Etablering af lokalt ledelsessystem

Hvordan I lokalt bygger jeres organisation omkring informationssikkerhed vil variere fra enhed til enhed, men her er beskrevet roller og ansvar, som varetages lokalt. Hvordan de forskellig roller agerer i forhold til hinanden, herunder ansvarsfordeling og kriterier for eskalering, skal også med i jeres overvejelser omkring organisering.

Organisering omkring informationssikkerhed sikrer ledelsesforankring og ansvarsfordeling baseret på følgende roller:

• Enhedsledelsen - har ansvaret for informationssikkerhed på instituttet/fakultetet, og i den funktion også har det overordnede risikoejerskab. Enhedslederen er ansvarlig for at fastlægge og dokumentere ejerskab af aktiver, herunder projekter og systemer, risici, foranstaltninger og krav (herunder lovgivning) - se opgaver og ansvar for Enhedsledere. Hvor ejerskabet er delt, bør der foreligge forvaltningsaftaler, som dokumenterer ansvarsfordelingen.
• System-/aktivejer - forvaltning omkring et væsentlig aktiv kan tildeles system-/aktivejer, som oftest er en person med ledelsesansvar og med kendskab til selve brugen og værdien af aktivet for at sikre forretningens daglige virke. Hvor aktiv er et it-system - se opgaver og ansvar for Systemejer. System-/aktivejer kan også være risikoejer, men her kan der være behov for at behov for at sætte kriterier internt for, hvornår og hvilke risici og scenarier der skal eskaleres til enhedsledelsen og hvordan.
• Risikoejer - kan, som det fremgår af rollerne Enhedsledelse og System-/aktivejer, tildeles på flere niveauer. Det vigtigste er, at en risikoejer har ansvaret for og beføjelsen til at forvalte de risici, de er ansvarlige for, herunder at træffe informerede beslutninger om håndtering af risici. Hvilket ledelseslag en risikoejer skal findes afhænger ofte af konsekvensen af den konkrete risiko - hvor risici med høj konsekvens ofte placeres højere oppe i hierarkiet end risici med lav konsekvens.
• Systemforvalter - har et dybdegående kendskab til aktivet, her et it-systemet; hvordan det benyttes og indgår som et vigtigt redskab i en kritisk forretningsproces. Systemforvalter forvalter it-systemet rent praktisk i det daglige - se Systemforvalterens opgaver
• Lokal Informationssikkerhedskoordinator - har enten et institut eller fakultet, hvor de er udførende i forhold til informationssikkerhedsaktiviteter i den pågældende enhed - se opgaver og ansvar for lokal informationssikkerhedskoordinator.

Ekalering af risici/risikoejerskab

Print-venlig version af oversigt over roller og overvejelser ifht. eskalering 

Overblik over aktiver gør det muligt at prioritere ressourcer på et oplyst beslutningsgrundlag.

Ressourcer kan målrettes indsatsområder - identificeret og prioriteret af ledelsen på baggrund af risikoaccept i forhold til enhedens kritiske og/eller sensitive informationer.

• Kritiske informationer: informationer, som hverken vi eller vores interessenter, kan undvære/miste.
• Sensitive informationer: informationer, som hverken vi eller vores interessenter, kan bære, at det bliver lækket

Spørgeguide til identifcering og prioritering af informationsaktiver:

Print-venlig version af spørgsmål til at identificere og prioritere informationsaktiver