En sikkerhetsekspert kan oppdage en alvorlig svakhet uten at de som bestemmer over investeringene, får vite om den. Et angrep mot en japansk skytjeneste viser hvorfor det er et problem også norske bedriftsledere bør ta på alvor. Kundeopplysninger og kontoer kan være utsatt mens en advarsel blir liggende på et nivå i organisasjonen som ikke kan prioritere arbeidet.
Ledelsen trenger ikke å sende hvert tekniske funn til styret. Den må derimot bestemme hvilke uløste sikkerhetsproblemer som skal løftes til en leder med myndighet til å sette av penger, endre en frist eller stanse en uforsvarlig tjeneste. Styret bør avtale med ledelsen hvilke vesentlige saker det skal få, og hva som skal til for å anse et problem som løst.
Dette har GMO bekreftet
Den 24. oktober 2026 opplyste GMO Internet at skytjenesten Onamae.com Desktop Cloud hadde sikkerhetssvakheter, at uvedkommende hadde fått tilgang, og at kundeinformasjon var tatt ut av tjenesten. I en oppdatering 23. oktober skrev selskapet at 26 739 servere var potensielt berørt. Det er antallet som kan ha vært utsatt, ikke antallet bekreftede innbrudd eller ofre. Kunder hadde meldt om handler de ikke hadde godkjent, og GMO opplyste at undersøkelsen av angrepsvei og omfang fortsatte.
På en pressekonferanse 2. november sa GMO-ledelsen at et internt sikkerhetsselskap hadde varslet om problemer i systemet i april 2024, ifølge nyhetsbyrået Jiji Press. Selskapet erkjente at oppfølgingen ikke hadde vært tilstrekkelig, selv om det ble gjennomført akutt vedlikehold fire ganger. Advarselen hadde ikke nådd konsernsjef Masatoshi Kumagai. Ifølge Jiji viste ledelsen til hensynet til stabil drift og manglende analyse av hvordan sikkerhetstiltakene skulle prioriteres.
Dette er selskapets uttalelser slik de er gjengitt av nyhetsbyrået, sammen med selskapets egne meldinger. De offentlig tilgjengelige meldingene dokumenterer ikke at nettopp svakheten som ble meldt i 2024, var inngangen som ble brukt i 2026. De viser heller ikke at KI ble brukt i dette angrepet. Lærdommen om hvordan advarsler følges opp, er likevel viktig mens den tekniske undersøkelsen fortsetter.
Et varsel må føre til en beslutning
En registrert sak viser at noen har mottatt et varsel. Den viser ikke i seg selv at virksomheten forsto konsekvensene, ga noen myndighet til å handle eller kontrollerte om tiltaket virket. De fire vedlikeholdsrundene som er omtalt i GMO-saken, er en påminnelse om å spørre hva som faktisk ble løst, og hva som fortsatt sto igjen.
Dette skillet blir viktigere når KI gjør det lettere å produsere og analysere sikkerhetsfunn. I en vurdering publisert 3. november forventer britiske National Cyber Security Centre at KI øker tempoet og omfanget av kjente angrepsmetoder. Samtidig påpeker senteret at ikke alle svakheter som KI finner, kan utnyttes umiddelbart. Dette er en vurdering av trusselbildet generelt, ikke en påstand om at KI ble brukt mot GMO.
Fagfolk må vurdere funnene, slik at ledelsen ikke drukner i feilaktige eller lite alvorlige varsler. Samtidig må en troverdig, uløst sak kunne løftes videre når den teknisk ansvarlige ikke kan løse den alene. Flere varsler gir ikke bedre sikkerhet dersom ingen tar stilling til dem.
Følg én advarsel gjennom virksomheten
Tenk deg en norsk programvareleverandør som lagrer kundedokumenter. Eksemplet er oppdiktet. En intern test viser at en administratorkonto har bredere tilgang enn nødvendig. Leverandøren kan ikke endre oppsettet med én gang uten fare for å avbryte kundenes arbeid. Fagmiljøet har foreslått å dele opp tilgangen, men arbeidet konkurrerer med en planlagt produktlansering.
