Informationssäkerhet är grunden för att kunna skydda verksamhetens information mot obehörig åtkomst, förlust, manipulation och störningar. Det handlar om att säkerställa att rätt information finns tillgänglig för rätt personer, när den behövs, samtidigt som informationens riktighet och konfidentialitet kan upprätthållas. Trots detta upplevs informationssäkerhet ofta som svårt att greppa. Det kan finnas många krav, styrande dokument, system och processer att ta hänsyn till samtidigt som verksamheten ska fungera som vanligt.
Börja med att förstå verksamheten:
Ett fungerande säkerhetsarbete börjar inte med en policy eller en teknisk lösning. Det börjar med verksamheten. Vilken information hanteras? Vilka processer är beroende av informationen? Vilka system används? Vad skulle konsekvenserna bli om informationen försvann, blev felaktig eller hamnade i fel händer? Genom att förstå verksamhetens information och beroenden blir det enklare att identifiera vilka delar som är mest kritiska och var säkerhetsarbetet behöver fokuseras.
Identifiera och prioritera riskerna:
Alla risker kan inte hanteras samtidigt. Därför behöver verksamheten arbeta riskbaserat och prioritera de områden där konsekvenserna kan bli störst. Riskanalyser, informationsklassificering och nulägesanalyser kan ge en tydligare bild av verksamhetens säkerhetsnivå. Det gör det möjligt att identifiera brister, bedöma vilka risker som behöver hanteras och prioritera rätt åtgärder. Det viktiga är inte att skapa en lång lista med åtgärder – utan att förstå vilka åtgärder som faktiskt gör störst skillnad.
Från krav till praktiskt säkerhetsarbete:
Informationssäkerhet omfattar både organisatoriska och tekniska åtgärder. Det kan exempelvis handla om styrande dokument, behörighetsstyrning, informationsklassificering, kontinuitetsplanering, säkerhetskrav, tekniska skydd och utbildning. Ett starkt säkerhetsarbete behöver därför koppla samman styrning, människor, processer och teknik. Säkerhetsarbetet behöver också följas upp kontinuerligt. Verksamheten förändras, nya system införs, hotbilden utvecklas och nya krav tillkommer. Informationssäkerhet är därför inte ett projekt med ett tydligt slutdatum, utan ett löpande arbete.
Ett bra första steg:
För verksamheter som vill utveckla sitt informationssäkerhetsarbete kan en nuläges- eller gap-analys vara en bra utgångspunkt. Genom att kartlägga befintliga arbetssätt och jämföra dem mot verksamhetens krav och mål går det att skapa en tydligare bild av vad som fungerar och vad som behöver utvecklas. Därefter kan åtgärder prioriteras utifrån risk, verksamhetsnytta och genomförbarhet. Informationssäkerhet behöver inte vara krångligt. Med rätt struktur och rätt prioriteringar går det att bygga ett säkerhetsarbete som är praktiskt, hållbart och anpassat efter verksamhetens verkliga behov.