En strategi for cyberrobusthet er et sett med beslutninger om hvor begrensede penger og oppmerksomhet går: hva du vil forsvare hardest, hvilke scenarier du planlegger for, hvor mye forstyrrelse du er villig til å akseptere, og hvordan innsatsen fordeles mellom å stoppe angrep og å overleve dem. Et rammeverk forteller deg hva komponentene er. En strategi bestemmer hvilke av dem du finansierer først, og hvorfor, i en formulering som et styre kan godkjenne.
- En kort liste over hva som virkelig ikke kan gå tapt, snarere enn en påstand om at alt er kritisk.
- Navngitte scenarier du planlegger mot, valgt bevisst.
- En avtalt toleranse for forstyrrelser, signert av folk som tar ansvar for konsekvensene.
- Et eksplisitt skille mellom forebygging og gjenoppretting, i stedet for ett som standard.
- En sekvens, fordi alt ikke kan være først.
- Tiltak som viser fremgang uten at det kreves en hendelse for å bevise det.
Hva er en strategi for cyberrobusthet?
En strategi er et sett med valg under begrensninger. Hvis budsjett og oppmerksomhet var ubegrenset, ville det ikke finnes noen strategi, bare en liste over god praksis å implementere. Grunnen til at strategi eksisterer er at man ikke kan gjøre alt på en gang, så noen må bestemme hva som kommer først og hva som er bevisst akseptert for nå.
Det er dette som skiller det fra rammeverket. Rammeverket for cyberrobusthet angir funksjonene som må dekkes og hvilken dokumentasjon hver enkelt produserer. Det er strukturelt og prioriterer ikke. En strategi tar den strukturen og svarer på de vanskeligere spørsmålene: gitt hva vi har råd til i år, hvilke hull tetter vi, hvilke lever vi med, og hva må endres for at det svaret skal endres.
Strategier mislykkes på en gjenkjennelig måte. De gjentar god praksis som ambisjon, forplikter seg til å forbedre alt og gir ikke grunnlag for å si nei til noe. Et dokument som fortsatt ville lest riktig hvis det ble limt inn i en annen organisasjons brevpapir, er ikke en strategi.
Denne siden forutsetter det underliggende konseptet. For hva cyberrobusthet er, hvordan det skiller seg fra cybersikkerhet og hvor EUs lov om cyberrobusthet gjelder, start der.
Hvilke beslutninger tas i en strategi for cyberrobusthet?
Seks, og de er enklere å lage i denne rekkefølgen fordi hver begrenser den neste.
- Eiendeler: hva som virkelig ville skade organisasjonen hvis det gikk tapt, ble eksponert eller ikke ble tilgjengelig. Hvis listen går utover en håndfull ting, har ikke prioriteringen skjedd ennå.
- truslerHvilke scenarioer du planlegger mot? Løsepengevirus, misbruk av innsidere, leverandørkompromittering og tyveri av legitimasjon oppfører seg forskjellig og fører ikke alle til de samme utgiftene.
- Appetite: hvor mye forstyrrelse som er akseptabelt, og hvor grensen går for hvor langt det ikke er det. Vage uttalelser om appetitt er det vanligste svake punktet.
- Balansere: hvordan innsatsen fordeler seg mellom å forhindre hendelser og å overleve dem. Hvis det ikke er avklart, går dette i stor grad mot forebygging fordi det er lettere å kjøpe forebygging.
- Sequence: arbeidsrekkefølgen, rangert etter redusert risiko per innsatsenhet i stedet for etter hvilket team som spurte høyest.
- Måle: hva forteller deg at det fungerer før en hendelse gjør det. Dekning etter funksjon, tid til å oppdage, tid til å komme seg, fullførte øvelser.
Den avgjørelsen som gir flest endringer er den fjerde. Organisasjoner som aldri gjør det, oppdager eksplisitt under sin første alvorlige hendelse at de kjøpte deteksjonsverktøy og aldri øvde på en respons, eller at sikkerhetskopier fantes og ingen hadde tidsbestemt en gjenoppretting.
Hvordan bestemmer du balansen mellom forebygging og gjenoppretting?
