Hur kan styrelsen effektivt hantera cyberrisker i en komplex digital miljö?

I takt med att cyberincidenter blir allt vanligare – från datastölder, otillåten exponering av konfidentiell information, phishing och överbelastningsattacker till insättning av skadlig kod – intensifieras kraven på styrelsen att agera proaktivt. Det räcker inte längre med tekniska åtgärder inom IT-avdelningen. Skyddet av företagets information måste garanteras på högsta nivå, vilket innebär att styrelsen bär det yttersta ansvaret för övergripande cybersäkerhet.

Innan ett företag väljer ett cyberförsäkringsbolag måste styrelsen noggrant utvärdera om den policy som erbjuds faktiskt motsvarar företagets unika behov. Många försäkringsgivare genomför omfattande intervjuer om företagets cybersäkerhetsramverk, vilket ger styrelse och ledning en värdefull spegling av både styrkor och svagheter i deras skyddssystem. Vissa försäkringsgivare samarbetar även med advokatbyråer, PR-firmor och teknikföretag för att tillhandahålla förebyggande lösningar som stärker cybersäkerheten i praktiken – inte bara på pappret.

Att mäta påverkan av en cyberincident är i sig en komplicerad process. Många faktorer samverkar till att en attack blir verklighet. Samtidigt kan offentligheten kring en dataläcka förvärra situationen. Ryktesskador tenderar att bli oproportionerligt stora och ofta långtgående. Därför måste styrelsen och högsta ledningen vara förberedda på både tekniska och strategiska konsekvenser av ett intrång. Det räcker inte att veta vad som hände – man måste också ha en plan för hur skadan ska hanteras kommunikativt, legalt och operativt.

Institutionella investerare har ökat sin vaksamhet kring cyberriskhantering. De betraktar idag detta område som centralt för god bolagsstyrning. Transparens kring styrelsens agerande i dessa frågor är inte längre en valmöjlighet – det är ett krav. Enligt en undersökning från NACD diskuterade över tio procent av styrelserna cyberrisker under möten med investerare. Vanguard, en av världens största kapitalförvaltare, betonar att riskövervakning är ett av de fundament som styr deras bedömning av bolagsstyrning.

Därför har investerare också börjat agera mer direkt. Genom fullmaktsrådgivare kan de driva kampanjer, föreslå röstning mot styrelseledamöter och till och med avråda från återval. Exemplet Wells Fargo 2017 visar detta tydligt: institutionella rådgivare rekommenderade att tolv av femton styrelseledamöter inte skulle återväljas på grund av bristande övervakning av riskhantering. Det faktum att detta skedde i ett bolag utan extern konkurrens understryker allvaret. Liknande åtgärder har vidtagits i andra fall där brister i riskstyrning lett till sanktionsavgifter, mutskandaler eller rättsprocesser.

I detta sammanhang blir företagets kultur en avgörande faktor. Styrelsen måste aktivt samverka med företagsledningen för att bygga en kultur där riskmedvetenhet genomsyrar hela organisationen. Det handlar inte om punktinsatser – det handlar om att integrera riskbedömningar i alla beslutsprocesser. Cybersäkerhet kan inte isoleras till IT-avdelningen, utan måste vara en del av den strategiska kärnan i verksamheten.

Företagets strategi för cyberrisker måste vara integrerad i affärsmodellen. Policys får inte vara dokument för formens skull, utan måste återspeglas i dagligt arbete. Ledningen måste dessutom visa att etis

Hur bör företag organisera sina riskhanteringskommittéer för effektiv styrning?

För att säkerställa en effektiv riskhantering måste ett företag etablera en dedikerad kommitté som fokuserar på att hantera olika risker. De kriterier som krävs för att välja medlemmar till denna kommitté varierar beroende på bransch, företagsstrategi, affärsmål och företagsstorlek, bland annat. Styrelsen måste förstå att effektiv riskhantering inte enbart beror på styrelsens kompetens, utan på expertisen inom de olika riskhanteringskommittéerna. Detta innebär att skapa flera olika kommittéer kan vara mer fördelaktigt än att ha en enda, centraliserad riskkommitté.

I en studie av S&P 500-företag genomförd av Ernst & Young Center for Board Matters (2017), visades det att andelen företag med åtminstone en separat riskkommitté ökade från 61 % år 2011 till 75 % år 2017. Dessa företag hade minst en specialiserad riskkommitté, utöver obligatoriska kommittéer som till exempel kompensations- och revisionskommittéer. Dock är implementeringen av separata riskhanteringskommittéer inte lika utbredd inom företag utanför den finansiella sektorn. Trots de uppenbara fördelarna med att ha separata riskkommittéer kan det uppstå problem när det gäller att tydligt definiera ansvarsområdena för dessa kommittéer. Därför måste den övergripande riskhanteringssystemet för hela organisationen noggrant koordineras och anpassas till de olika riskkommittéernas arbete.

