Laurence CadieuxDer er ord, som ofte opfattes som synonymer (det vil sige bruges i flæng), men som i virkeligheden er forskellige begreber med hver deres definitioner og sammenhænge. Og i IT-verdenen er det nok mest almindelige eksempel to hyppigt brugte — og ofte misbrugte — begreber: cybersikkerhed og IT-sikkerhed.
Om cybersikkerhed
Cybersikkerhed har rod i at beskytte data mod trusler, der kan opstå over internettet, såsom phishing, malware, SQL-injektioner og så videre. For at nå dette kritiske mål er cybersikkerhedsprofessionelle (som har forskellige stillingsbetegnelser) dybt involveret i at udvikle og indføre planer, strategier, teknikker, systemer, platforme og værktøjer til risikoreduktion.
Derudover har disse afgørende fagfolk til opgave at sikre, at deres organisation har en plan for hændelsesrespons. Det er vitalt, men det lykkes ikke altid. Vores nyligt udgivne undersøgelsesrapport om cybersikkerhedens tilstand i SMV’er i 2021/2022 viste, at 40 % af SMV’erne ikke har en samlet og opdateret plan for hændelsesrespons inden for cybersikkerhed. Et større cybersikkerhedsbudget og/eller samarbejde med en leverandør af administrerede tjenester kan hjælpe SMV’er med at lukke dette hul. Afsnittet med anbefalinger i undersøgelsesrapporten gennemgår kerneelementerne i en effektiv plan for hændelsesrespons inden for cybersikkerhed.
Om IT-sikkerhed
IT-sikkerhed har rod i at beskytte adgangen til computere, netværk og information. Det omfatter både fysisk beskyttelse (det vil sige at forhindre uautoriserede personer i at få adgang til serverrummet) og datasikkerhed (det vil sige at forhindre uautoriserede personer i at få adgang til visse privilegerede konti).
En udbredt model, som mange organisationer bruger til at designe og levere deres IT-sikkerhedsprogram, kaldes CIA-triaden, som står for fortrolighed, integritet og tilgængelighed:
- Fortrolighed fokuserer på at beskytte følsomme oplysninger mod uautoriseret adgang. Den omfatter også at kategorisere og prioritere data (og dermed databeskyttelse) ud fra typen og omfanget af den skade, der kan opstå, hvis de kompromitteres.
- Integritet fokuserer på at sikre, at data er konsistente, nøjagtige og troværdige på tværs af hvert livscyklusstadie, som omfatter: indsamling af data, vedligeholdelse af data, syntese af data, brug af data, publicering af data, arkivering af data og sletning af data.
- Tilgængelighed fokuserer på at sikre, at information er let og praktisk tilgængelig for autoriserede parter og på en måde, der er afstemt med organisationens standarder og compliancekrav.
Overlappet
På dette tidspunkt klør nogle ikke-tekniske læsere sig måske i hovedet og spørger: “Jeg troede, vi skulle skelne mellem cybersikkerhed og IT-sikkerhed — men selv efter at have set på begge dele ligner de stadig det samme!” Til det kan vi kun sige: “Ja, du har en god pointe!”
I den virkelige verden er der nemlig et betydeligt overlap mellem cybersikkerhed og IT-sikkerhed. De bygger begge på flere integrerede strategier, værktøjer, praksisser, politikker og så videre for at sikre og beskytte information. Derfor samles cybersikkerhed og IT-sikkerhed i mange organisationer — især SMV’er — i det samme team og ejes endda af én enkelt person (alias den glorværdige “IT-guru”, der vågent forsvarer den tynde digitale linje mellem klarhed og kaos).
Dertil kommer, at IT-sikkerhed har været etableret i flere årtier, mens cybersikkerhed er et relativt nyere driftsområde. (Selv om den konceptuelle infrastruktur for det, vi nu kalder internettet, blev lagt i midten af det 20. århundrede, var det først i 1990’erne, at det begyndte at slå rod som et kommercielt aktiv.) Derfor ses cybersikkerhed ofte som en delmængde eller en udvidelse af IT-sikkerhed.
Desuden er det almindeligt, at cybersikkerhedsprofessionelle og IT-sikkerhedsprofessionelle arbejder sammen. Det gælder især, når det handler om at etablere, håndhæve og udvikle robust sikkerhed på tværs af en organisation — en løbende indsats og ikke en engangspræstation. Vi må selvfølgelig hurtigt tilføje, at både cybersikkerheds- og IT-sikkerhedsprofessionelle ELSKER at læse Sysadminotaur-tegneserier, fordi de kan grine og græde på samme tid!
Det er dog alligevel klogt at se cybersikkerhed og IT-sikkerhed som særskilte — men ofte overlappende — prioriteter, fordi de lægger vægt på forskellige aspekter, der skal indgå i en organisations samlede sikkerhedsprofil. Og ordet “skal” er her ikke en overdrivelse. Den stadigt voksende afhængighed af både on-premise- og cloudbaserede systemer (især under pandemien) til at lagre, dele og indhente information har muliggjort et niveau af produktivitet, forretningsindsigt og bekvemmelighed, der ville have lignet science fiction for blot få årtier siden. Men den har også øget mængden af trusselsvektorer eksponentielt og udvidet angrebsfladen voldsomt.
Konklusionen? Organisationer, der krydser alle de nødvendige felter af inden for cybersikkerhed og IT-sikkerhed (og de varierer fra organisation til organisation, fra branche til branche og fra marked til marked), øger i høj grad sandsynligheden for, at deres fremtid bliver sikker og succesfuld. Omvendt kan de, der ikke adresserer disse prioriteter, snart opleve at blive ofre for et dyrt — og potentielt katastrofalt — brud. For at tilpasse et gammelt og klogt ordsprog: Et gram forebyggelse inden for cybersikkerhed og IT-sikkerhed er mere værd end et kilo helbredelse.