Egen praktisk vägledning. Granska omfattning och aktuella krav med kvalificerade rådgivare. Resurserna bevisar inte efterlevnad.
Börja med beslut, inte ett dokumentbibliotek
Ett ledningssystem för informationssäkerhet kopplar verksamhetsmål, riskbeslut och vardagliga skyddsåtgärder. ISO/IEC 27001 beskriver krav på ett sådant ledningssystem. Denna egenutvecklade workshopmodell återger inte standarden och ersätter inte dess krav.
Avgränsa omfattningen
Lista tjänster, team, platser och teknik som ska ingå. Dokumentera gränssnitt mot leverantörer och delar av organisationen utanför omfattningen. Fråga vem som är beroende av varje tjänst och vad förlust av tillgänglighet, riktighet eller konfidentialitet skulle innebära. Motivera avgränsningar utan att dölja svåra risker.
Fördela beslut och ansvar
Utse en ansvarig i ledningen och en samordnare för arbetet. Enas om vem som accepterar risk, genomför skyddsåtgärder och granskar underlag. Planera återkommande ledningsmöten om förändrade risker, försenade åtgärder, incidenter och resursbeslut.
Skapa en riskbaslinje
Välj en konsekvent bedömningsmetod med tydliga kriterier för påverkan och sannolikhet. Dokumentera hot, berörda tillgångar, befintliga åtgärder och ansvariga. Prioritera riskbehandling utifrån verksamhetskonsekvenser. Ange datum, leverans och underlag för varje åtgärd. En färdig policy hjälper bara om den går att följa.
Testa vardagens arbete
Välj ett litet urval skyddsåtgärder och följ genomförandet. Får en ny medarbetare rätt åtkomst? Tas åtkomst bort när ett avtal slutar? Kan en säkerhetskopia återställas? Dokumentera test, resultat och åtgärdsbehov. Bevara underlag från verksamheten i stället för att skapa en separat revisionsversion.
Granska och förbättra
Identifiera brister genom intern granskning och ledningens återkoppling. Håll en åtgärdslista med ansvar och uppföljningsdatum. Om certifiering är ett mål, planera bedömningen med ett oberoende certifieringsorgan. Genomförandestöd ger inte i sig certifiering.
Första workshopens resultat
- Skriftlig omfattning och viktiga beroenden.
- Ansvarig i ledningen samt ansvariga för risker och säkerhetsåtgärder.
- Prioriterat riskregister och behandlingsplan.
- Underlagsregister med granskningsdatum.
- Återkommande ledningsgranskning och förbättring.
