En medarbeider tester et nytt AI-verktøy og laster opp et dokument for å få hjelp med et sammendrag. En avdeling oppretter en konto i et nytt prosjektverktøy. En leverandør får tilgang til kundedata for å utføre en tjeneste. Et regneark med personopplysninger lagres i en mappe som få kjenner til.
Hver enkelt situasjon kan virke ganske ordinær. Over tid kan de likevel gjøre det vanskelig å svare på et grunnleggende spørsmål:
Hvor befinner virksomhetens informasjon seg?
God informasjonssikkerhet krever oversikt over informasjonen virksomheten har, hvor den lagres, hvilke systemer den behandles i og hvem som har tilgang til den. Den samme oversikten er sentral i arbeidet med personvern og GDPR.
Når nye systemer, leverandører og AI-verktøy kommer til, må oversikten holdes oppdatert. Ellers kan virksomheten ende opp med informasjon i tjenester og systemer som sikkerhets-, personvern- eller IT-ansvarlige ikke kjenner til.
Virksomhetens informasjon finnes sjelden på ett sted. Personopplysninger kan ligge i HR-systemet, CRM-systemet, e-post, skylagring, supportverktøy og økonomisystemer. Kopier kan finnes i regneark, presentasjoner, lokale mapper og sikkerhetskopier.
Den samme informasjonen kan også bevege seg mellom flere systemer.
En kunde fyller for eksempel ut et skjema på nettsiden. Opplysningene sendes videre til CRM-systemet og kanskje til et markedsføringsverktøy. Senere eksporterer en medarbeider kundelisten til et regneark for å gjennomføre en analyse.
Da finnes informasjonen plutselig flere steder enn der den opprinnelig ble samlet inn.
For å få oversikt bør virksomheten blant annet kunne svare på:
En praktisk måte å starte på er å velge én type informasjon og følge den gjennom virksomheten.
Ta for eksempel kundeopplysninger: Hvor samles de inn? Hvilket system havner de i først? Sendes de videre til andre systemer? Eksporteres de til regneark? Har en leverandør tilgang? Brukes opplysningene i analyse- eller AI-verktøy? Hvor ender kopiene, og når slettes de?
Gjør den samme øvelsen med for eksempel ansattopplysninger, leverandørinformasjon eller annen sensitiv og forretningskritisk informasjon.
Da får dere en enkel kartlegging av informasjonens vei gjennom virksomheten. Den kan avdekke systemer dere ikke hadde med i den opprinnelige oversikten, leverandører som faktisk har tilgang til mer informasjon enn antatt, unødvendige kopier og steder hvor det er uklart hvem som har ansvar.
Resultatet er et konkret utgangspunkt for videre arbeid: Dere ser hvor informasjonen befinner seg, hvor den beveger seg, hvem som har tilgang til den og hvor dere bør undersøke risikoen nærmere.
Jo flere systemer og informasjonsflyter virksomheten har, desto viktigere blir denne kartleggingen.
Nye digitale tjenester er enkle å ta i bruk. En medarbeider kan opprette en konto, installere en app eller starte en prøveperiode uten å involvere IT-avdelingen eller andre ansvarlige.
Dette omtales ofte som skygge-IT: systemer, applikasjoner og tjenester som brukes utenfor virksomhetens etablerte prosesser for godkjenning og kontroll.
Det kan for eksempel være en avdeling som begynner å bruke et eget prosjektverktøy. En medarbeider oppretter en konto i en filoverføringstjeneste for å sende store dokumenter. En annen tar i bruk et transkriberingsverktøy for digitale møter.
Informasjon kan da behandles i tjenester virksomheten ikke har vurdert.
Det kan være uklart hvilke sikkerhetstiltak leverandøren har, hvor informasjonen lagres, hvor lenge den beholdes eller om andre aktører får tilgang til den. Dersom personopplysninger behandles, kan det også mangle nødvendige vurderinger og avtaler.
Skygge-IT kan derfor skape områder hvor virksomheten har informasjon, men mangler oversikt over hvordan den faktisk håndteres.
AI-verktøy har gjort problemstillingen enda mer aktuell.
Ansatte kan bruke AI til å oppsummere dokumenter, analysere tekst, skrive møtereferater, behandle data, oversette innhold eller få hjelp til andre arbeidsoppgaver.
Da er det viktig å vite hvilken informasjon som legges inn i tjenesten.
En medarbeider kan for eksempel lime inn en kundeklage for å få hjelp til å formulere et svar. Dokumentet kan inneholde navn, kontaktinformasjon og detaljer om kunden. En annen kan laste opp en kontrakt for å få et sammendrag. En tredje kan bruke reelle virksomhetsdata for å analysere et problem.
I slike situasjoner må virksomheten vite hvordan tjenesten behandler informasjonen som deles.
Relevante spørsmål kan være:
Dette krever at virksomheten vet hvilke AI-verktøy som faktisk brukes.
Det kan derfor være nyttig å kartlegge både godkjente tjenester og verktøy ansatte allerede har tatt i bruk på eget initiativ. Kartleggingen gir et grunnlag for å vurdere risiko og avgjøre hvilke tjenester virksomheten ønsker å tillate.
Informasjonen befinner seg også hos leverandører.
Virksomheter bruker gjerne leverandører til blant annet lønn, HR, IT-drift, skylagring, CRM, markedsføring, kundeservice, analyse og kommunikasjon.
Flere av disse leverandørene kan behandle personopplysninger eller ha tilgang til annen viktig informasjon.
Leverandøren dere har avtale med kan igjen være avhengig av andre leverandører. Det gjør leverandøroversikt til en viktig del av kartleggingen.
