Magma
21.04.2020
SAMMENDRAG
Økt digitalisering og følgelig økt kompleksitet i samspillet mellom teknologi og mennesker skaper nye cybertrusler og øker sårbarhetsflaten for alle typer virksomheter. Tradisjonelle risikostyringssystemer er ikke lenger tilstrekkelig fordi de er reaktive, primært avdekker hendelser etter de har skjedd, og bygger på analyser av tidligere uønskede hendelser som sier lite om nye potensielle trusler. Utfordringen er hvordan en virksomhet kan tilegne seg ny kunnskap som gjør det mulig å forebygge hendelser før de inntreffer.
Denne artikkelen gir en konseptuell diskusjon av hvordan framsyn i form av scenarioanalyse kan forbedre cybersikkerheten og redusere organisatorisk sårbarhet. Vi analyserer litteratur innen fagområdene risikostyring, cyberrisiko og framsyn og diskuterer hvordan scenario-
INNLEDNING
Norske virksomheter møter i økende grad nye, innovative typer cybertrusler. Som motsvar benyttes både helhetlige risikostyringssystemer, internkontrollsystemer og overvåking av nettverkstrafikk i varierende omfang. Samtidig ser vi at mange virksomheter som
analyser kan brukes av virksomheter for å løfte kunnskapen om potensielle trusler og øke beredskapen. Vi viser at framsyn kan motvirke en illusjon om kontroll som oppstår når tradisjonell, reaktiv risikostyring anvendes til å håndtere usikkerhet og såkalte sorte svaner. Scenarioanalyse utgjør en organisatorisk intervensjon som er ment å skape en arena for kunnskapsdeling mellom ulike aktører både innenfor og utenfor virksomheten. Scenarioer kan ses på som en risikoradar, blant annet gjennom å tilrettelegge for forebyggende og proaktive holdninger til metoder for risikostyring. Artikkelen konkluderer med at framsyn også kan bringe potensielle dilemmaer og fallgruver inn i virksomheter gjennom organisatorisk grensearbeid, selvoppfyllende profetier og trekk av en paranoid organisasjon.
benytter formelle systemer, fortsatt kan være sårbare. Dette er fordi styringsfunksjonen primært brukes til å avdekke hendelser etter at de har inntruffet, men ikke til å forebygge hendelser (Kulset & Meidelsen, 2020, s. 54). I likhet med dette baserer de fleste inntrengningsdeteksjonssystemene (IDS) seg på å varsle om uønsket trafikk som allerede har blitt registrert i nettverket. Videre er hva som varsles om, typisk basert på historiske data om allerede kjente trusler.
En generell kritikk i litteraturen (Leitch, 2008, s. xiii) er at risikostyring i beste fall oppfattes som reaktiv og i verste fall bærer preg av sjekklister og pliktarbeid med liten effekt. Tradisjonell risikostyring basert på historiske data er ofte uegnet til å håndtere økende kompleksitet og usikkerhet med hensyn til potensielle trusler. God oversikt og kunnskap om cyberhendelser som har skjedd tidligere, garanterer ikke at virksomheter er godt forberedt på å håndtere andre typer cyberhendelser i framtiden. Risikostyringen bør bidra til bedret beredskap mot nye og ukjente typer cybertrusler. Ved å kun fokusere på avdekking er ikke virksomhetene proaktive i risikostyringen. Som følge kan risikoen for å bli rammet av nye, uønskede hendelser øke. På virksomhetsnivå kan en hendelse medføre blant annet tap av omdømme og økonomiske tap i form av bøter, skade på utstyr og tapt inntekt. På samfunnsnivå kan tilfeller hvor kritisk infrastruktur er rammet av cyberangrep, medføre fare for liv, helse og samfunnssikkerheten.
En mer proaktiv tilnærming til risikostyring er nødvendig for å møte trusler hvor menneskelige faktorer er involvert (Marshall, Ojiako, Wang, Lin, & Chipulu, 2019, s. 645). Nøkkelspørsmålet er: Hvordan kan virksomheter tilrettelegge for mer proaktiv og forebyggende risikostyring som også kan angi potensielle framtidige og foreløpig ukjente cybertrusler? Formålet med denne artikkelen er å diskutere konseptuelt hvordan framsyn kan brukes av virksomheter for å løfte kunnskapen om potensielle cybertrusler og bedre sin beredskap mot dem. Artikkelen bygger på analyse av litteratur om risikostyring, cybertrusler og framsyn med hovedvekt på scenarioanalyse. Drøftelsen illustrerer at scenarioanalyse kan være et nyttig verktøy for å sette virksomheten i stand til å lære mer om de ukjente cybertruslene. Dette kan stimulere til kontinuerlig organisatorisk læring for å bedre beredskapen mot potensielle cybertrusler.
