2024-03-02

Sedan start har vi på verksamhetsfokus.se uppmuntrat våra kunder att vara rimliga i sin klassning av verksamhetens information, dels för att klassningen ska kunna vara ett verktyg och inte minst för att säkerställa att resurserna läggs på att skydda det som faktiskt är skyddsvärt.
Kort sagt och gravt förenklat drar en högre klassning som regel med sig högre kostnader i merarbete och/eller pengar, oavsett om det är hemlighetsmakeri, riktighet eller tillgänglighet som klassas upp till orimliga nivåer.
Att godtyckligt klassa informationen som superhemlig, superkritisk och superviktig gör inte med nödvändighet verksamheten mer relevant. Särskilt inte om det enbart finns godtycke bakom klassningen och klassningen inte återspeglas i hur informationen hanteras, då bär sammanhanget relativt snart lyteskomikens prägel.

Fia Ewald omnämnde i höstas en motsvarande problematik vad gäller säkerhetsskydd i relation till den sedan några år uppdaterade säkerhetsskyddslagen. Jag kan inte annat säga än att jag delar hennes analys, det har gått inflation och bitvis viss galenskap i säkerhetsskyddslagens tillämpning. Det stora problemet tycks vara att lagen används för att godtyckligt påvisa att en given verksamhet har en relevans utifrån devisen ”vi är så himla viktiga, titta här vi omfattas av säkerhetsskyddslagen”. Särskilt tydligt blir det när man anser att verksamheten absolut är så viktig att den kan påverka rikets säkerhet, men man är på inget sätt beredd att hantera konsekvenserna detta för med sig i form av merarbete och kostnader.

Som sista tillägg är det värt att nämna följande:
Säkerhetsskyddslagen är en nödvändig, bra och funktionell lagstiftning enligt min mening, men just nu tillämpas den av för många aktörer på ett sätt som sannolikt inte är i linje med lagstiftarens intention.

En läsvärd text, även om den har några månader på nacken hittas i Altinget.

2024-03-01

Till de som undrar var den särskilda utredarens avrapportering kring NIS2 tagit vägen, kanske också konkurrentkollegor som kommunicerat diverse utbildningar och som står i startgroparna för att påtala hur verksamheter kan bli ”compliant” med NIS2 och CER-direktiven:

Den kommer sannolikt 16 september. I januari erhöll utredaren ett tilläggsdirektiv och med det mer tid, samtidigt kommunicerades det på ett sätt som iallafall gav mig en bild av att en delrapportering skulle genomföras i februari. Så tycks inte längre vara fallet.

N.b. för de som omfattas och som tänker (eller blir skrämda till att tänka) ”Det här är jättekrångligt och jättedyrt, vi måste ta in konsulter”:
– Man behöver inte köpa massa dokument eller tjänster för att hantera NIS2 eller CER. Sannolikt blir det sämre.
– Många verksamheter har redan en tillräcklig systematik, beredskap för rapportering samt process för att identifiera, bedöma och behandla risker. Och om man behöver göra arbetet bör konsulten vara ett bollplank, inte leverera en totalentreprenad.
– Det kan vara värt att överväga ett Ledningssystem för informationssäkerhet baserat på ISO 27001 om man inte upplever sig vara trygg i den nuvarande situationens tillstånd. Tänk på att standarden kan användas också utan att man väljer att certifiera sin verksamhet och sitt ledningssystem, det finns bra saker också utan tillhörande certifikat.
– Om man trots ovanstående vill köpa tjänster erbjuder verksamhetsfokus.se fortsatt sin tjänst ”skäll mot faktura” (kunderna brukar kalla det uppriktighet, vi är ganska trevliga) för att hjälpa ledningen i rätt riktning samt påminner om vår kommande nylansering av Ledningssystemet (en tjänst utvecklad av konsulter vilka är tillika revisorer; framförallt ogillar vi att debitera hundratals timmar för ”projektledning” och dokumentmallar). Ledningssystemet kommer ha stöd för att genomföra egenkontroll/internrevision baserat på de sannolikt ganska få krav vilka följer på NIS2 och CER.

Komittéberättelsen angående ”Utredningen om genomförande av EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen och EU:s direktiv om kritiska entiteters motståndskraft (Fö 2023:01)”