Larry är fortfarande i byggnaden

På CyberForward 2026 i Hilversum öppnade statssekreterare Willemijn Aerdts med en krok som satt: berättelsen om Leisure Suit Larry. Ett spel, en diskett, ett virus och en hel kontinent av organisationer som inte hade en aning om vad som kördes på deras system. Hon använde det för att göra en poäng om var vi står idag. Digital säkerhet, menade hon, handlar om mycket mer än teknik. Den kräver samarbete mellan discipliner och sektorer. Hon har rätt. Men Larry-historien förtjänar en närmare titt, för den är mer aktuell än den kan verka.

Om du jobbade inom IT i slutet av åttiotalet minns du förmodligen spelet. Om inte, här är den korta versionen: sjuksköterskor på ett nederländskt sjukhus spelade en infekterad kopia på systemet för patientstatusregistrering. Banker i Schweiz, Tyskland och England förlorade stora mängder data. Viruset, känt som Jerusalem eller Friday the 13th, spred sig tyst över varje körbar fil det rörde vid, och varje fredag den 13:e började det radera dem.

Ingen i de organisationerna hade för avsikt att orsaka ett intrång. Någon körde helt enkelt något de inte skulle köra, på hårdvara som skulle göra något helt annat. Organisationen fick betala priset eftersom den inte hade någon insyn i vad som faktiskt hände inuti dess egna system.

Det var nästan 40 år sedan. Frågan Aerdts underförstått väckte på CyberForward, och den som är värd att stanna kvar vid efteråt, är om vi faktiskt har lärt oss något.

Larry förändrades aldrig. Bara hans klädsel.

Jerusalem-viruset spred sig via disketter. Idag är mekanismen en webbläsarflik. Enligt Verizons Data Breach Investigations Report 2026 fyrdubblades antalet upptäckter av skugg-AI i företagsmiljöer på ett enda år, och 45 % av de anställda använder nu AI-verktyg regelbundet på företagsenheter. Två tredjedelar av kontorsanställda medger att de använder AI-verktyg på jobbet trots att de tror att det strider mot företagets policy. De gör det inte för att orsaka skada. De gör det för att det gör deras arbete snabbare och enklare. Samma skäl som fick någon att stoppa in en spelskiva i kontorets PC 1988.

Datan som lämnar organisationen via de webbläsarflikarna är inte försumbar. Enligt IBM:s Cost of a Data Breach Report 2025 kostade intrång som involverade skugg-AI organisationer i genomsnitt 70 000 mer än andra incidenter, och tog i genomsnitt 247 dagar att upptäcka. När en anställd klistrar in en kundfil, en finansiell rapport eller ett utkast till avtal i ett ogranskat AI-verktyg går den datan in i en bearbetningspipeline som organisationen inte vet något om.

Larry försvann aldrig. Han uppdaterade bara sin mjukvara.

Varför är detta relevant för styrelser och ledningsgrupper?

Det vore lätt att läsa stycket ovan och skicka det vidare till IT-avdelningen. Det vore fel svar.

Anledningen till att organisationer överraskades av Larry 1988 var inte att deras IT-team var inkompetenta. Det var att ingen hade ställt den strukturella frågan: vad är det egentligen som körs i den här byggnaden? Den frågan var ingen IT-fråga. Den var en organisatorisk fråga. Svaret krävde befogenhet, policy och en kultur där människor kände sig fria att vara ärliga om vilka verktyg de faktiskt använde.

Detsamma gäller nu. IT-team kan inte styra det de inte kan se, och de kan inte se vad anställda installerar, ansluter till eller klistrar in data i via sina privata konton och webbläsarbaserade verktyg. Det gapet stängs inte med ytterligare en brandvägg. Det stängs med ledarskap.

Om du är styrelseledamot eller chef och läser detta är du inte offret i den här historien. Du är den person som faktiskt kan förändra den.

Det Aerdts hade rätt i: detta är ett samarbetsproblem

Inramningen Aerdts erbjöd på CyberForward handlade inte om teknik. Den handlade om hur Nederländerna, dess organisationer och dess sektorer samarbetar för att bygga genuin digital motståndskraft. Det är rätt inramning.

De organisationer som kommer att hantera den moderna versionen av Larry väl är inte nödvändigtvis de med de största säkerhetsbudgetarna. Det är de där styrelsen ställer obekväma frågor, där anställda kan ta upp farhågor utan rädsla, och där någon har tagit sig tid att bygga en bild av vad som faktiskt körs över hela organisationens digitala miljö. Den bilden är förutsättningen för allt annat. Du kan inte prioritera det du inte kan se.

Samarbete här betyder något specifikt. Det betyder att CISO:n och CFO:n för samma samtal. Det betyder att IT-chefen och HR-chefen är överens om vad som räknas som ett godkänt verktyg. Det betyder att MSP:n eller säkerhetspartnern har tillräcklig insyn i miljön för att kunna göra sitt jobb ordentligt. Inget av det är ett rent tekniskt problem.

Hur ser det egentligen ut att ”se Larry” 2026?

Den praktiska frågan är inte om din organisation har blivit utsatt för ett intrång. Den är om du skulle veta om det hade hänt. Och om du vet vad som körs i din miljö just nu.

Det innebär att ha en uppdaterad tillgångsförteckning: inte bara servrar och brandväggar, utan även slutpunkter, molntjänster, SaaS-applikationer och de enheter människor använder för att ansluta. Det innebär att veta vilka AI-verktyg dina team använder, officiellt och inofficiellt. Det innebär att köra regelbundna skanningar så att nya sårbarheter kommer upp till ytan innan angripare hittar dem. Och det innebär att göra den informationen synlig för de människor som behöver fatta beslut, inte bara för dem som tog fram den.

En kort not om positionering: Guardian360 bygger Lighthouse, som hjälper organisationer och deras partner att göra exakt detta. Jag är medveten om att detta är mitt kommersiella intresse, och jag säger det rakt ut. Poängen står ändå: de organisationer som överraskades av Larry 1988 saknade inte fler lås. De saknade ett fönster.

Frågan att ta med sig

Aerdts efterlyste samarbete. Det är rätt ord. Men samarbete kräver en gemensam bild av verkligheten, och för de flesta små och medelstora företag saknas den bilden fortfarande. Hotet har inte förändrats på 40 år. En person inuti organisationen, som gjorde något som verkade ofarligt, körde något de inte borde ha kört, på en maskin som skulle göra något annat.

Här är frågan värd att stanna kvar vid: när frågade du senast dina team vilken mjukvara och vilka AI-verktyg de faktiskt använder? Inte vad som står på den godkända listan. Vad som faktiskt körs.

Om du inte kan svara på det med säkerhet kanske Larry redan är i byggnaden.