Netöryggi og tækniáhætta hins opinbera

Hvers vegna þetta skiptir máli fyrir almannavirði

Þegar kerfi sjúkrahúss eru dulkóðuð af árásaraðila geta læknar ekki séð lyfjasögur, sjúkrabílum er beint annað og skurðaðgerðir falla niður. Þegar stjórnkerfi vatnsveitu er í hættu er almannavirðið í húfi ekki netþjónsbilun heldur öryggi drykkjarvatns. Þegar gagnagrunnur bótastofnunar er brotinn upp er fólkið sem er mest útsett oft fólkið sem er síst fært um að taka við afleiðingunum: seinkuð greiðsla, stolið auðkenni, fjölskylda sem getur ekki sannað hver hún er fyrir ríkinu sem skuldar henni stuðning. Tölvuöryggi, almennt kallað netöryggi, er sú starfsvenja að vernda tölvukerfi, net og gögn gegn óheimiluðum aðgangi, röskun eða skaða. Í opinberum stofnunum situr sú starfsvenja beint á leiðinni milli ríkisins og borgarans sem það þjónar.

Þess vegna rammar þetta viðfangsefni netáhættu sem almannavirðisspurningu, ekki aðeins tæknilega. Lögmæti og stuðningur velta á að borgarar trúi að stofnunum sem halda á gögnum þeirra og reka nauðsynlega þjónustu þeirra megi treysta til að halda hvoru tveggja öruggu (sjá Viðfangsefni 1.2 — Stefnumótandi þríhyrningurinn: lögmæti, virði og geta). Einn vel auglýstur öryggisbrestur getur valdið varanlegum skaða á því trausti, á sama hátt og illa meðhöndlað neyðarástand gerir, því borgarar dæma stofnanir eftir því hvernig þær haga sér undir árás jafnt og hvernig þær standa sig dag frá degi (sjá Viðfangsefni 3.12 — Krísu-, neyðar- og seiglustjórnun, sem meðhöndlar netatvik sem einn flokk innan víðari aga seiglu). Netöryggi er líka óaðskiljanlegt gagnastjórnarháttum: stofnun getur ekki varið það sem hún veit ekki að hún heldur á, og samvirknin og opnunin sem skapa almannavirði úr gögnum víkka líka yfirborðið sem árásaraðili getur nýtt (sjá Viðfangsefni 5.4 — Gögn hins opinbera, samvirkni og opin gögn).

Auðlindavandinn er bráður og sértækur fyrir opinbera geirann og félagageirann. Stórar landsstofnanir hafa í auknum mæli sérstök öryggisteymi og fyrirtækjafjárlög; vatnsveitustjórnin sem þjónar litlum bæ, svæðissjúkrahússstjórnin og staðbundin félagasamtök sem reka athvarf fyrir þolendur heimilisofbeldis hafa yfirleitt ekki, þrátt fyrir að halda á gögnum þar sem viðkvæmni keppir við eða fer fram úr nokkrum banka. Árásaraðilar vita þetta. Vanfjármagnaðir opinberir aðilar eru ekki jaðartilvik í þessu viðfangsefni; þeir eru nánast í miðju þess, því miðgildisopinberi aðilinn sem stendur frammi fyrir þessari áhættu í dag er ekki landsráðuneyti heldur lítið sveitarfélag, svæðisbundin veita eða góðgerðarfélag með handfylli upplýsingatæknistarfsfólks og engan öryggissérfræðing.

Að lokum er þetta lifandi og versnandi vandamál, ekki tilgátulegt. Gíslatökuhugbúnaðarherferðir (ransomware) beinast í auknum mæli að sveitarfélögum, sjúkrahúsum, skólum og skipulagsheildum í félagageiranum einmitt því þær sameina viðkvæm gögn, nauðsynlega þjónustu, lágt þol gegn niðurtíma og tiltölulega veikar varnir – samsetning sem gerir þær líklegri til að greiða og ólíklegri til að hafa komið í veg fyrir árásina til að byrja með. Að meðhöndla netöryggi sem sérfræðiviðbót frekar en stjórnarháttastigs almannavirðisskuldbindingu er, fyrir þennan flokk skipulagsheilda, nánast boð.

