Efterlevnad av regelverk och standarder

Artificiell intelligens, virtuell verklighet, kontantfria betalningar, sakernas internet och många andra informations teknologi grenar växer varje dag.

Med deras tillväxt och expansion uppstår nya hotvinklar och sårbarheter i cyberspace. I sin rapport om cybersäkerhetstrender 2022 förklarade World Economic Forum att “medan digitalisering fortsätter att spridas och nya teknologier introduceras, kommer cyberrisker oundvikligen att växa”. De noterade också genom sina undersökningar att “även om aktörer från både den offentliga och privata sektorn […] är beslutsamma att uppnå högre cybersäkerhetsnivåer, hindras deras ansträngningar ofta av olika […] regulatoriska hinder”.

Att förstå regulatoriska krav kan faktiskt vara ett stort hinder för företag, särskilt för de som strävar efter att växa internationellt. I de följande artiklarna kommer vi att ge en översikt över hur man närmar sig cybersäkerhetsregler, vilka de vanligaste är och hur man hanterar dem.

II. Regler och Standarder

År 2005 genomförde Internationella telekommunikationsunionen en studie om nationella cybersäkerhetsinitiativ i 14 stora världsekonomier och i nästan 30 industrier. De uppskattade att över 174 initiativ, som kunde ha lett till framtida politik, var aktiva. Idag, baserat på antalet regler och standarder som finns världen över, är det troligt att det minsta antalet cybersäkerhetspolicys som genomförs globalt ligger i tusentalet.

Det är dock viktigt att förstå skillnaden mellan regler och standarder, eftersom organisationer kan vara skyldiga att följa en eller båda. En cybersäkerhetsreglering är en juridiskt bindande regel (eller uppsättning regler) som en organisation måste följa. Efterlevnad av dessa regler är obligatorisk och organisationer som inte följer dem kan möta straff som böter eller rättsliga åtgärder från myndigheter.

Å andra sidan är en cybersäkerhetsstandard en uppsättning riktlinjer eller bästa praxis som en organisation kan följa för att förbättra sin cybersäkerhetsposition. Efterlevnad av dessa standarder är frivillig, men att följa dem kan hjälpa organisationer att visa sina kunder, partners och tillsynsmyndigheter konsekvensen i deras cybersäkerhetsposition.

Sammanfattningsvis är regler juridiskt bindande och kan verkställas enligt lag, medan standarder inte är det. Eftersom standarder ofta uppdateras kan det att följa en standard hjälpa en organisation att uppfylla en regel. Dessutom, eftersom regler vanligtvis har ett bredare omfång, kan efterlevnad av standarder specifika för en organisations sektor hjälpa den att sticka ut från konkurrenterna.

Därför, beroende på en organisations verksamhet, kan det vara nödvändigt att följa en specifik standard eller föreskrift. Det är dock säkert att anta att varje modernt företag måste följa dataskydd och cybersäkerhet. Av denna anledning har jag sammanfattat viktiga punkter från två förordningar i Europa och två vanligt efterfrågade standarder över företag världen över: General Data Protection Regulation (GDPR), Network and Information Systems (NIS) Directive, ISO 27k och National Institute of Standards and Technology (NIST).

Förståelse för regler och standarder

Om du inte är bekant med alla de ovan nämnda policyerna, kommer jag att ge dig en kort introduktion till fyra av dem:

• GDPR (Allmänna dataskyddsförordningen): Detta är EU-förordningen som styr skyddet av personuppgifter och individers rättigheter när det gäller deras personuppgifter. Den gäller för alla som behandlar personuppgifter om EU-medborgare, oavsett var de befinner sig. Detta innebär att alla som behandlar personuppgifter om europeiska medborgare måste följa GDPR. Artiklarna i GDPR reglerar bland annat åtgärder som vidtas för att skydda personuppgifter, utnämning av ett dataskyddsombud samt processen och rapporteringen av överträdelser.
• NIS-direktiv (Direktiv om nätverks- och informationssystem): Detta är EU-direktivet som fokuserar på att tillhandahålla en säkerhetsgrund för kritisk infrastruktur och viktiga tjänster över hela Europa. I enlighet med detta direktiv uppmanas alla företag som verkar inom kritiska branscher (såsom energi, transport och hälso- och sjukvård) samt deras digitala tjänsteleverantörer (såsom sökmotorer och molntjänster) att vidta lämpliga säkerhetsåtgärder. Dessutom kräver direktivet att EU:s medlemsstater har nationella cybersäkerhetsstrategier och incidentresponsplaner som är lika med eller bredare än NIS-direktivet. Detta innebär att alla EU-länder måste implementera regler som täcker alla ämnen i NIS-direktivet som ett minimigrundlag, men de kan (och bör) vara mer omfattande.
• ISO 27000 standard för cybersäkerhet: Även känt som ISO 27k, är det en internationell standard som beskriver ett ramverk för ett informationssäkerhetshanteringssystem (ISMS). Det ger ett systematiskt tillvägagångssätt för att hantera känslig företagsinformation så att den förblir säker. Det inkluderar en uppsättning policyer och procedurer som organisationer kan använda för att hjälpa till att skydda sina konfidentiella data samt riktlinjer för riskhantering och efterlevnad.
• NIST (National Institute of Standards and Technology) cybersäkerhetsramverk: NIST är en amerikansk myndighet som publicerar ett brett utbud av cybersäkerhetsstandarder, riktlinjer och bästa praxis. NIST:s cybersäkerhetsramverk ger ett riskbaserat tillvägagångssätt för att hantera cybersäkerhet. Standarden är strukturerad genom att beskriva fem centrala åtgärder för att vara i överensstämmelse: Identifiera, Skydda, Upptäcka, Svara och Återhämta.

