En slags ottende passager har sneget sig ind på bestyrelsesgangen. En ondskabsfuld skabning fra cyberspace, som truer med at fortære virksomhedens værdier, udsætte medarbejderne for identitetstyveri og økonomiske ydmygelser og med at lukke virksomhederne ude fra deres data, kunder, produktionsfaciliteter og mange andre sager.
“Cybersikkerhed handler om governance og omfatter langt mere end blot sikkerhedsprotokollerne
Passageren hedder cyberkriminalitet: ransomware-angreb, hacking, identitetstyveri, ddos, phishing – godt hjulpet på vej af deep fake-teknologier. Listen er overvældende, ligesom konsekvenserne kan være det. Økonomiske tab, imageproblemer, retssager og konkurser. De it-kriminelle bliver bare dygtigere og dygtigere i takt med teknologiudviklingen. Det skal bestyrelserne også være. Fordi det i høj grad er bestyrelsens ansvar at beskytte virksomhedens værdier og sikre den mod risici.
PwC afdækker i deres seneste Cybercrime Survey fra 2023 nogle af bestyrelsens udfordringer med den nye type kriminalitet. 72 pct. af bestyrelsesmedlemmerne har cybersikkerhed som en del af deres årshjul.
Men 79 pct. af de adspurgte ledere i undersøgelsen mener, at bestyrelsen kun i nogen eller mindre grad har tilstrækkelig viden om cyberkriminalitet og informationssikkerhed. Dette til trods viser analysen, at 47 pct. af bestyrelsesmedlemmerne ikke trænes i cyberkriminalitet og sikkerhed.
Hvis bestyrelsen skal tage det overordnede ansvar for virksomhedens sikkerhed, kræver det selvsagt, at de enkelte medlemmer har tilstrækkelig indsigt i de digitale udfordringer. Det sætter dels krav til rekrutteringen af bestyrelsesmedlemmer og dels til bestyrelsens (efter)uddannelse. I dag kommer de fleste bestyrelsesmedlemmer fra jura, finans eller operations. Og en del af dem har deres forretningserfaringer fra tiden, før de kriminelle rykkede ind i cyberspace.
Bestyrelsesmedlemmerne behøver ikke at være teknologiske eksperter, men de skal vide tilstrækkeligt til at kunne udfordre og inspirere både ledelsen og eventuelle sikkerhedsmedarbejdere på, hvordan cyberberedskabet kan understøtte og måske også fremme virksomhedens overordnede strategi.
Cybersikkerhed handler i sagens natur også om virksomhedens tekniske beredskab til at håndtere f.eks. forsøg på hacking. Men det handler i lige så høj grad om at skabe en sikkerhedskultur i organisationerne – et modstandsdygtigt beredskab, som handler om at samle og bevidstgøre medarbejderne om deres vigtige rolle i kampen mod de kriminelle. 95 pct. af alle cybersikkerhedshændelser skyldes menneskelige fejl ifølge World Economic Forums Global Risk Report (2022).
Ligegyldigt hvor mange penge og ressourcer, organisationerne smider efter cybersikkerhed, så vil der altid være huller, som entreprenante slyngler kan udnytte. Og derfor skal bestyrelsen ikke blot forlade sig på sikkerhedskonsulentens operationelle indsats, men i stedet stille – og være med til at besvare – spørgsmålet: Hvordan opbygger vi en modstandsdygtig organisation, som er sikkerhedsorienteret, som kan bekæmpe aktuelle cyberangreb og have en klar strategi for, hvordan vi restituerer og fortsætter vores drift under og efter et angreb?
Cybersikkerhed handler om governance og omfatter langt mere end blot sikkerhedsprotokollerne. Det handler om at skabe en organisation, som er fleksibel, sikkerhedsbevidst og klart kommunikerende på tværs af alle fagområder. Det er i høj grad en strategisk opgave for bestyrelsen at sikre dette arbejde.
Udfordringen er selvsagt endnu større blandt de små og mellemstore virksomheder. EU’s smv’er står for over halvdelen af EU’s samlede økonomiske aktivitet. Europakommissionens rapport SME- and Cybercrime fra 2022 viser, at syv ud af ti SMV-direktører føler sig rimeligt eller godt informerede om truslerne fra cyberkriminalitet. Det samme er imidlertid ikke gældende for deres medarbejdere. Her tror f.eks. danske smv-ledere, at kun lidt over halvdelen af deres medarbejdere er rimeligt eller godt informerede om cybertruslen.
Det lader ikke til, at de danske ledere oplever medarbejdernes manglende viden om cybersikkerhed som et problem. Danske ledere var i 2022 i det hele taget nogle af de mest ubekymrede i hele EU. EU-Kommissionens analyse viste nemlig, at gennemsnitligt 58 pct. af de danske smv-ledere “overhovedet ikke var bekymrede” for hacking, phishing, virus, spyware, ransomware eller uautoriseret adgang til filer, netværk, videokonferencer eller instant messages. Den lader vi lige stå et øjeblik.
