Risikostyring – det glemte fundamentet for bedre cybersikkerhet

Mange norske virksomheter bruker millioner på cybersikkerhet – og får likevel liten effekt. Hvorfor? Kanskje fordi de starter i feil ende. Uten aktiv og strukturert risikostyring blir sikkerhetstiltakene fragmenterte, og ledelsen får en falsk trygghet. I 2025 er dette kanskje den største sårbarheten vi ser.

De fleste fokuserer på enkeltstående sikkerhetstiltak, men overser det helhetlige bildet. For å lykkes må virksomhetene se hele trifektaen: People, Process & Technology:

• People: Risiko må håndteres gjennom kunnskap, ansvar og kultur hos alle ansatte – fra ledelse til operativt nivå.

• Process: Risikostyring må være integrert i daglige rutiner og beslutningsprosesser.

• Technology: Moderne verktøy og systemer er essensielle for å overvåke og redusere risiko.

Dessverre ser jeg fortsatt at mange bedrifter kun fokuserer på ett eller to av disse områdene — og antar at «gjennomsnittet» er godt nok. Men uten en helhetlig tilnærming kan selv de beste cybersikkerhetsløsningene svikte.

Derfor starter jeg nå en artikkelserie, der jeg vil utforske de viktigste aspektene ved risikostyring, dele innsikt og anonymiserte kundeerfaringer som viser hvordan vi i Semaphore hjelper norske og internasjonale virksomheter å lykkes.

I denne serien kommer jeg til å dekke blant annet:

1. Hvorfor risikostyring er nøkkelen til effektiv cybersikkerhet

2. Sikkerhetsloven og hva bedriften din må vite

3. Hvordan identifisere og verdivurdere de viktigste ressursene

4. Praktiske metoder for risikovurdering

5. Hvordan gå fra risiko til effektive tiltak

6. Ledelsens rolle i et robust risikostyringssystem

7. Teknologi og IAM som nøkkelkomponenter

8. Bygging av motstandsdyktighet gjennom beredskap og kontinuitet

Kort om meg

Jeg heter Bjørn Arne Berge og har over 30 års erfaring med cybersikkerhet, risikostyring og sikkerhetslovgivning – med arbeid både i Norge og internasjonalt. Mitt fokus har alltid vært å hjelpe virksomheter med å bygge team, sikkerhetsrammeverk og sikkerhetsmekanismer som ivaretar både formelle krav og praktiske behov.

Hva kommer?

Cybersikkerhet uten risikostyring er som å bygge et hus uten grunnmur – det ser solid ut, helt til stormen kommer. Gjennom mer enn tre tiår, både nasjonalt og internasjonalt, har jeg sett hvordan virksomheter som lykkes med cybersikkerhet, har én ting til felles: de tar risikostyring på alvor, og de integrerer den i både kultur, prosesser og teknologi.

I denne artikkelserien vil jeg dele innsikt, metoder og erfaringer fra arbeid med virksomheter i ulike bransjer og land – alltid med fokus på hvordan teori kan omsettes til praksis. Neste uke starter vi med et helt grunnleggende spørsmål: Hvorfor er risikostyring selve nøkkelen til effektiv cybersikkerhet?