Mandag morgen virker økonomisystemet ikke. Fakturaerne står stille, betalinger kan ikke godkendes, og leverandøren ved endnu ikke, hvornår systemet er tilbage.
Er det irriterende eller kritisk?
For en mindre rådgivningsvirksomhed kan nogle timers nedetid måske håndteres. I en produktionsvirksomhed, hvor økonomisystemet hænger sammen med indkøb og leverancer, kan den samme hændelse hurtigt få langt større konsekvenser.
En risikovurdering af IT-sikkerhed handler om at kende forskellen. Den skal vise, hvad virksomheden er mest afhængig af, hvad der kan true det, og hvor det bedst kan betale sig at sætte ind.
Begynd med forretningen
Mange begynder med ransomware, phishing, datalæk og stjålne adgangskoder. Det er forståeligt, men før I kan vurdere en trussel, skal I vide, hvad den kan ramme.
Tag udgangspunkt i virksomhedens vigtigste aktiviteter og de systemer, data og leverandører, de hviler på. Hvis økonomisystemet er utilgængeligt i to timer, er konsekvensen måske beskeden. Efter to dage kan likviditet, leverancer og kundedialog begynde at lide. Efter en uge har virksomheden sandsynligvis et helt andet problem.
Hvis I mangler et samlet overblik, kan Sikkerdigitals gratis Systemoverblikket bruges til at kortlægge virksomhedens systemer og data. Værktøjet tager cirka ti minutter og giver prioriterede anbefalinger på baggrund af jeres svar.
Den samtale er mere værdifuld end en lang liste over alle tænkelige cybersikkerhedsrisici.
Skriv scenarier, man kan tage stilling til
“Risiko for cyberangreb” er så bred en formulering, at den er svær at handle på. Skriv hellere, hvad der faktisk kan ske:
En medarbejder modtager et link til en falsk loginside og indtaster sin adgangskode. Angriberen får adgang til kontoen og henter fortrolige kundedokumenter.
Med et konkret scenarie kan I vurdere sandsynligheden, konsekvensen og de forholdsregler, der allerede findes. Måske har virksomheden multifaktorgodkendelse, men medarbejderen har adgang til langt flere dokumenter end nødvendigt. Risikovurderingen peger dermed ikke kun på phishing, men også på adgangsstyring.
Et andet scenarie kan være, at økonomiafdelingen ændrer en leverandørs bankoplysninger på baggrund af en overbevisende mail. Her ligger sårbarheden ikke blot i den falske besked; betalingsprocessen er også et problem, hvis én person kan ændre oplysningerne uden en ekstra kontrol.
Brug tallene til at starte en diskussion
En enkel skala fra 1 til 5 for sandsynlighed og konsekvens er ofte nok til at begynde med. Et systemnedbrud kan være sandsynligt, men have en begrænset konsekvens, fordi virksomheden har en velfungerende nødprocedure. Et større datalæk kan være mindre sandsynligt og stadig kræve høj prioritet.
Selve scoren er mindre interessant end begrundelsen. Hvis økonomichefen vurderer en hændelse som kritisk, mens IT kalder den moderat, har I fundet en uenighed, der skal undersøges. Måske kender IT ikke de økonomiske følgevirkninger, eller også bygger økonomichefens vurdering på en forestilling om, at der slet ikke findes en nødprocedure.
Det er præcis den slags forskelle, arbejdet skal gøre synlige.
Sikkerdigital har et gratis værktøj til IT-risikovurdering samt en vejledning og skabelon, som kan bruges til at vurdere trusler, sandsynlighed og konsekvenser og derefter udarbejde en handleplan.
Se på processen omkring medarbejderen
“Menneskelige fejl” står i mange risikoregistre, men formuleringen fortæller ikke, hvorfor fejlen opstår.
En økonomimedarbejder godkender måske en falsk betaling, fordi hasteanmodninger fra ledelsen er helt normale. En ny kollega undlader at rapportere en mistænkelig mail, fordi ingen har vist, hvor den skal sendes hen. En HR-medarbejder deler en fil forkert, fordi systemets standardindstilling giver bredere adgang end forventet.
