Cyberrobusthet er evnen til å forberede seg på, motstå, komme seg etter og tilpasse seg cyberangrep, under antagelsen om at noen angrep vil komme gjennom. Den aksepterer at perfekt forebygging er umulig, så den flytter målet fra å aldri bli hacket til å forbli operativ og pålitelig når et brudd skjer. Cyberrobusthet er det som holder virksomheten i gang og dataene dine beskyttet, selv på en dårlig dag.
- Forbered: kjenn dine eiendeler, trusler og kontroller, og planlegg hvordan du vil reagere før en hendelse inntreffer.
- Stå imot: begrense angrep slik at de forårsaker begrenset skade og kritiske tjenester fortsetter å kjøre.
- Gjenopprettegjenopprette systemer, data og drift raskt og i en kjent rekkefølge.
- TilpassLær av hver hendelse og bruk lærdommene tilbake i kontrollene og planene dine.
Cyberrobusthet kontra cybersikkerhet
Cybersikkerhet og cyberrobusthet er beslektet, men de svarer på forskjellige spørsmål. Cybersikkerhet prøver å forhindre angrep: brannmurer, tilgangskontroller, oppdateringer og overvåking finnes alle for å holde angripere ute. Cyberrobusthet starter med antagelsen om at noen angrep vil lykkes uansett, og fokuserer på å motstå og komme seg etter dem. Du trenger begge deler. Sterk sikkerhet reduserer hvor ofte du blir utsatt for sikkerhetsbrudd; robusthet avgjør hvor hardt et sikkerhetsbrudd skader deg når forebygging mislykkes.
Den praktiske forskjellen er tankesett. Et rent sikkerhetsperspektiv måler suksess etter antall blokkerte trusler. Et robusthetsperspektiv måler suksess etter hvor raskt du oppdager, begrenser og gjenoppretter, og hvor lite kundene dine legger merke til det. Å behandle de to som én ting er en vanlig feil: organisasjoner investerer tungt i forebygging, og oppdager deretter under en reell hendelse at de ikke har noen innøvd måte å fortsette driften på eller å bevise for regulatorer hva som skjedde.
Cyberrobusthet og EUs lov om cyberrobusthet
Uttrykket «cyberrobusthet» brukes på to forskjellige måter, og det bidrar til å holde dem fra hverandre. Den første er fagfeltet beskrevet ovenfor: en organisasjons samlede evne til å absorbere og gjenopprette seg etter angrep. Den andre er EUs lov om cyberrobusthet, en spesifikk produktsikkerhetslov som setter krav til cybersikkerhet for produkter med digitale elementer som selges i EU, og dekker ting som sikker utvikling, håndtering av sårbarheter og sikkerhetsoppdateringer gjennom et produkts livssyklus.
De to overlapper hverandre, men er ikke det samme. Loven handler om sikkerheten til produktene du lager eller selger; cyberrobusthet, fagfeltet handler om robustheten til hele organisasjonen. Å bygge organisatorisk cyberrobusthet hjelper deg med å oppfylle forpliktelser på produktnivå, men det er bredere. Annen regulering trekker i samme retning: EUs NIS 2-direktiv hever plikter når det gjelder cyberrobusthet for essensielle og viktige enheter, og krever risikostyring, hendelseshåndtering og rapportering som ligner mye på forberedelses-, tåle-, gjenopprettings- og tilpasningssyklusen.
Det er et større bilde bak dette.
Denne siden dekker én del av forretningsrobusthet. Real Resilience – IOs rammeverk for å koble sammen sikkerhet, personvern og AI-styring – er der hele bildet kommer sammen.
Hvordan cyberrobusthet passer inn i bedrifters robusthet
Cyberrobusthet er viktig, men det er ett bidrag til et større bilde snarere enn helheten. Operasjonell robusthet er bredere: den spør om viktige forretningstjenester fortsetter å kjøre selv om det oppstår forstyrrelser, enten forstyrrelsen er et cyberangrep, en leverandørfeil, et strømbrudd eller en pandemi. Cyberrobusthet er den delen av bildet som spesifikt omhandler cybertrusler.
