Cybersikkerhed – helt sikkert!

I bogens første kapitel ser vi nærmere på sikkerhedshuset. Vi præsenterer, hvordan emnerne i sikkerhedshuset kan være med til at sætte en strategisk retning i arbejdet med at sikre et passende niveau af cyber- og informationssikkerhed.

Dette kapitel handler om vigtigheden af at have en dyb forståelse for ens organisation for at kunne beskytte den mod cybertrusler. Kapitlet fokuserer således på behovet for at forstå den digitale understøttelse af kerneopgaverne i virksomheder og myndigheder. Desuden introducerer kapitlet fem områder for sikkerhedsarbejde, herunder den overordnede strategiske retning, risikoappetit, kerneprocesser, den digitale understøttelse og it-understøttelse.

Lovgivningen udvikler sig hele tiden, og det er nødvendigt løbende at vurdere, hvilke krav ens organisation er underlagt. Det er en fordel at tage udgangspunkt i anerkendte standarder og rammeværker som ISO 27001 eller NIST CSF 2.0, som vi derfor introducerer i kapitlet. Vi præsenterer desuden en tilgang til at udarbejde effektive styringsdokumenter (politikker), som sikrer, at alle i organisationen kender retningen for cybersikkerhed og ved, hvad der skal gøres.

Risikostyring inden for cybersikkerhed er en kompleks opgave for virksomheder og myndigheder. For at kunne gå til opgaven er det vigtigt at forstå begreber som aktiver, trusler, sårbarheder og risici samt at anvende rammeværker og standarder som for eksempel ISO 27005. 

Risici på cyber- og informationssikkerhedsområdet udgør en delmængde af organisationens samlede risici, og kapitlet præsenterer en tilgang baseret på klare processer, samarbejde på tværs af organisationen og involvering af de rette ressourcer. Til slut i kapitlet giver vi et bud på, hvordan man kan strukturere effektiv ledelsesrapportering, og hvordan et årshjul kan gøre arbejdet med risikostyring lettere.

I dette kapitel præsenterer vi først de vigtigste aktører på både internationalt og nationalt niveau og understreger behovet for klarhed i fordelingen af roller og ansvarsområder inden for organisationer. Vi præsenterer desuden to centrale modeller, Three Lines of Defence-modellen og RACI-modellen, til brug for at støtte en struktureret tilgang til fordeling af roller og ansvarsområder. Derudover dykker kapitlet ned i kompleksiteten ved at håndtere relationer med leverandører og vigtigheden af at integrere it-sikkerhedsperspektiver i indkøbsprocessen. 

Samlet set giver kapitlet indblik i, hvordan organisationer kan navigere i det komplekse netværk af roller og ansvarsområder inden for cyber- og informationssikkerhed.

I kapitel 6 fokuserer vi på it-beredskabsstyring og forretningskontinuitet som centrale begreber og viser, hvordan arbejdet med dette kan ruste organisationer til at stå stærkere i tilfælde af en it-relateret krise. Kapitlet præsenterer metoder, redskaber og værktøjer, herunder business impact analysis, der er helt essentielle for at opbygge og vedligeholde et passende beredskab.

I bogens sidste kapitel stiller vi skarpt på adfærdsdesign som et centralt emne i arbejdet med effektive cybersikkerhedsindsatser. Vi gennemgår 5D-modellen – en model, der gør det muligt at arbejde systematisk med at undersøge, hvad der skal til for at understøtte den ønskede adfærd. Kapitlet giver desuden en række eksempler på, hvordan du kan gøre dine cybersikkerhedsindsatser mere interessante og involverende, samt hvilke roller der findes i jagten på at skabe reelle adfærdsændringer.