Hvem bærer virksomhedens cybersikkerhedsansvar?

Spørgsmålet „hvem bærer virksomhedens cybersikkerhedsansvar?“ opstår ofte efter en hændelse – når en mistænkelig e-mail modtages, en medarbejder klikker på et forkert link, eller et system bliver utilgængeligt. Svaret er da ikke simpelthen „IT“. Det endelige ansvar ligger hos virksomhedens ledelse, men succesen afhænger af, hvordan ansvaret defineres, implementeres og revideres i den daglige drift.

Cybersikkerhed er ikke et produkt, der kan købes én gang og lægges i en skuffe. Det er et samspil mellem beslutninger, processer, teknologi og mennesker. Virksomheder, der gør ansvaret klart, reagerer hurtigere, har lettere ved at holde driften i gang og reducerer omkostninger, når noget går galt.

Hvem bærer virksomhedens cybersikkerhedsansvar?

Bestyrelsen, administrerende direktør eller ejer bærer det endelige ansvar for virksomhedens cybersikkerhed. Det betyder ikke, at ledelsen skal konfigurere firewalls, gennemgå hændelseslogfiler eller opdatere computere. Ansvaret består i at sikre, at de rette personer, de rette procedurer og tilstrækkelig finansiering er til stede for at beskytte drift, data og forretningsforbindelser.

Denne sondring er vigtig. En teknologichef, intern IT-afdeling eller driftsoperatør kan bære ansvaret for implementeringen af sikkerhedsopgaver. Ledelsen kan dog ikke fraskrive sig konsekvenserne af dårlig risikostyring. Hvis datatab, et ransomware-angreb eller en langvarig driftsstop forårsager skade, skal virksomheden selv stå til ansvar for sine beslutninger over for kunder, medarbejdere, forsikringsselskab og potentielt tilsynsmyndigheder.

I små og mellemstore virksomheder er dette særligt vigtigt. Der har ejeren eller driftslederen ofte mange roller, og IT får først opmærksomhed, når noget går i stykker. Klar ansvarsfordeling ændrer dette. Cybersikkerhed bliver da en del af driftsstyringen, ikke en nødopgave efter en krise.

Ledelsen fastsætter politikken og prioriteterne

Ledelsen skal besvare enkle, men afgørende spørgsmål: Hvilke data er vigtigst? Hvad koster det virksomheden, hvis e-mail, regnskabssystem eller produktionssystem stopper i et døgn? Hvem må godkende betalinger, få adgang til følsomme data eller træffe beslutninger, når en hændelse opstår?

Svarene former sikkerhedsplanen. En virksomhed, der arbejder med personoplysninger, kontrakter, finansielle oplysninger eller intellektuel ejendom, kræver generelt strengere adgangskontrol og bedre sporbarhed end en virksomhed med en enklere datasamling. På den anden side er det ikke altid fornuftigt at vælge den mest komplekse eller dyreste løsning. Den rette løsning er den, der reducerer den reelle risiko uden unødigt at forsinke medarbejdere eller skabe omkostninger, som driften ikke kan bære.

Ledelsen bør også kræve en regelmæssig statusrapport. Den behøver ikke at være fyldt med tekniske termer. Den skal klart angive, om sikkerhedskopier testes, om enheder er opdaterede, om multifaktorautentificering er aktiveret, om der er opstået mistænkelige hændelser, og hvilken risiko der stadig er uløst.

Medarbejderne er ansvarlige for enhver handling

De fleste sikkerhedsforanstaltninger kan fejle, hvis en medarbejder godkender en falsk login, deler en adgangskode eller sender data til den forkerte modtager. Det betyder dog ikke, at medarbejderne alene skal bære skylden. Virksomheden er ansvarlig for at skabe et arbejdsmiljø, hvor sikker adfærd er enkel, naturlig og understøttet.

Træning skal knyttes til det faktiske arbejde. Medarbejderne skal for eksempel genkende tegn på phishing-e-mails, der efterligner en direktør eller leverandør, vide, hvordan man verificerer usædvanlige betalingsanmodninger, og kunne indberette fejl uden frygt for straf. En medarbejder, der straks rapporterer et forkert klik, kan forhindre en stor hændelse. En medarbejder, der skjuler det af frygt, kan utilsigtet give angriberen mere tid.

