Ud over gendannelse: En CISO-guide til at opbygge reel operationel robusthed med ISO 27001:2022

Maria, CISO i en voksende fintech-virksomhed, præsenterer risikomålinger for 3. kvartal for bestyrelsen. Hendes slides er skarpe og viser faldende antal sårbarheder og vellykkede phishing-simuleringer. Pludselig vibrerer hendes telefon insisterende. En prioriteret alarm fra SOC-lederen: “Ransomware detekteret. Spreder sig lateralt. Centrale banktjenester påvirket.”

Stemningen i lokalet skifter fra selvsikker til anspændt. CEO’en stiller det uundgåelige spørgsmål: “Hvor hurtigt kan vi gendanne fra backup?”

Maria ved, at de har backups. De tester dem hvert kvartal. Men mens hendes team kæmper med at skifte til en reserveordning, vælter et dusin andre spørgsmål ind over hende. Er genopretningsmiljøerne sikre, eller geninficerer de blot de gendannede systemer? Fungerer vores hændelseslogning stadig på backupstedet, eller flyver vi i blinde? Hvem har nødadministratoradgang, og bliver deres handlinger sporet? Er nogen, i hasten med at få tjenesterne online igen, ved at sende følsomme kundedata fra en privat konto?

Det er det kritiske øjeblik, hvor en traditionel plan for katastrofeberedskab kommer til kort, og reel operationel robusthed bliver sat på prøve. Det handler ikke kun om at komme tilbage; det handler om at komme tilbage med integritet. Det er det grundlæggende skifte i tankegang, som ISO/IEC 27001:2022 kræver: et skifte fra ren gendannelse til at opretholde en helhedsorienteret og ubrudt sikkerhedstilstand, selv midt i kaos.

Den moderne definition af robusthed: Sikkerheden holder aldrig pause

I mange år har planlægning af forretningskontinuitet haft stærkt fokus på mål for genopretningstid (RTO’er) og mål for gendannelsespunkt (RPO’er). De er vigtige, men disse målepunkter fortæller kun en del af historien. De måler hastighed og datatab, men de måler ikke sikkerhedstilstanden under selve krisen.

ISO/IEC 27001:2022, især gennem sine Annex A-kontroller, løfter drøftelsen. Standarden anerkender, at en driftsforstyrrelse ikke er en pauseknap for informationssikkerhed. Tværtimod er krisens kaos netop det tidspunkt, hvor sikkerhedskontroller er mest afgørende. Angribere udnytter forvirring og går målrettet efter de nødprocedurer og workarounds, der er designet til at genetablere tjenester.

Robusthed i ISO/IEC 27001:2022 betyder at opretholde informationssikkerhed under driftsforstyrrelse (Annex A-kontrol 5.29), solidt IKT-beredskab til forretningskontinuitet (5.30) og pålidelig informationsbackup (8.13). Målet er at sikre, at responsen ikke skaber nye og farligere sårbarheder. Som beskrevet i Clarysecs Zenith Blueprint: En revisors 30-trins køreplan Zenith Blueprint, “vil revisorer søge overensstemmelse, ikke kun med politikken, men med virkeligheden.” Det er her, de fleste organisationer kommer til kort: De planlægger for oppetid, men ikke for at opretholde efterlevelse gennem kaosset.

Fundamentet: Hvorfor robusthed starter med kontekst, ikke kontroller

Før du effektivt kan implementere specifikke robusthedskontroller, skal du opbygge et solidt ledelsessystem for informationssikkerhed (ISMS). Mange organisationer fejler her ved at springe direkte til Annex A uden at etablere det nødvendige grundlag.

Zenith Blueprint fremhæver, at man skal starte med de centrale ISMS-klausuler, fordi dette fundamentale arbejde er selve grundlaget for robusthed. Processen begynder med at forstå organisationens unikke miljø:

• Klausul 4: Organisationens kontekst: Forstå organisationens kontekst, herunder interne og eksterne forhold og interessentkrav, og definér ISMS-omfanget.
• Klausul 5: Lederskab: Sikr topledelsens forpligtelse, etablér en informationssikkerhedspolitik, og definér organisatoriske roller og ansvar.
• Klausul 6: Planlægning: Gennemfør en grundig risikovurdering og planlægning af risikobehandling, og fastsæt klare informationssikkerhedsmål.

