Vad skiljer aktiviteter från förmåga?

Säkerhetsarbetet är fullt av aktivitet. Riskanalyser genomförs, medarbetare utbildas, policys uppdateras, sårbarheter hanteras och nya kontroller införs. Insatserna rapporteras till ledningen och bockas av i planer som visar att organisationen tar frågan på allvar. Men det finns en obekväm fråga som sällan får tillräckligt med utrymme: Har organisationen blivit bättre på att hantera cyberrisker, eller har den bara blivit bättre på att genomföra säkerhetsaktiviteter?

Skillnaden är större än den först verkar. En aktivitet visar att något har gjorts. En förmåga visar att organisationen kan åstadkomma ett önskat resultat när det faktiskt behövs. Det första är relativt enkelt att dokumentera. Det andra kräver att människor, beslut, teknik och arbetssätt fungerar tillsammans, även när förutsättningarna förändras.

Den fulla aktivitetsplanen kan skapa falsk trygghet

Det ligger något tillfredsställande i en full aktivitetsplan. Den visar rörelse. Det finns ansvariga, statusmarkeringar och leveransdatum. Arbetet går att rapportera, följa upp och presentera. Men en lång lista över genomförda åtgärder säger förvånansvärt lite om organisationens verkliga motståndskraft. En genomförd incidentövning betyder inte nödvändigtvis att organisationen kan fatta rätt beslut under tidspress. En utbildad ledningsgrupp innebär inte automatiskt att cyberrisk har integrerats i verksamhetens prioriteringar. En ny policy visar inte att arbetssätten har förändrats. En teknisk kontroll skapar inte säkerhet om den inte används, förvaltas och följs upp som en del av en fungerande helhet.

Ändå är det ofta aktiviteterna som dominerar rapporteringen. De är konkreta och lätta att räkna. Förmåga är svårare att fånga eftersom den visar sig först när organisationen behöver omsätta sina ambitioner i handling. Det gör aktivitetsrapporteringen attraktiv, men också potentiellt vilseledande.

"Det som är lättast att rapportera är sällan det viktigaste att förstå."

Compliance kan vara grön samtidigt som förmågan är röd

Regelverk och ramverk fyller en viktig funktion. De skapar struktur, definierar förväntningar och hjälper organisationer att identifiera områden som behöver hanteras. Problemet uppstår när efterlevnaden förväxlas med resultatet.

En organisation kan ha styrdokument, riskregister, utbildningsplaner och beslutade kontroller på plats utan att för den skull vara särskilt väl rustad att hantera en verklig incident. Den kan vara väl dokumenterad men långsam i besluten, ha tydliga roller men oklara mandat, eller ha omfattande rapportering utan en gemensam bild av vilka risker som faktiskt är mest kritiska.

Det betyder inte att dokumentation och kontroller saknar värde. Det betyder att de behöver bedömas utifrån vad de ska bidra till. Om en aktivitet inte stärker organisationens förmåga att förebygga, upptäcka, hantera eller återhämta sig från en störning måste vi våga fråga varför den prioriteras. Om svaret huvudsakligen är att aktiviteten står i en plan eller förväntas vid en revision finns det en risk att säkerhetsarbetet har börjat optimera för granskningsbarhet, snarare än motståndskraft.

Förmåga visar sig mellan funktionerna

Säkerhetsförmåga byggs inte i ett enskilt team. Den uppstår i samspelet mellan ledning, verksamhet, IT, säkerhetsfunktion, juridik, kommunikation och externa leverantörer. Det är därför den ofta är svår att se i en aktivitetsplan. Planen följer organisationens funktioner, medan en verklig incident rör sig mellan dem. När någonting inträffar spelar det mindre roll hur många aktiviteter varje funktion har genomfört var för sig. Det avgörande är om organisationen kan skapa en gemensam lägesbild, förstå verksamhetskonsekvenserna, fatta beslut med rätt mandat, kommunicera samordnat och återställa det som är mest kritiskt.

Det är i övergångarna som förmågan prövas. Mellan upptäckt och eskalering. Mellan teknisk analys och verksamhetsbeslut. Mellan en identifierad leverantörsrisk och ett faktiskt ställningstagande. Mellan ledningens ambition och verksamhetens vardag. Om ingen äger dessa övergångar spelar det begränsad roll hur väl respektive del fungerar isolerat.

"En organisation är inte mer motståndskraftig än sina svagaste överlämningar."

Mät det ni vill bli bättre på

Det är frestande att mäta det som redan finns tillgängligt. Antal utbildade medarbetare. Antal genomförda granskningar. Antal identifierade sårbarheter. Antal stängda åtgärder. Sådana uppgifter kan ge viktig information, men de blir problematiska när de presenteras som bevis på att riskerna har minskat eller att förmågan har stärkts. De beskriver produktion, inte nödvändigtvis effekt.

