Sikkerhetssjefen må sette en pris på risikoen

Stadig flere virksomheter har fått en CISO, en informasjonssikkerhetssjef. Thomas Mølgaard, sikkerhetsleder for Norden i DXC Technology, snakker med mange av dem. Noen sitter i toppledelsen sammen med finansdirektøren og administrerende direktør. Andre er plassert i linjen.

Han ser utviklingen som et tegn på at sikkerhet blir tatt mer på alvor.

– Tittelen spiller ingen rolle. Det som betyr noe, er at noen tar seg av det, sier Mølgaard.

Mer enn teknikk

Mølgaard mener det er synd å begrense sikkerhetssjefen til tekniske oppgaver. Han håper flest mulig får en strategisk jobb, der målet er å holde virksomheten i drift.

– Prosessene er det som holder hjulene i gang. Det er det du til syvende og sist vil beskytte, sier han.

Arbeidet starter med å vite hva som skjer, både utenfor og innenfor virksomheten. Mølgaard leser selv rapporter hver dag om hvordan angrep ser ut og hva trusselaktørene gjør. I enkelte bransjer, som energi, finnes det egne analyser av angrep rettet mot nettopp den sektoren.

Innad handler det om mer enn IT-avdelingen. Mølgaard nevner kollegaer i kundeservice, økonomi og på lageret. Hvor bevisste er de på sikkerhet? Hva viser loggene, og hvilket utstyr og hvilke systemer har virksomheten?

Finner sikkerhetssjefen en svakhet som kan fikses med en gang, skal den fikses. Er problemet større, må det løftes opp.

– Da må du ta det til riktig nivå, slik at det blir tatt en beslutning om å løse problemet. Det handler ofte om å snakke språket til finansdirektøren, han som kontrollerer pengene, sier Mølgaard.

Fra følelse til tall

Risiko oppleves ofte som noe diffust. Mølgaard bryter det ned i tre deler: noe som har verdi for deg, en negativ konsekvens hvis noe skjer med det, og sannsynligheten for at det skjer. Sannsynligheten kan måles som hvor ofte noe inntreffer, for eksempel én gang hvert tiende, hundrede eller tusende år.

For å forklare forskjellen på risikoappetitt og risikotoleranse bruker han dartskiven. Når man kaster, sikter man mot blinken. Det er appetitten. Er man en dårlig kaster, er man likevel fornøyd hvis pilen treffer skiven. Det er toleransen. Alt utenfor skiven vil man ikke ha.

I praksis betyr det en samtale med toppledelsen om hvor grensene går. Mølgaard bruker et tenkt eksempel: Ledelsen vil ikke tape mer enn én million euro, men kan tåle to millioner og fortsatt drive selskapet. Alt over to millioner er uaktuelt.

– Da er det ikke en følelse lenger. Da er det reelle verdier. Plutselig har du en konkret idé om hva du skal se etter, sier han.

Tid er en viktig faktor. Hvis nettsiden er nede og det koster markedsføring for 10 000 euro om dagen, er spørsmålet hvor mange dager virksomheten tåler det.

For å beskrive hva som kan gå galt, bruker Mølgaard scenarioer med fem elementer: type trussel, hvem aktøren er, hva som skjer, hvilken ressurs som rammes, og tidsperspektivet. Verktøyet for å ta dette videre til ledelsen er en konsekvensanalyse for virksomheten, en såkalt business impact analysis.

– Å bygge slike scenarioer er en god måte å starte en samtale på ledernivå. Det er ofte lett å forstå, fordi du bygger en historie. Folk liker historier, sier han.

Et regnestykke ledelsen kan si ja til

Sikkerhetssjefen konkurrerer med resten av organisasjonen om budsjettet. Mølgaard har snakket med mange teknisk dyktige sikkerhetssjefer som vet nøyaktig hva som bør prioriteres, men som sliter med å få midler. Mange opplever også at de blir sett på som en hindring for dem som skal gjøre jobben.

– Det de egentlig prøver, er å holde arbeidet i gang, sier han.

Det som kan endre situasjonen, er å komme med et tall. Mølgaard viser til begrepet forventet årlig tap, på engelsk average loss expectancy. Han regner med et tenkt eksempel: Et løsepengevirusangrep stenger virksomheten i 22 dager, og økonomiavdelingen anslår kostnaden til 10 millioner euro. Skjer det én gang i løpet av ti år, tilsvarer det én million i året. Da kan sikkerhetssjefen spørre hvor mye ledelsen er villig til å bruke for å halvere sannsynligheten.

– Hvis du kan overbevise ledelsen og styret med den typen regnestykke, og de godtar det, kommer du i en helt annen situasjon. Da snakker du som en ekte strategisk forretningspartner, sier Mølgaard.

Samtidig blir beslutningen og ansvaret tydelig plassert hos toppledelsen. Mølgaard understreker at tallene må bygge på mer enn magefølelse.

– Mennesker er elendige til å anslå. Data er din venn. Du må bygge saken din på data, som med enhver sak, sier han.

Grunnlaget kan komme fra offentlige rapporter, sammenligninger med lignende virksomheter, egne systemer og eksperter. Første gang blir det et beste anslag, og det er bedre enn ingenting. Mølgaard regner med at sikkerhetssjefen vil få kritiske spørsmål, og mener det er bra. Det gjør analysen bedre neste gang.

Han har bakgrunn fra økonomi og underviser selv sikkerhetssjefer i risikostyring og grunnleggende økonomi, slik at de kan lese regnskap og kvartalsrapporter.

– Jeg har opplevd at de har problemer med å nå gjennom selv med de mest åpenbare sakene, sier Mølgaard.

Hør hele samtalen med Thomas Mølgaard i Digitaliseringspodden.

Intervjuet ble gjort på engelsk. Sitatene er oversatt.