I takt med at de geopolitiske spændinger fortsætter med at stige globalt, har 2025 set en dramatisk stigning i forsvarsudgifter, der ikke er set siden den kolde krig.
I de seneste uger har NATO-medlemmer aftalt at bruge 5 % af deres bruttonationalprodukt på militærudgifter inden 2035. Mange, inklusive Storbritannien, bruger allerede over 2 % på deres militær. NATO's nye mål er opdelt i to dele: 3.5 % på konventionelt militær og resten på andre initiativer, der sigter mod at styrke den nationale sikkerhed, såsom cybersikkerhed.
Selvom disse usikre tider er skræmmende, kan øgede forsvarsudgifter være en god ting ved at tilføre flere penge til den private sektor og dermed forbedre de økonomiske forhold. Især cybersikkerhedsfirmaer vil drage fordel af NATO's nye udgiftsmål. Men hvad skal der ellers gøres for at forbedre vores cyberforsvar mod stigende nationalstatstrusler?
Virksomheder er følgeskader
Midt i øgede geopolitiske spændinger og stigende cybertrusler fra nationalstater er IT-sikkerhed nu et "frontlinjeproblem" for NATO-lande, deres allierede og kritiske infrastrukturorganisationer.
Det siger James Lei, administrerende direktør for applikationssikkerhedstestfirmaet Sparrow. Han argumenterer for, at virksomheder, der leverer kritiske tjenester og ressourcer, der er afgørende for driften af moderne samfund – såsom telekommunikation, finans og energi – nu er direkte mål for NATOs fjender.
Lei forklarer, at NATO's modstandere ved at angribe sådanne organisationer ikke blot forsøger at stjæle følsomme data for at sælge dem til den højestbydende. De er også på en mission for at "forstyrre økonomier" og "underminere offentlighedens tillid", i et forsøg på at påføre deres mål maksimal skade. Han tilføjer: "Det gør virksomheder til både direkte mål og følgeskader."
Med disse risici i tankerne opfordrer Lei de nationale regeringer til at afsætte "en meningsfuld del" af deres øgede forsvarsbudgetter til at hjælpe små og mellemstore virksomheder med at imødegå den voksende risiko for nationalstatslige cyberangreb.
Lei siger, at SMV'er, især dem, der er klassificeret som kritiske nationale infrastrukturudbydere, muligvis ikke har budgetterne til at bruge penge på avancerede cybersikkerhedssystemer eller interne cyberspecialister, hvilket skaber "svage punkter i det nationale cyberøkosystem". Han fortæller ISMS.online: "Finansiering kan hjælpe SMV'er med at få adgang til bedre sikkerhedsværktøjer, træning og trusselsinformation, hvilket gavner hele landets modstandsdygtighed."
Disse bekymringer deles af Adam Brown, administrerende sikkerhedskonsulent hos et applikationssikkerhedsfirma Black DuckHan forklarer, at cyberangreb for 30 år siden ville have haft minimal indvirkning på den generelle befolkning.
Men da digital infrastruktur spiller en integreret rolle i det moderne liv, siger han, at cyberangreb kan være ekstremt skadelige. Og da de digitale tjenester og den infrastruktur, som vi er afhængige af, overvejende skabes og sælges af kommercielle virksomheder, er de blevet "primære mål" for nationalstatslige cyberangreb.
Med krigen i Ukraine og Mellemøsten forventer Chris Binnie – en cloud-native sikkerhedskonsulent – at antallet af cyberangreb fra nationalstater vil fortsætte med at stige. Han er især bekymret over spredningen af angreb i forsyningskæden.
Han siger, at nationalstater kan se dette som en "nemmere" måde at hacke sig ind i systemerne hos leverandører af kritisk infrastruktur, fordi deres IT-leverandører muligvis ikke har de "samme strenge sikkerhedspraksis".
Håndtering af disse risici
I takt med at nationalstater i stigende grad udnytter svagheder i forsyningskæden til at kompromittere kritisk infrastruktur, er regeringer og industriorganer opmærksomme på dette.
Den Europæiske Union tager især en stærk holdning til cybersikkerhedsindsatser i forsyningskæden gennem love som f.eks. Lov om digital operationel modstandskraft, Lov om cybermodstandsdygtighed og Net- og informationssikkerhedsdirektiv 2.
Brown forklarer, at virksomheder, der leverer cybertjenester til kritiske nationale infrastrukturorganisationer, i henhold til sådanne love er tvunget til at lukke eventuelle cybersikkerhedssvagheder ved at følge strenge cybersikkerhedsprocedurer.
