Cybersikkerhed og teknologirisici i den offentlige sektor

Hvorfor det er vigtigt for offentlig værdi

Når et hospitals systemer krypteres af en angriber, kan klinikere ikke se medicinhistorik, ambulancer omdirigeres, og operationer aflyses. Når et vandværks kontrolsystemer kompromitteres, er den offentlige værdi på spil ikke et serverudfald men drikkevandets sikkerhed. Når en ydelsesmyndigheds database brydes, er de mennesker, der er mest udsat, ofte dem, der er dårligst i stand til at absorbere konsekvenserne: en forsinket udbetaling, en stjålet identitet, en familie, der ikke kan bevise over for den stat, der skylder den støtte, hvem den er. Computersikkerhed, almindeligvis kaldet cybersikkerhed, er praksissen at beskytte computersystemer, netværk og data mod uautoriseret adgang, forstyrrelse eller skade. I offentlige institutioner sidder den praksis direkte på vejen mellem staten og den borger, den tjener.

Det er derfor, emnet rammesætter cyberrisiko som et spørgsmål om offentlig værdi, ikke kun et teknisk. Legitimitet og opbakning afhænger af, at borgere tror, at de institutioner, der holder deres data og driver deres væsentlige tjenester, kan stoles på til at holde begge sikre (se Emne 1.2 — Den strategiske trekant: legitimitet, værdi og kapacitet). Et enkelt velomtalt brud kan gøre varig skade på den tillid, på samme måde som en fejlhåndteret nødsituation, fordi borgere bedømmer institutioner på, hvordan de opfører sig under angreb, lige så meget som på, hvordan de præsterer til daglig (se Emne 3.12 — Krise-, beredskabs- og robusthedsstyring, som behandler cyberhændelser som én kategori inden for den bredere robusthedsdisciplin). Cybersikkerhed er også uadskillelig fra datastyring: en institution kan ikke beskytte, hvad den ikke ved, den holder, og den interoperabilitet og åbenhed, der skaber offentlig værdi af data, udvider også den overflade, en angriber kan udnytte (se Emne 5.4 — Data, interoperabilitet og åbne data i den offentlige sektor).

Ressourceproblemet er akut og specifikt for den offentlige og sociale sektor. Store nationale myndigheder har i stigende grad dedikerede sikkerhedsteams og virksomhedsbudgetter; vandforsyningen i en lille by, det regionale hospitalsvæsen og den lokale nonprofit, der driver et krisecenter, har typisk ikke, trods at de holder data, hvis følsomhed konkurrerer med eller overgår enhver banks. Angribere ved det. Underressourcesatte offentlige organer er ikke et randtilfælde i dette emne; de er tæt på dets centrum, fordi den mediane offentlige institution, der står over for denne risiko i dag, ikke er et nationalt ministerium men en lille lokal myndighed, et regionalt forsyningsselskab eller en velgørende organisation med en håndfuld it-medarbejdere og ingen sikkerhedsspecialist overhovedet.

Endelig er dette et levende og forværret problem, ikke et hypotetisk. Ransomware-kampagner rettes i stigende grad mod lokale myndigheder, hospitaler, skoler og social-sektor-organisationer netop fordi de kombinerer følsomme data, væsentlige tjenester, lav tolerance for nedetid og forholdsvis svage forsvar – en kombination, der gør dem mere tilbøjelige til at betale og mindre tilbøjelige til at have forhindret angrebet i første omgang. At behandle cybersikkerhed som et specialisttillæg frem for en forpligtelse til offentlig værdi på styringsniveau er, for denne klasse af organisation, tæt på en invitation.

Kernebegreber

Kritisk infrastruktur er det sæt af systemer og aktiver – energi, vand, transport, sundhedsvæsen, finans, kommunikation – så væsentlige, at deres uarbejdsdygtighed eller ødelæggelse ville have en invaliderende virkning på sikkerhed, økonomi eller offentlig tillid. Beskyttelse af kritisk infrastruktur er disciplinen at sikre disse systemer mod fysiske og digitale trusler på samme måde; det betyder noget her, fordi mange af de mest konsekvensfulde cyberhændelser i den offentlige sektor ikke er angreb på abstrakte data men angreb på den driftsteknologi, der holder fysisk infrastruktur kørende, adskilt fra den informationsteknologi, der holder registre og behandler transaktioner.

