KUNDECASES
Hos ACI Risk Measure arbejder vi med organisationer, der ønsker et bedre grundlag for beslutninger om cybersikkerhed.
Vores kundecases giver et indblik i, hvordan kvantificering af risiko kan omsættes til konkret handling – og hvordan et fælles sprog for cyber- og it-risiko kan styrke dialogen mellem sikkerhed, forretning og ledelse.
“Samarbejdet med ACI Risk Measure har givet os et fast greb om et komplekst område. Vi kan nu vise bestyrelsen, hvad hændelser konkret koster, og vi kan følge op på, om vores mitigeringstiltag rent faktisk bliver efterlevet, ikke bare besluttet.”
Kvantificering af hændelser og løbende opfølgning styrker Vestjylland Forsikrings arbejde med cyberrisici
Udfordring
Som forsikringsselskab møder Vestjylland Forsikring et stigende krav om at kunne dokumentere, prioritere og følge op på cyberrisici over for både ledelse og bestyrelse. Selskabet manglede en systematisk metode til at vurdere risici, omsætte hændelser til konkrete tal og sikre, at besluttede mitigeringstiltag rent faktisk blev implementeret, ikke blot besluttet.
Tilgang
I samarbejde med ACI Risk Measure har Vestjylland Forsikring etableret Managed Cyber Risk-servicen, der kombinerer en årlig SARA-risikovurdering med kvartalsvis statusopfølgning. SARA-vurderingerne danner grundlag for konkrete mitigeringsstrategier, som bestyrelsen løbende måler fremdriften på.
Samarbejdet følger et fast format: ACI Risk Measure interviewer nøglepersoner hos Vestjylland Forsikring og udarbejder konkrete forslag til, hvordan de enkelte risikoområder kan gribes an. Herudover kvantificeres selskabets sikkerhedshændelser ud fra ACI Risk Measures taksonomi for eksterne og interne hændelser, som Vestjylland Forsikring har taget til sig som fælles sprog for hændelseshåndtering. Det fælles sprog reducerer tvetydighed i rapporteringen på tværs af afdelinger og gør det muligt hvert kvartal at svare præcist på, hvilke hændelser der reelt har været dyrest for organisationen, baseret på data trukket direkte fra selskabets ISMS-værktøj. På den måde kan SARA-risikovurderingerne løbende efterprøves med virkelige tal, i stedet for at forblive en teoretisk øvelse.
Samarbejdet omfatter desuden løbende dialog om aktuelle temaer og større it-projekter. Beredskabsøvelserne er et konkret eksempel på dette: de udspringer direkte af en mitigeringsanbefaling fra en tidligere SARA-risikovurdering, og Vestjylland Forsikring har brugt anbefalingen til at styrke reaktionsevnen på et konkret risikoområde og dermed nedbringe risikoen i praksis.
Resultat
Samarbejdet har givet Vestjylland Forsikring et fast, genkendeligt format for risikoarbejdet og en klar kobling mellem risikovurdering, økonomisk konsekvens og konkret handling. Kvantificeringen af hændelser giver bestyrelsen et håndgribeligt billede af, hvad cyberrisici reelt koster kvartal for kvartal, og gør det muligt løbende at holde SARA-vurderingerne op mod virkelige tal. Den kvartalsvise opfølgning sikrer samtidig, at mitigeringsforslag fra SARA rent faktisk omsættes til handling og ikke blot bliver ved beslutningen, hvilket beredskabsøvelsen er et direkte bevis på: en risikovurdering, der er blevet til en konkret forbedring og en reelt nedbragt risiko.
“ACI Risk Measure bidrager med værdifuld sparring og udfordrer vores vurderinger på en konstruktiv måde. De sætter sig ind i vores situation og stiller relevante spørgsmål, som hjælper os med at kvalificere vores risikovurderinger. De kvartalsvise rapporter giver et godt overblik og fungerer som et brugbart grundlag i dialogen med ledelse og bestyrelse.”
Kontinuerlig sparring om cyberrisiko styrker beslutningsgrundlaget
Udfordring
Som finansiel virksomhed arbejder Sydjysk Sparekasse i et landskab med stigende regulatoriske krav og et løbende behov for at kunne dokumentere og prioritere cyberrisici. Derfor ønskede sparekassen en mere struktureret og databaseret tilgang til cyberrisikostyring, som samtidig kunne understøtte ledelsens og bestyrelsens beslutningsproces.
