GRC och informationssäkerhet - hur hänger de ihop?

Informationssäkerhet är en viktig del av många organisationers verksamhet. Men för att säkerhetsarbetet ska fungera långsiktigt räcker det inte med tekniska skydd, säkerhetspolicyer och enskilda kontroller.

Det behövs också tydlig styrning, ett strukturerat riskarbete och rutiner för att säkerställa att relevanta krav uppfylls.

Det är här GRC kommer in i bilden.

GRC (Governance, Risk & Compliance) hjälper organisationer att koppla samman informationssäkerhet med verksamhetens styrning, riskhantering och regelefterlevnad. På så sätt blir säkerhetsarbetet en del av organisationens övergripande beslutsfattande, i stället för en isolerad IT-fråga.

Men hur hänger GRC och informationssäkerhet egentligen ihop, och vilken roll spelar exempelvis ISO 27001, NIS2 och DORA?

Vad är skillnaden mellan GRC och informationssäkerhet?

GRC och informationssäkerhet är nära sammankopplade, men de har olika omfattning.

Informationssäkerhet handlar om att skydda informationens konfidentialitet, riktighet och tillgänglighet. Det innebär att information ska vara tillgänglig för rätt personer, skyddad mot obehörig åtkomst och korrekt när den används.

GRC är ett bredare arbetssätt som omfattar hur organisationen styr sin verksamhet, hanterar risker och säkerställer regelefterlevnad.

Informationssäkerhet kan därför vara ett av flera områden inom organisationens GRC-arbete.

GRC kan även omfatta exempelvis finansiella risker, operativa risker, leverantörsrisker och andra regulatoriska krav.

Vill du förstå grunderna? Läs vår artikel Vad är GRC? En guide till Governance, Risk & Compliance.

Governance - vem ansvarar för informationssäkerheten?

En vanlig missuppfattning är att informationssäkerhet främst är IT-avdelningens ansvar.

IT har ofta en central roll i att införa och förvalta tekniska säkerhetslösningar, men informationssäkerhet kräver också beslut, prioriteringar och ansvar på ledningsnivå.

Governance handlar om att skapa förutsättningar för detta.

Det innebär bland annat att organisationen behöver:

• Fastställa mål och riktlinjer för informationssäkerhet.
• Definiera roller och ansvar.
• Besluta vilka risker som kan accepteras.
• Säkerställa att tillräckliga resurser finns.
• Följa upp säkerhetsarbetet och identifierade brister.

Exempel: En organisation kan ha avancerade tekniska säkerhetssystem, men om det är oklart vem som ansvarar för att följa upp incidenter eller godkänna behörigheter finns fortfarande betydande risker.

Tydlig styrning hjälper organisationen att säkerställa att säkerhetsarbetet inte är beroende av enskilda personer eller avdelningar.

Risk - hur hanteras informationssäkerhetsrisker?

Riskhantering är en central del av både GRC och informationssäkerhet.

Organisationer behöver identifiera vilka informationstillgångar som är viktiga, vilka hot och sårbarheter som finns och vilka konsekvenser olika händelser kan få.

Det kan exempelvis handla om:

• Obehörig åtkomst till känslig information.
• Driftstörningar i verksamhetskritiska system.
• Förlust eller manipulation av information.
• Brister i säkerheten hos externa leverantörer.
• Otillräckliga rutiner för incidenthantering.

Ett strukturerat riskarbete innebär att organisationen identifierar och bedömer risker, beslutar om lämpliga åtgärder och regelbundet följer upp resultatet.

Alla risker kan inte elimineras. Därför behöver organisationen också kunna fatta medvetna beslut om vilka risker som kan accepteras.

GRC hjälper till att koppla dessa beslut till verksamhetens mål och övergripande riskhantering.

Det innebär att informationssäkerhetsrisker inte enbart hanteras som tekniska problem, utan bedöms utifrån hur de kan påverka verksamheten.

Compliance - vilka krav gäller för informationssäkerheten?

Organisationer behöver ofta förhålla sig till flera olika krav inom informationssäkerhet och cybersäkerhet.

Kraven kan komma från lagstiftning, branschspecifika regelverk, kundavtal och interna riktlinjer.

Några exempel är:

GDPR

Dataskyddsförordningen ställer bland annat krav på lämpliga tekniska och organisatoriska säkerhetsåtgärder vid behandling av personuppgifter.

NIS2 och cybersäkerhetslagen

NIS2-direktivet och den svenska cybersäkerhetslagen ställer krav på cybersäkerhetsriskhantering och incidentrapportering för verksamheter som omfattas av regelverket.