En mer användbar uppföljning börjar därför med andra frågor. Kan organisationen snabbare förstå konsekvensen av en incident? Har det blivit tydligare vem som fattar vilka beslut? Kan verksamheten identifiera sina kritiska beroenden? Hanteras de mest betydelsefulla riskerna före de enklaste? Följs kvarstående risk upp tills någon med rätt mandat har tagit ställning?

Det handlar inte om att ersätta alla aktivitetsmått. Det handlar om att sätta dem i ett sammanhang. Varje större aktivitet bör kunna kopplas till en förmåga som organisationen vill stärka och en risk som den vill påverka. Om den kopplingen saknas är det inte säkert att arbetet är oviktigt. Men det bör vara svårt att försvara dess prioritet.

Framdrift kräver att något väljs bort

Här finns ytterligare en obekväm sanning. Organisationer kan inte bygga alla säkerhetsförmågor samtidigt. Ändå behandlas säkerhetsplaner ofta som om varje identifierad brist ska omvandlas till en aktivitet. Resultatet blir fler parallella initiativ, hårdare belastning på organisationen och mindre utrymme för den uppföljning som krävs för att få åtgärderna att fungera över tid. En mogen prioritering innebär därför inte bara att välja vad som ska göras. Den innebär också att välja vad som får vänta, vilken risk det medför och vem som accepterar den.

Som en uppdragsgivare konstaterade efter att ha gått igenom ännu en säkerhetsplan: ”Det här är bara en long list of laundry.” Det var svårt att säga emot. Planen innehöll mängder av aktiviteter, men betydligt mindre om vilka förmågor som skulle stärkas, vilka risker som skulle reduceras och hur ledningen skulle veta om organisationen faktiskt blivit bättre.

Det kan upplevas som obekvämt att välja bort. Men alternativet är sämre. När allt är prioriterat finns ingen verklig prioritering. Då tenderar organisationen att genomföra det som är enklast att leverera, tydligast att rapportera eller mest akut för stunden.

Förmåga byggs däremot genom uthållighet. Ett begränsat antal prioriterade områden behöver utvecklas tills de fungerar i vardagen, under press och över organisatoriska gränser. Först därefter går det att säga att organisationen har blivit starkare.

"En säkerhetsplan utan tydliga bortval är ingen prioritering. Det är en önskelista."

Fyra frågor som förändrar uppföljningen

För att flytta samtalet från aktiviteter till förmåga behöver organisationen inte börja med en ny omfattande mätmodell. Den kan börja med att pröva sina viktigaste säkerhetsinitiativ mot fyra frågor:

1. Vilken verksamhetsrisk ska aktiviteten påverka?
Om det inte går att förklara varför en aktivitet är viktig för verksamheten blir det också svårt att prioritera den mot andra behov.

2. Vilken förmåga ska bli starkare?
Aktiviteten behöver bidra till något som organisationen ska kunna göra bättre, snabbare eller mer konsekvent.

3. Hur märker vi att förmågan fungerar?
Det bör finnas ett sätt att pröva utvecklingen genom beslut, övning, uppföljning eller faktisk tillämpning, inte bara genom att kontrollera att aktiviteten är genomförd.

4. Vem beslutar om resultatet är tillräckligt?
Någon med rätt mandat behöver kunna bedöma den kvarstående risken, prioritera nästa steg och acceptera att organisationen ibland måste välja mellan olika behov.

Frågorna är enkla, men konsekvensen är betydande. De tvingar organisationen att röra sig från leverans till effekt och från säkerhetsfunktionens aktivitetsplan till ledningens ansvar för risk och förmåga.

Gör färre saker, men få dem att fungera

Vägen framåt handlar inte om att sluta genomföra säkerhetsaktiviteter. Den handlar om att ställa högre krav på vad aktiviteterna ska åstadkomma. Börja med de risker som har störst betydelse för verksamheten. Bestäm vilken förmåga som behöver stärkas för att hantera dem. Samla de funktioner som behöver bidra och tydliggör vilka beslut som krävs. Följ sedan utvecklingen tills arbetssättet fungerar som en del av den löpande verksamheten, inte bara tills projektet kan markeras som klart.

Det kan innebära färre samtidiga initiativ och fler obekväma prioriteringar. Det kan också innebära att vissa gröna statusmarkeringar behöver omvärderas. Men det är först då säkerhetsarbetet börjar svara på den fråga som faktiskt spelar roll: Har organisationen blivit bättre på att hantera det som kan störa eller skada verksamheten? Om svaret inte går att ge är problemet sannolikt inte brist på aktivitet. Problemet är att aktivitet har fått bli ett substitut för förmåga.

"Det mest riskfyllda säkerhetsarbetet är inte det som står still. Det är det som ser aktivt ut utan att göra organisationen starkare."

Nästa steg

Motståndskraft byggs inte genom fler fristående aktiviteter, utan genom att risk, prioritering, ansvar och uppföljning hålls ihop över tid. Läs mer om hur Exobe hjälper organisationer att utveckla ett mer sammanhållet och styrbart säkerhetsarbete.

Läs mer om Motståndskraft här!