Hvordan kan styret og ledelsen beskytte virksomheten mot cybersikkerhetsrisikoer?

Cybersikkerhet er i dag mer enn et teknisk anliggende. Det er en forretningskritisk utfordring som krever oppmerksomhet og engasjement fra toppledelsen i enhver organisasjon. Den digitale utviklingen har ført med seg nye trusler og risikoer som kan resultere i store økonomiske tap, skade på omdømme, og juridiske konsekvenser for virksomheter. Styret og ledelsen er ansvarlige for å forstå og håndtere disse risikoene, et ansvar som nå ikke kan overlates til IT-avdelingen alene.

Cybersikkerhet må derfor forstås som et spørsmål om virksomhetens overordnede ledelse, ikke som et isolert IT-problem. I en verden der truslene utvikler seg raskt og blir mer sofistikerte, er det avgjørende at de som sitter i lederposisjon er rustet til å håndtere disse utfordringene på en effektiv måte. En av de viktigste oppgavene for styret og ledelsen er å etablere en kultur der cybersikkerhet ikke bare er en teknisk oppgave, men et felles ansvar i hele organisasjonen. Alle ansatte må være engasjerte i å bidra til risikohåndtering, og deres bevissthet om cybersikkerhet må være høy.

Selv om teknologiske løsninger og verktøy er essensielle, kan ikke disse alene beskytte virksomheten. Det er like viktig å etablere klare retningslinjer og prosedyrer som omfatter hele organisasjonen. Dette innebærer blant annet at styret må ha en aktiv rolle i å overvåke og evaluere cybersikkerhetsstrategiene som er på plass. Styret bør jevnlig spørre seg selv: Er vi tilstrekkelig forberedt på å håndtere en cyberhendelse? Har vi de nødvendige ressursene for å forhindre eller minimere skaden ved et angrep? Er vi i tråd med gjeldende lover og regler på området?

En annen viktig faktor er at regelverket for cybersikkerhet er i stadig utvikling. Virksomheter må være forberedt på å tilpasse seg nye krav som kan komme på nasjonalt eller internasjonalt nivå. For eksempel har lovgivning som Dodd-Frank Act, Securities and Exchange Commission (SEC)-krav, og Foreign Corrupt Practices Act (FCPA) satt klare rammer for hvordan virksomheter skal forholde seg til risikoer knyttet til cybersikkerhet. Dette understreker nødvendigheten av å ha en proaktiv tilnærming til risikostyring, der styret og ledelsen kontinuerlig vurderer hva som kan gjøres for å styrke organisasjonens cybersikkerhetsstrategi.

Cybersikkerhet er ikke bare et spørsmål om teknologi eller politikk. Det er en integrert del av virksomhetens kultur og strategi. Hvordan ledelsen håndterer cybersikkerhet kan ha direkte innvirkning på organisasjonens omdømme og langsiktige suksess. En sterk kultur for cybersikkerhet må etableres på tvers av hele virksomheten, der alle nivåer av ansatte er bevisste på risikoene og konsekvensene av potensielle angrep. Dette kan oppnås ved å ha klare retningslinjer for opplæring og kommunikasjon på alle nivåer.

Videre er det viktig å forstå at investorer i økende grad legger vekt på hvordan virksomheter håndterer cyberrisiko. En sterk fokus på cybersikkerhet kan faktisk styrke en virksomhets konkurranseevne, ettersom det gir investorer og andre interessenter tillit til at selskapet er godt forberedt på å håndtere digitale trusler. En god cybersikkerhetskultur gir et signal om at virksomheten tar sine risikoer på alvor, og er villig til å investere i nødvendige tiltak for å beskytte både interne og eksterne aktiva.

En annen dimensjon som er avgjørende, er å forstå de ulike lagene i cybersikkerhet. Det handler ikke bare om å beskytte systemene og infrastrukturen, men også om å forstå hvilke verdier som er i spill, og hvilke mulige trusler virksomheten kan møte. Det er viktig å ha en helhetlig tilnærming som involverer både tekniske, organisatoriske og menneskelige faktorer. Dette innebærer blant annet at man bør kartlegge virksomhetens verdier og vurdere hvilke potensielle cybertrusler som kan påvirke disse.

