Ny undersökning: Här är största hoten mot it-säkerheten

 72 procent av de tillfrågade företagen uppger att bristen på kompetens i den egna organisationen är det största hotet mot it-säkerheten.

 – Det visar att it-säkerhet inte bara handlar om investeringar i brandväggar, DDoS-skydd och så vidare. Det är inte där den stora skon klämmer. Det svåra är att få medarbetarna att jobba enligt de processer och strukturer man har, säger Henrik Hammarström.

 Det kan vara lättare sagt än gjort. Cyberhoten skiftar snabbt karaktär och som organisation behöver man vara snabbrörlig.

 – Det är väldigt svårt idag att ha all den kunskap som krävs för att jobba med det här. Det kan vara lättare om man har möjlighet att arbeta med en tjänsteleverantör för att säkerställa att man sätter standard i företaget, både kopplat till arbetssätt och teknik.

 Hur ska man som organisation annars tänka kring de här frågorna?

 – Jag tror mycket på att leda med exempel. Det är väldigt viktigt att it-ledningen och företagsledningen generellt pratar om vikten av de här frågorna. Men även att man säkerställer både kontinuerlig kommunikation och kontinuerlig utbildning kopplad till säkerhet.

 Hammarström kallar det att göra organisationen ”kulturellt säkerhetsmedveten”.

 – Jag tror mycket på olika typer av tester. Många företag som kommit långt med sitt säkerhetsarbete testar regelbundet om deras medarbetare klickar på misstänkta länkar eller phising-mejl.

– Sen tror jag mycket på utbildning. Det behöver inte alltid vara jätteomfattande utbildningar, snarare tvärtom. Ibland kan det vara bättre snarare att göra mindre utbildningar på specifika ämnen så att man håller det här arbetet kontinuerligt vid liv.

 Även den interna sårbarhetsanalysen är enligt Henrik Hammarström viktig för företag att hålla vid liv.

 – Börja med att identifiera er verkligt affärskritisk data och sen hur ni övervakar den. Därifrån gäller det sedan att identifiera sårbarheterna. Sen tror jag att man måste utgå ifrån att företaget kommer bli angripet på ett eller annat sätt.

 Hur gör man det?

 – Se till att alla på företaget vet hur man ska agera i en krissituation. Exempelvis hur krisledningen ska se ut, hur den ska arbeta, vilka roller och vilket ansvar man har i den här krisledningen.

– Om man har externa partners som ska hjälpa en vid ett dataläckage så behöver man ha klart för sig hur de ska agera redan innan angreppet sker. Det gäller oavsett om det handlar om en teknikleverantör eller en extern konsult. Då kan man sätta igång ett aktivt arbete direkt.

 Trots att cyberattacker bara blir vanligare och vanligare avstår många företag från att prata öppet att de utsatts. Henrik Hammarström tycker inte det är konstigt, men tror samtidigt att mer transparens hade varit positivt.

 – Om vi inte lär oss av varandra blir det svårt att ligga i framkant. Jag tror att svenska företag behöver prata mer med sina leverantörer och största kunder innan de utsätts för en säkerhetsincident. Om inte annat för att lära sig av varandra.

 I en tidigare undersökning som Globalconnect gjort framkom det att it-chefen ofta lyser med sin frånvaro i svenska ledningsgrupper. Det tror Globalconnects vd får stort på säkerhetsarbetet.

 – Jag tror inte att det handlar om svenska företag inte förstår att it är viktigt. Men jag tror inte att man har förstått den vikten av att ha en strategisk långsiktig plan för sin it-miljö och det påverkar så klart säkerhetsarbetet.

– Det är lätt att it blir en reaktiv funktion som bara svarar på verksamhetens krav. Det går att också använda it för att ge verksamheten mycket guidance i saker man kan göra för att förbättra sin kundupplevelse och förbättra affärens möjligheter att nå sina mål.