NIS2: Strategier för riskanalys och Riskhantering
Riskhantering är kärnan i riskbaserat säkerhetsarbete. Policyn för riskhantering ska innehålla ett ramverk för riskhantering rutiner för oberoende granskning samt samt rutiner för övervakning av efterlevnad av policys.
När jag läser genomförandeförordningen uppfattar jag det som EU-kommissionen tagit krav från ISO 27001 kapitel 6, ISO 27005, 27001 kapitel 9, ISO 27002 kontrollerna A 5.35 och A 5.36. Tyvärr har kommissionen ej nyttjat ISO 61508 som beskriver riskhantering i utveckling.
Ta bort möligheter till fel vid design
Den här artikeln riktar sig till dig som vill förstå kraven som cybersäkerhetslagen ställer på riskhantering i form av ramverk för riskhantering samt rutiner för efterlevnad.
Jag har kopplat de krav som finns i förordningen för implementation av NIS2-direktivet till punkter i ISO 27001 Bilaga A. På detta sätt hoppas jag du hittar vad du skall göra för att efterleva cybersäkerhetslagen.
Syftet med nis2 och cybersäkerhetslagen
Cybersäkerhetslagen
NIS2 Skäl 1: begränsa hot mot IT i samhällsviktiga tjänster och säkerställa dess kontinuitet, detta ska bidra till unionens säkerhet och funktion i ekonomi och samhälle.
NIS2 Artikel 1 punkt 1: Vidta åtgärder för att uppnå en hög gemensam cybersäkerhetsnivå inom unionen, i syfte att förbättra den inre marknadens funktion
NIS2 Artikel 21 punkt 1: Vidta åtgärder mot risker hotande säkerheten i IT-system för egen verksamhet eller tjänster utåt och för att minimera incidenters påverkan på mottagarna av dessa tjänster och på andra tjänster.
Cybersäkerhetslagen
Det råder ingen tvekan om vad som riskeras:
- Samhällsviktiga tjänster och dess kontinuitet
- Unionens säkerhet och funktion i ekonomi och samhälle.
- Den inre marknadens funktion
- Incidenters påverkan på mottagarna av egna tjänster och på andra tjänster.
Detta sätter tydligt syftet med riskanalys och riskhanteringen: och det övergripande legala kravet. Utifrån detta har ENISA i genomförandeförordningen tagit fram ett riskhanteringsramverk
Riskhanteringsramverk
1.1 Ramverk för riskhantering
En process för hantering av cybersäkerhetsrikser ska fastställas som identifierar, analyserar, bedömmer och hanterar risker. Processen ska:
(a) följa en riskhanteringsmetodik,
(b) fastställa toleransnivån för risk,
(c) fastställa riskkriterier,
(d) ur en allriskansats identifiera risker i nätverks- och informationssystem. Särskilt relatarat tredje part, singulära punkter och risk som kan skada konfidentialitet, tillgänglighet och integritet.
(e) analysera riskernas sannolikhet, konsekvens och risknivå samt cyberhot och sårbarheter,
(f) utvärdera riskerna baserat på riskkriterierna,
(g) identifiera och prioritera behandling av risker med hänsyn till riskanalys, bedömd effektivitet i cybersäkerhetsåtgärderna (7), kostnad relaterat förväntad nytta, klassificeringen av tillgångar (12.1) samt analysen affärspåverkan (4.1.3)
(h) övervaka införandet av riskbehandling,
(i) identifiera en riskbehandlingsplan samt skälen till att kvarstående risker accepteras.
Resultaten av riskbedömningen och kvarstående risker ska godkännas av ledningen eller personer ansvariga för att hantera risker, som rapporterar resultatet till ledningen.
De berörda enheterna ska granska uppdatera resultaten av riskbedömningen och riskbehandlingsplanen med förutbestämda intervaller, minst årligen samt vid betydande förändringar i verksamheten eller riskerna eller när betydande incidenter inträffar.
