Slutt å behandle etterlevelse som et ork – bygg en robust sikkerhetskultur

Nevn «etterlevelse av cybersikkerhetskrav» for de fleste i organisasjonen din, og blikket deres blir sannsynligvis matt. Det negative omdømmet skyldes imidlertid delvis hvordan mange selskaper behandler etterlevelse. Det oppfattes ofte som en irriterende kontroll av innovasjon og vekst, så virksomheter gjør minst mulig for å bestå og glemmer deretter alt om det til det igjen er tid for revisjon. 

I virkeligheten kan etterlevelse oppnå det motsatte: å skape et grunnlag for økt motstandsdyktighet og suksess. 

Hvis du mener at etterlevelse er et nødvendig onde, har du ennå ikke funnet det riktige rammeverket. Derfor bør dette året bli året da organisasjonen din tar i bruk en ny tilnærming.

Trusler finnes overalt

Regler og forskrifter finnes av en grunn. I en verden preget av cyberrisiko er formålet å sikre at virksomheter som etterlever kravene, har et grunnleggende sett med retningslinjer og prosesser som i teorien vil beskytte dem mot alvorlige datainnbrudd. Det er spesielt viktig ettersom cybersikkerhet fortsatt ikke er omfavnet som en del av bedriftskulturen på samme måte som sikkerhet på arbeidsplassen er.

Et eneste blikk på trussellandskapet viser hvorfor slike regler finnes. En enorm cyberkriminalitetsøkonomi verdt billioner av dollar tilbyr et ferdig marked for handel med hackeverktøy, kunnskap og stjålne data. Mye av denne kunnskapen pakkes inn i tjenester som er enkle å ta i bruk, noe som ytterligere senker terskelen for nye trusselaktører. 

SaaS-selskaper må være spesielt forsiktige. Virksomheten din kan være et attraktivt mål hvis den håndterer store mengder sensitive kundedata og har lav toleranse for typen tjenesteavbrudd som løsepengevirus kan forårsake – noe som vil si de fleste selskaper. Statssponsede angrep er sjeldnere, men øker i omfang og aggressivitet, ifølge Microsoft.

Hva er de vanligste cybertruslene?

Ifølge forskning fra ISMS.online, som dekker USA, Storbritannia og Australia, var de fem største truslene respondentene opplevde i 2024:

1. Skadevareinfeksjoner (35 %) blir stadig vanligere takket være ferdigpakkede verktøysett.
2. Sosial manipulering (32 %) kan omfatte phishing via e-post, tekstmeldinger, sosiale medier og tale.
3. Deepfakes (30 %) kan lure ofre til å overføre penger fra virksomheten eller hjelpe svindlere med å omgå kundekontroller.
4. Løsepengevirus (29 %) eksploderer takket være modellen «som tjeneste», så beskyttelse mot løsepengevirus er nødvendig.
5. Interne aktører (28 %) kan være enten uaktsomme eller ondsinnede.

En lite hederlig omtale bør også gå til trusler i leverandørkjeden. De fleste SaaS-selskaper befinner seg i episenteret av et komplekst nettverk av digitale leverandører. De samarbeider også med advokatfirmaer, lønnsleverandører og andre virksomheter som tilbyr profesjonelle tjenester. Alle disse relasjonene kan undersøkes av trusselaktører på jakt etter svakheter. 

I fjor var den største informasjonssikkerhetsutfordringen respondentene våre sto overfor, «håndtering av leverandør- og tredjepartsrisiko».

Dette betyr det for virksomheten din

Alvorlige sikkerhetsbrudd kan selvsagt føre til betydelig økonomisk skade og omdømmeskade. Derfor må de fleste SaaS-selskaper etterleve et lappeteppe av overlappende cybersikkerhetsforskrifter. 

I USA kan dette omfatte føderale lover som loven om rapportering av cyberhendelser i kritisk infrastruktur (CIRCIA), sikkerhets- og personvernlovgivning på delstatsnivå og sektorspesifikke lover som loven om overførbarhet og ansvarlighet for helseforsikring (HIPAA).

I EU omfatter nye forskrifter loven om digital operasjonell motstandsdyktighet (DORA), NIS 2 og loven om cyberrobusthet (CRA).

