Sikkerhet er et lederansvar

Norge er sist i Norden på cybersikkerhet. Hva betyr det for deg som leder? Dette er artikkel 5 av 5 i serien «Når sikkerhet svikter – og tilliten ryker»

TEK Norges ferske nordiske benchmark er tydelig: Norge scorer lavest blant de nordiske landene på cybersikkerhet.

Ikke fordi norske virksomheter mangler kompetanse – men fordi vi mangler koordinering og systematisk gjennomføring.

Og NIS2 er like tydelig: ansvaret for å endre dette ligger i styrerommet.

Denne artikkelen avslutter serien. Den samler trådene fra de fire foregående artiklene og stiller spørsmålet som avgjør om den digitale grunnmuren faktisk bygges:

Hvem eier ansvaret?

Norge scorer lavest i Norden – og det er et lederansvar

Resultatet fra TEK Norges nordiske benchmark er nedslående, men også informativt. Norske virksomheter scorer 64 av 100 – lavere enn alle våre nordiske naboer.

En observasjon i rapporten fortjener særlig oppmerksomhet:

Det relativt lave antallet rapporterte sikkerhetshendelser i Norge er ikke nødvendigvis et positivt tegn. Det kan like gjerne bety at vi ikke oppdager angrepene.

Et ubehagelig, men viktig poeng for enhver leder.

Rapporten peker på tre hovedårsaker:

• manglende nasjonal koordinering
• en svakere digital grunnmur i næringslivet
• for lite systematisk sikkerhetsarbeid

Alle tre er forhold som ledelse og styrer kan påvirke direkte.

Hva NIS2 faktisk krever av ledelsen

NIS2-direktivet er ikke først og fremst et teknisk krav.

Det er et styringskrav.

Det som skiller NIS2 fra tidligere reguleringer, er at ansvaret plasseres eksplisitt – og personlig – hos toppledelsen.

Mange norske virksomheter antar fortsatt at NIS2 først og fremst gjelder store aktører innen kritisk infrastruktur. Det er en misforståelse.

Direktivet omfatter et bredt spekter av virksomheter, og den norske implementeringen forventes å utvide omfanget ytterligere.

For mange virksomheter betyr dette at cybersikkerhet ikke lenger kan håndteres utelukkende i IT-avdelingen.

Det må forankres i strategi, styring og risikostyring.

Tre spørsmål styret bør stille

Gjennom denne artikkelserien har vi sett på fire sentrale elementer i moderne cybersikkerhet:

• security by design
• nettverksarkitektur og segmentering
• sikkerhetstesting
• operasjonell respons

For et styre som ønsker å ta reelt eierskap til cybersikkerhet, kan tre spørsmål være et godt utgangspunkt:

1. Vet vi hvilke digitale verdier som er mest kritiske for virksomheten?

2. Har vi arkitektur og kontroller som hindrer at ett kompromiss sprer seg?

3. Tester vi regelmessig om sikkerheten faktisk fungerer i praksis?

Disse spørsmålene krever ikke teknisk ekspertise fra styret.

Men de krever at CISO eller IT-ledelsen kan svare konkret – med dokumentasjon, ikke med generelle forsikringer.

Det er en god indikator på sikkerhetsmodenhet.

Fra compliance til konkurransefortrinn

Compliance er gulvet – ikke taket.

Virksomheter som kun reagerer på regulatoriske krav, vil alltid ligge etter trusselbildet.

De mest fremoverlente virksomhetene bruker sikkerhet som en strategisk ressurs.

Når sikkerhetsnivå kan dokumenteres og kommuniseres til kunder, investorer og partnere, blir det en tydelig differensiator.

I sektorer som finans, helse og kritisk infrastruktur er dette allerede i ferd med å bli et hygienekrav for å bli vurdert som leverandør.

Spørsmålet er derfor ikke lenger om virksomheten kan prioritere sikkerhet.

Spørsmålet er om den har råd til å la være.

Grunnmuren for digital tillit

Denne serien har vist at digital tillit bygges gjennom fire elementer:

1. Security by design
2. Segmentert og robust nettverksarkitektur
3. Kontinuerlig sikkerhetstesting
4. Operasjonell evne til å oppdage og håndtere angrep

NetNordic hjelper virksomheter med å bygge og dokumentere alle fire elementene – og å presentere sikkerhetsstatusen for styret på en måte som gir innsikt, ikke teknisk jargong.

Vi har stoppet 100 % av cyberangrep mot våre kunder siden 2014.

Det er ikke flaks. Det er resultatet av en strukturert tilnærming der alle disse elementene spiller sammen.

Tillit bygges nå – eller repareres senere

De fleste alvorlige sikkerhetshendelser starter ikke med avanserte hackerteknikker.

De starter med beslutninger.

Arkitekturvalg. Prioriteringer. Antakelser om hva som er «godt nok».

Derfor er også mange alvorlige hendelser forebyggbare.

Ikke nødvendigvis alle – men langt flere enn mange tror.

Serien «Når sikkerhet svikter – og tilliten ryker» har vist én ting tydelig:

Digital tillit er ikke først og fremst et teknisk spørsmål.
Det er et lederansvar.

Og det beste tidspunktet å ta det ansvaret på alvor er alltid:

Nå.