Norske ledere tar ikke cybersikkerhet på alvor

Selv om oppmerksomheten om nettkriminalitet har økt, er det få ledere som har en klar handlingsplan for hvordan de skal møte trusler fra hackere, viser en undersøkelse blant norske og danske ledere utført av PWC. Heldigvis er politiet på ballen.

Her er bare et lite utvalg av ukens hackernytt:

Håndballspiller Nora Mørks telefon ble hacket og private bilder fra telefonen ble spredt på internett.

En uke etter at Apple lanserte sin nyeste IphoneX, hadde anonyme hackere (etter en intens konkurranse om å være først) klart å lure telefonens sikkerhetsløsning for ansiktsgjenkjenning, såkalte FaceID.

En mann i Minnesota ble arrestert etter å ha ansatt hackere for å sabotere sin tidligere arbeidsplass. Ifølge FBI er profesjonelle hackere til leie et økende problem.

Flere amerikanske stater har tatt ut forsikring mot cyberangrep. «Det er dyrt. Det merkes god på budsjettet vårt. Men det er absolutt verdt det så lenge man ser innbrudd som koster selskaper og virksomheter millioner på millioner av dollar, sier Michael Hussey, kommunikasjonssjef i staten Utah til Christian Science Monitor.

Likevel var det kun 38 prosent av de spurte i en undersøkelse utført av PWC som mente at ledelsen i høy grad har fokus på å oppnå riktig balanse mellom truslene organisasjonen står overfor.

• 61% sier at de er mer bekymret for cybertrusselen nå enn det de var for 12 måneder siden
• 74% har vært utsatt for phising i løpet av de 12 siste månedene
• 53% vil investere for å overholde EUs nye personvernforordning

Det er noen av konklusjonene i rapporten Cybersikkerhet 2017 der 84 norske og 241 danske ledere er spurt om sitt syn på nettkriminalitet. Rapporten er støttet økonomisk av Finans Norge. Forfatterne av rapporten mener manglende oppmerksomhet i ledelsen er urovekkende. De anbefaler blant annet at man fokuserer på å sikre riktig kommunikasjon mellom ledelsen og sikkerhetsrådgiverne.

Mangler folk

Et stort problem er mangel på riktig kompetanse. Mange ledere går med planer om å ansatte flere eksperter på dette området de neste 18 månedene.

Nye regler

De som investerer sier at de prioriterer investeringer som setter dem i stand til å overholde EUs nye personvernforordning, GDPR, som trer i kraft 25. mai 2018. Hvis man ikke overholde de nye kravene kan bøtene komme på opp mot 4 prosent av virksomhetens omsetning.

Politiet trapper opp

Ifølge Politiforum jobbes det nå for fult med å etablere et norsk senter for cyberkriminalitet som etter planen vil får om lag 200 ansatte. Nettstedet Digi rapporterer samtidig om at politiet nå også er ferd med å innføre Palantir, et av verden mest avanserte systemer for digital etterforskning.

Myndighetene jobber også med bekjempelse av cyberangrep gjennom NorCERT-programmet til Nasjonal Sikkerhetsmyndighet.

Norges Bank investerer

I en tale som visesentralbanksjef i Norges Bank, Jon Nicolaisen, holdt torsdag under betalingsformidlingskonferansen denne uken, minnet han på at konsekvensene av cyberangrep kan bli store.

"Utfordringene knyttet til cybersikkerhet er blant de viktigste betalingssystemet vårt nå står overfor. Uten et effektivt forsvar, kan tilliten til systemet over tid bli underminert.", uttalte han og fortalte forsamlingen at Norges Bank legger betydelige ressurser ned i sikringen av egne systemer.

"Arbeidet med cybersikkerhet er teknisk komplisert og krever spesialkompetanse. Men det er ledelse og styrer i institusjoner og selskaper som har det endelige ansvaret, og som beslutter strategi og ressursbruk. Dette ansvaret kan ikke delegeres eller utkontrakteres. Eiere og ledere må være seg sitt ansvar bevisst", er oppfordringen fra Nicolaisen.

Risikabel utkontraktering

I talen sin tok han også opp praksisen med utkontraktering til utlandet, såkalt offshoring. Nicolaisen medgir at det er mange gode grunner til å gjøre nettopp det, men at det medfølger en risiko når vi blir avhengige av utenlandsk infrastruktur og utenlandske myndigheter.

Ifølge Nicolaisen hjelper det hvis driften kan flyttes - ved en krise - til Norge på kort varsel. Men i talen kom han likevel med en advarsel til de som går med tanker om å sende kritiske IT-oppgaver ut av landet:

"Vi kan likevel ikke utelukke at det i fremtiden vil bli krav om at kritiske systemer driftes fast i Norge."