Varför informationsstyrning är den saknade pusselbiten i cyberresilienspusslet

By Phil Muncaster • 17 september 2026 • 6 minuters läsning

Inte alla dataintrång börjar med en skum hackare och en extern attack. Ibland är det inte illvilliga tredje parter som överväldigar nätverksförsvarare. Det är vanliga anställda som inte följer etablerade riktlinjer för informationsstyrning som försätter organisationer i problem. Eller regler för datahantering som bryts samman vid kontakt med verkligheten.

I dessa situationer kanske inte ens den mest sofistikerade cybersäkerhetstekniken i världen är tillräcklig för att förhindra en skadlig dataläcka eller ett efterlevnadsbrott. Det är något som UK Government Investments (UKGI) nyligen upptäckte till sitt öde efter att ha läckt potentiellt känsliga uppgifter online i nästan två dagar.

Detta är inte den första och kommer inte att bli den sista varningssagan i sitt slag. Rätt tillvägagångssätt för att bygga företags motståndskraft är att balansera säkerhetsteknik med informationsstyrning.

Vad hände på UKGI?

Händelsen vid UKGI, som hanterar statens kommersiella intressen i företag, kommer med en antydan till ironi, med tanke på att de beskriver sig själva som experter på bolagsstyrning. Finansmyndigheten uppgav i sin årsrapport i augusti att ett dataintrång under 2025–26 involverade ett oavsiktligt läckage av en intern fil. Den inkluderade "information på hög nivå och namn och arbets-e-postadresser till 51 regeringstjänstemän", vilka gjordes offentligt tillgängliga i cirka 40 timmar. Boven var "en anställd som inte följde etablerade informationssäkerhetspolicyer".

UKGI rapporterade händelsen till Information Commissioner's Office (ICO) och genomförde en extern granskning som gav rekommendationer om sätt att stärka sin incidentberedskap och sina kontroller – av vilka den "överväldigande majoriteten" har implementerat eller kommer att implementera.

Styrningsutmaningar finns överallt

Även om denna händelse förflöt utan några större konsekvenser, har liknande fall haft en mycket större inverkan. Några dyker upp i tankarna:

Postverket tillrättavisades av ICO år 2025 efter att ha publicerat ett oredigerat juridiskt dokument på sin webbplats om den pågående Horizon IT-skandalen. Det innehöll namn, hemadress och postmästarstatus för över 500 personer inblandade i tvister med postverket, och informationen förblev offentligt tillgänglig i nästan två månader. Postverket slapp nätt och jämnt undan en böter på 1 miljon pund.

Hammersmith & Fulham kommun fick också en reprimand av ICO förra året efter att ha av misstag läckt uppgifter om 6 528 personer, inklusive 2 342 barn, som svar på en begäran om information om skydd. Det aktuella Excel-arket innehöll 35 dolda arbetsböcker som innehöll informationen, inklusive uppgifter om asylsökande barn. Den personliga informationen lämnades exponerad i nästan två år.

Nordirlands polismyndighet (PSNI) utsatte otaliga poliser och personalmedlemmar för fara när de läckte ut deras personliga information, inklusive namn, rang och roller, i ett kalkylbladsbaserat svar på en begäran om information om informationsutlåtande. Även om uppgifterna bara var offentligt tillgängliga i några timmar, tros informationen ha erhållits av dissidenter från republikaner. PSNI undvek böter på 5.6 miljoner pund endast på grund av en offentlig sektorspolicy om ekonomiska påföljder efter covid-19 som antagits av ICO.

Hur ser bästa praxis ut?

Sådana incidenter illustrerar ett växande problem: att investeringar i tekniska säkerhetskontroller i många organisationer dramatiskt har överstigit finansieringen för informationsstyrning, enligt Muhammad Yahya Patel, vCISO EMEA på Huntress.

