Så gör ni er första säkerhetsskyddsanalys

Den vanligaste frågan från en verksamhet som just insett att säkerhetsskyddslagen kan gälla dem är var man börjar.

Svaret är alltid detsamma. Ni börjar med en säkerhetsskyddsanalys. Inte med ett larmsystem, inte med en policy och inte med en utbildning.

Analysen avgör vad ni ska skydda, hur mycket och mot vad. Utan den vet ingen om åtgärderna träffar rätt.

Vad analysen ska svara på

Fyra frågor, i den här ordningen.

Vad i verksamheten har betydelse för Sveriges säkerhet. Detta är skyddsvärdena.

Vad kan hota dem. Detta är hotbilden.

Var är ni sårbara. Detta är svagheterna i det ni har idag.

Vad behöver ni göra åt det. Detta blir er åtgärdsplan.

Ordningen är inte förhandlingsbar. Varje fråga bygger på svaret på den föregående.

Steg ett, samla rätt personer

Det här steget avgör kvaliteten mer än något annat.

Analysen kräver personer som kan verksamheten i detalj. Driftchefen som vet vad som händer när ett system faller. Den som ansvarar för anläggningarna. Den som kan it-miljön. Någon från ledningen med mandat att fatta beslut.

Det räcker inte med säkerhetsfunktionen. Säkerhetsfolk vet hur man skyddar saker, men de vet sällan tillräckligt om verksamheten för att veta vad som är värt att skydda.

Räkna med att arbetet tar dagar av deras tid, fördelat över några veckor.

Steg två, beskriv verksamheten i klartext

Innan ni analyserar något ska ni kunna beskriva vad ni gör, utan branschspråk.

Vilka tjänster levererar ni. Till vem. Vad krävs för att leveransen ska fungera. Vad händer i omvärlden om den upphör i en dag, en vecka, en månad.

Det låter enkelt. Det är det inte. Många verksamheter upptäcker här att ledningen och driften har olika bilder av vad som är verksamhetskritiskt.

Steg tre, identifiera skyddsvärdena

Nu kommer det svåra. Ni ska hitta det i verksamheten som har betydelse för Sveriges säkerhet.

Leta i tre kategorier. Information som skulle skada Sverige om den röjdes. Funktioner som Sveriges säkerhet vilar på. Anläggningar vars förstörelse skulle få nationella följder.

Två fällor är vanliga.

Den första är att ta med för mycket. Allt som känns viktigt förs upp som skyddsvärde. Resultatet blir en analys som pekar ut halva verksamheten och som gör skyddet både dyrt och otydligt.

Den andra är att förväxla lokal betydelse med nationell. Fråga varje gång vem konsekvenserna når. Stannar de hos era kunder och i er kommun är det inte ett skyddsvärde i lagens mening, hur allvarligt det än vore.

Steg fyra, gör hotbilden konkret

Hotbilden ska handla om er, inte om världsläget i allmänhet.

För varje skyddsvärde, fråga vem som skulle ha nytta av att komma åt det, förstöra det eller påverka det. Fråga sedan hur de skulle gå till väga med de förutsättningar som faktiskt finns hos er.

Undvik det abstrakta. En hotbild som består av allmänna formuleringar om antagonistiska aktörer ger inga åtgärder. En hotbild som beskriver hur någon skulle kunna få åtkomst till ett visst system ger tydliga åtgärder.

Steg fem, hitta sårbarheterna

Här jämför ni skyddsvärdena och hotbilden med det skydd som finns idag.

Titta på tre områden. Informationssäkerhet, alltså hur uppgifter hanteras, lagras och kommuniceras. Fysisk säkerhet, alltså tillträde till lokaler och anläggningar. Personalsäkerhet, alltså vilka som har åtkomst och vad ni vet om dem.

Var konkreta. En sårbarhet ska gå att beskriva som ett tillstånd, inte som en känsla.

Steg sex, dra gränsen

Nu vet ni tillräckligt för att avgränsa den säkerhetskänsliga verksamheten.

Gränsen dras runt skyddsvärdena och runt allt som ger åtkomst till dem. Den följer sällan organisationsschemat, eftersom system, lokaler och personer delas mellan delar av bolaget.

Det här beslutet avgör vad säkerhetsskyddet kommer att kosta er varje år. Det förtjänar mer tid än det brukar få.

Steg sju, skriv ner slutsatsen så den håller

Analysen ska kunna läsas av någon utifrån. En tillsynsmyndighet, en ny säkerhetsskyddschef, en köpare av bolaget.

Det viktigaste är inte längden. Det är att slutsatsen går att följa. Läsaren ska förstå varför ni kom fram till det ni gjorde, och kunna se vilka antaganden ni byggde på.

En analys som säger att verksamheten är säkerhetskänslig utan att förklara kopplingen till Sveriges säkerhet är inte färdig, oavsett hur många sidor den har.

De tre vanligaste misstagen

Att börja med åtgärder. Verksamheter som redan har säkerhetsarbete vill gärna dokumentera det de har och kalla det analys. Då är slutsatsen bestämd innan arbetet börjar.

Att göra den ensam. En analys som skrivs av en person blir en persons uppfattning. Skyddsvärden hittas i samtal mellan människor som kan olika delar av verksamheten.

Att aldrig pröva slutsatsen. Ingen i en ledningsgrupp driver linjen att den egna verksamheten saknar nationell betydelse. Utan någon som prövar det antagandet lutar analysen alltid åt samma håll.

Börja med det här den här veckan

Boka två timmar med tre personer som kan verksamheten från olika håll.

Ställ en enda fråga. Vad i det vi gör skulle någon utanför Sverige ha nytta av att komma åt eller slå ut.

Skriv ner allt som sägs utan att värdera det. Sortera efteråt.

Ni kommer inte att ha en analys efter de två timmarna. Men ni kommer att veta om ni har skyddsvärden att utreda, och ni kommer att ha upptäckt hur olika bilder de tre personerna hade av samma verksamhet.

Det svåra med analysen är inte metoden. Det svåra är att hålla i den tills den är klar, när ingenting akut driver på och allt annat har en deadline.