Kryptering av data i vila är inte möjlig? Informationssäkerhetschefens guide till robusta kompenserande kontroller

Revisionsiakttagelsen landade på informationssäkerhetschefen Sarah Chens skrivbord med en välbekant tyngd. En kritisk äldre databas som genererade intäkter och utgjorde det operativa navet i företagets produktionslinje hade inte stöd för modern kryptering av data i vila. Den underliggande arkitekturen var tio år gammal och leverantören hade sedan länge upphört med säkerhetsuppdateringar. Revisorn markerade den, med rätta, som en väsentlig risk. Rekommendationen var tydlig: ”Kryptera alla känsliga data i vila med branschstandardiserade algoritmer.”

För Sarah var detta inte bara ett tekniskt problem, utan en kris för verksamhetskontinuiteten. En uppgradering av systemet skulle innebära månader av driftstopp och kostnader på flera miljoner, vilket styrelsen inte kunde acceptera. Samtidigt var det en oacceptabel risk att lämna en stor mängd känsliga immateriella tillgångar okrypterade, och en tydlig avvikelse från organisationens ledningssystem för informationssäkerhet.

Detta scenario speglar cybersäkerhetens verklighet, där perfekta lösningar är sällsynta och efterlevnad inte kan pausas. Det inträffar när kritiska säkerhetskopior lagras på äldre system, när en central SaaS-leverantör hänvisar till ”tekniska begränsningar” eller när högpresterande applikationer inte klarar krypteringens prestandapåverkan. Lärobokssvaret, ”kryptera bara”, kolliderar ofta med en mer komplicerad verklighet.

Vad händer då när den primära, föreskrivna kontrollen inte är möjlig? Man accepterar inte bara risken. Man bygger ett smartare och mer resilient skydd med hjälp av kompenserande kontroller. Det handlar inte om att hitta ursäkter, utan om att visa mogen, riskbaserad säkerhetsstyrning som håller även vid den mest krävande revision.

Varför kryptering av data i vila är ett krav med hög betydelse

Kryptering av data i vila är en grundläggande kontroll i alla moderna säkerhetsramverk, inklusive ISO/IEC 27001:2022, GDPR Article 32, NIS2, DORA och NIST SP 800-53 SC-28. Syftet är enkelt men kritiskt: att göra lagrade data oläsbara om fysiska eller logiska skydd brister. Ett förlorat backupband eller en stulen server med okrypterade data är inte bara ett tekniskt misstag; det är ofta en anmälningspliktig personuppgiftsincident.

Riskerna är tydliga och betydande:

• Stöld eller förlust av portabla lagringsmedier som USB-enheter och backupband.
• Exponering av data från ohanterade, bortglömda eller äldre enheter.
• Oförmåga att tillämpa inbyggd disk- eller databaskryptering i specifika SaaS-, moln-, OT- eller äldre miljöer.
• Risker vid dataåterställning om kryptografiska nycklar förloras eller hanteras felaktigt.

Dessa krav är inte bara tekniska, utan utgör även rättsliga och regulatoriska krav. GDPR Article 32 och DORA Articles 5 and 10 erkänner uttryckligen kryptering som en ”lämplig teknisk åtgärd”. NIS2 anger den som en basnivå för att säkerställa system- och informationsintegritet. När detta primära skydd inte är möjligt övergår bevisbördan till organisationen, som måste visa att de alternativa åtgärderna är lika effektiva.

Från en enskild kryssruta till lagerindelat skydd

Den spontana reaktionen på en revisionsiakttagelse som Sarahs är ofta panik. Men ett välstrukturerat ISMS förutser sådana situationer. Sarahs första steg var inte att ringa infrastrukturteamet, utan att öppna organisationens Policy för kryptografiska kontroller, ett dokument framtaget med Clarysecs mallar för företag. Hon gick direkt till den klausul som gav grunden för strategin.

Enligt Policy för kryptografiska kontroller beskriver avsnitt 7.2.3 uttryckligen processen för att definiera:

”Specifika kompenserande kontroller som ska tillämpas”

Denna klausul är informationssäkerhetschefens bästa stöd. Den erkänner att ett standardiserat arbetssätt för all säkerhet är bristfälligt och ger en godkänd väg för att hantera risk. Policyn verkar inte isolerat. Som anges i klausul 10.5 är den direkt kopplad till policy för dataklassificering och märkning, som ”definierar klassificeringsnivåer (t.ex. Konfidentiell, reglerade data) som utlöser specifika krypteringskrav”.

Denna koppling är avgörande. Data i den äldre databasen var klassificerade som ”Konfidentiell”, vilket var skälet till att avsaknaden av kryptering markerades. Sarahs uppdrag var nu tydligt: bygga ett så robust skydd av kompenserande kontroller att exponeringsrisken reducerades till en godtagbar nivå.

