Oppsøkende programmer for nettsikkerhet: nøkler og ressurser

Informatec Digital » Ressurser » Oppsøkende programmer for nettsikkerhet: nøkler og ressurser

I et miljø der hvert klikk etterlater spor, er cybersikkerhet og formidling av den ikke lenger valgfritt , men en essensiell del av de digitale livene til enkeltpersoner, bedrifter og offentlige forvaltninger. Vi tilbringer en betydelig del av dagen vår tilkoblet: vi jobber, handler, snakker med familiene våre, administrerer virksomhetene våre og konsulterer til og med leger på nett.

Dette massive skiftet til den digitale verdenen har medført mange fordeler, men også risikoer: cyberangrep har mangedoblet seg og blitt mer sofistikerte , og retter seg mot både personlige datamaskiner, bedriftsnettverk, industrisystemer og sykehus. Det er her programmer for bevisstgjøring av cybersikkerhet kommer inn i bildet, spesielt programmer for avsløring av sårbarheter, hjelpelinjer, opplæringsplaner og offentlig-private partnerskap.

Hva er oppsøkende programmer for cybersikkerhet, og hvorfor er de så nødvendige?

Når vi snakker om oppsøkende programmer innen cybersikkerhet, refererer vi til organiserte initiativer som er utformet for å informere, utdanne og koordinere samfunnet i møte med digitale trusler . Disse programmene kan drives av offentlige institusjoner, private selskaper, internasjonale organisasjoner eller joint ventures, og spenner fra bevissthetskampanjer til rådgivningstjenester, opplæringskurs og formelle rammeverk for rapportering av sårbarheter.

Innenfor dette rammeverket er en sentral søyle det såkalte Sårbarhetsavsløringsprogrammet (VDP). Et VDP er et strukturert rammeverk som gir tredjeparter en tydelig kanal for å rapportere sikkerhetsfeil i en organisasjons systemer og applikasjoner før disse feilene kan utnyttes av kriminelle.

IT-infrastrukturer, uansett hvor godt vedlikeholdt de kan virke, inneholder alltid sårbarheter: programmeringsfeil, feilkonfigurasjoner, dårlig eksponerte tjenester eller utdaterte komponenter . Angripere leter stadig etter disse svakhetene. Derfor har flere og flere selskaper innsett at det er bedre å be om hjelp fra etiske hackere, sikkerhetsforskere og informerte borgere for å finne disse problemene så tidlig som mulig.

VDP-er bruker en crowdsourcing-modell: cybersikkerhetsmiljøet inviteres til å gjennomgå systemer og rapportere sårbarheter gjennom en sikker og regulert kanal . Til gjengjeld forplikter organisasjonen seg til å håndtere disse rapportene ansvarlig, uten å iverksette rettslige skritt mot de som handler innenfor programmets regler, og i mange tilfeller tilbyr de anerkjennelse eller til og med kompensasjon.

Sårbarhetsavsløringsprogrammer (VDP-er): Hvordan de fungerer og hva de bør inkludere

En robust VDP innebærer mye mer enn bare en e-postadresse for rapportering av feil. Et godt utformet program definerer presist hvordan sårbarheter oppdages, rapporteres, analyseres og utbedres , samt etablerer forholdet mellom den rapporterende enheten og individet.

I et standardprogram er det vanlig å finne dusinvis av feil for hver tusende kodelinje . Noen av disse feilene kan gå ubemerket hen under utviklingen og komme i produksjon. Hvis en angriper oppdager dem først, kan de bli inngangsporten til en alvorlig hendelse. Det samme gjelder usikre konfigurasjoner, noe som er spesielt kritisk i skymiljøer , der en feil innstilling kan eksponere sensitive data i massiv skala.