I tillegg til det tekniske aspektet ved cybersikkerhet, er det også nødvendig å ha en juridisk og regulatorisk forståelse. Styret og ledelsen bør være kjent med de juridiske forpliktelsene som gjelder, samt hvordan de kan implementere effektive rammeverk for cybersikkerhet i tråd med lovgivningens krav. Å etablere en god cybersikkerhetsstyring krever en systematisk tilnærming, som kan omfatte flere trinn: fra å identifisere interessentenes behov, til å definere strukturen for cybersikkerhet og optimere ressursene for å håndtere risikoene.

Hvordan forstå lovgivningen som påvirker risikostyring og cybersikkerhet i finanssektoren?

I dagens raskt utviklende finansielle landskap er det essensielt for ledere på høyt nivå å ha inngående kunnskap om lovgivningen og forskriftene som styrer risikostyring. Ledere som ønsker å forstå hvordan risikoer kan håndteres effektivt og lovlig, må kjenne til sentrale reguleringer som Dodd-Frank Act, Foreign Corrupt Practices Act (FCPA) og retningslinjer fra Securities and Exchange Commission (SEC). Disse lovene spiller en avgjørende rolle i etableringen av ansvarlighet og utviklingen av robuste rammeverk for risikostyring. Når reguleringskravene øker, blir det viktigere enn noen gang å forstå de juridiske rammene som ikke bare er nødvendige for etterlevelse, men også for effektiv styring og strategiske beslutninger.

Dodd-Frank Act og risikostyring

Dodd-Frank Act ble innført for å etablere nye risikostyringsprotokoller som finansinstitusjoner er pålagt å følge. Loven krever at bankholdingselskaper og ikke-bankfinansielle institusjoner med en balanse på minst 10 milliarder dollar oppretter et uavhengig risikokomité. Denne komiteen må inkludere risikostyringseksperter med omfattende erfaring i ledelsen av risikoer i store organisasjoner. Dette pålegget har som mål å styrke risikostyringen i finanssektoren, spesielt i lys av økonomiske kriser som har vist hvor utsatt systemet kan være for usikkerheter.

Securities and Exchange Commission (SEC) og åpenhet om risiko

SEC har pålagt organisasjoner å avsløre hvilke faktorer som gjør investeringer i verdipapirer risikable. Dette inkluderer krav om å gi en konsis redegjørelse for risikoen i årlige rapporter, som er ment å gi investorene et klart bilde av de potensielle utfordringene som kan påvirke selskapets økonomiske situasjon. Økt bekymring har imidlertid oppstått i forbindelse med SECs krav om åpenhet, da noen selskaper føler at de blir presset til å overdrive og bruke standardiserte risikofaktorer i rapportene, noe som reduserer nytteverdien av informasjonen.

I 2016 ble det fremmet forslag om å modernisere og forenkle kravene til økonomiske og forretningsmessige avsløringer. SEC har påpekt at noen av de eksisterende risikofaktorene som ble brukt som eksempler i lovgivningen kan føre til at selskaper føler et ansvar for å håndtere risikofaktorene på en unødvendig måte, selv om de kanskje ikke er relevante for deres spesifikke situasjon. Dette kan igjen føre til at risikofaktorene fremstår som generiske og lite nyttige for investorer.

Foreign Corrupt Practices Act (FCPA) og korrupsjonsforebygging

FCPA ble introdusert som en del av et større arbeid med å bekjempe korrupsjon i internasjonale forretningspraksiser. I 2017 ble det vedtatt en forbedret håndhevelsespolitikk som gir selskaper muligheten til å få redusert straff dersom de frivillig rapporterer korrupsjonsrelaterte hendelser. Dette systemet har ført til økt åpenhet, der flere organisasjoner frivillig har avslørt brudd på FCPA-reglene i bytte mot straffereduksjon. Selv om dette kan ses som et positivt tiltak for å øke åpenheten, er det også viktig å merke seg at hvis visse alvorlige omstendigheter foreligger, som gjentatte lovbrudd eller involvering av høyere ledelse, kan selskaper fortsatt bli straffet.

