Ikke alle databrud starter med en skyggefuld hacker og et eksternt angreb. Nogle gange er det ikke ondsindede tredjeparter, der overvælder netværksforsvarere. Det er almindelige medarbejdere, der ikke følger etablerede retningslinjer for informationsstyring, der bringer organisationer i problemer. Eller regler for datahåndtering, der bryder sammen ved kontakt med virkeligheden.
I disse situationer er selv den mest sofistikerede cybersikkerhedsteknologi i verden muligvis ikke nok til at forhindre en skadelig datalækage eller et brud på compliance-reglerne. Det er noget, som UK Government Investments (UKGI) for nylig fandt ud af på bekostning af sin egen indsats efter at have lækket potentielt følsomme data online i næsten to dage.
Dette er ikke den første og bliver heller ikke den sidste advarsel af sin slags. Den rette tilgang til at opbygge virksomheders modstandsdygtighed er at balancere sikkerhedsteknologi med informationsstyring.
Hvad skete der på UKGI?
Hændelsen hos UKGI, som forvalter statens kommercielle interesser i virksomheder, kommer med et strejf af ironi, da de beskriver sig selv som eksperter i corporate governance. Finansministeriet udtalte i sin årsrapport i august, at et databrud i 2025-26 involverede en utilsigtet lækage af en intern fil. Den omfattede "oplysninger på højt niveau i ledelsen og navne og arbejds-e-mailadresser på 51 embedsmænd", som blev gjort offentligt tilgængelige i omkring 40 timer. Synderen var "et medlem af personalet, der ikke fulgte etablerede informationssikkerhedspolitikker".
UKGI rapporterede hændelsen til Information Commissioner's Office (ICO) og foretog en ekstern gennemgang, der gav anbefalinger til, hvordan man kan styrke sin hændelsesberedskab og -kontrol – hvoraf "overvældende størstedelen" har implementeret eller vil implementere.
Udfordringer med forvaltning er overalt
Selvom denne hændelse forløb uden større konsekvenser, har lignende sager haft en langt større indflydelse. Et par stykker falder mig ind:
Postvæsenet blev irettesat af ICO i 2025 efter at have offentliggjort et uredigeret juridisk dokument på sin hjemmeside om den igangværende Horizon IT-skandale. Det indeholdt navn, hjemmeadresse og postmesterstatus på over 500 personer involveret i retssager med postvæsenet, og oplysningerne forblev offentligt tilgængelige i næsten to måneder. Postvæsenet slap med nød og næppe for en bøde på 1 million pund.
Hammersmith & Fulham Kommune blev også irettesat af ICO sidste år efter ved et uheld at have lækket oplysninger om 6,528 personer, heriblandt 2,342 børn, som svar på en anmodning om aktindsigt. Det pågældende Excel-regneark indeholdt 35 skjulte arbejdsbøger, der indeholdt oplysningerne, herunder detaljer om asylansøgende børn. De personlige oplysninger blev efterladt skjult i næsten to år.
Nordirlands politi (PSNI) satte utallige betjente og medarbejdere i fare, da de lækkede deres personlige oplysninger, herunder navne, rang og roller, i et regnearksbaseret svar på en anmodning om meddelelse af information. Selvom oplysningerne kun var offentligt tilgængelige i et par timer, menes oplysningerne at være indhentet af systemkritiske republikanere. PSNI undgik kun en bøde på 5.6 millioner pund på grund af en offentlig sektors politik om økonomiske sanktioner efter Covid, som ICO havde vedtaget.
Hvordan ser bedste praksis ud?
Sådanne hændelser illustrerer et voksende problem: at investeringer i tekniske sikkerhedskontroller i mange organisationer dramatisk har oversteget finansieringen til informationsstyring, ifølge Muhammad Yahya Patel, vCISO EMEA hos Huntress.
"Informationsstyring, at vide hvilke data man opbevarer, hvor de findes, hvem der har adgang til dem, hvordan de skal håndteres, og om disse regler rent faktisk følges i praksis, er uglamourøst arbejde," fortæller han IO (tidligere ISMS.online). "Det er den del, der bliver glemt i de fleste samtaler. Det genererer ikke spændende bestyrelsespræsentationer. Men det er kontrollaget, der ligger mellem et politisk dokument og det øjeblik, hvor en medarbejder træffer en beslutning om en følsom fil klokken 4 om fredagen."
