En strategi för cyberresiliens är en uppsättning beslut om vart begränsade pengar och uppmärksamhet går: vad du kommer att försvara hårdast, vilka scenarier du planerar för, hur mycket störningar du är villig att acceptera och hur ansträngningen fördelas mellan att stoppa attacker och att överleva dem. Ett ramverk anger vilka komponenterna är. En strategi avgör vilka av dem du finansierar först, och varför, på ett sätt som en styrelse kan godkänna.
- En kort lista över vad som verkligen inte får förloras, snarare än ett påstående att allt är kritiskt.
- Namngivna scenarier du planerar mot, medvetet valda.
- En överenskommen tolerans för störningar, undertecknad av personer som tar ansvar för konsekvenserna.
- En uttrycklig uppdelning mellan förebyggande och återhämtning, istället för en som standard.
- En sekvens, eftersom allt inte kan vara först.
- Mått som visar framsteg utan att det krävs en incident för att bevisa det.
Vad är en strategi för cyberresiliens?
En strategi är en uppsättning val under begränsning. Om budget och uppmärksamhet vore obegränsade skulle det inte finnas någon strategi, bara en lista med god praxis att implementera. Anledningen till att strategier existerar är att man inte kan göra allt på en gång, så någon måste bestämma vad som kommer först och vad som är medvetet accepterat för nu.
Det är detta som skiljer det från ramverket. Ramverket för cyberresiliens anger de funktioner som behöver täckas och vilka bevis var och en producerar. Det är strukturellt och prioriterar inte. En strategi tar den strukturen och besvarar de svårare frågorna: givet vad vi har råd med i år, vilka luckor täcker vi, vilka lever vi med och vad som skulle behöva förändras för att det svaret ska förändras.
Strategier misslyckas på ett igenkännbart sätt. De återger god praxis som ambition, åtar sig att förbättra allt och ger ingen grund för att säga nej till någonting. Ett dokument som fortfarande skulle läsas korrekt om det klistrades in i en annan organisations brevpapper är inte en strategi.
Den här sidan utgår från det underliggande konceptet. Börja där för att förstå vad cyberresiliens är, hur det skiljer sig från cybersäkerhet och var EU:s cyberresilienslagstiftning gäller.
Vilka beslut fattas i en strategi för cyberresiliens?
Sex, och de är enklare att göra i den här ordningen eftersom varje begränsar nästa.
- Tillgångar: vad som verkligen skulle skada organisationen om det förlorades, exponerades eller inte blev tillgängligt. Om listan går längre än en handfull saker har prioriteringen ännu inte skett.
- hotVilka scenarier planerar du mot? Ransomware, insidermissbruk, leverantörskompromettering och stöld av autentiseringsuppgifter beter sig olika och leder inte alla till samma utgifter.
- Aptit: hur mycket störningar som är acceptabla, och var går gränsen för vilka det inte är det. Vaga uttalanden om aptit är den vanligaste svaga punkten.
- Balansera: hur ansträngningen fördelar sig mellan att förebygga incidenter och att överleva dem. Om det lämnas oklart blir detta i hög grad förebyggande eftersom det är lättare att köpa förebyggande åtgärder.
- SekvensArbetsordningen, rankad efter minskad risk per ansträngningsenhet snarare än efter vilket team som frågade högst.
- Mäta: vad som säger att det fungerar innan en incident gör det. Täckning per funktion, tid för upptäckt, tid för återhämtning, genomförda övningar.
Det beslut som ger flest förändringar är det fjärde. Organisationer som aldrig gör det upptäcker explicit under sin första allvarliga incident att de köpt detekteringsverktyg och aldrig övat på en åtgärd, eller att säkerhetskopior existerade och att ingen hade tidsbestämt en återställning.
Hur avgör du balansen mellan förebyggande och återhämtning?
Inte av princip, utan genom att titta på var man redan befinner sig. De flesta organisationer kommer fram till den här frågan med en stark förebyggande inriktning, eftersom förebyggande åtgärder säljs som produkter med tydliga egenskaper medan återhämtningsförmågan mestadels handlar om repetition, ägarskap och disciplin som ingen marknadsför.
| Fråga | Hur ett svagt svar låter | Hur det ska låta |
|---|---|---|
| Vad försvarar vi? | Allt är affärskritiskt. | Dessa fyra tjänster, i denna ordning, av dessa skäl. |
| Hur länge kan vi vara nere? | Så lite som möjligt. | Fyra timmar för betalningar, två dagar för rapportering. |
| Skulle vi upptäcka det? | Vi har övervakning på plats. | Vi upptäckte den sista simuleringen på 40 minuter. |
| Skulle vi kunna återhämta oss? | Vi har säkerhetskopior. | Vi återställde det här systemet i ett test förra kvartalet och det tog nio timmar. |
| Vem bestämmer över dagen? | Incidentgruppen skulle sammanträda. | Namngiven person, namngiven ställföreträdare, båda utövades. |
Att arbeta sig ner i högerkolumnen är en snabbare väg till en försvarbar strategi än någon mognadsmodell . Varje specifikt svar är antingen redan sant, i vilket fall det är bevis, eller ännu inte sant, i vilket fall det är en prioritet. Den distinktionen är hela strategin.
