Det Boardrummelige Gap: Hvorfor CISO’er Kæmper for at Tale om Deepfakes — og Hvordan at Ramme Det

Cybersecurity er ved at indgå i et afgørende øjeblik, drevet af den bredt anvendte AI af virksomheder, regeringer og enkeltpersoner. Med 82% af virksomheder i USA enten bruger eller undersøger brugen af AI i deres forretning, åbner organisationer op for nye effektiviteter, men også for angribere. De samme værktøjer, der driver innovation, muliggør også trusler for at generere syntetisk indhold med alarmerende letthed og realisme. Denne nye virkelighed har introduceret betydelige udfordringer, herunder evnen til at oprette syntetisk indhold (billeder, lyd og video) og ondsindet deepfakes (manipuleret lyd, video eller billeder brugt til at efterligne en rigtig person) med uden precedent hastighed og sofistikation. I løbet af få klik kan enhver med adgang til en computer og internettet manipulere billeder, lyd og videoer, og introducere mistillid og tvivl i informationsætosen. 

I en tid, hvor virksomheder, regeringer og medieorganisationer afhænger af digital kommunikation til deres levebrød, er der ingen plads for fejl i at undervurdere risikoen for deepfakes, syntetisk identitetsbedrageri og efterligningsangreb. Disse trusler er ikke længere hypotetiske – finansielle tab fra deepfake-aktiveret virksomhedsbedrageri oversteg 200 millioner dollars i Q1 2025 alene, hvilket understreger omfanget og urgensen af problemet. En ny trusselslandskab kræver en ny tilgang til cybersecurity, og CISO’er skal handle hurtigt for at sikre, at deres virksomhed forbliver sikker. Imidlertid kan det være svært at bede om nye midler og klart kommunikere en organisations trusselsudsættelse til en bestyrelse med varierende niveau af viden om alvoren af deepfake-truslen. Da deepfake-angreb fortsætter med at udvikle sig og tage form, skal hver CISO være i frontlinjen for at bringe denne samtale til bestyrelsesværelset. 

Nedenfor er der en ramme for CISO’er og direktører til at faciliterer interessent-samtaler på bestyrelse-, organisations- og fællesskabsniveau. 

Brug Kendte Rammer: Deepfakes som Avanceret Social Ingeniørkunst

Bestyrelser er blevet konditioneret til at tænke om cybersecurity i kendte vendinger: phishing-emails, ransomware-angreb og den dovende spørgsmål om, hvorvidt deres virksomhed vil blive angrebet. Denne tankegang former, hvordan de prioriterer trusler og hvor de allokerer sikkerhedsbudgetter. Men når det kommer til AI-genereret indhold, især deepfakes, er der ingen indbygget referencepunkt. At ramme deepfakes som en selvstændig, ny trussel fører ofte til forvirring, skepsis eller inaktion.

For at bekæmpe dette skal CISO’er forankre samtalen i noget, bestyrelser allerede forstår: social ingeniørkunst. I sin kerne er deepfake-truslen ikke helt ny; det er en udviklet, farligere form for phishing, der har eksisteret inden for branchen i år og fortsætter med at være den vigtigste angrebsvektor for social ingeniørkunst. Bestyrelser anerkender allerede phishing som en troværdig risiko, og de er komfortable med at godkende ressourcer til at forsvare sig imod det. I mange henseender repræsenterer deepfakes en mere overbevisende, mere skalerbar og mere kapabel form for social ingeniørkunst, der rammer både organisationer og enkeltpersoner med ødelæggende præcision. 

At ramme deepfakes på denne måde giver CISO’er mulighed for at udnytte eksisterende uddannelse, budgetlinjer og institutionel muskelhukommelse. I stedet for at bede om nye ressourcer kan de omformulere anmodningen som en udvikling af allerede godkendte sikkerhedsinvesteringer. Jo mere CISO’er kan læne sig op ad denne narrativ, desto mere sandsynligt er de til at få de ressourcer, der er nødvendige for at tackle dette større, øjeblikkelige problem. 

Forankre Risikoen i Realisme, Ikke Sensationalisme

At pege på virkelige eksempler er en god måde at fremme bestyrelsens forståelse af de konsekvenser, deepfake-trusler kan have for organisationer. Imidlertid er det vigtigt at overveje, hvilke eksempler CISO’er præsenterer for bestyrelser, da de kan have den modsatte effekt. Berømte historier som den 25 millioner dollars wire svindel i Hong Kong gør godt ud af overskrifter, men de kan have den modsatte effekt i bestyrelsesværelset. Disse ekstreme eksempler føles ofte fjernt eller urealistiske og skaber en fornemmelse af, at “noget så katastrofalt kunne aldrig ske for os.” Forudindtagetheden sætter ind med det samme og fjerner fornemmelsen af urgensen for at investere i beskyttelse. 