Over begge deler står spørsmålet om forretningsrobusthet som helhet, organisasjonens samlede evne til å forutse forstyrrelser, fortsette driften og komme sterkere ut av det. Fragmenteringsfellen er å behandle cyberrobusthet som en separat silo eid av IT, frakoblet fra kontinuitet, personvern og risiko. Når disse funksjonene kjører på forskjellige verktøy og ulik bevis, har ingen en enkelt sannhetskilde, responsen er treg, og den samme kontrollen blir dokumentert flere ganger for flere revisjoner. Cyberrobusthet tjener sin verdi når den kobles til den bredere robusthetsmodellen i stedet for å stå alene.
Cyberrobusthet og robusthetsløkken
Ekte cyberrobusthet krever mer enn sikkerhetskontroller. Angrepene som skader mest stjeler data og misbruker tillit, så robusthet avhenger også av hvordan du beskytter personlig informasjon og hvordan du styrer AI-systemene du i økende grad er avhengig av. ISMS.onlines Resilience Loop behandler disse som én sammenkoblet driftsmodell i stedet for tre separate programmer.
Loopen kobler sammen tre domener til ett enkelt system:
- Informasjonssikkerhet: beskytte systemer og data mot angrep, kjernen i cyberrobusthet, forankret av ISO 27001.
- Datasikkerhet: styrer personopplysninger slik at et brudd ikke blir en regulatorisk og tillitskrise, forankret av ISO 27701.
- AI-styring: håndtere risikoene knyttet til AI-systemene som nå er vevd inn i driften, forankret av ISO 42001.
Kjør disse som én, og en kontroll som er kartlagt for sikkerhet, tjener også personvern og AI-styring, bevis fanges opp når de dukker opp mot hvert rammeverk, og en hendelse forstås på tvers av alle tre linser samtidig. Det er det som gjør cyberrobusthet forsvarlig snarere enn delvis.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hvordan bygge cyberrobusthet
Den største barrieren for cyberrobusthet er ikke mangel på verktøy, men fragmentering. Når kontroller ligger i ett system, bevis i regneark, hendelsesplaner i et dokument ingen har åpnet på et år, og revisjonsforberedelser på enda et sted, får man dobbeltarbeid, ingen enkelt sannhetskilde og en langsom, usikker respons når noe faktisk går galt. Motstandskraft kommer fra å slå sammen disse.
Måten å bygge det på er en enkelt kjede som går fra kontroller til bevis til gjenoppretting:
- Delte kontrollerDefiner ett felles kontrollsett, tilordne hver kontroll én gang og gjenbruk den på tvers av hvert rammeverk i stedet for å gjenoppbygge den per standard.
- Delte bevisInnhent bevis én gang og vis dem frem mot ISO 27001, NIS 2, EUs lov om cyberrobusthet og andre kriterier, slik at revisjoner trekker på den samme gjeldende dokumentasjonen.
- Raskere responsMed kontroller og bevis på ett sted oppdager, begrenser og rapporterer du hendelser raskt og konsekvent.
- Pålitelig holdning og ekte motstandskraft: et levende, forsvarlig bilde av hvor du står, som lar deg gjenopprette og tilpasse deg i stedet for å kjempe.
ISO 27001 er den sertifiserbare kjernen i dette. Den gir deg et anerkjent styringssystem for informasjonssikkerhet, et risikobasert kontrollsett og uavhengig sertifisering som beviser at sikkerheten din styres, ikke improviseres. Fordi den er bygget rundt kontinuerlig forbedring, støtter den direkte tilpasningstrinnet for cyberrobusthet. Derfra strekker den samme tilnærmingen seg til bredere kontinuitet og gjenoppretting: se hvordan du bygger forretningsrobusthet for å ta kjeden utover cyber inn i hele organisasjonen.
