Vurdering av risiko for ransomware-angrep

Det ser ut til å være en trend der stadig flere store organisasjoner blir offer for målrettede ransomware-angrep. Nederlandsk eksempler inkluderer angrepet på Universitetet i Maastricht i desember 2019, og forskningsfinansierer NWO i februar 2021. For å redusere risikoen for cyberangrep og øke cybersikkerheten, kan organisasjoner gjennomføre risikovurderinger. På grunn av de stadige utviklingene rundt ransomware-angrep og de alvorlige konsekvensene dette medfører, har National Cyber Security Centre (NCSC) behov for en undersøkelse av de spesifikke risikofaktorene som spiller en rolle i slike angrep. Det oppfattes som et underliggende problem at det på politisk nivå innen mellomstore og små organisasjoner, både private og semi-offentlige, ikke allokeres tilstrekkelige ressurser til cybersikkerhet fordi risikoen undervurderes. Fra IT-avdelingen er det ofte en forståelse av at det må gjøres mer for cybersikkerhet, men det er vanskelig for dem å overbevise ledelsen om dette. Beslutningstakere må derfor bli bevisst på organisasjonens risikoer og kostnadene ved et ransomware-angrep. Det er et bilde av at spesielt organisasjoner som stadig blir mer avhengige av IT, ikke er tilstrekkelig klar over risikoene. Dette gjelder ikke bare for risikoene for én spesifikk organisasjon, men det er også tydelige avhengigheter i verdikjeden: en feil hos en part fører til andre virkninger i kjeden. Målet med denne undersøkelsen er å kartlegge og kvantifisere faktorer som påvirker ransomware-angrep. Hvilke faktorer er det snakk om, og kan disse kvantifiseres? Et annet mål er å gi innsikt i mulighetene for bevisstgjøring blant målgruppen. Målgruppen består av ledere i mellomstore og små organisasjoner, både i offentlig og privat sektor. De må være bevisst sjansen for at det skal skje, og risikoen ved ransomware-angrep. I tillegg bør de også få innsikt i risikofaktorene. Undersøkelsen besvarer følgende spørsmål:

1. Hvilke risikoer bringer ransomware-angrep med seg?
2. Hvordan ser ransomware-angrep ut i dag og hvilke verktøy blir brukt?
3. Hvilke typer parter er involvert i disse angrepene?
4. Hvilke interne og eksterne faktorer bidrar til ransomware-risikoer for en organisasjon?
5. I hvor stor grad kan disse faktorene kvantifiseres?
6. Med hvilket verktøy kan beslutningstakere i mellomstore og små organisasjoner bli bevisstgjort om ransomware-risikoene?
7. Hva er viktige faktorer for bedrifter og organisasjoner når de skal ta i bruk dette verktøyet?

For å gjennomføre denne undersøkelsen er det benyttet ulike metoder: litteraturstudier, utforsking av eksisterende risikovurderingsmodeller, utforsking av cybersikkerhetsforsikringer, intervjuer, case-studier av berørte organisasjoner i Nederland, og valideringssesjoner. I denne undersøkelsen blir det forsøkt å skissere den mest aktuelle situasjonen når det gjelder problemstillingene her.