En trusselsaktør er enhver person, gruppe eller stat, der kan forsøge at kompromittere et system; i den offentlige sektor spænder de fra økonomisk motiverede kriminelle grupper til statssponsorerede aktører, der forfølger spionage eller forstyrrelse, og den samme institution kan møde begge samtidig med meget forskellige mål. Ransomware er ondsindet software, der krypterer en organisations data eller systemer og kræver betaling for deres frigivelse; det er blevet den dominerende trussel mod offentlige organer netop fordi væsentlige tjenester ikke kan tolerere langvarig nedetid, hvilket øger presset for at betale. Phishing er en form for social manipulation, hvor angribere snyder medarbejdere til at afsløre legitimationsoplysninger eller installere malware, typisk gennem vildledende e-mail, og forbliver den mest almindelige måde, en angriber først får fodfæste på, fordi den retter sig mod mennesker frem for teknologi.

Et databrud er uautoriseret adgang til, videregivelse af eller tab af information, hvad enten gennem et eksternt angreb, en insider eller simpel menneskelig fejl som en fejlkonfigureret database efterladt åben mod internettet. Et forsyningskædeangreb kompromitterer en organisation indirekte ved at målrette en mindre sikker leverandør, softwareleverandør eller managed-service-udbyder, målorganisationen stoler på; disse er særligt farlige for den offentlige sektor, fordi så mange offentlige organer deler den samme håndfuld softwareleverandører, så ét leverandørkompromis kan kaskadere ind i hundredvis af institutioner samtidig.

Cyberhygiejne er det sæt af rutinemæssige praksisser – at patche software hurtigt, håndhæve stærk autentificering, begrænse hvem der kan tilgå hvad, tage backup af data og teste gendannelsen af disse backups – der forhindrer langt de fleste vellykkede angreb uden at kræve eksotiske værktøjer. De fleste brud udnytter kendte, upatchede sårbarheder eller svage legitimationsoplysninger frem for nye teknikker, så hullet mellem en organisations faktiske cyberhygiejne og dens erklærede politik er normalt en bedre forudsigelse af dens risiko end sofistikationen af de trusler, den nævner i sit risikoregister.

Zero trust-arkitekturen er et sikkerhedsdesignprincip, der fastslår, at ingen bruger eller enhed bør have tillid som standard, selv inden for en organisations eget netværk, og at hver anmodning om adgang skal verificeres uanset hvor den stammer fra. Den er blevet indflydelsesrig i offentlig vejledning, fordi den passer til, hvordan moderne offentligt arbejde faktisk foregår – medarbejdere, kontrahenter og borgere, der tilgår tjenester fra mange enheder og steder – bedre end en ældre model, der stolede på alt, der allerede var inde i perimeteren.

Håndtering af computersikkerhedshændelser, normalt kaldet hændelsesrespons, er den organiserede proces med at opdage, inddæmme, udrydde og komme sig efter en sikkerhedshændelse, efterfulgt af en gennemgang af, hvad der tillod det at ske. En offentliggørelsesforpligtelse er en retlig eller regulatorisk pligt til at underrette berørte personer, tilsynsmyndigheder eller offentligheden, når personoplysninger eller kritiske tjenester er kompromitteret, inden for en specificeret tid og til en specificeret standard, ud fra logikken at borgere og tilsynsorganer har ret til at vide, når deres data eller deres væsentlige tjenester er blevet bragt i fare, og at rettidig offentliggørelse lader folk beskytte sig selv.

