Risikovurdér for å forstå

For å forstå hvilke farer som finnes og hvor alvorlige de er, skal slike scenarier kartlegges i risikoanalysefasen. En slik risikoanalyse skal munne ut i en tiltaksplan som sørger for at tiltakene blir forholdsmessige i forhold til risikoen. Denne risikobaserte tilnærmingen er formulert slik i NIS art. 21 (1):

Minimumstiltakene som skal iverksettes i henhold til NIS2 art. 21 (2) fremgår av en liste på 10 tiltak eller grupper av tiltak. De fleste tiltakene har til felles at de ikke er konkrete nok til at normale virksomheter forstår hva de skal gjøre. Etter oppsummeringen konkretiserer vi kravene.

Bokstav a – Risikoanalyse og sikkerhetspolicyer

Virksomheter som omfattes av NIS2-direktivet, plikter å gjennomføre en grundig og regelmessig vurdering av risikoene som kan true informasjonssystemene sine. Vurderingen bør omfatte både ytre og indre trusler, tekniske og organisatoriske sårbarheter, samt mulige konsekvenser for virksomheten og samfunnet ved bortfall av tjenester. Herunder bør virksomheten utarbeide og holde oppdatert en overordnet sikkerhetspolicy som tydelig fastsetter hvordan risiko håndteres.

Vurderingen bør omfatte både ytre og indre trusler, tekniske og organisatoriske sårbarheter, samt mulige konsekvenser for virksomheten og samfunnet ved bortfall av tjenester.

Et sentralt prinsipp er at sikkerhetstiltak må justeres fortløpende i takt med endringen av trusselbildet. Prinsippet innebærer at virksomheter ikke kan stole på tidligere vurderinger, men må sørge for kontinuerlig forbedring og tilpasning av sikkerhetsarbeidet, i tråd med beste praksis og aktuelle trusselvurderinger.

Bokstav b – Hendelseshåndtering

Artikkel 21 (2) bokstav b krever at virksomheter skal ha etablerte og dokumenterte planer for håndtering av sikkerhetshendelser. Formålet er å sikre at organisasjonen raskt og effektivt kan identifisere, håndtere og begrense konsekvensene av digitale angrep og alvorlige sikkerhetsbrudd.

Evnen til effektiv hendelseshåndtering forutsetter tydelig definerte roller og ansvar, både internt og med eventuelle eksterne partnere, samt at rutinene jevnlig testes og forbedres. Dette gir virksomheten evne til å handle målrettet ved en hendelse, og sørger for at nødvendige varsler og tiltak kan iverksettes uten unødig forsinkelse.

Sentralt står også samhandling med relevante myndigheter, som Nasjonal sikkerhetsmyndighet, (NSM, ved NorCERT) eller de respektive sektorers CERT, f.eks. HelseCERT (helsesektoren), FinansCERT (finanssektoren) og KraftCERT (energisektoren).^{(3)CERT: Computer Emergency Response Team – Team for å lede og ivareta håndtering av hendelser.} I tillegg må virksomhetene ha beredskap for å aktivere støtte fra eksterne eksperter.

Bokstav c – Beredskap

Virksomheter må sikre at sin evne til å fortsette driften ved alvorlige hendelser ikke svekkes (for mye). Kravet innebærer å ha en tydelig beredskapsplan som dekker hvordan man skal håndtere alvorlige avbrudd forårsaket av for eksempel cyberangrep, naturkatastrofer eller tekniske feil som rammer datasentre, nettverk eller andre kritiske systemer. Løsningene for sikkerhetskopiering og gjenopprettelse bør være dokumenterte og testede. Strukturen bør sikre at tjenestene kan opprettholdes eller gjenopptas innen akseptabel tid.

Bokstav d – Leverandørkjedesikkerhet

Leverandørkjeder er kritiske og sårbare. Kjedene er i dag ofte lange og man er avhengig av at de fungerer, gjerne i sanntid. Derfor må også leverandører virksomhetene er avhengige av for sin drift også etterleve relevante sikkerhetskrav. Typiske eksempler er ved utsetting av tjenester (outsourcing) eller ved bruk av skyløsninger og programvare levert som tjeneste (SaaS).

Bestemmelsen angir bare ‘direkte leverandører’, men kravet utgjør bare et gulv - et minimumskrav – på grunn av formuleringen «at least».Sikring flere nivåer ned kan våre påkrevet om en riktig risikovurdering tilsier det. Kravet betyr at virksomheten må ta et aktivt ansvar for sikkerheten så langt ned i leverandørkjeden som nødvendig, så lenge underleverandørene kan påvirke virksomhetens evne til å forebygge, oppdage eller håndtere sikkerhetshendelser.

Kjedene er i dag ofte lange og man er avhengig av at de fungerer, gjerne i sanntid.

