Hva gjør du hvis en kritisk skyleverandør stenger?

Hva gjør virksomheten din hvis en skyleverandør stenger tjenestene? En fersk undersøkelse fra ISF (Norsk informasjonssikkerhetsforum) viser at kun åtte prosent har en plan for det. Samtidig er 70 prosent sterkt bekymret for avhengighet av én leverandør.

Spørsmålet er en del av den pågående debatten om digital suverenitet og avhengighet av store skyleverandører. Det angår hver enkelt ledergruppe.

Mønsteret går igjen i undersøkelsen: Bekymringen er stor, men planene mangler. Økt bruk av eksterne tjenester, inkludert KI, kan gjøre avhengighetene flere og mer sammensatte. Mange KI-verktøy leveres av eksterne, og da må virksomheten stille de samme spørsmålene som til andre leverandører: hvilke data får de tilgang til? Og hva gjør vi hvis de faller bort?

Her er tre spørsmål toppledere bør stille sikkerhetssjefen. Og ett toppledere bør stille seg selv. 

1. Har vi en plan for hva vi gjør med de leverandørene vi er helt avhengig av?

Sårbarheten ved leverandøravhengighet får ofte for lite oppmerksomhet. IT-avdelingen kan kjenne risikoen godt, men kan ikke håndtere den alene. Den angår hele virksomheten.

Virksomheten bør koble hver kritisk leverandør til tjenesten den understøtter, og vurdere konsekvensene hvis samarbeidet opphører. Deretter bør det lages en plan for hvilke tjenester som må videreføres, hvordan det gjøres og hvor raskt. Realistiske alternativer kan være andre måter å løse prosessen på eller alternative leverandører. Planen trenger en eier og finansiering, og den må testes i praksis. 

2. Vet vi hvilke leverandører som kan sette virksomheten vår ut av spill, og hvor godt er de sikret?

80 prosent av respondentene i undersøkelsen peker på datainnbrudd hos leverandør som den tredjepartsrisikoen de frykter mest. Likevel har bare 20 prosent et formelt program for oppfølging av disse risikoene.

Bekymringen er altså stor, men oppfølgingen er ofte for svak. Risikoen stopper sjelden hos leverandøren virksomheten har avtale med, den kan ligge lengre ned i verdikjeden.

Virksomheten bør starte med å kartlegge kritiske leverandører og underleverandører, og holde oversikten oppdatert. Avklar hvem som har ansvar ved hendelser, og sørg for at leverandørene varsler om endringer som påvirker risiko.

3. Har vi oversikt over hvilke KI-verktøy som brukes hos oss, og har vi satt grenser for hva de kan brukes til?

I undersøkelsen fra ISF oppgir 55 prosent at virksomheten har tatt i bruk generativ KI eller integrert KI i sentrale arbeidsprosesser. Kun 36 prosent mener de har tilstrekkelige tiltak for å styre bruken.

Et eksternt KI-verktøy er en leveranse fra en tredjepart, også når ingen har godkjent det. Da gjelder de samme spørsmålene som for andre leverandører. Risikoen avhenger også av hva de ansatte legger inn i verktøyet, for eksempel kundeopplysninger, kontrakter og interne vurderinger. Gevinstene kan være betydelige, men de kommer ikke av seg selv. De krever styring, prioritering og tydelige rammer.

Virksomheten bør kartlegge hvilke KI-tjenester, modeller og agenter som brukes, og hvilke data de får tilgang til. Deretter bør det settes grenser for bruken, støttet av tekniske tiltak som tilgangsstyring og logging. For agenter bør kravet være enkelt: Ingen KI-agent skal få handle selvstendig i kritiske systemer.

Digital sikkerhet er et lederansvar i alle virksomheter. Med økt bruk av KI og outsourcing blir også avhengighetene flere og mer komplekse. Konsekvensene av en hendelse kan treffe virksomheten, selv når årsaken ligger hos en leverandør eller en annen tredjepart.

Det gjør det viktigere enn noen gang at toppledere stiller seg spørsmålet: 

4. Gir jeg sikkerhetssjefen mandatet, støtten og ressursene som trengs?

ISFs undersøkelse viser at 58 prosent mangler kapasitet til tiltak de vet er nødvendige. Problemet handler sjelden om kunnskap, men prioriteringer. Derfor er mandat, støtte og ressurser fra øverste leder er avgjørende.

Toppledere bør avklare hvilke beslutninger sikkerhetssjefen kan ta selv, og hvilke saker som må løftes. Prioriter kapasitet og finansiering til de viktigste tiltakene, og sørg for tydelig ansvar og frister. 

Og når spørsmålene er stilt, er det ditt ansvar som toppleder at svarene blir til beslutninger, ansvar og handling.