Trygghet som en tjeneste for bank og finansbransjen

16 feb 2024

En business security officer er ombudsmannen som sikrer at virksomheten møter dagens krav og er forberedt på alt som kommer. Orange Business tilbyr en rådgivnings- og forvaltningstjeneste som heter Business Security Officer (BSO). Dette er kort forklart en fagekspert som har kontroll på trusselbildet, sikrer at infrastrukturen og systemene er oppgradert og patchet, og ivaretar at kunden er i samsvar med gjeldende regler og retningslinjer.

– Vi er bindeleddet mellom kunden, f.eks. en bank, og våre team som drifter og de som har ansvaret for at sikkerheten er ivaretatt. Selv om vi jobber i Orange Business Services er vi alltid på kundens side. Vårt ansvar er at det kontinuerlig drives god og proaktiv sikkerhetsadministrasjon knyttet til kundens systemer og infrastruktur, sier Willy Domaas.

Han er BSO for flere av Nordens største banker og finansinstitusjoner og har jobbet med sikkerhet innen IT og telekom hele karrieren. Domaas er svært positiv til at sikkerhet har gått fra «kjekt å ha», til dagens situasjon der det er viktigste krav når en organisasjon skal velge en ny leverandør.

Skal alltid ligge et skritt foran

Det sentrale i tjenesten er å redusere risiko og legge til rette for at kunden ligger et skritt foran med sitt sikkerhets- og beredskapsarbeid.

Willy Domaas

Business Security Officer

"Vi skal sikre at data er beskyttet og at tjenestene alltid er tilgjengelige. Det betyr at vi må ivareta at dagens systemer alltid er i henhold, og bidra til at sikkerhet er en integrert del av alle nye tjenester og funksjoner. En viktig del er å ivareta at det ikke oppstår misforståelser mellom teamene og det ikke finnes rom for feilantagelser."

Viktige funksjoner for en BSO er å:

Samle inn, forstå og formidle gjeldende trusselbilde til kunden
Identifisere og redusere risiko, deriblant administrere felles risikoregister
Hjelpe kundene å innføre den beste sikkerheten, og sikre at disse holder vann gjennom testing og beredskapsøvelser
Være bindeleddet mellom kunden og alle eksterne IT-tjenesteleverandører
Ta styring dersom uønskede hendelser inntreffer
Sikre at kunden kjenner sin risiko
Opprettholde felles risikoregister
Bidra til at kunden er compliant med alle relevante sertifiseringer, regler og lover

Egne møteplasser for sikkerhet

For de som drifter er gjerne oppetid og stabilitet viktigste oppgave. De på sikkerhetssentralen (SOC-en) overvåker og reagerer på hendelser. Derfor behøves en BSO som bygger bro mellom teamene og som hele tiden jobber proaktivt med sikkerheten.

– Vi passer på at teamene jobber sammen og gjør løpende rapportering internt og til kunde på sikkerhet og compliance, sier Domaas.

Det innebærer oppfølging av planerte aktiviteter og løse tråder og det å ta ansvar for at møteplassen «sikkerhetsforum» mellom Orange Business Services som leverandør og kunden blir en god og konstruktiv arena.

– Her går vi gjennom rapportene og har gode diskusjoner rundt forbedringer av sikkerheten og om det vil komme endringer som påvirker sikkerhetsnivået. Slik dialog på tvers av teamene er helt avgjørende for å sikre stabilitet og trygghet, sier han.

BSO-ene har også egne faginterne samlinger for å dele erfaringer og beste praksis.

CISO sin viktigste rådgiver

En BSO er kundens sikkerhetssjef (CISO) sin høyre hånd og rådgiveren som bidrar til at riktige beslutninger tas over tid. Akkurat nå handler mye om å være i samsvar med nye regler som kommer, deriblant cybersikkerhetsdirektivene NIS2 som gjelder fra oktober 2024 og Dora som trer i kraft tidlig i 2025.

Innholdet i avtalen mellom BSO og kunden skreddersys etter behov og ønske. Tjenesten tilbys på tre nivå: Basic, Medium og Premium.

– Vi er ærlige på hvor mye bistand som behøves per måned. Vi gir råd om mulige sikkerhetstiltak som bør innføres, og om noe er utdatert og kan fjernes, eller bør oppgraderes. Det er kvaliteten på rådgivningen som skal bekrefte for CISO, ledelsen og styret at investeringen i en er verdt pengene. Alternativet er å ansette en tilsvarende funksjon i eget hus som da må etablere egne rutiner og prosesser for det proaktive sikkerhets- og compliance-arbeidet. Vi tilbyr trygghet som en tjeneste, sier han.