Årshjul for informasjonssikkerhet og personvern

Ringer som passer informasjonssikkerhet

• Styring: handlingsplanen, internrevisjonen, ledelsens gjennomgang, budsjettet og årsrapporten.
• Personvern og risiko: risikovurderingen, behandlingsprotokollen, databehandleravtalene og gjennomgangen av avvik.
• Opplæring: nyansatte og vikarer, phishingøvelser og sikkerhetsmåneden i oktober.
• Drift og tilgang: gjennomgangen av tilganger, test av gjenoppretting fra sikkerhetskopi og beredskapsøvelser.

Hvorfor et årshjul?

Personvernforordningen (GDPR) krever at dere vet hvilke personopplysninger dere behandler, vurderer risikoen og kan vise hvilke tiltak dere har. Lite av dette er engangsjobber. Tilganger hoper seg opp når folk bytter rolle eller slutter. Avtaler med leverandører endrer seg. En sikkerhetskopi er bare verdt noe hvis noen har prøvd å hente den tilbake. Et årshjul gir hver oppgave en måned, og ledelsen ser at arbeidet blir gjort.

Hjulet erstatter ikke styringssystemet deres. Det viser når ting skjer. Følger dere ISO 27001 eller en annen standard, legger dere de faste aktivitetene derfra inn i hjulet.

Skriv inn deres egne datoer

Skriv én aktivitet per linje, med dato, uke eller måned først: «15.2 Risikovurdering», «uke 42 Phishingøvelse» eller «juni Ledelsens gjennomgang». Hjulet følger kalenderåret, med ukenummer rundt og helligdagene tegnet inn av seg selv. Har HR ansvar for noe av personvernet, se også årshjul for HR og personal. HMS-arbeidet har sitt eget hjul.

Tips

• Skriv hvem som har ansvaret i aktiviteten, for eksempel «mai Test av backup (IT)». Da vet alle hvem som eier hver oppgave.
• Vis hjulet i ledermøtet før ledelsens gjennomgang. Da ser alle hva som er gjort og hva som gjenstår.
• Kalenderfilen legger alle datoene rett inn i Outlook eller Google Kalender.
• Hjulet koster 199 kr én gang, uten konto og uten abonnement, og dere kan endre det i 12 måneder.