Riskhantering, hantera risker med säkerhetsåtgärder
Riskhantering skapar säkerhet. Interna och externa risker hanteras, preventivt och reaktivt, genom utveckling och drift. Riskhantering innebär riskanalys, säkerhetskrav och bevisad säkerhet. Riskhantering ger en säkerhetsplan.
Du vill ut på isen och njuta av vårsolen, men inte gå genom isen. Därför läser du israpporten och har ispik för kontrollera isen. Om du ändå plurrar tar du dig upp med isdubbar och livlina, du har torra kläder i en påse så du inte fryser hemvägen. Åtgärderna är preventiva som att lyssna på israpporten, detekterande, som att känna med ispiken eller korrigerande som isdubbar, livlina och torra kläder. Cybersäkerhetslagen ställer samma krav på riskhantering i cybersäkernet.
Riskhantering identifierar och hanterar risker som kan hindra att du når dina mål. Riskhantering är inte bara att reagera på hot och incidenter. Det är också att fånga möjligheter som se till att lyckas med målen som riskerna kan hindra, att se och ta chansen.
I dagens komplexa omvärld behövs en riskhantering som ger en tydlig helhetsbild över verksamhetens risker och hur de påverkar varandra, Du behöver ett geopolitiskt riskperspektiv när du analyserar cyberrisker och tänka varumärkesrisker identifierar bolagets ESG-risker.
Både flygplan och elsystem består av IT och mekanik. Båda har IT-system för att styra, ett av delsystemen. Styrsystemet är vitalt för både elsystem och flygplan. För detta gäller luftfartslagen respektive cybersäkerhetslagen.
Enligt luftfartslagen är ett flygplan luftvärdigt som är konstruerat, tillverkat, utprovat, utrustat och underhållet samt har flygegenskaper så att flygsäkerhetens krav är uppfyllda. IT-systemen har sina krav i sina standarder.
För mig som pilot är det enkelt. I flygplanet finns IT. Hot mot IT-system ska riskhanteras så att inte olyckor skapas.
Riskhantering i funktionell säkerhet innebär att vi ska göra allt för att systemet fungera och om det inte fungerar ska det fallera på ett predikterbart och säkert sätt.
Detta kräver riskhatering i alla livscykelfaser, hos både systemutveckling och operatör. För detta finns standarder. För system finns t ex ISO 61508 / IEC 62443. För operatören ISO 27001. Gör du båda använd båda.
Hår beskrivs riskhantering ur de perspektivet som finns i ISO 27001 kapitel 6 och ISO 61508 kapitel 7.4-7.8.
Cybersäkerhetslagen kräver minst tio säkerhetsåtgärder, riskhanteringsåtgärder enligt NIS2. 2 kap. 3 §.
Säkerhetsåtgärderna ska säkerställa en nivå på säkerhetet som är lämplig och proportionell i förhållande till risken att hög cybersäkerhetsnivå ej erhålls.
Cybersäkerhet är all verksamhet nödvändig för att skydda nätverks- och informationssystem, användare av dessa system och andra berörda personer mot cyberhot. Samhällsvikiga funktioner ska fungera.
Standarderna ISO 15288 och IEC 61508 kompletterar varandra. ISO 15288 tillhandahåller det övergripande processen för ett systems hela livscykel. IEC 61508 specificerar hur funktionell säkerhet uppnås.
En "systemlivscykelprocess" enligt ISO 15288 omfattar alla aktiviteter från idé till avveckling. "Funktionell säkerhet" enligt IEC 61508 är den del av den övergripande säkerheten som beror på att ett säkerhetskritiskt system fungerar korrekt som svar på sina insignaler. Här adderas detta med ISO 27001 och cybersäkerhetslagen.
Cybersäkerhetsklagen kan enkelt uttryckt beskrivas som ISO 27001 med krav på safety & secrity by design samt funktionell skerhet. Här har krav från cybersäkerhetslagen, ISO 27001 och IEC 61508 lagts ihop i en process relaterad till systemprocessen i ISO 15288.
Den övergripande process har följande huvuddrag: Kontext, Policy, ändringsspecifikation, riskbedömning, säkerhetskrav och säker arkitektur. Ension har byggt upp spårbarheten mellan kraven och den process som här beskrivs. Riskhantering är den centrala delen
Kärnan i arbetet med säkerhet är riskbedömningen med riskanalysen. Riskanalysen genomförs för att hitta risker som kan äventyra säkerheten. ISO 27001 har krav mot en riskanalys för informationssäkerhet. Cybersäkerhetslagen ställer krav på cybersäkerhet viket innebär andra krav.
Ension har en process föratt klara cybersäkerhet, för att hitta riisker i dina system som kan störa samhällsviktiga funktioner . Den klarar även informationssäkerhet/GDPR.
Riskanalysen slutade med en lista med risker. Nu ska säkerhetsåtgärderna hittas.
Det startar med att hitta nödvändiga säkerhetsfunktioner. Sedan definieras funktionssäkerhetskrav, kraven mot säkerhetsfunktionerna. Därefter bestäms kraven på integritet i säkerhetsfunktioner, hur säkra säkerhetsfunktionerna måste vara, Slutligen översätts detta till säkerhetsfunktioner på logisk nivå, hur systemet ska byggas i den logiska arkitekturen. För att säkra allt granskas åtgärder relativt ISO 27002.
Bevisat säkra system är en självklarhet i värdigt många branscher. Bara byråkrati säger du, men säger du det när du ska kliva ombord på flygplanet nästa gång?
Bevis av säkerhet är en viktig process som innebär att man visar att ett system, en algoritm eller en process är säker enligt vissa kriterier. Det handlar om att men följer best practice och visar att du följt detta.