Vad är riskhantering inom informationssäkerhet?

Vad är informationssäkerhetsriskhantering?

Informationssäkerhetsriskhantering handlar om att fatta tydliga, prioriterade säkerhetsbeslut när man inte har fullständig information.

Alla organisationer verkar under osäkra förhållanden. Hot förändras, system utvecklas och resurserna är begränsade. Informationssäkerhetsriskhantering ger dig möjlighet att bestämma vad du ska skydda, hur mycket du ska investera och vilka risker du medvetet är villig att acceptera.

Istället för att reagera på incidenter eller förlita sig på intuition skapar du en arbetsmodell av din miljö ur ett riskperspektiv. Den modellen hjälper dig att förstå vad som är viktigast för ditt företag och var säkerhetsåtgärder faktiskt minskar betydande risker. Och denna riskhanteringsmodell bör förändras i takt med att ditt företag, din teknik och din driftsmiljö förändras.

Det problem som riskhantering är avsett att lösa

Man kan inte skydda allt lika bra.

Tid, budget och personal är alltid begränsade resurser. Den verkliga frågan är inte om en kontrollåtgärd är bra i sig, utan om den är det bästa sättet att använda resurserna jämfört med andra alternativ.

Infosec-riskhantering finns till för att besvara en enda fråga:

Vad ska vi göra med de resurser vi har för att skydda vår information och vår verksamhet så effektivt som möjligt?

När det görs på rätt sätt blir avvägningarna tydliga. Det visar varför vissa risker hanteras omedelbart, andra skjuts upp och vissa accepteras medvetet.

Läs också: Varför är informationssäkerhetsriskhantering så viktigt?

Målet med informationssäkerhetsriskhantering

Det är omöjligt att eliminera alla risker, så det är inte målet med riskhantering. Det verkliga målet är att:

• Fokusera resurserna där de minskar risken mest
  
• Förstå din nuvarande säkerhetssituation
  
• Vet vad som krävs för att uppnå önskad säkerhetsnivå
  
• Fatta beslut baserat på en gemensam förståelse, inte magkänsla
  

Detta skapar förutsägbarhet, och säkerhetsarbetet blir avsiktligt istället för reaktivt.

Vad gör att informationssäkerhetsriskhantering fungerar?

Riskhantering misslyckas ofta eftersom den förvandlas till dokumentation istället för beslutsfattande. För att fungera i praktiken måste fyra element finnas på plats.

Förfarande: en vana för beslutsfattande

En användbar riskhanteringsprocedur definierar hur beslut fattas, inte bara hur formulär fylls i. Den besvarar frågor som:

• Hur identifieras och utvärderas risker?
  
• Vad skrivs ner och vad hålls lättviktigt?
  
• Vilken risknivå är acceptabel, och vem bestämmer det?
  

Fokus bör ligga på relativ prioritering. Att försöka beräkna exakta riskpoäng skapar en illusion av noggrannhet. Osäkerhet finns alltid, och att låtsas något annat leder till dåliga beslut.

Det viktiga är att jämföra riskerna med varandra och besluta vilka som kräver åtgärder nu.

Team: rätt personer och tydligt ansvar

God riskhantering kräver flera olika perspektiv. Teknisk förståelse räcker inte. Du behöver också affärskontext, kunskap om processer och medvetenhet om verkliga begränsningar.

Varje risk måste ha en tydlig ansvarig person. Den personen ansvarar för att besluta hur risken ska hanteras och för att se till att överenskomna åtgärder genomförs.

Utan ägarskap stannar riskhanteringen upp. Risker diskuteras, men ingenting förändras.

Åtgärder: riskhantering är bara viktig om den leder till förändring

Det enda meningsfulla resultatet av riskhantering är handling. För varje relevant risk måste det finnas ett tydligt resultat:

• En konkret förbättring genomförs
  
• Risken accepteras medvetet
  
• Risken skjuts upp med en motivering och en granskningspunkt.
  

