Sikkerhedsstyring

Sikkerhedsstyring er en samling processer og principper til at beskytte mennesker, information og organisationens aktiver mod trusler og uautoriseret adgang. Formålet er at reducere risiko og sikre kontinuitet i driften gennem ledelsesdrevne planer og kontroller.

Sikkerhedsstyring omfatter flere områder, herunder informationssikkerhed, fysisk sikkerhed og persondatahåndtering. Centrale elementer er fastlæggelse af sikkerhedspolitikker, rolle- og ansvarsfordeling samt et sikkerhedsstyringssystem, der planlægger, implementerer, overvåger og forbedrer sikkerhedsforanstaltningerne.

En typisk sikkerhedsstyringsproces inkluderer identifikation og klassificering af aktiver, gennemførelse af risikovurdering (trusler, sårbarheder, sandsynlighed og konsekvens) og udvælgelse af afhjælpende foranstaltninger. Herefter følger implementering af kontroller (administrative, tekniske og fysiske), risikostyring, hændelseshåndtering, sikkerhedsovervågning og forretningskontinuitet. Compliance med gældende lovgivning og standarder er også en vigtig del.

Styringsrammer og standarder som ISO/IEC 27001/27002 for informationssikkerhed, ISO 27005 for risikostyring og ISO 31000/NIST Cybersecurity Framework giver vejledning til struktur og god praksis. Ledelsen har ansvar for at etablere politikker, mål og ressourcer samt sikre kulturen og bevidstheden omkring sikkerhed.

Sikkerhedsstyring sigter mod højere resiliens, bedre beslutningsgrundlag og overholdelse af regler som GDPR. Den er kontinuerlig og kræver løbende evaluering, revision og forbedring.