For å etterleve kravet må virksomheten etablere klare krav og kontroller i avtaler, og den må jevnlig følge opp og vurdere sikkerhetsnivået hos leverandørene.

Bokstav e – Sikkerhet ved anskaffelser, utvikling og vedlikehold

Bestemmelsen stiller krav til at innkjøp, utvikling og vedlikehold av nettverks- og informasjons-systemer ivaretar informasjonssikkerhet fra starten av og gjennom hele livssyklusen til systemet. Dermed må man planlegge anskaffelsen og utviklingen, og stille tydelig krav før handelen skjer. Samtidig bør man sikre at vedlikeholdet opprettholder sikkerhet over tid. I praksis bør vedlikeholdsavtalen inngås før anskaffelsen eller utvikling avtales. En slik helhetlig tilnærming vil normalt også gi det beste kommersielle resultatet også, siden leverandøren da normalt vil være i en konkurransesituasjon.

Bokstav f – Cybersikkerhetsstyring, prosedyrer og vurdering av effektivitet

Virksomheter som er underlagt NIS2-direktivet skal etablere formelle styringssystemer og prosedyrer for cybersikkerhet, for å vurdere virkningen av sikkerhetstiltakene. Prosessen vil tvinge virksomheten til å tenke igjennom hvordan den arbeider med sikkerhet, og samtidig dokumentere innsatsen.

Bokstav g – Cyberhygiene og opplæring

Fortalen til NIS2 nevner følgende eksempler på grunnleggende sikkerhet:^{(12)Fortalepunkt 89}

• Zero-trust-prinsipper,^{(13)Zero-trust-prinsipper betyr at ingen brukere, enheter eller systemer får tillit uten verifisering – uansett om de er inne eller utenfor virksomhetens nettverk eller systeminfrastruktur.}

• programvareoppdatering,

• enhetskonfigurasjon,

• nettverkssegmentering,

• identitet og tilgangsstyring, og

• brukerbevisstgjøring, og opplæring av personellet sitt om […] cybertrusler.

Virksomheten skal videre vurdere egne cybersikkerhetsevner, og sikkerhetsteknologi, herunder kunstig intelligens og maskinlæring for å bedre sine evner og sikkerhet i nettverk og informasjonssystemer.

Virksomheten skal videre vurdere egne cybersikkerhetsevner.

Standarder som NSMs grunnprinsipper for IKT-sikkerhet vil beskrive flere grunnleggende sikkerhetspraksiser. Slik sett kan bokstav g) ses på som en bunnpanne, som tilpasses konkret risiko.^{(14)Se også erfaringsrapporten «Ti sårbarheter i norske IKT-systemer» fra NSM: https://nsm.no/getfile.php/1313387-1700026023/NSM/Filer/Dokumenter/Rapporter/Ti%20s%C3%A5rbarheter%20i%20norske%20IKT-systemer.pdf}

Bokstav h – Rutiner for kryptering og databeskyttelse

Større virksomheter bør etablere rutiner og prosedyrer for bruk av kryptografi og kryptering. Igjen vil arbeidet med dette bevisstgjøre virksomhetene ved fastsettelse av krav og valg av løsning. Hvordan rutinene vil se ut, vil avhenge av utfallet av risikovurderingen.

Igjen vil arbeidet med dette bevisstgjøre virksomhetene ved fastsettelse av krav og valg av løsning.

Bokstav i – Styring og administrasjon eiendeler, personell og tilganger

Bokstav i) griper fatt i tre forhold som i praksis kan være avgjørende for sikkerheten:

1. personer,

2. tilgangskontroll og

3. aktivakontroll.

Menneskelige feil er en betydelig årsak til sikkerhetsbrudd. Hele 95 % av sikkerhetsbrudd involverer menneskelige feil, inkludert innsidetrusler, feil bruk av legitimasjon og brukerrelaterte feil. Av disse er et flertall forårsaket av manglende kunnskap og overvåkenhet. Ifølge en studie fra Stanford University og Tessian, skyldes 88% av brudd på datasikkerheten ansattfeil (dvs. «interne» årsaker). Enkelte brudd er forårsaket av uærlige eller kriminelle medarbeidere, som misbruker privilegier (tilgangsrettigheter), bruker stjålet legitimasjon eller benytter sosial manipulasjon for å oppnå tilgang.

