It-virksomhed: Topchefen skal ned i cybersikkerhedsbunkeren

Cybertruslen bliver kun større. Med det nye Net- og Informationssikkerhedsdirektiv er tiden til, at virksomheders topledelse involverede sig i cybersecurity – hellere i dag end i morgen, skriver Ruth Wisborg, direktør for digital transformation services, KMD.

Det er afgørende, at topledelsen bliver involveret i virksomhedens
cybersecurity setup, skriver Ruth Wisborg. — Det er afgørende, at topledelsen bliver involveret i virksomhedens cybersecurity setup, skriver Ruth Wisborg.Foto: Asger Ladefoged/Ritzau Scanpix

Ruth Wisborg

Direktør for digital transformation, KMD

Dette indlæg er alene udtryk for skribentens egen holdning. Alle indlæg hos Altinget skal overholde de presseetiske regler.

Vi er nået langt i debatten om cybersikkerhed. Det er ikke længere et spørgsmål, om man bør forholde sig til det. For det står efterhånden klart for de fleste, at man med et for svagt setup ikke blot risikerer at sætte sin forretning eller sin organisations arbejde på pause. Nej, et svagt setup risikerer at lukke hele biksen.

Det sidste halve år har vi herhjemme oplevet, hvordan medier (Jyllands-Posten og TV2), uddannelsesinstitutioner (Danmarks Medie- og Journalisthøjskole og Via University College) eller Forsvarsministeriet er blevet ramt af angreb, som har haft store og varige konsekvenser for driften.

Det er ikke et spørgsmål, om der kommer et nyt angreb, men om hvornår, hvor stort og hvem det går udover næste gang.

Ingen nem løsning

Det digitale trusselsbillede i dag er kompliceret, har mange facetteret og er enormt svært at agere i, og det kan være næsten umuligt at vurdere, om ens investering i cybersikkerhed står mål med risiciene og omkostningerne.

Hver organisation og hver virksomhed har forskellige og individuelle behov, og balancen mellem at investere for meget og for lidt er hårfin.

På den ene side er det afgørende at beskytte sig mod cybertrusler, der kan true vores data, privatliv og forretningshemmeligheder. På den anden side risikerer man på bekostning af forretningens udvikling at pumpe uendelige ressourcer ind i sit cybersikkerhedssetup uden at være bedre stillet mod konkrete trusler.

Der er ikke en one size fits all-model, når det kommer til cybersikkerhed. Det er vigtigt at foretage en grundig risikovurdering og identificere de mest kritiske områder, der kræver beskyttelse.

Læs også

It-aktører: Dansk infrastruktur og virksomheder skal væk fra cyberskudlinjen

Debat

Dette kan omfatte beskyttelse af følsomme data, implementering af robuste firewall-løsninger eller uddannelse af medarbejdere om cybersikkerhed. Tiltagene er mange, og investeringen kan være stor.

Men investeringer i cybersikkerhed skal også være proportionelle med de ressourcer og aktiver, der skal beskyttes. En mindre virksomhed med begrænsede midler vil måske ikke have råd til de samme avancerede sikkerhedsløsninger som en stor multinational virksomhed.

I sidste ende handler det om at træffe velovervejede beslutninger baseret på en grundig analyse af ens behov, risikovurdering og tilgængelige ressourcer. Investering i cybersikkerhed er ikke en engangsudgift, men en kontinuerlig proces, der kræver opmærksomhed og vedvarende engagement.

EU giver ledelsen ansvar

Min erfaring med sikkerhedssetup i både offentlige og private regulerede sektorer har vist mig, at de, der lykkes med at lave et effektivt cybersikkerhedssetup, typisk har to ting til fælles: Topledelsen er inddraget i cybersikkerhed-beslutningerne, og strategien for cybersikkerhed prioriteres på et niveau svarende til den øvrige forretningsstrategi.

Det er ikke et spørgsmål, om der kommer et nyt angreb, men om hvornår og hvem det går udover næste gang
Ruth Wisborg
Direktør, KMD

De to ting er nødvendige, hvis man skal lykkes.

Når Net- og Informationssikkerhedsdirektivet (NIS2), som EU’s medlemslande har vedtaget, træder i kraft fra nytår bliver topledelsens involvering og ansvar i cybersikkerhed også mere formel. Topledelsen får med NIS2 et direkte ansvar for, at cyberrisici bliver identificeret og håndteret samt, at øvrige krav i NIS2 overholdes.

Med andre ord er det afgørende, at topledelsen bliver involveret i virksomhedens cybersecurity setup –hellere i dag end i morgen, og kun gennem topledelsens involvering finder man det rette investeringsniveau, og kun sådan bliver cybersikkerhed til en integreret del af din forretning og organisation.

Topledelsens involvering er altså det første vigtige skridt til at sikre et tilstrækkeligt niveau af beskyttelse mod de mange forskellige cybertrusler, som enhver organisation og forretning lige nu og i fremtiden skal håndtere.

Læs også