Dansk IT om cybertruslen: Behov for klare sikkerhedskrav håndhævet via lovgivning

Vi hører igen og igen, at cybertruslen stiger, og at cyber- og informationssikkerhed er vigtigt. På Dansk IT’s netop afsluttede konference OffDig blev det i åbningsdebatten sagt, at (cyber)sikkerhed er en forudsætning for fortsat, offentlig digitalisering.

Men hvordan arbejder Danmark i dag med at beskytte samfundet mod truslerne?

Der er ikke en enkelt aktør, som har dette ansvar, men ansvaret er spredt ud på en række offentlige myndigheder og private virksomheder. Det officielle trusselsbillede udgives af staten, hvor myndigheder indsamler informationer om truslerne og udgiver trusselsvurderingerne og anbefalinger om imødegåelse af truslerne.  

Det er tanken, at trusselsvurderingerne omsættes til konkrete sikkerhedsinitiativer i de samfundskritiske sektorer og offentlige myndigheder, herunder regioner og kommuner.

Denne brede kreds skal ”gennem passende tekniske og organisatoriske foranstaltninger” opretholde en beskyttelsesevne som både varetager egen, sektorens og samfundets behov. 

Forskellige vurderinger
Det er hér, det begynder at blive vanskeligt, for hvad er passende sikkerhed? Og kan man antage, at en virksomhed, en myndighed eller endda en tilsynsmyndig har samme vurdering af, hvad acceptabel risiko er for en samfundskritisk sektor?

Det korte svar er, at virksomheder, myndigheder og sektorer vurderer forskelligt, hvad passende sikkerhed er, og hvad en acceptabel risiko er.  

Det er min påstand, at konsekvensen er, at steder, hvor der burde være et éns sikkerhedsniveau, er der forskelle.

Et eksempel: Staten skal efterleve ISO 27001 og ufravigeligt efterleve de tyve tekniske minimumskrav. Kommuner og regioner har aftalt at ”følge principperne i ISO 27001” og de tyve tekniske minimumskrav er ikke ufravigelige for kommuner og regioner.

Årsagen til denne forskel er, at hvis staten stiller krav til kommuner og regioner, skal staten betale for kravene. Derfor fedtspiller Finansministeriet, KL og Regionsforeningen om regningen.  

En anden udfordring ved håndtering af cybertrusler kommer fra, at niveauet for cyber- og informationsikkerhed er uklart på tværs af sektorer og myndigheder.

Det virker ikke overbevisende, at staten har ufravigelige sikkerhedskrav og kommune og regioner mere eller mindre kører på frihjul

Thomas Kristmar
Medlem af fagrådet for informationssikkerhed i Dansk IT, Director i PwC inden for cybersikkerhed, tidl. afdelingschef i Center for Cybersikkerhed

Vurdering af sikkerheden hos myndigheder og i samfundskritiske sektorer, herunder leverandørsikkerhed, beror i vid udstrækning på selverklæring, hvor hver virksomhed og myndighed selv skal vurdere, om selverklæringen er tilstrækkelig.

Statslige myndigheder erklærer sig sikre ved at efterleve ISO 27001. Leverandører erklærer sig sikre ved at henvise til egenkontroller og lignende. Al erfaring tilsiger, at en uafhængig vurdering af et sikkerhedsniveau har højere sandhedsværdi end selverklæringer.

Det kunne for eksempel ske ved at kræve ISO 27001-certificeringer eller en uafhængig gennemgang af sikkerhedsniveauet. 

Kommuner kører på frihjul
For det første skal stat, regioner og kommuner i den kommende, fælles-offentlige digitaliseringsstrategi blive enige om, hvordan regningen for et sammenhængende, offentligt sikkerhedsniveau skal fordeles.

Det virker ikke overbevisende, at staten har ufravigelige sikkerhedskrav og kommune og regioner mere eller mindre kører på frihjul.

For det andet er der behov for flere obligatoriske minimumskrav for sikkerhed, som også skal gælde for virksomheder i de kritiske sektorer, samt kommuner og regioner.

Virkeligheden er, at kommer der ikke krav som håndhæves via lovgivning, bliver et lavt sikkerhedsniveau ofte risikoaccepteret af økonomiske årsager. Bare tænk på GDPR, som skabte business-casen for mange sikkerhedsinvesteringer. 

For det tredje er der i den offentlige sektor behov for bedre leverandørstyring, hvor der stilles skarpere krav til kontrollen af sikkerhedsniveauet end i dag.

Konkret kan man udbrede den britiske model, hvor sikkerhedsmyndigheden inspicerer en virksomhed som forudsætning for, at virksomheden kan levere til de kritiske sektorer. Det vil også sikre, at det ikke bliver en individuel vurdering fra en myndighed eller virksomhed, hvorvidt et selverklæret sikkerhedsniveau er tilstrækkeligt.

Som det blev sagt på Dansk IT’s OffDig 2021, er cyber- og informationssikkerhed en forudsætning for den fortsatte digitalisering. Skal vi så ikke benytte lejligheden til hæve niveauet fra skåltaler til et verificeret sikkerhedsniveau?