Bedste praksis

1. Behandl cybersikkerhed som et styrende organs ansvar, ikke en delegeret teknisk funktion. Bestyrelser, råd og direktioner bør modtage regelmæssige briefinger i almindeligt sprog om cyberrisiko og godkende budgettet til den direkte, i stedet for at lade det forhandles inde i en bredere it-budgetlinje, hvor det er det letteste at skære.
2. Opgør, hvad du holder, og hvad der afhænger af det, før du beslutter, hvordan du beskytter det. En organisation kan ikke sikre data eller systemer, den ikke har kortlagt; en aktuel aktiv- og dataopgørelse, krydsrefereret mod interoperabilitets- og datastyringsarbejdet dækket andetsteds (se Emne 5.4 — Data, interoperabilitet og åbne data i den offentlige sektor), er forudsætningen for hver anden praksis på denne liste.
3. Anvend det grundlæggende overalt, før du bruger penge på noget avanceret. Patchstyring, multifaktorautentificering, testede backups og mindste-privilegium-adgangskontrol stopper det overvældende flertal af reelle angreb; et offentligt organ uden disse på plads bør ikke prioritere trusselsefterretningsabonnementer eller skræddersyede overvågningsværktøjer.
4. Vedtag et anerkendt rammeværk frem for at opfinde et skræddersyet. Rammeværker som National Institute of Standards and Technologys Cybersecurity Framework giver et fælles ordforråd og en struktur – identificér, beskyt, opdag, reagér, genopret – som en lille organisation kan vedtage i forenklet form og en stor i fuld form, uden at genopfinde grundlæggende taksonomi.
5. Pool ressourcer på tværs af små organisationer frem for at hver køber alene. En fælles sikkerhedsoperationstjeneste, en regional cyberhændelsesresponspulje eller en sektorbred indkøbsramme kan give en gruppe små lokale myndigheder eller nonprofitorganisationer beskyttelse, ingen af dem kunne have råd til individuelt – det enkeltstående mest direkte svar på det underressourceringsproblem, dette emne centrerer om.
6. Skriv hændelsesresponsplanen før hændelsen, og øv den. En plan udarbejdet første gang under et live angreb er en plan udarbejdet dårligt, i panik, af mennesker der aldrig har testet, om den faktisk virker; en plan øvet mindst årligt forvandler en kaotisk første time til en indøvet sekvens af kendte trin (se Emne 3.12 — Krise-, beredskabs- og robusthedsstyring for den bredere disciplin, dette trækker på).
7. Beslut offentliggørelses- og betalingspolitikken på forhånd, ikke under hændelsen. Om organisationen vil overveje at betale en løsesum, hvem der har myndighed til at træffe det valg, og hvordan og hvornår berørte vil blive underrettet, bør være bestyrelsesgodkendt politik, ikke en improviseret beslutning truffet under presset fra et live afpresningskrav.
8. Segmentér netværk, så ét kompromis ikke kan blive alle kompromisser. At holde driftsteknologi, der styrer fysisk infrastruktur, adskilt fra generel kontor-it, og at adskille højfølsomme systemer fra lavere-følsomme, begrænser, hvor langt en trænger, der kommer ind gennem ét svagt punkt, kan bevæge sig.
9. Styr tredjeparts- og forsyningskæderisiko lige så strengt som intern risiko. Kræv sikkerhedsgarantier, revisionsretsklausuler og hændelsesunderretningsforpligtelser i kontrakter med softwareleverandører og managed-service-udbydere, da en voksende andel af større hændelser i den offentlige sektor stammer fra en betroet leverandør frem for et direkte angreb.
10. Invester i mennesker, ikke kun værktøjer. Regelmæssig, realistisk træning – herunder simulerede phishingøvelser – reducerer målbart vellykkede sociale manipulationsangreb, og at beholde selv en eller to dygtige sikkerhedsmedarbejdere i en lille organisation er normalt mere værd end et tilsvarende forbrug på yderligere softwarelicenser.
11. Rapportér hændelser ærligt og brug næsten-ulykker som gratis lærdom. En kultur, der straffer medarbejdere for at rapportere et formodet brud, garanterer, at det næste rapporteres sent eller slet ikke; de organisationer, der forbedrer sig hurtigst, er dem, der behandler hver næsten-ulykke som dokumentation at lære af frem for en grund til at placere skyld.
12. Byg cyberrobusthed ind i indkøbs- og tilskudsbetingelser, ikke kun intern politik. Finansieringsgivere og bestillende organer kan kræve et grundniveau af sikkerhedspraksis fra de organisationer, de finansierer eller kontraherer med, og udvide god praksis' rækkevidde til mindre leveringspartnere, der ellers ikke ville have noget eksternt pres for at investere i den (se Emne 3.7 — Offentlige indkøb og kommissionering).

