Frysediske, cybersikkerhed og ISO: Har vi overblik over vores eksterne forhold?
Når en virksomhed er certificeret efter en ISO-standard, er vurderingen af organisationens interne og eksterne forhold en vigtig del af ledelsessystemet.
Det lyder måske lidt abstrakt. Men det er ganske konkret.
Det ser vi blandt andet, når cyberhændelser har påvirket tekniske installationer som køle- og frysesystemer. Det er en god påmindelse om, at cybersikkerhed ikke længere kun handler om computere, mails og virksomhedens server.
Flere og flere af de systemer, virksomheder er afhængige af i den daglige drift, er digitale, forbundne og i flere tilfælde tilgængelige for eksterne leverandører.
Det bør også afspejles i virksomhedens vurdering af interne og eksterne forhold.
Interne og eksterne forhold er ikke bare en årlig SWOT
I ISO-standarderne er tankegangen, at virksomheden skal få et bedre overblik over den sammenhæng, virksomheden arbejder i. Jeg ved også godt, at der er nogen der er meget glade for SWOT analyser. Når det er sagt, så vil jeg til enhver tid anbefale at man ser lidt bredere på sin virksomhed.
I ISO 9001 betyder det f.eks. at virksomheden skal fastlægge de interne og eksterne forhold, der er relevante for virksomhedens formål og strategiske retning, og som kan påvirke evnen til at opnå de tilsigtede resultater med kvalitetsledelsessystemet. Teknologiske forhold kan være en del af denne vurdering.
Jeg har som lead auditor igennem mange år til ladet mig fortælle, at informationssikkerhed og cybersikkerhed ikke vedrører fødevaresikkerhedsstandarder. Jeg er uenig. Man er nødt til at se på de forhold, som kan påvirke virksomheden.
Digitale angreb er ikke noget nyt
Det er nemlig ikke noget nyt at fødevarevirksomheder bliver angrebet digitalt på deres drift. Det er blot ikke så ofte, vi hører om det. At se på cybersikkerhed er et krav i blandt andet af den udmærkede standard ISO22000.
Med de mange frysediske har vi nu desværre beviset på, at det gælder i høj grad fødevaresikkerhed. Ja du skal have overblik og styring over fødevaresikkerhed, men du skal i høj grad også have styring over informations- og cybersikkerhed.
Det er ikke meningen, at kortlægningen af interne og eksterne forhold blot er et dokument, som opdateres én gang om året før audit.
Jeg vil derfor anbefale, at man bruger sine værktøjer, som man får igennem ISO standarderne. Og det om det så gælder ISO 14001, ISO 22000, ISO 9001, FSSC22000 og jeg kunne blive ved. De inkluderer alle HLS (High level structure) – så sammenhængen til ISO 27001 kan man rask væk bruge, hvis man ønsker et andet godt værktøj.
Forhold omkring virksomheden ændrer sig. Det gør cybertruslerne også. Med AI går det rigtig stærkt!
Cybersikkerhed – en del af eksterne forhold
For mange virksomheder vil cybersikkerhed i dag være relevant både som et eksternt forhold og internt forhold.
Det betyder ikke nødvendigvis, at man skal opbygge et stort informationssikkerhedsledelsessystem, blot fordi man eksempelvis er certificeret efter ISO 9001, ISO 14001 eller ISO 45001.
Men virksomheden bør forholde sig til risikoen.
Det er ikke længere nok at konkludere: “Vi har antivirus”. Antivirusprogrammer bliver beskudt konstant. Antivirus er blot være én sikkerhedsforanstaltning. Det er blot et eksternt forhold, som fortæller meget lidt om virksomhedens samlede eksponering.
Som kunde er man nødt til at stille krav til leverandørerne ud fra de forhold der er. I mange virksomheder er spørgsmålet mindst lige så meget….
Hvem har adgang til vores systemer?
Tag frysedisken – det er et godt eksempel. Tidligere ville man måske først og fremmest have betragtet den som et teknisk anlæg, hvilket er helt naturligt. Man vil kontrollere og overvåge temperaturen, vedligeholde anlægget og reagere på alarmer.
I dag er de fleste moderne køle- og fryseanlæg også koblet til digitale overvågnings-, alarm- eller styringssystemer. Der kan være mulighed for fjernservice, og eksterne leverandører kan have adgang til systemerne. Så bliver leverandøren også en del af risikobilledet. Det samme gælder mange andre installationer og systemer:
- produktionsudstyr
- CTS- og bygningsstyring
- adgangskontrol
- kameraovervågning
- lagerstyring
- ERP-systemer
- laboratorieudstyr
- cloudbaserede løsninger.
