En medarbetare testar ett nytt AI-verktyg och laddar upp ett dokument för att få hjälp med en sammanfattning. En avdelning skapar ett konto i ett nytt projektverktyg. En leverantör får tillgång till kunddata för att utföra en tjänst. Ett kalkylark med personuppgifter sparas i en mapp som få känner till.
Var och en av situationerna kan verka helt vardaglig. Över tid kan de ändå göra det svårt att svara på en grundläggande fråga:
Var finns verksamhetens information?
God informationssäkerhet kräver överblick över vilken information verksamheten har, var den lagras, vilka system den behandlas i och vem som har tillgång till den. Samma överblick är också central i arbetet med dataskydd och GDPR.
När nya system, leverantörer och AI-verktyg tillkommer behöver översikten hållas uppdaterad. Annars kan verksamheten få information i tjänster och system som säkerhets-, dataskydds- eller IT-ansvariga inte känner till.
Verksamhetens information finns sällan på ett enda ställe. Personuppgifter kan finnas i HR-system, CRM-system, e-post, molnlagring, supportverktyg och ekonomisystem. Kopior kan finnas i kalkylark, presentationer, lokala mappar och säkerhetskopior.
Samma information kan också röra sig mellan flera system.
En kund fyller till exempel i ett formulär på webbplatsen. Uppgifterna skickas vidare till CRM-systemet och kanske till ett marknadsföringsverktyg. Senare exporterar en medarbetare kundlistan till ett kalkylark för att genomföra en analys.
Då finns informationen plötsligt på fler ställen än där den ursprungligen samlades in.
För att få överblick bör verksamheten bland annat kunna svara på:
Ett praktiskt sätt att börja är att välja en typ av information och följa den genom verksamheten.
Ta till exempel kunduppgifter: Var samlas de in? I vilket system hamnar de först? Skickas de vidare till andra system? Exporteras de till kalkylark? Har en leverantör tillgång? Används uppgifterna i analys- eller AI-verktyg? Var hamnar kopiorna, och när raderas de?
Gör samma övning med till exempel medarbetaruppgifter, leverantörsinformation eller annan känslig och verksamhetskritisk information.
Då får ni en enkel kartläggning av informationens väg genom verksamheten. Den kan synliggöra system som inte fanns med i den ursprungliga översikten, leverantörer som faktiskt har tillgång till mer information än ni trodde, onödiga kopior och områden där det är oklart vem som ansvarar.
Resultatet blir en konkret utgångspunkt för det fortsatta arbetet: Ni ser var informationen finns, hur den rör sig, vem som har tillgång till den och var ni bör undersöka frågan närmare.
Ju fler system och informationsflöden verksamheten har, desto viktigare blir den här kartläggningen. Om ni vill fördjupa arbetet kan ni också läsa mer om informationssäkerhet och om riskanalys för informationssäkerhet.
Nya digitala tjänster är enkla att börja använda. En medarbetare kan skapa ett konto, installera en app eller starta en testperiod utan att involvera IT-avdelningen eller andra ansvariga.
Det brukar kallas skugg-IT: system, applikationer och tjänster som används utanför verksamhetens etablerade processer för godkännande och kontroll.
Det kan till exempel handla om att en avdelning börjar använda ett eget projektverktyg. En medarbetare skapar ett konto i en filöverföringstjänst för att skicka stora dokument. En annan börjar använda ett transkriberingsverktyg för digitala möten.
Information kan då behandlas i tjänster som verksamheten inte har bedömt.
Det kan vara oklart vilka säkerhetsåtgärder leverantören har, var informationen lagras, hur länge den sparas eller om andra aktörer får tillgång till den. Om personuppgifter behandlas kan också nödvändiga bedömningar och avtal saknas.
Skugg-IT kan därför skapa områden där verksamheten har information, men saknar överblick över hur den faktiskt hanteras.
AI-verktyg har gjort frågan ännu mer aktuell.
Medarbetare kan använda AI för att sammanfatta dokument, analysera text, skriva mötesanteckningar, bearbeta data, översätta innehåll eller få hjälp med andra arbetsuppgifter.
Då är det viktigt att veta vilken information som matas in i tjänsten.
En medarbetare kan till exempel klistra in ett kundklagomål för att få hjälp att formulera ett svar. Dokumentet kan innehålla namn, kontaktuppgifter och detaljer om kunden. En annan kan ladda upp ett avtal för att få en sammanfattning. En tredje kan använda verkliga verksamhetsdata för att analysera ett problem.
I sådana situationer behöver verksamheten veta hur tjänsten behandlar den information som delas.
Relevanta frågor kan vara:
Det kräver att verksamheten vet vilka AI-verktyg som faktiskt används.
Det kan därför vara värdefullt att kartlägga både godkända tjänster och verktyg som medarbetare redan har tagit i bruk på eget initiativ. Kartläggningen ger ett underlag för att bedöma frågan och avgöra vilka tjänster verksamheten vill tillåta.
Vill ni fördjupa er i AI och dataskydd kan ni också läsa AI-förordningen: Detta behöver du veta och ChatGPT och dataskydd: 3 saker att tänka på.
Informationen finns också hos leverantörer.
Verksamheter använder ofta leverantörer för bland annat lön, HR, IT-drift, molnlagring, CRM, marknadsföring, kundservice, analys och kommunikation.
