Onsdagstanker

Det spørgsmål blev udgangspunktet for den seneste optagelse af Onsdagstanker med Shehzad Ahmad, CISO i If. I dette afsnit af Onsdagstanker har Camilla Treschow Schrøder og Per Silberg Hansen inviteret Shehzad tilbage til podcasten til en samtale om hvorvidt nogle personlighedstyper har bedre forudsætninger for at trives som CISO end andre

Jo længere samtalen udviklede sig, desto tydeligere blev det, at det ikke er det rette spørgsmål. For hvad er den "rigtige" profil, hvis man ikke kender konteksten?

Nogle organisationer har brug for en person, der kan skabe retning og momentum. Andre har brug for en leder, der stiller de kritiske spørgsmål og udfordrer beslutningsgrundlaget. Nogle roller kræver konstant stakeholder management og synlighed. Andre kræver fordybelse, analyse og tålmodighed.

Samtalen kom derfor i høj grad til at handle om selvindsigt, om at forstå sine egne styrker og være bevidst om de situationer, der dræner én for energi.

Om at vide, hvilke omgivelser man trives og hvordan den forståelse kan gøre forskellen mellem at lykkes på papiret og faktisk trives i rollen.

Som Camilla formulerer det: "Det handler ikke om at putte folk i kasser. Det handler om at kende sin kasse, så man kan bevæge sig ud af den."

🎧 Hør hele samtalen med Shehzad ahmad om CISO-rollen, selvindsigt og hvorfor det måske er vigtigere at kende sig selv end at finde den perfekte karrierevej.

Vi ser efterhånden en ny type profiler træde ind i CISO-rollen. Profiler, der hverken kommer med en teknisk baggrund eller har taget den traditionelle vej gennem sikkerhedsorganisationen.

Jan Mogensen, Group CISO i Stibo Software Group, er et godt eksempel. Han kom ind i rollen fra kvalitetsledelse og har tidligere en baggrund fra Forsvaret. Han er meget bevidst om, hvad han bringer med sig ind i rollen. For ham er bidraget 80 % ledelse og 20 % specialistviden. Hvis han samtidig skulle være dybt fagligt forankret, ville der ganske enkelt være mindre tid til at lede teamet, arbejde med relationerne og forberede sig på dialogen med bestyrelsen. Hans opgave er i stedet at forstå nok til at kunne omsætte specialisternes viden til noget, ledelsen kan træffe beslutninger på. Hvor meget teknisk dybde en CISO skal have mener han afhænger af konteksten. For ham er det interessante spørgsmål ikke om fremtidens CISO skal være leder eller specialist, det handler i højere grad om at kende sine egne styrker og være bevidst om, hvad man ikke selv er den bedste til.

🎧 Hør hele samtalen med Jan Mogensen i Onsdagstanker om betydningen af tillid, hvorfor man nogle gange skal sige ja ni gange, før nogen lytter, når man siger nej den tiende og hvorfor 70 % nogle gange er godt nok.

I det nye afsnit af Onsdagstanker taler Camilla Treschow Schrøder og Per Silberg Hansen med Martin Kofoed Høding, Group CISO og VP for Cyber Security hos SAS. Martin kender begge sider af bordet: Han har selv været konsulent, og i dag sammensætter han en sikkerhedsorganisation af interne medarbejdere, globale teams og eksterne leverandører.

Hvem skal egentlig udføre sikkerhedsarbejdet? Martins svar er ikke, at konsulenter skal holdes ude. Han bruger dem selv, men der er en grænse for, hvad de kan og bør udføre:

"Når vi skal implementere og bruge rammeværket i praksis, skal jeg have mine egne folk til at varetage opgaven. Ellers risikerer vi, at det ender i en skuffe, fordi der ikke er det nødvendige interne ejerskab."

Måske er spørgsmålet derfor ikke intern eller ekstern, men hvornår man bruger hvad - og om overleveringen er tænkt ind fra dag ét.

🎧 Hør hele samtalen med Martin Kofoed Høding på Onsdagstanker - om hybridmodeller og hvad det kræver at få succes med globale teams.

