Hvordan kan styret ivareta selskapets cybersikkerhet?

Cybersikkerhetsrelaterte hendelser, som datatyveri, avsløring av konfidensiell informasjon, phishing, tjenestenektangrep og malware-injeksjoner, er utbredte trusler som kan ha alvorlige konsekvenser for et selskap. Styremedlemmer har et klart ansvar for å sørge for at selskapets sensitive informasjon er forsikret, og at det er tilstrekkelige beskyttelsesmekanismer på plass. Valget av riktig cyberforsikringsselskap er et sentralt steg i å beskytte selskapet, men før de treffer en beslutning må de forsikre seg om at forsikringspolisen dekker de spesifikke behovene til deres virksomhet.

Den offentlige oppmerksomheten som følger med et cybersikkerhetsbrudd kan føre til alvorlig omdømmeskade. Reputasjonsmessige konsekvenser kan være langvarige og mer alvorlige enn de økonomiske tapene som følge av bruddet. Derfor må styret og ledelsen være forberedt på de negative konsekvensene et cybersikkerhetsbrudd kan medføre. Det er nødvendig at de har utarbeidet strategier for å håndtere risikoen for omdømmeskader, samt operative IT-strategier og nødvendige juridiske avtaler med tredjeparter og forretningspartnere for å sikre cybersikkerhet.

I tillegg har institusjonelle investorer økt sitt fokus på cybersikkerhetsstyring som følge av hyppigere cybersikkerhetshendelser. Risk management er nå en prioritet for disse investorene, og de har begynt å stille krav om større transparens fra styremedlemmene om hvordan de overvåker cyber-risiko. En undersøkelse utført av NACD (2017) viste at mer enn én av ti styreledere som møtte med institusjonelle investorer, tok seg tid til å diskutere hvordan de håndterte cybersikkerhetsrisiko. Etter hvert som investorene har blitt mer aktive i å overvåke styrets ansvar, kan deres innblanding resultere i aksjonærkampanjer og anbefalinger fra rådgivende selskaper som kan foreslå at aksjonærer stemmer mot et styre, dersom de mener at risikooversikten ikke er tilstrekkelig. Et kjent eksempel på dette er da Institutional Shareholder Services (ISS) i 2017 anbefalte aksjonærer å stemme mot 12 av 15 styremedlemmer i Wells Fargo, på grunn av styrets manglende håndtering av risiko knyttet til feilaktig salg av banktjenester.

I dette sammenheng er det viktig å forstå at cybersikkerhet ikke er en statisk oppgave. Styret må være i kontinuerlig dialog med ledelsen og sørge for at cybersikkerhet er integrert i selskapets overordnede strategi. Risikostyring på dette området skal ikke være en isolert aktivitet, men en integrert del av selskapets virksomhet på alle nivåer. Transparent kommunikasjon og konsekvent praksis er essensielt for å skape en kultur som ivaretar selskapets cybersikkerhet på en langsiktig og bærekraftig måte.

Hvordan overvåke effektiviteten av cybersikkerhet i organisasjoner

Cybersikkerhet er ikke lenger kun et teknologisk problem, men en kritisk strategisk risikofaktor for organisasjoner på tvers av sektorer og størrelser. Den raske utviklingen av trusselbildet, med stadig mer sofistikerte angrep og høyere risiko for datainnbrudd, krever en helt ny tilnærming til ledelse og risikohåndtering på høyeste nivå. Et effektivt overvåkningssystem for cybersikkerhet er derfor en nødvendighet, ikke bare for å beskytte organisasjonens informasjon, men også for å sikre dens langsiktige bærekraft og troverdighet.

I dagens sammenheng er det ikke tilstrekkelig at tekniske eksperter alene håndterer cybersikkerheten. Styret og toppledelsen må være fullt ut involvert, og forstå dybden av de potensielle risikoene. Et sterkt cybersikkerhetsrammeverk må etableres, og det krever et tett samarbeid mellom IT-avdelingen, ledelsen og styret. Dette forutsetter at ledelsen ikke bare følger med på sikkerhetshendelser, men aktivt overvåker risikoene knyttet til cybertrusler gjennom strukturerte og regelmessige prosesser.