En viktig aspekt av riskhantering är kommunikationen mellan styrelsen, ledningen och seniora riskansvariga. Flödet av information mellan dessa aktörer är avgörande för att riskhanteringssystemet ska fungera effektivt. Styrelsen måste vara proaktiv och säkerställa att den får tillgång till korrekt och aktuell information om olika risker. Denna information ligger till grund för beslut och åtgärdsplaner som kan mildra potentiella hot mot organisationen. Regelbundna möten med de ansvariga för riskhantering gör det möjligt för styrelsen att hålla sig uppdaterad och säkerställa att inga viktiga risker förbises.

Samtidigt ska senior ledning och riskansvariga ha friheten att informera styrelsen eller riskkommittén om akuta risker, även om dessa inte ligger inom de vanliga rapporteringsintervallen. Detta säkerställer att snabbt kunna hantera eventuella "röda flaggor" eller andra allvarliga risker som kan hota organisationen på kort sikt. Styrelsen bör också uppmuntra en kultur där ledningen fritt kan rapportera potentiella problem, vilket möjliggör snabbare åtgärder.

En annan viktig aspekt av riskhantering är att styrelsen regelbundet granskar och utvärderar företagets efterlevnadsprogram. Det är avgörande att dessa program är utformade för att hantera organisationens specifika riskprofil och förhindra att risker eskalerar. Styrelsen måste också få försäkringar om att dessa program är skräddarsydda och upprätthåller en stark etisk kultur, där all personal följer interna policyer samt lagstadgade och regulatoriska krav. En god kultur kring efterlevnad är en grundläggande faktor för att företag ska kunna stå emot externa och interna påtryckningar och motverka etiska överträdelser.

Vid granskningen av efterlevnadsprogram är det viktigt att företaget också tar hänsyn till rättsliga riktlinjer och regelverk, som de som fastställs av Department of Justice under de federala riktlinjerna för straff. En noggrant genomförd efterlevnadsprogram kan bidra till att förebygga etiska överträdelser och skapa ett system för att snabbt åtgärda sådana problem om de skulle uppstå.

Hur kan företagsledningens beredskap stärkas mot cyberhot?

I dagens digitala värld är det företagsledningens och anställdas ansvar att övervaka hur information flödar genom företagets nätverk och system. För att effektivt skydda mot cyberrisker och förhindra läckage av känslig data till cyberbrottslingar krävs en medvetenhet och kunskap om dessa hot på alla nivåer i organisationen. Särskilt viktigt är att företagsledningen, från högsta ledning till anställda, är tillräckligt förberedda på att hantera konsekvenserna av en cyberattack. En viktig del i detta arbete är att säkerställa att organisationen har utvecklat och implementerat effektiva planer för att förhindra och hantera cyberincidenter.

För att stärka beredskapen inom ledningsgruppen rekommenderas det att utveckla en plan för att förhindra och svara på cyberincidenter. Denna plan bör omfatta dedikerade resurser för att upptäcka, analysera och hantera cyberhändelser, samt åtgärder för att förhindra ytterligare skador efter en attack. En sådan plan är en nödvändighet för att hantera de risker som digitaliseringen medför. Det är även viktigt att se till att det finns adekvat personal som kan hantera incidenterna och att nödvändiga resurser är allokerade för att säkerställa att alla åtgärder är väl utformade och genomförbara.

Det mänskliga faktorn spelar en central roll i att förstärka organisationens informationssäkerhet. Enligt Bianculli (2021) är privilegiummissbruk en av de största orsakerna till cybersäkerhetsintrång och dataexponering från illvilliga insiders. De som befinner sig på högre positioner inom ett företag, såsom ledningsgruppen, löper en lägre risk att bli illvilliga insiders, men lågt positionerade anställda kan utgöra en betydande säkerhetsrisk. Därför är det avgörande att ledningen noggrant övervakar och kontrollerar åtkomstnivåer för alla anställda och att en strikt policy för informationssäkerhet implementeras.

En annan aspekt av cybersäkerhetsrisker är införandet av policyn "bring your own device" (BYOD), som innebär att anställda får använda sina privata enheter för att arbeta. Trots de fördelar denna policy erbjuder, såsom ökad flexibilitet och förbättrade arbetsförhållanden, medför den även ökade risker. Enligt Bianculli (2021) har ett stort antal företag som antagit BYOD-policyer drabbats av säkerhetsintrång genom mobiltelefoner, Wi-Fi och skadlig programvara. Detta innebär att företaget måste vara berett att hantera dessa risker, bland annat genom att stärka sina IT-resurser och arbetsbelastning på hjälpdesk. Även om många företag har vidtagit åtgärder för att hantera dessa risker, visar forskning att endast 30% har ökat sina cybersäkerhetsbudgetar för att möta dessa hot. Det är därför viktigt att ledningen ökar medvetenheten hos styrelsen och anställda om de risker som BYOD-policyer kan innebära för företaget.

