Hvad er en god sikkerhedsstrategi?

Mange organisationer har et væld af sikkerhedsinitiativer i gang på samme tid. Men mange kan ikke svare klart på, hvorfor netop disse initiativer er valgt, og hvordan de hænger sammen med forretningens mål? Uden en samlet strategi bliver sikkerhedsarbejdet desværre til en lang liste af enkeltstående projekter, der konkurrerer om budget og opmærksomhed uden en fælles retning. Eller endnu være: relevante sikkerhedsiniativer bliver ikke godkendt i ledelsen, da værdien og sammenhængen til igangværende aktiviteter ikke tydeligt kommunikeres.

I dette indlæg kigger vi nærmere på hvordan man kan udarbejde en god strategi for cyber- og informationssikkerhed samt hvordan strategien kan omsættes til konkret handling.

Strategiens elementer

En god it-sikkerhedsstrategi skaber en tydelig sammenhæng mellem og historiefortælling fra hvor er vi i dag til hvad gør vi konkret i morgen.

For at skabe den nødvendige sammenhæng og helhed, anbefaler jeg at bruge en model bestående af tre faser: Ramme, Retning og Realisering. I hver fase indgår tre elementer, der hver især bidrager til historiefortællingen:

Modellen kan fungere både som et naturligt arbejdsredskab til at udvikle strategien og til den efterfølgende kommunikation, når strategien skal ud og leve i organisationen.

I de følgende afsnit gennemgår jeg hver af de ni elementer i detaljer.

Fase 1: Ramme

Rammen er fundamentet for strategiens tilblivelse. Den sikrer, at strategien er forankret i virkeligheden i forhold til forretningens behov, det aktuelle trusselsbillede og det nuværende sikkerhedsniveau.

Forretnings- og it-strategi

Sikkerhed for sikkerhedens skyld bliver sjældent prioriteret af ledelsen. Sikkerhedsstrategien skal derfor tale samme sprog som forretningsstrategien og tydeligt vise, hvilke forretningsmål der er afhængige af en stabil og sikker it-understøttelse. Uden den kobling risikerer sikkerhed at blive set som en omkostning frem for en forudsætning for drift, vækst og tillid.

Sådan gør du

Start med at læse den eksisterende forretnings- og it-strategi og identificer de initiativer, der er kritisk afhængige af it. Det omfatter for eksempel nye digitale produkter, automatisering, dataudveksling med eksterne samarbejdspartnere samt anvendelse af cloud-baserede services og AI agenter. Det er en god idé at interviewe forretnings- og it-ledelsen for at forstå, hvad der faktisk driver beslutningerne og ikke kun hvad der står i strategidokumentet. Resultatet er typisk en kort liste over forretningskritiske afhængigheder, som resten af strategien kan referere tilbage til.

Nuværende situation

Man kan ikke sætte en realistisk retning, hvis man ikke kender udgangspunktet. En ærlig vurdering af det aktuelle trusselsbillede, modenheden og modstandskraften forhindrer, at strategien bliver enten urealistisk ambitiøs eller for konservativ. Det giver også et naturligt målepunkt, som fremskridt senere kan vurderes op imod.

Sådan gør du

Den mest udbredte tilgang er en modenhedsvurdering mod udgangspunkt i et anerkendt rammeværk for eksempel NIST CSF eller ISO 27001 kombineret med en kortlægning af det aktuelle trusselsbillede. Modenhedsvurderingen suppleres ofte med resultater fra seneste revisioner, penetrationstests, sårbarhedsscanninger eller hændelser. I modne organisationer, der selv løbende laver målinger og periodiske rapporteringer af sikkerhedsniveauet, kan sådanne målinger anvendes som grundlag. De kan evt. suppleres med en uafhængig verifikation for at undgå bias. Resultatet er en baseline: her er vi i dag, som bruges som afsæt for fase 2.

Risikoappetit

Risikoappetit definerer, hvor meget risiko organisationen er villig til at acceptere for at opnå sine mål. Uden den er det umuligt at prioritere objektivt mellem forskellige sikkerhedsinitiativer. Alt kan i princippet retfærdiggøres med “det reducerer risikoen”. Risikoappetit gør prioriteringen til en bevidst ledelsesbeslutning frem for en teknisk vurdering.

Sådan gør du

Risikoappetit fastlægges ofte i dialog med direktion og bestyrelse. Du kan læse mere om bestyrelsens ansvar for cybersikkerhed i dette indlæg.

Fastlæggelsen kan fx. ske gennem en workshop, hvor konkrete scenarier, for eksempel hvad hvis vi mistede adgangen til produktionssystemet i tre dage?, bruges til at konkretisere en abstrakt diskussion. Resultatet formuleres ofte som kvalitative udsagn, for eksempel vi accepterer ikke risici, der kan true vores evne til at levere [Produkt / Ydelse], og eventuelt kvantitative tærskelværdier udtrykt i tid eller økonomi, som efterfølgende bruges til at vurdere og prioritere risici i resten af strategiarbejdet.