Ikke av prinsipp, men ved å se på hvor du allerede er. De fleste organisasjoner kommer til dette spørsmålet med en sterk forebyggingssinne, fordi forebygging selges som produkter med klare funksjoner, mens gjenopprettingsevne stort sett er øving, eierskap og disiplin som ingen markedsfører.
| Spørsmål | Hvordan et svakt svar høres ut | Hvordan det skal høres ut |
|---|---|---|
| Hva forsvarer vi? | Alt er forretningskritisk. | Disse fire tjenestene, i denne rekkefølgen, av disse grunnene. |
| Hvor lenge kan vi være nede? | Så lite som mulig. | Fire timer for betalinger, to dager for rapportering. |
| Ville vi oppdage det? | Vi har overvåking på plass. | Vi oppdaget den siste simuleringen på 40 minutter. |
| Kunne vi komme oss? | Vi har sikkerhetskopier. | Vi restaurerte dette systemet i en test forrige kvartal, og det tok ni timer. |
| Hvem bestemmer på dagen? | Hendelsesgruppen ville samles. | Navngitt person, navngitt stedfortreder, begge utøvdes. |
Å jobbe seg nedover høyre kolonne er en raskere vei til en forsvarlig strategi enn noen modenhetsmodell . Hvert spesifikt svar er enten allerede sant, i så fall er det bevis, eller ikke sant ennå, i så fall er det en prioritet. Dette skillet er hele strategien.
Det er et større bilde bak dette.
Denne siden dekker én del av forretningsrobusthet. Real Resilience – IOs rammeverk for å koble sammen sikkerhet, personvern og AI-styring – er der hele bildet kommer sammen.
Hvordan bygger du opp argumentasjonen for investering?
Cyberrobusthet konkurrerer om penger mot ting med synlig avkastning, og taper når den diskuteres i tekniske termer. Det som reiser er konsekvens uttrykt i språket resten av virksomheten bruker.
- Led med tjenesten, ikke trusselen: hva kundene ikke kan gjøre, og hvor lenge, i stedet for navnet på angrepsteknikken.
- Kvantifiser intervallet, ikke hendelsenKostnaden ved å ikke kunne handle på en dag kan diskuteres på en måte som estimater av totale bruddkostnader ikke er det.
- Vis testet kapasitet mot antatt kapasitetGapet mellom de to er det klareste argumentet som er tilgjengelig, og det trenger ingen prognoser.
- Ta med avveiningen, ikke bare forespørselenHva et mindre budsjett ville bety når det gjelder akseptert risiko, gir styret noe å bestemme i stedet for å godkjenne.
- Bruk kontrakts- og anbudspressDer kunder krever sertifisering eller bevis, blir robusthet en inntektsbetingelse snarere enn et kostnadssenter.
- Rapporter de samme tiltakene hver gangEt konsistent, kort sett slår et omfattende dashbord som ingen leser to ganger.
Sertifisering er uvanlig nyttig her fordi den konverterer en intern påstand til en eksternt verifisert påstand. Et styre som avviser en selvevaluering vil vanligvis akseptere et revidert styringssystem, og bevisene som trengs for et slikt system overlapper i stor grad med bevisene en strategi uansett burde produsere.
Hva bør en strategi for cyberrobusthet unngå?
Feilmønstrene er konsistente nok til å kunne kontrolleres direkte.
- En verktøyliste forkledd som en strategiAnskaffelsesplaner beskriver hva du skal kjøpe, ikke hva du har bestemt deg for.
- Ingen oppgitt appetittUten en linje kan enhver risiko diskuteres, og ingenting kan bevisst aksepteres.
- Alt kritiskEn liste over kritiske eiendeler på førti elementer gir ikke noe grunnlag for sekvensering.
- Kun forebygging: en implisitt antagelse om at gjenoppretting vil fungere, som holder inntil den testes.
- Trusseldrevet uten scenariertrusselinformasjon som beskriver hva angripere gjør, uten noen avgjørelse om hvilket av det du planlegger.
- Tiltak ingen kan produsere: målinger valgt fordi de høres strenge ut snarere enn fordi dataene finnes.
- Skrevet én gangen treårig strategi som aldri blir revurdert, i et domene der både boet og truslene beveger seg kvartalsvis.
Kom enkelt i gang med en personlig produktdemo
En av våre onboarding-spesialister vil veilede deg gjennom plattformen vår for å hjelpe deg med å komme i gang med selvtillit.
Hvordan kobles strategien til Resilience Loop?
En strategi for cyberrobusthet som kun tar hensyn til cybersikkerhet, vil bli omskrevet innen et år, fordi de samme eiendelene den beskytter også er underlagt personvernforpliktelser og, i økende grad, krav til styring av kunstig intelligens. Å bestemme sikkerhetsprioriteringene dine isolert fra disse har en tendens til å produsere tre veikart som konkurrerer om de samme menneskene.
Resilience Loop kjører informasjonssikkerhet under ISO 27001 , databeskyttelse under ISO 27701 og AI-styring under ISO 42001 som ett sammenkoblet system. Sekvensering på tvers av alle tre samtidig er det som gjør en cyberstrategi til en resiliensstrategi, og det endrer regnestykket: en kontroll som implementeres én gang teller tre ganger, så det billigste neste trekket er ofte det som tjener mer enn én forpliktelse. Den bredere strukturen er fastsatt i rammeverket for forretningsresiliens.
Hvordan vet du at strategien fungerer?
