Detektering af sårbarheder: Fokus på risikostyring og -assessments

En vis grad af risikovillighed kan drive innovation, men i et forretningsmiljø er det først og fremmest nødvendigt med fremadrettet planlægning. Velplanlagt IT-risikostyring gør det muligt for virksomheder at sikre, at de træffer beslutninger om deres sikkerhedsressourcer på oplyst grundlag. I lyset af de stigende trusler, den tekniske og lovgivningsmæssige udvikling bliver risikostyring mere og mere vigtig. Ifølge KPMG måler ca. 72 % af virksomhederne regelmæssigt deres cybersikkerhedsstatus på baggrund af KPI'er. Men kun en ud af fire virksomheder bruger Privileged Access Management (PAM) til at beskytte digitale identiteter, og kun en ud af tre virksomheder bruger SIEM (Security Incident and Event Management). En reorganisering af virksomhedens IT-risikostyring er derfor tilrådelig.

"Frygtens bedre søster” er forsigtighed, men ”modets værre bror er overmod." Dette citat tilskrives den tyske iværksætter Philip Rosenthal. Og han burde vide, hvad han talte om, for Rosenthal har brugt sit liv på at arbejde med skrøbeligt materiale - glas og porcelæn. Men Rosenthals indsigt bør også tjene som et vejledende princip for andre virksomheder, myndigheder og organisationer. Når alt kommer til alt, kan IT-risici ikke vurderes og prioriteres tilstrækkeligt uden kvantitative metoder. Resultatet er ineffektiv brug af ressourcer og utilstrækkelig beskyttelse. Utilstrækkelige risikovurderinger kan også føre til økonomiske tab og skade på omdømmet. I dag er IT-risikostyring mere end bare en "nice to have" - i tider med konstant nye cybertrusler er det et absolut must for enhver virksomhed, der ønsker at beskytte sine data, systemer, medarbejdere, partnervirksomheder og virksomhedsaktiver mod IT-risici på den mest effektive måde.

Hvert år laver Allianz Risk Barometer en liste over de mest alvorlige forretningsrisici. Cyberhændelser ligger i øjeblikket på førstepladsen, efterfulgt af driftsforstyrrelser. Ifølge undersøgelsen er omkostningerne ved et brud på datasikkerheden omkring 4,35 millioner amerikanske dollars og stigende. Effektiv it-risikostyring kan forhindre sådanne hændelser ved at identificere, vurdere, prioritere og afbøde potentielle trusler.

Top 8 største it-risici, du bør kende:

1. Sikkerhedstrusler som hackerangreb, malware, phishing-angreb og uautoriseret adgang til følsomme data kan føre til datatyveri, driftafbrydelser, økonomiske tab, sanktioner og skade på omdømmet.
2. Strømafbrydelser, naturkatastrofer, brande, oversvømmelser eller andre farer kan skade it-infrastrukturen og forstyrre forretningsprocesserne.
3. System- eller netværksnedbrud og forstyrrelser i infrastrukturen forårsager også uplanlagt nedetid, som påvirker driften, produktiviteten og kundetilfredsheden.
4. Datatab eller -korruption kan skyldes hardwarefejl, softwarefejl, menneskelige fejl eller ondsindede angreb. Det kan føre til tab af vigtige forretnings- og kundedata eller intellektuel ejendom.
5. Nye teknologier som cloud computing, Internet of Things (IoT) eller kunstig intelligens kan udgøre en risiko for datasikkerhed og overholdelse af lovgivningen.
6. Manglende overholdelse af regler, databeskyttelseslove eller kontraktlige forpligtelser kan resultere i sanktioner, økonomiske bøder og retssager. For eksempel kræver NIS2, PCI DSS og HIPAA regelmæssige sårbarhedsscanninger for at beskytte følsomme data.
7. Afhængighed af tredjeparts producenter, leverandører eller serviceudbydere indebærer risici som serviceafbrydelser, databrud eller kontrakttvister.
8. Insidertrusler, menneskelige fejl, utilstrækkelig træning eller uagtsom medarbejderadfærd kan føre til datalækager, uautoriseret adgang eller forkert håndtering af følsomme oplysninger.

