Det kan være svært at prioritere i arbejdet med cybersikkerhed, når alt føles presserende. Læs, hvordan et samlet risikobillede giver et bedre grundlag for at prioritere indsatsen og træffe kvalificerede beslutninger, der skaber værdi for forretningen.
De fleste organisationer arbejder allerede med mange områder inden for cybersikkerhed. De laver risikovurderinger, har sikkerhedskontroller og politikker, stiller krav til leverandører og arbejder løbende med compliance og beredskabsplaner.
Alligevel står mange med det samme spørgsmål: Hvad skal prioriteres først?
Pointen er enkel: Når alt bliver behandlet som kritisk, bliver det sværere at vurdere, hvad der faktisk kræver handling her og nu.
For at kunne prioritere kræver det et samlet overblik over organisationens risici og en klar forståelse af, hvad der er vigtigst for forretningen.
Governance, risk og compliance (GRC) spiller en central rolle i arbejdet med cybersikkerhed. Governance sikrer, at det er tydeligt, hvem der træffer beslutningerne. Risikostyring gør det muligt at vurdere og sammenligne risici, mens compliance sikrer, at organisationen kan dokumentere sine beslutninger og overholde relevante krav.
Tilsammen giver det et bedre grundlag for at prioritere indsatsen og bruge ressourcerne, hvor de gør størst forskel. Ikke kun for it-sikkerheden, men for virksomheden som helhed.
Prioritering skaber forretningsmæssig værdi
Risikobaseret prioritering har direkte forretningsmæssig værdi. Den gør organisationen bedre i stand til at håndtere angreb, driftsforstyrrelser, leverandørsvigt og regulatoriske krav uden at sprede indsatsen for tyndt. Internt bliver ressourcerne brugt mere målrettet, og sikkerhedsorganisationen får et tydeligere mandat.
Eksternt handler det om troværdighed. Kunder, samarbejdspartnere, revisorer og myndigheder forventer i stigende grad, at cybersikkerhed kan forklares som en risikobaseret og ledelsesforankret disciplin. Det er ikke længere nok at dokumentere, at der findes kontroller. Organisationen skal også kunne vise, hvorfor de er relevante, hvordan de virker og hvor der stadig er en accepteret restrisiko.
Prioritering gør cybersikkerhed mulig at styre, mulig at forklare og mulig at forankre som en del af organisationens samlede risikostyring. Men det er en disciplin, der godt kan være svær i praksis.
Når alt kan begrundes som vigtigt
Organisationen står med en sårbarhed i et internt system, der er manglende MFA hos en gruppe eksterne brugere, en kritisk leverandør uden opdateret sikkerhedsdokumentation og et kommende auditkrav.
Kompleksiteten i cybersikkerhed opstår ikke, fordi organisationen mangler opgaver, men fordi de enkelte opgaver hver især kan begrundes som vigtige.
Alle disse fire forhold kræver handling, men de kræver ikke nødvendigvis samme hastighed, samme ressourcer eller samme opmærksomhed fra ledelsen.
Hvis organisationen ikke kan koble hvert forhold til forretningskritikalitet, datatyper, adgangsniveauer, eksisterende kontroller og mulig konsekvens, bliver det svært at afgøre, hvad der skal først. Skal man lukke sårbarheden, fordi den er teknisk kritisk? Eller skal man presse leverandøren, fordi afhængigheden er forretningskritisk?
Uden et samlet styringsgrundlag bliver rækkefølgen bestemt af det, der presser sig mest på: den nærmeste deadline, den mest højlydte interessent, det seneste fund eller den risiko, der er lettest at forklare. Det er sjældent et udtryk for manglende faglighed, men for at prioriteringen ikke er forankret i en styringsmodel, der kan afgøre den.
Fragmentering gør prioritering usikker
En stor udfordring i mange organisationer kan være, at cyberrisici, kontroller og compliancekrav lever i forskellige spor, fordi arbejdet håndteres i de enkelte afdelinger.
