Hver dag dukker det opp nye sårbarheter. Systemene endres, ny teknologi tas i bruk, og trusselbildet utvikler seg stadig. For organisasjoner består utfordringen derfor ikke i å oppnå en tilstand der man er «sikker». Utfordringen er å bygge opp evnen til kontinuerlig å forstå og redusere risiko.
Den nylige oppmerksomheten fra NSM – NSM hever det nasjonale cyberrisikonivået til HØYT – understreker et kjent, men viktig budskap: organisasjoner trenger et solidt sikkerhetsgrunnlag og må kontinuerlig vedlikeholde det. NSMs IKT-sikkerhetsprinsipper omfatter identifisering og kartlegging, beskyttelse og vedlikehold, deteksjon, samt håndtering og gjenoppretting.
Det begynner med å vite hvor man er sårbar.
Når en ny kritisk sårbarhet blir kunngjort, er den umiddelbare reaksjonen ofte: Må vi installere en oppdatering?
Det er et viktig spørsmål før det: Er vi utsatt?
For å svare på det trenger man oversikt. Hvilke applikasjoner, enheter og tjenester kjører? Hvilke versjoner er i bruk? Hvilke systemer er forretningskritiske? Og hva kan skje hvis et av dem blir kompromittert?
Det er her effektiv sårbarhetshåndtering skiller seg fra sårbarhetsskanning.
Det er relativt enkelt å finne sårbarheter. Det er derimot mye vanskeligere å forstå hvilke som utgjør den største risikoen for virksomheten, og å iverksette tiltak deretter. En sårbarhet i et isolert system er ikke nødvendigvis sammenlignbar med den samme sårbarheten i en internettbasert tjeneste som støtter kritiske operasjoner. Konteksten avgjør prioriteten.
Målet bør derfor være risikoreduksjon, ikke bare å oppdage sårbarheter.
Ingen organisasjon kan gå ut fra at alle sårbarheter vil bli oppdaget og utbedret før noen prøver å utnytte dem. Robust sikkerhet avhenger derfor av flere lag: god arkitektur, effektiv tilgangskontroll, sikkerhetsoppdateringer, overvåking, sikkerhetskopiering, håndtering av sikkerhetshendelser og gjenoppretting. Prinsippet er enkelt: forebyg det du kan, oppdag det som slipper gjennom, og vær forberedt på å reagere og gjenopprette. Og dette kan ikke være en øvelse som gjennomføres én gang i året.
Moderne IT-miljøer er i stadig endring. Skytjenester utvikler seg, applikasjoner oppdateres, brukere og leverandører får eller mister tilgang, og nye teknologier blir en del av organisasjonen. Hver endring kan også påvirke sikkerhetsbildet. Sikkerheten må derfor utvikle seg i takt med virksomheten.
De mest robuste organisasjonene ser ikke på cybersikkerhet som enkeltstående prosjekter, men som et kontinuerlig arbeid som er integrert i den daglige driften. Det innebærer å hele tiden ha oversikt over hva man har, forstå sin eksponering, prioritere sårbarheter basert på faktisk risiko, styrke beskyttelsen, overvåke miljøet og lære av hendelser.
Teknologi kan styrke sikkerheten, men det er samspillet mellom mennesker, prosesser og teknologi som bygger motstandskraft.
Mads Henrik E. Smedberg, Cyber Security Manager Cegal
Til syvende og sist betyr robust cybersikkerhet ikke å eliminere alle sårbarheter. Det er et urealistisk mål. Det betyr å skape en organisasjon som kan identifisere svakheter tidlig, reagere raskt og fortsette å forbedre sin motstandskraft over tid. For det vil dukke opp en ny sårbarhet. Det viktige spørsmålet er om man er forberedt på den.