Verksamhetsanalys

Analysera er verksamhet i tre steg

För att ni ska kunna utforma styrningen av organisationens informationssäkerhet på ett så lämpligt och kostnadseffektivt sätt som möjligt så krävs olika typer av analyser.

I denna vägledning får ni hjälp att analysera er verksamhet i tre olika delar, eller steg:

• 1. Interna intressenter - personer inom organisationen

  Interna intressenter är personer (befattningar) eller enheter inom er organisation som påverkar eller påverkas av hur informationssäkerheten styrs. Var och en av dessa intressenter har någon form av behov, förväntningar eller krav som rör informationssäkerheten och dess styrning. Genom analysen identifierar ni vilka intressenterna är och vilka krav de har på hur ni utformar ert informationssäkerhetsarbete.

• 2. Interna förutsättningar - förhållanden som påverkar utformningen

  Interna förutsättningar är de förhållanden, utöver interna intressenter, inom er organisation som ni behöver ha i åtanke när ni utformar informationssäkerheten och dess styrning. Var och en av dessa interna förutsättningar har någon form av påverkan på hur ni bäst bör utforma informationssäkerheten och dess styrning för er organisation. Genom analysen identifierar ni såväl dessa förutsättningar som deras påverkan.

  Exempel på interna förhållanden kan vara var verksamheten bedrivs geografiskt, om verksamheten bedrivs på flera ställen och ägarförhållanden.

• 3. Informationstillgångar ­- den information som ska skyddas

  Informationstillgångar är den information som verksamheten hanterar och som ni därmed ska skydda med hjälp av informationssäkerhet, inklusive de resurser som behandlar informationen (exempelvis it‑system). Med hjälp av analysen identifierar ni vilka tillgångar som finns, så att de kan få rätt sorts skydd – en viktig utgångspunkt för det vidare arbetet.

Analysera övergripande, inte i detalj

I inledningsskedet är det viktigt att inte fastna allt för länge i analyserna. För att komma igång med själva arbetet så kan ni analysera de olika delarna av organisationen relativt snabbt och på en övergripande nivå. Sedan kan ni med fördel återkomma till analysresultaten, uppdatera dem med ny information och vid behov fylla i fler detaljer.

Exempel på tidsåtgång för denna analys:

• Avsätt en arbetsdag för att kartlägga och analysera interna intressenter
• Avsätt en arbetsdag för att kartlägga och analysera interna förutsättningar
• Avsätt en arbetsdag för att kartlägga och analysera informationstillgångar.

Dra nytta av tidigare analyser

Ibland finns det tidigare genomförda analyser av organisationens olika verksamheter. Var noga med att kolla upp detta, för i sådana fall kan ni dra nytta av och utgå från dessa. Ett typiskt exempel på tidigare analyser är listor på system eller informationstillgångar som er organisation gjort i andra sammanhang.

Det finns vägledning och verktyg för varje analysdel

Den här vägledningen är indelad i de tre delarna Interna intressenter, Interna förutsättningar och Informationstillgångar. För varje del finns en beskrivning av hur analysen går till samt exempel på hur den kan se ut.

Till varje del finns ett tillhörande stöd i form av en Excelmall som ni kan använda i arbetet. Excelmallen Verktyg Analys Verksamhet innehåller exempel och viss automatisering. Var och en av de tre delarna har en egen flik i verktyget. Ni kan använda verktyget både vid själva analystillfället och som dokument över analysresultatet.

Analysernas resultat – grunden i informationssäkerhetsarbetet

Denna analys syfte är att vara grunden när ni utformar informationssäkerhetens styrning inom er organisation. Mer konkret innebär det att det sammanlagda resultatet från samtliga analyser (av omvärld, verksamhet, risk, samt gap-analys) ska styra dels hur er organisation väljer att angripa informationssäkerhetsfrågan, dels vilka säkerhetsåtgärder ni behöver för att skydda er information.

Så: utformning av organisation (ansvar och roller) för informationssäkerhet samt policy, riktlinjer, rutiner, processer och åtgärder för informationssäkerhet – allt detta utgår från dessa analyser.

Om ni vill ha en mer sammanfattande bild av analysresultatet kan ni sammanställa samtliga analysers resultat i ett separat dokument. Ett sådant dokument kan ni sedan använda som grund i ett så kallat ”business case” för det systematiska informationssäkerhetsarbetet.

1. Analysera organisationens interna intressenter

Interna intressenter är personer (befattningar) eller enheter inom er egen organisation som antingen påverkar eller påverkas av informationssäkerheten och dess styrning. Var och en av dessa intressenter har någon form av behov, förväntningar eller krav i relation till er informations­­säkerhet.

Analysera de interna intressenterna så här:

1. Använd verktyget: Öppna Excelmallen/verktyget ”Analysera Verksamheten”. Välj sedan fliken som heter ”1. Interna intressenter”.
2. Identifiera alla viktiga interna intressenter: Utgå från tabell 1 nedan, samt från era egna erfarenheter eller andra källor.
3. Diskutera intressenternas roller: Diskutera intressenternas roller, alltså hur de påverkar och påverkas av er informationssäkerhet och dess styrning.
4. Identifiera intressenternas krav: Identifiera vilka behov, förväntningar och krav era intressenter har, exempelvis med hjälp av diskussioner, möten, intervjuer eller enkätundersökningar. Dokumentera det ni kommer fram till i verktyget (Excelmallen).

