Hvordan sikrer du, at din risikovurdering reelt er kvalificeret?

Mange organisationer gennemfører risikovurderinger som en fast rutine. Men en fast rutine er ikke det samme som en kvalificeret vurdering. En kvalificeret risikovurdering bygger på et solidt og dokumenteret grundlag — et grundlag, der kan holde til kritiske spørgsmål fra både revisorer og bestyrelsen. Forskellen på en hurtig afkrydsning og en reel vurdering handler sjældent om manglende vilje, men om processen bag.

Lovkrav om en systematisk tilgang – god vilje er ikke nok

NIS2-direktivets artikel 21 kræver, at omfattede enheder træffer passende og proportionale tekniske, operationelle og organisatoriske foranstaltninger til at håndtere cybersikkerhedsrisici. Det omfatter blandt andet politikker for risikoanalyse og informationssystemsikkerhed.

I praksis kræver det en konsekvent og dokumenteret tilgang. Ad hoc-vurderinger uden en fast metode er ikke længere tilstrækkelige – hverken regulatorisk eller i praksis.

Det stiller nye krav til organiseringen af arbejdet. Det handler ikke om at udfylde endnu flere felter, men om at bringe den rette viden i spil på det rette tidspunkt.

En typisk faldgrube: Én person vurderer alt

En risikovurdering bliver ofte overfladisk, fordi én person – typisk en it- eller complianceansvarlig – sidder alene med at vurdere både sandsynlighed og konsekvens for et system, vedkommende kun kender fra ét perspektiv.

Løsningen er en klar ansvarsfordeling:

• Konsekvensen – hvad et nedbrud eller en lækage betyder for forretningen, kunderne og omdømmet – vurderes bedst af systemejeren eller afdelingslederen, som kender den forretningsmæssige kontekst.
• Sandsynligheden – hvor realistisk det er, at hændelsen indtræffer – vurderes bedst af de tekniske specialister, som kender sårbarhederne og trusselsbilledet.

Mangler det ene perspektiv, risikerer du eksempelvis at undervurdere den forretningsmæssige konsekvens eller overvurdere den tekniske risiko. I begge tilfælde står du tilbage med en konklusion, der er vanskelig at forsvare.

Tilpas detaljeniveauet — alt skal ikke vurderes ens

En anden udbredt fejl er at behandle alle aktiver med samme detaljegrad. Et system med lav kritikalitet kræver slet ikke samme dybde som en kerneapplikation, der holder forretningen kørende.

Det er hurtigere og mere effektivt at opdele vurderingerne i niveauer:

1. Simpel vurdering: Én samlet score for sandsynlighed og konsekvens til mindre kritiske aktiver.
2. Kombineret vurdering: En opdeling på fortrolighed, integritet og tilgængelighed (CIA) til aktiver med følsomme eller på anden måde virksomhedskritiske data.
3. Trusselsbaseret vurdering: En dybdegående analyse til de mest kritiske aktiver, hvor detaljerne er afgørende.

Denne opdeling sparer tid på bagatellerne, uden at I går på kompromis med kvaliteten der, hvor risikoen er størst.

Byg vurderingen op omkring den rette metode

En struktureret tilgang, der differentierer mellem simple og trusselsbaserede vurderinger, gør det let at prioritere tiden rigtigt.

Hent vejledningen i risikostyring baseret på ISO 27005

Begrundelsen er lige så vigtig som tallet

Et risiko-tal eller “score” uden en skriftlig begrundelse er svært at stole på — og næsten umuligt at forsvare over for andre. Hvis en risiko vurderes til "Middel" frem for "Høj", skal det være tydeligt hvorfor. Hvilke overvejelser ligger bag? Hvilke kontroller er regnet med? Og var der informationer, I manglede på vurderingstidspunktet?

Det er den skriftlige begrundelse, der forvandler en mavefornemmelse til en kvalificeret vurdering. Det er også den, I skal vise frem, når revisoren, en ny kollega eller tilsynsmyndigheden spørger ind til jeres konklusioner.

Genbrug eksisterende viden frem for at starte fra bunden

En kvalificeret vurdering opstår ikke i et vakuum. I opnår et hurtigere og langt mere præcist resultat ved at trække på data, I allerede har:

• Trusselskataloger: Et opdateret katalog giver et solidt overblik over typiske trusler og deres konsekvens og sandsynlighed.
• Hændelseshistorik: Erfaringer fra tidligere hændelser (jeres egne eller leverandørers) giver et reelt billede af sandsynligheden — langt bedre end et teoretisk gæt.
• Eksisterende kontroller: En risiko med effektive kontroller på plads skal vurderes anderledes end en ubeskyttet risiko. Det kræver, at den, der gennemfører vurderingen, har adgang til et opdateret overblik over de relevante kontroller.
  
  

Gør det til en fast cyklus, ikke et engangsprojekt

Selv den mest grundige risikovurdering bliver forældet. Systemer opdateres, nye leverandører kommer til, og trusselsbilledet ændrer sig. En vurdering fra for to år siden siger ikke nødvendigvis meget om din risiko i dag.

Etablér derfor en fast cyklus for revurdering – eksempelvis én gang om året – og supplér den med hændelsesbaserede vurderinger. Et leverandørskifte, en væsentlig organisatorisk ændring eller et sikkerhedsbrud bør udløse en ny vurdering frem for at vente til næste planlagte gennemgang.

Saml grundlaget ét sted for højere kvalitet

Den sikreste måde at hæve kvaliteten på er at gøre det let at gøre det rigtigt. Når trusselskatalog, kontroloverblik, hændelseshistorik og leverandørdata er samlet i samme system som selve vurderingen, bliver viden brugt naturligt ved vurderingerne — i stedet for at blive fravalgt under tidspres.

Når risikostyring og leverandørstyring er forbundet i én platform, sikrer I, at alle vurderinger bygger på det samme opdaterede datagrundlag. Og så er begrundelsen altid lige ved hånden, når der bliver spurgt til den.