Det här kostar säkerhetsskyddet i tid och pengar

Det finns ingen prislapp på säkerhetsskydd. Kostnaden beror på hur stor del av verksamheten som är säkerhetskänslig, hur många människor som berörs och hur mycket ordning ni redan har.

Men kostnadsposterna går att räkna upp, och de är i stort sett desamma för alla. Här är de, i den ordning de brukar dyka upp.

Analysen

Säkerhetsskyddsanalysen är den första kostnaden och den enda som är helt oundviklig.

Arbetet kräver tid från personer som kan verksamheten på djupet. Det är sällan de som har mest tid över. Räkna med att flera nyckelpersoner behöver avsätta dagar, inte timmar, och att arbetet drar ut över veckor eftersom det ska förankras.

Den vanligaste felkalkylen här är att analysen betraktas som ett dokument som ska produceras. Den är i själva verket ett beslutsunderlag som styr allt ni gör därefter, och det som sparas in i det här steget betalas tillbaka med ränta i alla följande.

Rollen

Säkerhetsskyddschefen är ett krav för den som bedriver säkerhetskänslig verksamhet.

Kostnaden beror på hur ni löser det. En intern person kostar arbetstid som tas från något annat, plus utbildning. En extern eller inhyrd lösning kostar arvode men inget rekryteringsarbete.

Det som fäller avgörandet är sällan priset. Det är att rollen kräver kunskap som tar år att bygga upp och som en mindre verksamhet inte har användning för på heltid.

Personalen

Säkerhetsprövning är den post som växer mest med storleken.

Varje person som ska ha tillgång till säkerhetskänslig verksamhet ska prövas. Prövningen är inte en engångsåtgärd utan något som ska följas upp under anställningen. Den tar tid från chefer, från HR och från den som prövas.

Här ligger också den kostnad som märks mest i vardagen. Rekryteringar blir långsammare. Konsulter kan inte sättas in med kort varsel. Semestervikarier blir svårare att lösa.

Leverantörerna

Säkerhetsskyddsavtal ska tecknas med leverantörer som får tillgång till säkerhetskänslig verksamhet.

Det gör upphandlingar tyngre. Färre leverantörer kan svara mot kraven, vilket i sin tur påverkar priset ni betalar. Befintliga avtal kan behöva göras om.

För bolag med utlagd it-drift är det ofta här den största överraskningen ligger.

Det tekniska och det fysiska

Informationssäkerhet och fysisk säkerhet kostar pengar, men sällan lika mycket som ledningar befarar.

Skälet är att många åtgärder redan finns på plats av andra skäl. Passersystem, behörighetsstyrning och loggning är vanligt i samhällskritiska verksamheter oavsett säkerhetsskyddslagen.

Det som tillkommer är oftast dokumentation, systematik och uppföljning snarare än ny utrustning.

Förvaltningen

Den post som glöms bort i nästan varje kalkyl är den löpande.

Ett säkerhetsskydd är inget projekt med ett slutdatum. Analysen ska hållas aktuell. Prövningarna ska följas upp. Avtalen ska förvaltas. Förändringar i verksamheten ska bedömas innan de genomförs.

Räkna med att den löpande kostnaden är en betydande andel av uppbyggnadskostnaden varje år, i all framtid.

Det som är billigare än ni tror

Två saker brukar överraska åt andra hållet.

Det första är att kostnaden sällan är jämnt fördelad över bolaget. I de flesta verksamheter är bara en avgränsad del säkerhetskänslig. Är avgränsningen gjord med omsorg berörs långt färre personer och system än man först utgår från.

Det andra är att mycket av arbetet har värde även utanför säkerhetsskyddet. En verksamhet som vet var dess kritiska information finns, vem som har tillgång till den och vad som händer vid ett avbrott står bättre rustad på alla sätt. Det är inte en bortkastad investering ens i den del som går utöver lagens krav.

Den dyraste varianten

Det dyraste sättet att hantera säkerhetsskydd är att bygga det utan att veta om man omfattas.

Ett kommunalägt bolag inom dricksvatten hann långt in i uppbyggnaden innan någon prövade grundfrågan. De omfattades inte. Beskedet kom i tid för att spara dem ett par miljoner kronor.

Det näst dyraste är att bygga i fel ordning. Börjar ni med tekniska åtgärder innan analysen är klar vet ingen vad åtgärderna ska skydda, och en stor del av arbetet får göras om.

Räkna på det här den här veckan

Gör ett räkneexempel med era egna siffror. Ta antalet personer som skulle behöva säkerhetsprövas om hela verksamheten omfattades. Multiplicera med den tid ni tror att en prövning tar hos er.

Ta sedan samma övning igen, men bara för den del av verksamheten ni tror är säkerhetskänslig.

Skillnaden mellan de två talen är vad en genomarbetad avgränsning är värd för er. I de flesta verksamheter är den skillnaden större än hela kostnaden för att låta någon göra analysen ordentligt från början.

Det svåra är inte att räkna. Det svåra är att låta bli att börja bygga innan man har räknat, och varje månad som går utan besked är en månad då pengar riskerar att gå åt fel håll.