Artikkelen tar først for seg kritikk av tradisjonell risikostyring. Deretter beskrives essensen i framsyn gjennom scenarioanalyse. Videre følger en diskusjon om hvordan scenarioanalyser kan møte kritikken av tradisjonell risikostyring. Avslutningsvis presenteres tre dilemmaer og fallgruver med scenarioanalyser, før konklusjon og behov for framtidig forskning.
KRITIKKEN AV TRADISJONELL RISIKOSTYRING
Risikostyring er i utgangspunktet ment for å hjelpe ledere med å håndtere usikkerhet. Det finnes mange normative rammeverk, fra for eksempel COSO og ISO, som framstiller tradisjonell risikostyring som en rasjonell prosess. I disse rammeverkene kan risikoen objektivt dokumenteres, måles, analyseres, rapporteres og revideres. Informasjon kan danne grunnlag for en virksomhets risikostyring. Tradisjonell risikostyring har til hensikt å avdekke uønskede hendelser og på den måten hindre at hendelsene inntreffer og truer virksomhetens måloppnåelse. Uønskede hendelser kan være alt fra datamanipulasjon og sabotasje til misligheter og svindel. Den tradisjonelle løsningen på problemene eller de uønskede hendelsene er å innføre rutinebasert risikostyring med sjekklister for å påse at regler og rutiner er på plass og fungerer (Moeller, 2011, s. 132). I de tilfellene hvor en uønsket hendelse likevel har inntruffet, kan man lære av egne feil og sette i verk bedre rutiner. Det er også slik at veldokumentert risikostyring er en legitimeringssak, fordi mange eksterne aktører, særlig myndighetene, ofte stiller krav til internkontroll og risikostyringssystemer. Av erfaring er det ofte slik at virksomheter kun tilfredsstiller minstekrav til slike systemer, og ikke gjør tiltak eller arbeid utover det de er pålagt. Utover dette har praktisering av tradisjonell risikostyring fått mye kritikk i risikostyringslitteraturen. Vi trekker her fram to: At tradisjonell risikostyring kan skape en illusjon om kontroll, og at den ikke er effektiv mot alle typer risiko, spesielt såkalte sorte svaner.
TRADISJONELL RISIKOSTYRING SKAPER EN ILLUSJON OM KO
Gå til medietDenne artikkelen gir en konseptuell diskusjon av hvordan framsyn i form av scenarioanalyse kan forbedre cybersikkerheten og redusere organisatorisk sårbarhet. Vi analyserer litteratur innen fagområdene risikostyring, cyberrisiko og framsyn og diskuterer hvordan scenario-
INNLEDNING
Norske virksomheter møter i økende grad nye, innovative typer cybertrusler. Som motsvar benyttes både helhetlige risikostyringssystemer, internkontrollsystemer og overvåking av nettverkstrafikk i varierende omfang. Samtidig ser vi at mange virksomheter som
analyser kan brukes av virksomheter for å løfte kunnskapen om potensielle trusler og øke beredskapen. Vi viser at framsyn kan motvirke en illusjon om kontroll som oppstår når tradisjonell, reaktiv risikostyring anvendes til å håndtere usikkerhet og såkalte sorte svaner. Scenarioanalyse utgjør en organisatorisk intervensjon som er ment å skape en arena for kunnskapsdeling mellom ulike aktører både innenfor og utenfor virksomheten. Scenarioer kan ses på som en risikoradar, blant annet gjennom å tilrettelegge for forebyggende og proaktive holdninger til metoder for risikostyring. Artikkelen konkluderer med at framsyn også kan bringe potensielle dilemmaer og fallgruver inn i virksomheter gjennom organisatorisk grensearbeid, selvoppfyllende profetier og trekk av en paranoid organisasjon.
benytter formelle systemer, fortsatt kan være sårbare. Dette er fordi styringsfunksjonen primært brukes til å avdekke hendelser etter at de har inntruffet, men ikke til å forebygge hendelser (Kulset & Meidelsen, 2020, s. 54). I likhet med dette baserer de fleste inntrengningsdeteksjonssystemene (IDS) seg på å varsle om uønsket trafikk som allerede har blitt registrert i nettverket. Videre er hva som varsles om, typisk basert på historiske data om allerede kjente trusler.
