Varför en säkerhetsskyddsplan är verksamhetens viktigaste försäkring
Det skärpta säkerhetsläget ställer högre krav på alla organisationer som bedriver säkerhetskänslig verksamhet. Främmande makt, cyberangrepp, påverkan, insiderhot, sabotage och kvalificerad kriminalitet kan riktas mot information, samhällsviktiga funktioner, tekniska system och personer. Hotbilden förändras dessutom snabbare än många organisationers styrdokument. Därför räcker det inte att en plan är juridiskt korrekt när den antas. Den måste också fungera i vardagen, vid incidenter och när verksamheten förändras.
En robust säkerhetsskyddsplan är inte ett dokument som tas fram, arkiveras och sedan glöms bort. Den är ett operativt ledningsverktyg som kopplar samman skyddsvärden, dimensionerande hot, ansvar, resurser och uppföljning. Planen ska svara på fyra praktiska frågor: vad ska skyddas, mot vad, hur och av vem? För att säkerställa efterlevnad av de formella kraven i svensk författning reglerar Säkerhetsskyddsförordning (2021:955) centrala grunder för bland annat informationssäkerhet, behörighetskontroll och rapportering.
Planen omsätter säkerhetsskyddslagen och säkerhetsskyddsförordningen i konkreta beslut. Den ska bygga på en aktuell säkerhetsskyddsanalys, ange prioriterade åtgärder och tydliggöra hur organisationen ska mäta att skyddet fungerar.
En praktisk plan innehåller normalt följande delar:
- identifierade skyddsvärden och säkerhetskänsliga verksamheter
- dimensionerande hot och relevanta sårbarheter
- fysiska, tekniska och personella skyddsåtgärder
- ansvar, tidsplan, budget och beslutspunkter
- rutiner för incidenter, förändringar, övningar och uppföljning
Grunden läggs i säkerhetsskyddsanalysen och identifieringen av skyddsvärden
Börja med nulägesbilden. En säkerhetsskyddsanalys ska beskriva verksamheten, identifiera vilka delar som har betydelse för Sveriges säkerhet och kartlägga de skyddsvärden som måste bevaras. Det kan handla om säkerhetsskyddsklassificerade uppgifter, teknisk infrastruktur, styrsystem, försörjningsförmåga, fysisk kapacitet eller processer vars störning får allvarliga konsekvenser för nationella säkerhetsintressen.
Arbetet bör genomföras tvärfunktionellt. Säkerhetschefen eller säkerhetsskyddschefen behöver arbeta tillsammans med verksamhetsägare, IT, juridik, HR, fastighet, inköp och kontinuitetsansvariga. Kartlägg kärnprocesserna först och följ sedan beroendena. Ett ärendehanteringssystem kan exempelvis vara beroende av identitetsfederation, nätverk, datacenter, externa driftleverantörer och fysisk tillgång till lokaler. Om en av dessa delar påverkar en identifierad skyddsvärd process ska den finnas med i analysen.
Konsekvensbedömningen ska vara tillräckligt konkret för att styra prioriteringar. Beskriv vad som händer vid röjande, manipulation, bortfall eller otillåten påverkan. Bedöm exempelvis påverkan på nationell säkerhet, samhällsviktiga funktioner, ekonomi, liv och hälsa, förtroende samt möjligheten att återställa verksamheten. Undvik att klassa allt som lika skyddsvärt. En sådan modell leder ofta till höga kostnader, otydliga prioriteringar och ett skydd som i praktiken inte är tillräckligt starkt där det behövs mest.
- Vilka processer måste fungera även under allvarlig störning?
- Vilka uppgifter skulle orsaka skada om de röjdes eller manipulerades?
- Vilka anläggningar, system och leverantörer är beroende av dessa processer?
- Vilka personer har särskild åtkomst eller påverkar skyddet?
- Vilka konsekvenser uppstår om skyddsvärdet förloras under en timme, en dag eller längre?
Bedömning av dimensionerande hot och antagonistiska förmågor
Alla risker är inte dimensionerande hot. Ett tekniskt fel, en brand eller ett vanligt bedrägeri kan kräva robusta kontinuitets- och säkerhetsåtgärder, men säkerhetsskyddet ska särskilt hantera antagonistiska angrepp mot Sveriges säkerhet. Analysen behöver därför skilja mellan oavsiktliga händelser, allmän kriminalitet och aktörer som med avsikt försöker inhämta information, påverka beslut, störa funktioner eller förstöra skyddsvärden.
Utgå från aktuell omvärldsbevakning och relevanta bedömningar från Säkerhetspolisen och Försvarsmakten, inklusive MUST när sådan information är tillgänglig för verksamheten. Bedöm aktörens avsikt, förmåga, uthållighet, tillgång till teknik, möjlighet till insyn och sannolika angreppsvägar. Ett hot behöver inte vara sannolikt i vardaglig mening för att påverka dimensioneringen. Om konsekvensen är mycket allvarlig och angriparen har relevant förmåga måste skyddet kunna stå emot även ett kvalificerat scenario.
Undvik mekanisk bockning mot en kravlista. En låst dörr, en policy eller ett genomfört utbildningstillfälle säger inte i sig att skyddet är effektivt. Frågan är om åtgärden reducerar den aktuella angriparens möjlighet att lyckas. Ett passersystem kan exempelvis vara meningslöst om behörigheter inte avslutas vid rollbyte, om dörrar ställs upp eller om loggar aldrig granskas. Verklighetsförankring kräver tester, intervjuer, observationer och övningar.
| Bedömningsområde | Praktisk fråga |
|---|---|
| Aktör | Vem kan vilja påverka eller angripa verksamheten? |
| Förmåga | Vilka tekniska, personella och ekonomiska resurser har aktören? |
| Angreppsväg | Kan angreppet ske via IT, fysisk åtkomst, leverantör eller insider? |
| Konsekvens | Vilken skada uppstår om skyddsvärdet röjs, ändras eller slås ut? |
| Motåtgärd | Vilken barriär minskar risken mest och hur verifieras effekten? |
Från analys till handling med fysiska digitala och personella skyddsåtgärder
En säkerhetsskyddsplan ska översätta analysens resultat till prioriterade åtgärder. Informationssäkerhet, fysisk säkerhet och personalsäkerhet ska behandlas som ett sammanhängande skydd. Ett tekniskt skydd kan försvagas av bristande fysisk kontroll, och en väl skyddad lokal kan ändå exponera information genom felaktiga behörigheter i ett IT-system.
Informationssäkerheten börjar med styrning av säkerhetsskyddsklassificerade uppgifter och andra skyddsvärda informationstillgångar. Organisationen behöver veta var informationen finns, hur den får behandlas, vilka system som används och vilka personer som behöver åtkomst. Säkra IT-miljöer kräver bland annat stark identitets- och åtkomstkontroll, segmentering, säker konfiguration, loggning, säkerhetskopiering, incidenthantering och kontrollerad förändringshantering. Systemägaren ska kunna visa att skyddet är anpassat till informationens betydelse, inte enbart till systemets tekniska ålder.
Fysisk säkerhet omfattar mer än lås och stängsel. Skalskydd, zonindelning, passersystem, bevakning, besöksrutiner, kamerabevakning där det är rättsligt och operativt motiverat samt skydd av kritiska installationer behöver samverka. Kontrollera även reservkraft, ventilation, kablage, teknikutrymmen och möjligheten att upptäcka manipulation. Åtgärderna måste stå i proportion till skyddsvärdet och samtidigt fungera för drift, arbetsmiljö och tillgänglighet.
Personalsäkerhet omfattar säkerhetsprövning, rätt placering i säkerhetsklass, utbildning och en fungerande säkerhetskultur. Tillgång till säkerhetsskyddsklassificerade uppgifter ska knytas till behov, tillförlitlighet och tillräcklig kunskap. Behörigheter ska omprövas vid rollbyte, längre frånvaro och avslutad anställning. Utbildningen bör använda situationer från den egna verksamheten, exempelvis misstänkta kontaktförsök, felaktig informationsdelning, social manipulation och rapportering av incidenter.
- Prioritera skyddsvärdet. Rangordna åtgärder efter konsekvens, hotförmåga och beroenden. Skydda de mest kritiska funktionerna först.
- Kombinera barriärer. Låt tekniska, fysiska och personella kontroller förstärka varandra. Ingen enskild kontroll ska bära hela skyddet.
- Tydliggör ansvar. Ange ansvarig funktion, beslutsfattare, budget, deadline och krav på verifiering för varje åtgärd.
- Testa i praktiken. Genomför åtkomsttester, återställningsövningar, incidentövningar och granskningar av loggar och behörigheter.
- Dokumentera avvikelser. Acceptera inte risker informellt. Beskriv kvarstående risk, ansvarig riskägare och datum för omprövning.
Säkerhetsskyddad upphandling och samverkan med externa parter
Externa leverantörer, konsulter och helhetsleverantörer kan få tillgång till information, lokaler, system eller processer som omfattas av säkerhetsskyddet. Därför ska upphandlingen börja med analysen, inte med avtalsmallen. Bedöm om leverantören kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller delta i säkerhetskänslig verksamhet. Om så är fallet kan säkerhetsskyddsavtal, ofta kallat SUA, behövas före åtkomst och innan uppdraget påbörjas.
