Cyber Index #60 - $15k i nedetidskostnad per minutt, benchmark for patchmodenhet og DBIR-tall
Ukens Cyber Index-oppsummering: 10 ferske rapporter om Verizons DBIR, kostnaden ved nedetid, patchmodenhet, AI-sikkerhet, leverandørkjede-risiko og mobilangrep.
Ukens viktigste cybersikkerhetsfunn
Tre tall fra denne uken som stakk seg ut.
1. Patching skjer raskere, men de fleste er fortsatt bekymret for eksponering
Tempo er kanskje ikke svaret på utfordringene i patch-håndteringen. Andelen organisasjoner som ruller ut patcher innen seks dager er nesten firedoblet siden 2023, fra 15 % til 59 %. Likevel er 56 % bekymret for at de fortsatt er eksponert mot kjente sårbarheter som ikke er lukket.
2. Ansatte gjør jobben på personlige AI-kontoer
AI er nesten det motsatte av tradisjonelt misbruk av bedriftsprogramvare. 64,5 % av aktiviteten på personlige og gratis AI-kontoer er forretningsbruk, noe som betyr at det meste av arbeidet skjer på kontoer arbeidsgiveren ikke har innsyn i.
3. Nesten en tredjedel av alle brudd starter nå med en programvaresårbarhet
Programvaresårbarheter er kanskje den klassiske inngangsporten til brudd, og de er fortsatt i høyeste grad relevante. Verizons nyeste DBIR viser at 31 % av alle sikkerhetsbrudd involverer utnyttelse av en programvaresårbarhet.
Større rapporter
2026 Data Breach Investigations Report (Verizon)
Verizons DBIR er inne i sitt 19. år og samler data fra 31 000 reelle sikkerhetshendelser fra 145 land, hvorav over 22 000 er bekreftede databrudd. Dette er trolig årets mest omfattende sikkerhetsrapport, og det er enkelt å fylle flere nyhetsbrev med funn herfra.
Risikoen ved programvaresårbarheter vokser:
- 31 % av bruddene starter med en programvaresårbarhet.
- Bare 26 % av de kritiske sårbarhetene ble lukket fullstendig av organisasjonene i 2025, ned fra 38 % året før.
- Median tid til full lukking økte til 43 dager, nesten to uker lengre enn fjorårets 32 dager.
The Hidden Costs of Downtime (Splunk)
Hva koster nedetid Global 2000-selskaper? Svaret er ganske oppsiktsvekkende: 15 000 dollar i minuttet.
600 milliarder dollar i året, og det øker:
- Samlet kostnad for uplanlagt nedetid i Global 2000-selskaper utgjør 600 milliarder dollar i året, en økning på 50 % på to år.
- Gjennomsnittlig nedetidskostnad er 15 000 dollar per minutt.
- Nedetid koster en organisasjon 95 millioner dollar i tapt inntekt årlig, nesten dobbelt så mye som i 2024.
The State of Patch Management Report 2026 (Adaptiva)
Hvordan står patchprogrammet ditt sammenlignet med andre? Rapporten dekker trender, utfordringer og muligheter basert på en undersøkelse blant 200+ IT- og sikkerhetsfolk.
Raskere, men fortsatt manuelt:
- Andelen organisasjoner som ruller ut patcher innen seks dager er nesten firedoblet siden 2023, fra 15 % til 59 %.
- Mer enn 60 % av organisasjonene baserer seg på manuelle prosesser i deler av patch-livssyklusen.
- 74 % oppgir at koordinering av prioritering og lukking av sårbarheter er deres største sikkerhetsutfordring.
- Bare 8 % rapporterer fullt autonom patching i dag, men 90 % planlegger å utvide automatiseringen de neste 12 månedene.
2026 State of Tech Talent Report (The Linux Foundation)
Hva bremser AI-innføringen? Sikkerhet, i økende grad.
Den største bremsen:
- 48 % av organisasjonene oppgir sikkerhetshensyn som den største barrieren for AI-innføring, opp fra 17 % i 2024.