I denne episode af Onsdagstanker tager Per Silberg Hansen og Camilla Treschow Schrøder sammen med Henrik Mohr fat på et spørgsmål, som mange tænker over, men få stiller direkte:

Hvornår er en CISO egentlig dygtig nok?

Samtalen tager afsæt i den markante udvikling, cybersikkerhedsområdet har gennemgået de seneste 20 år. Fra et lille specialistfelt drevet af entusiaster og tekniske eksperter til et strategisk ledelsesområde med ansvar for risikostyring, organisation, compliance, økonomi og forretningsudvikling.

Men er rollen vokset hurtigere end de mennesker, der skal udfylde den?

Henrik Mohr argumenterer for, at udfordringen sjældent handler om tekniske kompetencer. De fleste sikkerhedsfolk er dygtige teknikere. Problemet opstår, når teknisk ekspertise forveksles med ledelseserfaring.

I episoden diskuterer vi blandt andet:

• Hvorfor teknisk dygtighed ikke automatisk gør en person klar til en CISO-rolle.
• Hvad der sker, når sikkerhedsledere bliver rekrutteret til et ansvar, de ikke har fået mulighed for at udvikle sig til.
• Hvorfor strategi først er en strategi, når den er eksekveret og skabt værdi over tid.
• Betydningen af langsigtet ledelse, stakeholder management og organisatorisk gennemslagskraft.
• Hvorfor mange sikkerhedsinitiativer dør, når ledelsens opmærksomhed flytter sig til næste prioritet.
• Hvad Henrik kalder den nødvendige "ledelsesmæssige værnepligt".
• Hvorfor budgetter, økonomiforståelse og forretningsindsigt er afgørende kompetencer for moderne sikkerhedsledere.
• Om CISO-rollen i virkeligheden forsøger at favne for mange forskellige discipliner.
• Hvornår det giver mening at samle sikkerhed, risiko, governance og operationel sikkerhed i én rolle og hvornår det ikke gør.
• Forskellen mellem evolution og revolution i arbejdet med cybersikkerhed.
• Hvorfor frygt stadig bruges som argument i sikkerhedsarbejdet, og hvilke problemer det skaber.
• Hvordan man oversætter komplekse tekniske risici til ledelsessprog uden at miste substansen.

En af episodens centrale pointer er, at spørgsmålet måske ikke er, om CISO'er er dygtige nok.

Måske er det mere relevant at spørge:

Er virksomhederne dygtige nok til at definere rollen, skabe de rette forventninger og udvikle de ledere, de efterspørger?

Hvis sikkerhedsledelse skal lykkes, kræver det mere end certificeringer, teknisk ekspertise og gode præsentationer. Det kræver erfaring med at lede mennesker, balancere konkurrerende prioriteter, skabe forandringer over tid og holde fast i retningen, når organisationens fokus flytter sig.

Velkommen til sæson 3 af Onsdagstanker.

Denne sæson kredser om det, vi ikke taler om. De svære emner. De spørgsmål, der ofte bliver nævnt mellem linjerne, men sjældent bliver foldet ud offentligt.

I sæsonpremieren tager Per og Camilla fat på en af de mest sejlivede fortællinger i cybersikkerhedsbranchen: at en CISO kun bliver i rollen omkring 18 måneder.

Camilla præsenterer resultaterne af en opdateret analyse af danske sikkerhedslederroller. Konklusionen udfordrer den gængse sandhed. Hvor gennemsnittet tidligere blev opgjort til omkring 18 måneder, viser de nye data en gennemsnitlig anciennitet på mere end 40 måneder.

Men hvad fortæller den udvikling egentlig?

Samtalen bevæger sig fra statistikken og ind i de mere interessante spørgsmål om rollens udvikling, virksomhedernes modenhed, de kompetencer der efterspørges i dag, og hvorfor nogle vælger at forlade rollen, mens andre bliver i den gennem mange år.

I denne episode taler vi blandt andet om:

• Hvorfor fortællingen om de 18 måneder stadig lever.
• Resultaterne fra analysen af 382 danske CISO-ansættelser.
• Hvorfor gennemsnittet i dag ligger på over 40 måneder.
• Hvilke typer profiler der i stigende grad bliver sikkerhedsledere.
• Hvordan rollen har bevæget sig fra teknisk specialist til strategisk leder.
• Betydningen af uddannelse, kommunikation og forretningsforståelse.
• Hvad NIS2 og øget ledelsesopmærksomhed har betydet for rollen.
• Hvor mange nuværende sikkerhedsledere der har været i rollen mere end fem år.
• Diversitet og kønsfordeling blandt danske CISO'er.
• Hvorfor næsten halvdelen af tidligere CISO'er ikke længere arbejder i sikkerhedsledelse.
• Hvilke karriereveje der tegner sig efter CISO-rollen.
• Om længere tid i rollen nødvendigvis er et tegn på succes.

Centrale refleksioner

En af de stærkeste pointer i episoden er, at fortællinger kan blive til sandheder, selv når virkeligheden har flyttet sig. Når vi gentager, at en rolle er præget af høj udskiftning, kan det påvirke både forventninger og adfærd hos dem, der sidder i rollen.

Samtidig peger analysen på, at cybersikkerhed i stigende grad er blevet et ledelses- og organisationsanliggende. Rollen er mere etableret, virksomhederne er mere modne, og kravene til sikkerhedsledere handler i højere grad om formidling, prioritering og forandringsledelse end om ren teknik.

Endelig rejser episoden et vigtigt spørgsmål om fremtidens sikkerhedsledelse: Er vi ved at se en ny generation af CISO'er med andre baggrunde, andre styrker og andre karriereveje end dem, der byggede området op for 10-15 år siden?

Statistik fra episoden

• Analysegrundlag: 382 danske CISO-ansættelser
• Nuværende CISO'er i datasættet: 225
• Gennemsnitlig anciennitet: 41-45 måneder
• Har været i rollen mere end 2 år: 63 %
• Har været i rollen mere end 5 år: 23 %
• Kvinder i CISO-roller: 12 %
• Tidligere CISO'er, der ikke længere arbejder i sikkerhedsledelse: 47 %

I denne episode bevæger vi os ind i et spænd, der ofte behandles som to separate discipliner – men som i praksis hænger tættere sammen, end vi måske er vant til at tænke.

Samtalen med Mikael Trolle tager udgangspunkt i strategi og sikkerhed i en verden, der forandrer sig med en hastighed, som udfordrer de modeller og antagelser, mange organisationer bygger på.

Vi kredser om, hvad der sker, når planer bliver kortere, og forudsigeligheden mindskes.

Og hvordan det ændrer vores forståelse af både risiko, ledelse og retning.

Højdepunkter

Risiko som et mulighedsrum

Vi taler om risiko som noget mere end et negativt begreb. Som et elastisk rum, hvor udvikling og usikkerhed sameksisterer – og hvor for meget kontrol kan begrænse det potentiale, organisationen forsøger at udfolde.

Når strategi ikke længere er en plan

Samtalen kredser om, hvordan strategi i stigende grad bevæger sig væk fra lange planlægningshorisonter. Ikke som fravær af retning, men som en anden måde at forstå bevægelse på.

Kompas og GPS

Vi bevæger os ind i spændet mellem retning og manøvrering.

Om hvordan kompasset sætter retningen – og hvordan evnen til løbende at navigere bliver afgørende i mødet med det uforudsigelige.

Fra mure til kapacitet

I stedet for at forsøge at beskytte sig mod alle tænkelige scenarier, peger samtalen på behovet for at opbygge en evne til at håndtere det, når det sker.

Sikkerhed som noget, der handler om kapacitet – ikke kun kontrol.

Bestyrelsens rolle i bevægelse

Vi taler om bestyrelsens ansvar i en kontekst, hvor fremtidig relevans i højere grad bliver et spørgsmål om at kunne tilpasse sig end at optimere det eksisterende.

Ledelsessystemer under pres

Samtalen peger på, hvordan mange organisationer stadig arbejder ud fra strukturer og måder at måle på, som ikke er udviklet til den hastighed, de nu opererer i.

Mennesket i systemet

Vi vender tilbage til det menneskelige perspektiv.

Til behovet for tryghed, forståelse og kompetence – og hvordan det påvirker vores evne til at arbejde med noget, der opleves komplekst og uforudsigeligt.

Vi kredser om strategi og sikkerhed som noget, der ikke længere kan adskilles. Mellem det, vi forsøger at styre. Og det, vi må lære at bevæge os i. Måske er udfordringen ikke, at verden er blevet mere usikker. Men at vores måde at arbejde med den på stadig er forankret i en anden tid.

I denne episode optager vi live fra Folkemødet og retter blikket mod et segment, der ofte er afgørende – men sjældent styrende: SMV’erne.

Samtalen med John Henriksen tager udgangspunkt i ansvar, prioritering og realiteterne i en hverdag, hvor sikkerhed konkurrerer med alt det andet, der også skal fungere.

Højdepunkter

Det svageste led sætter niveauet

Vi taler om, hvordan sikkerhed i mange tilfælde først bliver kritisk, når afhængighederne bliver synlige – og hvordan mindre virksomheder ofte bliver en central del af det samlede risikobillede.

Når sikkerhed bliver et spørgsmål om prioritering

I SMV’er er sikkerhed sjældent det eneste ansvar. Det er noget, der ligger oven i drift, økonomi og daglig ledelse – og derfor ofte bliver skubbet til “senere”.

Fra utilgængeligt til håndterbart

Samtalen kredser om kompleksiteten i cybersikkerhed – og hvordan det for mange virksomheder ikke er modvilje, men uigennemsigtighed, der gør det svært at komme i gang.

Den stille og vedvarende trussel

Vi dykker ned i, hvordan angreb i stigende grad er snigende, langsomme og svære at opdage – og hvad det betyder for måden, man arbejder med sikkerhed på.

Beredskab som erkendelse

En væsentlig pointe er, at man ikke kan beskytte sig 100%. Derfor bliver evnen til at reagere, organisere og handle mindst lige så central som forebyggelsen.

CISO-rollen i bevægelse

Vi taler om en rolle i udvikling – fra teknisk funktion til strategisk og organisatorisk kapacitet, der skal navigere mellem regulering, forretning og implementering.

Mandat frem for placering

Samtalen peger på, at det ikke nødvendigvis er organisatorisk placering, men tydeligt mandat og evnen til at tage det, der afgør, om rollen lykkes.

Vi kredser om sikkerhed som noget, der formes i spændet mellem ansvar og virkelighed.

Mellem det, vi ved er nødvendigt – og det, der faktisk bliver gjort, når dagen er slut.

Måske er udfordringen ikke, at vi mangler løsninger.

Men at vi arbejder i organisationer, hvor sikkerhed altid er en del af noget større – og derfor aldrig kan stå alene.

Hvornår er det rigtige tidspunkt at ansætte en CISO?

I denne episode taler vi med Søren Hansen om timing, modenhed og de valg, der følger, når sikkerhed bliver en reel ledelsesopgave. Samtalen tager afsæt i et konkret dilemma: Skal man starte med at ansætte en rolle – eller med at løse problemerne?

Højdepunkter

• Forskellen på at ansætte en titel og at løse et behov
• Hvornår tekniske forbedringer skaber mest værdi
• Den proaktive sikkerhed, der ofte mangler
• Fra audit som “event” til drift som en naturlig del af hverdagen
• Når ansvar bliver spredt – og retning går tabt
• Hvornår kompleksitet kræver en samlende rolle

Vi kredser om, hvordan sikkerhed bevæger sig fra teknik til ledelse – og hvad der sker, når organisationen enten er for tidligt eller for sent på den bevægelse.

Måske er spørgsmålet ikke, hvornår man skal ansætte en CISO.

Men hvornår organisationen er klar til det ansvar, rollen repræsenterer.

I denne episode af Onsdagstanker taler vi med Erik Jul Nielsen, ejerleder i Conxion, om ansvar og ledelse i en virkelighed, hvor rammerne er begrænsede, og hvor beslutninger ikke kan skubbes videre i organisationen.

