Mange organisationer gennemfører risikovurderinger som en fast rutine. Men en fast rutine er ikke det samme som en kvalificeret vurdering. En kvalificeret risikovurdering bygger på et solidt og dokumenteret grundlag — et grundlag, der kan holde til kritiske spørgsmål fra både revisorer og bestyrelsen. Forskellen på en hurtig afkrydsning og en reel vurdering handler sjældent om manglende vilje, men om processen bag.
NIS2-direktivets artikel 21 kræver, at omfattede enheder træffer passende og proportionale tekniske, operationelle og organisatoriske foranstaltninger til at håndtere cybersikkerhedsrisici. Det omfatter blandt andet politikker for risikoanalyse og informationssystemsikkerhed.
I praksis kræver det en konsekvent og dokumenteret tilgang. Ad hoc-vurderinger uden en fast metode er ikke længere tilstrækkelige – hverken regulatorisk eller i praksis.
Det stiller nye krav til organiseringen af arbejdet. Det handler ikke om at udfylde endnu flere felter, men om at bringe den rette viden i spil på det rette tidspunkt.
En risikovurdering bliver ofte overfladisk, fordi én person – typisk en it- eller complianceansvarlig – sidder alene med at vurdere både sandsynlighed og konsekvens for et system, vedkommende kun kender fra ét perspektiv.
Løsningen er en klar ansvarsfordeling:
Mangler det ene perspektiv, risikerer du eksempelvis at undervurdere den forretningsmæssige konsekvens eller overvurdere den tekniske risiko. I begge tilfælde står du tilbage med en konklusion, der er vanskelig at forsvare.
En anden udbredt fejl er at behandle alle aktiver med samme detaljegrad. Et system med lav kritikalitet kræver slet ikke samme dybde som en kerneapplikation, der holder forretningen kørende.
Det er hurtigere og mere effektivt at opdele vurderingerne i niveauer:
Denne opdeling sparer tid på bagatellerne, uden at I går på kompromis med kvaliteten der, hvor risikoen er størst.
En struktureret tilgang, der differentierer mellem simple og trusselsbaserede vurderinger, gør det let at prioritere tiden rigtigt.
Hent vejledningen i risikostyring baseret på ISO 27005
Et risiko-tal eller “score” uden en skriftlig begrundelse er svært at stole på — og næsten umuligt at forsvare over for andre. Hvis en risiko vurderes til "Middel" frem for "Høj", skal det være tydeligt hvorfor. Hvilke overvejelser ligger bag? Hvilke kontroller er regnet med? Og var der informationer, I manglede på vurderingstidspunktet?
Det er den skriftlige begrundelse, der forvandler en mavefornemmelse til en kvalificeret vurdering. Det er også den, I skal vise frem, når revisoren, en ny kollega eller tilsynsmyndigheden spørger ind til jeres konklusioner.
En kvalificeret vurdering opstår ikke i et vakuum. I opnår et hurtigere og langt mere præcist resultat ved at trække på data, I allerede har:
Selv den mest grundige risikovurdering bliver forældet. Systemer opdateres, nye leverandører kommer til, og trusselsbilledet ændrer sig. En vurdering fra for to år siden siger ikke nødvendigvis meget om din risiko i dag.
Etablér derfor en fast cyklus for revurdering – eksempelvis én gang om året – og supplér den med hændelsesbaserede vurderinger. Et leverandørskifte, en væsentlig organisatorisk ændring eller et sikkerhedsbrud bør udløse en ny vurdering frem for at vente til næste planlagte gennemgang.
Den sikreste måde at hæve kvaliteten på er at gøre det let at gøre det rigtigt. Når trusselskatalog, kontroloverblik, hændelseshistorik og leverandørdata er samlet i samme system som selve vurderingen, bliver viden brugt naturligt ved vurderingerne — i stedet for at blive fravalgt under tidspres.
Når risikostyring og leverandørstyring er forbundet i én platform, sikrer I, at alle vurderinger bygger på det samme opdaterede datagrundlag. Og så er begrundelsen altid lige ved hånden, når der bliver spurgt til den.