Cyberrobusthet har blitt et av de viktigste fokusområdene for cyberindustrien de siste årene. Selv myndighetene har nevnt det i en kritisk del av den lovforslaget som er under behandling. Men det viser seg å være noe vanskelig for Storbritannias seks millioner bedrifter å oppnå det. Hvis man skal gå etter den siste Whitehall-forskningen, er avstanden mellom bransjens ambisjoner for robusthet og hva organisasjoner faktisk oppnår fortsatt betydelig.
Årets Undersøkelse om brudd på cybersikkerhet er ute. Og det er nok en gang et bevis på at landets bedrifter ikke har noen garanti når det gjelder deres innsats for cyberrobusthet. Bare halvparten (57 %) av mellomstore bedrifter og tre fjerdedeler (74 %) av store bedrifter har en sikkerhetsstrategi på plass – så godt som uendret fra i fjor. Det er fortsatt mye arbeid som gjenstår.
Reisen til motstandskraft
Motstandskraft handler om å omformulere cybersikkerhet mot et bakteppe av et ustabilt trussellandskap, økende regulatorisk gransking og umettelig etterspørsel etter digitale investeringer i styrerom. I en verden der cyberkriminalitetsøkonomien er verdt billioner, Det nasjonale senteret for cybersikkerhet (NCSC) er tar seg av fire «nasjonalt betydningsfulle» angrep per uke, og milliarder av kompromitterte legitimasjon sirkulerer, må sikkerhetsteam akseptere at ingen organisasjoner er 100 % sikre mot brudd.
I denne sammenhengen flyttes fokuset fra forebygging til å kunne forberede seg, reagere, gjenopprette og lære av eventuelle angrep som sniker seg gjennom. Dette er viktigere enn noen gang ettersom angrepsflatene utvides med en eksplosjon av IoT-enheter, AI-agenter, chatboter og LLM-er – hvorav mange brukes uten IT-avdelingens kjennskap. IO (tidligere ISMS.online) Status for informasjonssikkerhetsrapport 2025 avslører at en tredjedel (34 %) av respondentene er bekymret for skygge-AI i løpet av det kommende året, et av de mest populære svarene.
Hva regjeringen fant
Ekte motstandskraft krever lagdelt forsvar. Dessverre avslører myndighetenes siste rapport om sikkerhetsbrudd at mange organisasjoner ikke får det grunnleggende på plass. Her er noen av de viktigste funnene:
Opplæring og bevisstgjøring av ansatte heveSelv om andelen respondenter som deltok i disse aktivitetene økte for de største firmaene (fra 76 % i fjor til 84 % i år), forble den totalt sett fast på skuffende 19 %.
Risikovurdering: En svært liten årlig økning i antall respondenter som gjennomfører risikovurderinger for cybersikkerhet, blant mellomstore (57 % til 62 %) og store (70 % til 72 %) bedrifter. Imidlertid forble det totale tallet tilnærmet uendret på 30 %.
Risikostyring i forsyningskjeden: Mindre enn en tredjedel (30 %) av mellomstore bedrifter og halvparten (48 %) av store bedrifter vurderer cyberrisikoene som direkte leverandører utgjør. Det er nesten uendret fra fjorårets henholdsvis 32 % og 45 %. For den bredere forsyningskjeden var tallene enda lavere: 13 % og 24 % mot 15 % og 25 %. Totalt sett var det bare 15 % av bedriftene som vurderte sine direkte leverandører og 6 % den bredere forsyningskjeden – omtrent det samme som i fjor (14 % og 7 %).
Forsikring: Halvparten (47 %) av bedriftene sier at de er forsikret mot cyberrisiko, og det er en økning for mellomstore bedrifter (61 %). Dette er stort sett på linje med i fjor (45 % og 65 %). Mer bekymringsfullt er det imidlertid at bare 10 % sier at de har en spesifikk cyberforsikring på plass, og over en femtedel (22 %) vet ikke i det hele tatt. Begge statistikkene var lik den i fjor (7 % og 20 %).
Styret: Nettsikkerhet anses som en «høy prioritet» for toppledelsen hos 72 % av respondentene. Men er det egentlig det? Styrelederansvaret for dette økte bare litt, fra 27 % til 31 %.
Hendelsesrespons: Andelen respondenter med en formell IR-plan var så godt som uendret (25 %), i likhet med tallene for mellomstore (53 % til 57 %) og store (75 % til 76 %) bedrifter.
