Cybersäkerhet är en lagsport, med hela organisationen som spelplan

Cybersäkerhet innebär ett systematiskt arbete där regleringar behöver omsättas i praktiken för att få önskad effekt. Här krävs en gemensam insats av olika funktioner på olika nivåer i organisationen, där framgången ligger i förmågan till implementering.

Ambitionsnivå
Oktober är EU:s cybersäkerhetsmånad och därmed ett bra tillfälle att ägna extra uppmärksamhet åt informationssäkerhetsfrågor. Idag går det inte längre att bortse från säkerhetsaspekterna, oavsett var på den digitala trappan fastighetsorganisationer befinner sig. Digitalisering och cybersäkerhet går hand i hand.

Ambitionen behöver vara att informationssäkerhet blir en integrerad del av verksamhetens processer, i stället för att hanteras som en särskild fråga för ett fåtal experter. Några enkla exempel på hur man kan tänka på informationssäkerhet i olika processer.

• Ledning: inkludera mål för säker informationshantering i digitaliseringsstrategin, och ta höjd för åtgärder som kan bli aktuella för hantering av informationssäkerhetsrisker i verksamhetsplaneringen.
• Stöd: integrera en grundutbildning i informationssäkerhet i introduktionsprogrammet för nyanställda.
• Fastighetsförvaltning: ge medarbetare, konsulter och leverantörer endast behörighet till sådan skyddsvärd information som de faktiskt har behov av i sitt arbete eller uppdrag.

Det är dock sällan tillräckligt med punktinsatser, om än en bra början. Arbete med informationssäkerhet behöver bedrivas systematiskt, från inriktning till uppföljning. Det finns modeller och standarder som vid en första anblick kan kännas överväldigande, men anpassat till verksamhetens egna förutsättningar och behov fyller de sitt syfte.

Från ord till handling
Informationssäkerhet är som bekant inte enbart en IT-fråga, utan i lika hög grad en organisatorisk angelägenhet som kräver samarbete över funktionsgränserna. Ledning, stödfunktioner och operativ verksamhet har alla viktiga roller och uppgifter. Hur framgångsrikt informationssäkerhetsarbetet blir avgörs av hur väl policydokument kan omsättas i det dagliga arbetet. Nyckeln för att kunna ta steget från strategisk styrning till genomslag i fastighetsförvaltningens vardag är förmågan till implementering. Verklig effekt uppstår när hela verksamheten förstår varför information behöver skyddas, och hur var och en kan bidra på rätt sätt i sin roll. I grunden handlar det om att skapa förutsättning för säker informationshantering genom en välgrundad säkerhetskultur.

Det är just implementeringen som blir en utmaning för många organisationer. Kraften tar slut när lagar är tolkade, riskanalyser genomförda och styrande dokument formulerade. I många fall glest bemannade säkerhetsfunktioner räcker sedan inte till att stödja alla som ska tillämpa nya riktlinjer, som i övergripande ordalag talar om vad som förväntas och vem som har ett ansvar. Ett ansvar som då kan bli svårt att ta. Utan vidare konkretisering, vägledning och gemensam dialog om hur informationssäkerhet ska fungera och efterlevas i praktiken uppstår ett tomrum som kan innebära en risk i sig.

Ett sätt att engagera fler i detta arbete är att ta hjälp av ambassadörer i olika delar av verksamheten. Det kan handla om intresserade medarbetare i fastighetsförvaltningen, specialister i systemförvaltningen, verksamhetsutvecklare eller kommunikatörer. Med rätt förutsättningar och ett gemensamt nätverk kan dessa ambassadörer ge stöd till kollegor när frågor om informationssäkerhet kommer upp i vardagen. Detta blir ett verksamhetsnära sätt att sprida kunskap och skapa förståelse, och därmed ett bidrag till en god säkerhetskultur.