For Marias fintech-virksomhed ville en grundig analyse efter klausul 4 have identificeret regulatorisk pres fra DORA og NIS2 som centrale eksterne forhold. En risikovurdering efter klausul 6 ville have modelleret netop det ransomware-scenarie, hun nu står i, og fremhævet risikoen for kompromitterede genopretningsmiljøer og utilstrækkelig logning under en hændelse. Uden denne kontekst er enhver robusthedsplan et skud i blinde.

De to grundpiller for operationel robusthed i ISO/IEC 27001:2022

Inden for ISO/IEC 27001:2022-rammen står to Annex A-kontroller som grundpillerne for operationel robusthed: informationsbackup (8.13) og informationssikkerhed under driftsforstyrrelse (5.29).

Kontrol 8.13: Informationsbackup - det nødvendige sikkerhedsnet

Det er den kontrol, alle tror, de har styr på. Men en reelt effektiv backupstrategi er mere end blot kopiering af filer. Det er en korrigerende kontrol med fokus på integritet og tilgængelighed, og den er tæt forbundet med mange andre kontroller.

Attributter: Korrigerende; Integritet, Tilgængelighed; Genopretning; Kontinuitet; Beskyttelse.
Operationel kapacitet: Kontinuitet.
Sikkerhedsdomæne: Beskyttelse.

Revisionsindsigt: En revisor vil kræve mere end et “ja” til spørgsmålet “Har I backups?”. Revisoren vil kræve logfiler, der dokumenterer, at der findes nylige backups, revisionsbevis for, at gendannelsestest er gennemført med succes, og dokumentation for, at backupmedier er krypterede, opbevaret sikkert og dækker alle kritiske aktiver defineret i jeres aktivfortegnelse.

Scenarie: Et system slettes af ransomware eller som følge af en kritisk konfigurationsfejl. Evnen til at gendanne med integritet afhænger af en moden backupstrategi. Revisorer vil verificere, at strategien ikke står alene, men er knyttet til andre kritiske kontroller:

• 5.9 Fortegnelse over information og andre tilknyttede aktiver: Du kan ikke tage backup af det, du ikke ved, du har. En dækkende fortegnelse er ikke til forhandling.
• 8.7 Beskyttelse mod malware: Backups skal isoleres og beskyttes mod netop den ransomware, de skal kunne modstå. Det omfatter brug af immutabel lagring eller air-gappede kopier.
• 5.31 Juridiske, lovbestemte, regulatoriske og kontraktlige krav: Overholder jeres opbevaringsplaner for backups og lagringslokationer krav til dataresidens og kontraktlige forpligtelser?
• 5.33 Beskyttelse af registreringer: Opfylder jeres backups krav til opbevaring og databeskyttelse for personhenførbare oplysninger (PII), finansielle registreringer eller andre regulerede data?

Kontrol 5.29: Informationssikkerhed under driftsforstyrrelse - integritetens vogter

Det er den kontrol, der adskiller et ISMS, der blot er i compliance, fra et robust ISMS. Den adresserer direkte de kritiske spørgsmål, som plager Maria under krisen: Hvordan opretholder vi sikkerheden, når vores primære værktøjer og processer ikke er tilgængelige? Kontrol 5.29 kræver, at sikkerhedsforanstaltninger fortsat er planlagt og effektive gennem hele en forstyrrende hændelse.

Attributter: Forebyggende, korrigerende; Beskyt, respondér; Fortrolighed, integritet, tilgængelighed.
Operationel kapacitet: Kontinuitet.
Sikkerhedsdomæne: Beskyttelse, robusthed.

Revisionsindsigt: Revisorer gennemgår forretningskontinuitetsplaner og planer for katastrofeberedskab specifikt for at finde dokumentation for sikkerhedshensyn. De kontrollerer sikkerhedskonfigurationer på alternative lokationer, verificerer, at logning og adgangsstyring opretholdes, og vurderer fallbackprocesser for sikkerhedssvagheder, ikke kun for deres evne til at genetablere tjenester.

Scenarie: Jeres primære datacenter er offline, og I flytter driften til et backupsted. Revisorer forventer at se dokumentation - rapporter fra besøg på lokationen, konfigurationsfiler og adgangslogfiler - for, at det sekundære sted opfylder jeres primære sikkerhedskrav. Udvidede jeres nødomstilling til fjernarbejde endpoint-beskyttelse og sikker adgang til alle enheder? Dokumenterede I beslutninger om midlertidigt at lempe og senere genindføre kontroller?

