NIS2 modenhentsanalyse ga Emero et robust IT-landskap

Bakgrunn

Emero er en norsk, ledende leverandør av elektromotorer, frekvensomformere, gir, transmisjoner, transportbånd og tilhørende produkter. Siden 1955 har selskapet hjulpet norsk industri med å unngå kostbar nedetid. De siste årene har selskapet vokst betydelig både i antall kunder og tjenester, og er i dag et moderne, skybasert selskap som satser på digitalisering og effektive IT-løsninger.

For Emero er datasikkerhet og tilgjengelighet kritisk. Selskapet jobber i en bransje der kundene ofte opplever tidskritiske driftsstanser, og da må Emero kunne stole på at egne IT-systemer fungerer sømløst for å hjelpe kundene raskt i gang igjen

For å styrke sikkerheten og øke driftseffektiviteten ønsket Emero å ta i bruk moderne løsninger og riktig kompetanse. Bouvet bisto Emero med å etablere et tryggere og mer robust IT-landskap, med utgangspunkt i en NIS2 modehetsanalyse.
 

Ansvarsfordeling

En vanlig misforståelse blant virksomheter som bruker skyplattformer, er at skyleverandøren automatisk tar fullt ansvar for sikkerheten. 

– I realiteten fordeles ansvaret mellom leverandør og kunde, og jo høyere opp i skymodellen man beveger seg (fra IaaS til PaaS og SaaS), desto mer ansvar flyttes over på sluttbrukeren, sier Mathias Myhre Eli, forretningsutvikler i Bouvet. 

Han forteller videre at i Software as a Service (SaaS)-løsninger, som Microsoft 365, sørger leverandøren for drift, infrastruktur og grunnleggende plattformsikkerhet. Derimot er kundens ansvar å sikre brukertilgang, konfigurere policyer, overvåke logger, håndtere data, og sørge for at egne prosesser og rutiner følger gjeldende regelverk. Mange virksomheter overser dette, og antar at leverandøren håndterer alt fra backup til hendelseshåndtering – noe som ofte ikke stemmer.

Modellen nedenfor illustrer ansvarsfordeling mellom leverandør og sluttkunde:

Slik arbeidet vi 

NIS2 modenhetsanalyse er et strukturert rammeverk som vurderer både tekniske, organisatoriske og ledelsesaspekter ved virksomhetens IT- og sikkerhetspraksis. Målet var å gi Emero et klart bilde av dagens situasjon, identifisere sårbarheter og legge grunnlaget for en målrettet forbedringsplan.

Når Bouvet kartlegger et Microsoft 365- eller Azure-miljø, handler det ikke om å selge nye lisenser eller systemer, men om å maksimere verdien av de investeringene kunden allerede har gjort. 

– Vi starter med å forstå hva som finnes i miljøet, og hvordan eksisterende funksjonalitet i hyperscaler-plattformene kan tas bedre i bruk. På den måten kan kunden både heve sikkerheten og redusere kostnader, uten å øke kompleksiteten», sier Mathias Myhre Eli, Foretningsutvikler i Bouvet. 

Gjennom arbeidet med Emero kartla Bouvet hele Microsoft 365- og Azure-miljøet, med særlig fokus på identitets- og tilgangsstyring, governance, enhetshåndtering, logging, compliance og beredskap.

Prosessen omfattet:

• Gjennomgang av eksisterende styringsmodeller og rutiner
• Vurdering av tekniske sikkerhetsmekanismer og policyer
• Analyse av lisensiering og compliance
• Identifisering av gap opp mot regulatoriske krav og beste praksis

– I dagens stadig mer komplekse IT-landskap ser vi også at kompleksiteten øker betydelig. Stadig flere virksomheter benytter seg av kombinasjoner av multi-cloud, hybrid-cloud og en rekke SaaS-tjenester. Dette gir store muligheter, men også en økt risiko, ettersom mange mangler en helhetlig oversikt og kontroll på tvers av plattformene, forteller Mathias. 

