Så förbereder ni er för Cybersäkerhet BAS – steg för steg
Förberedelserna inför certifiering handlar både om att få en bild av nuläget och om att säkerställa att organisationen uppfyller kraven i SSF 1101.
Hur vet ni om organisationen är redo för certifiering?
Ett bra första steg är att ta reda på hur väl organisationen uppfyller kraven i SSF 1101 idag.
Med SBSC kostnadsfria självskattning får ni en vägledande bild av organisationens beredskap inför certifiering. Resultatet visar uppfyllnadsgraden inom olika områden och vad ni kan behöva arbeta vidare med.
Vad krävs för att bli certifierad enligt SSF 1101?
För att bli certifierad behöver organisationen uppfylla kraven i normen SSF 1101 Cybersäkerhet BAS och kunna visa detta i SBSC certifieringsprocess.
Kraven omfattar både tekniska och organisatoriska säkerhetsåtgärder. Här är de viktigaste stegen inför certifieringen.
1. Läs Normen SSF 1101
Börja med att sätta er in i kraven i SSF 1101. Normen är kostnadsfri att ladda ner från SSF.
Kraven omfattar sex områden:
- datorer och mobila enheter
- mjukvara och applikationer
- nätverk
- IT-tjänster
- behörigheter
- utbildning.
Genom att läsa normen får ni en tydligare bild av vilka säkerhetsåtgärder som behöver finnas på plats i organisationen.
2. Kartlägg nuläget med självskattningen
Använd SBSC självskattning för att se vilka krav organisationen redan uppfyller och vilka områden som kan behöva åtgärdas.
Ni besvarar frågorna utifrån hur verksamheten ser ut idag och får direkt en sammanställning av resultatet. Självskattningen kan användas som stöd när ni planerar arbetet inför en certifiering.
3. Åtgärda det som återstår
När ni har gått igenom normen och gjort självskattningen kan ni börja prioritera de åtgärder som återstår.
Det kan exempelvis handla om att se över:
- behörigheter och autentisering
- multifaktorautentisering (MFA)
- säkerhetskopiering
- skydd mot skadlig kod
- nätverk och trådlösa nätverk
- leverantörer av kritiska IT-tjänster
- utbildning av medarbetare.
Vissa åtgärder kan genomföras relativt snabbt. Andra kan kräva mer arbete, intern förankring eller åtgärder tillsammans med externa IT-leverantörer.
4. Förankra cybersäkerhetsarbetet i organisationen
Cybersäkerhet är inte enbart en it-fråga. Kraven i SSF 1101 berör även organisationens arbetssätt, medarbetare och externa leverantörer.
Det är därför viktigt att tydliggöra vem som ansvarar för olika delar av säkerhetsarbetet och involvera de personer som behöver bidra. Samtliga medarbetare ska bland annat genomföra grundläggande utbildning i cybersäkerhet.
Organisationen behöver också identifiera leverantörer vars it-tjänster är kritiska för verksamheten och säkerställa att dessa har en grundläggande nivå av cybersäkerhet.
Hur går certifieringen enligt SSF 1101 till hos SBSC?
Certifieringsprocessen börjar när organisationen ansöker om certifiering hos SBSC. Därefter följer egendeklaration, granskning och vid behov hantering av avvikelser innan certifikat kan utfärdas.
1. Ansök om certifiering
Ansökan om certifiering görs via SBSC kundportal.
Ansök om certifiering enligt SSF 1101
2. Fyll i SBSC digitala egendeklaration
Efter ansökan får ni tillgång till SBSC digitala egendeklaration. Där besvarar ni frågor kopplade till kraven i SSF 1101 och lämnar in underlag som visar hur organisationen uppfyller kraven.
3. SBSC granskar underlagen
En teknisk bedömare hos SBSC granskar egendeklarationen och de underlag som ni har lämnat in.
Den tekniska bedömaren har också avstämning med organisationen och finns tillgänglig för frågor under certifieringsprocessen.
4. Eventuella avvikelser åtgärdas
Om granskningen visar att något krav inte är uppfyllt behöver organisationen åtgärda avvikelsen och vid behov lämna in kompletterande underlag.
När samtliga krav för certifieringen är uppfyllda kan certifikatet utfärdas.
Vad är skillnaden mellan självskattningen och SBSC egendeklaration?
Självskattningen är ett kostnadsfritt verktyg som kan användas före en ansökan. SBSC digitala egendeklaration är däremot en del av den formella certifieringsprocessen.
Självskattningen hjälper er att kartlägga nuläget och ger en vägledande bild av organisationens beredskap inför certifiering. Svaren granskas inte av SBSC.
Egendeklarationen blir tillgänglig efter att ni har ansökt om certifiering. Den och de underlag ni lämnar in används som underlag för SBSC granskning.
Vad händer om organisationen inte uppfyller alla krav?
Om SBSC granskning visar att ett eller flera krav inte är uppfyllda behöver avvikelserna åtgärdas innan certifikat kan utfärdas.
Ni får då möjlighet att genomföra nödvändiga åtgärder och komplettera med underlag som visar att kraven är uppfyllda.
Hur länge gäller ett certifikat enligt SSF 1101?
Ett certifikat enligt SSF 1101 Cybersäkerhet BAS är giltigt i högst tre år.
Under giltighetstiden kan SBSC genomföra stickprov för att kontrollera att organisationen fortsatt uppfyller kraven i normen.
Cybersäkerhet är samtidigt ett löpande arbete. Teknik, system, leverantörer, arbetssätt och hot förändras. Organisationens säkerhetsåtgärder behöver därför följas upp även efter certifieringen.
Vad är nästa steg inför certifiering?
Om ni ännu inte vet hur väl organisationen uppfyller kraven i SSF 1101 kan ni börja med SBSC kostnadsfria självskattning.
Är ni redo att påbörja certifieringsprocessen?
Ansök om certifiering Cybersäkerhet BAS
Kontakta gärna SBSC för mer information om certifieringen eller rådgivning om hur ni kan börja ert arbete med informationssäkerhet.
