NIS2: Øg sikkerheden – ikke utilfredsheden

Hvad går brug af multifaktorautentificering, kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer ud på i regi af NIS2?

Brugen af avancerede sikkerhedsteknologier handler om at beskytte kritiske data og systemer mod cybertrusler gennem en række tiltag.

Multifaktorautentificering (MFA) er en kernekomponent, der sikrer, at kun autoriserede personer kan få adgang til virksomhedens systemer. Det gør man ved at kombinere flere identifikationslag, f.eks. en adgangskode med en éngangskode fra en app.

Derudover er kontinuerlig autentificering et vigtigt element, der monitorerer en brugers adfærd gennem hele sessionen. Sikkerhedssoftwaren holder øje med, om den person, som er logget ind, har en anden adfærd end normalt. Det reducerer risikoen for, at hackere udnytter en eksisterende forbindelse.

Sikret kommunikation er en anden hjørnesten, hvor krypterede platforme beskytter samtaler og datadeling mod aflytning og manipulation. Det er f.eks. allerede indbygget i kommunikationsplatformene fra Microsoft og Google.

Endelig kan nødkommunikationssystemer sikre, at kommunikationen kan fortsætte selv under et cyberangreb eller systemnedbrud. Disse løsninger er designet til at være robuste og fungere uafhængigt af andre teknologier. Det kan f.eks. være, at nøglemedarbejdere er udstyret med satellittelefon.

Hvorfor er det en del af NIS2?

NIS2-direktivet har til formål at øge cybersikkerheden i EU’s medlemsstater og sikre robusthed i kritisk infrastruktur og vigtige tjenester. Teknologiske foranstaltninger som MFA og sikrede kommunikationssystemer er nødvendige for at:

• Forhindre og begrænse konsekvensen af cyberangreb
• Beskytte følsomme data og systemer mod uautoriseret adgang
• Sørge for kontinuitet i nødsituationer, hvor kommunikation er kritisk

Uden foranstaltninger risikerer virksomheder at miste kontrol over deres data og handlinger, hvilket kan have alvorlige konsekvenser for både drift og omdømme.

Hvordan skal virksomhederne helt konkret forholde sig til det?

I forhold til teknologiske foranstaltninger handler det om at indføre og anvende løsninger, som er relevante. Her er det vigtigt at pointere, at der står i direktivet, at de foranstaltninger, virksomhederne indfører, skal være proportionelle i forhold til de risici, de står overfor. Altså skal virksomhederne ikke nødvendigvis anvende de samme løsninger på alle systemer. Foranstaltningerne skal være tilpassede den potentielle skade, et cyberangreb kan forårsage, hvilket sikrer en effektiv og økonomisk forsvarlig tilgang til cybersikkerhed.

Hvad er en god fremgangsmåde?

Gennemgående for NIS2-direktivet er det virksomhedens ledelse, der skal godkende foranstaltningerne. Ledelsen bør inddrages så tidligt som muligt i processen. På den måde er den med i overvejelserne og kan dermed godkende og beslutte på et oplyst grundlag.

Først og fremmest bør virksomheden foretage en grundig risikovurdering for at identificere kritiske aktiver. Herefter skal der ud fra det enkelte aktiv analyseres, hvilke sårbarheder aktivet har, og hvilke trusler der potentielt kan påvirke det. Når risiciene er kortlagt, skal fokus rettes mod at implementere tilstrækkelige, men realistiske risikoreducerende sikkerhedstiltag.

Eksempler på risikoreducerende tiltag er bl.a., at virksomheden har fokus på både de menneskelige, fysiske og tekniske foranstaltninger, hvor vi tidligere i denne artikelserie har skrevet om cyberhygiejne, awareness og hændelseshåndtering. Men specifikt i forhold til de tekniske foranstaltninger bør man som minimum implementere MFA.

Når de risikoreducerende tiltag er implementeret, er det vigtigt at evaluere dem løbende for at sikre, at de giver de forventede resultater. Tilsvarende er det væsentligt at opdatere risikovurderingen, da cybertruslen hele tiden udvikler sig.

Er der ’faldgruber’, man bør være opmærksom på?

Når virksomheder implementerer sikkerhedsforanstaltninger, er der flere faldgruber, de bør være opmærksomme på.

En af de største er at vælge løsninger, der er unødigt komplekse. Det kan skabe frustration og modstand blandt medarbejderne, hvis foranstaltningerne ikke passer til deres behov eller workflow. F.eks. kan multifaktorautentifikation opleves som tidskrævende, da det uundgåeligt tilføjer et ekstra trin i loginprocessen. Derfor er det vigtigt at vælge løsninger, der balancerer sikkerhed og brugervenlighed, så de passer til medarbejdernes arbejdsgange. Når man tager hensyn til, hvordan medarbejderne arbejder i praksis, sikrer man, at sikkerhedsforanstaltningerne er både effektive og nemme at integrere i dagligdagen.

Læs mere om NIS2