Alt godt kommer til den som venter. I skrivende stund ventet lovforslaget om cybersikkerhet og robusthet (CSRB) på komitébehandling i Overhuset i begynnelsen av september. Håpet er at det blir lov i år, etter mange forsinkelser. Det lover blant annet å utvide gruppen av organisasjoner som er omfattet av lovforslaget, styrke kravene til hendelsesrespons og innføre nye grunnleggende sikkerhetsforventninger.
Men kanskje enda mer interessant er hva som kommer etterpå. Hva forteller lovforslaget oss om hvor de regulatoriske forventningene er på vei? Og hva kan organisasjoner (inkludert de som ikke er omfattet av lovforslaget for øyeblikket) gjøre for å foregripe hva som kan komme?
Det store skiftet
Lovforslagets største signal om hva som skal komme, ligger i tittelen. Dette handler om å omposisjonere cybersikkerhet fra en isolert funksjon knyttet til IT til en som sitter i hjertet av organisasjonen. Samtidig fremhever det robusthet som målet for sikkerhetsteam, snarere enn bare å holde skurkene ute og oppfylle en vilkårlig liste over tekniske kontroller.
Motstandskraft i disse termene betyr å akseptere at sikkerhetsbrudd vil skje – hvordan skulle de kunne det ikke i en verden der kraftig AI kollapser utnyttelsesvinduet og hjelper trusselaktører med å kompetanseheve seg på tvers av flere disipliner? Nøkkelen er å sikre at organisasjonen kan fortsette å operere samtidig som den begrenser trusselen og gjenoppretter seg så raskt som mulig.
Dette gjør cyber til en større diskusjon i styrerom fordi det tar opp bekymringene som opptar bedriftsledere. Operasjonell risiko, forretningskontinuitet, økonomisk og omdømmemessig skade.
«De nye kravene i lovforslaget vil bety at styrer må se på cybersikkerhet og robusthet som et kritisk strategisk spørsmål, ikke bare en separat IT-utfordring», forteller James Morris, direktør for den ideelle organisasjonen CSBR, til IO (tidligere ISMS.online).
«Det betyr at kundenes forventninger vil bli hevet når det gjelder fokus på sikkerhet og robusthet i anskaffelsesprosessen og i den løpende leveransen av produkter og tjenester. Nettsikkerhet og robusthet må være sentrale i styringshensyn og gis topp prioritet i strategiske styrediskusjoner.»
Dette budskapet er konsistent på tvers av myndighetene. Dens retningslinjer for cyberstyring hevder at cyberrisiko er forretningsrisiko, og at direktører må styre den effektivt. Sikkerhetsledere vil håndtere de daglige risikoene og kontrollene, men styret må ta eierskap til risikotilsyn og -sikring. Cyberrobusthetsløftet henvender seg på samme måte direkte til bedriftsledere. Organisasjoner som melder seg på må fullføre styringsopplæring, forplikte seg til å bruke NCSCs tidlige varslingstjeneste og kreve cyberessensielle verktøy på tvers av forsyningskjedene sine, samt publisere årlige oppdateringer.
Kort sagt, forventningene til myndighetene blir stadig tydeligere, og motstandskraft står i sentrum.
Hva kan komme etterpå?
Med dette i tankene er det også nyttig å forstå hvordan CSRB-regimet kan utvikle seg. Sannheten er at det fortsatt har et mye mer begrenset omfang enn NIS2. Men viktigst av alt gir det utenriksministeren myndighet til å oppdatere rammeverket for å bringe nye sektorer og undersektorer inn i regimet, samt endre ansvaret og funksjonene til regulatorene. Implikasjonen er klar: hvis sektoren din ikke er dekket i dag, ikke anta at den vil forbli unntatt i morgen.
«Underveis var det et visst press for å gå lenger, med detaljhandel og produksjon nevnt som åpenbare utelatelser», forteller Dennis Martin, krise- og cyberrobusthetsspesialist hos Axians UK, til IO. «De klarte det ikke denne gangen, men gitt de siste årene med angrep på detaljister, forventer jeg at dette argumentet vil komme tilbake i september.»
CSRBs bestemmelser for forsyningskjeden vil også indirekte omfatte en ny gruppe organisasjoner, ved å tvinge større organisasjoner de handler med til å håndtere tredjepartsrisiko strengere. Det gir også utenriksministeren myndighet til å utpeke enhver leverandør hvis svikt kan skape betydelig forstyrrelse for en regulert enhet.