Lykilhugtök

Mikilvægir innviðir (critical infrastructure) eru mengi kerfa og eigna – orka, vatn, samgöngur, heilbrigðisþjónusta, fjármál, fjarskipti – svo nauðsynleg að óstarfhæfni þeirra eða eyðilegging hefði lamandi áhrif á öryggi, efnahag eða traust almennings. Vernd mikilvægra innviða er agi þess að tryggja þessi kerfi gegn líkamlegum og stafrænum ógnum jafnt; það skiptir máli hér því mörg afdrifaríkustu opinber netatvik eru ekki árásir á óhlutbundin gögn heldur árásir á rekstrartæknina sem heldur eðlisfræðilegum innviðum gangandi, aðgreind frá upplýsingatækninni sem heldur skrám og vinnur úr viðskiptum.

Ógnaraðili (threat actor) er sérhver einstaklingur, hópur eða ríki sem gæti reynt að brjóta kerfi; í opinbera geiranum spanna þeir frá fjárhagslega hvöttum glæpahópum til ríkisstyrktra aðila sem sækjast eftir njósnum eða röskun, og sama stofnunin getur staðið frammi fyrir báðum samtímis með mjög ólík markmið. Gíslatökuhugbúnaður er illgjarn hugbúnaður sem dulkóðar gögn eða kerfi skipulagsheildar og krefst greiðslu fyrir losun þeirra; hann er orðinn ráðandi ógn við opinbera aðila einmitt því nauðsynleg þjónusta þolir ekki langvarandi niðurtíma, sem eykur þrýstinginn til að greiða. Veiðipóstur (phishing) er form félagsverkfræði þar sem árásaraðilar blekkja starfsfólk til að afhjúpa aðgangsupplýsingar eða setja upp spilliforrit, yfirleitt gegnum villandi tölvupóst, og er áfram algengasta leiðin sem árásaraðili fær fyrst fótfestu, því hann beinist að fólki frekar en tækni.

Gagnaleki (data breach) er óheimilaður aðgangur að upplýsingum, birting þeirra eða tap, hvort sem er gegnum ytri árás, innanhússmann eða einfalda mannlega villu eins og ranglega stillt gagnasafn skilið opið á netinu. Aðfangakeðjuárás (supply chain attack) brýtur skipulagsheild óbeint, með því að beinast að minna öruggum birgi, hugbúnaðarsala eða rekstrarþjónustuaðila sem markskipulagsheildin treystir; þær eru sérstaklega hættulegar fyrir opinbera geirann því svo margir opinberir aðilar deila sömu handfylli hugbúnaðarsala, sem þýðir að ein söluaðilabrot geta runnið í hundruð stofnana samtímis.

Netheilsuvenjur (cyber hygiene) eru mengi venjubundinna starfsvenja – að lagfæra hugbúnað fljótt, framfylgja sterkri auðkenningu, takmarka hver hefur aðgang að hverju, taka afrit af gögnum og prófa endurheimt þeirra afrita – sem koma í veg fyrir stóran meirihluta árangursríkra árása án þess að krefjast framandi tóla. Flest brot nýta þekkta, ólagfærða veikleika eða veik aðgangsorð frekar en nýstárlega tækni, svo bilið milli raunverulegra netheilsuvenja skipulagsheildar og yfirlýstrar stefnu hennar er yfirleitt betri spá um áhættu hennar en fágun ógnanna sem hún nefnir í áhættuskrá sinni.

Núlltraustsarkitektúr (zero trust architecture) er öryggishönnunarregla sem heldur því fram að engum notanda eða tæki ætti að treysta sjálfgefið, jafnvel innan eigin nets skipulagsheildar, og að sérhver beiðni um aðgang verði að vera staðfest óháð því hvaðan hún kemur. Hún hefur orðið áhrifamikil í opinberum leiðbeiningum því hún passar betur hvernig nútímaleg ríkisstörf gerast í raun – starfsfólk, verktakar og borgarar sem nálgast þjónustu frá mörgum tækjum og stöðum – en eldra líkan sem treysti öllu sem var þegar innan jaðarsins.

