Nedbrud og angreb rammer nu drift og leverancer, ikke kun data. Det flytter ansvaret fra it-afdelingen til direktion og bestyrelse.
Sikkerhed er rykket fra at være en teknisk støttefunktion til at være en ledelsesrisiko, der kan stoppe driften fra den ene dag til den anden.
Det er pointen i en advarsel fra en topchef i sikringsbranchen, efter en række episoder har udstillet sårbarheden i digital infrastruktur, fra nedbrud til egentlige angreb.
For virksomheder handler det ikke længere kun om at forhindre datalæk, men om kontinuitet: Kan man producere, levere og fakturere, når systemerne svigter?
Det oplyser Finans.
Truslen rammer via leverandørkæden
Når trusselsbilledet ændrer sig, ændrer virksomhedens ”single points of failure” sig også.
Angreb og nedbrud rammer sjældent kun it-afdelingen; de rammer adgangskontrol, køl og varme, logistik, betalinger og dokumentation.
Derfor bliver leverandørkæden en central angrebsflade: Hvis en it-leverandør, en driftsplatform eller en kritisk underleverandør går ned, kan det i praksis være ligegyldigt, hvor stærke interne kontroller man selv har.
Center for Cybersikkerhed understreger i sin vurdering, at cyberangreb kan ramme ”alle, både myndigheder, virksomheder … og individer”, og at cybertruslen er et grundvilkår, som organisationer må indregne i deres risikovurderinger.
Det fremgår af CFCS’ trusselsvurdering, hvor myndigheden også peger på, at den sikkerhedspolitiske situation påvirker cyberdomænet.
Derfor bliver sikkerhed en bestyrelsessag
Konsekvensen er, at sikkerhed flytter op på samme niveau som likviditet og kredit: Det er en kernerisiko, fordi den slår direkte ind i omsætning og omdømme.
Nationalbanken peger på, at den finansielle infrastruktur håndterer transaktioner for over 700 mia. kr. i gennemsnit dagligt, og at alvorlige hændelser kan udgøre en trussel mod både virksomheders drift og den finansielle stabilitet, hvis kritiske systemer forstyrres.
Det fremgår af en analyse fra Danmarks Nationalbank.
Det er samtidig et vigtigt datapunkt for erhvervslivet: Når samfundskritiske funktioner får højere beredskab, følger krav og forventninger til private aktører ofte med, både fra kunder, myndigheder og forsikringsselskaber.
Tre signaler at holde øje med
For ledelser er opgaven nu at gå fra projekter til løbende robusthed.
Tre konkrete signaler er værd at følge: 1) om kritiske leverandører kan dokumentere beredskab og gendannelse, 2) om virksomheden har testet, hvordan driften kører på manuelle nødrutiner, og 3) om sikkerhed er indbygget i investeringsbeslutninger, ikke kun i compliance.
Bundlinjen: Den virksomhed, der kan fortsætte driften under pres, får en konkurrencefordel.
Den, der ikke kan, risikerer at opdage sårbarheden i realtid, når kunderne allerede står i kø.
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
