De tre forsvarslinjer

Begrebet “de tre forsvarslinjer” leder måske tankerne hen på forsvarsværkerne omkring en middelalderborg med voldgrav, ydre mur og borgtårn som sidste skanse. Men i moderne organisationer handler det ikke om sten og murværk, men om at organisere ansvaret for risikostyring og informationssikkerhed i lag, der tilsammen sikrer, at intet vigtigt slipper igennem uden at blive opdaget og afbødet.

I dette indlæg kigger vi på hvordan arbejdet med risikostyring og informationssikkerhed kan organiseres på tværs af tre forsvarslinjer (på engelsk: three lines of defense eller 3LoD).

Introduktion

Når bestyrelser og direktioner skal sikre, at risici – herunder cyber- og informationssikkerhedsrisici – håndteres ordentligt, tager mange organisationer udgangspunkt i The Institute of Internal Auditors’ (IIA) Three Lines Model, der er illustreret i denne figur:

Modellen har sine rødder i den såkaldte “Three Lines of Defence”-model, som blev udbredt i finanssektoren i kølvandet på finanskrisen i 2008.

Tanken bag modellen er enkel: Risikostyring fungerer bedst, når ansvaret er fordelt på tre linjer, der tilsammen skaber en sammenhængende struktur for styring, kontrol og opfølgning.

I juli 2020 opdaterede IIA modellen og omdøbte den fra “Three Lines of Defence” til “Three Lines Model”. Det var mere end en sproglig justering. En vigtig ændring var fokus på samarbejde frem for siloopdeling. Opdateringen lægger således større vægt på koordinering og samspil mellem linjerne frem for at betragte dem som tre isolerede siloer.

For informationssikkerhed er den udvikling særlig relevant. Cyber- og informationssikkerhedsrisici berører og involverer typisk hele organisationen. Derfor passer en model, der fremmer samarbejde frem for silotænkning, godt til en virkelighed, hvor forretning, IT, sikkerhed og revision skal arbejde sammen om det fælles mål: at beskytte organisationen mod aktuelle trusler.

Opdateringen gjorde det også tydeligt at det handler om andet end forsvar, da ordet “defense” blev fjernet fra modellens navn. God cybersikkerhed handler nemlig om mere om at beskytte sig mod relevante trusler. Organisationer skal også være i stand til hurtigt at opdage og reagere effektivt, når en trussel indtræffer. I dette indlæg anvendes “forsvarslinjer” fortsat, men i bredere forstand end blot fokus på beskyttelse.

Ansvar og opgaver i hver forsvarslinje

I dette afsnit kigger vi nærmere på hver af de tre forsvarslinjer samt rolle- og ansvarsfordelingen mellem dem.

Det øverste organ

Det øverste organ – typisk bestyrelsen, og i nogle organisationer i samspil med direktionen – har det overordnede ansvar for, at organisationen har en hensigtsmæssig struktur og passende processer til governance og risikostyring, herunder informationssikkerhed.

I praksis betyder det:

• At fastlægge risikoappetit for cyber- og informationssikkerhedsrisici.
• At sikre, at der er afsat tilstrækkelige ressourcer og kompetencer til sikkerhedsarbejdet.
• At efterspørge og forholde sig kritisk til rapportering om sikkerhedsstatus, væsentlige hændelser og risikobillede.
• At sikre integritet og gennemsigtighed i håndteringen og rapporteringen af sikkerhedsrisici over for eksterne interessenter, herunder i lyset af krav som NIS2 og DORA.

Du kan læse mere om bestyrelsens ansvar for cybersikkerhed i dette indlæg.

Første forsvarslinje

Første linje er der, hvor produkter og services leveres til kunder, og hvor de daglige risici opstår og skal håndteres. Inden for informationssikkerhed omfatter det typisk:

• IT-drift og systemejere, der implementerer tekniske og organisatoriske sikkerhedskontroller som adgangsstyring, patching, backup og konfiguration.
• Forretningsenheder, der identificerer og håndterer sikkerhedsrisici i egne processer og systemer.
• Projektledere og udviklingsteams, der indarbejder sikkerhed indbygget fra start (security by design) i nye løsninger.

Et centralt princip er, at første linje ejer risikoen. Sikkerhed er ikke kun en opgave for sikkerhedsafdelingen, men en integreret del af den daglige drift og forretning.

Anden forsvarslinje

Anden linje understøtter og udfordrer første linje. For informationssikkerhed er det typisk her, vi finder:

• CISO-funktionen og den centrale informationssikkerhedsafdeling, der fastlægger politikker, standarder og rammer.
• Risikostyringsfunktioner, der konsoliderer og rapporterer på tværs af organisationens risikobillede.
• Compliance-funktioner, der sikrer overholdelse af lovgivning som NIS2, DORA, GDPR m.fl.
• Funktioner, der fastlægger rammer for og følger op på sikkerhedsniveauet – for eksempel via KPI’er, kontroltests, sårbarhedsoverblik og awareness-aktiviteter – og som udfordrer første linjes risikovurderinger.