DORA

DORA ställer krav på digital operativ motståndskraft inom finanssektorn, bland annat inom IKT-riskhantering, incidenthantering och hantering av risker kopplade till IKT-tredjepartsleverantörer.

ISO 27001

ISO 27001 är en internationell standard för ledningssystem för informationssäkerhet. Standarden ger en struktur för att arbeta systematiskt med bland annat riskhantering, ansvar, säkerhetskontroller och kontinuerlig förbättring.

Till skillnad från GDPR, NIS2 och DORA är ISO 27001 inte en lag.

Vilka krav som gäller beror på organisationens verksamhet, sektor och andra relevanta förutsättningar.

Ett samordnat GRC-arbete kan göra det enklare att identifiera överlappande krav och skapa gemensamma processer för att hantera dem.

Hur hänger GRC och ISO 27001 ihop?

ISO 27001 och GRC har flera gemensamma utgångspunkter.

Båda betonar vikten av tydligt ansvar, riskbaserade beslut, uppföljning och kontinuerlig förbättring.

Skillnaden är att ISO 27001 fokuserar på ledningssystemet för informationssäkerhet, medan GRC har ett bredare perspektiv på organisationens styrning, risker och regelefterlevnad.

Ett ledningssystem enligt ISO 27001 kan därför vara en viktig del av ett större GRC-arbete.

Exempelvis kan organisationens arbete enligt ISO 27001 bidra med:

• En strukturerad metod för att identifiera och hantera informationssäkerhetsrisker.
• Dokumenterade mål, roller och ansvar.
• Processer för att införa och följa upp säkerhetskontroller.
• Internrevisioner och ledningens genomgång.
• Rutiner för att hantera avvikelser och förbättra ledningssystemet.

Genom att koppla dessa processer till organisationens övergripande riskhantering kan informationssäkerheten bli en tydligare del av verksamhetsstyrningen.

Internrevisioner är en viktig del av detta arbete eftersom de hjälper organisationen att utvärdera om ledningssystemet fungerar som avsett och identifiera förbättringsområden. Läs mer om hur internrevision och ISO 27001 hänger ihop.

Det är samtidigt viktigt att komma ihåg att en ISO 27001-certifiering inte automatiskt innebär att organisationen uppfyller alla krav enligt exempelvis NIS2 eller DORA. Respektive regelverks tillämplighet och krav behöver bedömas separat.

Vill ni förstå hur ISO 27001 förhåller sig till cybersäkerhetslagstiftningen? Läs vår artikel om skillnaderna mellan ISO 27001 och NIS2.

GRC och informationssäkerhet i praktiken - ett exempel

Tänk dig att ett företag ska införa ett nytt system för hantering av kundinformation.

Systemet innebär nya möjligheter för verksamheten, men också risker som behöver bedömas.

Så här kan GRC användas för att samordna arbetet:

1. Styrning

Organisationen beslutar vem som ansvarar för systemet, vilka säkerhetskrav som gäller och vem som får godkänna införandet.

2. Riskhantering

Verksamheten identifierar risker kopplade till exempelvis obehörig åtkomst, driftstörningar, informationsförlust och leverantörsberoenden.

3. Regelefterlevnad

Organisationen bedömer vilka rättsliga, avtalsmässiga och interna krav som gäller för systemet och informationen som ska hanteras.

4. Säkerhetskontroller

Utifrån riskbedömningen och kraven införs lämpliga åtgärder, exempelvis behörighetsstyrning, loggning, säkerhetskopiering och rutiner för incidenthantering.

5. Uppföljning

Organisationen följer upp att kontrollerna fungerar, att identifierade risker hanteras och att relevanta krav fortsatt uppfylls.

På så sätt blir informationssäkerheten en integrerad del av verksamhetens beslut och processer.

Varför är ett samordnat GRC-arbete viktigt för informationssäkerheten?

När styrning, riskhantering och regelefterlevnad fungerar tillsammans kan organisationen få flera fördelar.

Tydligare ansvar

Det blir enklare att förstå vem som ansvarar för säkerhetsrisker, kontroller och uppföljning.

Bättre prioriteringar

Säkerhetsåtgärder kan prioriteras utifrån verksamhetens risker och behov, snarare än enbart tekniska bedömningar.

Mindre dubbelarbete

När flera krav berör samma säkerhetsområde kan organisationen samordna kontroller och dokumentation där det är lämpligt.

Starkare uppföljning

Gemensamma processer gör det enklare att följa upp avvikelser, identifierade risker och beslutade åtgärder.

