Den största säkerhetsrisken är inte ny teknik. Det är gamla antaganden.

Det finns en punkt där säkerhetsfrågan slutar vara teknisk. Den punkten kommer ofta senare än den borde. Först pratar man om verktyg, kontroller, incidenter, identiteter, data, access, moln, AI och regulatoriska krav. Varje område har sin egen logik, sina egna specialister och sina egna rekommendationer. Men när allt detta ska vägas samman i en verklig organisation blir frågan en annan. Vad bygger våra beslut egentligen på?

Det är här jag tror att många ledningsgrupper, CIO:er och säkerhetsansvariga behöver stanna upp just nu. Inte för att tekniken är oviktig. Tvärtom. Utan för att tekniken förändras snabbare än de antaganden som många organisationer fortfarande styr efter.

När Microsoft nyligen publicerade Rethinking security for the age of AI var det lätt att läsa texten som ännu en uppdatering om AI och cybersäkerhet. Men det mest intressanta är inte att Microsoft presenterar en ny säkerhetsvision. Det mest intressanta är vad den visionen säger om hur säkerhetsarbetet håller på att förändras.

Microsoft beskriver en verklighet där autonoma system kan resonera, anpassa sig och agera kontinuerligt, samtidigt som angripare kan skala attacker snabbare och billigare än tidigare. Deras slutsats är att säkerhet behöver kunna uppfatta risk, resonera över stora mängder kontext och agera i maskinhastighet.

Det låter som en teknisk framtidsbild. Men för mig är det framför allt en ledningssignal. När hot, miljöer och tekniska beroenden förändras kontinuerligt, då kan inte beslutsunderlaget vara statiskt.

Problemet är inte att kontroller saknas

Många organisationer har gjort mycket rätt. Du har kanske infört starkare autentisering. Du har förbättrat endpoint-skyddet. Du har investerat i centrala plattformar för identitet, säkerhet, loggning, efterlevnad och datahantering. Du har policys, processer och rapporter. Du har kanske också börjat titta på AI, Copilot, automation och agentbaserade arbetsflöden. Ändå kan det finnas en känsla av att något saknas. Inte nödvändigtvis mer teknik. Snarare en tydligare bild av vad allt betyder tillsammans.

Det är den bilden som ofta blir svår när säkerhetsarbetet växer fram i flera parallella spår. Varje kontroll kan vara rimlig. Varje initiativ kan vara motiverat. Varje rekommendation kan vara korrekt i sitt sammanhang. Men ledningsfrågan är inte om varje enskild åtgärd är bra. Ledningsfrågan är om du har en sammanhängande modell för att förstå risk, fatta prioriterade beslut och följa upp utvecklingen över tid. Det är en annan nivå av ansvar. Och den blir allt viktigare.

En kontroll kan vara rätt vald och ändå behöva omprövas när sammanhanget förändras.

När det säkra behöver omprövas

Ett konkret exempel är den senaste diskussionen om passkeys. Passkeys har varit ett viktigt steg bort från lösenord och mot mer phishing-resistent autentisering. Det är en positiv utveckling. Men ny säkerhetsforskning, sammanfattad av The Hacker News, visar hur flera angrepp inte behövde bryta kryptografin bakom passkeys. I stället utnyttjades omgivande mekanismer som exponerat signerat autentiseringsmaterial, synkroniserade passkeys, klientmiljöer och redan komprometterade sessioner.

Det är en avgörande skillnad. Budskapet är inte att passkeys är fel. Budskapet är att även starka säkerhetsmekanismer bara är så starka som sammanhanget de verkar i. Det är lätt att underskatta betydelsen av den insikten. För i praktiken innebär den att säkerhetsarbetet inte kan stanna vid frågan om en kontroll är införd. Den behöver följas av en svårare fråga: förstår vi hur kontrollen faktiskt fungerar i vår miljö, med våra beroenden, våra användare, våra klienter, våra identiteter och våra processer? Det första är ett införandebeslut. Det andra är styrning. För en kontroll kan vara rätt vald och ändå behöva omprövas när sammanhanget förändras.

