Digitaliseringen gir virksomheter stadig flere muligheter – men også et mer sammensatt risikobilde. Skytjenester, programvare, integrasjoner, AI-verktøy og eksterne leverandører er blitt en naturlig del av arbeidshverdagen. Samtidig utvikler trusselbildet seg raskt.
Løsepengevirus, målrettet phishing og angrep via leverandører og tredjepartsløsninger rammer virksomheter av alle størrelser. Samtidig gjør AI det enklere for angripere å lage troverdige svindelforsøk – i større skala og med bedre språk enn før.
God sikkerhet handler derfor ikke bare om tekniske løsninger. Virksomheter trenger kompetanse på tvers av IT, utvikling og styring – og en felles forståelse av hvordan teknologi, data og risiko henger sammen.
I forbindelse med sikkerhetsmåneden ser vi nærmere på noen av områdene det er spesielt viktig å ha fokus på nå.
Mange av virksomhetens viktigste systemer og data er i dag tilgjengelige gjennom skybaserte tjenester. Det gjør identiteter og tilganger til en sentral del av sikkerhetsarbeidet.
En kompromittert brukerkonto kan gi tilgang til store deler av virksomhetens digitale miljø. Derfor er det viktig å ha gode rutiner for blant annet autentisering, tilgangsstyring og privilegerte kontoer.
Flerfaktorautentisering bør være standard – helst i phishing-resistente varianter som passnøkler eller fysiske sikkerhetsnøkler. Betinget tilgang, der pålogging vurderes ut fra blant annet enhet, plassering og risiko, gjør det i tillegg vanskeligere å misbruke stjålne påloggingsdetaljer.
Prinsippet om minste privilegium er fortsatt et godt utgangspunkt: Brukere og systemer bør ikke ha tilgang til mer enn det de faktisk trenger.
Samtidig må virksomheter ha kontroll på konfigurasjon, oppdateringer, overvåking og beredskap. De grunnleggende sikkerhetstiltakene er ikke blitt mindre viktige – men de må følges opp kontinuerlig. Det gjelder også skyressurser og AI-arbeidslaster, som må omfattes av de samme sikkerhetskontrollene som resten av miljøet.
Like viktig er evnen til å oppdage og håndtere angrep når de skjer. Logging og overvåking, for eksempel gjennom SIEM-løsninger som Microsoft Sentinel, gjør det mulig å fange opp mistenkelig aktivitet tidlig. En innarbeidet plan for hendelseshåndtering avgjør hvor raskt virksomheten kommer seg på beina igjen, og digital etterforskning gir svar på hva som faktisk skjedde.
Mange tester også sitt eget forsvar gjennom penetrasjonstesting og etisk hacking. Å se egne systemer med angriperens øyne er ofte den mest effektive måten å finne svakhetene på – før noen andre gjør det.
Programvareutvikling skjer raskere enn tidligere. Nye funksjoner lanseres fortløpende, utviklere bruker stadig flere tredjepartskomponenter, og AI-baserte utviklingsverktøy har blitt en del av arbeidshverdagen for mange.
Det stiller nye krav til sikker utvikling.
OWASP Top 10 for 2025 peker blant annet på tilgangskontroll, feilkonfigurasjon og sikkerhetsutfordringer i programvarens leverandørkjede som sentrale risikoområder.
Moderne applikasjoner består ofte av langt mer enn kode virksomheten har skrevet selv. Biblioteker, pakker, API-er og andre avhengigheter inngår i løsningen, og en sårbarhet i én komponent kan påvirke resten av systemet.
Sikkerhet bør derfor være en del av hele utviklingsløpet – fra arkitektur og design til utvikling, testing og drift.
Relevante kurs
Generativ AI og verktøy som GitHub Copilot og Claude Code kan effektivisere utviklingsarbeidet betydelig. De kan hjelpe med å skrive kode, finne feil og foreslå løsninger.
Men raskere utvikling betyr ikke automatisk sikrere utvikling.
AI-generert kode må vurderes på samme måte som annen kode. Den kan inneholde sikkerhetsfeil, bruke usikre komponenter eller foreslå løsninger som fungerer teknisk, men som ikke følger virksomhetens krav og beste praksis.
