Larry er stadig i bygningen

Ved CyberForward 2026 i Hilversum åbnede statssekretær Willemijn Aerdts med en indledning, der ramte plet: historien om Leisure Suit Larry. Et spil, en floppy disk, en virus og et helt kontinent af organisationer, der ikke anede, hvad der kørte på deres systemer. Hun brugte det til at sige noget om, hvor vi står nu. Digital sikkerhed, argumenterede hun, handler om meget mere end teknologi. Det kræver samarbejde mellem discipliner og sektorer. Hun har ret. Men Larry-historien fortjener et nærmere blik, for den er mere aktuel, end den måske ser ud.

Hvis du arbejdede med IT i slutningen af firserne, husker du sikkert spillet. Hvis du ikke gjorde, kommer her den korte version: sygeplejersker på et nederlandsk hospital spillede en inficeret kopi på patientstatus-registreringssystemet. Banker i Schweiz, Tyskland og England mistede store mængder data. Virussen, kendt som Jerusalem eller Friday the 13th, spredte sig lydløst til hver eneste eksekverbar fil, den rørte, og hver fredag den 13. begyndte den at slette dem.

Ingen i de organisationer havde til hensigt at forårsage et brud. Nogen kørte simpelthen noget, de ikke burde køre, på hardware, der egentlig skulle lave noget helt andet. Organisationen betalte prisen, fordi den ikke havde noget overblik over, hvad der faktisk foregik inde i dens egne systemer.

Det var for næsten 40 år siden. Det spørgsmål, Aerdts implicit rejste ved CyberForward, og det, der er værd at dvæle ved bagefter, er, om vi faktisk har lært noget.

Larry ændrede sig aldrig. Kun hans tøj gjorde.

Jerusalem-virussen spredte sig via floppy disks. I dag er mekanismen en browserfane. Ifølge Verizons 2026 Data Breach Investigations Report steg detektioner af shadow AI i virksomhedsmiljøer fire gange på et enkelt år, og 45 % af medarbejderne bruger nu regelmæssigt AI-værktøjer på virksomhedsenheder. To tredjedele af kontorprofessionelle indrømmer at bruge AI-værktøjer på arbejdet, selvom de mener, at deres brug strider mod virksomhedens politik. De gør det ikke for at forvolde skade. De gør det, fordi det gør deres arbejde hurtigere og lettere. Præcis samme grund til, at nogen puttede en spildisk i kontor-pc’en i 1988.

De data, der forlader virksomheden gennem de browserfaner, er ikke ligegyldige. Ifølge IBM’s 2025 Cost of a Data Breach Report kostede brud, der involverede shadow AI, organisationer i gennemsnit 70.000 mere end andre hændelser og tog i gennemsnit 247 dage at opdage. Når en medarbejder indsætter en kundefil, en finansiel rapport eller et kontraktudkast i et ukontrolleret AI-værktøj, kommer de data ind i en behandlingspipeline, organisationen intet aner om.

Larry forsvandt aldrig. Han opdaterede bare sin software.

Hvorfor er dette relevant for bestyrelser og ledelsesteams?

Det ville være let at læse afsnittet ovenfor og aflevere det til IT-afdelingen. Det ville være det forkerte svar.

Grunden til, at organisationer blev overrasket af Larry i 1988, var ikke, at deres IT-teams var inkompetente. Det var, at ingen havde stillet det strukturelle spørgsmål: hvad kører der egentlig i denne bygning? Det spørgsmål var ikke et IT-spørgsmål. Det var et organisatorisk et. Svaret krævede autoritet, politik og en kultur, hvor folk følte, at de kunne være ærlige om, hvilke værktøjer de faktisk brugte.

Det samme gælder nu. IT-teams kan ikke styre det, de ikke kan se, og de kan ikke se, hvad medarbejdere installerer, forbinder eller indsætter data i via deres personlige konti og browserbaserede værktøjer. Det hul lukkes ikke med endnu en firewall. Det lukkes med ledelse.

Hvis du er bestyrelsesmedlem eller leder og læser dette, er du ikke offeret i denne historie. Du er den person, der faktisk kan ændre den.

Hvad Aerdts havde ret i: dette er et samarbejdsproblem

Den ramme, Aerdts tilbød ved CyberForward, handlede ikke om teknologi. Den handlede om, hvordan Nederlandene, dets organisationer og dets sektorer arbejder sammen for at opbygge ægte digital modstandsdygtighed. Det er den rigtige ramme.

De organisationer, der vil håndtere den moderne version af Larry godt, er ikke nødvendigvis dem med de største sikkerhedsbudgetter. Det er dem, hvor bestyrelsen stiller ubehagelige spørgsmål, hvor medarbejdere kan rejse bekymringer uden frygt, og hvor nogen har taget sig tid til at danne et billede af, hvad der faktisk kører på tværs af organisationens digitale miljø. Det billede er forudsætningen for alt andet. Du kan ikke prioritere det, du ikke kan se.

Samarbejde betyder her noget specifikt. Det betyder, at CISO’en og CFO’en fører den samme samtale. Det betyder, at IT-chefen og HR-direktøren bliver enige om, hvad der tæller som et godkendt værktøj. Det betyder, at MSP’en eller sikkerhedspartneren har nok overblik over miljøet til at gøre sit arbejde ordentligt. Intet af det er et rent teknisk problem.

Hvordan ser det ud at ‘se Larry’ i 2026?

Det praktiske spørgsmål er ikke, om din organisation er blevet brudt. Det er, om du ville vide det, hvis den var. Og om du ved, hvad der kører i dit miljø lige nu.

Det betyder at have en opdateret aktivfortegnelse: ikke kun servere og firewalls, men også endpoints, cloud-tjenester, SaaS-applikationer og de enheder, folk bruger til at forbinde. Det betyder at vide, hvilke AI-værktøjer dine teams bruger, officielt og uofficielt. Det betyder at køre regelmæssige scanninger, så nye sårbarheder dukker op, før angribere finder dem. Og det betyder at gøre den information synlig for de mennesker, der skal træffe beslutninger, ikke kun for dem, der genererede den.

En kort bemærkning om positionering: Guardian360 bygger Lighthouse-platformen, som hjælper organisationer og deres partnere med at gøre præcis dette. Jeg er klar over, at dette er min kommercielle interesse, og jeg siger det ligeud. Pointen står uanset: de organisationer, der blev overrasket af Larry i 1988, manglede ikke flere låse. De manglede et vindue.

Spørgsmålet til at tage med

Aerdts opfordrede til samarbejde. Det er det rigtige ord. Men samarbejde kræver et fælles billede af virkeligheden, og for de fleste SMV’er mangler det billede stadig. Truslen har ikke ændret sig i 40 år. En person inde i organisationen gjorde noget, der virkede harmløst, kørte noget, de ikke burde have, på en maskine, der egentlig skulle lave noget andet.

Her er spørgsmålet, der er værd at dvæle ved: hvornår spurgte du sidst dine teams, hvilke software- og AI-værktøjer de faktisk bruger? Ikke hvad der står på den godkendte liste. Hvad der faktisk kører.

Hvis du ikke kan svare på det med sikkerhed, er Larry måske allerede i bygningen.