Sikkerhetsrisikoanalyse: Hva må ledelsen vite?

En gjennomført sikkerhetsrisikoanalyse betyr ikke nødvendigvis at virksomheten er godt nok forberedt på DDoS-angrep. For ledere i offentlig sektor handler det om å stille de riktige spørsmålene og sørge for at sikkerheten også testes i praksis.

Dette er fjerde og siste del i vår artikkelserie om testlederens rolle i å sikre offentlige IT-systemer mot tjenestenektangrep.

I del 1 og 2 så vi på hvorfor sikkerhetsrisikoanalyser ofte får for enkle svar, og hvordan trusselbildet har utviklet seg. I del 3 delte vi fem konkrete grep testledere kan ta for å styrke sikkerheten.

Nå oppsummerer vi det viktigste budskapet til ledelsen.

En risikoanalyse er ikke nødvendigvis nok

«Ja, vi har gjort en sikkerhetsrisikoanalyse.» Det er et svar ledelsen ikke bør slå seg til ro med uten å vite hva som faktisk ligger bak. For å sikre at risikoanalysen gir et reelt bilde av virksomhetens sikkerhet, bør ledelsen stille tre sentrale spørsmål:

• Er tilgjengelighet vurdert som en del av sikkerheten? Ikke bare som et mål på stabil drift.
• Er DDoS- og tjenestenektangrep vurdert som reelle trusler? Også med tanke på avhengigheten av felles, sentralisert infrastruktur.
• Er sikkerheten testet i praksis? Eller bygger vurderingene på en rapport som ble skrevet tidlig i prosjektet og aldri oppdatert?

Testlederens rolle i sikkerhetsarbeidet

Testlederen kan ikke erstatte sikkerhetsfaget, og skal heller ikke prøve å gjøre det. Men ved å stille de riktige spørsmålene, bruke anerkjente rammeverk og samarbeide tett med sikkerhetsansvarlig, kan testlederen bidra til at sikkerhetsrisikoanalysen blir mer enn et dokument. Robusthetstesting og beredskapsøvelser bør derfor være en del av teststrategien fra starten. Som sommerens DDoS-angrep mot infrastrukturen som blant annet ID-porten var avhengig av, viste, kan konsekvensene raskt ramme flere offentlige tjenester samtidig. Målet er ikke bare å dokumentere at risikoen er vurdert, men å vite hvordan tjenesten faktisk står seg dersom noen forsøker å gjøre den utilgjengelig.

Dette er ikke et spørsmål ledelsen bør la ligge til neste prosjektfase.