Afhængighed af store udenlandske teknologileverandører og en uforudsigelig geopolitisk situation gør danske virksomheder sårbare over for handelskrige, trusler og cyberangreb. Når adgangen til virksomhedens data kan brydes ude fra, kan driftssikkerhed, konkurrencekraft og compliance sættes ud af spil.

I denne artikel ser vi nærmere på, hvordan virksomheder kan forankre ansvaret for datasikkerhed, så de sikrer en robust forretning, der er rustet til at håndtere kriser og hastig forandring.

Historisk har datasikkerhed hørt hjemme i IT-afdelingen. Her har data været et driftsanliggende koblet til systemer, drift og infrastruktur, og risikoen er blevet håndteret der, hvor teknologien er blevet drevet.

Den moderne virksomheds afhængighed af data ændrer den præmis.

I dag påvirker datarisiko forretningen og dens eksistensgrundlag, fordi kritiske områder som driftssikkerhed, compliance, leverancesikkerhed, samarbejde, økonomi og omdømme i udstrakt grad afhænger af datatilgængelighed.

Derfor er konsekvenserne af et databrud eller -nedbrud ikke længere tekniske. De er strategiske.

Centrale valg om datasikkerhed skal derfor træffes i bestyrelse og direktion. Ikke for at flytte opgaver væk fra IT, men for at sikre, at risikoniveau, investeringer og prioriteringer afspejler virksomhedens samlede ansvar og risiko. Når ledelsen sætter retningen, får IT klarere rammer og bedre forudsætninger for at udvikle og implementere en robust og sammenhængende indsats.

Det stiller nye krav til ledelsens indsigt i forretningens datastrukturer. Hvor befinder vores data sig, hvordan bruges de, og hvilke eksterne afhængigheder påvirker sikkerheden? Den indsigt er nødvendig for at kunne styre risiko og kapacitet, og ikke mindst for at kunne investere rigtigt.

Når datasikkerhed går fra at være et teknisk anliggende til en strategisk disciplin, øges styrbarheden markant. Det gør virksomheden mere robust og bedre rustet til at håndtere både vækst og kriser.

For en lille gruppe virksomheder – særligt inden for forsvar og kritisk infrastruktur – kan det være nødvendigt at afskære forbindelsen helt til udenlandske udbydere.

Heldigvis er det for mere end 90 % af danske virksomheder ikke nødvendigt at afskære sig fra udenlandske leverandører for at bevare fuld kontrol over forretningskritiske data. Det store flertal behøver altså ikke undvære Microsoft, Google, Amazon eller andre globale platforme for sikre it-sikkerhed. 

Men man kan ikke fortsætte med at bruge platformene i samme setup som tidligere. Man er nødt til at indbygge foranstaltninger i arkitekturen, der sikrer, at virksomheden ikke kan afskæres fra sine egne data.

Det kan gøres ved at implementere et datastyringslag, der kontinuerligt spejler og opdaterer data på egne servere eller hos en sikker udbyder i Danmark, Norden eller EU. Den type løsning giver forretningen et stærkt databeredskab og en fleksibilitet, der gør det lettere at skifte leverandører i fremtiden, hvis det bliver nødvendigt.

En datainfrastruktur med spejling har en række fordele. Den gør det muligt hurtigt at genetablere driften efter et ransomware-angreb og at leve op til regulatoriske krav fx NIS2. Den styrker virksomhedens compliance og dokumentation med et lokalt datagrundlag og giver et bedre overblik over forretningsdata, som kan bruges til at kvalificere og styrke beslutningsprocesser.

Den type arkitektur sikrer således både virksomhedens data og giver bestyrelse og direktion et konkret redskab til at leve op til deres ansvar i bl.a. NIS2.

Datasikkerhed involverer både strategi, teknologi og organisation. Det kræver retning, styring og sammenhæng.

1. Forankr datasikkerhed som strategisk agenda i topledelsen

Bestyrelse og direktion skal fastlægge risikoniveau, investeringer og principper for datatilgængelighed. Når rammerne ligger klar, kan IT eksekvere målrettet og bygge en arkitektur, der reducerer risiko.

2. Skab transparens i virksomhedens dataafhængigheder

Skab et samlet overblik over dataafhængigheder. Hvor ligger vores data, hvem har adgang, og hvilke eksterne leverandører er vi afhængige af? Den indsigt er forudsætningen for at styre risiko, compliance og forretningskritisk kapacitet.

3. Opbyg en infrastruktur, der sikrer kontrol - også i kriser

Virksomheden bør etablere en arkitektur, hvor data kan tilgås i et miljø inden for EU. Det gør det muligt hurtigt at genetablere driften ved cyberangreb eller leverandørnedbrud, øger robustheden og giver et konkret redskab til at efterleve NIS2.

4. Arbejd kontinuerligt med organisatorisk modenhed

Datasikkerhed kræver klare processer, løbende træning og organisatorisk ejerskab. Succes afhænger af, at organisationen kan handle hurtigt og konsekvent, når situationen kræver det. Derfor skal datasikkerhed forankres på tværs af forretningens områder.

Morten Wendelbo

mw@combine.dk
+45 3161 8461