De fire spørgsmål, den skal besvare
Metoderne har forskellige navne, men de spørger om det samme.
Først: hvad er kritisk for forretningen? Systemer, data, processer, leverandører. Og hvad sker der konkret, hvis de er nede, lækket eller manipuleret.
Så hvad der kan ramme dem. Ransomware, CEO-fraud, nedbrud, menneskelige fejl, en leverandør der svigter. Og hvilke svagheder gør det muligt.
Derefter vurderer I, hvor sandsynligt hvert scenarie er, og hvor hårdt det rammer økonomi, drift, omdømme og forpligtelser. En skala fra 1 til 4 er rigelig.
Til sidst træffer I en beslutning for hver væsentlig risiko. I kan reducere den med foranstaltninger, overføre den til en forsikring eller en leverandør, undgå den ved at droppe aktiviteten, eller acceptere den bevidst og skrive under på det.
Det hele samles i et risikoregister med en ejer og en frist på hver linje. Registeret er det, der lever videre. Rapporten bliver læst én gang.
Skal I have hjælp til at komme igennem den første gang, har vi lagt forløbet i en fast ramme under risikovurdering.
Sådan undgår I at drukne i den
Den hyppigste fejl er at starte for bredt. Start fra forretningen i stedet. Hvilke fem til ti processer må ikke stå stille? Fakturering, produktion, kundesystem, mail. Kortlæg hvad de afhænger af, og vurdér scenarierne mod dem.
En halv dags workshop med ledelse og IT giver det meste af værdien. Den giver også et dokument, ledelsen har ejerskab til, og det er præcis, hvad NIS2 beder om.
Hold skalaerne simple. En 4×4-matrix, alle forstår, slår en akademisk model, ingen vedligeholder.
Hvad den bruges til
Den er omdrejningspunktet i næsten al sikkerhedsstyring. NIS2-lovens foranstaltninger skal vælges risikobaseret. ISO 27001 bygger hele ledelsessystemet på den. Cyberforsikringer og kunders leverandørspørgeskemaer spørger til den.
Internt er den jeres prioriteringsværktøj. Når alt ikke kan løses på én gang, afgør risikobilledet, hvad der kommer først, og giver ledelsen et dokumenteret grundlag for de valg, den hæfter for.
Hvor ofte skal den opdateres?
Mindst én gang om året, og hver gang noget væsentligt ændrer sig. Nye systemer, ny leverandør, flytning til cloud, en hændelse hos jer selv eller i branchen, nye krav fra kunder eller regulering.
En risikovurdering fra 2023, som ingen har rørt siden, er ved et tilsyn værre end ingen. Den dokumenterer, at processen ikke lever.