I den andra delen av Pax8-serien The Trust Files flyttas fokus från varför compliance är viktigt till vad regelefterlevnad faktiskt innebär i praktiken. För MSP-företag handlar utvecklingen om betydligt mer än att uppfylla formella krav. Riskhantering, dokumentation, säkerhetskontroller och kontinuerlig uppföljning blir allt viktigare delar av kundernas cybersäkerhet.
Kraven på cybersäkerhet och regelefterlevnad fortsätter att förändras snabbt. För Managed Service Providers, MSP, innebär det att rollen som teknisk leverantör gradvis kompletteras med ett större ansvar för att hjälpa kunder förstå risker, säkerhetskrav och regulatoriska förväntningar.
Det är utgångspunkten för Episode 2: What compliance actually requires i Pax8-serien The Trust Files: Compliance, Security and Resilience. 
I det första avsnittet låg fokus på varför compliance har blivit en central del av ett modernt cybersäkerhetsarbete. I Episode 2 går Pax8 vidare och riktar uppmärksamheten mot nästa fråga: Vad behöver organisationer egentligen göra för att omsätta compliance från krav på papper till praktiskt säkerhetsarbete?
Från krav till praktiskt säkerhetsarbete
Compliance kan lätt uppfattas som en fråga om policyer, dokumentation och revisioner. Men bakom kraven finns i många fall konkreta säkerhetsåtgärder som organisationer behöver kunna implementera, följa upp och dokumentera.
För MSP-företag innebär det att kunddialogen behöver omfatta mer än vilka säkerhetsprodukter som används.
Organisationer behöver förstå vilka tillgångar de har, vilka risker verksamheten står inför, vem som har tillgång till information och system, hur incidenter hanteras och hur verksamheten kan fortsätta om ett cyberangrepp eller annat större IT-avbrott inträffar.
Det innebär också att säkerhetsarbetet behöver vara kontinuerligt.
En kontroll som fungerar idag behöver inte automatiskt vara tillräcklig när verksamheten förändras, nya molntjänster införs eller nya hot uppstår.
NIS2 höjer förväntningarna på cybersäkerhet
En viktig del av den regulatoriska utvecklingen i Europa är NIS2.
Regelverket innebär ett bredare fokus på bland annat riskhantering, incidenthantering, kontinuitet, säkerhet i leverantörskedjan och organisatoriskt ansvar.
För MSP-marknaden är utvecklingen särskilt relevant eftersom säkerhetskraven inte stannar inom den enskilda organisationen.
När företag granskar sina egna leverantörskedjor kan även externa IT-leverantörer, molnpartners och andra tjänsteleverantörer behöva kunna visa hur deras säkerhetsarbete är strukturerat.
Det gör compliance till en fråga som påverkar hela IT-ekosystemet.
DORA sätter fokus på digital motståndskraft
För organisationer inom finanssektorn och deras leverantörsekosystem är Digital Operational Resilience Act, DORA, ytterligare en viktig del av utvecklingen.
DORA fokuserar på organisationers förmåga att hantera digitala och ICT-relaterade risker och att upprätthålla verksamheten när incidenter inträffar.
Det förstärker en utveckling där cybersäkerhet inte längre enbart handlar om att förhindra attacker.
Organisationer behöver också kunna upptäcka incidenter, reagera snabbt, återställa verksamheten och visa att det finns etablerade processer för hur riskerna hanteras.
Dokumentation blir en central del av säkerhetsarbetet
En av de viktigaste skillnaderna mellan att ha säkerhetslösningar och att arbeta systematiskt med compliance är möjligheten att faktiskt visa vad organisationen gör.
Det räcker inte alltid att säga att ett företag använder brandväggar, multifaktorautentisering, endpoint-skydd eller säkerhetskopiering.
Organisationen behöver kunna förstå och dokumentera hur kontrollerna används, vilka risker de adresserar och hur de följs upp.
För MSP-företag kan detta skapa en betydligt bredare roll i kundernas säkerhetsarbete.
MSP kan exempelvis hjälpa till med riskbedömningar, säkerhetskontroller, dokumentation, rapportering och kontinuerlig uppföljning.
Säkerhetsramverk skapar struktur
Pax8 har samtidigt lagt ett tydligt fokus på etablerade säkerhetsramverk som CIS Controls.
Bolagets cybersäkerhetserbjudande använder CIS Controls som grund för att hjälpa partners identifiera säkerhetsluckor hos kunder och koppla dem till konkreta säkerhetsåtgärder.
Genom Pax8 Marketplace och Opportunity Explorer kan partners bland annat analysera kundernas säkerhetsmiljö utifrån CIS Controls och identifiera områden där ytterligare skydd kan behövas.
Det illustrerar en viktig princip bakom compliance.
Regelverk beskriver ofta vilka resultat organisationer behöver uppnå, medan säkerhetsramverk och tekniska kontroller kan hjälpa till att omsätta kraven i praktiken.
Compliance är inte ett engångsprojekt
En annan central fråga är hur organisationer betraktar själva compliancearbetet.
Att genomföra en säkerhetsgranskning eller skapa ett antal policyer innebär inte automatiskt att organisationen förblir compliant.
IT-miljöer förändras kontinuerligt.
Nya användare tillkommer. Behörigheter förändras. Nya SaaS-tjänster introduceras. AI-verktyg börjar användas. Nya enheter ansluts och nya cyberhot utvecklas.
Det innebär att riskbedömning, säkerhetskontroller och dokumentation behöver följas upp över tid.
För MSP-företag kan detta samtidigt förändra hur säkerhetstjänster paketeras.
I stället för enskilda säkerhetsprojekt kan compliance utvecklas till en kontinuerlig tjänst där MSP regelbundet hjälper kunden att identifiera risker, följa upp kontroller och dokumentera säkerhetsläget.
MSP går från teknisk leverantör till strategisk säkerhetspartner
Utvecklingen ligger nära den större förändring som sker inom MSP-marknaden.
När kunder behöver hantera cybersäkerhet, compliance, molntjänster, data och AI samtidigt blir behovet av strategisk rådgivning större.
Det innebär att MSP-företag kan få en betydligt bredare roll än traditionell drift och support.
Förmågan att kombinera teknisk kompetens med riskhantering, dokumentation och förståelse för regulatoriska krav kan bli en allt viktigare del av kundrelationen.
The Trust Files fortsätter
Episode 2: What compliance actually requires bygger vidare på grunden från seriens första avsnitt och flyttar diskussionen från varför compliance är viktigt till hur organisationer behöver arbeta med frågan i praktiken.
The Trust Files består av fem delar:
- Why compliance matters
Varför compliance är viktigt och hur förändrade risker påverkar små och medelstora företag. - What compliance actually requires
Vad regelverk och säkerhetsramverk innebär i praktiken och vilka områden organisationer behöver hantera. - How compliance drives the MIP journey
Hur compliance kan bidra till utvecklingen från traditionell Managed Service Provider till Managed Intelligence Provider. - Which solutions you actually need
Vilka säkerhetslösningar och funktioner som behövs för att hantera identifierade risker och krav. - How Pax8 helps you take action
Hur kunskapen kan omsättas i praktiskt säkerhets- och compliancearbete.
Med Episode 2 fortsätter Pax8 där det första avsnittet slutade: compliance handlar inte bara om att förstå vilka regler som finns. Den verkliga utmaningen är att omsätta kraven i ett kontinuerligt och dokumenterat säkerhetsarbete som stärker organisationens motståndskraft över tid.
Se Episode 2: What compliance actually requires hos Pax8.
