Hur kan en CIO påverka organisationens säkerhetsläge?

Vad krävs det för att göra ett bra jobb gällande skyddet av ditt företags information och informationssystem? Gäller det att bara välja rätt hårdvara? Eller gäller det att bara välja rätt mjukvara? Eller kanske en kombination? Eller det kanske räcker med att du anlitar en konsultfirma som du sedan betalar tusentals kronor till för att ta hand om informationsskyddet? Det tråkiga är att inget av dessa alternativ är tillräckligt för att skydda din information och dina informationssystem på ett effektivt sätt.

Vad är det som krävs för god säkerhet?
Vad krävs det för att göra ett bra jobb gällande skyddet av ditt företags information och informationssystem? Gäller det att bara välja rätt hårdvara? Eller gäller det att bara välja rätt mjukvara? Eller kanske en kombination? Eller det kanske räcker med att du anlitar en konsultfirma som du sedan betalar tusentals kronor till för att ta hand om informationsskyddet? Det tråkiga är att inget av dessa alternativ är tillräckligt för att skydda din information och dina informationssystem på ett effektivt sätt.

Riskanalys
Att skydda en organisations information och informationssystem innebär ett omfattande arbete. Det första steget för att lyckas med detta uppdrag är att genomföra en riskanalys som fångar upp och beskriver alla de interna och externa risker som din organisation står inför. Därefter måste du göra en prioriteringsordning gällande de risker du fann. Det innebär att du skall bena ut vilka av de analyserade riskerna som är troliga att din organisation kommer att råka ut för.

När du har färdigställt prioritetsordningen gällande de risker du har funnit som på ett eller annat sätt kan hota din organisation måste företagets CIO (eller IT chef, ansvarig) se till att relevanta policys och rutiner utarbetas för att skydda organisationens system.

Varför organisationen behöver policys och rutiner
Tyvärr är detta ett steg som ofta förbises. Jag har nämnt detta tidigare och jag skall göra det igen. Det spelar ingen roll hur mycket din organisation satsar på tekniska hjälpmedel för att åtgärda de risker ni finner. Utan väl anpassade policys och rutiner kommer du aldrig kunna säkra dina system. Vi skall inte heller glömma bort upplysning och internutbildning. Det är Kalle och Lisa bakom tangentborden som måste få den styrning och den kunskap som krävs för att din organisation skall kunna uppnå god IT och informationssäkerhet.

Personalen, den viktiga nyckeln
Vad många CIO´s, IT chefer och IT ansvariga glömmer bort är att nyckeln till en lyckad säkerhetssatsning inom ett företag går genom dess personal. Om man som CIO kan få personalen engagerad, upplyst, aktiv, informerad, utbildad och införstådd i den problematik som företaget står inför gällande skyddet av dess information och informationssystem är mycket vunnet. Om däremot alla bakom system konstant utmanar dessa genom bristfällig kunskap och avsaknad av styrning blir verkligheten tuffare.

Organisationen måste arbeta fram tydliga policys och rutiner som kommunicerar det som organisationen vill att dessa skall kommunicera. Dessa policys och rutiner skall sedan implementeras i organisationen med hjälp av information, utbildning och formellt delgivande där den anställde måste intyga att han eller hon har förstått policyn och accepterar att följa denna (detta sker i kombination med signering) samt efterlevnadskontroll.

Vikten av en väl implementerad policy
Kevin Mitnick, som är en ökänd och omkonverterad hacker, använde sig av Social Engineering i sina mest framgångsrika systemintrång. Det hela gick ut på att Kevin Mitnick helt enkelt ringde upp individer inom en organisation (ofta en större sådan). När han sedan pratade med individen i fråga (under falsk identitet) bad han denne lämna ut känslig information.

Även om företaget i fråga hade en aktuell IT policy fick i regel Kevin Mitnick personen han pratade med att bryta mot IT policyn. Dessa individer var inte på något sätt arga på sin arbetsgivare, de var helt enkelt för hjälpsamma i kombination med för dålig implementering av IT policyn. Det är bara en sak som kan hända om organisationen inte har en IT policy som är känd av alla.

Att skapa en policy är en utmaning
Att genomföra en riskanalys och därefter göra en prioritetsordning gällande resultatet av denna analys är relativt enkelt för en IT ansvarig. Men att skapa policys och rutiner som skall efterlevas av människor är en annan sak. Att skapa policys som kommunicerar rätt saker och därefter få arbetskamraterna att acceptera och följa dessa kan vara en riktig utmaning.

Vad kan en CIO göra för att öka säkerheten inom organisationen?
En CIO kan säkerställa att organisationens policys och rutiner efterlevs genom att publikt ge dessa sitt stöd samt naturligtvis själv efterleva dem. Alla inom organisationen kommer att veta om du som CIO tar policys och rutiner på allvar. Genom att göra just detta visar du vägen för övriga anställda inom det företag du är verksam i.

Delar av materialet kommer från: TASC.com

Användarvillkor

Annonsera

Förbättra

Bidra med information

Pssst, kolla detta!