Tilgang
I samarbejde med ACI Risk Measure gennemfører Sydjysk Sparekasse kvartalsvise workshops som en del af Managed Cyber Risk-servicen. Her drøftes sparekassens cyberrisici, og ACI Risk Measure bidrager med sparring på de identificerede risici og de forudsætninger, der ligger til grund for vurderingerne. På baggrund af de afholdte workshops samt tilgængelige data, statistik og aktuelle trusselsvurderinger udarbejdes en rapport, som giver et samlet overblik over risikobilledet.
Resultat
Samarbejdet har bidraget til en mere systematisk tilgang til arbejdet med cyberrisici og givet et bedre grundlag for at prioritere risikoreducerende initiativer. Rapporterne understøtter dialogen med ledelse og bestyrelse og hjælper med at skabe overblik over et komplekst område. Samtidig bidrager den løbende sparring til en fælles forståelse af cyberrisici på tværs af organisationen.
“Kvantificering har længe været på min radar, men de tilgange vi mødte endte som teoretiske øvelser, fine ord og en masse power point slides – uden konkret værdi for forretningen. Med ACI Risk Measure var det langt mere konkret. Vi er begyndt med en PoC på et afgrænset forretningsområde for at teste konceptet og deres tilgang, og har nu fået den indsigt vi ledte efter. Ikke teori, men noget vi konkret kunne handle på.”
Kvantificering der virker i praksis – ikke kun på papiret
Udfordring
Trivium Packaging har allerede gode sikkerhedsforanstaltninger på plads, men ønskede at tage næste skridt: At sætte økonomiske tal på deres risikoeksponering.
De havde tidligere undersøgt kvantificering, men de koncepter de mødte var matematisk tunge, teoretiske og svære at relatere til deres konkrete forretning. Da de blev introduceret til ACI Risk Measures tilgang, besluttede de at afprøve metoden i et Proof of Concept (PoC) på et afgrænset forretningsområde.
Tilgang
I samarbejde med specialister hos Trivium Packaging blev relevante risikoscenarier identificeret. Gennem workshops blev datapunkter og antagelser indsamlet og kvalificeret, hvorefter scenarierne blev modelleret kvantitativt.
Resultat
PoC’en satte økonomiske estimater på de risikoområder der blev udvalgt. Ledelsen fik konkret indsigt i, hvad de identificerede risici i netop deres organisation repræsenterer i potentielt økonomisk tab, hvor usikkerheden er størst og hvilke risici der driver den samlede eksponering. Det skabte klarhed omkring hvor indsatsen og sikkerhedsbudgettet kan give mest effekt i fremtiden.
PoC’en viste desuden, at kvantificering ikke forudsætter et perfekt datagrundlag. Ved at arbejde systematisk med antagelser blev usikkerhed en del af analysen frem for en barriere og Trivium Packaging har fået et fundament for at arbejde videre med kvantificering som en del af sin risikostyring.
“Samarbejdet med ACI Risk Measure har givet os en risikostyring, der reelt understøtter ledelsens beslutninger. De løbende opdateringer giver et aktuelt, datadrevet risikobillede, som kan anvendes direkte i den daglige styring og i dialogen med bestyrelsen.”
Løbende cyberrisikostyring skaber beslutningsklarhed og regulatorisk robusthed
Udfordring
Lægernes Pension og Bank er kendetegnet ved at være både pensionsselskab og bank, hvilket stiller særlige krav til governance, compliance og it-risikostyring. Kombinationen betyder, at organisationen er underlagt et bredt og komplekst regulatorisk landskab, herunder DORA.
Forud for samarbejdet havde Lægernes Pension og Bank et klart mål om at løfte deres compliance- og modenhedsniveau i forhold til DORA og samtidig skabe en stærkere ledelsesmæssig styring af it-risici. Det var afgørende at opnå større kontrol og transparens – særligt i relation til it-tredjeparter – og at sikre, at risikostyringen blev operationel, datadrevet og beslutningsrelevant. Arbejdet blev igangsat halvandet til to år før DORAs ikrafttræden og krævede en koordineret indsats på tværs af ledelse, it, risikostyring og compliance.
