Verifikation: Undgå falsk sikkerhed

Mange organisationer gennemfører en lang række aktiviteter, der skal dokumentere, at sikkerheden er i orden. Sårbarhedsskanninger, penetrationstests, interne kontrolmålinger, måske en ISO 27001-certificering eller endda en ISAE-erklæring. Listen ser imponerende ud, når den præsenteres for bestyrelsen og ledelsen. Og konklusionen er ofte, at der er styr på sikkerheden.

Men der er et spørgsmål, som sjældent bliver stillet lige så tydeligt, som det burde:

Hvad kan vi faktisk konkludere ud fra den verifikation, vi har fået foretaget?

Det er netop det spørgsmål, dette indlæg handler om. For svaret er sjældent så enkelt som: “Organisationen er sikker”. Det er noget mere præcist og noget mere begrænset, end de fleste regner med.

Hvad beviser din verifikation egentlig?

Hver form for verifikation besvarer et bestemt spørgsmål inden for et afgrænset område:

• En sårbarhedsskanning vil finde kendte tekniske sårbarheder på de systemer, der blev skannet.
• En penetrationstest undersøger muligheden for at kompromittere et konkret, afgrænset omfang, fx netværket eller et specifikt system under givne forudsætninger.
• En intern kontroltest viser noget om efterlevelsen af den specifikke kontrol, den er designet til at teste.
• En intern revision fokuserer typisk på overholdelsen af de etablerede politikker og forretningsgange og måske på den tekniske implementering i udvalgte platforme eller systemer.
• En modenhedsmåling illustrerer organisationens nuværende modenhed set i forhold til et defineret regelsæt eller rammeværk og vurderet ud fra bestemte, fastlagte kriterier.
• En ISO 27001-certificering viser noget om etableringen og driften af organisationens ledelsessystem for informationssikkerhed.
• En ISAE-erklæring, fx 3402 eller 3000, giver en uafhængig revisors erklæring om et defineret område vurderet ud fra bestemte, fastlagte kriterier.

Ingen af dem siger i sig selv: “Organisationen er sikker”. Det er ikke en svaghed ved metoderne. Det er netop det, de er designet til at gøre.

Problemet opstår først, hvis man bruger en given verifikation til et andet formål end det tiltænkte. Det er desværre set før, at en organisation har troet, at de eller en leverandør var tilstrækkeligt sikre, fordi der ikke var væsentlige observationer i den seneste penetrationstest eller revisionserklæring. Det er en fejltolkning, der kan være dyr for organisationen, og som derfor bør undgås.

To akser, der strukturerer billedet

For at kunne vurdere, hvad en given verifikation faktisk fortæller jer, kan det være nyttigt at se på to spørgsmål:

• Hvem har udført verifikationen? Er det organisationen selv, eller en uafhængig tredjepart?
• Hvad undersøges? Er det konkrete kontroller og teknik, eller er det et ledelsessystem og en governance-struktur?

Sat op i en simpel model ser det sådan ud:

	Teknisk / konkret	Governance / kontrolmiljø
Intern	Sårbarhedsskanning, interne tests, kontroltest	2. linje-kontrol, interne modenhedsmålinger, intern revision
Ekstern	Penetrationstest, red team-øvelse	Ekstern modenhedsmåling, ISO 27001-certificering og revisionserklæringer, fx ISAE 3000/3402

Der er en tredje dimension, der ikke fremgår direkte af modellen, men som er mindst lige så vigtig: Er verifikationen et øjebliksbillede, eller dokumenterer den effektivitet over en periode?

En sårbarhedsskanning, en modenhedsmåling og en penetrationstest er typisk øjebliksbilleder. Det samme gælder brugen af benchmarks, der viser, hvor andre organisationer var på et givet tidspunkt, men ikke i hvilken retning de bevæger sig. En ISAE 3402 type 2-erklæring dokumenterer derimod, at de testede kontroller har fungeret effektivt over tid. Den forskel vender vi tilbage til.

Hvad skal du være særligt opmærksom på?

I dette afsnit kigger vi nærmere på udvalgte verifikationsmetoder. Jeg viser, hvad du bør være opmærksom på, når resultaterne fra en given verifikation skal analyseres, tolkes og præsenteres.

Intern verifikation: uafhængig, men ikke ekstern

I særskilte dele af de tre forsvarslinjer bør 2. linje-funktionen og intern revision begge være uafhængige af den operationelle drift, 1. linje. Det er en vigtig og reel form for uafhængighed. Men det er let at forveksle med ekstern uafhængighed, og det er ikke det samme.

Intern revision er, som navnet siger, intern. Den refererer typisk til bestyrelsen eller revisionsudvalget, og den er organisatorisk adskilt fra den drift, den reviderer. Det giver en form for objektivitet, der er reel og værdifuld. Men det er ikke det samme som en ekstern revisors uafhængighed, hvor der ikke er noget ansættelsesforhold eller organisatorisk tilhørsforhold til virksomheden overhovedet. Og intern revisions arbejde er i høj grad afhængigt af det mandat og de ressourcer, der stilles til rådighed.

