Tre grundläggande aktiviteter för ett framgångsrikt informationssäkerhetsarbete

Vad som krävs för ett framgångsrikt informationssäkerhetsarbete är ett omfattande ämne. För bästa möjliga förutsättningar bör frågan vara väl förankrad i ledningsgruppen och rätt resurser finnas på plats. Utöver detta kvarstår frågan kring vad ni bör fokusera på. Vilka grundläggande aktiviteter hjälper din organisation att uppnå ett kontinuerligt informationssäkerhetsarbete? Jag har listat tre aktiviteter som har ett starkt samband med att uppnå ett framgångsrikt informationssäkerhetsarbete.

1. Nulägesanalys

För att veta vad ni ska göra framåt behöver ni veta vart ni står idag. En nulägesanalys hjälper er att bygga informationssäkerhetsarbetet utifrån era förutsättningar. Den ger er en tydlig kartläggning av interna och externa förutsättningar som påverkar hur ert informationssäkerhetsarbete ska utformas i nästkommande steg.

Verksamhetsanalys

Verksamhetsanalysen genomförs i syfte att utforma styrningen av organisationens informationssäkerhetsarbete. Här beaktas intressenter, förutsättningar, organisation och roller samt styrande principer. Det här är komponenter som alla ligger till grund för ett systematiskt informationssäkerhetsarbete.

Mognadsvärdering

Utöver Verksamhetsanalysen kan även mognadsvärderingar i olika skepnader genomföras för att kartlägga organisationens nuläge avseende informationssäkerhet. GAP-analys är ett exempel på en analys som konstaterar ett tydligt nuläge och brister baserat på ett antal utvalda säkerhetsåtgärder från exempelvis standarden SS-EN ISO/IEC 27001.

Verksamhetsanalys och Mognadsvärdering är analyser som ger en bra överblick av nuläget och kan med fördel genomföras oavsett hur långt organisationen har kommit i sitt informationssäkerhetsarbete. De är dock grundläggande aktiviteter för organisationer som är i starten av sitt arbete eller som är relativt omogna i att arbeta med frågan.

Övergripande riskanalys

I en övergripande riskanalys identifieras risker som ses som övergripande för hela organisationen. Fokus för en sådan aktivitet är att hitta de risker som inte är knutna till en specifik informationstillgång. Den här analysen kan vara bra att genomföra i organisationer som är lite mer vana att arbeta med frågan.

2. Tilldela ansvar

Den här kan tyckas självklar, men i många organisationer tenderar informationssäkerhetsarbetet att nedprioriteras eller reaktivt initieras som ett resultat av att en incident eller händelse inträffat. Detta är ofta ett resultat av att en tydlig ansvarsfördelning saknas. Tilldelning av ansvar i sammanhanget är synonymt med tilldelning av mandat att fatta beslut och leda arbetet inom ansvarsområdet. Ansvar tilldelas en person eller roll vilket i sin tur innebär att personen är ålagd att se till att arbetet med informationssäkerhet sker i enlighet med de regler som fastställts i styrande dokument.

Övergripande riskanalyser, verksamhetsanalyser eller GAP-analyser är oftast aktiviteter som genomförs av den grupp individer som har blivit tilldelade någon form av informationssäkerhetsansvar. Detta arbete har därför en benägenhet att stanna i just den gruppen. För att få genomslag och systematik i informationssäkerhetsarbetet måste arbetet spridas ner i verksamheten. Ett sätt att göra det på är via informationsklassningar som också är den tredje aktiviteten för ett grundläggande och framgångsrikt informationssäkerhetsarbete.

3. Informationsklassningar

Att genomföra informationsklassificeringar med tillhörande riskanalys gör att informationssäkerhetsansvariga och informationsägare blir medvetna om och vidtar rätt skyddsåtgärder. Det är genom diskussioner med systemansvariga och personer som i sitt dagliga arbete faktiskt använder sig av informationsmängderna risker kan identifieras och bedömas. Det här hjälper informationssäkerhetsansvariga i verksamheten att komma till insikt om vilka risker som finns i verksamheten och vad som krävs för att eliminera dessa.

Informationsklassningar med tillhörande riskanalyser mynnar alltid ut i åtgärdshantering. Det är hanteringen av åtgärderna tillsammans med kontinuerlig uppföljning som skapar systematik och framgång i ett informationssäkerhetsarbete.

Författaren av blogginlägget tre grundläggande aktiviteter för ett framgångsrikt informationssäkerhetsarbete

Nur Nauti

Informationssäkerhetskonsult 

Relaterat innehåll:

cybersäkerhet för vd

Cybersäkerhet för VD – 6 proaktiva åtgärder

Som VD eller ansvarig för en verksamhet kan det svara svårt att överblicka hoten som finns när det gäller cyberattacker. Ofta är det mycket enklare att förstå fysiska hot som inbrott i lokaler. Men förlust av data kan få minst lika stora konsekvenser och i
Läs mer »
Konsten att kommunicera i informationssäkerhetsfrågor

Konsten att kommunicera i informationssäkerhetsfrågor

Ett snabbt förändrat säkerhetslandskap kräver informerade och handlingskraftiga organisationer. Som CISO behöver du idag kunna övertyga både medarbetare, ledning och beslutsfattare om vikten av frågorna. Så hur lyckas du i praktiken? Välkommen på ett webinar där Håkan Sonesson, CISO på Jönköping University, delar över 25
Läs mer »