Hur GDPR och Andra Regleringar Påverkar Cybersäkerhet i Företag och Organisationer

Cybersäkerhet är en central aspekt för företag och organisationer idag, särskilt med de ökade hoten från cyberattacker och dataintrång. Lagstiftning som GDPR (General Data Protection Regulation) i Europa och de strikta föreskrifterna från New York State Department of Financial Services (DFS) i USA har haft stor inverkan på hur organisationer måste hantera och skydda sina digitala tillgångar. Dessa regleringar har blivit en integrerad del av företags säkerhetspraxis och påverkar i hög grad hur cybersäkerhet implementeras och övervakas.

GDPR, som trädde i kraft i maj 2018, innefattar strikta krav för insamling och hantering av personuppgifter, både inom och utanför EU. Enligt GDPR måste organisationer erhålla uttryckligt samtycke från individer innan deras data samlas in och bearbetas. Föreskrifterna inkluderar också krav på omedelbar rapportering vid dataintrång och ett strikt åtagande att säkerställa integritet och säkerhet för användardata. Om dessa krav inte följs kan företag åläggas böter som kan uppgå till upp till 4 % av deras globala omsättning, vilket är en allvarlig påföljd för bristande efterlevnad.

I USA har DFS också infört detaljerade regler för cybersäkerhet i företag som är verksamma inom försäkrings-, bank- och finanssektorn. Dessa regler kräver att de täckta institutionerna utvecklar och implementerar ett cybersäkerhetsprogram som ska skydda privat information. Programmet måste godkännas av företagets styrelse eller seniora ledningsgrupp, och årliga efterlevnadscertifieringar måste inlämnas för att bekräfta programmets effektivitet. Detta krav på kontinuerlig utvärdering av cybersäkerhetsprogrammen är en central del i DFS:s strategi för att minska cyberrisker.

SEC (U.S. Securities and Exchange Commission) har också infört vägledning som tvingar börsnoterade företag att avslöja cybersäkerhetsrisker som kan påverka investerarnas beslut. Sedan 2011 har SEC krävt att företag gör avkännanden av potentiella eller pågående cybersäkerhetsincidenter som kan ha en väsentlig inverkan på deras verksamhet. I 2018 uppdaterade SEC sina riktlinjer för att ytterligare förtydliga förväntningarna kring dessa avslöjanden, och lade till specifika krav på hur företag ska hantera insiderhandel när materialinformation om cybersäkerhetsincidenter ännu inte har offentliggjorts.

För att hantera dessa regulatoriska krav har företagsstyrelser och ledning fått en allt större roll i att övervaka cybersäkerhet inom sina organisationer. Styrelserna uppmanas att aktivt engagera sig i hanteringen av cyberrisker och utveckla strategier för att minimera riskerna med dataförlust och cyberangrepp. Detta innebär att styrelser inte bara måste förstå riskerna utan också de organisatoriska och kulturella faktorer som kan påverka cybersäkerhet, såsom anställdas beteenden och vanor.

Cybersäkerhetsstyrning handlar om att säkerställa att alla åtgärder för att skydda en organisation från cyberhot är välstrukturerade och genomtänkta. Det innebär att identifiera risker och vidta lämpliga åtgärder för att förebygga och mildra effekterna av cyberattacker. Men många ledande befattningshavare, säkerhetsexperter och revisorer finner det svårt att genomföra effektiv cybersäkerhetsstyrning, särskilt när det gäller att få hela organisationen att anpassa sig till och följa dessa strikta riktlinjer.

Det finns grundläggande principer som kan hjälpa företagsstyrelser att säkerställa en effektiv cybersäkerhetsstyrning. Dessa inkluderar att styrelsen och den högsta ledningen måste ha en grundläggande förståelse för de potentiella effekterna av cyberbrott och cyberskrigföring, samt att de måste uppskatta de potentiella konsekvenserna av cyberrisker för organisationens verksamhet. Det är också avgörande att dessa ledare förstår den individuella och organisatoriska kulturens påverkan på cybersäkerhet, eftersom vanor och beteenden hos anställda ofta spelar en avgörande roll i hur säkerhetsåtgärder implementeras.

Vidare bör styrelsen och ledningen klart definiera affärscasen för cybersäkerhet, inklusive kostnader och fördelar, och säkerställa att riskviljan och toleransnivån för organisationen är kända för alla involverade parter. De måste också skapa ett ramverk för cybersäkerhetsstyrning, som klargör policyer och riktlinjer för att ge tydliga instruktioner till medarbetare och ledning om vad som förväntas.

Det är också viktigt att förstå att cybersäkerhet inte bara handlar om att implementera tekniska lösningar utan också om att skapa en säkerhetsmedveten kultur inom hela organisationen. Anställda, ledare och styrelsemedlemmar måste alla vara medvetna om sina ansvar och de potentiella konsekvenserna av att inte följa säkerhetsföreskrifterna. Detta kräver utbildning, kommunikation och ständiga förbättringar av säkerhetspraxis för att hålla jämna steg med den ständigt föränderliga cyberhotlandskapet.