Utforma en försvarbar strategi med Zenith Blueprint

Kryptering är en hörnsten i modern säkerhet, men som Clarysecs Zenith Blueprint: en revisors 30-stegs färdplan förklarar i steg 21 handlar Kontroll 8.24 Användning av kryptografi inte bara om att ”slå på kryptering”. Det handlar i stället om att ”bygga in kryptografi i organisationens design, policy och livscykelhantering”.

När en del av designen fallerar, i detta fall den äldre databasen, måste policy- och livscykelaspekterna kompensera. Sarahs team använde detta ramverk för att utforma ett flerlagersskydd som utgick från att data aldrig skulle lämna sin säkra, om än okrypterade, behållare.

Kompenserande kontroll 1: Skydd mot dataförlust (DLP)

Om du inte kan kryptera data där de finns måste du säkerställa att de inte kan lämna miljön. Sarahs team införde en DLP-lösning som fungerade som en digital vakt. Det var inte en enkel nätverksregel, utan en avancerad, innehållsmedveten kontroll.

Med hjälp av Clarysecs Zenith Controls: guiden för tvärgående regelefterlevnad konfigurerade de DLP-systemet utifrån vägledningen för ISO/IEC 27001:2022 kontroll 8.12 Skydd mot dataläckage. Reglerna baserades direkt på 5.12 Classification of information. Alla data som matchade scheman för den ”Konfidentiell”-klassade informationen i den äldre databasen blockerades automatiskt från överföring via e-post, webbuppladdningar eller till och med inklistring i andra applikationer.

Som Zenith Controls förklarar:

”Skydd mot dataförlust (DLP) är i grunden beroende av korrekt dataklassificering. Kontroll 5.12 säkerställer att data märks utifrån känslighet … DLP är en specialiserad form av kontinuerlig övervakning som riktas mot dataförflyttning … 8.12 kan genomdriva krypteringspolicyer för data som lämnar organisationen och säkerställa att data, även om de exfiltreras, förblir oläsbara för obehöriga parter.”

Denna kontroll erkänns i flera ramverk och mappar till GDPR Art. 32, NIS2 Art. 21, DORA Art. 10 och NIST SP 800-53 SI-4. Genom att införa den skapade Sarahs team en kraftfull skyddszon som säkerställde att de okrypterade data förblev isolerade.

Kompenserande kontroll 2: Datamaskering för icke-produktionsanvändning

En av de största riskerna med äldre data är användning i andra miljöer. Utvecklingsteamet behövde ofta data från produktionssystemet för att testa nya applikationsfunktioner. Att helt enkelt lämna ut okrypterade, konfidentiella data var uteslutet.

Här använde Sarah steg 20 i Zenith Blueprint, som behandlar 8.11 Data masking. Guiden noterar att revisorer ofta ställer den direkta frågan: ”Använder ni någonsin skarpa personuppgifter i testsystem? Om så är fallet, hur skyddas de?”

Med denna vägledning införde Sarahs team en strikt procedur för datamaskering. Varje datautdrag som utvecklingsteamet begärde behövde gå igenom en automatiserad process som pseudonymiserade eller anonymiserade känsliga fält. Kundnamn, proprietära formler och produktionsmätetal ersattes med realistiska men fiktiva data. Denna enda kontroll eliminerade en mycket stor riskyta genom att säkerställa att känsliga data aldrig lämnade den strikt kontrollerade produktionsmiljön i sin ursprungliga form.

Kompenserande kontroll 3: Härdade fysiska och logiska kontroller

När dataläckage och icke-produktionsanvändning hade hanterats fokuserade det sista skyddslagret på själva systemet. Med utgångspunkt i principerna för 7.10 Storage media från Zenith Controls behandlade Sarahs team den fysiska servern som en tillgång med hög säkerhetsklassning. Även om 7.10 ofta förknippas med flyttbara lagringsmedier är principerna om livscykelhantering och fysisk säkerhet fullt tillämpliga.

Som Zenith Controls noterar om detta ämne:

”ISO/IEC 27002:2022 ger omfattande vägledning under klausul 7.10 för säker hantering av lagringsmedier genom hela livscykeln. Standarden rekommenderar att organisationer upprätthåller ett register över alla flyttbara lagringsmedier …”

Med denna logik flyttades servern till ett särskilt, låst rack i datacentret, med åtkomst endast för två namngivna seniora ingenjörer. Fysiskt tillträde krävde inloggning och övervakades med CCTV. På nätverkssidan placerades servern i ett segmenterat ”legacy”-VLAN. Brandväggsreglerna konfigurerades för att som standard neka all trafik, med en enda uttrycklig regel som endast tillät kommunikation från den utsedda applikationsservern på en specifik port. Denna långtgående isolering minskade angreppsytan kraftigt och gjorde de okrypterade data osynliga och otillgängliga.

