Vi kan alligevel ikke gøre noget ved det

Når nyhederne fortæller om angreb på store organisationer med egne sikkerhedsafdelinger, kan en ledelse i en mindre virksomhed komme til en nedslående konklusion: hvis de ikke kan beskytte sig, kan vi heller ikke. Så hvorfor bruge penge på det? Konklusionen er forståelig, men den bygger på en forveksling. Det er rigtigt, at ingen kan udelukke et angreb. Det er ikke rigtigt, at intet nytter. Forskellen mellem en virksomhed, der rammes hårdt, og en, der klarer sig igennem, ligger i de valg, ledelsen har truffet i forvejen. Og de valg kan ledelsen træffe.

Hvor opgivelsen kommer fra

Følelsen af afmagt har flere kilder. Sikkerhed kan blive beskrevet med ord, der er svære at forholde sig til for ikke-teknikere. Angriberne fremstilles som overlegne. Og de historier, der når nyhederne, handler om dem, der blev ramt, ikke om dem, der undgik det eller kom hurtigt på fode igen.

Hertil kommer, at sikkerhed ikke har en tydelig slutning. Der er altid mere, der kunne gøres, og det kan få enhver indsats til at virke utilstrækkelig. Når målet føles uopnåeligt, er det menneskeligt at stoppe med at prøve. Men målet er ikke at blive usårlig. Det er at blive sværere at ramme og bedre til at komme igen. → Hackerangreb i nyhederne

Opgivelse og prioritering er to forskellige ting

At erkende, at ikke alt kan beskyttes, er ikke det samme som at opgive. Det er udgangspunktet for at prioritere. En ledelse, der siger, at den ikke kan gøre alt, kan stadig beslutte, hvad den vil gøre først.

Forskellen kan beskrives sådan:

Opgivelse · vi kan ikke stoppe alle angreb, så vi lader være med at prøve.
Prioritering · vi kan ikke stoppe alle angreb, så vi beskytter det vigtigste først og forbereder os på resten.

Den første holdning efterlader virksomheden lige sårbar over for de simple og de avancerede angreb. Den anden gør virksomheden sværere at ramme med de enkle angreb og giver en plan, hvis noget alligevel sker. Den gør det også muligt at forklare kunder, ansatte og bestyrelse, hvorfor pengene er brugt, som de er. → Ledelsens prioritering

Hvad ledelsen konkret kan beslutte

Den amerikanske myndighed for cyber- og infrastruktursikkerhed, CISA, har lavet en vejledning til ledere af små virksomheder og mindre myndigheder. Den beskriver seks områder, hvor lederen kan gøre en forskel, og det første er lederen selv: ledere driver strategi, investeringer og kultur. Vejledningen opfordrer blandt andet ledere til at gå forrest med investeringer i grundlæggende cybersikkerhed.

Oversat til en dansk ledelse kan beslutningerne se sådan ud:

Udpeg det vigtigste · hvilke systemer og data kan virksomheden ikke undvære?
Giv nogen ansvaret · en person, der rapporterer til ledelsen om sikkerheden.
Sørg for, at der kan genskabes · sikkerhedskopier, der er afprøvet, så et angreb ikke bliver en katastrofe.
Beslut, hvad der skal ske, hvis det går galt · hvem gør hvad de første timer?
Få afprøvet det vigtigste · en sikkerhedstest, der viser, hvor svaghederne er.

Ingen af beslutningerne kræver teknisk viden. De kræver, at ledelsen tager stilling. De kan træffes på et enkelt ledelsesmøde og følges op på de næste. Det afgørende er ikke, at listen er komplet, men at den er besluttet, og at nogen har ansvaret for hvert punkt. → Beredskab og test

Hvor sikkerhedstesten hjælper mod afmagten

Afmagt vokser af uvished. Når ledelsen ikke ved, hvor svaghederne er, virker hele området uoverskueligt. En sikkerhedstest gør det konkret. I stedet for en diffus fornemmelse af, at alt kan gå galt, får ledelsen en liste over bestemte forhold, der kan rettes, og en vurdering af, hvad der betyder mest.

Det ændrer samtalen. Spørgsmålet er ikke længere, om virksomheden kan beskytte sig mod alt. Det er, om den skal rette dette fund nu eller næste kvartal, og hvad det koster. Den slags spørgsmål kan en ledelse håndtere, fordi de ligner de afvejninger, den træffer på alle andre områder: hvad koster det, hvad får vi, og hvad sker der, hvis vi venter? → Hvad testen kan svare på

Når pengene er få

Opgivelse kan også skyldes, at budgettet er stramt, og at sikkerhed føles som et område uden bund. Her hjælper det at starte småt og målrettet. En afgrænset test af det vigtigste system giver mere end en bred test, der ikke er råd til at følge op på. Hvad der påvirker omfanget af en test, kan ledelsen se under pris og tilbud. Det vigtigste er, at der er afsat noget til at rette det, testen finder. En test uden midler til opfølgning kan forstærke følelsen af afmagt, fordi ledelsen så kender problemerne uden at kunne gøre noget ved dem. → Budget til rettelser

Et tænkt eksempel

Ejeren af et lille revisionskontor læser om et angreb på en kommune og siger på kontormødet, at hvis en kommune ikke kan beskytte sig, kan kontoret heller ikke. Kontorchefen foreslår i stedet at bruge en eftermiddag på at blive enige om, hvad kontoret ikke kan undvære.

Svaret er klientdata og adgangen til de offentlige indberetningssystemer. Ejeren beslutter at få afprøvet fjernadgangen og klientportalen, at få kontrolleret, at sikkerhedskopierne kan genskabes, og at skrive en kort plan for, hvem der gør hvad, hvis noget sker. Testen finder et par forhold, der rettes inden for en måned. Ejeren konstaterer, at det var mindre uoverskueligt end frygtet, da det først blev konkret.

Det skal I lade være med

At konkludere, at intet nytter · det gør det svært at beskytte det vigtigste.
At måle jer med store organisationer · jeres opgave er at beskytte jeres egen forretning.
At vente på, at alt kan gøres på én gang · start med det vigtigste.
At glemme genopretningen · evnen til at komme igen er lige så vigtig som at undgå angreb.
At lade uvisheden styre · få konkret viden om, hvor svaghederne er.

Hvad kan og ikke kan konkluderes

Ingen virksomhed kan udelukke et angreb, og det er ikke et mål, ledelsen bør sætte sig. Men ledelsen kan beslutte, hvad der skal beskyttes først, hvem der har ansvaret, og hvad der skal ske, hvis det går galt. En sikkerhedstest kan gøre den beslutning konkret. Den gør ikke virksomheden usårlig, og den erstatter ikke de øvrige beslutninger. → Har vi gjort nok?

Tjekliste til ledelsen

☐ Er det besluttet, hvilke systemer og data virksomheden ikke kan undvære?
☐ Har en navngiven person ansvaret for sikkerheden?
☐ Er det afprøvet, at sikkerhedskopierne kan genskabes?
☐ Findes der en kort plan for, hvad der skal ske, hvis noget går galt?
☐ Er det vigtigste system afprøvet af en uafhængig tester?

Kilder

CISA, Cyber Essentials: vejledning til ledere af små virksomheder og mindre myndigheder; seks områder, hvor lederen selv er det første; ledere driver strategi, investeringer og kultur og opfordres til at gå forrest med investeringer i grundlæggende cybersikkerhed.

Senest gennemgået: oktober 2026.