Vad är kontinuerlig säkerhet – och varför räcker inte en årlig revision?

De flesta företag köper säkerhet som en händelse. En revision på våren, en penetrationstest på hösten, ett pentest-protokoll som hamnar i en pärm. Problemet är att protokollet beskriver en dag som redan är över. Under tiden har nya sårbarheter publicerats, en leverantör bytt ägare och någon i personalen klickat på fel länk.

Kontinuerlig säkerhet är motsatsen: ett löpande arbetssätt där ni mäter, prioriterar och åtgärdar hela tiden i stället för en gång per år.

Skillnaden i praktiken

En punktinsats svarar på frågan ”var vi säkra då?”. Kontinuerlig säkerhet svarar på ”är vi säkra nu, och vad har förändrats sedan sist?”. Det låter som en nyans, men konsekvenserna är stora:

• Exponering upptäcks inom timmar, inte månader. En ny kritisk sårbarhet i en tjänst ni använder blir en åtgärd samma vecka, inte en punkt på nästa års agenda.
• Förändringar fångas. Nya publika portar, nya molnresurser och nya tredjepartsintegrationer dyker upp hela tiden. Utan löpande inventering vet ingen vad som faktiskt är exponerat.
• Beslut blir billigare. När läget är känt kan ledningen prioritera mellan risker i stället för att gissa.

Fyra lager som behöver vara igång samtidigt

1. Tillgångsinventering. Ni kan inte skydda det ni inte vet att ni har. Domäner, subdomäner, publika API:er, molnkonton, SaaS-tjänster och de anställdas enheter ska finnas i en levande förteckning — inte i ett kalkylark som uppdaterades i fjol.

2. Sårbarhetsbevakning. Kända sårbarheter (CVE:er) ska matchas mot er faktiska tekniska miljö, med hänsyn till om sårbarheten är utnyttjad i praktiken och om tillgången är nåbar utifrån. En hög CVSS-poäng på en intern testserver är inte samma sak som en medelhög sårbarhet på er publika inloggning.

3. Detektion och larm. Loggar som ingen läser är en kostnad, inte en kontroll. Det som behövs är ett fåtal larm som faktiskt betyder något: ny administrativ inloggning, massutläsning av data, ändrade behörigheter, trafik till kända skadliga adresser.

4. Incidentrespons. När något händer ska ansvar, kontaktvägar och första åtgärder vara bestämda i förväg. Det är skillnaden mellan att stänga av ett konto inom tio minuter och att lägga en dag på att lista ut vem som ringer vem.

Vad det innebär för ett mindre företag

Kontinuerlig säkerhet kräver inte ett säkerhetsteam på tio personer. Det kräver tre saker: en ägare, en rytm och en plats där fynden hamnar.

• Ägare: en namngiven person som ansvarar för att fynd blir åtgärder.
• Rytm: veckovis genomgång av nya fynd, månadsvis genomgång av behörigheter och leverantörer.
• Plats: ett system där varje fynd har status, ansvarig och datum — inte en inkorg.

För de flesta mindre verksamheter är den rimliga nivån att låta en extern part sköta bevakning och prioritering, medan den egna organisationen äger åtgärderna. Det ger kontinuitet utan att bygga en intern säkerhetsavdelning.

Vanliga invändningar

”Vi är för små för att vara intressanta.” Automatiserade attacker väljer inte efter omsättning. De väljer efter exponering — och ett litet företag med en publik, ouppdaterad tjänst är ett enklare mål än en stor bank.

”Vi gjorde en revision förra året.” Det är en bra start, men den säger inget om läget i dag. Revisionen är ett fotografi; kontinuerlig säkerhet är en film.

”Det blir för dyrt.” Oftast blir det billigare än en enda incident med stillestånd, kundförluster och utredningskostnader. Poängen är inte att köpa fler verktyg, utan att göra färre saker oftare.

Så kommer ni igång på fyra veckor

1. Vecka 1: inventera publika tillgångar och molnkonton. Stäng av det som inte används.
2. Vecka 2: sätt upp bevakning av kända sårbarheter mot er faktiska miljö och prioritera de tio mest angelägna fynden.
3. Vecka 3: inför MFA där det saknas, särskilt på administrativa konton och e-post. Det är fortfarande den enskilt mest kostnadseffektiva åtgärden.
4. Vecka 4: skriv en incidentplan på en sida och testa den med ett enkelt scenario.

Efter det är arbetet en fråga om rytm, inte om projekt. Det är också den rytmen som gör att ni kan svara på kunders och myndigheters frågor om säkerhet med fakta i stället för löften.