»Jeg har hørt topchefer sige, it-sikkerhedschefer skal hyres, så de kan fyres«

Der går snart ikke en eneste dag uden et datalæk, et hackerangreb eller som minimum en byge af DDoS-angreb. Det er på tide, at it-sikkerhed bliver prioriteret, taget alvorligt, bliver diskuteret og ikke bare bliver løse ord, mener Tom Engly, koncernsikkerhedschef hos Tryg, der har hørt topchefer sige, at:

It-sikkerhedschefer er sådan nogle, du hyrer, så du kan fyre dem, når det går galt.

»Så er der jo en ledelse, der ikke har forstået, hvad det går ud på. Så har man jo ikke forstået it-sikkerhed. Vi prøver at gøre en masse for sikkerheden, men vi ved jo godt, at der findes ikke 100 pct. sikkerhed. Så hvis man som ledelse har holdningen, at man bare fyrer den, der sidder på området, så er der brug for en diskussion,« siger Tom Engly.

Han påpeger, at problemet i den tankegang opstår, hvis ledelsen ikke afsætter nok penge til it-sikkerhed og så blot ansætter en it-sikkerhedschef, man kan fyre, når det går galt – bare så de viser, at de har handlet.

Tom Engly har dog set en forandring på opmærksomheden, it-sikkerhed har fået over de seneste år, hvor lederne i højere grad har fået øjnene op for nødvendigheden af at have styr på området – uden nødvendigvis at forstå, hvad virkeligheden er på området.

»Vi har i mange år levet med, at it-sikkerhed var noget, man snakkede om, men så gjorde man ikke mere ved det. Det er først de senere år, det har indfundet sig på direktions- og bestyrelsesgangene. Det var ikke et hot emne, men det er det heldigvis blevet,« siger han.

Hvem har det endelige ansvar?

Når angreb og nedbrud er blevet hverdag for branchen, så er det nødvendigt at kunne placere, hvem der sidder med ansvaret, og som i sidste ende kan risikere at få en fyreseddel i hånden, påpeger Engly.

»Det er en diskussion, der er værd at tage. Hvem er det, der i sidste ende skal ristes, når det går galt? Vi lever da i en verden, hvor alle kunne stå på den rist. Og det kunne jo være mig i morgen,« siger Tom Engly, der i Tryg blev ramt af et ransomware-angreb i 2016 .

»I Tryg har ledelsen helt sikkert taget cybersikkerhed til sig, og emnet står meget højt på både direktions- og bestyrelsesagendaen, ligesom Tryg i øjeblikket opruster på sikkerhed for et tocifret millionbeløb,« understreger Tom Engly, hvis bekymring ikke er rettet mod egen ledelse, men snarere branchen som helhed.

At placere det endelige ansvar vil højst sandsynligt være noget, der skal vurderes fra sag til sag, men som udgangspunkt starter man fra toppen af hierarkiet.

»Det er den øverste ledelse, der har ansvaret. Men hvis ledelsen har afsat nok ressourcer til it-sikkerhed, så er det klart, at det godt kan være it-sikkerhedschefen, der har fejlet. Hvis man har fået pengene, så er det jo legitimt nok at fyre ham. Det skal heller ikke være carte blanche,« siger Tom Engly.

Ingen total garanti for datasikkerhed

Vi skal forholde os til, at den risiko, der er, ikke kan elimineres 100 pct. Vi kan kun prøve at minimere risikoen for, at det sker.
»Vi skal gøre os bevidste om, at vi er digitale borgere i et digitalt samfund. Det har nogle konsekvenser, som vi ikke selv er klar over endnu. Man kan høre det, hver gang det går galt. Politikerne står i kø for at forklare, hvor dårligt det er, og noget af det er jo sikkert rigtigt, men er dét det fulde billede?« spørger koncernsikkerhedschefen og fortsætter:

»Vi skal forholde os til, at den risiko, der er, ikke kan elimineres 100 pct. Vi kan kun prøve at minimere risikoen for, at det sker. Så lad os prøve at komme på samme planet, og lad os prøve at være sammen om det, så når der endelig sker noget, så står vi ikke med vidt forskellige synspunkter.«

Han oplever, at branchen er begyndt at åbne mere op, så det er muligt at tale om, når der sker brud på sikkerheden. I de tilfælde mener han, at det hjælper mere at arbejde sammen end at pege fingre ad de ramte.