Tag det første skridt mod større digital suverænitet
For at opnå større digital suverænitet skal man først og fremmest forstå sine risici. Det handler om at lave en risikovurdering, som kortlægger kritiske digitale sårbarheder og afhængigheder. Risikovurdering er også temaet i andet afsnit af podcasten Suveræn Tech, der dykker ned i det første skridt mod en mere robust digital forretning.
Digital suverænitet handler ikke om at kunne alting selv, men om at have valgmuligheder og sikre sin forretning digitalt. Første skridt er en risikovurdering, der kortlægger jeres kritiske processer, leverandører og dataflows - så I ved, hvor I er mest udsatte, og hvor I bør sætte ind.
Som virksomhed skal I forstå jeres sårbarheder. Derfor anbefaler vi i DI Digital, at I gennemfører én eller flere risikovurderinger, der kortlægger jeres digitale sårbarheder og afhængigheder på tværs af systemer, data og leverandører.
Hvorfor begynde ved risikovurdering?
Mange virksomheder er i dag afhængige af digitale løsninger, hvor software, cloud og hardware leveres af globale leverandører – ofte placeret uden for EU. Det er der ikke noget galt i, men det er vigtigt, at man tager sine forhåndsregler og løbende følger med i den geopolitiske udvikling.
En formaliseret risikovurdering giver jer et fælles billede af:
- Kritiske leverandører – og hvilke forretningsprocesser de understøtter
- Dataflow og placering – hvor jeres data fysisk befinder sig, og hvordan de håndteres
- Forretningskritiske systemer – hvad vil reelt lamme jeres drift, hvis det svigter?
- Geopolitiske og regulatoriske forhold – som kan indebære eksportkontrol, sanktioner og ændret lovgivning, der kan påvirke adgang til teknologi
Kom i gang med en risikovurdering
Det vigtigste er ikke at have en perfekt plan, men et afklaret forhold til jeres såkaldte risikoappetit: Det vil sige, hvilke risici I er klar til at acceptere – og hvor I bør justere jeres leverandørvalg eller løsninger.
Vi anbefaler følgende seks skridt:
- Identificer din virksomheds nøgleprocesser
- Identificer de aktiver, som nøgleprocesserne er afhængige af
- Vurdér de konkrete risici for nøgleprocesserne ud fra sandsynlighed og konsekvens
- Afklar sammen med ledelse og bestyrelse jeres villighed til at acceptere disse risici og aftal en konkret plan for at reducere de risici, I ikke kan acceptere
- Gennemgå jævnligt jeres risikovurdering
Podcasten Suveræn Tech med fokus på risikovurderinger
I andet afsnit af DI Digitals podcast om digital suverænitet, Suveræn Tech, er fokus på de forskellige elementer i en risikovurdering.
Det kyndige panel består af Michael Moesgaard, IT-direktør i DSB og næstformand i Statens IT-råd, Maria Damborg Hald, partner og technology lead i Deloitte og Jacob Herbst, medstifter og CTO i cybersikkerhedsvirksomheden Dubex og forperson for Cybersikkerhedsrådet.
"Forskellen på risikovurderingerne i dag i forhold til tidligere er, at man bliver nødt til at ændre domænet for, hvad det er, der er nødvendigt at risikovurdere. Fra en traditionel it-verden, hvor man har kunnet lave et relativt håndgribeligt risikokatalog, bevæger vi os ind på et helt andet område med fokus på geopolitik og digital suverænitet, hvor det er nødvendigt at have nogle helt andre risici med," siger Jacob Herbst, medstifter og CTO i Dubex i podcasten.
Hos DSB arbejder man med risikovurderinger på to planer for at kunne afdække virksomhedens sårbarheder.
"Det ene plan er system for system med en gennemgang og kortlægning af risici og kritikaliteten ved systemerne og deres eksponering i forhold til databeskyttelse og driftssikkerhed. Men det, der fylder mere og mere nu, er det andet plan, hvor vi kigger på trusselsbilledet og de leverandørafhængigheder, der går på tværs af det hele," siger Michael Moesgaard, IT-direktør i DSB.
Kend dine kronjuveler
Det centrale ved risikovurderinger er, at det er en ledelsesopgave, hvor man opnår overblik over de systemer og processer, der er vigtige for forretningen, lyder det fra Maria Damborg Hald, partner og technology lead i Deloitte:
"I lyset af den geopolitiske situation bliver listen over risici udvidet. Men det kan også blive en kæmpestor og diffus opgave for særligt små- og mellemstore virksomheder. Derfor er man nødt til at gå risikobaseret til ens risikovurdering. Det betyder også, at det ikke er lige vigtigt for alle virksomheder at adressere geopolitiske problemstillinger," siger Maria Damborg Hald og fortsætter:
"Udgangspunktet er at kende sine kronjuveler. Det kan lyde enkelt, men det er ikke ligetil at få et præcist overblik over, hvad der udgør organisationens vigtigste aktiver i den digitale infrastruktur og kerneprocesserne."
