Artikel top billede

Derfor halter din informationssikkerhed

Klumme: Virksomheder mangler tre ting for at gennemføre den sikkerhed, de drømmer om.

Ressourcer. Tid. Penge.

De tre ord hører jeg igen og igen, når jeg spørger it-sikkerhedsansvarlige, hvad deres største udfordringer er.

Vi mangler ressourcer i form af mennesker og viden.

Ressourcerne er nødvendige for at gøre ønskerne om it-sikkerhed til virkelighed: Der skal være nogen, som kan konfigurere firewallen eller foretage risikoanalysen.

Vi mangler tid.

It-funktionen er konstant presset: Den skal holde al organisationens it kørende, samtidig med at den leverer de nye funktioner, virksomheden efterspørger.

Så er det svært at få tid til også at analysere en serverlog eller køre en sårbarhedsscanning.

Vi mangler penge.

Det er altid lettere at få bevilget penge til nye pc'er eller applikationer, end det er at få plads på budgettet til at foretage en risikoanalyse eller ansætte sikkerhedsfolk.

Standard begynder ovenfra

Ressourcer, tid og penge.

Hvordan får vi mere af alle tre ting til arbejdet med it-sikkerhed?

Jeg har fundet en del af svaret i ISO 27001.

ISO 27001 er den internationale standard for it-sikkerhed, som alle statslige institutioner i Danmark skal følge.

Men jeg synes, at også andre skal sætte sig ind i den.

Standarden har noget at give både offentlige myndigheder, private virksomheder og andre organisationer, der ønsker at beskytte deres information.

Her er det gode ved ISO 27001

Det gode ved ISO 27001 er, at den begynder fra oven.

Den ser informationssikkerhed som noget, ledelsen har ansvaret for.

Det fremgår direkte af den officielle titel: "Ledelsessystemer for informationssikkerhed".

Derfor er standarden heller ikke fuld af konkrete tekniske krav.

Der står ikke, at man skal have en firewall med stateful inspection eller kryptering baseret på AES.

Så ISO 27001 er ikke en kogebog med opskrifter, man kan følge for at blive sikker.

I stedet er den en anvisning på, hvordan man udvikler og vedligeholder hele det ledelsessystem, der skal sikre ens informationer.

Kræver ledelsens engagement

Der står direkte, at ledelsen skal bevise sit engagement i opgaven.

Det sker ved at fastlægge sikkerhedspolitikken og følge op på, at den bliver efterlevet.

Dermed vender ISO 27001 den problemstilling på hovedet, som jeg indledte denne klumme med:

Nu handler det ikke om, at den sikkerhedsansvarlige står med hatten i hånden og beder om penge fra ledelsen.

Nej, nu er ledelsen selv forpligtet til at stille de nødvendige ressourcer til rådighed. Det fremgår af stk. 5.2.1 i standarden.

Fastlæg risikoen

Derfor lyder mit råd til it-sikkerhedsansvarlige: Sæt jer ind i ISO 27001.

Vær opmærksom på, at en ny version er på trapperne, ISO 27001:2013. Men den er ikke udsendt endnu.

Når I har læst standarden, skal I sælge ideen til jeres ledelse.

Sådan sælger du ideen til ledelsen

Hvis du arbejder i staten, er en del af arbejdet gjort på forhånd.

Er du i en virksomhed, kan du slå på, at I kan blive certificeret efter standarden og dermed få et blåt stempel, der kendes i både ind- og udland.

Du kan også gøre opmærksom på de mange sager, hvor firmaer får dårlig omtale, når hackere lægger deres kundedata ud på nettet.

En vigtig del af opgaven er risikovurdering. Den skal du begynde med.

Her handler det om at stille de ubehagelige spørgsmål: Hvor er vi sårbare? Hvor er vores svageste led? Hvor længe kan vi køre videre, hvis vores it går ned?

Når I har identificeret risici, skal I afgøre, hvad I vil gøre ved dem. Man kan vælge at leve med en risiko, at mindske konsekvenserne af den, eller helt at fjerne den.

Se på forretningen

Ressourcer. Tid. Penge. I virkeligheden skal der kun én ting til, for at du kan få alle tre dele: Ledelsens opbakning.

Så start der. Tænk over de fordele, der giver jeres virksomhed, at dens it fungerer i hverdagen og kan overleve angreb.

Gå til ledelsen og tal om fordelene ved at angribe it-sikkerhedsområdet på en struktureret måde, der bygger på konkrete erfaringer.

Hvis du formår at gøre ledelsen begejstret, får du både ressourcer, tid og penge til informationssikkerhed.DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team. I samarbejde med tilsvarende CERT'er over hele verden indsamler DKCERT information om internetsikkerhed.

DKCERT udsender advarsler og tager imod henvendelser om sikkerhedsrelaterede hændelser på internettet. DKCERT er en organisation i DeIC, DTU.

Shehzad Ahmad opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Alfapeople Nordic A/S
Rådgivning, implementering, udvikling og support af software og it-løsninger indenfor CRM og ERP.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere