Delar av verksamheten kan avgränsas från säkerhetsskyddet

En av de vanligaste frågorna från en ledningsgrupp är om hela företaget omfattas eller bara delar av det.

Svaret är att lagen knyter an till den säkerhetskänsliga verksamheten, inte till organisationsnumret. Bedriver ni säkerhetskänslig verksamhet i en avgränsad del av bolaget är det den delen kraven riktar sig mot.

I praktiken är det här det enskilt största beslutet i hela arbetet. Det avgör hur många människor som ska säkerhetsprövas, hur många system som berörs och hur mycket förvaltning ni får leva med.

Varför gränsen sällan följer organisationsschemat

Det frestande är att avgränsa efter avdelning. En enhet pekas ut som säkerhetskänslig och resten av bolaget lämnas utanför.

Det håller nästan aldrig, av tre skäl.

Människor rör sig mellan delar. Samma person arbetar i flera projekt, hoppar in vid frånvaro eller sitter i en ledningsgrupp där allt diskuteras.

System delas. Ekonomisystemet, e-posten, filservern och passersystemet används av hela bolaget. Ligger information om den säkerhetskänsliga delen där följer skyddsbehovet med.

Beroenden går åt båda hållen. En stödfunktion som it-drift eller vaktmästeri kan sakna eget skyddsvärde men ändå ha åtkomst till det som ska skyddas.

Gränsen ska därför dras runt information, funktioner och åtkomst. Inte runt rutor i ett organisationsschema.

Vad som faktiskt avgör

Utgå från det som ska skyddas och arbeta utåt.

Börja med skyddsvärdena. Vilken information, vilka anläggningar och vilka funktioner har betydelse för Sveriges säkerhet.

Kartlägg sedan var de finns. I vilka system lagras informationen. Vilka lokaler används. Vilka processer passerar den.

Ta därefter reda på vem som kommer åt dem. Inte vem som borde göra det, utan vem som faktiskt kan i dag. Där ingår systemadministratörer, konsulter och leverantörer.

Det ni har kvar när ni är klara är er avgränsning. Den blir nästan alltid annorlunda än den ni gissade på i början.

Två sätt att göra fel

Den för smala avgränsningen är den farliga. Den ser billig ut och ger ett skydd som inte håller vid granskning. Vanligast är att stödfunktioner och delade system lämnas utanför trots att de har åtkomst.

Den för breda avgränsningen är den dyra. Här tas hela bolaget med av försiktighet. Följden blir att människor säkerhetsprövas i onödan, att rekryteringar tar längre tid än de behöver och att förvaltningskostnaden blir flera gånger högre än nödvändigt.

Den för breda varianten upplevs ofta som det ansvarsfulla valet. Den är i själva verket ett sätt att slippa göra det svåra arbetet med att bestämma var gränsen går.

Vad en genomarbetad avgränsning är värd

Skillnaden mellan de två ytterligheterna är sällan liten.

I en verksamhet med några hundra anställda kan skillnaden ligga mellan att pröva tjugo personer och att pröva samtliga. Den skillnaden återkommer varje år, eftersom prövning inte är en engångsåtgärd.

Samma sak gäller systemsidan. Ett avgränsat system med tydliga gränssnitt kan skyddas för en bråkdel av kostnaden för att lyfta hela it-miljön till samma nivå.

Räkna på det med era egna tal innan ni bestämmer er. Det är den enda kalkyl i hela säkerhetsskyddsarbetet där en eftermiddags noggrannhet ger utslag i miljoner över en femårsperiod.

Avgränsningen är ingen engångsövning

Verksamheter förändras. Nya uppdrag tas in, system byts ut, funktioner läggs ut på leverantörer.

Varje sådan förändring kan flytta gränsen. En avgränsning som var korrekt när den gjordes kan vara fel två år senare utan att någon fattat ett beslut om saken.

Det vanligaste sättet att hamna fel är alltså inte att göra en dålig avgränsning. Det är att göra en bra och sedan låta verksamheten växa ifrån den.

Vad det betyder för resten av arbetet

Avgränsningen görs i säkerhetsskyddsanalysen och styr allt som kommer efter.

Den avgör vilka som ska säkerhetsprövas. Den avgör vilka leverantörer som behöver säkerhetsskyddsavtal. Den avgör vilka lokaler och system som omfattas av krav på fysisk säkerhet och informationssäkerhet.

Är avgränsningen fel blir varje efterföljande åtgärd fel i samma riktning. Det är därför det sällan lönar sig att spara tid i det här steget.

Gör den här övningen den här veckan

Ta ett papper och skriv ner de tre viktigaste sakerna ni tror behöver skyddas. Information, anläggningar eller funktioner.

Skriv sedan under varje sak vilka roller i bolaget som kommer åt den i dag. Ta med it, ledning, konsulter och leverantörer.

Titta på listan. Är den kortare än ni väntade er har ni troligen glömt någon med teknisk åtkomst. Är den längre än ni väntade er vet ni nu varför avgränsningen är värd att göra ordentligt.

Det svåra är inte att skriva listan. Det svåra är att våga dra en gräns som utesluter delar av den egna verksamheten, och att stå för den gränsen när någon frågar varför.