Säkerhetshanteringen

Säkerhetshanteringen är processen att leda och styra en organisations arbete med säkerhet för att skydda människor, tillgångar, information och verksamhet. Den omfattar informations- och fysisk säkerhet samt arbetsmiljö, och syftar till konfidentialitet, integritet och tillgänglighet samt att stödja affärsmål och efterlevnad av lagstiftning.

I huvudsak består den av styrning och ledning, policy och strategier, riskhantering och riskbedömning, implementering av skyddsåtgärder, incidenthantering och återställning, säkerhetsmedvetenhet och utbildning, övervakning och revision samt kontinuerlig förbättring. Den följer ofta en PDCA-cykel (Plan-Do-Check-Act) för att förbättra skyddet över tid.

Praktiskt används säkerhetshanteringen inom informationssäkerhet, fysisk säkerhet och arbetsmiljö, och anknyter till internationella standarder och ramverk. Vanliga referenser är ISO/IEC 27001 för informationssäkerhet (ISMS), ISO 31000 för riskhantering och ISO 22301 för affärskontinuitet, samt ramverk som NIST Cybersecurity Framework. Regulatoriska krav och branschstandarder kan vara relevanta beroende på sektor och jurisdiktion.

Roller innefattar säkerhetsansvarig eller CISO, styrgrupp, riskägare och stödfunktioner inom IT, juridik och HR. Utmaningar inkluderar balansen mellan säkerhet och användbarhet, kostnader, leverantörs- och kedjesäkerhet samt en snabbt föränderlig hotmiljö.

Se även informationssäkerhet, ledningssystem och ISO-standarder inom säkerhetshantering.