Hovedformålet med en VDP er derfor å redusere risiko ved å koble tidlig oppdagelse av sårbarheter med rask og ordnet utbedring av disse . For å oppnå dette bør et godt program for sårbarhetsavsløring som et minimum sørge for:

• En tydelig policy for hvordan organisasjonen håndterer sårbarheter, som definerer prinsipper, ansvar og forventninger både interne og eksterne.
• En enkel og tilgjengelig rapporteringsmetode (e-post, nettskjema, spesialisert portal osv.) som ikke krever unødvendige trinn fra forskeren.
• En godt dokumentert responsprosessmed veiledende frister, mulige resultater, utbedringstider og måter å anerkjenne forskerens bidrag på.
• En intern arbeidsflyt for å analysere og korrigere sårbarheterogså vurdere former for samarbeid og, hvis det er aktuelt, økonomiske eller andre belønninger.
• Et veldefinert omfanghvilke eiendeler, systemer eller applikasjoner som er inkludert i programmet, og hvilke fremgangsmåter som er uttrykkelig unntatt fra det som er tillatt.
• En eksplisitt erklæring om juridiske garantier slik at forskningsaktivitetene som utføres innenfor programmets regler ikke fører til rettslige skritt mot informanten.

Ved å implementere et VDP sender en organisasjon også et eksternt budskap: den demonstrerer en genuin forpliktelse til sikkerhet og åpenhet overfor kunder, investorer og offentligheten . Videre fremmer den konstruktivt samarbeid med forskningsmiljøet, og samordner interessene til alle parter rundt trusseldeteksjon og -reduksjon.

Hvordan en godt administrert VDP reduserer kostnadene ved sikkerhetshendelser

Når en cybersikkerhetshendelse inntreffer, er de mest synlige kostnadene vanligvis de direkte: tapte inntekter på grunn av nedetid, løsepenger, bøter og omdømmeskade som påvirker tilliten til kunder og partnere. Det er imidlertid et annet sett med kostnader som ofte går ubemerket hen: den interne innsatsen som kreves for å håndtere hver hendelse eller sårbarhet.

Hver innkommende rapport krever at én eller flere personer gjennomgår den, dokumenterer den, vurderer alvorlighetsgraden, utforsker potensielle løsninger, følger opp og bekrefter at den er korrigert . Dette inkluderer ikke bare IT- eller sikkerhetsteamet, men også kundeservice, forretningsledere, juridisk personale eller til og med toppledelsen, avhengig av alvorlighetsgraden av problemet.

Når det ikke finnes en ordnet prosess for å håndtere sårbarheter, oppstår duplisering, flaskehalser og forsinkelser : rapporter går tapt, svar kommer for sent, frustrerte forskere ender opp med å publisere feil uten koordinering, eller sårbarheter forblir åpne lenger enn ønsket.

En godt strukturert VDP sikrer at hver rapport følger en effektiv og forutsigbar vei , fra første mottak til utbedring og, om nødvendig, koordinert offentliggjøring. Dette reduserer tiden ansatte bruker på repeterende eller uorganiserte oppgaver, og kutter dermed direkte driftskostnadene knyttet til hendelses- og sårbarhetshåndtering.

Ved å gi raske og klare svar til forskere unngår man dessuten situasjoner med spenning eller for tidlig avsløring som kan forverre virkningen av en sårbarhet. På denne måten fungerer VDP-en som en buffer mellom tredjepartsfunn og offentlig eksponering, og gir den berørte enheten tid til å implementere de nødvendige korrigerende tiltakene.

Tredjeparts administrerte VDP-er: letter belastningen og øk effektiviteten

I praksis erkjenner mange organisasjoner viktigheten av å ha et VDP, men sikkerhetsteamene deres er allerede overbelastet med daglige oppgaver : overvåking, hendelsesrespons, samsvar med regelverk, digitale transformasjonsprosjekter osv. For dem er det vanskelig å sette av ekstra ressurser til å designe, implementere og vedlikeholde et dynamisk oppsøkende program.

Et stadig vanligere alternativ er å bruke VDP-tjenester administrert av spesialiserte leverandører . Dette er selskaper med erfaring innen penetrasjonstesting, sårbarhetshåndtering og koordinering med eksterne forskere som håndterer den mest krevende delen av prosessen.