Cybersikkerhet og regulatoriske krav

Cybersikkerhet er blitt en kritisk del av risikostyring i dagens digitale tidsalder. I 2018 implementerte EU den generelle databeskyttelsesforordningen (GDPR), som skapte strengere krav for beskyttelse av persondata. For finansinstitusjoner og andre organisasjoner i Europa har dette satt en ny standard for hvordan informasjon om kunder og ansatte skal håndteres, og hvordan risikoer knyttet til datainnbrudd og lekkasjer må håndteres. GDPR har også økt kravene til rapportering og gjennomsiktighet rundt sikkerhetsbrudd, og brudd på disse reglene kan føre til betydelige bøter.

I tillegg har andre nasjoner, som USA, utviklet egne cybersikkerhetslover som påvirker hvordan selskaper opererer på internasjonalt nivå. Dette inkluderer blant annet krav om at organisasjoner etablerer sikkerhetskomiteer som overvåker interne systemer for å beskytte mot cyberangrep. Etter hvert som teknologien utvikler seg, er det klart at regelverkene rundt cybersikkerhet vil fortsette å utvikle seg, og det er viktig for selskaper å holde seg oppdaterte på de nyeste kravene for å unngå bøter og skader på omdømmet.

Viktige innsikter for ledere og beslutningstakere

For ledere i finanssektoren er det avgjørende å ha en helhetlig forståelse av hvordan risikostyring er regulert, både innenlands og på tvers av landegrenser. Dette innebærer ikke bare å være kjent med lovgivningen, men også å ha systemer og prosesser på plass for å håndtere risiko på en proaktiv måte. Økt oppmerksomhet på compliance, samt strategisk risikostyring, er ikke bare et juridisk krav, men også en nøkkel til å opprettholde konkurranseevne og stabilitet i virksomheten.

I tillegg til de juridiske rammene må selskaper også ta hensyn til de praktiske aspektene ved implementeringen av disse reglene. Hvordan kan man sikre at styret virkelig er i stand til å forstå og håndtere risiko? Hvordan kan man balansere behovet for å være åpen om risiko med hensynet til bedriftshemmeligheter og konkurransekraft? Svaret på disse spørsmålene er ikke alltid enkelt, men et sterkt fokus på åpenhet, ansvarlighet og forsvarlige risikohåndteringsprotokoller vil være avgjørende for å lykkes.

Hvordan styret kan forbedre risikostyringen i organisasjonen

Risikostyring er en av de viktigste oppgavene for styret i en organisasjon, spesielt i lys av de stadig mer komplekse økonomiske landskapene og de økende kravene fra regulatoriske myndigheter. Effektiv risikostyring krever ikke bare grundig forståelse av risikoene som kan påvirke organisasjonen, men også en strukturert tilnærming til hvordan disse risikoene skal håndteres. For å sikre at styret kan utføre sin tilsynsfunksjon på en ansvarlig måte, er det avgjørende å implementere robuste rammeverk og prosedyrer som gir presis informasjon om risikoene som organisasjonen står overfor.

En viktig del av risikostyringen er styrets ansvar for å overvåke og evaluere den økonomiske risikoen organisasjonen er utsatt for. Dette kan innebære alt fra finansielle skandaler og valutaskandaler til større hendelser som anti-hvitvaskingsavgjørelser og skatteunndragelse. Regulatoriske rammeverk, som for eksempel Dodd-Frank-loven i USA eller Sarbanes-Oxley-loven, har blitt introdusert som et resultat av politiske initiativ og har endret hvordan organisasjoner forholder seg til risikostyring. Myndigheter krever nå at styret har et tett samarbeid med ledelsen for å sikre at risikoen blir overvåket kontinuerlig og på en effektiv måte (Gupta & Leech, 2015).

