Halvparten av norske virksomheter tror den interne IT-sikkerheten er god nok til å holde kriminelle på avstand. Det er 100 prosent for mange!

Ifølge en undersøkelse fra Trend Micro, mener 1 av 2 norske virksomheter at egen IT-sikkerhet er god nok, og hele 6 av 10 svarer at de ikke har behov for ekspertise innen IT-sikkerhet. Det er en stor sikkerhetsrisiko i seg selv, mener kommunikasjonssjef Karianne Myrvold i Trend Micro.

I fjor vinter kom det frem i en rapport fra Nordisk institutt for studier av innovasjon, forskning og utdanning, at Norge mangler flere tusen eksperter på IT-sikkerhet, og at behovet fremover bare vil bli større.

Behovet for mer ekspertise innen IT-sikkerhet skjer samtidig som et økende antall norske virksomheter opplever å bli angrepet. Med 5G like rundt neste sving, kombinert med at stadig flere enheter blir tilkoblet internett og at angrepene blir mer sofistikerte ved hjelp av kunstig intelligens, er sannsynligheten stor for at etterspørselen etter ekspertise innen IT-sikkerhet vil fortsette å stige.

Interesseorganisasjonen IKT-Norge har i flere år påpekt at Norge må intensivere investeringene i flere IKT-studieplasser, slik at vi blant annet kan utdanne flere innen IT-sikkerhet. IKT-Norge viser til at mange av deres medlemsbedrifter sliter med å fylle ledige stillinger og at behovet bare vil fortsette å øke.

Spørsmålet er om behovet vil øke, hvis ikke kunnskapen om sikkerhetstrusler og forståelse av IT-sikkerhet på et ledernivå øker.

Manglende stillinger eller manglende eksperter? Eller begge deler?

For kort tid siden gjennomførte Norstat en undersøkelse for oss i Trend Micro. Vi spurte et representativt utvalg av store og små norske virksomheter, på tvers av bransjer og fra hele landet, om de mente at de hadde tilstrekkelig kunnskap om IT-sikkerhet til å holde kriminelle på avstand. I tillegg spurte vi om deres behov og om de opplever det vanskelig å finne medarbeidere med ekspertise innen IT-sikkerhet.

Svarene var ikke som forventet. Halvparten svarte at de føler seg ganske eller veldig trygge på at IT-sikkerheten er god nok som den er. I tillegg svarte 6 av 10 at de ikke har særlig stort behov for å få tak i eksperter innen IT-sikkerhet. Og som om ikke det var nok, svarte enkelte bransjer mot seg selv. De følte seg utrygge, samtidig som de ikke så et behov for å ansette eksperter innen IT-sikkerhet!

Eiendomsbransjen for eksempel frykter på den ene siden at deres egen kunnskap omkring IT-sikkerhet ikke er god nok til å holde kriminelle krefter på avstand. Samtidig ser de ikke ut til å ha et nevneverdig behov for å finne eksperter innen IT-sikkerhet. Og i de tilfeller de har et behov, er det få som opplever det spesielt vanskelig å få tak i ekspertise.

Hvor er det skoen egentlig trykker?

• Mangler vi eksperter innen IT-sikkerhet?
• Mangler vi stillinger i norske virksomheter som skal jobbe med IT-sikkerhet?
• Mangler vi kunnskap om IT-sikkerhet på ledernivå?

Dyrekjøpt hvilepute

Liv Freihow er direktør for næringspolitikk i IKT-Norge. Da jeg spurte henne hvordan man kan frykte for manglende kunnskap, samtidig som man ikke ser behovet for å gjøre noe med det, svarte hun slik:

-Det er selvsagt et paradoks at de samme bedriftene som rapporterer at de føler seg utrygge, også rapporterer at de ikke har behov for kompetanse på området. Det er lett å undervurdere behovet for fokus på dette inntil det skjer et sikkerhetsbrudd. Det er først da mange får øynene opp for konsekvensene det kan ha, både økonomisk, for personvernet og for drift av systemene. Det kan bli en svært dyrekjøpt hvilepute.

Se til teknologi-hovedstaden

I svarene vi fikk fra Norstat kommer det også frem tydelige forskjeller blant våre landsdeler. Det er for eksempel virksomheter i Midt-Norge som føler seg minst trygge. Mens kun 39 prosent i Midt-Norge føler seg ganske eller veldig trygge på den interne IT-sikkerheten, svarer 53 prosent det samme i Oslo. Midt-Norge kommer også høyt blant landsdelene våre som svarer at de har et stort behov for å finne ekspertise innen IT-sikkerhet og som opplever det vanskelig å finne ekspertisen.