Et sentralt aspekt ved effektivt overvåkning er etablering av målbare indikatorer for cybersikkerhetens effektivitet. Organisasjoner må implementere kontinuerlige overvåkingsteknikker som evaluerer både eksisterende sikkerhetstiltak og eventuell sårbarhet i deres infrastruktur. Dette kan inkludere regelmessige sikkerhetstester, vurdering av tredjeparts risikofaktorer og systematiske gjennomganger av tidligere angrep for å identifisere mønstre og mulige svakheter.

Ledelsen må forstå at cybersikkerhet ikke bare handler om å reagere på angrep, men også om å skape en proaktiv sikkerhetskultur der potensielle risikoer blir identifisert og mitigert før de utvikler seg til alvorlige problemer. Dette innebærer at det bør utføres regelmessige risikoanalyser, hvor både interne og eksterne trusler vurderes i en helhetlig kontekst. Videre er det nødvendig at risikostrukturen blir kontinuerlig oppdatert for å reflektere nye trender og trusler i cybersikkerhetens landskap.

Utover teknisk vurdering og overvåkning av systemene er det også essensielt å engasjere hele organisasjonen i risikoovervåkningen. Å implementere en robust risikokultur er avgjørende, hvor ansatte på alle nivåer forstår og er ansvarlige for cybersikkerhet. Opplæring av ansatte i å gjenkjenne potensielle trusler, som phishing-angrep eller malware, kan redusere sjansen for at slike angrep får alvorlige konsekvenser. I tillegg er det nødvendig å ha klare retningslinjer for hvordan trusselaktiviteter bør rapporteres og håndteres på tvers av organisasjonen.

Spesielt bør styret være forberedt på å stille de riktige spørsmålene til toppledelsen og IT-sikkerhetsansvarlige. Styremedlemmer må sørge for at ledelsen har implementert nødvendige tiltak for å adressere både interne og eksterne sikkerhetstrusler. Det innebærer også at styret tar ansvar for å sikre at organisasjonen har tilstrekkelige ressurser og kompetanse til å håndtere sikkerhetsutfordringene, samt at det er etablert klare retningslinjer for hvordan risikovurderinger og hendelsesrapporter håndteres på strategisk nivå.

Rett før et cyberangrep skjer, er det ofte signaler som kan varsle organisasjonen om at risikoen er høyere enn normalt. Det er derfor avgjørende å etablere systemer som ikke bare responderer på hendelser, men som også kan forutsi og motvirke potensiell skade. Teknologi som maskinlæring og avanserte dataanalyseverktøy kan være viktige i denne sammenhengen, da de gir mulighet for prediktiv analyse som kan identifisere unormale mønstre før de utvikler seg til angrep.

I tillegg til de tekniske aspektene ved overvåking, må organisasjonen også ta høyde for eksterne faktorer, som lovgivning og regulatoriske krav knyttet til cybersikkerhet. Etter hvert som lovgivning som GDPR og nasjonale sikkerhetsstandarder blir mer utbredt, er det viktig at ledelsen holder seg informert om endringer i lovverket og sikrer at organisasjonen er i samsvar. Regelmessige revisjoner og vurderinger av lovgivningens implikasjoner for organisasjonens cybersikkerhetsstrategi er derfor nødvendig for å unngå juridiske konsekvenser som kan følge etter et brudd på datasikkerheten.

Det er viktig å merke seg at ingen sikkerhetstiltak er 100 % garanti mot cyberangrep. Det handler om å redusere risikoen så mye som mulig og å være forberedt på å håndtere konsekvensene dersom et angrep likevel skulle inntreffe. Evnen til å håndtere og respondere på hendelser raskt kan være avgjørende for å minimere skader og gjenopprette normal drift.

