Hva er en NIS2 GAP-analyse?

Hva sammenligner en GAP-analyse?

To bilder av samme virksomhet. NIST Cybersecurity Framework 2.0 kaller dem Current Profile og Target Profile. Nåbildet beskriver hvilke sikkerhetsresultater virksomheten oppnår i dag, og i hvilken grad hvert av dem faktisk oppnås. Målbildet beskriver hvilke resultater virksomheten har valgt og prioritert å oppnå.

Selve analysen er steget mellom dem. NIST beskriver det som å analysere forskjellene mellom nåbildet og målbildet, og utarbeide en prioritert tiltaksplan som lukker dem. Det er hele metoden i én setning. Uten et definert målbilde er det ikke en GAP-analyse, det er en kartlegging.

Uten et definert målbilde er det ikke en GAP-analyse, det er en kartlegging.

Hvilke steg består den av?

NIST Cybersecurity Framework 2.0 beskriver fem steg for å lage og bruke en profil. Rekkefølgen er poenget, ikke navnene:

• Avgrens. Slå fast forutsetningene analysen bygger på. En profil kan dekke hele virksomheten, eller avgrenses til et utvalgt område. NIST er tydelig på at en virksomhet kan ha flere profiler med ulikt omfang.
• Samle inn. Hent inn det analysen skal bygge på: styrende dokumenter, prioriteringer og ressurser i risikostyringen, hvilke krav og standarder virksomheten følger, hvilke rutiner og verktøy som er i bruk, og hvilke roller som finnes.
• Beskriv nåbildet. Avgjør hva profilen skal inneholde for hvert utvalgt sikkerhetsresultat, og dokumenter det.
• Analyser gapet, og lag en tiltaksplan. Finn forskjellene mellom nåbilde og målbilde, og gjør dem om til en prioritert plan.
• Gjennomfør, og oppdater profilen. Følg planen, lukk gapene, og oppdater bildet etter hvert som dere flytter dere.

Det femte steget er det som oftest blir liggende. En analyse som ikke fører til at nåbildet oppdateres, forteller dere hvor dere sto en gang, ikke hvor dere står.

Hva måler dere mot?

Mot et navngitt referansesett, ellers er målbildet en mening. I Norge er NSMs grunnprinsipper for IKT-sikkerhet det nærmeste vi har. De er bygget i fire kategorier: identifisere og kartlegge, beskytte og opprettholde, oppdage, og håndtere og gjenopprette.

Et referansesett er noe annet enn deres egen risiko. Hvorfor de to gir ulike svar, og hvorfor den ene ikke erstatter den andre, står i GAP-analyse eller risikovurdering.

Den første kategorien er fundamentet. NSM beskriver den som å opparbeide og forvalte forståelse om virksomheten, medregnet styringsstrukturer, ledelsesprioriteringer, leveranser, IKT-systemer og brukere, og sier at dette er grunnlaget for å få de øvrige prinsippene på plass. En GAP-analyse som starter et annet sted, starter feil.

Hvert prinsipp har nummererte tiltak. Det gir en praktisk fordel: et funn kan spores til et bestemt punkt, og et tiltak kan etterprøves mot samme punkt senere. Uten den sporbarheten blir en tiltaksplan vanskelig å følge opp.

NSM sier også noe som er verdt å ta med i prioriteringen: for store virksomheter vil de fleste tiltakene være relevante, mens mindre virksomheter i større grad må prioritere. Alt trenger altså ikke å lukkes, men valget bør være bevisst.

Hvordan beskrives modenhet?

Med nivåer, ikke med en poengsum. NIST Cybersecurity Framework 2.0 bruker fire: Partial, Risk Informed, Repeatable og Adaptive. De beskriver en utvikling fra uformelle og ad hoc-svar til arbeidsmåter som er smidige, risikobaserte og under kontinuerlig forbedring.

Nivåene beskriver hvor stringent virksomheten styrer og håndterer sikkerhetsrisiko, ikke hvor mange tiltak som er huket av. Hva hvert nivå faktisk innebærer, og hvorfor ett samlet tall skjuler mer enn det viser, står i hva en modenhetsvurdering er.

Hva sitter dere igjen med?

En prioritert tiltaksplan er hovedleveransen. NIST beskriver den som en prioritert plan for å lukke gapene, og nevner risikoregister og tiltaksplan med milepæler som eksempler på former den kan ha.

Nåbildet har i tillegg en bruk som ofte blir oversett. NIST peker på at et nåbilde kan brukes til å dokumentere og formidle virksomhetens sikkerhetsevne og kjente forbedringsmuligheter overfor eksterne parter, for eksempel samarbeidspartnere eller mulige kunder. Målbildet kan tilsvarende brukes til å uttrykke hva dere forventer av egne leverandører.

Det er en nøktern grunn til å gjøre arbeidet skriftlig: dokumentasjonen har verdi utover deres eget forbedringsarbeid.

Hvor ofte bør den gjentas?

NIST sier at stegene kan gjentas så ofte som det er behov for, og at en tiltaksplan enten kan ha en samlet sluttdato eller være løpende. Rammeverket legger vekt på kontinuerlig forbedring framfor et fast intervall.

Det praktiske poenget er det samme som for sikkerhetstesting: en analyse beskriver situasjonen slik den var da den ble gjennomført. Endrer dere systemer, roller eller leverandører, er bildet utdatert før kalenderen sier det.

Hva bør dere spørre leverandøren om?

Tilbud på GAP-analyser er vanskelige å sammenligne fordi ordet dekker alt fra en samtale til et dokumentert løp. Still de samme spørsmålene til alle, så ser dere raskt forskjellen:

• Hvilket referansesett måler dere mot, og hvilken versjon?
• Hva er omfanget konkret, og hva holdes utenfor?
• Hvordan settes målbildet, og hvem bestemmer det?
• Får vi funnene sporet til nummererte punkter i referansesettet?
• Hva inneholder leveransen: ledelsesoppsummering, oversikt over funn, forslag til tiltak?
• Hvordan prioriteres tiltakene, og etter hvilket kriterium?
• Hva skal til for å oppdatere nåbildet senere?

Slik gjør Vernum det

Vi holder oss til sikkerhetssiden. Vi kartlegger nåsituasjonen, holder den opp mot NSMs grunnprinsipper, og gir dere en prioritert tiltaksplan dere kan jobbe etter. Vi tolker ikke regelverk og gir ingen juridiske vurderinger av hvilke krav som gjelder for akkurat dere.

Det er en bevisst avgrensning, ikke en mangel. Trenger dere en juridisk vurdering ved siden av, sier vi fra om det tidlig, slik at dere ikke sitter igjen med et hull mellom to leveranser.