Cybersäkerhetslagen kräver att samhällsviktiga tjänster fungerar. Riskanalysen ska göras med en allriskansats, Din affärsmodells tjänster är ditt fokus.
NIS2 krav på riskanalys framgår av EU-kommissionens genomförandeförordning. Det innebär att detta även blir cybersäkerhetslagens krav. Den är lik den riskanalys för informationssäkerhet som finns beskriven i ISO 27001 och ISO 27005.
Genom de detaljerade reglerna för riskhantering krävs rent praktiskt att tre olika metoder följs, i grunden sätter genomförandeförordningen kraven, kraven där är strukturellt lika ISO 27001, men krav sätts även på en säker systemutvecklingscykel (SDLC), här safety & security by design. Det leder till att nyttkja IEC 61508.
De sammanlagda kraven innebär praktiskt att du först måste göra en preliminär riskanalys, etta innan du teknisk designar ditt system. Sedan måste du göra en riskanalys för att uppnå rätt systemdesign.
Preliminär faro och riskanalys görs i tidigt. Du identifierar övergipande risker och utgår från affärsmodellen:
- HAZID-analys. Identifiera de faror som kan uppstå.
- Bestäm vad som är samhällsviktigt i affärsmodellen.
- Identifiera säkerhetskritiska processer
- HAZOP-analys av processer och systemarkitektur för att hitta orsaker till farliga händelser.
- Syntes av HAZID & HAZOP, en sammanvägning.
- Fastställs risknivå och prioritera riskerna. Detta skapar en riskmatris med prioriteringen av riskerna.
HAZID (Hazard Identification), identifiering av faror, är en riskanalys för att identifiera potentiella faror och hot. Syftet är att i ett tidigt skede för att säkerställa att säkerhetsarbetet beaktar trovärdiga farliga scenarier.
Att tänka på i arbetet innan du startar riskanalysen
- Tänk utanför boxen och betrakta din verksamhet ur olika perspektiv.
- Involvera olika avdelningar: IT, säkerhet, drift, etc.
- Följ med i de senaste trenderna inom hot.
Ledaren bör ha god kunskap om cybersäkerhet samt förstå risker förknippade med samhällsviktiga tjänster.
Sekreteraren bör ha teknisk bakgrund inom IT-säkerhet.
Gruppen bör inkludera experter inom affärsmodell, IT, säkerhet, juridisk och kommunikation. Kunskap om attacker riktade mot samhällsviktiga tjänster är mycket bra. Involvera andra organisationer som t.ex. kunder, partners och myndigheter.
När en HAZID för cybersäkerhet ska genomföras och guideorden anpassas. Grundläggande guideord:
- Människan: Felaktig användning, bristande medvetenhet, social ingenjörskonst, insiderhot.
- Process: Felaktig konfiguration, bristande uppdateringar, obehörig åtkomst, dataförlust.
- Teknik: Hårdvarufel, mjukvarufel, nätverksfel.
- Miljö: Naturkatastrofer, sabotage, terrorism.
Använd guideorden i AI-arbetet samt innan och i workshopen för att skapa scenarier och kreativitet.
Underlaget som ska tas fram innan AI gör sin analys och som sedan skickas till intressenterna tillsammans med HAZID med hjälp av AI är följande.
- Affärsmodell med SWOT-analys,
- Intressentanalys med säkerhetskrav
- Anpassade guideord som passar er analys
- Rapporter från tidigare cyberattacker & incidenter
- Scenarier baserat på t ex punkterna ovan. Använd AI för att skapa både scenarier och skapa poddar med NotebookLM om varje sceario.
Material på gemensam whiteboard
- Diagrammet,
- Lista med öppna frågor
- Scenariepoddar, berättelser om organisationens verksamhet
- Riskanalysen en överblickspodd
Poddarna finns för att tvinga fram långsamt tänkande innan workshopen. En lista på en skärm skummas av System 1. En berättelse i öronen kan inte skummas, den tar sin tid, och under tiden börjar deltagaren invända.
