.svg)
Informationssäkerhetsriskhantering är en central del av att bygga upp ett effektivt säkerhetssystem, men i praktiken brister det ofta. Vi vet att det inte beror på att organisationer helt ignorerar risker. Oftast finns riskhantering i processerna, men den styr inte de faktiska besluten.
För att förstå var teamen har svårt är det bra att först förstå vad informationssäkerhetsrisk är och varför hantering av informationssäkerhetsrisker är så viktigt. När vi har förstått grunderna är det dags att titta på de vanligaste sätten som riskhantering misslyckas i praktiken, hur man kan känna igen tecknen och hur teamen kan ändra riktning för att förbättra riskhanteringen.
1. Att behandla riskhantering som en engångsåtgärd
Riskhantering behandlas ofta som en engångsåtgärd som vanligtvis genomförs en gång om året strax före en revision. En formell riskbedömning genomförs, dokumenteras och lämnas sedan orörd fram till nästa revisionscykel. Under tiden utvecklas verksamheten, nya verktyg införs och arbetssätt förändras, men riskerna förblir desamma.
Du kan till och med märka detta från den alltför välbekanta tanken: "Vi uppdaterar detta nästa år."
För att ändra riktning måste riskhanteringen vara kontinuerlig och händelsestyrd. Riskerna bör ses över när något förändras i organisationen, inte bara när kalendern säger att det är dags. Detta gör att riskbedömningarna förblir relevanta och säkerställer att säkerhetsbesluten baseras på dagens verklighet, inte förra årets antaganden.
2. För mycket fokus på dokumentation, för lite på beslut
Riskhantering lägger ofta större vikt vid dokumentation än vid beslutsfattande. Team skapar välpolerade riskregister och detaljerade beskrivningar, men det är oklart vad som egentligen bör göras annorlunda som ett resultat av detta. Problem uppstår när åtgärder inte är tydligt definierade, val inte görs och uppföljning saknas. Det vanliga tecknet är att riskhantering producerar dokument, inte resultat.
Riskhantering bör finnas till för att stödja beslut. Dokumentation bör hjälpa teamen att fatta och följa upp beslut, inte ersätta dem.
3. Alla risker blir till slut ”höga”
Det händer alldeles för ofta att alla identifierade risker klassificeras som höga. Det finns ingen verklig prioritering och riskbedömningen förlorar sin mening, vilket i slutändan gör att ledningen står utan en tydlig grund för beslutsfattande, vilket i sin tur leder oss tillbaka till frågan i föregående punkt. När allt är brådskande är ingenting verkligen brådskande.
Detta är ett tecken på att riskmodellen inte riktigt hjälper. Prioritering bör möjliggöra avvägningar och tydligt visa vilka risker som kräver omedelbar uppmärksamhet och vilka som kan hanteras senare.
4. Ingen tydlig riskansvarig
Ett annat vanligt problem är otydligt ansvar för risker. Risker tilldelas vagt till ”IT” eller ”säkerhet”, utan att någon enskild person är ansvarig för besluten. Riskacceptans är informell, om den överhuvudtaget förekommer, och ingen kan med säkerhet säga vem som är ansvarig för en viss risk.
För att komma vidare behöver varje risk en verklig ägare, någon som förstår sammanhanget och har befogenhet att fatta de nödvändiga besluten.
5. Beslut om riskhantering är inte tydliga.
Ibland är det oklart vilket beslut som faktiskt har fattats om en risk. Kontroller införs, men ingen har tydligt angett varför just dessa valdes. Riskacceptans dokumenteras inte och kvarstående risker granskas inte. Säkerhetsarbete utförs, men risken förändras inte.
Riskhantering fungerar bättre när riskhantering hanteras som ett tydligt beslut och skrivs ner som sådant, istället för att lämnas som en antagande.
6. Riskhanteringen är avskild från den dagliga verksamheten.
Riskhantering bör vara en del av det dagliga arbetet. Men i praktiken lanseras ofta nya system utan riskbedömning, leverantörer anlitas utan utvärdering och förändringar genomförs utan att riskerna beaktas. Riskerna hamnar till slut bara i säkerhetsdokument.
Hur kan man ändra på detta? Riskhantering måste integreras i den dagliga verksamheten så att risktänkande automatiskt aktiveras när något förändras.
7. För många riskhanteringsåtgärder
Vi beslutade mycket, men ingenting förändrades egentligen.
I riskworkshops kommer teamen ofta överens om flera åtgärder. På papperet ser allt proaktivt ut, men när det dagliga arbetet återupptas genomförs de flesta åtgärderna aldrig. Uppföljningen avtar och ingenting förändras egentligen.
Det betyder oftast att det finns för många åtgärder. Färre, väl valda riskhanteringsåtgärder är mycket effektivare än långa listor som aldrig blir avklarade.
8. Riskerna är för generella för att kunna åtgärdas.
Vissa risker beskrivs så allmänt att det är omöjligt att vidta åtgärder. Begrepp som ”dataintrång”, ”systemfel” eller ”cyberattack” förklarar inte vad som faktiskt skulle hända, hur det skulle kunna inträffa eller vilka konsekvenserna skulle bli. God riskhantering fokuserar på realistiska scenarier som människor kan förstå och reagera på, snarare än abstrakta hotbegrepp.
9. Efterlevnad driver riskhantering istället för tvärtom
I vissa organisationer blir det i slutändan efterlevnaden som avgör riskprioriteringarna. Ramverkets checklistor styr besluten, riskerna analyseras baklänges för att matcha kontrollerna och nya hot förbises. Antagandet blir: ”Vi följer reglerna, så vi måste vara säkra.”
Riskhantering bör styra efterlevnaden – inte begränsas av den.
10. Ingen inlärningscykel från ISMS-arbetet
Slutligen saknar många organisationer en lärandecykel i sin riskhantering. Incidenter hanteras separat, revisionsresultat uppdaterar inte riskerna och medarbetarnas feedback tas inte med i bedömningarna. Detta leder till att samma problem upprepas över tid.
Det borde fungera tvärtom: riskhanteringen bör kontinuerligt dra lärdom av incidenter, revisioner och erfarenheter från verkligheten för att förbli relevant och effektiv.
Så vad bör du tänka på?
De flesta misslyckanden inom informationssäkerhetsriskhantering beror inte på att man helt ignorerar riskerna. De beror på att riskhanteringen är för tung, för avskild från det dagliga arbetet eller för fokuserad på dokumentation istället för beslut.
God riskhantering är praktisk. Den hjälper människor att fatta beslut, inte bara fylla i mallar. Den är kontinuerlig, lätt att uppdatera och nära kopplad till hur organisationen faktiskt fungerar. När riskhanteringen sköts på rätt sätt underlättar den prioriteringar, lärande och tydligt ansvarstagande. Den synliggör risker vid rätt tillfällen och hjälper teamen att fokusera på det som verkligen är viktigt – inte bara det som ser bra ut på papperet.
Om man håller dessa principer i åtanke blir det mycket lättare att förvandla riskhantering från ett formellt krav till en verklig drivkraft för bättre informationssäkerhet.
