Ändringar som både hotar och skyddar-20 rekommendationer för säkrare ändringar i våra informationssystem

Ändringar i informationssystem som inte hanteras på ett korrekt och säkert sätt ökar risken för incidenter. Detta kan i sin tur riskera att äventyra informationssystems eller informations konfidentialitet, riktighet och tillgänglighet genom att nya sårbarheter och hot uppstår. Incidentrapporteringen från statliga myndigheter och NIS-leverantörer har under flera år bekräftat detta. Organisationer bör således utveckla och följa arbetssätt där ändringar kan genomföras systematiskt, noggrant och processtyrt.

MSB har under flera år återkommande kunnat konstatera att organisationers sätt att genomföra ändringar i sina informationssystem har varit en vanligt återkommande orsak till incidenter. Vi ser även att många incidenter hade kunnat förebyggas om ändringar hade hanterats och genomförts korrekt och i tid. Den här rapporten ger en övergripande bild av ändringar i informationssystem, utmaningar som ändringar medför och dess roll utifrån ett samhällsskyddsperspektiv.

Åtgärder för att undvika att ändringar orsakar incidenter
Utifrån MSB:s analys och de utmaningar de har identifierat har de följande rekommendationer för säkrare ändringar i informationssystem.

Generella rekommendationer
1. Följ ”best practice” för it utveckling och drift (exempelvis från ramverket ITIL).
Bedriv också ett systematiskt och integrerat säkerhetsarbete (exempelvis
genom DevSecOps principer). Ta stöd av MSB:s vägledningar inom området,
såsom: Vägledning för säkerhetsåtgärder i informationssystem, Vägledning
om grundläggande säkerhet i cyberfysiska system och Vägledning om fysisk
informationssäkerhet iit utrymmen.

2. Upprätta en testmiljö som efterliknar produktionsmiljön. Genomför om möjligt
ändringar i testmiljön först, innan ändringar genomförs i produktionsmiljön.

3. Säkerställ att det finns en uppdaterad och aktuell informationsklassning för
de berörda systemen och informationen däri.

4. Säkerställ att det finns en kontinuitetsplan att följa om något skulle gå fel
i samband med ändringar i verksamhetskritiska system.

5. Identifiera och omhänderta de krav som de berörda informationssystemen,
informationen i informationssystemen samt ändringen som sådan omfattas av

Rekommenderade åtgärder (samtliga är en bedömning som verksamheten själv behöver göra):

• Se till att använda tvåfaktorsautentisering och se över era återställningsrutiner.
• Håll koll på aktiviteten i loggar, på administratörskonton och generellt i it-miljön, för att kunna upptäcka avvikelser i ett tidigt skede.
• Se över vilka tjänster i nätverket som är internetuppkopplade, inklusive fjärråtkomstlösningar.
• Överväg att stänga av trafiken till de nätverk och applikationer som inte är verksamhetskritiska, samt om trafik från länder som organisationen normalt inte ser trafik från/till bör blockas/geofiltreras.
• Se till att det finns tillräckliga loggar över de tjänster som används och att dessa sparas i minst tre månader, och gärna längre än så.

Pressmeddelandet på MSB:s hemsida går att ladda hem i sin helhet här

Vill du veta mer om Advitums tjänster för IT-säkerhet finns det mer information här

Tillbaka