Informationsutbyte om cyberhot enligt DORA – från regelkrav till praktiskt arbetssätt

Sammanfattning: Informationsutbyte om cyberhot enligt DORA artikel 45 är frivilligt – men rätt hanterat kan det hjälpa er upptäcka hot tidigare och prioritera rätt. Här går vi från regelkrav till ett praktiskt och proportionerligt arbetssätt för bedömning, delning, rapportering och uppföljning.

Informationsutbyte om cyberhot är en av de delar av DORA som lätt hamnar i skymundan. Mycket fokus ligger ofta på incidentrapportering, tredjepartsrisk, testning och styrning. Men rätt hanterad kan cyberhotsinformation göra stor skillnad.

En varning om en sårbarhet, en indikator på intrång eller en erfarenhet från en incident hos en annan aktör kan hjälpa organisationen att upptäcka hot tidigare, prioritera rätt åtgärder och minska konsekvenserna om något inträffar.

Samtidigt är informationsutbyte inte bara en teknisk fråga. Det handlar också om ansvar, sekretess, dataskydd, konkurrensrätt, incidentprocesser och hur informationen faktiskt används i verksamheten.

Vad säger DORA?

DORA artikel 45 ger finansiella företag möjlighet att utbyta information och underrättelser om cyberhot med varandra. Det kan till exempel handla om:

• indikatorer på intrång
• angripares metoder och tillvägagångssätt
• cybersäkerhetsvarningar
• information om sårbarheter
• konfigurationsråd och skyddsåtgärder
• erfarenheter från incidenter

Syftet ska vara att stärka den digitala operativa motståndskraften. Informationsutbytet ska ske inom betrodda gemenskaper och genom arrangemang som skyddar informationens känsliga karaktär.

Det är viktigt. Cyberhotsinformation kan vara mycket värdefull, men den kan också innehålla uppgifter som inte bör spridas fritt.

Är informationsutbyte obligatoriskt?

Nej. DORA kräver inte att alla finansiella företag ska delta i ett informationsutbytesnätverk.

Regeln säger att finansiella företag får utbyta information om cyberhot, under vissa förutsättningar. Det innebär att organisationen behöver göra en medveten bedömning: finns det relevanta forum eller nätverk, vilken nytta kan de ge och vilka risker eller krav följer med deltagandet?

För vissa organisationer kan deltagande vara värdefullt. För andra kan det vara mer relevant att först stärka den interna hanteringen av cyberhotsinformation, incidenter, sårbarheter och omvärldsbevakning.

Det viktiga är att frågan inte hanteras slentrianmässigt. Ett beslut att delta, avvakta eller avstå bör bygga på en faktisk bedömning.

Vad behöver bedömas innan deltagande?

Innan organisationen ansluter sig till ett informationsutbytesarrangemang bör några frågor besvaras:

• Vilken typ av information delas?
• Vilka organisationer deltar?
• Hur kontrolleras medlemmar och behörigheter?
• Vilka regler gäller för vidare delning?
• Finns det sekretesskrav, dataskyddskrav eller konkurrensrättsliga begränsningar?
• Kräver deltagandet särskilda resurser eller tekniska plattformar?

Det behöver också vara tydligt vem internt som ansvarar för deltagandet. Det räcker inte att en person får tillgång till ett forum. Organisationen behöver veta hur informationen tas emot, bedöms och förs vidare till rätt process.

Om ett företag väljer att delta i ett sådant arrangemang ska behörig myndighet underrättas när medlemskapet har validerats. Myndigheten ska också underrättas när deltagandet upphör. För företag under Finansinspektionens tillsyn behöver detta därför kopplas till ordinarie process för myndighetskontakt.

Informationsutbyte skapar bara värde om informationen tas om hand

Den stora praktiska risken är att informationsutbytet blir passivt.

Organisationen går med i ett nätverk, får tillgång till varningar och indikatorer, men informationen når aldrig rätt funktion eller leder inte till någon bedömning.

En sårbarhetsvarning kan behöva gå till patch- eller sårbarhetshanteringen. En indikator på intrång kan behöva kontrolleras i loggar eller säkerhetsövervakning. Information om en pågående angreppskampanj kan behöva leda till förstärkt övervakning, kontakt med leverantör eller en uppdaterad riskbedömning.

Ett enkelt arbetssätt kan vara:

1. Informationen tas emot.
2. Relevans och tillförlitlighet bedöms.
3. Eventuell delningsmärkning eller sekretess kontrolleras.
4. Informationen skickas till rätt funktion, till exempel IT, SOC, incidenthantering, risk eller leverantörsansvarig.
5. Åtgärder hanteras i befintliga processer.
6. Väsentliga beslut och åtgärder dokumenteras.

All information behöver inte leda till en ny aktivitet. Men information som är relevant för organisationens riskbild, system, leverantörer eller incidentförmåga behöver kunna tas om hand.

All information bör inte delas

DORA innebär inte att organisationen bör dela all information den har om cyberhot eller incidenter.

Innan information lämnas externt behöver organisationen bedöma vad som faktiskt får delas och med vem.

Det kan till exempel handla om:

• om informationen är tillräckligt tillförlitlig
• om nätverkets regler tillåter vidare delning
• om uppgifter kan identifiera kunder, medarbetare eller leverantörer
• om materialet innehåller affärshemligheter
• om informationen kan avslöja egna sårbarheter
• om uppgifterna är känsliga ur konkurrensrättsligt perspektiv
• om informationen bör anonymiseras eller begränsas

Det bör därför finnas en tydlig skillnad mellan normal delning inom ett godkänt forum och delning som kräver särskilt godkännande från exempelvis informationssäkerhet, juridik, dataskydd eller ledning.

