Mange styrer overvurderer egen kontroll over digital sikkerhet

Forskerne kaller gapet en strategisk illusjon og peker på en risiko ved at styrene forveksler det å bli informert med det å føre aktivt tilsyn. 

Studien bygger på svar fra 103 styremedlemmer og en gjennomgang av 594 styreprotokoller med til sammen 6441 saker fra 33 helseforetak i spesialisthelsetjenesten.

Tre av fire saker er til orientering

Tre av fire saker om digital sikkerhet som tas opp i styrene er informasjonssaker (77 prosent). Det vil si enten orienteringssaker eller statusrapporter. 23 prosent er beslutningssaker. 

Selv blant sakene som er klassifisert som beslutningssaker, handler de fleste om at styret godkjenner eller tar til orientering det administrasjonen legger fram. 

Samtidig opplyser 92 prosent av styremedlemmene at de i en eller annen grad sørger for at sikkerhetsstrategien er tilpasset bedriftens mål og samfunnsoppdrag. 

– Datasikkerhet blir i økende grad regnet som et styreansvar, men det er gjort lite forskning på hvordan styret faktisk følger opp dette ansvaret, sier Jostein Jensen, divisjonsdirektør for cybersikkerhet ved Simula Research Laboratory. 

Forskerne bak studien er tilknyttet Simula Research Laboratory, og artikkelen er publisert i Computers & Security.

Nesten halvparten tar opp digital sikkerhet en gang i året

6,8 prosent av styremedlemmene oppgir at de diskuterer digital sikkerhet i hvert styremøte, mens nesten halvparten (48,5 prosent) tar opp temaet en gang i året.

– Uten jevnlige oppfølginger og kritiske spørsmål risikerer styrets arbeid med datasikkerhet kun å bli en papirøvelse, sier Jensen. 

Studien indikerer at styrene i større grad engasjerer seg aktivt i diskusjon og protokollføring av beslutninger utløst av noen konkrete sakstyper som legges fram for styret: en revisjonsrapport, en konkret trusselvurdering, eller en konkret hendelse. Utenfor disse situasjonene er styrenes rolle i hovedsak preget av å motta informasjon og ta den til etterretning.

– Kan i verste fall påvirke samfunnssikkerheten 

Jensen understreker at funnene ikke betyr at styrene er likegyldige, eller at digital sikkerhet ikke tas på alvor. 

– Poenget er heller at mottak av rapporter, orienteringssaker og faste punkter på agendaen lett kan bli symbolske handlinger og forveksles med reell styring.

Samtidig er digital sikkerhet en av de viktigste risikoene for norske virksomheter. 

– Her endrer trusselbildet seg raskt. For virksomheter som leverer samfunnsviktige tjenester, slik som de vi har undersøkt, kan alvorlige hendelser i verste fall påvirke samfunnssikkerheten.

Fire grep for å styrke styrenes arbeid med digital sikkerhet

I artikkelen legger forskerne fram fire grep som kan bidra til å styrke styrenes arbeid med digital sikkerhet:  

1. å styrke kollektiv sikkerhetskompetanse i styret 

2. å gå fra passiv mottak til strukturert evaluering av informasjonen som legges frem

3. å integrere digital sikkerhet som et fast tema i styrearbeidet fremfor noe som dukker opp episodisk

4. å tydeliggjøre ansvarsfordelingen mellom virksomheten, regionale myndigheter og eksterne IT-leverandører

Med den norske digitalsikkerhetsloven, og kommende krav gjennom NIS2-direktivet, blir styrets ansvar for digital sikkerhet tydeligere forankret i regelverket.