Anden linje skal være tæt på forretningen for at kunne yde relevant ekspertise og support, men samtidig have tilstrækkelig uafhængighed til at kunne udfordre beslutninger, der øger organisationens risikoeksponering.

Tredje forsvarslinje

Tredje linje varetages ofte af intern revision, som fører uafhængigt og objektivt tilsyn med rapportering direkte til det øverste organ om, hvor effektivt governance og risikostyring fungerer, herunder inden for informationssikkerhed. Det indebærer typisk:

• Revision af, om sikkerhedspolitikker og kontroller er designet og implementeret effektivt.
• Vurdering af, om første og anden linje udfylder deres roller tilstrækkeligt.
• Uafhængig rapportering direkte til det øverste organ uden om ledelseslag, der kan have interesse i et bestemt resultat.
• I stigende grad: vurdering af modenhed og kontrolmiljø i relation til NIS2, DORA og andre regulatoriske krav hos finansielle virksomheder og deres leverandører.

Tredje linjes værdi afhænger i høj grad af dens uafhængighed. Det gælder både organisatorisk og i praksis.

Samspillet mellem forsvarslinjerne

Den måske vigtigste pointe i 2020-opdateringen er, at de tre linjer ikke skal forstås som isolerede siloer, men som dele af et sammenhængende system. For informationssikkerhed viser det sig konkret på flere måder:

• Klar rolle- og ansvarsfordeling: Uden tydelig afgrænsning mellem, hvad første og anden linje hver især har ansvar for, opstår der typisk gråzoner, hvor kritiske sikkerhedsopgaver risikerer at falde mellem stole.
• Koordineret rapportering: Når første linje rapporterer driftsstatus, anden linje konsoliderer risikobilledet, og tredje linje validerer, om det stemmer overens med virkeligheden, får det øverste organ et sammenhængende billede i stedet for tre parallelle rapporteringsspor.
• Undgå dobbeltarbejde og “audit fatigue”: Når anden og tredje linje koordinerer deres aktiviteter, reduceres risikoen for, at forretningen oversvømmes af overlappende kontroller, spørgeskemaer og revisioner.
• Eskalation og feedback-loops: Et velfungerende samspil betyder, at observationer fra tredje linje reelt fører til handling i første og anden linje – og at det øverste organ aktivt følger op på, om det sker.

I praksis er det ofte her, modellen lever eller dør: Teoretisk korrekt rollefordeling hjælper ikke meget, hvis linjerne ikke taler sammen, eller hvis information ikke flyder opad i en form, der gør det muligt at handle på den.

Modellens udfordringer

Som der fremgår tidligere, oplever mange organisationer udfordringer ved at få modellen til at virke i praksis. I dette afsnit kigger vi nærmere på konkrete udfordringer og mulige løsninger.

Uklar rollefordeling mellem første og anden linje

Udfordring: I mange organisationer er det uklart, hvor grænsen går mellem “sikkerhedsfunktionen udfører kontroller” og “sikkerhedsfunktionen overvåger og udfordrer kontroller”. Det sker typisk, når en lille sikkerhedsfunktion både skal designe, implementere og overvåge kontroller.

Løsning: Udarbejd en konkret ansvarsoversigt, for eksempel en RACI matrix, der for hver væsentlig sikkerhedskontrol angiver, hvem der ejer, udfører, overvåger og reviderer den. Hvor ressourcerne ikke tillader fuld adskillelse, bør det som minimum dokumenteres som en kompenserende kontrol og en accepteret risiko.

Manglende uafhængighed i anden og tredje linje

Udfordring: I mindre organisationer refererer CISO’en ofte til IT-chefen, som samtidig er ansvarlig for den drift, CISO’en skal udfordre. På samme måde kan intern revision have begrænset reel uafhængighed, hvis ressourcerne er for små til at dække komplekse IT- og sikkerhedsområder.

Løsning: Sørg for klare rapporteringslinjer. Ideelt set bør CISO-funktionen have en direkte rapporteringsvej til risikoudvalg eller det øverste organ, uanset den daglige organisatoriske placering. Hvor intern revision ikke har tilstrækkelig IT-sikkerhedskompetence internt, kan det med fordel suppleres med ekstern specialistbistand til konkrete revisioner.

Siloopdelt rapportering og inkonsistente risikobilleder

Udfordring: Første, anden og tredje linje rapporterer ofte i forskellige formater, med forskellige risikoskalaer og til forskellige fora, hvilket gør det svært for det øverste organ at få et samlet, sammenhængende billede af sikkerhedsrisikoen.

Løsning: Indfør en fælles risikotaksonomi og rapporteringsstruktur for cyber- og informationssikkerhedsrisici, som anvendes konsekvent af alle tre linjer. Det er i stigende grad også et krav, der følger af regulering som DORA, hvor konsistent risikorapportering til ledelsen er et eksplicit fokusområde.

Modellen bliver en “compliance-øvelse” frem for reel risikostyring

Udfordring: Der er en risiko for, at organisationer implementerer modellen formelt med pæne organisationsdiagrammer og rollebeskrivelser, men at det reelt ikke ændrer, hvordan risici identificeres og håndteres i praksis.

