Gapanalys

Utgå från en lista med säkerhetsåtgärder

Den gapanalys som genomförs här tar sin utgångspunkt i standarden SS-EN ISO/IEC 27001 och de säkerhetsåtgärder som återfinns i bilaga A. Med utgångspunkt i dessa behöver ni identifiera de säkerhetsåtgärder som ni ska använda. Tänk på att det kan finnas säkerhetsåtgärder som är relevanta för er men som inte finns med i standarden.

I gap-analysen kan ni antingen utgå ifrån samtliga säkerhetsåtgärder som finns i SS-EN ISO/IEC 27001 bilaga A eller om ni har genomfört de andra analyserna (verksamhetsanalys, omvärldsanalys och övergripande riskanalys) först så utgår ni ifrån dessa och väljer säkerhetsåtgärder som ska ingå i gapanalysen utifrån resultaten som ni har fått vid de analyserna.

Att genomföra de andra analyserna (verksamhetsanalys, omvärldsanalys och övergripande riskanalys) är ett krav om ni vill efterleva ISO‑standarden SS‑EN ISO/IEC 27001.

Gör gap-analysen övergripande för hela verksamheten. Vid behov kan ni givetvis göra den för en utvald del av verksamheten. Normalt tar det mellan två och fem arbetsdagar att genomföra en gapanalys.

Första gången ni gör en gapanalys

Om det är första gången som ni gör gapanalys så kan ni göra den i följande två steg:

1. Fastställ vilka säkerhetsåtgärder som ska ingå i gapanalysen
2. Avgör om dessa åtgärder redan existerar och hur väl de fungerar – gapanalys

Steg 1 är förberedande och behöver bara göras en gång, men steg 2 kan ni behöva se över och komplettera om eller när det framkommer nya resultat i andra analyser.

Om ni gör gapanalysen utifrån alla säkerhetsåtgärder i bilaga A utan att i detta skede avgöra vilka som är relevanta för er organisation så hoppar ni i detta skede över att fastställa och motivera (nästa rubrik). Om ni däremot har genomfört de andra analyserna och är mogna att även välja ut för er organisation relevanta säkerhetsåtgärder så går ni nu vidare med att fastställa och motivera relevanta säkerhetsåtgärder.

Fastställ och motivera relevanta säkerhetsåtgärder i en lista

Genom att fastställa och motivera relevanta säkerhetsåtgärder skapar ni det så kallade SoA (Statement of Applicability eller UoT Uttalande om Tillämplighet). Detta kan göras i samband med gapanalysen eller i efterhand med utgångspunkt i genomförd gapanalys och resultatet från de andra analyserna  (verksamhetsanalys, omvärldsanalys och övergripande riskanalys).

Fastställ och motivera relevanta säkerhetsåtgärder genom att välja ut lämpliga åtgärder från ISO‑standarden SS-EN ISO/IEC 27001. Därefter ska ni motivera varför ni väljer eller varför ni väljer bort en åtgärd.

Efter detta är det dags för att komplettera er lista med sådana säkerhetsåtgärder som andra analyser har visat att ni behöver, till exempel åtgärder som speglar särskilda rättsliga krav.

Avgör om åtgärderna existerar och hur de fungerar – gapanalys

När ni har en färdig lista med säkerhetsåtgärder som ni ska använda i gapanalysen, så börjar ni med själva gapanalysen. För varje säkerhetsåtgärd som ni har beskrivit så behöver ni nu avgöra huruvida åtgärden existerar eller inte, samt om den fungerar tillfredsställande eller inte sett i relation till det behov som ni har identifierat eller upplever.

Om ni bedömer att en åtgärd inte existerar eller inte fungerar tillfredsställande så ska ni även gradera hur allvarlig bristen är. Beskriv även nuläget för varje bristande åtgärd, samt eventuella tänkbara förbättringar som skulle kunna motverka bristen.

Arbeta gärna i workshopformat

För att kunna göra en bra gapanalys behöver ni information om såväl säkerhets­åtgärderna som ni redan använder, som de som ni ska börja använda. Eftersom åtgärderna är av olika karaktär och dessutom riktar sig till olika delar av er organisation så kan ni för detta ändamål behöva hämta in uppgifter från olika håll.

Ni behöver både samla in tidigare dokumenterad information och samtala med relevanta interna intressenter. Därför är det bra att genomföra gapanalysen i form av en workshop, där interna intressenter representerar olika verksamheter.

I en del organisationer fungerar det bättre att identifiera vilka medarbetare som kan lämna relevant information och i stället intervjua dessa.

Resultat: lista över säkerhetsåtgärder och deras aktuella status

Resultatet av gapanalysen är en lista över vilka säkerhetsåtgärder som ni ska tillämpa, samt en beskrivning av åtgärdernas aktuella status. Listan beskriver om dessa åtgärder redan existerar, samt om de fungerar på ett tillfredsställande sätt eller inte.

Gapanalysen visar även hur pass allvarliga säkerhetsåtgärdernas eventuella brister är, hur nuläget ser ut, och vad ni behöver göra för att överbrygga gapet mellan aktuell och önskad situation. Analys­resultatet kan ni sedan använda för att prioritera bland och planera in lämpliga säkerhetsåtgärder för informationssäkerhet.

