Cybersäkerhet och teknikrisker i offentlig sektor

Varför detta är viktigt för offentligt värde

När en sjukhusmiljös system krypteras av en angripare kan kliniker inte se läkemedelshistorik, ambulanser omdirigeras och operationer ställs in. När ett vattenverks styrsystem komprometteras är det offentliga värde som står på spel inte ett serveravbrott utan dricksvattnets säkerhet. När en förmånsmyndighets databas utsätts för intrång är de som är mest utsatta ofta de som har sämst förutsättningar att bära följderna: en försenad utbetalning, en stulen identitet, en familj som inte kan bevisa vilka de är för den stat som är skyldig dem stöd. Datasäkerhet, vanligen kallad cybersäkerhet, är praxis att skydda datorsystem, nätverk och data från obehörig åtkomst, störning eller skada. I offentliga institutioner ligger den praxisen direkt på vägen mellan staten och den medborgare den tjänar.

Det är skälet till att ämnet ramar in cyberrisk som en fråga om offentligt värde, inte bara en teknisk. Legitimitet och stöd beror på att medborgare tror att de institutioner som förvarar deras data och driver deras väsentliga tjänster kan litas på att hålla båda säkra (se Ämne 1.2 — Den strategiska triangeln: legitimitet, värde och kapacitet). Ett enda väl uppmärksammat intrång kan göra bestående skada på det förtroendet, på samma sätt som en misskött nödsituation, eftersom medborgare bedömer institutioner efter hur de uppför sig under angrepp lika mycket som efter hur de presterar dag för dag (se Ämne 3.12 — Krishantering, beredskap och resiliens, som behandlar cyberincidenter som en kategori inom den bredare disciplinen resiliens). Cybersäkerhet är också oskiljbar från datastyrning: en institution kan inte skydda det den inte vet att den förvarar, och den interoperabilitet och öppenhet som skapar offentligt värde av data vidgar också den yta en angripare kan utnyttja (se Ämne 5.4 — Data, interoperabilitet och öppna data i offentlig sektor).

Resursproblemet är akut och specifikt för offentlig och social sektor. Stora nationella myndigheter har alltmer särskilda säkerhetsteam och företagsbudgetar; vattenbolaget som betjänar en liten stad, det regionala sjukhusbolaget och den lokala ideella organisation som driver ett skyddat boende för våldsutsatta har typiskt inte det, trots att de förvarar data vars känslighet konkurrerar med eller överstiger vilken banks som helst. Angripare vet detta. Underresurssatta offentliga organ är inget gränsfall i det här ämnet; de ligger nära dess centrum, eftersom det mediana offentliga organ som står inför den här risken i dag inte är ett nationellt ministerium utan en liten kommun, ett regionalt verk eller en välgörenhetsorganisation med en handfull it-anställda och ingen säkerhetsspecialist alls.

Slutligen är detta ett levande och förvärrat problem, inte ett hypotetiskt. Utpressningsvirus (ransomware) riktas alltmer mot kommuner, sjukhus, skolor och organisationer i social sektor just därför att de kombinerar känsliga data, väsentliga tjänster, låg tolerans för driftstopp och jämförelsevis svagt försvar – en kombination som gör dem mer benägna att betala och mindre benägna att ha förhindrat angreppet från första början. Att behandla cybersäkerhet som ett specialisttillägg snarare än ett åtagande om offentligt värde på styrningsnivå är, för den här klassen av organisationer, nära en inbjudan.

Grundläggande begrepp

Kritisk infrastruktur är den uppsättning system och tillgångar – energi, vatten, transport, hälso- och sjukvård, finans, kommunikation – som är så väsentliga att deras oförmåga eller förstörelse skulle ha en försvagande effekt på säkerhet, ekonomi eller allmänhetens förtroende. Skydd av kritisk infrastruktur är disciplinen att säkra dessa system mot både fysiska och digitala hot; det spelar roll här eftersom många av de mest följdtunga cyberincidenterna i offentlig sektor inte är angrepp på abstrakta data utan angrepp på den driftteknik (operational technology) som håller fysisk infrastruktur igång, skild från den informationsteknik som håller register och bearbetar transaktioner.

