En investering i sikkerhet er også en investering i fremtiden

Cyber- og informasjonssikkerhet blir stadig mer kritisk for å verne verdier og forretningsoperasjoner. RISMAs GRC-plattform hjelper bedrifter til å både øke sikkerheten, samt navigere i et omfattende regel- og rammeverk.

– Det er ingen tvil om at behovet for cyber- og informasjonssikkerhet har katapultert de siste årene, herunder et behov for å arbeide profesjonelt og strukturelt innad i organisasjoner, sier Gitte Barsøe Pedersen, Chief Product Officer i RISMA Systems.

Dette har flere årsaker, forklarer hun.

– Det har vært en stadig digitalisering, spesielt de siste ti årene – og da er cybersikkerhet en naturlig del av denne utviklingen. Vi er rett og slett så avhengige av det digitale.

Men de siste fem årene har de også sett en markant stigning i omfang og kompleksitet av truslene bedrifter og organisasjoner møter.

– Risikobildet er et helt annet nå enn før. Aktørene som truer verdiene våre – enten de er statlige eller kriminelle – har helt andre ressurser i dag enn for bare noen få år siden. Det har rett og slett blitt mye mer alvorlig og profesjonelt.

Kritisk for virksomheten

Barsøe Pedersen legger til at truslene finnes på samtlige nivå i en organisasjon.

– Det kan være mot kontoene eller på PCen til den enkelte ansatte, til en bedrifts servere, eller til større, statlige systemer slik som strømforsyning og infrastruktur.

Og uavhengig av hvilket nivå organisasjonen befinner seg på, er virksomheten fullstendig avhengig av at verdier og operasjoner blir sikret og ivaretatt.

– Det er ikke mange virksomheter som kan gå på arbeid uten å være sikre på at verktøyene deres er tilgjengelige. Det har ført til en fullstendig nødvendighet for at hele organisasjonen håndterer dette profesjonelt, påpeker hun.

Og i tillegg til et mer komplekst trusselbilde, må organisasjoner i dag også forholde seg til og navigere i et omfattende regelverk. Barsøe Pedersen lister opp en lang rekke rammeverk og standarder; NIS2, DORA, CIS18, ISO 27001, og mer.

Virksomheter må altså i dag navigere både trusler og regelverk for å sikre egne verdier og operasjoner. For å gjøre dette så strømlinjeformet, enkelt og effektivt som mulig, er det nødvendig å implementere en GRC-strategi, forklarer cybersikkerhet-eksperten.

Brobygger

GRC står for Governance, Risk, Compliance, som innebefatter tre essensielle steg innen cyber- og informasjonssikkerhet i dag. RISMAs GRC-plattform fungerer som en brobygger mellom utfordringene, hvor all styring, analyse og oppfølging samles på ett og samme sted.

RISMA Systems sammenligner plattformen med et sentralt nervesystem;

«I stedet for å takle utfordringer i oppdelte og isolerte siloer, skaper integreringen av compliance, risikostyring og kontroller et sentralt nervesystem som sikrer at risikoer og ineffektivitet oppdages og behandles tidlig»  – rismasystems.com

Styring og kontroll

Governance handler blant annet om styring, forklarer hun.

– Når du som selskap skal levere innen standardkrav og reguleringer – de riktige policyene og prosedyrene – da må du ha korrekte retningslinjer, og en strategi for styring. Hvordan skal dere jobbe med risiko? Med personvern? Med bærekraft?

Men i tillegg til styring, kommer også kontroll av bedriftens strategi;

– Å si hva man gjør er én ting, men å gjøre det man sier at man gjør, det er noe annet. Kontrollgjennomgang kan foregå med jevnlige intervaller – månedlig eller årlig. Slik kan man også forsikre seg om at retningslinjene følges opp, passe på at dere sletter informasjon etter en tidsperiode, regelmessig oppdatering av servere, analysering av trussel-landskapet, og lignende.

Kartlegging av risiko

Og det overordnede målet med styring og kontroll, er å analysere og mitigere risiko innenfor cyber- og informasjonssikkerhet. For å avdekke og analysere sikkerhetslandskapet i den enkelte virksomhet, opererer RISMA Systems i en rekke rammeverk, forklarer Barsøe Pedersen.

– Vi kartlegger kritiske verdier og kritiske prosesser for å beskytte deg og selskapet, og vi har rammeverk for et bredt sett med trusler, som alle angriper forskjellige områder. Vi ser blant annet på håndtering av informasjonssikkerhet, operasjonssikkerhet, personvern, IKT-tjenester og mye annet. Trusselkatalogen kan vurderes gjennom flere perspektiver.

Gjennom kartleggingen kan bedriften avdekke hvilke områder som er i fare, og graden av trusler mot det spesifikke området.

– Er det lav eller høy risiko? Hvor er sårbarhetene? Hvordan kan vi sikre verdiene og operasjonen?

Herunder opererer RISMA også med en behovsanalyse, eller «gapanalyse», basert på situasjonen, med trafikklys-konsept innen behov for tiltak.

– Det kan være rødt, gult eller grønt, som sier noe om hva som trengs for å mitigere. Men bedriften kan selv bestemme ambisjonsnivå. Når er nok, nok? Noen ganger trenger man ikke å være på den grønne siden – men med RISMA har man muligheten til å gå helt fra rødt til grønt og bli på den grønne siden.

Etterleve regler

Compliance handler videre om å etterleve både regelverk og egne prosedyrer. Også her kan RISMAs GRC-plattform bidra med strukturell tilgang.

– Dette er komplisert å navigere i, men bedriften er ikke alene. Vi har kunnskapspartnere som holder kundene i hånden, og leder de til compliance med et avansert ramme- og regelverk.

De tilbyr også flere maler som kan inkorporeres i eksisterende prosedyrer.

Investering i en motstandsdyktighet

Barsøe Pedersen forklarer at alt dette henger sammen, og kan ikke sees på som isolerte arbeidsoppgaver. I tillegg er det viktig med oversikt og gjennomsiktighet. Dette for å sikre samarbeid innad i organisasjonen.

– Det er en fleksibel plattform hvor du kan delegere, sette påminnelser og gi oversikt over hvem som gjør hva. Slik kan du invitere medarbeidere på reisen, og skape en helhetsoversikt for samtlige i organisasjonen.

Med flere tiårs erfaring innen cyber- og informasjonssikkerhet er ikke Barsøe Pedersen i tvil; å ha ett system for hele prosessen, lønner seg.

– Alt er koblet sammen i én plattform, og det er ingen grense for compliance-arbeidet. Det kan skreddersys til hver kunde, uavhengig om du er innen energi og forsyning, finans, IT, transport, offentlig sektor, eller annet. En investering i sikkerhet er også en investering i fremtiden.