Onsdagstanker

I denne episode af Onsdagstanker tager Per Silberg Hansen og Camilla Treschow Schrøder sammen med Henrik Mohr fat på et spørgsmål, som mange tænker over, men få stiller direkte:Hvornår er en CISO egentlig dygtig nok?Samtalen tager afsæt i den markante udvikling, cybersikkerhedsområdet har gennemgået de seneste 20 år. Fra et lille specialistfelt drevet af entusiaster og tekniske eksperter til et strategisk ledelsesområde med ansvar for risikostyring, organisation, compliance, økonomi og forretningsudvikling.Men er rollen vokset hurtigere end de mennesker, der skal udfylde den?Henrik Mohr argumenterer for, at udfordringen sjældent handler om tekniske kompetencer. De fleste sikkerhedsfolk er dygtige teknikere. Problemet opstår, når teknisk ekspertise forveksles med ledelseserfaring.I episoden diskuterer vi blandt andet:Hvorfor teknisk dygtighed ikke automatisk gør en person klar til en CISO-rolle.Hvad der sker, når sikkerhedsledere bliver rekrutteret til et ansvar, de ikke har fået mulighed for at udvikle sig til.Hvorfor strategi først er en strategi, når den er eksekveret og skabt værdi over tid.Betydningen af langsigtet ledelse, stakeholder management og organisatorisk gennemslagskraft.Hvorfor mange sikkerhedsinitiativer dør, når ledelsens opmærksomhed flytter sig til næste prioritet.Hvad Henrik kalder den nødvendige "ledelsesmæssige værnepligt".Hvorfor budgetter, økonomiforståelse og forretningsindsigt er afgørende kompetencer for moderne sikkerhedsledere.Om CISO-rollen i virkeligheden forsøger at favne for mange forskellige discipliner.Hvornår det giver mening at samle sikkerhed, risiko, governance og operationel sikkerhed i én rolle og hvornår det ikke gør.Forskellen mellem evolution og revolution i arbejdet med cybersikkerhed.Hvorfor frygt stadig bruges som argument i sikkerhedsarbejdet, og hvilke problemer det skaber.Hvordan man oversætter komplekse tekniske risici til ledelsessprog uden at miste substansen.En af episodens centrale pointer er, at spørgsmålet måske ikke er, om CISO'er er dygtige nok.Måske er det mere relevant at spørge:Er virksomhederne dygtige nok til at definere rollen, skabe de rette forventninger og udvikle de ledere, de efterspørger?Hvis sikkerhedsledelse skal lykkes, kræver det mere end certificeringer, teknisk ekspertise og gode præsentationer. Det kræver erfaring med at lede mennesker, balancere konkurrerende prioriteter, skabe forandringer over tid og holde fast i retningen, når organisationens fokus flytter sig.