Leverantörsgranskning ska omfatta både den juridiska motparten och de praktiska beroendena. Kontrollera ägarstruktur, ekonomi, underleverantörer, personalrutiner, teknisk säkerhet, incidentförmåga, kontinuitet och var information behandlas. En riskbaserad vendor due diligence bör även följa upp förändringar under avtalstiden. Ett godkänt frågeformulär vid upphandlingstillfället är inte tillräckligt om leverantören senare byter underleverantör, driftmiljö eller personal med privilegierad åtkomst.
Samverkan mellan offentlig och privat sektor kräver förtroende, tydliga kontaktvägar och regler för informationshantering. Erfarenheter från Sharing Information with the Private Sector visar värdet av ett ömsesidigt informationsflöde där information är aktuell, användbar och skyddad. I svensk verksamhet behöver sådan samverkan anpassas till säkerhetsskyddslagen, offentlighet och sekretess, GDPR, avtalsvillkor och principen om minsta möjliga informationsdelning.
- Genomför en särskild säkerhetsskyddsbedömning inför relevanta upphandlingar.
- Definiera åtkomst, säkerhetskrav, underleverantörer och geografisk behandling i avtalet.
- Reglera incidentrapportering, revision, loggning, återlämning och förstöring av information.
- Pröva leverantörens faktiska skydd genom granskning, intervjuer och tekniska kontroller.
- Planera för avslut, leverantörsbyte och återtagande av kritiska funktioner.
Systematisk uppföljning och tillsynsberedskap som håller planen levande
Säkerhetsskydd ska fungera som ett integrerat ledningssystem, inte som ett engångsprojekt. Organisationen behöver en återkommande cykel för att planera, genomföra, kontrollera och förbättra skyddet. Ett sådant arbetssätt skapar spårbarhet mellan analys, beslut, genomförda kontroller, avvikelser och ledningens prioriteringar. Ett riskhanteringsramverk som NIST RMF illustrerar värdet av en repeterbar och mätbar process, även om den svenska säkerhetsskyddslagstiftningen alltid styr den rättsliga tillämpningen.
Minst årligen bör organisationen pröva om skyddsvärden, hot, system, lokaler, organisation och leverantörsrelationer har förändrats. Översyn krävs också vid större omorganisationer, nya IT-miljöer, ändrade uppdrag, upphandlingar, incidenter eller förändrad omvärldsbild. Incidentrapportering ska vara enkel nog för att användas och tydlig nog för att leda till rätt eskalering. Allvarliga säkerhetshotande händelser, misstänkta röjanden och allvarliga IT-incidenter kan omfattas av särskilda rapporteringskrav.
Förbered tillsyn och internrevision genom att samla bevis på att planens krav genomförs. Det kan vara beslutade analyser, behörighetslistor, utbildningsregister, logggranskningar, leverantörsbedömningar, övningsprotokoll, incidentutredningar och dokumenterade förbättringsåtgärder. En tillsynsmyndighet bedömer inte bara om styrdokument finns, utan också om organisationen kan visa att styrningen fungerar i praktiken.
- Följ upp genomförandegrad för kritiska åtgärder varje kvartal.
- Mät tid för avveckling av behörigheter och hantering av säkerhetsincidenter.
- Genomför interna kontroller av åtkomst, loggning, fysisk säkerhet och leverantörskrav.
- Rapportera kvarstående risker till ledningen med tydlig riskägare och åtgärdsdatum.
- Uppdatera planen efter övningar, incidenter, revisioner och större verksamhetsförändringar.
Bygg en motståndskraft som består över tid
En säkerhetsskyddsplan får störst effekt när ledningen använder den som ett strategiskt styrdokument. Den ska styra investeringar, ansvar och prioriteringar, men också göra det möjligt för medarbetare att förstå hur deras beslut påverkar skyddet. När analysen är aktuell, hotbilden är realistisk och åtgärderna följs upp skapas ett skydd som är både proportionellt och uthålligt.
Tre steg kan initieras redan vid nästa ledningsgruppsmöte:
- Fastställ nulägesbilden. Utse ansvariga och besluta om en uppdaterad säkerhetsskyddsanalys med deltagande från verksamhet, IT, juridik, HR, fastighet och inköp.
- Prioritera de största gapen. Välj tre till fem åtgärder som minskar den mest allvarliga risken och koppla varje åtgärd till budget, ansvarig och verifieringsdatum.
- Bestäm uppföljningen. Inför återkommande rapportering, incidentövningar och ledningsbeslut om kvarstående risker.
Det långsiktiga målet är en gemensam säkerhetskultur där regler stöds av förståelse, fungerande processer och konsekvent ledarskap. Börja med nulägesbilden, prioritera åtgärder, mät resultat och bygg förtroende genom regelefterlevnad. Då blir säkerhetsskyddsplanen inte en skrivbordsprodukt, utan en praktisk motståndskraft som hjälper verksamheten att fortsätta fungera när påfrestningen är som störst.