Når IT-sikkerhet blir et ledelsesansvar

Sikkerhet handler ikke bare om teknologi

Som leder i en virksomhet har man et formelt ansvar for hva som står på spill for virksomheten, synliggjøre risiko og ta bevisste valg rundt dette. Sikkerhetsledelse er derfor ikke et enkeltstående tiltak, men en kontinuerlig prosess som innebærer blant annet:

• kartlegging av verdier og risiko
• vurdering av kritiske systemer
• etablering av policyer
• beredskapsplaner
• kontinuerlig oppfølging og forbedring

Gjennom forebyggende arbeid blir det lettere å se hvilke risikoer som faktisk er relevante for virksomheten, hva konsekvensene kan bli dersom noe går galt, og hvilke tiltak som bør prioriteres. Målet er ganske enkelt: Å beskytte informasjon, sikre drift og være bedre rustet når noe uventet skjer.

Eller som vår sikkerhetssjef Sven Kjartan sier:

«Fokuset er å beskytte det som faktisk betyr noe for virksomheten din, slik at dere kan ta informerte beslutninger og opprettholde driften når uforutsette hendelser oppstår»

Beredskap handler om drift

Når man hører ordet «beredskap» er det fort gjort å tenke på worst case-scenarioer og krisemøter. I praksis handler digital beredskap om noe langt mer hverdagslig:

• Hva gjør vi hvis et kritisk system stopper?
• Hvor lenge tåler vi nedetid?
• Hvem gjør hva når noe skjer?
• Hvordan kommuniserer vi internt?
• Kan vi gjenopprette data raskt?

NorSIS beskriver digital beredskap som evnen til å identifisere kritiske digitale ressurser, håndtere hendelser og sikre at både teknologi og mennesker vet hva de skal gjøre når noe skjer.

IT sikkerhet med struktur og forutsigbarhet

Med sikkerhetsledelse blir IT-sikkerhet mer enn bare brannslukking. Risiko identifiseres, vurderes og følges opp over tid. Beredskap planlegges før behovet oppstår, og status rapporteres jevnlig i et språk som er forståelig. Også uten teknisk bakgrunn.

Resultatet er ofte:

• bedre oversikt over digitale risikoer
• mindre nedetid og færre overraskelser
• tydeligere prioriteringer
• bedre beslutningsgrunnlag
• økt trygghet i virksomheten

IT-sikkerhet blir rett og slett mer håndterbart.

Når teknologi møter virkelighetsforståelse

Teknologi alene gir oss ikke hele bildet. Mange virksomheter har allerede gode sikkerhetsprodukter og tekniske tiltak på plass. Utfordringen er ofte at sikkerhetsarbeidet mangler struktur, eierskap og kobling til virksomheten. For å skape reell verdi må sikkerhetsarbeidet knyttes tett til det som faktisk holder driften i gang.

Hvilke systemer er mest kritiske? Hva skjer hvis de blir utilgjengelige? Hvor lenge tåler virksomheten nedetid før det får konsekvenser for kunder, ansatte eller leveranser?

Når teknisk innsikt kombineres med forståelse for virksomheten blir det enklere å jobbe helhetlig med risikostyring, beredskap, rapportering og sikkerhetsstyring.

Den største risikoen? Manglende eierskap

En klassisk utfordring er at sikkerhetsansvaret er fordelt på flere områder. IT har ansvar for systemene, ledelsen for driften, HR for de ansatte og leverandørene for plattformene. Derfor kan det være krevende å samle informasjonen, se risikoene i sammenheng og sikre tydelig oppfølging.

Da blir sikkerhetsarbeidet fort preget av uklare rutiner, manglende prioriteringer og tilfeldig oppfølging. Konsekvensen er gjerne at sårbarheten først blir synlig når noe faktisk skjer. Det er nettopp her sikkerhetsledelse gjør en forskjell. Risiko blir synliggjort og tiltak fulgt opp systematisk over tid.

Kravene øker, enten man vil det eller ikke

Kravene til digital sikkerhet har økt betraktelig de siste årene. Med NIS2 stilles det tydelige forventninger til risikostyring, beredskap og dokumentasjon. Særlig for samfunnskritiske virksomheter innen blant annet helse, finans, energi og IT. Samtidig merker også virksomheter uten direkte lovkrav et økende press. Kravene kommer ofte via kunder, leverandørkjeder og samarbeidspartnere. Sikkerhetsledelse handler derfor ikke bare om compliance, men også om tillit, profesjonalitet og robust drift.

Små grep kan gi stor effekt

God sikkerhet handler sjelden om å gjøre alt. Det handler om å gjøre de riktige tingene før man må. NSM trekker frem kontroll på identiteter og tilganger, sikkerhetsoppdateringer, kartlegging av systemer og evnen til gjenoppretting som sentrale tiltak for norske virksomheter.

Ofte starter godt sikkerhetsarbeid med noen ganske enkle spørsmål:

• Hva anser vi som våre største risikoer, og er vi forberedt på å håndtere dem?
• Har vi oversikt over det som er kritisk?
• Vet vi hvem som har tilgang til hva?
• Har vi backup som faktisk fungerer?
• Vet ansatte hva de skal gjøre ved en hendelse?
• Har vi testet beredskapsplanene våre?

Når noe først skjer, er det for sent å begynne planleggingen.

Sikkerhetsledelse handler derfor ikke om frykt. Det handler om kontroll, oversikt og gode beslutninger.

Det liker vi.