For størstedelen af danske virksomheder er det en absolut nødvendighed, at virksomhedens IT-infrastruktur fungerer stabilt. Et nedbrud i en virksomheds produktionssystem kan f.eks. føre til, at virksomheden ikke kan producere eller levere varer i en periode, hvilket potentielt kan medføre betydelige økonomiske tab. Endnu værre står det til, hvis et sikkerhedsbrist i virksomhedens database medfører, at følsomme informationer om kunder og samarbejdspartnere lækkes til offentligheden. I dette tilfælde udgør det rene økonomiske tab som regel det mindste problem, hvis lækket betyder, at virksomheden mister sit gode omdømme og legitimitet med den konsekvens, at kunderne ikke længere tør overlade deres informationer i virksomhedens varetægt.

Det giver sig selv, at ledelsen ønsker at sikre, at virksomhedens IT-infrastruktur er tidssvarende og sikker. Det synes imidlertid mindre selvfølgeligt, at ledelsen faktisk er forpligtet til at sørge for, at driften af virksomhedens IT-system sker på et forsvarligt grundlag. I de mest alvorlige tilfælde kan det tænkes, at ledelsen kan holdes juridisk og økonomisk ansvarlige for manglende opretholdelse af et forsvarligt IT-sikkerhedsberedskab.

For alle ledere er det således relevant at overveje, hvordan man kan mindske risikoen for, at virksomheden rammes af et IT-sikkerhedsbrist – og hvad ledelsen skal gøre for at undgå et ansvar, hvis katastrofen indtræder. Her er tre konkrete anbefalinger fra DAHL:

1. Udarbejd en strategi for cyber- og IT-sikkerhed

Ledelsen bør først og fremmest sætte sig grundigt ind i virksomhedens IT-infrastruktur og få klarhed over omfanget og tilstanden af virksomhedens systemer. Bestyrelsen eller direktionen bør derefter tage initiativ til at udarbejde en overordnet strategi for cyber- og IT-sikkerhed i virksomheden. Strategien bør inkludere en oversigt over virksomhedens IT-brug og dataopbevaring og identificere, hvilke dele af forretningens systemer der er nødvendige for driften af virksomheden. Oversigten bør formulere, hvordan virksomhedens systemer sædvanligvis vedligeholdes og opdateres, og det bør vurderes, om den hidtidige fremgangsmåde er tilfredsstillende og tilstrækkelig. Strategien kan også med fordel skitsere en handlingsplan, som konkret beskriver, hvordan virksomheden skal forholde sig i tilfælde af et IT-sikkerhedsbrud.

2. Etablér en procedure for levering af information til ledelsen

Ledelsen (både bestyrelsen og direktionen) bør modtage fast og tilstrækkelig information om tilstanden af virksomhedens IT-infrastruktur. Informationen kan overleveres via løbende rapportering fra en ledende medarbejder, som er udpeget til at varetage virksomhedens IT-sikkerhed, eller informationen kan udarbejdes af en kvalificeret ekstern tredjepart. For at sikre en hyppig statusopdatering på området, anbefales det også, at virksomhedens IT-sikkerhed tilføjes som et fast punkt på dagsordenen til bestyrelsesmøderne. På denne måde kan det dokumenteres, at det øverste ledelseslag holder sig opdateret på compliance-indsatsen i virksomheden.

3. Informér medarbejdere om korrekte og sikre arbejdsgange

Ofte kan et sikkerhedsbrist spores tilbage til en eller flere af virksomhedens betroede medarbejdere, der måske har trykket på et link eller hentet en fil, som var fremsendt af en ukendt tredjemand, og på denne måde kompromitteret virksomhedens IT-system. Selv de mest avancerede sikkerhedsprotokoller vil ikke kunne forhindre, at medarbejdere på den ene eller den anden måde lader sig overtale til betale en falsk regning med den overbevisning, at de handler efter en direkte instruks fra den øverste ledelse. For at imødegå risikoen for, at sikkerhedsbristet sker via virksomhedens medarbejdere, anbefales det, at medarbejderstaben informeres og uddannes om korrekte og sikre arbejdsgange ved brugen af IT. Dette kan bl.a. gøres ved at udarbejde en fyldestgørende IT-sikkerhedspolitik, som konkret beskriver, hvilke procedurer medarbejderne skal overholde for at minimere risikoen for, at deres brugeradgang misbruges.

Har du brug for vores hjælp?

Har du spørgsmål til håndtering af bestyrelsesarbejde, udarbejdelse af IT-kontrakter, IT-sikkerhedsprocedurer og anden Risk Management, er du altid velkommen til at kontakte en af DAHLs specialister. Vi yder professionel rådgivning på alle områder.

DAHL BoardExcellence® – nyttig viden om bestyrelsesarbejde

Denne artikel er en del af vores DILEMMA-serie, som belyser nogle af de problemstillinger, der kan opstå i et ellers velfungerende samarbejde mellem bestyrelse og direktion. Ordet ”dilemma” stammer fra græsk og udtrykker den situation, at en person skal træffe et valg, typisk mellem to eller flere lige gode eller lige ringe muligheder. Dilemmaer løses som oftest gennem ledelse. Det juridiske regelsæt er ofte ude af stand til at anvise en vej i løsningen af de konflikter, der udspringer heraf.

Har du konkrete spørgsmål til dilemmaet, som vi har behandlet i denne artikel eller generelle spørgsmål omhandlende bestyrelsesarbejde, er du altid velkommen til at kontakte en af vores eksperter.