Styrning är inte problemet

Här behöver vi vara noggranna med orden. Det är lätt att säga att traditionell styrning inte räcker. Men det kan låta som att styrning i sig är problemet. Det är den inte. I en miljö där teknik, hotbild, regelverk och användning förändras snabbt blir struktur viktigare, inte mindre viktig. Ansvar behöver vara tydligt. Risker behöver kunna prioriteras. Mognad behöver följas upp. Ledningen behöver bra underlag. Utvecklingen behöver kunna mätas över tid. Det är inte motsatsen till modern säkerhet. Det är grunden för den.

Det som däremot förändras är kravet på hur styrningen används. Om säkerhet bara följs upp i efterhand, genom periodiska statusbilder och rapporter som beskriver nuläget vid vissa tillfällen, finns en risk att beslutsunderlaget blir för långsamt. Inte för att rapporteringen är fel. Inte för att mognadsmätning är fel. Inte för att återkommande styrpunkter är fel. Utan för att verkligheten ibland förändras mellan dem.

En ny sårbarhet upptäcks. En ny AI-funktion introduceras. En ny integration skapar ett annat beroende. En ny regulatorisk tolkning påverkar ansvar. Ett arbetssätt som tidigare var undantag blir vardag. Då behöver organisationen kunna förstå vad som hänt, vad det betyder och om prioriteringarna behöver justeras.

Det betyder inte att styrmodellen ska kastas om varje gång något händer. Det betyder att styrmodellen behöver kunna ta emot ny information och agera baserat på den. Bra styrning handlar inte bara om att följa upp det som beslutats. Den behöver också hjälpa dig att se när ett beslut behöver omprövas.

Frågan är inte bara om du kan visa vad som är gjort. Frågan är om du kan se när det som är gjort inte längre räcker.

Gamla antaganden blir en egen risk

Många säkerhetsbeslut bygger på antaganden som var rimliga när de fattades. Det kan handla om att en viss autentiseringsmetod bedömdes som tillräcklig. Att en viss process ansågs säker. Att en viss dataklassning var hanterbar. Att en viss typ av användning inte förekom. Att en viss plattform främst användes inom givna ramar. Sedan förändras något. Inte alltid dramatiskt. Inte alltid genom en incident. Ofta sker förändringen gradvis. En funktion släpps. En integration aktiveras. En behörighet ärvs. En AI-agent byggs. En leverantör kopplas på. Ett arbetsflöde automatiseras. En policy tolkas på ett nytt sätt i praktiken.

Plötsligt bygger organisationen vidare på ett antagande som inte längre är helt sant. Det är här säkerhetsarbetet behöver bli mer än spårbarhet bakåt. Det behöver också skapa förmåga framåt. Frågan är inte bara om du kan visa vad som är gjort. Frågan är om du kan se när det som är gjort inte längre räcker.

AI förstärker behovet av styrbarhet

AI gör den här frågan tydligare. När AI-agenter och automatiserade flöden kopplas mot data, identiteter och verksamhetsprocesser flyttas också gränsen för vad som behöver styras. Då handlar frågan inte bara om teknik, utan om ansvar, kontroll och uppföljning.

Utan en tydlig styrmodell riskerar AI att förstärka samma problem som redan finns i organisationen: otydligt ansvar, svag överblick och beslut som är svåra att följa upp.

Det är därför Microsofts resonemang är intressant bortom själva tekniken. För när Microsoft beskriver att nästa generations säkerhetssystem behöver kunna uppfatta, resonera och agera, beskriver de också en större förflyttning. Säkerhet handlar inte längre bara om skydd. Det handlar om förmågan att skapa förståelse, prioritera rätt och agera med rätt mandat när förutsättningarna förändras. AI gör inte styrning mindre relevant. AI gör svag styrning mer synlig.