En samtale om at tage stilling uden fuld sikkerhed.

Og om at stå på mål for de valg, der formes undervejs – også når konsekvenserne først bliver tydelige senere.

Vi undersøger, hvordan sikkerhed bevæger sig fra at være en teknisk disciplin til at blive et ledelsesmæssigt spørgsmål.

Og hvad det kræver at navigere i et rum, hvor ansvar er tæt forbundet med personen og ikke kun rollen.

Højdepunkter fra episoden

Sikkerhed som erkendelse

Refleksioner over, hvornår sikkerhed begynder at fylde som ansvar frem for teknik.

Og hvordan erkendelsen ofte opstår gradvist i takt med, at afhængigheder bliver synlige.

Ejerlederens ansvar

En samtale om at stå på mål uden at kunne uddelegere.

Om hvordan ansvar bliver noget personligt, også når beslutninger er præget af usikkerhed og ufuldstændig viden.

Beslutninger uden fuldt grundlag

Hvordan det opleves at handle, før alle svar er kendt.

Og hvordan fravalg ikke blot er fravær af handling, men aktive valg, der former retningen.

Tempo, økonomi og usikkerhed

Om balancen mellem fremdrift og eftertænksomhed.

Og hvordan beslutningsrum påvirkes, når både tempo og begrænsede ressourcer er vilkår.

Sikkerhed i relationer

Hvordan sikkerhed over tid begynder at påvirke relationen til kunder og samarbejdspartnere.

Og hvordan det bevæger sig fra at være noget internt til noget, der også bliver en del af den eksterne forståelse af virksomheden.

Modenhed over tid

Perspektiver på, hvordan virksomheder udvikler deres tilgang til sikkerhed.

Og hvordan modenhed ikke nødvendigvis handler om at tale mere om sikkerhed, men om at arbejde anderledes med den.

Episoden kredser om et grundlæggende vilkår:

At ledelse i ejerledede virksomheder ikke handler om at have alle svar, men om at kunne stå i usikkerheden – og tage ansvar alligevel.

I denne episode af Onsdagstanker taler vi med Jakob Ellemann-Jensen om ledelse og ansvar i et beslutningsrum, hvor kompleksitet, offentlighed og politiske hensyn er en del af hverdagen. En samtale om at træffe valg uden garantier, og om at stå på mål for dem, også når virkeligheden ændrer sig undervejs.

Vi undersøger, hvordan ledelse ser ud, når rammerne er uklare, interessenterne mange, og tempoet højt. Og hvad det kræver at bevare både dømmekraft og retning, når beslutninger ikke kan reduceres til teknik, processer eller simple styringsmodeller.

Højdepunkter fra episoden

Ledelse uden fuld kontrol

Refleksioner over at lede i et rum, hvor man sjældent har alle informationer, men alligevel skal handle og hvor beslutninger ofte først kan vurderes længe efter, de er truffet.

Ansvar som personlig forpligtelse

En samtale om, hvorfor ansvar ikke blot er noget, der følger en rolle, men noget, der bæres – også når beslutninger er kollektive og konsekvenserne diffuse.

Tempo, forventninger og offentlighed

Hvordan konstant opmærksomhed og høje forventninger påvirker beslutningskvalitet, prioriteringer og ledelsesrum – og hvorfor tempo i sig selv bliver en styringsfaktor.

Faglighed i politiske beslutninger

Om balancen mellem analyser, rådgivning og politiske realiteter og om hvornår faglighed kan bringes i spil, og hvornår den må vige for andre hensyn.

Tillid som styringsmekanisme

Perspektiver på tillid som noget, der både gives, forvaltes og kan slides og som sjældent kan genskabes hurtigt, når den først er tabt.

At leve med konsekvenserne

En åben refleksion over, hvordan ledere håndterer beslutninger, der får større og mere langstrakte konsekvenser, end man kan forudse i øjeblikket.

Episoden kredser om et grundlæggende vilkår:

At ledelse i komplekse beslutningsrum ikke handler om at have de rigtige svar, men om at kunne stå i usikkerheden og tage ansvar alligevel.