Etter hvert som det digitale økosystemet utvider seg eksponentielt og nettkriminelle prøver å utnytte sikkerhetshull i det, fortsetter regulatorer å legge press på bedrifter for å utvikle omfattende strategier for cyberrisiko og holder dem ansvarlige når ting går galt.

Regulatorer erkjenner at cybertrusler er mangesidige og globale av natur, og tar derfor en mer ensartet tilnærming til samsvar med regelverk for cyberrisiko. Et perfekt eksempel er EUs lov om digital operasjonell robusthet, som pålegger blokkomfattende overholdelse av et felles sett med regler for cybersikkerhet.

Internasjonalt samarbeid om cyberrobusthet, spesielt innen områder som kunstig intelligens (KI), vokser også. I september 2024 var for eksempel Storbritannia, USA og Canada annonserte planer å samarbeide om forskning på cybersikkerhet og AI.

På grunn av fremveksten av konvergerte cyberforskrifter forventes det nå at bedrifter i alle bransjer utvikler, håndhever og regelmessig vurderer omfattende IT-risikokontroller og -policyer. Cybereksperter advarer om at dette ikke lenger kan være en enkeltstående øvelse med avkrysningsbokser.

En konvergert tilnærming til cyberrobusthet

En rask økning i sofistikerte cybertrusler og en økende avhengighet av digitale teknologier fra bedrifter får globale regulatorer til å samordne seg på kjerneområder, som databeskyttelse, cyberrobusthet og risikostyring, ifølge Anu Kapil, senior produktsjef i det amerikanske IT-sikkerhetsfirmaet Qualys.

Hun argumenterer for at ved å ha en enhetlig tilnærming til personvern, cybersikkerhet og AI-forskrifter, drar regulatorer nytte av strømlinjeformet tilsyn og håndheving av grenseoverskridende ansvarlighet. Samtidig kan bedrifter bruke et standard sett med rammeverk for sentralisert samsvar.

Sam Peters, produktsjef i ISMS.online, gjentar lignende tanker og bemerker at regulatorer over hele verden i økende grad samarbeider om tverrdomener knyttet til cyberreguleringer som svar på spredningen av komplekse digitale trusler, geopolitiske utfordringer og økende brukerforventninger til ansvarlighet.

Peters sier at regulatorer ved å gjøre dette håper å slå ned på nåværende siloer som eksisterer innen områder som cybersikkerhet, personvern og kunstig intelligens. Disse siloene gjør det vanskeligere for organisasjoner å oppdage og redusere cybertrusler.

Men ved å eliminere de nevnte siloene, fremme mer konsistente IT-forskrifter og støtte seg på eksisterende risikostandarder som ISO 27001, mener han at regulatorer kan bidra til å akselerere innovasjon på tvers av sektorer og redusere cyberrisikoer.

Det gjøres ikke nok

Selv om bransjestandarder som NIS2, DOR og ISO 27001 har blitt mer samstemte i den senere tid, sier Mark Weir, regional direktør for Storbritannia og Irland hos leverandøren av cybersikkerhetsløsninger Check Point-programvare, antyder at det fortsatt er et stykke å gå før de blir virkelig «konsistente» og «omfattende» på global skala.

Han sier spesielt at mangel på formaliserte retningslinjer og styring av kunstig intelligens gjør det vanskeligere for organisasjoner å bruke denne teknologien på riktig måte. For eksempel er kunstnere bekymret for at KI kan krenke opphavsretten deres med mindre teknologien er regulert på riktig måte.

Men det er ikke bare regulatorer som har skylden. Selv om bransjeorganer som National Cyber ​​Security Centre advarer om den økende risikoen for cybertrusler og gir veiledning for å motvirke dem, sier Weir at mange organisasjoner ikke klarer å sette det ut i livet. Han er spesielt bekymret over mangelen på cybersimuleringer og øvelser i bedriftenes cyberrobusthetsplaner.

Han forteller ISMS.online: «Uten proaktiv planlegging og regelmessig testing reduseres sannsynligheten for en vellykket gjenoppretting etter et cyberangrep betydelig, noe som ofte resulterer i tjenesteavbrudd, datatap og svekkelse av kundenes tillit.»

Hva konvergerte cyberforskrifter betyr for bedrifter

Det som er klart er at etter hvert som nye bransjeforskrifter dukker opp og eksisterende retningslinjer konvergerer, har bedrifter ikke noe annet valg enn å ta sine regulatoriske forpliktelser på alvor. For Peters betyr dette å implementere tilstrekkelige IT-risikokontroller, styre dem robust og være ansvarlige når ting går galt.

Med cyber- og AI-trusler som dukker opp raskt, sier han at bedrifter ikke har råd til å behandle samsvar som en «engangs-sjekkliste». I stedet må de utvikle en kultur for kontinuerlig forbedring for å sikre at planene deres for cyberrobusthet virkelig er effektive.

Peters sier at bedrifter som behandler cyberrobusthet som en «strategisk» og «pågående» øvelse i alle avdelinger, vil være mest vellykkede. Han forklarer: «De som gjør det riktig, får et konkurransefortrinn: raskere markedsinngang, sterkere kundetillit og redusert eksponering for regulatoriske bøter eller omdømmeskade.»

