7 trinn til et sikrere IT-miljø i tråd med NIS2
Eksakt hvordan NIS2-kravene vil være utformet er ennå ikke fastlagt, men ifølge Johan Caripson er det klare fokusområder:
– Du må kunne dokumentere at du har prosesser på plass for å beskytte kritisk informasjon og funksjoner. Med andre ord, at virksomheten din ikke kan bli satt ut av spill. Du må også kunne utarbeide detaljerte rapporter ved alvorlige sikkerhetsbrudd.
Nedenfor lister Johan tiltak som vil hjelpe deg med å oppnå akkurat dette.
-
Vurder din nåværende situasjon for å prioritere hva som skal få sterkest beskyttelse.
Et viktig første skritt, hvis du ikke allerede har gjort det, er å vurdere din nåværende situasjon. Del servere, systemer og prosesser inn i ulike kategorier basert på hvor kritiske de er for din virksomhet. En enkel modell for dette er en sirkel, der den innerste kjernen består av ting som absolutt ikke kan være nede. Deretter bygger du videre i ulike lag, med de minst kritiske delene ytterst. Med denne kartleggingen på plass kan du lettere avgjøre hvordan du skal prioritere dine ressurser, hva du kan håndtere internt, og hva du må kjøpe som tjeneste fra en ekstern partner.
-
Styrk ditt IT-miljø med forebyggende sikkerhetsarbeid.
Minimer skaden ved et innbruddsforsøk ved å styrke din IT-infrastruktur med segmenterte nettverk, kryptert trafikk og en gjennomtenkt brukerhåndtering. På denne måten kan du dokumentere at tilgangen til sensitiv informasjon, som personopplysninger, er strengt begrenset.
-
Overvåk dine mest kritiske systemer.
For å oppdage og håndtere hendelser er både overvåkning og beredskap for å handle nødvendig. Hvor omfattende og raske disse tjenestene må være er et spørsmål om prioritering. Manuell overvåkning og kontinuerlig tilgang til et incident response team kan være nødvendig kun for de mest kritiske systemene. For deler som ikke trenger å kunne gjenopprettes direkte, kan billigere, automatiserte tjenester være tilstrekkelig.
-
Logg det som er nødvendig for hendelsesrapportering.
Overvåkning går hånd i hånd med logging. Med strukturerte logger kan du gå tilbake og se hvilke endringer som har skjedd etter en sikkerhetshendelse. Dette er helt avgjørende for den typen detaljert rapportering som kreves i forbindelse med NIS2. Dette er også et ressursspørsmål; det er ikke realistisk å logge alt. Prioriter derfor logging av dine viktigste systemer.
-
Vær forberedt på å gjenopprette systemene dine.
Sørg for at du har verktøy, tjenester og etablerte rutiner for å håndtere ulike scenarier. Alle ansatte må for eksempel vite hva de skal gjøre og hvem de kan kontakte ved et cyberangrep. Du må også ha sikkerhetskopier for å raskt kunne gjenopprette kritiske deler av IT-miljøet ditt etter et angrep.
-
Tenk langsiktig strategi – ikke en engangsinnsats.
Et vanlig feilgrep er å sette sammen en prosjektgruppe og forsøke å gjøre alt cybersikkerhetsarbeid på én gang. Det blir svært kostbart, og du går dessuten glipp av den kontinuiteten som trengs for å opprettholde sikkerhetsarbeidet, noe som blir ekstra viktig med NIS2. Sett heller opp en flerårig plan og oppgrader din IT-infrastruktur gradvis ut fra en tydelig prioritetsrekkefølge. Hold medarbeidernes kunnskaper oppdatert gjennom kontinuerlige opplæringsaktiviteter, og ikke glem å teste virksomhetens beredskap regelmessig. Dine rutiner og sikkerhetskopier bør ikke bare se bra ut på papiret, men også fungere effektivt i krisesituasjoner.
-
Få hjelp av eksterne partnere (og still krav til dem på riktig måte).
Mange brikker til en god cybersikkerhet kan kjøpes som tjenester fra eksterne leverandører. Dette betyr imidlertid ikke at du kan outsource virksomhetens overholdelse av NIS2 og andre regelverk. Du får derimot et verktøysett som hjelper deg med å oppfylle kravene uten å måtte bruke egne IT-ressurser på hver eneste detalj. Men det finnes ingen universell løsning som passer for alle bedrifter. Derfor bør du kartlegge og prioritere de ulike delene av din IT-miljø (se punkt 1). Eksterne partnere kan da implementere din overordnede sikkerhetsstrategi i praksis basert på dine behov og din budsjettramme. Vær også nøye med å velge pålitelige leverandører som selv arbeider sikkert med alt fra hardware-underleverandører til livssyklus- og informasjonshåndtering.
