3 tips: Övertyga din chef om behovet av säker e-post

I din roll som CISO är vi övertygade om att du är medveten om vikten av att ta cybersäkerhet på allvar. Dataläckor kan trots allt orsaka stora skador på ett företag eller en organisation. Vi talar om förlorat förtroendekapital, bortslösade resurser och potentiella böter.

Dessutom växer antalet dataincidenter kraftigt. Enligt en undersökning från DLA Piper rapporterades 23 411 dataläckor i Sverige mellan den 25 maj 2018 och den 28 januari 2023. Integritetsskyddsmyndigheten (IMY) utser även felaktiga brevutskick till den störa boven när det kommer till dataincidenter. År 2022 låg den mänskliga faktorn bakom 59 procent av alla incidentanmälningar, en ökning med 2 procentenheter jämfört med 2021. 

Trots detta är det inte alltid enkelt att övertyga de som fattar beslut om varför man bör satsa på ett krypterat dataskydd för säker e-post och fildelning. Därför har vi satt ihop ett litet starterpack, bara för er.

3 anledningar till att alla bör satsa på e-postsäkerhet

Företag och organisationer som behandlar integritetskänsliga uppgifter har inte längre ett val när de kommer till e-postsäkerhet. Efter GDPR är det nu ett krav på att hantera och lagra personuppgifter på ett säkert sätt. En stor anledning till att organisationer inte satsar på datasäkerhet är att hotet inte är tillräckligt påtagligt. Här kommer därför tre råd för hur du konkretiserar problemet för din chef:

1. Presentera statistik och fakta 

Få saker gör problem så konkreta som statistik! Vi har redan nämnt Integritetskyddsmyndigheten, men det tåls att göras igen. Varje år publicerar IMY en rapport om anmälda personuppgiftsincidenter och denna är fullsmockad med saftig statistik om olika typer av överträdelser:

• Under 2020 fick IMY in 4588 anmälningar om personuppgiftsincidenter – i genomsnitt anmäldes 87 incidenter per vecka. Värt att notera är att IMY bedömer att det fortfarande finns ett stort mörkertal i Sverige och att allt som borde anmälas, inte alltid gör det.
  
  
• Den vanligaste orsaken till incidenterna var den mänskliga faktorn. I hela 59 % av fallen som kom in till IMY 2020 angavs den mänskliga faktorn som förklaring. Detta är en ökning jämfört med 2019, då siffran låg på 51%.
  
  
• 40 % av de rapporterade incidenterna rörde felaktiga brevutskick: Det vill säga brev eller mejl som innehåller personuppgifter och som oavsiktligt har hamnat hos fel mottagare. Detta är den vanligaste typen av dataincident hos statliga myndigheter, domstolar, finansiell sektor och försäkring, socialtjänsten, kommuner, ideella organisationer samt hälso- och sjukvården.

Dataläckor i Europa

• Mer än 281 000 rapporterade dataläckor har gjorts i Europa sedan GDPR trädde i kraft, enligt DLA Piper.
• Detta medförde en ökning med 19% jämfört med år 2018.
• Även i Europa var den mänskliga faktorn, som att till exempel skicka data till fel mottagare, den största orsaken till dataläckorna
  
  

Att trycka på dessa siffror och vilka konsekvenser de kan leda till (till exempel böter, förlorat förtroendekapital, förlorade resurser och ökad utkomst för krishantering) är ett perfekt sätt att föra fram din argumentation kring vikten av e-postsäkerhet på ett konkret sätt.

• "Under 2020 rapporterades 4588 dataincidenter. E-postsäkerhet är av största vikt för att skydda våra kunders/medborgares/patienters data. Dessutom kommer vi att behålla trovärdigheten och undvika onödiga böter" 
• "I 59 % av fallen angav IMY att den mänskliga faktorn orsakat dataläckorna. 40 % av incidenterna kategoriserades som felaktiva brevutskick. Därför är det viktigt att satsa på en lösning som förhindrar den mänskliga faktorn."
• "Andelen fall orsakade av den mänskliga faktorn har ökat sedan 2018. Därför är det viktigt att agera nu, eftersom den tekniska utvecklingen kommer att skapa fler utmaningar."

