Stikkord: Informasjonssikkerhet

Mind the gap

Risikobildet i samfunnet er i stadig endring. Cyberhendelser og de kostbare følgene av disse, får stor oppmerksomhet i det offentlige ordskiftet. Samtidig er gapet mellom teknologene og ledelsen som skal håndtere risikoen fortsatt ofte er alarmerende stort. De finner først sammen når cyberkrisen har rammet og handlingsrommet er borte – da er det for sent. 

Implikasjonene for mange av de mest komplekse forsøkene på digitale angrep og digital spionasje strekker seg langt utover det IT-tekniske. Eksempelvis kan angriperens evne og vilje til å kartlegge og utnytte tillitsbånd hos samarbeidspartnere eller hos underleverandører være et sentralt suksesskriterie for avanserte digitale angrep.

IT-sikkerheten henger også tett sammen med fysisk sikkerhet og personellsikkerheten. Kostbar eksponering eller tap av data kan være et resultat av ansatte har fått unødvendig vide fysiske og logiske tilganger til sensitiv informasjon som vedkomne enten med overlegg eller uforvarende utnytter som innsider. 

Beslutninger knyttet til informasjonssikkerhet kan også være høystrategiske. La oss si at du har informasjon om at din virksomhet har indikasjoner på å være rammet av en ondsinnet aktør. Skal du stenge ned eller holde tjenestene oppe? Hvilke potensielle tap går du på dersom dine kunder mister IT-tjenester levert av din virksomhet for en lengre periode? Hvilket tap vil du potensielt lide om du holder dem oppe? Konsekvensene av slike veivalg kan være utslagsgivende både for fremtidig likviditet og omdømme.

I slike strategiske dilemmaer er involvering av toppledelsen på riktig tidspunkt helt kritisk. Samvirke mellom nivåene må starte tidlig slik at alle berørte nivåer kan bygge en situasjonsforståelse, legge en plan og iverksette tiltak tidsnok. Når uhellet først er ute kan det være for sent for IT, toppledelsen og resten av organisasjonen å forstå risikoen.

Forebygging

Mange virksomheter og sikkerhetsrådgivere har ikke tatt skikkelig innover seg nødvendigheten av en helhetlig tilnærming til informasjonssikkerhet. Bindeleddene mellom nivåene mangler. Sannsynlighetsreduserende tiltak er derfor ofte mangelfulle.  

Virksomheter har heller ikke posisjonert seg for å utnytte handlingsrommet godt nok dersom uhellet først rammer – før det er for sent. Det forebyggende arbeidet bør være på plass og integrert i virksomhetsstyringen i forkant av en alvorlig hendelse. Dette for å sikre at tiltakene er effektive, helhetlige og gir god kost-nytte.

Deteksjon

Vi lever i en kompleks tid hvor cyberhendelser oppstår raskt, uventet, og sprer seg over landegrenser.  Det er derfor viktig å forstå den digitale omverdenen, kartlegge risiko og øke sannsynligheten for at man på et tidlig tidspunkt får fare- og varselindikatorer om at sikkerhetssituasjonen rundt din virksomhet er i endring. Når utvikler en utfordrende situasjon seg til en krise?  Og når på veien oppdager vi dette? Du bør ha gode prosesser og mekanismer tilpasset dine behov som er til for å oppdage hendelsen før den treffer.

Reaksjon

Når krisen treffer forsvinner handlingsrommet fort. Beredskapssituasjoner krever at din organisasjon gjør hurtige og gode beslutninger under stress. For å sikre en optimal utnyttelse av tiden bør din virksomhet eie en stabsmetodikk som sikrer at den rette kompetansen utnyttes for å bruke handlingsrommet som gjenstår – før det er for sent.

Den beste måten både å teste virksomhetens kapasitet i en krisesituasjon, og sikre at stabsmetodikken etterleves i praksis, er å øve. Uten dette vil selv de beste planer bli liggende glemt i en skuff når krisen inntreffer.

Aktuelle tjenester: