Ikke alle datainnbrudd starter med en skyggefull hacker og et eksternt angrep. Noen ganger er det ikke ondsinnede tredjeparter som overvelder nettverksforsvarere. Det er vanlige ansatte som ikke følger etablerte retningslinjer for informasjonsstyring som setter organisasjoner i trøbbel. Eller regler for datahåndtering som bryter sammen ved kontakt med virkeligheten.
I slike situasjoner kan det hende at selv den mest sofistikerte cybersikkerhetsteknologien i verden ikke er nok til å forhindre en skadelig datalekkasje eller et brudd på samsvarsregler. Det er noe UK Government Investments (UKGI) nylig oppdaget på sitt beste etter å ha lekket potensielt sensitive data på nettet i nesten to dager.
Dette er ikke den første og vil ikke bli den siste varselshistorien av sitt slag. Den riktige tilnærmingen til å bygge robusthet i bedrifter er å balansere sikkerhetsteknologi med informasjonsstyring.
Hva skjedde på UKGI?
Hendelsen hos UKGI, som forvalter statens kommersielle interesser i selskaper, kommer med et snev av ironi, gitt at de beskriver seg selv som en ekspert på eierstyring og selskapsstyring. Finansdepartementet sa i sin årsrapport i august at et datainnbrudd i 2025–26 involverte en utilsiktet lekkasje av en intern fil. Den inkluderte «informasjon på høyt nivå i ledelsen og navnene og jobb-e-postadressene til 51 myndighetspersoner», som ble gjort offentlig tilgjengelige i rundt 40 timer. Synderen var «et medlem av den ansatte som ikke fulgte etablerte retningslinjer for informasjonssikkerhet».
UKGI rapporterte hendelsen til Information Commissioner's Office (ICO) og foretok en ekstern gjennomgang som ga anbefalinger om måter å styrke hendelsesberedskapen og kontrollene på – hvorav «det overveldende flertallet» har blitt eller skal implementere.
Styringsutfordringer er overalt
Selv om denne hendelsen forløp uten større ringvirkninger, har lignende saker hatt en mye større innvirkning. Noen få dukker opp i tankene:
Postvesenet ble irettesatt av ICO i 2025 etter å ha publisert et uredigert juridisk dokument på nettstedet sitt om den pågående Horizon IT-skandalen. Det inneholdt navn, hjemmeadresse og postmesterstatus til over 500 personer involvert i rettssaker med postvesenet, og informasjonen forble offentlig tilgjengelig i nesten to måneder. Postvesenet slapp så vidt unna en bot på 1 million pund.
Hammersmith & Fulham kommune ble også irettesatt av ICO i fjor etter å ha lekket opplysninger om 6,528 personer, inkludert 2,342 barn, som svar på en forespørsel om informasjonsfrihet. Det aktuelle Excel-regnearket inneholdt 35 skjulte arbeidsbøker som inneholdt informasjonen, som inkluderte detaljer om asylsøkende barn. Den personlige informasjonen ble liggende eksponert i nesten to år.
Politiet i Nord-Irland (PSNI) satte utallige offiserer og ansatte i fare da de lekket deres personlige opplysninger, inkludert navn, rang og roller, i et regnearkbasert svar på en forespørsel om informasjonsfrihet. Selv om detaljene bare var offentlig tilgjengelige i noen få timer, antas informasjonen å ha blitt innhentet av dissidente republikanere. PSNI unngikk en bot på 5.6 millioner pund kun på grunn av en offentlig sektors policy om økonomiske straffer etter covid-19 vedtatt av ICO.
Hvordan ser beste praksis ut?
Slike hendelser illustrerer et voksende problem: at investeringer i tekniske sikkerhetskontroller i mange organisasjoner dramatisk har overgått finansieringen til informasjonsstyring, ifølge Muhammad Yahya Patel, vCISO EMEA hos Huntress.
«Informasjonsstyring, å vite hvilke data du har, hvor de befinner seg, hvem som har tilgang til dem, hvordan de skal håndteres, og om disse reglene faktisk følges i praksis, er lite glamorøst arbeid», forteller han til IO (tidligere ISMS.online). «Det er den delen som blir glemt i de fleste samtaler. Det genererer ikke spennende styrepresentasjoner. Men det er kontrolllaget som ligger mellom et policydokument og øyeblikket en ansatt tar en beslutning om en sensitiv fil klokken 4 på en fredag.»