2. E-postsäkerhet skyddar er organisation

En stor del av företagsinformation består av känsliga data som personuppgifter. Lagar och bestämmelser som GDPR kräver att organisationer ska hantera dessa på ett säkert sätt. Dessutom vill ni som organisation såklart inte att era kunders eller partners information ska hamna i fel händer.

Men förutom personuppgifter hanterar företag även annan data som är värd att skyddas. Detta kan inkludera säljsiffror, information kring brottsfall, företagsstrategier och så vidare. Allt detta är information som ni inte vill ska hamna hos era konkurrenter.

Inom den juridiska sektorn och fastighetsbranschen är det just på grund av den anledningen inte helt ovanligt att använda sig av fax eller ett fysiskt utbyte av information. Med en säker lösning för e-post och fildelning tar du med dig din bransch in på 2000-talet, utan att ni behöver vara oroliga för dataläckor.

GDPR kräver att alla organisationer håller personuppgifter oåtkomliga från USA-baserade molntjänster. Detta eftersom Cloud Act tillåter amerikanska myndigheter att komma åt data som är lagrade i USA. Det går dock att använda molnet på ett sätt som överensstämmer med GDPR: Genom att använda en lösning med end-to-end-kryptering där bara auktoriserade användare får tillgång till krypteringsnyckeln. Detta är precis det som Smartlockr erbjuder. Ingen annan utom avsändaren och mottagaren, inte ens vi, har tillgång till data som skickas via vår lösning.

"E-postsäkerhet kan bli en konkurrenskraftig fördel för vårt företag:

• Genom att använda en lösning för säker e-post med end-to-end-kryptering och zero knowledge visar vi våra kunder/medborgare/patienter att vi tar deras integritet på allvar och att datasäkerhet är vår prioritet;
• Förtroendet till att göra affärer med oss kommer att öka;
• Vi kommer att bibehålla och förbättra vårt varumärkes värde;

• Vi stöttar våra kunders/medborgares/patienters önskemål och respekterar deras integritet.”

3. E-postsäkerhet är billigare än krishantering…

… och böter. E-postsäkerhet är definitivt billigare än de böter som kan utfärdas för organisationer som bryter mot GDPR.

Men en dataläcka är inte en liten sak som är löst när du har betalat dina potentiella böter. Dataläckor leder ofta till förlorat förtroendekapital och även skandaler i vissa fall. Detta betyder med andra ord att organisationer som blivit utsatta för en dataläcka behöver spendera tid och pengar på till exempel PR, juridiska tjänster och marknadsföring.

För att inte tala om alla interna resurser som nu behöver ägna sig åt krishantering i stället för att generera vinst för företaget eller organisationen.

Frågan är med andra ord inte om ni har råd med e-postsäkerhet, utan snarare om ni har råd med en dataläcka?

Trots att cyberattacker inte alltid ger utdelning och dataläckor inte är en vardaglig händelse, kan konsekvenserna för en lyckad attack vara avgörande för framgången av er organisation. Några av dessa kostnader listas nedan:

Att skapa egna rutiner och system är också ett alternativ, men underhållet och utveckling av dessa är både tidskrävande och dyrt. Dessutom är det inte en användarvänlig process eftersom du inte kan kommunicera utanför dessa system, särskilt externt. Att få en säker e-postlösning är mer kostnadsvänligt och användarvänligt sätt att hantera sekretess känsliga uppgifter.

Kostnaden för en dataincident beror på olika faktorer, som organisationens storlek och dataläckans påverkan. Dock är det en sak som är säker: kostnaden av e-postsäkerhet överväger inte kostnaden av ett dataintrång.

"Osäkra processer av data kan eventuellt leda till:

• Höga böter, för att ni har stridit mot bestämmelser som GDPR
• Stöld av känsliga data, som ofta leder till identitetsbedrägeri
  
• Förlorat förtroendekaptial för er organisation och förlust av kunder
  
• Förlorad vinst, förlorade försäljningsmöjligheter och avbrutna operativa aktiviteter"