Når virksomheden vokser hurtigere end sikkerheden

Vækst ændrer virksomheden hurtigere, end sikkerhedsbeslutninger bliver genovervejet. Svaret på, hvornår ledelsen skal reagere, hviler på én iagttagelse: det billede af sikkerheden, ledelsen har i dag, blev dannet i en mindre og enklere virksomhed. Når forskellen mellem dengang og nu er blevet stor, er det tid til at bede om et nyt billede, og en sikkerhedstest er én måde at få det på.

Det handler ikke om, at nogen har sjusket. Ordrerne kommer, nye medarbejdere starter, og et nyt system bliver taget i brug, fordi forretningen har brug for det i morgen. Sikkerheden kan følge med i de enkelte projekter uden at følge med i helheden. Det er helheden, ledelsen har ansvaret for.

Hvad vækst gør ved virksomheden

Vækst viser sig ikke nødvendigvis som én stor ændring. Den kan komme som en række små, der hver for sig virker harmløse.

Flere mennesker · nye medarbejdere, vikarer og konsulenter får adgang, nogle gange i en fart og med mere adgang end nødvendigt.
Flere systemer · en ny webshop, et nyt lager, et nyt økonomisystem eller en app til salgsfolkene kommer til ved siden af det gamle.
Flere partnere · leverandører, forhandlere og samarbejdspartnere får forbindelser ind i virksomheden.
Flere steder · et nyt kontor, en ny afdeling eller medarbejdere, der arbejder hjemmefra.
Mere på spil · flere kunder, større aftaler og mere data betyder, at et brud koster mere for forretningen.

Hver ændring kan være håndteret fornuftigt af den, der stod for den. Spørgsmålet er, om nogen har set på, hvordan de spiller sammen.

Tag et tænkt eksempel: en grossist åbner en webshop, ansætter en ny salgsafdeling og giver to fragtfirmaer adgang til lagersystemet inden for samme år. Hvert skridt blev godkendt på et ledelsesmøde som en forretningsbeslutning. Ingen af beslutningerne stillede spørgsmålet, om adgangen til kundedata nu var bredere end før, eller om en svaghed hos et fragtfirma kunne række ind i grossistens egne systemer.

Partnerne fortjener særlig opmærksomhed. Når andre virksomheder får forbindelser ind, bliver deres sikkerhed en del af jeres, og den del kan ledelsen kun styre gennem krav og aftaler. → Leverandørrisiko set fra ledelsen

Tegn på, at sikkerheden er sakket bagud

Ledelsen behøver ikke teknisk indsigt for at se, om sikkerheden halter efter. Tegnene kan ligge i almindelige ledelsesoplysninger.

Spørg, hvornår nogen sidst har lavet en samlet oversigt over systemer og adgange. Hvis svaret går tilbage til før den seneste udvidelse, beskriver oversigten en anden virksomhed. Spørg også, om IT-funktionen er vokset i takt med resten. Har organisationen fordoblet antallet af systemer, mens samme person eller samme driftsaftale skal holde styr på det hele, er det et signal i sig selv.

Andre tegn er, at nye løsninger indføres uden om IT, at ingen kan sige præcis, hvilke leverandører der har adgang, eller at kunderne begynder at stille spørgsmål, som ingen har et dokumenteret svar på. → Tegn på, at det er tid til en sikkerhedstest

Hvornår skal ledelsen bede om et nyt billede?

Der findes ingen fast grænse. Men nogle begivenheder gør det naturligt at stoppe op og spørge, om det, ledelsen tror om sikkerheden, stadig gælder.

En ny forretningsgren · nye digitale ydelser eller salgskanaler, der vender ud mod kunderne.
En markant udvidelse · mange nye medarbejdere, et nyt kontor eller en ny afdeling på kort tid.
Et skifte i driften · ny IT-leverandør, flytning af systemer eller en ny måde at arbejde på.
Nye krav udefra · en større kunde, en forsikring eller en samarbejdspartner, der vil se dokumentation.

Den britiske myndighed NCSC har udgivet en vejledning om ledelse af cyberrisici, hvor bestyrelsen opfordres til at sikre sig, at risikovurderinger tager højde for ændringer i organisationen og teknologien. Det er en vejledning, ikke et krav i Danmark, men tanken passer godt til en virksomhed i vækst. → Ny digital forretning

Hvad en sikkerhedstest kan give en virksomhed i vækst

En test er ikke det eneste svar, men den har en særlig egenskab: den viser, hvordan det faktisk står til i dag, og ikke hvordan det var tænkt. For en ledelse, der har truffet mange hurtige beslutninger, er det værdifuldt.

En afgrænset test kan for eksempel undersøge det, virksomheden viser udadtil efter udvidelsen, eller hvordan adgangen er fordelt efter mange nyansættelser. Resultatet giver ledelsen et konkret grundlag for at prioritere, hvor de næste kræfter skal bruges. Det kan være bedre at begynde med det område, der er vokset mest, eller det, der ville gøre mest skade, hvis det blev ramt. → Kronjuvelerne

Hvem skal holde øje, når alle har travlt?

I en virksomhed i vækst kan ledelsen have rigeligt at se til. Sikkerheden bliver let et emne, alle mener er vigtigt, men som ingen har på sin liste. Det løses ikke med flere møder, men med én navngiven person i ledelsen, der ejer spørgsmålet og sørger for, at det kommer op, når virksomheden ændrer sig. → Hvem i ledelsen skal eje sikkerhedstesten?

Den person behøver ikke selv at forstå teknikken. Opgaven er at sikre, at sikkerheden er med, når der besluttes udvidelser, investeringer og nye samarbejder, og at nogen kan svare på, hvad der er undersøgt, og hvornår.

Det skal I lade være med

At vente på en rolig periode · i en virksomhed i vækst kommer den ikke nødvendigvis.
At regne med, at hvert projekt har klaret sikkerheden · det samlede billede er ingens opgave, hvis ingen får det.
At teste alt på én gang · begynd med det, der er vokset mest, eller det, der betyder mest.
At bestille en test uden plads til rettelser · et nyt billede er kun nyttigt, hvis der er tid og penge til at handle på det. → Budget til rettelser
At lade IT stå alene med væksten · ressourcer og prioritering er ledelsens beslutning.

Hvad kan og ikke kan konkluderes

En sikkerhedstest efter en periode med vækst viser, hvordan de undersøgte dele står på testtidspunktet. Den viser ikke, om resten af virksomheden har fulgt med, og den giver ikke et billede, der holder, mens virksomheden fortsætter med at vokse. Derfor hører spørgsmålet om, hvor ofte der skal ses efter, med i samme beslutning. → Hvem bestemmer, hvor ofte vi tester?