En hotaktör (threat actor) är varje individ, grupp eller stat som kan försöka kompromettera ett system; i offentlig sektor sträcker de sig från ekonomiskt motiverade kriminella grupper till statsstödda aktörer som bedriver spionage eller störning, och samma institution kan möta båda samtidigt med mycket olika mål. Utpressningsvirus (ransomware) är skadlig programvara som krypterar en organisations data eller system och kräver betalning för att de ska frisläppas; det har blivit det dominerande hotet mot offentliga organ just därför att väsentliga tjänster inte tål långvariga driftstopp, vilket ökar trycket att betala. Nätfiske (phishing) är en form av social manipulation där angripare lurar personal att avslöja inloggningsuppgifter eller installera skadlig programvara, typiskt genom vilseledande e-post, och förblir det vanligaste sättet på vilket en angripare först får fotfäste, eftersom det riktar sig mot människor snarare än teknik.

Ett dataintrång är obehörig åtkomst till, utlämnande av eller förlust av information, vare sig genom ett externt angrepp, en insider eller enkelt mänskligt fel såsom en felkonfigurerad databas lämnad öppen mot internet. Ett leveranskedjeangrepp komprometterar en organisation indirekt, genom att rikta sig mot en mindre säker leverantör, programvaruleverantör eller förvaltad tjänsteleverantör som målorganisationen litar på; dessa är särskilt farliga för offentlig sektor eftersom så många offentliga organ delar samma handfull programvaruleverantörer, vilket innebär att en enda leverantörskomprometterande kan kaskadera till hundratals institutioner samtidigt.

Cyberhygien är den uppsättning rutinmässiga åtgärder – att uppdatera programvara skyndsamt, kräva stark autentisering, begränsa vem som har tillgång till vad, säkerhetskopiera data och pröva återläsningen av dessa kopior – som förhindrar den stora majoriteten av framgångsrika angrepp utan att kräva exotiska verktyg. De flesta intrång utnyttjar kända, ej åtgärdade sårbarheter eller svaga inloggningsuppgifter snarare än nya tekniker, så glappet mellan en organisations faktiska cyberhygien och dess uttalade policy är vanligen en bättre förutsägare av dess risk än sofistikeringen hos de hot den nämner i sitt riskregister.

Zero trust-arkitektur är en säkerhetsdesignprincip som hävdar att ingen användare eller enhet ska litas på som standard, inte ens inuti en organisations eget nätverk, och att varje begäran om åtkomst måste verifieras oavsett varifrån den kommer. Den har blivit inflytelserik i vägledning för offentlig sektor eftersom den passar hur modernt statligt arbete faktiskt sker – personal, konsulter och medborgare som når tjänster från många enheter och platser – bättre än en äldre modell som litade på allt som redan fanns innanför perimetern.

Hantering av it-säkerhetsincidenter, vanligen kallad incidenthantering, är den organiserade processen att upptäcka, begränsa, eliminera och återhämta sig från en säkerhetsincident, följd av en genomgång av vad som möjliggjorde den. En anmälningsskyldighet är en rättslig eller regulatorisk plikt att underrätta berörda individer, tillsynsmyndigheter eller allmänheten när personuppgifter eller kritiska tjänster har komprometterats, inom en angiven tid och till en angiven standard, med logiken att medborgare och tillsynsorgan har rätt att veta när deras data eller väsentliga tjänster har satts i fara, och att snabb anmälan låter människor skydda sig själva.

