Cybersäkerhet ur ett styrelse- och ledningsperspektiv

Bästa styrelseledamöter och ledning i offentliga och privata företag,

IT- och OT-säkerhet är en av de största utmaningarna vi står inför idag, både inom den offentliga och den privata sektorn. Som ledare har vi ett ansvar att förstå och hantera dessa risker. Med denna text vill jag ge en inblick i hur vi kan ta itu med de mest akuta utmaningarna – och se till att vi inte faller i de vanligaste fällorna. Vi måste komma bort från ”kryssa i rutan”-syndromet och fokusera på konkreta åtgärder – på vad och hur. Detta är ett ledarskapsansvar.

Min personliga erfarenhet

För några år sedan fick jag nästan panik när jag förstod den djupare nivån av hur exponerade vi var som företag och vilka dimensioner som måste hanteras i praktiken för att minska IT-säkerhetsexponeringen. Ur ett styrelse- och ledningsperspektiv måste IT-säkerheten omfatta tre huvudområden:

• Förhindra avbrott i verksamheten.
• Spara tid och sänk kostnader.
• Förbättringar och efterlevnad.

Jag har en examen i företagsekonomi och har arbetat inom teknikbranschen i cirka 25 år. Med tiden har jag tagit klivet in i ledande roller och gradvis distanserat mig från detaljerna i takt med att tekniklandskapet utvecklas snabbt. Min panikartade insikt kom när vi gick in på marknaden med tjänster för att hantera kritisk infrastruktur åt kunder. Min rädsla berodde på att vi inte var tillräckligt djupgående eller specifika, vilket skulle kunna leda till framtida hinder på grund av externa hot som skadar eller lamslår vår infrastruktur – och därmed hindrar våra leveranser och kunder.

Det pratas mycket om säkerhet och regelefterlevnad. Mycket av det förblir dock ytligt eftersom vi inte riktigt förstår frågorna och ofta drar slutsatser på lösa grunder. Många lider också av ”kryssa i rutan”-syndromet, där verkligheten lämnar ett betydande gap mellan avsikt och praktik. Utmaningen att gå tillräckligt djupt är komplex, men nyckelfaktorer som kunskap, kapacitet, agendor, naivitet, kultur och riskaptit är centrala i ekvationen.

I det här sammanhanget fokuserar jag på kunskap och områden som ofta är underkommunicerade på ledarskapsnivå. Det finns en tendens att nöja sig med rubriker och buzzwords. För att komma bortom seminarie- och konferensformen måste vi bli konkreta i dessa frågor.

Ambition och förmåga att vara konkret

Det finns många missförstånd och begreppsförvirringar. Målet är inte att navigera i denna djungel utan att lyfta fram områden som ofta underskattas, där svagheterna är som störst – även i miljöer som fokuserar på säkerhet och tar ämnet på allvar. Diskussioner leder sällan till rätt resultat om de förs i binära termer. Alla förstår att det finns nyanser, men ibland måste vi förenkla för att få igång diskussioner och kanske till och med friktion.

Låt oss höja ambitionen för IT-säkerhet. På en skala från 0 till 10 är en poäng på 7 inte tillräckligt bra. Uppfattningen att det är oöverkomligt dyrt att nå 9 måste utmanas – även om det till stor del är sant om ett företag tror att det kan hantera hela spektrumet på egen hand utan extern hjälp.

Om vi är överens om ambitionsnivån finns det några områden där svagheterna framträder tydligare när vi går bortom det grundläggande och självklara. Utan någon särskild ordning:

Det är möjligt att göra betydande framsteg – kunskap och vilja

Har min första panik lagt sig? Ja, det har den. Ingen kan ge absoluta garantier, men genom att säkra de yttersta delarna av värdekedjan hanterar vi risken för både oss och våra kunder. Vi tar emot ungefär 1,5 miljoner händelser per sekund från våra kunder. Källorna är många. Samspelet mellan teknik, människor och processer är avgörande för att garantera säkerheten och upprätthålla integriteten hos kritisk infrastruktur. Ett systematiskt och holistiskt angreppssätt är avgörande för framgång.

Vi lever i en komplex värld där säkerhetshoten blir allt mer omfattande. Som samhälle kan ingen enskild enhet göra allt, men alla kan bidra till att förbättra det övergripande säkerhetslandskapet.

Som organisation – oavsett om det är inom den offentliga eller privata sektorn – fokuserar vi på affärsutveckling, att genomföra strategier och att uppnå våra mål. Vi vill undvika att missa möjligheter, och IT-säkerhet utgör ett betydande hot mot våra ambitioner. För att motverka detta behöver vi en säkerhetsstrategi som är heltäckande och robust.

Har du några få soldater, en pluton eller en hel försvarsstyrka? De verkliga hoten ligger i detaljerna. ”Good enough” bör vara ett medvetet beslut, och vi får inte underskatta styrkan i element som historiskt sett har betraktats som mindre viktiga. Att förstå detaljerna och veta var man ska lägga extra fokus har varit min prioritet i den här diskussionen. Det börjar med ambition och slutar med ledarskap.