Bättre beslutsunderlag

Ledningen kan få en tydligare bild av hur informationssäkerhetsrisker påverkar verksamheten och vilka åtgärder som behöver prioriteras.

Hur kan organisationer förbättra kopplingen mellan GRC och informationssäkerhet?

Det behöver inte innebära att organisationen inför ett helt nytt system eller bygger upp ytterligare en funktion.

Ofta handlar det om att få befintliga arbetssätt att fungera bättre tillsammans.

Här är fem konkreta steg:

1. Kartlägg ansvarsfördelningen. Säkerställ att det är tydligt vem som äger informationssäkerhetsrisker och vem som ansvarar för olika kontroller.
2. Samordna riskbedömningar. Koppla informationssäkerhetsrisker till verksamhetens övergripande riskhantering.
3. Kartlägg relevanta krav. Identifiera vilka lagar, standarder och avtalskrav som påverkar informationssäkerhetsarbetet.
4. Skapa gemensamma rutiner för uppföljning. Följ upp risker, avvikelser och säkerhetskontroller på ett strukturerat sätt.
5. Involvera ledningen. Säkerställ att viktiga risker och förbättringsbehov lyfts till rätt beslutsnivå.

För en mer detaljerad genomgång kan du läsa vår artikel om GRC i praktiken – så får du styrning, riskhantering och compliance att samverka.

Internrevisionens roll inom GRC och informationssäkerhet

Internrevision är ett sätt att oberoende granska hur organisationens styrning, riskhantering och kontroller fungerar.

Inom informationssäkerhet kan en internrevision exempelvis undersöka om organisationen följer sina säkerhetsrutiner, om relevanta krav uppfylls och om säkerhetskontrollerna fungerar som avsett.

Revisionens resultat kan ge ledningen underlag för att identifiera brister och prioritera förbättringar.

Det är därför viktigt att internrevisionen inte enbart ses som en kontrollaktivitet, utan också som ett verktyg för att utveckla verksamhetens arbetssätt.

Läs mer om hur en internrevision går till – steg för steg.

Vanliga frågor om GRC och informationssäkerhet

Är GRC samma sak som informationssäkerhet?

Nej. Informationssäkerhet handlar om att skydda informationens konfidentialitet, riktighet och tillgänglighet. GRC omfattar organisationens styrning, riskhantering och regelefterlevnad inom flera områden, där informationssäkerhet kan vara en viktig del.

Är ISO 27001 en del av GRC?

ISO 27001 är en standard för ledningssystem för informationssäkerhet. Ett ledningssystem enligt standarden kan ingå i organisationens övergripande GRC-arbete och bidra till strukturerad riskhantering, styrning och uppföljning.

Hur hjälper GRC organisationer att uppfylla NIS2 och DORA?

GRC kan hjälpa organisationer att samordna ansvar, riskbedömningar, kontroller och uppföljning av regulatoriska krav. Det innebär däremot inte att ett GRC-arbete automatiskt säkerställer efterlevnad av NIS2 eller DORA. Organisationen måste bedöma och uppfylla de specifika krav som gäller.

Vem ansvarar för GRC och informationssäkerhet?

Ledningen har en central roll i organisationens övergripande styrning och prioriteringar. Det operativa ansvaret fördelas mellan verksamhetsansvariga, informationssäkerhetsfunktioner, risk- och compliancefunktioner och andra relevanta roller.

Behöver mindre företag arbeta med GRC?

Även mindre organisationer kan ha nytta av att samordna styrning, riskhantering och regelefterlevnad. Arbetets omfattning bör anpassas efter verksamhetens storlek, komplexitet och riskbild.

GRC gör informationssäkerhet till en del av verksamhetsstyrningen

Informationssäkerhet handlar inte enbart om tekniska lösningar. För att skapa ett långsiktigt och fungerande säkerhetsarbete behöver organisationen också tydlig styrning, strukturerad riskhantering och rutiner för regelefterlevnad.

Det är här GRC fyller en viktig funktion.

Genom att koppla samman ansvar, risker, krav och kontroller kan organisationer skapa bättre överblick, fatta mer välgrundade beslut och utveckla sitt informationssäkerhetsarbete över tid.

GRC hjälper organisationen att gå från enskilda säkerhetsåtgärder till ett samordnat och riskbaserat säkerhetsarbete.

På Securance hjälper vi organisationer att stärka sitt arbete med informationssäkerhet, styrning, riskhantering och regelefterlevnad genom rådgivning, analyser och oberoende granskningar.

Vill ni utveckla ert arbete med GRC och informationssäkerhet? Kontakta Securance för att diskutera hur vi kan hjälpa er.