"Risk är en affärsdiskussion," säger Leon DuPree, lektor vid Eastern Michigan Universitys School of Information Security and Applied Computing. Allt fler säkerhetschefer omformar sina roller från ren cyber- och teknikfokus till att bedöma affärsrisker och kvantifiera kostnad kontra avkastning — flera använder FAIR‑modellen för att översätta tekniska risker till finansiella termer.

Från teknisk specialist till affärspartner Allt fler chefer för informationssäkerhet rör sig från en teknisk roll mot en mer strategisk affärsroll. Leon DuPree, lektor vid Eastern Michigan Universitys School of Information Security and Applied Computing, säger att ciso:er inte längre kan fatta beslut bara utifrån rädsla eller krav på regelefterlevnad. De måste prata om risk på samma sätt som resten av ledningen pratar om kostnader, intäkter och avkastning. FAIR — räkna risk i pengar En metod som lyfts fram är FAIR, Factor Analysis of Information Risk. Modellen används för att göra cyber- och operativa risker mätbara i finansiella termer, så att alternativa åtgärder kan rangordnas efter förväntad avkastning. DuPree pekar på att ledande ciso:er använder FAIR för att sätta risk i ett språk som företagsledningen förstår. FAIR gör det möjligt att översätta påverkan på affärsprocesser till ett monetärt värde. Det skiftar fokus från teknisk detaljerad rapportering till beslutsunderlag som visar vilka säkerhetsåtgärder som ger mest effekt per spenderad krona. AI driver på förändringen Caron på S‑RM ser en accelererande trend: fler ciso:er får i uppdrag att bedöma och modellera risker kopplade till AI och rapportera hur dessa risker påverkar affärsprocesser — inte bara dataintegritet eller it‑system. Det betyder konkreta analyser av hur AI‑implementation kan förändra riskprofilen för interna processer, kundinteraktioner och produktutveckling. För att göra det krävs att ciso:er identifierar risker som följer med ny teknik, kvantifierar dem i affärsmässiga termer och föreslår riskminimeringsstrategier. Caron säger att ciso:er också måste beräkna hur mycket varje åtgärd minskar affärsrisk, och hjälpa till att prioritera uppgifter utifrån förväntad avkastning och bolagets mål. Kräver nya färdigheter hos säkerhetschefen Den nya rollen ställer andra krav på kompetens än tidigare. Caron menar att dagens företag kräver en mer affärsinriktad ciso, och att det därför behövs en breddning från teknisk kunskap till förståelse för företagsstrategi och marknadsförhållanden. Steve Martano, medlem av IANS Research‑fakulteten och partner i Artico Searchs cybersäkerhetsverksamhet, konstaterar att många ciso:er fortfarande har stigit i graderna genom tekniska och ingenjörsmässiga banor. Viktiga färdigheter som lyfts i intervjuerna: - Förmåga att kommunicera risk i affärstermer till ledning och styrelse - Affärs- och strategiförståelse för att koppla säkerhet till mål och intäkter - Kvantifieringsförmåga: kunna översätta tekniska risker till monetära värden (t.ex. med FAIR) - Prioriterings- och beslutsstödskompetens: jämföra kostnad kontra förväntad riskreduktion Begränsningar i ansvaret Personer i fältet betonar samtidigt att ciso‑rollen har gränser. Martano och andra säger att säkerhetschefer inte bör bära ansvaret för att bestämma hela organisationsstrategin. Rollen är att tydliggöra säkerhetsrelaterade affärsrisker och ge styrgrupp och ledning underlag för informerade avvägningar.

Related Articles

Flera ciso:er använder FAIR‑modellen för att översätta tekniska och operativa risker till ett monetärt värde — och därmed prioritera vilka säkerhetsåtgärder som ger mest effekt per spenderad krona.

Den här artikeln har skapats med hjälp av AI.