Cybersecurity fra et styre- og lederperspektiv

Kjære styremedlemmer og ledelse i offentlige og private virksomheter

IT- og OT-sikkerhet er blant de største utfordringene vi står overfor i dag, både i offentlig og privat sektor. Som ledere har vi et ansvar for å forstå og håndtere disse risikoene. Med dette budskapet ønsker jeg å gi innsikt i hvordan vi kan ta tak i de mest presserende utfordringene – og sørge for at vi ikke går i de vanligste fellene. Vi må komme oss bort fra «kryss av i boksen»-syndromet og fokusere på konkrete tiltak – på hva og hvordan. Dette er et lederansvar!

Min personlige erfaring

For noen år siden kjente jeg på en reell uro da det gikk opp for meg hvor utsatt vi faktisk var som selskap, og hvor omfattende arbeidet er for å redusere eksponeringen innen IT-sikkerhet. Fra et styre- og ledelsesperspektiv må sikkerhetsarbeidet dekke tre sentrale områder:

• Forebygging av driftsforstyrrelser
• Tids- og kostnadsbesparelser
• Kontinuerlige forbedringer og etterlevelse

Jeg er utdannet bedriftsøkonom og har vært i teknologibransjen i omtrent 25 år. Gjennom ulike topplederroller har jeg gradvis beveget meg bort fra de tekniske detaljene, mens teknologilandskapet rundt oss har blitt stadig mer komplekst. Jeg kjente virkelig på panikken da vi gikk ut i markedet med tjenester for å administrere kritisk infrastruktur for kundene våre. Bekymringen bunnet i tvilen om vi gikk dypt og presist nok – og frykten for at mangler i tilnærmingen kunne bli et alvorlig hinder, særlig dersom vi ble rammet av eksterne trusler som svekket eller satte infrastrukturen vår ut av spill. Konsekvensen ville være betydelige – både for leveransene våre og for kundene.

Det snakkes mye om sikkerhet og compliance, men altfor ofte blir det ved de store ordene. Mange forstår ikke fullt ut hva utfordringene innebærer, og beslutninger fattes ofte på sviktende grunnlag. I tillegg lider mange av det jeg vil kalle «kryss-av-i-boksen»-syndromet – der gapet mellom intensjon og faktisk gjennomføring er betydelig.

Å gå i dybden på sikkerhet er krevende. Men det er nødvendig. Nøkkelfaktorer som kunnskap, kapasitet, agendaer, naivitet, kultur og risikovilje er avgjørende elementer i dette regnestykket.

I denne sammenhengen ønsker jeg å rette søkelyset mot kunnskap og innsiktsområder som ofte er underkommunisert på ledernivå. Altfor ofte holder man seg til overskrifter og populære buzzord. Skal vi komme oss videre fra seminar- og konferansemodus, må vi tørre å bli konkrete – og ærlige – om realitetene.

Ambisjoner og evnen til å være konkret

Det finnes mange misforståelser og begrepsforvirringer innen IT-sikkerhet. Målet mitt er ikke å navigere i denne jungelen av definisjoner, men å rette søkelyset mot områder som ofte undervurderes – og der svakhetene er størst. Det gjelder selv i miljøer som anser seg som sikkerhetsbevisste og som tar temaet på alvor.

Diskusjoner havner ofte på avveie når de foregår i for binære termer. Ja, alle vet at virkeligheten er nyansert – men noen ganger er vi nødt til å forenkle for å få i gang samtalen. Litt friksjon kan faktisk være sunt.

La oss heve ambisjonene for IT-sikkerhet.
På en skala fra 0 til 10 er en score på 7 rett og slett ikke godt nok. Vi må utfordre forestillingen om at det er for dyrt og krevende å komme opp på nivå 9 – selv om det er en forståelig tanke dersom virksomheten tror den må gjøre alt alene. Å jobbe strategisk med partnere og eksperter er ofte nøkkelen for å tette gapene.

Dersom vi blir enige om et høyere ambisjonsnivå, er det særlig noen områder der svakhetene blir ekstra synlige – spesielt når vi beveger oss utover det grunnleggende og åpenbare. Her er noen av dem – i vilkårlig rekkefølge:

Det er fullt mulig å gjøre betydelige fremskritt – så lenge vi har både kunnskap og vilje.

Har den første panikken lagt seg? Ja, det har den. Ingen kan gi absolutte garantier, men ved å sikre ytterpunktene i verdikjeden styrer vi risikoen både for oss selv og for kundene våre. Vi håndterer rundt 1,5 millioner hendelser i sekundet fra kundene våre. Kildene er mange og varierte. Det er samspillet mellom teknologi, mennesker og prosesser som avgjør om vi lykkes med å beskytte og opprettholde integriteten til kritisk infrastruktur.

Vi lever i en kompleks verden, og truslene vokser i både omfang og raffinement. Ingen aktør kan håndtere alt alene – men alle kan bidra til å styrke det samlede sikkerhetsbildet.

Enten vi opererer i privat eller offentlig sektor, har vi alle et overordnet mål: utvikling, gjennomføring og måloppnåelse. Vi ønsker å gripe muligheter – ikke miste dem. Nettopp derfor utgjør IT-sikkerhet en reell trussel mot ambisjonene våre. For å møte den trusselen trenger vi en bred, gjennomtenkt og robust sikkerhetsstrategi.

Så spørsmålet er: Har du noen få soldater, en tropp – eller en hel forsvarsstyrke? De virkelige truslene ligger ofte i detaljene. Å si at noe er «godt nok» bør være et bevisst valg – ikke en hvilepute. Elementer som tidligere ble sett på som bagateller, kan vise seg å være avgjørende. Min erfaring er at det er her nøkkelen ligger: i forståelsen for hva som virkelig betyr noe – og i evnen til å prioritere der det teller mest.

Det starter med ambisjoner. Og det slutter med lederskap.