Atvikastjórnun öryggismála, yfirleitt kölluð atvikaviðbrögð, er skipulagða ferlið að greina, innihalda, útrýma og endurheimta eftir öryggisatvik, fylgt eftir af yfirferð á hvað leyfði því að gerast. Birtingarskylda er lagaleg eða reglugerðarleg skylda að tilkynna fólki sem verður fyrir áhrifum, eftirlitsaðilum eða almenningi þegar persónuupplýsingar eða mikilvæg þjónusta hefur verið í hættu, innan tilgreinds tíma og að tilteknum staðli, á þeirri rökfræði að borgarar og eftirlitsstofnanir eigi rétt á að vita þegar gögn þeirra eða nauðsynleg þjónusta hefur verið sett í hættu, og að tímanleg birting leyfir fólki að verja sig.

Bestu starfsvenjur

1. Líttu á netöryggi sem ábyrgð stjórnarháttavettvangs, ekki framselda tæknilega starfsemi. Stjórnir, ráð og framkvæmdateymi ættu að fá reglulegar, einfaldar kynningar um netáhættu og samþykkja fjárlög fyrir hana beint, frekar en að skilja hana eftir til að vera samið um innan víðari upplýsingatæknilínu þar sem hún er auðveldast að skera.
2. Birgðaskráðu það sem þú heldur á og hvað veltur á því áður en þú ákveður hvernig á að vernda það. Skipulagsheild getur ekki varið gögn eða kerfi sem hún hefur ekki kortlagt; núgildandi eigna- og gagnabirgðaskrá, víxlvísuð gegn samvirkni- og gagnastjórnarháttavinnunni sem fjallað er um annars staðar (sjá Viðfangsefni 5.4 — Gögn hins opinbera, samvirkni og opin gögn), er forsenda sérhverrar annarrar starfsvenju á þessum lista.
3. Beittu grunnatriðunum alls staðar áður en þú eyðir í nokkuð háþróað. Lagfæringastjórnun, fjölþátta auðkenning, prófuð afrit og lágmarksréttindaaðgangsstýring stöðva yfirgnæfandi meirihluta raunheimaárása; opinber aðili án þessa á ekki að forgangsraða ógnargreindaráskriftum eða sérsmíðuðum vöktunartólum.
4. Taktu upp viðurkenndan ramma frekar en að finna upp sérsmíðaðan. Rammar eins og Cybersecurity Framework bandarísku staðla- og tæknistofnunarinnar (NIST) gefa sameiginlegan orðaforða og byggingu – greina, vernda, uppgötva, bregðast við, endurheimta – sem lítil skipulagsheild getur tekið upp í einfaldaðri mynd og stór í heild, án þess að finna upp grunnflokkun á ný.
5. Sameinaðu auðlindir yfir smáar skipulagsheildir frekar en að hver kaupi ein. Sameiginleg öryggisrekstrarþjónusta, svæðisbundin netatvikaviðbragðslaug eða geirabundinn innkaupaarammi getur gefið hópi lítilla sveitarfélaga eða félagasamtaka vernd sem engin þeirra hefði efni á ein og sér – beinasta svarið við vanfjármögnunarvandanum sem þetta viðfangsefni snýst um.
6. Skrifaðu atvikaviðbragðsáætlunina fyrir atvikið, og æfðu hana. Áætlun samin í fyrsta sinn meðan á lifandi árás stendur er illa samin áætlun, undir skelfingu, af fólki sem hefur aldrei prófað hvort hún virkar í raun; áætlun æfð að minnsta kosti árlega breytir óreiðukenndri fyrstu klukkustund í æfða röð þekktra skrefa (sjá Viðfangsefni 3.12 — Krísu-, neyðar- og seiglustjórnun fyrir víðari agann sem þetta sækir í).
7. Ákveddu birtingar- og greiðslustefnuna fyrirfram, ekki meðan á atviki stendur. Hvort skipulagsheildin mun íhuga að greiða lausnargjald, hver hefur vald til að taka þá ákvörðun og hvernig og hvenær fólki sem verður fyrir áhrifum verður sagt frá ætti að vera stefna samþykkt af stjórn, ekki spunnin ákvörðun tekin undir þrýstingi lifandi fjárkúgunarkröfu.
8. Skiptu netum í hluta svo ein árás verði ekki sérhver árás. Að halda rekstrartækni sem stýrir eðlisfræðilegum innviðum aðskildri frá almennum skrifstofuupplýsingatækni, og að aðgreina mjög viðkvæm kerfi frá lægri viðkvæmni, takmarkar hversu langt innbrotsmaður sem kemst inn gegnum einn veikan punkt getur ferðast.
9. Stýrðu áhættu þriðja aðila og aðfangakeðju jafn strangt og innri áhættu. Krefstu öryggistrygginga, endurskoðunarréttar-ákvæða og atvikatilkynningarskylda í samningum við hugbúnaðarsala og rekstrarþjónustuaðila, þar sem vaxandi hluti stórra opinberra atvika á uppruna hjá traustum birgi frekar en beinni árás.
10. Fjárfestu í fólki, ekki aðeins tólum. Regluleg, raunsæ þjálfun – þar á meðal hermdar veiðipóstsæfingar – dregur mælanlega úr árangursríkum félagsverkfræðiárásum, og að halda jafnvel einum eða tveimur hæfum öryggisstarfsmönnum í lítilli skipulagsheild er yfirleitt meira virði en jafngild eyðsla í viðbótarhugbúnaðarleyfi.
11. Greindu frá atvikum heiðarlega og notaðu næstum-slys sem ókeypis lærdóma. Menning sem refsar starfsfólki fyrir að tilkynna grun um brot tryggir að það næsta sé tilkynnt seint eða alls ekki; skipulagsheildirnar sem bæta sig hraðast eru þær sem meðhöndla hvert næstum-slys sem sönnunargögn til að læra af frekar en ástæðu til að úthluta sök.
12. Byggðu netseiglu inn í innkaup og styrkskilyrði, ekki bara innri stefnu. Fjármögnunaraðilar og þjónustukaupastofnanir geta krafist grunnstigs öryggisstarfsvenju af skipulagsheildunum sem þær fjármagna eða semja við, og útvíkkað umfang góðrar starfsvenju til smærri afhendingarsamstarfsaðila sem hefðu annars engan ytri þrýsting til að fjárfesta í henni (sjá Viðfangsefni 3.7 — Opinber innkaup og þjónustukaup).

