Organisasjoner har lenge forstått utfordringen med å oversette cyberrisiko til forretningsrisiko. Kommunikasjonsbruddet mellom CISO og styrerom er reelt og godt dokumentert. Men finnes det dypere problemer? Av ulike årsaker har cyberrisikostyring vokst i størrelse og omfang over tid. I dag kan det spenne over alt fra tradisjonelle sikkerhetsdisipliner til personvern, forsyningskjederisiko, juridiske forhold, AI-styring og operasjonell robusthet. Det skaper uunngåelig datasiloer, dekningshull og utfordringer med robusthet.
Hvis felles styring er målet, hvordan bør reisen se ut?
Når synlighet og eierskap splittes
Det er flere grunner til at håndtering av cyberrisiko har blitt så uhåndterlig over tid. Det var en tid da sikkerhet var mye enklere. Dataressurser var lokalisert, og organisasjoner voktet området for å holde de dårlige tingene ute. Denne «borg-og-vollgrav»-tilnærmingen fordampet med ankomsten av skytjenester, fjernarbeid og SaaS-applikasjoner. Etter hvert som angrepsflaten har utvidet seg, har den tatt inn driftsteknologi (OT), tingenes internett-systemer (IoT), mobile enheter, edge computing-servere og mer. Flere IT-ressurser, mer kompleksitet, mer fragmentert tilsyn.
AI-infrastruktur og -tjenester representerer den siste ekspansjonen. Store språkmodeller (LLM-er), agenter, vektordatabaser, maskinlæringsrørledninger, API-er, plugins og skyservere representerer et nytt høyrisikomål for angrep. Etter hvert som AI finner veien inn i mer forretningskritiske tjenester, øker potensialet for kompromittering, datatyveri og manipulasjon. Skygge-AI er en spesiell bekymring. To tredjedeler (65 %) av organisasjoner har lidd Sikkerhetshendelser relatert til AI-agenter det siste året, og enda flere (82 %) mistenker at de har uadministrerte agenter kjørende i miljøene sine.
Forsyningskjeder har også skylden. Gjennomsnittlig bedrifter bruker nå anslagsvis 61 sikkerhetsverktøy. Og det er bare cyber. I nesten alle sektorer har organisasjoner samlet et komplekst økosystem av partnere som håndterer alt fra logistikk til profesjonelle tjenester. Så har vi digitale leverandører. Åpen kildekode-komponenter er en økende kilde til risiko.
Den siste faktoren er regelverket. Etter hvert som nye lover har dukket opp for å oppmuntre til driftsmessig robusthet og beskytte personopplysninger, AI-teknologi, smartenheter og annen teknologi, har byrden på compliance-teamene økt. I noen tilfeller (som NIS2) holdes toppledelsen nå personlig ansvarlig for manglende samsvar. Det har flyttet ansvarsfokuset mer direkte bort fra sikkerhetsteamene og over på forretningsledelsen.
Hva dette betyr
Ifølge forsknings- og rådgivningsfirmaet Info-Tech Research Group, er det tre viktige barrierer for integrert risikostyring:
- Mangel på modne prosesser, felles språk, risikokultur og moderne verktøy for å støtte integrert risikostyring
- Raskt utviklende regelverk, nye teknologier og skiftende geopolitiske realiteter som gjør det vanskelig å opprettholde proaktive risikopraksiser
- Risikostyring som behandles som en compliance-øvelse snarere enn en strategisk kapasitet, noe som fører til blindsoner og tapte muligheter til å styrke motstandskraften
I noen tilfeller forventes det at CISO-er skal håndtere den økende byrden. Cambridge University Forskning viser at dette kan føre til reaktiv risikostyring, samsvar med avkrysningsbokser og ofte utbrenthet. Separat IANS forskning avslører 52 % av IT-sjefene føler at omfanget deres ikke lenger er fullt ut håndterbart. Rapporten advarer om at presset er spesielt stort i mindre organisasjoner og kan forsinke viktige strategiske initiativer.
