Riskbedömning börjar med att förstå vad du faktiskt försöker skydda
När man pratar om riskbedömning inom digital säkerhet är det lätt att direkt tänka på cyberattacker, phishingkampanjer eller ransomware. Det är förståeligt, eftersom det ofta är de hoten som syns mest och som får mest uppmärksamhet. Men om du börjar där riskerar du att missa det viktigaste. En bra riskbedömning handlar inte i första hand om att lista tänkbara hot, utan om att förstå vad i verksamheten som faktiskt är skyddsvärt.
Digital säkerhet handlar ytterst om att skydda de digitala tillgångar som verksamheter är beroende av för att fungera. Det kan handla om information, system, användarkonton, molntjänster, integrationer eller affärskritiska processer. För vissa verksamheter kan också tillgänglighet vara helt avgörande. Om systemen ligger nere stannar verksamheten direkt. För andra är det känslig information som är den största tillgången, där en läcka kan skapa både juridiska, ekonomiska och förtroendemässiga konsekvenser.
Det är därför samma tekniska problem kan innebära helt olika risk beroende på sammanhanget. En sårbar webbapplikation i ett internt testmiljösystem innebär inte samma sak som en sårbarhet i en kundportal med känslig information. Risk handlar alltid om kontext.
Så innan du ens börjar bedöma hot behöver du först förstå vilka digitala tillgångar verksamheten faktiskt är beroende av. Det handlar inte bara om teknik i snäv mening, utan om att förstå hur verksamheten fungerar i praktiken.
- Affärskritiska system som verksamheten är beroende av varje dag
- Känslig information, exempelvis kunddata, personaluppgifter eller interna strategier
- Användarkonton och behörigheter med åtkomst till viktiga system
- Molntjänster, integrationer och externa plattformar som stödjer verksamheten
- Tredjepartsleverantörer som hanterar eller har åtkomst till verksamhetskritisk information
- Kommunikationssystem, lagringsytor och interna samarbetsverktyg
- Processer där driftstopp snabbt skulle få operativa eller ekonomiska konsekvenser
En bra riskbedömning börjar nästan alltid med rätt frågor, inte rätt verktyg.
Hotbilden är bredare än många tror
När skyddsvärdena är tydliga blir nästa steg att förstå vad som faktiskt kan hota dem. Här fastnar många i en ganska förenklad bild av digital säkerhet, där hot främst ses som externa angripare som aktivt försöker bryta sig in i systemen. Sådana hot är finns absolut, men de utgör långt ifrån hela bilden.
Ett hot inom digital säkerhet är egentligen allt som kan påverka konfidentialitet, riktighet eller tillgänglighet negativt. Det kan vara en riktad attack, men det kan lika gärna vara ett internt misstag, en felaktig konfiguration, en leverantörsincident eller ett tekniskt fel.
Det är ofta de mer vardagliga riskerna som underskattas. En användare som klickar på en trovärdig phishinglänk är inte ett ovanligt scenario. En administratör som får för breda behörigheter ”för att det är enklast” är inte heller ovanligt. Inte heller att en molntjänst konfigureras snabbt för att möta ett affärsbehov utan att säkerhetsfrågorna riktigt hinns med.
Digital risk uppstår sällan bara för att hot finns. Den uppstår när hot möter faktiska svagheter i den egna miljön.
Börja med att göra en djupdykning i:
- Åtkomsthantering och användarbehörigheter
- Exponerade system och tjänster
- Tredjepartsleverantörer och externa beroenden
- Användarbeteenden och säkerhetsmedvetenhet
Tänk sedan på alla interna och externa system, lagringsytor, kommunikationssystem. Helt enkelt allt som är värt att skydda. Det viktiga här är att inte bygga riskbedömningen på allmänna skräckscenarier, utan på det som faktiskt är relevant för din verksamhet.
Risk uppstår där hot möter sårbarheter
Det är här själva kärnan i riskbedömningen finns. Ett hot i sig betyder inte automatiskt att verksamheten har hög risk. För att något ska bli ett verkligt problem måste det också finnas en sårbarhet som gör att hotet kan få effekt.
Om phishing är ett realistiskt hot behöver du fråga dig varför det skulle lyckas. Saknas multifaktorautentisering? Har användarna tillgång till känsliga system utan ytterligare skydd? Finns det brister i e-postfiltrering eller identitetsskydd?
Om ransomware är en risk behöver du fundera på vad som gör er sårbara. Är backup tillräckligt separerad? Finns fungerande återställningsrutiner? Är nätverket segmenterat eller kan ett intrång sprida sig fritt?
Det här är den del av riskbedömningen där många organisationer blir för ytliga. Man identifierar hot, men analyserar inte sina egna svagheter tillräckligt konkret. För det är lätt att säga att cyberangrepp är ett hot. Det svårare, och betydligt mer värdefulla, är att identifiera varför just din verksamhet faktiskt skulle kunna drabbas.
En användbar riskbedömning kräver därför ärlighet. Inte policydokument. Inte antaganden. En faktisk bild av hur miljön ser ut idag.
Alla risker kan inte prioriteras lika
När hot och sårbarheter är identifierade kommer den kanske viktigaste delen: prioriteringen.
Det går inte att hantera allt samtidigt. Det spelar ingen roll hur ambitiös säkerhetsstrategin är, resurserna kommer alltid vara begränsade. Därför behöver riskbedömningen hjälpa dig att fatta beslut om vad som faktiskt kräver åtgärd först. Det är här bedömningen av sannolikhet och konsekvens kommer in, men det är viktigt att inte göra det till en mekanisk övning där allt reduceras till siffror i en matris.
Sannolikhet handlar om hur realistiskt det är att något inträffar. Konsekvens handlar om vilken påverkan det skulle få.
Men verkligheten är sällan så enkel att en matematisk modell ensam ger rätt svar. Ett vanligt phishingförsök kan vara mycket sannolikt, men ge begränsad påverkan om rätt skydd finns. En mindre sannolik attack mot ett affärskritiskt system kan däremot få enorma konsekvenser. Det är därför riskbedömning kräver omdöme.
Du behöver förstå verksamhetens tolerans för störningar, vilken data som är mest känslig och vilka beroenden som kan skapa kedjeeffekter. Ett driftstopp påverkar inte alla verksamheter lika. En informationsläcka är inte lika allvarlig i alla sammanhang. Det är först när riskbedömningen kopplas till verklig affärspåverkan som prioriteringarna blir meningsfulla.
En riskbedömning som inte leder till beslut är bortkastad
Det sista steget är också det som många missar. Syftet med en riskbedömning är inte att skapa dokumentation. Syftet är att fatta bättre beslut.
Om analysen visar att åtkomsthanteringen är felaktigt uppsatt behöver det leda till förändring. Om beroendet till en leverantör innebär en oacceptabel risk behöver det hanteras. Om backupstrategin inte håller för ett allvarligt scenario behöver det åtgärdas. I vissa fall innebär det tekniska investeringar. I andra handlar det om processer, ansvarsfördelning eller förändrade arbetssätt. I vissa fall kan verksamheten välja att acceptera en risk, men det ska då vara ett medvetet beslut, inte något som sker på grund av risken inte identifierats. Finns det också ett beslut där risken är accepterad så har du också aktivt flyttat ansvaret från dig själv. Det är inte längre du, utan gruppen som tagit beslutet.
Det viktigaste är inte exakt vilka åtgärder du väljer. Det viktiga är att det finns en tydlig koppling mellan den identifierade risken och beslutet som följer. Det är där riskbedömning går från teori till faktiskt säkerhetsarbete.