Bästa praxis

1. Behandla cybersäkerhet som ett ansvar för det styrande organet, inte en delegerad teknisk funktion. Styrelser, fullmäktige och ledningsgrupper bör regelbundet få briefingar om cyberrisk på klarspråk och direkt godkänna budgeten för den, i stället för att lämna den att förhandlas inom en bredare it-budgetpost där den är det lättaste att skära ned.
2. Inventera vad ni förvarar och vad som är beroende av det innan ni bestämmer hur det ska skyddas. En organisation kan inte säkra data eller system den inte har kartlagt; en aktuell inventering av tillgångar och data, korsrefererad mot det arbete med interoperabilitet och datastyrning som behandlas på annat håll (se Ämne 5.4 — Data, interoperabilitet och öppna data i offentlig sektor), är förutsättningen för varje annan praxis på den här listan.
3. Tillämpa grunderna överallt innan ni lägger pengar på något avancerat. Patchhantering, multifaktorautentisering, prövade säkerhetskopior och åtkomstkontroll med minsta möjliga behörighet stoppar den överväldigande majoriteten av verkliga angrepp; ett offentligt organ utan dessa på plats bör inte prioritera prenumerationer på hotunderrättelser eller skräddarsydda övervakningsverktyg.
4. Anta ett erkänt ramverk i stället för att uppfinna ett eget. Ramverk såsom National Institute of Standards and Technologys Cybersecurity Framework ger ett gemensamt ordförråd och en struktur – identifiera, skydda, upptäcka, agera, återhämta – som en liten organisation kan anta i förenklad form och en stor i sin helhet, utan att uppfinna grundläggande taxonomi på nytt.
5. Slå ihop resurser över små organisationer i stället för att var och en köper för sig. En delad säkerhetsdriftstjänst, en regional pool för cyberincidentrespons eller ett sektorsövergripande upphandlingsramverk kan ge en grupp små kommuner eller ideella organisationer ett skydd som ingen av dem hade råd med individuellt – det enskilt mest direkta svaret på det underresursproblem detta ämne har i centrum.
6. Skriv incidentresponsplanen före incidenten, och öva den. En plan som utarbetas första gången under ett pågående angrepp är en plan som utarbetas dåligt, under panik, av människor som aldrig har prövat om den faktiskt fungerar; en plan som övas minst årligen förvandlar en kaotisk första timme till en övad sekvens av kända steg (se Ämne 3.12 — Krishantering, beredskap och resiliens för den bredare disciplin detta bygger på).
7. Besluta policyn för anmälan och betalning i förväg, inte under incidenten. Om organisationen kommer att överväga att betala en lösensumma, vem som har befogenhet att fatta det beslutet och hur och när berörda ska underrättas bör vara styrelsegodkänd policy, inte ett improviserat beslut fattat under trycket av ett pågående utpressningskrav.
8. Segmentera nätverk så att en komprometterad del inte blir alla komprometterade. Att hålla driftteknik som styr fysisk infrastruktur åtskild från allmän kontors-it, och separera högkänsliga system från mindre känsliga, begränsar hur långt en inkräktare som kommer in genom en svag punkt kan ta sig.
9. Hantera risk hos tredje part och i leveranskedjan lika rigoröst som intern risk. Kräv säkerhetsgarantier, revisionsrätt och incidentanmälningsskyldigheter i avtal med programvaruleverantörer och förvaltade tjänsteleverantörer, eftersom en växande andel av större incidenter i offentlig sektor har sitt ursprung hos en betrodd leverantör snarare än i ett direkt angrepp.
10. Investera i människor, inte bara verktyg. Regelbunden, realistisk utbildning – inklusive simulerade nätfiskeövningar – minskar mätbart framgångsrika angrepp med social manipulation, och att behålla en eller två skickliga säkerhetsmedarbetare i en liten organisation är vanligen värt mer än motsvarande utgift för ytterligare programvarulicenser.
11. Rapportera incidenter ärligt och använd nästan-olyckor som gratis lärdomar. En kultur som straffar personal för att rapportera ett misstänkt intrång garanterar att nästa rapporteras sent eller inte alls; de organisationer som förbättras snabbast är de som behandlar varje nästan-olycka som evidens att lära av snarare än en anledning att utse någon skyldig.
12. Bygg in cyberresiliens i upphandlings- och bidragsvillkor, inte bara intern policy. Finansiärer och beställare kan kräva en grundnivå av säkerhetspraxis från de organisationer de finansierar eller upphandlar, och därmed utsträcka räckvidden av god praxis till mindre leveranspartner som annars inte skulle ha något externt tryck att investera i den (se Ämne 3.7 — Offentlig upphandling och beställning).

