Arbetet ska vara kontinuerligt och följas upp, eftersom förutsättningar och risker kan ändras och nya risker kan tillkomma. Nedan beskrivs vad respektive område kan innebära och exempel på säkerhetsåtgärder som kan vara relevanta.
Områden
1. Strategier för riskanalys och för nätverks- och informationssystemens säkerhet
Ni behöver ha kännedom om era nätverks- och informationssystem och de risker som kan påverka dem. Det kan till exempel handla om att identifiera och analysera risker, bedöma deras konsekvenser och vidta säkerhetsåtgärder utifrån riskbedömningen.
2. Incidenthantering
Ni behöver ha förmåga att förebygga, upptäcka och hantera incidenter. Det kan till exempel handla om att ha rutiner för incidenthantering, tydliga beslutsvägar, roller och ansvar samt förmåga att dokumentera, följa upp och dra lärdom av inträffade incidenter.
3. Kontinuitetshantering och krishantering
Ni behöver ha förmågan att kunna upprätthålla eller återställa viktiga funktioner vid störningar och incidenter. Det kan handla om kontinuitetsplanering, rutiner för återställning och återhämtning samt att regelbundet testa, öva, och följa upp planerna.
4. Säkerhet i leveranskedjan
Ni behöver kunna hantera cybersäkerhetsrisker som är kopplade till leverantörer och andra beroenden. Det kan till exempel handla om att ställa säkerhetskrav på leverantörer, bedöma leverantörsrelaterade risker och följa upp att säkerhetskraven efterlevs hos externa samarbetspartners.
5. Säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem
Ni behöver analysera och bedöma säkerhet när nätverks- och informationssystem köps in utvecklas, förändras och underhålls. Det kan till exempel innebära att avtala säkerhetskrav vid anskaffning, utveckling, förändring och underhåll av system som levereras av externa parter. Verksamhetsutövare som bedriver egen utveckling behöver bland annat ha förmåga att utveckla, driva förändring och avveckla system på ett säkert sätt genom hela systemets livscykel.
6. Strategier och förfaranden för att bedöma effektiviteten i säkerhetsåtgärderna
Ni behöver kunna följa upp om de säkerhetsåtgärder som har införts fungerar som avsett. Det kan handla om kontroller, tester, revisioner eller andra former av uppföljning som resulterar i planer för att åtgärda identifierade brister.
7. Grundläggande praxis för cyberhygien och utbildning i cybersäkerhet
Verksamheten ska arbeta med grundläggande cybersäkerhet och säkerhetsmedvetande.Det kan till exempel handla om rutiner för säker användning av system, hantering av lösenord och behörigheter samt utbildning och återkommande information till personalen och ledningen.
8. Strategier och förfaranden för användning av kryptografi, samt vid behov, kryptering
Ni behöver bedöma när kryptografi och kryptering ska användas för att skydda information. Det kan till exempel handla om hur verksamheten kan använda kryptering för att skydda information vid lagring, delning och överföring och att ha rutiner för hantering av kryptografiska nycklar.
9. Personalsäkerhet, strategier för åtkomstkontroll och tillgångsförvaltning
Verksamheten behöver ha kontroll över vilka personer som har tillgång till information, system och andra tillgångar och vilken risk de innebär för verksamheten. Ni ska även kunna hantera den risken genom att till exempel använda lämpliga åtgärder för åtkomstkontroll, till exempel genom att etablera rutiner för att tilldela, ändra och avsluta behörigheter samt att hålla information om tillgångar och behörigheter aktuell.
10. Vid behov användning av lösningar för autentisering, säkrade kommunikationer och säkrade nödkommunikationssystem
Verksamheten behöver säkerställa att endast behöriga personer och system får tillgång till nätverks- och informationssystem. Det kan till exempel handla om lösningar för säker autentisering och att skydda kommunikation mot obehörig åtkomst eller påverkan. Vid behov kan även säkrade nödkommunikationssystem behöva finnas.
Ledningen har ett tydligt ansvar
Cybersäkerhet är en strategisk ledningsfråga. Ledningen ansvarar för att säkerhetsåtgärder vidtas och att de följs upp. Cybersäkerhetsarbetet ska vara en integrerad del av den ordinarie verksamhetsstyrningen.
Det innebär bland annat att ledningen behöver känna till verksamhetens cybersäkerhetsrisker, fastställa mål och inriktning för arbetet samt säkerställa att det finns tydliga roller, befogenheter, tillräckliga resurser och nödvändig kompetens.
Ledningen ska också genomgå utbildning om säkerhetsåtgärder för att kunna fullgöra sitt ansvar.
Metodstöd för cybersäkerhetsarbetet
Det finns flera metodstöd och verktyg som kan hjälpa er att strukturera och utveckla ett systematiskt och riskbaserat cybersäkerhetsarbete. Nationellt cybersäkerhetscentrum (NCSC) erbjuder vägledningar, verktyg och mallar för systematiskt informationssäkerhetsarbete som även med fördel kan användas för cybersäkerhetsarbetet.