Bevissthet om statlige initiativer: Flere respondenter enn i fjor sier at de har hørt om statlige ordninger som Cyber Aware (24 % til 30 %), 10-trinnsveiledningen (12 % til 17 %) og Cyber Essentials (12 % til 17 %). Men disse tallene, og de for den nyere kodeksen for programvaresikkerhet (22 %) og kodeksen for cyberstyring (16 %), er fortsatt altfor lave.
I tillegg har andelen respondenter som har Cyber Essentials bare økt litt, fra 3 % til 5 % totalt, og fra 21 % til 35 % for store bedrifter.
HA: Rundt en femtedel (21 %) av respondentene sier at de har tatt i bruk noen AI-verktøy i organisasjonen. Likevel hevder nesten halvparten (45 %) at AI ikke er relevant for organisasjonen deres.
Går lenger enn avkrysningsbokssikkerhet
Merlin Gillespie, teknisk direktør i Cybanetix, forteller IO at rapporten nok en gang illustrerer to realiteter: Større firmaer er generelt kompetente, mens deres mindre konkurrenter er eksponert.
«Standardresepten er godt innøvd. Innfør en «anta brudd»-holdning, skriv en testet hendelsesresponsplan med tydelige eskaleringsveier, implementer en rekke sikkerhetskontroller, MDR, identitetshåndtering, autentiseringsherding, og begynn å formelt gjennomgå forsyningskjeden din», forklarer han.
«Alt dette er det riktige svaret for bedrifter med en formalisert sikkerhetsfunksjon og ressurser som er i stand til å utføre disse. Problemet er at denne forskriften forutsetter en kapasitet som de fleste britiske bedrifter ikke har.»
Richard Groome, spesialist på cybersikkerhet ved OT hos e2e-assure, er bekymret for dårlig kapasitet til hendelsesrespons. «De fleste bedrifter kan eskalere internt, men bare en tredjedel har klare eksterne rapporteringsprosesser. Det er ikke robusthet, det er reaksjon», sier han til IO.
«Bedrifter må gå utover avkrysningsbokssikkerhet og heller fokusere på observerbarhet og operasjonell robusthet. Dette krever kontinuerlig overvåking, raskere deteksjon og hendelsesrespons som faktisk er testet, ikke bare dokumentert. Med krav om 24-timers rapportering kan du ikke reagere på en hendelse du ikke har oppdaget. Synlighet og hastighet er avgjørende.»
Dan Lattimer, EMEA-visepresident hos Semperis, legger til at identitet må være en del av enhver hendelsesresponsplan. «Å investere i identitetsovervåking og -gjenoppretting sammen med forebygging er avgjørende for å redusere nedetid, gjentatte hendelser og langsiktig forretningsskade», sier han. «Hendelsesrespons uten identitetsgjenoppretting er ufullstendig respons.»
Formalisering av beste praksis
Til tross for lav bevissthet om og bruk av beste praksis-standarder og rammeverk, kan disse være en nyttig alliert i arbeidet med å forbedre cyberrobustheten, ifølge andre eksperter IO snakket med. Graeme Stewart, leder for offentlig sektor i UK&I hos Check Point, beskriver rapportens funn som en «vekker» for organisasjoner i alle størrelser.
«Den magiske trekanten av mennesker, prosesser og teknologi trenger alle oppmerksomhet. De ansatte må være informerte og bevisste. Prosessene må være robuste og dekke både forebygging og respons etter hendelser, og teknologien må oppdateres riktig, brukes riktig og holdes oppdatert», forteller han til IO.
«Rammeverk som Cyber Essentials, ISO 27001 og NIST-veiledning gir viktige rekkverk, spesielt for mindre organisasjoner der ledelsen ikke er cybereksperter. Disse rammeverkene gir bedrifter en strukturert vei videre, og det er genuint positiv fremgang.»
Huntress vCISO Muhammad Yahya Patel er enig. «Rammeverk som Cyber Essentials og ISO-standarder er verdifulle fordi de gir en konsekvent, styrt tilnærming til håndtering av kontroller, risikoer og retningslinjer», forteller han IO. «Cyber Essentials fokuserer spesielt sterkt på grunnleggende hygienekontroller, og realiteten er at mange av angrepene vi ser i dag lykkes nettopp fordi disse grunnleggende kontrollene ikke er på plass.»
I vår rapport om fjorårets undersøkelse Vi la også merke til hvordan arbeidet med å forbedre motstandsdyktighet hadde stoppet opp på tvers av UK PLC. Forhåpentligvis sier vi ikke det samme igjen neste år.
Utvid din kunnskap
Guide: Status for informasjonssikkerhetsrapport 2025
Blogg: Å lukke gapet i motstandskraft: Der regjeringen sier at UK PLC fortsatt mislykkes