Det finns en större bild bakom detta.
Den här sidan täcker en del av företags motståndskraft. Real Resilience – IO:s ramverk för att koppla samman säkerhet, integritet och AI-styrning – är där hela bilden kommer samman.
Hur bygger man upp argumenten för investeringar?
Cybermotståndskraft konkurrerar om pengar mot saker med synlig avkastning, och den förlorar när den diskuteras i tekniska termer. Det som reser är konsekvens uttryckt i det språk som resten av verksamheten använder.
- Led med tjänsten, inte hotet: vad kunder inte kan göra, och hur länge, snarare än namnet på attacktekniken.
- Kvantifiera intervallet, inte händelsenKostnaden för att inte kunna handla under en dag är diskutabel på ett sätt som uppskattningar av den totala kostnaden för ett intrång inte är.
- Visa testad kapacitet mot antagen kapacitetKlyftan mellan de två är det tydligaste tillgängliga argumentet och det behöver ingen prognos.
- Ta med dig avvägningen, inte bara fråganVad en mindre budget skulle innebära i termer av accepterad risk ger styrelsen något att besluta om snarare än att godkänna.
- Använd kontrakts- och anbudstryck: där kunder kräver certifiering eller bevis blir motståndskraft ett intäktsvillkor snarare än ett kostnadsställe.
- Rapportera samma åtgärder varje gångEn konsekvent kort uppsättning överträffar en omfattande dashboard som ingen läser två gånger.
Certifiering är ovanligt användbar här eftersom den omvandlar ett internt påstående till ett externt verifierat sådant. En styrelse som avfärdar en självbedömning kommer i allmänhet att acceptera ett granskat ledningssystem, och de bevis som behövs för ett sådant överlappar i stort sett de bevis som en strategi ändå borde producera.
Vad bör en strategi för cyberresiliens undvika?
Felmönstren är tillräckligt konsekventa för att man ska kunna kontrollera dem direkt.
- En verktygslista förklädd till en strategiUpphandlingsplaner beskriver vad du ska köpa, inte vad du har bestämt dig för.
- Ingen angiven aptitUtan en linje är varje risk diskutabel och ingenting kan medvetet accepteras.
- Allt kritisktEn lista över kritiska tillgångar med fyrtio artiklar ger ingen grund för sekvensering.
- Endast förebyggandeett implicit antagande att återhämtningen kommer att fungera, vilket gäller tills det testas.
- Hotledd utan scenarierHotinformation som beskriver vad angripare gör, utan beslut om vad du planerar för.
- Åtgärder som ingen kan ta fram: mätvärden valda för att de låter rigorösa snarare än för att informationen finns.
- Skrivet en gång: en treårig strategi som aldrig omprövas, inom ett område där både boet och hoten förändras kvartalsvis.
Kom igång enkelt med en personlig produktdemo
En av våra introduktionsspecialister kommer att guida dig genom vår plattform för att hjälpa dig komma igång med självförtroende.
Hur kopplas strategin till Resilience Loop?
En strategi för cybermotståndskraft som endast tar hänsyn till cybersäkerhet kommer att skrivas om inom ett år, eftersom samma tillgångar som den skyddar också omfattas av integritetsskyldigheter och, i allt högre grad, krav på AI-styrning. Att bestämma sina säkerhetsprioriteringar isolerat från dessa tenderar att skapa tre färdplaner som konkurrerar om samma personer.
Resilience Loop kör informationssäkerhet enligt ISO 27001 , dataskydd enligt ISO 27701 och AI-styrning enligt ISO 42001 som ett sammankopplat system. Sekvensering över alla tre samtidigt är det som förvandlar en cyberstrategi till en resiliensstrategi, och det förändrar aritmetiken: en kontroll som implementeras en gång räknas tre gånger, så det billigaste nästa steget är ofta det som tjänar mer än en skyldighet. Den bredare strukturen anges i ramverket för affärsresiliens.
Hur vet du att strategin fungerar?
