Varför cybersäkerhet fortfarande är en lagsport

Under de senaste åren har cybersäkerhet blivit en självklar fråga för ledningsgrupper och styrelser. Regelverk, ökade beroenden och en mer komplex hotbild har gjort det tydligt att frågan inte längre kan betraktas som ett tekniskt specialistområde. Cybersäkerhet påverkar idag verksamhetens förmåga att leverera, utvecklas och hantera störningar på ett sätt som gör ledningens engagemang nödvändigt.

Det är en viktig förflyttning. Samtidigt uppstår en risk när cybersäkerhet beskrivs som en ledningsfråga. Vad händer om resten av organisationen börjar uppfatta den som någon annans ansvar?

Ledningen äger ansvaret. Organisationen behöver äga förmågan.

När ansvar centraliseras

Många organisationer har under de senaste åren lagt stor energi på att definiera ansvar. Roller har förtydligats, rapportering har etablerats och styrande dokument har uppdaterats. Det är ett nödvändigt arbete, men ansvar är bara en utgångspunkt.

Den verkliga utmaningen börjar när organisationen ska omsätta ansvaret i prioriteringar, beslut och beteenden. Där uppstår ofta glappet mellan det som står i styrningen och det som faktiskt händer i verksamheten.

Riskerna uppstår inte i säkerhetsfunktionen

Det är lätt att utgå från att cyberrisker huvudsakligen hanteras av IT eller säkerhetsfunktionen. I praktiken uppstår riskerna ofta när verksamheten förändras, när nya leverantörer anlitas, när system integreras, när information delas och när beslut fattas under tidspress.

Organisationens motståndskraft formas därför på betydligt fler platser än i säkerhetsfunktionen. Säkerhetsarbetet blir aldrig starkare än organisationens samlade förmåga att förstå och hantera sina beroenden.

Från ansvarsfördelning till gemensam förmåga

Organisationer som lyckas skapa kontinuitet i säkerhetsarbetet gör inte ledningen till ensam bärare av frågan. Ledningen tar ansvar för riktning, prioritering och uppföljning, samtidigt som verksamhet, säkerhetsfunktion och IT arbetar utifrån en gemensam riskbild.

För den verksamhetsansvariga handlar det om att förstå vilka beroenden som är mest kritiska. För den som arbetar med leverantörer handlar det om att se hur externa beroenden påverkar riskbilden. För den som driver förändring handlar det om att bygga in säkerhet från början. Perspektiven är olika, men de behöver mötas i samma struktur.

Ju tydligare cybersäkerhet blir en ledningsfråga, desto viktigare blir det att den inte stannar i ledningsrummet.

Ledningens uppgift är att skapa förutsättningarna

Ledningen behöver inte äga alla svar. Däremot behöver ledningen skapa de strukturer som gör att organisationens samlade kompetens kan arbeta mot samma mål. Det kräver ett gemensamt språk för risk, tydliga mandat, prioriteringar som går att förstå och en återkommande uppföljning som visar om förmågan faktiskt utvecklas.

När risker översätts till verksamhetskonsekvenser blir det lättare att fatta beslut. När besluten kopplas till tydliga ansvar blir det lättare att skapa framdrift. När utvecklingen följs upp över tid blir cybersäkerhet mindre beroende av enskilda initiativ och mer integrerad i den ordinarie verksamhetsstyrningen.

Nästa förflyttning

Under lång tid har fokus legat på att få upp cybersäkerhet på ledningens agenda. Det har varit nödvändigt. Nästa steg är att säkerställa att frågan också får genomslag i de beslut och arbetssätt som formar verksamheten varje dag.

Det börjar med att tydliggöra vilka delar av organisationen som påverkar den samlade riskbilden, vilket ansvar dessa delar har och hur deras bidrag ska följas upp. Därefter behöver sambanden mellan risk, beslut och verksamhetsförmåga göras synliga i den ordinarie styrningen.

För när cyberrisker påverkar hela verksamheten kan inte heller cybersäkerhet begränsas till en funktion. Cybersäkerhet är ett ledningsansvar. Men det är fortfarande en lagsport.