Frågor att diskutera med ditt team

Vet vi vilka data och system vi faktiskt förvarar, och vilka av dem som skulle skada någon om de komprometterades? Många organisationer upptäcker den verkliga omfattningen av sina databestånd först under en intrångsutredning, vilket är det sämsta tänkbara tillfället att få veta det. Gå igenom era större tjänster och fråga, för var och en, vilka personuppgifter eller operativt känsliga data den berör och vad som skulle hända en verklig person om de data stals, ändrades eller gjordes otillgängliga. Om det ärliga svaret är ”vi är inte säkra” är den osäkerheten i sig fyndet, och att sluta den är första punkten på er dagordning. Frågan spelar störst roll för organisationer som vuxit genom förvärv, sammanslagning eller ackumulerade äldre system, där det institutionella minnet av vad som finns har tunnats ut.

Om vi drabbades av utpressningsvirus i morgon, skulle vi kunna återställa från säkerhetskopia utan att betala? Värdet av en säkerhetskopia är inte att den finns utan att den har prövats att faktiskt återställa, tillräckligt snabbt, från en version tillräckligt ny för att spela roll. Fråga när säkerhetskopior senast prövades med en verklig återställningsövning, inte bara en slutförandelogg, och hur lång tid en fullständig återställning skulle ta mot hur länge er organisation kan tolerera ett avbrott. Om de talen inte stämmer har ni ett resursbeslut att fatta nu, inte under en incident. Det här är också tillfället att diskutera om säkerhetskopiorna själva är isolerade från det nätverk en angripare som når era huvudsystem också skulle kunna nå.

Vem har befogenhet att besluta om vi betalar en lösensumma, och har vi någonsin diskuterat det innan vi blev tillfrågade? Detta är ett av de beslut med högst insatser en ledningsgrupp kan ställas inför, ofta krävt inom timmar och med ofullständig information om vad angriparen faktiskt har. Att avgöra processen, de bemyndigade individerna och principerna i förväg – även om det slutliga avgörandet fortfarande beror på incidentens särdrag – förhindrar ett improviserat beslut fattat under utpressningstryck. Diskutera vad er jurisdiktions lag och era finansiärers villkor säger om betalning av lösensumma, och vem ni skulle behöva underrätta.

Är våra minsta partner och leverantörer en större risk för oss än vi är för oss själva? En välsäkrad central organisation kan ändå komprometteras genom en dåligt säkrad leverantör, konsult eller leveranspartner med legitim åtkomst till dess system eller data. Kartlägg de tredje parter som kan nå era system eller förvarar era data, och var ärliga om hur mycket säkerhet ni faktiskt har över deras säkerhetspraxis jämfört med hur mycket ni antar att ni har. Besluta vilken minimistandard ni kommer att kräva av dem framöver, och hur ni kommer att verifiera den i stället för att bara be om en skriftlig försäkran.

Skulle vi veta att vi hade drabbats av ett intrång, och hur snabbt? Några av de mest skadliga incidenterna är inte de som sker snabbt utan de som går oupptäckta i månader, under vilka en angripare i det tysta har utforskat, höjt sina behörigheter och exfiltrerat data. Diskutera hur ni faktiskt skulle upptäcka ovanlig aktivitet i dag, vem som bevakar det och om den övervakningen pågår utanför kontorstid, eftersom många angrepp medvetet inleds på natten eller över en helg då responsen är långsammast. Om upptäckten helt beror på att en medborgare eller en partnerorganisation talar om för er att något är fel är det ett kritiskt glapp.

