Hvem er ansvarlig for sikkerheden i din organisation?

Spørgsmålet “Hvem er ansvarlig for sikkerheden hos Jer?” har jeg stillet til rigtig mange danske og internationale organisationer. Og jeg har fået næsten lige så mange forskellige svar tilbage.

For mig er der dog kun ét rigtigt svar: Det er alle i organisationen.

Informationssikkerhed kan ikke løses af én person eller én afdeling alene. Det er et fælles ansvar, som strækker sig fra bestyrelseslokalet til den enkelte medarbejder.

Succesfulde organisationer formår at skabe en stærk sikkerhedsbevidsthed og en kultur, hvor hele organisationen arbejder sammen om at beskytte sig mod de aktuelle trusler, der truer organisationen.

Dette indlæg handler om, hvem der har ansvar på de forskellige niveauer i organisationen, og hvad deres ansvar helt konkret er i forhold til cyber- og informationssikkerhed.

Den typiske ansvarsfordeling

Nedenstående figur illustrerer hvordan det overordnede ansvar for informationssikkerhed kan se ud i en organisation:

Topledelsen

Topledelsen har det overordnede ansvar for informationssikkerheden i organisationen, herunder for at fastlægge sikkerhedsniveauet og sikre, at det efterleves.

I ISO 27001 defineres topledelsen som den person eller gruppe af personer, der leder og kontrollerer en organisation på øverste niveau.

Hvem dette dækker, afhænger af organisationens styreform:

• I virksomheder med en bestyrelse vil denne typisk anses som topledelsen. Du kan læse mere om bestyrelsens ansvar for cybersikkerhed i dette indlæg.
• I virksomheder uden en bestyrelse er direktionen at betragte som topledelsen.
• I kommuner og regioner er det den administrative direktion sammen med den politiske ledelse.
• I statslige myndigheder er det departementschef eller styrelseschef sammen med ministeren som øverste politisk ansvarlige.

Topledelsen skal blandt andet:

• godkende og bakke op om organisationens informationssikkerhedspolitik
• afsætte de nødvendige ressourcer – både økonomiske og menneskelige
• etablere et ledelsessystem for informationssikkerhed (ISMS)
• holde sig ajour med det aktuelle risikobillede

Topledelsen træffer de overordnede beslutninger vedrørende informationssikkerhed og forholder sig til økonomiske, forretningsstrategiske, ressourcemæssige og organisatoriske konsekvenser. Det er altså ikke en opgave, der kan uddelegeres og glemmes. Den kræver løbende ledelsesopmærksomhed.

Forretningsansvarlige

Topledelsens beslutninger forbliver papirstrategier, hvis de ikke omsættes til konkret handling i dagligdagen. Ansvaret for implementeringen varetages typisk af chefgruppen, afdelingsledere, teamledere og funktionsledere på tværs af organisationens forskellige forretningsområder. Eller af udpegede forretnings-, produkt- eller procesansvarlige i organisationer uden et klassisk mellemledelseslag.

De forretningsansvarlige sikrer forankring af informationssikkerhed i forretningsprocesser og aktiviteter, herunder at:

• sikkerhedspolitikker efterleves i den enkelte afdeling
• relevante it-risici, der truer forretningens målopfyldelse, identificeres og håndteres
• medarbejderne kender og forstår deres ansvar
• sikkerhedshændelser rapporteres korrekt og rettidigt
• der er en reel sammenhæng mellem organisationens sikkerhedsmål og den daglige drift

De forretningsansvarlige er vigtige for informationssikkerheden. Uden dem opstår der et farligt hul mellem ledelsens forventninger og det faktiske sikkerhedsniveau. Det er typisk også de forretningsansvarlige, der kan påtage sig ejerskabet af en given risiko, da de bliver påvirket direkte af de forretningsmæssige konsekvenser ved en given hændelse samt har råderet over ressourcerne, beslutningsretten og evnen til at prioritere risiko op mod forretningsmål.

Informationssikkerhedsudvalg

Større organisationer kan med fordel oprette et tværgående informationssikkerhedsudvalg, også kaldet et IS-udvalg, som fungerer som centralt forum for sikkerhedsbeslutninger.

Topledelsen behandler og afklarer fortsat de overordnede spørgsmål om informationssikkerheden, mens forretningens afdelinger og områder håndterer de mere specifikke og operationelle opgaver.

IS-udvalgets ansvar inkluderer typisk:

• godkendelse af sikkerhedsplaner og budgetter
• prioritering af risikobehandling
• koordinering på tværs af forretningsområder

Den sikkerhedsansvarlige

Den sikkerhedsansvarlige er den person, der i praksis driver sikkerhedsarbejdet fremad. Titel og ansvarsområder vil variere afhængigt af organisationens størrelse, modenhed og kompleksitet, ligesom ansvaret kan være delt mellem flere personer.