För företag med begränsade resurser, både ekonomiskt och kompetensmässigt, utgör en brist på medel och talanger ytterligare en risk. Organisationer med tighta budgetar har ofta svårigheter att tilldela de medel som krävs för att stärka sina säkerhetsåtgärder och skydda sig mot cyberattacker. Detta innebär att företag måste sätta realistiska förväntningar på de säkerhetsmål som kan uppnås och säkerställa att resurser allokeras på ett sätt som verkligen kan göra skillnad. En strategisk prioritering bör vara att implementera effektiva säkerhetsåtgärder med tanke på tillgängliga resurser.

Utbildning är en annan grundläggande aspekt som inte får underskattas. Genom att höja medvetenheten om cybersäkerhet bland anställda och ge regelbundna utbildningar kan ett företag avsevärt minska risken för cyberattacker. C-suite, inklusive informationsansvarig och säkerhetschef, bör regelbundet undersöka vilka filtyper som är vanligast vid cyberattacker, för att kunna anpassa säkerhetsutbildningar och åtgärder efter aktuella hotbilder.

En annan viktig aspekt är utvecklingen av en formell cyberincidentresponsplan. Många företag är inte tillräckligt förberedda på att hantera konsekvenserna av cyberattacker, vilket gör att skadorna kan bli långt större än nödvändigt. Enligt NTT Group (2016) har 77% av företagen inte någon formell plan för att hantera cyberincidenter, vilket gör dem sårbara för allvarliga konsekvenser. Företagsledningen bör därför säkerställa att en sådan plan finns på plats, och att den omfattar både förebyggande åtgärder och strategier för att hantera de negativa effekterna av en cyberattack.

Det är av största vikt att ledningen inte bara vidtar åtgärder för att förebygga cyberattacker, utan också för att snabbt kunna hantera de effekter som kan uppstå om en attack sker. Den långsiktiga resan mot att skydda organisationen kräver kontinuerlig uppdatering av policyer, utbildningar och beredskapsplaner.

Hur kan ledningen säkerställa en effektiv hantering av insider-attacker och dataöverträdelser?

Att hantera och återställa digitala bevis vid en insider-attack är en komplex uppgift som kräver noggrant dokumenterade åtgärder från ledningens sida. För att effektivt genomföra en utredning och säkerställa en framgångsrik åtalsprocess mot den som orsakat överträdelsen, är det avgörande att ledningsgruppen, särskilt C-suite, söker hjälp från företag med lång erfarenhet inom digital forensik och dokumentation. Genom att anlita experter kan företaget få detaljerad information från sofistikerad diskförensik och logganalys, vilket är nödvändigt för att genomföra effektiv åtgärd inom organisationen.

Vidare kan en snabb analys av nätverkstrafik och webbsökningar ge värdefull information om antalet anställda som är inblandade i stölden av företagsinformation. C-suite kan också granska andra indikatorer, såsom webbtjänster och trafikanalys för en specifik konkurrents webbplats, vilket kan ge ledtrådar om motivet bakom stölden av immateriella rättigheter. Genom att sätta ihop denna information kan ledningen skapa en tydlig bild av den misstänkta förövarens handlingar och deras koppling till företagsöverträdelser.

Det är också av största vikt att förstå incidenten i sitt fulla sammanhang. I många fall fokuserar säkerhetspersonal och IT-avdelningar på att söka igenom loggfiler och genomföra diskförensik i detalj efter att en insider-attack har inträffat. Denna process kan dock vara tidskrävande och fördröja återställningen av digitala bevis, vilket minskar chanserna för en framgångsrik rättslig påföljd. Genom att tillämpa moderna visualiseringsverktyg kan företagsledningen snabbare upptäcka potentiellt skadliga eller fientliga användarbeteenden och rekonstruera hur själva cybersäkerhetsincidenten gick till.

Denna rekonstruktion av incidenten är viktig för att identifiera nyckelindikatorer på skadliga användarbeteenden och ger en tydlig visualisering av undersökningens resultat, vilket gör det lättare för icke-tekniska ledningsmedlemmar att förstå och agera på informationen. En sådan presentation erbjuder flera fördelar, inklusive att kunna urskilja falska positiva resultat, exonerera oavsiktliga handlingar eller fel, och ge digitala bevis på verkliga skadliga aktiviteter. Visualiseringen av händelseförloppet gör det också möjligt för ledningen att fatta mer informerade beslut om de åtgärder som ska vidtas, vilket kan inkludera utbildning av anställda, individuella åtgärder för användare, förändringar i teknologisk infrastruktur, åtal eller uppsägning av anställda.

Slutligen är det viktigt att ledningen, baserat på den kunskap som samlats under utredningen, skapar och implementerar effektiva övervakningspolicyer för hela organisationen. Dessa policyer måste vara utformade för att reagera på oegentligheter från insiders, och vidta åtgärder för att snabbt upptäcka och undersöka misstänkta handlingar. Detta ger företaget en bättre beredskap inför framtida hot och stärker dess cybersäkerhet överlag.