Efterlevnad är viktigt

WP_Post Object ( [ID] => 133868 [post_author] => 41 [post_date] => 2025-11-06 09:00:32 [post_date_gmt] => 2025-11-06 09:00:32 [post_content] => Det är ovanligt att se ett öppet brev från en företagsledare i början av en statlig cybersäkerhetsrapport. Särskilt någon vars företag just har drabbats av ett förödmjukande dataintrång. Men det här är ovanliga tider. Och budskapet är oerhört viktigt. Det är därför GCHQ:s nationella cybersäkerhetscenter (NCSC) gjorde plats för Co-op Groups VD, Shirine Khoury-Haq, i början av dess Årsöversikt 2025.Hennes budskap, som ekades och förstärktes genom hela dokumentet, var enkelt: förberedelse är allt. Men hur säkerställer företagsledare att de bygger upp tillräcklig cybermotståndskraft i sin organisation idag, för att säkerställa att verksamheten fortsätter som vanligt i händelse av ett dataintrång imorgon?

Ökning av nationellt betydande incidenter

Siffrorna från det senaste året berättar sin egen historia. NCSC hävdar att nästan hälften (48 %) av de incidenter som deras incidenthanteringsteam reagerade på under det senaste året var "nationellt betydande". Det motsvarar 204 separata incidenter, eller fyra per vecka. Cirka 4 % (18) kategoriseras som "mycket betydande" – en årlig ökning med 50 %. Dessa är ett steg ner från den maximala allvarlighetsgraden, som anger incidenter som kan få allvarliga ekonomiska/sociala konsekvenser eller förlust av människoliv. Men de betecknar fortfarande cyberattacker och dataintrång som kan ha en allvarlig inverkan på centralregeringen, viktiga tjänster och en stor andel av Storbritanniens befolkning eller ekonomi. Intressant nog härrörde 29 incidenter som hanterades av NCSC under perioden från endast tre sårbarheter: CVE-2025-53770 (Microsoft SharePoint Server), CVE-2025-0282 (Ivanti Connect Secure, Policy Secure & ZTA Gateways) och CVE-2024-47575 (Fortinet FortiManager). Det belyser omedelbart några lågt hängande frukter för organisationer som väljer att implementera riskbaserade program för patchhantering. Denna lågt hängande frukt finns överallt om företagsledare bara vore tillräckligt motiverade eller medvetna om behovet av att hitta den, säger NCSC:s VD Richard Horne. I sitt förord ​​beskriver han de utmaningar som brittiska organisationer står inför som växande i "en storleksordning". Horne avslutar: "Cybersäkerhet är nu avgörande för företagens långa livslängd och framgång. Det är dags att agera."

Ett brev till FTSE 350

Denna betoning på åtgärder stöds av de senaste katastrofala cyberrelaterade avbrotten som drabbat Jaguar Land Rover (JLR), M&S och Co-op Group, för att bara nämna tre. Vissa uppskattningar uppskattar att de totala förlusterna för dessa företag och deras leverantörer upplevt ligger på närmare 1 miljard pund. Det är en del av anledningen till att rapporten direkt uppmanar företagsledare att sluta behandla cyber som en IT-avdelningsfråga och börja inse dess avgörande betydelse för företagstillväxt och den brittiska ekonomin. Det är därför den tar upp Khoury-Haq från Co-op Group. Och varför Horne utbrister: "Alla företagsledare måste ta ansvar för sin organisations cybermotståndskraft." Det är också därför rapporten främjar olika NCSC-initiativ som:

• Cyber ​​Governance Code of Practice: utformad för att hjälpa styrelser och direktörer att bättre hantera digitala risker
• Utbildningsprogrammet för cyberstyrning, som överensstämmer med kodens fem kärnprinciper: riskhantering, strategi, personal, incidentplanering, respons och återhämtning samt kvalitetssäkring och tillsyn
• NCSC:s vägledning om ”Samarbete med styrelser för att förbättra hanteringen av cybersäkerhetsrisker”, som hjälper IT-chefer att kommunicera mer effektivt med sina styrelser
• Principerna för cybersäkerhetskultur, som beskriver hur en god säkerhetskultur ser ut och hur man förändrar beteenden
• Verktygslådan för cyberaktioner, för att öka cybermedvetenheten bland småföretagare

