Delsteg 2: Identifiera samt klassificera och bedöma verksamhetens skyddsvärden

Vägledning

Verksamhetsutövaren ska identifiera vilka skyddsvärden som finns i den säkerhetskänsliga verksamheten, det vill säga kartlägga och precisera (identifiera, klassificera och bedöma) skyddsvärdena:

• Säkerhetsskyddsklassificerade uppgifter: Klustra dem på rubriknivå om de är många (givet att uppgifterna behandlas/hanteras på liknande sätt). Dessa ska klassificeras utifrån den skada ett röjande kan medföra för Sveriges säkerhet.
• Annan säkerhetskänslig verksamhet: Anläggningar, objekt, system, egendom och andra tillgångar samt tjänster och leveranser som är av betydelse för Sveriges säkerhet, och som krävs för att verksamheten ska fungera (se kap 3.3, sid 16 i Vägledning). Specificera vad. Dessa ska inte klassificeras utan konsekvensbedömas utifrån den skada som kan uppstå på Sveriges säkerhet.
• Internationella åtaganden Ta även med uppgifter och säkerhetskänslig verksamhet som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd (avtal reglerar detta) (se kap 3.2, sid 15 i Vägledning)

Steg 2a Identifiera alla skyddsvärden: Fundera över vad som är verksamhetens skyddsvärden, det vill säga vilka är de mest känsliga delarna. Vilka typer av informationstillgångar har vi och vilken säkerhetskänslig verksamhet bedriver vi som inte får äventyra Sveriges säkerhet alt Sveriges förpliktiganden? Beakta även eventuella starka beroenden till externa parter (avseende uppgifter och säkerhetskänslig verksamhet).

Steg 2b Klassificera identifierade Uppgifter: Bedöm därefter ur vilket perspektiv uppgifterna har ett högt skyddsvärde på en nationell nivå. Vilken kravnivå är det på konfidentialitet (K), på riktighet (R) och på tillgänglighet (T)?

Steg 2c Konsekvensbedöm Annan säkerhetskänslig verksamhet. Konsekvensnivåer (nivå A-D) sättas för den skada för Sveriges säkerhet som ett (rimligt, inga ytterligheter) angrepp eller avbrott kan innebära för Sveriges säkerhet. Beskriv också (för ett resonemang) på vilket sätt den bedömda skadan har koppling till Sveriges säkerhet.

Bifoga en beskrivning (i en bilaga): Dokumentera kort och efter bästa förmåga, på vilket sätt hur ni resonerat vid respektive Klassificering och Konsekvensbedömning, speciellt hur kopplingen till Sveriges säkerhet motiveras. Detta underlättar det fortsatta arbetet och ger en röd tråd i både analys och valda säkerhetsåtgärderna. Håll det enkelt men tydligt.

Glöm inte Verksamhetsskyddet! En kommentar till ”skada” för Sveriges säkerhet vad gäller samhällskritiska funktioner/ tjänster: Om en uppgift eller funktion/verksamhet inte har nationell betydelse utan är samhälls- och verksamhetskritiska ur ett regional eller lokalt perspektiv är det självklart viktigt att fånga upp i arbetet med ett Verksamhetsskydd, så att lämpliga säkerhetsåtgärder kan vidtas även ur detta perspektiv. Men den Säkerhetsplan och de Säkerhetsåtgärder som följer av en Säkerhetsskyddsanalys ska enbart fokusera på åtgärder för att skydda Sveriges säkerhet. Annars riskerar det bli rörigt i styrningen och uppföljningen av verksamhetens olika skyddsåtgärder.

Hänvisning till fördjupning

Delsteg 3: Säkerhetshot identifieras

Det går inte att avgöra vilka säkerhetsskyddsåtgärder som tillfredsställer behovet av säkerhetsskydd för en verksamheten utan att först ta ställning till vad säkerhetsskyddet ska klara av att skydda mot för något. Hur ser hotbilden ut? Det ska beskrivas.

Gör en tydlig beskrivning av hoten och motståndarna, hotaktörerna. (1) Vilka hotaktörer har intresse av att hota skyddsvärdena? (2) Vad är hotaktörernas intressen? (3) Vilka är respektive hotaktörers mest rimliga tillvägagångssätt för de olika skyddsvärdena?

Exempel på säkerhetshot är cyberangrepp, spionage, stöld och sabotage. Gör en tydlig beskrivning av hoten och motståndaren. Hur ser hotbilden ut? Vilken typ av angripare kan tänkas utgöra ett hot? Exempel: främmande makts underrättelse- och säkerhetstjänst, terrorism, grov organiserad brottslighet, extremism, etc. Och vilka är deras respektive tillvägagångssätt?