Spørgsmål at drøfte med dit team

Ved vi, hvilke data og systemer vi faktisk holder, og hvilke af dem der ville skade nogen, hvis de blev kompromitteret? Mange organisationer opdager først det sande omfang af deres dataholdinger under en brudundersøgelse, hvilket er det værst mulige tidspunkt at lære det. Gå jeres større tjenester igennem og spørg, for hver, hvilke personlige eller driftsmæssigt følsomme data den berører, og hvad der ville ske med en rigtig person, hvis de data blev stjålet, ændret eller gjort utilgængelige. Hvis det ærlige svar er «vi er ikke sikre», er den usikkerhed selv fundet, og at lukke den er første punkt på jeres dagsorden. Dette spørgsmål betyder mest for organisationer, der er vokset gennem opkøb, fusion eller akkumulerede legacy-systemer, hvor den institutionelle hukommelse om, hvad der findes, er udtyndet.

Hvis vi blev ramt af ransomware i morgen, kunne vi så gendanne fra backup uden at betale? En backups værdi er ikke, at den findes, men at den er testet til faktisk at gendanne, hurtigt nok, fra en version, der er nylig nok til at betyde noget. Spørg, hvornår backups sidst blev testet med en reel gendannelsesøvelse, ikke blot en gennemførelseslog, og hvor lang tid en fuld gendannelse ville tage mod, hvor længe jeres organisation kan tolerere et udfald. Hvis disse tal ikke matcher, har I en ressourcebeslutning at træffe nu, ikke under en hændelse. Dette er også tidspunktet til at drøfte, om selve backups er isoleret fra det netværk, en angriber, der når jeres hovedsystemer, også kunne nå.

Hvem har myndighed til at beslutte, om vi betaler en løsesum, og har vi nogensinde drøftet det, før vi blev spurgt? Dette er en af de højest-indsats beslutninger, en direktion kan stå over for, ofte påkrævet inden for timer og med ufuldstændig information om, hvad angriberen faktisk har. At beslutte processen, de bemyndigende personer og principperne på forhånd – selv om den endelige afgørelse stadig afhænger af hændelsens specifikke forhold – forhindrer en improviseret beslutning truffet under afpresningspres. Drøft, hvad jeres jurisdiktions lov og jeres finansieringsgiveres betingelser siger om løsesumsbetaling, og hvem I ville skulle underrette.

Er vores mindste partnere og leverandører en større risiko for os, end vi er for os selv? En velsikret central organisation kan stadig kompromitteres gennem en dårligt sikret leverandør, kontrahent eller leveringspartner med legitim adgang til dens systemer eller data. Kortlæg de tredjeparter, der kan nå jeres systemer eller holde jeres data, og vær ærlig om, hvor megen sikkerhed I faktisk har over deres sikkerhedspraksis, versus hvor megen I antager, I har. Beslut, hvilken minimumsstandard I vil kræve af dem fremover, og hvordan I vil verificere den frem for blot at bede om en skriftlig garanti.

Ville vi vide, at vi var blevet brudt, og hvor hurtigt? Nogle af de mest skadelige hændelser er ikke dem, der sker hurtigt, men dem, der forbliver uopdagede i måneder, hvor en angriber stille har udforsket, eskaleret privilegier og eksfiltreret data. Drøft, hvordan I i dag faktisk ville opdage usædvanlig aktivitet, hvem der holder øje med den, og om overvågningen kører uden for kontortid, da mange angreb bevidst lanceres om natten eller i en feriehelg, hvor responsen er langsomst. Hvis opdagelse udelukkende afhænger af, at en borger eller en partnerorganisation fortæller jer, at noget er galt, er det et kritisk hul.

