Alt godt kommer til dem, der venter. I skrivende stund ventede lovforslaget om cybersikkerhed og modstandsdygtighed (CSRB) på sin udvalgsbehandling i Overhuset i begyndelsen af september. Håbet er, at det bliver lov i år efter mange forsinkelser. Det lover blandt andet at udvide gruppen af organisationer, styrke kravene til håndtering af hændelser og introducere nye grundlæggende sikkerhedsforventninger.
Men måske mere interessant er det, der kommer nu. Hvad fortæller lovforslaget os om, hvor de lovgivningsmæssige forventninger bevæger sig hen? Og hvad kan organisationer (herunder dem, der ikke er omfattet af lovforslaget i øjeblikket) gøre for at foregribe, hvad der måtte være på vej?
Det store skift
Lovforslagets største signal om, hvad der venter, ligger i dets titel. Det handler om at ompositionere cybersikkerhed fra en isoleret funktion tilknyttet IT til en funktion, der er i hjertet af organisationen. Samtidig fremhæver det modstandsdygtighed som målet for sikkerhedsteams, snarere end blot at holde de onde fyre ude og overholde en vilkårlig liste af tekniske kontroller.
Modstandsdygtighed i disse termer betyder at acceptere, at brud vil ske – hvordan skulle de kunne det ikke i en verden, hvor kraftfuld AI lukker udnyttelsesvinduet sammen og hjælper trusselsaktører med at opkvalificere sig på tværs af flere discipliner? Nøglen er at sikre, at organisationen kan fortsætte med at operere, samtidig med at truslen inddæmmes og genoprettes så hurtigt som muligt.
Dette gør cyber til en større diskussion i bestyrelseslokaler, fordi det omhandler de bekymringer, der optager virksomhedsledere. Operationel risiko, forretningskontinuitet, økonomisk og omdømmemæssig skade.
"De nye krav i lovforslaget vil betyde, at bestyrelser skal se cybersikkerhed og modstandsdygtighed som et kritisk strategisk spørgsmål, ikke blot en separat IT-udfordring," fortæller James Morris, direktør for nonprofitorganisationen CSBR, til IO (tidligere ISMS.online).
"Det betyder, at kundernes forventninger vil blive hævet med hensyn til fokus på sikkerhed og robusthed i indkøbsprocessen og i den løbende levering af produkter og tjenester. Cybersikkerhed og robusthed skal være centrale for ledelsesovervejelser og have højeste prioritet i strategiske bestyrelsesdiskussioner."
Dette budskab er ensartet på tværs af regeringen. Dens adfærdskodeks for cyberstyring fastslår, at cyberrisiko er forretningsrisiko, og at direktører skal styre den effektivt. Sikkerhedsledere vil håndtere de daglige risici og kontroller, men bestyrelsen skal tage ejerskab over risikoovervågning og -sikring. Cyber Resilience Pledge henvender sig ligeledes direkte til virksomhedsledere. Organisationer, der tilmelder sig, skal gennemføre ledelsestræning, forpligte sig til at bruge NCSC's Early Warning-tjeneste og kræve Cyber Essentials på tværs af deres forsyningskæder samt offentliggøre årlige opdateringer.
Kort sagt bliver forventningerne til regeringen stadig tydeligere, og modstandsdygtighed er i centrum.
Hvad kan der komme nu?
Med dette i tankerne er det også nyttigt at forstå, hvordan CSRB-ordningen kan udvikle sig. Sandheden er, at den stadig har et langt mere begrænset omfang end NIS2. Men afgørende er det, at den giver udenrigsministeren beføjelse til at opdatere rammerne for at inkludere nye sektorer og delsektorer i ordningen, samt ændre tilsynsmyndighedernes ansvar og funktioner. Implikationen er klar: Hvis din sektor ikke er dækket i dag, skal du ikke antage, at den fortsat vil være undtaget i morgen.
"Under processen var der et vist pres for at gå videre, hvor detailhandel og produktion blev nævnt som åbenlyse udeladelser," fortæller Dennis Martin, Axians UKs krise- og cybermodstandsdygtighedsspecialist, til IO. "De klarede det ikke denne gang, men i betragtning af de seneste par års angreb på detailhandlere, ville jeg forvente, at dette argument ville vende tilbage i september."
CSRB's bestemmelser for forsyningskæden vil også indirekte omfatte en ny gruppe af organisationer ved at tvinge større organisationer, de handler med, til at håndtere tredjepartsrisici mere stringent. Det giver også udenrigsministeren beføjelse til at udpege enhver leverandør, hvis fejl kan skabe betydelig forstyrrelse for en reguleret enhed.
