Stadig flere aktører innen datasikkerhet retter nå fokus mot styrenes arbeid og ansvar.
– Trusselen mot styrer har alltid vært der, forskjellen er at man nå har blitt mer bevisst. I dag gjennomsyrer cyber alt vi gjør, og dermed har risikoen blitt mer aktuell, og kommet høyere opp på prioriteringslisten, sier Steffen Olsen, direktør i PwC, som leder konsulenthusets satsning på cybersikkerhetskultur.
– Har styret også kommet mer i fokus fordi det sitter på mange hemmeligheter?
– Ja, det er et viktig poeng. Styrer er involvert i alle de vesentligste transaksjonene og sensitive saker som angår virksomheten. Det gjør at styresaker er av interesse for mange trusselaktører, enten de er motivert av økonomi eller eksempelvis industrispionasje, sier Olsen.
Styrer er involvert i alle de vesentligste transaksjonene og sensitive saker som angår virksomheten.Steffen Olsen, direktør i PwC
Ni råd til styrer
– Integrer cybersikkerhet i viktige beslutningsprosesser
– Ha cyberrisiko som tilbakevendende agendapunkt
– Be om måling og beregning av cyberrisiko
– Juster risikovillighet opp mot mål og strategi
– Be om statusrapport på handlingsplaner for å motvirke cyberhendelser
– Be ledelsen integrere analyse av cyberrisiko i viktige forretningsbeslutninger
– Sett forventninger om tilstrekkelig bemanning og finansiering innen cybersikkerhet.
Vurder periodiske revisjoner og benchmarking av uavhengige tredjeparter
– Gjennomfør regelmessige oppdateringer på hendelser, trender, sårbarheter og risiko.
– Har du noen eksempler der styrer har blitt utsatt for skadelige angrep?
– Internasjonalt finnes det undersøkelser som har tall på aktiviteten mot styrer og toppledere. Vi har ingen kjente eksempler på målrettet aktivitet mot styrer i Norge. Hvorvidt slike eksempler blir kjent avhenger jo både av virksomheten det treffer, men også trusselaktørens motivasjon og metode. Tilgang på børssensitiv innsideinformasjon vil jo typisk kunne holdes skjult og anvendes til handel i markedet, uten at det nødvendigvis rammer virksomheten direkte, sier Olsen.
– Hva skal til for at styrer og styremedlemmer kan komme i ansvar for sin håndtering av selskapets datasikkerhet?
– Vi er ikke kjent med saker hvor virksomhetens styre har blitt holdt rettslig ansvarlig for manglende cybersikkerhet, men dette betyr jo ikke at styrets ansvar i henhold til aksjeloven er avgrenset på området. Hvor terskelen blir lagt, og om dette harmonerer med eksisterende juridisk praksis, gjenstår dermed å se, sier PwC-direktøren.
Ettertraktede mål
Styret behandler, som sagt, noen av de mest delikate sakene selskapene er involvert i, samtidig som styremedlemmer i mange tilfeller ikke er integrert i selskapets sikkerhetsregime.
– De benytter ofte privat utstyr til å behandle styresaker. Det kan føre til at man som enkeltperson er et ettertraktet mål, og innebærer at man må sørge for at man har god sikkerhetshygiene hjemme, sier Olsens kollega i PwC, senior associate Therese Leerbeck. Typiske utfordringer er at man skriver ut styrepapirer for å lese på reise, ikke er bevisst verdien av dem og hva som kan skje hvis de kommer på avveie, eller at man sender styredokumenter på epost som kan komme i feil hender.
De benytter ofte privat utstyr til å behandle styresaker. Det kan føre til at man som enkeltperson er et ettertraktet mål, og innebærer at man må sørge for at man har god sikkerhetshygiene hjemme.Therese Leerbeck, senior associate PwC
I Cybercrime-rapporten for 2023, som utgis av PwC i samarbeid med Finans Norge, fremkommer det at bekymringen hos respondentene er stigende. En av tre mener ledelsens manglende forståelse av datasikkerhet i seg selv utgjør en trussel. 60 prosent rapporterer om målrettede angrep mot underleverandører og tredjeparter, og over 80 prosent har vært utsatt for den vanligste typen for cyberkriminalitet, phishing – digital snoking etter sensitiv informasjon, som passord eller kredittkortnummer. Ifølge undersøkelsen anser respondentene organisert kriminalitet den største trusselen mot selskapene, deretter kommer etterretning fra andre land og på tredjeplass ansattes ubevisste eller bevisste handlinger. Konklusjonen er at det er stor ubalanse mellom trusselbildet og hvor mye selskapene faktisk investerer i datasikkerhet.