Hur man hanterar och minimerar risker i relationer med tredje och fjärde parts leverantörer

Företag som outsourcar sina tjänster till tredjepartsleverantörer, och ibland även vidare till fjärde parts leverantörer, måste vara medvetna om de risker som dessa relationer medför. Tredjepartsleverantörer är företag eller individer som hanterar specifika funktioner åt ett annat företag, såsom mobilbanking, betalningar, kärnprocesser och andra tjänster. Fjärde parts leverantörer, å andra sidan, är de som tredjepartsleverantörerna outsourcar sina aktiviteter till. Detta innebär att företag inte bara är ansvariga för sina direkta leverantörer utan även för hela kedjan av aktörer som påverkar deras verksamhet.

En av de mest centrala frågorna för företag i denna typ av outsourcing är att identifiera och hantera de leverantörer som medför höga risker. Högriskleverantörer, eller kritiska leverantörer, är de som är inblandade i aktiviteter som potentiellt kan skada en organisations verksamhet, exempelvis genom att påverka informationshantering eller betalningstjänster. Att hantera dessa risker är avgörande för att säkerställa att outsourcing inte leder till oönskade konsekvenser, som dataförluster, sårbarheter i cybersäkerhet eller problem med affärscontinuity.

En viktig strategi för att hantera denna risk är att företag måste säkerställa att deras tredjepartsleverantörer är transparenta med sina egna leverantörer, inklusive de som tillhandahåller tjänster till fjärde part. Det innebär att tredjepartsleverantören måste kunna tillhandahålla detaljerad information om sina leverantörers cybersäkerhet, finansiella status och planer för affärskontinuitet. Denna insyn gör det möjligt för företaget att bättre bedöma och förstå de risker och kostnader som kommer med att hantera relationer inte bara med tredjepartsleverantörer, utan även med de vidare leverantörerna som påverkar hela kedjan.

En annan viktig aspekt är kontraktet mellan företaget och tredjepartsleverantören. I dessa avtal bör det finnas en specifik klausul som förbjuder tredjepartsleverantören att överlåta sina rättigheter eller outsourca sina uppgifter till andra leverantörer utan företagets godkännande. Denna klausul bör också kräva att företaget får meddelande i förväg eller samtycke innan en tredjepartsleverantör överlämnar tjänster vidare till fjärde parts leverantörer. På detta sätt säkerställs att företaget behåller kontrollen och kan ingripa om nya leverantörer innebär nya risker.

Reglerande myndigheter har utvecklat riktlinjer som hjälper företag att övervaka sina relationer med tredje- och fjärde partsleverantörer. Dessa riktlinjer omfattar due diligence vid val av leverantörer, förhandling av kontrakt, effektiva sätt att övervaka relationerna, och hur man avslutar avtal när det är nödvändigt. Genom att följa dessa riktlinjer kan organisationer bättre förstå hur hanteringen av dessa leverantörsrelationer passar in i deras övergripande strategiska plan.

Det är också viktigt att notera att det finns internationella standarder, såsom SSAE 18, som publicerades av American Institute of Certified Public Accountants. Denna standard hjälper företag att minska riskerna vid samarbete med fjärde parts leverantörer och innehåller specifika krav på att leverantörer ska tillhandahålla detaljerad information om sina fjärde parts leverantörer. SSAE 18 kräver också att tredjepartsleverantörer ska genomföra revisioner, prestandagranskningar och kontinuerlig övervakning av sina leverantörer för att säkerställa att riskerna minimeras.

Företagsledningar och styrelser måste också aktivt engagera sig i att förstå och övervaka riskerna kopplade till externa leverantörer. Flera organisationer, som National Association of Corporate Directors och Committee of Sponsoring Organizations of the Treadway Commission (COSO), har publicerat riktlinjer för hur styrelser kan hantera och övervaka riskkulturen i sina företag. Dessa riktlinjer omfattar bland annat hur styrelsen ska arbeta med riskhantering, sätta upp mål för riskhantering och övervaka hur effektivt riskhantering implementeras inom hela organisationen.

Ett viktigt framsteg i dessa riktlinjer är att COSO nu ger en tydlig definition av enterprise risk management (ERM), vilket gör att hela organisationen kan förstå och tillämpa riskhantering på ett mer effektivt sätt. Den reviderade ramverket tar även upp vikten av att styrelsen förstår kopplingen mellan riskhantering och affärsstrategier, såväl som de interna kontrollerna och beslut som påverkar organisationens riskaptit och risktolerans. Med denna typ av övervakning och strategisk förståelse kan styrelser bättre förstå hur deras beslut påverkar hela företaget och de risker som är inblandade.

En annan aspekt som bör beaktas är vikten av att informera och utbilda styrelsen om riskkulturen och de förväntningar som omgärdar riskhantering. Detta inkluderar att hålla regelbundna uppdateringar och utbildningar för styrelsemedlemmar så att de är medvetna om de förväntningar som finns på dem från regulatorer, investerare och andra externa intressenter. Styrelsen måste vara medveten om att ansvaret för att hantera och minska risker inte bara ligger på ledningen utan även på dem som de ansvarar för.