Utviklere trenger derfor fortsatt god forståelse for sikker programmering. Når AI gjør det enklere å produsere mer kode på kortere tid, blir kompetansen til å vurdere kvalitet, sikkerhet og risiko enda viktigere.
Samtidig bygger stadig flere utviklere egne løsninger på toppen av språkmodeller. Det gir nye typer sårbarheter – som prompt injection, der skjulte instruksjoner i innhold modellen leser får den til å gjøre noe den ikke skulle, eller at sensitive data lekker ut gjennom modellens svar. OWASP har derfor egne topp 10-lister for sikkerhet i LLM-applikasjoner.
AI skaper ikke bare nye problemstillinger for utviklere.
Copiloter, generativ AI og AI-agenter tas i bruk i stadig flere deler av virksomheten. Det gjør det nødvendig å ha kontroll på blant annet hvilke data løsningene får tilgang til, hva de brukes til og hvem som har ansvar for bruken.
Virksomheter bør derfor etablere tydelige rammer for hvordan AI skal tas i bruk og følges opp.
ISO/IEC 42001 gir et rammeverk for styring av kunstig intelligens og kan hjelpe virksomheter med å etablere ansvar, prosesser og kontrollmekanismer knyttet til bruk og utvikling av AI.
AI Risk Management handler samtidig om å identifisere og vurdere risiko gjennom hele livssyklusen til en AI-løsning.
Det kan for eksempel innebære å vurdere:
Målet er ikke å unngå AI, men å kunne bruke teknologien på en kontrollert og ansvarlig måte.
Relevante kurs
Data er en sentral del av både tradisjonelle IT-systemer og nye AI-løsninger. Når virksomheten behandler personopplysninger, må personvern derfor ses i sammenheng med informasjonssikkerhet og risikostyring.
Det handler blant annet om å vite hvilke personopplysninger virksomheten har, hvorfor de behandles, hvem som har tilgang til dem og hvordan de beskyttes gjennom hele livssyklusen.
I praksis krever det også tekniske tiltak, som klassifisering og merking av sensitive data og regler som hindrer at de deles utilsiktet – for eksempel med Microsoft Purview. Det blir særlig viktig når AI-assistenter som Copilot får tilgang til virksomhetens dokumenter og e-post.
ISO/IEC 27701 gir et strukturert rammeverk for arbeidet med personvern og kan hjelpe virksomheter med å etablere tydelige roller, prosesser og kontroller.
Den nye utgaven, ISO/IEC 27701:2025, kan brukes som et selvstendig styringssystem for personvern og kan samtidig integreres med blant annet ISO/IEC 27001.
For virksomheter som ønsker en mer systematisk tilnærming til personvern, kan dette gjøre det enklere å koble arbeidet til eksisterende styringssystemer og risikoprosesser.
En teknisk sikkerhetshendelse er sjelden bare et teknisk problem. Et angrep kan føre til:
Driftsstans
Økonomiske tap
Brudd på personvernregelverket
Skadet omdømme
Risiko knyttet til IT, AI og personvern må derfor også forstås som virksomhetsrisiko.
ISO 31000 gir prinsipper og retningslinjer for risikostyring og kan brukes på tvers av organisasjonen.
En systematisk tilnærming gjør det lettere å vurdere hvilke risikoer som er viktigst, hvilke tiltak som bør prioriteres og hvilken risiko virksomheten er villig til å akseptere.
Det bidrar også til et felles språk mellom tekniske fagmiljøer, ledelse og andre deler av virksomheten.
Uavhengig kontroll og revisjon er en viktig del av dette, både for å avdekke svakheter og for å dokumentere at tiltakene faktisk virker. Samtidig trenger virksomheten sikkerhetsledere som kan oversette teknisk risiko til prioriteringer ledelsen kan ta stilling til.
Vil du styrke sikkerhetskompetansen i virksomheten? Utforsk fagområdene vi har omtalt i artikkelen:
Se alle sikkerhetskurs eller ta kontakt for en uforpliktende prat om hvilke kompetansetiltak som gir størst verdi for dere.
