Overholdelse er viktig

WP_Post Object ( [ID] => 133868 [post_author] => 41 [post_date] => 2025-11-06 09:00:32 [post_date_gmt] => 2025-11-06 09:00:32 [post_content] => Det er uvanlig å se et åpent brev fra en bedriftsleder i starten av en statlig cybersikkerhetsrapport. Spesielt noen hvis selskap nettopp har blitt utsatt for et ydmykende brudd. Men dette er uvanlige tider. Og budskapet er kritisk viktig. Derfor ga GCHQs nasjonale senter for cybersikkerhet (NCSC) plass til administrerende direktør i Co-op Group, Shirine Khoury-Haq, i starten av sin Årlig gjennomgang 2025.Budskapet hennes, som ble gjentatt og forsterket gjennom hele dokumentet, var enkelt: forberedelse er alt. Men hvordan sørger bedriftsledere for at de bygger tilstrekkelig cyberrobusthet i organisasjonen sin i dag, for å sikre at virksomheten fortsetter som vanlig i tilfelle et sikkerhetsbrudd i morgen?

Økning i nasjonalt viktige hendelser

Tallene fra det siste året forteller sin egen historie. NCSC hevder at nesten halvparten (48 %) av hendelsene deres hendelseshåndteringsteam responderte på det siste året var «nasjonalt signifikante». Det tilsvarer 204 separate hendelser, eller fire per uke. Rundt 4 % (18) er kategorisert som «svært signifikante» – en årlig økning på 50 %. Disse er ett trinn ned fra den maksimale alvorlighetsgraden, som angir hendelser som kan ha alvorlige økonomiske/sosiale konsekvenser eller tap av liv. Men de betegner fortsatt cyberangrep og sikkerhetsbrudd som kan ha en alvorlig innvirkning på sentralregjeringen, viktige tjenester og en stor andel av den britiske befolkningen eller økonomien. Interessant nok stammet 29 hendelser som ble håndtert av NCSC i perioden fra bare tre sårbarheter: CVE-2025-53770 (Microsoft SharePoint Server), CVE-2025-0282 (Ivanti Connect Secure, Policy Secure & ZTA Gateways) og CVE-2024-47575 (Fortinet FortiManager). Det fremhever umiddelbart noen lavthengende frukter for organisasjoner som velger å implementere risikobaserte patchhåndteringsprogrammer. Disse lavthengende fruktene er overalt hvis bedriftsledere bare var motiverte nok eller bevisste på behovet for å finne dem, sier NCSC-sjef Richard Horne. I forordet beskriver han utfordringene britiske organisasjoner står overfor som vokser i «en størrelsesorden». Horne konkluderer: «Cybersikkerhet er nå avgjørende for bedrifters levetid og suksess. Det er på tide å handle.»

Et brev til FTSE 350

Denne vektleggingen av handling støttes av nylige katastrofale cyberrelaterte avbrudd som rammet Jaguar Land Rover (JLR), M&S og Co-op Group, for å nevne tre. Noen estimater anslår at de totale tapene disse selskapene og deres leverandører har opplevd til nærmere 1 milliard pund. Det er en del av grunnen til at rapporten direkte oppfordrer bedriftsledere til å slutte å behandle cyber som en sak for IT-avdelingen, og begynne å innse dens kritiske betydning for forretningsvekst og den britiske økonomien. Det er derfor den fremhever Co-op Groups Khoury-Haq. Og hvorfor Horne utbryter: «Alle bedriftsledere må ta ansvar for organisasjonens cyberrobusthet.» Det er også derfor rapporten fremmer ulike NCSC-initiativer som:

• Anbefalingen for cyberstyring: utformet for å hjelpe styrer og direktører med å håndtere digitale risikoer bedre
• Opplæringsprogrammet for cyberstyring, som er i samsvar med kodens fem kjerneprinsipper: risikostyring, strategi, mennesker, hendelsesplanlegging, respons og gjenoppretting, og sikring og tilsyn
• NCSC-veiledning om «Samarbeid med styrer for å forbedre håndteringen av cybersikkerhetsrisiko», som hjelper IT-sjefer med å kommunisere mer effektivt med styret sitt.
• Prinsippene for cybersikkerhetskultur, som beskriver hvordan god sikkerhetskultur ser ut og hvordan man kan endre atferd
• Verktøysettet for cyberaksjoner, for å øke cyberbevisstheten blant ledere i små bedrifter

