Netöryggi byrjar á auðkenni fyrirtækja

Netöryggi hefst ekki með tækni, heldur með trausti

Netöryggi er oft lýst sem tæknilegri áskorun. Eldveggir, aðgangsstýringar, vöktunarkerfi og viðbragðstól við atvikum hafa tilhneigingu til að einkenna umræðuna. Þótt þessar ráðstafanir séu nauðsynlegar er það ekki þar sem netöryggi hefst í raun. Í reynd byrjar það mun fyrr — á því augnabliki þegar fyrirtæki ákveður við hvern það á í viðskiptum. Nútíma viðskipti eru samofin á djúpstæðan hátt. Fyrirtæki reiða sig á utanaðkomandi þjónustuveitendur, birgja, fjármálamilliliði og samstarfsaðila yfir landamæri. Hver tenging skapar rekstrarlegt verðmæti en felur einnig í sér áhættu. Þegar auðkenni viðskiptafélaga er óskýrt, úrelt eða erfitt að staðfesta, verður ómögulegt að meta þá áhættu á áreiðanlegan hátt. Netöryggi byggir á trausti. Og traust hefst með því að vita við hvern maður í raun á í viðskiptum.

Af hverju tæknilegt öryggi eitt og sér dugar ekki lengur

Tæknilegar öryggisráðstafanir eru hannaðar til að verja kerfi, en þær gera ráð fyrir að aðgangur sé veittur réttum aðilum. Sé aðgangur veittur röngu fyrirtæki — eða fyrirtæki sem lítið er vitað um — geta jafnvel sterkar tæknilegar varnir brugðist við að koma í veg fyrir tjón. Mörg alvarleg netöryggisatvik eiga ekki upptök sín í beinu innbroti í kerfi, heldur í misnotkun á trausttengslum. Þegar aðili með illan ásetning starfar í gegnum virðist-lögmætan samstarfsaðila, birgja eða verktaka, verða tæknilegar varnir mun áhrifaminni. Þetta breytir grundvallarspurningunni úr „Hvernig verjum við kerfin okkar?“ í „Hverjum ættum við yfirhöfuð að treysta fyrir aðgangi?“

Áhætta vegna þriðju aðila sem lykilatriði í netöryggi

Sístækkandi hluti netöryggis- og rekstraráhættu kemur frá þriðju aðilum. Þar á meðal geta verið birgjar, þjónustuveitendur upplýsingatækni, greiðslumiðlarar, flutningsaðilar eða útvistuð stoðþjónusta. Hver þriðji aðili verður hluti af víkkuðum stafrænum mörkum fyrirtækisins. Áhætta vegna þriðju aðila takmarkast ekki við veikleika í hugbúnaði eða óörugga innviði. Hún felur einnig í sér:

óskýra lagalega stöðu
ógagnsæ eignarhaldsskipulag
ósamræmd eða úrelt skráargögn
erfiðleika við að úthluta ábyrgð

Til að stjórna þessari áhættu á skilvirkan hátt reiða fyrirtæki sig á skipulögð staðfestingarferli, meðal annars KYC og staðfestingu fyrirtækja
Þegar fyrirtæki getur ekki auðkennt viðsemjendur sína með skýrum hætti eykst áhætta bæði í öryggi og regluvörslu til muna.

Stefna eftirlitsaðila: áhættumiðuð og auðkennisdrifin

Í mörgum lögsögum eru regluverk að þróast í átt að áhættumiðaðri og auðkennisdrifnari nálgun á netöryggi. Í stað þess að kveða á um sértækar tæknilegar ráðstafanir gera eftirlitsaðilar í auknum mæli kröfu um að fyrirtæki skilji og stjórni áhættu í öllu rekstrarumhverfi sínu, þar með talið hjá birgjum og þjónustuveitendum.

Innan Evrópusambandsins endurspeglast þessi þróun skýrt í NIS2-tilskipuninni og netöryggiskröfum Fyrir hinn opinbera lagaramma, sjá NIS2-tilskipunina

Þótt regluverk séu mismunandi á heimsvísu er undirliggjandi krafan sú sama: fyrirtæki verða að geta sýnt fram á að þau viti á hverja þau reiða sig og hvernig þau tengsl hafa áhrif á öryggisstöðu þeirra.

Auðkenni fyrirtækja sem grunnur netöryggis

Þegar netöryggi er skoðað í víðara samhengi verður auðkenni fyrirtækja lykilhugtak. Alþjóðlega staðlaða nálgun á auðkenningu fyrirtækja er að finna í auðkenni lögaðila (LEI)
Auðkenni fyrirtækis nær langt út fyrir nafn þess eða skráningarnúmer. Það felur í sér:

lagalega tilvist og stöðu
opinberar skráningarupplýsingar
eignarhalds- og stjórnunarskipulag
tengsl við aðra lögaðila
nákvæmni og tímanleika gagna

Án skýrs og staðlaðs auðkennis fyrirtækis verður áreiðanlegt áhættumat erfitt. Þessi áskorun eykst enn frekar í starfsemi yfir landamæri, þar sem gögn koma frá mörgum landsbundnum skrám sem nota ólík snið og staðla. Í stafrænu og sjálfvirku umhverfi þarf auðkenni fyrirtækis að vera ótvírætt, véllesanlegt og alþjóðlega samræmt til að styðja við skilvirka áhættustýringu.

