Förhållandet till säkerhet inom en organisation kan se väldigt olika ut. Det som många gånger om måste belysas är hur viktigt samspelet mellan människor och säkerhetsincidenter faktiskt är när det kommer till att bygga en stark säkerhetskultur. En trygg organisation med bra informationssäkerhet kräver gemensamt ansvar, både genom engagemang och prioriteringar från ledningen och ansvarstagande från personalen. Det är viktigt att ha tydliga värderingar, bra kompetens och rätt förutsättningar för att uppnå ett beteendemönster som främjar säkerhetskulturen i hela organisationen.

Tänk om säkerhetsincidenter kan ses som en tillgång och möjlighet till utveckling i stället för att skapa skam och skuld hos den medarbetaren som orsakade händelsen?

Traditionellt sett har säkerhetsincidenter som inträffar haft ett personfokus. Säkerhetsproblem har oftast benämnts som ett mänskligt fel, där den mänskliga faktorn har varit orsak till en händelse eller säkerhetsincident i organisationen. Men om människor ses som ansvariga för vad som går fel, vem är då ansvarig för att säkerheten i organisationen går rätt till?

Organisationens säkerhet är allas ansvar

Att ändra organisationens säkerhetskultur är inte den enklaste uppgiften att ta sig an, utan att veta vilka åtgärder som krävs. Organisationens säkerhet är ett område som hela organisationen ska vara delaktiga i. Säkerhetskultur handlar om att ge personalen förutsättningar och möjligheten att kunna ta ansvar för att säkerhetsarbetet går rätt till. Rätt åtgärder kan resultera i en bättre säkerhetskultur, där personalen blir en enorm tillgång och styrka i organisationens säkerhetsarbete, snarare än en svaghet.

  • Tydliga värderingar i organisationen
    Var tydlig med de värderingar ni som organisation har, både gentemot personer i ledningen och personal i linjeorganisationen, för att påverka vilken kultur och vilka beteendemönster som växer fram i organisationen.

  • Rätt förutsättningar för att kunna ta ansvar
    Hjälp medarbetarna genom att utbilda och höja kompetensen inom säkerhetsområden hos personalen. Detta kan göras genom utbildningar eller att praktiskt testa medvetenheten genom exempelvis fejkade phishingattacker. Det är viktigt att ledningen bidrar med rätt verktyg för att personalen ska göra ett bra jobb. Om man väljer att testa personalen är det också viktigt att fundera på hur man ska hantera den personal som ¨råkar gå i fällan¨. Se nästa punkt.

  • Rapportera in alla säkerhetsincidenter
    Meddela personalen att samtliga säkerhetsincidenter som upptäcks eller orsakas ska rapporteras in. Var också tydlig med att ingen skam kommer att falla på den person som omedvetet orsakar en säkerhetsincident. Det beteendet kan snarare premieras av organisationen.

  • Skapa förutsättningar gällande önskat beteendemönster
    Reflektera över vilket beteendemönster som organisationen vill ha inom säkerhetsområden och arbeta med de förutsättningar personalen behöver för att uppnå det beteendet.

  • Skapa ett säkerhetsforum för frågor och funderingar
    Utveckla ett forum där personalen kan diskutera säkerhetsrelaterade frågor, värderingar och beteenden. Arbeta aktivt med att se till att personalen får de svar de behöver på sina frågor och funderingar för att stärka säkerhetskulturen.

  • Granska arbetssättet kring säkerhetsincidenter på alla avdelningar
    Undersök hur organisationens olika avdelningar arbetar med informationssäkerhet. Granska hur avdelningar där det inte har inträffat eller mycket sällan inträffar incidenter och applicera det arbetssättet på avdelningar där incidenter är betydligt vanligare. Riskanalyser för respektive avdelning kan också hjälpa till att visa på skillnader i organisationen – där man kan lära av goda exempel.

  • Visa att organisationen jobbar aktivt med informationssäkerhet
    Informationssäkerhet fördelas ofta inom tre hörnpelare; teknisk, organisatorisk och mänsklig säkerhet. Att jobba med samtliga tre områden är att ta ett helhetsgrepp kring informationssäkerheten och behöver inte nödvändigtvis vara så svårt eller omfattande. Detta gör det också tydligt för övriga organisationen att ett ansvarstagande finns och att man arbetar med alla delar.

Med rätt strategi är säkerhet enkelt

Att ha ett aktivt säkerhetstänk kan vara avgörande för hela organisationen. Oavsett om du är egenföretagare eller ingår i en större organisation ska det finnas en tydlig kultur kring säkerhet som gör det enkelt att förebygga och agera vid säkerhetsincidenter.

Safestate förenklar arbetet med informationssäkerhet

Safestate är en svensk säkerhetsplattform som har samlat vanliga verktyg inom informationssäkerhetens alla tre hörnpelare. Plattformen hjälper din organisations säkerhetskultur genom att arbeta enkelt och effektivt med säkerhet på ett begripligt sätt. Verktyget förenklar det dagliga arbetet och låter dig prioritera dina resurser så att organisationen blir mer kostnadseffektiv. Utöver sin höga användarvänlighet, som gör det möjlighet för de flesta i organisationen att administrera, är Safestates en webblösning. Det innebär att verktyget finns tillgängligt vart som helst, när som helst i din webbläsare.

Här kan ni läsa mer om hur ni skapar ett konto för att använda Safestate helt kostnadsfritt i er organisation.