NIS 2

Benytt anerkjente rammeverk som:

• ISO/IEC 27001
• NSMs grunnprinsipper
• CIS Controls

Dokumenter sikkerhetsmål, roller, ansvar og styringsstrukturer.

Innhent og bruk trusselvurderinger fra NorCERT, ENISA og/eller egne tjenesteleverandører.

Etabler rutiner for å revidere og oppdatere sikkerhetsrutiner ved vesentlige endringer i trusselbildet.

Sørg for ledelsesforankring og godkjenning av rutiner og risikovurderinger.

• Utarbeid og dokumenter hendelseshåndteringsplan.
• Planlegg klare ansvarsforhold og varsling til relevante myndigheter.
• Gjennomfør regelmessige øvingsøkter og streb etter kontinuerlig forbedring.

Utarbeid og vedlikehold planer for forretningskontinuitet og gjenoppretting, med klart definerte roller og prosesser.

Test planene jevnlig gjennom simulerte scenarioer, som for eksempel løsepengeangrep eller tap av sentrale dataressurser. Det betyr å holde regelmessige øvelser.

Sikre sikkerhetskopier offline og implementer uforanderlighet («immutability»), beskyttet med flerfaktorautentisering (MFA). Sørg for at det finnes backup-løsninger eller alternative systemer i kritisk infrastruktur, inkludert strøm, nettverk og tjenester.

Gjennomfør regelmessige revisjoner av gjenopprettingsprosessene.

Kartlegg og klassifiser alle kritiske leverandører, for eksempel innen drift, IaaS (Infrastructure as a Service), maskinvare og programvare.

Inkluder tydelige sikkerhetskrav i avtalene, med referanser til anerkjente standarder. Still også krav om regelmessige revisjoner, sikkerhetssertifiseringer og rapporter – som for eksempel SOC 2 Type II eller tilsvarende – både i avtaler og ved anskaffelser.

• Innfør klare anskaffelseskrav som omfatter sikkerhetsvurderinger og etablerte standarder.
• Krev regelmessig sårbarhetstesting og tilgang til kildekode når det er nødvendig.
• Opprett faste rutiner for sikker programvareoppdatering («patching») og sporbar versjonskontroll.

• Opprett et ISMS (Information Security Management System) for systematisk styring av informasjonssikkerhet.
• Implementer GRC-verktøy (Governance, Risk and Compliance) for å styrke styring, risikohåndtering og etterlevelse.
• Gjennomfør interne revisjoner og regelmessige ledelsesgjennomganger for å sikre kontinuerlig forbedring.
• Engasjer eksterne rådgivere for å bygge et robust og effektivt system.

Implementer sterke sikkerhetstiltak, som:

• Passordrutiner og multifaktorautentisering (MFA)
• Oppdatert antivirusprogramvare og klientkontroll
• Gjennomfør opplæring i sosial manipulering, phishing og sikker digital adferd.
• Simuler angrep for å teste beredskapen.
• Tilby praktisk bevissthetsopplæring for å styrke kompetanse og årvåkenhet.

Bruk konfigurasjonsverktøy og automasjon, for eksempel:

• Infrastructure as Code (IaC)
• Systemer for sikkerhetsbaseline og digital etterlevelse
• Sikker distribusjon og versjonskontroll
• Sikring av programvareforsyningskjeden (inkludert leverandørkontroll og tredjepartsstyring)
• Kontinuerlig systemovervåkning og dataintegritet

Følg prinsippene for «security by design» og «security by default» i alle leveranser. Verifiser og valider alle komponenter før de tas i bruk.

Utarbeide rutine med prosedyre for kryptering.

Hente inn bistand fra spesialister.

Bruke sikre nøkkelhåndteringssystemer, fortrinnsvis HSM (Hardware Security Modules).

• Innfør rollebasert tilgangskontroll (RBAC) og IAM-verktøy for effektiv tilgangsstyring.
• Gjennomfør regelmessige revisjoner av tilganger og overvåk brukeratferd for å oppdage avvik.
• Utfør bakgrunnssjekker ved nyansettelser eller overgang til sensitive stillinger (innenfor lovens rammer).
• Implementer klare rutiner for hendelseshåndtering og etabler en tydelig offboarding-prosess, inkludert fysisk adgangskontroll.
• Gjør ansvarlige roller bevisste på kravene og forventningene.

• Innfør flerfaktorautentisering (MFA) for alle brukere med tilgang til sensitive systemer.
• Implementer kontinuerlig autentisering (KA) for løpende kontroll, helst i kombinasjon med MFA.
• Krypter all kommunikasjon, inkludert samtaler, fildeling, chat og andre sensitive data.
• Opprett dedikerte krisekommunikasjonskanaler for sikker og effektiv håndtering av hendelser.

Sikre at virksomheten har et oppdatert risikobilde og et dokumentert styringssystem for informasjonssikkerhet.

• Rask respons og minimal skade ved sikkerhetshendelser.
• Samordnet innsats internt og eksternt.
• Overholdelse av varslingsplikt i henhold til NIS2 (og eventuelle andre regelverk)

Sikre at virksomheten raskt kan gjenoppta tjenester og beskytte kritisk informasjon ved hendelser som truer driften.

• Minimer risikoen for sikkerhetsbrudd forårsaket av tredjeparter.
• Sikre at eksterne aktører ikke svekker virksomhetens drift.
• Etabler tydelig sporbarhet og ansvarlighet gjennom hele leverandørkjeden.

• Reduser risikoen for sikkerhetshull og kompromittering knyttet til programvare.
• Sikre at alle systemer gjennomgår en grundig sikkerhetsvurdering før de tas i bruk.
• Oppretthold tilliten til digitale løsninger gjennom kontinuerlig og kontrollert vedlikehold.

• Integrere cybersikkerhet i virksomhetens styringsmodell.
• Sikre kontinuitet, sporbarhet og ansvarlighet i sikkerhetsarbeidet.
• Redusere risiko gjennom helhetlig kontroll og styring.

• Sikre solid grunnleggende sikkerhet i virksomheten.
• Styrk ansattes evne til å gjenkjenne og håndtere trusler, som sosial manipulasjon og phishing.
• Forhindre at enkle feil eller ubevisste handlinger resulterer i alvorlige sikkerhetshendelser.
• Integrer sikkerhetstenkning som en naturlig del av daglige arbeidsrutiner.

• Etablere sikker, effektiv og konsistent bruk av kryptering for å forhindre uautorisert tilgang og datalekkasjer.
• Sikre pålitelig og sikker behandling av informasjon.
• Skaffe tillit hos kunder og samarbeidspartnere.

• Forhindre uautorisert tilgang til systemer og data.
• Redusere risiko ved interne trusler og feil.
• Sørge for sporbarhet og etterlevelse.

• Hindre uautorisert tilgang til viktige systemer og data.
• Sikre pålitelig og fortrolig kommunikasjon i drift og krise.
• Øke tilliten og evnen til virksomhetens til å fortsette å levere sine tjenester.

ALLE + INTERN PROSESS

FieldEffect MDR Heimdal MXDR WatchGuard Open MDR

CloudAlly Comet

ConnectSecure SecurityScorecard

ConnectSecure Heimdal WatchGuard

ALLE + INTERN PROSESS

Augmentt ConnectSecure FieldEffect Heimdal KnowBe4 usecure

WatchGuard

Augmentt Heimdal PAM ConnectSecure WatchGuard

Augmentt WatchGuard