Det fanns en tid då cybersäkerhet i hög grad sågs som en teknisk funktion. Inte längre. Regeringar och tillsynsmyndigheter över hela världen kräver i allt högre grad att styrelser tar mer ansvar för att hantera cyberrisker. Det finns i nya SEC-regler som infördes förra året och i det kommande NIS2-direktivet , vilket kommer att göra ledningen personligen ansvarig för allvarliga intrång. För att inte låta sig sämre följer den brittiska regeringen efter med ett förslag till ny praxis för cyberstyrning.

Även om det är frivilligt, har regeringen uttalat sin avsikt att bädda in koden i det "befintliga regulatoriska landskapet". Styrelserna gör klokt i att ta del av detta.

Vad står i vägledningen?

Koden, som publicerades i januari som utkast, kommer mitt i en nedslående bakgrund av intrång. Enligt regeringen drabbades över hälften av medelstora (59 %) och stora (69 %) brittiska företag av en allvarlig cyberattack eller intrång under de 12 månaderna fram till april 2023. Samma studie visar att även om nästan tre fjärdedelar (71 %) av högre chefer säger att de ser cybersäkerhet som en "hög prioritet", har endast 30 % av företagen styrelseledamöter eller förvaltare som uttryckligen ansvarar för cybersäkerhet som en del av sin roll.

Med det är uppförandekoden uppdelad i fem pelare:

Riskhantering: Säkerställa att företagets mest kritiska digitala processer, data och tjänster har identifierats, prioriterats och överenskommits. Detta inkluderar regelbundna riskbedömningar och riskreducerande åtgärder, beslut om risknivåer och riskhantering för leverantörer.

Cyberstrategi: Övervakning och granskning av strategin för cybermotståndskraft i linje med riskaptit, affärsstrategi samt juridiska och regulatoriska skyldigheter. Detta inkluderar att säkerställa att lämpliga resurser allokeras i linje med ständigt föränderliga affärsrisker.

Personal: Sponsra kommunikation om vikten av cybermotståndskraft för verksamheten, leverera tydliga cybersäkerhetspolicyer som stöder en positiv säkerhetskultur och driva och delta i säkerhetsutbildningsprogram.

Incidentplanering och respons: Säkerställa att organisationen har en plan för att reagera på och återhämta sig från cyberincidenter som påverkar affärskritiska processer och tjänster. Detta inkluderar regelbunden testning av planen, granskningar efter incidenter och ansvarstagande för myndighetsskyldigheter.

Säkerhet och tillsyn: Etablera en styrningsstruktur som är i linje med organisationen, inklusive tydlig definition av roller och ansvar, och ägarskap för cybermotståndskraft på direktörsnivå. Tillsynsmyndigheters övervakning av cybermotståndskraft, etablera en tvåvägsdialog med nyckelpersoner och formell kvartalsrapportering, och säkerställa att cybermotståndskraftsstrategin är integrerad i befintliga säkerhetsmekanismer.

Hur ska organisationer reagera?

Darren Anstee, CTO på Netscout, hävdar att styrelser traditionellt har kämpat med incidentplanering.

”Vägledningen är att testning av en organisations incidenthanteringsplan och tillhörande utbildning bör ske minst en gång per år. De flesta organisationer gör det här nu, och det är mycket bättre än för ett decennium sedan, men att bara göra detta årligen är inte tillräckligt ofta”, säger han till ISMS.online.

"Vi vill testa för att driva processförtrogenhet och optimering – det ska inte bara handla om att ta reda på var planen behöver uppdateras eftersom den inte längre matchar en organisations processer och teknik. Det är risken med att testa årligen.

Anstee tillägger att styrelser också kan förbättra sin säkerhet och tillsyn.

"Utmaningen här är inte ny, eftersom det kan vara svårt att översätta vad som händer i termer av hotförsvar och cyberrisk till något meningsfullt på affärsrisknivå", hävdar han.

"Detta innebär vanligtvis att korrelera flera datauppsättningar tillsammans för att generera förståeliga mätvärden och visualiseringar. Detta är möjligt och mycket viktigt om vi vill att cyberrisker ska hanteras väl, men många organisationer har inte resurserna att göra det här bra.”

Kevin Curran, seniormedlem i IEEE och professor i cybersäkerhet vid Ulster-universitetet, hävdar att styrelser ofta misslyckas med att hantera cyberrisker på ett adekvat sätt eftersom de saknar engagemang, expertis och fokus.

"Vissa områden där organisationer misslyckas inkluderar att misslyckas med att genomföra grundliga riskbedömningar eller upprätta tydliga cybersäkerhetsstrategier, vilket gör dem sårbara för hot. Andra områden är otillräckliga investeringar, föråldrade policyer, dålig kommunikation mellan avdelningar och ett efterlevnadscentrerat tillvägagångssätt kan också undergräva cybersäkerhetsstyrning”, säger han till ISMS.online.

"I slutändan bör koden hjälpa organisationer att etablera robusta styrningsramar, involvera ledarskap i cybersäkerhetsbeslut, genomföra regelbundna riskbedömningar, allokera tillräckliga resurser, främja en cybersäkerhetsmedveten kultur och kontinuerligt förbättra sina cybersäkerhetsförvaltningsmetoder för att anpassa sig till föränderliga hot."

Nästa steg med ISO 27001

Överensstämmelse med standarder och ramverk för bästa praxis som ISO 27001, NIST Cybersecurity Framework, CIS Controls och COBIT kan hjälpa styrelser att gå långt för att uppfylla sina mål under de fem pelarna, hävdar Curran.

"ISO 27001 erbjuder ett systematiskt tillvägagångssätt för att identifiera, bedöma och minska säkerhetsrisker, vilket hjälper till att prioritera digitala tillgångar och integrera riskhantering i styrning. Det kommer också att gynna cyberstrategin eftersom det anpassar ett ledningssystem för informationssäkerhet (ISMS) med affärsstrategin, vilket säkerställer effektiv resursallokering för övervakning och granskning av cybersäkerhetsstrategier”, förklarar han.

“ISO 27001 främjar säkerhetskultur genom policyer och utbildning, vilket förbättrar de anställdas cyberkompetens i linje med organisationens säkerhetsstrategi. Det uppmuntrar också incidentresponsplanering ... och det hjälper till att definiera roller, övervakning, rapportering och kommunikation med ledande befattningshavare – vilket underlättar integration av cybersäkerhet i styrningsstrukturer."

Även om den är frivillig kommer koden att spela en viktig roll i det framväxande regelverket, förklarar Sarah Pearce, partner på Hunton Andrews Kurth.

"Companies Act 2006 och UK Corporate Governance Code innehåller vissa krav och jag förstår att denna kod och tillhörande vägledning kommer att uppdateras för att säkerställa överensstämmelse med regeringens föreslagna [cyber-governance] uppförandekod", säger hon till ISMS.online.

"Regeringen har sagt att den inser att koden "inte är tillräcklig i sig för att driva de nödvändiga förbättringarna av cyberriskhantering på styrelsenivå". Den undersöker dess användning för att stödja tillsynsmyndigheter för att förstå hur den kan användas för att hjälpa till med regelefterlevnad, inklusive Storbritanniens GDPR och NIS-förordningar.”