Zenith Blueprint indfanger essensen præcist: “Det afgørende er, at sikkerheden ikke holder pause, mens systemer gendannes. Kontroller kan ændre form, men målet er det samme: Hold information beskyttet, også under pres.” Denne kontrol tvinger jer til at planlægge for krisens rodede virkelighed, og den er tæt vævet sammen med andre kontroller:

• 5.30 IKT-beredskab til forretningskontinuitet: Sikrer, at den tekniske genopretningsplan ikke ignorerer sikkerhedsplanen.
• 8.16 Overvågningsaktiviteter: Kræver, at I kan bevare synlighed, selv når de primære overvågningsværktøjer er offline.
• 5.24 Planlægning og forberedelse af styring af informationssikkerhedshændelser: Krise- og kontinuitetsteams skal arbejde parallelt, så bevidsthed om hændelseshåndtering opretholdes under driftsforstyrrelsen.
• 5.28 Indsamling af bevismateriale: Sikrer, at I i hasten med at gendanne ikke ødelægger afgørende forensisk bevismateriale, der er nødvendigt for undersøgelse og regulatorisk rapportering.

En praktisk guide til implementering af revisionsbar robusthed

At omsætte disse kontroller fra teori til praksis kræver klare, handlingsrettede politikker og procedurer. Clarysecs politikskabeloner er udformet til at indarbejde disse principper direkte i jeres ISMS. For eksempel giver vores Politik for backup og gendannelse Politik for backup og gendannelse en ramme, der går videre end simple backupplaner:

“Politikken håndhæver ISO/IEC 27001:2022-kontroller relateret til indsamling af bevismateriale (5.28), robusthed under driftsforstyrrelser (5.29), operationel genopretning (8.13) og sletning af information (8.10) og kortlægger til bedste praksis fra ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, GDPR, DORA og NIS2.”

Denne helhedsorienterede tilgang omsætter robusthed fra et abstrakt begreb til et sæt revisionsbare, operationelle opgaver.

Handlingsrettet tjekliste: Revision af jeres backup- og robusthedsstrategi

Brug denne tjekliste, styret af en dækkende politik, til at forberede det revisionsbevis, en revisor vil kræve.

Kravet om krydsefterlevelse: Kortlægning af robusthed til DORA, NIS2 og videre

For organisationer i kritiske sektorer er robusthed ikke kun bedste praksis efter ISO/IEC 27001:2022; det er et lovkrav. Regler som Digital Operational Resilience Act (DORA) og NIS2-direktivet lægger stor vægt på evnen til at modstå og komme sig efter IKT-driftsforstyrrelser.

Heldigvis giver det arbejde, I udfører for ISO/IEC 27001:2022, et stærkt forspring. Clarysecs Zenith Controls: Guiden til krydsefterlevelse Zenith Controls er udviklet til at skabe eksplicitte kortlægningstabeller, der dokumenterer denne overensstemmelse for revisorer og tilsynsmyndigheder. Proaktiv dokumentation viser, at I styrer sikkerheden i dens fulde juridiske kontekst.

Vores politikker er bygget med dette for øje. Databeskyttelses- og privatlivspolitik Databeskyttelses- og privatlivspolitik angiver for eksempel eksplicit sin rolle i at styrke efterlevelse af DORA og NIS2 sammen med ISO/IEC 27001:2022.

Denne kortlægningstabel viser, hvordan centrale robusthedskontroller opfylder krav på tværs af flere væsentlige rammeværker.

Ved at bygge jeres ISMS op omkring den robuste ramme i ISO/IEC 27001:2022 opbygger I samtidig en juridisk forsvarlig position over for disse andre skærpede regler.

Med revisorens øjne: Sådan bliver jeres robusthed testet

Revisorer er trænet til at se forbi politikker og lede efter dokumentation for implementering. Når det gælder robusthed, vil de se bevismateriale for disciplin under pres. En revision af jeres robusthedskapaciteter vil være mangesidet, hvor forskellige revisorer fokuserer på forskellige typer bevismateriale.

