Sikkerhet avgjøres i styrerommet, ikke i serverrommet

Spørsmålet som avslører styringsmodellen

Still to spørsmål i det samme møtet. Det første: hvem eier økonomien i denne virksomheten? Svaret kommer som en rolle, en møterytme og et sett dokumenter: finansdirektøren, kvartalsrapporten, budsjettprosessen, revisjonen, styrets egen behandling. Det andre: hvem eier informasjonssikkerheten? Svaret kommer som regel som et navn, og navnet sitter i IT.

Forskjellen er ikke at det ene er viktigere enn det andre. Forskjellen er at det ene har en styringsmodell, mens det andre har en person. En person kan slutte, bli overbelastet eller ta feil. En styringsmodell tåler alle tre, fordi den fordeler beslutninger, dokumenterer dem og gjør dem etterprøvbare.

At informasjonssikkerhet havner hos «han som kan data», er sjelden et bevisst valg. Det er en arv fra en tid da IT var noe virksomheten brukte, ikke noe den besto av.

Ett av femti

Berigos eier og faglige leder, Roger Ison-Haug, har forsket på sammenhengen mellom antall uønskede cyberhendelser og øverste ledelses kompetanse. Ett av funnene er lett å gjengi og vanskelig å avfeie: blant Norges 50 største selskaper, målt etter Kapitals liste, hadde ett selskap ledere med formell utdanning innen cybersikkerhet. I Forbes Global 500 var tallet rundt ti av 500.

«Det er et gap mellom toppledernes ansvar og deres faktiske kompetanse innen cybersikkerhet.»

Tallene beskriver ikke udugelige ledere. De beskriver en forventning som aldri er blitt formulert. I flere tiår har vi ansett formell økonomisk forståelse som en selvfølge i toppledelsen, og bygget hele styringsmodellen rundt den: rapporteringslinjer, revisjon, et styre som kan lese tallene. Den tilsvarende forventningen på sikkerhetsområdet finnes knapt, samtidig som ansvaret har gått motsatt vei.

Et organisasjonskart som ikke fulgte med

Historisk har IT og sikkerhet vært sett på som støttefunksjoner, gjerne plassert under økonomiavdelingen sammen med andre kostnader som skulle holdes nede. Det var en rimelig plassering den gangen. I dag er informasjonsteknologi en forutsetning for at virksomheten i det hele tatt eksisterer: produksjonen, leveransen, kundeforholdet og pengestrømmen ligger i systemer.

Virksomheten har altså flyttet seg. Styringsmodellen har mange steder ikke gjort det. Resultatet er at en eksistensiell avhengighet følges opp med samme oppmerksomhet som en driftskostnad.

Ledelsen skal ikke bli teknologer

Her ligger misforståelsen som gjør at mange ledere trekker seg unna: at eierskap til sikkerhet krever teknisk innsikt. Det gjør det ikke.

Et styre fører ikke regnskap. Det leser regnskapet, forstår hva tallene betyr for strategien, kjenner igjen når noe ser rart ut, og stiller spørsmål som finansdirektøren må kunne svare på. Ingen ber styret bokføre. Man ber det styre.

Kravet på sikkerhetsområdet er det samme, verken mer eller mindre. Ledelsen er ikke teknologer, men den eier de strategiske valgene og målene: hvilken risiko virksomheten skal leve med, hva som skal prioriteres, hva det skal koste, og hva som skal måles. Det er beslutninger en fagperson lenger nede i organisasjonen ikke kan ta. Ikke fordi kompetansen mangler, men fordi mandatet gjør det.

Fire ting ledelsen faktisk eier

• Risikoappetitt og vesentlighet. Hvor mye nedetid, datatap eller avbrudd i leveransen tåler virksomheten før det truer strategien? Uten et vedtatt svar blir hver enkelt risiko en skjønnsvurdering langt nede i organisasjonen, og prioriteringen tilfeldig.
• Prioritering. Ingen virksomhet lukker alle avvik. Valget mellom hva som lukkes nå, hva som utsettes og hva som aksepteres, er en forretningsbeslutning med konsekvenser, og den hører hjemme der konsekvensene bæres.
• Budsjett og forventet resultat. Sikkerhetsbudsjettet er ofte det eneste budsjettet et styre godkjenner uten å be om et forventet resultat. Spørsmålet er ikke bare hva det koster, men hva vi får igjen, og hva som ville endret seg med en femtedel mer eller mindre.
• Måling og oppfølging. Et lite sett indikatorer som faktisk sier noe om eksponering og gjennomføringsevne: ikke antall blokkerte e-poster, men tid til gjenoppretting, dekningsgrad på kritiske systemer, og framdrift mot mål ledelsen selv har vedtatt.