Spurningar til að ræða með teyminu

Vitum við hvaða gögn og kerfi við höldum í raun, og hver þeirra myndu skaða einhvern ef í hættu? Margar skipulagsheildir uppgötva raunverulegt umfang gagnaeignar sinnar aðeins meðan á brotarannsókn stendur, sem er versta mögulega tíminn til að læra það. Gangið í gegnum helstu þjónustur ykkar og spyrjið, fyrir hverja, hvaða persónulegu eða rekstrarlega viðkvæmu gögn hún snertir og hvað myndi gerast fyrir raunverulega manneskju ef þau gögn væru stolin, breytt eða gerð óaðgengileg. Ef heiðarlega svarið er „við erum ekki viss“ er sú óvissa sjálf niðurstaðan, og að loka henni er fyrsti liður á dagskrá ykkar. Þessi spurning skiptir mestu máli fyrir skipulagsheildir sem hafa vaxið með yfirtöku, sameiningu eða uppsafnaðri arfleifðarkerfum, þar sem stofnanaminni um hvað er til hefur þynnst.

Ef við yrðum fyrir gíslatökuhugbúnaði á morgun, gætum við endurheimt úr afriti án þess að greiða? Virði afrits er ekki að það sé til heldur að það hafi verið prófað til að endurheimta í raun, nógu fljótt, úr útgáfu nógu nýlegri til að skipta máli. Spyrjið hvenær afrit voru síðast prófuð með raunverulegri endurheimtaræfingu, ekki bara lokunarskrá, og hversu lengi full endurheimt myndi taka gegn hversu lengi skipulagsheild ykkar þolir niðurtíma. Ef þessar tölur passa ekki saman hafið þið fjárlagaákvörðun að taka núna, ekki meðan á atviki stendur. Þetta er líka augnablikið til að ræða hvort afritin sjálf séu einangruð frá netinu sem árásaraðili sem nær til aðalkerfa ykkar gæti líka náð.

