Presentation av Marcus Larsson under seminarium hos GARP den 2 oktober 2013. Mer om eventet: Titel: Varför skiljer vi på affärsrisker och IT-risker? Att arbeta med riskhantering är inte helt okomplicerat. Som riskhanterare måste du på ett effektivt sätt kunna balansera verksamhetens olika risker i ett affärslandskap som förändras allt snabbare. Dessutom bidrar ökade externa krav samt en striktare lagstiftning till att riskhanterarens uppgift blir allt mer utmanande. Historiskt sett har organisationer tenderat att dela upp affärsrisker och IT-risker på ett sätt som försvårar riskhanteringen. Under seminariet kommer talarna belysa ett mer effektivt sätt att hantera affärsrisker. Du kommer få en bild av vilka nya lagkrav som är aktuella inom den finansiella sektorn samt få handfasta tips på modern riskhantering.

1. Varför skiljer vi på
affärsrisker och IT-risker?
2 oktober 2013, Marcus Larsson
(CISSP, CISA, CISM, CRISC CEH,
ITIL-f)

2. Om företaget
Hos Transcendent Group möter du erfarna
konsulter inom governance, risk and compliance. Våra
tjänster skapar trygghet och möjligheter för
myndigheter, företag och andra organisationer
inom en rad olika branscher.
© Transcendent Group Sverige AB 2013
Transcendent Group utsågs både 2012 och 2013
till en av Sveriges bästa arbetsplatser.

3. Agenda
© Transcendent Group AB 2012
• Gapet mellan
verksamheten och IT
• Riskstyrning och
riskhantering
• Ledningssystem för
informationssäkerhet
(LIS)

4. Varför skiljer vi på affärsrisker och IT-risker?
IT-/informationssäkerhetsrisker
IT-relaterad
affärsrisk
© Transcendent Group Sverige AB 2013
Affärsrisker

5. Målbild
Efficient and
effective
governance
© Transcendent Group Sverige AB 2013
IT-relaterad
affärsrisk

6. © Transcendent Group AB 2012
Styrelse
Ledning
Verksamhet
IT

7. Vägen framåt
© Transcendent Group Sverige AB 2013
• Riskägare
• Informationsägare
• Systemägare
• Klassificering av
information och risker
• Systemförvaltare

8. Exempel på bristande
riskhantering
• Är 128 bitars kryptering
bra nog, eller bör vi ha
256 bitar?
• SOD i processen men ej i
IT-världen
© Transcendent Group Sverige AB 2013
• Loggningen som inte
höll måttet

9. Hur bryggar vi över gapet?
Riskidentifikation
Riskklassificering
Riskregister
Återkoppling och
uppföljning
Prioriteringar mot
verksamhetsmål
Riskåtgärd
© Transcendent Group AB 2012
Måluppfyllnad

10. IT i riskkommittén
© Transcendent Group Sverige AB 2013
• IT-kunniga: förstår vilka
problem som kan uppstå.
• Säkerhetskunniga: IT innebär
nya utmaningar runt säkerhet.
• Affärs-/verksamhetskunniga:
kan bedöma påverkan och
möjlig skada.

11. Riskstyrning och
riskhantering
© Transcendent Group Sverige AB 2013
• Minimera IT-riskerna i
verksamheten till en godtagbar
nivå
• Säkerställa korrekt hantering av
information i system
• Förebygga IT-relaterade problem
• Möta uppsatta krav och direktiv
(compliance)

12. © Transcendent Group AB 2012
Ledningssystem för
informationssäkerhet (LIS)

13. Lagom LIS
Lagom - Adjektiv
([ˈlɑ̀ ːgɔm])
…är ett svenskt ord med betydelsen, 'tillräckligt', 'adekvat', 'så
bra/mycket som det borde vara'.
• Vilka av dina relevanta risker möter ert LIS idag?
• Verksamhetsrelevant LIS
• Alla kontroller kostar pengar både i genomförande och i
uppföljning.
© Transcendent Group AB 2012
-Wikipedia

14. Att ta med sig
© Transcendent Group Sverige AB 2013
1. Affärsrelaterade
IT-risker
2. IT i riskkommittén
3. Lagom LIS

15. © Transcendent Group AB 2012
www.transcendentgroup.com