Laurence CadieuxEnhver IT-professionel, der er sin imponerende arbejdsstation med flere skærme, sin sans for de finere sider af nørdekulturen og sin udødelige kærlighed til fjernarbejde værd, ved, at stærk IT-sikkerhed ikke er noget, der er rart at have, og heller ikke bare en „bedste praksis“. Den er absolut, kategorisk og uomtvisteligt afgørende.
Sådan har det faktisk været i flere årtier. Men i de seneste år kan den afgørende betydning af stærk IT-sikkerhed ikke overdrives. Når man tænker på de potentielt katastrofale konsekvenser af et databrud eller en datalæk — prisen ligger i øjeblikket på omkring 200.000 USD pr. hændelse og er stigende — er det svært at forestille sig, at nogen skulle se stærk IT-sikkerhed som andet end afgørende.
Alligevel er der, på trods af den sandhed, mange ellers meget intelligente, dygtige, forsigtige og fremsynede ledere uden for IT-verdenen, der gør præcis det: De ser ikke stærk IT-sikkerhed som et grundkrav. Hvad foregår der?
Årsagen ligger sandsynligvis i ordet „stærk“. Nogle ledere uden IT-baggrund — heriblandt mange virksomhedsejere, administrerende direktører, økonomidirektører, driftsdirektører og så videre — kan fejlagtigt tro, at deres virksomhed allerede investerer i stærk IT-sikkerhed, især hvis de (endnu) ikke har oplevet et alvorligt og skræmmende brud eller en læk. Derfor mener de, at der ikke er nogen grund til at øge IT-sikkerhedsbudgettet eller give deres IT-professionelle mere myndighed til at afgøre, hvem i virksomheden der må gøre hvad, når det gælder adgang (og hvor, hvornår, hvordan og hvorfor).
Dertil kommer, at IT-professionelle, der igen og igen ringer med alarmklokkerne „VI HAR BRUG FOR STÆRKERE IT-SIKKERHED HER!“ i samtaler, notater og møder, kan blive set som alarmister, der på en eller anden måde er drevet af egeninteresse. Intet kunne selvfølgelig være længere fra sandheden!
Se det sådan her: Brandfolk handler ikke ud fra egeninteresse, når de advarer folk om at installere og vedligeholde det rette antal røgalarmer i hjemmet. På samme måde har IT-professionelle ingen personlig motiv til at få magthaverne i virksomheden til at tage stærk IT-sikkerhed mere alvorligt. Tværtimod: Et større IT-sikkerhedsbudget og mere søgelys betyder MERE arbejde for IT-professionelle, ikke MINDRE! Den eneste dagsorden, IT-professionelle har, er at holde virksomheden sikker og produktiv i et trusselsbillede udefra og indefra, der hele tiden bliver farligere og sværere at forsvare.
Hvad kan IT-professionelle, der mangler de ressourcer, de skal bruge for at standse ondsindede aktører — og begrænse den skade og det kaos, uagtsomme slutbrugere udløser — så gøre for endelig at overbevise deres chef (eller måske deres flere chefer!) om, at en investering i stærk IT-sikkerhed LIGE NU er strategisk frem for overfladisk? Vi foreslår, at ethvert oplæg, ethvert forslag og enhver præsentation dækker disse fem kernegrunde:
Stærk IT-sikkerhed hjælper med at opnå og bevare kundernes tillid.
Milliardæren Warren Buffett har sagt, at „det tager 20 år at opbygge et omdømme og fem minutter at ødelægge det. Hvis du tænker over det, gør du tingene anderledes.“
Det ligger os fjernt at forbedre noget, Oraklet fra Omaha har sagt. Men vi tror ikke, han ville have noget imod, at vi tilføjer, at et hack eller et brud faktisk kan ske på under fem minutter og påføre varig eller endda permanent skade på omdømmet. Tænk på, at:
-
Mere end 80 % af forbrugerne ser tillid som en afgørende faktor i deres købsbeslutninger.
-
88 % af forbrugerne siger, at tillid er vigtigere i tider med forandring (og det oplever vi helt sikkert lige nu!).
-
70 % af forbrugerne vil vide, at databeskyttelse bliver betragtet som en topprioritet hos de virksomheder, de handler med.
Budskabet, som IT-professionelle skal give videre til deres chef eller chefer, er tydeligt: at afsætte flere ressourcer til IT-sikkerhed er ikke kun et TEKNISK anliggende. Det er afgørende for at opnå og bevare kundernes tillid, og derfor er det et FORRETNINGSANLIGGENDE. Virksomheder, der bliver set som utroværdige, fordi de undlod at investere i stærk IT-sikkerhed, er tvunget til at bruge enorme summer på at forsøge at rette op. Den udgift er naturligvis langt, langt større, end det ville have kostet at styrke IT-sikkerheden fra starten. Det gamle ordsprog „hellere forebygge end helbrede“ passer i høj grad her.
Stærk IT-sikkerhed er nødvendig for compliance.
Vi har netop slået fast, at mange kunder holder op med at handle med en virksomhed, der ikke proaktivt styrkede sin IT-sikkerhed (også selv om kunderne selv ikke blev direkte eller mærkbart ramt af et angreb).