Vil ikke skremme
Ser man noen år bakover i tid, ble beslutninger om datasikkerhet først tatt av IT-sjefen, så av administrerende direktør, og nå vil sikkerhetsbransjen ha styrelederen på banen. Den ultimate trusselen som nå fremmes er at styremedlemmer – hvis de ikke ruster selskapet mot datakriminelle – kan pådra seg personlig ansvar etter aksjeloven.
– Er dette det siste pressmiddelet fra din bransje for å selge flere tjenester?
– Personlig er jeg ikke så glad i å skremme folk for få igjennom vårt budskap. Budskapet vi ønsker å formidle er at å jobbe målrettet med sikkerhet også fremmer andre egenskaper som man ønsker å ha i virksomheten sin, nemlig et tilpasningsdyktig, veldrevet og innovativt miljø. Har du god styring og risikostyring – og klarer å integrere cybersikkerhet – så vil du oppnå høyere grad av tillit i tillegg til at det vil være konkurransefremmende, sier Olsen, som mener dette ikke handler om å skremme styrer til å kjøpe tjenester, men om å motivere dem til å ta de riktige valgene.
– Det er god butikk og god datasikkerhet, sier han.
PwCs satsning innen Cyber Security & Privacy teller om lag 70–80 konsulenter nasjonalt. Selskapet har gjennom flere år spurt verdens toppledere om hva de er mest bekymret for, og i 2022 klatret “cybersikkerhet” helt til topps på listen i deres CEO Survey. I 2023 topper frykten for geopolitiske og makroøkonomiske forhold, mens cybersikkerhet forblir i toppsjiktet.
En anerkjent, norsk styreleder sa på en ISF-konferanse at styrets tre oppgaver er strategi, kontroll og oppfølging av risikoer. Og hun mente at sistnevnte ikke kunne løses uten å jobbe aktivt med cyberrisiko.
– Jeg tenker styrets behandling av strategi og kontroll også må omfatte cyber.
De beste selskapene på cybersikkerhet i verden har en strategi der de jobber og tar beslutninger ut ifra sikkerhet og ikke legger sikkerhet til som en faktor senere, sier Therese Leerbeck og legger til:
– Mangel på kompetanse er ikke til hinder for å bli stilt til ansvar. I likhet med andre styrespørsmål må det gjøres en vurdering, denne må dokumenteres, og tiltakene må operasjonaliseres i hele virksomheten, sier Leerbeck.
Plikter minimumsforsvar
Også Norges største fagmiljø for datasikkerhet, Mnemonic, tilbyr sin hjelp til styrer.
– Vi gjør endel arbeid rundt styrer for å gjøre dem mer bevisst på deres ansvar og hvilke typer risikovurderinger de må gjøre. I tillegg hjelper vi dem med å prioritere hvilke type kontroller de bør ha på plass, sier Erik Alexander Løkken, leder for sikkerhetstjenestene i Mnemonic.
– Det har vært noen tilfeller hvor styrer ikke har sørget for et minimumsforsvar eller ikke har fulgt opp sin plikt til å ha oversikt over status på sikkerheten i organisasjonen. Ved større hendelser har disse måttet ta konsekvensene ved å gå av, forteller han.
– Hvor mye risiko utgjør styremedlemmer selv ved å praktisere dårlig datasikkerhet?
– Det er veldig sjelden styrer er direkte operative i selskapet, men de har samtidig ofte tilgang til sensitive data før alle andre. Jeg vet at endel selskaper sørger for at disse dokumentene er beskyttet, slik at styremedlemmer kun får lese disse dokumentene fra systemer de har kontroll på. Men ofte er situasjonen slik at styremedlemmene lagrer disse dokumentene på datamaskiner som selskapet ikke har kontroll på. Samtidig er det ofte snakk om begrenset informasjon. Det er potensielt børssensitiv informasjon, men mer sjelden data som går på forretningshemmeligheter, åndsverk eller som gir tilgang på penger, avslutter Løkken.
Det er veldig sjelden styrer er direkte operative i selskapet, men de har samtidig ofte tilgang til sensitive data før alle andre.Erik Alexander Løkken, leder for sikkerhetstjenestene i Mnemonic