- 57 % rapporterer et betydelig kompetansegap innen AI-sikkerhet og risikostyring.
- 40 % oppgir at de er underbemannet innen cybersikkerhet og compliance.
Cyber Threat Intelligence Report 2026 (Bridewell)
En bred rapport om hvordan angripere tilpasser infrastrukturen sin, identitetsdrevne kompromitteringer, infostealere, fragmentert ransomware, sosial manipulering i endring, misbruk av tillitsfulle plattformer, AI-forsterket kapasitet og nye risikoer i 2026 som utnyttelse av kant-enheter og statstilknyttet cyberkriminalitet.
Angriperens spillebok:
- I 2025 var 27,89 % av all sporet angrepsinfrastruktur hostet i USA, opp fra 23,63 % i 2024.
- Cobalt Strike sto for 38,4 % av all OST-aktivitet, og beholdt posisjonen som det dominerende angrepsrammeverket.
- I løpet av 2025 ble det observert 7 918 offerposteringer på ransomware-gruppenes lekkasjesider, fordelt på 129 ulike trusselaktører.
Sikkerhet i leverandørkjeden
2026 Supply Chain Vulnerability Report (Black Kite)
Over 48 000 CVE-er ble publisert i fjor. Svært få av dem hadde reell betydning.
Signal vs. støy:
- Av de over 48 000 CVE-ene som ble publisert i 2025, representerte bare 58 en reell, oppdagbar og utnyttbar trussel mot virksomhetenes leverandørkjeder.
- Angripere utnyttet sårbarheter i snitt sju dager før de ble offentliggjort i 2025.
- 2 130 AI-relaterte sårbarheter ble rapportert i 2025, en økning på mer enn 200 % siden 2023.
2026 Software Supply Chain Security State of the Union (JFrog)
Hvor sikkerheten i programvarens leverandørkjede er på vei opp, og hvor den ikke er det.
Sprik mellom det organisasjoner sier og det de gjør:
- Skadelige npm-pakker økte med 451 % år over år.
- 97 % av organisasjonene hevder at de har sertifisert styring av AI-modeller.
- 53 % henter selv ned modeller fra kilder der det er oppdaget skadelig kode.
Sikkerhet i mobilapplikasjoner
2026 Application Security Threat Report (Digital.ai)
Angrep mot apper har økt fem år på rad, og to bransjer tar støyten verst.
Opp hvert eneste år:
- Angrepsraten mot mobilapplikasjoner økte 58 % mellom 2022 og 2026, fra 55 % til 87 %.
- Finansapper hadde en angrepsrate på 91 % i 2026, den høyeste som er målt i noen bransje.
- Bilbransjens apper hadde også en angrepsrate på 91 % i 2026.
AI-sikkerhet
From Agentic Risk to Human Win, Building a Culture of Security in the Era of Agentic AI (KnowBe4)
AI-agenter utfører reelle handlinger i arbeidsflyter, men altfor mange organisasjoner har ingen reell oversikt over egen AI-bruk.
Handlingene løper fra styringen:
- 58 % av sikkerhetslederne rapporterer at AI-agenter allerede utfører handlinger i organisasjonens arbeidsflyter.
- 52 % oppgir at egen AI-bruk er ugodkjent eller ustyrt.
- Bare 19 % oppgir at organisasjonen har en integrert og kulturforankret tilnærming til å håndtere menneskelig cyberrisiko.
Enterprise AI Provisioned. So Why Is the Work in Personal Accounts? (Harmonic Security)
Ansatte gjør mye av AI-arbeidet for virksomheten på personlige kontoer som selskapet ikke har innsyn i.
Betaler for AI til bedriften, jobber fra private kontoer:
- 64,5 % av aktiviteten på personlige og gratis AI-kontoer er forretningsbruk, ikke privat bruk.
- 45,6 % av ansattes private AI-aktivitet skjer via bedriftens egne lisenser som arbeidsgiveren allerede betaler for.
- 74,6 % av all AI-bruk på jobb har et klart forretningsformål.
