Et scorecard over menneskelig cyberrisiko skal give ledelsen svar på tre spørgsmål: Hvor svigter de kontroller, som afhænger af mennesker, bevæger eksponeringen sig i den rigtige retning, og hvilken beslutning skal ledelsen træffe?
Gennemført træning kan ikke besvare spørgsmålene alene. Tallet viser, at en aktivitet har fundet sted, men ikke om medarbejderne indberetter trusler, følger vigtige processer eller gentager usikre handlinger. Et brugbart scorecard kombinerer dækning, adfærd og kontrol og viser tydeligt, hvordan hvert tal er beregnet.
NIST Cybersecurity Framework 2.0 behandler governance og tilsyn som en del af styringen af cyberrisiko. NIST's vejledning til måling af informationssikkerhed anbefaler også, at organisationer vælger mål, der understøtter beslutninger. Brug det som prøve for hvert mål på siden: Hvis ingen ved, hvilken beslutning tallet skal understøtte, bør det fjernes.
Begynd med beslutningen, ikke de tilgængelige data
Skriv de beslutninger ned, som lederne kan få brug for at træffe i de næste to rapporteringsperioder. Det kan være finansiering af et indberetningsværktøj, ændring af en betalingskontrol, målrettet træning til en rolle eller accept af en dokumenteret restrisiko.
Arbejd derefter baglæns til den nødvendige dokumentation. En bestyrelse eller direktion har typisk brug for udvikling, koncentration og konsekvens. Den behøver ikke se enhver hændelse fra platformene til træning, mail eller identitet.
Dokumenter følgende for hvert mål:
- det spørgsmål, målet besvarer
- tæller, nævner og fravalg
- de systemer, der leverer data
- den ansvarlige for at forklare ændringer
- rapporteringsperiode og sammenligningsperiode
- den handling, som en væsentlig ændring skal udløse
Den definition forhindrer et velkendt problem: at to teams bruger samme navn om tal, der er beregnet forskelligt.
Seks mål til et praktisk scorecard
Det rigtige udvalg afhænger af jeres risici og kontroller. De følgende seks er et brugbart udgangspunkt uden at foregive, at de beregner sandsynligheden for et databrud.
1. Indberetningsrate for phishing
Definition: Antallet af unikke modtagere, der korrekt indberetter en simulation, divideret med antallet af modtagere.
Indberetningen viser, om medarbejderne kan omsætte mistanke til en handling, som giver sikkerhedsteamet mulighed for at reagere. Hold forkerte og gentagne indberetninger adskilt, så raten er forståelig. Angiv, om målet omfatter simulationer, bekræftede virkelige beskeder eller begge dele.
2. Tid til første indberetning
Definition: Mediantiden fra levering til den første gyldige medarbejderindberetning for hver besked eller øvelse, der måles.
Medianen bliver mindre påvirket af enkelte meget sene indberetninger end gennemsnittet. Vis periode og antal observationer. Hvis indberetningsvejen eller simulationens udformning ændres, skal det fremgå af grafen, fordi den nye proces kan påvirke udviklingen.
3. Gentagelse af en risikofyldt handling
Definition: Antallet af personer, der gentager en klart defineret usikker handling i perioden, divideret med antallet af personer, der havde en sammenlignelig mulighed for at gentage den.
Vælg handlingen, før I ser resultatet. Det kan være at indtaste loginoplysninger i to sammenlignelige simulationer eller at omgå en krævet kontrol flere gange. Kombinér ikke forskellige handlinger i én rate, medmindre modellen og vægtningen er dokumenteret.
4. Efterlevelse af vigtige processer
Definition: Et udsnit af anmodninger med stor konsekvens, hvor alle krævede kontrol- og godkendelsestrin blev fulgt, divideret med alle anmodninger i udsnittet.
Målet forbinder menneskelig adfærd med en konkret kontrol. Udsnittet kan bestå af ændrede bankoplysninger for leverandører, gendannelse af privilegerede konti eller anmodninger om at frigive følsomme data. Registrer, hvorfor et trin fejlede, så den ansvarlige kan skelne mellem manglende viden og en proces, der ikke fungerer i praksis.
5. Træningsdækning for prioriterede roller
Definition: Antallet af personer i definerede roller med høj eksponering, som har gennemført den relevante læring eller øvelse, divideret med alle personer i de pågældende roller.
Dækning er nyttig, når den er koblet til risiko. Medarbejdere i økonomi kan have brug for øvelser i betalingssvindel, mens supportmedarbejdere skal træne gendannelse af konti. Præsenter målet som dokumentation for rækkevidde, ikke som bevis på, at risikoen er faldet.
6. Forsinkede forbedringer
Definition: Antallet af kendte mangler i de menneskerelaterede kontroller, der har overskredet deres frist, opdelt efter alvor og alder.
