Hur bör styrelsen hantera cyberrisker och säkerställa cyberskydd för företaget?

En effektiv implementering av ett system för hantering av företagsrisker är avgörande för att samla in, bedöma, prioritera, mildra och rapportera de främsta och potentiella cyberriskerna inom en organisation (Hess & Morton, 2020; Internet Security Alliance, 2020). Ledningen måste säkerställa att styrelsen är medveten om utvecklingen och genomförandet av det ramverk som skapats för att hantera cyberrisker och skydda organisationens känsliga data. I många företag i USA används cybersäkerhetsramverket som tillhandahålls av National Institute of Standards and Technology för att etablera informationssäkerhetsstandarder, procedurer, tekniker och praxis som samordnar affärs-, policy-, teknologiska och cybersäkerhetsfrågor (National Institute of Standards and Technology, 2020). Detta ramverk gör det möjligt för ledande befattningshavare att utveckla en företagsövergripande strategi för att effektivt hantera cyberrisker inom organisationen.

Förutom att ha en god förståelse för de tekniska krav som behövs för att etablera cybersäkerhetsramverket, måste ledningen även utveckla en plan för att fastställa teknisk cybersäkerhet och tydligt kommunicera vikten av denna plan till styrelsen. Även om skapandet av ett sammanhängande ramverk som drivs av företagsmål underlättar efterlevnad av krav, garanterar inte närvaron av detta ramverk att företagets konfidentiella information är skyddad och säker. Detta beror på att de tekniska kraven i cybersäkerhetsramverk inte alltid ger en exakt bild av de åtgärder som vidtas för att skydda organisationens tillgångar. Den senaste utvecklingen inom disciplinen för hantering av cyberrisker har dock underlättat etableringen av ett empiriskt, kontextualiserat och ekonomiskt baserat tillvägagångssätt för att utvärdera en organisations cybersäkerhet (Internet Security Alliance, 2020).

Enligt Internet Security Alliance (2020) måste styrelsen följa specifika tillvägagångssätt för att säkerställa korrekt styrning av cyberrisker inom sina organisationer. Dessa tillvägagångssätt omfattar bland annat följande:

1. Styrelsen måste utse personal med tväravdelningsexpertis för att ha ansvar för övervakning av cyberriskstyrning inom organisationen. I detta syfte bör seniora chefer, som CISO, CRO, CFO eller COO, utses för att övervaka teamet.

2. Styrelsen måste skapa ett tvärorganisatoriskt cyberriskhanteringsteam för att utföra cyberriskstyrning inom organisationen. Detta team bör omfatta medarbetare från alla viktiga avdelningar i företaget, såsom affärsledare, juridiska representanter, HR-avdelningen, internrevision, finans, IT och riskhantering. Huvudsyftet med att skapa ett tvärorganisatoriskt team är att säkerställa att alla avdelningar är involverade i styrningen av cyberrisker.

3. Medlemmarna i det tvärorganisatoriska teamet bör genomföra en potentiell riskbedömning för att identifiera de cyberhot företaget är utsatt för. Teamet måste använda ett systematiskt ramverk som tar hänsyn till cyberriskernas och hotens komplexitet. Genom att använda ett sådant ramverk kan teamet bedöma den aktuella cyberhotmiljön och skapa en detaljerad bild av de cyberrisker som hotar skyddet av konfidentiell data. Bedömningen gör det möjligt att fastställa företagets riskbenägenhet och tröskelvärde för risk.

4. Styrelsen bör beakta att lagar och regler om cybersäkerhet varierar beroende på jurisdiktion och bransch. Därför bör styrelsen beordra ledningen att identifiera de krav och standarder som gäller för deras specifika företag.

5. Ledningen måste anta en samarbetsinriktad strategi för att utveckla rapporter om företagets cybersäkerhet. Det är ledningens roll att spåra cyberrisker och etablera mått för att kvantifiera effekterna av cyberhot och cyberriskhanteringsstrategier på organisationens prestatio

Hur påverkar cyberattacker företagsstrategi och företagsstyrning?

Cyberattacker är en växande hotbild som påverkar alla sektorer och företag av olika storlekar. Händelser som hacken mot Colonial Pipeline, JSB Meat Parker, Marriott International och många andra har visat på allvaret i denna fråga. För dessa företag innebar attackerna inte bara betydande finansiella förluster, utan också allvarliga operativa störningar och förlorad kundförtroende. För att förstå hur dessa attacker sker och varför de är så skadliga måste vi först granska de olika typerna av cyberhot.

Cyberattacker kan vara av olika slag, exempelvis ransomware, där cyberkriminella blockerar åtkomst till ett företags system och kräver en lösensumma för att återställa åtkomsten. Den största risken med dessa attacker är att de kan påverka företagets dagliga verksamhet och tvinga det att stänga ner delar av sin infrastruktur, vilket resulterar i förlorade intäkter och driftstopp. Ett exempel på detta är den välkända ransomwareattacken mot Colonial Pipeline 2021, där hackers lyckades komma åt företagets nätverk genom en komprometterad lösenord. Detta ledde till att en av USA:s största rörledningar för bränsle stängdes ned i flera dagar och orsakade allvarliga störningar i bränsleförsörjningen.

