I takt med att det digitala ekosystemet expanderar exponentiellt och cyberbrottslingar försöker utnyttja säkerhetshål i det, fortsätter tillsynsmyndigheter att utöva press på företag att utveckla omfattande strategier för cyberrisker och håller dem ansvariga när saker går fel.

I erkännandet av att cyberhot är mångfacetterade och globala till sin natur, antar tillsynsmyndigheter en mer enhetlig strategi för efterlevnad av cyberriskregler. Ett perfekt exempel är Europeiska unionens lag om digital operativ motståndskraft, som kräver att hela unionen följer en gemensam uppsättning cybersäkerhetsregler.

Internationellt samarbete kring cybermotståndskraft, särskilt inom områden som artificiell intelligens (AI), växer också. Till exempel tillkännagav Storbritannien, USA och Kanada i september 2024 planer på att samarbeta kring cybersäkerhet och AI-forskning.

På grund av den ökande konvergerade cyberregleringen förväntas företag inom alla branscher nu utveckla, tillämpa och regelbundet utvärdera omfattande IT-riskkontroller och policyer. Cyberexperter varnar för att dessa inte längre kan vara en enda övning med kryssrutor.

En konvergerad strategi för cybermotståndskraft

En snabb ökning av sofistikerade cyberhot och ett växande beroende av digital teknik från företag får globala tillsynsmyndigheter att anpassa sig till kärnområden, såsom dataskydd, cybermotståndskraft och riskhantering, enligt Anu Kapil, senior produktchef på det amerikanska IT-säkerhetsföretaget Qualys.

Hon menar att genom att ha en enhetlig strategi för regleringar om integritet, cybersäkerhet och AI drar tillsynsmyndigheter nytta av effektiviserad tillsyn och tillämpning av gränsöverskridande ansvarsskyldighet. Samtidigt kan företag använda en standardiserad uppsättning ramverk för centraliserad efterlevnad.

Sam Peters, produktchef på ISMS.online, instämmer i liknande tankar och noterar att tillsynsmyndigheter världen över i allt högre grad samarbetar kring domänöverskridande cyberregleringar som svar på spridningen av komplexa digitala hot, geopolitiska utmaningar och växande användarförväntningar på ansvarsskyldighet.

Peters säger att tillsynsmyndigheterna genom att göra det hoppas kunna minska de nuvarande silos som finns inom områden som cybersäkerhet, dataskydd och AI. Dessa silos gör det svårare för organisationer att upptäcka och mildra cyberhot.

Men genom att eliminera de ovannämnda silonerna, främja mer konsekventa IT-regler och luta sig mot befintliga riskstandarder som ISO 27001 , tror han att tillsynsmyndigheter kan bidra till att påskynda innovation över flera sektorer och minska cyberrisker.

Inte tillräckligt görs

Även om branschstandarder som NIS2, DOR och ISO 27001 har blivit mer samordnade på senare tid, menar Mark Weir, regional chef för Storbritannien och Irland på cybersäkerhetslösningsleverantören Check Point Software , att det fortfarande finns en bit kvar innan de blir verkligt "konsekventa" och "omfattande" på global skala.

Han säger särskilt att bristen på formaliserade riktlinjer och styrning av artificiell intelligens gör det svårare för organisationer att använda denna teknik på lämpligt sätt. Till exempel är konstnärer oroliga för att AI kan göra intrång i deras upphovsrätt om inte tekniken regleras på lämpligt sätt.

Men det är inte bara tillsynsmyndigheterna som bär skulden. Även om branschorganisationer som National Cyber ​​Security Centre varnar för den växande risken för cyberhot och utfärdar riktlinjer för att motverka dem, säger Weir att många organisationer misslyckas med att omsätta dem i praktiken. Han är särskilt oroad över bristen på cybersimuleringar och repetitioner i företagens cybermotståndskraftsplaner.

Han berättar för ISMS.online: ”Utan proaktiv planering och regelbunden testning minskar sannolikheten för en lyckad återhämtning från en cyberattack avsevärt, vilket ofta leder till serviceavbrott, dataförlust och urholkning av kundernas förtroende.”

Vad konvergerade cyberregleringar betyder för företag

Det som är tydligt är att i takt med att nya branschregleringar uppstår och befintliga policyer konvergerar, har företag inget annat val än att ta sina regulatoriska skyldigheter på allvar. För Peters innebär detta att implementera tillräckliga IT-riskkontroller, styra dem på ett robust sätt och vara ansvariga när saker går fel.

Med tanke på att cyber- och AI-hot framträder snabbt säger han att företag inte har råd att behandla regelefterlevnad som en "engångschecklista". Istället måste de utveckla en kultur av kontinuerlig förbättring för att säkerställa att deras planer för cybermotståndskraft verkligen är effektiva.