Adgange skal også følge roller. En medarbejder bør ikke have bredere rettigheder end stillingen kræver, og adgangen skal forsvinde ved ansættelsens ophør. Dette er simpelt i teorien, men glemmes ofte, når virksomheden vokser hurtigt, bruger mange cloud-tjenester eller stoler på uformel kommunikation om, hvem der har adgang til hvad.

Teknikeren udfører og overvåger

En intern IT-afdeling eller en ekstern operatør er fagligt ansvarlig for at implementere godkendte sikkerhedsforanstaltninger. Dette inkluderer blandt andet at holde enheder opdaterede, overvåge sikkerhedsadvarsler, beskytte endpoints, administrere brugeradgange, håndtere sikkerhedskopiering og teste gendannelse.

Det vigtigste er at forstå grænsen mellem implementering og ansvar. En serviceudbyder kan ikke træffe gode beslutninger uden information om virksomhedens drift. Han skal vide, hvilke systemer der er kritiske for driften, hvilke medarbejdere der har brug for specifik adgang, og hvor længe virksomheden kan tåle nedetid. Omvendt skal serviceudbyderen kunne forklare risici på et almindeligt sprog og komme med prioriterede forslag, ikke bare en liste over tekniske produkter.

En god partner arbejder ikke kun, når en medarbejder ringer på grund af en ødelagt computer. Han sørger for regelmæssig overvågning, finder svagheder, før de bliver til problemer, og holder styr på enheder, brugere og sikkerhedsprocesser. Hos nexIT ser vi dette som et driftsansvar i samarbejde med kunden: vi tager os af den daglige implementering og rådgivning, men hjælper ledere med at bevare overblikket over de beslutninger, der betyder mest.

Sikkerhedskopiering er et ansvar, der skal testes

Mange mener, at backup løser databeskyttelse. Det løser kun en del af problemet. En backup, der ikke er testet, kan vise sig at være ubrugelig, når det gælder mest, og backup alene forhindrer ikke en angriber i at trænge ind i systemet eller i, at følsomme data lækker.

Ansvaret er derfor todelt. Teknologileverandøren skal bekræfte, at backups køres, er beskyttet og kan gendannes. Ledere skal beslutte, hvilke data der skal beskyttes, hvor ofte der skal tages backup, og hvor hurtigt driften skal kunne genstartes. Gendannelse af et bogføringssystem efter to dage kan være acceptabelt for én virksomhed, men uacceptabelt for en anden.

Regelmæssige gendannelsestests viser den reelle status. De afslører, om nøgledata mangler, om adgange virker, og om processen er klar nok, når tidspresset opstår. Dette er en af de mest omkostningseffektive måder at omdanne usikkerhed til beredskab.

Klar arbejdsdeling reducerer omkostninger og risiko

Uklarhed om ansvar fører ofte til huller. Én antager, at en anden opdaterer serveren. En medarbejder tror, at økonomiafdelingen har godkendt en betalingsanmodning. Ledere mener, at serviceudbyderen overvåger alle cloud-adgange, selvom det ikke er en del af aftalen. I sådanne huller opstår dyre hændelser.

En praktisk tilgang er at definere ansvar for de vigtigste områder: hvem godkender sikkerhedspolitikken og budgetterne, hvem styrer brugere og adgange, hvem reagerer på advarsler, hvem kontakter kunderne, hvis en hændelse opstår, og hvem beslutter, hvornår driften anses for at være normal igen. Dette behøver ikke være et tungt dokument. For mange virksomheder er en kort ansvartabel, der gennemgås regelmæssigt og opdateres, når medarbejdere, systemer eller serviceudbydere ændres, tilstrækkelig.

Ansvar bliver synligt, når det gælder

Netværkssikkerhedsansvar handler i sidste ende om, at virksomheden kan fortsætte med at fungere, når noget går galt. Det kræver tekniske foranstaltninger, men også klar ledelse, velinformerede medarbejdere og partnere, der kender miljøet.

Begynd med ét realistisk spørgsmål: Hvis vores nøglesystem stopper i morgen, hvem tager de første tre beslutninger? Hvis svaret er uklart, er det ikke en grund til at vente – men en god anledning til at afklare roller, teste reaktioner og opbygge sikkerhed, der understøtter driften hver dag.