MSB: Fem råd för att klara den digitala säkerheten

Offentliga verksamheter driver, upprätthåller och tillhandahåller tjänster med stor betydelse för individer, företag och andra offentliga verksamheter. Det finns ett starkt tryck på att effektivisera, tillgängliggöra och digitalisera sådana tjänster från användarna.

Detta återspeglas i höga ambitioner från regeringen om att internationellt sett ligga i digitaliseringens framkant. Sådana ambitioner är lovvärda. Potentialen att förbättra samhällsservicen och att använda skattebetalarnas pengar mer effektivt är hög. Det är också nödvändigt för att klara den internationella konkurrensen.

Digitaliserade tjänster måste leva upp till höga krav på tillgänglighet, riktighet och konfidentialitet. Sveriges säkerhet, samhällets funktionalitet och individens integritet måste värnas. Människors ekonomiska och sociala trygghet får inte äventyras i strävan efter att snabbt digitalisera tjänster med komplexa beroenden och kravbilder. Den senaste tidens avslöjanden, exempelvis de läckta samtalen till 1177 Vårdguiden, visar tyvärr att den offentliga sektorn i flera fall har misslyckats med just detta.

Det är ledningen som har det yttersta ansvaret, och det betonas ofta att de måste bli bättre på att ta det ansvaret. MSB vill här ge några råd för hur ledningar kan göra just det:

• Utse en person eller funktion med hög kompetens i informationssäkerhet. En ”Chief Information Security Officer” (CISO) bör ha en strategisk roll och mandat att rapportera direkt till ledningen. CISO tar fram de underlag som ledningen behöver för att leda och styra mot en säker verksamhet.
• Erbjud alla medarbetare utbildning i informationssäkerhet. Alla ska ha den kunskap i informationssäkerhet som deras arbetsuppgifter kräver, inklusive ledningen. Den som har verksamhetsansvar har ofta även ansvar för informationssäkerheten och behöver därför motsvarande kompetens.
• Främja en god informationssäkerhetskultur. Stöd framväxten av en kultur där det är lika naturligt att diskutera informationssäkerhet som det är att diskutera arbetsmiljö och hur man ständigt kan förbättra verksamheten. Uppmuntra att medarbetarna rapporterar avvikelser även om det innebär förseningar eller högre kostnader på kort sikt. Det lönar sig på lång sikt.
• Integrera informationssäkerhet i verksamheten. Utveckla er ledningsstruktur så att informationssäkerheten blir en del av verksamhetsplaneringen. En genomtänkt ledningsstruktur bidrar till det strukturerade och riskbaserade tillvägagångssätt som informationssäkerhetsarbetet kräver.
• Följ upp informationssäkerheten. Se till att kontrollera att policy, övriga styrdokument och säkerhetsåtgärder faktiskt efterlevs både inom organisationen och av externa leverantörer.

En förutsättning för att klara informationssäkerheten är att arbeta systematiskt. MSB tillhandahåller stöd i detta arbete men ytterst är det ledningen som måste leda och ansvara för genomförandet av arbetet.

Det här är en opinionstext publicerad i Dagens Samhälle. Åsikterna som uttrycks i artikeln står skribenten/skribenterna för.