NIS2 och inhyrd IT-kompetens: det här behöver ni tänka på

NIS2 handlar i grunden om att verksamheter inom vissa sektorer ska ha ett systematiskt och riskbaserat arbete med cybersäkerhet. Det betyder att säkerheten inte kan sluta vid organisationens egen personal. En konsult som har administratörsbehörighet i er molnmiljö eller utvecklar i er kodbas är en del av er attackyta, på samma sätt som en anställd.

Det första steget är att ta reda på om och hur regelverket omfattar er verksamhet. Det avgörs av sektor, storlek och vilken typ av tjänster ni tillhandahåller. Ta stöd av er jurist och följ den vägledning som ansvarig tillsynsmyndighet för er sektor ger. Den här texten håller sig på principnivå och ersätter inte en juridisk bedömning.

Även om er verksamhet inte direkt omfattas kan era kunder eller uppdragsgivare göra det, och de kommer då att ställa krav vidare på er. Därför är det klokt att se över hur ni hanterar NIS2 och konsulter oavsett, eftersom samma rutiner också är god säkerhetspraxis.

En central tanke i NIS2 är att risker i leverantörskedjan ska hanteras. För inhyrd IT-kompetens betyder det att ni behöver veta vem som faktiskt utför arbetet, via vilka led konsulten är kontrakterad och vilka säkerhetsrutiner som gäller hos leverantören. Ju fler led, desto viktigare är det att kraven följer med hela vägen.

Gör en enkel kartläggning för varje uppdrag: vilka system konsulten får tillgång till, vilken information som hanteras och vad konsekvensen blir om behörigheten missbrukas eller kontot komprometteras. Låt bedömningen styra hur höga krav ni ställer. En konsult som arbetar med en intern prototyp utan känsliga data kräver inte samma åtgärder som en som administrerar produktionsmiljön.

Fråga leverantören hur de själva arbetar med säkerhet, hur de hanterar incidenter och hur de säkerställer att underleverantörer följer samma krav. Svaren behöver inte vara långa men de ska vara konkreta. Dokumentera bedömningen, så att ni kan visa hur ni har tänkt om tillsynsmyndigheten eller en revisor frågar.

Principen om minsta behörighet gäller alla, men den är extra viktig för konsulter som kommer och går. Ge konsulten tillgång till det som behövs för uppdraget och inget mer. Använd personliga konton, aldrig delade, och kräv flerfaktorsautentisering. Om konsulten behöver förhöjd behörighet, överväg lösningar där den aktiveras vid behov och loggas, i stället för att den ligger permanent.

Koppla behörigheterna till uppdragets längd. Sätt ett slutdatum på kontot redan när det skapas, och låt någon hos er ansvara för att förlänga det aktivt om uppdraget fortsätter. Det minskar risken för att konton ligger kvar efter att konsulten har slutat, vilket är ett vanligt problem.

Gå igenom konsulternas behörigheter regelbundet, till exempel en gång per kvartal. Kontrollera att de fortfarande behövs och att de motsvarar uppdraget. Gör även en tydlig rutin för avslut där konton stängs, utrustning återlämnas och nycklar eller hemligheter som konsulten har haft tillgång till byts ut.

Ett praktiskt tips är att föra en enkel förteckning över alla inhyrda konsulter med uppgift om leverantör, kontaktperson hos er, system de har åtkomst till och kontots slutdatum. Den blir underlag för de regelbundna genomgångarna och gör det lätt att svara på frågan vilka externa personer som har tillgång till vad, en fråga som ofta kommer vid en incident eller tillsyn.

För att kunna upptäcka och utreda incidenter behöver ni kunna se vem som gjorde vad och när. Det förutsätter att konsulter har personliga konton och att relevanta händelser loggas, till exempel inloggningar, ändringar av behörigheter, åtkomst till känslig information och förändringar i produktionsmiljön. Loggarna behöver sparas på ett sätt som gör att de inte kan ändras av den som loggas.

Informera konsulten om vilken loggning som sker och varför. Det är både en fråga om transparens och om att skapa förståelse för att säkerhetskraven gäller alla. De flesta erfarna konsulter är vana vid detta och ser det som en självklarhet.

Tänk också på konsultens egen utrustning. Om konsulten arbetar från en dator som ni inte förvaltar har ni begränsad insyn. Överväg att tillhandahålla utrustning eller att kräva att arbetet sker via en kontrollerad miljö, särskilt när konsulten har tillgång till känsliga system. Ta stöd av er säkerhetsansvarige när ni väljer lösning.

Avtalet är där kraven blir verkliga. Se till att det framgår vilka säkerhetskrav som gäller, att konsulten och leverantören ska följa era säkerhetsrutiner, hur incidenter ska rapporteras och inom vilken tid, samt vilken rätt ni har att följa upp att kraven efterlevs. Om underleverantörer används ska kraven gälla även dem.

Klargör ansvarsfördelningen. Vem ansvarar för att konsulten har rätt utbildning i era rutiner? Vem ansvarar för utrustningen? Vad händer om en incident orsakas av brister hos leverantören? Det är frågor som bör vara besvarade innan uppdraget startar, inte när något redan har hänt.

Låt er jurist granska avtalsmallarna mot de krav som gäller för er verksamhet, och stäm av med inköp så att samma krav används konsekvent. Om ni avropar från ramavtal behöver ni dessutom kontrollera vilka säkerhetskrav som går att ställa inom ramen för avtalet. Stäm av med den som ansvarar för ramavtalet om något är oklart.

Arbetet med NIS2 skapar ofta behov av kompetens som många organisationer saknar internt. Det kan gälla riskanalys och styrning, säkerhetsarkitektur, identitets- och behörighetshantering, loggning och övervakning eller incidenthantering. För många är det rimligt att hyra in kompetens för att komma igång, men det kräver eftertanke.

Var tydliga med vad som är konsultens uppdrag och vad som är ert ansvar. En konsult kan hjälpa er att bygga upp ett ledningssystem, genomföra en riskanalys eller införa tekniska lösningar, men ansvaret för cybersäkerheten ligger kvar hos er och er ledning. Planera därför för kunskapsöverföring från start, så att förmågan stannar kvar när konsulten går.

Ställ samma säkerhetskrav på säkerhetskonsulten som på alla andra, och kanske lite högre, eftersom den rollen ofta får bred insyn. Digital First förmedlar seniora konsulter inom bland annat informationssäkerhet om ni behöver förstärkning.