Allt gott kommer till den som väntar. I skrivande stund väntade lagförslaget om cybersäkerhet och motståndskraft (CSRB) på sitt utskottsstadium i överhuset i början av september. Förhoppningen är att det blir lag i år, efter många förseningar. Det lovar att bland annat bredda gruppen av organisationer som ingår i lagstiftningen, stärka kraven på incidenthantering och införa nya grundläggande säkerhetsförväntningar.
Men kanske mer intressant är vad som kommer härnäst. Vad säger lagförslaget oss om vart de regulatoriska förväntningarna är på väg? Och vad kan organisationer (inklusive de som för närvarande inte omfattas av lagförslaget) göra för att förebygga vad som kan komma?
Det stora skiftet
Lagförslagets starkaste signal om vad som komma skall ligger i dess titel. Det handlar om att ompositionera cybersäkerhet från en isolerad funktion kopplad till IT till en som sitter i hjärtat av organisationen. Samtidigt framhäver det motståndskraft som säkerhetsteamens mål, snarare än att bara hålla skurkarna borta och uppfylla en godtycklig lista med tekniska kontroller.
Motståndskraft i dessa termer innebär att acceptera att intrång kommer att inträffa – hur skulle de kunna vara oförmögna att undvika det i en värld där kraftfull AI minskar utnyttjandemöjligheterna och hjälper hotaktörer att kompetenshöja sig inom flera discipliner? Nyckeln är att säkerställa att organisationen kan fortsätta att verka samtidigt som den begränsar hotet och återhämtar sig så snabbt som möjligt.
Detta gör cyber till en större diskussion i styrelserum eftersom det berör de problem som rör företagsledare. Operativ risk, affärskontinuitet, ekonomisk skada och anseendeskada.
”De nya kraven i lagförslaget kommer att innebära att styrelser måste se cybersäkerhet och motståndskraft som en kritisk strategisk fråga, inte bara en separat IT-utmaning”, säger James Morris, chef för den ideella organisationen CSBR, till IO (tidigare ISMS.online).
”Det innebär att kundernas förväntningar kommer att höjas vad gäller fokus på säkerhet och motståndskraft i upphandlingsprocessen och i den löpande leveransen av produkter och tjänster. Cybersäkerhets- och motståndskraftsfrågor måste vara centrala för styrningsaspekter och ges högsta prioritet i strategiska styrelsediskussioner.”
Detta budskap är konsekvent inom hela regeringen. Dess kod för cyberstyrning hävdar att cyberrisk är affärsrisk och att chefer måste styra den effektivt. Säkerhetschefer kommer att hantera de dagliga riskerna och kontrollerna, men styrelsen måste ta ansvar för riskövervakning och -säkring. Cyberresilienslöftet riktar sig på liknande sätt direkt till företagsledare. Organisationer som anmäler sig måste genomföra styrningsutbildning, åta sig att använda NCSC:s tidiga varningstjänst och kräva Cyber Essentials i sina leveranskedjor, samt publicera årliga uppdateringar.
Kort sagt, förväntningarna från regeringen blir allt tydligare, och motståndskraften står i centrum.
Vad kan komma härnäst?
Med detta i åtanke är det också bra att förstå hur CSRB-systemet kan komma att utvecklas. Sanningen är att det fortfarande har ett mycket mer begränsat omfattning än NIS2. Men framför allt ger det statssekreteraren befogenhet att uppdatera ramverket för att införliva nya sektorer och delsektorer i systemet, samt ändra dess tillsynsmyndigheters ansvar och funktioner. Implikationen är tydlig: om din sektor inte omfattas idag, anta inte att den kommer att förbli undantagen imorgon.
”Under processens gång fanns det ett visst tryck att gå längre, där detaljhandel och tillverkningsindustrin togs upp som uppenbara utelämnanden”, säger Dennis Martin, kris- och cyberresiliensspecialist på Axians UK, till IO. ”De klarade det inte den här gången, men med tanke på de senaste årens attacker mot återförsäljare förväntar jag mig att det här argumentet kommer tillbaka i september.”
CSRB:s bestämmelser för leveranskedjan kommer också indirekt att omfatta en ny grupp organisationer, genom att tvinga större organisationer de gör affärer med att hantera tredjepartsrisker mer rigoröst. Det ger också utrikesministern befogenhet att utse alla leverantörer vars fel skulle kunna skapa betydande störningar för en reglerad enhet.