Med så mange regler og ofte betydelige bøter for manglende etterlevelse kan det hele virke overveldende, særlig for mindre SaaS-leverandører. Respondentene i undersøkelsen oppga etterlevelse av ulike forskrifter som den nest største informasjonssikkerhetsutfordringen.

Hvorfor de gamle metodene ikke er de beste

På denne bakgrunnen kan du unnskyldes for å velge en avkrysningsmetode for etterlevelse. Det gir mening på papiret. Fokuser på reglene, og bruk bare nok tid, penger og ressurser til å etterleve dem – ikke mer. 

Likevel skaper det en rekke problemer på lang sikt. Det er en overfladisk form for etterlevelse som skaper en falsk trygghetsfølelse og snevrer inn fokuset så mye at de underliggende risikokildene ikke håndteres. Og fordi tilsynsmyndighetene stadig reagerer på endringer i trussel- og teknologilandskapet, betyr avkrysningsbasert etterlevelse at du også vil gjøre det. Det kan gjøre virksomheten din sårbar for trusler i rask utvikling.

Ut med avkrysningsmentaliteten, inn med forretningsfremdrift

Når vi går inn i et nytt år, er det på tide med en ny tilnærming – en proaktiv holdning med fokus på kontinuerlig sikkerhet og risikostyring, der samsvar behandles som en muliggjører for vekst. La oss se på to anbefalte fremgangsmåter som kan være til hjelp.

ISO 27001 er en internasjonalt anerkjent standard som er utviklet for å hjelpe organisasjoner med å strukturere og forenkle styringen av informasjonssikkerhet. Den består av tre elementer:

1. Et rammeverk for styringssystem for informasjonssikkerhet (ISMS) bidrar til å etablere et omfattende sett med retningslinjer og prosedyrer for håndtering av informasjonssikkerhet. Dette er det grunnleggende elementet og nøkkelen til å fremme en proaktiv samsvarskultur.
2. En prosess for risikovurdering som krever at organisasjoner identifiserer potensielle trusler.
3. Et sett med kontroller i «Vedlegg A» bidrar til å sikre at organisasjonens ISMS effektivt reduserer risiko.

ISO 27001-sertifisering er anerkjent i over 150 land og fremhever virksomheten din som en som tar proaktiv risikostyring på alvor. Dette kan bidra til å forhindre sikkerhetsbrudd (og tiden og pengene de krever), bygge kundetillit og korte ned salgssyklusene. 

Kulturen for kontinuerlig forbedring, robusthet og sikkerhetsbevissthet som dette fremmer, er langt unna samsvar basert på avkrysning av sjekklister.

SOC 2 er ikke en standard, men snarere et rammeverk som er utviklet spesifikt for organisasjoner som lagrer kundedata i skyen. Det gjør rammeverket ideelt for SaaS-leverandører, særlig i Nord-Amerika, der det har større kjennskap enn ISO 27001.

SOC 2 dekker fem «tillitskategorier» – sikkerhet, tilgjengelighet, behandlingsintegritet, konfidensialitet og personvern. Men her er det interessante: Hver organisasjon velger bare kategoriene som gjelder for virksomheten, og kartlegger deretter hvordan den skal oppfylle de rundt 60 kravene i hver kategori. I stedet for å følge en foreskrivende liste over kontroller kan du utforme de tilpassede retningslinjene og prosessene som er relevante for virksomheten din.

Det finnes ikke noe bedre tidspunkt enn nå

Til syvende og sist ligner fordelene ved SOC 2 på fordelene ved ISO 27001. Når du har bestått den tekniske revisjonen, vil SOC 2-samsvar holde organisasjonen tryggere mot alvorlige hendelser – og forhindre økonomisk skade og omdømmeskade. Det vil bidra til å gi eksisterende og potensielle kunder solide sikkerhetsgarantier, samt forenkle samsvar med mange av cybersikkerhetsforskriftene som bygger på den samme anbefalte praksisen. 

Ingen vet hva det kommende året vil bringe. Men i en verden preget av kaos og usikkerhet vil en samsvarskultur basert på kontinuerlig forbedring bidra til å skjerme virksomheten din mot risiko i dag. Og gjøre den rustet til å lykkes i morgen.

Abonner på nyhetsbrevet til The CTO Club for flere tips, verktøy og anbefalte fremgangsmåter innen samsvar.