Kapil er enig i at organisasjoner, i lys av konvergerte cyberforskrifter, vil sette seg opp for å mislykkes ved ikke å jobbe kontinuerlig med samsvar. Hun oppfordrer bedrifter til å etablere tilpasningsdyktige cybersikkerhetspolicyer, regelmessig overvåke dem og være forberedt på å svare på improviserte revisjonsforespørsler fra regulatorer.

Hun forteller ISMS.online: «For å gjøre dette effektivt kan bedrifter automatisere innsamling av bevis, vurdere kontrollhull proaktivt og holde seg i tråd med utviklende regelverk på tvers av flere domener.»

En smartere og integrert tilnærming til cyberrobusthet

Når det gjelder å svare på økte regulatoriske krav om konvergert cybersamsvar og styrke cyberforsvaret sitt, oppfordrer Peters bedrifter til å erstatte manuelle og fragmenterte samsvarsmetoder med en som er smartere og mer integrert.

I praksis sier Peters at dette betyr å sentralisere risiko, samsvar og styring til ett miljø som enkelt kan skaleres, tar hensyn til eksisterende og nye bransjeforskrifter og gir innsikt i risiko på tvers av ulike områder av virksomheten.

En måte å gjøre dette på, ifølge Peters, er å implementere et styringssystem for informasjonssikkerhet som overholder kravene i en anerkjent bransjestandard som ISO 27001. Han forklarer at slike standarder ikke bare er bevisst etablert, men også er utformet for å legge til rette for samsvar med grenseoverskridende cyberstandarder på en strukturert og tilpasningsdyktig måte.

«Ved å ta i bruk ISO 27001 som grunnlag får bedrifter en systematisk måte å identifisere, vurdere og redusere risikoer på, og viktigst av alt, strukturen støtter inkluderingen av ytterligere rammeverk, enten det gjelder personvern, AI-etikk, robusthet eller sektorspesifikke mandater», sier Peters.

Han legger til at etter å ha tatt i bruk en ISMS-plattform, kan bedrifter integrere anbefalingene fra andre rammeverk – som ISO 22301 for forretningskontinuitet og/eller ISO 42001 for AI – i sine ulike samsvarsarbeid. Han legger til: «Dette forenkler administrasjon og gjør det enklere å demonstrere samsvar på tvers av flere standarder og regioner.»

I likhet med Peters advarer Kapil bedrifter mot å håndtere ulike IT- og cyberforskrifter separat, da det resulterer i «ineffektive og risikable» siloer. Hun foretrekker en sentralisert tilnærming der selskaper utvikler tverrfaglige retningslinjer i tråd med rammeverk som NIST, ISO og GDPR.

Gitt at regulatoriske forpliktelser er i stadig utvikling, understreker hun viktigheten av kontinuerlig overvåking av retningslinjer – en oppgave som kan effektiviseres ved hjelp av automatiseringsverktøy. Hun legger til: «Med en integrert tilnærming til retningslinjer for revisjon kan de redusere manuelt arbeid, forbedre nøyaktigheten og samordne risiko- og samsvarsarbeid under én plattform.»

Fremtiden for cyberforskrifter

Kapil forventer at bransjereguleringer vil bli enda strengere i møte med et raskt voksende og stadig mer voldsomt cybertrussellandskap. Hun tror det vil bli økt press på bedrifter for å bevise at de kontinuerlig og i sanntid takler disse risikoene ved hjelp av en integrert cyberrisikostrategi. Å starte dette nå vil hjelpe dem å bli «mer smidige, revisjonsklare og bedre beskyttet mot regulatoriske og cyberrisikoer», legger hun til.

Alan Jones, administrerende direktør og medgründer av leverandøren av sikker kommunikasjon YEO Messaging, er enig i at fremtiden for samsvar med cyberrisiko vil bli mer integrert. Han forventer at flere bedrifter vil ta i bruk denne trenden ved å autentisere brukere i sanntid og implementere nulltillitsarkitekturer.

Etter hvert som flere organisasjoner utvikler, implementerer og bruker AI-systemer, Satish Swargam, hovedkonsulent for DevSecOps og sikker utvikling hos et applikasjonssikkerhetsfirma Svart and, spår at fremtidige nettsikkerhetsforskrifter og samsvarspolicyer vil bli utformet rundt denne teknologien.

Ikke bare vil bransjeforskrifter ha som mål å redusere truslene som AI-modeller utgjør, men modellene i seg selv kan også effektivisere samsvar med nettsikkerhetsregler. Swargam sier faktisk at AI har kraften til å «adressere sikkerhetsrisikoer i riktig kontekst».

Bedrifter drar stor nytte av nye teknologier som AI, men de står også overfor betydelige etiske og cybersikkerhetsrisikoer som vokser i omfang og raffinement. På grunn av dette må bedrifter vurdere disse risikoene deretter for å beskytte sine ansatte, kunder og faktisk sitt omdømme. Og å gjøre det vil holde regulatorer fornøyde.