Risikovurderinger gjøres i Excel og lagres lokalt.
Ulike avdelinger bruker ulike maler, vurderingene oppdateres sjelden, og det er vanskelig å få et samlet bilde av virksomhetens risikostatus.
Løsning - Informasjonssikkerhet
Informasjonssikkerhet – risikovurdering, NIS2-etterlevelse og styringssystem i én løsning
Informasjonssikkerhet handler om å beskytte virksomhetens data mot uautorisert tilgang, tap og misbruk. For de fleste virksomheter er dette blitt et ledelsesansvar som krever dokumenterte risikovurderinger, oversikt over systemlandskapet og etterlevelse av regelverk som NIS2 og digitalsikkerhetsloven.
Iconfirm gir deg et styringssystem for informasjonssikkerhet der risikovurderinger, systemarkitektur og etterlevelse håndteres i én samlet struktur – koblet til personvern, leverandøroppfølging og informasjonsforvaltning.
Mange virksomheter kjenner seg igjen i dette:
Ingen oversikt over systemlandskapet.
Dere har hundrevis av systemer, men mangler en oppdatert kartlegging av hva som finnes, hvem som eier det, kritikalitet og hvilke data som behandles hvor.
NIS2 og digitalsikkerhetsloven skaper usikkerhet.
Nye regelverk stiller krav til dokumentert styring av informasjonssikkerhet, men dere er usikre på hva som kreves og hvordan dere skal dokumentere etterlevelse.
Sikkerhet og personvern lever i separate siloer.
Personvernombudet jobber i étt system, IT-sjefen i et annet, og det finnes ingen felles oversikt som binder risiko, tiltak og etterlevelse sammen.
Informasjonssikkerhet er ikke bare et teknisk spørsmål. Det er et ledelsesansvar som krever struktur, oversikt og dokumentasjon.
Iconfirm gir deg et styringssystem for informasjonssikkerhet
01
Gjennomfør risikovurderinger med struktur og sporbarhet
Bruk ferdige maler eller tilpass til virksomhetens behov. Hver risikovurdering kobles til relevante systemer, databehandlere og tiltak – slik at vurderingene lever i kontekst, ikke som isolerte dokumenter.
02
Kartlegg hele systemlandskapet
Få oversikt over alle systemer, hvem som eier dem, hvilke data de behandler, og hvem som har tilgang. Systemarkitekturen kobles til risikovurderinger og leverandøroppfølging i samme modell.
03
Dokumenter NIS2- og DORA-etterlevelse
Iconfirm gir deg en struktur for å dokumentere at virksomheten oppfyller kravene i NIS2-direktivet, digitalsikkerhetsloven og DORA. Etterlevelse knyttes til konkrete risikovurderinger og tiltak, ikke generelle erklæringer.
04
Koble sikkerhet til personvern og leverandørstyring
Informasjonssikkerhet håndteres ikke i silo. Risikovurderinger deler data med behandlingsprotokollen og leverandøroppfølgingen, slik at hele bildet håndteres i én modell.
05
Gi ledelsen et oppdatert risikobilde
Dashbord og rapporter viser status på risikovurderinger, tiltak og etterlevelse – slik at ledelsen kan ta beslutninger basert på fakta, ikke antakelser.
Informasjonssikkerhet i Iconfirm brukes på tvers av organisasjonen
| Rolle | Bruker Iconfirm til | Verdi |
| IT-sjef / CISO | Gjennomføre risikovurderinger, kartlegge systemlandskap, dokumentere sikkerhetstiltak | Samlet risikobilde i stedet for spredte Excel-filer |
| Toppledelse / styre | Se status på risiko, etterlevelse og tiltak på tvers av virksomheten | Beslutningsgrunnlag for NIS2, DORA og forretningsrisiko |
| Personvernombud / DPO | Koble risikovurderinger til behandlingsprotokoll og leverandøroppfølging | Helhetlig oversikt i stedet for parallelle systemer |
| Sikkerhetsansvarlig | Vedlikeholde systemarkitektur, vurdere leverandørrisiko, følge opp tiltak | Struktur for løpende sikkerhetsarbeid |
Nye regelverk stiller strengere krav til dokumentert sikkerhet
NIS2-direktivet og den norske digitalsikkerhetsloven stiller krav til at virksomheter dokumenterer styring av informasjonssikkerhet – inkludert risikovurderinger, leverandørkontroll og rapportering til ledelsen. For finanssektoren innfører DORA tilsvarende krav til digital operasjonell motstandsdyktighet.