Peters säger att företag som behandlar cybermotståndskraft som en ”strategisk” och ”pågående” övning i alla avdelningar kommer att vara mest framgångsrika. Han förklarar: ”De som gör det rätt får en konkurrensfördel: snabbare marknadsinträde, starkare kundförtroende och minskad exponering för böter eller anseendeskador.”

Kapil håller med om att organisationer, mot bakgrund av konvergerade cyberregleringar, riskerar att misslyckas genom att inte kontinuerligt arbeta med efterlevnad. Hon uppmuntrar företag att etablera anpassningsbara cybersäkerhetspolicyer, regelbundet övervaka dem och vara beredda att svara på improviserade revisionsförfrågningar från tillsynsmyndigheter.

Hon berättar för ISMS.online: ”För att göra detta effektivt kan företag automatisera bevisinsamling, proaktivt bedöma kontrollbrister och hålla sig i linje med föränderliga regelverk inom flera områden.”

En smartare och integrerad strategi för cyberresiliens

När det gäller att möta ökade regelkrav på konvergerad cyberefterlevnad och stärka sina cyberförsvar uppmanar Peters företag att ersätta manuella och fragmenterade efterlevnadsmetoder med smartare och mer integrerade metoder.

I praktiken säger Peters att detta innebär att centralisera risk, efterlevnad och styrning till en miljö som enkelt kan skalas upp, tar hänsyn till befintliga och framväxande branschregler och ger insikt i risker inom olika delar av verksamheten.

Ett sätt att göra detta, enligt Peters, är att implementera ett informationssäkerhetsledningssystem som följer kraven i en erkänd branschstandard som ISO 27001. Han förklarar att sådana standarder inte bara är avsiktligt etablerade utan också utformade för att underlätta gränsöverskridande cyberefterlevnad på ett strukturerat och anpassningsbart sätt.

”Genom att anta ISO 27001 som grund får företag ett systematiskt sätt att identifiera, bedöma och minska risker och framför allt stöder dess struktur införandet av ytterligare ramverk, oavsett om det gäller integritet, AI-etik, motståndskraft eller sektorspecifika krav”, säger Peters.

Han tillägger att efter att ha anammat en ISMS-plattform kan företag integrera rekommendationerna från andra ramverk – såsom ISO 22301 för affärskontinuitet och/eller ISO 42001 för AI – i sina olika efterlevnadsinsatser. Han tillägger: ”Detta förenklar hanteringen och gör det lättare att visa efterlevnad över flera standarder och regioner.”

Liksom Peters varnar Kapil företag för att hantera olika IT- och cyberregler separat eftersom det leder till "ineffektiva och riskabla" silos. Hon förespråkar en centraliserad strategi där företag utvecklar avdelningsövergripande policyer i linje med ramverk som NIST, ISO och GDPR.

Med tanke på att regulatoriska skyldigheter ständigt utvecklas betonar hon vikten av att kontinuerligt övervaka policyer – en uppgift som kan effektiviseras med hjälp av automatiseringsverktyg. Hon tillägger: ”Med en integrerad policyrevisionsmetod kan de minska manuellt arbete, förbättra noggrannheten och samordna risk- och efterlevnadsinsatser under en plattform.”

Framtiden för cyberregleringar

Kapil förväntar sig att branschregleringar kommer att bli ännu strängare inför ett snabbt växande och alltmer våldsamt cyberhotlandskap. Hon tror att det kommer att bli ett ökat tryck på företag att bevisa att de kontinuerligt och i realtid hanterar dessa risker med hjälp av en integrerad cyberriskstrategi. Att starta detta nu kommer att hjälpa dem att bli "mer flexibla, redo för revisioner och bättre skyddade mot regulatoriska och cyberrisker", tillägger hon.

Alan Jones, VD och medgrundare av leverantören av säker kommunikation YEO Messaging, håller med om att framtiden för efterlevnad av cyberrisker kommer att vara mer integrerad. Han förväntar sig att fler företag kommer att anamma denna trend genom att autentisera användare i realtid och implementera nollförtroendearkitekturer.

I takt med att fler organisationer utvecklar, implementerar och använder AI-system förutspår Satish Swargam, huvudkonsult för DevSecOps och säker utveckling på applikationssäkerhetsföretaget Black Duck , att framtida cybersäkerhetsregler och efterlevnadspolicyer kommer att utformas kring denna teknik.

Branschregleringar kommer inte bara att syfta till att mildra hoten från AI-modeller, utan modellerna i sig skulle också kunna effektivisera efterlevnaden av cybersäkerhetsregler. Swargam säger faktiskt att AI har kraften att "hantera säkerhetsrisker i rätt sammanhang".

Företag gynnas mycket av nya tekniker som AI; de står dock också inför betydande etiska och cybersäkerhetsrisker som växer i omfattning och blir alltmer sofistikerade. På grund av detta måste företag bedöma dessa risker i enlighet därmed för att skydda sina anställda, kunder och därmed sitt rykte. Och att göra det kommer att hålla tillsynsmyndigheterna nöjda.