Det er også grunnen til at regjeringen, i det som ser ut til å ha vært et koordinert trekk, har skrevet til administrerende direktører i FTSE 350 og bedt dem om å anerkjenne omfanget av trusselen. «For lenge har cybersikkerhet vært en bekymring for mellomledelsen og blir bare eskalert til seniorene i en krise. Det handler ikke om hvorvidt du vil bli offer for et cyberangrep, det handler om å være forberedt på når det skjer.» sa sikkerhetsministeren Dan Jarvis ved lanseringen av rapporten. Han forsøkte å understreke det konkurransefortrinnet beste praksis innen cybersikkerhet kan gi bedrifter.

Bygge motstandskraft

Den gode nyheten er at selv om trusselen intensiveres, hevder NCSC at mesteparten av aktiviteten de ser ikke er radikalt ny, enten det er statsstøttet eller arbeidet til grupper som Scattered Spider. Det burde gjøre det litt enklere å oppnå cyberrobusthet. Men hva står det i rapporten? Bortsett fra å liste opp NCSC-initiativer som Active Cyber ​​Defence og Cyber ​​Essentials, fremhever det 100 sider lange dokumentet begrepet «robusthetsteknikk». Selv om det har sin arv innen sikkerhetsteknikk, kan konseptet effektivt overføres til cybersfæren, hevder NCSC, via initiativer som:Infrastruktur som kode: Gjør det mulig for organisasjoner å pålitelig replikere systemer for rask gjenoppretting og distribuere pålitelig, uforanderlig infrastruktur.Uforanderlige sikkerhetskopier: Muliggjør effektiv gjenoppretting når det er totalt miljøtap (inkludert identitet, skykonfigurasjoner, hypervisorer osv.).segmentering: For isolasjon og inneslutning for å minimere påvirkningen under en hendelse, eller «vedvarende for å skape tillitsgrenser».Minst privilegium: På tvers av alle tjenester, for å begrense skade og støtte nulltillitsstrategier.Observerbarhet og overvåking: For å oppdage avvik og forbedre læring etter hendelser.Kaosteknikk: Den bevisste innføringen av manglende validering/testing av deteksjons- og gjenopprettingsprosesser.Robuste operasjoner: Omfatter å sikre tilgjengeligheten av krisehåndteringsbøker digitalt eller fysisk på isolerte plattformer eller i papirformat.

Se etter standarder

Peter Connolly, administrerende direktør i Toro-løsninger, argumenterer for at beste praksisstandarder som ISO 27001 kan hjelpe organisasjoner med å forbedre sin cyberrobusthet. «Det gir et strukturert rammeverk for risikohåndtering som går utover IT til å inkludere mennesker, fysisk sikkerhet og forretningskontinuitet», forteller han til ISMS.online. «Ved å ta denne integrerte tilnærmingen kan organisasjoner minimere virkningen av hendelser, opprettholde kritisk drift og demonstrere for kunder, investorer og partnere at sikkerhet er en alvorlig prioritet.» Connolly legger til at organisasjoner bør bruke ISO 27001-samsvar for å bidra til å integrere sikkerhet i den daglige forretningskulturen. «Dette betyr å gjøre sikkerhetsprinsipper til en del av rutinemessig drift i stedet for å behandle dem som en separat oppgave», konkluderer han. «Start med å adressere de mest kritiske risikoene først, og sørg for at cyber-, fysisk og menneskelig relatert sikkerhet vurderes sammen. Denne tilnærmingen bygger ekte robusthet samtidig som den gir internasjonalt anerkjent troverdighet.» Ordet «robusthet» er nevnt 139 ganger i NCSC-rapporten. Det er på tide at UK PLC legger merke til det. [post_title] => NCSC sier «Det er på tide å handle», men hvordan? [post_excerpt] => [post_status] => publiser [comment_status] => lukket [ping_status] => åpen [post_password] => [post_name] => the-ncsc-says-it-is-time-to-act-but-how [to_ping] => [pinged] => [post_modified] => 2025-11-06 09:07:00 [post_modified_gmt] => 2025-11-06 09:07:00 [post_content_filtered] => [post_parent] => 0 [guid] => https://no.isms.online/?p=133868 [menu_order] => 0 [post_type] => innlegg [post_mime_type] => [comment_count] => 0 [filter] => raw )

