Tillid som drivkraft: overvejelser med hensyn til sikkerhed i den digitale tidsalder

Når man, som jeg, har arbejdet med digital sikkerhed i et kvart århundrede, får man tit følgende spørgsmål: Hvad er det vigtigste råd, du kan give ledere af virksomheder og organisationer, som gerne vil opnå større tillid fra kunders og samarbejdspartneres side?

Mit svar lyder altid som følger: Pas på ikke at skræmme folk.

Jeg ved godt, at det er en kliché at henvise til film, men i filmen Minority Report er der et glimrende eksempel på, hvad jeg mener. Det handler ikke om filmens overordnede præmis, som går ud på at forudsige, hvornår nogen sandsynligvis vil begå en kriminel handling. For mig er det mest skræmmende øjeblik den scene, hvor hovedpersonen, spillet af Tom Cruise, går ind i et stormagasin, hvor man scanner hans øje og derefter fortæller ham, præcis hvilken slags tøj han vil kunne lide. Det kan måske umiddelbart virke som god service, men jeg synes, at det er skræmmende, og det vil mange andre også synes.

Når repræsentanter for virksomheder taler om at bruge avancerede teknologiske løsninger såsom kunstig intelligens, indebærer det samtidig muligheden for at bruge kundedata til personprofilering. Gør man brug af kunstig intelligens, er man derfor nødt til at gøre det på en etisk forsvarlig måde, så folk kan have tillid til, at der er et fornuftigt formål med det.

Min opgave går ud på at hjælpe ledere af virksomheder og organisationer med at bruge teknologi på en tillidsvækkende måde, og her har jeg samlet nogle af de vigtigste punkter, som it-sikkerhedschefer efter min mening bør have med i overvejelserne med hensyn til sikkerhed i den digitale tidsalder.

Et spring ud i det ukendte

En af dem, der har haft størst indflydelse på mine egne teorier om tillid, er Rachel Botsman, ikke mindst med hensyn til det, hun kalder Trust Leaps, dvs. “tillidsspring”. Botsman definerer et tillidsspring som et mentalt spring ud i det ukendte, og det er i sagens natur forbundet med usikkerhed.

Når man som leder af en virksomhed skal skifte fra en lokal til en cloud-baseret infrastruktur, er man nødt til at foretage et sådant tillidsspring, og her er det vigtigt, at der er adgang til en tilstrækkelig mængde information, og at processen er tilstrækkeligt gennemskuelig til at sikre, at den digitale transformation bliver så problemfri som overhovedet muligt.

Når de it-sikkerhedschefer, der har ansvaret for overgangen til en cloud-baseret løsning, skal vælge en udbyder af cloud-tjenester, f.eks. Microsoft, stiller de typisk sig selv følgende spørgsmål:

• Kan jeg have tillid til, at I passer godt på min virksomheds data?
• Kan jeg være sikker på, at jeg stadig har fuld kontrol over disse data?
• Har jeg fuldt overblik over de relevante processer i cloud-tjenesten?
• Kan jeg få indsigt i backend-processerne?
• Kan jeg få overblik over alle risici?

Vi gør alt, hvad vi kan, for at besvare spørgsmål som disse, for vi er klar over, at overgangen til en cloud-baseret løsning i mange virksomheder indebærer et kæmpemæssigt tillidsspring, og jo mere gennemskuelig processen er, desto mindre skræmmende virker den. Tillid handler i bund og grund om at føle sig i kontrol og være godt forberedt på, hvad der skal ske.

Gennemskuelighed reducerer behovet for tillid

Gennemskuelighed er et nøgleord i denne forbindelse, men ifølge Rachel Botsman forholder det sig rent faktisk ikke sådan, at gennemskuelighed vækker tillid. Gennemskuelighed reducerer derimod behovet for tillid, i og med at antallet af ukendte faktorer reduceres, så tillidsspringet virker mindre afskrækkende.

Hvad sikkerhed angår, er det vigtigt at have implementeret effektive tiltag med henblik på kontrol, så det er muligt at gennemskue og registrere, hvad der sker, for det er ligeledes med til at gøre tillidsspringet mindre afskrækkende.

Jeg mener dog, at gennemskuelighed, under de rette omstændigheder, også kan bruges som et middel til at vække tillid, og datasikkerhedsbruddet i Norsk Hydro er et godt eksempel på, hvordan det fungerer i praksis.

Norsk Hydro er en stor international aluminiumproducent, og driften af deres maskiner er i vid udstrækning baseret på digital teknologi. Da virksomheden blev ramt af et meget omfattende ransomware-angreb, var der derfor dystre udsigter, både for produktionslinjen og deres varemærkeimage, men takket være en yderst fornuftig respons lykkedes det at afværge en regulær katastrofe.

Da de blev ramt af dette angreb, valgte de med det samme at afholde en offentlig pressekonference, og takket være deres åbenhed og ærlighed omkring selve angrebet og den igangværende undersøgelse, fik det ingen nævneværdige konsekvenser for virksomhedens image. De opnåede tværtimod større tillid og respekt i mange kredse på grund af den måde, problemet blev håndteret på.

Det er et klassisk eksempel på at vende en negativ situation til noget positivt, og det var kun muligt, fordi man valgte at optræde ærligt, ansvarligt og etisk korrekt over for de kunder og samarbejdspartnere, hvis data blev bragt i fare.

En ansvarlig tilgang til cybersikkerhed

Tillid og fortrolighed er meget følsomme emner. Man er sårbar, når man udviser tillid, og det ved de cyberkriminelle, som ofte udnytter vores tillid i et forsøg på at få adgang til virksomheders fortrolige oplysninger.

Og det vil de fortsat have held med, for vi bliver alle sammen ved med at begå fejl. Det er nemt nok for sikkerhedseksperter at sige, at man ikke må klikke på links, man får tilsendt, men det er vigtigt at huske på, at vi i den moderne verden har vænnet os til at blive opfordret til at klikke på links. At sige, at man ikke må klikke på links, er i princippet det samme som at sige, at man ikke må gøre det, man er blevet “programmeret” til at gøre i de seneste 15 år. Det er urealistisk, og sikkerhedseksperter er efter min mening i mange tilfælde for hårde ved slutbrugerne, når de forventer, at de udviser en adfærd, som ikke falder dem naturligt.

Det er meget bedre at gå ud fra, at der sker sikkerhedsbrud, og tage højde for det. Det er den strategi, jeg har valgt: Jeg forventer, at cyberkriminalitet finder sted, og at mennesker begår fejl, og jeg påtager mig ansvaret for at forsøge at mindske konsekvenserne af sådanne situationer.

Og efter min mening er teknologien vores vigtigste værn i denne sammenhæng.