Det är också anledningen till att regeringen, i vad som verkar ha varit ett samordnat drag, har skrivit till VD:arna för FTSE 350 och vädjat till dem att inse hotets omfattning. ”Alltför länge har cybersäkerhet varit en oro för mellanledningen och eskaleras bara till de högre cheferna i en kris. Det handlar inte om att bli offer för en cyberattack, det handlar om att vara förberedd på när det händer.” sa säkerhetsministern Dan Jarvis vid lanseringen av översikten. Talande nog försökte han betona den konkurrensfördel som bästa praxis inom cyberteknik kan ge företag.

Bygga motståndskraft

Den goda nyheten är att även om hotet intensifieras, hävdar NCSC att det mesta av den aktivitet de ser inte är radikalt nytt, vare sig det är statligt sponsrat eller arbetet utfört av grupper som Scattered Spider. Det borde göra det något lättare att uppnå cyberresiliens. Men vad finns det i rapporten? Förutom att lista NCSC-initiativ som Active Cyber ​​Defence och Cyber ​​Essentials, belyser det 100-sidiga dokumentet begreppet "resilience engineering". Även om det har sitt arv inom säkerhetsteknik, skulle konceptet effektivt kunna överföras till cybersfären, hävdar NCSC, via initiativ som:Infrastruktur som kod: Gör det möjligt för organisationer att pålitligt replikera system för snabb återställning och driftsätta pålitlig, oföränderlig infrastruktur.Oföränderliga säkerhetskopior: Möjliggör effektiv återställning vid total miljöförlust (inklusive identitet, molnkonfigurationer, hypervisorer etc.).segmentering: För isolering och inneslutning för att minimera påverkan under en händelse, eller ”för att ständigt skapa förtroendegränser”.Minsta privilegium: I alla tjänster, för att begränsa skador och stödja Zero Trust-strategier.Observerbarhet och övervakning: För att upptäcka avvikelser och förbättra lärandet efter incidenter.Kaosteknik: Det avsiktliga införandet av misslyckanden med att validera/testa detekterings- och återställningsprocesser.Motståndskraftiga operationer: Inkluderar att säkerställa att krishanteringshandböcker är tillgängliga digitalt eller fysiskt på isolerade plattformar eller i pappersformat.

Titta på standarder

Peter Connolly, VD på Toro-lösningar, argumenterar för att bästa praxisstandarder som ISO 27001 kan hjälpa organisationer att förbättra sin cybermotståndskraft. ”Det ger ett strukturerat ramverk för riskhantering som går bortom IT och inkluderar människor, fysisk säkerhet och affärskontinuitet”, säger han till ISMS.online. ”Genom att använda denna integrerade strategi kan organisationer minimera effekterna av incidenter, upprätthålla kritisk verksamhet och visa för kunder, investerare och partners att säkerhet är en allvarlig prioritet.” Connolly tillägger att organisationer bör använda ISO 27001-efterlevnad för att integrera säkerhet i den dagliga affärskulturen. ”Detta innebär att säkerhetsprinciper görs till en del av den rutinmässiga verksamheten snarare än att behandla dem som en separat uppgift”, avslutar han. ”Börja med att ta itu med de mest kritiska riskerna först och se till att cyber-, fysisk och personalrelaterad säkerhet beaktas tillsammans. Denna strategi bygger genuin motståndskraft samtidigt som den ger internationellt erkänd trovärdighet.” Ordet ”motståndskraft” nämns 139 gånger i NCSC-rapporten. Det är dags att UK PLC uppmärksammar det. [post_title] => NCSC säger ”Det är dags att agera”, men hur? [post_excerpt] => [post_status] => publicera [comment_status] => stängd [ping_status] => öppen [post_password] => [post_name] => the-ncsc-says-it-is-time-to-act-but-how [to_ping] => [pinged] => [post_modified] => 2025-11-06 09:07:00 [post_modified_gmt] => 2025-11-06 09:07:00 [post_content_filtered] => [post_parent] => 0 [guid] => https://sv.isms.online/?p=133868 [menu_order] => 0 [post_type] => inlägg [post_mime_type] => [comment_count] => 0 [filter] => raw )

