Cyberrisikoen er HØY: Kan vi fortsette som før?

NSM har bedt norske virksomheter om å iverksette tiltak umiddelbart. Ledelsen i norske selskaper må derfor ta stilling til hva som skal fremskyndes, hvilke ressurser som må frigjøres, og hvilke risikoer virksomheten ikke lenger kan akseptere. 

Angriperen trenger ikke være interessert i deg

Etter mange år i bransjen kan jeg ikke telle hvor mange ganger jeg har hørt ledere si: «Vi er neppe et interessant mål». Det er dessverre et svakt beredskapsgrunnlag.

En virksomhet kan bli rammet gjennom en sårbar programvarekomponent, en eksponert tjeneste eller en leverandør som blir angrepet. Angriperen trenger med andre ord ikke være interessert i din virksomhet. Det kan være nok at virksomheten har en svakhet som kan utnyttes.

I tillegg kan kunstig intelligens forsterke denne utviklingen. NSM peker på at KI kan finne sårbarheter raskere og åpne for cyberoperasjoner i høyere tempo og større volum. 

Samtidig bidrar geopolitisk usikkerhet og hybride aksjoner til å gjøre cyberrisikoen enda mer krevende å håndtere.

Når valget står mellom å oppdatere og å stanse

De kritiske sårbarhetene i PHP sist uke viser hvor avgjørende tiden kan bli. Det ble observert aktiv utnyttelse, og anbefalingen var en umiddelbar oppdatering: «Berørte systemer som ikke kan oppdateres straks, bør tas offline.» 

I slike tilfeller blir cyberrisiko et virksomhetsspørsmål: Hvor stor risiko aksepterer vi ved å fortsette driften, sammenlignet med konsekvensene av å stanse den? Hvem kan beslutte å stanse en tjeneste? 

Hastighet må bygges inn i virksomheten

Det hjelper lite å oppdage en kritisk svakhet raskt dersom organisasjonen bruker lang tid på å gjøre noe med den. Et varsel skal forstås, risikoen skal prioriteres, beslutninger skal tas og tiltak skal gjennomføres. Hvert trinn kan være fornuftig, men summen kan bli for treg.

Det betyr ikke at kontrollene skal fjernes, men virksomheten trenger en kontrollert vei for hastetiltak: klare fullmakter, finansiering, tydelige prioriteringer og avklarte rammer for automatisering. Trolig må vi finne helt nye måter å jobbe på. Mer av det samme er ofte ikke løsningen.

Fire beslutninger som ikke kan vente

Gjennom arbeidet med omfattende cyberhendelser har vi sett hvor raskt et teknisk problem kan bli en virksomhetskrise. Læringen fra gjennomgangen etter angrepet mot Lørenskog understreker også betydningen av å koble signaler, ansvar og handling.

Ledelsen bør nå kreve en konkret respons på fire områder.

1. Fastsett hva virksomheten må tåle. Hvilke leveranser er kritiske, hvor lenge kan de være utilgjengelige, og hvilken minimumsdrift må opprettholdes? Hvilke data må ikke komme på avveie? Dette må styres ut fra konsekvensene for kunder, økonomi og samfunn, ikke bare ut fra tekniske muligheter.

2. Gi mandat til rask handling. Avklar hvem som kan isolere systemer, stanse tjenester og godkjenne hastetiltak. Fullmaktene og planene må være på plass før krisen, ikke forhandles mens den utvikler seg.

3. Finansier gjennomføringsevnen. Krev en vurdering av kapasitet, leverandøravhengigheter og flaskehalser. Prioriter svakhetene som kan stoppe virksomhetens viktigste verdikjeder. Tiltakene må ha ansvarlige, ressurser og korte gjennomføringsfrister.

4. Krev bevis på at sikkerhet og beredskap virker. Har tiltakene gjort oss tilstrekkelig sikre? Etterspør realistiske tester og verifikasjon av sikkerhet og beredskap. Hva fungerte? Hvor lang tid tok det? Hva sviktet? Og når skal svakhetene være rettet?

Vi kan ikke møte et vesentlig endret risikobilde med små forbedringer 

Det nye risikobildet krever mest sannsynlig investeringer, endrede prioriteringer og beslutningsprosesser som tåler økt tidspress. Sikkerhet, kontinuitetsstyring og kriseledelse bør utvikles som én samlet evne til å beskytte virksomhetens leveranser, ikke som separate planer og fagområder.

Å fortsette med gradvise forbedringer er ikke tilstrekkelig dersom trusselen utvikler seg raskere enn virksomhetens evne til å stå imot.