Kritiske aktiver

Kritikalitet udspringer af forretningens konsekvenser, ikke af teknologien. ISO/IEC 27005 skelner klassisk mellem primære aktiver, altså de forretningsprocesser og informationer, der bærer værdien, og understøttende aktiver, dvs. den hardware, software, de netværk, personer og lokationer, som de primære aktiver er afhængige af. En server er kun kritisk, fordi der kører noget kritisk på den, og derfor bør kritikalitet nedarves gennem en afhængighedsgraf fra de aktiviteter, en BIA har udpeget, frem for at blive fastsat system for system. Gøres det ordentligt, afslører grafen aktiver, som ingen ville kalde kronjuveler, men som alt afhænger af: Active Directory eller cloudens identitetsudbyder, DNS, backupplatformen, hypervisorens administrationslag, PKI og værktøjerne til privilegeret adgang.

De fleste organisationer vurderer aktiver på fortrolighed, integritet og tilgængelighed hver for sig og tager den højeste vurdering, hvorefter aktiverne samles i få niveauer (fx tier 0 til tier 3), der knyttes til konkrete minimumskrav til kontroller: genetableringsmål, backupfrekvens, overvågning, frister for patching og ændringsstyring. Forskellen til dataklassifikation er vigtig: Klassifikation mærker information primært efter fortrolighed og håndteringsregler, mens kritikalitet også dækker tilgængelighed og integritet. Et offentligt, men sikkerhedsrelevant sensorsignal kan derfor være meget kritisk og samtidig helt uklassificeret.

MITREs Crown Jewels Analysis formaliserer det som en kortlægning fra mission til aktiv. På samfundsniveau optræder samme idé som kritiske enheder og kritisk infrastruktur: CER-direktivet (EU) 2022/2557 handler om kritiske enheders fysiske modstandsdygtighed, og NIS2 inddeler organisationer i væsentlige og vigtige enheder efter sektor og størrelse. At være væsentlig enhed efter NIS2 siger intet om, hvilke af enhedens egne systemer der er kritiske; det skal stadig afgøres internt. I ISO/IEC 27001:2022 er de relevante kontroller i bilag A 5.9 (fortegnelse over information og andre tilknyttede aktiver) og 5.12 (klassifikation af information), og NIS2 art. 21, stk. 2, litra i, nævner styring af aktiver blandt minimumsforanstaltningerne.

Typiske fejl er en liste, der blev frosset, da konsulenterne gik, en inflation i kritisk status af politiske grunde, indtil alt er tier 1, og at man glemmer, at angribere går efter administrationsvejen til et aktiv snarere end aktivet selv. Ransomwaregrupper går typisk først efter domænecontrollere, hypervisorer og backupkonsoller, fordi den, der styrer dem, styrer alle kronjuvelerne på én gang; at behandle netop de systemer som tier 0 er et af de mest værdifulde resultater af øvelsen.