”Problemet drivs av teknik, men det är i grunden ett affärs- och personalproblem”, säger Charles Hosner, global chef för cyberresiliens på den globala konsultjätten Accenture, om cybersäkerhet.
Med 30 års erfarenhet från återuppbyggnad efter några av världens mest destruktiva cyberattacker har han på nära håll sett vad som faktiskt brister när det redan krisar, inte bara tekniken, utan ledarskapet, kulturen och organisationens förmåga att agera under extremt tryck.
”Mitt budskap till alla företagsledningar är att ni äger säkerheten, era it-säkerhetschefer kan inte hålla er säkra och ni kan inte delegera det ansvaret. Vad ni ska kräva av dem är insyn och utbildning om era avvägningar i verksamheten.”
Cybersäkerhet idag är alltså inte ett teknikproblem med en mänsklig komponent, utan det motsatta menar Charles Hosner
”Chefer måste förstå att det är deras ansvar. Om cybersäkerheten fungerar eller inte beror på dem, inte på säkerhetspersonalen.”
Är det då möjligt för ett företag att vara 100 procent cybersäkert i dagens miljö?
”Nej, det finns inget paradis av perfekt skydd. Illusionen av det slösar mycket pengar och orsakar ångest inom organisationer. Men om du förstår systemets natur kan du nå en hög nivå av säkerhet och kontroll. Precis som när du går ut på gatan är du inte 100 procent säker, men känner dig bekväm eftersom du förstår miljön.”
Det stora problemet idag är att branschen definierar cybersäkerhet fel, menar Charles Hosner vidare.
”Våra it-system har blivit extremt komplexa under de senaste 15 åren och ingen har egentligen märkt det. Och när man rör sig in i den här världen av system är det inte längre möjligt att förutsäga och kontrollera varje aspekt eftersom systemens egenskaper är framväxande och under utveckling. Man kommer aldrig att lyckas. Ändå försöker vi fortfarande. Och jag tror att det är grunden till den utmaning vi har just nu inom cybersäkerhet: Att vi fortfarande försöker använda metoden att förutsäga och kontrollera. Och det fungerar sämre och sämre för varje dag."
Men hur som helst måste man väl ha någon form av säkerhet, var lägger man nivån för den?
”Det finns en mängd förebyggande åtgärder som man fortfarande behöver göra, men de måste vara riktigt smarta och riktade. Vi har varit lata och gjort en massa förebyggande åtgärder och varje gång något nytt dyker upp lägger vi bara till ett nytt lager.”
Han gör liknelsen med om vi har ett stort slott med en massa murar runt omkring, och vi fortsätter att lägga till murar trots att det sannolikt är en tusen meter hög flodvåg som kommer mot oss som bara kommer att slå över alla dessa murar.
”Sluta med de sista fem murarna och bygg något som gör att du kan minska konsekvenserna av ett eventuellt intrång.”
Charles Hosner pratar mycket om att ta säkerheten mer rakt på sak och förenkla.
”Du behöver inte lasrar, bara lås dörren.”
Låter enkelt, men är det verkligen så enkelt?
”Vi blir väldigt exalterade av ny, bländande teknik samtidigt som vi inte gör de grundläggande sakerna rätt. Vi köper riktigt avancerade verktyg, använder dem och får 10 procent värde ut av det verktyget. Det är laserkonceptet. Du behöver inte lasrar för att lösa problemet med att du lämnade din dörr öppen. Grundläggande hygien tror jag fortfarande på. Jag tror fortfarande starkt på en förmåga att skydda kärnan i din miljö.”
Hitta de sex saker som är viktigast – som kan göra mest skada på hela företagets miljö – och skydda dem är Charles Hosners rekommendation.
Alla de pengar som företagen idag investerar i ytterligare säkerhetslager och ”laserteknik” kan istället göra bättre nytta, menar han.
”För det första måste du arbeta för att minska explosionsradien för de saker som går sönder i din omgivning, och för det andra måste du minska den tid det tar för dig att resa dig upp igen för att återhämta dig efter stora attacker.”
