De flesta växande bolag når en punkt där en kund, en investerare eller en leverantör frågar: “Har ni en informationssäkerhetspolicy?” För många blir svaret ett osäkert “delvis”. Den här guiden reder ut vad en informationssäkerhetspolicy faktiskt är, vad den ska täcka, och hur ni inför en som fungerar i praktiken, utan att den blir ett 40-sidigt ISO-dokument som ingen läser. Längst ner finns en checklista ni kan stämma av direkt.
En informationssäkerhetspolicy är det övergripande dokumentet som beskriver hur ert bolag skyddar sin information: kunddata, affärshemligheter, system och de personuppgifter ni ansvarar för. Den är paraplyet som mer konkreta rutiner hänger under.
Vad en informationssäkerhetspolicy ska täcka
En användbar policy för ett SME behöver inte vara lång, men den ska adressera sex områden: informationens värde och klassning (vad är känsligt?), roller och ansvar (vem äger säkerheten?), åtkomst och behörigheter, hantering av enheter och lösenord, incidenthantering, samt leverantörer och tredjepart. Poängen är inte fullständighet på papper: det är att varje medarbetare vet vad som förväntas.
Notera skillnaden mot en kortare säkerhetspolicy: informationssäkerhetspolicyn är den strategiska ramen, medan den praktiska vardagspolicyn kan hållas på en sida. Vi har skrivit en egen guide till just den korta varianten i säkerhetspolicy på en sida: mall och resonemang.
Informationssäkerhetspolicy-mall: strukturen att utgå från
En mall som håller följer en enkel struktur: syfte och omfattning, definitioner, ansvarsfördelning, de sex områdena ovan var för sig, samt en rad om hur och när policyn revideras. Skriv den i klarspråk. En policy som styr beteende är värd mer än en som imponerar på en revisor.
Checklista: det viktigaste att stämma av
Gå igenom punkterna nedan. Kan ni svara ja på alla har ni en fungerande grund; ett nej är en prioriterad åtgärd.
Informationssäkerhet: snabbkoll
Punkten om incidenter förutsätter att ni vet exakt vad som ska hända de första timmarna. Den processen bryter vi ner steg för steg i incidenthantering på 72 timmar.
Så inför ni policyn utan att den blir en pappersprodukt
Förankra i ledningen, gå igenom den på ett personalmöte (tio minuter räcker), be alla bekräfta att de tagit del av den, och lägg den där folk hittar den. Sätt en kalenderpåminnelse för årlig genomgång. En policy blir bara verklig när den syns i vardagen.
Redo att se var ni står?
Tio frågor, färgkodat resultat och en konkret bild av era luckor inom informationssäkerhet och compliance.