WP_Post Object ( [ID] => 133868 [post_author] => 41 [post_date] => 2025-11-06 09:00:32 [post_date_gmt] => 2025-11-06 09:00:32 [post_content] => Det är ovanligt att se ett öppet brev från en företagsledare i början av en statlig cybersäkerhetsrapport. Särskilt någon vars företag just har drabbats av ett förödmjukande dataintrång. Men det här är ovanliga tider. Och budskapet är oerhört viktigt. Det är därför GCHQ:s nationella cybersäkerhetscenter (NCSC) gjorde plats för Co-op Groups VD, Shirine Khoury-Haq, i början av dess Årsöversikt 2025.Hennes budskap, som ekades och förstärktes genom hela dokumentet, var enkelt: förberedelse är allt. Men hur säkerställer företagsledare att de bygger upp tillräcklig cybermotståndskraft i sin organisation idag, för att säkerställa att verksamheten fortsätter som vanligt i händelse av ett dataintrång imorgon?

Ökning av nationellt betydande incidenter

Siffrorna från det senaste året berättar sin egen historia. NCSC hävdar att nästan hälften (48 %) av de incidenter som deras incidenthanteringsteam reagerade på under det senaste året var "nationellt betydande". Det motsvarar 204 separata incidenter, eller fyra per vecka. Cirka 4 % (18) kategoriseras som "mycket betydande" – en årlig ökning med 50 %. Dessa är ett steg ner från den maximala allvarlighetsgraden, som anger incidenter som kan få allvarliga ekonomiska/sociala konsekvenser eller förlust av människoliv. Men de betecknar fortfarande cyberattacker och dataintrång som kan ha en allvarlig inverkan på centralregeringen, viktiga tjänster och en stor andel av Storbritanniens befolkning eller ekonomi. Intressant nog härrörde 29 incidenter som hanterades av NCSC under perioden från endast tre sårbarheter: CVE-2025-53770 (Microsoft SharePoint Server), CVE-2025-0282 (Ivanti Connect Secure, Policy Secure & ZTA Gateways) och CVE-2024-47575 (Fortinet FortiManager). Det belyser omedelbart några lågt hängande frukter för organisationer som väljer att implementera riskbaserade program för patchhantering. Denna lågt hängande frukt finns överallt om företagsledare bara vore tillräckligt motiverade eller medvetna om behovet av att hitta den, säger NCSC:s VD Richard Horne. I sitt förord ​​beskriver han de utmaningar som brittiska organisationer står inför som växande i "en storleksordning". Horne avslutar: "Cybersäkerhet är nu avgörande för företagens långa livslängd och framgång. Det är dags att agera."

Ett brev till FTSE 350

Denna betoning på åtgärder stöds av de senaste katastrofala cyberrelaterade avbrotten som drabbat Jaguar Land Rover (JLR), M&S och Co-op Group, för att bara nämna tre. Vissa uppskattningar uppskattar att de totala förlusterna för dessa företag och deras leverantörer upplevt ligger på närmare 1 miljard pund. Det är en del av anledningen till att rapporten direkt uppmanar företagsledare att sluta behandla cyber som en IT-avdelningsfråga och börja inse dess avgörande betydelse för företagstillväxt och den brittiska ekonomin. Det är därför den tar upp Khoury-Haq från Co-op Group. Och varför Horne utbrister: "Alla företagsledare måste ta ansvar för sin organisations cybermotståndskraft." Det är också därför rapporten främjar olika NCSC-initiativ som:

• Cyber ​​Governance Code of Practice: utformad för att hjälpa styrelser och direktörer att bättre hantera digitala risker
• Utbildningsprogrammet för cyberstyrning, som överensstämmer med kodens fem kärnprinciper: riskhantering, strategi, personal, incidentplanering, respons och återhämtning samt kvalitetssäkring och tillsyn
• NCSC:s vägledning om ”Samarbete med styrelser för att förbättra hanteringen av cybersäkerhetsrisker”, som hjälper IT-chefer att kommunicera mer effektivt med sina styrelser
• Principerna för cybersäkerhetskultur, som beskriver hur en god säkerhetskultur ser ut och hur man förändrar beteenden
• Verktygslådan för cyberaktioner, för att öka cybermedvetenheten bland småföretagare

