”Många tror att cybersäkerhet är it-avdelningens ansvar”

Många företagsledningar tror att de kan ”lösa” säkerhet med ett nytt system eller en till konsult. Men det handlar snarare om kultur och rutiner. Cybersäkerhetsexperten Dan Lundberg har tre råd till ingenjörer som vill driva frågorna på arbetsplatsen.

– Cybersäkerhet får ofta högre prioritet först efter en incident. Många ser det fortfarande som en kostnad snarare än en investering, säger Dan Lundberg, cybersäkerhetsexpert och författare till Cybersäkerhet – En praktisk handbok för säkrare samhälle.

Han har mer än 40 års erfarenhet från el-, tele- och it-branschen och utbildar i dag både företag, kommuner och myndigheter i hur man stärker sin digitala motståndskraft. Hans slutsats är tydlig: det största glappet i Sverige i dag finns inte i tekniken utan i styrningen.

– Tekniken finns och många privatpersoner har blivit mer medvetna, men i styrningen brister det ofta. Säkerhet ses ibland som något som it-avdelningen får sköta. I själva verket är det en strategisk fråga för hela organisationen.

När cybersäkerheten placeras utanför kärnverksamheten blir konsekvensen att ansvar och beslutsrätt hamnar mellan stolarna.

– Många tror att de kan ”lösa” säkerhet med ett nytt system eller en konsult. Men teknik räcker inte. Det handlar lika mycket om rutiner, uppföljning och kultur, säger Dan Lundberg.

Han jämför med arbetsmiljöarbetet, där det i dag är självklart att frågan ligger på ledningens bord. Cybersäkerheten måste, menar han, gå samma väg.

Och precis som i arbetsmiljöfrågor är det ofta de som står närmast verksamheten som först ser riskerna. I många företag är det ingenjörer och tekniskt kunniga medarbetare som tidigast upptäcker bristerna – men sällan får utrymme att påverka besluten.

– De som arbetar nära tekniken ser hur snabbt små brister kan växa till stora problem. De kan påverka genom att översätta tekniska risker till affärsrisker: visa hur bristande säkerhet kan leda till driftstopp, dataförlust, kundtapp och skadat förtroende. När man knyter säkerhetsfrågan till företagets mål – driftsäkerhet, produktkvalitet och kundnöjdhet – blir det begripligt på ledningsnivå.

”Testa, träna och förbättra rutiner”

Ett vanligt problem, menar Dan Lundberg, är att det saknas en tydlig koppling mellan säkerhetsarbetet och affärsnyttan.

– Så länge cybersäkerhet uppfattas som något som kostar utan att tillföra värde kommer den hamna för långt ner på agendan. Men när man förstår att den är en förutsättning för stabilitet, effektivitet och förtroende, då ändras prioriteringen.

Han beskriver säkerhetsarbete som en försäkring som helst aldrig ska behöva användas men som är ovärderlig när något går fel.

– Företag investerar i fysiskt skydd som larm och brandskydd eftersom de vet att det minskar risken för stora skador. Samma tänk måste gälla digitalt. Cybersäkerhet är ett skyddsnät som minimerar konsekvenserna av det oförutsedda.

Värdet av förebyggande arbete går dessutom att mäta: hur sällan incidenter inträffar, hur snabbt de upptäcks och hur liten påverkan de får.

– Den som kontinuerligt testar, tränar och förbättrar sina rutiner minskar kostnaderna över tid. Det handlar om att se säkerhet som riskhantering snarare än som teknik, säger Dan Lundberg.

Han möter ofta organisationer där viljan finns, men där kunskapen är ojämnt fördelad.

– De svåraste att nå är sällan teknikerna. Det är de grupper som inte ser sig själva som en del av säkerhetsarbetet – administrativ personal, mellanchefer, ibland till och med ledningen. Många tror fortfarande att cybersäkerhet är något som IT-avdelningen ansvarar för.

”Använd konkreta exempel”

Genom utbildning och konkreta övningar försöker Dan Lundberg förändra det synsättet.

– När människor inser att säkerhet handlar om att skydda deras eget arbete och kundernas förtroende, växer engagemanget snabbt. Då blir det inte ett krav utan en del av yrkesstoltheten.

Stora företag har ofta mer resurser och strukturer, men kan vara trögrörliga. Mindre företag är snabbare men saknar ibland både budget och planering.

– I slutänden handlar det inte om storlek utan om inställning. Organisationer som ser cybersäkerhet som en del av driften står alltid starkare när något händer, säger Dan Lundberg.

Han påminner om att hoten hela tiden förändras – just nu drivna av AI, automatiserade attacker och social manipulering – men att grundprinciperna består.

– Hoten utvecklas men det gör också våra försvar. Den som kontinuerligt arbetar med grunderna står alltid bättre rustad än den som springer efter nästa larmrubrik.

Till ingenjörer som vill driva frågan uppåt i organisationen ger han tre råd:

– För det första: tala samma språk som ledningen. Koppla säkerhet till ekonomi och verksamhetsmål, inte till teknik. För det andra: använd konkreta exempel och visa hur incidenter i branschen påverkat drift, kostnader och varumärke. Och för det tredje: betona att säkerhet inte är ett hinder utan en möjliggörare. En säker verksamhet är en pålitlig och konkurrenskraftig verksamhet.

Så bygger företag starkare cybersäkerhet

1. Tala verksamhetens språk. Koppla cybersäkerhet till det som betyder något för ledningen: driftstopp, kundtapp, dataförluster och förtroende. När man ser riskerna i affärstermer blir det lättare att fatta beslut.

2. Gör det till en del av styrningen. Cybersäkerhet ska inte ligga vid sidan av, utan vara en naturlig del av riskhantering och verksamhetsplanering – precis som kvalitet, miljö och arbetsmiljö.

3. Bygg kunskap och kultur. Teknik räcker inte. Säkerhet handlar lika mycket om rutiner, ansvar och medvetenhet. Det kräver utbildning, uppföljning och tydligt ledarskap.

4. Se det som en investering. Företag accepterar kostnaden för brand- och inbrottsskydd utan att tveka. Samma synsätt behövs digitalt; det är en investering i stabilitet, inte en kostnad för tekniken.

5. Föregå med gott exempel. Ingenjörer och tekniskt kunniga kan driva frågan genom att visa vägen i vardagen, dela erfarenheter och översätta risker till lösningar som alla förstår.

Råd från Dan Lundberg, cybersäkerhetsexpert och författare till boken Cybersäkerhet – En praktisk handbok för säkrare samhälle.