«Regulatorer fokuserer stadig mer på hvordan kritiske tjenester leveres på tvers av sammenkoblede forsyningskjeder, noe som betyr at robusthet ikke lenger kan vurderes utelukkende innenfor en organisasjons fire vegger», forteller Dave Hughes, partner i Eversheds Sutherland, til IO. «Effektiv tilsyn med viktige leverandører og tredjeparter, støttet av kontinuerlig overvåking og klare kontraktsmessige forventninger, er i ferd med å bli en viktig del av å demonstrere cyberrobusthet.»
Det er også verdt å huske på at CSRB vil bringe med seg et nytt sett med forventninger til hva beste praksis for cybersikkerhet og robusthet betyr fra et teknisk kontrollperspektiv. NCSCs Cyber Assessment Framework (CAF) vil være et sentralt dokument her, så enhver organisasjon som er ivrig etter å fremtidssikre sin cyber- og samsvarsstrategi, bør ta det til etterretning.
Og en siste stor endring: CSRB vil gi regulatorer mulighet til å sørge for kontinuerlig tilsyn med organisasjoner innenfor rammen av regelverket, i motsetning til dagens hendelsesdrevne modell. Dette er teoretisk for øyeblikket og vil avhenge av mange faktorer, ikke minst finansieringen og kapasiteten til regulatorer. Men det signaliserer at myndighetene i økende grad forventer at etterlevelse er noe som må håndteres kontinuerlig.
Tilkoblet og kontinuerlig
Ekspertene er enige. «Statisk årlig samsvar er foreldet når trusselaktører ikke venter på en revisjon. Dersom CSRB blir lov slik den er i dag, kan skyleverandører, datasentre og MSP-er revideres før en hendelse inntreffer, ikke bare til vanlige planlagte tider eller etter et angrep», forklarer Martin fra Axians UK.
«I tillegg krever lovforslaget et 24-timers tidlig varsel etterfulgt av en 72-timers fullstendig rapport til både sektorregulatoren og NCSC, med krav om kundevarsling under visse omstendigheter. Dette krever kontinuerlig overvåking. Uten kontinuerlig overvåking av nettverket ditt vil du ikke kunne varsle de nødvendige organisasjonene i tide.»
Aben Pagar, leder for digital risikorådgivning hos Konexo, er enig. «Kontinuerlig overvåking og sikring blir stadig viktigere ettersom regulatorer går utover punktvise samsvarsvurderinger», sier han til IO. «Organisasjoner trenger kontinuerlig synlighet av risikoer, kontrolleffektivitet og resultater av robusthet. De som kan demonstrere kontinuerlig tilsyn, testing og forbedring, vil sannsynligvis være bedre posisjonert enn de som utelukkende er avhengige av periodiske samsvarsøvelser.»
Ikke bare må organisasjoner flytte compliance-programmene sine bort fra punktvise øyeblikksbilder av status, men de bør også tenke tydeligere på overlappingene som finnes mellom historisk isolerte funksjoner, legger Pagar til.
«Organisasjoner erkjenner at cyberrobusthet ikke eksisterer isolert. Spørsmål som styring av kunstig intelligens, personvern, databeskyttelse og teknologisk risiko er i økende grad sammenkoblet, noe som krever en mer helhetlig tilnærming til styring og risikostyring», argumenterer han.
En moden tilnærming som denne, som bruker kontinuerlig samsvar som et springbrett til robusthet, er fortsatt langt unna for mange organisasjoner, ifølge den nyeste myndighetenes undersøkelse om cybersikkerhetsbrudd . Men det er ingen tvil om at dette er retningen regulatorene beveger seg i.
Morris fra CSRB beskriver robusthet som «både et teknisk og et kulturelt problem» for bedrifter.
«Til tross for kravene i den nye lovgivningen, må organisasjoner konsentrere seg om å bygge en robusthetsmentalitet og -kultur i kjernen av forretningsprosessene sine», avslutter han.
«Dette betyr strategisk planlegging av robusthet på styrenivå og deretter en sammenhengende kaskade inn i virksomhetens drift, med klare planer og ansvar for viktige robusthetsoperasjoner.»
Bedre å begynne å planlegge nå.
Utvid din kunnskap
Blogg: Hvordan løsepengevirus ble et problem for bedrifters robusthet
Podcast: Phishing for Trouble S2 E10: Bygget for å vare: Hvordan samsvar muliggjør robusthet i bedrifter