2. Analysera organisationens interna förutsättningar

Interna förutsättningar är olika förhållanden, utöver interna intressenter, inom er egen organisation som ni behöver ha i åtanke när ni utformar informationssäkerheten och dess styrning. Var och en av dessa förutsättningar har således någon form av påverkan på hur ni bäst bör utforma informationssäkerheten.

Interna förutsättningar kan vara nästan vad som helst inne i er organisation som påverkar eller påverkas av utformningen eller styrningen av det systematiska informations­säkerhetsarbetet. Exempel på sådana förutsättningar finns i tabell 2 nedan.

Analysera de interna förutsättningarna så här:

1. Använd verktyget: Öppna Excelmallen/verktyget ”Analysera Verksamheten”. Välj sedan fliken som heter ”2. Interna förutsättningar”.
2. Identifiera alla interna förutsättningar av vikt: Utgå från tabell 2 (nedan), samt från era egna erfarenheter eller andra källor.
3. Diskutera förutsättningarnas påverkan: Diskutera hur förutsättningarna påverkar och påverkas av er informationssäkerhet och dess styrning.
4. Identifiera förutsättningarnas krav: Identifiera förutsättningarnas påverkan, och vad de betyder för utformningen av informationssäkerhetsstyrningen. Utgå till exempel från dokumentgranskning, diskussioner, möten, intervjuer eller enkätundersökningar. Dokumentera det ni kommer fram till i verktyget (Excelmallen).

3. Analysera organisationens informationstillgångar

Informationstillgångar är organisationens information och de resurser som behandlar informationen, exempelvis genom att ta emot, lagra, bearbeta, visa eller kommunicera den. Exempel på sådana resurser är it‑system.

Informationstillgångar – det som ni ska skydda

Informationstillgångar är de tillgångar som informationssäkerheten ska skydda. Det är därför viktigt att identifiera alla väsentliga tillgångar, så att de kan få rätt typ av skydd.

Välj fokus för analysen

Vad som är en informationstillgång för just er bör ni avgöra själva inför denna analys. En del organisationer identifierar och namnger enskilda informationsmängder, andra utgår ifrån sina respektive it‑system (exempelvis it‑tjänster eller applikationer).

Vad är en kritisk tillgång?

Alla informationstillgångar är inte lika centrala för er. I praktiken kan det därför vara så att ni behöver dra en tydlig gräns för hur central en tillgång ska vara för att komma med i analysen.

Syftet med att inventera sina informationstillgångar

Syftet med att inventera era informationstillgångar är att få en sammanställning över vad ni ska skydda med hjälp av informationssäkerhet. Denna sammanställning kan ni sedan använda för att identifiera vilka säkerhetsåtgärder som ni behöver införa för att skapa rätt sorts skydd. Denna identifiering sker tillsammans med respektive tillgångs ”ägare”, förslagsvis genom informations­klassificering.

Inventera informationstillgångarna så här:

1. Använd verktyget. Öppna Excelmallen/verktyget ”Analysera Verksamheten”. Välj sedan fliken som heter ”3. Informationstillgångar”.
2. Identifiera och inventera viktiga informationstillgångar. Ni kan inventera era informationstillgångar på lite olika sätt. Här är två exempel:
   1. Använd befintliga listor: Om det finns några befintliga listor över era informationstillgångar så kan ni använda dessa. Till exempel från it‑sidan (där det finns listor över it‑system och dylikt).
   2. Gör en egen inventering: Genom exempelvis processkartläggning kan ni göra en egen inventering av vilken information som är kritisk för specifika delar av er verksamhet, eller för olika interna processer.
3. Dokumentera informationstillgångarna. Dokumentera följande:
   1. ID: För att det ska vara lättare att identifiera informationstillgångarna i ett senare skede så behöver ni ge varje informationstillgång en unik identifierare. Se exempel i verktyget (Excelmallen) eller välj ett annat sätt som passar er organisation.
   2. Benämning: Namnge era informationstillgångar, till exempel ”Agresso” eller ”Abonnentuppgifter”.
   3. Beskrivning: Beskriv hur ni använder tillgången (eller tekniken) i fråga. Till exempel ”Lönesystem” eller ”Kundrelationssystem som levereras av (X) som molntjänst”.
   4. Information/data: Beskriv vilken typ av information/data som det handlar om, till exempel ”Känsliga personuppgifter”.
   5. Kritisk: Skriv ”Ja” vid de tillgångar som är helt centrala och kritiska för er organisation. Detta svar innebär att ni kan prioritera dessa när ni sedan ska hantera tillgången. Notera att denna typ av prioritering inte passar alla organisationer. Ni avgör därmed själva ifall ni ska använda denna definition eller inte.
   6. Ägare och kontakt: Ange vilken person eller funktion i er organisation som ansvarar för informationstillgången i fråga, samt ange kontaktinformation till denna. Denna information kan ni sedan använda när ni ska kontakta informationsägarna för att genomföra informationsklassificering