Organisationer har længe forstået udfordringen med at omsætte cyberrisiko til forretningsrisiko. Kommunikationsbruddet mellem CISO og bestyrelseslokaler er reelt og veldokumenteret. Men er der dybere problemer? Af forskellige årsager er cyberrisikostyring vokset i størrelse og omfang gennem årene. I dag kan det spænde over alt fra traditionelle sikkerhedsdiscipliner til privatliv, risiko i forsyningskæden, juridiske forhold, AI-styring og operationel robusthed. Det skaber uundgåeligt datasiloer, huller i dækningen og udfordringer med robusthed.
Hvis fælles forvaltning er destinationen, hvordan skal rejsen så se ud?
Når synlighed og ejerskab splittes
Der er forskellige grunde til, at cyberrisikostyring er blevet så uhåndterlig gennem årene. Der var engang, hvor sikkerhed var meget nemmere. IT-ressourcer var placeret lokalt, og organisationer bevogtede området for at holde de skadelige elementer ude. Denne "borg-og-voldgrav"-tilgang fordampede med fremkomsten af cloud computing, fjernarbejde og SaaS-applikationer. Efterhånden som angrebsfladen har udvidet sig, har den inkluderet operationel teknologi (OT), internet of things (IoT)-systemer, mobile enheder, edge computing-servere og mere. Flere IT-aktiver, mere kompleksitet, mere fragmenteret tilsyn.
AI-infrastruktur og -tjenester repræsenterer den seneste udvidelse. Store sprogmodeller (LLM'er), agenter, vektordatabaser, maskinlæringspipelines, API'er, plugins og cloud-servere repræsenterer et nyt højrisikomål for angreb. Efterhånden som AI finder vej ind i mere forretningskritiske tjenester, vokser potentialet for kompromittering, datatyveri og manipulation. Skygge-AI er en særlig bekymring. To tredjedele (65 %) af organisationer har lidt AI-agentrelaterede sikkerhedshændelser i det seneste år, og endnu flere (82%) har mistanke om, at de har uadministrerede agenter kørende i deres miljøer.
Forsyningskæder bærer også skylden. Den gennemsnitlige virksomhed bruger nu anslået 61 sikkerhedsværktøjer. Og det er kun cyber. I næsten alle sektorer har organisationer samlet et komplekst økosystem af partnere, der håndterer alt fra logistik til professionelle tjenester. Så er der digitale leverandører. Open source-komponenter er en voksende kilde til risiko.
Den sidste faktor er det lovgivningsmæssige miljø. Efterhånden som nye love er kommet for at fremme operationel robusthed og beskytte persondata, AI-teknologi, smarte enheder og anden teknologi, er byrden på compliance-teams vokset. I nogle tilfælde (som NIS2) holdes den øverste ledelse nu personligt ansvarlig for manglende overholdelse. Det har flyttet ansvarsfokus mere direkte væk fra sikkerhedsteams og over på forretningsledelsen.
Hvad dette betyder
Ifølge forsknings- og rådgivningsfirmaet Info-Tech Research Group, er der tre centrale barrierer for integreret risikostyring:
- Mangel på modne processer, fælles sprog, risikokultur og moderne værktøjer til at understøtte integreret risikostyring
- Hurtigt udviklende regler, nye teknologier og skiftende geopolitiske realiteter, der gør det vanskeligt at opretholde proaktive risikopraksisser
- Risikostyring, der behandles som en compliance-øvelse snarere end en strategisk kapacitet, hvilket fører til blinde vinkler og mistede muligheder for at styrke modstandsdygtigheden
I nogle tilfælde forventes det, at CISO'er skal håndtere den voksende byrde. Cambridge University Forskning viser, at dette kan føre til reaktiv risikostyring, overholdelse af afkrydsningsfelter og ofte udbrændthed. Separat IANS forskning afslører 52 % af IT-chefer føler, at deres arbejdsområde ikke længere er fuldt håndterbart. Rapporten advarer om, at presset er særligt akut i mindre organisationer og kan forsinke vigtige strategiske initiativer.
