Mangelfullt IKT-rammeverk og ukontrollert utkontraktering

Tegn på problem

• Ingen skriftlig IT-sikkerhetspolicy eller definert metodikk for penetrasjonstester
• Brukertilganger i revisjons- eller regnskapsverktøy er ikke rollebaserte eller jevnlig reviderte
• Tidligere påpekte tilgangsavvik er ikke lukket ved neste tilsynsrunde
• Utkontrakteringsavtaler mangler IKT-risikovurdering eller krav til underleverandørens sikkerhetsnivå
• Ingen løpende risikovurdering som eksplisitt inkluderer IKT ved bruk av tredjepart

Forebyggende tiltak

• Utarbeid og vedta en skriftlig IT-sikkerhetspolicy med rammeverk for penetrasjonstester og revisjonssyklus
• Gjennomfør halvårlig gjennomgang av brukertilganger i alle fagsystemer og fjern unødvendige rettigheter
• Innfør rollebasert tilgangskontroll (RBAC) med prinsippet om minste privilegium
• Inkluder IKT-risikovurdering som obligatorisk del av alle utkontrakteingsavtaler og leverandøroppfølging
• Dokumenter IKT-risiko som eget punkt i foretakets løpende risikovurderinger og styrerapportering

Relevante tilsynsrapporter

Hjemler