Våra experters 12 tips för framgångsrikt arbete med informationssäkerhet

Framgångsrikt arbete med informationssäkerhet handlar i det yttersta om förändrade attityder och beteenden. På Accigo arbetar vi med informationssäkerhet främst utifrån ett verksamhetsperspektiv och i gränslandet mellan verksamhet och IT. Fokus ligger på riskhantering, förändringsledning, implementation och rådgivning. Det innebär att vi hjälper företag att skapa säkra och smidiga arbetsprocesser som gör det enkelt att göra rätt. Våra kunder är några av Sveriges största företag med tusentals anställda. De finns inom bland annat bank och finans samt energi och fastighet.

Tre av våra medarbetare delar med sig av sina erfarenheter från att praktiskt ha arbetat med informationssäkerhet, och vad vi lärt oss av både motgångar och framgångar.  

Varsågod, här är 12 tips som du kan ta med till din verksamhet för framgångsrikt arbete med informationssäkerhet.

Fanny Lindberg, Microsoft365

Fanny arbetar som Microsoft 365-specialist där hon de senaste åren arbetat med att införa Microsofts molntjänst inom finansbranschen med största fokus på informationssäkerhet och compliance. Hon brinner för att möjliggöra en modern och säker digital arbetsplats, där verksamheten och slutanvändarna står i centrum.

Fannys tips

1. Skapa och underhåll en öppen säkerhetskultur. Få in säkerhetstänket som rutin för att avdramatisera och förenkla informationssäkerhet till enkla tips i vardagen. En säkerhetskultur som präglas av öppenhet där diskussioner välkomnas, är det absolut viktigaste för arbetet med informationssäkerhet. Men jag upplever ofta att medarbetare inte vågar prata om utmaningar eller frågor. Bygg och underhåll en arbetskultur som fylls med diskussion för att våga lyfta utmaningar och frågor. Det bidrar till kontinuerlig utveckling i vardagen.
   
   
2. Förstå leverantörens hantering av er information. En nyckel i molnresan är att undersöka hur er information lagras och hanteras. På så sätt får du ökad förståelse för vilka eventuella risker ni behöver mitigera, vilken teknik ni kan applicera och vilka riktlinjer verksamheten stöttar med. T.ex: vilken information får leverantörens supporttekniker tillgång till? Vilka underleverantörer har din leverantör? Hur påverkar Schrems II er molnresa? Vilka åtgärder kan ni göra för att inte läcka känslig information?
   
   
3. Motivera kollegorna att jobba säkert och att jobba rätt. Se till att alla förstår varför de behöver arbeta på ett visst sätt, vad som är tillåtet och vad som inte är tillåtet. När alla är medvetna om bakgrund och syfte, och konsekvenserna av felaktigt utfört arbete, är drivkraften högre att göra rätt i det vardagliga arbetet. 
   
   
4. Ledarna visar vägen. Förändringstider kan skapa oro och förvirring och för att bidra med en trygg digital arbetsplats krävs det att ett tryggt ledarskap visar vägen. Detta bidrar med respekt och förståelse till förändringen – och att det blir lätt att göra rätt. 

David Effemey, projektledare

David är en engagerad projektledare och teknikspecialist som har konsulterat i många år inom molnsamarbetslösningar. Han har stort fokus på informationssäkerhet, riskhantering och regelefterlevnad och han är engagerad i att uppnå värde för slutanvändarna i verksamheten. 

Davids tips

1. Förstå värdet av er information. Identifiera känsligheten på er värdefulla information utifrån: konfidentialitet, integritet och tillgänglighet. Vad blir påverkan på er organisation om något negativt skulle hända med informationen, t.ex. om informationen blir otillgänglig vid en kritiskt tidpunkt eller ändrad oavsiktligt?
    
2. Riskhantering ska vara realistisk. Det är inte mycket i livet som är riskfritt, men sannolikheten att riskerna faller ut efter att ni har implementerat mitigerande åtgärder borde vara låg eller obefintlig. Om sannolikheten för risk kvarstår, och påverkan blir stor, bör den känsliga informationen exkluderas från detta användarfall. 
   
   
3. Hjälp användarna att jobba rätt. När du vill få dina användare att arbeta säkert så måste du ha användarnas perspektiv i fokus. Att implementera ett systemstöd som är komplext, nedlåst eller krångligt i syfte att skapa hög säkerhet, bidrar istället till frustration och ökar risken att användarna hittar genvägar som äventyrar informationssäkerheten.
   
   
4. Följ upp risk och hotbild. Riskhantering har en livscykel. Hotbild, systemstöd och arbetssätt ändras med tid. Därför ska riskerna revideras och nödvändiga justeringar införas. Det är också viktigt att följa upp hur användarna beter sig, om de följer rätt arbetssätt eller om de behöver bättre stöd för att kunna arbeta rätt.

Vincent Vukovic, förändringsledare

Vincent har tidigare drivit eget konsultbolag inom IT-säkerhet och arbetat som programledare för införandet av Microsoft 365 i en kommunal bolagskoncern där informationssäkerhet var en förutsättning för flytten till molnet. Han hjälper idag ett industribolag att bygga förmågor inom IT- och informationssäkerhet genom att implementera NIST Cybersecurity Framework.  

Vincents tips

1. Koppla arbetet till strategiska mål. En förutsättning för digitaliseringen är att intressenter, såväl medarbetare som kunder och investerare, har stort förtroende och tillit till er. Om informationssäkerhet endast ses som ett sätt att hantera risk på kommer det i fortsättningen att ses som en kostnad för att göra affärer, snarare än en investering.  
   
   
2. Hantera oro tidigt och snabbt. Med den hotbild som finns i omvärlden, samt de krav som intressenter ställer finns det en överhängande risk att strategiska initiativ, program eller projekt pausas eller helt stoppas på grund av oro och osäkerhet. Detta kan resultera i att företaget får sämre förutsättningar att klara sig gentemot konkurrenter.
   
   
3. Stirra dig inte blind på teknologin. Många program och projekt misslyckas med att uppnå sina mål och önskvärda effekter eftersom man inte investerat i förändringsledning, det vill säga att få med sig medarbetarna i förflyttningen. Den mest framgångsrika förflyttningen vi arbetat med har fokuserat på vad den enskilda individen behöver och inte lika mycket på knappar och funktioner.
   
   
4. Ha en plan för framtiden. När det initiala arbetet med att införa exempelvis informationsklasser och etiketter för känslighet är genomfört behöver de nya rutinerna och vanorna som skapats också upprätthållas - och förstärkas över tid. Planera därför för kontinuerliga insatser. Medarbetare behöver inte bara ta till sig ny information och förstå den utifrån sina roller och arbetsuppgifter, de behöver också anamma nya rutiner och vanor. Den förändringen kan gå snabbt för vissa, men för andra kan det ta flera veckor eller månader.