Artikel top billede

Det er på tide at vi udnævner en it-sikkerhedschef for det offentlige

Klumme: Disruption og digitalisering er store hovedemner, når der tales om effektivisering inden for det offentlige. Men jeg savner i høj grad et mere strategisk fokus på it-sikkerhed. Hvor bliver CISO'en af?

I sidste uge offentliggjorde udenrigsminister Anders Samuelsen (LA) planer om at udpege en digital ambassadør: Anders Samuelsson vil udnævne digital ambassadør for Danmark: Microsoft, Google og Apple er 'blevet en form for nye nationer'

Ambitionen er rimelig klar at forstå: Man vil udnævne en person, der kan skabe dialog med digitale giganter på verdensmarkedet.

Dette er nødvendigvis ikke nogen tosset ide, for vi må erkende, at digitale giganter som Facebook, Google, Microsoft og andre har betydelig indflydelse på vores digitale tilstedeværelse og liv.

Personligt, havde jeg dog håbet på, at man ville offentliggøre en anden udnævnelse, nemlig en CISO - en chief information security officer - for den offentlige sektor i Danmark.

I Danmark er vi glade for digitalisering - både når det handler om, hvordan vi som borgere og virksomheder kommunikerer med myndigheder og når det handler om måderne, hvorpå disse kommunikerer med hinanden. 

Faktisk så er vi så glade for digitalisering i forhold til det offentlige, at vi fik andenpladsen i EU i 2016, når det gælder digital kommunikation fra virksomhed eller borger til en offentlig myndighed. Kun Estland var bedre.

Jeg kan selvfølgelig godt se formålet med at digitalisere, som vi gør. Der er gevinster at hente for borgere, myndigheder og virksomheder ved digitalisering. Konsekvenserne kan til gengæld være alvorlige, når det går galt.

Jeg skriver "når det går galt," fordi jeg efter mere end 15 års arbejde med it-sikkerhed ikke længere tror på, at man kan forhindre alle cyberangreb eller fejl inden for håndtering af digitaliseret materiale. 

Alene i løbet af de seneste to år har vi set lande anklage hinanden for at blande sig i folkevalg samt borgere miste elektriciteten på grund af cyberangreb, hvor en politisk agenda i høj grad er blevet fulgt i cyberspace.

Vi kan ikke forhindre alle cyberangreb eller al fejlhåndtering af følsom data, men vi kan minimere risici, og det er her, at jeg gerne vil slå et slag for, at man udpeger en CISO for den fælles offentlige sektor i Danmark.

Vi har tradition for, at der i vores embedsnetværk i de forskellige ministerier er personer, der uanset partifarve har ansvaret for at drive ministeriet. Herunder kunne en CISO passe ind.

En CISO, der ikke er underlagt en politisk agenda og opererer uafhængigt af partifaven på magthaverne, vil skulle have definerede opgaver:

- Være bindeled mellem de mange gode og velfungerende it-råd, som vi har i Danmark.

- Have et tæt samarbejde med Center for Cybersikkerhed, eksterne virksomheder og organisationer for at kunne adressere og forstå nuværende og fremtidige ændringer i trusselsbilledet

- Sparre med de forskellige ministre, politiske it-ordførere samt ministeriers og myndigheders it-chefer

- Have ansvar for og mandat til at drive en fælles it-sikkerhedsstrategi i den offentlige sektor.  

Hvis vi skærer ind til benet og essensen af it-sikkerhed, så handler det i første omgang om at få styr og kontrol over sine processer og at have en strategi, der rent faktisk kan eksekveres på. 

Det handler mindre om indkøb af ny teknologi. Teknologi er selvfølgelig en vigtig faktor, men jeg vil vove den påstand, at uanset hvilken teknologi, der investeres i, så er udbyttet mindre, hvis der ikke er en overodnet strategi bag.

Helt konkret, så handler det i min optik om at kunne svare på nogle af de spørgsmål, der kan afhjælpe udfordringer og modne it-sikkerhed generelt i det offentlige:

1) Har man identificeret sine mest kritiske aktiver?

2) Har man synlighed og kontrol over sine mest kritiske aktiver?

3) Har man en beredskabsplan, der er dynamisk nok, så den følger trusselsbilledet?

4) Arbejder man på tværs af systemer  efter en fælles standard (eksempelvis ISO27001)? Efterlever man eksempelvis GDPR i EU?

It-sikkerhed er en rejse, og i disse digitaliseringstider handler det også om at få modnet holdningen til området i en fart. Gerne i en hurtigere hastighed end den, som vi digitaliserer med i dag.

Læs også:

Den it-sikkerhedsansvarliges fire vigtige roller - to af dem bliver afgørende for dig

De fem vigtigste sikkerhedstrends i 2017: Ser vi den første hackede cloud i år?

Fire it-sikkerhedstendenser kommer til at præge det kommende år

Systemer og procedurer skal testes nu: Kan du fjerne persondata fra jeres backup?


mest debatterede artikler

Premium
Kombit har fundet leverandør til udbud på 120 millioner kroner: Her er vinderen af udbuddet om Nemrefusion 3.0
Der er nu fundet en vinder af udbuddet om Nemrefusion 3.0, der skal løses de samme opgaver, som den tidligere udgave systemet, men bliver mere moderne og brugervenlig.
Computerworld
Stor krise i den danske it-stjerne David Heinemeiers Hanssons firma: Her er historien om dramaet, der fik en tredjedel af de ansatte i Basecamp til at smække med døren
De ansatte har i hobe forladt David Heinemeier Hanssons amerikanske succes-firma Basecamp efter en intern racisme-debat. Hvordan kunne det gå så galt?
CIO
Har du rost din mellemleder i dag? Snart er de uddøde - og det er et tab
Computerworld mener: Mellemledere lever livet farligt: Topledelsen får konstant ideer med skiftende hold i virkeligheden, og moden går mod flade agile organisationer. Men mellemlederen er en overset hverdagens helt med et kæmpe ansvar. Her er min hyldest til den ofte latterliggjorte mellemleder.
Job & Karriere
Eva Berneke stopper som topchef i KMD og flytter til Paris: Her er KMD's nye topchef
Efter syv år på posten som topchef for KMD forlader Eva Berneke selskabet. Nu flytter hun med familien til Paris, hvor hun vil fortsætte sit bestyrelsesarbejde. KMD har allerede afløser på plads.
White paper
Salesforce er blevet populær hos IT-kriminelle – luk sikkerhedshullerne før det går galt
Mange bygger en stor del af deres IT-strategi på Salesforce, men glemmer at sikre cloudplatformen. Læs her, hvordan du forebygger ødelæggende angreb og kritiske datatab.