Virksomheten bør vite hvilke leverandører som har tilgang til hvilke typer informasjon, hvorfor de trenger tilgangen og hvilke systemer eller tjenester de leverer.
For behandling av personopplysninger bør virksomheten også ha oversikt over hvilken rolle leverandøren har, om det kreves databehandleravtale, hvilke underleverandører som benyttes og om personopplysninger overføres til land utenfor EØS.
Oversikten må også vedlikeholdes. Leverandører byttes ut, avtaler avsluttes og nye tjenester tas i bruk.
Når et samarbeid avsluttes, bør virksomheten vite hva som skjer med informasjonen leverandøren allerede har fått tilgang til. Skal den slettes? Returneres? Finnes det sikkerhetskopier? Og er tilganger faktisk fjernet?
Ansatte trenger praktiske rammer for hvilke tjenester de kan bruke og hvilken informasjon de kan dele.
Det kan for eksempel være tydelig definert:
Retningslinjene bør være konkrete nok til å fungere i arbeidshverdagen.
En medarbeider som ønsker å bruke et nytt AI-verktøy bør kunne finne ut om verktøyet er godkjent og hvilken informasjon som kan brukes i det. En avdeling som trenger et nytt system bør vite hvilken prosess som skal følges før løsningen tas i bruk.
Det gjør det også enklere å fange opp nye behov. Hvis mange ansatte etterspør samme type verktøy, kan virksomheten vurdere en egnet løsning på en kontrollert måte.
Oversikt over informasjon, systemer og leverandører har betydning på tvers av flere områder.
I personvernarbeidet trenger virksomheten blant annet oversikt over hvilke personopplysninger som behandles, formålet med behandlingen, hvem opplysningene deles med og hvor lenge de oppbevares.
I informasjonssikkerhetsarbeidet trenger virksomheten å vite hvilke verdier som skal beskyttes og hvilke systemer, personer og leverandører de er avhengige av.
Kartleggingen gjør det mulig å se disse sammenhengene.
Hvis virksomheten vet at et bestemt system inneholder store mengder kundeopplysninger, brukes av 80 ansatte og er avhengig av en ekstern leverandør, finnes det et konkret utgangspunkt for å vurdere risikoen.
Hva skjer hvis systemet blir utilgjengelig? Hva skjer hvis uvedkommende får tilgang? Hvilke sikkerhetstiltak finnes allerede? Hvem har ansvar for systemet? Og hvilke tiltak bør prioriteres?
Den samme oversikten kan også gjøre andre oppgaver enklere.
Når en registrert person ber om innsyn eller sletting, er det lettere å finne opplysningene dersom virksomheten vet hvilke systemer de kan finnes i. Når et sikkerhetsbrudd oppstår, er det lettere å vurdere omfanget dersom virksomheten vet hvilke data det berørte systemet inneholder.
Kartlegging er derfor et løpende arbeid. Nye systemer kommer til, informasjonsflyter endres og leverandører byttes ut. Oversikten må utvikle seg sammen med virksomheten.
Når informasjonen er kartlagt, kan virksomheten begynne å se sammenhengene mellom informasjon, systemer, leverandører og risiko.
Tenk for eksempel at virksomheten kartlegger en prosess for kundeservice.
Kundeopplysninger mottas på e-post og registreres i et supportsystem. Supportselskapet drifter løsningen i skyen og bruker flere underleverandører. Ansatte eksporterer av og til saker til regneark. Enkelte medarbeidere bruker også et AI-verktøy til å forbedre formuleringer i kundesvar.
Da kan virksomheten kartlegge hele informasjonsflyten og vurdere hvor risiko kan oppstå.
På denne måten blir kartleggingen mer enn en liste over systemer. Den viser hvordan informasjon faktisk beveger seg gjennom virksomheten og hvor det kan være behov for tiltak.
Når informasjon er spredt mellom systemer, leverandører og ulike deler av organisasjonen, kan det være krevende å holde oversikten oppdatert.
Med Draftit kan virksomheten samle informasjon om behandlinger, systemer, leverandører og risiko og se hvordan de henger sammen.
Dere kan dokumentere hvilke personopplysninger som behandles, hvilke systemer som brukes, hvilke leverandører som er involvert og hvilke risikoer og tiltak som er knyttet til behandlingen.
Det gjør det enklere å følge opp endringer. Når et nytt system tas i bruk, en leverandør byttes ut eller en ny risiko identifiseres, kan informasjonen knyttes til det eksisterende arbeidet.
En samlet oversikt gir også et bedre grunnlag for både personvern- og sikkerhetsarbeidet. Ansvarlige kan lettere se hvor informasjon befinner seg, hvem som har tilgang til den og hvilke områder som krever oppfølging.
Start med å se på noen av virksomhetens viktigste informasjonsområder.
Hvor lagres kundeopplysninger? Hvilke systemer inneholder informasjon om ansatte? Hvilke leverandører har tilgang? Hvilke AI-verktøy brukes i arbeidshverdagen? Finnes det regneark, lokale filer eller tjenester som har falt utenfor den etablerte oversikten?
Svarene kan avdekke både mangler og avhengigheter som tidligere har vært vanskelige å se.
Når virksomheten vet hvilken informasjon den har, hvor den befinner seg, hvordan den brukes og hvem som har tilgang til den, blir det enklere å vurdere risiko, etablere riktige tiltak og følge opp kravene virksomheten er underlagt.
Det gir et bedre grunnlag for å beskytte informasjonen gjennom hele livsløpet, også når nye systemer, leverandører og arbeidsverktøy tas i bruk.