Velkommen til sæson 3 af Onsdagstanker.Denne sæson kredser om det, vi ikke taler om. De svære emner. De spørgsmål, der ofte bliver nævnt mellem linjerne, men sjældent bliver foldet ud offentligt.I sæsonpremieren tager Per og Camilla fat på en af de mest sejlivede fortællinger i cybersikkerhedsbranchen: at en CISO kun bliver i rollen omkring 18 måneder.Camilla præsenterer resultaterne af en opdateret analyse af danske sikkerhedslederroller. Konklusionen udfordrer den gængse sandhed. Hvor gennemsnittet tidligere blev opgjort til omkring 18 måneder, viser de nye data en gennemsnitlig anciennitet på mere end 40 måneder.Men hvad fortæller den udvikling egentlig?Samtalen bevæger sig fra statistikken og ind i de mere interessante spørgsmål om rollens udvikling, virksomhedernes modenhed, de kompetencer der efterspørges i dag, og hvorfor nogle vælger at forlade rollen, mens andre bliver i den gennem mange år.I denne episode taler vi blandt andet om:Hvorfor fortællingen om de 18 måneder stadig lever.Resultaterne fra analysen af 382 danske CISO-ansættelser.Hvorfor gennemsnittet i dag ligger på over 40 måneder.Hvilke typer profiler der i stigende grad bliver sikkerhedsledere.Hvordan rollen har bevæget sig fra teknisk specialist til strategisk leder.Betydningen af uddannelse, kommunikation og forretningsforståelse.Hvad NIS2 og øget ledelsesopmærksomhed har betydet for rollen.Hvor mange nuværende sikkerhedsledere der har været i rollen mere end fem år.Diversitet og kønsfordeling blandt danske CISO'er.Hvorfor næsten halvdelen af tidligere CISO'er ikke længere arbejder i sikkerhedsledelse.Hvilke karriereveje der tegner sig efter CISO-rollen.Om længere tid i rollen nødvendigvis er et tegn på succes.Centrale refleksionerEn af de stærkeste pointer i episoden er, at fortællinger kan blive til sandheder, selv når virkeligheden har flyttet sig. Når vi gentager, at en rolle er præget af høj udskiftning, kan det påvirke både forventninger og adfærd hos dem, der sidder i rollen.Samtidig peger analysen på, at cybersikkerhed i stigende grad er blevet et ledelses- og organisationsanliggende. Rollen er mere etableret, virksomhederne er mere modne, og kravene til sikkerhedsledere handler i højere grad om formidling, prioritering og forandringsledelse end om ren teknik.Endelig rejser episoden et vigtigt spørgsmål om fremtidens sikkerhedsledelse: Er vi ved at se en ny generation af CISO'er med andre baggrunde, andre styrker og andre karriereveje end dem, der byggede området op for 10-15 år siden?Statistik fra episodenAnalysegrundlag: 382 danske CISO-ansættelserNuværende CISO'er i datasættet: 225Gennemsnitlig anciennitet: 41-45 månederHar været i rollen mere end 2 år: 63 %Har været i rollen mere end 5 år: 23 %Kvinder i CISO-roller: 12 %Tidligere CISO'er, der ikke længere arbejder i sikkerhedsledelse: 47 %

I denne episode bevæger vi os ind i et spænd, der ofte behandles som to separate discipliner – men som i praksis hænger tættere sammen, end vi måske er vant til at tænke. Samtalen med Mikael Trolle tager udgangspunkt i strategi og sikkerhed i en verden, der forandrer sig med en hastighed, som udfordrer de modeller og antagelser, mange organisationer bygger på. Vi kredser om, hvad der sker, når planer bliver kortere, og forudsigeligheden mindskes. Og hvordan det ændrer vores forståelse af både risiko, ledelse og retning. Højdepunkter Risiko som et mulighedsrum Vi taler om risiko som noget mere end et negativt begreb. Som et elastisk rum, hvor udvikling og usikkerhed sameksisterer – og hvor for meget kontrol kan begrænse det potentiale, organisationen forsøger at udfolde. Når strategi ikke længere er en plan Samtalen kredser om, hvordan strategi i stigende grad bevæger sig væk fra lange planlægningshorisonter. Ikke som fravær af retning, men som en anden måde at forstå bevægelse på. Kompas og GPS Vi bevæger os ind i spændet mellem retning og manøvrering. Om hvordan kompasset sætter retningen – og hvordan evnen til løbende at navigere bliver afgørende i mødet med det uforudsigelige. Fra mure til kapacitet I stedet for at forsøge at beskytte sig mod alle tænkelige scenarier, peger samtalen på behovet for at opbygge en evne til at håndtere det, når det sker. Sikkerhed som noget, der handler om kapacitet – ikke kun kontrol. Bestyrelsens rolle i bevægelse Vi taler om bestyrelsens ansvar i en kontekst, hvor fremtidig relevans i højere grad bliver et spørgsmål om at kunne tilpasse sig end at optimere det eksisterende. Ledelsessystemer under pres Samtalen peger på, hvordan mange organisationer stadig arbejder ud fra strukturer og måder at måle på, som ikke er udviklet til den hastighed, de nu opererer i. Mennesket i systemet Vi vender tilbage til det menneskelige perspektiv. Til behovet for tryghed, forståelse og kompetence – og hvordan det påvirker vores evne til at arbejde med noget, der opleves komplekst og uforudsigeligt. Vi kredser om strategi og sikkerhed som noget, der ikke længere kan adskilles. Mellem det, vi forsøger at styre. Og det, vi må lære at bevæge os i. Måske er udfordringen ikke, at verden er blevet mere usikker. Men at vores måde at arbejde med den på stadig er forankret i en anden tid.