Branchestandarder som f.eks ISO 27001ISO 22301 og ISO 42001 giver også virksomheder et grundlag, de kan følge for at beskytte sig mod geopolitiske cybertrusler og i sidste ende holde deres drift, data og forsyningskæder sikre mod hackere fra nationale stater.
Young fra TSG Training forklarer, at ISO 27001 dækker informationssikkerhed, ISO 22301 omhandler forretningskontinuitet, og at ISO 42001 for nylig er blevet introduceret for at imødegå AI-drevne cybertrusler.
Han foreslår, at tredjeparts IT-udbydere, der ønsker at sikre kontrakter fra kritiske nationale infrastrukturorganisationer, ved at overholde sådanne standarder kan vise, at de tager cybersikkerhed alvorligt og har robuste foranstaltninger på plads til at afbøde risici i forsyningskæden.
En mulighed for virksomheder
Selvom mange virksomheder er blevet udsat for følgeskader som følge af nationalstaternes cyberangreb, kan nogle faktisk drage fordel af øgede forsvarsudgifter, da landene forsøger at afbøde denne risiko.
Nationale regeringer er afhængige af virksomheder for at opretholde digital modstandsdygtighed, og som en del af deres forsvarsbudgetter vil de uden tvivl bruge flere penge på at forbedre deres cyberforsvar. Det betyder masser af muligheder for den private sektor.
John Young, chefkonsulent hos IT-uddannelsesudbyderen TSG Training, siger, at private virksomheder vil spille en afgørende rolle i at hjælpe NATO-medlemmer med at styrke deres cybersikkerhed og i sidste ende deres samlede nationale sikkerhed.
Han fortæller ISMS.online: "Deling af trusselsinformation mellem virksomheder, offentlige myndigheder og internationale partnere styrker den generelle bevidsthed og muliggør hurtigere reaktioner på nye trusler."
Ligesom Young mener Lei fra Sparrow, at NATO ikke kan reagere på nutidens utallige cybertrusler uden at samarbejde med den private sektor. Han påpeger, at private virksomheder ejer og driver mange af de kritiske tjenester, som regeringer bruger. På grund af dette siger han, at regeringer henvender sig til den private sektor for trusselsefterretninger og hændelsesrespons.
Chris Henderson, chef for informationssikkerhed hos den administrerede cybersikkerhedsplatform Huntress, er en anden stærk tilhænger af samarbejde mellem den offentlig og privat sektor i kampen mod cybertrusler fra nationalstater.
Han siger, at regeringer gennem disse partnerskaber kan udnytte trusselsinformation i realtid fra private organisationer til at holde trit med det hurtigt udviklende cybertrusselslandskab.
For at sådanne partnerskaber kan blive en succes, opfordrer Henderson private organisationer til at sikre, at de efterretninger, de deler med offentlige organer, er formateret, så de offentlige computersystemer kan analysere dataene og hurtigt udlede brugbare indsigter fra dem.
Regeringer skal også spille deres rolle i at sikre, at disse partnerskaber er effektive. Henderson siger specifikt, at private organisationer skal være i stand til at formidle cybertrusselsinformation uden at blive bremset af reguleringsbureaukrati. Dette, siger han, er afgørende for at sikre "rettidig handling" over for "nye og kritiske trusler".
Konklusion
Det er skræmmende at se regeringer øge deres forsvarsudgifter, da man undrer sig over, hvad de ved, og hvad der kan være lige om hjørnet. Men det er en absolut nødvendighed for at holde lande sikre midt i hurtigt skiftende tider. Når det er sagt, handler forsvarsudgifter ikke kun om at købe flere kampvogne eller missiler – vores fjender kan forårsage lige så meget skade gennem cyberangreb på kritisk infrastruktur.
Så det er opmuntrende at se NATO-medlemmerne blive enige om at afsætte en betydelig del af deres øgede forsvarsbudgetter til at styrke cyberforsvaret. Samtidig vil dette åbne muligheder for cybersikkerhedsfirmaer i den private sektor. Udover at bruge flere penge på cyberforsvar er et tæt samarbejde mellem den offentlige og private sektor dog afgørende for at sikre, at disse projekter er effektive på lang sigt. Og lad os ikke glemme, at mange virksomheder nu er ude af stand til at lide følgeskader midt i geopolitisk turbulens, hvilket betyder, at de også har brug for støtte.