"Regulatorer fokuserer i stigende grad på, hvordan kritiske tjenester leveres på tværs af sammenkoblede forsyningskæder, hvilket betyder, at modstandsdygtighed ikke længere kan vurderes udelukkende inden for en organisations fire vægge," fortæller Dave Hughes, partner i Eversheds Sutherland, til IO. "Effektivt tilsyn med nøgleleverandører og tredjeparter, understøttet af løbende overvågning og klare kontraktlige forventninger, er ved at blive en væsentlig del af at demonstrere cyberrobusthed."
Det er også værd at huske på, at CSRB vil medføre et nyt sæt forventninger til, hvad bedste praksis for cybersikkerhed og modstandsdygtighed betyder fra et teknisk kontrolperspektiv. NCSC's Cyber Assessment Framework (CAF) vil være et nøgledokument her, så enhver organisation, der er ivrig efter at fremtidssikre deres cyber- og compliance-strategi, bør være opmærksom på det.
Og en sidste stor ændring: CSRB vil give tilsynsmyndighederne mulighed for at føre løbende tilsyn med organisationer, der er omfattet af deres ansvarsområde, i modsætning til den nuværende hændelsesdrevne model. Dette er på nuværende tidspunkt teoretisk og vil afhænge af mange faktorer, ikke mindst tilsynsmyndighedernes finansiering og kapacitet. Men det signalerer, at regeringen i stigende grad forventer, at compliance er noget, der skal styres løbende.
Forbundet og kontinuerligt
Eksperterne er enige. "Statisk årlig compliance er forældet, når trusselsaktører ikke venter på en revision. Hvis CSRB bliver lov, som den ser ud nu, kan cloududbydere, datacentre og MSP'er revideres, før en hændelse indtræffer, ikke kun på regelmæssige planlagte tidspunkter eller efter et angreb," forklarer Martin fra Axians UK.
"Derudover kræver lovforslaget en tidlig varsling 24 timer efterfulgt af en fuldstændig rapport 72 timer efter til både sektorregulatoren og NCSC, med krav om kundeunderretning under visse omstændigheder. Dette kræver løbende overvågning. Uden løbende synlighed af dit netværk vil du ikke være i stand til at underrette de nødvendige organisationer i tide."
Aben Pagar, chef for digital risikorådgivning hos Konexo, er enig. "Kontinuerlig overvågning og sikring bliver stadig vigtigere, efterhånden som regulatorer bevæger sig ud over punktvise compliance-vurderinger," fortæller han IO. "Organisationer har brug for løbende synlighed af risici, kontroleffektivitet og resultater med hensyn til modstandsdygtighed. De, der kan demonstrere kontinuerlig overvågning, test og forbedring, vil sandsynligvis være bedre positioneret end dem, der udelukkende er afhængige af periodiske compliance-øvelser."
Organisationer skal ikke blot flytte deres compliance-programmer væk fra øjeblikkelige oversigter over status, men de skal også tænke mere klart over de overlapninger, der findes mellem historisk isolerede funktioner, tilføjer Pagar.
"Organisationer erkender, at cyberrobusthed ikke eksisterer i isolation. Spørgsmål som AI-styring, privatliv, databeskyttelse og teknologisk risiko er i stigende grad forbundet, hvilket kræver en mere holistisk tilgang til styring og risikostyring," argumenterer han.
En moden tilgang som denne, der bruger kontinuerlig compliance som et springbræt til modstandsdygtighed, er stadig langt væk for mange organisationer, ifølge den seneste undersøgelse af cybersikkerhedsbrud fra regeringen . Men der er ingen tvivl om, at det er den retning, tilsynsmyndighederne bevæger sig i.
Morris fra CSRB beskriver modstandsdygtighed som "både et teknisk og et kulturelt problem" for virksomheder.
"Uanset kravene i den nye lovgivning er organisationer nødt til at koncentrere sig om at integrere en robusthedsmentalitet og -kultur i hjertet af deres forretningsprocesser," konkluderer han.
"Det betyder strategisk planlægning af resiliens på bestyrelsesniveau og derefter en sammenhængende kaskade i virksomhedens drift med klare planer og ansvar for centrale resiliensaktiviteter."
Bedre at begynde at planlægge nu.
Udvid din viden
Blog: Hvordan ransomware blev et problem for virksomheders modstandsdygtighed
