Fra enkeltstående sikkerhedsinitiativer. Til sikkerhedsstrategi og governance med sammenhæng

En sikkerhedsstrategi fastlægger kursen, prioriteterne og målene for jeres sikkerhedsarbejde og er fundamentet for organisationens evne til at beskytte sine aktiver, håndtere risici og overholde lovkrav. Sikkerhedsstrategien tager udgangspunkt i jeres forretningsmål, jeres risikobillede og de lovkrav, I skal efterleve. Den bygger på de kritiske processer, systemer og leverandører, organisationen er afhængig af, og har typisk en horisont på tre til fem år med en plan for, hvad der skal gennemføres hvornår.

En sikkerhedsstrategi er først reelt operationel, når direktion og bestyrelse har taget stilling til organisationens risikoappetit, altså hvor meget risiko I er villige til at acceptere for at nå jeres forretningsmål, og hvor grænsen går. Strategien holder organisationens faktiske risikobillede op imod risikoappetitten og oversætter forskellen til klare prioriteter for, hvad der skal beskyttes først, hvor meget der skal investeres, og hvad der bevidst tilvælges og fravælges.

Målet er at skabe en beslutningsramme, som samler ressourcerne om klart definerede opgaver, og som giver hele organisationen et fælles sprog for sikkerhed.

Sikkerhedsstrategien sætter retningen. Den beskriver, hvad organisationen vil beskytte, hvorfor og i hvilken rækkefølge, og den har typisk en horisont på tre til fem år. Sikkerhedspolitikken fastlægger de regler og krav, alle i organisationen skal følge i hverdagen, for eksempel hvordan adgange styres, og hvordan hændelser håndteres.

De to hænger sammen, men kan ikke erstatte hinanden. En politik uden strategi bliver et regelsæt uden prioritering. En strategi uden politik bliver en hensigt, som ingen er forpligtet af. I praksis er politikken et af de vigtigste værktøjer til at omsætte strategien til adfærd, og både ISO 27001 og NIS2 stiller krav om, at ledelsen godkender den.

CISO-as-a-Service betyder, at I får en erfaren sikkerhedsansvarlig på del- eller fuldtid i stedet for at ansætte en fast CISO. Personen tager ansvar for sikkerhedsstrategi, governance, risikostyring og rapportering til direktion og bestyrelse og fungerer som fast fagligt ankerpunkt for både ledelsen og IT. Vaern tilbyder CISO-as-a-Service.

Modellen passer til organisationer, der har brug for seniorkompetencer på ledelsesniveau, men ikke har volumen til at rekruttere en fuldtids-CISO. Det gælder for eksempel mellemstore organisationer, der er omfattet af NIS2 eller DORA, eller organisationer, der står midt i et sikkerhedsprogram og mangler en erfaren person til at drive det. Omfanget aftales efter behov, og I kan skalere op og ned, når behovet ændrer sig.

Governance er den struktur, der omsætter sikkerhedsstrategien til styring i praksis. Den fastlægger roller, ansvar, mandater, politikker, beslutningsveje og rapportering og gør det tydeligt, hvem der træffer hvilke beslutninger, hvem der følger op, og hvordan ledelsen bliver holdt orienteret. Rammen der benyttes, er ofte et ledelsessystem for informationssikkerhed (ISMS) efter ISO 27001.

En velfungerende governance-struktur skaber samtidig en tydelig forbindelse mellem direktion og bestyrelse, sikkerhedsorganisationen og den øvrige forretning. Det gør sikkerhed til en ledelsesdisciplin frem for en række enkeltstående tekniske initiativer.

Selv en god cybersikkerhedsstrategi mister sin effekt, hvis der ikke er klare rammer for, hvordan den bliver omsat til handling. Nye trusler, hændelser, forretningsbehov og regulatoriske krav ændrer løbende organisationens risikobillede og kan flytte prioriteringerne.

Governance sikrer, at ændringer bliver vurderet i en fælles struktur, og at ansvar, beslutninger og opfølgning er tydeligt placeret. Det giver ledelsen et bedre grundlag for at prioritere sikkerhedsindsatser og bruge ressourcerne der, hvor risikoen er størst. For organisationer omfattet af NIS2 eller DORA er governance desuden et lovkrav. Ledelsen skal godkende risikostyringen og føre tilsyn med, at den bliver gennemført, og det kræver en struktur, der gør det muligt i praksis.

Sikkerhedsstrategien sætter retningen. Risikostyringen skaber grundlaget for at prioritere. Compliance handler om at efterleve og dokumentere de krav, organisationen er underlagt. En vigtig pointe er, at compliance er et resultat af god sikkerhedsstyring og ikke et mål i sig selv. Governance binder områderne sammen og sikrer, at ansvar og beslutninger er tydeligt placeret.

Lovkrav som NIS2 og DORA og standarder som ISO 27001 bør derfor ikke håndteres som isolerede projekter. De skal indgå i den samlede sikkerhedsmodel og understøtte de forretningsmæssige mål og det risikobillede, sikkerhedsstrategien bygger på.

Det kræver mere end en strategi på papir. De strategiske mål skal omsættes til konkrete indsatser med tydelige ejere, prioriteringer, ressourcer og mål for effekten. Indsatserne samles typisk i ét sikkerhedsprogram med en prioriteret plan, så ledelsen kan følge fremdrift, effekt og økonomi ét sted. Og det kræver forandringsledelse, for strategien virker først, når ledere og medarbejdere ændrer adfærd i hverdagen

Governance-strukturen skaber rammen omkring arbejdet og sikrer, at der løbende bliver fulgt op på blandt andet sikkerhedsmodenhed, risikoeksponering og fremdrift. På den måde bliver sikkerhedsstrategien en aktiv del af organisationens beslutninger og drift og ikke et dokument, der kun tages frem én gang om året.

Bestyrelsen fører tilsyn og tager stilling til risikoappetitten. Direktionen ejer sikkerhedsstrategien, prioriterer ressourcerne og sikrer, at ansvar og rapportering er tydeligt placeret. Det betyder ikke, at ledelsen skal træffe de tekniske sikkerhedsbeslutninger. Men den skal have et beslutningsgrundlag, der gør det muligt at vurdere organisationens risikoeksponering, følge udviklingen og sikre, at sikkerhedsindsatsen understøtter forretningen.

Er I omfattet af NIS2 eller DORA, er det samtidig et lovkrav. Ledelsen skal godkende de foranstaltninger, der styrer organisationens cyberrisici, føre tilsyn med, at de bliver gennemført, og selv have tilstrækkelig viden om cybersikkerhed til at kunne vurdere risici og beslutninger. Ledelsen kan holdes ansvarlig, hvis det ikke sker.