Leverandørstyring kan for eksempel blive vurderet ét sted i marketing, et andet sted i IT og et tredje sted i økonomi. Resultatet er, at organisationen får mange lokale vurderinger, men ikke nødvendigvis et samlet billede. Derfor bliver det uklart, hvilke:
• leverandører der reelt er mest kritiske
• systemer der er nødvendige for de vigtigste processer
• risici der går igen på tværs af organisationen
• kontroller der mangler eller ikke fungerer efter hensigten
• beslutninger der bør løftes til ledelsen
Fragmenteringen opstår ofte, når organisationen over flere år har reageret på nye krav, trusler og forretningsbehov uden at samle vurderingerne i én styringsmodel. Når tre afdelinger vurderer leverandører ud fra tre forskellige forståelser af kritikalitet, mangler organisationen ikke vurderinger, men en aftale om, hvilken vurdering der gælder.
Fra fragmenteret indsats til samlet prioritering
Hvis organisationen skal eliminere fragmenteret siloarbejde, handler det om at skabe en fælles måde at vurdere, sammenligne og eskalere risici på, så de forskellige vurderinger kan bruges som en del af et samlet prioriteringsgrundlag.
Afdelingerne kan stadig have ansvar for deres egne systemer, leverandører og processer, men vurderingerne skal bygge på samme kriterier. Når marketing vurderer en digital leverandør, IT vurderer en sårbarhed og økonomi vurderer et compliancekrav, bør de ikke arbejde med tre forskellige forståelser af kritikalitet, konsekvens og acceptabel risiko.
Samlet prioritering kræver derfor fælles kriterier for, hvilke processer der er forretningskritiske, hvilke data der er mest følsomme, hvilke kontroller der reducerer risikoen, og hvornår en risiko skal løftes til ledelsen. Først da kan organisationen vurdere, hvor den er mest eksponeret, og hvor der mangler beslutninger, ressourcer eller risikoaccept.
GRC-modenheden viser sig i evnen til at forklare rækkefølgen: hvorfor én risiko kræver handling nu, mens en anden kan accepteres, overvåges eller håndteres senere. Det er samtidig den forklaring, ledelsen og eksterne parter efterspørger. NIS2-direktivet placerer ansvaret for risikostyring hos den øverste ledelse, og dermed bliver rækkefølgen ikke alene et fagligt spørgsmål, men også et ledelsesmæssigt.
Når manglende prioritering bliver et risikoproblem
Manglende prioritering er ikke kun en administrativ udfordring. Det kan ændre organisationens reelle risikoprofil. Er prioriteringen ikke tydelig, kan organisationen ende med at bruge kræfter på forhold, der er lette at dokumentere, mens mere kritiske eksponeringer får for lidt opmærksomhed.
Samtidig er der risiko for, at alvoren i en risiko bliver undervurderet. Et system kan se mindre kritisk ud i en teknisk vurdering, men have stor betydning for en central forretningsproces. En leverandør kan fremstå acceptabel i en generel vurdering, men udgøre en større risiko, hvis leverandøren har adgang til følsomme data.
Det gør det også vanskeligere at skabe en meningsfuld dialog med ledelsen. Hvis rapporteringen primært består af aktivitetsstatus, kontrolopfyldelse og tekniske observationer, bliver det vanskeligt at forklare, hvilke beslutninger der reelt er nødvendige. Ledelsen har brug for at forstå konsekvenser og handlemuligheder – ikke kun status. Samtidig bliver mønstre på tværs af leverandørstyring, hændelseshåndtering og compliancearbejde først synlige, når informationerne samles.
Risikoappetit gør prioritering konkret
Prioritering kræver et bevidst valg om, hvilke risici der skal reduceres, accepteres, overføres eller overvåges tættere, og her spiller risikoappetit en central rolle. Det er samtidig det sted, hvor ledelsens rolle bliver konkret, fordi risikovillighed er en beslutning, ledelsen skal træffe, og ikke en vurdering den enkelte risikoejer kan foretage alene.
Risikoappetit handler om at definere, hvilket risikoniveau organisationen er villig til at acceptere for at nå sine mål. I arbejdet med cybersikkerhed bør det ikke være en generel formulering i en politik, men et praktisk styringsprincip der kan bruges i konkrete beslutninger.
