Säkerhetsprofilens bästa tips till it-chefen: ”Ställ rätt frågor till leverantörerna”

– Det känns nästan konstigt att tänka på idag, men för 20–30 år sedan fanns det knappt någon säkerhetsindustri att tala om. Folk frågade mig: ”Ska du inte skaffa ett riktigt jobb?”, säger David Jacoby.

Idag är det knappast någon som missat att säkerhetshoten är fler och allvarligare än någonsin tidigare, något som bland annat framkom i Techtidningens stora undersökning Techbarometern 2025. I takt med digitaliseringen har säkerhet gått från att vara en perifer fråga till att bli en kritisk del av affärsverksamheter världen över.

– Nu är allt uppkopplat hela tiden. It och vardagsliv har smält samman. Det är inte längre två separata enheter – problem i it-världen skapar problem i den fysiska världen och vice versa, konstaterar David Jacoby.

Syndis har sina rötter på Island och kallar sig själva för ett hackerdrivet säkerhetsbolag eftersom det var en gruppering av etiska hackare som grundade bolaget för tolv år sedan. Idag erbjuder man både tjänster inom offensiv cybersäkerhet, som avancerade penetrationstester, såväl som en virtuell ciso-tjänst och specialanpassade lösningar för proaktivt skydd mot olika slags cyberhot.

– Jag har alltid haft en passion för att hjälpa företag med säkerhet, och det har jag gjort under olika former. Nu har jag dock ett stort företag bakom mig med all den struktur och kompetens de har. Jag kan fortfarande göra de saker jag gjorde tidigare, men nu kan jag också delegera arbete till ett team. Det gör att vi kan hjälpa fler och arbeta mer effektivt, säger David Jacoby.

Ett mer inkluderande angreppssätt

Det som lockar Syndis till Sverige är att man ser ett stort behov av skräddarsydda och hackerdrivna säkerhetslösningar bland svenska företag och att många saknar säkerhetslösningar som är anpassade till deras storlek och verksamhet. Syndis uppger att man har ett mer mer inkluderande angreppssätt än de flesta andra säkerhetsföretag, där man arbetar tillsammans med kunden för att ta fram en säkerhetsgrund som låter verksamheten växa och utvecklas säkert utifrån sina unika förutsättningar.

Syndis beskriver sig som ett hackerdrivet företag. Enligt David Jacoby beror det inte bara på att företaget grundades av hackare, utan påverkar hur man arbetar i grunden:

– Det handlar om att ha ett mindset där vi ifrågasätter normer och tänker utanför boxen. Hur kan vi hacka en soc-tjänst för att göra den mer effektiv? Hur kan vi hitta det individuella värdet för våra kunder?

Enligt David Jacoby handlar det om att alltid skapa mest värde för kunden och erbjuda tjänster som är mer anpassade för dagens behov, något som innebär att man inte slaviskt följer standardmallar och ISO-certifieringar.

Vad anser då David Jacoby att svenska it-chefer borde fokusera på inom cybersäkerhet just nu?

– Det största problemet jag ser är att många köper säkerhetslösningar utan att verkligen testa och verifiera att de fungerar I sina verksamheter. Du kan ha backup, EDR-lösningar och en soc-tjänst, men om du aldrig har testat att återställa en backup eller validerat att din soc kan upptäcka en attack i realtid, hur vet du då att det fungerar?

Lyckas inte ställa rätt frågor

Han tar också upp en annan utmaning, nämligen att it-chefer alltför ofta inte lyckas ställa rätt frågor till leverantörerna i samband med en upphandling.

– Många tar beslut baserat på lagkrav som NIS2 och GDPR, men förstår inte vad de faktiskt köper in. En säljare kommer alltid att lyfta fram funktionerna i en tjänst, men du måste också fråga vilka begränsningar den har. Om du till exempel köper en sårbarhetsscanner, kommer den att hitta alla potentiella säkerhetsluckor i din miljö, även om de är namngivna på svenska istället för engelska?

David Jacobys råd till it-chfen är att man måste tänka mer proaktivt och börja hacka sig själv, för att därmed förstå och upptäcka svagheter redan innan någon annan kan göra det.

– Det finns mycket man kan göra internt innan man tar in externa säkerhetskonsulter. Du kan till exempel testa att knäcka lösenord i Active Directory, scanna din egen miljö efter känslig information eller kontrollera vilka filer som finns på öppna nätverksdelningar. Det är enkla, men effektiva metoder för att förbättra säkerheten utan att det kostar enorma summor.

Allra viktigast är enligt David Jacoby att säkerhetsarbetet blir en del av själva företagskulturen. Han anser helt enkelt att det inte bara är it-avdelningens ansvar att säkerställa att man lever upp till säkerhetskraven.

– Alla i organisationen måste förstå vad de kan göra för att skydda företagets system. Det handlar om att skapa en säkerhetsmedvetenhet på alla nivåer. Vi behöver en mer pragmatisk syn på säkerhet. Det handlar inte bara om att köpa in den senaste tekniken, utan om att förstå hur vi använder den på rätt sätt. Om vi kan kombinera teknik, processer och beteendeförändringar kommer vi att ha en mycket bättre chans att skydda våra organisationer i framtiden, konstaterar David Jacoby.