Han er «Norges mest fremragende sikkerhetsrådgiver» i år

I årets kåring av norske OSPA var det Modar Ismail fra KPMG som gikk helt til topps i kategorien fremragende sikkerhetsrådgiver («Outstanding Security Consultant»).

Prisen ble første gang utdelt i Norge i 2015 og har siden vært en årlig kåring – med unntak av 2020, da Covid satte en stopper for det hele.

Nytt av året er at alle de norske kategorivinnerne – unntatt vinneren av «lifetime achievement» – automatisk går videre til den internasjonale kåringen.

Norsk sikkerhetsforening overtok ansvaret for den norske kåringen i 2021, og i årets jury satt Sissel Haugdal Jore fra Universitetet i Stavanger, Tor Knutsen fra Forsvarsbygg og Glenn Pettersen fra Asis Norge.

Skryter av kollegene

Alle som arbeider med sikkerhet- og sikringsarbeid i land der OSPA-priser blir tildelt, kan melde seg på til vurdering, skriver OSPA på sine nettsider. Du trenger ikke å være medlem av en organisasjon eller forening.

Hovedkriteriet for deltakelse er at du kan vise at du eller ditt firma har prestert på et eksepsjonelt nivå.

– Jeg var i utgangspunktet ikke oppmerksom på OSPA før en kollega oppfordret meg til å delta, noe som var veldig hyggelig. At jeg faktisk vant den norske kåringen, er en anerkjennelse av det arbeidet vi gjør innen sikkerhet i KPMG, hvor vi nå har over 90 ansatte som jobber med ulike aspekter av sikkerhet, forteller Modar når Digi setter seg ned med ham for en prat om kåringen.

– Det er en utrolig fin anerkjennelse å få. Samtidig er jeg én av mange dyktige kollegaer som bistår offentlige og private virksomheter med å sikre seg i en stadig mer krevende verden. At jeg skal konkurrere på et globalt nivå, gir en flott mulighet til å vise frem kompetansen vi har. Uten den faglige og kollegiale støtten fra resten av miljøet i KPMG hadde jeg sannsynligvis ikke vunnet prisen.

Fortid i Forsvaret

Etter flere år i Forsvaret tok Ismail steget over i privat næringsliv. Som sikkerhetskonsulent i KPMG bistår han virksomheter gjennom hele sikkerhetsreisen, noe som innebærer kartlegging av sikkerhetsbehov, utvikling av løsninger og implementeringen av dem. Det siste året har han blant annet jobbet tett med flere store og samfunnskritiske virksomheter.

– For øyeblikket fokuserer jeg mest på å bistå virksomheter i endringsprosesser, der hovedmålet er å heve sikkerhetsnivået på tvers av hele organisasjonen. Å jobbe med store, komplekse problemstillinger hos noen av Norges største og mest betydningsfulle virksomheter gjør at hver arbeidsdag føles like meningsfull som da jeg bar uniform.

– Hvordan vurderer du sikkerhetstilstanden i Norge i dag?

– Trusselbildet har blitt mer komplekst, med globaliserte verdikjeder og avanserte trusselaktører. Kunstig intelligens gjør det for eksempel enklere for trusselaktører å skreddersy angrep. Samtidig ser vi at «Internet of Things»-enheter og nye teknologier skaper flere sårbarheter, som ikke alltid gir reell verdi for brukeren.

– Hva mener du er viktigst for å sikre en virksomhet?

– Sikkerhet krever en langsiktig tilnærming og kontinuerlig innsats. Det starter med å forstå virksomhetens verdier og risikoer gjennom analyser og risikovurderinger.

– Deretter må man etablere tiltak som er tilpasset virksomhetens risikoprofil, kombinert med gode beredskapsplaner og øvelser. Ledelsen må ta en aktiv rolle i dette arbeidet og forstå hva som kreves og hvorfor.

Nødvendig sikkerhet

Han anbefaler dessuten virksomheter å fokusere på å gjøre ting så sikkert som nødvendig – og ikke så sikkert som mulig.

– Målet er ikke å eliminere all risiko, for da kunne man like gjerne stengt virksomheten og gått hjem. Det handler om å finne balansen mellom sikkerhet og effektivitet, slik at sikkerhetsarbeidet støtter virksomhetens mål uten å bli en unødvendig hindring. Lykkes du med det, vil du få med deg flere på laget.

Hva tenker du om å dele informasjon om sikkerhetshendelser når uhellet først er ute og man har blitt angrepet?

– Jeg mener åpenhet er viktig for å lære og forbedre sikkerheten. Ved å rapportere hendelser til myndigheter kan vi identifisere trender og styrke beredskapen i hele sektoren. Samtidig forstår jeg at enkelte virksomheter vegrer seg mot å dele slike opplysninger, ofte av hensyn til omdømmet.

– Hvordan ser du på samarbeidet mellom offentlig og privat sektor?

– Jeg tror det er viktig med tettere samarbeid mellom private aktører og Forsvaret for å styrke Norges totalforsvar, også i det digitale domenet.

– Digitale angrep skjer kontinuerlig, og vi må forberede oss på hybride trusler og digital krigføring, som er vanskeligere å definere og håndtere enn tradisjonelle konflikter.

– Det sies ofte at det er folk som er det svakeste punktet i sikkerheten, er du enig i det utsagnet?

– Både ja og nei. Mennesker kan være både det sterkeste og svakeste leddet. Med riktig opplæring og en sterk sikkerhetskultur kan ansatte bli virksomhetens viktigste forsvar. Det er viktig å starte med små tiltak for å bygge en robust kultur.

– Mange investerer i dyr teknologi uten å sikre at den brukes effektivt. Ofte er det kombinasjonen av teknologi og grunnleggende tiltak som gir størst effekt.

Hva med enkeltpersoner, hva kan folk flest gjøre for å beskytte seg selv digitalt?

– Først og fremst bør man erkjenne at man kan være et mål. Vær skeptisk til meldinger som virker for gode til å være sanne, og tenk over hvor mye informasjon du deler på nettet. Det er ofte mer enn du tror.

Voksende marked

Markedet for sikkerhetstjenester har hatt en enorm vekst de siste årene, drevet av et stadig mer avansert og sofistikert trusselbilde. Det har gjort at sikkerhet har blitt en prioritet på styrenivå i flere organisasjoner på tvers av sektorer, ifølge Ismail.

– Mange ser behov for ekstern ekspertise for å håndtere krav og forventninger på en effektiv og robust måte. Da er det fint å kunne bruke min erfaring og ekspertise til å bistå de som trenger det.

– Hvordan ser du fremtiden for cybersikkerhet?

– Fremtiden vil kreve økt fokus på sikkerhetskultur og samarbeid. Teknologien utvikler seg raskt, men vi må være bevisste på hvordan vi implementerer den for å redusere risiko.

– Jeg mener det viktigste er å starte i det små, bygge grunnleggende sikkerhet og utvikle videre derfra.