Hver hefur vald til að ákveða hvort við greiðum lausnargjald, og höfum við nokkurn tímann rætt það áður en við vorum spurð? Þetta er ein af hæst hagsmuna ákvörðunum sem framkvæmdateymi getur staðið frammi fyrir, oft krafist innan klukkustunda og með ófullkomnar upplýsingar um hvað árásaraðilinn hefur í raun. Að ákveða ferlið, valdhafana og meginreglurnar fyrirfram – jafnvel þótt lokaákvörðunin velti enn á sértækum atriðum atviksins – kemur í veg fyrir spunna ákvörðun tekna undir fjárkúgunarþrýstingi. Ræðið hvað lög lögsagnarumdæmis ykkar og skilyrði fjármögnunaraðila ykkar segja um lausnargjaldsgreiðslu, og hverjum þið þyrftuð að tilkynna.

Eru smæstu samstarfsaðilar okkar og birgjar meiri áhætta fyrir okkur en við erum okkur sjálfum? Vel varin miðlæg skipulagsheild getur samt verið í hættu gegnum illa varinn birgi, verktaka eða afhendingarsamstarfsaðila með lögmætan aðgang að kerfum hennar eða gögnum. Kortleggið þriðju aðila sem geta náð til kerfa ykkar eða halda gögnum ykkar, og verið heiðarleg um hversu mikla tryggingu þið hafið í raun yfir öryggisvenjum þeirra á móti hversu mikla tryggingu þið gerið ráð fyrir að þið hafið. Ákveðið hvaða lágmarksstaðal þið munuð krefjast af þeim héðan í frá, og hvernig þið munuð sannreyna hann frekar en að biðja einfaldlega um skriflega tryggingu.

Myndum við vita að við hefðum verið brotin, og hversu fljótt? Sum skaðlegustu atvikin eru ekki þau sem gerast hratt heldur þau sem fara ógreind mánuðum saman, en á meðan hefur árásaraðili hljóðlega kannað, stigmagnað réttindi og dregið út gögn. Ræðið hvernig þið myndum í raun greina óvenjulega virkni í dag, hver er að fylgjast með og hvort sú vöktun keyrir utan skrifstofutíma, þar sem margar árásir eru vísvitandi settar af stað að nóttu eða yfir frídagahelgi þegar viðbragð er hægast. Ef greining veltur alfarið á að borgari eða samstarfsskipulagsheild segi ykkur að eitthvað sé rangt er það mikilvægt bil.

Skilur stjórn okkar eða stjórnarháttavettvangur þessa áhættu nógu vel til að stýra henni, eða höfum við hljóðlega útvistað þeirri dómgreind til upplýsingatækniteymisins? Netáhættuákvarðanir fela í sér raunverulegar málamiðlanir milli kostnaðar, þjónustusamfellu og verndar borgara sem eru réttilega mál stjórnarháttavettvangsins, ekki framselt tæknilegt mál til að kinka yfir. Ræðið hvernig netáhætta er nú greint frá til stjórnar eða ráðs ykkar, hvort það er á máli sem sérfræðingur utan sviðsins getur brugðist við og hvort fjárlögin fyrir hana eru ákveðin af sömu nákvæmni og hver önnur stór áhætta. Ef stjórnarháttavettvangur ykkar gæti ekki nú útskýrt þrjár helstu netáhættur skipulagsheildar ykkar með eigin orðum er það bilið til að loka fyrst.

Í reynd: dæmi um almannavirði

Miðlungsstórt svæðisbundið almenningssamgönguyfirvald – skáldað, lýsandi fyrir mynstur en ekki skýrsla um neina raunverulega skipulagsheild – rak öldrandi áætlunar- og greiðslukerfi sem höfðu verið lagfærð í bútum í áratug frekar en nútímavædd. Upplýsingatækniteymi þess var þrír einstaklingar, ábyrgir fyrir öllu frá þjónustuborðsbeiðnum til netöryggis, og netöryggi hafði aldrei haft eigin línu í fjárlögum; það lifði innan almennrar „kerfisviðhalds“ úthlutunar sem hafði ekki vaxið að raungildi árum saman.

