Strategisk informationssäkerhet

Vi börjar med att gå igenom begrepp och terminologi inom informationssäkerhet för att ge en gemensam grund att stå på. Begrepp som t.ex. konfidentialitet, riktighet, hotkälla, sårbarhet, incident och risk förklaras och relateras.

Rätt utformad kan vår informationssäkerhetspolicy vara ett anpassat redskap för effektiv delegering av ansvaret för mätbar säkerhet. Men då duger det inte att kopiera någon annans text som ser bra ut! Det här ska vara vår lednings viljeyttring om vad informationssäkerhet betyder hos oss, varför den är viktig för oss, vilken attityd som ska känneteckna våra medarbetare och hur ansvaret fördelas mellan olika utpekade roller. Vi går igenom vad som kännetecknar en fungerande policy.

Information är inte nödvändigtvis sann eller neutral. Fenomenet informationspåverkan är gammalt men har fått förnyad aktualitet i och med påverkansoperationer från såväl främmande makter som inhemska aktörer. Detta avsnitt förklarar sambandet med informationssäkerhet och visar hur organisationer kan känna igen och möta informationspåverkan.

Informationssäkerhet börjar med skyddsvärda tillgångar som behöver upprätthålla rätt nivå av konfidentialitet, riktighet och tillgänglighet. (Ofta även spårbarhet, osv.) Men vad är rätt nivå för respektive tillgång? Och, när tillgångarna blir många, hur kan vi hantera detta effektivt i ett gemensamt ramverk och i en gemensam infrastruktur? Att kunna klassificera information är en nyckelförmåga. Vi visar hur det går till.

I detta avsnitt tar vi upp de processer som behövs för att kunna leda informationssäkerhetsarbetet. Syftet med processerna är att utifrån verksamhetens mål och krav skapa förutsättningar för en effektiv informationshantering.

Detta avsnitt tar upp hur man organiserar informationssäkerhetsarbetet. Hur fördelar man ansvaret inom organisationen? Vilka roller bör man ha? Vilka roller bör man inte sammanföra hos samma person?

Att mycket av informationshanteringen styrs av lagar och förordningar är nog uppenbart för de flesta, den svåra frågan är på vilket sätt. Vi fördjupar begreppet säkerhetsjuridik i frågor som t.ex. interna regelverk, externa avtal och inte minst Dataskyddsförordningen (GDPR).

Vad är informationsrisk och hur ska vi som organisation hantera det? Med hjälp av riskanalysen kan vi avgöra var hoten mot verksamheten finns och gradera dessa till genomarbetade riskbeskrivningar. Därifrån kan vi ta spårbara beslut om vilka säkerhetsåtgärder som är lämpliga och vilken risk vi väljer att leva med.

Att säkerhetsincidenter tas upp i massmedia har vi sett allt oftare. Den första kontakten med massmedia kan vara skrämmande och inte sällan blir man förvånad av resultatet. Detta avsnitt ger en inblick i journalisters arbetsmetoder och ger tips om man får fram sitt budskap utan att det förvanskas.

Kan man ”räkna hem” säkerhet? Att motivera för företagsledningen att det behövs investeringar för att förbättra säkerheten är inte alltid lätt. Utan en sammanhängande berättelse om säkerhet riskerar investeringsbeslut att framstå som orelaterade och nyttan oklar.

Vad innebär det för en organisation att ha kontroll över sina informationstillgångar? Vilka aspekter behöver vi ha kontroll på? Är några viktigare än andra? Säkerhetsarbete startar med informationskännedom.

Trots all fenomenal teknik och alla fiffiga processer så börjar och slutar säkerheten med människan – som ibland beskrivs som ”svagaste länken”. Vad är säkerhetsbeteende, i vilka sammanhang är det viktigt och hur kan det förbättras? Vi pratar om att sänka hinder och öka motivation, om tillit och kontroll och om hur medarbetaren kan bli den starkaste länken i er säkerhetskultur.