Back to search

BIA-Brukerstyrt innovasjonsarena

Delautomatisering av digital risikostyring

Alternative title: Semi-Automated Cyber Risk Management

Awarded: NOK 12.9 mill.

Over the last several decades, our society has become increasingly digitalised. Critical infrastructures depend on digital infrastructures, and these dependencies increases our digital risk: we can no longer go back to using pen and paper. We no longer believe that we can prevent all unwanted incidents. We have limited resources, and we have to prioritise how to use them. Risk management is the method used to make these priorities. The risk landscape changes rapidly, and it is increasingly difficult to keep track of every new potential risk. We have large amounts of data from existing security monitoring systems, but this data is rarely used to determine risk. Risk assessment is currently a manual process: humans make subjective assessments based on reports and situational awareness rather than data and threat intelligence. Our project goal is to increase the use of security data in risk assessments, and to develop tools that can automate or semi-automate the cyber risk management process. As a result we expect more accurate risk assessments and an improved situational awareness for decision makers. This will improve the decisions on how to prioritise the use of resources for cyber defence. Our intended effect is to improve the defensive ability and reduce costs for both industry and public sector. The project starts on February 15th 2022. The first project activity is a pre-study to collect and analyse previous work in cyber risk management.

Målet med prosjektet er å øke bruken av relevante, tilgjengelige sikkerhetsdata i beregningen av risiko og å lage verktøy som kan automatisere eller delautomatisere risikostyringsprosessen for det digitale rom. Som resultat forventer vi mer presis risikoberegning og økt risikoforståelse hos beslutningstakere for digitale løsninger, noe som vil gi mer informerte beslutninger om bruk av ressurser for digitalt forsvar. Dette vil gi økt forsvarsevne og kostnadsbesparelser i industri og offentlig sektor. Digitalt forsvar gjøres ikke lengre med tro på å kunne eliminere alle uønskede hendelser. Prioriteringene vi gjør i valg av forsvarsstrategi blir kritiske for å optimalisere forsvaret og utnyttelsen av tilgjengelige ressurser. Risikostyring er gjeldende metode for beslutningsstøtte. Informasjonsgrunnlaget som benyttes i det digitale rom representerer ikke kompleksiteten til det vi forsvarer av digital infrastruktur. Risikobildet endrer seg veldig raskt, og det er stadig vanskeligere å holde seg oppdatert om alle nye risikoer som kan oppstå. Så godt som ingen data fra gjeldende sikkerhetssystemer benyttes direkte i beregning av risiko. Beregning av risiko utføres av enkeltpersoner og baserer seg i stor grad på prosa og situasjonsforståelse mer enn datagrunnlag fra sikkerhetssystemer og trusseletterretning relevant for egen organisasjon. Dagens risikostyring er sterkt preget av subjektive vurderinger og er lite evidensbasert. Ved å tilgjengeliggjøre de relevante sikkerhetsdataene for risikostyringsformål vil vi oppnå en mer realistisk, evidensbasert beregning av risiko og forbedre risikoforståelsen hos beslutningstakere. Automatisering av hele eller deler av risikostyringen vil gi konsistent beregning av risiko, kontinuerlig oppdatering av risikovurderinger og raskere analyse og presentasjon av risikobildet. Feilaktige investeringer kan begrenses med bedre beslutningsstøtte. Derfor er det viktig at vi gjør korrekte beslutninger med alle tilgjengelige og relevante data.

Funding scheme:

BIA-Brukerstyrt innovasjonsarena