NSMs grunnprinsipper for IKT-sikkerhet: slik kommer dere i gang 

De fleste virksomheter vet at cybersikkerhet er viktig. Den vanskelige jobben er å vite hva som bør komme først, og hvem som faktisk eier ansvaret. 

NSMs grunnprinsipper for IKT-sikkerhet gir norske virksomheter et felles språk for å beskytte systemer, informasjon og kritiske leveranser. Men grunnprinsippene er ikke en liste dere krysser av én gang og legger i skuffen. De må oversettes til risiko, ansvar og konkrete tiltak som passer nettopp deres virksomhet. Her viser vi hvordan dere kan bruke rammeverket i praksis, og hvor dere bør starte. 

Et rammeverk for bedre prioriteringer 

Cybersikkerhet handler om mer enn enkeltprodukter og tekniske kontroller. Virksomheten må vite hvilke verdier den er avhengig av, hvordan disse er beskyttet, hvordan avvik oppdages, og hva som skjer når noe går galt likevel. 

NSMs grunnprinsipper samler dette arbeidet i fire kategorier: 

• Identifisere og kartlegge: forstå virksomheten, leveransene, systemene, brukerne og avhengighetene deres. 

• Beskytte og opprettholde: etablere en sikker tilstand, og holde den ved like når teknologi, organisasjon og trusselbilde endrer seg. 

• Oppdage: fange opp sårbarheter, trusler og avvik gjennom kontroll, logging og sikkerhetsovervåking. 

• Håndtere og gjenopprette: forberede respons, begrense konsekvensene, gjenopprette normal drift, og lære av det som skjedde. 

Kategoriene henger tett sammen. Det er vanskelig å overvåke det dere ikke kjenner til, og enda vanskeligere å prioritere responsen hvis dere ikke på forhånd har bestemt hvilke systemer og leveranser som betyr mest. 

Ikke alle tiltak er like viktige å starte med 

Under hver kategori ligger det en rekke konkrete tiltak, og de er ikke likestilt. NSM har selv rangert de enkelte tiltakene etter prioritet i sitt eget risikovurderingsverktøy for IKT-systemer, der de høyest prioriterte tiltakene (P1) dekker ting som sikker konfigurasjon og oppdatering, endring av standardpassord før produksjonssetting, nettverkssegmentering, sikkerhetskopiering, og et etablert planverk for hendelseshåndtering. For de fleste virksomheter er dette et bedre startpunkt enn å forsøke å angripe alle 21 grunnprinsipper samtidig. 

1. Identifiser det som faktisk må beskyttes 

Godt sikkerhetsarbeid starter ikke med et verktøy. Det starter med innsikt og oversikt. Hvilke tjenester er virksomheten avhengig av? Hvilke systemer, data, identiteter og leverandører understøtter dem? Og hva skjer med driften, økonomien og omdømmet hvis noe av dette blir utilgjengelig eller kompromittert? 

I praksis bør dere kunne svare på: 

• Hvilke leveranser og forretningsprosesser er mest kritiske? 

• Hvilke systemer, enheter, applikasjoner og skyløsninger understøtter dem? 

• Hvem eier systemene og dataene? 

• Hvilke eksterne leverandører og digitale verdikjeder er dere avhengige av? 

• Hvilke regulatoriske, kontraktsmessige og interne krav gjelder? 

En fullstendig kartlegging kan fort bli overveldende. Start derfor med de mest kritiske leveransene, og bruk NSMs prioriterte tiltak (P1) som første målestokk for hvor dere står. Målet er ikke dokumentasjon for dokumentasjonens skyld, men et beslutningsgrunnlag som gjør det mulig å bruke tid og budsjett der konsekvensene er størst. 

2. Beskytt, og sørg for at beskyttelsen varer 

Sikkerhetstiltak mister verdi hvis de ikke forvaltes. Systemer endres, ansatte bytter roller, nye leverandører kobles på, og nye sårbarheter oppdages. Beskyttelse handler derfor både om å etablere en sikker tilstand og om å holde den ved like over tid. 

Aktuelle områder er blant annet sikker konfigurasjon, oppdateringer, herding, tilgangsstyring, segmentering, sikkerhetskopiering, e-post- og endepunktsbeskyttelse, leverandøroppfølging og opplæring av ansatte. 

Ledelsen trenger ikke eie den tekniske gjennomføringen, men må sørge for tydelige prioriteringer, ansvar og aksept for restrisiko. IT- og sikkerhetsmiljøene må på sin side kunne vise hvordan tiltakene faktisk reduserer risiko, ikke bare at et produkt er anskaffet. 

3. Oppdag avvik før konsekvensene vokser 

Forebyggende tiltak reduserer risikoen, men fjerner den aldri helt. Derfor må virksomheten også være i stand til å oppdage når noe er galt. Det krever relevante logger, kjennskap til hva som er normaltilstand, og kapasitet til å vurdere hendelser når de dukker opp. 