To spørsmål ligger bak dette. Rammeverket for cyberrobusthet angir hvilke funksjoner som skal dekkes og hvilke anerkjente standarder som leverer dem. Strategien for cyberrobusthet bestemmer hva du finansierer først når du ikke kan gjøre alt på en gang.
Hvorfor velge ISMS.online for cyberrobusthet?
De fleste verktøyene hjelper deg med å krysse av i boksene. ISMS.online hjelper deg med å bygge motstandskraft du kan bevise.
- Cyberrobusthet du kan dokumentereKoble kontroller, hendelsesrespons og gjenoppretting til virkelighetsnært bevis, slik at robusthet er påvisbar snarere enn antatt.
- Ett tilkoblet systemAdministrer informasjonssikkerhet, databeskyttelse og styring av kunstig intelligens sammen i én plattform, ikke tre frakoblede verktøy.
- Sertifiserbar per designAlle handlinger er i samsvar med ISO 27001, ISO 27701, ISO 42001 og ISO 22301, slik at din robusthet er bevisbar.
- Bevis på forespørselvis regulatorer, revisorer og kunder bevis på robusthet, ikke løfter.
- Informert av dyp ekspertiseVeiledet implementering fra ekte spesialister, ikke entydig automatisering som skjuler risikoen.
- Kontinuerlig, ikke periodisk: en livevisning av risikoen og kontrollene dine, i stedet for et årlig kaos før en revisjon.
- Bygget for regulerte markederUtviklet for organisasjoner der sikkerhet, personvern og tillit styrer kjøpsbeslutningen.
Utforsk ISMS.online-plattformen for forretningsrobusthet for å se hvordan den fungerer i praksis.
Spørsmål og svar
Hva er forskjellen mellom cybersikkerhet og cyberrobusthet?
Cybersikkerhet prøver å forhindre at angrep lykkes, mens cyberrobusthet antar at noen angrep vil komme gjennom og fokuserer på å motstå og komme seg etter dem. Sikkerhet reduserer hvor ofte du blir utsatt for et sikkerhetsbrudd, mens robusthet begrenser skaden når et sikkerhetsbrudd skjer. Dere trenger at begge jobber sammen.
Hva er EUs lov om cyberrobusthet?
EUs lov om cyberrobusthet er en produktsikkerhetslov som setter krav til cybersikkerhet for produkter med digitale elementer som selges i EU, og dekker sikker utvikling, håndtering av sårbarheter og sikkerhetsoppdateringer gjennom hele produktets livssyklus. Den er forskjellig fra disiplinen cyberrobusthet, som handler om en organisasjons samlede evne til å motstå og gjenopprette seg etter angrep.
Hvordan måler du cyberrobusthet?
Mål cyberrobusthet etter hvor godt du forbereder deg, motstår, gjenoppretter deg og tilpasser deg, i stedet for kun etter blokkerte trusler. Nyttige indikatorer inkluderer tid til å oppdage og begrense en hendelse, tid til å gjenopprette kritiske tjenester, dekning og aktualitet av kontroller, resultater av testede gjenopprettingsplaner og styrken på bevisene du kan produsere på forespørsel. For en scoret versjon av dette ved hjelp av NISTs fire modenhetsnivåer, se hvordan du måler cyberrobusthet.
Er ISO 27001 en standard for cyberrobusthet?
ISO 27001 er en standard for informasjonssikkerhetsstyring, og den sertifiserbare kjernen i cyberrobusthet. Den gir et risikobasert kontrollsett, uavhengig sertifisering og en kontinuerlig forbedringssyklus som støtter tilpasningstrinnet i robusthet. For full cyberrobusthet, kombiner den med kontinuitets- og gjenopprettingspraksiser som de i ISO 22301.