Förstår vår styrelse eller vårt styrande organ den här risken tillräckligt väl för att styra den, eller har vi i det tysta lagt ut det omdömet på it-teamet? Beslut om cyberrisk innebär verkliga avvägningar mellan kostnad, tjänstekontinuitet och medborgarskydd som med rätta är det styrande organets sak, inte en delegerad teknisk fråga att nicka igenom. Diskutera hur cyberrisk för närvarande rapporteras till er styrelse eller ert fullmäktige, om det sker på ett språk en icke-specialist faktiskt kan agera på och om budgeten för den fastställs med samma noggrannhet som för varje annan större risk. Om ert styrande organ för närvarande inte med egna ord kunde förklara organisationens tre främsta cyberrisker är det glappet att sluta först.

I praktiken: ett exempel på offentligt värde

En medelstor regional kollektivtrafikmyndighet – fiktiv, illustrerar ett mönster och är ingen rapport om någon verklig organisation – drev åldrande tidtabells- och betalsystem som hade lappats ihop bit för bit i ett decennium i stället för att moderniseras. Dess it-team bestod av tre personer, ansvariga för allt från support till nätverkssäkerhet, och cybersäkerhet hade aldrig haft en egen rad i budgeten; den levde inuti en allmän tilldelning för ”systemunderhåll” som inte hade vuxit realt på år.

En angripare fick åtkomst genom ett nätfiskemejl skickat till en ekonomiansvarig, med en förfalskad faktura från en leverantör som myndigheten verkligen använde. Väl inne ägnade angriparen sex veckor åt att i det tysta ta sig genom nätverket innan utpressningsviruset sattes in och krypterade tidtabellssystemet, biljettbetalningsplattformen och myndighetens säkerhetskopior, som aldrig hade isolerats från huvudnätverket. Bussarna fortsatte gå på förarnas minne av sina rutter under första dagen, men biljettavgifter kunde inte tas ut elektroniskt, realtidsinformationsskärmarna blev mörka och myndighetens ekonomisystem var oanvändbara för löneutbetalning.

Ledningsgruppen ställdes inför beslutet om lösensumma utan någon förutbestämd policy: ingen hade i förväg avgjort vem som hade befogenhet att godkänna en betalning, vad den rättsliga ställningen var eller vad de skulle säga till resenärerna. Återställning från säkerhetskopia var inte ett alternativ, eftersom säkerhetskopiorna hade krypterats tillsammans med allt annat. Efter nio dagars störningar, partiell återställning av tjänsten och en betalning som myndighetens styrelse senare beskrev som det minst dåliga alternativet som fanns vid tillfället, beställde myndigheten en oberoende granskning.

Granskningens fynd var odramatiska och helt i linje med det mönster detta ämne beskriver: ingen multifaktorautentisering på ekonomisystemen, ingen nätverkssegmentering mellan kontorssystem och betalinfrastruktur, ingen prövad återställning av säkerhetskopior på över två år och ingen insyn alls på styrelsenivå i cyberrisk före incidenten. Myndighetens svar var lika odramatiskt – en stegvis plan för att åtgärda grunderna, ett delat säkerhetsövervakningsarrangemang med två angränsande trafikmyndigheter för att dela kostnaden för specialistbevakning som ingen av dem hade råd med ensam och en stående punkt på styrelsens dagordning om cyberrisk. Inget av det var dyrt med måttstocken för ett större it-program; allt hade hoppats över i åratal därför att det aldrig hade varit någons tydligt tilldelade uppgift att insistera på det.

Fyra sektorperspektiv

Lokal förvaltning

Kommuner befinner sig i en obekväm skärningspunkt: de förvarar mycket känsliga data – socialtjänstakter, bostads- och förmånsinformation, röstlängder – och driver tjänster medborgare inte lätt kan vara utan, men har typiskt de minsta säkerhetsbudgetarna och den minsta specialistpersonalen av någon nivå i staten. Ett stort nationellt ministerium kan bygga ett eget säkerhetsdriftcenter; ett litet distriktsråd kan vanligen inte, vilket gör delade tjänster, regional poolning och nationella stödprogram till den praktiska vägen till tillräckligt skydd snarare än ett valfritt extra. Lokala förtroendevalda är också ofta de som är sämst rustade av någon nivå i staten att ifrågasätta en teknisk riskbriefing, vilket gör rapportering på klarspråk till förtroendevalda till en särskild styrningsutmaning på den här nivån.