1. Fastställ relevanta säkerhetsåtgärder – SOA

Utifrån listan med säkerhetsåtgärder enligt ISO‑standarden SS-EN ISO/IEC 27001 bedömer ni vilka säkerhetsåtgärder som är relevanta i er organisation. Er lista med fastställda säkerhetsåtgärder kallas för uttalande om tillämplighet vilket förkortas SOA – efter engelskans statement of applicability

Er lista skapar ni  utifrån kunskapen om de behov er organisation har  av säkerhetsåtgärder. När detta är gjort behöver ni se över och komplettera listan om eller när det framkommer något nytt som motiverar några andra åtgärder, exempelvis utifrån genomförda  analyser (verksamhetsanalys, omvärldsanalys och övergripande riskanalys) eller om nya verksamheter tillkommer.

Så här fastställer du relevanta säkerhetsåtgärder:

1. Använd verktyget. Öppna Excelmallen ”Verktyg analysera gap”. Verktyget är uppbyggt så att ni ska gå in i fliken som heter ”1. Valda säkerhetsåtgärder, SOA”. Har ni genomfört era analyser kan ni nu välja  vilka säkerhetsåtgärder ni ska använda. Har ni inte genomfört era analyser eller saknar motsvarande kunskap om organisationens behov väljer ni alla säkerhetsåtgärder i denna flik och i ett senare skede, när ni  har tillräcklig kunskap kan ni att välja och välja bort åtgärder utifrån organisationens behov, får ni göra om detta. Med fördel kan det då vara bra att öppna verktyget på nytt, det vill säga ett tomt verktyg, och utgå från första gapanalysens resultat eller spara om er fil i en ny version.
2. Gör en förteckning med säkerhetsåtgärder. Samtliga säkerhetsåtgärder från ISO‑standarden SS-EN ISO/IEC 27001 finns redan förifyllda i verktyget. Nedanför dessa kan ni komplettera med sådana säkerhetsåtgärder vars behov framkommit i andra analyser. Fyll i så fall i fälten säkerhetsåtgärd och beskrivning.
3. Om ni har tillräcklig kunskap: Avgör åtgärdernas tillämplighet. Avgör ifall säkerhetsåtgärden i fråga är tillämplig på er organisation, det vill säga om ni ska använda den eller inte. Markera svaret med ja eller nej. Utgå från tidigare analyser (av organisation, omvärld, och risk) eller om ni har motsvarande kunskap om organisationen.
4. Motivera valet. För varje säkerhetsåtgärd, motivera varför den ska användas, eller inte användas, genom att välja alternativ i menyn. De alternativ som finns är organisationsanalys, riskanalys, omvärldsanalys, rättsligt krav eller annat skäl. För er som inte genomfört analyserna finns en kolumn för anteckningar.
5. Listan är färdig! När ni är klara så har ni en lista med tillämpliga säkerhetsåtgärder, vilket krävs enligt ISO‑standarden SS-EN ISO/IEC 27001.

2. Genomför en gapanalys

Så här genomför du en gapanalys:

1. Använd verktyget. Öppna Excelmallen ”Verktyg analysera gap”. Välj sedan fliken som heter ”2. gapanalys”.
2. Skapa en gap-analys. Sortera säkerhetsåtgärderna i flik 1 Valda säkerhetsåtgärder, SOA”så att du får med dem ni valt – kolumn ”ska användas” markerade JA”. Kopiera därefter över de första tre kolumnerna ” Säkerhetsåtgärd, Beskrivning och Ska användas”  
3. Diskutera säkerhetsåtgärden. Läs igenom och tolka säkerhetsåtgärd och beskrivning, så att du är säker på vad åtgärden i fråga avser. Diskutera åtgärden utifrån olika delar av er organisation, eller från olika perspektiv.
4. Bedöm åtgärdens status. Utgå från diskussionen i punkt 3 (ovan) och inhämtad information (från eventuell workshop och/eller andra interna källor) för att kunna avgöra ifall åtgärden i fråga existerar och fungerar tillfredsställande eller inte. Markera svaren i rullmenyn ”Existerar” med ja eller nej.
5. Utvärdera eventuell brist. Oavsett om du svarat nej eller ja ange hur pass allvarlig bristen är genom att välja ett alternativ i rullmenyn som heter Brist. Alternativen som finns är försumbar, måttlig, betydande eller allvarlig. Oavsett om säkerhetsåtgärden saknas eller finns kan det få olika konsekvens. En existerande men dåligt fungerande säkerhetsåtgärd är också en brist.
6. Dokumentera nuläget: Beskriv kortfattat hur nuläget ser ut för varje säkerhetsåtgärd, och kort om vad som som ligger till grund för den bedömningen.
7. Dokumentera förbättringar: Beskriv kortfattat vilka tänkbara förbättringar eller insatser som kan motverka eller lindra eventuell brist, eller som på något annat sätt kan göra säkerhetsåtgärden mer ändamålsenlig.
8. Ange eventuell referens: Ange vid behov en referens, till exempel en länk till relevant webbplats, dokument eller namn på dokument. En referens kan beskriva informationskällan, det vill säga källan till den information som står i bedömningen.
9. Status och progress: Rullmenyerna status och progress ger stöd för att följa upp hur arbetet med att åtgärda bristerna i säkerhetsåtgärderna går.
10. Rapportera samtliga säkerhetsåtgärder: Du kan använda filterfunktionen i kolumnerna för att välja ut de värden du behöver för att till exempel rapportera hur arbetet går. Du kan filtrera brist eller bedömning.