1. Vet dere hva dere skal beskytte?
For å kunne beskytte informasjonen i virksomheten må dere vite hvilken informasjon dere har, hvor den finnes og hvordan den brukes.
De fleste virksomheter behandler store mengder informasjon hver dag. Det kan være kundeopplysninger, personaldata, avtaler, økonomisk informasjon, innloggingsopplysninger og annen virksomhetskritisk informasjon.
En god oversikt bør vise hvilke systemer informasjonen finnes i, hvem som har tilgang til den og hvilke eksterne leverandører som behandler den.
Et eksempel:
En kunde spør hvilke personopplysninger dere har lagret om vedkommende, og hvilke systemer opplysningene finnes i.
Hvor enkelt er det å finne svaret?
Hvis dere må kontakte flere avdelinger og lete i ulike systemer for å få oversikt, kan det være behov for bedre kartlegging og dokumentasjon.
Sjekk deres egen virksomhet
Kan dere svare på:
- Hvilken informasjon er særlig viktig eller sensitiv for virksomheten?
- Hvilke systemer behandler denne informasjonen?
- Hvor lagres den?
- Hvem har tilgang?
- Hvilke eksterne leverandører behandler informasjon på deres vegne?
- Hvem har ansvar for å holde oversikten oppdatert?
Gjør en 10-minutters sjekk
Velg ett viktig system dere bruker i virksomheten.
Finn ut: Hvilken informasjon finnes der? Hvem har tilgang? Hvem har ansvar for systemet?
Hvis svarene er vanskelige å finne, har dere identifisert et område som bør følges opp.
Hold oversikten oppdatert
Kartleggingen må oppdateres når virksomheten endrer seg. Nye systemer tas i bruk, leverandører byttes ut, og virksomheten kan begynne å behandle personopplysninger på nye måter. Det bør derfor være tydelig hvem som har ansvar for å oppdatere oversikten, og når den skal gjennomgås.
2. Har de riktige personene de riktige tilgangene?
Medarbeidere trenger tilgang til ulike systemer og opplysninger for å gjøre jobben sin. Behovet for tilgang endrer seg når noen får nye oppgaver, bytter rolle eller slutter.
Det bør derfor finnes rutiner både for å gi, endre og fjerne tilganger.
Et eksempel:
En medarbeider går fra HR til en annen del av virksomheten.
Hun trenger ikke lenger tilgang til personalmapper og HR-systemer, men tilgangene blir ikke fjernet.
Dermed har en medarbeider tilgang til opplysninger hun ikke lenger trenger i arbeidet. En fast rutine ved rollebytte kunne ha fanget opp dette.
Sjekk deres egen virksomhet
- Finnes det en fast prosess for å gi nye medarbeidere tilgang?
- Revurderes tilganger når noen bytter rolle?
- Fjernes tilganger raskt når noen slutter?
- Gjennomgår dere eksisterende tilganger med jevne mellomrom?
- Har dere kontroll på administrative og andre særlig omfattende tilganger?
- Er det tydelig hvem som har ansvar?
Gjør en 10-minutters sjekk
Velg ett system og se på fem brukere.
Har alle fem fortsatt behov for tilgangene de har?
En slik stikkprøve kan gi en rask indikasjon på om rutinene fungerer i praksis.
Sørg for tydelige rutiner og ansvar
En rutine for tilgangsstyring bør beskrive hva som skal gjøres, hvem som har ansvar og når tilgangene skal gjennomgås.
Det bør også være mulig å følge opp at oppgavene faktisk blir utført. Dette er en del av virksomhetens internkontroll. I Draftit kan virksomheten samle rutiner, ansvar, dokumentasjon og oppfølging på ett sted.
3. Vet medarbeiderne hva de skal gjøre?
Medarbeidere håndterer informasjon gjennom hele arbeidsdagen. De åpner vedlegg, deler dokumenter, behandler personopplysninger, bruker ulike systemer og sender informasjon til kunder, kolleger og leverandører.