Notera: Säkerhetshot som inte är av relevans för de identifierade skyddsvärdena eller den säkerhetskänsliga verksamheten i stort ska inte redovisas i säkerhetsskyddsanalysen

Källa FHS: Det är främst de antagonistiska hoten som ökat mot Sverige, dvs avsiktliga hot. Hoten består av aktiviteter, både lagliga och olagliga. Det finns olika publikationer som presenterar aktuella lägesbilder som kan användas: Säkerhetspolisen (2019-2024), Must, Nationellt Cybersäkerhetscenter (2024), etc.

Källa FHS och Säpo: Det är viktigt att verksamheten själva identifiera säkerhetshoten mot verksamhetens skyddsvärdena, för att kunna dimensionera sitt säkerhetsskyddet och reducera sårbarheterna. Säkerhetshoten och dess konsekvenser är grunden för den prioritering av säkerhetsskyddsåtgärder som verksamheten ska vidta. Så det är viktigt att lägga tid på en tillpassad hotbild så att man inte skjuter för ”brett” i sin kommande Säkerhetsskyddsplan.

Många säkerhetskänsliga verksamheter erhåller en verksamhetsanpassad DAF från Säkerhetspolisen, dvs en handling som beskriver de dimensionerande antagonisternas förmågor och ibland även annan anpassad information om säkerhetshot. Dessa ska verksamheten ha som utgångspunkt i beskrivningen av hotbilden, och utöver det lägga till ev hot som verksamheten själv identifierat, ex sektorsspecifika hotbilder.

En hotbild är en beskrivning över hotaktörerna (antagonister med både förmåga och avsikt) i det korta perspektivet och behöver hållas uppdaterad i takt med omvärldsläget. Den beskriver aktörernas aktuella förmågor och tillvägagångssätt men säger inget om sannolikheten för att ett hot ska verkställas. Sannolikheten för röjande eller skada beaktas inte i en Säkerhetskyddsanalys, enbart konsekvensen för Sveriges säkerhet om ett hot verkställs.

Delsteg 4: Gör en sårbarhetsbedömning

Beskriv de respektive större sårbarheterna, dvs luckor och glapp i vårt befintliga skydd av, kopplat till de olika skyddsvärden (informationstillgångar och kritiska tjänster/funktioner).

Förslag på generiska och allmänt förekommande sårbara punkter och relaterade säkerhetsskyddsåtgärder finns i Säkerhetspolisens olika Vägledningar. De verksamhetsunika sårbarheterna måste dock vaskas fram internt, i samverkan med olika typer av resurser och kompetenser i organisationen.

Identifieringen kan resultera i att ett stort antal sårbarheter identifieras i verksamheten. I arbetet med säkerhetsskyddsanalysen ska enbart de sårbarheterna som är av relevans för de identifierade skyddsvärdena eller den säkerhetskänsliga verksamheten i stort redovisas. Resterande sårbarheter hanteras inom ramen för Verksamhetsskyddet.

Delsteg 5: Säkerhetsskyddsåtgärder beskrivs

Identifiera vilka skyddsåtgärder som krävs för respektive sårbarhet kopplat till skyddsvärdena. Skyddsåtgärderna finns inom tre olika kategorier: informationssäkerhet, fysisk säkerhet och personalsäkerhet.

Alla tre kategorier krävs för att fullgott totalskydd. För att säkerhetsskyddsåtgärderna ska ge avsedd effekt och resultera i ett heltäckande säkerhetsskydd är det viktigt att beakta att säkerhetsskyddsåtgärderna som vidtas samverkar och bildar en helhet.

Exempel: ett fungerande fysisk säkerhetsskydd förutsätter att det finns en fungerande och ändamålsenlig personalsäkerhet. Och fungerande informationssäkerhet kräver fungerande personalsäkerhet och fysisk säkerhet. Så beroendena och harmoniering mellan olika säkerhetsåtgärder är också viktigt att beakta när säkerhetsskyddsåtgärder planeras och genomförs.

Delsteg 6: Gör en säkerhetsskyddsplan

En säkerhetsskyddsplan upprättas sedan på basis av de skyddsåtgärder som framkommit. Säkerhetsskyddsplanen ska tydliggöra vilka säkerhetsskyddsåtgärder redan finns på plats och vilka som det behöver kompletteras med. Det ska stå när åtgärderna ska vara klara och på plats samt vilken funktion som ansvarar för verkställandet.

Kontakta oss för hjälp med projektplanering, handledning och projektledning.

Kontakta oss för projektplanering, handledning och rådgivning