Styret må sikre at risikoappetitt og risikotoleranse vurderes regelmessig og tilpasses organisasjonens strategi og mål. Ledelsen, i samarbeid med styret, bør være ansvarlig for å utvikle en klar risikoramme som kan hjelpe til med å identifisere og håndtere potensielle trusler på en effektiv måte. Dette kan omfatte å utarbeide rapporter om den gjenværende risikostatusen til organisasjonen, vurdere sannsynligheten for risikoer og deres potensielle innvirkning, samt definere tiltak for risikoredusering.

En annen viktig faktor i god risikostyring er kommunikasjonen mellom styret og ledelsen. Styret må etablere klare retningslinjer for hvordan risiko-relaterte spørsmål skal rapporteres, og hvordan informasjonen skal formidles mellom ledelsen, styret og de uavhengige komiteene. Det er essensielt at styret får tilgang til nøyaktige og tilstrekkelige data for å kunne treffe informerte beslutninger. Ledelsen må også sørge for at risikostyringssystemene er tilpasset organisasjonens spesifikke behov og risikoprofil.

For å sikre at risikostyringsprosessene er effektive, bør styret vurdere følgende nøkkelområder:

1. Identifikasjon av risikoer: Styret må forsikre seg om at de rette mekanismene er på plass for å identifisere og evaluere risikoene organisasjonen står overfor, både på kort og lang sikt.

2. Samordning med strategiske mål: Risikostyringsstrategiene må være i tråd med organisasjonens overordnede forretningsstrategier og mål. Styret bør vurdere hvordan risiko kan påvirke organisasjonens evne til å nå sine mål og justere strategiene deretter.

3. Integrering i beslutningsprosesser: Risikostyring bør ikke være en isolert funksjon, men integreres i beslutningsprosesser på alle nivåer i organisasjonen. Styret må sørge for at risikovurdering er en del av den daglige virksomheten og beslutningstakingen.

4. Ansvar og ansvarlighet: Styret må sørge for at alle involverte parter – inkludert ledelsen og uavhengige komiteer – forstår sine roller og ansvar i risikostyringsprosessen. Regelmessig gjennomgang av disse rollene og ansvarene er avgjørende for å sikre en helhetlig tilnærming til risikohåndtering.

5. Overholdelse av regulatoriske krav: Det er avgjørende at styret sikrer at organisasjonen overholder alle relevante lover og forskrifter. Dette kan innebære samarbeid med myndigheter for å forstå og implementere nye reguleringer som kan påvirke organisasjonens risikoprofil.

6. Kultur for risikostyring: Styret må også være oppmerksom på hvordan risikostyring er en del av organisasjonens kultur. Risikohåndtering bør ikke være en tidvis aktivitet, men en integrert del av organisasjonens daglige operasjoner. Styret har et ansvar for å etablere en kultur som fremmer åpenhet, ansvarlighet og proaktiv risikostyring.

Det er viktig at styret er i stand til å gjennomføre disse prosessene effektivt for å minimere risikoene som kan føre til betydelige økonomiske eller omdømmemessige skader. Dette innebærer også at styret bør ha de nødvendige verktøyene og ressursene for å kunne håndtere uforutsette hendelser og endringer i risikobildet. Risikostyring er en kontinuerlig prosess som krever konstant overvåking og tilpasning etter hvert som organisasjonen utvikler seg og nye risikoer oppstår.

Hvordan Ledelsen Kan Håndtere Risiko og Cybersikkerhet i en Digital Tidsalder

Risikoer kan være iboende i de strategiske planene for et selskap eller kan oppstå fra det konkurransedyktige landskapet organisasjonen opererer i. Teknologiske fremskritt og andre utviklinger kan også medføre risikoer for langsiktig verdiskaping, samt for organisasjonens lønnsomhet og bærekraft. Dette fenomenet forklarer hvorfor det er avgjørende å forutse potensielle risikoer, da dette kan bidra til å forhindre eller dempe dem før de utvikler seg til store kriser i organisasjonen. Derfor må styret be seniorledelsen og ansvarlige for risiko om å diskutere og utarbeide en detaljert rapport om mulige kilder til fremtidige risikoer som kan materialisere seg i ulike deler av organisasjonen. Disse interessentene må også foreslå effektive løsninger for å håndtere potensielle sårbarheter som er avgjørende for selskapets suksess.