I de situationer er medarbejderen kun én del af risikoen. Problemet kan lige så godt ligge i processen omkring medarbejderen: tidspres, uklare procedurer eller et system, der gør det for nemt at begå fejlen.
Foranstaltningen skal passe til det konkrete problem. En ekstra godkendelse kan reducere risikoen ved ændrede bankoplysninger, mens bedre adgangsstyring kan begrænse skaden fra en kompromitteret konto. Træning er relevant, når medarbejderen også skal kunne genkende situationen og vide, hvad virksomheden forventer.
Hvis fakturasvindel fylder i risikovurderingen, bør økonomiteamet arbejde med realistiske betalingshenvendelser. Hvis fejldeling af personoplysninger er en større bekymring, har HR og kundeservice brug for træning i modtagerkontrol og sikker deling.
Emnet kommer fra risikovurderingen, ikke fra kursuskataloget.
Grapes IT-sikkerhedskursus til medarbejdere er udviklet sammen med BDO og består af ni anbefalede moduler, som blandt andet behandler phishing, adgangskoder, mobile enheder, datadeling og sikkerhedsbrud. Indholdet kan tilpasses de arbejdssituationer og målgrupper, der er relevante i organisationen.
Beslut, hvad der fortjener en løsning
Ikke alle risici skal fjernes. Hvis konsekvensen er lille og løsningen dyr, kan den rigtige beslutning faktisk være at acceptere risikoen.
De væsentlige risici kræver derimod et tydeligt valg. Forestil jer, at risikovurderingen viser en høj risiko for falske ændringer af leverandørers bankoplysninger. Virksomheden beslutter, at alle ændringer skal bekræftes telefonisk via et kendt nummer, mens større betalinger kræver godkendelse fra to personer. Økonomiteamet træner samtidig de mest almindelige former for faktura- og direktørsvindel.
Nu har virksomheden gjort noget ved risikoen. Der mangler blot en ejer, en frist og en måde at kontrollere, om ændringen virker.
En risiko uden en ejer bliver sjældent håndteret.
For organisationer, der arbejder mere formelt med risikostyring af IT-sikkerhed, har Styrelsen for Samfundssikkerhed udgivet en vejledning i risikostyring inden for informationssikkerhed. Den gennemgår blandt andet risikoidentifikation, analyse, evaluering, risikohåndtering, accept og løbende opfølgning og knytter processen til ISO/IEC 27001 og NIS 2.
Tag vurderingen frem, når noget ændrer sig
En risikovurdering mister gradvist sin værdi, efterhånden som virksomheden skifter systemer, ændrer arbejdsgange og får nye leverandører. En årlig gennemgang kan fungere som fast holdepunkt, mens større ændringer bør føre til en ny vurdering af de berørte områder.
Det gælder også efter en sikkerhedshændelse. Hvis et phishingangreb lykkes, er spørgsmålet ikke kun, hvem der klikkede. I bør også undersøge, om scenariet fandtes i risikovurderingen, om sandsynligheden blev undervurderet, og om de eksisterende kontroller fungerede.
Risikovurderingen har først værdi, når den ændrer en beslutning. Måske bliver multifaktorgodkendelse rykket frem i planen, en betalingsprocedure strammet op, eller bestemte medarbejdere trænet i situationer, der faktisk udgør en risiko.
Det behøver ikke begynde med et stort projekt. Vælg en kritisk arbejdsgang, saml de mennesker, der kender den, og beskriv tre hændelser, som kan få den til at bryde sammen. Så har I et langt bedre udgangspunkt end et tomt regneark med overskriften “IT-risici”.
Har risikovurderingen peget på medarbejdernes adfærd?
Hvis medarbejdernes handlinger indgår i en eller flere af jeres væsentlige IT-risici, bør medarbejdertræningen i IT-sikkerhed afspejle de situationer, de faktisk møder. Det kan være falske betalingsanmodninger, mistænkelige login-sider, forkert datadeling eller usikker brug af mobile enheder.
