Sådan navigerer du i cybersikkerhed: Indblik og tips

I takt med at vores liv bliver stadig mere forbundet med den digitale verden, har behovet for solid cybersikkerhed aldrig været større. Fra beskyttelse af følsomme virksomhedsdata til sikring af vores personlige oplysninger – der står mere på spil end nogensinde før.  

Vi har talt med Niel Harper, tidligere Chief Information Security Officer og Data Protection Officer hos Doodle, for at få et bedre indblik i dette stadigt skiftende landskab.

I dette interview vil vi tale om hans baggrund og rolle hos Doodle, tendenser inden for cybersikkerhed, hvordan man sikrer kundedata, og hvordan små og mellemstore virksomheder (SMV'er) kan beskytte sig selv i dette stadigt skiftende landskab. 

De mest presserende cybersikkerhedstrusler

Hvad ser du som de mest presserende cybersikkerhedstrusler, som virksomheder står over for i dag?

Ransomware – en type ondsindet software, der låser eller krypterer offerets data og kræver betaling af løsepenge for at genoprette adgangen – udgør fortsat en stor trussel. Den er dog blevet endnu mere udbredt, da trusselsaktørerne nu fokuserer deres opmærksomhed på cyberafpresning. 

Det nuværende geopolitiske klima bidrager også til, at organisationer i stigende grad bliver mål for meget erfarne og velorganiserede, statsstøttede modstandere. 

Derudover er mange virksomheder stadig ikke forberedt på at håndtere de risici, de står over for fra tredjeparter (f.eks. angreb på forsyningskæden). 

Endelig er brugen af generativ AI blandt medarbejdere og eksterne trusselsaktører både en mulighed og en trussel, men mange virksomheder forstår stadig ikke fuldt ud konsekvenserne heraf.

Sikring af vores kunders datasikkerhed

Hvordan sikrer Doodle sikkerheden af sine kunders data, især i forbindelse med sine produkter?

Hos Doodle er vi ikke afhængige af sikkerhedsværktøjer som erstatning for robuste sikkerhedskontroller. Vores fokus ligger primært på at få grundlæggende cybersikkerhed på plads – blandt andet identitets- og adgangsstyring (IAM), konfigurationsstyring, aktivstyring, sårbarhedsstyring, penetrationstest og styring af tredjepartsrisici. Eventuelle værktøjer lægges ovenpå for at understøtte koordinering, automatisering og dybdegående forsvar. 

Der er en risikofokuseret »tone fra toppen«, hvor cyberrisiko er et tilbagevendende emne på bestyrelses- og ledelsesmøder og et centralt element i rammerne for virksomhedens risikostyring (ERM). Doodle gennemgår desuden årlige SOC 2 Type II-, Cyber Verify- og GDPR-revisioner. 

Skabelse af en kultur med sikkerhedsbevidsthed

Hvad er nøglen til at skabe en kultur med sikkerhedsbevidsthed blandt medarbejderne? 

Det mest afgørende aspekt ved at skabe en kultur med sikkerhedsbevidsthed er en stærk »tone fra toppen«. Sikkerhedsbevidsthed skal starte med ledelsen, som skal påvirke virksomhedskulturen og vejlede deres teams i deres handlinger.

Hos Doodle er bestyrelsen og den øverste ledelse for eksempel opmærksomme på og indstillet på de potentielle konsekvenser af cyberrisici på tværs af flere dimensioner i virksomheden. Deres støtte i form af ansvar for risici, effektiv kommunikation, passende finansiering og at gå foran med et godt eksempel er afgørende for at indpode de rette sikkerhedspraksisser blandt medarbejderne. 

Vi tilbyder desuden et dynamisk uddannelsesprogram i sikkerhedsbevidsthed, der udnytter onlineundervisning, regelmæssige tips og tricks, phishing-simuleringer, bordøvelser og rollebaseret træning. 

Nye tendenser inden for cybersikkerhed 

Hvilke nye tendenser eller teknologier inden for cybersikkerhed er du mest begejstret for eller bekymret over? 

Jeg er især begejstret over den enorme opmærksomhed, der rettes mod kapacitetsopbygning inden for cybersikkerhed. Vi ser, at betydelige ressourcer koncentreres om at opbygge kapacitet i nationalstaterne, så de bedre kan beskytte sig mod online-trusler. 

Jeg må rose nøgleaktører som Global Forum for Cyber Expertise (GFCE), Verdensbanken, Den Europæiske Union, World Economic Forum, Organisationen af Amerikanske Stater (OAS), Cyber Peace Institute og andre for deres arbejde på dette område. 

Blandt de trusler, der bekymrer mig mest, er risiciene ved store sprogmodeller (LLM) og AI, tingenes internet (f.eks. smarte enheder, forbundne biler, smarte byer osv.), kvantesikker kryptografi samt statsstøttet cyberkrigsførelse og cyberspionage.

Indsigt og råd til virksomheder

Hvilke råd vil du give virksomheder, især SMV’er, for bedre at beskytte deres data og bevare kundernes tillid?

SMV'er skal have en person på ledelses- og driftsniveau, der forstår og tager ansvar for cyberrisiko som en strategisk forretningsrisiko. Med dette mener jeg, at ansvaret for cybersikkerhed ikke bør delegeres til en IT-chef eller systemadministrator, da det er meget mere end blot en teknologisk risiko.

En kvalificeret og erfaren person bør arbejde med at udvikle og gennemføre virksomhedens cybersikkerhedsplan. Hvis denne kompetence ikke findes internt, bør man overveje at ansætte en virtuel eller delt Chief Information Security Officer (CISO) til at føre tilsyn med styringen af cyberrisici. 

Som nævnt i en tidligere kommentar må organisationer ikke betragte smarte værktøjer som et universalmiddel eller en erstatning for effektiv cybersikkerhed. De skal udarbejde en oversigt over deres kritiske systemer og data (»kronjuvelerne«) og implementere stærke kontrolforanstaltninger baseret på disse systemers og informationsaktivers betydning for virksomheden.

Tak, Niel, for at dele dine indsigter og din ekspertise!