möjligt att få en övergripande bild, även om den faktiska riskbedömningsprocessen oftast genomförs med utgångspunkt från en enskild risk.
En väl implementerad riskhanteringsprocess för informationssäkerhet:
Det är dock viktigt att förstå att det kanske inte är så klokt att gå rakt på riskhanteringen om inte grunderna för cybersäkerhet finns på plats inom organisationen. Det blir en utmaning att identifiera och utvärdera risker när organisationen saknar systematiska metoder för att beskriva sin databehandlingsmiljö, dokumentera tillgångar som kräver skydd genom säkerhetsåtgärder och förstå de befintliga säkerhetsåtgärderna på plats. Det är därför Cyberday syftar till att tillhandahålla etablerade ramverk för alla dessa områden och rekommenderar att man går vidare till riskhantering efter att ha tagit itu med de grundläggande aspekterna.
Implementeringen av riskhanteringen i Cyberday presenteras steg för steg nedan.
Nya risker kan identifieras i Cyberday på följande sätt:
Automatiserad identifiering av cybersäkerhetsrisker genom aktivering av informationssäkerhetsuppgifter.
Cyberday innehåller bakgrundsinformation om relevanta risker för varje uppgift. När en uppgift aktiveras i Cyberday läggs de tillhörande riskerna automatiskt till i riskregistret.
Riskidentifiering genom incident- eller förändringshantering. Organisationens processer för hantering av informationssäkerhetsincidenter eller betydande säkerhetspåverkande förändringar inkluderar riskanalys. Syftet är att identifiera de risker som är förknippade med den specifika händelsen och som sedan går vidare till riskutvärderingsfasen. Dessa risker kan vara helt nya eller kräva omvärdering genom att händelsen inträffar.
Identifiering av risker i samband med kritiska tillgångar. Om så önskas kan risker identifieras när informationstillgångar (t.ex. ett informationssystem, en datalagring eller en partner) klassificeras som "kritiska" i ledningssystemet. Denna implementering kan ske under kontroll av tillgångens ägare. Alla identifierade risker kopplas till den tillhörande tillgången med hjälp av ett riskdokumentationskort.
Workshops med hjälp av exempel på risker från Cyberday. Cyberday innehåller en omfattande lista med exempel på informationssäkerhetsrisker. Denna lista används för att identifiera förbisedda hot och identifiera nya risker. Vi rekommenderar att sådana workshops genomförs vid behov, t.ex. om andra metoder som beskrivs här inte har använts under de senaste 6 månaderna.
När en risk har identifierats är det första steget att välja en riskägare. I Cyberday är det automatiska standardvalet för nya risker ägaren av temat Riskhantering och ledarskap. Denna person bör sedan omfördela risken till ägaren av motsvarande tillgång om risken är tydligt relaterad till den tillgången, eller till ägaren av ett annat säkerhetstema om risken är tydligt relaterad till det temat. Delegering sker genom att lämplig användare utses till riskägare på dokumentationskortet.
En riskägares avsiktliga åtgärder
I riskutvärderingsfasen tilldelas risken ett numeriskt värde baserat på dess potentiella påverkan och sannolikhet. Organisationen kan välja att använda antingen en snävare (1-3) eller bredare (1-5) bedömningsskala utifrån sina egna preferenser.
Cyberday syftar till att hjälpa till med riskbedömningen genom att ge snabba svar när en hög allvarlighetsgrad eller sannolikhet inte väljs för en risk. Risken kan ha minskad allvarlighetsgrad på grund av organisationens verksamhet eller minskad sannolikhet på grund av att effektiva riskhanteringsmetoder har införts.
Baserat på utvärderingen beräknas risknivån automatiskt för varje risk. Organisationen kan definiera sin acceptabla risk nivå och alla risker som överskrider denna nivå bör gå vidare till behandlingsfasen, där olika åtgärder genomförs för att minska risknivån.
Den risknivå som fastställs i utvärderingen indikerar om riskhanteringen ska fortsätta.
Om risknivån ligger inom ett acceptabelt intervall eller under det, kan risken accepteras i detta skede.
Om det behövs fortsätter riskhanteringen till behandlingsfasen, där:
Det vanligaste valet är att minska risken genom att implementera ytterligare åtgärder, vilket förbättrar organisationens egna cybersäkerhetsrutiner. I det här skedet är det viktigt att de beslutade åtgärderna listas i samma system där riskhanteringen görs. På så sätt säkerställs att riskhanteringen leder till faktiska resultat, som automatiskt ingår i samma övervakningsprocess.
En sammanfattning av den beslutade hanteringen på organisationsnivå kallas riskhanteringsplan. Ägaren till varje enskild risk ska acceptera den skapade behandlingsplanen för motsvarande risk.
När den planerade riskhanteringen har genomförts, vilket innebär att de tilldelade ägarna har bekräftat att uppgifterna faktiskt har slutförts, kan risken stängas. Riskhanteringsprocessen avslutas därmed med ett tydligt resultat.
En risk kan omvärderas, t.ex. om en säkerhetsincident inträffar eller en betydande förändring i organisationens verksamhet sker som kan öka riskens påverkan eller sannolikhet.
Här följer några punkter som kan vara till hjälp när du ska implementera riskhantering i din organisation.
Om du vill lära dig mer om hantering av cybersäkerhetsrisker kan du delta i våra kommande webbseminarier eller välja en lämplig tid för ett Teams-möte så kan vi fortsätta diskussionen på ett mer personligt sätt.