Det kan for eksempel handle om:
• hvor længe organisationen kan acceptere kritiske sårbarheder i forretningskritiske systemer
• hvilke typer data og processer der kræver skærpede kontroller
• hvor stor leverandørafhængighed organisationen vil acceptere uden kompenserende foranstaltninger
• hvornår en cyberrisiko skal eskaleres til ledelsen
• hvilke risici organisationen bevidst vælger at acceptere
Uden en tydelig risikovillighed bliver prioritering afhængig af den enkelte situation, afdeling eller risikoejer. Med en tydelig risikovillighed kan organisationen træffe mere konsistente beslutninger – også når trusselsbilledet ændrer sig.
4 trin til bedre risikostyring
En mere moden tilgang til cybersikkerhed handler altså ikke om at producere mere dokumentation, men om at skabe et bedre grundlag for beslutninger. Spørgsmålene er sjældent svære at formulere: hvilke forretningsprocesser er mest kritiske, hvilke systemer, data og leverandører er de afhængige af, hvilke kontroller reducerer risikoen, og hvilke risici overstiger organisationens risikoappetit. Det vanskelige er simpelthen, hvordan man skaber en god proces.
En praktisk proces kan bestå af fire trin:
1. Kortlægning af de kritiske processer og deres afhængigheder
Organisationen kan med fordel begynde med de 10-15 processer, driften ikke kan undvære i en uge, frem for med systemporteføljen. For hver proces beskrives de systemer, datatyper og leverandører, den er afhængig af, med en navngiven ejer. Det er her de tværgående risici bliver synlige, fordi den samme leverandør ofte optræder under flere processer med forskellige vurderinger. En fuldstændig fortegnelse over organisationens aktiver er ikke en forudsætning for at komme i gang, og ventetiden på det er en almindelig årsag til, at arbejdet aldrig bliver afsluttet.
2. Kobling mellem kontroller og risici
Organisationens kontroller kortlægges én gang med udgangspunkt i de risici, de skal håndtere. Herefter kan de samme kontroller kobles til krav på tværs af forskellige frameworks. ISO 27001:2022 indeholder 93 kontroller i Annex A, og størstedelen kan også understøtte kravene i NIS2 og DORA. På den måde kan organisationen genbruge eksisterende dokumentation, undgå dobbeltarbejde og bruge flere ressourcer på at håndtere de risici, der har størst betydning for forretningen.
3. Fælles skalaer og aftalte tærskler
Den samme konsekvensskala fra 1 til 5 bør anvendes i alle afdelinger, defineret i målbare størrelser som nedetid i timer, antal berørte registrerede eller kategori af persondata. Dertil kommer frister, der kan bruges i en konkret prioritering: kritiske sårbarheder i forretningskritiske systemer lukkes inden 14 dage, hvorefter fortsat drift kræver en ledelsesbeslutning. Omvendt bør en CVSS-score på 9,8 ikke i sig selv udløse en hasteopgave, hvis systemet er isoleret og uden adgang til produktionsdata.
4. Et fast forum for rækkefølgen
Governance i praksis kræver en fast kadence, for eksempel en kvartalsvis gennemgang, hvor de ti væsentligste risici prioriteres, og hvor begrundelsen dokumenteres sammen med beslutningen. Det gør det senere muligt at forklare, hvorfor ét forhold blev håndteret først, og et andet kunne vente.
De to første trin kan gennemføres over et par kvartaler i en mellemstor organisation. Det tredje trækker typisk længere ud, fordi det kræver, at ledelsen tager stilling til et niveau, der tidligere var underforstået.
Når trinnene er på plads, ændrer cybersikkerhedsarbejdet karakter.
Prioriteringen bygger på et dokumenteret risikobillede frem for mavefornemmelser, isolerede fund eller enkeltstående krav, og det bliver tydeligt, hvor indsatsen gør den største forskel. Det giver et stærkere grundlag for at træffe de rigtige beslutninger, handle i tide og beskytte forretningen.