Patel argumenterer for, at en proportionel tilgang til risikostyring betyder at acceptere, at ikke alle risici kræver en teknisk løsning. "Nogle gange er den rette kontrol en klarere proces, bedre træning leveret i det øjeblik, den relevante risiko opstår, snarere end årligt, eller et simpelt fagfællebedømmelsestrin, før følsomme oplysninger offentliggøres eller deles," fortsatte han.
Jake Taylor, chef for den offentlige sektor hos Filigran, er enig og argumenterer for, at organisationer ikke kan beskytte det, de ikke ved, de har.
"Efterhånden som offentlige afdelinger og organisationer omstruktureres og reorganiseres, vil det britiske trusselsbillede udvides dramatisk og efterlade huller, som ondsindede aktører kan udnytte. Datastyring bliver her lige så vigtig, hvis ikke vigtigere, end teknisk forsvar," fortæller han IO.
"Ledere skal forstå, at sikkerhed ikke kan eksistere uden kontrol, balance og klar synlighed."
Taylor opfordrer teams til regelmæssigt at revidere aktivitet, logge og gennemgå, hvem der tilgår følsomme mapper, for at opdage usædvanlig adfærd tidligt. Og han opfordrer organisationer til at minimere brugerfriktion.
"Sørg for, at sikkerhedsregler ikke forhindrer medarbejderne i at udføre deres arbejde, ellers finder de farlige løsninger," fortsætter han. "Prøv også at bygge bro mellem siloerne. Tving dine juridiske, IT-, compliance- og sikkerhedsteams til at arbejde sammen under én samlet datastrategi."
Introduktion af en løbende overvågningsmetode
Eksperterne, som IO talte med, er enige om, at en kontinuerlig tilgang til styring og compliance bør være den foretrukne løsning. Det betyder, at man løbende indsamler beviser og overvåger afvigelser i compliance for at opdage problemer og afhjælpe dem tidligt, i stedet for at vente på, at revisionen finder sted for at afdække historiske problemer, der har vokset sig store.
"Tidligere kontroller som årlige revisioner og penetrationstest viser kun din datastatus og sårbarheder for en enkelt dag, hvilket skaber en falsk følelse af sikkerhed," argumenterer Taylor. "Kontinuerlig overvågning sikrer, at dit datakort, adgangsregler og opbevaringspolitikker forbliver nøjagtige hvert eneste sekund."
Patel fra Huntress tilføjer, at kontinuerlig overvågning allerede er veletableret inden for cybersikkerhed, og at informationsstyring skal følge trop.
"Automatiseret overvågning, der markerer, når følsomme dokumenter gøres offentligt tilgængelige, et risikoflag, der udløses, når følsomme data deles – når adgangstilladelser ændres uventet, eller når data bevæger sig uden for autoriserede ruter – forvandler en 40-timers eksponering til en fire minutters eksponering," siger han.
"Teknologien til at gøre dette findes og er moden. Det, der typisk mangler, er den organisatoriske vilje til at implementere det lige så stringent som tekniske sikkerhedskontroller."
Den gode og dårlige nyhed er, at AI vil gøre denne opgave både lettere og mere udfordrende. På den ene side introducerer skygge-AI nye risici. IBM hævder , at 43 % af brudhændelser sidste år involverede usanktioneret brug af AI. AI-værktøjer kan dog gøre styringen mere strømlinet gennem automatiseret klassificering af følsomme dokumenter, kontinuerlig overvågning af datastrømme, anomalidetektion og håndhævelse af politikker med maskinhastighed, forklarer Patel fra Huntress.
"De organisationer, der vil få mest værdi ud af AI inden for informationsstyring, er dem, der har investeret i at forstå deres datagrundlag godt nok til at vide, hvad der skal beskyttes, og hvorfor," konkluderer han.
"AI forstærker god praksis for informationsstyring. Den forstærker også konsekvenserne af dårlig praksis, og det er den del, de fleste ledere endnu ikke helt har taget højde for."
Udvid din viden
Blog: Lukning af modstandsdygtighedskløften: Hvor regeringen siger, at UK PLC stadig fejler
Blog: NVD-tilbagetrækningen bør føre til en robust tilgang til sårbarhedsstyring