Løsning: Brug modellen som et levende styringsværktøj snarere end et statisk dokument. Det øverste organ bør aktivt efterspørge konkrete eksempler på, hvordan samspillet mellem linjerne har ført til identifikation og håndtering af reelle sikkerhedsrisici – ikke kun bekræftelse af, at processer findes på papiret.

Periodisk måling holder ikke trit med moderne risici

Udfordring: Tredje linjes uafhængige tilsyn og kontrolopfølgningen fra anden linje foregår typisk kvartalsvist eller årligt, mens cyber- og IT-risici kan opstå og eskalere på timer. Når målinger bygger på et øjebliksbillede, kan organisationen fremstå “compliant” på papiret, selv om det reelle risikobillede allerede har ændret sig. Det er særligt udtalt i takt med, at AI har reduceret den tid, angribere skal bruge på at finde og udnytte nye sårbarheder.

Løsning: Supplér de periodiske revisioner, tilsyn og kontrolmålinger med kontinuerlig overvågning, hvor det er muligt, for eksempel automatiseret compliance-monitorering, løbende sårbarhedsscanning og KRI-dashboards, der giver anden og tredje linje et opdateret billede mellem de formelle revisioner. Det er også i tråd med DORA’s forventning om løbende overvågning af operationel modstandsdygtighed frem for periodiske kontroller. AI giver eksempelvis organisationer mulighed for at indbygge kontinuerlig sårbarhedsanalyse og assisteret konsekvensanalyse i deres softwareudvikling, så risici automatisk identificeres og dokumenteres inden ændringer frigives.

Ressourcepres i små og mellemstore organisationer

Udfordring: Små og mellemstore organisationer har sjældent ressourcer til at bemande tre fuldt udbyggede linjer med dedikerede medarbejdere til hver funktion.

Løsning: Modellens principbaserede tilgang giver netop mulighed for at skalere efter organisationens størrelse. Det afgørende er ikke antallet af mennesker, men at de grundlæggende principper (ansvarlighed, uafhængighed og objektivitet) er til stede i et omfang, der matcher organisationens risikoprofil. Det kan i praksis betyde, at tredje linje varetages af et eksternt revisionsfirma, eller at dele af anden linje deles mellem flere risikoområder.

Kan modellen anvendes af alle organisationer?

Modellen er, som tidligere nævnt, oprindeligt udviklet med fokus på finanssektoren. Men kan den så bruges af andre organisationer?

Ja, i princippet kan modellen anvendes af alle organisationer, men ikke nødvendigvis i samme form eller med samme modenhed. IIA’s Three Lines Model er principbaseret netop for at kunne tilpasses forskellige størrelser, brancher og risikoprofiler. Det betyder, at en stor finansiel virksomhed, en offentlig myndighed og en mindre virksomhed alle kan bruge modellen, men med forskellige grader af formalisering og ressourcer.

Det afgørende er ikke, at organisationen kan tegne tre perfekte linjer i et organisationsdiagram, men at ansvar, uafhængighed og opfølgning er tydeligt fordelt. I mindre organisationer vil rollerne ofte være samlet på færre hænder, og enkelte funktioner kan være delt eller outsourcet.

Det ændrer ikke ved modellens grundidé, så længe de centrale principper stadig er til stede.

I en dansk kontekst er intern revision ofte kun funktioner, der findes i finanssektoren eller børsnoterede selskaber. Den uafhængige tilsynsopgave, som tredje linje normalt vil varetage, kan i stedet outsources til en ekstern leverandør – enten som en fast opgave eller gennem ad hoc analyser og revisioner.

Modellen er derfor ikke kun for store og komplekse organisationer. Tværtimod kan den også være nyttig i mindre organisationer, fordi den skaber et fælles sprog for ansvar og kontrol – uden at kræve en stor, tung organisationsstruktur.

Opsummering

IIA’s Three Lines Model giver en velafprøvet og fleksibel referenceramme for, hvordan ansvaret for informationssikkerhed bør fordeles og koordineres i en organisation – fra det øverste organs strategiske tilsyn, over forretningens og sikkerhedsfunktionens daglige risikohåndtering til uafhængigt tilsyn.

Opdateringen af modellen i 2020 flyttede fokus fra en rigid, siloopdelt, defensiv struktur til en mere principbaseret og samarbejdsorienteret model. Den udvikling passer godt til informationssikkerhed, hvor risici sjældent respekterer organisatoriske siloer.

De praktiske udfordringer ved modellen kan løses ved at sørge for tydelige snitflader mellem linjerne og fremme samarbejde mellem særligt første og anden linje gennem fælles rapporterings- og beslutningsfora.

Med en klar ansvarsfordeling, konsistent risikorapportering og en reel vilje til at bruge modellen som styringsværktøj og ikke kun som dokumentation, kan Three Lines Model være et stærkt fundament for en robust og veldokumenteret tilgang til informationssikkerhed. Det gælder særligt i en tid med stigende regulatoriske krav fra bl.a. NIS2 og behov for governance og styring af risici forbundet med nye AI-løsninger.