WP_Post Object ( [ID] => 133868 [post_author] => 41 [post_date] => 2025-11-06 09:00:32 [post_date_gmt] => 2025-11-06 09:00:32 [post_content] => Det er uvanlig å se et åpent brev fra en bedriftsleder i starten av en statlig cybersikkerhetsrapport. Spesielt noen hvis selskap nettopp har blitt utsatt for et ydmykende brudd. Men dette er uvanlige tider. Og budskapet er kritisk viktig. Derfor ga GCHQs nasjonale senter for cybersikkerhet (NCSC) plass til administrerende direktør i Co-op Group, Shirine Khoury-Haq, i starten av sin Årlig gjennomgang 2025.Budskapet hennes, som ble gjentatt og forsterket gjennom hele dokumentet, var enkelt: forberedelse er alt. Men hvordan sørger bedriftsledere for at de bygger tilstrekkelig cyberrobusthet i organisasjonen sin i dag, for å sikre at virksomheten fortsetter som vanlig i tilfelle et sikkerhetsbrudd i morgen?

Økning i nasjonalt viktige hendelser

Tallene fra det siste året forteller sin egen historie. NCSC hevder at nesten halvparten (48 %) av hendelsene deres hendelseshåndteringsteam responderte på det siste året var «nasjonalt signifikante». Det tilsvarer 204 separate hendelser, eller fire per uke. Rundt 4 % (18) er kategorisert som «svært signifikante» – en årlig økning på 50 %. Disse er ett trinn ned fra den maksimale alvorlighetsgraden, som angir hendelser som kan ha alvorlige økonomiske/sosiale konsekvenser eller tap av liv. Men de betegner fortsatt cyberangrep og sikkerhetsbrudd som kan ha en alvorlig innvirkning på sentralregjeringen, viktige tjenester og en stor andel av den britiske befolkningen eller økonomien. Interessant nok stammet 29 hendelser som ble håndtert av NCSC i perioden fra bare tre sårbarheter: CVE-2025-53770 (Microsoft SharePoint Server), CVE-2025-0282 (Ivanti Connect Secure, Policy Secure & ZTA Gateways) og CVE-2024-47575 (Fortinet FortiManager). Det fremhever umiddelbart noen lavthengende frukter for organisasjoner som velger å implementere risikobaserte patchhåndteringsprogrammer. Disse lavthengende fruktene er overalt hvis bedriftsledere bare var motiverte nok eller bevisste på behovet for å finne dem, sier NCSC-sjef Richard Horne. I forordet beskriver han utfordringene britiske organisasjoner står overfor som vokser i «en størrelsesorden». Horne konkluderer: «Cybersikkerhet er nå avgjørende for bedrifters levetid og suksess. Det er på tide å handle.»

Et brev til FTSE 350

Denne vektleggingen av handling støttes av nylige katastrofale cyberrelaterte avbrudd som rammet Jaguar Land Rover (JLR), M&S og Co-op Group, for å nevne tre. Noen estimater anslår at de totale tapene disse selskapene og deres leverandører har opplevd til nærmere 1 milliard pund. Det er en del av grunnen til at rapporten direkte oppfordrer bedriftsledere til å slutte å behandle cyber som en sak for IT-avdelingen, og begynne å innse dens kritiske betydning for forretningsvekst og den britiske økonomien. Det er derfor den fremhever Co-op Groups Khoury-Haq. Og hvorfor Horne utbryter: «Alle bedriftsledere må ta ansvar for organisasjonens cyberrobusthet.» Det er også derfor rapporten fremmer ulike NCSC-initiativer som:

• Anbefalingen for cyberstyring: utformet for å hjelpe styrer og direktører med å håndtere digitale risikoer bedre
• Opplæringsprogrammet for cyberstyring, som er i samsvar med kodens fem kjerneprinsipper: risikostyring, strategi, mennesker, hendelsesplanlegging, respons og gjenoppretting, og sikring og tilsyn
• NCSC-veiledning om «Samarbeid med styrer for å forbedre håndteringen av cybersikkerhetsrisiko», som hjelper IT-sjefer med å kommunisere mer effektivt med styret sitt.
• Prinsippene for cybersikkerhetskultur, som beskriver hvordan god sikkerhetskultur ser ut og hvordan man kan endre atferd
• Verktøysettet for cyberaksjoner, for å øke cyberbevisstheten blant ledere i små bedrifter

