Säkerhetskultur

Säkerhetskultur – en vital förutsättning för att skapa ett heltäckande säkerhetsskydd eller verksamhetsskydd

Försommarvärmen är äntligen här och sommaren med semester väntar runt hörnet. En hektisk tid – kantad av hög inflation, krig i Europa och återkommande it-attacker mot svenska myndigheter och företag – lider mot en efterlängtad tid för välförtjänt återhämtning och lugn.

Det är lätt att tänka att din verksamhet har gjort alla de förväntade prioriteringarna utefter givna förutsättningar för att möta dagens behov av säkerhet. Ni har säkert stärkt er egen informationssäkerhet genom att bli ISO-certifierade och till följd av det så har ett bibliotek av styrande dokument och policys blivit distribuerade i verksamheten. Genom det så har alla medarbetare – likt robotar – tagit till sig av alla styrningar och därmed så är ni motståndskraftiga mot antagonistiska (aktörsdrivna) hot likt riktat nätfiske (spear phishing) vilket minimerar risken för att bli utsatt för gisslanattacker (ransomware). Men räcker verkligen det?

Vad är säkerhetskultur egentligen?

En fungerande säkerhetskultur kännetecknas initialt av att alla och envar inom verksamheten har kunskap om aktuell hotbild och vad som förväntas av dem, för att verksamheten som helhet ska uppnå satta skyddsåtgärder. Det behöver dessutom övergå till direkta beteenden där medarbetarna i praktiken följer de bestämmelser som är satta. Avslutningsvis, när en avvikelse uppträder, prata direkt med den som ej följer satt bestämmelse eller rapportera enligt den systematik som är satt för just den avvikelsen för att den ska vara känd överhuvudtaget. Det möjliggör att verksamheten kan agera för att minska risken för skada. På så sätt kan ni fortsatt bibehålla det heltäckande skyddet.

Den brittiska myndigheten National Protective Security Authority ger ett mycket gott exempel på detta genom informationsfilmen från februari 2023 med titeln It´s OK To Say, där Say är en förkortning av:

• Spot the signs
• Alert someone
• Your actions matter.

För att en medarbetare ska kunna känna sig manad och trygg att tala med den som avviker från bestämmelserna eller att rapportera – Alert someone – är att det görs med förtroende för att dennes personliga integritet kan upprätthållas och inga repressalier kan följa av detta. Det skapas av en ödmjuk och ömsesidig respekt för skyddsåtgärderna och av chefer samt befattningshavare inom säkerhetsfunktionen som agerar professionellt. Alla inblandade känner en tillfredställelse av att deras agerande har betydelse – Your actions matter.

Generalister och samordning maximerar effekten

Ett vanligt snedsteg på vägen till att skapa en fungerande säkerhetskultur är ett arbetssätt där verksamhetens olika funktioner arbetar i stuprörstänk utan att kunna fånga upp sina beroenden till andra funktioner. Det leder till outnyttjad samordning med i slutändan låg effekt av egna resurser och budget. Inom säkerhetsfunktionen kan det synas genom att de befattningar som bemannas högst upp i säkerhetsstupröret tillsätts av en ren specialist som har djup kunskap om just sitt område men med låg förmåga att se större helheter eller väga in eget ansvarsområde med andras.

Genom att tillsätta generalister på toppen skapas större möjlighet för att få säkerhet på agendan och genom plattformar (ledningsgrupper eller staber) med andra funktioner (stuprör) få ett bättre nyttjande av resurser och förståelse för varför säkerhetsfrågorna behöver behandlas men även en större träffsäkerhet i hur de nås ut i organisationen.

Allt detta är aktuellt både vad gäller säkerhetsskydd som avser nationell säkerhet (Sveriges säkerhet) som ska följa Säkerhetsskyddslagen (2018:585) och de som inte omfattas av nationell säkerhet men möter antagonistiska hot mot sina skyddsvärden – vilket benämns verksamhetsskydd. Båda delas in i områdena informationssäkerhet, fysisk säkerhet och personalsäkerhet. Skyddsåtgärder inom den sistnämnda säkerställer att personal som tilldelas behörighet till era skyddsvärden är att anses som pålitliga ur säkerhetssynpunkt och har tillräcklig kunskap om säkerhetsskydd eller verksamhetsskydd (inom alla de tre nämnda områdena).

Sammanfattningsvis är en fungerande säkerhetskultur den mest vitala förutsättningen för att det överhuvudtaget ska hålla.

Passar på att önska dig en trevlig och säker sommar!