En SOC/MDR (Security Operations Center / Managed Detection and Response) kan styrke denne evnen gjennom kontinuerlig overvåking, analyse, trusseljakt og eskalering. Men verdien av overvåkingen avhenger av hva som faktisk er koblet til, kvaliteten på dataene, og hvilke responstiltak dere har avtalt på forhånd. En SOC/MDR kan ikke kompensere for ukjente systemer, uklare eiere eller manglende grunnsikring. 

4. Forbered håndtering og gjenoppretting før hendelsen 

Når en alvorlig hendelse oppstår, er tid en knapp ressurs. Kontaktveier, fullmakter og prioriteringer bør derfor være avklart på forhånd. Hvem kan beslutte å isolere et system? Hvem varsler ledelsen, kundene eller myndighetene? Hvilke leveranser skal gjenopprettes først? 

En beredskapsplan har begrenset verdi hvis den aldri er øvd. Bordøvelser og tekniske øvelser avdekker ofte enkle, men kritiske svakheter: utdaterte kontaktlister, uklare roller, manglende tilgang til sikkerhetskopier eller avhengigheter som aldri ble dokumentert. 

Hva må ledelsen eie, og hva kan settes ut? 

Virksomheten kan kjøpe teknologi, overvåking, rådgivning og hendelseshåndtering. Den kan ikke sette bort ansvaret for egen risiko. Ledelsen må fastsette ambisjonsnivå, prioritere kritiske verdier og sikre at ansvar og beslutningsmyndighet er tydelig plassert. 

En ekstern sikkerhetspartner kan bidra med spesialistkompetanse, kapasitet og uavhengige vurderinger. Samarbeidet fungerer best når det er tydelig avklart hva partneren overvåker og håndterer, hva virksomheten selv må gjøre, og hvordan partene samarbeider når avvik og hendelser oppstår. 

Slik kommer dere i gang: fem praktiske steg 

1. Velg én kritisk leveranse: Kartlegg systemer, data, identiteter, eiere og leverandøravhengigheter rundt denne leveransen. 

2. Vurder konsekvens og risiko: Beskriv realistiske hendelser, og hva de vil bety for drift, økonomi, mennesker og omdømme. 

3. Sammenlign ønsket og faktisk sikkerhetsnivå: Bruk NSMs P1-tiltak som referanse, og identifiser de viktigste gapene innen beskyttelse, overvåking og beredskap. 

4. Prioriter tiltak med tydelig eier: Velg et håndterbart antall tiltak, og angi ansvarlig, frist og forventet risikoreduksjon. 

5. Test og forbedre: Følg opp målinger, gjennomfør øvelser, og oppdater vurderingene når virksomheten eller trusselbildet endrer seg. 

Ikke gjør grunnprinsippene til en avkrysningsøvelse 

NSMs anbefalinger er relevante for alle norske virksomheter, men ikke alle tiltak betyr like mye for alle. En mindre virksomhet må prioritere hardere enn et stort konsern, og P1-tiltakene er et fornuftig sted å starte. En virksomhet med kritisk infrastruktur, sensitive personopplysninger eller strenge regulatoriske krav vil normalt trenge et høyere og mer dokumentert sikkerhetsnivå enn det P1 alene dekker. 

Det viktigste er derfor ikke å kunne si at dere «følger NSM», men å kunne forklare hvilke risikoer som er vurdert, hvilke tiltak som er valgt, hvem som eier dem, og hvordan dere vet at de faktisk virker. 

Fra anbefaling til kontroll 

Grunnprinsippene gir et godt kart, men virksomheten må selv velge rute. Når oversikt, beskyttelse, overvåking og beredskap ses i sammenheng, blir sikkerhetsarbeidet lettere å prioritere, og enklere å forklare for ledelsen og styret. 

Usikre på hvor dere bør begynne? NetNordic kan hjelpe dere med å vurdere dagens sikkerhetsnivå, prioritere de riktige tiltakene, og avklare hva dere bør eie selv, og hvor en sikkerhetspartner kan gi mest igjen for innsatsen. 

Kilder og redaksjonelle merknader 

• NSM: Introduksjon til grunnprinsipper for IKT-sikkerhet, om rammeverkets formål, målgruppe og behov for virksomhetstilpasning. 

• NSM: De fire kategoriene, med gjeldende navn og beskrivelse. 

• NetNordic: Hva er et Security Operations Center? Internt lenkemål for lesere som vil forstå SOC-funksjonen. 

• NSM: Regnearkverktøy for risikovurdering av IKT-systemer (NS-ISO/IEC 27005:2022-basert), kilde for P1-prioriteringen. 

Forfatter