Samlet set vil følgende ansvarsområder ofte varetages af den sikkerhedsansvarlige:

• lede risikovurderinger og komme med konkrete anbefalinger til ledelsen
• udarbejde og vedligeholde politikker, procedurer og retningslinjer
• koordinere på tværs af afdelinger og med eksterne parter
• uddanne og vejlede øvrige roller i organisationen

Den sikkerhedsansvarlige fungerer typisk også som organisationens primære kontaktpunkt i forhold til eksterne myndigheder og tilsyn.

Sikkerhedsfunktionen

Hvor den sikkerhedsansvarlige koordinerer og driver sikkerhedsarbejdet på et overordnet plan, er der ofte også en sikkerhedsfunktion. Denne funktion varetager de daglige operationelle sikkerhedsopgaver og er typisk ansvarlig for at:

• overvåge systemer og netværk for mistænkelig aktivitet
• detektere og håndtere sikkerhedshændelser i realtid
• implementere og vedligeholde tekniske sikkerhedskontroller
• følge op på, at politikker og sikkerhedskrav efterleves i praksis
• gennemføre eller bidrage til risikovurderinger
• eskalere kritiske hændelser til den sikkerhedsansvarlige og eventuelt udvalg eller topledelse

I mindre organisationer er denne funktion ofte slået sammen med it-afdelingen eller varetaget af eksterne leverandører. Opgaverne kan i mindre organisationer også delvist varetages af den sikkerhedsansvarlige.

System- og dataejere

Langt de fleste organisationer har en lang række it-systemer og datakilder. For hver af dem bør der være en navngiven ejer.

Systemejere og dataejere er dem, der:

• dokumenterer systemets forretningskritikalitet og risikoprofil
• deltager i risikovurderinger for netop deres systemer og data
• sikrer, at adgangsrettigheder tildeles korrekt og løbende revideres
• håndterer konsekvenserne, hvis et system kompromitteres

Rollen kræver forretningsforståelse kombineret med en grundlæggende bevidsthed om sikkerhedsrisici.

Databeskyttelsesrådgiver (DPO)

For organisationer, der behandler personoplysninger, er databeskyttelsesrådgiveren, også kaldet en DPO, en central figur. DPO’en er uafhængig i sin funktion og skal:

• overvåge organisationens efterlevelse af databeskyttelsesreglerne, herunder GDPR
• rådgive om konsekvenser ved nye projekter og systemer
• fungere som kontaktpunkt over for Datatilsynet
• bidrage til håndtering af brud på persondatasikkerheden

DPO-rollen er tæt knyttet til, men ikke identisk med, den sikkerhedsansvarlige. I praksis vil de to ofte arbejde tæt sammen om at beskytte data og systemer.

Medarbejderen

Og så til den måske vigtigste rolle af alle: medarbejderen.

Medarbejderne har en central rolle i forhold til informationssikkerheden. Det er dem, der dagligt håndterer data, klikker på links, modtager e-mails og bruger organisationens systemer. Statistisk set er den menneskelige faktor årsag til langt størstedelen af sikkerhedsbrud.

Medarbejderens ansvar er at:

• forstå og efterleve politikker og retningslinjer samt agere proaktivt for at beskytte organisationen
• deltage aktivt i sikkerhedstræning og awareness-aktiviteter
• bruge systemer og data ansvarligt og i overensstemmelse med organisationens regler
• genkende og rapportere mistænkelige hændelser

Ingen teknisk kontrol kan fuldt ud kompensere for en medarbejder, der ikke ved, hvad vedkommende skal kigge efter. Eller som ikke overholder de sikkerhedsregler, der gælder for brugen af it-systemer og behandling af data.

Sådan formaliseres roller og ansvar

At vide, hvem der er ansvarlig, er kun halvdelen af opgaven. Ansvaret skal også formaliseres og forankres, så det bliver tydeligt for alle parter. Det skal samtidig kunne efterprøves af revision og tilsyn. Derfor sker det typisk på flere niveauer, der supplerer hinanden og tilsammen skaber sammenhæng.

Politikker

På det øverste niveau fastlægger informationssikkerhedspolitikken de overordnede principper for ansvarsfordelingen. Politikken godkendes af topledelsen, og den beskriver de roller, der findes i organisationen, samt det overordnede ansvar, der er knyttet til hver rolle. Politikken holdes med vilje på et strategisk niveau, og den ændrer sig derfor sjældent.