Innan en incident är det bara två saker som säger något: täckning och testad förmåga. Täckning handlar om huruvida varje funktion har en ägare och en aktuell bild. Testad förmåga är skillnaden mellan vad du antar fungerar och vad du har visat fungerar, och det är det enda måttet som inte kan manipuleras.
En kort, upprepad uppsättning mått slår en heltäckande. Dags att upptäcka i den sista övningen. Dags att återställa den mest kritiska tjänsten, uppmätt snarare än riktad. Andel kritiska tjänster med en inövad respons. Övningar genomförda mot planerade övningar. Var och en är producerbar från arbete du borde göra ändå, vilket är testet för ett rimligt mått. Tillvägagångssättet anges i hur man bevisar motståndskraft , och motståndskraftspoängen ger dig en baslinje att utgå ifrån.
Varför välja ISMS.online för en strategi för cyberresiliens?
En strategi är bara så bra som bevisen för att den genomförs. ISMS.online kopplar besluten till arbetet.
- Prioriteringar kopplade till kontroller och riskerDet du valde att försvara kopplas till de kontroller som skyddar det och riskerna mot det.
- En kontrolluppsättning, varje ramverk: sekvenserar arbete efter hur många skyldigheter varje kontroll uppfyller i ISO 27001, ISO 27701, ISO 42001 och ISO 22301.
- Testad mot antagen, synligTräningsloggar och resultat finns hos kontrollgruppen, så skillnaden är en siffra snarare än en känsla.
- Styrelserapportering från livedatarapportera samma mått varje cykel utan att montera dem för hand.
- Riskaptit registrerad och tillämpadDen linje du kom överens om hålls mot de risker du accepterar, den arkiveras inte och glöms bort.
- Hjälper dig att uppnå certifiering: omvandlar interna anspråk till en oberoende granskad ståndpunkt som styrelser och kunder accepterar.
- Byggd för brittiska och reglerade marknaderUtformad för organisationer som måste bevisa motståndskraft för att vinna och behålla kontrakt.
Se hur det passar ihop på plattformen för företagsresiliens , eller boka en demo.
Vanliga frågor
Vad är skillnaden mellan en strategi för cyberresiliens och ett ramverk?
Ett ramverk är strukturellt. Det anger de funktioner som behöver täckas och vilka bevis som varje funktion producerar, och det gäller alla organisationer. En strategi är en uppsättning val som är specifika för just din: vilka luckor du stänger i år med tanke på en begränsad budget, som du medvetet accepterar, och vad du försvarar hårdast. Ramverket berättar hur bra ser ut. Strategin avgör vad du gör åt det och i vilken ordning.
Hur lång bör en strategi för cyberresiliens vara?
Tillräckligt kort för att ledningsgruppen har läst den. De beslut som spelar roll, vilka tillgångar, vilka scenarier, vilken aptit, vilken balans, vilken sekvens och vilka åtgärder, får bekvämt plats på en handfull sidor. Längden signalerar vanligtvis att god praxis har omformulerats snarare än att val har gjorts, och en strategi som ingen kan minnas prioriteringarna från fungerar inte.
Hur stor del av budgeten ska gå till återhämtning snarare än förebyggande?
Det finns inget korrekt förhållande, och alla siffror som citeras som universella bör behandlas med misstänksamhet. Det bästa tillvägagångssättet är att titta på din egen situation: om du kan beskriva dina förebyggande åtgärder i detalj men inte kan säga hur lång tid en återställning av ditt mest kritiska system tar, diagnostiseras obalansen och nästa steg tillhör återställningen. Gör uppdelningen explicit, eftersom om den lämnas obestämd leder den som standard till förebyggande.
Vem äger strategin för cybermotståndskraft?
Den skrivs av den som leder säkerheten och ägs av styrelsen, eftersom besluten i den handlar om accepterad risk och som inte kan delegeras till en teknisk funktion. Skillnaden är viktig i praktiken: en strategi som endast ägs av säkerhetsteamet kan åsidosättas av vilken budgetrunda som helst, medan en strategi där styrelsen har accepterat riskavvägningarna tenderar att överleva dem.
Hur ofta bör strategin omprövas?
Årligen som en fullständig granskning, där sekvensen ses över närhelst något väsentligt förändras: en betydande incident någonstans inom din sektor, ett större system- eller leverantörsbyte, en ny skyldighet eller en åtgärd som ogiltigförklarar ett antagande. Själva besluten är relativt stabila. Det som rör sig är sekvensen, eftersom risken som minskas med varje återstående arbetsuppgift förändras i takt med att tillgångarna förändras.