Han sier videre at når man i tillegg ikke har full kontroll på grunnleggende områder som identitet, data, tilgangsstyring og enheter – samtidig som man ønsker å ta i bruk de aller nyeste teknologiene, blant annet innen AI, oppstår det en betydelig risiko som mange virksomheter ikke er fullt klar over.

Rammeverk og prinsipper

Bouvets arbeid bygger på anerkjente rammeverk og beste praksis for sikkerhet og skyforvaltning:

• NSMs grunnprinsipper for IKT-sikkerhet: For strukturert styring av sikkerhetsarkitektur, tilgang og hendelseshåndtering
• NIS2-direktivet: For å sikre etterlevelse av krav til cybersikkerhet og beredskap
• Microsoft Well-Architected Framework (WAF): For bygging av sikre og kostnadseffektive skyløsninger
• Microsoft Cloud Adoption Framework (CAF): For planlegging og forvaltning av moderne skyarkitektur
• Microsoft Shared Responsibility Model: For tydelig ansvarsdeling mellom skyleverandør og kunde
• Microsoft Cloud Reference Architecture (MCRA): For beste praksis innen sikkerhet, identitet og drift

Gjennom dette arbeidet fikk Emero et mer forutsigbart, standardisert og sikkert IT-landskap – med klare rutiner, bedre synlighet og en tydelig vei videre mot full NIS2-etterlevelse.

– Med bakgrunn i flere års erfaring ønsket vi å utvikle en tjeneste som hjelper virksomheter med å bygge struktur, kontroll og oversikt i sine sky-miljøer. Målet er å hjelpe våre kunder med å redusere risiko, styrke styringen og samtidig hente ut maksimalt med verdi og gevinster fra skyen, på en trygg, forutsigbar og bærekraftig måte, sier Mathias Myhre Eli. 

Resultatet – økt sikkerhet, kontroll og modenhet

Gjennom samarbeidet med Bouvet fikk Emero en helhetlig vurdering av sin tekniske plattform, sett opp mot NIS2-krav og etablerte beste praksiser innen sikkerhet. Selv om selskapet ikke er direkte underlagt NIS2-regelverket, har kartleggingen gitt et solid fundament for å bygge videre på et rammeverk som styrker både motstandskraft, etterlevelse og kontinuitet.

• Som del av leveransen har Bouvet etablert en standardisert landingssone i Azure, med tydelig struktur for nettverk, segmentering og styring. 
• Vi har sentralisert logging, monitorering og overvåking, noe som gir Emero langt bedre innsikt i drift og hendelser på tvers av miljøene. 
• Sikkerheten rundt identiteter er betydelig hevet, blant annet gjennom etablering av Conditional Access på alle brukere, innføring av moderne tilgangskontroller og tiltak som støtter en Zero Trust-baseline.
• Bouvet har også bistått Emero med lisensoptimalisering, slik at eksisterende ressurser utnyttes fullt ut, og bidratt til standardisering av loggstrukturer, policyer og varsler. 
• Automatiserte prosesser sørger nå for raskere respons ved hendelser og reduserer behovet for manuell oppfølging. 
• Vi har i tillegg gitt konkrete råd for veien videre innen klienthåndtering, compliance og beredskap, slik at sikkerheten ivaretas kontinuerlig – uten å øke kompleksiteten i organisasjonen.

Resultatet er en robust og skalerbar plattform der sikkerhet, tilgjengelighet og oppetid går hånd i hånd. Emero har fått:

• Bedre oversikt og kontroll gjennom sentraliserte verktøy og standardiserte rutiner
• Redusert risiko for sikkerhetsbrudd gjennom styrket identitetssikring og forsvar-i-dybden
• Forbedret etterlevelse og beredskap i tråd med anerkjente rammeverk som NIS2, CAF og WAF
• Økt kostnadseffektivitet ved å bygge videre på eksisterende investeringer i skyen