Diplomerad säkerhetsskyddschef

Block 1

Säkerhetsskyddslagen

Säkerhetsskyddslagstiftningen

• hur påverkar säkerhetsskyddslagen, förordning och olika myndigheters föreskrifter kraven på verksamhetsutövare?
• vilka är likheterna och skillnaderna jämfört med den tidigare lagstiftningen på området?
• de här bedömningarna ligger till grund för den nuvarande utformningen

Säkerhetsskyddslagstiftningens koppling till andra lagar

• lagar, förordningar och föreskrifter som är av betydelse för en organisations säkerhetsskyddsarbete och påverkar säkerhetsskyddets utformning eller begränsar möjligheterna att vidta säkerhetsskyddsåtgärder.

 
Att leda säkerhetsskyddsarbetet

Lagstiftningens tillämplighet och säkerhetsskyddschefens roll

• vi analyserar vilka av alla förekommande krav i säkerhetsskyddslagstiftningen som är tillämpliga på en specifik verksamhet, hur man på ett effektivt sätt kan bevaka förändringar i kraven och löpande anpassa organisationens säkerhetsskyddsarbete

Roller och ansvar

• vad är säkerhetsskyddschefens roll i verksamheten?
• vilka andra roller behöver finnas?
• hur interagerar säkerhetsskyddschefen med ledningen, kärnverksamheten och olika stödfunktioner?
• vad är linjeorganisationens ansvar i säkerhetsskyddsarbetet?

Ledning och styrning av säkerhetsskyddsarbetet

• vilka inriktande, styrande och stödjande dokument behöver finnas för att vi ska få effekt av vårt säkerhetsskyddsarbete?
• vi går igenom vad som behöver beslutas och av vem
• vilka register och dokumentationsmöjligheter behöver vi?
• så här förhåller sig säkerhetsskyddet till GDPR och NIS

 
Analyser och planering

Säkerhetsanalyser och säkerhetsplanering

• säkerhetsanalyser och säkerhetsplanering; de här analysmetoderna har vi att tillgå
• vad är målet och syftet med säkerhetsskyddsanalysen?
• hur kan säkerhetsskyddsanalysen användas som ett verktyg för att utforma ett ändamålsenligt säkerhetsskydd?
• så genomför man en säkerhetsskyddsanalys i praktiken

Säkerhetskänslig verksamhet och internationella åtaganden

• bedriver vår organisation säkerhetskänslig verksamhet?
• vilken omfattning har den säkerhetskänsliga verksamheten och inom vilka delar av organisationen förekommer den?
• omfattas vi av några förpliktigande internationella åtaganden om säkerhetsskydd

Skyddsvärda tillgångar i verksamheten

• vilka skyddsvärda tillgångar som ska ges ett säkerhetsskydd har vi i verksamheten?
• finns det några säkerhetsskyddsklassificerade uppgifter och i så fall i vilken/vilka säkerhetsskyddsklass/-er?
• vilken är det totala mängden säkerhetsskyddsklassificerade uppgifter som hanteras hos oss?
• de här andra skyddsvärda tillgångarna behöver beaktas inom ramen för säkerhetsskyddsarbetet
   

Block 2

Den dimensionerande hotbilden

Hotbilden för verksamheten

• identifiera hur den dimensionerande hotbilden ser ut för verksamheten
• kan vi få underlag för vår bedömning från någon annan verksamhet?
• vilka aktörer är relevanta att beakta och vilka tillvägagångssätt har de för att genomföra angrepp på vår verksamhet?
• använd hotbilden som ett verktyg för att dimensionera säkerhetsskyddsarbetet

 
Informationssäkerhet

Informationsklassificering

• så säger lagstiftningen om information kopplad till säkerhetskänslig verksamhet och så här ser den nya säkerhetsskyddsklassificeringen och de olika nivåerna ut
• vilka nya krav föreligger kopplat till konfidentialitet, riktighet och tillgänglighet för information som rör säkerhetskänslig verksamhet?

