Riskanalys och kontinuitetshantering: två krav som hänger ihop

2 kap. 3 § inleds med att verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem. Därefter följer de tio områdena som åtgärderna ska omfatta.

Punkt 1 avser strategier för riskanalys och för nätverks- och informationssystemens säkerhet. Ordet strategier är värt att stanna vid: det som krävs är ett sätt att arbeta, inte ett enskilt dokument daterat en gång per år.

Punkt 3 avser kontinuitetshantering och krishantering. Direktivet, som lagen genomför, är mer explicit och nämner säkerhetskopiering och katastrofhantering som exempel på vad kontinuitetshantering kan innefatta.

Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem.

En riskanalys svarar på vad som kan gå fel, hur troligt det är och hur allvarligt det blir. En kontinuitetsplan svarar på vad verksamheten gör medan det är trasigt och hur den tar sig tillbaka. Det andra svaret bygger på det första, eftersom ni inte kan prioritera återställning utan att veta vad som är kritiskt.

Den vanligaste bristen vi ser beskriven i vägledningar är att de två görs av olika delar av organisationen vid olika tillfällen. Riskanalysen görs av säkerhetsfunktionen, kontinuitetsplanen av verksamheten, och ingen av dem refererar till den andra. Resultatet är en plan som återställer system i teknisk ordning i stället för i verksamhetens ordning.

Kopplingen görs enklast genom att kontinuitetsplanen anger återställningsordning per verksamhetsprocess, och att varje process i den listan går att spåra till en post i riskanalysen. Det är också den koppling som är lättast att visa upp.

Lagtexten nämner dem i samma punkt, vilket förleder många att behandla dem som ett krav. De löser olika problem. Kontinuitetshantering handlar om att verksamheten ska fortsätta leverera, om än sämre, medan något är ur funktion. Krishantering handlar om att leda organisationen genom händelsen, fatta beslut och kommunicera.

Skillnaden märks i vem som behöver dokumentet. Kontinuitetsplanen används av den som driver processen. Krishanteringsplanen används av den som leder. Om båda ligger i samma dokument, riktat till samma läsare, saknas i praktiken en av dem.

Under en incident som ska rapporteras enligt lagen löper de två parallellt med rapporteringstiderna. Det är krisledningen som äger beslutet om rapportering, medan verksamheten kör på reservrutiner. Den som skrivit en plan där rapportering är verksamhetens uppgift kommer att upptäcka problemet vid fel tillfälle.

Formuleringen ger er utrymme att anpassa omfattningen till verksamhetens storlek, exponering och beroenden. Den flyttar samtidigt bevisbördan. Om det inte finns en föreskriven nivå att uppfylla kan ni inte heller peka på att ni uppfyllt den, utan får i stället visa hur ni resonerade.

Det som gör resonemanget kontrollerbart är ganska enkelt: en daterad bedömning, en angiven grund för bedömningen, ett beslut om vad som gjordes och vad som medvetet inte gjordes, och en anteckning om vem som fattade beslutet. Det sista har en egen koppling till 2 kap. 4 §, som kräver att personer i ledningen genomgår utbildning om säkerhetsåtgärder.

Om ni redan arbetar mot ISO/IEC 27001 finns mycket av detta på plats. Standarden är inget lagkrav, men de artefakter den producerar är samma artefakter en tillsynsmyndighet kan komma att efterfråga.

Riskanalysen bygger på antaganden om vad som går att utnyttja. Ett penetrationstest är ett sätt att pröva de antagandena mot verkligheten i stället för att låta dem stå oemotsagda i ett register.

Kopplingen till kontinuitetssidan är mindre uppenbar men lika användbar. Ett test som visar hur långt en angripare tar sig från en given startpunkt säger något om vilka processer som faller samtidigt, vilket är precis den information återställningsordningen behöver.

Lagen kräver inget penetrationstest med angivet intervall. Punkt 6 i 2 kap. 3 § avser strategier för att bedöma åtgärdernas effektivitet, och testning är det vanligaste sättet att göra en sådan bedömning konkret.