Artikel top billede

Derfor halter din informationssikkerhed

Klumme: Virksomheder mangler tre ting for at gennemføre den sikkerhed, de drømmer om.

Ressourcer. Tid. Penge.

De tre ord hører jeg igen og igen, når jeg spørger it-sikkerhedsansvarlige, hvad deres største udfordringer er.

Vi mangler ressourcer i form af mennesker og viden.

Ressourcerne er nødvendige for at gøre ønskerne om it-sikkerhed til virkelighed: Der skal være nogen, som kan konfigurere firewallen eller foretage risikoanalysen.

Vi mangler tid.

It-funktionen er konstant presset: Den skal holde al organisationens it kørende, samtidig med at den leverer de nye funktioner, virksomheden efterspørger.

Så er det svært at få tid til også at analysere en serverlog eller køre en sårbarhedsscanning.

Vi mangler penge.

Det er altid lettere at få bevilget penge til nye pc'er eller applikationer, end det er at få plads på budgettet til at foretage en risikoanalyse eller ansætte sikkerhedsfolk.

Standard begynder ovenfra

Ressourcer, tid og penge.

Hvordan får vi mere af alle tre ting til arbejdet med it-sikkerhed?

Jeg har fundet en del af svaret i ISO 27001.

ISO 27001 er den internationale standard for it-sikkerhed, som alle statslige institutioner i Danmark skal følge.

Men jeg synes, at også andre skal sætte sig ind i den.

Standarden har noget at give både offentlige myndigheder, private virksomheder og andre organisationer, der ønsker at beskytte deres information.

Her er det gode ved ISO 27001

Det gode ved ISO 27001 er, at den begynder fra oven.

Den ser informationssikkerhed som noget, ledelsen har ansvaret for.

Det fremgår direkte af den officielle titel: "Ledelsessystemer for informationssikkerhed".

Derfor er standarden heller ikke fuld af konkrete tekniske krav.

Der står ikke, at man skal have en firewall med stateful inspection eller kryptering baseret på AES.

Så ISO 27001 er ikke en kogebog med opskrifter, man kan følge for at blive sikker.

I stedet er den en anvisning på, hvordan man udvikler og vedligeholder hele det ledelsessystem, der skal sikre ens informationer.

Kræver ledelsens engagement

Der står direkte, at ledelsen skal bevise sit engagement i opgaven.

Det sker ved at fastlægge sikkerhedspolitikken og følge op på, at den bliver efterlevet.

Dermed vender ISO 27001 den problemstilling på hovedet, som jeg indledte denne klumme med:

Nu handler det ikke om, at den sikkerhedsansvarlige står med hatten i hånden og beder om penge fra ledelsen.

Nej, nu er ledelsen selv forpligtet til at stille de nødvendige ressourcer til rådighed. Det fremgår af stk. 5.2.1 i standarden.

Fastlæg risikoen

Derfor lyder mit råd til it-sikkerhedsansvarlige: Sæt jer ind i ISO 27001.

Vær opmærksom på, at en ny version er på trapperne, ISO 27001:2013. Men den er ikke udsendt endnu.

Når I har læst standarden, skal I sælge ideen til jeres ledelse.

Sådan sælger du ideen til ledelsen

Hvis du arbejder i staten, er en del af arbejdet gjort på forhånd.

Er du i en virksomhed, kan du slå på, at I kan blive certificeret efter standarden og dermed få et blåt stempel, der kendes i både ind- og udland.

Du kan også gøre opmærksom på de mange sager, hvor firmaer får dårlig omtale, når hackere lægger deres kundedata ud på nettet.

En vigtig del af opgaven er risikovurdering. Den skal du begynde med.

Her handler det om at stille de ubehagelige spørgsmål: Hvor er vi sårbare? Hvor er vores svageste led? Hvor længe kan vi køre videre, hvis vores it går ned?