Governance dokument

Under politikken finder man ofte en governance eller organiseringsstandard, som konkretiserer strukturen yderligere. Her beskrives eksempelvis, hvordan IS udvalget er sammensat. Her beskrives også, hvordan eskalationsveje fungerer. Samtidig beskriver standarden samspillet mellem topledelse, forretning og sikkerhedsfunktion, så samarbejdet ikke bliver overladt til tilfældigheder.

Endelig bør ansvarsfordelingen understøttes af en governance struktur med faste mødefora, klare rapporteringslinjer og et årshjul for tilbagevendende aktiviteter. Det kan være risikovurderinger, ledelsens evaluering og awareness træning. Uden denne understøttelse er der risiko for, at selv en velbeskrevet ansvarsfordeling bliver til teori, der ikke omsættes til praksis i hverdagen.

RACI matrix

Et velkendt værktøj til at operationalisere ansvarsfordelingen er RACI modellen. Modellen bruger kategorierne Responsible, Accountable, Consulted og Informed. Nogle vælger også at tilføje Supporting som et femte element i modellen, der så omtales som RASCI i stedet for RACI:

En RACI / RASCI matrix gør det muligt at kortlægge, hvem der er ansvarlig for at udføre en given opgave, hvem der har det overordnede ansvar og skal stå til regnskab, samt hvem der skal konsulteres og evt. hvem, der yder support undervejs. Den viser også, hvem der blot skal orienteres. modellen er især nyttig i tværgående processer, som for eksempel hændelseshåndtering, risikovurdering eller ændringsstyring. I sådanne forløb er flere roller involveret, og uden en klar model kan det ellers hurtigt blive uklart, hvem der reelt træffer beslutninger og hvem, der er udførende. Det anbefales at holde antallet af Accountable til præcis én pr. opgave. Ellers kan ansvaret i praksis blive udvandet, og så ender ingen med at have det overordnede ansvar.

Rollebeskrivelser

På det mest konkrete niveau udarbejdes rollebeskrivelser for de centrale sikkerhedsfunktioner. Det kan være den sikkerhedsansvarlige, systemejere og DPO’en. En god rollebeskrivelse indeholder typisk formålet med rollen, konkrete opgaver og leverancer, samt beslutningskompetence. Den tydeliggør også, hvem rollen refererer til, og den beskriver, hvilke kompetencer og ressourcer rollen forudsætter for at kunne løfte ansvaret. Rollebeskrivelser kan med fordel refererer til politikker, standarder og specifikke foranstaltninger, som den pågældende rolle skal varetage for at skabe sammenhæng mellem de øvrige niveauer.

Når rollebeskrivelser er på plads, bliver det lettere at rekruttere, onboarde og evaluere målrettet. Samtidig udgør de et vigtigt bevis over for revision og tilsyn, fordi ansvaret ikke kun fremstår som intentioner på papir, men som faktisk tildelt til en navngiven person.

Tilsammen skaber de fire niveauer, politik, governance struktur, RACI og rollebeskrivelser, en sammenhængende kæde fra det strategiske til det operationelle. Det sikrer, at ansvaret for informationssikkerhed er forankret, kendt og efterprøveligt i hele organisationen.

Opsummering

Ansvarsfordelingen for informationssikkerhed er opsummeret i denne tabel:

Ansvarsfordelingen i tabellen ovenfor er kun så stærk som den formalisering, der ligger bag. Ansvaret skal dokumenteres, kommunikeres og forankres, så det bliver tydeligt for alle parter hvem, der gør hvad. Det bør ske gennem en kombination af politik, governance struktur, RACI og rollebeskrivelser. Det er denne kæde fra det strategiske til det operationelle, der i sidste ende afgør, om ansvarsfordelingen bliver en levende del af organisationens hverdag og ikke blot et dokument i skuffen.

Informationssikkerhed lykkes kun, når alle lag i organisationen spiller deres rolle. Topledelsen sætter retningen og rammerne. Den sikkerhedsansvarlige driver arbejdet i tæt samarbejde med sikkerhedsfunktionen og eventuelt et IS-udvalg. De forretningsansvarlige sørger for forankring. System- og dataejere tager ansvar for sikkerheden i og omkring deres systemer og data. Og medarbejderne udøver sikker adfærd i hverdagen.

Konklusionen er klar: Jo tydeligere ansvar er defineret og kommunikeret, jo større er chancen for, at det udøves i praksis. Og desto stærkere er organisationens samlede forsvar.

Har din organisation helt styr på, hvem der har ansvaret og hvordan det fungerer i dagligdagen?