Företagets cybersäkerhet är nära kopplad till deras företagsstrategi och styrning. Detta innebär att säkerhetsrisker måste hanteras på högsta nivå i organisationen, särskilt bland styrelseledamöter och företagsledare. Styrelsens roll i att säkerställa cybersäkerheten är central, då det är här beslut om riskhantering och cybersäkerhetspolitik formas. Genom att integrera cybersäkerhet i företagets övergripande affärsstrategi kan man skapa en robust plan för att hantera de risker som digitala hot medför.

Ett viktigt steg är att säkerställa att det finns ett effektivt ramverk för cybersäkerhetsövervakning. Detta innebär bland annat att skapa strukturella förändringar för att optimera riskövervakning och riskhantering inom företaget. Det är också avgörande att definiera interna roller och ansvar för cybersäkerhet på alla nivåer i organisationen. Styrelsen bör kontinuerligt samarbeta med säkerhetsexperter och CISO (Chief Information Security Officer) för att säkerställa att företaget är väl rustat att möta framtida hot.

En annan aspekt som måste beaktas är tredjepartsriskhantering. Många företag outsourcar delar av sina cybersäkerhetsfunktioner till externa leverantörer, vilket kan innebära nya risker. Det är därför viktigt att noggrant utvärdera och hantera de säkerhetsrisker som kan uppstå vid samarbete med externa aktörer. Tredjepartsrisker kan vara svåra att förutse, men genom att sätta upp striktare säkerhetskrav och säkerställa kontinuerlig övervakning av externa leverantörer kan dessa risker minimeras.

Det är också av stor vikt att förstå hur cybersäkerhet påverkar företagets miljö-, social- och styrningsfaktorer (ESG). Ett företags cybersäkerhetspolicy bör integreras med dess övergripande ESG-strategi för att säkerställa att man inte bara skyddar företaget mot externa hot utan även agerar ansvarsfullt och transparent när det gäller hantering av kundinformation och data.

Sammantaget måste företagsledare och styrelseledamöter förstå att cybersäkerhet inte är en teknisk fråga utan en affärsfråga. Att implementera en robust cybersäkerhetspolicy är avgörande för att skydda företagets värde och fortsatta framgång i en allt mer digitaliserad värld.

Hur kan styrelser effektivt hantera cybersäkerhetsrisker i en allt mer digitaliserad värld?

Exempel på detta är Equifax Inc., där styrelsemedlemmarna tvingades betala 149 miljoner dollar för att lösa investerarnas krav efter att företaget utsattes för ett allvarligt dataintrång. Företaget anklagades för att ha vilselett investerare gällande sina cybersäkerhetsförsvar och de sårbarheter som företaget var medvetet om (Vittorio & Holland, 2021). Metivier (2018) betonar att effektivt skydd mot cyberattacker är direkt kopplat till hur väl styrelsen förstår och hanterar cybersäkerhetsrisker. Författaren framhåller också vikten av att styrelsen är aktivt involverad i cybersäkerhetsfrågor, exempelvis genom att etablera en särskild cyberriskkommitté som kan fokusera på detta område.

Flera studier pekar på att styrelsernas ansvar inte bara omfattar att förebygga och minska risken för cyberattacker, utan också att skydda känslig information, både för företaget och för dess kunder (Cheng & Groysberg, 2017; Metivier, 2018). Trots de negativa konsekvenserna av cyberattacker på affärsverksamheter, finns det fortfarande många styrelser som inte tar sitt ansvar på allvar. En anledning till detta är att många styrelser inte har tillräcklig kompetens, stöd, erfarenhet eller resurser för att genomföra de viktiga övervakningsaktiviteterna som krävs för att effektivt hantera cyberrisker.

Detta problem fördjupas av det faktum att många styrelsemedlemmar inte har tillräcklig förståelse för sin roll och sitt ansvar inom cybersäkerhet. När styrelsen inte aktivt engagerar sig, eller saknar den rätta expertisen för att övervaka och hantera cybersäkerheten, kan detta få allvarliga följder, som exempelvis skador på företagets rykte, förlorade kunder och höga kostnader för att åtgärda intrång. På samma sätt riskerar företaget att utsättas för rättsliga åtgärder och sanktioner från tillsynsmyndigheter, särskilt när företaget inte har tillräckliga säkerhetsåtgärder på plats för att skydda kundernas konfidentiella information.

En annan viktig aspekt är styrelsens ansvar för att säkerställa att företagets ledning har utvecklat och implementerat adekvata riskhanteringsstrategier. Detta gäller inte bara cybersäkerhetsrisker, utan även andra former av affärsrisker, såsom likviditets-, operativa- och kreditrisker. Styrelsen måste säkerställa att det finns effektiva processer för att identifiera och hantera dessa risker, och att ledningen rapporterar pågående åtgärder och eventuella brister i realtid.