I denne episode optager vi live fra Folkemødet og retter blikket mod et segment, der ofte er afgørende – men sjældent styrende: SMV’erne. Samtalen med John Henriksen tager udgangspunkt i ansvar, prioritering og realiteterne i en hverdag, hvor sikkerhed konkurrerer med alt det andet, der også skal fungere. Højdepunkter Det svageste led sætter niveauet Vi taler om, hvordan sikkerhed i mange tilfælde først bliver kritisk, når afhængighederne bliver synlige – og hvordan mindre virksomheder ofte bliver en central del af det samlede risikobillede. Når sikkerhed bliver et spørgsmål om prioritering I SMV’er er sikkerhed sjældent det eneste ansvar. Det er noget, der ligger oven i drift, økonomi og daglig ledelse – og derfor ofte bliver skubbet til “senere”. Fra utilgængeligt til håndterbart Samtalen kredser om kompleksiteten i cybersikkerhed – og hvordan det for mange virksomheder ikke er modvilje, men uigennemsigtighed, der gør det svært at komme i gang. Den stille og vedvarende trussel Vi dykker ned i, hvordan angreb i stigende grad er snigende, langsomme og svære at opdage – og hvad det betyder for måden, man arbejder med sikkerhed på. Beredskab som erkendelse En væsentlig pointe er, at man ikke kan beskytte sig 100%. Derfor bliver evnen til at reagere, organisere og handle mindst lige så central som forebyggelsen. CISO-rollen i bevægelse Vi taler om en rolle i udvikling – fra teknisk funktion til strategisk og organisatorisk kapacitet, der skal navigere mellem regulering, forretning og implementering. Mandat frem for placering Samtalen peger på, at det ikke nødvendigvis er organisatorisk placering, men tydeligt mandat og evnen til at tage det, der afgør, om rollen lykkes. Vi kredser om sikkerhed som noget, der formes i spændet mellem ansvar og virkelighed. Mellem det, vi ved er nødvendigt – og det, der faktisk bliver gjort, når dagen er slut. Måske er udfordringen ikke, at vi mangler løsninger. Men at vi arbejder i organisationer, hvor sikkerhed altid er en del af noget større – og derfor aldrig kan stå alene.

Hvornår er det rigtige tidspunkt at ansætte en CISO? I denne episode taler vi med Søren Hansen om timing, modenhed og de valg, der følger, når sikkerhed bliver en reel ledelsesopgave. Samtalen tager afsæt i et konkret dilemma: Skal man starte med at ansætte en rolle – eller med at løse problemerne? Højdepunkter Forskellen på at ansætte en titel og at løse et behov Hvornår tekniske forbedringer skaber mest værdi Den proaktive sikkerhed, der ofte mangler Fra audit som “event” til drift som en naturlig del af hverdagen Når ansvar bliver spredt – og retning går tabt Hvornår kompleksitet kræver en samlende rolle Vi kredser om, hvordan sikkerhed bevæger sig fra teknik til ledelse – og hvad der sker, når organisationen enten er for tidligt eller for sent på den bevægelse. Måske er spørgsmålet ikke, hvornår man skal ansætte en CISO. Men hvornår organisationen er klar til det ansvar, rollen repræsenterer.