Árásaraðili komst inn gegnum veiðipóst sendan fjármálafulltrúa, sem notaði falsaðan reikning frá birgi sem yfirvaldið notaði í raun. Þegar inn var kominn eyddi árásaraðilinn sex vikum hljóðlega í að færa sig um netið áður en hann setti upp gíslatökuhugbúnað sem dulkóðaði áætlunarkerfið, fargjaldagreiðsluvettvanginn og afrit yfirvaldsins, sem höfðu aldrei verið einangruð frá aðalnetinu. Strætisvagnar héldu áfram að ganga á minni ökumanna af leiðum sínum fyrsta daginn, en ekki var hægt að innheimta fargjöld rafrænt, rauntímaupplýsingaskjáir fóru dökkir og fjármálakerfi yfirvaldsins voru ónothæf fyrir launavinnslu.

Framkvæmdateymið stóð frammi fyrir lausnargjaldsákvörðuninni án fyrirfram samþykktrar stefnu: enginn hafði ákveðið fyrirfram hver hefði vald til að samþykkja greiðslu, hver lagastaðan var eða hvað þeir myndu segja farþegum. Endurheimt úr afriti var ekki valkostur, því afritin voru dulkóðuð ásamt öllu öðru. Eftir níu daga röskun, að hluta endurheimta þjónustu og greiðslu sem stjórn yfirvaldsins lýsti síðar sem minnst slæmum valkosti sem var í boði á þeim tíma, pantaði yfirvaldið óháða yfirferð.

Niðurstöður yfirferðarinnar voru óglæsilegar og algerlega í samræmi við mynstrið sem þetta viðfangsefni lýsir: engin fjölþátta auðkenning á fjármálakerfum, engin netskipting milli skrifstofukerfa og greiðsluinnviða, engin prófuð afritaendurheimt í yfir tvö ár og engin sýn á stjórnarstigi á netáhættu yfirleitt fyrir atvikið. Viðbrögð yfirvaldsins voru jafn óglæsileg – áfangaskipt áætlun til að laga grunnatriðin, sameiginlegt öryggisvöktunarfyrirkomulag með tveimur nágrannasamgönguyfirvöldum til að skipta kostnaði sérhæfðrar þekju sem ekkert þeirra gat greitt eitt, og fastur dagskrárliður stjórnar um netáhættu. Ekkert af því var dýrt miðað við staðla stórs upplýsingatækniverkefnis; allt hafði verið sleppt árum saman því það hafði aldrei verið skýrt úthlutað verk neins að krefjast þess.

Fjögur geirasjónarhorn

Sveitarfélög

Sveitarfélög sitja á óþægilegu skurðpunkti: þau halda á mjög viðkvæmum gögnum – félagsþjónustuskrám, húsnæðis- og bótaupplýsingum, kjörskrám – og reka þjónustu sem borgarar geta ekki auðveldlega verið án, en hafa yfirleitt minnstu öryggisfjárlög og minnst sérhæft starfsfólk af nokkru stjórnsýslustigi. Stórt landsráðuneyti getur byggt öryggisaðgerðamiðstöð innanhúss; lítið umdæmisráð getur það yfirleitt ekki, sem gerir sameiginlega þjónustu, svæðisbundna sameiningu og landsbundnar stuðningsáætlanir að hagnýtri leið til fullnægjandi verndar frekar en valkvæðri viðbót. Kjörnir fulltrúar á staðbundnu stigi eru líka oft verst búnir, af nokkru stjórnsýslustigi, til að spyrja um tæknilega áhættukynningu, sem gerir skýrslugjöf á einföldu máli til kjörinna fulltrúa að aðgreindri stjórnarháttaáskorun á þessu stigi.

Ríkisvald

Landsstjórnir hafa almennt auðlindirnar til að byggja sérstakar netöryggisstofnanir og landsramma – aðilar eins og National Cyber Security Centre í Bretlandi eða Cybersecurity and Infrastructure Security Agency í Bandaríkjunum eru til til að setja staðla, samhæfa viðbrögð og styðja minna auðlindaríka opinbera aðila innan lögsagnarumdæmis þeirra. Sérstaka landsstigsáskorunin snýst minna um grunnnetheilsuvenjur og meira um ríkisstyrkta og mjög færa ógnaraðila, innbyrðis ósjálfstæði mikilvægra landsinnviða yfir geira og einkarekendur og diplómatísku og lagalegu víddir eignunar og viðbragðs, sem koma sjaldan fyrir á staðbundnu eða skipulagsheildarstigi.

