Var proaktiv: 3 riskhanteringssteg att ta innan en cyberattack

Riskhantering är mer än återhämtning från en cyberattack. Lär dig hur riskhantering kan hjälpa ditt företag att upptäcka luckor i säkerheten, samt hur du hanterar följderna från en cybersäkerhetshändelse.

Bild: William_Potter, Getty Images/iStockphoto

Måste läsa säkerhetstäckning

Pundits driver riskhantering som vägen att gå när det gäller att upprätthålla cybersäkerhet. Vid första anblicken kan det tolkas som att ge upp den nuvarande tekniken, men det är inte hela bilden.

Riskhantering är ett sätt att ha allt mänskligt möjligt på plats för att minska nedfallet från en cybersäkerhetshändelse, och det är bra. En annan lika viktig funktion för riskhantering är att den kan betraktas som en proaktiv metodik som används för att identifiera risker i en organisations ramverk för cybersäkerhet.

Företagsägare och chefer har väldigt olika tankesätt än cyberkriminella. Tillräckliga marginaler och sänkta kostnader fyller ledarnas dagar. Cyberkriminella är mycket mer fokuserade – de letar helt enkelt efter sätt att tjäna pengar illegalt, antingen genom att stjäla lukrativ data och sälja den, eller genom att pressa ut lösenpengar från ett företag genom att kryptera viktiga digitala filer. När ingen av parterna tar hänsyn till den andra händer oftast dåliga saker.

SER: Checklista: Säkerhetsriskbedömning (TechRepublic Premium)

EconoTimes-artikeln “Using Risk Management to Identify Gaps in Cybersecurity” definierar riskhantering som ett proaktivt tänkesätt som syftar till att göra det svårare för cyberkriminella:

“Riskbedömning gör att säkerhetsteamet kan identifiera hot och risker. Detta gör det möjligt för dem att täppa till eventuella luckor och ge ordentlig säkerhet åt känsliga uppgifter. Utvärderingen tar också upp efterlevnad och regulatoriska krav för PCI DSS såväl som HIPAA.”

Programvara för automatisk skanning

De flesta företag går snålt ekonomiskt och att låta en tredjepartsleverantör utföra en riskhanteringsbedömning är dyrt och begränsat i omfattning, enligt artikeln. Artikelförfattaren föreslår: ”Företag kan välja att göra riskbedömningar internt. SaaS-plattformar har gjort detta möjligt genom att erbjuda automatiserade tester, rapporter och övervakning. En av de bästa metoderna för riskhantering är användningen av programvara för automatisk skanning.”

Denna typ av programvara erbjuder följande:

• Skanningsverktyg som kan upptäcka risker i företagets nätverk, hårdvara och databaser;

• intrångs- och attacksimuleringsverktyg; och

• plattformar för sårbarhetsbedömning.

Från artikeln: “Verktygen kommer sedan att rapportera problemen som upptäckts och ge förslag på hur man kan bekämpa dem.” Författaren tillade att när man väljer ett riskbedömningsverktyg är det viktigt att överväga hur ofta verktyget uppdateras, hur lätt det är att agera på resultaten och hur väl verktyget interagerar med andra cybersäkerhetsverktyg.

SER: Skyddspolicy för identitetsstöld (TechRepublic Premium)

Alla avdelningar bör involveras

Det enda sättet riskbedömning kommer att fungera är om alla avdelningar är involverade, såväl som nyckelpersoner i ledningen.

“Även om den här processen kan vara tidskrävande, hoppa inte över den,” skrev författaren till EconoTimes-artikeln och tillade att särskild uppmärksamhet bör ägnas åt avdelningar som direkt arbetar med konsument- och företagsdata.

Hela poängen med denna typ av riskhantering är att proaktivt identifiera cybersäkerhetsrisker och ta bort risken om möjligt; om det inte är möjligt, utveckla svar som minskar effekten om en cyberattack inträffar. Om hur du gör detta, här är tips från EconoTimes-artikeln.

Utveckla en kultur: Företag har inte för vana att tänka cybersäkert, och det måste ändras, sa hon. Framför allt måste alla anställda köpa in sig i en organisations säkerhetskultur.

Utbilda anställda: Artikelförfattaren säger att cybersäkerhet inte bara är IT-avdelningens ansvar: All personal måste känna igen när en attack inträffar och känna till deras roll i att lindra skadan. Författaren tar det ett steg längre och menar att det är viktigt att varje anställd förstår att en allvarlig cyberattack kan innebära förlust av anställning om företaget måste stänga sina dörrar. Från EconoTimes-artikeln: “Kommunicera dina planer för riskreducering till alla intressenter och håll dem involverade.”

Skapa ett ramverk för cybersäkerhet: National Institute of Standards and Testing (NIST) beskriver ett ramverk för cybersäkerhet som “Frivillig vägledning, baserad på befintliga standarder, riktlinjer och praxis för organisationer att bättre hantera och minska cybersäkerhetsrisker. Förutom att hjälpa organisationer att hantera och minska risker, utformades den för att främja kommunikation om risk- och cybersäkerhetshantering mellan både interna och externa organisatoriska intressenter.”

Författarens artikel säger att rätt ramverk för cybersäkerhet är viktigt. Från artikeln: “Dina standarder kommer att diktera rätt ramverk. De flesta företag använder PCC DSS, CIS Critical Security Controls och ISO 27001/27002.”

Som en del av detta ramverk bör varje företag skapa en riskbedömningsmatris, inklusive kvantitativa och kvalitativa risköversikter. “Utvärderingen bör ge dig en detaljerad analys och belysa de risker som sannolikt kommer att uppstå”, säger EconoTimes artikelförfattare, som föreslår interna såväl som externa intressenter att involveras i granskningarna.

Minska cybersäkerhetsrisker

EconoTimes-artikeln ger ett bra argument för att riskhantering är mer än hur man återhämtar sig från en cybersäkerhetshändelse – det är också ett sätt att proaktivt minska risken att bli ett cyberoffer. Ju mer du vet om ditt företags risker, desto mer sannolikt är det att du minskar dem.