Det er også grunnen til at regjeringen, i det som ser ut til å ha vært et koordinert trekk, har skrevet til administrerende direktører i FTSE 350 og bedt dem om å anerkjenne omfanget av trusselen. «For lenge har cybersikkerhet vært en bekymring for mellomledelsen og blir bare eskalert til seniorene i en krise. Det handler ikke om hvorvidt du vil bli offer for et cyberangrep, det handler om å være forberedt på når det skjer.» sa sikkerhetsministeren Dan Jarvis ved lanseringen av rapporten. Han forsøkte å understreke det konkurransefortrinnet beste praksis innen cybersikkerhet kan gi bedrifter.

Bygge motstandskraft

Den gode nyheten er at selv om trusselen intensiveres, hevder NCSC at mesteparten av aktiviteten de ser ikke er radikalt ny, enten det er statsstøttet eller arbeidet til grupper som Scattered Spider. Det burde gjøre det litt enklere å oppnå cyberrobusthet. Men hva står det i rapporten? Bortsett fra å liste opp NCSC-initiativer som Active Cyber ​​Defence og Cyber ​​Essentials, fremhever det 100 sider lange dokumentet begrepet «robusthetsteknikk». Selv om det har sin arv innen sikkerhetsteknikk, kan konseptet effektivt overføres til cybersfæren, hevder NCSC, via initiativer som:Infrastruktur som kode: Gjør det mulig for organisasjoner å pålitelig replikere systemer for rask gjenoppretting og distribuere pålitelig, uforanderlig infrastruktur.Uforanderlige sikkerhetskopier: Muliggjør effektiv gjenoppretting når det er totalt miljøtap (inkludert identitet, skykonfigurasjoner, hypervisorer osv.).segmentering: For isolasjon og inneslutning for å minimere påvirkningen under en hendelse, eller «vedvarende for å skape tillitsgrenser».Minst privilegium: På tvers av alle tjenester, for å begrense skade og støtte nulltillitsstrategier.Observerbarhet og overvåking: For å oppdage avvik og forbedre læring etter hendelser.Kaosteknikk: Den bevisste innføringen av manglende validering/testing av deteksjons- og gjenopprettingsprosesser.Robuste operasjoner: Omfatter å sikre tilgjengeligheten av krisehåndteringsbøker digitalt eller fysisk på isolerte plattformer eller i papirformat.

Se etter standarder

Peter Connolly, administrerende direktør i Toro-løsninger, argumenterer for at beste praksisstandarder som ISO 27001 kan hjelpe organisasjoner med å forbedre sin cyberrobusthet. «Det gir et strukturert rammeverk for risikohåndtering som går utover IT til å inkludere mennesker, fysisk sikkerhet og forretningskontinuitet», forteller han til ISMS.online. «Ved å ta denne integrerte tilnærmingen kan organisasjoner minimere virkningen av hendelser, opprettholde kritisk drift og demonstrere for kunder, investorer og partnere at sikkerhet er en alvorlig prioritet.» Connolly legger til at organisasjoner bør bruke ISO 27001-samsvar for å bidra til å integrere sikkerhet i den daglige forretningskulturen. «Dette betyr å gjøre sikkerhetsprinsipper til en del av rutinemessig drift i stedet for å behandle dem som en separat oppgave», konkluderer han. «Start med å adressere de mest kritiske risikoene først, og sørg for at cyber-, fysisk og menneskelig relatert sikkerhet vurderes sammen. Denne tilnærmingen bygger ekte robusthet samtidig som den gir internasjonalt anerkjent troverdighet.» Ordet «robusthet» er nevnt 139 ganger i NCSC-rapporten. Det er på tide at UK PLC legger merke til det. [post_title] => NCSC sier «Det er på tide å handle», men hvordan? [post_excerpt] => [post_status] => publiser [comment_status] => lukket [ping_status] => åpen [post_password] => [post_name] => the-ncsc-says-it-is-time-to-act-but-how [to_ping] => [pinged] => [post_modified] => 2025-11-06 09:07:00 [post_modified_gmt] => 2025-11-06 09:07:00 [post_content_filtered] => [post_parent] => 0 [guid] => https://no.isms.online/?p=133868 [menu_order] => 0 [post_type] => innlegg [post_mime_type] => [comment_count] => 0 [filter] => raw )