Riskhantering och riskanalys för informationssäkerhet

Vad är riskhantering?

Riskhantering är arbetet med att identifiera vad som kan gå fel i en verksamhet, bedöma hur sannolikt och hur allvarligt det är, och besluta vad som ska göras åt det. Inom informationssäkerhet gäller det hoten mot information och IT-system: att uppgifter läcker, förvanskas eller blir otillgängliga när de behövs. Resultatet är inte en rapport utan ett beslutsunderlag som visar var skyddspengarna gör mest nytta.

Riskanalys och riskhantering används ofta som synonymer, men analysen är bara ett av stegen. Riskhanteringen omfattar också besluten om behandling, genomförandet av åtgärderna och uppföljningen av att de faktiskt blir gjorda. En riskanalys utan riskhantering stannar i ett dokument.

Två standarder beskriver samma grundlogik. ISO 31000 gäller riskhantering generellt, ISO 27005 är skriven för informationssäkerhetsrisk och används tillsammans med ISO 27001. Båda utgår från att ramarna sätts först, att riskerna sedan identifieras och värderas, och att behandlingen följs upp i en återkommande cykel.

Riskhanteringsprocessens fyra steg

En riskhanteringsprocess är det systematiska arbetssätt en organisation använder för att identifiera, analysera, behandla och följa upp sina risker. Vi bygger processen på ISO 27005 och ISO 31000 och anpassar djup och tempo efter verksamhetens storlek och regulatoriska krav.

Riskidentifieringen kartlägger hot, sårbarheter och informationstillgångar. Riskanalysen värderar sannolikhet och konsekvens så att riskerna kan jämföras och prioriteras i en riskmatris. Riskbehandlingen omsätter analysen i beslut: vilka risker som ska åtgärdas, accepteras, överföras eller undvikas, och vem som ansvarar för vad. Den löpande uppföljningen håller riskbilden aktuell när verksamheten, IT-miljön och hotbilden förändras.

Skillnaden mellan en process och en engångsinsats ligger i det sista steget. En riskanalys som görs en gång och arkiveras är inaktuell inom ett år. Med en etablerad riskhanteringsprocess blir omvärderingen rutin i stället för ett nytt projekt varje gång.

Riskanalys: sannolikhet, konsekvens och riskklass

En riskanalys värderar varje identifierad risk längs två axlar: hur sannolikt det är att den inträffar och hur stor konsekvensen blir om den gör det. De två vägs samman till ett riskvärde som gör riskerna jämförbara med varandra. Det är hela poängen. Utan en gemensam skala blir prioriteringen en åsiktsfråga, och då vinner den som argumenterar bäst i stället för den risk som är störst.

Vi arbetar oftast med en femgradig skala på båda axlarna. Det ger en riskmatris med 25 rutor som delas in i riskklasser, vanligen låg, medel, hög och kritisk. Riskklassificeringen avgör vad som ska hända: en kritisk risk kräver beslut i ledningen och åtgärd inom en bestämd tid, medan en låg risk kan accepteras med en notering om varför. Miniriskmetoden, som många känner igen från arbetsmiljöarbetet, bygger på samma princip men med en grövre skala och passar när riskerna är få och lätta att överblicka.

Konsekvensbedömningen hänger ihop med informationsklassificeringen. När ni har klassat informationen efter konfidentialitet, riktighet och tillgänglighet har ni redan svaret på vad ett avbrott eller ett läckage faktiskt kostar. Kritikaliteten i systemen som bär informationen följer av samma bedömning, vilket gör att riskanalysen kan återanvändas i kontinuitetsplaneringen.

System och verktyg för riskhantering

Många organisationer driver sin riskhantering i kalkylblad. Det fungerar fram till första revisionen. Versionerna spretar, ansvar tappas bort och ingen kan visa om åtgärdsplanen faktiskt följs. Ett system för riskhantering ska ge ett gemensamt riskregister, spårbara bedömningar, påminnelser när risker ska omvärderas och rapporter som ledningen kan fatta beslut utifrån.

Valet av programvara spelar mindre roll än att processen sitter först. Ett riskhanteringssystem som införs innan metodiken är bestämd blir ett dyrt kalkylblad med inloggning. Bestäm skalorna, riskklasserna och vem som äger vilken risk, och låt sedan verktyget bära den strukturen.

Vi arbetar i Securapilot, vår plattform för systematiskt informationssäkerhetsarbete. Där samlas riskregistret, riskmatrisen och behandlingsplanerna med automatisk uppföljning av ansvar och deadlines. Tiden läggs på bedömningarna i stället för på administrationen.

Läs mer om Securapilot

Digital riskhantering och IT-risker

Riskhantering inom IT-säkerhet skiljer sig från verksamhetsrisk på en punkt: hotbilden ändras snabbare än verksamheten gör. En riskbild som stämde vid årsskiftet kan vara inaktuell efter en molnmigrering, ett leverantörsbyte eller en ny sårbarhet i en komponent ni redan använder. Därför behöver de tekniska riskerna omvärderas oftare än de organisatoriska.

De IT-risker som återkommer i våra analyser är sällan exotiska. Privilegierade konton utan uppföljning, där en administratörsbehörighet lever kvar långt efter att behovet upphört. Beroenden till leverantörer som ingen har kartlagt. Säkerhetskopior som aldrig testats vid återläsning. Systemkomponenter som passerat sitt supportdatum. Ingen av dem kräver avancerad analys för att upptäckas, men de syns bara om någon systematiskt letar.

Digital riskhantering betyder också att riskerna följer med när verksamheten förändras. Ett nytt system, en ny integration eller en ny personuppgiftsbehandling ska generera en riskbedömning innan den går i drift, inte efteråt. Det kravet finns redan i NIS2 och i ISO 27001, och det är billigare att bygga in det i förvaltningsprocessen än att komma på det vid revisionen.

Riskhantering som krav i NIS2, ISO 27001 och GDPR

Riskanalys och riskhantering är uttryckliga krav i flera regelverk. NIS2 och den svenska cybersäkerhetslagen kräver att säkerhetsåtgärder väljs utifrån en riskanalys. ISO 27001 bygger hela ledningssystemet på riskbedömning och riskbehandling. GDPR kräver att skyddet av personuppgifter står i proportion till risken för de registrerade.

Samma riskregister och samma metodik kan därför återanvändas i NIS2-arbetet, ISO 27001-certifieringen och dataskyddsarbetet. Den som börjar med riskerna slipper göra om grundarbetet för varje nytt regelverk.

Läs om vår NIS2 gap-analys