Iconfirm gir virksomheter en struktur for å dokumentere etterlevelse av disse regelverkene – ikke som et engangsprosjekt, men som en løpende del av styringen. Risikovurderinger, systemarkitektur og leverandørkontroll håndteres i samme modell, slik at dokumentasjonen alltid er oppdatert.
Viktig: Iconfirm erstatter ikke juridisk rådgivning. Løsningen gir struktur for å dokumentere og følge opp de tiltakene virksomheten velger å iverksette.
Fra fragmentert risikobilde til samlet styring
Sandefjord kommune har over 65 000 innbyggere og et omfattende digitalt systemlandskap. Før Iconfirm manglet kommunen en samlet oversikt over systemene sine, risikovurderinger ble gjort sporadisk, og det var vanskelig å dokumentere status på informasjonssikkerhet for ledelsen.
I dag har kommunen:
511
systemer kartlagt med eierskap, dataklassifisering og tilknyttede leverandører
Alle
risikovurderinger koblet direkte til systemer og databehandlere i én modell
200
brukere på tvers av organisasjonen som vedlikeholder informasjonen løpende
Resultatet er et oppdatert risikobilde som ledelsen kan bruke som beslutningsgrunnlag – ikke et årlig prosjekt som foreldes før det er ferdig.
Vanlige spørsmål om informasjonssikkerhet
Hva er et styringssystem for informasjonssikkerhet?
Et styringssystem for informasjonssikkerhet (ISMS) er en strukturert tilnærming til å styre risiko knyttet til virksomhetens informasjon. Det inkluderer retningslinjer, prosesser, risikovurderinger og tiltak som samlet sikrer at informasjon beskyttes mot uautorisert tilgang, tap og misbruk. ISO 27001 er den mest brukte standarden for ISMS. Iconfirm gir en praktisk struktur for å operasjonalisere et slikt system – med risikovurderinger, systemarkitektur og etterlevelsesdokumentasjon i én løsning.
Hva krever NIS2 av norske virksomheter?
NIS2-direktivet, som i Norge implementeres gjennom digitalsikkerhetsloven, stiller krav til at virksomheter i definerte sektorer har dokumentert styring av informasjonssikkerhet. Kravene inkluderer risikovurderinger, hendelseshåndtering, leverandørkontroll, opplæring og rapportering til myndighetene. Et sentralt krav er at ledelsen har et eksplisitt ansvar for informasjonssikkerheten – dette er et ledelsesansvar, ikke bare et IT-spørsmål.
Hvordan gjennomfører man en risikovurdering for informasjonssikkerhet?
En risikovurdering for informasjonssikkerhet følger typisk fire steg: identifiser verdier og informasjon som må beskyttes, identifiser trusler og sårbarheter, vurder sannsynlighet og konsekvens, og definer tiltak for å redusere risikoen til akseptabelt nivå. Vurderingen bør kobles til konkrete systemer og databehandlere, og den bør gjennomgås regelmessig. I Iconfirm gjennomføres risikovurderinger i en struktur som automatisk kobler dem til relevante systemer og leverandører.
Hva er forskjellen mellom NIS2 og digitalsikkerhetsloven?
NIS2 er et EU-direktiv som stiller krav til sikkerhet i nettverk og informasjonssystemer. Digitalsikkerhetsloven er den norske loven som implementerer NIS2 i norsk rett. Innholdsmessig er kravene i stor grad sammenfallende, men digitalsikkerhetsloven tilpasser direktivet til norske forhold og definerer hvilke sektorer og virksomheter som omfattes. Virksomheter som er usikre på om de omfattes, bør søke juridisk rådgivning.
Hvordan dokumenterer man informasjonssikkerhet i praksis?
Dokumentasjon av informasjonssikkerhet innebærer å ha oppdaterte risikovurderinger, en oversikt over systemlandskapet, definerte sikkerhetstiltak med ansvarlige, dokumenterte leverandørvurderinger og en plan for hendelseshåndtering. Alt dette må være tilgjengelig for ledelsen og kunne fremvises ved revisjon. Iconfirm samler denne dokumentasjonen i én struktur, slik at den vedlikeholdes løpende av fagmiljøene som kjenner systemene best. Og, det handler ikke bare om å kunne fremvise dokumenter, men å sikre at styringssystem faktisk etterleves i organisasjonen.
Klar for å få kontroll på informasjonssikkerheten?
Iconfirm gir deg risikovurderinger, systemarkitektur og etterlevelsesdokumentasjon i én løsning – koblet til personvern og leverandørstyring.