I stedet skal CISO’er bruge mere relaterbare scenarier til at vise, hvordan denne risiko kan udspille sig internt, såsom direktør-efterligning eller interviewsvindel.

I et tilfælde skabte nordkoreanske trusler en falsk Zoom-opkald med AI-genererede direktører for at narre en kryptomedarbejder til at downloade malware for at få adgang til følsomme virksomhedsoplysninger med det formål at stjæle kryptocurrency. Til sidst kunne hackerne ikke få adgang, men truslen, disse angreb udgør for en mærkes integritet, skal være en vækkelseskalde til bestyrelser inden for virksomheden. 

En anden voksende taktik indebærer falske jobsøgere, der bruger AI-genererede identiteter og deepfake-legitimationspapirer til at infiltrere virksomhedsorganisationer. Disse personer handler ofte på vegne af USA’s modstandere som Rusland, Nordkorea eller Kina og søger adgang til følsomme systemer og data. Denne trend dræner interne ressourcer og udsætter organisationer for nationale sikkerhedsrisici og finansielle udnyttelser. 

Ofte flyver disse trusler under radaren. For hvert eksempel i nyhederne er der dusinvis, der ikke bliver rapporteret, hvilket gør det svært at omfattende forstå omfanget af denne trussel. Jo mere almindeligt angrebet er, desto mere foruroligende – og relaterbart – bliver det. Ved at dele eksempler som disse – realistiske, relaterbare og tættere på hjemmet – kan CISO’er forankre deepfake-samtalen i daglige forretningsoperationer og understrege, hvorfor denne udviklende trussel kræver alvorlig opmærksomhed på bestyrelsesniveau.

Koble Deepfake-Forsvar til Eksisterende Resilience-Mål

CISO’er bliver konstant spurgt om de samme spørgsmål af deres bestyrelser: Hvad er vores sandsynlighed for at blive angrebet? Hvor er vi mest sårbare? Hvordan reducerer vi risikoen? Mens phishing, ransomware og dataangreb fortsætter med at eksistere, er det vigtigt at vise den fundamentale ændring, der er sket inden for disse sårbarheder, og hvordan de nu udstrækker sig langt ud over traditionelle angrebsflader. 

HR-, finans- og indkøbshold – roller, der traditionelt ikke ses som frontlinjeforsvarere – er nu ofte mål for syntetisk efterligning, og den gennemsnitlige menneskes evne til at opdage disse trusler er ekstremt lav. Faktisk kun 1 ud af hver 1.000 personer kan nøjagtigt opdage AI-genereret indhold. CISO’er er nu opgaven at imødekomme kravet om avanceret social ingeniørkunstuddannelse og større cybersikkerhed på tværs af organisationen, da alle i organisationen skal trænes, testes og gjort opmærksom på for at hjælpe med afværge. 

Deepfake-forsvar skal blive en udvidelse af virksomhedsomfattende resilience og kræver kontinuerlig uddannelse på samme måde, som hold bliver trænet via phishing-simulationer, opmærksomhedstræning og rød hold-øvelser. CISO’er skal udnytte målinger fra uddannelser og simulationer for at hjælpe med at ramme problemet i målinger, som deres bestyrelse forstår. Hvis en bestyrelse allerede har købt ind i resilience som en strategisk prioritet for organisationen, bliver deepfakes en naturlig næste front. 

AI-genererede trusler er ikke på vej. De er allerede her. Det er tid til, at vi sikrer, at bestyrelsesværelset er klar til at lytte og lede. Takket være AI’s adoption er omfanget og hyppigheden af deepfake- og identitetsbaserede angreb forvandlet trusselslandskabet til ét, der er uforudsigeligt og under konstant udvikling. 

Men bestyrelser har ikke brug for en introduktion til deepfakes eller stemmekloning. De har brug for en klar forretningskontekst og en bedre forståelse af de trusler, de udgør for deres organisationer. CISO’er skal forankre samtalen i risiko, omkostninger og operationel kontinuitet. De, der tilpasser deres deepfake-narrativ til kendte paradigmer – phishing, social ingeniørkunst, resilience – giver deres bestyrelse en ramme og en kontekst, hvori de kan handle, ikke kun reagere.