Overholdelse af regler og standarder

Kunstig intelligens, virtuel virkelighed, kontantløse betalinger, tingenes internet og mange andre informationsteknologiske grene vokser dagligt.

Med deres vækst og ekspansion opstår nye trusselvektorer og sårbarheder i cyberlandskabet. I sin rapport om cybersikkerhedstrends i 2022 erklærede World Economic Forum, at „som digitalisering fortsætter med at sprede sig, og nye teknologier introduceres, vil cyberrisikoen uundgåeligt vokse“. De bemærkede også gennem deres undersøgelser, at „selvom aktører fra den offentlige og private sektor […] er fast besluttede på at opnå højere cybersikkerhed, bliver deres bestræbelser ofte hæmmet af forskellige […] lovgivningsmæssige barrierer“.

At forstå de regulatoriske krav kan faktisk være en stor forhindring for virksomheder, især dem, der har til hensigt at skalere internationalt. I de følgende artikler vil vi give et overblik over, hvordan man tilgår cybersikkerhedsregler, hvad de mest almindelige er, og hvordan man tackler dem.

II. Forskrifter og standarder

I 2005 gennemførte den Internationale Telekommunikationsunion en undersøgelse af nationale cybersikkerhedsinitiativer i 14 store verdensøkonomier og i næsten 30 industrier. De anslog, at over 174 initiativer, der kunne have ført til fremtidige politikker, var aktive. I dag, baseret på antallet af regler og standarder, der findes verden over, er det sandsynligt, at det mindste antal cybersikkerhedspolitikker, der håndhæves globalt, er i tusindvis.

Det er dog vigtigt at forstå forskellen mellem regler og standarder, da organisationer muligvis skal overholde en eller begge. En cybersikkerhedsregulering er en lovgivningsmæssigt bindende regel (eller et sæt af regler), som en organisation skal følge. Overholdelse af disse regler er obligatorisk, og organisationer, der ikke overholder dem, kan blive pålagt sanktioner som bøder eller retssager fra myndighederne.

På den anden side er en cybersikkerhedsstandard et sæt retningslinjer eller bedste praksis, som en organisation kan følge for at forbedre sin cybersikkerhedsposition. Overholdelse af disse standarder er frivillig, men at følge dem kan hjælpe organisationer med at demonstrere overfor deres kunder, partnere og tilsynsmyndigheder konsistensen i deres cybersikkerhedsposition.

Sammenfattende er regler lovligt bindende og kan håndhæves af loven, mens standarder ikke er. Da standarder dog opdateres oftere, kan det at være i overensstemmelse med en standard hjælpe en organisation med at overholde en regel. Desuden kan overholdelse af standarder, der er specifikke for en organisations sektor, hjælpe den med at skille sig ud fra konkurrenterne.

Derfor kan det afhængigt af en organisations aktivitet være nødvendigt at overholde en specifik standard eller regulering. Det er dog sikkert at antage, at enhver moderne virksomhed skal overholde databeskyttelse og cybersikkerhed. Af denne grund har jeg opsummeret nøglepunkter fra to forskrifter i Europa og to ofte anmodede standarder i virksomheder verden over: General Data Protection Regulation (GDPR), Network and Information Systems (NIS) Direktivet, ISO 27k og National Institute of Standards and Technology (NIST).

Forståelse af regler og standarder

Hvis du ikke er bekendt med alle de ovennævnte politikker, vil jeg give dig en kort introduktion til fire af dem:

• GDPR (Generel databeskyttelsesforordning): Dette er EU-forordningen, der styrer beskyttelsen af persondata og individers rettigheder vedrørende deres persondata. Den gælder for alle, der behandler persondata om EU-borgere, uanset hvor de er placeret. Dette betyder, at enhver person, der behandler persondata om europæiske borgere, er forpligtet til at overholde GDPR. Artiklerne i GDPR regulerer blandt andet foranstaltninger til beskyttelse af persondata, udpegelse af en databeskyttelsesansvarlig samt processen og rapportering af brud.
• NIS-direktiv (Netværks- og Informationssystemdirektiv): Dette er EU-direktivet, der fokuserer på at levere en sikkerhedsbasis for kritisk infrastruktur og væsentlige tjenester på tværs af Europa. Ifølge dette direktiv anmodes alle virksomheder, der opererer i kritiske industrier (som energi, transport og sundhedsvæsen) og deres digitale tjenesteudbydere (som søgemaskiner og cloud-tjenester), om at implementere passende sikkerhedsforanstaltninger. Derudover kræver direktivet, at medlemslandene i EU har nationale cybersikkerhedsstrategier og hændelsesberedskabsplaner, der er lige med eller bredere end NIS-direktivet. Det betyder, at alle EU-lande skal implementere reguleringer, der dækker alle emner i NIS-direktivet som minimumsgrundlag, men de kan (og bør) være mere omfattende.
• ISO 27000 standard for cybersikkerhed: Også kendt som ISO 27k, er det en international standard, der skitserer en ramme for et informationssikkerhedsstyringssystem (ISMS). Den giver en systematisk tilgang til at håndtere følsomme virksomhedsoplysninger, så de forbliver sikre. Den inkluderer et sæt politikker og procedurer, som organisationer kan bruge til at hjælpe med at beskytte deres fortrolige data, samt retningslinjer for risikostyring og overholdelse.
• NIST (National Institute of Standards and Technology) cybersikkerhedsramme: NIST er en amerikansk regeringens agentur, der offentliggør en bred vifte af cybersikkerhedsstandarder, retningslinjer og bedste praksis. NIST's cybersikkerhedsramme giver en risikobaseret tilgang til at håndtere cybersikkerhed. Standardet er struktureret ved at detaljere fem kernehandlinger for at være compliant: Identificere, Beskytte, Detect, Reagere og Gendanne.