Fase 2: Retning

Retning er broen mellem nutid og fremtid. Det er her, I beslutter jer for, hvad sikkerhedsarbejdet faktisk skal opnå. Det er ikke en opremsning af kontroller, der skal implementeres, men den faktiske værdi som kontroller medvirker til at levere.

Mission

Missionen forklarer kerneformålet med sikkerhedsarbejdet: hvad gør I, hvem hjælper I, og hvilken værdi skaber I? En klar mission gør det lettere for resten af organisationen at forstå, hvorfor sikkerhedsfunktionen eksisterer. Det mindsker risikoen for, at sikkerhed opfattes som en bremseklods frem for en værdiskaber.

Missionen bør derfor knyttes til den forretningsmæssige værdiskabelse. Det kan med fordel gøres ved at tydeliggøre hvordan sikkerhedsarbejdet understøtter forretningsmålene fra strategien. Ofte vil sikkerhedsstrategien derfor dække samme periode som forretnings- og IT strategien. Hvis de forretningsmæssige målsætninger ændres, bør dette også afspejles i sikkerhedsstrategiens mission.

Sådan gør du

Missionen formuleres typisk af sikkerhedsledelsen, men bør kvalitetssikres gennem dialog med centrale interessenter, for eksempel it-direktør og forretningsejere. Du kan læse mere om de forskellige roller og deres ansvar for informationssikkerhed i dette indlæg.

Den gode mission er kort og typisk kun 1-2 sætninger. Den beskriver formålet uden at blive en facitliste over opgaver. En god test er, om missionen stadig giver mening, selv hvis konkrete teknologier eller trusler ændrer sig.

Vision

Visionen giver et fremtidsbillede, som motiverer og samler organisationen om en fælles ambition. Uden vision bliver strategien blot en liste over tekniske forbedringer uden en fortælling om, hvad de fører til. Visionen er det, der gør strategien meningsfuld for folk, der ikke arbejder med sikkerhed til daglig.

Sådan gør du

Visionen udvikles ofte i en workshop med sikkerhedsledelsen, hvor man tager udgangspunkt i rammen fra fase 1 og spørger: Hvordan ser en succesfuld sikkerhedsfunktion ud om 3-5 år?

Det er vigtigt at formulere visionen både ambitiøst og troværdigt. Visionen skal være realistisk at opnå inden for strategiens tidshorisont. Visionen testes typisk ved at præsentere den for både ledelsen og udvalgte medarbejdere for at se, om den giver anledning til genkendelse og engagement. Ofte er flere forslag og ændringer nødvendige for at lande på en vision, der sætter den rigtige retning og samtidigt fungerer godt kommunikativt.

Målsætninger

Målsætningerne er det konkrete bindeled mellem nuværende situation og vision. Uden dem forbliver visionen abstrakt, og det bliver uklart, hvad der reelt skal forandres. Målsætninger gør det muligt at følge fremdrift og holde ledelsen ansvarlig for prioriteringer.

Sådan gør du

Målsætningerne udledes ved at sammenligne den nuværende situation (kortlagt i fase 1) med visionen og identificere de væsentligste forskelle. Det sker ofte på workshop(s) med sikkerhedsfunktionen, hvor målsætninger defines som en faciliteret drøftelse med udgangspunkt i visionen. Det er almindeligt at begrænse sig til 3-5 overordnede målsætninger.
For mange målsætninger spreder fokus og gør strategien svær at kommunikere.

Hver målsætning bør være formuleret som en ønsket fremtidig tilstand, så de efterfølgende kan brydes ned i konkrete initiativer. På samme måde som med visionen, skal målsætninger være realistiske at opnå. Nogle målsætninger kan række udover strategi perioden, men her bør man overveje at tilpasse målsætningen til det, der forventes opnået ved udgangen af strategien. For eksempel er “Vi skaber fundamentet for at træffe risikodrevne beslutninger gennem klart ejerskab og vedtagne standarder” en mere realistisk målsætning end “Vi operationaliserer risikostyringen gennem automatiserede, datadrevne og økonomisk forankrede beslutninger”, hvis en organisation ikke allerede arbejder med risikokvantificering.

Målsætninger skal præsenteres for og godkendes af ledelsen, da de sætter retningen for det videre sikkerhedsarbejde. Ofte vil denne drøftelse føre til ændringer og præciseringer, så ambitionsniveauet bliver mere tydeligt og afstemt med dels risikoappetit og resourcetildeling.

Fase 3: Realisering

Realisering er der, hvor strategien bliver til handling. Det er ofte den fase, der afgør, om strategien reelt skaber forandring, eller om den ender som et dokument i en skuffe.

Initiativer

Initiativer er nedbrydningen af målsætninger til håndterbare indsatsområder. Uden den nedbrydning forbliver målsætningerne for store og uoverskuelige til at blive eksekveret. Initiativer gør det muligt at fordele ansvar, budget og tidsplan på en konkret måde.

