Hvordan ledelsen kan optimalisere cybersikkerhet i organisasjoner: Nøkkelelementer og beslutningsprosesser

For å kunne beskytte virksomheten mot cybertrusler er det avgjørende at organisasjonen har klare retningslinjer og strukturer på plass for å håndtere cybersikkerhet på et strategisk nivå. Ledelsen, inkludert styret og uavhengige komitémedlemmer, har et betydelig ansvar for å implementere nødvendige funksjoner og prosedyrer som sikrer effektiv beskyttelse mot cyberrisikoer. Dette innebærer blant annet å definere og implementere modeller for beslutningstaking, forvalte risikogrensene og sikre nødvendig opplæring og ressurser.

En av de første oppgavene for styret og ledelsen er å etablere en klar organisatorisk inndeling av ansvar og informasjon. Det er viktig å forstå at cybersikkerhet ikke kan være en isolert aktivitet; det må integreres i alle aspekter av virksomhetens drift. Ledelsen bør sørge for at det er tilstrekkelig kommunikasjon og at de rette eskaleringspunktene er på plass når cybersikkerhetshendelser som datainnbrudd eller cyberangrep inntreffer.

Videre må styret påse at det etableres et rammeverk for å håndtere krisesituasjoner, med spesifikke prosesser for rask beslutningstaking i tilfelle cyberangrep. Dette omfatter etablering av et passende kommunikasjonsnettverk, som sikrer at informasjon om hendelser deles på en behov-for-å-vite-basis, og at nødvendige sikkerhetstiltak iverksettes på kort tid. Ledelsen bør også sørge for at sikkerhetsprotokoller og retningslinjer for cybersikkerhet er i samsvar med gjeldende lover og reguleringer.

En effektiv risikohåndteringsstrategi bør også inkludere en vurdering av nødvendige ressurser for å støtte cybersikkerhetsinnsatsen. Ledelsen må være i stand til å evaluere tilgjengelige interne og eksterne ressurser og sikre at de er tilstrekkelige til å møte de spesifikke målene og kravene for å forhindre og håndtere cybertrusler. Dette innebærer å balansere virksomhetens behov for risikohåndtering med de tilgjengelige ressursene og kostnadene som er forbundet med implementeringen av cybersikkerhetstiltak.

En annen viktig komponent er integrering av cybersikkerhet i alle virksomhetens rapporteringssystemer. Ledelsen må etablere prosesser for kontinuerlig overvåking og evaluering av cybersikkerhetens effektivitet, herunder hvordan trussellandskapet utvikler seg, og hvordan organisasjonen responderer på disse endringene. Dette krever et rammeverk for å sammenligne faktisk og ønsket cybersikkerhetsstatus, slik at man kan identifisere forbedringsområder.

I tillegg til de interne tiltakene som ledelsen må iverksette, er det viktig å forstå hvordan eksterne parter kan påvirke cybersikkerheten. Mange organisasjoner bruker tredjepartsleverandører for produksjon eller tjenesteyting, og det er viktig at disse leverandørene også oppfyller de nødvendige cybersikkerhetsstandardene. Dette gjelder også for eventuelle fjerdeparter som kan ha tilgang til sensitiv informasjon.

For å sikre at cybersikkerhetstiltakene blir implementert på en effektiv måte, må ledelsen kontinuerlig evaluere både interne og eksterne ressurser og sikre at disse er tilstrekkelige for å møte de spesifikke målsettingene for beskyttelse. Dette inkluderer å vurdere både menneskelige og teknologiske ressurser og sikre at de er i stand til å håndtere risikoene som følger med cyberangrep.

Det er også avgjørende at cybersikkerhetsressursene er tett integrert i den generelle informasjonssikkerheten til organisasjonen. På denne måten kan ledelsen sikre at alle sikkerhetsområder, fra databeskyttelse til systemintegritet, er koordinert og arbeider sammen for å minimere risikoen for cybertrusler. Når ledelsen overvåker disse prosessene, vil det være lettere å identifisere eventuelle svakheter og implementere nødvendige tiltak for å styrke organisasjonens cybersikkerhet.