Når I har identificeret risici, skal I afgøre, hvad I vil gøre ved dem. Man kan vælge at leve med en risiko, at mindske konsekvenserne af den, eller helt at fjerne den.

Se på forretningen

Ressourcer. Tid. Penge. I virkeligheden skal der kun én ting til, for at du kan få alle tre dele: Ledelsens opbakning.

Så start der. Tænk over de fordele, der giver jeres virksomhed, at dens it fungerer i hverdagen og kan overleve angreb.

Gå til ledelsen og tal om fordelene ved at angribe it-sikkerhedsområdet på en struktureret måde, der bygger på konkrete erfaringer.

Hvis du formår at gøre ledelsen begejstret, får du både ressourcer, tid og penge til informationssikkerhed.DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team. I samarbejde med tilsvarende CERT'er over hele verden indsamler DKCERT information om internetsikkerhed.

DKCERT udsender advarsler og tager imod henvendelser om sikkerhedsrelaterede hændelser på internettet. DKCERT er en organisation i DeIC, DTU.

Shehzad Ahmad opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Ed A/S
Salg af hard- og software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
AI i praksis: Fokus på teknologi og best practice

Tag med os på en rejse ind i AI’s verden, hvor vi udforsker anvendelsesmulighederne og belyser, hvordan AI kan gøre en positiv forskel. Vi kigger nærmere på de teknologier og platforme, som det kan give mening for din virksomhed at satse på, og eksperterne giver dig gode råd til, hvordan man kan arbejde innovativt og agilt med kunstig intelligens-løsninger.

19. august 2021 | Læs mere


MS Power Platform - hvad kan det for dig?

Med Microsoft Power Platform kan virksomhederne både visualisere og dele deres data helt uden kendskab til at kunne kode og digitalisere arbejdsgange. Hør hvordan en række danske virksomheder anvender platformen i store dele af virksomheden – og med succes.

24. august 2021 | Læs mere


Opgøret med legacy-systemer: Få styr på mulighederne, planen og businesscasen

I en verden hvor alt forandres konstant, og hvor kravene til virksomhedernes digitale formåen vokser, er der stadig mange organisationer og virksomheder, der bliver hæmmet af deres legacy-systemer. Det kan være en lang og hård rejse at afskaffe disse systemer, men på sigt kan virksomhederne høste frugt af deres arbejde.

25. august 2021 | Læs mere






Premium
Efter kæmpeinvestering: Danske Dixa skal firdoble antallet af udviklere
På halvandet år skal det unge it-selskab Dixa firdoble holdet af produktudviklere fra 75 til 300. Sådan lyder ambitionen hos det danske selskab, der netop har modtaget en kapitalindsprøjtning på 660 millioner kroner.
Computerworld
Gigantisk kollektivt nedbrud rammer flere internationale hjemmesider
Igen var flere internationale hjemmesider ude af drift. En fejl ramte over 50 af de største internationale websites tordag aften. Se alle detaljer on nedbruddet her.
CIO
Årets CIO 2021: Nu skal Danmarks dygtigste CIO findes - er det dig? Eller kender du en, du vil indstille?
Det er den mest eftertragtede titel for danske it-chefer og CIO'er, der er på spil, når Årets CIO kåres 16. september 2021. Søg selv eller prik til en, som du kender - og læs mere om prisen her.
Job & Karriere
Så meget kan du tjene: Disse stillinger giver den højeste løn i den danske it-branche lige nu
Du skal have ledelsesansvar, hvis du vil helt tops i lønhierakiet i den danske it-branche, viser nye tal. Se hvor meget du kan tjene i de stillinger i it-branchen, der giver den højeste månedsløn lige nu.
White paper
Når AI sætter sig ved rattet: Sådan passer infrastrukturen på sig selv
Selvkørende IT-infrastruktur styrker skaleringsmuligheder og ressourceudnyttelse. Dette whitepaper giver overblik over proces og muligheder.