Det är också anledningen till att regeringen, i vad som verkar ha varit ett samordnat drag, har skrivit till VD:arna för FTSE 350 och vädjat till dem att inse hotets omfattning. ”Alltför länge har cybersäkerhet varit en oro för mellanledningen och eskaleras bara till de högre cheferna i en kris. Det handlar inte om att bli offer för en cyberattack, det handlar om att vara förberedd på när det händer.” sa säkerhetsministern Dan Jarvis vid lanseringen av översikten. Talande nog försökte han betona den konkurrensfördel som bästa praxis inom cyberteknik kan ge företag.

Bygga motståndskraft

Den goda nyheten är att även om hotet intensifieras, hävdar NCSC att det mesta av den aktivitet de ser inte är radikalt nytt, vare sig det är statligt sponsrat eller arbetet utfört av grupper som Scattered Spider. Det borde göra det något lättare att uppnå cyberresiliens. Men vad finns det i rapporten? Förutom att lista NCSC-initiativ som Active Cyber ​​Defence och Cyber ​​Essentials, belyser det 100-sidiga dokumentet begreppet "resilience engineering". Även om det har sitt arv inom säkerhetsteknik, skulle konceptet effektivt kunna överföras till cybersfären, hävdar NCSC, via initiativ som:Infrastruktur som kod: Gör det möjligt för organisationer att pålitligt replikera system för snabb återställning och driftsätta pålitlig, oföränderlig infrastruktur.Oföränderliga säkerhetskopior: Möjliggör effektiv återställning vid total miljöförlust (inklusive identitet, molnkonfigurationer, hypervisorer etc.).segmentering: För isolering och inneslutning för att minimera påverkan under en händelse, eller ”för att ständigt skapa förtroendegränser”.Minsta privilegium: I alla tjänster, för att begränsa skador och stödja Zero Trust-strategier.Observerbarhet och övervakning: För att upptäcka avvikelser och förbättra lärandet efter incidenter.Kaosteknik: Det avsiktliga införandet av misslyckanden med att validera/testa detekterings- och återställningsprocesser.Motståndskraftiga operationer: Inkluderar att säkerställa att krishanteringshandböcker är tillgängliga digitalt eller fysiskt på isolerade plattformar eller i pappersformat.

Titta på standarder

Peter Connolly, VD på Toro-lösningar, argumenterar för att bästa praxisstandarder som ISO 27001 kan hjälpa organisationer att förbättra sin cybermotståndskraft. ”Det ger ett strukturerat ramverk för riskhantering som går bortom IT och inkluderar människor, fysisk säkerhet och affärskontinuitet”, säger han till ISMS.online. ”Genom att använda denna integrerade strategi kan organisationer minimera effekterna av incidenter, upprätthålla kritisk verksamhet och visa för kunder, investerare och partners att säkerhet är en allvarlig prioritet.” Connolly tillägger att organisationer bör använda ISO 27001-efterlevnad för att integrera säkerhet i den dagliga affärskulturen. ”Detta innebär att säkerhetsprinciper görs till en del av den rutinmässiga verksamheten snarare än att behandla dem som en separat uppgift”, avslutar han. ”Börja med att ta itu med de mest kritiska riskerna först och se till att cyber-, fysisk och personalrelaterad säkerhet beaktas tillsammans. Denna strategi bygger genuin motståndskraft samtidigt som den ger internationellt erkänd trovärdighet.” Ordet ”motståndskraft” nämns 139 gånger i NCSC-rapporten. Det är dags att UK PLC uppmärksammar det. [post_title] => NCSC säger ”Det är dags att agera”, men hur? [post_excerpt] => [post_status] => publicera [comment_status] => stängd [ping_status] => öppen [post_password] => [post_name] => the-ncsc-says-it-is-time-to-act-but-how [to_ping] => [pinged] => [post_modified] => 2025-11-06 09:07:00 [post_modified_gmt] => 2025-11-06 09:07:00 [post_content_filtered] => [post_parent] => 0 [guid] => https://sv.isms.online/?p=133868 [menu_order] => 0 [post_type] => inlägg [post_mime_type] => [comment_count] => 0 [filter] => raw )