I sidste uge offentliggjorde udenrigsminister Anders Samuelsen (LA) planer om at udpege en digital ambassadør: Anders Samuelsson vil udnævne digital ambassadør for Danmark: Microsoft, Google og Apple er 'blevet en form for nye nationer'
Ambitionen er rimelig klar at forstå: Man vil udnævne en person, der kan skabe dialog med digitale giganter på verdensmarkedet.
Dette er nødvendigvis ikke nogen tosset ide, for vi må erkende, at digitale giganter som Facebook, Google, Microsoft og andre har betydelig indflydelse på vores digitale tilstedeværelse og liv.
Personligt, havde jeg dog håbet på, at man ville offentliggøre en anden udnævnelse, nemlig en CISO - en chief information security officer - for den offentlige sektor i Danmark.
I Danmark er vi glade for digitalisering - både når det handler om, hvordan vi som borgere og virksomheder kommunikerer med myndigheder og når det handler om måderne, hvorpå disse kommunikerer med hinanden.
Faktisk så er vi så glade for digitalisering i forhold til det offentlige, at vi fik andenpladsen i EU i 2016, når det gælder digital kommunikation fra virksomhed eller borger til en offentlig myndighed. Kun Estland var bedre.
Jeg kan selvfølgelig godt se formålet med at digitalisere, som vi gør. Der er gevinster at hente for borgere, myndigheder og virksomheder ved digitalisering. Konsekvenserne kan til gengæld være alvorlige, når det går galt.
Jeg skriver "når det går galt," fordi jeg efter mere end 15 års arbejde med it-sikkerhed ikke længere tror på, at man kan forhindre alle cyberangreb eller fejl inden for håndtering af digitaliseret materiale.
Alene i løbet af de seneste to år har vi set lande anklage hinanden for at blande sig i folkevalg samt borgere miste elektriciteten på grund af cyberangreb, hvor en politisk agenda i høj grad er blevet fulgt i cyberspace.
Vi kan ikke forhindre alle cyberangreb eller al fejlhåndtering af følsom data, men vi kan minimere risici, og det er her, at jeg gerne vil slå et slag for, at man udpeger en CISO for den fælles offentlige sektor i Danmark.
Vi har tradition for, at der i vores embedsnetværk i de forskellige ministerier er personer, der uanset partifarve har ansvaret for at drive ministeriet. Herunder kunne en CISO passe ind.
En CISO, der ikke er underlagt en politisk agenda og opererer uafhængigt af partifaven på magthaverne, vil skulle have definerede opgaver:
- Være bindeled mellem de mange gode og velfungerende it-råd, som vi har i Danmark.
- Have et tæt samarbejde med Center for Cybersikkerhed, eksterne virksomheder og organisationer for at kunne adressere og forstå nuværende og fremtidige ændringer i trusselsbilledet
- Sparre med de forskellige ministre, politiske it-ordførere samt ministeriers og myndigheders it-chefer
- Have ansvar for og mandat til at drive en fælles it-sikkerhedsstrategi i den offentlige sektor.
Hvis vi skærer ind til benet og essensen af it-sikkerhed, så handler det i første omgang om at få styr og kontrol over sine processer og at have en strategi, der rent faktisk kan eksekveres på.
Det handler mindre om indkøb af ny teknologi. Teknologi er selvfølgelig en vigtig faktor, men jeg vil vove den påstand, at uanset hvilken teknologi, der investeres i, så er udbyttet mindre, hvis der ikke er en overodnet strategi bag.
Helt konkret, så handler det i min optik om at kunne svare på nogle af de spørgsmål, der kan afhjælpe udfordringer og modne it-sikkerhed generelt i det offentlige:
1) Har man identificeret sine mest kritiske aktiver?
2) Har man synlighed og kontrol over sine mest kritiske aktiver?
3) Har man en beredskabsplan, der er dynamisk nok, så den følger trusselsbilledet?
4) Arbejder man på tværs af systemer efter en fælles standard (eksempelvis ISO27001)? Efterlever man eksempelvis GDPR i EU?
It-sikkerhed er en rejse, og i disse digitaliseringstider handler det også om at få modnet holdningen til området i en fart. Gerne i en hurtigere hastighed end den, som vi digitaliserer med i dag.
Læs også:
Den it-sikkerhedsansvarliges fire vigtige roller - to af dem bliver afgørende for dig
De fem vigtigste sikkerhedstrends i 2017: Ser vi den første hackede cloud i år?
Fire it-sikkerhedstendenser kommer til at præge det kommende år
Systemer og procedurer skal testes nu: Kan du fjerne persondata fra jeres backup?