Företag måste förstå att ett omfattande och konsekvent tillvägagångssätt för att hantera sina leverantörsrelationer inte bara handlar om att minimera risker för tekniska eller finansiella problem, utan även för att skydda företagets rykte och långsiktiga hållbarhet.

Hur bör ett företag bygga ett effektivt program för juridisk efterlevnad och cybersäkerhet?

För att ett företag ska kunna hantera juridiska risker på ett effektivt sätt krävs ett välutvecklat och interaktivt efterlevnadsprogram som genomsyrar hela organisationen. Alla anställda, från styrelsen till den enskilde medarbetaren, bör delta i återkommande utbildningssessioner och få tillgång till skriftligt material som belyser betydelsen av etiskt uppförande och rättslig efterlevnad. Programmet måste regelbundet ses över för att säkerställa dess ändamålsenlighet och anpassas i takt med att affärsstrategier och externa regelverk förändras.

För att uppnå detta måste företagets rättsliga policyer vara både praktiskt tillämpbara och strategiskt integrerade i verksamheten. Styrelsen och ledningsgruppen har ett ansvar att upprätthålla konsekvent tillämpning av dessa policyer genom att införa adekv

Hur kan C-suite säkerställa företagets cybersäkerhet och skydda mot cyberhot?

I dagens värld, där cyberhot utvecklas i en snabb takt, är det avgörande för företagsledningen, inklusive den ansvariga för informationsteknologi, den ansvariga för cybersäkerhet och den verkställande direktören, att arbeta tillsammans för att skapa en robust cybersäkerhetsstrategi. Denna strategi bör inte bara reagera på aktuella hot utan också proaktivt identifiera och förhindra potentiella attacker innan de inträffar. En av de viktigaste åtgärderna för att uppnå detta är att investera i avancerade tekniska lösningar som kan upptäcka polymorfiska skadliga programvaror på system innan de får fäste i företagets infrastruktur.

Cyberkriminella utvecklar ständigt nya, sofistikerade verktyg för att angripa organisationer. Därför måste företagsledningen också vara medveten om dessa avancerade metoder innan man implementerar cybersäkerhetsåtgärder. Till exempel kan automatisering av affärsprocesser vara en viktig åtgärd för att både förebygga och mildra effekterna av automatiserade cyberattacker. Genom att använda automatiserade system kan företagsledningen hantera ett stort antal cyberhot mer effektivt och på ett sätt som annars skulle vara omöjligt att hantera manuellt.

För att ytterligare skydda sina system, bör C-suite välja säkerhetslösningar som övervakar både inkommande och utgående trafik på Internet, vilket gör det möjligt att upptäcka potentiella hot och blockera försök att infiltrera systemet. En sådan övervakning krävs för att säkerställa att ingen skadlig kod får fotfäste i företagets infrastruktur.

Företagets styrelse har höga förväntningar på C-suite när det gäller att identifiera och åtgärda de cybersäkerhetsrisker som kan äventyra företagets tillväxt och nuvarande ekonomiska situation. För att säkerställa affärens kontinuitet och skydda tillgångarna, måste de ledande personerna i organisationen implementera en övergripande cybersäkerhetsstrategi och en åtgärdsplan för att hantera eventuella incidenter. Att erkänna de potentiella cyberriskerna och införa åtgärder för att skydda mot dem är grundläggande för att säkerställa företagets långsiktiga framgång.

För att kunna utvärdera effektiviteten av de implementerade cybersäkerhetsåtgärderna måste C-suite välja och använda rätt cybermått och nyckeltal (KPI:er). Utan ett systematiskt sätt att mäta och utvärdera resultaten av cybersäkerhetsstrategierna, riskerar ledningen att inte kunna förstå hur väl företaget är skyddat mot interna och externa hot. Därför är det avgörande att ha tydliga KPI:er som gör det möjligt att mäta framgång och identifiera svagheter.

Ett exempel på en viktig KPI är att övervaka alla enheter som ansluts till det interna nätverket, inklusive de som anställda tar med sig till arbetsplatsen. Dessa enheter kan exponera företaget för malware och andra cybersäkerhetsrisker om de inte är ordentligt konfigurerade eller uppdaterade. Därför är det viktigt att använda nätverksintrångsdetekteringssystem för att identifiera och hantera potentiella hot från dessa enheter.

För att kunna hantera dessa utmaningar krävs det att företagsledningen har en beredskap för att snabbt åtgärda eventuella sårbarheter i systemet. Detta innebär att säkerställa att alla anställdas enheter är korrekt uppdaterade och att företaget har rutiner för att snabbt åtgärda nya säkerhetshot. En viktig aspekt av denna beredskap är också att ständigt vara uppdaterad på utvecklingen av nya hot och säkerhetsprotokoll för att förbli skyddad mot framtida attacker.