Är du en av alla CISO:s som håller på att drunkna i Excel?

”Nu när året lider mot sitt slut har äntligen alla verksamheter i organisationen lämnat in sina årliga statusrapporter över verksamhetens risker och det är dags att börja analysera resultatet. Men hur ska du få ordning och reda bland alla otaliga Excel-dokument som verksamheterna dokumenterat sina risker i? Hur ska du göra för att få fram organisationens samlade riskbild? Var ska du börja nysta och vilket är det lämpligaste sättet att presentera informationen på?” Känner du igen dig i dessa frågor är det troligt att din verksamhet har vuxit ur Excel-arken och är i behov av anpassade it-stöd för att få ordning på organisationens riskbild.

Det kommer med all sannolikhet att dröja innan vi överger Excel som verktyg. Det kan upplevas bekvämt att genomföra t.ex. en riskanalys i ett för ändamålet anpassat Excel-ark. Utmaningen uppstår när det är dags att skapa sig en bild över organisationens samlade riskbild, särskilt i en stor och komplex organisation.

I samband med riskanalysarbetet ställer sig organisationer många gånger frågor kring:

• Vilka är de största riskerna i vår organisation?
• Hur hanterar vi riskerna och vilka aktiviteter ska vi genomföra – behöver vi arbeta med att öka riskmedvetenheten hos personalen eller fokusera på tekniska åtgärder?
• Hur ska vi presentera resultatrapporter som är anpassade för beslutsfattare och andra målgrupper?

Detta är frågor som alla branscher berörs av; såväl försvarsindustrin, transportindustrin, och offentliga verksamheter som bankverksamheter, medicinteknikbolag och detaljhandel. Även om riskerna mellan dessa verksamheter förstås skiljer sig åt.

Det absolut enklaste sättet att få kontroll över dessa frågor är att använda ett anpassat GRC-verktyg (1) som kan automatisera möjligheten att mäta, följa upp och rapportera olika riskers status inklusive nyckeltal, KPI:er och KRI:er (2). Med hjälp av GRC-verktyg är det dessutom möjligt att genom funktioner för olika arbetsflöden, påminnelser och eskalering styra compliance- och informationssäkerhetsarbetet i en organisation.

Vi på Nixu får ofta frågor från kunder som vill veta hur väl deras verksamhet efterlever krav i olika regelverk och standarder inom informationssäkerhetsområdet såsom Dataskyddsförordningen (GDPR), NIS-direktivet och ISO 27000-standarden. Behovet av kontroll ökar allt eftersom antalet nya regelverk växer och kraven förändras. Det kan uppstå stora konsekvenser om en organisation inte följer gällande regelverk, både i form av ekonomiska sanktioner och skadat förtroende. I stora organisationer är det lätt att beslut fattas på felaktiga grunder om man inte har effektiva verktyg som stödjer analysarbetet. Det blir helt enkelt för svårt att upprätthålla den kvaliteten på informationen som krävs för att fatta väl underbyggda beslut och göra rätt vägval.

Den största nyttan som dessa verksamheter ser i användandet av GRC-verktyg är snabba och enkla analyser för att kunna fatta korrekta beslut, strukturerade arbetssätt med integrerade arbetsflöden och en effektivare arbetsprocess.

Så, vart börjar man? Vi hjälper dig så klart med införandet, men i korthet kan processen för att införa ett GRC-verktyg se ut så här: