Eksterne konsulenter og leverandører: Bør de inkluderes i cybersikkerhetsopplæringen?

I de fleste moderne virksomheter har den tradisjonelle IT-sikkerhetsgrensen visket seg ut. Interne fagmiljøer samarbeider daglig med innleide konsulenter, frilansutviklere, driftspartnere og eksterne rådgivere. Disse aktørene tildeles ofte omfattende tilganger: personlige VPN-brukere, interne e-postadresser, tilgang til Slack eller Teams, samt skrive- og leserettigheter i kildekodedatabaser og forretningssystemer.

Likevel oppstår det ofte en usynlig mur når den årlige opplæringsplanen for digital sikkerhet skal rulles ut. Administrativt merarbeid, hyppig rotasjon blant innleid personell eller juridisk usikkerhet knyttet til oppdragsavtaler fører ofte til at tredjeparter utelates fra opplæringen. Denne operasjonelle blindsonen gir trusselaktører en åpen dør inn, da de bevisst retter angrep mot de svakeste leddene i verdikjeden.

Hvorfor må eksterne brukere følge de samme sikkerhetsrutinene?#

Kort oppsummert: Eksterne kontoer opererer i de samme samhandlingsflatene og IT-miljøene som egne ansatte. Uten likeverdig digital hygiene og årvåkenhet vil en ekstern konsulent som rammes av phishing eller sosial manipulering fungere som en direkte bakvei inn i kjernesystemene, helt utenom tradisjonelle perimeterforsvar.

For en trusselaktør har en e-postkonto på deres virksomhetsdomene nøyaktig samme verdi, enten den tilhører administrerende direktør eller en innleid konsulent på et tre ukers prosjekt. Så snart en konto er aktiv i virksomhetens katalogtjeneste, kan den utnyttes til videre bevegelse i nettverket:

• Lateral forflytning (lateral movement): Kompromitteres en konsulentkonto via målrettet phishing, utnytter angriperen den etablerte tilliten til intern kommunikasjon for å lure andre medarbeidere eller hente ut sensitive dokumenter.
• Bruk av ukontrollert utstyr (BYOD): Eksterne rådgivere arbeider ofte fra egne bærbare datamaskiner eller enheter administrert av sitt eget selskap, der sikkerhetskonfigurasjonen sjelden samsvarer med deres interne standarder. Dette stiller enda strengere krav til personens egen adferdsbaserte årvåkenhet.
• Manglende kjennskap til interne varslingsrutiner: En innleid ressurs vet sjelden hvem som utgjør hendelseshåndteringsteamet, hvor mistenkelig aktivitet skal rapporteres, eller hvordan en uvanlig betalingsanmodning skal verifiseres.

Digital sikkerhet og god cyberhygiene kan ikke avgrenses av ansettelsesforholdet. En helhetlig sikkerhetskultur på tvers av interne og eksterne aktører reduserer virksomhetens samlede angrepsflate betraktelig.

Hva krever ISO 27001, NIS 2 og NSMs grunnprinsipper av leverandørsikkerhet?#

Kort oppsummert: Digitalsikkerhetsloven (som innfører NIS 2-prinsipper i Norge), ISO 27001 og NSMs grunnprinsipper for IKT-sikkerhet krever streng styring av leverandørkjederisiko. Virksomheter må dokumentere at alle parter med tilgang til kritiske informasjonsverdier omfattes av tilpassede sikkerhetstiltak og kontinuerlig opplæring.

Sikkerhetsstandarder og nasjonale retningslinjer vektlegger i økende grad at moderne selskaper inngår i tette digitale økosystemer. Leverandørsikkerhet kan ikke lenger håndteres som et rent juridisk vedlegg til en innkjøpskontrakt:

Kravene i ISO/IEC 27001:2022

I ISO 27001 (vedlegg A, kontroll 5.19) stilles det eksplisitte krav til informasjonssikkerhet i leverandørforhold. Sikkerhetskrav må avtales og etterleves av enhver part som har tilgang til virksomhetens verdier. Samtidig krever kontroll 6.3 regelmessig opplæring, bevisstgjøring og oppdatering innen informasjonssikkerhet for alt relevant personell og eksterne interessenter.

Rammeverket i Digitalsikkerhetsloven og NIS 2

Med implementeringen av NIS 2 gjennom den norske digitalsikkerhetsloven løftes leverandørkjederisiko til et lovpålagt styreansvar. Både samfunnskritiske og viktige virksomheter må kunne dokumentere sikkerhetstilstanden hos sine direkte leverandører. I praksis er det å inkludere eksterne aktører i virksomhetens bevisstgjøringstiltak et konkret og etterprøvbart bevis på operasjonell risikostyring overfor tilsynsmyndigheter.

