Når strøm, mobil eller vann svikter: Kjenner du virksomhetens avhengigheter?

I går advarte myndighetene befolkningen om at cyberangrep kan føre til brudd i tjenester vi tar for gitt, som mobilnett, strømforsyning og vann. Advarselen kom bare dager etter at Nasjonal sikkerhetsmyndighet (NSM) hevet det nasjonale cyberrisikonivået til HØYT.

For de fleste av oss handler dette om egenberedskap hjemme. For virksomheter reiser det et mer konkret spørsmål: Hva skjer med driften når noe dere er avhengige av, plutselig slutter å virke?

I denne artikkelen ser vi på hvordan du får oversikt over avhengighetene, leverandørene og personopplysningene, slik at dere vet hva som står på spill før en hendelse inntreffer.

Nøkkelpunkter: Avhengigheter og leverandørkjeden

• Cyberangrep mot strøm, mobil og vann kan ramme virksomheter som selv aldri er målet for angrepet.
• De fleste virksomheter er avhengige av en lang kjede av leverandører og underleverandører, og mange har bare oversikt over det første leddet.
• En prioritert leverandøroversikt gjør det mulig å se hvilke brudd som rammer hardest.
• Når personopplysningene er kartlagt og koblet til systemer og leverandører, går det raskere å vurdere skadeomfanget ved en hendelse.
• Enkle reserveløsninger for kommunikasjon og drift bør være på plass før de trengs.

Kjeden er lengre enn du tror

Avhengighetene til en vanlig norsk virksomhet ligger i flere lag. Nærmest finner du det som er lett å se: strøm, internett og mobilnett. Deretter kommer leverandørene som drifter systemene deres, for eksempel skytjenester, lønnssystem, IT-drift og kundesystemer. Disse er igjen avhengige av sine egne leverandører, datasentre og nettverk.

Et brudd hvor som helst i kjeden kan stanse driften hos dere. Derfor ber NSM nå virksomheter om å styre risikoen i hele leverandørkjeden samlet. Det gjelder både tjenestene og programvaren dere kjøper, og leverandørene bør selv ha ordnede forhold hos sine underleverandører.

En god måte å starte på er å velge ut de tre tjenestene som er viktigst for at dere skal kunne levere til kundene. Skriv opp alt de er avhengige av for å fungere, ledd for ledd. Øvelsen tar sjelden mer enn en time, og den viser ofte avhengigheter ingen hadde tenkt over.

Lag en oversikt over leverandørene som betyr mest

Mange virksomheter har en liste over leverandører, men den sier sjelden noe om hvor kritiske de er. For å kunne prioritere trenger dere litt mer informasjon om hver av dem:

For de mest kritiske leverandørene er det lurt å stille noen direkte spørsmål. Hvordan og hvor raskt varsler de dere ved en sikkerhetshendelse? Hvilke krav stiller de til sine egne underleverandører? Hvor lang tid bruker de på å gjenopprette tjenesten etter et alvorlig avbrudd? Svarene gir et langt bedre bilde av risikoen enn det avtalen alene gjør.

Vet du hvor personopplysningene ligger?

Når en leverandør blir rammet, er et av de første spørsmålene hvilke opplysninger som kan være berørt. Ligger personopplysningene spredt i ulike systemer, regneark og mapper uten samlet oversikt, kan det ta dager å finne svaret. Ved et brudd på personopplysningssikkerheten har dere bare 72 timer på å melde fra til Datatilsynet.

En oppdatert behandlingsprotokoll er det beste utgangspunktet. For hver behandling bør det være lett å se:

• hvilke systemer opplysningene ligger i
• hvilke leverandører som behandler dem på vegne av dere, og om det finnes databehandleravtale
• hvilke kategorier opplysninger det gjelder, og om noen av dem er særlig sensitive, som helseopplysninger eller opplysninger om barn
• hvor opplysningene lagres geografisk

Gevinsten kommer når behandlingene er koblet til leverandørene. Da kan dere raskt se hvilke behandlinger som berøres hvis én bestemt leverandør blir utsatt for et angrep. Det gjør vurderingen av skadeomfanget raskere og varslingen mer presis.

Planlegg for drift uten de vanlige verktøyene

NSM anbefaler at virksomheter som leverer samfunnskritiske funksjoner, har en enkel reserveløsning som holder kjernefunksjonene i gang mens en hendelse pågår. Prinsippet er nyttig for alle. Spørsmålet er hva dere må klare å levere hvis strømmen, nettet eller en sentral leverandør er borte i et døgn eller mer.

Noen praktiske grep som ofte blir glemt:

• Kontaktlister på papir. Telefonnumre til nøkkelpersoner, leverandører og IT-partnere bør finnes også utenfor systemene som kan bli utilgjengelige.
• Alternative kanaler. Avtal på forhånd hvordan dere kommuniserer hvis mobilnettet eller e-posten faller ut, og hvor folk skal møte.
• Beredskapsplanen offline. En plan som bare ligger i et skysystem, hjelper lite når skysystemet er nede.
• Manuelle rutiner. Vurder hvilke oppgaver som kan løses manuelt en periode, for eksempel registrering av bestillinger eller utlevering av varer.

Slike tiltak koster lite, men de kan avgjøre om et avbrudd blir en ubeleilig dag eller en langvarig krise.

Fra oversikt til fast rutine

Oversikten over avhengigheter, leverandører og personopplysninger er bare nyttig så lenge den stemmer. Nye leverandører kommer til, systemer byttes ut, og avtaler endres. Derfor bør oppfølgingen få en fast plass i årshjulet.

En enkel tommelfingerregel er å gjennomgå de mest kritiske leverandørene oftere enn de andre, og alltid når leverandøren gjør større endringer eller blir utsatt for en hendelse. Behandlingsprotokollen bør oppdateres hver gang en ny behandling eller et nytt system tas i bruk.

Når leverandøroversikt, behandlingsprotokoll og risikovurderinger ligger på samme sted og er koblet sammen, blir det enklere å holde alt oppdatert. Det er dette Draftit er laget for, med påminnelser som gjør at gjennomgangene blir gjort til riktig tid. Uansett hvilket verktøy dere bruker, er det viktigste at noen eier oppgaven og at den blir fulgt opp jevnlig.

Ofte stilte spørsmål om avhengigheter og leverandørkjeden

Hvorfor bør vanlige virksomheter bry seg om angrep mot strøm, mobil og vann? Fordi nesten all drift er avhengig av disse tjenestene. Et brudd kan stanse driften hos dere selv om angrepet var rettet mot noen helt andre.

Hvordan finner vi ut hvilke leverandører som er mest kritiske? Se på hva hver leverandør leverer, hvilke systemer og data de kan nå, og hvor lenge dere tåler at tjenesten er utilgjengelig. Leverandører som scorer høyt på disse punktene, bør følges opp tettest.

Hvorfor må vi vite hvor personopplysningene ligger? Ved et brudd på personopplysningssikkerheten må dere vurdere omfanget og som hovedregel melde fra til Datatilsynet innen 72 timer. Det er vanskelig uten en oppdatert oversikt over behandlinger, systemer og leverandører.

Må vi stille krav til underleverandørene til leverandørene våre? Ja, det er det NSM anbefaler. Leverandørene deres bør ha god kontroll på sin egen sikkerhet og forvente det samme av dem de selv kjøper tjenester fra. Dette kan med fordel tas inn i avtalene.