De bør derfor kjenne virksomhetens sikkerhetsrutiner og vite hva de skal gjøre når de er usikre eller oppdager noe som kan være en sikkerhetshendelse.
Et eksempel:
En medarbeider mottar en e-post som ser ut til å komme fra en leder. Avsenderen ber om at et dokument med sensitiv informasjon sendes over raskt. Medarbeideren blir usikker på om henvendelsen er ekte.
Har virksomheten gjort det tydelig hvordan slike situasjoner skal håndteres og hvem medarbeideren skal kontakte?
Medarbeiderne bør blant annet vite:
- hvordan de kjenner igjen mistenkelige e-poster og henvendelser
- hvordan personopplysninger skal håndteres
- hvordan dokumenter og informasjon skal deles
- hvor virksomhetens sikkerhetsrutiner finnes
- hvordan de melder fra om feil og mulige sikkerhetshendelser
- hvem de skal kontakte dersom de er usikre
Gjør en 10-minutters sjekk
Spør tre medarbeidere:
«Hva gjør du hvis du tror du har sendt personopplysninger til feil person?»
Svarene gir en indikasjon på om rutinene er kjent og forstått i organisasjonen.
Følg opp kompetansen over tid
Sikkerhetsopplæring bør gjennomføres jevnlig og tilpasses virksomhetens risiko og medarbeidernes arbeidsoppgaver.
Nye medarbeidere trenger opplæring. Eksisterende medarbeidere trenger oppdateringer når rutiner, systemer eller risikobildet endrer seg.
Det er også nyttig å ha oversikt over hvilken opplæring som er gjennomført, hvem som har deltatt og hvilke områder som bør følges opp videre.
4. Har dere kontroll på leverandørene deres?
De fleste virksomheter bruker eksterne leverandører som behandler eller har tilgang til informasjon.
Det kan være leverandører av lønnssystemer, HR-verktøy, skylagring, CRM-systemer, analyseverktøy og andre digitale tjenester.
Virksomheten bør derfor ha oversikt over hvilke leverandører som behandler viktig eller sensitiv informasjon, hvilke krav som er stilt til dem og hvordan de følges opp.
Et eksempel:
Dere tar i bruk et nytt HR-system. Leverandøren skal behandle opplysninger om virksomhetens ansatte.
Før systemet tas i bruk bør dere blant annet ha oversikt over hvilke opplysninger som skal behandles, hvor de lagres, hvilke sikkerhetstiltak leverandøren har, og hvilke avtaler som må være på plass.
Det bør også være avklart hvordan leverandøren skal følges opp gjennom avtaleperioden.
Sjekk deres egen virksomhet
Vet dere:
- hvilke leverandører som behandler personopplysninger eller annen viktig informasjon?
- hvilke data den enkelte leverandøren har tilgang til?
- hvor informasjonen behandles og lagres?
- hvilke sikkerhetskrav dere har stilt?
- om nødvendige avtaler er på plass?
- hvordan leverandørene følges opp?
- hva som skjer med informasjonen når samarbeidet avsluttes?
Gjør en 10-minutters sjekk
Velg én leverandør som behandler personopplysninger for dere.
Finn frem dokumentasjonen og sjekk om dere enkelt kan se:
Hvilke opplysninger behandler leverandøren? Hvorfor behandles de? Hvilke avtaler og vurderinger ligger til grunn?
Hvis denne informasjonen er vanskelig å finne, kan det være behov for å samle og strukturere dokumentasjonen bedre.
Samle vurderingene knyttet til leverandøren
En leverandør kan berøre flere deler av virksomhetens arbeid samtidig. Det kan være nødvendig med risikovurderinger, databehandleravtale, dokumentasjon av personvernkrav, sikkerhetskrav og rutiner for oppfølging.
