Styrelserummet vet inte vad det köper – och det förklarar varför säkerhetschefer har branschens kortaste anställningstid
Ingen chefsroll är mer utsatt än säkerhetschefens – och lönen är ett dubbelmått.
Den omöjliga ekvationen i styrelserummet
Låt oss börja med en obehaglig sanning: många organisationer vet inte vad de faktiskt utvärderar sin säkerhetschef på.
Enligt SecurityWeek är säkerhetschefers genomsnittliga anställningstid kortare än för i princip alla andra ledarskapsfunktioner – och det strukturella skälet är förbluffande enkelt. Under rekryteringen söks tekniskt djup och säkerhetserfarenhet. Men när styrelsen väl utvärderar prestationer handlar samtalet om kostnader, tillväxt och varumärkesskydd. Det är ett klassiskt dubbelmått som ramar in hela säkerhetsfunktionen som en försäkringspremie snarare än en affärsdrivande kraft.
Det är ett ledarskapsfel – inte ett säkerhetsproblem.
Samtidigt visar McKinseys enkät från tidigt 2026, bland över 3 000 företagsköpare av teknik, att dataintegritet och regelefterlevnad numera rankas som den enskilt viktigaste faktorn vid teknikupphandling. Bland de köpare som bytt leverantör det senaste året var cybersäkerhet den vanligaste anledningen – före pris, täckning och driftsäkerhet. Marknaden har med andra ord redan löst ekvationen. Styrelserummet har ännu inte hunnit ikapp.
Tre blinda fläckar som strategier sällan täcker
Vayne Scott, globalt ansvarig för regelefterlevnad på Escode, pekar i ett samtal med FinextraTV ut tre riskområden som organisationer gång på gång missar i sina strategidiskussioner: leverantörskedjans sårbarhet, försämrad tjänstekvalitet och koncentrationsrisk.
Den sistnämnda är särskilt tankeväckande. Vi pratar ofta om aktörer som är "för stora för att falla" – men Scott vänder på resonemanget. Många är i själva verket för stora för att räddas. När ett systemkritiskt beroende väl kollapsar finns det inget brandkår som är tillräckligt stor för att släcka branden.
Detta är inte en hypotetisk framtidsrisk. Det är ett strukturellt problem som gäller idag, och det förstärks av att det globala regelverket ser radikalt olika ut beroende på var man verkar. Reglerna i Storbritannien skiljer sig från dem i Indien, Saudiarabien, USA och Schweiz – vilket gör att en universallösning sällan fungerar för organisationer med internationell närvaro.
ANZ visar att det faktiskt går
Mitt i alla varningssignaler finns det skäl till verklig optimism – och det exemplet kommer från finanssektorn.
Den australiensiska storbanken ANZ rapporterar enligt Finextra en betydande minskning av kundernas bedrägeriförluster, trots att de kriminella nätverkens metoder fortsätter att förfinas. Det är ett resultat som förtjänar att lyftas fram, inte minst eftersom det demonstrerar att det faktiskt går att hålla jämna steg med hotbilden – om man kombinerar tekniska skyddssystem med systematisk kundutbildning.
ANZ:s resultat är inte ett undantag som bekräftar regeln. Det är ett kvitto på att strukturerat, långsiktigt säkerhetsarbete ger mätbar avkastning. Det är precis det budskapet som säkerhetschefer behöver kunna leverera i styrelserummet – uttryckt i affärsspråk, inte säkerhetsjargong.
Försvara bättre genom att angripa själv
En annan pusselbit i det här arbetet är kunskapsuppbyggnad nedifrån och upp. SecurityWeek rapporterar att kursen Cyber Attack Methods återvänder till ICS-konferensens 25:e upplaga i oktober – en praktisk utbildning där deltagarna placeras direkt i angriparens roll, i en avsiktligt sårbar virtuell miljö.
Det som är slående med initiativet är att det riktar sig lika mycket till ingenjörer och systemutvecklare som till säkerhetsspecialister. Det är rätt prioritering. Många av de beslut som avgör ett systems motståndskraft fattas långt innan det ens sätts i drift. Att bygga in säkerhetstänket redan i konstruktionsfasen är inte bara klokt – det är i längden det enda hållbara.
Vad krävs egentligen?
Svaret är inte fler verktyg. Det är en mer ärlig konversation om vad vi faktiskt mäter, vad vi faktiskt riskerar och vem som faktiskt ansvarar för vad.
Organisationer som bygger verklig motståndskraft har en sak gemensamt: de behandlar säkerhet som en affärsfunktion – inte som en brandstation man öppnar när det redan brinner.
Vår analys
Det som förenar dessa fyra perspektiv är en gemensam utmaning: glappet mellan hur organisationer talar om säkerhet och hur de faktiskt prioriterar den.
ANZ visar att det är möjligt att vinna – men de är undantaget, inte normen. De flesta organisationer befinner sig fortfarande i ett läge där säkerhetschefen utvärderas på fel mätetal, leverantörsberoendet är underdokumenterat och den praktiska kunskapen om hur angrepp faktiskt fungerar är bristfällig.
Utvecklingen pekar mot att marknaden kommer att tvinga fram förändringen, snarare än styrelserummen. När kunder och upphandlare konsekvent väljer bort leverantörer med svag säkerhetsprofil blir frågan en konkurrensfråga – inte enbart en teknisk eller regulatorisk sådan.
Det är i det läget som säkerhetsfunktionen slutligen får den strategiska tyngd den förtjänar. Organisationer som förstår detta nu har ett betydande försprång. De som väntar på ett haveri för att agera betalar ett onödigt högt pris.