Almindelige faldgruber: Hvor robusthedsplaner ofte fejler i praksis

Clarysecs revisionskonstateringer viser tilbagevendende svagheder, der underminerer selv de bedst skrevne planer. Undgå disse almindelige faldgruber:

• Manuelle fallbackprocesser mangler sikkerhed. Når systemer går ned, vender medarbejdere tilbage til regneark og e-mail. Disse manuelle processer mangler ofte den fysiske eller logiske sikkerhed, som de primære systemer har.
  • Løsning: Integrér fysisk beskyttelse (låste skabe, adgangslogfiler) og logiske kontroller (krypterede filer, sikre kommunikationskanaler) i jeres kriseprotokoller for manuelle nødprocedurer.
• Alternative lokationer er ikke fuldt konfigureret. Backupdatacentret har servere og data, men mangler måske tilsvarende firewallregler, logningsagenter eller integrationer til adgangsstyring.
  • Løsning: Dokumentér ækvivalens i sikkerhedskontroller mellem primære og sekundære lokationer. Gennemfør regelmæssige tekniske revisioner af backupstedet, og inddrag sikkerhedsrepræsentanter i alle failover-øvelser.
• Gendannelsestest er ufuldstændige eller ad hoc. Organisationer tester, om en server kan gendannes, men undlader at teste, om den gendannede applikation er sikker, logges og fungerer korrekt under belastning.
  • Løsning: Gør omfattende backupgendannelsestest, herunder sikkerhedsvalidering, til en obligatorisk del af hændelsesøvelser og årlige revisionsgennemgange.
• Databeskyttelse i backups overses. Backups kan blive en efterlevelsesrisiko ved at indeholde data, der skulle have været slettet efter GDPR’s ret til sletning.
  • Løsning: Tilpas procedurer for opbevaring og sletning af backups til jeres databeskyttelsespolitikker. Sørg for, at I har en dokumenteret proces for sletning af specifikke data fra backupsæt, når det kræves efter lovgivningen.

Fra compliance til robusthed: Skab en kultur for løbende forbedring

At opnå robusthed er ikke et engangsprojekt, der slutter med certificering. Det er en vedvarende forpligtelse til forbedring, forankret i klausul 10 i ISO/IEC 27001:2022. En virkelig robust organisation lærer af hver hændelse, hver nærved-hændelse og hver revisionskonstatering.

Det kræver, at man går videre end reaktive rettelser. Zenith Blueprint foreslår at indlejre løbende forbedring i organisationskulturen ved at etablere kanaler, hvor medarbejdere kan foreslå sikkerhedsforbedringer, gennemføre proaktive risikovurderinger ved væsentlige ændringer og udføre grundige efterhændelsesgennemgange for at indsamle læring.

Derudover spiller kontrol 5.35 (Uafhængig gennemgang af informationssikkerhed) en afgørende rolle. Ved at invitere en uafhængig part til at gennemgå jeres ISMS får I et uvildigt perspektiv, der kan afdække blinde vinkler, som det interne team kan overse. Som Zenith Blueprint formulerer det klart: “…det, der adskiller et ISMS i compliance fra et reelt robust ISMS, er dette: viljen til at stille svære spørgsmål og til at lytte, når svarene er ubehagelige.”

Næste skridt: Opbyg et ubrydeligt ISMS

Marias krise fremhæver en universel sandhed: Driftsforstyrrelser er uundgåelige. Uanset om det er ransomware, en naturkatastrofe eller svigt hos en kritisk leverandør, vil jeres organisation blive testet. Spørgsmålet er ikke om, men hvordan I vil reagere. Vil I blot gendanne, eller vil I reagere robust?

At opbygge et ISMS, der opretholder integritet under pres, kræver en strategisk og helhedsorienteret tilgang. Det starter med et solidt fundament, indarbejder tæt forbundne kontroller og vedligeholdes gennem en kultur for løbende forbedring. Vent ikke på en reel driftsforstyrrelse, før hullerne i jeres strategi bliver synlige.

Klar til at opbygge et ISMS, der ikke bare er i compliance, men reelt ubrydeligt?

• Download Clarysecs Zenith Blueprint: En revisors 30-trins køreplan for at styre implementeringen fra start til slut.
• Brug vores omfattende politikskabeloner, f.eks. Politik for backup og gendannelse, til at omsætte standarder til konkrete, revisionsbare handlinger.
• Brug Zenith Controls: Guiden til krydsefterlevelse til at sikre, at jeres indsats opfylder de skærpede krav i ISO/IEC 27001:2022, DORA og NIS2.

Kontakt os i dag for en gratis robusthedsvurdering, og lad Clarysecs eksperter hjælpe jer med at opbygge et ISMS, der fungerer under pres.