Det er ikke i sig selv et argument for, at intern revision er mindre værd. Det er mere et argument for at være præcis om, hvilken form for uafhængighed man reelt har opnået, når man refererer til den i en rapportering til ledelsen.

Penetrationstesten, der ikke fandt noget kritisk

Jeg har flere gange oplevet, at en penetrationstest bliver præsenteret for ledelsen som et bevis på, at sikkerheden er på plads, især når rapporten ikke indeholder kritiske observationer.

Det er ikke nødvendigvis rigtigt. Testen kan være udført helt korrekt og stadig kun fortælle noget om:

• de systemer og platforme, der var omfattet af testen
• det tidspunkt, testen blev udført på
• de angrebsmetoder, testholdet anvendte
• de forudsætninger, testen arbejdede under
• de kontroller, der reelt kunne testes gennem netop den test

En penetrationstest kan verificere en del af en kontrolkæde. Den verificerer ikke nødvendigvis hele risikobilledet. Det er samme pointe, som går igen i Bowtie-modellen, som jeg tidligere har skrevet om. En enkelt kontrol, eller i dette tilfælde en enkelt test, siger noget om ét led i kæden, ikke om hele kædens samlede styrke.

Spørgsmålet, der bør følge en “ren” penetrationstestrapport, er derfor ikke: “Er vi sikre nu?” Det er: “Hvad testede vi ikke, og hvorfor?”

ISO 27001: Et system, ikke en garanti

En ISO 27001-certificering bliver ofte præsenteret, som et bevis for, at “organisationen er sikker”. Det er en klassisk fejltolkning.

Certificeringen er en uafhængig vurdering af, om organisationens ledelsessystem for informationssikkerhed, ISMS, opfylder ISO standardens krav inden for det certificerede omfang. ISMS’et indeholder politikker, risikovurderinger, kontroller og løbende forbedring af informationssikkerheden, og der er fokus på processer, risikostyring og systematisk styring af sikkerhed og egenkontrol.

Men et velfungerende ISMS er ikke en garanti for, at sikkerheden er på plads i hele organisationen. ISO 27001 stiller godt nok krav til, at der skal gennemføres og dokumenteres risikovurderinger, men i forbindelse med en certificering vil der sjældent blive stillet spørgsmål til, om risikovurderingerne har identificeret alle relevante risici. Eller om risici er vurderet korrekt i forhold til deres betydning for organisationen. Det er en vigtig forskel, da organisationen bliver certificeret på baggrund af de etablerede processer og dokumentationen for deres efterlevelse. Og ikke på baggrund af det faktisk opnåede sikkerhedsniveau.

Det bliver tydeligt, hvis man stiller certificeringen op mod to forskellige spørgsmål, en bestyrelse bør stille som led i deres løbende vurdering af sikkerheden:

• Har vi et systematisk og dokumenteret sikkerhedsarbejde? Her kan en ISO 27001-certificering være et relevant og godt svar.
• Kan en angriber få adgang til vores internetvendte systemer? Her er ISO 27001 ikke det rigtige svar. Det spørgsmål besvares bedre af en teknisk test.

Certificeringen siger noget om, at der er et system, og at det systematisk bliver drevet og vedligeholdt. Den siger langt mindre om, hvor teknisk robust den enkelte løsning er i praksis. Begge vurderinger er nødvendige, men de besvarer forskellige spørgsmål, og det er værd at vide, hvilket spørgsmål man egentlig stiller, før man vælger værktøjet.

Modenhedsmålinger: Ekstern revisor eller rådgiver?

Modenhedsmålinger er blevet et populært værktøj til at vurdere organisationers arbejde med informationssikkerhed. Jeg har selv gennemført mange modenhedsmålinger som led i periodiske vurderinger af sikkerhedsniveauet, som input til udarbejdelse af en ny strategi for cyber- og informationssikkerhed eller som baseline forud for implementering af nye sikkerhedskrav i NIS2, DORA eller anden regulering.

En ekstern modenhedsmåling kan give værdifuld indsigt. En erfaren rådgiver vil ofte kunne identificere svagheder, blinde vinkler og forbedringsmuligheder, som organisationen selv overser. Samtidig kan en modenhedsmåling skabe et fælles billede af, hvor organisationen står i dag, og hvor der bør investeres for at løfte sikkerhedsniveauet.

Men det er vigtigt at forstå, hvad målingen faktisk repræsenterer, og hvordan den gennemføres. En modenhedsmåling er typisk en faglig vurdering baseret på rådgiverens metode, erfaring og fortolkning af de valgte kriterier samt input fra organisationen. Resultatet vil derfor ofte indeholde et element af professionelt skøn. Samtidig afhænger kvaliteten af vurderingen af validiteten af de oplysninger, den bygger på. Hvis målingen primært er baseret på interviews med organisationens medarbejdere, vil resultatet ofte være mere subjektivt, end hvis vurderingen suppleres med dataindsamling, dokumentgennemgang og tekniske analyser.