Sjónarhorn lítilla fyrirtækja: að verða traustur samstarfsaðili

Umræða um netöryggi og regluverk beinist oft að stórum fyrirtækjum. Sömu lögmál hafa þó sterk áhrif á lítil og meðalstór fyrirtæki sem vilja starfa með stórfyrirtækjum, fjármálastofnunum eða alþjóðlegum viðskiptavinum. Fyrir smærri fyrirtæki er helsta hindrunin oft ekki vörugæði eða tæknileg geta, heldur traust. Stór fyrirtæki þurfa að meta áhættu vegna hvers nýs samstarfsaðila, en geta ekki gert það handvirkt og ítarlega fyrir hvern mögulegan birgja. Þess vegna reiða þau sig á staðla, vísbendingar og skipulögð gögn til að ákveða hvaða tengsl er þess virði að skoða nánar. Mörg samstarfstækifæri stranda ekki vegna þess að tilboðið skorti verðmæti, heldur vegna þess að ekki er hægt að átta sig fljótt og skýrt á viðsemjandanum.

LEI sem hraðall trausts og innleiðingar

Hér verður auðkenni lögaðila (LEI) mikilvægt. LEI er alþjóðlegur staðall sem er hannaður til að auðkenna lögaðila með einstökum hætti og tengja þá við staðfest viðmiðunargögn frá viðurkenndum aðilum. Fyrir smærri fyrirtæki er LEI ekki eingöngu regluvarðaðar kröfur í ákveðnu samhengi. Það er hagnýtt verkfæri sem gerir þeim kleift að kynna sig á þann hátt sem samræmist því hvernig stór fyrirtæki stýra áhættu. LEI gefur til kynna að:

lögaðilinn sé auðkennanlegur með einstökum hætti
grunnviðmiðunargögn hans séu tengd opinberum skrám
eignarhaldsupplýsingar séu gefnar upp á stöðluðu formi
gögnin megi nota í sjálfvirkum ferlum og ferlum yfir landamæri

Frá sjónarhóli stórs fyrirtækis dregur þetta úr upphaflegri óvissu og flýtir fyrir ákvörðun um hvort mögulegt samstarf geti gengið áfram. LEI tryggir ekki samstarf né kemur í stað áreiðanleikakönnunar, en það hjálpar fyrirtæki að verða skiljanlegt og metanlegt mun fyrr í ferlinu.

Netöryggi sem sameiginleg ábyrgð í aðfangakeðjunni

Netöryggi er ekki eingöngu á ábyrgð stórra kaupenda eða miðlægra vettvanga. Hver þátttakandi í aðfangakeðju leggur sitt af mörkum til heildaráhættumyndarinnar. Þegar einn aðili getur ekki kynnt auðkenni sitt með skýrum hætti eða haldið gögnum sínum uppfærðum, verður öll keðjan viðkvæmari. Af þessum sökum njóta smærri fyrirtæki einnig góðs af því að taka upp staðla sem gera auðveldara að staðfesta þau og fella þau inn í áhættustýringarramma samstarfsaðila sinna — oft áður en slíkar kröfur verða formlega gerðar.

Stöðug nákvæmni sem forsenda trausts

Hvorki netöryggi né auðkenni fyrirtækja er kyrrstætt fyrirbæri. Fyrirtæki breytast, eignarhaldsskipulag þróast og gögn úreldast. Auðkennisathuganir sem eru aðeins gerðar einu sinni missa fljótt gildi sitt. Skilvirk áhættustýring byggir á auðkennisupplýsingum sem haldast nákvæmar og uppfærðar með tímanum. Þessi viðvarandi áreiðanleiki styður ekki aðeins regluvörslu, heldur einnig langtímatraust milli viðskiptafélaga.

Niðurstaða

Netöryggi hefst ekki í netþjónarýminu, né lýkur því með hugbúnaði. Það hefst með því að skilja við hvern maður á í viðskiptum og á hvaða grundvelli þau tengsl byggja. Tæknilegar ráðstafanir eru áfram nauðsynlegar, en án skýrs, staðlaðs og uppfærðs auðkennis fyrirtækis eru þær ófullkomnar. Í samofnu og regluvörðu hagkerfi nútímans er þekking á viðsemjendum einn mikilvægasti öryggisþátturinn sem völ er á. LEI veitir sameiginlegan, alþjóðlegan ramma sem hjálpar bæði stórum og litlum fyrirtækjum að byggja upp traust, bæta gagnsæi og eiga skilvirkara samstarf yfir landamæri.