Cyberangrep rammer bredere enn før
Gjør angrepene mer troverdige
Kunstig intelligens har gitt cyberkriminelle nye verktøy. Angrep som tidligere krevde betydelig tid og ressurser, kan i større grad automatiseres og gjennomføres mot mange virksomheter samtidig.
Det gjør det også enklere å tilpasse angrepene. En angriper som får tilgang til en e-postkonto, kan analysere tidligere kommunikasjon og etterligne både språk, skrivestil og kommunikasjonsform. Resultatet kan være falske meldinger som er langt vanskeligere å avsløre.
- De kriminelle har blitt veldig gode til å utnytte mulighetsrommet som kunstig intelligens gir. Jeg tror vi bare så vidt har sett starten på dette, sier Lars Magne Hovtun i Næringslivets Sikkerhetsråd.
Mindre virksomheter er også attraktive mål
En vanlig oppfattelse er at cyberkriminelle først og fremst er ute etter store virksomheter med store verdier. Men når angrep i større grad kan automatiseres, blir det også mulig å angripe mange virksomheter samtidig.
Da blir også mindre virksomheter attraktive. Angrepene kan gjennomføres effektivt, samtidig som kravene kan tilpasses virksomhetens størrelse og betalingsevne. Størrelse i seg selv er derfor ikke lenger noen beskyttelse.
IT-problemet blir en virksomhetskrise
Konsekvensene av et cyberangrep stopper sjelden i IT-avdelingen. Ved et alvorlig løsepengeangrep kan systemer og filer bli utilgjengelige, sensitive personopplysninger komme på avveie og produksjon eller leveranser stoppe opp. I tillegg kan hendelsen utvikle seg til både en personvern-, kommunikasjons- og omdømmekrise.
- En alvorlig digital sikkerhetshendelse er ikke noe «IT-greier». Det er ganske omfattende for hele bedriften, sier Hovtun.
Cyberberedskap er mer enn teknisk sikkerhet. Ledelsen må også vite hva som skal skje dersom kritiske systemer plutselig ikke er tilgjengelige: Hvem tar beslutningene? Hvem skal kontaktes? Og hvor får virksomheten raskt tilgang til riktig kompetanse?
Det viktigste arbeidet skjer før angrepet
Det er ikke mulig å eliminere cyberrisikoen fullstendig. Målet må derfor være både å redusere sannsynligheten for at noe skjer og begrense konsekvensene dersom virksomheten likevel blir rammet.
Mye handler om grunnleggende cybersikkerhet. Men virksomheten bør også ha tenkt gjennom selve hendelsen på forhånd: Hvilke systemer og leverandører er kritiske? Hvem skal kontaktes? Hvem har ansvar for hva? Og hvor får man spesialisert teknisk og juridisk hjelp hvis det blir nødvendig?
- Man kan sammenligne det med en brann: Man venter ikke med å finne nummeret til brannvesenet til huset allerede står i full fyr. Den samme tankegangen bør ligge til grunn for cyberberedskapen sier Hovtun.
Virksomheter som har forberedt seg, har derfor et langt bedre utgangspunkt når et angrep først skjer.
Cyberforsikring er også beredskap
Tekniske sikkerhetstiltak og god beredskap kommer først. Men en cyberforsikring kan være en del av beredskapen dersom virksomheten likevel blir rammet. Forsikringen handler ikke bare om økonomisk erstatning i etterkant.
Avhengig av avtalen kan virksomheten få rask tilgang til spesialisert hendelseshåndtering, juridisk bistand, PR- og kommunikasjonsstøtte og hjelp med varsling. Forsikringen kan også dekke økonomiske tap innenfor vilkårene i avtalen.
- Man får egentlig noen som tar over som prosjektledere i det man blir rammet av et IT-angrep, sier Tobias Knudsen, forsikringsmegler og partner i Söderberg & Partners Specialty.
Prosessen med å etablere en cyberforsikring kan dessuten bidra til å avdekke svakheter. Virksomheten må gå gjennom egen IT-sikkerhet og dokumentere at bestemte sikkerhetstiltak er på plass.
Forsikringen erstatter ikke god cybersikkerhet. Den kan være et supplement til det forebyggende arbeidet og en del av planen for å håndtere konsekvensene dersom sikkerhetstiltakene ikke er nok, sier Knudsen.
Fem spørsmål virksomheten bør stille seg
- Hvilke systemer og leverandører er kritiske for virksomheten og hva skjer dersom disse blir utilgjengelige?
- Har vi en plan dersom en IT-hendelse oppstår? Hvem skal kontaktes, og hvem har ansvar for hva?
- Hva sier avtalene med IT-leverandørene våre og hvilket ansvar har leverandøren dersom noe går galt?
- Hvordan dokumenterer vi et økonomisk tap etter en cyberhendelse?
- Hvordan henger cyberrisikoen sammen med øvrige risikoer og forsikringer i virksomheten?
- Det viktigste er ikke nødvendigvis å ha alle svarene i dag. Men virksomheter som har kartlagt risikoen, avklart ansvar og vet hvem de skal kontakte når noe skjer, står bedre rustet når en cyberhendelse først inntreffer, avslutter Knudsen.
