Der dukker nye sårbarheder op hver dag. Systemerne ændrer sig, ny teknologi introduceres, og trusselsbilledet udvikler sig konstant. For organisationer består udfordringen derfor ikke i at opnå en tilstand, hvor man er »sikker«. Det handler om at opbygge evnen til løbende at forstå og reducere risikoen.
Den seneste opmærksomhed fra NSM – NSM hæver det nationale cyberrisikoniveau til HØJT – understreger et velkendt, men vigtigt budskab: Organisationer har brug for et solidt sikkerhedsgrundlag og skal løbende vedligeholde det. NSM’s principper for IKT-sikkerhed omfatter identifikation og kortlægning, beskyttelse og vedligeholdelse, detektering samt håndtering og genopretning.
Det starter med at vide, hvor man er sårbar.
Når der offentliggøres en ny kritisk sårbarhed, er den umiddelbare reaktion ofte: Skal vi installere en patch?
Der er et vigtigt spørgsmål, der skal besvares først: Er vi udsat for risiko?
For at besvare det kræves der overblik. Hvilke applikationer, enheder og tjenester kører? Hvilke versioner er i brug? Hvilke systemer er forretningskritiske? Og hvad kunne der ske, hvis et af dem blev kompromitteret?
Det er her, effektiv sårbarhedsstyring adskiller sig fra sårbarhedsscanning.
Det er forholdsvis ligetil at finde sårbarheder. Det er derimod langt sværere at forstå, hvilke der udgør den største risiko for virksomheden, og at handle i overensstemmelse hermed.
En sårbarhed i et isoleret system kan ikke nødvendigvis sammenlignes med den samme sårbarhed i en tjeneste, der er forbundet til internettet og understøtter kritiske driftsfunktioner. Konteksten bestemmer prioriteten.
Målet bør derfor være risikoreduktion, ikke blot påvisning af sårbarheder.
Men håndtering af kendte sårbarheder er kun en del af billedet.
Ingen organisation kan gå ud fra, at alle sårbarheder vil blive opdaget og rettet, før nogen forsøger at udnytte dem. Robust sikkerhed afhænger derfor af flere lag: god arkitektur, effektiv adgangskontrol, sikkerhedsopdateringer, overvågning, sikkerhedskopier, håndtering af hændelser og genopretning. Princippet er simpelt: forebyg det, du kan, opdag det, der slipper igennem, og vær forberedt på at reagere og genoprette. Og dette kan ikke være en øvelse, der kun udføres én gang om året.
Moderne IT-miljøer ændrer sig konstant. Cloudtjenester udvikler sig, applikationer opdateres, brugere og leverandører får eller mister adgang, og nye teknologier bliver en del af organisationen. Hver ændring kan også ændre sikkerhedsbilledet. Sikkerheden skal derfor udvikle sig i takt med virksomheden.
De stærkeste organisationer betragter cybersikkerhed mindre som en række individuelle projekter og mere som en løbende operationel kapacitet.
Det betyder, at man løbende skal have overblik over, hvad man har, forstå sin eksponering, prioritere sårbarheder ud fra den faktiske risiko, styrke beskyttelsen, overvåge sit miljø og lære af hændelser.
Teknologi er en del af løsningen. Processer og mennesker er lige så vigtige.
I sidste ende betyder robust cybersikkerhed ikke, at man skal fjerne alle sårbarheder. Det er et urealistisk mål. Det betyder at skabe en organisation, der kan identificere svagheder tidligt, reagere hurtigt og fortsat forbedre sin modstandsdygtighed over tid. For der vil altid dukke en ny sårbarhed op. Det vigtige spørgsmål er, om man er klar til den.