Félagageirinn og félagasamtök

Félagasamtök og frjáls félagasamtök halda oft á sumum viðkvæmustu gögnum nokkurs geira – heilbrigðisskrám, skrám um þolendur ofbeldis eða ofsókna, flóttamanna- og hælismálum – á meðan þau starfa á þynnstu öryggisfjárlögum nokkurrar skipulagsheildagerðar í þessari bók, því fjármögnunaraðilar eyrnamerkja sjaldan fé fyrir öryggi og styrkskilyrði krefjast þess sjaldan. Margar skipulagsheildir í félagageiranum treysta líka á sjálfboðaliða og háa starfsmannaveltu, sem gerir samræmda öryggisþjálfun og aðgangsstýringu erfiðari að viðhalda en í stöðugri, faglega mannaðri skipulagsheild; öryggisatvik getur verið tilvistarlegt fyrir lítið góðgerðarfélag á þann hátt sem það er sjaldan fyrir ríkisdeild, því orðsporsskaði og tap á trausti gefenda getur endað skipulagsheildina alfarið (sjá Viðfangsefni 3.8 — Stjórnun félagageirans og félagasamtaka).

Fjölþjóðlegt og alþjóðlegt

Fjölþjóðlegar og alþjóðlegar stofnanir starfa yfir lögsagnarumdæmi með ólík birtingarlög, ólíkar skilgreiningar á mikilvægum innviðum og ólík stig landsnetgetu, sem gerir samhæfingu sjálfa að aðgreindu vandamáli: eigin kerfi alþjóðlegrar stofnunar geta verið vel varin á meðan aðildarlandastofnanir hennar eru gífurlega misjafnar, og aðili eins og Efnahags- og framfarastofnunin eða Netöryggisstofnun Evrópusambandsins (ENISA) gegnir jafn miklu staðlasetningar- og getuuppbyggingarhlutverki og rekstrarlegu. Fjölþjóðlega sjónarhornið er líka þar sem yfirlandamæra atvikaviðbrögð og upplýsingamiðlunarfyrirkomulag skiptir mestu máli, þar sem árás sem byrjar í innviðum eins lands getur runnið í annars innan klukkustunda, hraðar en flestir alþjóðlegir samhæfingarmekanismar eru byggðir til að hreyfast.

Algeng mistök

Öryggisleikhús án rekstrarlegs innihalds. Skipulagsheild tekur upp áhrifamikið stefnuskjal, fylgnivottorð eða eitt dýrt tól og lítur á reitinn sem merktan, á meðan grunnnetheilsuvenjur – lagfæringar, fjölþátta auðkenning, prófuð afrit – eru enn ósamræmdar. Þetta kostar raunverulegt fé fyrir útlit öryggis frekar en öryggið sjálft, og er oft uppgötvað aðeins að hafa verið leikhús eftir að atvik afhjúpar bilið milli stefnu og framkvæmdar.

Áhættan sem enginn á. Netöryggi er gengið út frá að sé verk einhvers annars – upplýsingatækniteymisins, söluaðila, eftirlitsaðila – og enginn einn ábyrgur eigandi er til á stjórnarháttastigi. Þetta framleiðir áhættu sem er rædd alls staðar og ákveðin hvergi, og er einmitt mynstrið sem skilur skipulagsheildir eftir ófærar um að svara grundvallarspurningum um eigin berskjöldun þegar spurðar.

Vanfjárfesting réttlætt með fjarveru fyrra atviks. Þar sem vel rekin öryggisáætlun framleiðir engan sýnilegan atburð þegar hún heppnast er auðvelt að afnema fjármögnun hennar í þröngri fjárlagalotu í þágu einhvers með sýnilegt úttak, og fjarvera brots hingað til er tekin fyrir sönnun fullnægjandi verndar frekar en sönnun sem hefur ekki enn verið prófuð. Þetta endurspeglar sömu fjárlagarökfræði og grefur undan seiglufjárfestingu almennt (sjá Viðfangsefni 3.12 — Krísu-, neyðar- og seiglustjórnun).

