Hold op med at behandle compliance som en pligt—opbyg en robust sikkerhedskultur

Nævn ”overholdelse af cybersikkerhedskrav” for de fleste personer i din organisation, og deres øjne vil sandsynligvis blive blanke. Alligevel skyldes det dårlige omdømme delvist den måde, mange virksomheder behandler overholdelse på. Det opfattes ofte som et irriterende kontrolpunkt, der står i vejen for innovation og vækst, så virksomheder gør det mindst mulige for at bestå og glemmer derefter alt om det, indtil det igen er tid til revision. 

I virkeligheden kan overholdelse opnå det modsatte: skabe et grundlag for større modstandsdygtighed og succes i virksomheden. 

Hvis du mener, at overholdelse er et nødvendigt onde, har du endnu ikke fundet den rette ramme. Derfor bør dette år være året, hvor din organisation tager en ny tilgang til sig.

Trusler findes overalt

Regler og bestemmelser findes af en grund. I en verden præget af cyberrisici skal de sikre, at organisationer, der overholder kravene, har et grundlæggende sæt af politikker og processer, som i teorien beskytter dem mod alvorlige brud. Det er især vigtigt, eftersom cybersikkerhed stadig ikke er en integreret del af virksomhedskulturen på samme måde som sikkerhed på arbejdspladsen er det.

Et enkelt blik på trusselslandskabet fortæller dig, hvorfor sådanne regler findes. En enorm cyberkriminalitetsøkonomi til en værdi af billioner af dollars skaber et færdigt marked for handel med hackingværktøjer, viden og stjålne data. Meget af denne viden pakkes ind som let tilgængelige tjenester, hvilket yderligere sænker adgangsbarrieren for nye trusselsaktører. 

SaaS-virksomheder skal være særligt forsigtige. Din virksomhed kan være et attraktivt mål, hvis den håndterer store mængder følsomme kundedata og har en lav tolerance over for den slags tjenesteafbrydelser, som ransomware kan forårsage – hvilket vil sige de fleste virksomheder. Statsstøttede angreb er sjældnere, men de vokser i omfang og aggressivitet ifølge Microsoft.

Hvad er de mest almindelige cybertrusler?

Ifølge undersøgelser fra ISMS.online, som dækker USA, Storbritannien og Australien, var de fem største trusler, som respondenterne oplevede i 2024:

1. Malwareinfektioner (35 %) bliver stadig mere almindelige takket være færdigpakkede værktøjssæt.
2. Social manipulation (32 %) kan omfatte phishing via e-mail, tekstbeskeder, sociale medier og tale.
3. Deepfakes (30 %) kan narre ofre til at gennemføre pengeoverførsler for virksomheden eller hjælpe svindlere med at omgå kontroller af kunders identitet.
4. Ransomware (29 %) eksploderer takket være modellen ”som en tjeneste”, så ransomwarebeskyttelse er nødvendig.
5. Interne aktører (28 %) kan være enten uagtsomme eller ondsindede.

En mindre hæderlig omtale bør også gå til trusler i forsyningskæden. De fleste SaaS-virksomheder befinder sig i epicentret af et komplekst netværk af digitale leverandører. De samarbejder også med advokatfirmaer, lønudbydere og andre virksomheder inden for professionelle tjenester. Enhver af disse relationer kan blive undersøgt af trusselsaktører for at finde svagheder. 

Sidste år var den største informationssikkerhedsudfordring for vores respondenter ”håndtering af risici fra leverandører og tredjeparter.”

Hvad det betyder for din virksomhed

Alvorlige sikkerhedsbrud kan naturligvis føre til betydelige økonomiske skader og omdømmeskader. Derfor skal de fleste SaaS-virksomheder overholde et kludetæppe af overlappende cybersikkerhedsregler. 

I USA kan disse omfatte føderale love som loven om rapportering af cyberhændelser for kritisk infrastruktur (CIRCIA), sikkerheds- og privatlivslove på delstatsniveau samt sektorspecifikke love som loven om overførsel og ansvarlighed for sygesikringsoplysninger (HIPAA).

I EU omfatter nye bestemmelser loven om digital operationel modstandsdygtighed (DORA), NIS 2 og loven om cyberrobusthed (CRA).