Det kan være en manglende leverandørkontakt, en uklar indberetningsvej eller et team uden en afprøvet gendannelsesproces. Målet gør ledelsesopgaven synlig. En voksende liste kan forklare, hvorfor adfærden ikke bliver bedre, selv om træningsdækningen er høj.
Branchekilder bruger lignende input. CybSafe nævner i sin vejledning til CISO'er blandt andet gennemførelse, klik og indberetninger ved phishing, opholdstid, modstandsdygtighed og efterlevelse af politikker. CybSafe argumenterer også for, at en risikoberegning kræver en vurdering af sandsynlighed og konsekvens. Betragt det som leverandørvejledning, og hold det beskrivende scorecard adskilt fra en formel risikoberegning, medmindre organisationen har en valideret model.
Saml det på én side
Giv hvert mål én række med de samme kolonner:
| Mål | Nuværende periode | Forrige periode | Retning | Fortolkning | Ansvarlig og næste handling |
|---|---|---|---|---|---|
| Indberetningsrate | Indsæt tal | Indsæt sammenligning | ↑ / → / ↓ | Hvad ændrede sig, og hvorfor er det relevant? | Navngiven ansvarlig og handling |
| Tid til første indberetning | Indsæt tal | Indsæt sammenligning | ↑ / → / ↓ | Kontekst, antal observationer og begrænsning | Navngiven ansvarlig og handling |
| Gentagen risikofyldt handling | Indsæt tal | Indsæt sammenligning | ↑ / → / ↓ | Hvor er gentagelsen koncentreret? | Navngiven ansvarlig og handling |
| Efterlevelse af proces | Indsæt tal | Indsæt sammenligning | ↑ / → / ↓ | Hvilket trin fejler oftest? | Navngiven ansvarlig og handling |
| Dækning af prioriterede roller | Indsæt tal | Indsæt sammenligning | ↑ / → / ↓ | Hvilke roller mangler stadig? | Navngiven ansvarlig og handling |
| Forsinkede forbedringer | Indsæt tal | Indsæt sammenligning | ↑ / → / ↓ | De ældste eller mest alvorlige mangler | Navngiven ansvarlig og handling |
Udfyld ikke tomme felter med estimater. Markér data som utilgængelige, forklar manglen i dækningen, og fordel arbejdet med at indsamle dem. Et tomt felt med en ansvarlig er mere troværdigt end et præcist tal med en ukendt nævner.
Tilføj kontekst uden at udstille personer
Opdel kun resultaterne, når gruppen er stor nok til en rimelig fortolkning og beskyttelse af fortrolighed. Relevante vinkler kan være rolle, forretningsområde, geografi eller kontroltype. I små teams kan et tilsyneladende anonymt resultat være let at føre tilbage til en person.
Brug opdelingen til at finde et problem i processen eller et behov for støtte, ikke til at offentliggøre en rangliste over medarbejdere. Begræns de detaljerede data til de personer, der skal bruge dem i forbedringsarbejdet. Ledelsens scorecard bør blive på det niveau, der er nødvendigt for tilsyn.
Sammenlign kun tal, der kan sammenlignes. Ændringer i medarbejdergruppen, simulationens sværhedsgrad, indberetningsværktøjet eller målereglerne kan flytte et tal uden en tilsvarende ændring i risikoen. Skriv ændringerne ved siden af grafen, og hold definitionen stabil længe nok til at vise en meningsfuld udvikling.
Undgå en samlet score, I ikke kan forklare
En samlet score for menneskelig risiko kan være nyttig, når input, vægte, opdateringsregler og begrænsninger er dokumenteret. Uden den model kan en kombination af seks mål skjule mere, end den viser. Indberetningsraten kan blive bedre, samtidig med at en alvorlig kontrolmangel stadig er uløst. Ét samlet tal kan sløre begge forhold.
Hvis I bruger en score, skal lederne kunne åbne den og se de bagvedliggende mål. Angiv, om den er en relativ indikator, et mål for kontrol eller et estimat af risiko. Præsenter den ikke som sandsynligheden for et databrud, medmindre metoden understøtter den påstand.
Gør scorecardet til en ledelsessamtale
Afslut hver rapporteringsperiode med en kort forklaring:
- Hvad ændrede sig? Nævn den vigtigste bevægelse eller koncentration.
- Hvorfor ændrede det sig? Skeln mellem observeret dokumentation og jeres forklaring.
- Hvad gør vi? Angiv handling, ansvarlig og dato.
- Hvilken beslutning mangler? Bed om finansiering, prioritet, risikoaccept eller tværgående støtte, når det er nødvendigt.
Knyt samtalen til awareness-træning, driftskontroller og læring fra hændelser. Træning er ét input til styringen af menneskelig cyberrisiko, ikke hele indsatsen.
Begynd med tre mål, som I kan definere og kontrollere. Tilføj først flere, når de understøtter en virkelig beslutning. Klare definitioner og ærlige datamangler giver ledelsen et bedre billede af menneskelig cyberrisiko end et tæt dashboard med uforklarede procenttal.