Før en hendelse er det bare to ting som forteller deg: dekning og testet kapasitet. Dekning handler om hvorvidt hver funksjon har en eier og et aktuelt bilde. Testet kapasitet er forskjellen mellom hva du antar fungerer og hva du har vist fungerer, og det er det eneste målet som ikke kan manipuleres.
Et kort, gjentatt sett med tiltak er bedre enn et omfattende. Tid for å oppdage det i den siste øvelsen. Tid for å gjenopprette den mest kritiske tjenesten, målt snarere enn målrettet. Andel kritiske tjenester med en innøvd respons. Øvelser fullført mot planlagte øvelser. Hver av dem kan produseres fra arbeid du uansett burde gjøre, som er testen for et rimelig mål. Tilnærmingen er beskrevet i hvordan man dokumenterer motstandskraft , og motstandskraftsscoren gir deg et grunnlag å gå ut fra.
Hvorfor velge ISMS.online for strategi for cyberrobusthet?
En strategi er bare så god som bevisene på at den blir utført. ISMS.online kobler beslutningene til arbeidet.
- Prioriteringer knyttet til kontroller og risikoerDet du bestemte deg for å forsvare, knytter seg til kontrollene som beskytter det og risikoene mot det.
- Ett kontrollsett, hvert rammeverk: sekvenserer arbeid etter hvor mange forpliktelser hver kontroll oppfyller på tvers av ISO 27001, ISO 27701, ISO 42001 og ISO 22301.
- Testet mot antatt, synligTreningsjournaler og funn ligger hos kontrollgruppen, så avstanden er et tall snarere enn en følelse.
- Styrerapportering fra livedata: rapporter de samme målene hver syklus uten å sette dem sammen for hånd.
- Risikoappetitt registrert og anvendt: linjen du ble enige om holdes opp mot risikoene du aksepterer, ikke arkivert og glemt.
- Hjelper deg med å oppnå sertifisering: gjør interne krav om til en uavhengig revidert posisjon som styrer og kunder aksepterer.
- Bygget for britiske og regulerte markeder: utviklet for organisasjoner som må bevise motstandskraft for å vinne og beholde kontrakter.
Se hvordan det passer sammen på plattformen for forretningsrobusthet , eller bestill en demonstrasjon.
Spørsmål og svar
Hva er forskjellen mellom en strategi for cyberrobusthet og et rammeverk?
Et rammeverk er strukturelt. Det angir funksjonene som må dekkes og hvilken dokumentasjon hver enkelt produserer, og det gjelder for enhver organisasjon. En strategi er et sett med valg som er spesifikke for din: hvilke hull du lukker i år gitt et begrenset budsjett, som du bevisst aksepterer, og hva du forsvarer hardest. Rammeverket forteller deg hvordan bra ser ut. Strategien bestemmer hva du gjør med det og i hvilken rekkefølge.
Hvor lang bør en strategi for cyberrobusthet vare?
Kort nok til at ledergruppen har lest den. Beslutningene som betyr noe, hvilke ressurser, hvilke scenarier, hvilken appetitt, hvilken balanse, hvilken rekkefølge og hvilke tiltak, får plass på en håndfull sider. Lengde signaliserer vanligvis at god praksis har blitt omformulert snarere enn at valg er tatt, og en strategi ingen kan huske prioriteringene fra fungerer ikke.
Hvor mye av budsjettet bør gå til gjenoppretting i stedet for forebygging?
Det finnes ikke noe korrekt forholdstall, og ethvert tall som siteres som universelt bør behandles med mistenksomhet. Den nyttige tilnærmingen er å se på din egen situasjon: hvis du kan beskrive dine forebyggende kontroller i detalj, men ikke kan si hvor lang tid en gjenoppretting av ditt mest kritiske system tar, er ubalansen diagnostisert, og neste trinn tilhører gjenoppretting. Gjør oppdelingen eksplisitt, for hvis den ikke er avgjort, går den som standard mot forebygging.
Hvem eier strategien for cyberrobusthet?
Den er skrevet av den som leder sikkerheten og eies av styret, fordi beslutningene i den handler om akseptert risiko og som ikke kan delegeres til en teknisk funksjon. Skillet er viktig i praksis: en strategi som kun eies av sikkerhetsteamet kan overstyres av enhver budsjettrunde, mens en strategi der styret har akseptert risikoavveiningene, har en tendens til å overleve dem.
Hvor ofte bør strategien revurderes?
Årlig som en fullstendig gjennomgang, med sekvensen revurdert når noe vesentlig endres: en betydelig hendelse hvor som helst i sektoren din, et større system- eller leverandørskifte, en ny forpliktelse eller en øvelse som ugyldiggjør en antagelse. Selve beslutningene er rimelig stabile. Det som beveger seg er sekvensen, fordi risikoen som reduseres av hvert gjenværende arbeidsstykke endres etter hvert som eiendommen endres.
