Cybersäkerhet och riskhantering

I ett samtal med säkerhetsexperten Joakim Karlén diskuterar vi riskhantering och riskanalys inom ramen för arbetet med cybersäkerhet i mindre organisationer.

Nedan följer en redigerad och något nerkortad version av samtalet.

Vi på Lantero hjälper våra kunder att strukturera arbetet med lagar, regelverk och komplexa teman.
Idag ska vi tala om cybersäkerhet och specifikt om riskhantering eller -bedömningar. Med oss har vi Joakim Karlén, som har mångårig erfarenhet inom området.

Fråga: Joakim, vad är det som gör riskbedömningar, riskhantering och riskanalys till en så viktig del av arbetet med cybersäkerhet?
Joakim: Det handlar om att riskbedömningar gör oss proaktiva. När man genomför en riskbedömning tittar man framåt och identifierar vad som kan hända, istället för att bara reagera på det som redan har inträffat. På så sätt blir riskbedömningen ett avgörande verktyg för att ligga steget före.

Fråga: Vad består en riskbedömning av när det gäller informationstillgångar?
Joakim: Det är en process. Först behöver man ha identifierat sina informationstillgångar. Därefter samlas man i en grupp och går igenom varje tillgång för att identifiera både sannolika och mindre sannolika risker. Sedan värderar man riskerna.

Fråga: Finns det ett etablerat sätt att mäta riskerna, eller skiljer det sig åt mellan olika verksamheter?
Joakim: Det finns skillnader, men i grunden gör de flesta på samma sätt. Man bedömer sannolikheten för att en risk ska inträffa, och man bedömer konsekvensen om den inträffar. Multiplicerar man dessa värden får man ett samlat riskvärde för varje tillgång.

Fråga: Och praktiskt, hur används detta i arbetet?
Joakim: Ofta sker det i form av ett möte. Man har sin inventarielista över tillgångar och går igenom dem tillsammans med personer som har kunskap inom området. För varje tillgång listar man riskerna, bedömer sannolikheten och konsekvensen. På så sätt får man en strukturerad riskbild.

Fråga: Vilka vanliga misstag ser du i det här arbetet?
Joakim: Det vanligaste är att man inte har rätt personer i rummet, eller att man inte vågar ta hjälp när man saknar den kompetens som krävs.

Vi på Lantero arbetar med att strukturera den här typen av processer och har verktyg som hjälper organisationer att skapa en tydlig överblick över cybersäkerhetsarbetet. Har ni frågor om det här området eller vill titta närmare på våra mallar och exempel, är ni varmt välkomna att höra av er till oss.

Stort tack för att ni har tittat!