Annonce
Annonce

Vær beredt

Læs mere
Fold sammen

It-sikkerhed går ud på at undgå vellykkede angreb, men det er ved at være en gammeldags indstilling, mener de fleste eksperter. Kigger man på trusselsbilledet og antallet af angreb, er det ikke et spørgsmål, om en virksomhed er blevet hacket, men hvornår det skete.

Derfor bør alle virksomheder også have et opdateret beredskab, der kan træde i kraft, så snart ulykken sker. For at fange opmærksomheden hos den øverste ledelse i virksomheder har konsulentfirmaet Deloitte i en årrække arrangeret ”cyber-incident war gaming” i New York. Det er et virtuelt spil, hvor en række ledere i en fiktiv virksomhed bliver udsat for et realistisk angreb. Deloitte analyserede derfor en række af de senere års mest spektakulære angreb, inklusive dem mod Target (2013), Sony (2014) og Home Depot (2015).

Butikskæde under angreb lige nu
Resultatet var den opdigtede butikskæde Your Living udsat for et massivt angreb. En hacker har stjålet to millioner kunders data og sælger dem online. Omsætningen styrtdykker, konkurrenterne udnytter situationen, og mediernes fokus forværrer tilstandene time for time.
Deloitte placerede syv erhvervsledere i spillet, hver med deres ansvarsområde i Your Living, for eksempel som CFO, CIO og CEO. Deres opgave var at udarbejde et svar på angrebet – skabe virksomhedens respons.

Noget af det vigtigste, og sværeste, i den forbindelse var prioritering af de mange nødvendige aktiviteter, øvelsen involverede. Således var det afgørende at få informeret vigtige stakeholders hurtigst muligt, og dem er der mange af: medarbejdere, myndigheder, kunder, aktionærer, bestyrelse, medier plus det løse. Men en sådan øvelse giver kun mening, hvis virksomheden ligger inde med noget helstøbt information om angrebets størrelse og konsekvenser, hvilket sjældent er tilfældet. Derfor sørgede Deloitte for, at spillerne modtog mangelfulde informationer om angrebet for at gøre det realistisk.

En af konklusionerne på spillet med Your Living er, at et cyberangreb involverer hele virksomheden, og ansvaret kan ikke parkeres i it-afdelingen. It-sikkerhed skal tænkes på tværs, og det er en ny tankegang, som virksomheder bør give sig i kast med. Fordi angrebet kommer.

Her er nogle af hovedelementerne i et it-beredskab

Planlægning for scenarier
Virksomheden bør tænke realistiske scenarier igennem og udarbejde handlingsplaner for hvert tilfælde. Baggrund, plan og instruktioner skal kommunikeres og trænes med medarbejderne.
Samarbejde med myndighederPolitimyndigheder og lignende instanser bør være faste dialogpartnere, så man er klar til at samarbejde i tilfælde af angreb.

Beskyt værdierne
Mange virksomheder har ikke nogen opgørelse over deres digitale værdier, for eksempel i form af kontrakter, patenter og anden sensitiv information. Virksomhed bør som det første foretage en sådan vurdering og for det andet øge beskyttelsen for disse vitale værdier.

Ledelse og sund fornuft
Heldigvis, for de dygtige ledere, er overblik og is i maven stadig afgørende kvaliteter, også når det gælder cyberangreb. Derfor er det første at gøre at identificere angrebet. Et sikkerhedsbrud kan have adskillige årsager og endnu flere udfald. En forkert udlægning i begyndelsen kan for alvor føre virksomheden på afveje. H