Så tar ni fram en IT-policy som fungerar i vardagen

En användbar IT-policy förklarar hur företagets information, konton och enheter ska hanteras i vardagen. Den ska vara kort nog att läsas, konkret nog att följas och tydlig med vem som fattar beslut när något avviker.

• Vilka personer, bolag, system och enheter policyn omfattar.
• Vilken information som är särskilt viktig eller känslig.
• Vem som äger policyn och vem som får besluta om undantag.
• Hur medarbetare rapporterar fel, misstänkta mejl och förlorade enheter.

Någon i ledningen behöver äga riskerna även när en extern IT-partner sköter tekniken. Utse därför ansvar för användarkonton, enheter, behörigheter, backup, leverantörer och incidenter. Dokumentera också vem som får beställa nya tjänster och godkänna kostnader.

Inloggning och behörigheter

Kräv personliga konton, MFA och godkända lösenordsverktyg. Beskriv hur extra behörighet beställs, tidsbegränsas och tas bort. Administratörskonton ska användas separat från vanliga arbetskonton.

Enheter, filer och molntjänster

Ange vilka enheter som får användas, hur de ska skyddas och var arbetsfiler ska sparas. Ta ställning till privata enheter, extern fildelning, USB-minnen och installation av program. Förklara också vad som säkerhetskopieras och vem som provar återställning.

När någon börjar eller slutar

Nya medarbetare ska få rätt åtkomst från start, inte kopior av någon annans behörigheter. När någon slutar ska konton, sessioner, enheter, e-post, filer och licenser hanteras i en bestämd ordning.

Policyn ska säga vem som kontaktas, genom vilken kanal och vad medarbetaren ska göra direkt. Undvik krav på att personen själv ska avgöra hur allvarlig händelsen är. En förlorad dator, oväntad MFA-fråga eller felaktig mottagare kan vara tillräckligt för att kontakta ansvarig.

1. Rapportera händelsen omedelbart via den angivna kanalen.
2. Bevara relevanta uppgifter som tidpunkt, avsändare och skärmbilder.
3. Låt ansvarig begränsa åtkomst, bedöma omfattning och dokumentera beslut.
4. Återställ, följ upp och förbättra rutinen efter händelsen.

Gå igenom policyn med ledning, chefer och medarbetare. Använd konkreta situationer: delning med en kund, arbete från hotell, en borttappad telefon och en konsult som behöver tillfällig åtkomst. Då upptäcks otydliga regler innan de skapar friktion.

Publicera policyn där alla hittar den och koppla den till introduktion av nyanställda. Spara även en enkel ändringslogg så att det framgår vilken version som gäller.

Granska policyn när verksamheten, systemen eller riskbilden förändras och minst årligen. Kontrollera att ansvariga personer fortfarande har sina roller, att länkar och kontaktvägar fungerar och att de tekniska kontrollerna motsvarar texten.

• Stäm av aktiva användare, administratörer och externa gäster.
• Kontrollera enhetskrav, uppdateringar och kryptering.
• Prova incidentvägen och en faktisk återställning från backup.
• Dokumentera beslutade ändringar och informera berörda.