Fagforklaringen

Artikkelen samlet tidligere faginnhold om organisering av informasjonssikkerhet. Den knyttet sikkerhetsarbeidet til personalprosesser, tilgangsstyring og dokumentert ansvar, slik at tiltakene blir en del av normal styring fremfor en isolert teknisk aktivitet.

Dette bør dere følge opp

Ledelsen trenger oversikt over verdier, avhengigheter og hendelser som kan stoppe virksomheten. Prioriterte tiltak bør ha en eier, frist og kontroll av effekt. Krav fra myndigheter, kunder og kontrakter må vurderes for den konkrete virksomheten.

Fagteksten plasserte sikkerhetsansvaret hos ledelsen og knyttet det til verdier, trusler, personalprosesser og leverandørkrav. Et styringssystem samler kontroller, dokumentasjon og oppfølging, men effekten avhenger av at tiltak prioriteres og etterprøves. Dette gjør sikkerhet til løpende virksomhetsstyring fremfor en separat teknisk sjekkliste.

NSMs grunnprinsipper organiserer sikkerhetsarbeid rundt å identifisere, beskytte, oppdage og håndtere. Rammeverket er leverandøruavhengig og gir faglig kontroll mot ProsessPilotenes praktiske råd. Fagteksten beskriver organisering i virksomheten; NSM-kilden viser hvordan tiltakene kan inngå i et helhetlig og prioritert sikkerhetsarbeid.

Arbeidet kan konkretiseres i en oversikt over kritiske verdier, eiere, avhengigheter og prioriterte tiltak. Ledelsen bør få rapportering på gjennomføring og testet effekt, ikke bare at en kontroll er beskrevet. Hendelser, øvelser og avvik gir grunnlag for å endre prioriteringene når trusselbildet eller virksomheten utvikler seg.

Kilder

Primærkilde: ProsessPilotene, «Hvordan sørge for god informasjonssikkerhet i din organisasjon?», 28. juni 2024.

NSM, Grunnprinsipper for IKT-sikkerhet versjon 2.0, 16. april 2020.

Videre lesning

Hvordan arbeider ProsessPilotene med informasjonssikkerhet?

Del dine erfaringer

Hvilken erfaring fra deres egen virksomhet er mest relevant for denne saken? Del gjerne hva dere lærte.