Att bygga en informations- säkerhetskultur

1. Verksamhetsdriven informationssäkerhet (5p)

Kursen syftar till att ge en förståelse kring informationssäkerhetsarbetet för både kärn- och stödverksamheter utifrån den internationella standarden inom informationssäkerhet ISO 27000 och ledningssystem för informationssäkerhet (LIS). Särskilt fokus läggs på riktlinjerna för informationssäkerhetsåtgärder enligt SS-ENISO/IEC27002 som ger vägledning i hur organisationer ska välja ut, införa och förvalta säkerhetsåtgärder med utgångspunkt i de informationssäkerhetsrisker som finns i organisationens omgivning. Även NIS2 och andra aktuella informationssäkerhetskrav behandlas. Kursen ger därtill de studerande en grundförståelse för hur organisationens tillgångar kan identifieras och analyseras, och hur en god kontinuitetshantering kan byggas för att säkra dessa på lång sikt. Detta inkluderar även en genomgång av incidenthanteringsprocesser.

Nedanstående områden är huvudmoment i kursen:

• Trender inom informations- och cybersäkerhet

• Kontinuitetshantering enligt ISO 27000-standarden för informationssäkerhet

• Incidenthantering på nationell och internationell nivå

• Intern och extern uppföljning av informationssäkerhet inkl. revision

• Projektledning ur ett informationssäkerhetsperspektiv

• Modeller och metodstöd för klassificering av informationstillgångar

2. Ansvar och systematiskt informationssäkerhetsarbete (5p)

Kursen ger en introduktion till säkerhetskultur och hur det förhåller sig till informationssäkerhetsarbetet i stort. Här ges en grundläggande förståelse för olika roller kopplat till informationssäkerhet i en organisation och den ansvarsfördelning det medför, samt för de styr- och stöddokument som påverkar säkerhetskulturen.

Nedanstående områden är huvudmoment i kursen:

• Att leda och utveckla informationssäkerhetsarbetet

• Styr- och stöddokument för informationssäkerhet inkl. informationsklassificering

• Organisationsteori, grundteman och variationer

• Att arbeta i grupp, projekt eller team

• Att skapa engagemang och motivation i organisationen

• Olika rollers kunskapsbehov

• Utmaningar och svårigheter

• Ledningens medvetenhet och engagemang

3. Människan och informationssäkerhet (medvetenhet, beteende och kultur) (10p)

Kursen bygger på de studerandes förståelse för och kompetens kring säkerhetsmedvetandehöjande åtgärder vilket är avgörande för att skapa en god säkerhetskultur i en organisation. Kursen fokuserar på människans roll i säkerhetsarbetet, och hennes medvetenhet, beteende och kultur. Här presenteras även ledarskapets kommunikationsstrategier och visuellt ledarskap samt hur konflikter identifieras och hanteras och hur ett ledarskap bedrivs kopplat till att etablera en robust informationssäkerhetskultur i organisationen.

Nedanstående områden är huvudmoment i kursen:

• Människan och informationssäkerhet

• Sårbarheten i vårt mänskliga beteende

• Människan som hot, skydd och tillgång

• Tekniska, administrativa kunskapsbaserade skydd

• Medvetenhet, beteende och kultur

• Faktorer som påverkar människans beteende

• Behovet av säkerhetsmedvetande och kultur

• Regelefterlevnad

• Konflikthantering

4. Tillämpning av informationssäkerhetskultur (5p)

Som sista kurs får de studerande applicera sina kunskaper genom att i ett uppdrag få tillämpa informationssäkerhetskultur i en organisation baserat på ett scenario hämtat ifrån arbetslivet. De studerande tilldelas en organisation (fiktiv) där de utifrån färdiga frågeställningar ska säkerställa att organisationen inför informationssäkerhetskultur på ett robust sätt i sin organisation genom att själva bedöma vilka metoder och verktyg som behöver användas och hur de ska användas. Arbetet sker självständigt med avstämning och erfarenhetsutbyte mellan eleverna under arbetets gång. Arbetet avslutas med presentation inför en fiktiv ledningsgrupp för organisationen.

Summa: 25 Yh-poäng

Utbildningen ger kunskaper om/i

• ramverk och standarder inom informationssäkerhet med fokus på SS-ENISO/IEC27000 och ledningssystem för informationssäkerhet (LIS),

• modeller och metodstöd av klassificering och informationstillgångar,

• människans hantering och skyddet av information,

• organisationens utmaningar och dess rollers kunskapsbehov,

• organisationskulturer och vikten av ett ledarskap för att bygga en informationssäkerhetskultur, samt

• konflikthantering och gruppteori.

Utbildningen ger färdigheter i att

• identifiera och klassificera informationstillgångar,

• systematiskt och riskbaserat arbeta med informationssäkerhet på organisatorisk nivå,

• bygga en informationssäkerhetskultur i olika typer av organisationer,

• styra och leda det kontinuerliga informationssäkerhetsarbetet utifrån policys, regler, normer och värderingar,

• fatta väl underbyggda beslut och åtgärder för att främja en väl fungerande säkerhetskultur, samt

• hantera konflikter i grupper.

Utbildningen ger kompetenser för att 

• analysera, leda och driva informationssäkerhetsarbetet i en organisation,

• utveckla organisationens säkerhetskultur,

• arbeta kontinuerligt för att trygga säkerhetskulturen på sikt,

• vidta åtgärder och agera utifrån organisationens behov och gällande krav,

• skapa engagemang och motivation i organisationen, samt

• leda och utveckla grupper.

I utbildningens ledningsgrupp är personer från följande företag och organisationer representerade:

• Kronan Säkerhet
• Länsstyrelsen
• Region Stockholm
• Stockholms stad
• Tryggare Sverige
• Avarn Security 
• Fairdeal Group AB
• Riksdagen
• SECNET
• Försvarsmakten
• Säkkon
• Sundbybergs stad 
• Stockholms Universitet
• Företagsuniversitetet