Säkerhet går från skydd till beslutsförmåga

Det är lätt att fastna i säkerhet som något som ska stoppa, begränsa eller upptäcka hot. Men i en mer komplex digital miljö behöver säkerhet också förstås som en beslutsförmåga. Organisationen behöver inte bara veta att något har hänt, utan förstå vad det betyder, avgöra vad som är viktigast och agera med rätt mandat.

Det är här styrning och beslutsfattande möts. Styrningen skapar struktur, ansvar, prioritering och uppföljning. Beslutsförmågan avgör om organisationen kan omsätta detta till handling när verkligheten förändras.

Det här är inte en fråga för säkerhetsfunktionen ensam

Säkerhetsfunktionen kan inte bära detta själv. CISO kan beskriva risker, bygga struktur, föreslå prioriteringar och driva säkerhetsarbetet framåt. IT kan etablera plattformar, hantera konfigurationer och skapa tekniska förutsättningar. Verksamheten kan bidra med förståelse för processer, data och kritiska beroenden. Men styrningen behöver ägas på rätt nivå.

För när säkerhet påverkar driftskontinuitet, affärsrisk, regulatoriskt ansvar, kundförtroende och konkurrenskraft är det inte längre en isolerad IT-fråga. Det är en ledningsfråga. Det betyder inte att varje teknisk detalj ska in i ledningsgruppen. Det betyder att ledningen behöver ett tillräckligt tydligt underlag för att fatta rätt beslut om riktning, prioritering och riskacceptans. Inte en gång utan löpande.

Det är också här många organisationer behöver stärka sin förmåga. Inte genom att göra säkerhet mer dramatisk, utan genom att göra den mer styrbar. Mindre beroende av enskilda hjältar. Mindre fragmenterad mellan verktyg och initiativ. Mer begriplig som en del av verksamhetens ansvar. Säkerhet blir en ledningsfråga när konsekvensen av fel beslut inte längre stannar inom IT.

Den viktiga frågan är inte om du är klar

Det är frestande att vilja bli klar. Klar med MFA. Klar med Zero Trust. Klar med NIS2. Klar med AI-governance. Men säkerhet fungerar inte riktigt så längre. Du kan bli klar med en implementation. Du kan bli klar med en rapport. Du kan bli klar med en viss åtgärd. Men du blir inte klar med styrningen. För styrningen är det som avgör om nya förutsättningar fångas upp, om risker prioriteras rätt, om ansvar är tydligt och om organisationen lär sig över tid.

Det är också där många verksamheter behöver flytta sin mognad. Från att fråga om åtgärden är genomförd, till att fråga om åtgärden fortfarande är tillräcklig. Från att fråga om det finns en rapport, till att fråga om rapporten leder till rätt beslut. Från att fråga om ansvaret är dokumenterat, till att fråga om ansvaret fungerar när något faktiskt händer. Det är inte en kritik av struktur. Det är ett argument för bättre struktur.

Den största säkerhetsrisken är inte alltid det nya, utan gamla antaganden som ingen längre ifrågasätter.

Den verkliga förflyttningen

Ny teknik kommer fortsätta förändra säkerhetsarbetet. AI kommer förändra tempot. Identitetslösningar kommer utvecklas. Angreppsmetoder kommer anpassas. Regelverk kommer skärpa kraven på ansvar och uppföljning. Microsofts ekosystem kommer fortsätta vara centralt för många organisationers digitala vardag.

Framtidens cybersäkerhet handlar inte bara om att skydda organisationen mot hot. Den handlar om att ge organisationen förmåga att fatta rätt beslut när hot, teknik och ansvar förändras.

För den största säkerhetsrisken är inte alltid det nya. Ibland är den största säkerhetsrisken gamla antaganden som ingen längre ifrågasätter.