Tilgang
I samarbejde med ACI Risk Measure er Lægernes Pension og Bank gået fra en årlig risiko- og sikkerhedsvurdering (SARA) til kvartalsvise opdateringer. Dermed er risikobilledet blevet et løbende og dynamisk ledelsesværktøj, hvor nye hændelser, ændringer i trusselsbilledet og erfaringer fra driften hurtigt afspejles i vurderingerne.
ACI Risk Measures Managed Cyber Risk fungerer som et centralt element i denne tilgang. De kvartalsvise opdateringer baseres på faktiske datapunkter, Lægernes Pension og Bank egen hændelsesregistrering og opfølgning på igangsatte risikoreducerende tiltag. Samtidig understøtter løsningen klare ledelsesprocesser i it, en struktureret håndtering af it-tredjepartsrisici og et flerårigt risikovurderingssetup, der sikrer konsistens og kontinuitet i risikobilledet – i fuld alignment med Lægernes Pension og Banks DORA-program.
Resultat
I perioden har Lægernes Pension og Bank fået gennemført en uafhængig modenhedsmåling af et revisionshus, som har vurderet en række it-processer, herunder it-risikostyring. I revisionshusets afrapportering blev Lægernes Pension og Banks it-risikostyring vurderet som værende mellem-højt niveau, som er et godt udgangspunkt for at Lægernes Pension & Bank kan arbejde sig hen i mod at være på et højt modensniveau generelt.
Det væsentligste resultat er dog, at Lægernes Pension og Bank i dag har etableret en risikostyring, der fungerer som et reelt ledelsesværktøj. Ledelse og bestyrelse modtager løbende rapportering, der kan anvendes direkte som beslutningsstøtte, og har et klart overblik over risici, trends og effekten af igangsatte tiltag. Risikostyringen er i dag operationel, datadrevet og DORA-alignet gennem hele året.
“Cybersikkerhed har i mange år været et strategisk fokusområde for os. Samarbejdet med ACI Risk Measure har givet os et klart billede af vores cyberrisici i forretningsmæssige termer. Jeg er meget begejstret for den måde, ACI Risk Measure anvender forsikrings-matematik til at beregne sandsynlighed og de tilhørende omkostninger. Det oversætter risiko til et sprog, der er kendt og forståeligt i bestyrelsen.”
Kvantificering af cyberrisici styrker de strategiske beslutninger
Udfordring
VELUX ønskede et bedre grundlag for at kunne drøfte og prioritere cyberrisici på øverste ledelsesniveau. De klassiske farveskalaer med rød, gul og grøn (4×4 matrix) gav ikke et reelt billede af, hvad risikoen egentlig betød for forretningen. Derfor var målet at etablere en bedre måde at kommunikere risiko på – en måde, som kunne øge forståelsen af risici og deres betydning for forretningen, og samtidig understøtte strategiske valg og prioritering af investeringer, der reducerer risikoen dér, hvor det skaber mest værdi.
Tilgang
I samarbejde med ACI Risk Measure blev cyberrisici i VELUX analyseret og kvantificeret gennem en række workshops og datadrevne vurderinger. Processen kombinerede eksisterende viden fra sikkerhedsteamet med forretningsforståelse fra ledelsen, så risici kunne omsættes til konkrete økonomiske estimater. Det gjorde det muligt at vise, hvordan forskellige typer af hændelser påvirker VELUX – både direkte og indirekte, i økonomiske termer, bakket op af statistisk data.
Resultat
Ved at kvantificere risiciene blev det muligt at kommunikere cyberområdet på en langt mere forståelig, og kvantificerbar måde. Rapporten, der samlede resultaterne af arbejdet, er blevet benyttet som et kommunikations og prioriterings værktøj over for både direktion og bestyrelse og gjorde det lettere for både sikkerhedsteamet og ledelsen at tale ud fra et fælles udgangspunkt. Det gav et tydeligt billede af, hvor indsatsen skaber mest værdi og skabte større transparens omkring behovet for midler i sikkerhedsbudgettet og styrkede dialogen om prioriteringer.