Det är också viktigt att förstå att styrelsen inte bara kan förlita sig på externa konsulter och tekniska experter för att hantera cybersäkerhet. Styrelsen måste aktivt engagera sig i att förstå riskerna och säkerställa att det finns tydliga och effektiva interna kontroller. Dessutom måste styrelsen också kunna ställa hårda krav på ledningen för att säkerställa att cybersäkerheten är en prioriterad fråga. Det innebär bland annat att begära detaljerade och regelbundna rapporter om företagets cybersäkerhetsåtgärder och eventuella brister som kan uppkomma.

Att ignorera cybersäkerhetens betydelse är inte längre en acceptabel strategi i den digitala tidsåldern. Styrelser måste inse att deras ansvar sträcker sig långt bortom finansiella mål och strategier. De måste förstå och hantera de risker som hotar företagets informationssäkerhet, både för att skydda sina kunder och sitt eget rykte. Det handlar om att förebygga katastrofala konsekvenser som kan skada organisationen både på kort och lång sikt.

Hur kan styrelser hantera cyberrisker och säkerställa ett effektivt cyberskydd?

I dagens snabbt föränderliga digitala landskap är cyberrisker en ständig och växande utmaning för företag. För att effektivt kunna hantera dessa risker måste styrelserna ha en djup förståelse för sina roller och ansvar när det gäller cybersäkerhet. Styrelsemedlemmar är inte bara ansvariga för att ge stöd till ledningen i utvecklingen av säkerhetsstrategier, utan de måste även vara aktiva i att övervaka och se till att företagets cyberskydd är tillräckligt för att möta moderna hot.

För att kunna hantera cyberrisker effektivt, är det första steget för en styrelse att etablera en passande ramverk för cybersäkerhet. National Institute of Standards and Technology (NIST) har utvecklat ett ramverk för att förbättra cybersäkerheten inom kritisk infrastruktur, vilket fungerar som en vägledning för företag i att hantera cyberrisker. Detta ramverk ger organisationer bästa praxis och industristandarder för att ta itu med cyberrisker på ett strukturerat sätt. Även om detta ramverk är frivilligt för företag, har vissa aktörer föreslagit att det bör fungera som en baslinje för att utveckla bästa cybersäkerhetspraxis. Styrelser kan välja att anpassa det befintliga ramverket eller skapa ett eget i samarbete med ledningen som passar företagets specifika behov och policyer.

Trots att ett ramverk kan ge en solid grund för hantering av cyberrisker, kan det vara svårt för styrelsemedlemmar utan teknisk kompetens att fullt ut förstå och tillämpa dessa riktlinjer. Styrelserna måste därför säkerställa att de har den expertis som krävs för att bedöma de åtgärder som vidtas av ledningen. I många fall saknar styrelser teknisk kunskap om cybersäkerhet och därför kan de inte effektivt övervaka de åtgärder som vidtas för att hantera cyberrisker. Ett sätt att lösa detta är genom att utbilda styrelsemedlemmar om cybersäkerhet eller genom att rekrytera medlemmar med den nödvändiga tekniska bakgrunden.

En annan lösning är att skapa en särskild kommitté inom styrelsen, som kan fokusera på cybersäkerhet. Denna kommitté kan ledas av en tidigare chef för informationssäkerhet (CISO) och ha som uppgift att aktivt övervaka och hantera cyberriskerna. Att skapa en sådan kommitté stärker företagets förmåga att hantera cybersäkerhet på en övergripande nivå och ökar styrelsens engagemang i att tilldela de resurser som behövs för att säkerställa att företaget har de rätta åtgärderna på plats för att hantera risker.

Trots dessa åtgärder är det viktigt att förstå att ingen strategi kan helt eliminera riskerna med cyberattacker. Det handlar istället om att vara förberedd på att hantera dem när de inträffar. Att ha en robust beredskapsplan för hur man svarar på en cyberattack är avgörande. Styrelserna måste säkerställa att företaget har de nödvändiga resurserna och rutinerna för att snabbt upptäcka och åtgärda eventuella säkerhetsincidenter. Hastigheten på hur ett företag svarar på en attack kan vara avgörande för att minska skadorna.

En annan viktig aspekt är att styrelserna måste se till att den personal som har ansvar för cybersäkerheten är välutbildad och har rätt kompetens för att hantera riskerna på ett effektivt sätt. Det kan även vara nödvändigt att styrelserna inrättar specifika team eller avdelningar inom organisationen för att hantera och rapportera om cyberrisker kontinuerligt.

Sammanfattningsvis är det viktigt att företag och deras styrelser inte bara fokuserar på att skapa ett ramverk och sätta upp policyer för cybersäkerhet, utan också att aktivt övervaka och ständigt förbättra sina cyberskyddsstrategier. Styrelser måste vara väl förberedda på att hantera cyberrisker och se till att de har den tekniska expertisen och de resurser som krävs för att effektivt kunna reagera på och minimera skadorna från eventuella cyberattacker.