IT-risici henviser til sandsynligheden for uventede, negative forretningsresultater på grund af udnyttelse af sårbarheder i hardware og software. En lang række IT-risikostyringsmetoder kan bruges til at afbøde disse IT-trusler. Risikostyring er ikke en isoleret og selvstændig tilgang. I stedet involverer den mange forskellige procedurer, retningslinjer og værktøjer til at identificere og måle potentielle trusler og sårbarheder i din it-infrastruktur. De er indbyrdes forbundne og bør tilpasses til din virksomheds behov. Det første skridt er altid risikovurderingen, dvs. den kvantitative og kvalitative evaluering af risici, efterfulgt af specifikke modforanstaltninger.

For at få en pålidelig evaluering af it-risiciene i din virksomhed bør du overveje disse fire hjørnesten i risikovurderingen:

• Trusler er alle situationer, handlinger eller hændelser, der kan kompromittere systemsikkerheden. Det kan være med vilje eller ved et uheld, f.eks. malwareangreb, udfald af enheder, menneskelige fejl og naturkatastrofer.
• Sårbarheder er svagheder eller huller, som kriminelle udnytter til at stjæle følsomme oplysninger. Identifikationen af sårbarheder i IT-systemer og angrebsmetoder rettet mod dem afgør, hvor godt IT-risici kan minimeres.
• Aktiver er et bredt begreb, der omfatter både software og hardware, lagrede data, it-sikkerhedsretningslinjer, brugerdata og endda individuelle filmapper, der indeholder følsomme data.
• Omkostninger er den samlede skade, som en virksomhed kan lide som følge af en sikkerhedshændelse - det være sig økonomisk, omdømmemæssigt eller i værste fald begge dele.

I sin benchmarkundersøgelse af risikostyring i 2023 opdagede Deloitte, at mindre end en tredjedel af de adspurgte virksomheder i øjeblikket opfylder kravene til et holistisk risikostyringssystem.  I denne sammenhæng viser en nylig undersøgelse fra Accenture, at risikostyring bliver stadig vigtigere for et stort antal virksomheder, da komplekse og indbyrdes forbundne risici opstår stadig hurtigere. Dette blev sagt af 83 procent af de adspurgte. 77 procent sagde også, at det bliver sværere at identificere og styre risici, og 72 procent var bekymrede for, at deres ekspertise inden for risikostyring ikke kunne holde trit med det hurtigt skiftende it-landskab.

IT-risikostyring, der er skræddersyet til nutidens krav, er derfor helt afgørende:

• Konkurrence,
• beskyttelse af dine aktiver,
• sikre forretningskontinuitet,
• tilpasning til og overholdelse af lovgivningen,
• beskyttelse af din virksomheds omdømme,
• optimering af omkostninger og ressourcer og
• at styrke tilliden hos alle interessenter.

For at beskytte din virksomheds oplysninger på en omfattende måde og begrænse det stigende antal risici er der ingen vej uden om skræddersyet risikostyring.

Detekteringssystemerne hos det uafhængige AV-TEST Institute opdager og analyserer 3,9 nye malwareprøver hvert sekund. Det betyder over 322.000 nye malware-varianter om dagen. IT-sikkerhedshændelser forårsaget af malwareangreb, datalækager og cyberangreb kan påvirke tilliden hos kunder, partnere og offentligheden. Proaktiv risikostyring hjælper med at minimere risikoen for sådanne hændelser og beskytte virksomhedens omdømme. Ved at identificere og prioritere it-risici kan du også bruge ressourcerne mere effektivt og foretage målrettede investeringer i sikkerhedsmekanismer. Det hjælper med at minimere potentielle skader og omkostninger i forbindelse med it-sikkerhedshændelser.