Der er også kunder, der blankt nægter at handle med en virksomhed, hvis IT-sikkerhedsinfrastruktur, styring og kontroller ikke er blevet vurderet og verificeret af en tredjepart. Der findes flere troværdige compliancestandarder og -programmer, for eksempel:
Rådet til IT-professionelle er her at forklare tydeligt, at hvis man tolererer svag IT-sikkerhed (og hvis IT-sikkerheden ikke er stærk, er den svag — der findes ingen mellemvej!), så er der en stor og voksende gruppe af potentielle kunder, som simpelthen ikke vil overveje et samarbejde. De kan beundre en virksomheds produkt, og de kan også synes, at prisen er overkommelig og attraktiv. Men hvis de ikke føler sig trygge ved en virksomheds IT-sikkerhedsprofil — dokumenteret ved compliance med relevante standarder og programmer — så går de til en konkurrent.
Fordi det, der holder ledere vågne om natten, er at lade omsætning og overskud ligge, kan det at formidle ovenstående i praktiske vendinger føre langt i retning af et paradigmeskiftende aha-øjeblik, hvor IT-sikkerhed holder op med at blive set som en uundgåelig udgift og begynder at blive set som en lønsom investering. Stærk IT-sikkerhed udvider markedet, så det omfatter flere kunder. Svag IT-sikkerhed indskrænker markedet og stiller virksomheder dårligere i forhold til konkurrenterne.
Stærk IT-sikkerhed kan være nødvendig for forsikring.
Det er en tendens, vi har set accelerere kraftigt de seneste par år: Virksomheder, der har købt cybersikkerhedsforsikring, opdager ved fornyelse af policen, at forsikringsselskabet kræver stærkere IT-sikkerhedskontroller — især når det gælder privilegeret adgangsstyring (PAM).
IT-professionelle, der arbejder i virksomheder, som står over for det krav, kan selvfølgelig bruge det til at få flere IT-sikkerhedsressourcer (og måske sende et pænt takkekort til forsikringsselskabet for at være en allieret i jagten på mere budget og flere ressourcer!).
Men også IT-professionelle i virksomheder, der ikke har cybersikkerhedsforsikring (eller hvis forsikringsselskab indtil videre ikke har krævet stærkere IT-kontroller), kan henvise til tendensen for at styrke deres sag. De kan for eksempel sige: „Hvis et stigende antal forsikringsselskaber er så bange for at dække omkostningerne ved svag IT-sikkerhed, burde vi så ikke være lige så bange?“
Stærk IT-sikkerhed sender det rigtige signal til medarbejderne.
Uanset om de falder for phishing-svindel, deler adgangskoder usikkert og/eller forkert, mister bærbare computere — og listen fortsætter — har slutbrugere altid været, og vil altid være, det svageste led i IT-sikkerhedskæden.
En virksomhed, der investerer passende i IT-sikkerhed og fremhæver de tiltag, sender et klart og overbevisende signal til slutbrugerne: „Vi tager stærk IT-sikkerhed meget alvorligt her, og vi forventer, at du gør det samme.“
Omvendt vil en virksomhed med svag IT-sikkerhed hele tiden løbe ind i troværdighedsproblemer, når den beder slutbrugerne om at praktisere god IT-sikkerhedshygiejne. Nogle slutbrugere ser kløften mellem det, ledelsen kræver, og det, den selv gør, og tager ikke budskabet alvorligt.
IT-professionelle bør hjælpe deres chef (eller chefer) med at forstå konsekvenserne af den kløft: Den gør slutbrugerne MINDRE villige til at praktisere god sikkerhedshygiejne, hvilket betyder, at angrebsfladen bliver større, og risiciene vokser.
Stærk IT-sikkerhed er etisk.
IT-professionelle bør forsøge at hjælpe ledere med at forstå, at det at stå bag stærk IT-sikkerhed ikke kun er det KLOGE, men også det RIGTIGE at gøre. Det handler ikke kun om at undgå omkostninger og konsekvenser. Det handler også om at være socialt ansvarlig og en god virksomhedsborger.
Ledere, der går forrest med IT-sikkerhed (eller, klogere, giver deres IT-professionelle mandat og myndighed til at gå forrest!), har gjort sig fortjent til at føle sig godt tilpas med at „leve deres værdier“ på arbejdet. For når gode virksomheder vinder IT-sikkerhedskampen, taber de ondsindede aktører.
Konklusionen
IT-professionelle ved, at stærk IT-sikkerhed er obligatorisk og ikke valgfri. Men at få chefer og andre interessenter med — herunder „dørvogtere“, som måske ikke har den formelle myndighed til at godkende noget, men desværre har mulighed for at spænde ben — kan være svært og frustrerende.
Vi håber, at rådene ovenfor hjælper IT-professionelle i deres bestræbelse på at få det budget, de ressourcer og den myndighed, de skal bruge for at holde virksomheden sikker og produktiv. Og IT-professionelle kan også være sikre på, at Devolutions står på deres side og støtter dem hele vejen.