Forstår vores bestyrelse eller styrende organ denne risiko godt nok til at styre den, eller har vi stille outsourcet den dømmekraft til it-teamet? Cyberrisikobeslutninger indebærer reelle afvejninger mellem omkostning, tjenestekontinuitet og borgerbeskyttelse, der med rette er det styrende organs sag, ikke en delegeret teknisk sag, der nikkes igennem. Drøft, hvordan cyberrisiko i øjeblikket rapporteres til jeres bestyrelse eller råd, om det er i et sprog, en ikke-specialist faktisk kan handle på, og om budgettet til den besluttes med samme stringens som enhver anden større risiko. Hvis jeres styrende organ ikke i øjeblikket kunne forklare jeres organisations tre største cyberrisici med egne ord, er det hullet at lukke først.

I praksis: et eksempel på offentlig værdi

En mellemstor regional transportmyndighed – fiktiv, illustrativ for et mønster frem for en rapport om nogen reel organisation – kørte ældende køreplans- og betalingssystemer, der var blevet patchet stykkevis i et årti frem for moderniseret. Dens it-team var tre personer, ansvarlige for alt fra helpdesk-sager til netværkssikkerhed, og cybersikkerhed havde aldrig haft sin egen linje i budgettet; den levede inde i en generel «systemvedligeholdelse»-bevilling, der ikke var vokset reelt i årevis.

En angriber fik adgang gennem en phishing-e-mail sendt til en økonomimedarbejder, ved hjælp af en forfalsket faktura fra en leverandør, myndigheden reelt brugte. Når den var inde, brugte angriberen seks uger på stille at bevæge sig gennem netværket, før ransomware blev udrullet, der krypterede køreplanssystemet, billetbetalingsplatformen og myndighedens backups, som aldrig havde været isoleret fra hovednetværket. Busser blev ved med at køre på chaufførernes hukommelse om deres ruter den første dag, men billetpriser kunne ikke opkræves elektronisk, realtidsinformationsskærme gik i sort, og myndighedens økonomisystemer var ubrugelige til løn.

Direktionen stod over for løsesumsbeslutningen uden nogen forud aftalt politik: ingen havde besluttet på forhånd, hvem der havde myndighed til at godkende en betaling, hvad den retlige position var, eller hvad de ville fortælle passagererne. Gendannelse fra backup var ikke en mulighed, fordi backups var krypteret sammen med alt andet. Efter ni dages forstyrrelse, delvis genoprettelse af tjenesten og en betaling, myndighedens bestyrelse senere beskrev som den mindst dårlige mulighed tilgængelig på det tidspunkt, bestilte myndigheden en uafhængig gennemgang.

Gennemgangens fund var upåfaldende og helt i overensstemmelse med det mønster, dette emne beskriver: ingen multifaktorautentificering på økonomisystemer, ingen netværkssegmentering mellem kontorsystemer og betalingsinfrastruktur, ingen testet backupgendannelse i over to år og ingen indsigt på bestyrelsesniveau i cyberrisiko overhovedet før hændelsen. Myndighedens svar var lige så upåfaldende – en faseopdelt plan til at rette det grundlæggende, en fælles sikkerhedsovervågningsordning med to nabotransportmyndigheder for at dele omkostningen ved specialistdækning, ingen af dem kunne have råd til alene, og et stående bestyrelsesdagsordenspunkt om cyberrisiko. Intet af det var dyrt målt med et større it-programs standarder; alt var blevet sprunget over i årevis, fordi det aldrig havde været nogens klart tildelte opgave at insistere på det.

Fire sektorlinser

Lokal forvaltning

Lokale myndigheder sidder i et ubehageligt skæringspunkt: de holder højfølsomme data – sociale omsorgsregistre, bolig- og ydelsesoplysninger, valglister – og driver tjenester, borgere ikke let kan undvære, men de har typisk de mindste sikkerhedsbudgetter og det mindste specialistpersonale af nogen forvaltningsniveau. Et stort nationalt ministerium kan bygge et internt sikkerhedsoperationscenter; en lille kommune kan normalt ikke, hvilket gør fælles tjenester, regional pooling og nationale støtteprogrammer til den praktiske vej til tilstrækkelig beskyttelse frem for et valgfrit tillæg. Lokale folkevalgte er også ofte de dårligst rustede, af alle forvaltningsniveauer, til at udspørge en teknisk risikobriefing, hvilket gør rapportering i almindeligt sprog til valgte medlemmer til en særskilt styringsudfordring på dette niveau.