Målet är att bidra till gemensam motståndskraft utan att samtidigt skapa nya risker.

Informationsutbyte är inte samma sak som rapportering

Det är lätt att blanda ihop informationsutbyte med rapportering. I praktiken behöver tre saker hållas isär.

1. Obligatorisk incidentrapportering

Finansiella företag som omfattas av DORA ska rapportera allvarliga IKT-relaterade incidenter till behörig myndighet enligt fastställda kriterier, format och tidsfrister.

2. Frivillig rapportering av betydande cyberhot

DORA ger också möjlighet att frivilligt rapportera betydande cyberhot till Finansinspektionen när hotet bedöms relevant för det finansiella systemet, tjänsteanvändare eller kunder.

3. Informationsutbyte inom betrodda gemenskaper

Detta är delning av cyberhotsinformation med andra deltagare i ett informationsutbytesarrangemang enligt artikel 45.

Samma händelse eller hotbild kan beröra mer än en process. Men processerna har olika syften, mottagare och rättsliga förutsättningar. Informationsdelning inom ett nätverk ersätter därför inte incidentrapportering till myndighet.

Hur mycket dokumentation behövs?

Informationsutbyte behöver inte bli ett nytt stort dokumentpaket. För de flesta organisationer är det bättre att bygga in området i befintlig styrning.

Det kan räcka med:

• en princip i informationssäkerhetsstyrningen
• en praktisk arbetsinstruktion
• en ansvarig funktion
• ett enkelt register över utvärderade och aktiva arrangemang
• en kontrollpunkt i incident- och rapporteringsprocessen
• spårbar dokumentation av viktiga beslut, delningar och åtgärder

Det viktiga är inte hur många dokument som finns. Det viktiga är att organisationen kan visa hur beslut fattas, hur mottagen information används, hur extern delning kontrolleras och hur deltagandet följs upp.

Vanliga fallgropar

En vanlig fallgrop är att behandla deltagande i informationsutbyte som ett obligatoriskt krav. Det är det inte. Däremot kan det vara relevant och värdefullt, beroende på verksamhetens riskbild och behov.

En annan fallgrop är att skapa en helt separat process för varje typ av information. I många fall bör cyberhotsinformation i stället matas in i befintliga processer för incident, sårbarhet, risk, leverantörsstyrning eller kontinuitet.

En tredje fallgrop är att dokumentera allt på samma nivå. Det skapar administration men inte nödvändigtvis bättre säkerhet. Dokumentationen bör fokusera på information som leder till en väsentlig bedömning, åtgärd, delning, incident eller eskalering.

Den kanske viktigaste fallgropen är att informationsutbytet aldrig når verksamheten. En indikator som inte når säkerhetsövervakningen, en sårbarhetsvarning som inte når IT eller en incidenterfarenhet som inte påverkar riskarbetet skapar begränsat värde.

En praktisk miniminivå

En proportionerlig hantering av DORA:s regler om informationsutbyte kan bygga på några enkla steg:

1. Kartlägg relevanta informationsutbytesarrangemang.
2. Bedöm nytta, risker, villkor och resursbehov.
3. Dokumentera beslut om deltagande, avvaktan eller avstående.
4. Utse ansvarig funktion och deltagare om organisationen deltar.
5. Underrätta behörig myndighet när medlemskap valideras eller upphör.
6. Säkerställ att mottagen information kan hanteras i befintliga processer.
7. Kontrollera sekretess, dataskydd och delningsrätt innan information delas externt.
8. Koppla arbetet till incident- och myndighetsrapportering.
9. Följ upp om deltagandet faktiskt ger nytta.

Det är inte mer administration som skapar motståndskraft. Det är rätt information till rätt funktion i rätt tid.

Så kan Kristensson i Skåne stödja arbetet

Kristensson i Skåne hjälper finansiella organisationer att omsätta DORA:s krav till praktiska och proportionerliga arbetssätt.

Vi kan stödja med exempelvis:

• nulägesanalys och gap-analys mot DORA
• framtagning eller anpassning av styrande dokument
• arbetsinstruktion för informationsutbyte och cyberhotsinformation
• koppling till incident- och myndighetsrapportering
• ansvarsfördelning och beslutsvägar
• dokumentationsstöd och revisionsspår
• granskning och förenkling av befintliga DORA-processer
• löpande GRC- eller CISO-stöd som tjänst

Vår utgångspunkt är praktisk. Informationsutbyte ska inte bli en isolerad complianceaktivitet. Det ska bidra till bättre beslut, snabbare åtgärder och starkare operativ motståndskraft.

Vill ni se om er hantering av informationsutbyte enligt DORA är tillräcklig, proportionerlig och användbar i praktiken? Läs mer om vårt arbete med informationssäkerhet och styrning eller kontakta oss så tar vi ett första samtal.

Vanliga frågor om DORA och informationsutbyte

Källor: DORA, artikel 45 – informationsutbyte om cyberhot. Finansinspektionen – rapportering av allvarliga IKT-relaterade incidenter och betydande cyberhot.

Detta är en översikt och inte juridisk rådgivning. Varje organisation behöver bedöma sina krav utifrån verksamhet, tillsyn, riskbild och befintlig DORA-styrning.