Nationell förvaltning

Nationella regeringar har i allmänhet resurserna att bygga särskilda cybersäkerhetsmyndigheter och nationella ramverk – organ såsom Storbritanniens National Cyber Security Centre eller USA:s Cybersecurity and Infrastructure Security Agency finns för att fastställa standarder, samordna respons och stödja mindre resursstarka offentliga organ inom sin jurisdiktion. Den utmärkande nationella utmaningen handlar mindre om grundläggande hygien och mer om statsstödda och mycket kapabla hotaktörer, kritisk nationell infrastrukturs ömsesidiga beroenden över sektorer och privata operatörer, och de diplomatiska och rättsliga dimensionerna av tillskrivande och respons, som sällan förekommer på lokal eller organisationsnivå.

Social sektor och ideell sektor

Ideella organisationer och NGO:er förvarar ofta några av de känsligaste data av någon sektor – patientjournaler, uppgifter om överlevare av våld eller förföljelse, flykting- och asylärenden – samtidigt som de verkar på de tunnaste säkerhetsbudgetarna av någon organisationstyp i den här boken, eftersom finansiärer sällan öronmärker pengar för säkerhet och bidragsvillkor sällan kräver det. Många organisationer i social sektor är också beroende av volontärer och hög personalomsättning, vilket gör konsekvent säkerhetsutbildning och åtkomstkontroll svårare att upprätthålla än i en stabil, professionellt bemannad organisation; en säkerhetsincident kan vara existentiell för en liten välgörenhetsorganisation på ett sätt den sällan är för ett statligt departement, eftersom ryktesskada och förlorat givarförtroende kan avsluta organisationen helt (se Ämne 3.8 — Ledning av socialsektorn och ideella organisationer).

Multilaterala och internationella organ

Multilaterala och internationella organ verkar över jurisdiktioner med olika anmälningslagar, olika definitioner av kritisk infrastruktur och olika nivåer av nationell cyberförmåga, vilket gör själva samordningen till ett särskilt problem: ett internationellt organs egna system kan vara väl skyddade medan dess nationella medlemsmyndigheter varierar enormt, och ett organ såsom Organisationen för ekonomiskt samarbete och utveckling eller Europeiska unionens cybersäkerhetsbyrå spelar lika mycket en normgivande och kapacitetsbyggande roll som en operativ. Det multilaterala perspektivet är också där gränsöverskridande incidentrespons och informationsdelning spelar störst roll, eftersom ett angrepp som börjar i ett lands infrastruktur kan kaskadera in i ett annats inom timmar, snabbare än de flesta internationella samordningsmekanismer är byggda för att röra sig.

Vanliga felmönster

Säkerhetsteater utan operativ substans. En organisation antar ett imponerande policydokument, ett efterlevnadscertifikat eller ett enda dyrt verktyg och behandlar rutan som kryssad, medan grundläggande hygien – patchning, multifaktorautentisering, prövade säkerhetskopior – förblir inkonsekvent. Det kostar verkliga pengar för skenet av säkerhet snarare än säkerhet i sig, och upptäcks ofta vara teater först efter att en incident blottlagt glappet mellan policy och praxis.

Den ägarlösa risken. Cybersäkerhet antas vara någon annans uppgift – it-teamets, en leverantörs, en tillsynsmyndighets – och ingen enskild ansvarig ägare finns på det styrande organets nivå. Det ger en risk som diskuteras överallt och avgörs ingenstans, och det är just det mönster som lämnar organisationer oförmögna att besvara grundläggande frågor om sin egen exponering när de tillfrågas.