Plattformer som Synack, posisjonert innen penetrasjonstesting og kontrollert offensiv sikkerhet, tilbyr komplette programmer for avsløring av sårbarheter , som kan inkludere mottak og klassifisering av rapporter, teknisk verifisering av feil, kommunikasjon med forskere, anerkjennelse av bidrag og utarbeidelse av målinger for ledelsesrapporter.

På denne måten kan organisasjoner forbli koblet til det globale cybersikkerhetsmiljøet , dra nytte av kunnskapen deres og opprettholde en konstant strøm av informasjon om nye trusler, uten å legge en uhåndterlig byrde på sine interne team.

Til syvende og sist gir VDP-er – enten interne eller administrert av tredjeparter – en raskere visualisering av trussellandskapet, prioritering av hva som skal tas tak i først , og koordinering av responsen før angripere utnytter sikkerhetssårbarheter. Denne tilnærmingen fremmer formelt og kontinuerlig samarbeid mellom alle interessenter og forbedrer kvaliteten på risikostyringsbeslutninger.

Beste praksis for ansvarlig rapportering av sårbarheter

Utover utformingen av en VDP er det viktig å ha en tydelig metode for ansvarlig varsling som setter tidsfrister og forventninger for alle parter. Et vanlig eksempel er å etablere rimelige tidsrammer mellom når en sårbarhet rapporteres og når den offentliggjøres.

I mange programmer, når en advarsel mottas og det bekreftes at sårbarheten er reell, blir den berørte enheten umiddelbart informert via sikre kommunikasjonskanaler, slik at den har nødvendig tid til å analysere feilen og anvende den tilsvarende løsningen.

Det er vanlig praksis å sette en omtrentlig tidsramme – for eksempel rundt 45 dager fra den første varslingen – for organisasjonen til å rette opp problemet. I spesielt kritiske tilfeller, der utnyttelsen kan ha en svært alvorlig innvirkning, kan det avtales en ekstra frist, for eksempel to uker til eller en annen margin som anses som rimelig av begge parter.

Når sårbarheten er rettet, gjennomføres det vanligvis en koordinert offentliggjøring , der både forskeren og den berørte enheten deler informasjon på en måte som tjener til å lære, forbedre og samtidig beskytte sluttbrukere.

Hvis enheten derimot gjentatte ganger ignorerer varslene eller viser en tydelig mangel på interesse i å rette opp sårbarheten, vurderer noen programmer muligheten for å offentliggjøre sårbarheten for å varsle de som potensielt er berørt. Dette tiltaket anses som en siste utvei, men det fungerer som en presstaktikk for å forhindre at risikoen blir bagatellisert.

Hjelpe- og oppsøkende programmer for borgere, bedrifter og mindreårige

Bevissthet om nettsikkerhet er ikke begrenset til tekniske miljøer: det omfatter også tjenester utviklet for personer uten avansert kunnskap om nettsikkerhet som trenger veiledning i sitt digitale daglige liv. I Spania er en av de ledende organisasjonene National Cybersecurity Institute (INCIBE), som implementerer ulike programmer rettet mot borgere, bedrifter og mindreårige.

Blant dem er tjenesten «Din nettsikkerhetshjelp» , en gratis og konfidensiell nasjonal ressurs som INCIBE stiller til rådighet for alle med spørsmål eller problemer knyttet til nettsikkerhet. Den er rettet mot tre hovedgrupper: vanlige brukere, bedrifter og fagfolk, og mindreårige og deres støttenettverk (familier, lærere og fagfolk som spesialiserer seg på nettbasert barnevern).

Denne tjenesten er bemannet av et tverrfaglig team av eksperter som tilbyr råd fra ulike perspektiver: tekniske, psykososiale og juridiske. En viktig differensiering er de utvidede åpningstidene: den er tilgjengelig fra kl. 8 til 11, 365 dager i året, noe som gjør den til en lett tilgjengelig ressurs for nødsituasjoner og hasteforespørsler.

Kontakt skjer gjennom ulike kanaler levert av INCIBE, noe som legger til rette for sikker kommunikasjon skreddersydd til hver brukers behov . Denne tilgjengeligheten er nøkkelen til å oppmuntre innbyggere til å søke hjelp angående svindel, identitetstyveri, nettmobbing, personvernproblemer eller spørsmål om sikkerhetsinnstillinger.

