Norske styremedlemmer mener selv at de er aktivt involvert i virksomhetens digitale sikkerhet. En ny studie tegner et annet bilde. Tre av fire saker om digital sikkerhet behandles bare som informasjonssaker, mens nesten halvparten av styremedlemmene oppgir at temaet diskuteres kun én gang i året. Forskerne advarer mot en «strategisk illusjon» i styrerommene.
Digitale angrep har på få år gått fra å være et problem først og fremst for IT-avdelingen til å bli en betydelig forretningsrisiko. Likevel kan avstanden mellom hva norske styrer tror de gjør med digital sikkerhet, og hvordan sikkerhetsarbeidet faktisk behandles i styrerommet, være betydelig.
Det kommer frem i en ny studie fra forskere ved Simula Research Laboratory. Forskerne har undersøkt hvordan styrer i norske helseforetak arbeider med digital sikkerhet, og finner et tydelig gap mellom styremedlemmenes egen oppfatning av hvor strategisk involvert styret er, og det som faktisk kommer til uttrykk gjennom styreprotokollene.
Forskerne beskriver fenomenet som en «strategisk illusjon»: Styret kan oppleve at det utøver kontroll fordi det mottar rapporter og blir orientert om sikkerhetssituasjonen, uten nødvendigvis å føre et aktivt strategisk tilsyn.
Studien bygger på svar fra 103 styremedlemmer og en gjennomgang av 594 styreprotokoller fra 33 helseforetak i spesialisthelsetjenesten. Protokollene omfatter totalt 6.441 saker. Forskningen er publisert i det vitenskapelige tidsskriftet Computers & Security.
Tre av fire saker er bare til orientering
Forskjellen mellom styremedlemmenes egen oppfatning og det forskerne finner i protokollene, er betydelig. Hele 92 prosent av styremedlemmene oppgir at de i en eller annen grad sørger for at virksomhetens sikkerhetsstrategi er tilpasset virksomhetens mål og samfunnsoppdrag. Når forskerne undersøkte hva styrene faktisk behandlet, fant de imidlertid at 77 prosent av sakene om digital sikkerhet var informasjonssaker, enten i form av orienteringer eller statusrapporter. Bare 23 prosent var klassifisert som beslutningssaker.
Selv blant beslutningssakene var aktiviteten begrenset. Ifølge forskerne dreide de fleste seg om at styret godkjente eller tok administrasjonens fremlegg til orientering.
– Datasikkerhet blir i økende grad regnet som et styreansvar, men det er gjort lite forskning på hvordan styret faktisk følger opp dette ansvaret, sier Jostein Jensen, divisjonsdirektør for cybersikkerhet ved Simula Research Laboratory.
Funnene reiser dermed et sentralt spørsmål for norske styrer: Er det tilstrekkelig å være godt informert om den digitale risikoen virksomheten står overfor, eller må styret i større grad utfordre, evaluere og stille krav til administrasjonen? Forskerne mener det siste er nødvendig.
Nesten halvparten diskuterer sikkerhet én gang i året
Studien viser også at digital sikkerhet ikke nødvendigvis er et hyppig tema rundt styrebordet. Bare 6,8 prosent av styremedlemmene oppgir at digital sikkerhet diskuteres på hvert styremøte. Nesten halvparten, 48,5 prosent, oppgir at temaet tas opp én gang i året.
Det står i kontrast til et digitalt trusselbilde som kan endre seg langt raskere enn virksomhetenes ordinære styresykluser.
– Uten jevnlige oppfølginger og kritiske spørsmål risikerer styrets arbeid med datasikkerhet kun å bli en papirøvelse, sier Jensen.
Forskerne finner samtidig at styrene blir mer aktive når de konfronteres med konkrete situasjoner. Revisjonsrapporter, konkrete trusselvurderinger eller faktiske sikkerhetshendelser fører i større grad til diskusjon og protokollførte beslutninger. Uten slike utløsende hendelser er styrenes rolle i hovedsak preget av at de mottar informasjon og tar denne til etterretning.
Informasjon er ikke det samme som styring
Forskerne understreker at resultatene ikke betyr at styrene er likegyldige til digital sikkerhet. Problemet ligger snarere i hvordan selve styrearbeidet organiseres. Et styre kan motta omfattende dokumentasjon, ha cybersikkerhet som fast punkt på dagsordenen og regelmessig bli orientert av administrasjonen. Likevel er ikke dette nødvendigvis det samme som aktiv risikostyring.
– Poenget er heller at mottak av rapporter, orienteringssaker og faste punkter på agendaen lett kan bli symbolske handlinger og forveksles med reell styring, sier Jensen.
Det skillet er særlig viktig fordi konsekvensene av alvorlige digitale hendelser kan strekke seg langt utover IT-systemene. Angrep kan stanse produksjon og tjenester, føre til tap av sensitiv informasjon, skade virksomhetens omdømme og påføre bedriften betydelige økonomiske kostnader.
For virksomheter som leverer kritiske tjenester kan konsekvensene bli enda større.
– Her endrer trusselbildet seg raskt. For virksomheter som leverer samfunnsviktige tjenester, slik som de vi har undersøkt, kan alvorlige hendelser i verste fall påvirke samfunnssikkerheten, sier Jensen.
Forskerne anbefaler mer aktive styrer
På bakgrunn av resultatene trekker forskerne frem flere områder hvor styrene kan styrke arbeidet.
For det første mener de den kollektive sikkerhetskompetansen i styret bør styrkes. Det betyr ikke nødvendigvis at hvert enkelt styremedlem må være ekspert på cybersikkerhet, men styret som helhet må ha tilstrekkelig kompetanse til å forstå risikoen og utfordre informasjonen administrasjonen legger frem.
Forskerne mener også at styrene bør bevege seg fra passivt mottak av informasjon til en mer strukturert evaluering. Digital sikkerhet bør integreres som en ordinær og tilbakevendende del av styrearbeidet, fremfor å bli et tema som først får oppmerksomhet når en konkret hendelse, revisjon eller trusselvurdering dukker opp.
I tillegg bør ansvarsfordelingen mellom virksomheten selv, myndigheter og eksterne IT-leverandører være tydelig.
Dette siste punktet kan være særlig relevant for mindre og mellomstore virksomheter. Mange bedrifter kjøper store deler av IT-infrastrukturen og sikkerhetstjenestene fra eksterne leverandører. Det reduserer imidlertid ikke nødvendigvis styrets behov for å forstå hvilken risiko virksomheten faktisk har, og hvem som har ansvaret dersom noe går galt.
Cybersikkerhet flyttes inn i styrerommet
Utviklingen skjer samtidig som kravene til virksomhetenes digitale sikkerhet skjerpes. Den norske digitalsikkerhetsloven og kommende krav knyttet til EUs NIS2-direktiv bidrar ifølge forskerne til at styrenes ansvar blir tydeligere forankret i regelverket.
Dermed er digital sikkerhet i ferd med å bli en stadig mer ordinær del av virksomhetsstyringen. For styrene innebærer det også et skifte i hvordan temaet må forstås. Cybersikkerhet kan ikke bare reduseres til et spørsmål om brannmurer, passord, programvareoppdateringer og tekniske sikkerhetssystemer. Det handler også om virksomhetens evne til å håndtere risiko, opprettholde drift og beskytte verdier.
Den nye studien er riktignok basert på helseforetak, og resultatene kan derfor ikke uten videre overføres direkte til alle norske virksomheter. Likevel setter forskningen søkelyset på en problemstilling som er relevant langt utenfor helsesektoren.