Inför revisionen: presentera en försvarbar strategi ur flera perspektiv

När revisorn återkom för uppföljning presenterade Sarah inga ursäkter. Hon presenterade en heltäckande riskbehandlingsplan, komplett med dokumentation, loggar och direkta demonstrationer av teamets kompenserande kontroller. En revision är inte en enskild händelse, utan ett samtal som bedöms ur olika perspektiv. En informationssäkerhetschef måste vara förberedd för vart och ett av dem.

ISO/IEC 27001-revisorns perspektiv: Revisorn ville se operativ effektivitet. Sarahs team demonstrerade hur DLP-systemet blockerade ett obehörigt e-postmeddelande, visade att datamaskeringsskriptet kördes och tillhandahöll loggar över fysiskt tillträde som korsrefererades mot arbetsärenden.

GDPR- och integritetsperspektivet: Revisorn frågade hur uppgiftsminimering genomdrevs. Sarah visade de automatiserade skripten för säker radering av cachelagrade data och pseudonymiseringsprocessen för alla data som lämnade produktionssystemet, i linje med GDPR Article 25 (Dataskydd genom design och som standard). Policy för kryptografiska kontroller för små och medelstora företag tilldelar uttryckligen dataskyddsombudet (DPO) ansvaret att ”säkerställa att krypteringskontroller är förenliga med dataskyddsskyldigheter enligt Article 32 i GDPR”.

NIS2/DORA-perspektivet: Detta perspektiv fokuserar på operativ resiliens. Sarah presenterade testresultat för säkerhetskopiering och återställning av det isolerade systemet samt säkerhetsbilagor från leverantören för den äldre programvaran, vilket visade proaktiv riskhantering enligt NIS2 Article 21 och DORA Article 9.

NIST/COBIT-perspektivet: En revisor som använder dessa ramverk söker styrning och mätetal. Sarah presenterade det uppdaterade riskregistret som visade formell acceptans av kvarstående risk (COBIT APO13). Hon mappade DLP till NIST SP 800-53 SI-4 (systemövervakning), nätverkssegmentering till SC-7 (gränsskydd) och åtkomstkontroller till AC-3 och AC-4. Därmed visade hon att även om SC-28 (skydd av information i vila) inte uppfylldes direkt fanns en likvärdig uppsättning kontroller på plats.

Centralt revisionsunderlag för kompenserande kontroller

För att kommunicera strategin effektivt tog Sarahs team fram underlag anpassat till vad revisorer söker.

Genom att förutse dessa olika perspektiv omvandlade Sarah en potentiell avvikelse till en demonstration av säkerhetsmognad.

En praktisk sammanfattning inför nästa revision

För att göra strategin tydlig och försvarbar skapade Sarahs team en sammanfattande tabell i riskbehandlingsplanen. Det är ett arbetssätt som alla organisationer kan använda.

Tvärgående efterlevnad i korthet

En stark strategi för kompenserande kontroller är försvarbar i alla större ramverk. Clarysecs Zenith Controls tillhandahåller korsreferenskartläggningen som säkerställer att skydden förstås och godtas oavsett granskningsperspektiv.

Slutsats: gör den svagaste länken till en styrka

Berättelsen om den äldre databasen som inte kan krypteras är inte en berättelse om misslyckande. Det är en berättelse om mogen och intelligent riskhantering. Genom att inte acceptera ett enkelt ”det går inte” omvandlade Sarahs team en betydande sårbarhet till ett konkret exempel på organisationens försvar på djupet. De visade att säkerhet inte handlar om att bocka av en enda ruta märkt ”kryptering”. Det handlar om att förstå risken och bygga ett genomtänkt, lagerindelat och verifierbart skydd för att reducera den.

Din organisation kommer förr eller senare att ha sin egen version av denna äldre databas. När du hittar den, se den inte som ett hinder. Se den som en möjlighet att bygga ett mer resilient och försvarbart säkerhetsprogram.

Redo att bygga ett robust, revisionsklart kontrollramverk? Börja med rätt grund.

• Granska ditt policyekosystem med Clarysecs heltäckande policyverktyg.
• Utforska Zenith Blueprint: en revisors 30-stegs färdplan som stöd för ditt införande.
• Använd Zenith Controls: guiden för tvärgående regelefterlevnad för att säkerställa att dina skydd håller vid granskning ur alla perspektiv.

Kontakta Clarysec för en skräddarsydd workshop eller en fullständig bedömning av tvärgående regelefterlevnad. I dagens regulatoriska landskap är förberedelse den kontroll som betyder mest.

Referenser:

• Policy för kryptografiska kontroller
• Policy för kryptografiska kontroller för små och medelstora företag
• Policy för dataklassificering och märkning
• Zenith Blueprint: en revisors 30-stegs färdplan
• Zenith Controls: guiden för tvärgående regelefterlevnad