Att hitta rätt i cybersäkerhetsdjungeln: Insikter och tips

I takt med att våra liv blir alltmer sammanflätade med den digitala världen har behovet av en robust cybersäkerhet aldrig varit större. Från att skydda känslig företagsinformation till att värna om våra personuppgifter – insatserna har aldrig varit högre.  

Vi har pratat med Niel Harper, tidigare informationssäkerhetschef och dataskyddsombud på Doodle, för att bättre förstå denna ständigt föränderliga värld.

I den här intervjun diskuterar vi hans bakgrund och roll på Doodle, trender inom cybersäkerhet, hur man skyddar kunddata och hur små och medelstora företag (SMB) kan skydda sig i detta ständigt föränderliga landskap. 

De mest akuta hoten mot cybersäkerheten

Vilka anser du vara de mest akuta cybersäkerhetshoten som företag står inför idag?

Ransomware – en typ av skadlig programvara som låser eller krypterar offrets data och kräver en lösensumma för att återställa åtkomsten – fortsätter att utgöra ett stort hot. Det har dock blivit ännu vanligare i takt med att hotaktörerna riktar in sig på cyberutpressning. 

Det rådande geopolitiska klimatet bidrar också till att organisationer i allt högre grad blir måltavlor för mycket erfarna och välorganiserade, statligt sponsrade angripare. 

Dessutom är många företag fortfarande oförberedda på att hantera de risker de utsätts för från tredje part (till exempel attacker mot leverantörskedjan). 

Slutligen är användningen av generativ AI av personal och externa hotaktörer både en möjlighet och ett hot, men många företag förstår fortfarande inte fullt ut konsekvenserna.

Att säkerställa våra kunders datasäkerhet

Hur säkerställer Doodle säkerheten för sina kunders data, särskilt när det gäller sina produkter?

På Doodle förlitar vi oss inte på säkerhetsverktyg som ersättning för robusta säkerhetskontroller. Vårt fokus ligger främst på att få grunderna inom cybersäkerhet rätt – bland annat identitets- och åtkomsthantering (IAM), konfigurationshantering, tillgångshantering, sårbarhetshantering, penetrationstestning och riskhantering avseende tredje part. Eventuella verktyg läggs till som ett extra lager för att stödja samordning, automatisering och djupförsvar. 

Det finns en riskfokuserad ”ton från toppen”, där cyberrisker är ett återkommande ämne vid styrelse- och ledningsmöten och en viktig del av ramverket för företagsriskhantering (ERM). Doodle genomgår dessutom årliga SOC 2 Typ II-, Cyber Verify- och GDPR-revisioner. 

Att skapa en kultur präglad av säkerhetsmedvetenhet

Vad är nyckeln till att skapa en kultur präglad av säkerhetsmedvetenhet bland medarbetarna? 

Den viktigaste aspekten för att skapa en kultur präglad av säkerhetsmedvetenhet är en stark ”signal från ledningen”. Säkerhetsmedvetenheten bör utgå från ledningen, som påverkar företagskulturen och styr sina teams agerande.

Hos Doodle är till exempel styrelsen och ledningen medvetna om och lyhörda för de potentiella konsekvenserna av cyberrisker inom flera olika delar av verksamheten. Deras stöd när det gäller ansvarstagande för risker, effektiv kommunikation, adekvat finansiering och att föregå med gott exempel är avgörande för att införa korrekta säkerhetsrutiner bland personalen. 

Vi erbjuder också ett dynamiskt utbildningsprogram för säkerhetsmedvetenhet som utnyttjar onlineutbildning, regelbundna tips och råd, phishing-simuleringar, bordövningar och rollspecifik utbildning. 

Nya trender inom cybersäkerhet 

Vilka nya trender eller tekniker inom cybersäkerhet ser du mest fram emot eller är mest bekymrad över? 

Jag är särskilt glad över den stora uppmärksamhet som riktas mot kapacitetsuppbyggnad inom cybersäkerhet. Vi ser att betydande resurser koncentreras till att bygga upp kapacitet inom nationer för att bättre skydda sig mot hot på nätet. 

Jag måste berömma nyckelaktörer som Global Forum for Cyber Expertise (GFCE), Världsbanken, Europeiska unionen, World Economic Forum, Organisationen för amerikanska stater (OAS), Cyber Peace Institute och andra för deras arbete inom detta område. 

De hot som jag är mest bekymrad över är riskerna med stora språkmodeller (LLM) och AI, sakernas internet (t.ex. smarta enheter, uppkopplade bilar, smarta städer osv.), kvantsäker kryptografi samt statligt sponsrad cyberkrigföring och cyberspionage.

Insikter och råd till företag

Vilka råd skulle du ge företag, särskilt små och medelstora företag, för att bättre skydda sina data och upprätthålla kundernas förtroende?

Små och medelstora företag måste ha någon på lednings- och operativ nivå som förstår och tar ansvar för cyberrisker som en strategisk affärsrisk. Med detta menar jag att ansvaret för cybersäkerhet inte bör delegeras till en IT-chef eller systemadministratör, eftersom det handlar om mycket mer än en teknisk risk.

En kvalificerad och erfaren person bör arbeta med att utveckla och genomföra företagets cybersäkerhetsplan. Om denna kompetens inte finns internt bör man överväga att anlita en virtuell eller deltidsanställd Chief Information Security Officer (CISO) för att övervaka hanteringen av cyberrisker. 

Som nämndes i en tidigare kommentar får organisationer inte se avancerade verktyg som en universallösning eller ersättning för effektiv cybersäkerhet. De måste skapa en förteckning över sina kritiska system och data (”kronjuvelerna”) och införa starka kontroller baserade på hur viktiga dessa system och informationstillgångar är för verksamheten.

Tack, Niel, för att du delar med dig av dina insikter och din expertis!