Om riskdiskussioner inte leder till tydliga åtgärder eller beslut har processen misslyckats. Dokumentation i sig minskar inte risken.

Integration: att göra riskhantering till en del av det dagliga arbetet

Riskhantering kan inte vara isolerad eller sporadisk. Om den sker en gång om året kommer den inte att påverka de faktiska besluten. Om den ligger utanför det dagliga arbetet kommer den att ignoreras.

Riskhantering måste aktiveras vid rätt tillfällen, till exempel:

• Introduktion av nya system eller leverantörer
  
• Gör stora förändringar i databehandlingen
  
• Efter incidenter eller tillbud
  
• Vid strategiska beslut eller budgetbeslut
  

När riskhantering är en del av det dagliga arbetet förbättras säkerhetsbesluten naturligt med tiden.

Hur ramverk och riskhantering passar ihop

Informationssäkerhetsramverk och riskhantering är inte separata aktiviteter. De fungerar i lager, där varje lager bygger på det föregående.

I grunden definierar ramverk en gemensam basnivå. Deras krav återspeglar vad som generellt sett anses viktigt för alla organisationer, baserat på kollektiv erfarenhet. Detta ger dig en utgångspunkt och hjälper dig att säkerställa att du inte missar några grundläggande säkerhetsområden.

Utöver denna basnivå finns ramverkets kontroller. Dessa beskriver vilka typer av skyddsåtgärder som minst bör finnas. De beskriver de ämnen och mekanismer som måste behandlas, men inte hur djupgående eller omfattande de måste implementeras.

Det tredje tillagda lagret är riskhantering. Det avgör hur långt varje kontroll ska gå i din specifika miljö. Det är här beslut fattas om djup, omfattning och prioritering, baserat på verkliga begränsningar och faktiska risker.

Det yttersta lagret är riskbedömning. Här går du bortom själva ramverket och tänker självständigt. Riskbedömningar avslöjar vilka kontroller som behöver implementeras mer kraftfullt och vilka ytterligare kontroller som kan behövas för att hantera risker som är specifika för din organisation.

Det är också på denna nivå som inlärningen sker. Du skapar en repeterbar beslutsprocess som fortsätter att fungera efter att den initiala efterlevnaden har uppnåtts.

Utan riskhantering förblir ramverk ytliga. Kontroller implementeras som kryssrutor, skyddet missar det som faktiskt är viktigt och säkerhetsarbetet glider långsamt bort från affärsprioriteringarna.

Att omvandla riskhantering till vardagligt säkerhetsarbete

Informationssäkerhetsriskhantering fungerar bara när den är praktisk, kontinuerlig och kopplad till verkliga beslut. Ramverk ger struktur och riskhantering ger riktning, men båda misslyckas om de förblir abstrakta eller kopplade från det dagliga arbetet.

Det är här ett ISMS måste göra mer än bara lagra dokument.

Cyberday är utformat för att stödja båda sidor samtidigt. Det ger dig verktyg för att bedriva löpande riskhantering, inte bara engångsbedömningar, och för att koppla det arbetet direkt till de ramverk du följer. Oavsett om du arbetar med ISO 27001, NIS2 eller andra krav gäller samma riskbaserade tillvägagångssätt.

Risker, kontroller och åtgärder finns samlade på ett ställe. Riskägare är tydligt definierade. Beslut och uppföljningsåtgärder är synliga och inte begravda i rapporter. När något förändras, ett nytt system, en ny leverantör, ett nytt krav, aktiveras riskhanteringen som en del av det normala arbetet.

Resultatet är ett ISMS som är i linje med företagets prioriteringar. Ramverkets efterlevnad blir en biprodukt av god riskhantering, inte tvärtom.

‍

För att fördjupa dig i ämnet, titta på vårt webbinarium på begäran: Informationssäkerhetsriskhantering: Från förvirring till en fungerande modell

‍