”Informationsstyrning, att veta vilka data man lagrar, var de finns, vem som har tillgång till dem, hur de ska hanteras och om dessa regler faktiskt följs i praktiken är oglamoröst arbete”, säger han till IO (tidigare ISMS.online). ”Det är den delen som glöms bort i de flesta samtal. Det genererar inte spännande styrelsepresentationer. Men det är kontrolllagret som ligger mellan ett policydokument och det ögonblick då en medarbetare fattar ett beslut om en känslig fil klockan 4 på en fredag.”

Patel menar att en proportionell strategi för riskhantering innebär att acceptera att inte alla risker kräver en teknisk lösning. ”Ibland är rätt kontroll en tydligare process, bättre utbildning som ges vid den tidpunkt då relevant risk uppstår snarare än årligen, eller ett enkelt steg med kollegial granskning innan känslig information publiceras eller delas”, fortsatte han.

Jake Taylor, chef för offentlig sektor på Filigran, håller med och menar att organisationer inte kan skydda det de inte vet att de har.

”I takt med att myndigheter och organisationer omstruktureras och omorganiseras kommer det brittiska hotbilden att vidgas dramatiskt, vilket lämnar luckor som skadliga aktörer kan utnyttja. Datastyrning blir här lika viktig, om inte viktigare, än tekniska försvar”, säger han till IO.

”Ledare måste förstå att säkerhet inte kan existera utan kontroll, balans och tydlig insyn.”

Taylor uppmuntrar team att regelbundet granska aktivitet, logga och granska vem som har åtkomst till känsliga mappar för att upptäcka ovanligt beteende tidigt. Och han uppmanar organisationer att minimera användarfriktion.

”Se till att säkerhetsregler inte hindrar anställda från att utföra sina jobb, annars kommer de att hitta farliga lösningar”, fortsätter han. ”Försök också att överbrygga silos. Tvinga era juridiska, IT-, compliance- och säkerhetsteam att arbeta tillsammans under en enhetlig datastrategi.”

Introduktion av en kontinuerlig övervakningsmetod

Experterna som IO talade med är överens om att en kontinuerlig strategi för styrning och efterlevnad bör vara det bästa alternativet. Det innebär att samla in bevis och kontinuerligt övervaka efterlevnadsavvikelser för att upptäcka problem och åtgärda dem tidigt, snarare än att vänta på att revisionen ska ta upp historiska problem som har vuxit till en snöboll.

”Tidpunktskontroller som årliga revisioner och penetrationstester visar bara din datastatus och sårbarheter för en enda dag, vilket skapar en falsk känsla av säkerhet”, menar Taylor. ”Kontinuerlig övervakning säkerställer att din datakarta, åtkomstregler och lagringspolicyer förblir korrekta varje sekund.”

Patel från Huntress tillägger att kontinuerlig övervakning redan är väl etablerad inom cybersäkerhet, och att informationsstyrning måste följa efter.

”Automatiserad övervakning som flaggar när känsliga dokument görs offentligt tillgängliga, en riskflagga som utlöses när känsliga data delas – när åtkomstbehörigheter ändras oväntat, eller när data flyttas utanför auktoriserade vägar – förvandlar en 40-timmars exponering till en fyra minuters”, säger han.

”Tekniken för att göra detta finns och är mogen. Det som vanligtvis saknas är den organisatoriska viljan att implementera det lika rigoröst som tekniska säkerhetskontroller.”

De goda och dåliga nyheterna är att AI kommer att göra denna uppgift både enklare och mer utmanande. Å ena sidan introducerar skugg-AI nya risker. IBM hävdar att 43 % av incidenterna vid dataintrång förra året involverade oinspekterad användning av AI. AI-verktyg skulle dock kunna göra styrningen mer effektiv genom automatiserad klassificering av känsliga dokument, kontinuerlig övervakning av dataflöden, avvikelsedetektering och policytillämpning i maskinhastighet, förklarar Patel från Huntress.

”De organisationer som kommer att få mest värde av AI inom informationsstyrning är de som har investerat i att förstå sin databas tillräckligt väl för att veta vad som behöver skyddas och varför”, avslutar han.

”AI förstärker god informationsstyrning. Den förstärker också konsekvenserna av dålig praxis, och det är den delen som de flesta ledare inte helt har räknat med ännu.”