Forvaltning av eiendeler

Alle elementer som bidrar til at organisasjonen når sine forretningsmål, som data, personell, utstyr, systemer og anlegg, blir identifisert og forvaltet. Dette gjøres på grunnlag av deres relative betydning for organisasjonens forretningsmål og risikostrategi.

• Fysiske enheter og systemer i organisasjonen kartlegges.
• Programvareplattformer og applikasjoner i organisasjonen kartlegges.
• Kommunikasjons- og dataflyten i organisasjonen kartlegges.
• Eksterne informasjonssystemer katalogiseres.
• Ressurser som maskinvare, enheter, data og programvare prioriteres i henhold til klassifisering og forretningsverdi.
• Cybersikkerhetsroller og -ansvarsområder for alle ansatte og eksterne interessenter, for eksempel leverandører, kunder og samarbeidspartnere, er etablert.

Risikovurdering

Organisasjonen forstår cybersikkerhetsrisikoen som kan påvirke virksomheten (inkludert oppdrag, funksjoner, image eller omdømme), eiendeler og mennesker.

• Sårbarheter i eiendeler identifiseres og dokumenteres.
• Informasjon om trusler og sårbarheter innhentes fra fora og kilder for informasjonsdeling.
• Trusler, både interne og eksterne, identifiseres og dokumenteres.
• Potensiell innvirkning på virksomheten og sannsynlighet identifiseres.
• Trusler, sårbarheter, sannsynligheter og konsekvenser brukes til å vurdere risiko.
• Risikomessige tiltak identifiseres og prioriteres.

Strategi for risikostyring

Organisasjonen fastsetter sine prioriteringer, begrensninger, risikotoleranser og antakelser for å støtte beslutninger om operasjonell risiko.

• Risikostyringsprosessene er etablert, administrert og godkjent av interessenter i organisasjonen.
• Organisasjonens risikotoleranse er fastsatt og tydelig formulert.
• Organisasjonen fastsetter sin risikotoleranse basert på sin rolle i den kritiske infrastrukturen og sektorspesifikke risikoanalyser.

Prosesser og prosedyrer for informasjonssikkerhet.

Retningslinjer, prosesser og prosedyrer for informasjonssikkerhet opprettholdes og brukes for å sikre effektiv beskyttelse av informasjonssystemer og -ressurser. Dette omfatter retningslinjer for formål, omfang, roller, ansvarsområder, ledelsesinvolvering og koordinering mellom organisatoriske enheter.

• En grunnleggende konfigurasjon for informasjonsteknologi og industrielle kontrollsystemer er etablert og vedlikeholdt.
• En systemutviklingssyklus for styring av systemer er implementert.
• Konfigurasjonsendringer kontrolleres gjennom prosesser.
• Sikkerhetskopier av informasjon opprettes, vedlikeholdes og testes med jevne mellomrom.
• Retningslinjer og forskrifter for organisasjonens fysiske driftsmiljø overholdes.
• Data destrueres i henhold til retningslinjer.
• Sikkerhetsprosessene forbedres kontinuerlig.
• Effektiviteten til beskyttelsesteknologiene deles med relevante parter.
• Beredskapsplaner (Incident Response og Business Continuity) og gjenopprettingsplaner (Incident
• Recovery og Disaster Recovery) er på plass og administreres.
• Respons- og gjenopprettingsplaner testes.
• Cybersikkerhet er inkludert i personalpolitikken, for eksempel ved screening av ansatte.
• En plan for sårbarhetsstyring er utviklet og implementert.

Vedlikehold

Vedlikehold og reparasjoner av komponenter i industrielle kontroll- og informasjonssystemer utføres i henhold til etablerte retningslinjer og prosedyrer.

• Vedlikehold og reparasjoner av organisatoriske eiendeler utføres og dokumenteres i tide, ved bruk av godkjente og kontrollerte verktøy.
• Fjernvedlikehold av driftsmidler godkjennes, registreres og utføres på en måte som forhindrer uautorisert tilgang.

Avvik og hendelser

Avvik oppdages i tide, og den potensielle effekten av hendelser blir forstått.

• En grunnlinje for nettverksaktivitet og forventet dataflyt for brukere og systemer etableres og administreres.
• Oppdagede hendelser analyseres for å forstå angrepsmål og -metoder.
• Hendelsesdata samles inn og korreleres fra flere kilder og sensorer.
• Konsekvensene av hendelsene vurderes, og terskelverdier for varsling av hendelser fastsettes.

Løpende sikkerhetsovervåking

Informasjonssystemet og -ressursene overvåkes jevnlig for å identifisere cybersikkerhetshendelser og verifisere at beskyttelsestiltakene er effektive.