”Tillsynsmyndigheter fokuserar alltmer på hur kritiska tjänster levereras över sammankopplade leveranskedjor, vilket innebär att motståndskraft inte längre kan bedömas enbart inom en organisations fyra väggar”, säger Dave Hughes, partner på Eversheds Sutherland, till IO. ”Effektiv tillsyn av viktiga leverantörer och tredje parter, med stöd av kontinuerlig övervakning och tydliga avtalsförväntningar, blir en viktig del av att visa cybermotståndskraft.”
Det är också värt att komma ihåg att CSRB kommer att medföra en ny uppsättning förväntningar på vad bästa praxis för cybersäkerhet och motståndskraft innebär ur ett tekniskt kontrollperspektiv. NCSC:s Cyber Assessment Framework (CAF) kommer att vara ett viktigt dokument här, så alla organisationer som är angelägna om att framtidssäkra sin cyber- och efterlevnadsstrategi bör notera detta.
Och en sista stor förändring: CSRB kommer att ge tillsynsmyndigheter befogenhet att tillhandahålla kontinuerlig tillsyn över organisationer inom ramen för sitt ansvarsområde, i motsats till dagens incidentdrivna modell. Detta är för närvarande teoretiskt och kommer att bero på många faktorer, inte minst tillsynsmyndigheternas finansiering och kapacitet. Men det signalerar att regeringen i allt högre grad förväntar sig att efterlevnad är något som måste hanteras kontinuerligt.
Ansluten och kontinuerlig
Experterna är överens. ”Statisk årlig efterlevnad är föråldrad när hotaktörer inte väntar på en granskning. Om CSRB blir lag som den ser ut idag kan molnleverantörer, datacenter och MSP:er granskas innan en incident inträffar, inte bara vid regelbundna schemalagda tider eller efter en attack”, förklarar Martin från Axians UK.
”Dessutom kräver lagförslaget en tidig varning 24 timmar innan, följt av en fullständig rapport 72 timmar innan, till både sektorsregulatorn och NCSC, med krav på kundunderrättelse under vissa omständigheter. Detta kräver kontinuerlig övervakning. Utan kontinuerlig insyn i ditt nätverk kommer du inte att kunna meddela de organisationer som krävs i tid.”
Aben Pagar, chef för digital riskkonsulting på Konexo, håller med. ”Kontinuerlig övervakning och kvalitetssäkring blir allt viktigare i takt med att tillsynsmyndigheter går bortom tidsmässiga efterlevnadsbedömningar”, säger han till IO. ”Organisationer behöver kontinuerlig insyn i risker, kontrolleffektivitet och resultat av motståndskraft. De som kan visa kontinuerlig tillsyn, testning och förbättring har sannolikt en bättre position än de som enbart förlitar sig på regelbundna efterlevnadsövningar.”
Organisationer måste inte bara flytta sina efterlevnadsprogram bort från punktvisa ögonblicksbilder av situationen, utan de bör också tänka tydligare på de överlappningar som finns mellan historiskt isolerade funktioner, tillägger Pagar.
”Organisationer inser att cybermotståndskraft inte existerar i isolering. Frågor som AI-styrning, integritet, dataskydd och teknikrisker är alltmer sammankopplade, vilket kräver en mer holistisk strategi för styrning och riskhantering”, menar han.
Ett moget tillvägagångssätt som detta, där kontinuerlig efterlevnad används som en språngbräda till motståndskraft, är fortfarande långt borta för många organisationer, enligt den senaste undersökningen av statliga cybersäkerhetsintrång . Men det råder ingen tvekan om att det är i den riktningen tillsynsmyndigheterna rör sig.
Morris från CSRB beskriver motståndskraft som ”både en teknisk och en kulturell fråga” för företag.
”Trots kraven i den nya lagstiftningen måste organisationer koncentrera sig på att integrera en motståndskraftig mentalitet och kultur i hjärtat av sina affärsprocesser”, avslutar han.
”Detta innebär strategisk planering för motståndskraft på styrelsenivå och sedan en sammanhängande integrering i verksamheten, med tydliga planer och ansvar för viktiga motståndskraftsåtgärder.”
Bäst att börja planera nu.
Utöka din kunskap
Blogg: Hur ransomware blev ett problem för företagens motståndskraft
Webbinarium: Master i efterlevnad av leveranskedjan