Organisasjoner må utvikle og implementere en robust cybersikkerhetsstrategi for å kunne utnytte de ulike fordelene ved digitalisering og sikre cybersikkerhet i en stadig mer digitalisert verden. Dette bør være den øverste prioriteten for styret og toppledelsen i et selskap. Det er derfor avgjørende at styret sørger for at det er utviklet en organisasjonskultur som er sentrert rundt å sikre selskapets cybersikkerhet. Selskaper må raskt utvikle de nødvendige kompetansene for å kunne blomstre i en tid hvor digital avhengighet er normen.

Videre bør styret implementere ledelse og styring som maksimere fordelene ved digitale teknologier samtidig som cybersikkerheten ivaretas. Det er også viktig at toppledelsen velger relevante mål for å vurdere effektiviteten til cybersikkerhetstiltakene i forhold til selskapets overordnede strategi og målsettinger. Ressurser som kreves for å gjennomføre cybersikkerhetsaktiviteter, bør også allokeres riktig for å sikre at nødvendige sikkerhetstiltak iverksettes raskt og effektivt.

Styret bør også stille spesifikke spørsmål til ledelsen om cybersikkerhetens motstandsdyktighet. Responsen på disse spørsmålene vil være avgjørende for å fremme bærekraftig forbedring i ledelse, organisasjonskultur, ressursallokering og vurdering av cybersikkerhetens effektivitet i selskapet. For eksempel er det mange organisasjoner hvor den ansvarlige for informasjonssikkerhet ikke rapporterer direkte til styret, men til informasjonssjefen, som deretter videreformidler informasjonen. Denne praksisen kan hindre effektiv kommunikasjon og forsinke nødvendige tiltak for å øke cybersikkerhetens motstandskraft. Det er derfor avgjørende at informasjonssikkerhetssjefen rapporterer direkte til styret, og at det etableres en struktur som fremmer direkte kommunikasjon med andre ledende roller som risikosjefen (CRO), driftsdirektøren (COO) og administrerende direktør (CEO).

En av de viktigste faktorene for et selskaps cybersikkerhet er bevissthet om de teknologiske trendene som kan påvirke fremtidig databeskyttelse og informasjonssikkerhet. Den økte bruken av digitale løsninger medfører risikoen for mer sofistikerte angrep som for eksempel ransomware. Ransomware-angrep kan påføre organisasjoner enorme økonomiske tap, både gjennom direkte kostnader forbundet med angrepet og de langsiktige konsekvensene av datainnbrudd og tap av kundetillit. Ledelsen må forstå trusselen disse angrepene utgjør, og utvikle tiltak som kan hindre slike hendelser, for eksempel gjennom mer sofistikerte phishing-preventive tiltak og andre proaktive sikkerhetstiltak.

Selskapet bør også forberede seg på fremtidige trusler som kan oppstå som følge av den økte avhengigheten av digitale løsninger. Dette kan inkludere alt fra økte angrep på sensitive data til mer avanserte former for cyberkriminalitet som utnytter nye teknologier som kunstig intelligens og maskinlæring. Det er viktig at både ledelsen og de ansvarlige for cybersikkerhet har et klart bilde av hva slags trusler de kan møte og hvordan disse kan håndteres på en effektiv måte.