Hvordan beskytte kritiske eiendeler mot cybertrusler?

De siste årene har det vært en økning i antallet datainnbrudd (Seema et al., 2018; Downs, 2020; Waldman, 2021). Den raske utviklingen av sofistikerte verktøy har gjort det vanskelig for både enkeltpersoner, organisasjoner og myndigheter å være helt immun mot cyberangrep. Derfor må organisasjoner som er involvert i overføring, håndtering og lagring av sensitiv data, implementere tiltak som muliggjør regelmessig overvåkning av deres cybersikkerhetsmiljø. Slike tiltak må også være spesialtilpasset for å oppdage sårbarheter i sikkerheten til nettverk og systemer, og for å håndtere eventuelle svakheter som kan utnyttes av cyberkriminelle (Malla Reddy College of Engineering & Technology, 2020; Vittorio & Holland, 2021).

Sikkerhetsrisikoer, som refererer til sannsynligheten for at cybertrusler kan materialisere seg og påføre tap, er et sentralt begrep innen cybersikkerhet. Økte risikoer øker sjansen for at cyberangrep utføres av cyberkriminelle (Seema et al., 2018). Cyberkriminelle har tilgang til programvare, maskinvare og data som kan brukes til å angripe både regjeringer, organisasjoner og enkeltpersoner. Cybersikkerhetens mål er å hindre cyberkriminelle fra å påføre skade på de involverte aktørene gjennom cyberkriminalitet. Cyberkriminalitet kan defineres som forbrytelser begått ved bruk av datamaskiner eller internett-tilkoblede enheter.

I forsøk på å beskytte sensitive organisasjons-, finansiell- og personlig informasjon, ble en sikkerhetsmodell kjent som CIA-triaden utviklet (Fruhlinger, 2021). Denne modellen består av tre grunnleggende komponenter: konfidensialitet, integritet og tilgjengelighet. Konfidensialitet sørger for at sensitive data beskyttes mot uautoriserte brukere. Å sikre konfidensialitet innebærer ofte å definere og håndheve spesifikke tilgangsnivåer til private data. Dette kan inkludere kryptering av filer og volumer, tilgangskontrollister og filrettigheter. Integritet er den andre komponenten, og den forhindrer at data endres eller slettes av uautoriserte brukere. Integritet gjør det også mulig å reversere eventuelle endringer som kan ha blitt gjort av uvedkommende. Den siste komponenten, tilgjengelighet, sørger for at autoriserte brukere har tilgang til dataene når de trenger det. Tilgjengelighet kan sikres gjennom ulike autentiseringsmetoder og systemer.

Selv om CIA-triaden er en viktig del av de fleste cybersikkerhetspraksiser, er det viktig å forstå at denne modellen alene ikke er nok til å utvikle et fullstendig sikkerhetssystem. Den gir et godt rammeverk for planlegging og implementering av sikkerhetsprotokoller, men den kan ikke erstatte helhetlige cybersikkerhetstiltak. En god forståelse av CIA-triaden er imidlertid avgjørende for å unngå dens begrensninger og feilaktige anvendelse i sikkerhetsplanlegging (Fruhlinger, 2021).

Cyberrisikostyring er en annen viktig komponent i cybersikkerhet. Økt eksponering av systemer og nettverk som inneholder sensitiv data, har ført til at cybersikkerhetstiltak er blitt mer avanserte. Uavhengig av hvilke sikkerhetstiltak som er implementert i en organisasjon, kan eksterne parter som leverandører og kunder utgjøre potensielle svakhetspunkter i nettverket. Dette understreker viktigheten av en helhetlig tilnærming til cybersikkerhet, hvor alle aspekter av nettverksinfrastruktur, både interne og eksterne, vurderes grundig for potensielle trusler.