Cybertrusler påvirker hele virksomheten

– Å forstå risikoeksponering, redusere sannsynligheten for en cyberhendelse og sikre cyberrisikostyring er ikke lenger bare tekniske problemstillinger – det er et stort juridisk, kommersielt og organisatorisk ansvar for ledelsen og styret i alle bransjer, mener Christopher Sparre-Enger Clausen, partner i advokatfirmaet Thommessen.

Det digitale trusselbildet er i stadig utvikling, og cyberangrep og sikkerhetsbrudd er nå blant de mest betydelige risikofaktorene for bedrifter og myndigheter over hele verden. Thommessen har de siste årene sett en stadig økende etterspørsel etter ekspertise innen cyberberedskap og håndtering av cybertrusler.

– Det er en voldsom vekst i skadevare- og ransomwareangrep, der kriminelle opererer i et profesjonelt økosystem med det mørke nettet som markedsplass. Angrep som dette kan i verste fall medføre at virksomheter mister tilgang til egne systemer eller får kritiske data kryptert, med trusler om eksponering for hele verden, dersom betalingskravet ikke innfris, sier Clausen.

I tillegg er det i dag risiko for at statlige aktører som Russland og Kina skal utføre cyberangrep mot næringslivsaktører, enten for å samle inn informasjon eller for å påvirke driften, for eksempel leveranse av tjenester og i form av digitalt hærverk. Konsekvensene kan være ødeleggende, ikke bare operasjonelt, men også juridisk og omdømmemessig.

Bedriften må planlegge for en krise

– Virksomheten eksponerer seg for både reaksjoner fra myndighetene og erstatningsansvar, dersom cyberhendelsen ikke håndteres tilfredsstillende. En cyberhendelse kan også påvirke tilliten til kunder, investorer og andre interessenter. Dette kan være spesielt alvorlig hvis angrepet resulterer i for eksempel tyveri av sensitiv kundeinformasjon eller kunnskap som er interessant for kinesiske myndigheter, advarer advokat og leder for Thommessens arbeid med strategisk risikorådgiving og etterlevelse, Hedvig Moe.

Thommessen bistår styrer og toppledelse med å ta proaktive skritt for å drive god kriseplanlegging, beskytte verdier, bevare omdømmet og oppnå bærekraftig suksess på lang sikt. Moe mener at det viktigste i arbeidet med cybersikkerhet er å planlegge for det som kommer og være forberedt på, og trent for, en krise.

– Slik som verden ser ut i dag nytter det ikke å vente med å handle til en eventuell krise inntreffer – en cyberhendelse er ikke et spørsmål om hvis, men om når. Man må identifisere og håndtere potensielle risikoer før de oppstår, rådgir hun.

Rutiner og beredskapsplaner

Selv om mange norske virksomheter er godt rustet på IT-siden, er det viktig å være klar over at cybersikkerhet og -beredskap ikke bare er et teknisk spørsmål. Clausen anbefaler at styret og ledelsen etablerer gode rutiner og beredskapsplaner for håndtering av ransomwareangrep og andre cyberhendelser – og tar stilling til sentrale spørsmål før et eventuelt cyberangrep inntreffer:

– Er vi tilstrekkelig beskyttet i våre avtaler, og hvilken ansvarseksponering har vi? Hva er akseptabelt nivå av risiko vi er villig til å ta? Vil leverandørene varsle meg dersom det skjer noe, og plikter jeg selv å varsle noen? Det er viktig å huske på at det kan være juridiske vurderinger på hvert beslutningspunkt i prosessen, sier Clausen.

– I tillegg til jussen, bør toppledelser og styrer vurdere øvrige aktuelle risikoer i planlegging for og håndtering av cyberangrep, særlig omdømmerisiko, supplerer Moe.

Nye tider krever nye løsninger

Thommessen har i flere år samarbeidet med globalt anerkjente cybereksperter innenfor trusseletterretning, forsikring, cybersikkerhet og beredskap, og har sammen med nettverket etablert fagforumet Thommessen CyberHub.

– Samarbeidet har gitt oss verdifull kompetanse og inspirasjon til å utvikle innovative tjenester for å håndtere juridiske implikasjoner og takle cybertrusler på en ny og bedre måte. Både jussen og trusselbildet blir stadig mer komplekst, og vi tror at strategisk arbeid med virksomhetens cybersikkerhet blir avgjørende for næringslivet i årene som kommer, avslutter Clausen.