Aktuellt

I bästa fall är informationssäkerhet redan en integrerad del i verksamheten, i näst bästa fall har ett strukturerat arbete för att säkra informationstillgångarna påbörjats. För de organisationer som är medvetna om vikten av frågan, men av olika skäl inte kommit i gång ännu, blir ett förestående byte av systemstöd en naturlig anledning att ta itu med de analyser och bedömningar som behöver göras för att kunna skydda information och system.  

En fråga om riskhantering
För att kunna tillgodogöra sig digitaliseringens möjligheter behövs en balansering av de risker som utvecklingen innebär. Idag vet vi att hotet är en realitet, intrångsförsök riktade mot nätverk och uppkopplade enheter pågår konstant runt om i samhället. Fastighets- och affärssystem utgör inga undantag. Skadan kan vara påtaglig, både för organisationen och kunder, och kan – beroende på typ av verksamhet - även få konsekvenser på samhällsnivå.  

Nyckeln är att göra sin hemläxa i det förebyggande arbetet genom att förstå 

• hot och risker 
• värdet av information 
• behovet av skydd 

Frågan organisationen behöver ställa sig är Vad vill vi inte ska hända, vad ska vi undvika? På så sätt finns förutsättning för att hantera de risker och sårbarheter som kan finnas i verksamheten. Ett planerat systembyte är ett givet tillfälle att se över sin informationssäkerhetsanalys eller ta fram en sådan om det inte gjorts tidigare. Resultatet blir ett viktigt inspel i planeringsarbetet och de beslut som behöver fattas inför implementation av ett nytt system. Bland annat för att göra vägvalet mellan en molnbaserad lösning eller en lösning on-premises. 

Verksamheten i en rättslig kontext
Ett första steg i analysen är att inventera vilka rättsliga regelverk verksamheten omfattas av Det finns en rad lagar, förordningar och föreskrifter med bäring på informationssäkerhet. Det är viktigt att känna till vad som gäller för den egna organisationen, inte minst för att säkerställa regelefterlevnad.

För organisationer som omfattas av säkerhetsskyddslagen eller organisationer som bedriver samhällsviktig verksamhet gäller särskilda krav. Vägledningar och metodstöd för informationssäkerhet i den här typen av verksamheter tillhandahålls bland annat av Säkerhetspolisen, Försvarsmakten och Myndigheten för samhällsskydd och beredskap (MSB).  

Det finns ett antal andra områden med rättsliga krav kopplat till hantering av information och säkerhet i informationssystem, såsom dataskydd, allmänna handlingar och sekretess, arkiv, hälso -och sjukvård, elektronisk kommunikation och digitala tjänster, för att nämna några. Det som många nog tänker på i första hand är hantering av personuppgifter som regleras av GDPR. 

För att veta vad just din organisation behöver förhålla sig till inför och efter systembytet behövs alltså en analys utifrån ett regelverksperspektiv.