I denne sammenhengen er det også nødvendig å vurdere hvordan man skal håndtere samarbeidet med tredjepartsleverandører, som ofte har tilgang til sensitive data og systemer. Tredjepartsrisikoen må håndteres på samme måte som interne risikoer, med klare avtaler, regelmessige vurderinger av sikkerheten til leverandører og prosedyrer for å håndtere eventuelle brudd.

Hvordan Styret Kan Håndtere Cybersikkerhet: En Kritisk Oversikt

En effektiv forebygging av cyberangrep krever at styrene forstår hvordan de skal håndtere cybersikkerhetsrisikoer. Metivier (2018) påpeker at et aktivt engasjement fra styret, og spesielt etableringen av et cybersikkerhetskomité, er avgjørende for å sikre at organisasjonen har tilstrekkelige tiltak på plass. Det er også viktig at styrets ansvar på dette området er godt koordinert og omfatter flere underkomiteer som kan overvåke forskjellige aspekter av cybersikkerheten. En mangel på tilstrekkelig tilsyn fra styremedlemmene kan resultere i myndighetens sanksjoner, som i tilfellet med Wells Fargo i 2018. Her ble det påstått at manglende risikostyring og dårlig tilsyn fra styret var årsaken til en alvorlig compliance-feil, og den føderale reservebanken påpekte at de interne retningslinjene for styrets ansvar ikke ble fulgt (Lipton et al., 2018).

Styrets rolle har utviklet seg i takt med den økende kompleksiteten i risikostyring. Ikke bare må styret overvåke tradisjonelle risikofaktorer som likviditet og kreditt, men også cybersikkerhet, som har blitt en av de mest presserende risikoene for moderne virksomheter. Den kontinuerlige utviklingen av cybertrusler, som kan ramme små, mellomstore og store bedrifter, betyr at styrer ikke kan lene seg tilbake og håpe at deres eksisterende sikkerhetstiltak er tilstrekkelige. De må være proaktive. Ifølge flere studier har det blitt påvist at det er et betydelig gap mellom styrets handlinger og selskapenes faktiske eksponering for cybersikkerhetsrisiko (Deloitte, 2016; Cheng & Groysberg, 2017; Metivier, 2018).

Styrets rolle i håndtering av cybersikkerhetsrisiko kan ikke undervurderes. Det er ikke nok å ha en passiv tilstedeværelse når det gjelder risikostyring. Styret må være aktivt engasjert i å utvikle en kultur for cybersikkerhet innen organisasjonen. Dette inkluderer å sikre at det finnes nødvendige ressurser for å håndtere truslene, samt å oppfordre til at de rette prosedyrene blir fulgt for å forhindre datainnbrudd og annen skadelig aktivitet.

Styrer bør stille konkrete forventninger til ledelsen når det gjelder hvordan de håndterer cybersikkerhetsrisiko, og forvente hyppige oppdateringer på hvordan cybersikkerhetstiltakene fungerer i praksis. Videre bør det sikres at de er forberedt på de juridiske konsekvensene av brudd på datasikkerheten, som kan inkludere bøter og juridiske søksmål, og at ledelsen er ansvarlig for å ivareta disse risikofaktorene.

Det er avgjørende at styrene i dag ikke bare fokuserer på de økonomiske aspektene av virksomheten, men også på hvordan de kan beskytte selskapets mest verdifulle eiendeler – informasjonen som de besitter om både kunder og virksomheten selv. Selv om mange selskaper har implementert cybersikkerhetsprotokoller, er det fortsatt et stort behov for styremedlemmer å ha en dypere forståelse av hvordan disse protokollene skal overvåkes, vurderes og oppdateres regelmessig for å møte stadig mer sofistikerte trusler. Dette er en kontinuerlig prosess som krever styrets fulle oppmerksomhet og engasjement.