Underinvestering motiverad av frånvaron av en tidigare incident. Eftersom ett väl drivet säkerhetsprogram inte ger någon synlig händelse när det lyckas är det lätt att skära ned det i en snäv budgetrunda till förmån för något med synlig utdata, och frånvaron av intrång hittills misstas för evidens på tillräckligt skydd snarare än evidens som ännu inte har prövats. Detta speglar samma budgetlogik som urholkar resiliensinvesteringar mer allmänt (se Ämne 3.12 — Krishantering, beredskap och resiliens).

Äldre system som körs förbi sin stödbara livstid. Offentliga organ kör ofta programvara eller hårdvara långt efter att en leverantör har slutat utfärda säkerhetsuppdateringar för den, eftersom ersättning är dyr, störande eller politiskt impopulär, och systemet ”fortfarande fungerar”. Ett system utan patchar och utan stöd är inte en äldre olägenhet; det är en öppen dörr som inte kostar en angripare något att gå igenom.

Skuld-först-incidentkultur. När personal som rapporterar ett misstänkt intrång eller ett misstag disciplineras i stället för att stödjas rapporteras framtida incidenter sent, förminskas eller rapporteras inte alls, och organisationen förlorar den tidiga varningssignal som snabb rapportering ger. Detta felmönster förstärker vart och ett av de andra på den här listan, eftersom ingen av åtgärderna ovan fungerar om organisationen inte ärligt kan se sina egna problem.

Mognadsmodell

Checklista

• En namngiven individ eller kommitté på det styrande organets nivå äger cyberrisk och rapporterar regelbundet om den, på klarspråk.
• En aktuell inventering finns över vilka data och system organisationen förvarar, och vilka som är mest känsliga eller mest kritiska för en tjänst.
• Multifaktorautentisering upprätthålls på alla system som innehåller känsliga data eller styr kritiska tjänster.
• Säkerhetskopior tas regelbundet, lagras isolerade från huvudnätverket och återställningen har prövats under de senaste tolv månaderna.
• Programvara och system patchas enligt ett definierat schema, och varje system som inte längre kan patchas har en dokumenterad plan för att ersättas eller isoleras.
• En skriftlig incidentresponsplan finns, anger vem som har befogenhet att fatta nyckelbeslut och har övats genom en realistisk övning under det senaste året.
• En styrelsegodkänd policy finns om betalning av lösensumma och om hur och när berörda, tillsynsmyndigheter och allmänheten ska underrättas.
• Avtal med programvaruleverantörer och förvaltade tjänsteleverantörer inkluderar säkerhetsgarantier och incidentanmälningsskyldigheter.
• Personalen får regelbunden, realistisk säkerhetsutbildning, inklusive simulerade nätfiskeövningar.
• Att rapportera en misstänkt incident eller nästan-olycka behandlas som värdefull information, inte grund för skuldbeläggning.
• Delade eller poolade säkerhetsarrangemang har utforskats med jämbördiga organisationer av liknande storlek och budget.
• Cyberrisk förekommer uttryckligen i organisationens bredare kris- och resiliensplanering, inte som en separat, frånkopplad plan.

Viktiga källor

Detta ämne bygger på National Institute of Standards and Technologys Cybersecurity Framework som det ledande strukturerade ramverket för att organisera cybersäkerhetspraxis; Europeiska unionens cybersäkerhetsbyrås publicerade uppdrag och vägledning om att uppnå en gemensam nivå av cybersäkerhet i hela Europeiska unionen; Organisationen för ekonomiskt samarbete och utvecklings policyarbete om digital säkerhet, som ramar in digital säkerhet som en ekonomisk och social riskhanteringsfråga snarare än en rent teknisk; och den operativa vägledning som publiceras av nationella cybersäkerhetsmyndigheter såsom Storbritanniens National Cyber Security Centre och USA:s Cybersecurity and Infrastructure Security Agency, vilka båda tillhandahåller kostnadsfri vägledning särskilt riktad till mindre resursstarka offentliga organ.

Referenser

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Centre (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about