Strategisk IT-sikkerhetsarbeid i fire trinn

Er du som IT-leder forberedt på at alt kan skje? De seneste årene har verden vært preget av nedstengninger av virksomheter, bedrifter og fabrikker, samtidig som sikkerhetstruslene har økt eksplosivt. I dag bør man være forberedt på at alt kan skje. Mange med et IT-ansvar synes det er utfordrende å sortere og prioritere blant de enorme mengdene av ulike sikkerhetstjenester, løsninger og sikkerhetstrusler som må håndteres. Men det nytter ikke å stikke hodet i sanden. Et drømmescenario for mange er å ha en langsiktig og strategisk plan for sikkerheten i infrastruktur, skyen og for brukerne.

Hvordan kommer man så i gang med et mer strategisk og aktivt IT-sikkerhetsarbeid? Vi vil fremheve fire viktige deler:

«Finn den frukten som henger lavest»

For at det skal være mulig å sortere blant alle tjenester som finnes innen sikkerhet, ha kontroll over at hele miljøet er beskyttet eller om man har glemt en viktig del, må man først definere sin nåværende situasjon. Det kan man gjøre med en grundig inventering av virksomhetens informasjonsressurser. Da får man en oversikt over hvilke risikoer som finnes og hvordan dere som virksomhet vil bli påvirket av dem.

Mattias Jadesköld arbeider som IT-sikkerhetskonsulent i Nordlo. Han mener at man ofte kan treffe tiltak som ikke innebærer dyre investeringer, men som likevel gir stor effekt. Man kan f.eks. begynne med å spørre seg selv om hvilken forretningskritisk informasjon som finnes lagret og hvordan virksomheten og brukerne skal arbeide med den?

«Finn den frukten som henger lavest, se over IT-plattformen og sørg for at du vet hvor den sensitive informasjonen finnes», sier Mattias.

Andre former for undersøkelser er å gjennomføre sikkerhetsanalyser ved hjelp av programvare eller en partner som også kan gi dere et helhetsbilde av deres IT-miljø og de tilhørende prosessene.

Lag en handlingsplan

Når kartleggingen er fullført, lager dere en handlingsplan for å komme videre med arbeidet. Start arbeidet med handlingsplanen ved å kombinere de ”lavt hengende fruktene” med de risikoene som ble oppdaget i kartleggingen. Glem ikke å følge opp og se over sikkerheten regelmessig.

De ulike delene i et sikkerhetsarbeid kan omfatte alt fra å identifisere deres nåværende situasjon til å forebygge trusler med rett beskyttelse på server-, klient- og nettverksnivå. Dessuten må man kunne begrense skaden når et innbrudd har funnet sted og gjenopprette miljøet.

Få med både ledelsen og medarbeiderne

Mange IT-ansvarlige opplever at IT-sikkerhet ikke alltid tas på alvor i resten av organisasjonen. Det er imidlertid svært viktig å få med seg hele virksomheten. Med en tydelig kartlegging av hvor den mest kritiske informasjonen finnes og hvilke mangler man har, er det mulig å overbevise både ledelsen og medarbeiderne om at alle kan bidra til å beskytte bedriftens informasjon.

Mattias tipser om hvordan man kan få medarbeiderne til å følge bedriftens IT-policy:

«Gjør brukerne sikkerhetsbevisste. Gjør IT-sikkerhetspolicyen morsom, lettlest og lettfattelig. Den må ikke være for komplisert. Benytt brukervennlige utdanningsfilmer eller spillifisering. Hvorfor ikke lage en slags quiz? Da øker sannsynligheten for at brukerne tar til seg informasjonen og følger den».

Selv eller sammen?

For en IT-leder eller mindre IT-avdeling er det en stor og komplisert oppgave å gjennomføre det omfattende sikkerhetsarbeidet som kreves. Det kan være fordelaktig å samarbeide med en partner som kjenner deres miljø og deres utfordringer i hverdagen. Da kan dere få et bedre helhetsperspektiv over IT-sikkerheten.

Erik Zalitis, ekspert på IT-sikkerhet og strategisk IT-sikkerhetsarbeid i Nordlo, mener at kundene kan ha stor nytte av et slikt tett samarbeid. Da kan de nemlig sortere ut de delene der bedriftens mangler er mest alvorlige. På den måten blir det lettere for IT-lederen å sortere i den enorme floraen av sikkerhetsproblemer, løsninger og produkter.

Vil du vite mer om hvordan du kan øke strategisk IT-sikkerhetsarbeid i din forretning?

I vår rapport snakker vi mer om hva man må prioritere i sikkerhetsarbeidet for å være forberedt på morgendagens utfordringer.

Les mer i denne rapport: Kom nærmere fremtidens cybersikkerhet