Fagmiljøet bør beskrive funnet, hvor sikkert det er, hvilken tjeneste det gjelder og hvilke midlertidige tiltak som finnes. Den tjenesteansvarlige bør forklare hva endringen vil koste i driften, og hva det vil bety å vente. En leder med nødvendig myndighet bør bestemme hva som skal prioriteres, og når saken skal vurderes på nytt. Dersom kundenes risiko kan være vesentlig, bør ledelsen ta stilling til hvordan og når de skal informeres etter avtalene som gjelder.
Valget står ikke bare mellom å rette alt i dag og å la problemet bli liggende. Teamet kan for eksempel undersøke om tilgangen kan begrenses midlertidig, endres for én gruppe om gangen eller legges til et avtalt driftsavbrudd. Fagfolk må kontrollere at tiltaket virker. En begrensning som hindrer nødvendig akutt bistand til kundene, krever en fungerende alternativ løsning.
Eksemplet beskriver ikke GMOs systemer, kunder eller den faktiske angrepsveien.
Slik kan ledelsen følge opp en alvorlig sak
For et vesentlig funn som ikke er løst, kan ledelsen samle følgende på ett sted:
- Risiko: Hvilken tjeneste og hvilke kunder kan bli berørt? Hva vet vi, og hva vet vi ikke?
- Tiltak: Hva skal rettes, hvilken midlertidig beskyttelse finnes, og hvordan skal effekten kontrolleres?
- Beslutning: Hvilken leder har ansvaret, hvorfor er denne prioriteringen valgt, og hvilke ressurser er satt av?
- Frist: Når skal arbeidet være ferdig eller saken vurderes på nytt? Hvem overtar ved fravær?
- Varsling: Hva skal føre til at saken løftes til daglig leder eller styret før neste planlagte møte?
- Avslutning: Hvilke tester viser at endringen virker i det aktuelle miljøet, og hvem har kontrollert resultatet?
Dette er et forslag til oppfølging, ikke et lovpålagt skjema eller en erstatning for en teknisk risikovurdering. Tekniske detaljer som kan misbrukes, og hemmeligheter som passord, bør oppbevares i systemer med begrenset tilgang. Ledelsen trenger informasjon nok til å beslutte, ikke en oppskrift på angrepet.
Hva styret bør spørre om
Styret skal ikke godkjenne hver sikkerhetsoppdatering eller være første mottaker for alle varsler. For tjenester som er viktige for virksomheten, bør styret be ledelsen vise hvordan en alvorlig advarsel fører frem til en ansvarlig beslutning. Hvor mange viktige saker har passert fristen? Hvilke er avhengige av en leverandør eller en spesialist som ikke er tilgjengelig? Hva viser at en meldt utbedring faktisk løste problemet?
I et lite norsk AS kan arbeidet begynne med en eksisterende risikoliste og en gjennomgang med IT-leverandøren hvert kvartal. Et større konsern bør undersøke om funn fra et datterselskap når frem til lederne som har ansvar for fellestjenester og investeringer. Driftsmiljøet, sikkerhetsteamet og konsernledelsen kan sitte med ulike deler av bildet. Avtal hvem som skal sette dem sammen.
Det er verdifullt å kjøpe sikkerhetskompetanse, men det at ekspertene finnes, beviser ikke at rådene deres er fulgt. Kunder bør spørre sine viktigste leverandører hvordan alvorlige funn blir løftet videre, hvordan uløste saker følges opp, og hva kunden får vite når risikoen endrer seg. NSM anbefaler at virksomheter følger opp leverandørenes sikkerhet, rutiner for varsling og beredskap. Rådene må tilpasses den enkelte virksomheten. De innebærer ikke at alle bedrifter har de samme lovpålagte pliktene.
Den forrige artikkelen handler om å sette av tid til å undersøke sikkerhetsfunn. En annen handler om å ta en ledelsesbeslutning når sikkerhetsoppdateringer utsettes. Mellom disse stegene må det finnes en beslutning som kan følges fra personen som meldte fra, til lederen som kan sørge for at problemet blir løst.
Kildene er kontrollert 3. november 2026. Det norske selskapet og oppfølgingslisten er eksempler. GMOs undersøkelse pågikk ifølge selskapets melding. Anbefalingene er artikkelforfatterens vurderinger. Illustrasjonen er laget med KI.