Patel argumenterer for at det å ha en proporsjonal tilnærming til risikostyring betyr å akseptere at ikke alle risikoer krever en teknisk løsning. «Noen ganger er riktig kontroll en tydeligere prosess, bedre opplæring gitt i det øyeblikket relevant risiko oppstår i stedet for årlig, eller et enkelt fagfellevurderingstrinn før sensitiv informasjon publiseres eller deles», fortsatte han.
Jake Taylor, leder for offentlig sektor hos Filigran, er enig og argumenterer for at organisasjoner ikke kan beskytte det de ikke vet de har.
«Etter hvert som offentlige etater og organisasjoner blir omstrukturert og omorganisert, vil det britiske trussellandskapet utvides dramatisk, og det vil bli hull som ondsinnede aktører kan utnytte. Datastyring her blir like viktig, om ikke viktigere, enn teknisk forsvar», sier han til IO.
«Ledere må forstå at sikkerhet ikke kan eksistere uten kontroll, balanse og klar synlighet.»
Taylor oppfordrer team til å revidere aktivitet regelmessig, logge og gjennomgå hvem som har tilgang til sensitive mapper for å oppdage uvanlig oppførsel tidlig. Og han oppfordrer organisasjoner til å minimere brukerfriksjon.
«Sørg for at sikkerhetsregler ikke hindrer ansatte i å gjøre jobben sin, ellers vil de finne farlige løsninger», fortsetter han. «Prøv også å bygge bro mellom siloene. Tving juridiske, IT-, compliance- og sikkerhetsteam til å samarbeide under én enhetlig datastrategi.»
Introduksjon av en kontinuerlig overvåkingstilnærming
Ekspertene IO snakket med er enige om at en kontinuerlig tilnærming til styring og samsvar bør være det foretrukne alternativet. Det betyr å samle inn bevis og overvåke samsvarsavvik kontinuerlig for å oppdage problemer og utbedre avvik tidlig, i stedet for å vente på revisjonstid for å avdekke historiske problemer som har vokst i vekst.
«Tidligere kontroller som årlige revisjoner og penetrasjonstester viser bare datastatusen og sårbarhetene dine for én dag, noe som skaper en falsk følelse av sikkerhet», argumenterer Taylor. «Kontinuerlig overvåking sikrer at datakartet, tilgangsreglene og oppbevaringspolicyene dine forblir nøyaktige hvert eneste sekund.»
Patel fra Huntress legger til at kontinuerlig overvåking allerede er veletablert innen cybersikkerhet, og at informasjonsstyring må følge etter.
«Automatisert overvåking som flagger når sensitive dokumenter gjøres offentlig tilgjengelige, et risikoflagg som utløses når sensitive data deles – når tilgangstillatelser endres uventet, eller når data flyttes utenfor autoriserte baner – gjør en 40-timers eksponering til en fire minutters en», sier han.
«Teknologien for å gjøre dette finnes og er moden. Det som vanligvis mangler er den organisatoriske viljen til å implementere det like grundig som tekniske sikkerhetskontroller.»
Den gode og den dårlige nyheten er at AI vil gjøre denne oppgaven både enklere og mer utfordrende. På den ene siden introduserer skygge-AI nye risikoer. IBM hevder at 43 % av sikkerhetsbruddene i fjor involverte usanksjonert bruk av AI. AI-verktøy kan imidlertid gjøre styringen mer strømlinjeformet gjennom automatisert klassifisering av sensitive dokumenter, kontinuerlig overvåking av dataflyter, avviksdeteksjon og håndheving av retningslinjer i maskinhastighet, forklarer Patel fra Huntress.
«Organisasjonene som vil få mest verdi fra AI innen informasjonsstyring er de som har investert i å forstå dataene sine godt nok til å vite hva som trenger å beskyttes og hvorfor», konkluderer han.
«KI forsterker god praksis for informasjonsstyring. Den forsterker også konsekvensene av dårlig praksis, og det er den delen de fleste ledere ikke helt har tatt høyde for ennå.»
Utvid din kunnskap
Blogg: Å lukke gapet i motstandskraft: Der regjeringen sier at UK PLC fortsatt mislykkes
Podcast: Phishing for Trouble S2 E10: Bygget for å vare: Hvordan samsvar muliggjør robusthet i bedrifter
Blogg: NVD-tilbaketrekningen bør føre til en robust tilnærming til sårbarhetshåndtering
