Hvorfor god sikkerhet er et lagarbeid

Utgangspunktet er bedriften, ikke teknologien. Det som er verst for én bedrift, er ikke nødvendigvis det verste for en annen. For en nettbutikk kan det være at nettsiden er nede midt i julehandelen, for en klinikk at pasientopplysninger kommer på avveie. Det er konsekvensene som avgjør hva som bør prioriteres.

Hvem har ansvaret for sikkerheten?

Noen i bedriften må eie arbeidet. For hvis ingen har ansvaret for å følge opp risiko, rutiner og beredskap, blir sikkerhet fort noe man tar tak i når man har tid. Eller når noe har gått galt.

Det krever verken en egen sikkerhetsavdeling eller tykke permer. I en mindre bedrift kan ansvaret ligge hos daglig leder eller en annen i ledergruppen.

Vet ansatte hva de skal gjøre?

Selv de beste sikkerhetsløsningene kan ikke stoppe alt. Derfor tenker vi alltid sikkerhet i flere barrierer: Det én barriere ikke stopper, skal den neste fange opp. De ansatte er en av de viktigste barrierene.

Før eller siden vil en ansatt få en e-post som ser ekte ut. En uvanlig betalingsforespørsel. Et MFA-varsel de ikke forventet. Eller et spørsmål om å dele informasjon i et AI-verktøy. Men vi kan ikke forvente at ansatte tar gode sikkerhetsvalg dersom bedriften aldri har definert hva et godt sikkerhetsvalg er.

Vet de ansatte hvem de skal kontakte? Vet de hva som skal rapporteres? Vet de hvilke regler som gjelder for bruk av AI? IT-leverandøren kan legge til rette for opplæring og sette opp tekniske sperrer, men reglene må bedriften bestemme selv. Ansatte trenger ikke å bli sikkerhetseksperter, men de trenger tydelige rammer.

Har vi en plan dersom noe skjer?

Ingen bedrifter kan garantere at de aldri blir utsatt for en sikkerhetshendelse. Derfor handler sikkerhet også om beredskap. Hvis en ansatt klikker på noe de ikke burde, eller bedriften opplever et sikkerhetsbrudd, hva skjer da?

IT-leverandøren kan stenge kontoer, isolere maskiner og gjenopprette data. Men hvem tar beslutningene, hvilke systemer må opp først, og hvem melder fra til Datatilsynet hvis personopplysninger er på avveie?

Bedrifter som har tenkt gjennom disse spørsmålene på forhånd, håndterer hendelser raskere og med langt mindre konsekvenser enn de som må finne ut av alt mens situasjonen pågår. En plan fungerer dessuten best når den er testet og øvd på.

Er ikke dette IT-leverandørens jobb?

«Mange kunder forventer at vi har kontroll på sikkerheten, og systemene har vi kontroll på. Men vi kan ikke vite hva som er viktigst for bedriften, hvem som kan godkjenne en betaling, hva er nød prosedyrene ved en stans i produksjon eller hvilke systemer som må opp først. Det må bedriften selv avgjøre.»

Sven Kjartan Figved, sikkerhetssjef i Upheads

Forventningen er rimelig, så lenge den gjelder det vi drifter. Driften stopper for eksempel hver enkelt svindel-e-post. Men det er ledelsen som må spørre økonomiavdelingen om betalingsrutinene bør endres.

IT-driften passer på systemene. Ledelsen passer på bedriften.

Det er som med regnskapet. Mange setter bort regnskapsføringen, men ingen tror at de dermed har satt bort ansvaret for økonomien. Dere kan sette bort driften, men ikke ansvaret.

Fem spørsmål til neste ledermøte

Hvis du bare skal ta med deg én ting fra denne artikkelen, la det være disse spørsmålene:

• Hva er det viktigste vi må beskytte, og hvilken risiko kan vi leve med?
• Hvem hos oss følger opp sikkerhetsrisikoene, og hva har vi avtalt at IT-leverandøren tar seg av?
• Vet ansatte hva de skal gjøre i en krise, for eksempel hvis produksjonen stopper opp?
• Har vi en plan dersom vi blir rammet, og har vi faktisk testet eller øvd på den?
• Når snakket vi sist om sikkerhet i ledergruppen?

Hvis du kan svare tydelig på alle, har du kommet langt. Hvis ikke, er dette et godt sted å starte. God IT-drift er grunnmuren. Når ledelsen og de ansatte også gjør sin del, henger sikkerheten sammen hele veien.