Sådan gør du

For hver målsætning identificeres typisk 2-4 initiativer, der tilsammen flytter organisationen i den ønskede retning. Det er en god praksis at tildele hvert initiativ en navngiven ejer. Uden ejerskab risikerer initiativer at sande til i praksis. Initiativerne prioriteres ofte ud fra en kombination af risikoreduktion, kompleksitet og ressourcebehov, så den samlede handlingsplan bliver realistisk i forhold til organisationens kapacitet.

Målepunkter

Målepunkter, ofte også omtalt som Key Performance Indicators (KPI) og Key Risk Indicators (KRI), gør det muligt at vise, om initiativerne reelt skaber den ønskede effekt. Uden målepunkter bliver det svært at retfærdiggøre fortsatte investeringer i sikkerhed eller at opdage, hvis et initiativ ikke virker som planlagt.

Sådan gør du

Målepunkter defineres for hvert initiativ, gerne med en kombination af outputmål, altså om aktiviteten er udført, og effektmål, altså om det har ændret risikobilledet. Det er vigtigt at vælge målepunkter, der kan dokumenteres løbende uden unødigt manuelt arbejde. Ellers risikerer rapporteringen selv at blive en belastning.

Som tommelfingerregel bør målepunkter udtrykkes som andele / procenter af en samlet population, så de kan tolkes uden yderligere kontekst. Det er fx. mere relevant at fokusere på “Procentandel af kritiske systemer, som ikke er opdateret med seneste sikkerhedsopdatering inden for 14 dage efter dens frigivelse” end på antallet af systemer, der ikke er opdateret. Absolutte antal kan ofte ikke stå alene og kræver forklaring. En undtagelse er, når selv ét enkelt tilfælde repræsenterer en uacceptabel eksponering, uanset population. I de tilfælde er det absolutte antal et relevant målepunkt.

Målepunkterne bør suppleres med tærskler, der definerer om en given måling er acceptabel eller kræver fokus og handling. Er en årlig gennemførelse af sikkerhedstræning for medarbejdere på 85% fx. acceptabelt eller skal tallet tættere på 100%, hvis der stilles krav til at alle medarbejdere skal trænes hvert år?

Målepunkterne samles typisk enten i et dashboard eller en rapporteringpakke, der opdateres periodisk, fx. kvartalsvist.

Aktiviteter

Aktiviteter er de konkrete handlinger, der reelt udfører initiativerne. Hvert initiativ brydes således ned i konkrete aktiviteter med milepæle, ansvarlige og ressourcebehov.

Uden denne sidste nedbrydning forbliver initiativerne gode intentioner uden et klart svar på, hvem der gør hvad og hvornår.

Sådan gør du

Nedbrydning af initiativer i aktiviteter er en opgave for den projektleder, der er ansvarlig for det pågældende initiativ. Aktiviteterne dokumenteres i form af en projektplan, et roadmap eller et Kanban board alt afhængigt af den anvendte tilgang til projektstyring. Det er almindeligt at lægge aktiviteterne ind i samme struktur, som organisationen i øvrigt bruger til projektopfølgning, så sikkerhedsarbejdet ikke lever sit eget liv uden for den øvrige ledelsesrapportering. Dog ses det ofte, at der udarbejdes en samlet periodisk rapportering på tværs af alle sikkerhedsinitiativer til den sikkerhedsansvarlige, så vedkommende får et samlet overblik over status på realisering af sikkerhedsstrategien. Status rapporteres derfra ofte videre til it-sikkerhedsudvalget, risikoudvalget eller andre relevante ledelsesfora i aggregeret form.

Opsummering

Modellen binder de tre faser af sikkerhedsstrategien sammen i én sammenhængende fortælling:

• Rammen beskriver, hvor I er i dag, og hvad I er villige til at acceptere af risiko.
• Retningen beskriver, hvor I vil hen, og hvorfor.
• Realiseringen beskriver, hvordan I rent faktisk kommer derhen og måler effekten af ændringerne.

Styrken ved modellen er, at den sikrer en logisk sammenhæng mellem faser og elementer. Hver målsætning kan spores tilbage til en forskel mellem den nuværende situation og visionen for fremtiden. Tilsvarende kan hvert initiativ spores tilbage til en målsætning. Det gør det langt lettere at forsvare prioriteringer over for ledelsen og at sige nej til initiativer, der ikke understøtter den valgte retning. Den slags sparer tid og diskussioner, og sikrer at fokus kan holdes på at realisere de aftalte mål.

Samtidig sikrer nedbrydningen i målepunkter og aktiviteter, at strategien bliver gjort konkret og at fremskridt løbende kan måles og rapporteres til ledelsen. Dette sikrer, at strategien bliver mere end et stykke papir, der ender i en skrivebordsskuffe.