Börja med att presentera av övergripande så alla förstår föremålet för analys. Håll mötet ganska kort.
- 10 min, presentation av syfte, avgränsning och metod
- 15 min De egna farorna. Varje deltagare presenterar sina tre, medan uppmärksamheten är som störst.
- 20 min Där rollerna är oense. Avsnitt C ur sammanställningen. Här ligger de verkliga luckorna.
- 15 min Gallring. Vilka kandidater är inte trovärdiga
- 20 min Kedjor. Håller de kedjor AI byggt?
- 15 min Hybrider. Avsnitt D, plus det teamets egna.
- 5 min sammanfattning
Efter workshopen uppdateras modellen baserat på resultatet på den digitala tavlan.
Relationer är det som avslöjar att två faror egentligen är samma, att en kedja saknar ett led, eller att ett resultat inte träffar något värde. En outcome utan koppling till ett värde betyder antingen att resultatet inte spelar någon roll, eller att kontextanalysen missat ett värde.
Öppna frågor markeras som öppna på whiteboarden med instruktioner till teamet och kallelse till en ny workshop..
En hybridattack sker mot Gipsat.nu, vårdens uber:
- Alla sjukhus ges samma fysiska adress så alla körningar av skadade hamnar på samma sjukhus.
- Planeringssystemet hos sjukhuset som de skadade kommer till är hackat så det är underbemannat
- Kundernas telefoner har en malware så att telefonerna larmar utan att kunden tryckt på knappen.
Resultat: Överbalastat sjukhus och falska vårdkörningar.
Här görs en bedömning av vilka tjänster som är kritiska, beslutet är ledningens. Dagordning för workshopen.
- 15 min. Genomgång av HAZID och scenarierna.
- 20 min. Bedömning per tjänst enligt riskkriterierna.
- 15 min. Beslut om vilka tjänster som går till kapitel 3.
- 5 min. Riskbeslut. beslutade samhällsviktiga tjänster
Det är här ni bekräftar eller justerar viktningen av värden från kontextanalysen. Den var en hypotes byggd på affärsförståelse; nu har ni analysen. Resultatet städas och skickas ut efter workshop.
Samtliga resultat pekar mot samma förmåga och samma values i värdeerbjudandet: förmedling av vård och transport med geolokaliserad beställning, transport till akut med kortast kö, larmknappen som utlöser flödet. Transport triggat av larm utförs av partnern taxi.
Övriga values i erbjudandet har inga resultat riktade mot sig. Slutsatsen är att förmedling av vård och transport är den samhällsviktiga tjänsten, en gallring som kommer ur analysen, inte ur en bedömning av vad som känns viktigt.
Processbilden här visar hela vårdprocessen: akutflödet, hemtransporten, återbesöket och avslutningen. Alla fyra realiserar erbjudandet, Nu skall du ska du ta reda på vilka processteg som är säkerhetskritiska.
I kontextanalysen viktade ledningen vad som är kritiskt på en skala 1–5, där 5 betyder noll tolerans för att processen inte fungerar.
Första steget är att vikta stegen i verksamhetsprocessen. Det görs nedan, men för gipsat.nu inses det lätt att akutflödet är viktigast, de första fem processstegen.
Processbilden har två halvor. Den gula visar vad människor gör, den vårdbehövande larmar, taxiföraren kör, sjukhuset tar emot. Den blå visar processen i systemstödet: användarappen, förmedlarservern, chaufförsappen och sjukhusintegrationen.
Det är den blå halvan som ska analyseras i HAZOP, eftersom det är där de systematiska felen uppstår. Men vikten kommer från den gula, för det är där värdet levereras. Det är dessa vikter ni använder när ni i 3.6 identifierar den säkerhetskritiska processen.
Workshopens syfte är att synkronisera förberedelserna till säkerhetskritisk process. Agenda:
- 10 min. Gå igenom de enskildas resultat utan att diskutera, notera var det spretar.
- 20 min. Där rösterna spretar. Vad vet den som röstade lågt som de andra inte vet?
