Det här är en opinionstext. Åsikter som uttrycks är skribentens egna. Alla organisationer behöver en policy för informationssäkerhet, eller hur? Idag präglas dock många sådana policys av röriga och förutsägbara checklistor som man enkelt kan hitta genom en sökning på Google. Tillsammans med standardmallar fyllda med teknisk och juridisk jargong kan detta nästan garantera att […]
Det här är en opinionstext. Åsikter som uttrycks är skribentens egna.
Alla organisationer behöver en policy för informationssäkerhet, eller hur? Idag präglas dock många sådana policys av röriga och förutsägbara checklistor som man enkelt kan hitta genom en sökning på Google. Tillsammans med standardmallar fyllda med teknisk och juridisk jargong kan detta nästan garantera att få personer i organisationen kommer att ta till sig innehållet.
Lyckligtvis inser allt fler informationssäkerhetschefer, CISO:er, att en policy för informationssäkerhet inte bara är ett verktyg för försäljning eller för att klara av revisioner. Insikten att en välskriven och genomarbetad policy kan bidra till att etablera goda arbetssätt, skärpa attityder till säkerhet och tillföra verkligt affärsvärde har börjat få fäste.
Redan att samla in underlaget som krävs kan vara en utmaning. I min egen organisation har vi tidigare flera olika policys, bland annat till följd av tidigare företagsförvärv och sammanslagningar. Jag misstänker att vi inte är ensamma. Olika policys anpassade till standarder som ISO 27001, på bra men sinsemellan olika sätt. Olika delar av ett företag kan ha sina egna certifieringar som bidrar till komplexiteten. Men målet måste vara en kort och effektiv policy för hela företagets informationssäkerhet och som matchar verksamhetens processer och övergripande strategi. Den behöver också ge tydliga anvisningar om vilka resultat som avses och hur de ska uppnås. Gärna anpassat efter organisationens olika avdelningar och riskbeteenden. Ett exempel är att de som arbetar med forskning och utveckling kan behöva kunna experimentera med ny teknik i högre utsträckning än andra i företaget. Då ska detta tydliggöras i policyn.
Företagets ramverk för informationssäkerhet, grundläggande säkerhetspolicy och dokumentation rörande säkerhet måste gälla för alla. Policyn för informationssäkerhet ska innehålla tydliga anvisningar om vart man ska vända sig om incidenter inträffar och vilka experter som finns tillgängliga. Den ska även ange vilken utbildning som erbjuds, hur information kan spridas och hur eskalerande situationer bör hanteras.
När vi utformade vår nya informationssäkerhetspolicy insåg vi följande viktiga punkter:
Sammanfattningsvis är ert policydokument för säkerhet inte bara till för att uppfylla regulatoriska krav, utan kan också vara ett kraftfullt verktyg för ökad konkurrenskraft och verksamhetsnytta. Det är hög tid för många företag att damma av och uppdatera sin policy för informationssäkerhet. Är det dags även för ert företag?
Aktuell Säkerhet jobbar för alla som vill göra säkrare affärer och är därför en säker informationskälla för säkerhetsansvariga inom såväl privat som statlig och kommunal sektor. Vi strävar efter förstahandskällor och att vara på plats där det händer. Trovärdighet och opartiskhet är centrala värden för vår nyhetsjournalistik
Anmäl dig till vårt nyhetsbrev!
Genom att klicka på "Prenumerera" ger du samtycke till att vi sparar och använder dina personuppgifter i enlighet med vår integritetspolicy.