Flera av dessa leverantörer kan behandla personuppgifter eller ha tillgång till annan viktig information.
Leverantören ni har avtal med kan i sin tur vara beroende av andra leverantörer. Därför är leverantörsöversikten en viktig del av kartläggningen.
Verksamheten bör veta vilka leverantörer som har tillgång till vilka typer av information, varför de behöver tillgången och vilka system eller tjänster de levererar.
När det gäller behandling av personuppgifter bör verksamheten också ha överblick över vilken roll leverantören har, om det krävs personuppgiftsbiträdesavtal, vilka underleverantörer som används och om personuppgifter överförs till länder utanför EU/EES.
Översikten behöver dessutom hållas levande. Leverantörer byts ut, avtal avslutas och nya tjänster börjar användas.
När ett samarbete avslutas bör verksamheten veta vad som händer med den information som leverantören redan har fått tillgång till. Ska den raderas? Returneras? Finns det säkerhetskopior? Och är åtkomsterna faktiskt borttagna?
Medarbetare behöver praktiska ramar för vilka tjänster de får använda och vilken information de får dela.
Det kan till exempel vara tydligt definierat:
Riktlinjerna bör vara tillräckligt konkreta för att fungera i vardagen.
En medarbetare som vill använda ett nytt AI-verktyg bör enkelt kunna ta reda på om verktyget är godkänt och vilken information som får användas i det. En avdelning som behöver ett nytt system bör veta vilken process som ska följas innan lösningen tas i bruk.
Det gör det också lättare att fånga upp nya behov. Om många medarbetare efterfrågar samma typ av verktyg kan verksamheten bedöma en lämplig lösning på ett kontrollerat sätt.
Överblick över information, system och leverantörer har betydelse på flera områden samtidigt.
I dataskyddsarbetet behöver verksamheten bland annat ha överblick över vilka personuppgifter som behandlas, ändamålet med behandlingen, vem uppgifterna delas med och hur länge de sparas.
I informationssäkerhetsarbetet behöver verksamheten veta vilka värden som ska skyddas och vilka system, personer och leverantörer som verksamheten är beroende av.
Kartläggningen gör det möjligt att se dessa samband.
Om verksamheten vet att ett visst system innehåller stora mängder kunduppgifter, används av 80 medarbetare och är beroende av en extern leverantör, finns det en konkret utgångspunkt för att bedöma situationen.
Vad händer om systemet blir otillgängligt? Vad händer om obehöriga får tillgång? Vilka säkerhetsåtgärder finns redan? Vem ansvarar för systemet? Och vilka åtgärder bör prioriteras?
Samma överblick kan också göra andra uppgifter enklare.
När en registrerad person begär tillgång eller radering är det lättare att hitta uppgifterna om verksamheten vet vilka system de kan finnas i. När en säkerhetshändelse inträffar är det lättare att bedöma omfattningen om verksamheten vet vilka data det berörda systemet innehåller.
Kartläggning är därför ett löpande arbete. Nya system tillkommer, informationsflöden förändras och leverantörer byts ut. Översikten behöver utvecklas i takt med verksamheten.
När informationen är kartlagd kan verksamheten börja se sambanden mellan information, system, leverantörer och olika säkerhetsfrågor.
Tänk till exempel att verksamheten kartlägger en kundserviceprocess.
Kunduppgifter tas emot via e-post och registreras i ett supportsystem. Leverantören driver lösningen i molnet och använder flera underleverantörer. Medarbetare exporterar ibland ärenden till kalkylark. Vissa använder också ett AI-verktyg för att förbättra formuleringar i kundsvar.
Då kan verksamheten kartlägga hela informationsflödet och bedöma var utmaningar kan uppstå.
På det sättet blir kartläggningen mer än en lista över system. Den visar hur information faktiskt rör sig genom verksamheten och var det kan finnas behov av åtgärder.
När information är spridd mellan system, leverantörer och olika delar av organisationen kan det vara krävande att hålla översikten uppdaterad.
Med Draftit kan verksamheten samla information om behandlingar, system, leverantörer och bedömningar och se hur de hänger ihop.
Ni kan dokumentera vilka personuppgifter som behandlas, vilka system som används, vilka leverantörer som är involverade och vilka åtgärder som är kopplade till arbetet.
Det gör det enklare att följa upp förändringar. När ett nytt system tas i bruk, en leverantör byts ut eller en ny fråga identifieras kan informationen kopplas till det befintliga arbetet.
En samlad översikt ger också ett bättre underlag för både dataskydds- och säkerhetsarbetet. Ansvariga kan lättare se var information finns, vem som har tillgång till den och vilka områden som kräver uppföljning.
Börja med att se på några av verksamhetens viktigaste informationsområden.
Var lagras kunduppgifter? Vilka system innehåller information om medarbetare? Vilka leverantörer har tillgång? Vilka AI-verktyg används i vardagen? Finns det kalkylark, lokala filer eller tjänster som har hamnat utanför den etablerade översikten?
Svaren kan synliggöra både luckor och beroenden som tidigare varit svåra att se.
När verksamheten vet vilken information den har, var den finns, hur den används och vem som har tillgång till den blir det enklare att bedöma frågan, etablera rätt åtgärder och följa de krav verksamheten omfattas av.
Det ger ett bättre underlag för att skydda informationen genom hela livscykeln, också när nya system, leverantörer och arbetsverktyg tas i bruk.