…

 

IT-sikkerhedspolitik

Regler der faktisk bliver fulgt

De fleste virksomheder har en IT-sikkerhedspolitik. Den ligger i en mappe. Ingen har læst den siden 2019.

En IT-sikkerhedspolitik er kun noget værd, hvis den bliver fulgt. Det kræver, at den er forståelig, realistisk og tilpasset den måde, I faktisk arbejder på.

Jeg hjælper jer med at få en politik, der virker i praksis.

Hvad er en IT-sikkerhedspolitik?

En IT-sikkerhedspolitik er jeres virksomheds regler for, hvordan I håndterer IT-sikkerhed. Den beskriver, hvad medarbejderne må og ikke må, hvem der har ansvar for hvad, og hvordan I reagerer, når noget går galt.

En god politik dækker typisk:

• Adgang til systemer og data
• Passwords og login
• Brug af e-mail og internet
• Håndtering af følsomme oplysninger
• Brug af private enheder og hjemmearbejde
• Backup og opbevaring af data
• Reaktion på sikkerhedshændelser
• Ansvar og konsekvenser

Men det vigtigste er ikke, hvad der står. Det vigtigste er, om folk følger det.

Problemet med de fleste IT-sikkerhedspolitikker

Mange virksomheder har en IT-sikkerhedspolitik, der ikke virker. Det skyldes typisk én af tre ting:

Den er for generisk: Kopieret fra en skabelon på nettet eller leveret af en leverandør, der ikke kender jeres virksomhed. Den passer ikke til jeres arbejdsgange, jeres systemer eller jeres risici.

Den er for kompleks: 40 sider med juridisk sprog og tekniske krav, som ingen gider læse. Medarbejderne ved ikke, hvad der gælder dem, og ledelsen ved ikke, hvad de har forpligtet sig til.

Den er forældet: Skrevet for fem år siden, før I fik hjemmearbejde, cloud-systemer og nye trusler. Verden har ændret sig, men politikken har ikke.

Resultatet er det samme: Politikken ligger i en skuffe, og alle gør, som de plejer.

En politik der passer til jer

En IT-sikkerhedspolitik skal afspejle jeres virksomhed. Jeres størrelse, jeres branche, jeres systemer, jeres risici.

En produktionsvirksomhed med 30 ansatte har andre behov end en advokatvirksomhed med følsomme klientdata. En kommune har andre krav end en webshop.

Jeg starter altid med at forstå jeres virksomhed:

• Hvordan arbejder I?
• Hvilke systemer bruger I?
• Hvilke data håndterer I?
• Hvad er jeres reelle risici?
• Hvad gør I allerede i dag?

På den baggrund udarbejder vi en politik, der giver mening for netop jer. Ikke en skabelon, men et dokument I faktisk kan bruge.

En politik medarbejderne kan forstå

En IT-sikkerhedspolitik er ikke til IT-afdelingen. Den er til alle medarbejdere. Derfor skal den være skrevet, så folk forstår den.

Det betyder:

• Klart sprog uden unødvendig teknik
• Konkrete retningslinjer frem for vage principper
• Tydeligt ansvar, så folk ved, hvad der gælder dem
• Realistiske krav, der kan følges i hverdagen

En politik, ingen forstår, er værre end ingen politik. Den giver en falsk tryghed.

NIS2 stiller krav til jeres politikker

Med NIS2-direktivet er IT-sikkerhedspolitikker ikke længere valgfrit for mange virksomheder. Direktivet kræver dokumenterede politikker og procedurer for cybersikkerhed.

Det inkluderer:

• Politikker for risikostyring
• Procedurer for håndtering af hændelser
• Politikker for backup og gendannelse
• Retningslinjer for leverandørstyring
• Regler for adgangsstyring

En opdateret IT-sikkerhedspolitik er en del af grundlaget for NIS2-compliance.

Implementering og forankring

En politik virker kun, hvis den bliver implementeret. Det kræver mere end at sende en PDF til alle medarbejdere.

Jeg kan hjælpe jer med:

Kommunikation: Hvordan I præsenterer politikken, så folk forstår, hvorfor den er vigtig.

Træning: Gennemgang af politikken med relevante medarbejdergrupper, så de ved, hvad der gælder dem.

Ledelsesforankring: Sikring af, at ledelsen bakker op og går forrest.

Opfølgning: Plan for, hvordan I holder politikken levende og opdateret.

Vil I teste, om medarbejderne faktisk følger politikken? Læs mere om cybersecurity mystery shopping.

Opdatering af eksisterende politik

Har I allerede en IT-sikkerhedspolitik? Så er spørgsmålet, om den stadig passer.

Jeg kan gennemgå jeres nuværende politik og vurdere:

• Er den opdateret i forhold til jeres nuværende systemer og arbejdsgange?
• Dækker den de risici, I faktisk står over for?
• Lever den op til gældende krav, herunder NIS2?
• Er den skrevet, så medarbejderne kan forstå og følge den?

På den baggrund kan vi enten opdatere den eksisterende politik eller udarbejde en ny.

Sammenhæng med jeres sikkerhed

En IT-sikkerhedspolitik er fundamentet. Men den er ikke nok i sig selv.

Politikken beskriver, hvad I vil. En cybersikkerhedsaudit viser, om I gør det.

Andre relevante ydelser:

• Sikkerhedsmodenhedsvurdering: Vurdering af jeres samlede sikkerhedsniveau.
• Teknisk sikkerhedsgennemgang: Tjek af, om jeres systemer er sat op i overensstemmelse med politikken.
• Cybersecurity mystery shopping: Test af, om medarbejderne følger politikken i praksis.

30 års erfaring med sikkerhed i praksis

Jeg har udarbejdet og implementeret IT-sikkerhedspolitikker i organisationer af alle størrelser. Fra SMV’er til store koncerner og offentlige myndigheder.

Finanssektoren: Danske Bank og EDC, hvor politikker og compliance er en del af hverdagen.

Offentlige myndigheder: Styrelser med ansvar for borgernes data og strenge krav til dokumentation. Miljøstyrelsen er blandt mine referencer.

Kritisk infrastruktur og forsyning: Organisationer, hvor klare regler og procedurer er afgørende for driftssikkerheden.

Den erfaring betyder, at jeg ved, hvad der virker i praksis. Ikke kun hvad der ser godt ud på papir.

Sådan foregår det

1. Indledende samtale
   Vi taler om jeres virksomhed, jeres nuværende situation og hvad I har brug for.
2. Kortlægning
   Jeg sætter mig ind i jeres systemer, arbejdsgange og risici. Det kan inkludere interviews med nøglepersoner.
3. Udarbejdelse
   Jeg udarbejder en politik tilpasset jeres virksomhed. I får mulighed for at kommentere og justere undervejs.
4. Implementering
   Hvis I ønsker det, hjælper jeg med at præsentere og forankre politikken i organisationen.

Det får I med en IT-sikkerhedspolitik fra Nielco IT

• En politik tilpasset jeres virksomhed, ikke en skabelon
• Klart sprog, som medarbejderne kan forstå
• Realistiske krav, der kan følges i hverdagen
• Dokumentation, der lever op til NIS2 og andre krav
• Hjælp til implementering og forankring
• Sparring med en specialist med 30+ års erfaring fra finanssektoren og offentlige myndigheder

Få en politik, der virker

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres situation og hvad I har brug for.