Arfleifðarkerfi látin ganga umfram studdan líftíma. Opinberir aðilar reka oft hugbúnað eða vélbúnað löngu eftir að söluaðili hefur hætt að gefa út öryggislagfæringar fyrir hann, því útskipti eru dýr, truflandi eða pólitískt óvinsæl, og kerfið „virkar enn“. Ólagfært, óstutt kerfi er ekki arfleifðaróþægindi; það er opnar dyr sem kosta árásaraðila ekkert að ganga í gegnum.

Sökdrifin atvikamenning. Þegar starfsfólk sem tilkynnir grun um brot eða mistök er agað frekar en stutt, eru framtíðaratvik tilkynnt seint, lágmörkuð eða alls ekki tilkynnt, og skipulagsheildin glatar snemmviðvörunarmerkinu sem tímanleg tilkynning veitir. Þessi bilunarháttur margfaldar sérhvern annan á þessum lista, því engin lagfæringanna hér að ofan virka ef skipulagsheildin getur ekki séð eigin vandamál heiðarlega.

Þroskalíkan

Gátlisti

• Nefndur einstaklingur eða nefnd á stjórnarháttastigi á netáhættu og greinir frá henni reglulega, á einföldu máli.
• Núgildandi birgðaskrá er til yfir hvaða gögn og kerfi skipulagsheildin heldur, og hver eru viðkvæmust eða mikilvægust fyrir þjónustu.
• Fjölþátta auðkenning er framfylgt á öllum kerfum sem halda viðkvæmum gögnum eða stýra mikilvægri þjónustu.
• Afrit eru tekin reglulega, geymd einangruð frá aðalnetinu og endurheimt hefur verið prófuð síðustu tólf mánuði.
• Hugbúnaður og kerfi eru lagfærð á skilgreindri áætlun, og hvert kerfi sem ekki er lengur hægt að lagfæra hefur skjalfesta áætlun um að skipta út eða einangra.
• Skrifuð atvikaviðbragðsáætlun er til, nefnir hver hefur vald til lykilákvarðana og hefur verið æfð gegnum raunsæja æfingu síðasta ár.
• Stefna samþykkt af stjórn er til um lausnargjaldsgreiðslu og um hvernig og hvenær fólk sem verður fyrir áhrifum, eftirlitsaðilar og almenningur verður upplýst.
• Samningar við hugbúnaðarsala og rekstrarþjónustuaðila fela í sér öryggistryggingar og atvikatilkynningarskyldur.
• Starfsfólk fær reglulega, raunsæja öryggisþjálfun, þar á meðal hermdar veiðipóstsæfingar.
• Að tilkynna grun um atvik eða næstum-slys er meðhöndlað sem verðmætar upplýsingar, ekki grundvöllur sakar.
• Sameiginlegt eða sameinað öryggisfyrirkomulag hefur verið kannað með jafningjaskipulagsheildum af svipaðri stærð og fjárlögum.
• Netáhætta kemur skýrt fram í víðari krísu- og seigluáætlanagerð skipulagsheildarinnar, ekki sem aðskilin, ótengd áætlun.

Helstu heimildir

Þetta viðfangsefni sækir í Cybersecurity Framework bandarísku staðla- og tæknistofnunarinnar (NIST) sem leiðandi skipulagðan ramma til að skipuleggja netöryggisstarfsvenju; birt hlutverk og leiðbeiningar Netöryggisstofnunar Evrópusambandsins um að ná sameiginlegu netöryggisstigi yfir Evrópusambandið; starf Efnahags- og framfarastofnunarinnar um stafrænt öryggi, sem rammar stafrænt öryggi sem efnahagslega og félagslega áhættustýringarspurningu frekar en hreint tæknilega; og rekstrarleiðbeiningar útgefnar af landsnetöryggisstofnunum eins og National Cyber Security Centre í Bretlandi og Cybersecurity and Infrastructure Security Agency í Bandaríkjunum, sem veita báðar ókeypis leiðbeiningar sérstaklega ætlaðar vanfjármögnuðum opinberum aðilum.

Tilvísanir

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Centre (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about