Midlertidige tiltag, når en rettelse tager tid

Et fund i jeres leverance kan ikke altid rettes inden for den tid, kunden ønsker. Rettelsen kan kræve en ny udgave af produktet, en opdatering fra en underleverandør eller et skift af komponent. Spørgsmålet fra en NIS2-kunde er derfor ikke nødvendigvis kun “hvornår er det rettet?”, men også “hvad gør I ved risikoen, indtil da?”. Svaret hviler på et begreb, der går igen i de regler, kunden selv arbejder efter: afbødende eller kompenserende foranstaltninger, der mindsker risikoen, mens den egentlige rettelse er undervejs.

Et midlertidigt tiltag er altså ikke en rettelse. Det er en aftalt, tidsbegrænset ændring, som gør det sværere at udnytte svagheden eller mindsker skaden, hvis det sker. Teksten er ikke juridisk rådgivning.

Hvor kundens ord kommer fra

Bilaget til gennemførelsesforordning (EU) 2024/2690 bruger ordet afbødende foranstaltninger flere steder. Punkt 6.5.2, litra c, siger, at testens dokumentation skal indeholde en vurdering af afbødende foranstaltninger for hver konstatering, og litra d siger, at de anvendes ved alvorlige konstateringer. Punkt 6.6.1, litra d, handler om sikkerhedspatches: hvor en patch ikke er tilgængelig eller ikke anvendes, gennemføres yderligere foranstaltninger, og resterende risici accepteres. Forordningen gælder kun bestemte digitale udbydere, blandt andre cloud, datacentre og administrerede tjenester.

Kunder uden for forordningen møder tanken i SAMSIK’s vejledning om foranstaltninger. I afsnittet om tekniske tests står, at resultaterne som minimum bør dokumenteres med en vurdering af, hvor kritiske de er, og hvilke kompenserende handlinger der er udført. Samme sted står, at restrisiko skal accepteres af risikoejere med rapportering til relevant ledelse. → Kritiske fund skal afhjælpes

Hvad et midlertidigt tiltag kan være

Tiltagene beskrives her på begrebsniveau. Hvilket der passer, afhænger af fundet, af leverancen og af, hvad kunden kan undvære i en periode.

Begrænset adgang · færre brugere, roller eller netværk kan nå den sårbare funktion.
Funktion slået fra · den del af løsningen, der rummer svagheden, er ude af drift, indtil rettelsen er klar.
Skærpet overvågning · forsøg på at bruge svagheden bliver opdaget og fulgt op hurtigere.
Ekstra kontrol i processen · en manuel godkendelse eller et ekstra trin dækker det, systemet ikke selv sikrer.
Adskillelse · det sårbare system flyttes væk fra det, kunden er mest afhængig af.

ENISA’s tekniske vejledning til forordningen, som ikke er bindende, nævner tilsvarende typer af alternative foranstaltninger, når en patch ikke kan anvendes: hærdning af opsætningen, overvågning, adgangskontrol og adskillelse i netværket. → Adskillelse i netværket som NIS2-foranstaltning

Når tiltaget flytter byrden til kunden

Midlertidige tiltag kan koste noget for den, der bruger løsningen. En funktion, der er slået fra, kan stoppe en arbejdsgang hos kunden. En ekstra godkendelse tager tid. En begrænsning af adgangen kan ramme medarbejdere, der arbejder hjemmefra. Derfor kan I ikke indføre tiltaget alene og regne med, at kunden accepterer det.

Beskriv for kunden, hvad tiltaget gør, hvad det ikke gør, og hvad det betyder for kundens drift. Nogle tiltag kræver, at kunden selv gør noget, fx ændrer en indstilling på sin side eller informerer sine brugere. Skriv det tydeligt, så kunden ikke tror, at I har klaret det hele. Kunden kan vælge et andet tiltag, eller acceptere risikoen i en periode, og det er kundens beslutning, når risikoen ligger i kundens drift.

Udløb og ejerskab

Et midlertidigt tiltag, der ikke har en slutdato, bliver let permanent. Det skaber to problemer. Kunden tror, at risikoen er håndteret, selv om den kun er dæmpet, og den egentlige rettelse glider ned ad listen, fordi presset er væk.

Giv derfor hvert tiltag tre oplysninger: en ansvarlig hos jer, en planlagt slutdato, der hænger sammen med planen for rettelsen, og et punkt, hvor tiltaget fjernes eller forlænges. Bilagets punkt 6.10.3 siger, at der skal laves og gennemføres en plan for at afhjælpe en sårbarhed, når den potentielle indvirkning berettiger det. Tiltaget er en del af den plan, ikke en erstatning for den. → Status på rettelser

Hvis rettelsen ikke kommer, og I vil lade tiltaget stå, er der tale om en ny beslutning. Den skal begrundes og forelægges kunden på samme måde som en beslutning om ikke at rette. → Et fund, I ikke retter

Kan en test vise, at tiltaget virker?

Kunden kan spørge, hvordan I ved, at tiltaget dæmper risikoen. Et svar på papir er en begyndelse, men det er en antagelse, indtil nogen har set efter. En kort efterprøvning af det konkrete fund, med tiltaget på plads, kan vise, om svagheden stadig kan nås ad den vej, testen fandt. Den viser ikke, om der findes andre veje.

Aftal med testleverandøren, hvad efterprøvningen skal dække, og skriv i dokumentationen, at den er udført med tiltaget og før rettelsen. Når den egentlige rettelse er på plads, bør fundet efterprøves igen, så kunden kan se forskellen mellem dæmpet og rettet. → Retest som dokumentation over for kunden

Et tænkt eksempel

En leverandør af et bookingsystem til en regional busoperatør får ved en test et fund i den funktion, hvor operatørens samarbejdspartnere logger ind. Rettelsen kræver en ny udgave af en komponent fra en underleverandør, som først kommer om nogle uger. Leverandøren foreslår at begrænse adgangen til funktionen til kendte netværk, øge overvågningen af login og give besked til operatøren om, at to partnere midlertidigt skal bruge en anden indgang. Operatøren godkender på skrift. Tiltaget efterprøves, og leverandøren skriver slutdato og ansvarlig i statussen. Da komponenten kommer, rettes fundet, tiltaget fjernes, og testeren efterprøver igen.

Det skal I lade være med

At kalde et midlertidigt tiltag en rettelse · kunden skal kunne se, at risikoen kun er dæmpet.
At indføre tiltag uden kundens viden · de kan påvirke kundens drift og brugere.
At glemme slutdatoen · et tiltag uden udløb bliver en skjult risikoaccept.
At beskrive tiltaget som teknisk opskrift · kunden har brug for virkning og konsekvens, ikke detaljer.
At undlade efterprøvning · en antagelse er ikke dokumentation.

Hvad kan og ikke kan konkluderes

Et dokumenteret og efterprøvet tiltag viser, at I har mindsket risikoen ved et kendt fund i en periode, og at kunden har taget stilling. Det viser ikke, at svagheden er væk, og det udelukker ikke andre veje til den. Reglerne nævner afbødende og kompenserende foranstaltninger, men de fastsætter ingen bestemt type eller varighed. Det er risikoen og aftalen med kunden, der afgør, hvad der er rimeligt. → Årsagen bag fundet