Det robusta sjukhuset - Myndigheten för samhällsskydd och ...

Nedan följer ett exempel på en lämplig arbetsgång för informationssäkerhet: Organisationen definierar målen och inriktningen med sittsäkerhetsarbete i en informationssäkerhetspolicy. Utifrån denna tas en systemsäkerhetsplan fram för varje enskiltinformationssystem. I systemsäkerhetsplanen anges, utöver vadsom anges i BITS för grundsäkerhet, styrande krav i lagar ochförordningar för den aktuella verksamheten, verksamhetskravpå sekretess, tillförlitlighet och tillgänglighet samt vilka särskildahot och risker som kan påverka säkerheten. Med utgångspunkt i informationssäkerhetspolicyn och systemsäkerhetsplanenutarbetas säkerhetsinstruktioner och anvisningar. Verksamhetsansvarig chef fastställer vilka åtgärder som ska vidtas. För att kontrollera att säkerheten i informationssystemet uppfyllerställda krav granskas det befintliga säkerhetsskyddet.Granskningen leder till en säkerhetsutvärdering. Denna säkerhetsutvärderingligger till grund för beslut om driftgodkännande.Ett beslut kan vara att det aktuella IT-systemet godkännsutan vidare åtgärder, att det godkänns med förbehåll om attåtgärder ska vidtas enligt en fastställd tidplan, alternativt attsystemet inte driftgodkänns då riskerna med en fortsatt driftbedöms vara för stora.Arbetet bör genomföras av och inom respektive verksamhet. Systemägareneller den som verksamhetsledningen utser bör tillhöraden operativa verksamheten med befogenhet och resurser att fattaoch genomföra beslut.SystemsäkerhetsplanSystemsäkerhetsplanen är det dokument som anger verksamhetskravenpå det aktuella IT-systemet. Dokumentet ska vara ettunderlag för beslutet om vilka åtgärder som ska vidtas. Kraven skakunna omsättas i krav på tekniska och administrativa säkerhetsåtgärder.144 kbm rekommenderar 2008:2