Effektivitet af foranstaltninger: hvad kunden mener, når I skal dokumentere det

Kunden beder jer dokumentere, at jeres sikkerhedsforanstaltninger er effektive, og henviser til NIS2. Det, kunden mener, er ikke nødvendigvis “send os en pentestrapport”, men “vis os, at det, I har lovet, også virker i praksis”. Kravet hviler på NIS2-direktivets artikel 21, stk. 2, litra f, som i Danmark er gennemført i NIS 2-lovens § 6, stk. 1, nr. 6: kunden skal have politikker og procedurer til at vurdere effektiviteten af sine foranstaltninger til styring af cybersikkerhedsrisici.

Når en del af kundens foranstaltninger ligger hos jer, skal kunden også kunne vurdere dem. En test er ét af flere input til den vurdering. Den kan vise, om en bestemt foranstaltning holder på et bestemt tidspunkt, men den er ikke hele vurderingen. Teksten er ikke juridisk rådgivning.

Hvad bestemmelsen faktisk kræver af kunden

Lovteksten er kort: politikker og procedurer til vurdering af effektiviteten. SAMSIK’s vejledning om foranstaltninger gengiver lovbemærkningerne, som tilføjer, at politikken også skal omfatte vurdering af behovet for tekniske test for potentielle sårbarheder, fx sårbarhedsscanninger eller penetrationstest.

Vejledningen beskriver, at procedurerne bør indeholde metoder til løbende at vurdere og afprøve sikkerheden, en vurdering af, om politikken efterleves, en måde at følge op på en foranstaltning, der viser sig ineffektiv, og en angivelse af, hvem der udfører vurderingerne. Formålet er at sikre, at foranstaltningerne er tilstrækkelige i forhold til de risici, kunden står over for. → NIS 2-lovens § 6

Forordningens mere detaljerede ordlyd

For de digitale udbydere, gennemførelsesforordning (EU) 2024/2690 gælder for, uddyber bilagets punkt 7 kravet. Punkt 7.2 siger, at den relevante enhed skal fastlægge:

Hvad · hvilke foranstaltninger der skal overvåges og måles, herunder processer og kontroller.
Hvordan · hvilke metoder der bruges til overvågning, måling, analyse og evaluering.
Hvornår · tidspunktet for overvågning og måling.
Hvem måler · den ansvarlige for at overvåge og måle.
Hvornår resultaterne vurderes · tidspunktet for analyse og evaluering.
Hvem vurderer · den, der analyserer og evaluerer resultaterne.

Politikken skal tage hensyn til risikovurderingen og til tidligere væsentlige hændelser. Selv om jeres kunde ikke er omfattet af forordningen, er listen et godt bud på, hvad kunden vil kunne spørge jer om. → Fra effektivitetskrav til testplan

Testen er én metode blandt flere

ENISA’s ikke-bindende vejledning til forordningen nævner en række metoder til at vurdere effektiviteten: selvevaluering, sammenligning med en tjekliste eller standard, sårbarhedsvurdering, penetrationstest, gennemgang af kode, audit og overvågning af ydeevne. Vejledningen foreslår også nøgletal, fx antal fundne sårbarheder, tid til afhjælpning og antal hændelser.

Det er en nyttig påmindelse for en leverandør. Kundens spørgsmål om effektivitet kan besvares bedre af en kombination: en test af de dele, der kan afprøves teknisk, dokumentation af processer, der ikke kan, og tal, der viser udviklingen over tid. En penetrationstest siger fx ikke meget om, hvorvidt jeres medarbejdere følger proceduren for at give en ny kunde adgang. → Når en test ikke er det rigtige svar

Hvilke foranstaltninger hos jer kunden interesserer sig for

Kunden skal ikke vurdere alle jeres foranstaltninger, kun dem, kundens egen sikkerhed afhænger af. Det kan dreje sig om:

Adgang til kundens systemer eller data · hvordan jeres medarbejdere logger på, og hvem der kan.
Adskillelse mellem kunder · om kundens data er beskyttet mod andre kunder i en fælles løsning.
Håndtering af sårbarheder · hvor hurtigt fund og opdateringer bliver håndteret.
Logning og opdagelse · om I kan se, hvis noget går galt.
Driftskontinuitet · om leverancen kan genetableres efter et nedbrud.

Kun nogle af dem kan afprøves med en test. Det er kundens risikovurdering af leverancen, der bør afgøre, hvad der vægtes højest. → Kundens risikovurdering som grundlag for jeres test

Effektivitet over tid, ikke kun på én dag

Både vejledningen og forordningen lægger vægt på, at vurderingen gentages. Forordningens punkt 7.3 siger, at politik og procedurer gennemgås med planlagte mellemrum og ved væsentlige hændelser eller ændringer. SAMSIK’s vejledning nævner ajourføring ved ændringer i forretningsmål, sårbarheder og trusselsbillede.

For jer betyder det, at kunden ikke nødvendigvis er tilfreds med et øjebliksbillede. En rapport fra en test, der ligger før de seneste større ændringer af løsningen, siger ikke meget om den løsning, kunden bruger i dag. Det er derfor nyttigt at kunne vise en række: hvad der blev vurderet, hvad der blev fundet, hvad der blev rettet, og hvad der er vurderet igen. En sådan række er lettere at genbruge over for flere kunder end en enkelt rapport, og den viser, at vurderingen er en vane og ikke en engangsøvelse. → Testfrekvens efter risiko

Et tænkt eksempel

En leverandør af et patientbooking-system til en region får spørgsmålet: “Hvordan dokumenterer I effektiviteten af jeres sikkerhedsforanstaltninger?” Leverandøren svarer ikke med en hel rapport, men med en kort oversigt. Adgangskontrol og adskillelse mellem kunder er afprøvet ved en penetrationstest med angivet omfang og tidspunkt. Sårbarhedshåndteringen er dokumenteret ved scanninger med faste mellemrum og en log over rettelser. Proceduren for medarbejderes adgang er gennemgået internt. For hver foranstaltning står, hvem der er ansvarlig, og hvornår den vurderes igen.

Kunden kan bruge oversigten direkte i sin egen vurdering, fordi den svarer på de samme spørgsmål, kunden selv skal kunne besvare. Vil kunden se mere, kan leverandøren sende de relevante dele af rapporten bagefter.

Det skal I lade være med

At sende en testrapport som hele svaret · effektivitet handler om mere end tekniske fund.
At kalde en test uden fund for bevis på effektivitet · den viser kun, hvad der var i omfanget på det tidspunkt.
At svare på foranstaltninger, kunden ikke er afhængig af · det gør svaret længere, ikke bedre.
At udelade, hvem der vurderer · kunden skal kunne se ansvaret placeret.
At love, at foranstaltningerne er effektive fremover · I kan kun dokumentere, hvad der er vurderet.

Hvad kan og ikke kan konkluderes

En test kan vise, at en foranstaltning modstod de forsøg, testen omfattede, eller at den ikke gjorde. Den kan ikke alene vise, at foranstaltningen virker over tid, at processerne bag efterleves, eller at kunden lever op til § 6. Det er kunden, der foretager vurderingen af effektivitet, og kundens myndighed, der vurderer, om kundens politik er tilstrækkelig. → Hvad testdokumentationen ikke kan bevise over for kunden