Med så mange regler og ofte betydelige bøder for manglende overholdelse kan det hele virke overvældende, især for mindre SaaS-udbydere. Respondenterne angav overholdelse af forskellige bestemmelser som den næststørste informationssikkerhedsudfordring.

Hvorfor de gamle metoder ikke er de bedste

På denne baggrund kan man tilgive dig for at anlægge en afkrydsningsbaseret tilgang til overholdelse. Det giver mening på papiret. Fokuser på reglerne, og brug kun tilstrækkelig tid, penge og ressourcer på at overholde dem: ikke mere. 

Alligevel skaber det en lang række problemer på lang sigt. Det er en overfladisk form for overholdelse, der skaber en falsk følelse af sikkerhed og indsnævrer fokus så meget, at de underliggende risikokilder ikke bliver håndteret. Og fordi myndighederne konstant reagerer på ændringer i trussels- og teknologilandskabet, betyder afkrydsningsbaseret overholdelse, at det samme kommer til at gælde for dig. Det kan efterlade din virksomhed udsat for trusler i hastig udvikling.

Ud med afkrydsningsmentaliteten, ind med forretningsunderstøttelse

Når vi går ind i et nyt år, er det tid til en ny tilgang – en proaktiv indstilling med fokus på kontinuerlig sikkerhed og risikostyring, hvor overholdelse behandles som en vækstfaktor. Lad os se på to tilgange baseret på bedste praksis, der kan være en hjælp.

ISO 27001 er en internationalt anerkendt standard, der er udviklet til at hjælpe organisationer med at strukturere og forenkle styringen af informationssikkerhed. Den består af tre elementer:

1. En ramme for et ledelsessystem for informationssikkerhed (ISMS) hjælper med at etablere et omfattende sæt politikker og procedurer til styring af informationssikkerhed. Dette er det grundlæggende element og nøglen til at fremme en proaktiv kultur for overholdelse.
2. En risikovurderingsproces, der kræver, at organisationer identificerer potentielle trusler.
3. Et sæt kontroller i "Bilag A" bidrager til at sikre, at organisationens ISMS effektivt begrænser risikoen.

ISO 27001-certificering, som er anerkendt i over 150 lande, fremhæver din virksomhed som en virksomhed, der tager proaktiv risikostyring alvorligt. Det kan hjælpe med at forhindre databrud (og den tid og de penge, de kræver), opbygge kundernes tillid og forkorte salgscyklusser. 

Den kultur med kontinuerlig forbedring, modstandsdygtighed og sikkerhedsbevidsthed, som den fremmer, ligger langt fra overholdelse baseret på afkrydsning af afkrydsningsfelter.

SOC 2 er ikke en standard, men snarere en ramme, der specifikt er udviklet til organisationer, som opbevarer kundedata i skyen. Det gør den ideel til SaaS-udbydere, især i Nordamerika, hvor den nyder større kendskab end ISO 27001.

SOC 2 omfatter fem kategorier af "tillid" – sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed og privatliv. Men her kommer det interessante: Hver organisation vælger kun de kategorier, der er relevante for dens virksomhed, og kortlægger derefter, hvordan den vil opfylde de omkring 60 krav i hver kategori. I stedet for at følge en foreskrivende liste over kontroller kan du udforme de tilpassede politikker og processer, der er relevante for din virksomhed.

Der er ingen tid som nu

I sidste ende ligner fordelene ved SOC 2 dem ved ISO 27001. Når du har bestået den tekniske revision, vil overholdelse af SOC 2 holde din organisation bedre beskyttet mod alvorlige hændelser – og forhindre økonomiske tab og omdømmeskader. Det vil hjælpe med at give eksisterende og potentielle kunder solide sikkerhedsgarantier samt forenkle overholdelsen af mange af de cybersikkerhedsregler, der bygger på de samme bedste praksisser. 

Ingen ved, hvad det kommende år vil bringe. Men i en verden præget af kaos og usikkerhed vil en kultur for overholdelse med kontinuerlig forbedring hjælpe med at beskytte din virksomhed mod risiko i dag. Og gøre den i stand til at få succes i morgen.

Tilmeld dig The CTO Club’s nyhedsbrev for at få flere tips, værktøjer og bedste praksisser inden for overholdelse.