GDPR, NIS-direktiv, ISO 27k og NIST behandler alle cybersikkerhed og databeskyttelse. Selvom de kan variere i omfang og krav, kan håndtering af én af dem være et nøgletrin i opnåelsen af de andre. For eksempel:

• Hvis vi ser på ISO 27k og NIST, kan vi se, at begge standarder er bredt adopteret og anerkendt som bedste praksis for cybersikkerhed. ISO 27k er dog en procesbaseret standard, der giver retningslinjer for håndtering af følsomme virksomhedsoplysninger. På den anden side er NIST bygget på en risikobaseret tilgang og har til formål at identificere, håndtere og reducere risici fra cybersikkerhedssårbarheder.
• Hvis vi tager NIS-direktivet og GDPR, kan vi se, at de giver vejledning og krav til at forbedre cybersikkerheden. De to overlapper faktisk hinanden på nogle punkter. Det skal dog bemærkes, at GDPR sigter mod at beskytte personoplysninger på alle niveauer, mens NIS-direktivet sigter mod at give vejledning om alle aspekter i forbindelse med informationssikkerhed, men kun i et branchespecifikt omfang.

For at opsummere: Omfanget, håndhævelsen og formålet med dine cybersikkerhedspolitikker kan defineres efter regler og standarder, men du skal være opmærksom på forskellene mellem dem for at forstå, hvilken der gælder bedst for dig. Når du har fundet ud af det, er det bare et spørgsmål om at implementere dem korrekt. I næste afsnit får du et par forslag til dette."

Hvordan håndterer du overholdelse af politikker og regler? Udfordringer og løsninger

Implementeringen af de førnævnte politikker kan være nødvendig på grund af juridiske krav eller en kommende revision. Du skal muligvis foretage ændringer i dine processer og din struktur for at overholde den relevante politik. Men før du gør det, kan der tages nogle fælles skridt for at forberede dig på disse ændringer:

• Lager- og aktivstyring: Organisationer vurderer typisk deres nuværende systemer, processer og procedurer for at fastslå deres overensstemmelsesniveau. Dette inkluderer at identificere kendte områder med manglende overensstemmelse samt kendte risici og sårbarheder i deres nuværende infrastruktur.
• Træning og kommunikation: Det er afgørende at forberede dine ressourcer på kommende ændringer for at sikre, at alle i din organisation forstår de nødvendige ændringer. En revision eller en infrastrukturforbedring kan forårsage forstyrrelser og kan kræve, at medarbejdere tilegner sig nye færdigheder. Bevidsthed om disse forhold kan hjælpe dig med at spare tid på at prioritere og planlægge mulige løsninger.
• Tredjeparts- og leverandørstyring: Dette er en aspekt, der ofte overses. En detaljeret og opdateret oversigt over dine leverandører vil sandsynligvis være nødvendig for at sikre overholdelse af de fleste standarder og regler. Selv hvis en politik ikke direkte adresserer en tredjepart, kan den stadig indirekte kræve ændringer i vilkårene og betingelserne i aftaler med eksterne tjenesteudbydere.
• Gapanalyse: Hvis du verificerer overholdelse af en regulering eller standard, er det vigtigt at være forberedt på at udføre en gapanalyse for at identificere områder, hvor kritiske ændringer er nødvendige. Dette er det første skridt mod overholdelse og udføres bedst af eksterne konsulenter med specifik viden om den overholdelse, du søger at opnå.

Afslutningsvis kan det være vanskeligt og dyrt at overholde regler og standarder. Du kan have brug for at stole på eksterne konsulenter for at opnå overholdelse, hvis du ikke har de nødvendige interne kompetencer. Forståelse af forskellene mellem politikker og regler samt at have en strategi på plads kan dog gøre processen lettere og hjælpe dig med at afgøre, hvornår det er værd at forbedre med en standard, og hvornår det er nødvendigt at overholde regler.