Netöryggi og seigla - tækifæri til lærdóms

Alvarlegir öryggisveikleikar í PHP voru tilkynntir í gær og vöktu alþjóðlega athygli. PHP er eitt útbreiddasta forritunarmál vefkerfa og er notað á um 69 af hverjum 100 vefsíðum þar sem vitað er hvaða tækni liggur að baki. Afleiðingar atburðarins eiga eftir að koma betur í ljós, en hann minnir okkur óþægilega á hve tæknilegur veikleiki getur á örskotsstundu orðið að alvarlegri áhættu með víðtækum afleiðingum.

Atburðurinn undirstrikar að netöryggi snýst ekki aðeins um tæknilegar varnir heldur einnig um stjórnarhætti, áhættustýringu og skýra ábyrgð. Alþjóðasamtök innri endurskoðenda (IIA) leggja í nýjum kröfum sínum um netöryggi aukna áherslu á hlutverk innri endurskoðunar við mat á stjórnun netöryggisáhættu og virkni eftirlits. Þetta rímar jafnframt við niðurstöður alþjóðlegu Risk in Focus-könnunarinnar, sem fjallað var um í síðasta fréttabréfi FIE.

Svo ótrúlega vill til að Fjarskiptastofa heldur í næstu viku ráðstefnuna "Netöryggi og seigla samfélagsins - á tímum stafrænna ógna" og verður haldinn nk. þriðjudag. Ráðstefnan var að sjálfsögðu skipulögð með góðum fyrirvara (svo það sé tekið fram), en tímasetningin gefur umræðunni sérstakt vægi í ljósi atburða gærdagsins. Meðal fyrirlesara eru fulltrúar frá NATO, sænsku netöryggismiðstöðinni NCSC-SE, fjarskiptayfirvöldum á Grænlandi auk sérfræðinga frá Fjarskiptastofu, Landsneti og Syndis.

Svona atburðarrás verður ekki skálduð en þessi tímalína er hér einstakt tækifæri til lærdóms. Grunur leikur á að PHP uppákoman komi til tals, enda nánast lygasaga að svona stór atburður hafi átt sér stað, rétt í aðdraganga Netöryggisráðstefnunnar.

FIE bendir því á hið einstaka lærdómstækifæri sem hér gefst til að fræðast, hér frá öðru sjónarhorni, um helstu áhættu á vettvangi innri endurskoðenda í dag, um PHP atburðinn og þann lærdóm sem má draga af honum þegar umfang hans og afleiðingar liggja betur fyrir.

Nánar:

• IIA – Cybersecurity Topical Requirement
• ENISA – Sameiginleg yfirlýsing um alvarlega veikleika í PHP
• Fjarskiptastofa – Netöryggisráðstefna

Risk in Focus 2027 - niðurstöður könnunar

Risk in Focus er árleg könnun sem tekur til helstu áhættuþátta sem skipulagsheildir í Evrópu standa frammi fyrir. Könnunin er nú framkvæmd í ellefta sinn og veitir innri endurskoðendum, endurskoðunarnefndum og stjórnum mikilvæga innsýn í hvernig áhættuumhverfið er að þróast sem og áherslur yfirmanna innri endurskoðunar í Evrópu í takt við það.

Risk in Focus 2027 greinir síbreytilegt áhættuumhverfi þar sem áhættuþættir verða sífellt samtengdari. Netöryggi er áfram stærsti áhættuþátturinn, en stafræn umbreyting, ný tækni og gervigreind, ásamt efnahagslegri og pólitískri óvissu, fylgja þar á eftir. Niðurstöðurnar varpa ljósi á hvernig hraðar tæknibreytingar, pólitísk óvissa og flóknara regluverk eru farnar að vera áskorun við hefðbundna nálgun og mat á stjórnarháttum, áhættustýringu og áætlanagerð í innri endurskoðun.

Skýrslan fjallar jafnframt um hvernig innri endurskoðunareiningar bregðast við breyttu áhættuumhverfi, meðal annars með sveigjanlegri áætlun innri endurskoðunar, aukinni samhæfingu og samstarfi og með því að styðja stjórnir við að efla framsýna stjórnarhætti.

Helstu niðurstöður

1. Stafræn umbreyting, ný tækni og gervigreind færðust úr þriðja sæti í annað sæti.
52% yfirmanna innri endurskoðunar töldu þennan áhættuþátt meðal fimm stærstu áhættuþátta. Stjórnarhættir, áhættustýring og eftirlitsferlar virðast þó ekki þróast í takt við þann hraða sem nýsköpun er á, á sviði gervigreindar, sem getur skapað blindsvæði í áhættustýringu.

2. Netöryggi og gagnaöryggi eru áfram hæst metnu áhættuþættirnir, en 86% yfirmanna innri endurskoðunar töldu þau meðal fimm stærstu áhættuþátta. Sífellt flóknari netárásir, ógnir tengdar gervigreind, veikleikar í aðfangakeðjum og pólitísk áhætta stuðla að áframhaldandi áhættu.

3. Efnahagsleg og pólitísk óvissa færðist upp í þriðja sæti, en þroski áhættustýringar og umfang innri endurskoðunar á þessu sviði er áfram tiltölulega lítið. Niðurstöðurnar benda til þess að skipulagsheildir þurfi að styrkja stjórnarhætti, viðnámsþrótt og getu til upplýstrar ákvarðanatöku til að bregðast við síbreytilegu ytra umhverfi.

Hlekkur á niðurstöðu könnunarinnar

Risk in Focus 2027 – yfirlit fyrir stjórnir

Yfirlit fyrir stjórnir dregur saman helstu niðurstöður skýrslunnar fyrir stjórnir og yfirstjórn.

Eftir því sem áhættuþættir verða sífellt samtengdari þurfa stjórnir að beita sveigjanlegri og framsýnni yfirumsjón. Innri endurskoðunareiningar gegna þar mikilvægu hlutverki, ekki aðeins með staðfestingarþjónustu, heldur einnig með því að veita innsýn og faglegt mat á stefnumótandi viðfangsefnum á borð við innleiðingu gervigreindar, viðnámsþrótt gagnvart netógnum og efnahagslega og pólitíska óvissu.

Yfirlitið dregur fram helstu áherslur, nýjar og vaxandi áhættur og atriði er varða stjórnarhætti sem stjórnir og yfirstjórn þurfa að hafa í huga á komandi ári.

Hlekkur á yfirlit fyrir stjórnir