Dansk IT: Lav krav om, at organisationer skal være klar til at modstå cybertrusler

Af Thomas Kristmar
Medlem af fagrådet for informationssikkerhed, Dansk IT og Senior Manager, KPMG

Vi har hørt om ransomwareangreb så tit, at man bliver lidt fartblind af det.

Men det er værd at minde om, at virksomheder som Norsk Hydro, Demant og Mærsk alle har været ude for angreb, som - de selv har oplyst - har kostet virksomheden på den anden side af en halv milliard kroner.

Læg hertil at corona har medført øget brug af fjernarbejde, og at mange virksomheder og myndigheder har omlagt fysiske møder og analoge processer til online.

Vi er som samfund afhængig af, at den digitale infrastruktur virker – hele tiden.

Organisationer skal være forberedte
Truslen gør, at virksomheder og myndigheder må forvente at blive ramt af katastrofale cyberangreb. Når det sker, er organisationens beredskabsevne afgørende.

Det er afgørende, at de faktiske initiativer går videre end blot at komme med gode råd, men stiller konkrete, verificerbare krav til samfundskritiske virksomheder, myndigheder og leverandører.

Thomas Kristmar
Medlem af fagrådet for informationssikkerhed, Dansk IT og Senior Manager, KPMG

Er der en plan for at fortsætte de kritiske funktioner helt eller delvis uden it? Er der en plan for reetablering af kritiske funktioner med begrænset adgang til en fungerende backup?

Og ikke mindst: Har organisationen faktisk gennemført en test af reetablering af kritiske funktioner, så det vides, at planen virker?

Et af de fire temaer i den kommende nationale cyber- og informationssikkerhedsstrategi er ”robusthed og resiliens”, og det bifalder Dansk IT.

Det er dog afgørende, at de faktiske initiativer går videre end blot at komme med gode råd, men også stiller konkrete, verificerbare krav til samfundskritiske virksomheder, myndigheder og leverandører.

Anbefalinger til genopretningsplan
Her kommer Disaster Recovery ind i billedet. Disaster Recovery handler om at kunne reetablere systemer fra bunden – uden at antage at ”backuppen fra i går virker”.

Det er en kompleks og tidskrævende proces, men det er reelt den eneste mulighed for at verificere, hvor lang tid reetablering tager, om driftsdokumentationen er retvisende, og om forretningens antagelse om egen evne til at videreføre kritiske funktioner reelt holder uden fuld adgang til kritiske systemer.