NSMs grunnprinsipper for IKT-sikkerhet

Nasjonal sikkerhetsmyndighet (NSM) understreker i sine grunnprinsipper viktigheten av å ha kontroll på eksterne tilganger og etablere en robust sikkerhetskultur. Opplæring av alle som gis tilgang til virksomhetens systemer er avgjørende for å oppdage og stoppe cyberangrep på et tidlig stadium.

Hvordan gjennomføre opplæring for eksterne uten friksjon?#

Å administrere opplæring for titalls konsulenter via tradisjonelle e-læringsplattformer skaper ofte unødvendig hodebry: inaktive brukerkontoer, tunge innlogginger og 45-minutters teoretiske moduler som konsulenter på timebasis kvier seg for å prioritere.

For å lykkes med å inkludere eksterne uten å overbelaste IT-sikkerhetsavdelingen, bør virksomheten bygge på noen enkle prinsipper:

• Bruk mikrolæring: Korte økter på få minutter glir naturlig inn i en travel arbeidsdag uten å forstyrre leveranser eller timeføring.
• Sørg for friksjonsfri tilgang: Eksterne oppdragstakere bør slippe å opprette tunge brukerkontoer på separate portaler for å gjennomføre praktiske scenarier.
• Fokuser på reelle trusler: Konsentrer innholdet rundt sosial manipulering, direktørsvindel, sikkerhet på reise, håndtering av passord og flerfaktorautentisering (MFA).
• Fordel opplæringen over tid: I stedet for en massiv gjennomgang ved oppstart som raskt går i glemmeboken, sikrer jevnlige drypp at årvåkenheten holdes ved like gjennom hele oppdragsperioden.

Det er nettopp for å løse denne balansen mellom pedagogisk effekt og lav administrativ belastning at Brain Security har utviklet Cyber Journey. Dette er et engasjerende opplæringsløp basert på korte mikroleksjoner og et integrert arkadequiz-konsept. Løsningen rulles ut i tett samarbeid med vårt team, og etablerer en felles sikkerhetskultur for både egne ansatte og eksterne partnere uten tekniske hindre eller tungvint administrasjon.

BRAIN SECURITY I PRAKSIS · Cyber Journey

Integrer eksterne partnere i sikkerhetsstyringen i dag#

Moderne cyberangrep retter seg sjelden mot de best beskyttede kjernesystemene først, men utnytter heller relasjonelle sårbarheter og eksterne avhengigheter. Å behandle eksterne samarbeidspartnere som annenrangs brukere i sikkerhetsarbeidet utgjør en betydelig risiko for hele virksomheten.

Ved å samkjøre opplæringen for eksterne aktører med interne rutiner, styrkes motstandskraften i hele verdikjeden. Samtidig sikrer ledergruppen og styret god dokumentasjon i møte med krav fra revisorer, ISO 27001 og Digitalsikkerhetsloven.

Ønsker dere å etablere et fleksibelt og motiverende opplæringsløp tilpasset en hybrid arbeidsstokk med både ansatte og konsulenter? Ta kontakt for en uforpliktende samtale for å se hvordan vi kan bistå med praktisk og engasjerende sikkerhetstrening.

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Sikkerhetsstyring og tillit: Mål fremgang i IT-sikkerhet uten overvåking (Compliance (NIS 2, DORA, ISO)) : Lær hvordan CISO kan dokumentere sikkerhetskultur og GDPR-krav uten straffende overvåking, ved hjelp av positive fellesmålinger for teamet.
• Cyber Resilience Act (CRA): Slik forankrer du innebygd sikkerhet i utvikling og FoU (Compliance (NIS 2, DORA, ISO)) : Hvordan rigger du utviklere og produkteiere for Cyber Resilience Act? Lær beste praksis for innebygd sikkerhet og robust programvareutvikling.
• TISAX sertifisering i bilindustrien: Sikkerhetsopplaering for FoU og fabrikk (Compliance (NIS 2, DORA, ISO)) : Bestaa TISAX og VDA ISA revisjon. Laer hvordan dere engasjerer FoU og produksjonslinjer i prototypebeskyttelse med maelbare formater.
• Mikrolæring innen cybersikkerhet: Hvorfor 3 minutter slår en hel time med kurs (Gamification) : Oppdag hvorfor mikrolæring innen cybersikkerhet utkonkurrerer årlige e-læringskurs. Reduser kognitiv belastning og bygg varig sikkerhetskultur.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Cyber Journey : Læringsreise som et interaktivt fremdriftskart: korte kapitler og innebygd arkadequiz uten krav om brukerkonto.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)