Det er et klassisk dilemma: It-sikkerhedsområdet bliver mere og mere vitalt, da it-systemerne i stærkt stigende omfang bliver forretningskritiske.
Men samtidig er kun de færreste finansdirektører villige til at poste flere penge ind i området, som det forventes, at it-chefen alligevel holder kørende.
Enhver CIO og it-ansvarlig ved, at det hurtigt kan koste jobbet, hvis ikke it-sikkerhedsområdet passes ordentligt.
Langt hoveddelen af it-sikkerhedsindkøbene bliver finansieret via it-budgettet, hvor pengene til øvrige it-indkøb jo også skal findes.
De fleste it-ansvarlige ved nok, at de hurtigt kan købe sig fattige i it-sikkerhedsløsninger, der falbydes af et væld af smarte sælgere og produktive virksomheder.
De ved også, at det ikke er den rigtige vej at gå. Det handler i stedet om at anvende midlerne på den måde, der giver mest for pengene. Det gælder både indkøb samt (gen)anvendelse af eksisterende sikkerhedsprodukter.
Analysehuset Gartner har fornylig vurderet, at omkring fem procent af it-budgetterne i gennemsnit anvendes på it-sikkerhed, men skriver samtidig, at selve beløbet faktisk ikke spiller den helt store rolle, når det gælder opnåelsen af optimal it-sikkerhed.
For investerer man det forkerte sted i de forkerte løsninger, er man faktisk lige vidt.
Her kommer der fire grundlæggende råd til dig, der ønsker at få (lidt) mere ud af it-sikkerhedsbudgettet.
Effektiv risiko-håndtering
Mange topchefer og finansdirektører har fået øjnene op for, at it-sikkerheden er vital for virksomheden, og ofte har der fulgt penge med denne erkendelse. Men aldrig nok.
For (nærmest) uanset hvor mange penge, der bliver sendt efter it-sikkerhedsområdet, vil der være behov for flere.
Med de avancerede angreb, som vi ser i dag, kan du reelt kun beskytte hele netværket mod alle angreb ved at slukke det helt - ikke mindst fordi netværkene jo ofte rækker ud til rigtigt mange devices og brugere på flere forskellige platforme.
Det handler derfor om at sætte ind, hvor det er mest vitalt i forhold til forretningen og virksomhedens overordnede strategier, hvilket jo kræver, at man forstår forretningen og dens processer til bunds.
Hvad er vigtigst? Hvad er knap så vigtigt? Hvad kan jeg leve med bliver ramt i en periode?
Du behøver kort sat ikke beskytte alle data og alle devices lige godt.
Uddan og oplys alle medarbejdere (og begynd med ledelsen)
De fleste it-ansvarlige ved i dag, at virksomhedens medarbejdere er det allermest sårbare punkt. Det er her, at det oftest går galt, når malware smutter inden for, opdateringer går galt, nedbruddene sker.
Der skal bare en enkelt ubetænksom medarbejder, der klikker på et råddent link i en mail, til at slippe en stump ransomware-kode eller anden malware ind i hele systemet, og så har vi balladen.
Du kan komme rigtigt langt på it-sikkerhedsområdet ved at fokusere på at uddanne medarbejderne. Ofte ved de meget mindre, end du tror, og de tror sig ofte meget sikrere, end du tror.
Begynd med at opdrage og undervise bestyrelsen og ledelsen i it-sikkerhed. Har du først ledelsen med dig, er det meget nemmere at få tingene igennem,
Få den til at forstå, at dette område ikke er noget, der giver sig selv. Og sørg for at tale til ledelsen i 'forretningsssprog' - altså ikke noget algoritme- og applikationssnak, men derimod snak med udgangspunkt i økonomiske og produktivitets-mæssige konsekvenser, business cases, rapporter, tal og lignende.
Monitorer og dokumenter
Forretningen forstår tal og regneark. Og det er ikke for sjov, men fordi tal ikke lyver og udgør fantastiske pejlemærker at navigere efter - og som udgangspunkt altid sikrere og mere klare pejlemærker end mavefornemmelser og intuition.
Lægger du i din håndtering af it-sikkerheden vægt på at dokumentere og monitorere indsatsen, vil du derfor efter kort tid kunne se ret nøjagtigt, hvad der virker, og hvad der ikke virker. Og hvor du får størst effekt for pengene.
Som en nyttig sidegevinst får du et værktøj, som også forretningen forstår.
Hvor kommer angrebene? Hvor mange stoppes? Hvilken type? Og glem ikke monitoreringssystemer, der kan monitorere monitoreringssystemerne.
Udnyt alle muligheder i de nuværende produkter (du overser sikkert en del)
Mange sikkerhedsprodukter indeholder mange forskellige muligheder, og du bør undersøge, om du udnytter alle disse muligheder eller kun en del af dem.
Det ved selvfølgelig leverandøren, som du ikke skal tøve med at kontakte for at spørge, om du har implementeret og udnytter alle de løsninger og fordele, som findes i de produkter, som du allerede betaler for.
Eller om du kan få øget funktionalitet eller brede løsningerne ud over flere områder for en mindre ekstra-omkostning. Kan nogle systemer konsolideres? Udnyttes bedre?
Kan nogle værktøjer fjernes? Og andre udvides?
Har du andre bud? Giv dit besyv med i debatfeltet herunder.