National forvaltning

Nationale regeringer har generelt ressourcerne til at bygge dedikerede cybersikkerhedsmyndigheder og nationale rammeværker – organer som Det Forenede Kongeriges National Cyber Security Center eller USA's Cybersecurity and Infrastructure Security Agency findes for at fastsætte standarder, koordinere respons og støtte mindre ressourcestærke offentlige organer inden for deres jurisdiktion. Den særlige udfordring på nationalt niveau handler mindre om grundlæggende hygiejne og mere om statssponsorerede og højt kompetente trusselsaktører, den indbyrdes afhængighed af kritisk national infrastruktur på tværs af sektorer og private operatører og de diplomatiske og retlige dimensioner af attribution og respons, som sjældent optræder på lokalt eller organisatorisk niveau.

Den sociale sektor og nonprofit

Nonprofitorganisationer og NGO'er holder ofte nogle af de mest følsomme data af nogen sektor – sundhedsregistre, registre over overlevende efter vold eller forfølgelse, flygtninge- og asylsagsbehandling – mens de opererer på de tyndeste sikkerhedsbudgetter af nogen organisationstype i denne bog, fordi finansieringsgivere sjældent øremærker penge til sikkerhed, og tilskudsbetingelser sjældent kræver det. Mange social-sektor-organisationer afhænger også af frivillige og høj personaleomsætning, hvilket gør konsekvent sikkerhedstræning og adgangskontrol sværere at opretholde end i en stabil, professionelt bemandet organisation; en sikkerhedshændelse kan være eksistentiel for en lille velgørende organisation på en måde, den sjældent er for et ministerium, fordi omdømmeskade og tab af donortillid kan ende organisationen helt (se Emne 3.8 — Ledelse af den sociale sektor og nonprofitorganisationer).

Multilateral og international

Multilaterale og internationale organer opererer på tværs af jurisdiktioner med forskellige offentliggørelseslove, forskellige definitioner af kritisk infrastruktur og forskellige niveauer af national cyberkapacitet, hvilket gør koordinering selv til et særskilt problem: et internationalt organs egne systemer kan være godt beskyttet, mens dets nationale medlemsmyndigheder varierer enormt, og et organ som Organisationen for Økonomisk Samarbejde og Udvikling eller Den Europæiske Unions Agentur for Cybersikkerhed spiller lige så meget en standardfastsættende og kapacitetsopbyggende rolle som en operationel. Den multilaterale linse er også dér, hvor grænseoverskridende hændelsesrespons og informationsdelingsordninger betyder mest, da et angreb, der begynder i ét lands infrastruktur, kan kaskadere ind i et andets inden for timer, hurtigere end de fleste internationale koordinationsmekanismer er bygget til at bevæge sig.

Almindelige fejlmønstre

Sikkerhedsteater uden operationel substans. En organisation vedtager et imponerende politikdokument, et overholdelsescertifikat eller et enkelt dyrt værktøj og behandler feltet som afkrydset, mens grundlæggende hygiejne – patching, multifaktorautentificering, testede backups – forbliver uensartet. Dette koster reelle penge for skinnet af sikkerhed frem for sikkerhed selv, og det opdages ofte først som teater, efter en hændelse afslører hullet mellem politik og praksis.

Den uejede risiko. Cybersikkerhed antages at være en andens opgave – it-teamets, en leverandørs, en tilsynsmyndigheds – og ingen enkelt ansvarlig ejer findes på styrende organs niveau. Dette frembringer en risiko, der drøftes overalt og besluttes ingen steder, og det er netop det mønster, der efterlader organisationer ude af stand til at besvare grundlæggende spørgsmål om deres egen eksponering, når de bliver spurgt.

