Ransomware Negotiation Specialist — løn 2026: 64.304 kr. om måneden

En ransomware negotiation specialist bistår en organisation, hvis systemer er låst af et angreb, og som mødes med et krav om betaling. Rollen er rådgivende og arbejder tæt sammen med jurister, it-sikkerhedsfolk og ledelsen.

• Første vurdering: hvem står bag, hvad har de reelt taget, og er deres påstande troværdige
• Kontakten: kommunikationen med angriberne føres kontrolleret og dokumenteret, aldrig impulsivt
• Tid: forhandlingen skaffer tid til, at it-folkene kan undersøge, om data kan genskabes fra sikkerhedskopier
• Bevisførelse: kan angriberne overhovedet levere en nøgle, der virker — det testes på enkeltfiler
• Rådgivning: hvad betyder det at betale, og hvad betyder det at lade være — begge veje har konsekvenser
• Dokumentation: hele forløbet skrives ned, fordi det skal kunne fremlægges for myndigheder og forsikring
• Bagefter: erfaringerne bruges til at lukke den vej, angriberne kom ind ad

Den faglige kerne er ro og dokumentation. Organisationen er i krise, og presset for at handle hurtigt er enormt. Specialistens værdi er i høj grad at bremse op og sikre, at beslutningerne træffes på et oplyst grundlag.

Arbejdet ligger hos specialiserede sikkerhedsfirmaer, hos beredskabsleverandører og hos forsikringsselskaber, der dækker cyberangreb.

Hvilken lovgivning dækker denne rolle? Afpresning og uberettiget adgang til it-systemer er strafbart efter straffeloven, og et angreb bør anmeldes til politiet. Betaling kan være ulovlig, hvis modtageren er omfattet af sanktioner — EU's sanktionsregler forbyder at stille midler til rådighed for personer og grupper på sanktionslisterne. Er personoplysninger berørt, skal bruddet som hovedregel anmeldes til Datatilsynet inden 72 timer efter databeskyttelsesforordningen, og de berørte skal underrettes ved høj risiko. Virksomheder i kritiske sektorer er desuden omfattet af NIS2-direktivets krav om hændelsesrapportering.

Kommunikationen med angriberne foregår typisk gennem de kanaler, de selv anviser, og håndteres fra isolerede maskiner, så der ikke bringes noget ind i det ramte netværk.

Til efterforskning bruges værktøjer til at analysere den skadelige kode og til at følge, hvordan angriberen bevægede sig i systemet, samt offentlige og kommercielle databaser over kendte angrebsgrupper og deres fremgangsmåder.

Følger betaling, involveres værktøjer til sporing af kryptovaluta som Chainalysis, der bruges til at vurdere, om modtageren er sanktioneret. Hele forløbet dokumenteres i sagssystemer, hvor tidsstempler og beslutninger bevares.