INCIBE fremmer også andre oppsøkende, opplærings- og støtteinitiativer som søker å involvere hele samfunnet i en solid cybersikkerhetskultur , noe som er viktig for å redusere angrepsflaten representert av usikker atferd eller mangel på grunnleggende kunnskap.

INCIBEs CONFÍA-program: cybersikkerhetskultur og digital tillit

Blant de mest ambisiøse initiativene er INCIBEs CONFÍA-program , som er utformet for å styrke både cybersikkerhetskapasiteter og digital tillit blant innbyggere og bedrifter. Formålet er å fremme en ekte, felles cybersikkerhetskultur ved å kombinere bevissthetskampanjer, opplæring, samarbeid og utvikling av spesifikke verktøy.

Programmet er strukturert rundt fire hovedpilarer. Den første er bevisstgjørings- og kommunikasjonsaktiviteter , som inkluderer massekampanjer rettet mot innbyggere, mindreårige og næringslivet, samt arrangementer og aktiviteter på stedet eller lokale i samarbeid med de autonome regionene.

Det andre fokuset er opplæring i nettsikkerhet , gjennom utvikling av opplæringsprogrammer og spesifikke ressurser for å forbedre digitale ferdigheter på dette området. Målet er å gi ulike profiler – fra ansatte i små og mellomstore bedrifter til familier – innhold skreddersydd til deres spesifikke omstendigheter.

Et tredje område dreier seg om samarbeid og koordinering , gjennom bilaterale og multilaterale avtaler som tar sikte på å befeste denne cybersikkerhetskulturen, forbedre hendelseshåndteringen og bygge et solid nettverk av relevante aktører i det digitale økosystemet.

Det fjerde fokuset er på verktøy og løsninger for nettsikkerhet , og fremmer utvikling og bruk av teknologier spesielt utviklet for mindreårige, allmennheten og bedrifter. Disse løsningene tar sikte på å legge til rette for beskyttelse i praksis, og går utover teorien.

Alle disse tiltakene iverksettes gjennom INCIBEs ulike tjenester og mekanismer, med fokus på de tre hovedmålgruppene: bedrifter, borgere og mindreårige . CONFÍA inkluderer også forbedringer av responstjenestene til 017 Cybersecurity Helpline og styrking av hendelsesresponsmekanismer gjennom INCIBE-CERT , det ledende hendelsesresponssenteret for cybersikkerhet.

Aktiv cybersikkerhet: spesialisert rådgivning for små og mellomstore bedrifter

Utover den generelle bevisstheten trenger mange små og mellomstore bedrifter (SMB-er) mye mer spesifikk støtte for å vurdere situasjonen sin og planlegge forbedringer . For å imøtekomme dette behovet er Activa Ciberseguridad lansert , et spesialisert og personlig rådgivningsprogram rettet mot SMB-er, spesielt de i industrisektoren.

Dette programmet er strukturert som en konsulenttjeneste innen cybersikkerhet, administrert av Generalsekretariatet for industri og små og mellomstore bedrifter (SGIPYME), de autonome regionene og EOI , og finansiert gjennom fondene til gjenopprettings- og motstandskraftmekanismen og/eller budsjettapplikasjonen til SGIPYME fra Industri- og turismedepartementet.

Støtten gis i form av naturalytelser, på ikke-konkurransepreget grunnlag , i den rekkefølgen søknader mottas og så lenge det er tilgjengelige midler. Beløpet per mottaker er € 2 140, og selskapet velger selv konsulentfirmaet – blant de som er godkjent gjennom en rammeavtale – som skal levere tjenesten.

Programmet er rettet mot små og mellomstore bedrifter med egen juridisk personlighet i Spania, lovlig stiftet og behørig registrert . Innholdet inkluderer 20 timer med rådgivning fra toppledere, en cybersikkerhetsdiagnose og -revisjon , utvikling av en personlig cybersikkerhetsplan og tematiske workshops for å bidra til å implementere de foreslåtte tiltakene.