Det er en fordel at disse vurderingene kan ses i sammenheng og oppdateres når leverandørforholdet endrer seg.
I Draftits helhetsløsning kan virksomheten samle arbeidet med blant annet personvern, risikovurderinger, dokumentasjon og rutiner på ett sted.
5. Vet dere hva dere gjør når noe går galt?
Sikkerhetshendelser kan oppstå selv om virksomheten har gode forebyggende tiltak.
En e-post kan sendes til feil mottaker. En PC kan bli stjålet. En brukerkonto kan bli kompromittert. En leverandør kan melde om et sikkerhetsbrudd.
Virksomheten bør ha rutiner for hvordan slike hendelser skal meldes, vurderes, håndteres og dokumenteres.
Et eksempel:
Klokken 14.20 oppdager en medarbeider at et dokument med personopplysninger er sendt til feil mottaker.
Hva skal medarbeideren gjøre først? Hvem skal hendelsen meldes til?
Hvem vurderer risikoen? Hvilke tiltak skal gjennomføres?
Må hendelsen varsles videre? Hvordan skal hendelsen dokumenteres?
Dette bør (eller må) være avklart på forhånd.
Sjekk deres egen virksomhet
- Vet medarbeiderne hvordan de melder fra om en hendelse?
- Finnes det en tydelig kanal for rapportering?
- Er ansvar og roller definert?
- Har dere en prosess for å vurdere alvorlighetsgrad og risiko?
- Vet dere når en hendelse kan utløse varslings- eller dokumentasjonsplikter?
- Dokumenterer dere hva som har skjedd og hvilke tiltak som er gjennomført?
- Brukes hendelser til å forbedre rutiner og forebyggende tiltak?
Gjør en 10-minutters sjekk
Ta utgangspunkt i følgende situasjon: En medarbeiders PC med virksomhetsinformasjon blir stjålet på toget.
Gå gjennom hva som skal skje fra medarbeideren oppdager tyveriet og frem til hendelsen er håndtert. Sjekk samtidig om ansvar, kontaktpersoner og rutiner er dokumentert og tilgjengelige.
Følg opp etter hendelsen
Når en hendelse er håndtert, bør virksomheten vurdere om det er behov for endringer.
Hendelsen kan for eksempel vise at en risikovurdering må oppdateres, at en rutine bør endres, at medarbeidere trenger mer opplæring eller at det bør innføres nye sikkerhetstiltak.
Oppfølgingen bør dokumenteres slik at det er mulig å se hvilke tiltak som er besluttet, hvem som har ansvar og om tiltakene er gjennomført.
Hvor god er sikkerhetsgrunnmuren deres?
Bruk de fem områdene til å gjøre en enkel vurdering av dagens situasjon.
1. Oversikt
Vet dere hvilken informasjon dere har, hvor den finnes og hva som må beskyttes?
2. Tilganger
Har de riktige personene tilgang til informasjonen og systemene de trenger?
3. Medarbeidere
Vet ansatte hvordan informasjon skal håndteres og hva de skal gjøre når de er usikre?
4. Leverandører
Har dere oversikt over hvem som behandler informasjon på deres vegne og hvordan leverandørene følges opp?
5. Hendelser
Har dere tydelige rutiner og ansvarsforhold når en sikkerhetshendelse oppstår?
0–1 områder på plass
Start med å skaffe oversikt over informasjon, systemer og ansvar. Prioriter deretter områdene hvor konsekvensene ved en hendelse kan være størst.
2–3 områder på plass
Dere har flere grunnleggende tiltak på plass. Se nærmere på om rutinene er dokumentert, om ansvar er tydelig og om arbeidet følges opp jevnlig.
4–5 områder på plass
Dere har mye av grunnlaget på plass. Vurder om dokumentasjonen holdes oppdatert, om tiltakene følges opp og om dere har gode rutiner for å håndtere endringer i virksomheten.
.png)
