Ett demoscenario som visar vad IT-förvaltningen faktiskt levererar: översikten, hur en risk blir en åtgärd, åtgärdsplanen och rapporten som går till ledningen.
Bolaget och siffrorna är påhittade för att visa formatet. Mätpunkterna är hämtade ur vårt ramverk.
Efter etableringen är varje mätpunkt bedömd som OK, varning eller larm. Översikten ligger i arbetsytan, uppdateras löpande och är det första ledningen ser.
En avvikelse blir en bedömd risk, risken blir ett beslut och beslutet blir en åtgärd med ansvar och datum. Hela kedjan ligger i plattformen.
Backup finns, men ingen återläsning har testats på över ett år.
Ingen vet om e-post och filer går att få tillbaka efter ett intrång.
Kvartalsvisa återställningstest, första i november.
Kvartalsmöte Q4IT-leverantören · v. 46
KlarTest godkänt · mätpunkten är grönÄldre inloggningsprotokoll är öppna och tre konton saknar MFA.
Ett läckt lösenord räcker för att ta sig in i e-posten.
Blockera äldre autentisering och kräv MFA för alla.
Kvartalsmöte Q4Creative Layers · v. 45
Pågår2 av 3 konton klara · följs upp i novemberSex konton är aktiva för personer som har slutat.
Obehörig åtkomst — och sex licenser som betalas i onödan.
Gemensam rutin med HR för avslut av anställning.
Kvartalsmöte Q4HR och Creative Layers · v. 48
PlaneradRutinen tas upp på nästa kvartalsmöteOrdningen föreslås utifrån risk, verksamhetsnytta och insats. Ni beslutar den på kvartalsmötet. Åtgärderna genomförs av er, er leverantör eller oss — vi följer upp varje månad.
Rapporten utgår från en mall och hämtar innehållet ur arbetsytan. Den skrivs inte för hand och är aldrig inaktuell. Den granskas och godkänns innan den levereras.
Leverans: som PDF som arkiveras i arbetsytan, eller som delningslänk. Rapporten kan också skickas automatiskt veckovis, månadsvis eller kvartalsvis.
Godkänd · PDF arkiverad i arbetsytan
Ramverket omfattar i dag över 650 mätpunkter. Vilka som gäller för er beror på miljön — har ni inga egna servrar mäts de inte. Här är huvudområdena med exempel på mätpunkter, namngivna som i ramverket.
Inloggning, MFA, kontohantering, roller och hela livscykeln från anställning till avslut.
Grundskyddet i kontorsplattformen: åtkomstregler, delning, loggning och efterlevnad.
Att data faktiskt går att få tillbaka — inte bara att det finns en backup.
Datorer och mobiler: kända, uppdaterade, krypterade och skyddade.
EDR, sårbarhetshantering, härdning, kryptering och incidenthantering.
Det som syns utifrån: e-postens DNS, certifikat, domän och webb.
Brandväggar, segmentering, servrar, virtualisering och molnplattformar som Azure och AWS.
Hur verksamheten klarar ett avbrott: planer, krisorganisation och kommunikation.
Policyer, rutiner, dokumentation, övervakning och användarutbildning.
Avtal, uppsägningstider, licenser och personuppgiftsbiträden.
GDPR, NIS2, riskregister och ledningens ansvar.
Varje mätpunkt har en prioritet, hur ofta den ska granskas och en instruktion för hur den bedöms. Därför går resultatet att jämföra månad för månad.
Boka 30 minuter. Vi går igenom hur översikten och åtgärdsplanen skulle se ut hos er, och vad första månaden innehåller.