Av den grunn viser fortalen i NIS2 til at personellsikkerhetstiltakene skal være i samsvar med direktiv for motstandsdyktighet i kritiske enheter (CER).^{(18)Critical Entities Resilience Directive (CER), Directive (EU) 2022/2557. https://eur-lex.europa.eu/eli/dir/2022/2557/oj/eng#enc_1(19)NIS2 fortale punkt77 «[…] The cybersecurity risk-management measures should therefore also address the physical and environmental security of network and information systems by including measures to protect such systems from system failures, human error, malicious acts or natural phenomena, in line with European and international standards, such as those included in the ISO/IEC 27000 series. In that regard, essential and important entities should, as part of their cybersecurity risk-management measures, also address human resources security and have in place appropriate access control policies. Those measures should be consistent with Directive (EU) 2022/2557 [CER]».(våre uthevinger)}CER regulerer sikkerhetskrav for en rekke av virksomhetene omfattet av NIS2, men med fysisk fokus. CER er enda ikke implementert i norsk lov.

Det fremgår en rekke krav av CER. Et av de praktisk viktigste er muligheten for å bakgrunnskontrollere ansatte. I dag er muligheten til å kreve politiattest begrenset. Med CER, og NIS2, er det grunn til å vente seg at kretsen utvides vesentlig. Virksomheter som er opptatt av bedre kontroll ved ansettelser, kan vurdere å avgi en høringsuttalelse ved implementering av NIS2 og CER i norsk lov.

For å ha sikre systemer må man videre vite hva man har av eiendeler (aktiva) og hvilke tilganger disse har. Også for tilgangskontroll viser fortalen i NIS2 til CER. CER art. 13 never en rekke tiltak, som å hindre hendelser fra å inntre, iverksette passende fysisk sikkerhet og gjenopprettelse. Som for mange av tiltakene angitt i NIS2 gir dette begrenset veiledning.

Bokstav j – MFA og sikker kommunikasjon

Det siste kravet i art. 21 (2) er det mest konkrete, men likevel tillagt en skjønnsmessig vurdering – ‘der passende’.

I korthet skal virksomhetene ha:

• flerfaktor-autentisering ELLER

• kontinuerlige autentiseringsløsninger,

• sikret stemme, video og tekstkommunikasjon og

• sikre nødkommunikasjonssystemer i virksomheten, når det er passende.

Det vil si at flerfaktorautentisering overraskende nok ikke er et krav om man har ‘kontinuerlige autentiseringsløsninger’ (KA). Hva KA er fremgår ikke av NIS2, men er normalt ment å omfatte en dynamisk prosess som:

• Overvåker brukerens identitet gjennom hele økten – ikke bare ved innlogging.

• Vurderer risikofaktorer som:

  • Brukeratferd (f.eks. taste- og musemønstre, navigasjonsvaner)

  • Enhetens tilstand (f.eks. operativsystemoppdateringer, forekomst av skadevare)

  • Geografisk plassering (f.eks. uventet tilgang fra ukjente områder)

• Automatisk utløser ny autentisering eller avslutter økten dersom det oppdages avvik.

Denne tilnærmingen støtter Zero Trust-prinsippet: «Aldri stol på, alltid verifiser».

Det fremgår ikke klart om de øvrige kravene er alternative, eller om de må oppfylles ved siden av kryptering eller kontinuerlig autentisering. Vi legger til sikret stemme-, video- og tekstkommunikasjon og sikre nødkommunikasjonssystemer er krav, men også dette bør klargjøres i den norske implementeringen av direktivet.

Sikker kommunikasjon vil i dag typisk bety kryptert forbindelse. Dermed glir kravene over i hverandre. Dette betyr at virksomheter ikke bare må sørge for at forbindelser er krypterte, men også at autentiseringsmekanismer – enten det benyttes flerfaktor eller kontinuerlig autentisering – understøtter en helhetlig sikkerhetsstrategi. Autentisering og kommunikasjon kan dermed ikke kan vurderes isolert. Det må etableres mekanismer som sikrer at både identitet og datatrafikk valideres og beskyttes fortløpende – ikke kun ved øktens start.

Særlig viktig er sikker kommunikasjon ved fjerntilgang og bruk av tredjepartsleverandører, der risikoen for identitetstyveri og sesjonskapring er betydelig høyere enn ved lokal tilgang. NIS2 krever at slike risikoer håndteres gjennom tekniske og organisatoriske tiltak, og her gir kontinuerlig autentisering et mulig svar. Det er imidlertid avgjørende at virksomheten kan dokumentere på hvilken måte autentiseringen faktisk er «kontinuerlig», og hvordan den er koblet til sikker kommunikasjon – f.eks. ved automatisk frakobling ved avvik, eller adaptiv innstramming av tilgangsnivå ved endrede risikoforhold.

Nødkommunikasjon kan også være et krav. Om normale kommunikasjonssystemer bryter sammen, kan slike reservesystemer bli avgjørende.

Eksempler på dokumentasjon:

• Risikoanalyser og trusselvurderinger.

• Sikkerhetsrutiner og prosedyrer.

• Hendelseslogger og revisjonslogger.

• Kontrakter med sikkerhetskrav.

• Referater fra øvelser og opplæring.