I sidste ende skader silo-risikostyring organisationen ved at øge uigennemsigtighed og risiko for brud, argumenterer Black Duck CISO, Dom Glavach.
"Når siloer skaber usammenhængende tilsyn, især i takt med at AI accelererer tempoet, opstår der risici på tværs af softwareforsyningskæder, arbejdsgange og forretningsdrift. Distribueret ejerskab er nødvendigt for at holde trit, da cyberrisiko spænder over sikkerhed, produkt, privatliv, compliance og leverandører," fortæller han IO (tidligere ISMS.online). "Når siloerne forstyrrer tilsynet, ender organisationer med blinde vinkler, dobbeltarbejde, langsommere respons og vanskeligheder med at bevise, at kontrollerne fungerede på tværs af organisationen."
Tid til integration
Så hvor går organisationerne hen herfra? Info-Tech har en firepunktsplan for integreret cyberrisikostyring:
- Fastlæg mål og styring
- Udvikle mekanismer til at identificere og vurdere risici
- Udvikle risikohåndteringsmuligheder
- Opret en værktøjs-, overvågnings- og rapporteringsplan
For Muhammad Yahya Patel, vCISO EMEA hos Huntress, bør to centrale fokusområder komme først.
"For det første en fælles kontrolramme, som alle funktioner er knyttet til, således at når CISO'en rapporterer om sikkerhedskontroller, databeskyttelsesrådgiveren (DPO) rapporterer om privatlivskontroller, og AI-styringslederen rapporterer om modelrisiko, så taler de alle om den samme underliggende risikotaksonomi, og bestyrelsen kan se det samlede billede," fortæller han IO.
"Dernæst skal leverandørdimensionen være opmærksom på, fordi det er der, hvor styringsbruddet er mest akut lige nu. De fleste organisationer har tredjeparts risikostyringsprocesser, der er tidsbestemte: en vurdering ved onboarding, et spørgeskema ved fornyelse. Hvad de ikke har, er løbende synlighed af, om de kontroller, de stolede på ved vurderingstidspunktet, stadig er på plads. Løbende overvågning af leverandørernes sikkerhedstilstand, integreret med dit interne risikobillede, er et must."
Hvor rammer hjælper
Ronald Lewis, chef for cybersikkerhedsstyring hos Black Duck, sammenligner processen med finjustering af et gammeldags ur, hvor hver funktion er et tandhjul.
"Hvert tandhjul har en specifik rolle, men ingen af dem fungerer uafhængigt. Hvis et tandhjul er forkert justeret, drejer for hurtigt, for langsomt eller i den forkerte retning, så driver hele systemet. Det er præcis sådan, cyberrisiko opfører sig i silo-miljøer. Kontroller fejler ikke, fordi de er dårligt designet; de fejler, fordi de ikke er synkroniseret med beslutninger, der træffes andre steder," siger han.
"Det niveau af synkronisering sker ikke organisk. Det kræver et rammeværk. Uanset om det er ISO 27001, NIST eller en velkonstrueret intern model, er pointen at etablere et fælles sprog, ensartet taksonomi og klare sporbarhedslinjer mellem risici, kontroller og ejerskab."
Lewis forklarer, at et stærkt rammeværk fremtvinger integration på tværs af domæner.
"Det skaber forbindelsesvævet mellem privatliv, sikkerhed, tredjepartsrisiko, AI-styring og operationel robusthed. Det gør det muligt at se ikke kun individuelle risici, men også hvordan de interagerer og skaleres," konkluderer han. "Uden den struktur kan man ikke opnå et fælles tilsyn. Med den kan man justere hjulene og dreje uafhængigt, men i samme retning, mod et enkelt, målbart mål: en sammenhængende, virksomhedsomfattende forståelse og håndtering af cyberrisiko."
Udvid din viden
Podcast: Phishing for problemer S2 E2: Du er kompatibel. Er du robust?
Blog: Hvorfor cybermodstandsdygtighed stadig er langt væk for mange britiske virksomheder
