Lägg säkerhetsbudgeten på de risker som betyder mest

Många ledningsgrupper har lärt sig en dyr läxa. De har försökt visa sin säkerhetsmognad genom att lägga till fler policyer, fler krav och fler tekniska åtgärder. Antalet går att räkna och redovisa, och en lång lista ser ut som ett starkt skydd på papperet. Men antalet införda åtgärder säger nästan ingenting om hur väl organisationen står emot ett angrepp. Aktivitet är inte detsamma som minskad risk.

Standarderna har själva slutat mäta säkerhet i antal åtgärder. När ISO 27001 uppdaterades från 2013 till 2022 års version minskade antalet åtgärder i bilaga A (Annex A) från 114 till 93. Överlappande krav slogs ihop och ordnades i fyra teman, eftersom det är träffsäkerheten i åtgärderna som avgör, inte mängden. En lång lista generiska åtgärder ger falsk trygghet så länge de sårbarheter som hotar organisationen står kvar. Ett kalkylblad med bockar mot ett ramverk räcker för en revision vid ett givet tillfälle, men inte för att driva säkerhetsarbetet.

Börja med risken

Ett säkerhetsprogram måste börja med frågan vilka störningar organisationen vill förhindra, begränsa eller vara beredd på. Den som i stället utgår från en generisk åtgärdskatalog lägger resurserna på fel ställen och lämnar luckor där de gör som mest skada.

En organisation kan ha infört dussintals avancerade åtgärder för att skydda sitt interna nätverk. Om riskbedömningen missade beroendet av en enskild extern leverantör skyddar ingen av dem mot det som stoppar verksamheten.

Ett fungerande skydd kräver att ni känner er egen verksamhet och riktar åtgärderna mot de hot som kan avbryta den. Det arbetet börjar oftast med en baslinje: att ta reda på var ni faktiskt står i förhållande till kraven, innan någon budget läggs på nya tekniska lösningar.

Vad proportionell säkerhet betyder

Nyare regelverk bygger på det här riskbaserade arbetssättet. NIS2-direktivet, och den svenska cybersäkerhetslagen, kräver att de verksamheter som omfattas inför lämpliga och proportionella säkerhetsåtgärder. Efterlevnaden är ett löpande arbete, inte ett projekt med slutdatum. Proportionell säkerhet betyder rätt åtgärd mot rätt risk, med en tydlig ägare och ett tydligt ansvar.

ENISA, EU:s cybersäkerhetsbyrå, följde upp med en teknisk vägledning i juni 2025 som översätter regelkraven till praktisk riskhantering. Budskapet är att säkerhetsåtgärderna ska gå att spåra till identifierade risker. Leverantörsgranskning, incidenthantering och grundläggande cyberhygien ska stå i proportion till det hot verksamheten möter. Ett regionalt energibolag behöver inte samma hotunderrättelsetjänst som en internationell bank. Men det behöver strikt nätverkssegmentering och hård åtkomstkontroll i sina styrsystem.

Ingen förväntar sig, och ingen lag kräver, att varje tänkbar åtgärd införs. Kravet är att kunna visa att de valda åtgärderna hanterar de risker som prioriterats högst. En grundlig genomgång av kritiska beroenden, utifrån vad ett avbrott skulle betyda för verksamheten, ger mer än ett generiskt frågeformulär till leverantörerna.

Vad fel åtgärd kostar

Varje säkerhetsåtgärd kostar, och den fortsätter att kosta. Den tar pengar, tid att införa, tid från ledningen och tid från driften. Går de till en åtgärd som inte minskar någon verklig risk, saknas de där de hade gjort nytta. Säkerhetschefer har en begränsad budget och ett team som redan har fullt upp.

Ett team som lägger ett halvår på att maskera data för att bocka av ett krav de tror finns, medan gamla system står opatchade, har inte stängt en lucka utan öppnat en större. Det är den kostnaden som ska styra vad ni satsar på.

Pengar som går till fel åtgärd finns inte kvar till de hot som är på riktigt. NIS2 kräver en första incidentrapport inom 24 timmar, och det klarar bara ett team som har tid över. Den tiden försvinner fort om dagarna går åt till system som skyddar lite men larmar hela tiden.

Från fynd till prioriterad risk

Att gå från att samla åtgärder till att minska risk kräver att varje risk kopplas till konkret arbete med en ansvarig. En fungerande riskhantering gör bedömningens fynd till prioriterade risker, riskerna till åtgärdsplaner, och framstegen till underlag som går att kontrollera. Varje införd åtgärd går då att spåra tillbaka till den sårbarhet som motiverade den.

Med en ägare och en deadline på varje åtgärdsplan fastnar arbetet inte i planeringsfasen. Trenden mellan två bedömningar visar hur mognaden utvecklas över tid, och ger ett underlag styrelsen kan läsa i stället för ett kalkylblad som en revisor lätt kan ifrågasätta.

Med ett samlat riskregister, där varje åtgärd har en ägare och en uppföljning, kan ledningen se till att kapaciteten läggs på de högst prioriterade sårbarheterna. Och säkerhetsteamet kan koppla sitt dagliga arbete till det organisationen ska klara: kraven och driften.

En bättre fråga från ledningen

Målet med allt informationssäkerhetsarbete är att organisationen ska fungera även under angrepp. Cybersäkerhetslagen lägger ansvaret för riskhanteringsåtgärderna på ledningen, vilket gör cybersäkerhet till en styrelsefråga. Att mäta antalet policyer eller tekniska installationer driver ett efterlevnadstänk som sällan svarar mot hur hoten ser ut.

Styrelsemötet där ingen kan svara på den grundläggande frågan om beredskapen börjar ofta med en översikt som visar hur många åtgärder som är på plats. Den fråga ledningen bör ställa är vilka risker organisationen faktiskt har minskat det här kvartalet. När samtalet handlar om minskad risk blir organisationen både mer motståndskraftig och lättare att visa upp för en granskare.

Det arbetet börjar med att hitta luckorna i det nuvarande skyddet. När ni vet var sårbarheterna sitter kan ni sluta samla åtgärder och börja hantera risk. CyberResilients bedömningar ger er den bilden och kopplar varje fynd till era säkerhetsåtgärder och ert riskregister. Ni kan göra om dem så ofta ni vill.

 

Fredrik Limsäter är vd för CyberResilient. Han har ägnat sin karriär åt att bygga mjukvara som gör komplext arbete effektivare och modernare, först som grundare av den globala produktionsplattformen ftrack och nu genom att göra regelefterlevnad och riskhantering till ett arbete som