Activa Ciberseguridad er en del av den nasjonale strategien for tilkoblet industri 4.0 , som har som mål å øke industriell merverdi, fremme kvalifisert sysselsetting og styrke utviklingen av proprietære digitale løsninger. Målet er å gjøre det mulig for små og mellomstore bedrifter å forstå sitt faktiske sikkerhetsnivå og utforme en forbedringsplan skreddersydd for deres ressurser og prioriteringer.

Som en generell regel varer programmet omtrent fire måneder per mottakerbedrift , hvor det avholdes individuelle møter på SMB-ens eget hovedkvarter, tekniske revisjoner og fjernarbeid av konsulenten, i tillegg til bevisstgjøringsworkshops om viktigheten av å integrere cybersikkerhet i forretningsstrategien.

Rammeverk for bistand, styring og interdepartementalt samarbeid

Tilskuddene knyttet til Activa Ciberseguridad tildeles på ikke-konkurransedyktig grunnlag til små og mellomstore bedrifter , i samsvar med bestemmelsene i forordning ICT/819/2022 av 12. august (Official State Gazette av 25. august 2022). De nasjonale utlysningene beskriver frister, spesifikke krav, søknadsprosedyrer og tilskuddsvilkår, slik at interesserte selskaper kan planlegge sin deltakelse.

Programmet er en del av SMB-vekstkapasitetsprogrammet , integrert i komponent 13 av planen for gjenoppretting, transformasjon og motstandskraft. Det deler plass med andre initiativer som Activa Crecimiento og Activa Industria 4.0, og har et totalbudsjett på 101 millioner euro med mål om å støtte omtrent 11 000 SMB-er.

Den interdepartementale karakteren til dette rammeverket forsterker viktigheten av cybersikkerhet som en strategisk drivkraft for konkurranseevne og digital transformasjon . I denne sammenhengen er samarbeidet med INCIBE også verdt å merke seg, ettersom det bidrar med ressurser og ekspertise for å gi ytterligere støtte.

For eksempel tilbyr National Cybersecurity Institute bedrifter en gratis hjelpelinje for cybersikkerhet: 017 , som også er tilgjengelig for innbyggere, foreldre, mindreårige og lærere. Henvendelser kan gjøres hver dag i året, inkludert helligdager, fra kl. 09.00 til 21.00, noe som letter direkte kontakt med spesialister.

I tillegg tilbyr INCIBE og Google en gratis MOOC rettet mot små og mellomstore bedrifter med tittelen «Beskytt bedriften din: Nettsikkerhet i telearbeid» , som bidrar til å forstå truslene knyttet til nye former for tilkobling og etablere sikre retningslinjer for fjernarbeid i samsvar med juridiske krav og krav til databeskyttelse.

Cybersamarbeid og initiativer for sosial bevissthet

Å bygge et sikkert digitalt samfunn avhenger ikke bare av lover og teknologier, men også av involvering av frivillige, foreninger, bedrifter og utdanningsinstitusjoner . På dette området har INCIBEs Cyber-Cooperators-program etablert seg som et godt eksempel på borgermedvirkning i å fremme cybersikkerhet.

Dette programmet, som fokuserer på å gjøre cybersikkerhet mer tilgjengelig for publikum gjennom foredrag, workshops og oppsøkende aktiviteter, har over 500 samarbeidspartnere over hele Spania. Arbeidet har blitt anerkjent med priser, som for eksempel prisen for beste digitale medborgerskapsprosjekt under 20-årsjubileet for Verdens internettdag.

Takket være disse nettsamarbeidspartnerne leveres viktige digitale sikkerhetsbudskap til skoler, foreninger, små bedrifter og sårbare grupper , tilpasset et enkelt og tilgjengelig språk. Dette arbeidet utfyller større institusjonelle programmer og forsterker kulturell endring fra grunnen av.