Stillingsbeskrivelsen er allerede skrevet

Det som gjør dette konkret, er at pliktene til øverste ledelse allerede står skrevet ned, i regelverk og standarder de fleste virksomheter uansett forholder seg til. Kravene er ikke tekniske. De beskriver arbeidsform.

• NIS2, artikkel 20. Ledelsesorganet skal godkjenne virksomhetens risikohåndteringstiltak, føre tilsyn med gjennomføringen, og kan holdes ansvarlig ved brudd. Artikkelen pålegger dessuten medlemmene av ledelsesorganet selv å gjennomgå opplæring. Kompetansekravet er altså personlig, ikke organisatorisk. Direktivet er EØS-relevant og skal gjennomføres i norsk rett; for mange virksomheter kommer kravene likevel først gjennom kontrakter med kunder og konsernselskaper i EU.
• ISO/IEC 27001:2022, kapittel 5. Standarden legger et sett plikter direkte på øverste ledelse: sørge for at sikkerhetspolicy og mål er forenlige med virksomhetens strategiske retning, sikre at kravene integreres i ordinære prosesser, stille nødvendige ressurser til rådighet, og tildele roller og myndighet, herunder hvem som skal rapportere på tilstanden til ledelsen selv.
• ISO/IEC 27001:2022, kapittel 9.3. Ledelsens gjennomgåelse er ikke en orientering. Standarden angir hva som skal inn i den: status på tidligere beslutninger, endringer i risikobildet og i interessentenes krav, resultater fra måling og revisjoner, avvik og korrigerende tiltak, status på risikohåndteringsplanen, og den skal ende i beslutninger. Har virksomheten et styringssystem for informasjonssikkerhet, finnes agendaen for styrets sikkerhetssak altså allerede.
• Personvernforordningen, artikkel 5 nr. 2. Ansvarlighetsprinsippet: den behandlingsansvarlige skal ikke bare etterleve reglene, men kunne vise at de etterleves. Etterlevelse som ikke kan dokumenteres, teller ikke som etterlevelse.
• ISO/IEC 42001 og EUs AI-forordning. Mønsteret gjentar seg på AI-området. Ledelsessystemstandarden for kunstig intelligens er bygget over samme lest som 27001, med de samme pliktene for øverste ledelse. AI-forordningen krever i tillegg at virksomheter som utvikler eller tar i bruk AI, sørger for tilstrekkelig AI-kompetanse hos dem som bruker systemene på deres vegne (artikkel 4).

Ingen av disse kravene handler om teknologi. De handler om hvem som bestemmer, hvor ofte, på hvilket grunnlag, og hva som kan legges fram i ettertid.

Bestiller og kontrollør

Den praktiske konsekvensen er at ledelsen må bli en bedre bestiller og en bedre kontrollør.

En svak bestiller får det leverandøren har på lager. En svak kontrollør får rapporter som er skrevet for å berolige. Begge deler koster penger uten å redusere risiko, og begge deler blir synlige i ettertid: i en revisjon, i et tilsyn, eller den dagen noe faktisk skjer.

En god bestiller vet hva virksomheten skal beskytte og hvorfor, formulerer kravene i forretningstermer, og kjøper resultater framfor produkter. En god kontrollør ber om noen få tall over tid, sammenligner dem med det som ble lovet, og godtar ikke at «gul» er en permanent tilstand.

Kompetanse er ikke det samme som kurs

Et vanlig mottiltak er å sende ledergruppen på et halvdagskurs. Strukturert opplæring har en reell verdi: den gir ledelsen et felles ordforråd, og under NIS2 er den som nevnt en personlig plikt. Men et kursbevis er ikke det samme som kontroll, fordi problemet sjelden er mangel på informasjon. Det er mangel på arbeidsform.

Det som virker, er repetisjon i den rytmen ledelsen allerede har: et fast punkt med de samme spørsmålene hvert kvartal, en risikoappetitt som er vedtatt og revidert, og øvelser der ledelsen selv må ta beslutninger under usikkerhet, ikke som teknisk trening, men som lederøvelse. Etter to eller tre runder begynner et styre å høre forskjell på et svar som holder og et svar som bare beroliger. Det er der reell kontroll begynner.

Det begynner med spørsmålene

Ingenting av dette krever et program eller et prosjekt for å komme i gang. Det krever noen spørsmål som ikke lar seg besvare med et lysbilde, og disiplin til å stille de samme spørsmålene igjen neste kvartal.

Da flytter sikkerhet seg fra å være en orienteringssak til å bli en styringssak. Det er hele poenget.