Underinvestering begrundet med fraværet af en tidligere hændelse. Fordi et velkørt sikkerhedsprogram ikke frembringer nogen synlig begivenhed, når det lykkes, er det let at skære i en stram budgetrunde til fordel for noget med et synligt output, og fraværet af et brud indtil nu forveksles med dokumentation for tilstrækkelig beskyttelse frem for dokumentation, der endnu ikke er prøvet. Dette spejler den samme budgetlogik, der undergraver robusthedsinvestering mere bredt (se Emne 3.12 — Krise-, beredskabs- og robusthedsstyring).

Legacy-systemer holdt kørende ud over deres understøttelige levetid. Offentlige organer kører hyppigt software eller hardware længe efter, at en leverandør er holdt op med at udstede sikkerhedspatches til den, fordi udskiftning er dyr, forstyrrende eller politisk upopulær, og systemet «stadig virker». Et upatchet, ustøttet system er ikke en legacy-ulejlighed; det er en åben dør, der ikke koster en angriber noget at gå igennem.

Skyld-først-hændelseskultur. Når medarbejdere, der rapporterer et formodet brud eller en fejl, disciplineres frem for støttes, rapporteres fremtidige hændelser sent, bagatelliseres eller slet ikke, og organisationen mister det tidlige varselssignal, rettidig rapportering giver. Dette svigt forstærker alle andre på denne liste, fordi ingen af rettelserne ovenfor virker, hvis organisationen ikke ærligt kan se sine egne problemer.

Modenhedsmodel

Tjekliste

• En navngiven person eller et udvalg på styrende organs niveau ejer cyberrisiko og rapporterer regelmæssigt om den, i almindeligt sprog.
• En aktuel opgørelse findes over, hvilke data og systemer organisationen holder, og hvilke der er mest følsomme eller mest kritiske for en tjeneste.
• Multifaktorautentificering er håndhævet på alle systemer, der holder følsomme data eller styrer kritiske tjenester.
• Backups tages regelmæssigt, opbevares isoleret fra hovednetværket, og gendannelse er testet inden for de seneste tolv måneder.
• Software og systemer patches efter en defineret tidsplan, og ethvert system, der ikke længere kan patches, har en dokumenteret plan for udskiftning eller isolation.
• En skriftlig hændelsesresponsplan findes, nævner hvem der har myndighed til at træffe nøglebeslutninger og er øvet gennem en realistisk øvelse inden for det seneste år.
• En bestyrelsesgodkendt politik findes om løsesumsbetaling og om, hvordan og hvornår berørte personer, tilsynsmyndigheder og offentligheden vil blive underrettet.
• Kontrakter med softwareleverandører og managed-service-udbydere indeholder sikkerhedsgarantier og hændelsesunderretningsforpligtelser.
• Medarbejdere modtager regelmæssig, realistisk sikkerhedstræning, herunder simulerede phishingøvelser.
• At rapportere en formodet hændelse eller næsten-ulykke behandles som værdifuld information, ikke grund til skyld.
• Fælles eller poolede sikkerhedsordninger er undersøgt med jævnbyrdige organisationer af tilsvarende størrelse og budget.
• Cyberrisiko indgår eksplicit i organisationens bredere krise- og robusthedsplanlægning, ikke som en separat, afkoblet plan.

Centrale kilder

Dette emne trækker på National Institute of Standards and Technologys Cybersecurity Framework som det førende strukturerede rammeværk til at organisere cybersikkerhedspraksis; Den Europæiske Unions Agentur for Cybersikkerheds offentliggjorte mission og vejledning om at opnå et fælles niveau af cybersikkerhed i hele Den Europæiske Union; Organisationen for Økonomisk Samarbejde og Udviklings arbejde med digital sikkerhedspolitik, som rammesætter digital sikkerhed som et økonomisk og socialt risikostyringsspørgsmål frem for et rent teknisk; og den operationelle vejledning udgivet af nationale cybersikkerhedsmyndigheder som Det Forenede Kongeriges National Cyber Security Center og USA's Cybersecurity and Infrastructure Security Agency, som begge giver gratis vejledning specifikt rettet mod underressourcesatte offentlige organer.

Henvisninger

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about