Artikel top billede

Derfor halter din informationssikkerhed

Klumme: Virksomheder mangler tre ting for at gennemføre den sikkerhed, de drømmer om.

Ressourcer. Tid. Penge.

De tre ord hører jeg igen og igen, når jeg spørger it-sikkerhedsansvarlige, hvad deres største udfordringer er.

Vi mangler ressourcer i form af mennesker og viden.

Ressourcerne er nødvendige for at gøre ønskerne om it-sikkerhed til virkelighed: Der skal være nogen, som kan konfigurere firewallen eller foretage risikoanalysen.

Vi mangler tid.

It-funktionen er konstant presset: Den skal holde al organisationens it kørende, samtidig med at den leverer de nye funktioner, virksomheden efterspørger.

Så er det svært at få tid til også at analysere en serverlog eller køre en sårbarhedsscanning.

Vi mangler penge.

Det er altid lettere at få bevilget penge til nye pc'er eller applikationer, end det er at få plads på budgettet til at foretage en risikoanalyse eller ansætte sikkerhedsfolk.

Standard begynder ovenfra

Ressourcer, tid og penge.

Hvordan får vi mere af alle tre ting til arbejdet med it-sikkerhed?

Jeg har fundet en del af svaret i ISO 27001.

ISO 27001 er den internationale standard for it-sikkerhed, som alle statslige institutioner i Danmark skal følge.

Men jeg synes, at også andre skal sætte sig ind i den.

Standarden har noget at give både offentlige myndigheder, private virksomheder og andre organisationer, der ønsker at beskytte deres information.

Her er det gode ved ISO 27001

Det gode ved ISO 27001 er, at den begynder fra oven.

Den ser informationssikkerhed som noget, ledelsen har ansvaret for.

Det fremgår direkte af den officielle titel: "Ledelsessystemer for informationssikkerhed".

Derfor er standarden heller ikke fuld af konkrete tekniske krav.

Der står ikke, at man skal have en firewall med stateful inspection eller kryptering baseret på AES.

Så ISO 27001 er ikke en kogebog med opskrifter, man kan følge for at blive sikker.

I stedet er den en anvisning på, hvordan man udvikler og vedligeholder hele det ledelsessystem, der skal sikre ens informationer.

Kræver ledelsens engagement

Der står direkte, at ledelsen skal bevise sit engagement i opgaven.

Det sker ved at fastlægge sikkerhedspolitikken og følge op på, at den bliver efterlevet.

Dermed vender ISO 27001 den problemstilling på hovedet, som jeg indledte denne klumme med:

Nu handler det ikke om, at den sikkerhedsansvarlige står med hatten i hånden og beder om penge fra ledelsen.

Nej, nu er ledelsen selv forpligtet til at stille de nødvendige ressourcer til rådighed. Det fremgår af stk. 5.2.1 i standarden.

Fastlæg risikoen

Derfor lyder mit råd til it-sikkerhedsansvarlige: Sæt jer ind i ISO 27001.

Vær opmærksom på, at en ny version er på trapperne, ISO 27001:2013. Men den er ikke udsendt endnu.

Når I har læst standarden, skal I sælge ideen til jeres ledelse.

Sådan sælger du ideen til ledelsen

Hvis du arbejder i staten, er en del af arbejdet gjort på forhånd.

Er du i en virksomhed, kan du slå på, at I kan blive certificeret efter standarden og dermed få et blåt stempel, der kendes i både ind- og udland.

Du kan også gøre opmærksom på de mange sager, hvor firmaer får dårlig omtale, når hackere lægger deres kundedata ud på nettet.

En vigtig del af opgaven er risikovurdering. Den skal du begynde med.

Her handler det om at stille de ubehagelige spørgsmål: Hvor er vi sårbare? Hvor er vores svageste led? Hvor længe kan vi køre videre, hvis vores it går ned?

Når I har identificeret risici, skal I afgøre, hvad I vil gøre ved dem. Man kan vælge at leve med en risiko, at mindske konsekvenserne af den, eller helt at fjerne den.

Se på forretningen

Ressourcer. Tid. Penge. I virkeligheden skal der kun én ting til, for at du kan få alle tre dele: Ledelsens opbakning.

Så start der. Tænk over de fordele, der giver jeres virksomhed, at dens it fungerer i hverdagen og kan overleve angreb.

Gå til ledelsen og tal om fordelene ved at angribe it-sikkerhedsområdet på en struktureret måde, der bygger på konkrete erfaringer.

Hvis du formår at gøre ledelsen begejstret, får du både ressourcer, tid og penge til informationssikkerhed.DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team. I samarbejde med tilsvarende CERT'er over hele verden indsamler DKCERT information om internetsikkerhed.

DKCERT udsender advarsler og tager imod henvendelser om sikkerhedsrelaterede hændelser på internettet. DKCERT er en organisation i DeIC, DTU.

Shehzad Ahmad opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Targit A/S
Udvikling og salg af software til business intelligence.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Strategisk it-sikkerhedsdag – Identificer, beskyt og forsvar

Trusselsbilledet er rødglødende og it-sikkerhedslandskabet har aldrig været mere anspændt end nu. Flere organisationer end nogensinde før bliver som følge udsat for cyber-angreb, der er udført af professionelle og målrettede hackere Vi tager temperaturen på trusselslandskabet lige nu og giver dig overblikket over de nyeste trusler, de mest aktuelle tendenser og de bedste løsninger og værktøjer til at sikre effektiv drift og høj compliance.

23. august 2022 | Læs mere


Strategisk it-sikkerhedsdag – Identificer, beskyt og forsvar

Trusselsbilledet er rødglødende og it-sikkerhedslandskabet har aldrig været mere anspændt end nu. Flere organisationer end nogensinde før bliver som følge udsat for cyber-angreb, der er udført af professionelle og målrettede hackere Vi tager temperaturen på trusselslandskabet lige nu og giver dig overblikket over de nyeste trusler, de mest aktuelle tendenser og de bedste løsninger og værktøjer til at sikre effektiv drift og høj compliance.

25. august 2022 | Læs mere


CIO Trends 2022: Sådan ser opgavelisten ud hos Danmarks bedste CIOs

En hurtig og strategisk fokuseret implementering af nye teknologier er i disse år med til at sikre konkurrencekraften hos de bedste digitale vindere. Det sætter vi fokus på med konferencen CIO Trends 2022, hvor du blandt andet kan blive inspireret af en række danske topfolk inden for digitalisering og it-ledelse.

30. august 2022 | Læs mere






CIO
10 gratis artikler: Få gode råd fra Danmarks bedste it-ledere