Til syvende og sist skader silobasert risikostyring organisasjonen ved å øke ugjennomsiktighet og risiko for brudd, argumenterer Black Duck CISO, Dom Glavach.
«Når siloer skaper frakoblet tilsyn, spesielt ettersom AI øker tempoet, oppstår det risikoer på tvers av programvareforsyningskjeder, arbeidsflyter og forretningsdrift. Distribuert eierskap er nødvendig for å holde tritt ettersom cyberrisiko spenner over sikkerhet, produkt, personvern, samsvar og leverandører», forteller han IO (tidligere ISMS.online). «Når siloene forstyrrer tilsynet, ender organisasjoner opp med blindsoner, dobbeltarbeid, tregere respons og vanskeligheter med å bevise at kontrollene fungerte på tvers av organisasjonen.»
Tid for integrering
Så hvor går organisasjonene videre herfra? Info-Tech har en firepunktsplan for integrert cyberrisikostyring:
- Etablere mål og styring
- Utvikle mekanismer for å identifisere og vurdere risikoer
- Utvikle alternativer for risikohåndtering
- Lag en plan for verktøy, overvåking og rapportering
For Muhammad Yahya Patel, vCISO EMEA hos Huntress, bør to viktige fokusområder komme først.
«For det første, et felles kontrollrammeverk som alle funksjoner er knyttet til, slik at når CISO rapporterer om sikkerhetskontroller, databeskyttelsesansvarlig (DPO) rapporterer om personvernkontroller og lederen for AI-styring rapporterer om modellrisiko, så snakker de alle om den samme underliggende risikotaksonomien, og styret kan se det samlede bildet», forteller han til IO.
«Deretter trenger leverandørdimensjonen oppmerksomhet, fordi det er der bruddet i styringen er mest akutt akkurat nå. De fleste organisasjoner har tredjeparts risikostyringsprosesser som er punktlige: en vurdering ved onboarding, et spørreskjema ved fornyelse. Det de ikke har, er kontinuerlig oversikt over om kontrollene de stolte på ved vurderingstidspunktet fortsatt er på plass. Kontinuerlig overvåking av leverandørenes sikkerhetstilstand, integrert med ditt interne risikobilde, er et must.»
Hvor rammeverk hjelper
Ronald Lewis, leder for styring av cybersikkerhet ved Svart and, sammenligner prosessen med finjustering av en gammeldags klokke, der hver funksjon er et tannhjul.
«Hvert tannhjul har en spesifikk rolle, men ingen av dem opererer uavhengig. Hvis ett tannhjul er feiljustert, spinner for fort, for sakte eller i feil retning, driver hele systemet. Det er akkurat slik cyberrisiko oppfører seg i silobaserte miljøer. Kontroller svikter ikke fordi de er dårlig utformet; de svikter fordi de ikke er synkronisert med beslutninger som tas andre steder», sier han.
«Det nivået av synkronisering skjer ikke organisk. Det krever et rammeverk. Enten det er ISO 27001, NIST eller en godt konstruert intern modell, er poenget å etablere et felles språk, ensartet taksonomi og klare sporbarhetslinjer mellom risikoer, kontroller og eierskap.»
Lewis forklarer at et sterkt rammeverk tvinger frem integrasjon på tvers av domener.
«Det skaper bindevevet mellom personvern, sikkerhet, tredjepartsrisiko, AI-styring og operasjonell robusthet. Det lar deg se ikke bare individuelle risikoer, men også hvordan de samhandler og skaleres», konkluderer han. «Uten den strukturen kan du ikke få til felles tilsyn. Med den kan du samordne tannhjulene, dreie uavhengig, men i samme retning, mot et enkelt, målbart mål: en sammenhengende, bedriftsomfattende forståelse og håndtering av cyberrisiko.»
Utvid din kunnskap
Podcast: Phishing for trøbbel S2 E2: Du er kompatibel. Er du motstandsdyktig?
Blogg: Hvorfor cyberrobusthet fortsatt er langt unna for mange britiske bedrifter