GDPR, NIS-direktivet, ISO 27k och NIST behandlar alla cybersäkerhet och dataskydd. Även om de kan skilja sig åt när det gäller omfattning och krav, kan hantering av ett av dem vara ett viktigt steg för att uppnå de andra. Till exempel:

• Om vi tittar på ISO 27k och NIST ser vi att båda standarderna är allmänt antagna och erkända som bästa praxis för cybersäkerhet. ISO 27k är dock en processbaserad standard som ger riktlinjer för att hantera känslig företagsinformation. Å andra sidan bygger NIST på ett riskbaserat tillvägagångssätt och syftar till att identifiera, hantera och minska risker från cybersäkerhetsbrister.
• Om vi tar NIS-direktivet och GDPR kan vi se att de ger vägledning och krav för att förbättra cybersäkerhetsställningen. De två överlappar faktiskt varandra i vissa avseenden. Det måste dock noteras att GDPR syftar till att skydda personuppgifter på alla nivåer, medan NIS-direktivet syftar till att ge vägledning om alla aspekter som rör informationssäkerhet, men endast i en branschspecifik omfattning.

För att sammanfatta: omfattningen, verkställbarheten och syftet med dina cybersäkerhetspolicyer kan definieras efter förordningar och standarder, men du måste vara medveten om skillnaderna mellan dem för att förstå vilken som bäst gäller för dig. När du väl har kommit fram till det är det bara att implementera dem på rätt sätt. I nästa avsnitt får du några förslag på detta."

Hur hanterar du efterlevnad av policyer och regler? Utmaningar och lösningar

Implementeringen av de ovan nämnda policyerna kan vara nödvändig på grund av juridiska krav eller en kommande revision. Du kan behöva göra ändringar i dina processer och din struktur för att uppfylla den relevanta policyn. Men innan du gör det kan några vanliga steg vidtas för att förbereda dig för dessa förändringar:

• Inventarie- och tillgångshantering: Organisationer brukar vanligtvis utvärdera sina nuvarande system, processer och rutiner för att fastställa deras nivå av efterlevnad. Detta inkluderar att identifiera kända områden av bristande efterlevnad samt kända risker och sårbarheter i deras nuvarande infrastruktur.
• Träning och kommunikation: Att förbereda dina resurser för kommande förändringar är avgörande för att säkerställa att alla i din organisation förstår de nödvändiga förändringarna. En revision eller en uppgradering av infrastrukturen kan orsaka störningar och kan kräva att medarbetare skaffar sig nya färdigheter. Medvetenhet om dessa frågor kan hjälpa dig att spara tid på att prioritera och planera möjliga lösningar.
• Tredjeparts- och leverantörshantering: Detta är en aspekt som ofta förbises. Ett detaljerat och uppdaterat register över dina leverantörer kommer förmodligen att krävas för att säkerställa efterlevnad av de flesta standarder och regler. Även om en policy inte direkt adresserar en tredje part, kan den fortfarande indirekt kräva ändringar i villkoren för avtal med externa tjänsteleverantörer.
• Gapanalys: Om du verifierar efterlevnad av en reglering eller standard är det viktigt att vara förberedd på att genomföra en gapanalys för att identifiera områden där kritiska ändringar behövs. Detta är det första steget mot efterlevnad och görs bäst av externa konsulter med specifik kunskap om den efterlevnad du försöker uppnå.

Sammanfattningsvis kan det vara svårt och dyrt att följa regler och standarder. Du kan behöva förlita dig på externa konsulter för att uppnå efterlevnad om du inte har de nödvändiga interna kompetenserna. Att förstå skillnaderna mellan policyer och regler samt att ha en strategi på plats kan dock göra processen smidigare och hjälpa dig att avgöra när det är värt att förbättra med en standard och när det är nödvändigt att följa regler.