ISO 27001 Kapitel 6 planering
ISO 27001 sätter grundläggande krav på riskanalys för informationssäkerhet. Det här är kraven sammanfattade:
- Sätt riskkriterieer
- Hitta risk för konfidentialitet, integritet och tillgänglighet hos informationen
- Specificera riskägarna.
- Identifiera konsekvens av och sannolikhet för incident
- Jämför resultat med kriterier
ISO 27005 Information security risk management
ISO 27005 – Information security risk management (Riskhantering för informationssäkerhet) är en guide för riskhantering. Standarden innehåller riktlinjer för hanteringen av informationssäkerhetsrisker i en organisation. Detta är innehållet i processen.
- Definiera kontext
- Identifiera tillgångar
- Identifiera hot
- Identifiera existerande kontroller
- Identifiera sårbaheter
- Analysera konsekvenser
- Analysera incidentsannolikhet
- Fastställa riskutvärdering
Genomförandeförordningen ställer specifika krav på hur riskhanteringen ska struktureras. Här ser du hur Ensions ingenjörsmässiga metodik adresserar varje punkt för att säkerställa att din verksamhet inte bara är laglydig, utan operativt säker.
| Krav i Genomförandeförordningen (2.1.2 & 2.1.3) | Andra (Traditionell IT/MSB-metod) | Ensions Metod (Safety & Security) | Varför Ension uppfyller kraven bättre |
|---|---|---|---|
| (a) Följa en riskhanteringsmetodik. | Ofta administrativt driven enligt ISO 27005 eller MSB:s handböcker. | Strukturerad HAZID/HAZOP integrerad med V-modellens kravställning. | Vi går från pappersprodukt till ingenjörsmässig precision där risker hanteras i designen. |
| (b) Fastställa toleransnivån för risk. | Abstrakta skalor som sällan är förankrade i den operativa vardagen. | Toleransnivåer kopplade till affärsmodellens tålighet och säkerhetskritiska gränser. | Ledningen får ett verktyg för att fatta beslut baserat på faktiska konsekvenser för tjänsten. |
| (c) Fastställa riskkriterier. | Standardiserade kriterier för Konfidentialitet, Riktighet och Tillgänglighet (CIA). | Utökade kriterier som inkluderar Safety, operativ resiliens och affärspåverkan. | Vi mäter det som faktiskt betyder något för att samhällsviktiga funktioner ska rulla. |
| (d) Allriskansats: Identifiera risker i nätverk och system. Särskilt tredje part, SPOF och CIA-risker. | Fokus på cyberhot mot IT-miljö. Systematiska SPOF-analyser saknas ofta i bredare lager. | Total screening (Människa, Process, Teknik, Miljö) med fokus på att eliminera singulära felkällor. | Vi hittar de dolda riskerna i leveranskedjan och miljön som IT-säkerhet missar. |
| (e) Analysera sannolikhet, konsekvens och risknivå samt cyberhot och sårbarheter. | CVE-listor och generiska hotbilder som ofta känns frikopplade från den specifika driften. | Scenariobaserad analys av funktionsbortfall baserat på verkliga underrättelser och design. | Risknivån blir begriplig: "Vad händer med tjänsten vid detta specifika scenario?" |
| (f) Utvärdera riskerna baserat på riskkriterierna. | Poängsättning (1-25) i ett kalkylark. | Utvärdering mot verksamhetens "Cybervärdighet" och förmåga att upprätthålla tjänsten. | Skapar en tydlig prioritering av vad som måste åtgärdas för att skydda samhället. |
| (g) Identifiera och prioritera behandling med hänsyn till effektivitet, kostnad/nytta och BIA (4.1.3). | Prioritering baseras ofta på enkelhet eller budget, sällan på en djup affärspåverkananalys. | Direkt koppling mellan riskbehandling, tillgångsklassificering och affärsmodellens överlevnad. | Varje investerad krona i säkerhet kan motiveras med minskad affärspåverkan och ökad nytta. |