Det adskiller sig fra en revisionserklæring, hvor revisor afgiver en formel erklæring baseret på et defineret revisionsgrundlag, stikprøver og dokumentation. Revisor må lave anbefalinger, men må ikke designe og implementere kontroller efterfølgende.

Det betyder ikke, at revisionserklæringer altid er bedre end modenhedsmålinger. De to tilgange besvarer blot forskellige spørgsmål:

• En modenhedsmåling hjælper organisationen med at forstå, hvor den står, og hvor den bør forbedre sig. Det kan derfor være et værdifuldt grundlag for dialog og prioritering af sikkerhedsarbejdet.
• En revisionserklæring giver en uafhængig vurdering af, om bestemte kontroller eller krav er opfyldt. Erklæringen viser også områder med forbedringspotentiale, men det primære formål er at dokumentere overfor kunder og andre eksterne parter, at specifikke kontroller er etableret og effektive.

Modenhedsmålinger er derfor primært et internt arbejdsredskab til organisationer, der arbejder med at højne deres modenhed og sikkerhed, mens revisionserklæringer bruges til at demonstrere en høj modenhed overfor eksterne samarbejdspartnere.

ISAE-erklæringer: præcision i begreberne betaler sig

Jeg oplever, at ISAE-erklæringer er et område, hvor der er stor begrebsforvirring om hvad erklæringerne viser og hvordan de skal bruges.

Det er vigtigt at skelne mellem to forskellige revisionserklæringer:

• ISAE 3402 er udviklet specifikt til erklæringer om kontroller hos en serviceleverandør, typisk med relevans for kundens finansielle rapportering. Den er derfor ofte afgrænset til de systemer og processer, der er nødvendige for regnskabsaflæggelsen. Erklæringen dækker sjældent alle de systemer og ydelser, som den pågældende leverandør leverer.
• ISAE 3000 er en bredere ramme, der blandt andet anvendes til erklæringer om cyber- og informationssikkerhed uden for den snævre finansielle kontekst. Men den anvendes også til databeskyttelse, GDPR, og efterlevelse af NIS2.

Fælles for begge revisionserklæringer er, at organisationen skal nærlæse afsnittene om erklæringens omfang. Dette bør sammenholdes med de konkrete ydelser, som organisationen får leveret, for at få sikkerhed for, at erklæringen dækker alle relevante ydelser. En erklæring vil ofte også opliste kontroller, som den enkelte kunde selv har ansvaret for, og som derfor ikke er omfattet af erklæringen. Det kan fx være kundespecifik konfiguration af en online platform, adgangsstyring og interne regler for, hvordan løsningen skal anvendes. Sådanne kontroller må organisationen verificere på anden vis.

Både ISAE 3402- og ISAE 3000-erklæringer udarbejdes i to forskellige typer, og forskellen mellem dem er ofte det mest afgørende for, hvad ledelsen reelt kan konkludere:

• Type 1: Er kontrollerne hensigtsmæssigt udformet og implementeret på et bestemt tidspunkt?
• Type 2: Har kontrollerne fungeret effektivt over en periode?

Det er den samme skelnen, som gik igen tidligere i indlægget, mellem et øjebliksbillede og dokumenteret effektivitet over tid. En type 1-erklæring er et øjebliksbillede af designet. En type 2-erklæring giver en højere grad af sikkerhed for, at kontrollerne rent faktisk har virket i praksis over en periode, som ofte er et år. Det er en markant stærkere form for bevis, men det kræver også en længere og mere krævende proces at opnå.

Hvilken verifikation skal du vælge?

Tabellen viser, at det ikke handler om at vælge én verifikationsform. En organisation bør kombinere flere metoder for at få et samlet billede af det aktuelle sikkerhedsniveau.

Ægte verifikation eller falsk sikkerhed?

Det er fristende at måle sikkerhedsarbejdets modenhed på antallet af tests, certificeringer og erklæringer, en organisation kan liste op. Men det interessante er ikke mængden. Det er, hvilken usikkerhed hver enkelt aktivitet reelt reducerer, og hvilke spørgsmål den stadig lader stå ubesvarede.

Derfor er det værd, at ledelsen kan svare klart på tre spørgsmål, uanset hvilken form for verifikation der er tale om:

1. Hvad har vi verificeret? Præcis hvilket omfang, hvilken kontrol, hvilket system, hvilke processer, hvilket forretningsområde osv.
2. Hvor uafhængig er verifikationen? Intern, organisatorisk uafhængig eller fuldt ekstern.
3. Hvad kan vi faktisk konkludere på baggrund af den? Er der tale om et øjebliksbillede, eller dokumenteret effektivitet over tid?

Kan I svare præcist på de tre spørgsmål for hver af de verifikationer, I allerede gennemfører, får I et langt mere retvisende billede af jeres reelle sikkerhedsniveau. Det fjerner den falske sikkerhed, som en lang liste af forskellige tests og verifikationer kan give.