Til sammenligning svarer halvparten av virksomhetene i Oslo at de ikke vet om det er vanskelig eller ikke å finne ekspertise innen IT-sikkerhet.

Kan det ha seg slik at virksomheter i og rundt Norges teknologihovedstad bidrar direkte til økt oppmerksomhet og fokus omkring nettopp IT-sikkerhet? Eller er det konsentrasjonen av IT-relaterte virksomheter i teknologihovedstaden, som bidrar til økt bevissthet og dermed økt kunnskap og forståelse?

Til sammenligning svarte nesten 6 av 10 i Nord-Norge at de har lite eller ingen behov i det hele tatt for ekspertise innen IT-sikkerhet.

Kunnskapsløft om IT-sikkerhet på ledernivå

Halvparten av norske bedrifter svarer at de er ganske eller veldig trygge på at den interne IT-sikkerheten er god nok til å holde kriminelle på avstand. Jeg frykter at den tryggheten er basert på manglende kunnskap og fokus. Vi bruker å si at det finnes to typer virksomheter i dag – de som har blitt angrepet og de som ikke vet at de har blitt angrepet.

Det er vanskelig å ansette eksperter innen IT-sikkerhet, hvis ledelsen ikke tror at det er nødvendig. Derfor svarer kanskje mange at behovet ikke er der. Når jeg spør Liv Freihow i IKT-Norge, om hvorfor det er slik, svarer hun følgende tilbake:

-Det er dessverre et stort etterslep av folk med IT-sikkerhetskompetanse i Norge. Både det offentlige og private næringsliv har et stort behov for folk som forstår trusselbildet, hvordan det endrer seg, og som kan iverksette sikkerhetstiltak på organisasjons- og teknisk nivå. Det er et lederansvar å sørge for at det blir prioritert.

Ingen bør føle seg trygge!

Som sagt ble jeg ganske overrasket over svarene vi fikk. Ingen virksomheter – store eller små, offentlige eller private, bør føle seg trygge. Ingen kan føle seg sikker på at deres nettverk ikke er det neste angrepsmålet. Ingen bør tro at deres IT-sikkerhet er god nok til å stå i mot alle former for angrep.

Den største trusselen mot en virksomhet er mangelen på bevissthet, kunnskap og forståelse. Og spesielt farlig hvis det kommer fra ledelsen. At halvparten av norske virksomheter svarer at de føler seg ganske eller veldig trygge på egen IT-sikkerhet, vil jeg i beste fall si kvalifiserer som falsk trygghet.

«Winter is coming»

Selv om det er sjø, sol og sommer som kanskje frister mest nå, vil jeg sterkt anbefale ledere å skaffe seg en god tilstandsrapport hva gjelder den interne IT-sikkerheten. Hvordan står det egentlig til i dag, og hvordan påser vi at egen IT-sikkerhet oppgraderes i takt med sikkerhetstruslene?

Det som er godt nok i dag, er langt fra godt nok i morgen. Uansett hvor trygg man måtte føle eller tro man er. Det er en stor risiko i seg selv å tro at man er trygg.

• 600 virksomheter deltok i undersøkelsen
• 50% av respondentene svarte at de er ganske eller veldig trygge på at den interne IT-sikkerheten er tilstrekkelig god til å holde kriminelle ute.
• De mindre bedriftene føler seg i mindre grad så trygge (41%) sammenlignet med de større (58%).
• Bedrifter i Midt-Norge føler seg i mindre grad ganske eller veldig trygge (39%, mot over halvparten (53%) av bedriftene i Oslo.
• 6 av 10 bedrifter (57%) svarer at de har et lite eller ikke noe behov for å finne ekspertise innen IT-sikkerhet.
• Kun 5% av eiendomsbransjen (6% i bygg og anlegg) svarer at de har et stort eller et veldig stort behov for å finne ekspertise innen IT-sikkerhet.
• 4 av 10 bedrifter svarer at de ikke vet om det er enkelt eller ikke å finne ekspertise innen IT-sikkerhet.
• Det er bedrifter i Midt-Norge som i størst grad (20%) opplever at det er vanskelig å finne ekspertise innen IT-sikkerhet. Halvparten (48%) av bedriftene i Oslo vet ikke om det er vanskelig å finne ekspertise innen IT-sikkerhet.