Hantering av säkerhetsskyddsklassificerade uppgifter

• gör säkerhetsskyddet till en integrerad del av organisationens övriga informationssäkerhetsarbete
• skydda säkerhetsskyddsklassificerade uppgifter
• detta säger lagstiftningen - så gör man i praktiken
• de här delarna av verksamheten är nyckelaktörer i arbetet

Tilldelning och revidering av behörigheter

• hur sker tilldelning av behörigheter inom organisationen och hur följs det upp? Kan behörighetsstyrning bli ett viktigt hjälpmedel i säkerhetsarbetet, och inte bara ett krav? 
• följ upp att behörigheter tilldelas och återkallas utifrån behov. Hur ska registrering och uppföljning av handlingar som innehåller säkerhetsskyddsklassificerade uppgifter dokumenteras?

 
IT-och kommunikationssäkerhet

Identifiera behovet av IT-system för hantering av säkerhetsskyddsklassificerade uppgifter

• så skyddar man säkerhetsskyddsklassificerade uppgifter när de förekommer i digitalt format
• det här säger lagstiftningen - hur gör man i praktiken?
• hur ser processen ut för utveckling, godkännande och användning av IT-system avsedda för säkerhetsskyddsklassificerade uppgifter ut? Vilka olika typer av system kan vara aktuella?

Signalskydd

• hur skyddar vi kommunikation som innehåller säkerhetsskyddsklassificerade uppgifter?
• vilka kommunikationsvägar använder vi (mobiltelefoni, e-post) och finns det möjlighet att använda kryptografiska funktioner för att säkra kommunikationen?
• vilka signalskyddssystem finns tillgängliga och hur ser processen ut för att få tilldelade säkra kryptografiska funktioner?
• hur ser det praktiska arbetet med signalskydd ut i organisationen?
• vilka roller och ansvar krävs för detta?
   

Block 3

Personalsäkerhet

Säkerhetsprövning

• vilket behov av säkerhetsprövning finns det?
• så upprättar man en befattningsanalys som ger en samlad lägesbild över behovet av säkerhetsprövning
• olika åtgärder som är tillämpliga (grundutredning, särskild personutredning, registerkontroll)
• hur genomför man en säkerhetsprövningsintervju och eventuell referenstagning i praktiken?

Säkerhetsskyddsutbildning

• organisationens behov av utbildning i säkerhetsskyddsfrågor
• så upprättar ni en utbildningsplan för säkerhetsskyddet
• kan säkerhetsskydd som område inarbetas i befintliga strukturer för internutbildning?
• vilka publikt tillgängliga utbildningar finns?

 
Säkerhetsskyddad upphandling

Inför en säkerhetsskyddad upphandling

• vilka analyser och bedömningar behöver genomföras då det uppstår behov av att upphandla en vara, tjänst eller entreprenad som eventuellt ska ges ett säkerhetsskydd?
• vilken SUA-nivå är tillämplig och vad innebär det för verksamheten? Krävs ett förhandsgodkännande eller dialog med Säkerhetspolisen eller andra parter?
• leda, stödja och följa upp säkerhetsskydd i upphandlad verksamhet
• så reglerar vi säkerhetsskyddet i den upphandlade verksamheten.
• den här typen av säkerhetsskyddsavtal och eventuell säkerhetsskyddsinstruktion krävs
• hur säkerställer vi att leverantör/entreprenör efterlever ställda krav på säkerhetsskydd i den upphandlade verksamheten?
• hur följer vi upp säkerhetsskyddet i projekt - och hur sker överlämning från projekt till förvaltning i linjeorganisationen?

 
Fysisk säkerhet och incidenthantering

Fysisk säkerhet för lokaler där säkerhetskänslig verksamhet bedrivs

• vilka av organisationens tillgängliga lokaler är lämpliga att använda för säkerhetskänslig verksamhet och/eller hantering av säkerhetsskyddsklassificerade uppgifter?
• vidta relevanta åtgärder  på ett kostnadseffektivt sätt för att skydda befintliga lokaler mot angrepp
• vilket skydd behövs för att hantera röjande signaler och/eller risken för avlyssning eller överhörning?
• hur säkerställer vi spårbarheten i tillträdet till sådana lokaler?

Kontroller och utvärdering

• i vilken mån behöver vi genomföra kontroller och följa upp efterlevnaden av säkerhetsskyddskrav i verksamheten?
• hur upprättar vi en effektiv kontrollplan?
• så här utvärderar vi att vårt säkerhetsarbete får avsedd effekt och är kostnadseffektivt

Incidentrapportering och hantering

• detta säger säkerhetsskyddslagen om incidentrapportering
• det här är en säkerhetsskyddsincident - vad ska vi tänka om hanteringen av den