Det går inte längre att patcha systemen tillräckligt snabbt - därför blir kompenserande kontroller allt viktigare

I åratal har cybersäkerhet byggt på en enkel princip: hitta sårbarheter och åtgärda dem. Men den modellen förutsätter något som inte längre går att lita på – tid.

I ett AI-drivet hotlandskap upptäcks och utnyttjas sårbarheter snabbare än vad de flesta organisationer hinner åtgärda dem. Enligt en undersökning som citeras av The Hacker News ökade antalet utnyttjade sårbarheter, där en uppdatering funnits tillgänglig i mer än 30 dagar, med 61 % under 2024, och det totala antalet utnyttjade sårbarheter nästan fördubblades jämfört med föregående år. Organisationer möter inte bara fler sårbarheter. Fler av dem hinner utnyttjas innan åtgärden är på plats.

Det är därför som kompenserande säkerhetskontroller inte längre är ett nischbegrepp. De håller på att bli en grundläggande del av hur organisationer upprätthåller säkerheten.

Begränsningarna med att patcha

Moderna IT-miljöer är inte byggda för snabbhet. De består av äldre system, integrationer med tredjepartsprogram och ständiga uppdateringar, vilket gör att installation av säkerhetsuppdateringar blir en komplex och tidskrävande process även under bästa förutsättningar. Först måste ett problem identifieras, sedan måste en lösning testas, och slutligen måste ändringarna driftsättas noggrant för att undvika driftstörningar. I stora eller komplexa miljöer kan det ta flera veckor.

NIST:s ramverk för cybersäkerhet har länge betonat riskhantering i flera lager, just utifrån insikten att ingen enskild säkerhetsåtgärd räcker och att organisationer måste bygga upp flera skyddslager. När angripare kan gå från att upptäcka en sårbarhet till att aktivt utnyttja den på bara några timmar räcker helt enkelt inte en patchningsprocess som tar veckor.

Vad kompensationsåtgärder egentligen innebär

Kompenserande kontroller är skyddsåtgärder som minskar risken när en direkt åtgärd inte är möjlig omedelbart. De ersätter inte säkerhetsuppdateringar, utan ger organisationen tid och begränsar exponeringen medan åtgärden förbereds. I praktiken kan det handla om att begränsa åtkomsten till sårbara tjänster, segmentera nätverk för att minska potentiell skada, öka övervakningen och varningssystemen kring utsatta system, eller införa tillfälliga processändringar som minskar sannolikheten för att sårbarheten utnyttjas. Målet är att upprätthålla ett meningsfullt skydd även innan systemet är helt uppdaterat.

Varför detta är viktigt för compliance

Ramverk som NIS2 och DORA förväntar sig inte perfektion. De förväntar sig strukturerad och proportionerlig riskhantering. Båda kräver att organisationer inför lämpliga kontrollåtgärder, säkerställer verksamhetskontinuitet och upprätthåller säkerheten även när förutsättningarna förändras. Det innefattar uttryckligen flerlagriga kontrollåtgärder, inte bara ett beroende av säkerhetsuppdateringar. En organisation som kan visa att den identifierat en sårbarhet, bedömt risken, infört kompenserande kontroller och följt upp framstegen mot en fullständig åtgärd, visar precis den typ av styrning som dessa ramverk är utformade för att uppmuntra.

Den operativa utmaningen

Problemet för många organisationer är sällan bristande medvetenhet. Det är brist på struktur. Utan tydlig insyn i var kontroller behövs, utan fastställda processer för att snabbt införa dem, och utan ordentlig dokumentation av vad som faktiskt är infört, förblir kompensatoriska kontroller en tillfällig lösning snarare än en välhanterad resurs. Det är i just den klyftan, mellan avsikt och genomförande, som risken för regelöverträdelser uppstår.

Från ad hoc till styrning

För att kompenserande kontroller ska fungera som en del av en samlad säkerhetsstrategi krävs en tydlig koppling mellan risker och kontroller, fastställda rutiner för när och hur kontrollerna ska aktiveras, kontinuerlig övervakning och granskning, samt dokumentation som kan visas upp vid behov. Det förvandlar en reaktiv åtgärd till en strukturerad styrning som kan redovisas för tillsynsmyndigheter, revisorer och ledning.

Om din organisation har svårt att behålla överblicken över risker, kontrollåtgärder och dokumentation är Trustlinks byggt för att hjälpa till. Med Trustlinks registrerar och följer ni upp risker i ett centralt riskregister, kopplar incidenter direkt till de risker de avslöjar, och kartlägger varje risk över flera ramverk samtidigt. När en kompenserande kontroll är på plats dokumenteras den, kopplas samman och blir granskningsbar. En plattform, full översikt, alltid redo för revision.