Hvordan sikre en organisasjon mot cybertrusler: Nøkkelmetrikker for C-suite-ledelsen

Å håndtere cybersikkerhet på organisasjonsnivå krever en dyp forståelse av ikke bare teknologiske trusler, men også av hvordan disse truslene kan påvirke virksomhetens drift. For at toppledelsen, som CIO, CISO og CEO, skal kunne navigere effektivt gjennom dette landskapet, er det viktig å etablere et sett av målbare indikatorer som kan hjelpe med å vurdere og kontrollere sikkerhetsstatusen til organisasjonen. En av de mest effektive måtene å gjøre dette på er gjennom spesifikke cybersikkerhetsmålinger og nøkkelindikatorer som gir et klart bilde av risikoene og de nødvendige tiltakene.

En av de viktigste metrikene er antallet forsøk på inntrengning i organisasjonens nettverk eller systemer. Det er avgjørende for C-suite å kontinuerlig overvåke hvor mange ganger angripere har fått uautorisert tilgang til interne systemer. For å få en god oversikt kan brannmurlogger og andre verktøy brukes til å samle bevis på slike hendelser. Dette gir et viktig grunnlag for å vurdere sikkerhetstilstanden.

En relatert måling er antallet faktisk gjennomførte cyberangrep, hvor en angriper har kompromittert organisasjonens systemer eller informasjon. Det er ikke bare antallet angrep som er viktig, men også hvor raskt disse kan identifiseres og håndteres. Tid er avgjørende i dette scenariet, og dermed må C-suite også følge med på hvor lang tid det tar før et cyberangrep oppdages (mean time to detect). Denne målingen er en god indikator på hvor effektivt sikkerhetsteamet reagerer på trusler.

Et annet kritisk aspekt er responsen på disse angrepene, som kan måles gjennom «mean time to resolve», altså den gjennomsnittlige tiden det tar å løse et sikkerhetsproblem etter at det er oppdaget. Effektiviteten i håndteringen av hendelser gjenspeiler kvaliteten på organisasjonens beredskapsplaner og prosesser. I tillegg er det viktig å vurdere hvor raskt sikkerhetsteamet klarer å inneslutte en trussel («mean time to contain»), det vil si hvor lang tid det tar å identifisere og begrense angrepet på tvers av ulike systemer og enheter.

En annen nøkkelmetrik er vurderingene av cybersikkerhet fra førstehåndsleverandører, eller såkalte «first-party cybersecurity ratings». Disse vurderingene gir en oversikt over organisasjonens cybersikkerhetsstatus på en måte som er forståelig for både tekniske og ikke-tekniske ansatte. Gjennom slike vurderinger kan C-suite rapportere på sikkerhetsstatusen i en form som er lett å kommunisere både internt og eksternt, til styret eller aksjonærer.

I tillegg til interne trusler og hendelser, bør C-suite også overvåke risikoer som kommer fra eksterne leverandører. Dette innebærer blant annet å vurdere tredjepartsleverandørers cybersikkerhetsvurderinger og hvordan de håndterer sårbarheter. Risikoen for at et eksternt selskap kan være en inngang for cyberangrep gjør det nødvendig å kontrollere hvor raskt tredjepartsleverandører reagerer på sikkerhetshendelser.

Sikkerhetsmålingene bør tilpasses etter organisasjonens størrelse, industritype, og eksisterende regulatoriske rammeverk. Det er også viktig å forstå at cybersikkerhet ikke er en statisk oppgave. Risikoen utvikler seg kontinuerlig, og det gjør også behovet for å tilpasse sikkerhetsstrategiene. De metrikene som brukes for å måle cybersikkerhetens suksess, må derfor være dynamiske og tilpasses de endringene som skjer både i trussellandskapet og i organisasjonens struktur og behov.

Når det gjelder valget av de riktige cybersikkerhetsmetrikene, bør C-suite sørge for at både teknisk og ikke-teknisk personell kan forstå dem. Dette krever at ledelsen utvikler klare rapporteringsmetoder som gjør at sikkerhetsstatusen er lett forståelig for alle interessenter, fra tekniske eksperter til styremedlemmer uten spesialisert IT-kompetanse. Å velge de riktige metrikene og nøkkelindikatorene er derfor en balansegang mellom teknisk dybde og forståelighet for beslutningstakere på alle nivåer.