- 15 min. Processen, vilken är säkerhetsprocessen.
Resultatet är dels en tabell med allokerad vikt per applikationsprocess men framför allt är det den säkerhetskritiska processen.
Du kan inte köra HAZOP på hela processen på en gång. Avgränsning till säkerhetskritisk process gjordes kapitel 3.
För Gipsat.nu går den från att den skadade trycker på larmknappen till att patienten är inskriven på sjukhuset. Den startar i den skadades mobiltelefon, går via Gipsats förmedlarserver ut till taxiförarnas telefoner, och slutar i sjukhusets vårdsystem.
Fyra systemägare delar kedjan. Det avgör hur analysen läggs upp, ingen av dem har det kompletta flödet men tillsammans ser dom helheten.
Applicera guideord för att hitta riskerna t ex :
- Mer trafik, data, åtkomst eller användare.
- Mindre trafik, data, åtkomst eller användare.
- Ingen trafik, data, åtkomst, eller användare.
- Omvänd: Data flödar åt fel håll, åtkomst sker från oväntat håll, användare utför otillåtna aktiviteter.
- Felaktig data, användning eller autentisering.
- För mycket trafik, data, användare, eller privilegier.
- För lite: För lite trafik, data, åtkomst eller övervakning.
- Oauktoriserad åtkomst, användning eller ändring.
Mallen har processen i mitten, precis som HAZID hade värdeerbjudandet. Informationsobjekten längs flödet, avvikelserna runt om, och de resultat de leder till ytterst.
Guideorden appliceras på informationen mellan aktiviteterna.
Håll analysen på logisk nivå. Systemägarna har riktiga system i huvudet och glider lätt in i teknik. Frågan är vad som lämnas över och vad mottagaren gör med det, inte hur överföringen sker. Protokoll och integrationer hör till systemriskanalysen.
Samma upplägg som HAZID-workshopen: diagrammet på tavlan, enskild förberedelse, och mötet ägnat åt det AI inte kan avgöra. Agenda:
- 10 min. Genomgång av den sammanslagna bilden. Vad är hypotes, vad är verifierat.
- 45 min. Kedja för kedja med notiserna från förberedelsen. Vad har ni hängt upp, och vad gör vi med det?
- 10 min. Vad saknas, hittade vi något HAZID missade?
- 5 min. Sammanfattning och öppna frågor.
Skapa en syntes av HAZID och HAZOP. Lägg din HAZID utanför HAZOP. Lägg därefter in alla relationer mellan HAZOP och HAZID.
Efter detta analyseras resultatet med Intressenternas säkerhetskrav i åtanke. Leta efter händelser du missat och potentiella konsekvenser: Dataintrång, systemfel, förlust av affärsvärde, rykteskada.
Försök både att hitta konsekvensen hybridattacker från enskilda konsekvenser och enskilda konsekvenser av hybridattacker. Här gäller bredd i analysen.
Sätt nu den enskilda konsekvensen i centrum. Utifrån den placerar du in de farliga händelserna som kan leda till den. Analysera konsekvensen, diskutera och dokumentera:
- Möjliga konsekvenser: Dataintrång, systemfel, förlust av affärsvärde, rykteskada.
- Sannolikhet: Hur troligt är det att avvikelsen inträffar?
- Se till att berörda tjänster finns med.
- Analysera befintliga kontroller och hur dessa påverkar och påverkas av olika guideord. Exempel på guideord anpassade för cybersäkerhet.
Riskerna har identifierats med händelsekedjor samt de resultat riskerna leder till. Nu ska du för varje risk bedöma konsekvenserna av risken samt sannolikheten för att den inträffar. Detta gör du traditionellt genom att bedöma riskernas sannolikhet och konsekvens i en riskmatris.
Riskmatrisen är det första steget i att fastställa risknivån och en bra grafisk ingång. Men riskmatrisen räcker inte för att prioritera. Tio risker kan hamna i samma ruta, och matrisen säger ingenting om vilken av dem som betyder mest för just er verksamhet. Nästa avsnitt visar hur du löser detta.