En generell kritikk i litteraturen (Leitch, 2008, s. xiii) er at risikostyring i beste fall oppfattes som reaktiv og i verste fall bærer preg av sjekklister og pliktarbeid med liten effekt. Tradisjonell risikostyring basert på historiske data er ofte uegnet til å håndtere økende kompleksitet og usikkerhet med hensyn til potensielle trusler. God oversikt og kunnskap om cyberhendelser som har skjedd tidligere, garanterer ikke at virksomheter er godt forberedt på å håndtere andre typer cyberhendelser i framtiden. Risikostyringen bør bidra til bedret beredskap mot nye og ukjente typer cybertrusler. Ved å kun fokusere på avdekking er ikke virksomhetene proaktive i risikostyringen. Som følge kan risikoen for å bli rammet av nye, uønskede hendelser øke. På virksomhetsnivå kan en hendelse medføre blant annet tap av omdømme og økonomiske tap i form av bøter, skade på utstyr og tapt inntekt. På samfunnsnivå kan tilfeller hvor kritisk infrastruktur er rammet av cyberangrep, medføre fare for liv, helse og samfunnssikkerheten.
En mer proaktiv tilnærming til risikostyring er nødvendig for å møte trusler hvor menneskelige faktorer er involvert (Marshall, Ojiako, Wang, Lin, & Chipulu, 2019, s. 645). Nøkkelspørsmålet er: Hvordan kan virksomheter tilrettelegge for mer proaktiv og forebyggende risikostyring som også kan angi potensielle framtidige og foreløpig ukjente cybertrusler? Formålet med denne artikkelen er å diskutere konseptuelt hvordan framsyn kan brukes av virksomheter for å løfte kunnskapen om potensielle cybertrusler og bedre sin beredskap mot dem. Artikkelen bygger på analyse av litteratur om risikostyring, cybertrusler og framsyn med hovedvekt på scenarioanalyse. Drøftelsen illustrerer at scenarioanalyse kan være et nyttig verktøy for å sette virksomheten i stand til å lære mer om de ukjente cybertruslene. Dette kan stimulere til kontinuerlig organisatorisk læring for å bedre beredskapen mot potensielle cybertrusler.
Artikkelen tar først for seg kritikk av tradisjonell risikostyring. Deretter beskrives essensen i framsyn gjennom scenarioanalyse. Videre følger en diskusjon om hvordan scenarioanalyser kan møte kritikken av tradisjonell risikostyring. Avslutningsvis presenteres tre dilemmaer og fallgruver med scenarioanalyser, før konklusjon og behov for framtidig forskning.
KRITIKKEN AV TRADISJONELL RISIKOSTYRING
Risikostyring er i utgangspunktet ment for å hjelpe ledere med å håndtere usikkerhet. Det finnes mange normative rammeverk, fra for eksempel COSO og ISO, som framstiller tradisjonell risikostyring som en rasjonell prosess. I disse rammeverkene kan risikoen objektivt dokumenteres, måles, analyseres, rapporteres og revideres. Informasjon kan danne grunnlag for en virksomhets risikostyring. Tradisjonell risikostyring har til hensikt å avdekke uønskede hendelser og på den måten hindre at hendelsene inntreffer og truer virksomhetens måloppnåelse. Uønskede hendelser kan være alt fra datamanipulasjon og sabotasje til misligheter og svindel. Den tradisjonelle løsningen på problemene eller de uønskede hendelsene er å innføre rutinebasert risikostyring med sjekklister for å påse at regler og rutiner er på plass og fungerer (Moeller, 2011, s. 132). I de tilfellene hvor en uønsket hendelse likevel har inntruffet, kan man lære av egne feil og sette i verk bedre rutiner. Det er også slik at veldokumentert risikostyring er en legitimeringssak, fordi mange eksterne aktører, særlig myndighetene, ofte stiller krav til internkontroll og risikostyringssystemer. Av erfaring er det ofte slik at virksomheter kun tilfredsstiller minstekrav til slike systemer, og ikke gjør tiltak eller arbeid utover det de er pålagt. Utover dette har praktisering av tradisjonell risikostyring fått mye kritikk i risikostyringslitteraturen. Vi trekker her fram to: At tradisjonell risikostyring kan skape en illusjon om kontroll, og at den ikke er effektiv mot alle typer risiko, spesielt såkalte sorte svaner.
TRADISJONELL RISIKOSTYRING SKAPER EN ILLUSJON OM KO