Det interessante spørgsmål er derfor ikke kun, om vi selv har passende cybersikkerhed. Vi skal også se på de virksomheder, vi er afhængige af.
Evaluering af leverandører
Leverandørvurdering forbindes ofte med kvalitet, leveringsevne, pris og måske miljøforhold. Det bør dog også indgå hvilken og om informationssikkerhed er en del af deres service. Ikke nødvendigvis for alle, men for dem hvor der er en risiko.
Det er der, hvis en del af servicen er online. For eksempel udgør en leverandør af kontorartikler næppe den samme risiko som en leverandør, der har fjernadgang til produktionsudstyr eller virksomhedens IT-systemer.
Derfor giver det god mening at arbejde risikobaseret.
Certificering eller anden form for dokumentation for at virksomheden arbejder med informationssikkerhed, kan være et godt udgangspunkt.
Kritiske leverandører
For de kritiske leverandører kan man blandt andet undersøge:
- Hvilke systemer har leverandøren adgang til?
- Hvordan gives adgangen?
- Er der personlige brugerprofiler?
- Anvendes multifaktorgodkendelse?
- Hvordan håndteres opdateringer?
- Hvordan håndterer leverandøren cyberhændelser?
- Hvornår og hvordan bliver virksomheden informeret om en hændelse?
- Har leverandørens underleverandører også adgang?
- Hvordan lukkes adgangen, når den ikke længere er nødvendig?
Det er langt mere interessant end blot at spørge leverandøren: “Har I styr på IT-sikkerheden?”
Hvordan verificerer man?
Det er ikke nok at spørge. Vi skal også verificere. Det bringer os til et andet vigtigt princip i et velfungerende ledelsessystem. En leverandør kan sagtens skrive, at der bliver taget backup. Men har virksomheden forholdt sig til, om backup kan gendannes?
Leverandøren kan oplyse, at der anvendes multifaktorgodkendelse. Men gælder det også den fjernadgang, der bruges til jeres kritiske installationer?
Der kan stå i en aftale, at adgangen er begrænset. Men ved vi, hvem der rent faktisk har adgang?
Omfanget af verifikationen skal naturligvis stå mål med risikoen. Pointen er ikke at kontrollere alle leverandører på samme måde. Pointen er at vide hvilke leverandører og afhængigheder der er kritiske, og derefter sikre sig, at de aftalte foranstaltninger faktisk er på plads.
Fra eksternt forhold til konkret handling
Det er netop her, arbejdet med organisationens kontekst får værdi. Hvis virksomheden identificerer den stigende cybertrussel som et relevant eksternt forhold, bør næste spørgsmål være:
Hvad betyder det for os?
Og derefter:
Hvad skal vi gøre anderledes på grund af det?
Eksterne forhold → cybertrussel → kritiske systemer → afhængigheder → leverandører → risikovurdering → kontrol → verifikation.
Så bliver vurderingen af interne og eksterne forhold ikke en isoleret øvelse i ledelsessystemet, men et reelt input til virksomhedens risikobaserede arbejde. ISO 22000’s kontekstkrav hænger netop sammen med den efterfølgende vurdering af risici og muligheder. Men det gælder også øvrige ISO standarder, der er bygget op efter HLS.
Vi har kun set begyndelsen
Cybersikkerhed udvikler sig med AI meget hurtigt. Samtidig bliver stadig mere og mere udstyr forbundet, overvåget digitalt og serviceret på afstand. Derfor vil grænsefladen mellem cybersikkerhed og de traditionelle ISO-discipliner sandsynligvis blive stadig vigtigere.
Det handler ikke om at gøre alle kvalitets-, miljø- eller arbejdsmiljøansvarlige til cybersikkerhedseksperter. Det handler om at stille de rigtige spørgsmål:
- Hvad er vi afhængige af?
- Hvem har adgang?
- Hvad kan påvirke vores drift?
- Har vi vurderet vores leverandører?
Har vi verificeret, at det, vi tror er sikret, faktisk er sikret?
For cybersikkerhed er ikke længere kun et spørgsmål for IT-afdelingen. Det er også blevet en del af den virkelighed, som virksomheder skal forstå, når de vurderer deres interne og eksterne forhold.
En god implementering af ISO standarder kan få stor betydning for din virksomheds forpligtelser og omkostninger. Hos Vicath EQ rådgiver vi om fødevaresikkerhed, kvalitetsledelse, arbejdsmiljø og miljø og hjælper dig sikkert gennem kravene. Kontakt os allerede nu, og få et konkret overblik over, hvad reglerne betyder for netop din virksomhed.