| (h) Övervaka införandet av riskbehandling. | Uppföljningsmöten och bockar i en att-göra-lista. | Verifiering och Validering (V&V) genom hela utvecklingscykeln. | Vi bevisar tekniskt att åtgärden faktiskt är införd och att den fungerar som tänkt. |
| (i) Riskbehandlingsplan och skäl till att kvarstående risker accepteras. | Administrativ acceptans där ledningen skriver under på risker de sällan fullt ut förstår. | Genomlysning av kvarstående risker i förhållande till systemdesign och operativ kontroll. | Gör acceptansen ansvarsfull: Ledningen vet exakt vilka risker som finns kvar och varför. |
Efterlevnad
2.2. Övervakning av efterlevnad
Entiteterna ska regelbundet granska efterlevnaden av policyer för nätverks- och informationssäkerhet, ämnesspecifika policyer, regler och standarder. Ledningsorganen ska informeras om statusen för nätverks- och informationssäkerhet baserat på efterlevnadsgranskningarna genom regelbunden rapportering.
Det ska finnas ett system för rapportering av efterlevnad anpassat till entitetens struktur, operativa miljö och hotbild. Systemet för efterlevnadsrapportering ska kunna ge ledningen aktuella statusen för entitetens riskhantering.
De berörda enheterna ska utföra övervakning av efterlevnad med förutbestämda intervall samt när betydande incidenter eller väsentliga förändringar i verksamheten eller risker inträffar.
ISO 27001 Bilaga A 5.36 Efterlevnad av policyer, regler och standarder för informationssäkerhet
Denna kontroll som kräver att du säkerställer att ni följer den informationssäkerhetspolicy, ämnesspecifika policyer, regler och standarder som ni har definierat och att dessa granskas regelbundet.
Syftet är att säkerställa att det ni gör fortfarande är lämpligt, tillräckligt och effektivt.
ISO 27001 definierar Bilaga A 5.36 som: Efterlevnaden av organisationens informationssäkerhetspolicy, ämnesspecifika policyer, regler och standarder ska granskas regelbundet.
Oberoende granskning
2.3 Oberoende granskning av informations- och nätverkssäkerhet
Entiteten ska oberoende granska sitt sätt att hantera säkerheten i nätverks- och informationssystem.
Processer ska finnas för att genomföra oberoende granskningar, utförd med relevant revisionskompetens. Om den oberoende granskningen utförs internt ska om möjligt de som granskar vara oberoende relativt personer inom det granskade området.
Resultaten av de oberoende granskningarna, resultaten från övervakningen av efterlevnad enligt punkt 2.2 och övervakningen och mätningen enligt punkt 7, ska rapporteras till ledningsorganen. Korrigerande åtgärder ska vidtas, eller kvarstående risk ska accepteras enligt entitetens kriterier för riskacceptans.
De oberoende granskningarna ska genomföras med planerade intervaller och när betydande incidenter eller betydande förändringar i verksamheten eller riskerna inträffar.
ISO 27001 Bilaga A 5.35 Oberoende granskning av informationssäkerhet
Kontrollen kräver en oberoende granskning av er informationssäkerhetsstyrning och kontroller vid planerade intervaller eller vid betydande förändringar.
Syftet med en oberoende granskning av informationssäkerhet är att säkerställa att det som görs fortfarande är lämpligt, tillräckligt och effektivt.
Granskningen är oberoende för att undvika att ni själva granskar ert arbete och för att minska risken för självbelåtenhet i verksamheten.
ISO 27001 definierar kontrollen A 5.35 som: Organisationens tillvägagångssätt för att hantera informationssäkerhet och dess implementering, inklusive personer, processer och teknologier, ska granskas oberoende vid planerade intervaller eller när betydande förändringar sker.