Parallelt utvikles prosjekter som +Cybersecurity , i fellesskap promotert av INCIBE, CEOE Foundation, CEOE, CEIM, og i samarbeid med Civil Guard, det nasjonale politiet og Hermes Foundation. Dette er et nasjonalt initiativ som søker å styrke robustheten i produksjonssektoren gjennom opplæring, bevisstgjøring og samarbeid mellom offentlige og private interessenter.

Arrangementer som de som holdes på CEIMs hovedkvarter samler bedriftsledere, eksperter og institusjonsrepresentanter for å sette digital beskyttelse i sentrum for forretningsstrategien , dele beste praksis og koordinere innsatsen mot økende trusler.

EUs strategier og tiltak innen cybersikkerhet

På overnasjonalt nivå har EU definert en strategi for cybersikkerhet med mål om å styrke den kollektive sikkerheten og medlemslandenes responskapasitet. Ideen er klar: den digitale overgangen vil bare lykkes hvis innbyggere og bedrifter kan dra nytte av ny teknologi uten at det går på bekostning av sikkerheten deres.

Den europeiske strategien er organisert rundt tre hovedtiltaksområder. Det første fokuserer på robusthet, teknologisk suverenitet og lederskap , med sikte på å redusere kritiske avhengigheter i Europa og utvikle egne evner til å beskytte sin essensielle infrastruktur og tjenester.

Det andre fokuset er på operativ kapasitet til å forebygge, avskrekke og reagere på cyberangrep, fremme samarbeid mellom stater, forbedre delt etterretning og utvikle koordinerte forsvarskapasiteter i cyberrommet.

Den tredje komponenten fokuserer på internasjonalt samarbeid i et globalt og åpent cyberrom , og fremmer et stabilt og sikkert internett der rettsstatsprinsipper, menneskerettigheter og demokratiske verdier respekteres.

EU jobber også med å styrke nettsikkerhetskapasiteten og koordinere effektive tiltak til fordel for innbyggerne . Nettsikkerhet er en sentral pilar i programmet for et digitalt Europa, som finansierer prosjekter for å øke motstandskraften mot nettangrep og forbedre koordineringen mellom medlemslandene.

I november 2020 presenterte Kommisjonen og Høyrepresentanten en felles melding om EUs nye cyberforsvarspolitikk , med mål om å forbedre samarbeid og investeringer på dette området og gi mer robust beskyttelse mot økningen i angrep. Årlig fremdriftsovervåking er planlagt, sammen med utvikling av en detaljert implementeringsplan i samarbeid med medlemsstatene.

Europeisk handlingsplan for å styrke cybersikkerheten i helsesektoren

En av sektorene som er mest sårbare for cyberangrep er helsevesenet. 15. januar 2025 lanserte Europakommisjonen en spesifikk handlingsplan for å styrke cybersikkerheten til sykehus og helsepersonell, i tråd med prioriteringene i mandatet for 2024–2029.

Denne planen tar sikte på å forbedre trusseldeteksjon, beredskap og respons på cyberkriser i helsesektoren. For dette formålet er det planlagt tiltak for å tilby veiledning, verktøy, tjenester og opplæring skreddersydd til de spesifikke behovene til sykehus og andre helsepersonell.

Gjennom 2025 og 2026 vil det bli iverksatt spesifikke tiltak i samarbeid med medlemsstatene, helsesektoren og nettsikkerhetsmiljøet . Dette er det første sektorinitiativet som på en integrert måte implementerer hele spekteret av EUs nettsikkerhetstiltak som anvendes på et spesifikt og spesielt kritisk område for innbyggerne.

I praksis betyr dette å styrke protokoller, systemer, teknologisk infrastruktur og menneskelige kapasiteter ved sykehus og helsetjenester, slik at de bedre kan motstå angrep som forsøker å stjele kliniske data, lamme tjenester eller manipulere medisinske systemer.

Programmene og strategiene som er beskrevet – VDP, hjelpelinjer, opplæringsplaner, samarbeidsinitiativer og europeiske rammeverk – skisserer et økosystem der cybersikkerhet behandles som en felles innsats mellom institusjoner, bedrifter, fagfolk og borgere, med formidling og samarbeid som sentrale verktøy for å forutse trusler.