• Nettverket overvåkes for å avdekke mulige cybersikkerhetshendelser.
• Det fysiske miljøet overvåkes for å avdekke mulige cybersikkerhetshendelser.
• De ansattes aktiviteter overvåkes for å avdekke mulige cybersikkerhetshendelser.
• Skadelig kode oppdages.
• Uautorisert mobilkode oppdages.
• Aktiviteter hos eksterne tjenesteleverandører overvåkes for å avdekke mulige cybersikkerhetshendelser.
• Uautorisert personell, uautoriserte tilkoblinger, uautoriserte enheter og uautorisert programvare overvåkes.
• Sårbarhetsskanninger utføres.

Deteksjonsprosesser

Deteksjonsprosesser og -prosedyrer vedlikeholdes og testes for å sikre at avvikende hendelser oppdages i tide og i tilstrekkelig grad.

Planlegging av respons

Responsprosesser og -prosedyrer implementeres og vedlikeholdes for å sikre rask respons på oppdagede cybersikkerhetshendelser.

• Responsplanen aktiveres under eller etter en hendelse.

Kommunikasjon

Beredskapsaktiviteter koordineres med interne og eksterne interessenter, inkludert ekstern støtte fra politimyndigheter, etter behov.

• Medarbeiderne kjenner sine roller og rekkefølgen av operasjoner under en respons.
• Hendelser rapporteres i henhold til etablerte kriterier.
• Informasjon deles i henhold til responsplanene.
• Koordinering med interessenter skjer i henhold til responsplanene.
• Frivillig informasjonsdeling med eksterne interessenter fremmer en bredere situasjonsbevissthet om cybersikkerhet.

Analyse

En grundig analyse utføres for å sikre at en passende respons følger og for å støtte gjenopprettingsaktiviteter.

• Undersøkelse av rapporter fra deteksjonssystemer: Alle rapporter fra sikkerhetsdeteksjonssystemer undersøkes nøye for å fastslå hendelsens art og alvorlighetsgrad.
• Forståelse av hendelsens innvirkning: Konsekvensene og omfanget av hendelsen blir fullt ut forstått for å kunne evaluere innvirkningen på organisasjonen.
• Kriminalteknisk undersøkelse: En grundig kriminalteknisk undersøkelse gjennomføres for å fastslå hendelsens årsak, metoder og omfang.
• Kategorisering av hendelser i henhold til responsplaner:
• Hendelser kategoriseres i henhold til forhåndsetablerte responsplaner for å sikre en strukturert og effektiv respons.

Avbøtende tiltak

Tiltak som iverksettes for å hindre videre spredning av en hendelse, minimere konsekvensene og eliminere hendelsen helt.

• Begrensning av hendelsen: Tiltak iverksettes for umiddelbart å stoppe spredningen av hendelsen og forhindre ytterligere skade.
• Begrensning av hendelser: Tiltak iverksettes for å redusere virkningen og skaden som hendelsen forårsaker.
• Håndtering av nye sårbarheter: Nyoppdagede sårbarheter håndteres ved å redusere dem eller, om nødvendig, dokumentere dem som en akseptert risiko.

Forbedringer

Organisasjonens responsaktiviteter optimaliseres ved å lære av nåværende og tidligere erfaringer med deteksjon og respons.

• Integrering av erfaringer i responsplanene:
• Beredskapsplanene tilpasses og forbedres basert på innsikt og erfaringer fra tidligere hendelser og responser.
• Oppdatering av responsstrategier: Responsstrategiene oppdateres for å kunne reagere mer effektivt på fremtidige hendelser basert på de erfaringene man har gjort seg.

Planlegging av gjenoppretting

Gjenopprettingsprosesser og -prosedyrer implementeres og vedlikeholdes for å sikre rettidig gjenoppretting av systemer eller eiendeler som påvirkes av cybersikkerhetshendelser.

• Implementering av gjenopprettingsplan: Gjenopprettingsplanen iverksettes under eller umiddelbart etter en hendelse for å gjenoppta normal drift så snart som mulig.

Forbedringer

Gjenopprettingsplanlegging og -prosesser optimaliseres ved å innlemme erfaringer i fremtidige aktiviteter.

• Innlemme erfaringer i gjenopprettingsplanene:
• Gjenopprettingsplanene tilpasses og forbedres basert på innsikt og erfaringer fra tidligere gjenopprettingsaktiviteter.
• Oppdatering av gjenopprettingsstrategier: Gjenopprettingsstrategiene oppdateres for å sikre en mer effektiv gjenoppretting ved fremtidige hendelser.

Kommunikasjon

Gjenopprettingsaktiviteter koordineres med interne og eksterne parter, inkludert koordineringssentre, Internett-leverandører, eiere av angripende systemer, ofre, andre CSIRT-er og leverandører.

• PR-arbeid: Kommunikasjonen med omverdenen styres nøye for å beskytte organisasjonens omdømme.
• Gjenopprette omdømmet etter en hendelse: Det iverksettes aktive tiltak for å gjenopprette organisasjonens tillit og omdømme etter en sikkerhetshendelse.
• Kommunikasjon av gjenopprettingsaktiviteter: Informasjon om gjenopprettingsaktiviteter deles med interne interessenter, inkludert ledelsen og ledergruppene, for å holde dem informert om fremdrift og resultater.