Och tekniken för detta har utvecklats snabbt under bara de senaste 18 månaderna, konstaterar Charles Hosner.
”Om det vore för två år sedan hade vi inte många alternativ, men nu har vi det. Och de tekniska framstegen går nu mycket, mycket snabbare. Så vi kommer att nå en punkt där återhämtning efter en cyberattack blir en ganska snabb sak.”
Han föredrar således att prata om motståndskraft, resiliens, istället för trygghet och säkerhet.
Men är det redan idag möjligt att återhämta sig både bra och snabbt efter en cyberattack?
”Om du förbereder dig för det. Snubblar du in i det utan strategi, lycka till. Jag arbetar med återhämtning efter stora incidenter och ledde danska Maersks respons efter attacken 2017. De var inte förberedda, men klarade sig genom tur och hjältemod från engagerade anställda som jobbade 100-timmarsveckor. Det fungerar oftast, men tar lång tid och är otroligt dyrt. Hopp är inte en strategi, även om det är en form av motståndskraft.”
Alla kan återhämta sig efter en cyberattack. Det är bara en fråga om tid och störningar som uppstår. Inte heller här menar han att strävan är efter perfekt motståndskraft, men att alla kan bli bättre.
”Hur lång tid tar det att återställa kärnan i er verksamhet till 80 procent av er vinst och förlust igen? 110 dagar? Okej. Vad gör ni för att klara det på 100 dagar? Vad gör ni nu för att klara 60 dagar? Det här är de samtal som chefer behöver ha, till skillnad från varför vi hade en incident.”
Känner du att det börjar sjunka in hos företagen?
”Jag hoppas att medvetenheten har ökat, men förmodligen inte medvetenheten om vad som behöver göras. Företagen måste gå från 95 procent förebyggande och 5 procent motståndskraft, till kanske 50/50 i investeringar.”
Vad är det viktigaste att göra för att kunna återhämta sig snabbt och bra?
”Det första är att känna sin organisation och kartlägga den hela vägen från silikonet upp till vinst och förlust. Har ni en miljon trasiga servrar och jag bara kan göra tio om dagen måste vi börja med dem som får er resultaträkning i ordning igen så snabbt som möjligt. Ni som organisation måste förstå era värdestaplar och återställa de delar först som representerar störst del av verksamheten.”
Vilka är då de viktigaste frågorna en styrelse eller vd idag bör ställa till sitt säkerhetsteam?
”Alla inom it och cyber borde känna till företagets värdekedjor och stora processer, inte bara ’hålla servrarna igång’. Som chefer måste ni kräva att it och cyber talar företagets språk och förstår hur ni skapar värde. Kan de inte det behövs en kulturell förändring. Utan affärsförståelse sätter cyber bara kontroller överallt, vilket blir dyrt och gör att vissa områden överkontrolleras medan andra underkontrolleras. Det är chefernas ansvar att hjälpa alla att förstå vad ni gör och vilka ni är.”
Hur mycket ser du AI som ett nytt säkerhetshot respektive säkerhetsverktyg?
”AI driver oss från komplexitet nästan in i kaos. Vi har nu oförutsägbara system där du lägger in input men får olika output. Därför måste vi byta kontrollsystem: sluta tro att vi kan förebygga och kontrollera, och istället gå över till konsekvenshantering. Ju snabbare AI kommer igång, desto mer blir konsekvenshantering vår mest effektiva kontroll, vilket blir ett problem eftersom människor inte intuitivt förstår det.”
Hur ser hotbilden ut i olika sektorer idag?
”Den har vänts upp och ner. Tidigare var det banker, militären och stora plattformar som spenderade enorma summor och attackerades, medan gruvdrift och logistik låg i botten. Men med ransomware och sammankoppling är detaljhandel och tillverkning nu de främsta målen. Det är lätt att få ut pengar genom att stänga ner en fabrikslinje och få någon att skriva en check. Dessa mindre mogna organisationer får nu mycket uppmärksamhet. Sverige och Norden bör oroa sig, med sin stora tillverkningsbas gör det att dessa företag förmodligen är minst förberedda och mest attackerade. Det blir inte en rolig resa de närmaste åren.”