Der sker mange målrettede hackerangreb dagligt blot i Danmark, og hele 58% af danske virksomheder har været udsat for én eller flere sikkerhedshændelser indenfor de seneste 12 måneder – det anslår PwC ud fra et survey lavet i samarbejde med Bestyrelsesforeningens Center for Cyberkompetencer. Alligevel bliver cyber- og informationssikkerhed ofte ikke tænkt ind som et strategisk tema på bestyrelsesniveau. Faktisk svarer størstedelen af bestyrelsesmedlemmerne i undersøgelsen, at de kun delvist (46 pct.) eller slet ikke (15 pct.) fører kontrol med, at virksomheden har testet beredskabs- og kommunikationsplaner for håndtering af hackerangreb.

- Alle bliver angrebet, uanset om du er Mærsk, Demant eller den mindre lokale virksomhed. Det er ikke et spørgsmål, om det sker, men hvornår det sker. Derfor er det utrolig vigtigt med et strategisk fokus på cyber- og informationssikkerhed, siger Kirsten Hede, projektdirektør i Bestyrelsesforeningens Center for Cyberkompetencer og uddyber:

- Det er blandt bestyrelsens og ledelsens primære opgaver og ansvar at sikre værdiskabelse og konkurrenceevne samt at beskytte selskabets værdier. Der er således en lang række områder lige fra risikostyring, ansættelse af den rigtige ledelse til kapital- og likviditetssammensætning, hvor bestyrelsen har som ansvar at sikre, at der er styr på tingene i virksomheden. I lovgivningen bliver det til stadighed gjort mere og mere tydeligt, at databeskyttelse, GDPR og informationssikkerhed også er ansvar, der ultimativt hviler på bestyrelsen og derfor bør indgå som en væsentlig del af bestyrelsens løbende agenda.

Savner konkrete redskaber
Og lige præcist når det handler om cybersikkerhed, er det ifølge Kirsten Hede vigtigt, at man kommer tættere på. Men det kan være svært for ledelser og bestyrelser at finde ud af, hvordan de skal gribe det an.

- Langt de fleste i bestyrelser og på strategisk niveau har ikke ’IT’ som mellemnavn. De har brug for værktøjer for at kunne sparre med, udfordre og udvikle det operationelle niveau angående virksomhedens cyber- og informationssikkerhed. Helt lavpraktisk kan det ofte være svært at forstå it-chefens ”stammesprog” og dermed kunne træffe de rigtige beslutninger i forhold til risikoprofil og investeringsvilje, siger Kirsten Hede og understreger, at det handler om at finde et passende niveau i forhold til den enkelte virksomhed og beskytte det vigtigste samt vide, hvilke muligheder der er i værktøjskassen, som kan styrke virksomhedens modstandsdygtighed og konkurrencedygtighed.

Standarder som styringsværktøj
Og her spiller standarder, som fx ISO/IEC 27001, en vigtig rolle som styringsværktøjer, der kan hjælpe virksomheder med at prioritere, strukturere, dokumentere og følge op på arbejdet med informations- og cybersikkerhed.

- Det handler ikke om at bygge Fort Knox, men om at overveje, hvilke risici der knytter sig til organisationens behandlinger af data og hvordan man så mest hensigtsmæssigt sikrer sig. I sidste ende er det en klassisk cost/benefit-analyse af, hvilke tiltag der bedst betaler sig, forklarer Anders Linde, chefkonsulent i Dansk Standard med speciale i informationssikkerhed og privatlivsbeskyttelse, og understreger, at standarder ikke kun er for store virksomheder:

- Standarder kan nemlig hjælpe en med at få indsigt i, hvilket trusselsbillede man står i, hvad der er mindstemålet for, hvad man bør gøre og hvordan man kan bruge standarder til at systematisere og dokumentere sin indsats.

Kirsten Hedes kommentar kan læses i sin helhed her på siden.

Vil du vide mere?

Bestyrelsesforeningens Center for Cyberkompetencer, IT-Branchen, Dansk Erhverv, DI Digital, Dansk Selskab for Virksomhedsledelse og Dansk Standard inviterer til gratis webinar om cyber- og informationssikkerhed på strategisk niveau den 7. juni 2021. Tilmelding kan ske her.