Hva ville rammet virksomheten hardest dersom det plutselig ble borte eller utilgjengelig? Hva om sensitive opplysninger kom på avveie? Hva om produksjonen stoppet? Eller noen fikk tilgang til systemer, informasjon eller områder de ikke skulle hatt tilgang til? Det er nettopp slike spørsmål en god risikoanalyse skal hjelpe oss med å svare på.

En risikoanalyse starter med virksomheten, ikke med en matrise

Når vi hører ordet risikoanalyse, tenker mange på tabeller, sannsynlighet, konsekvens og røde, gule og grønne felt. God risikoanalyse starter et helt annet sted, den starter med å forstå virksomheten.

Hva er viktig for at vi skal klare å gjøre jobben vår? Hvilke mennesker, systemer, leverandører, lokaler eller opplysninger er vi helt avhengige av? Og hva ville konsekvensene blitt dersom vi mistet noe av dette?

Først når vi vet hva som har verdi, kan vi begynne å forstå hva som kan true det. Det er også her forskjellen mellom ulike typer risiko blir viktig.

Noen hendelser oppstår uten at noen ønsker at de skal skje. En brann, en teknisk feil, menneskelige feil eller bortfall av en kritisk leveranse kan få store konsekvenser. Andre hendelser skjer fordi noen ønsker å forårsake skade, få tilgang til noe eller utnytte en svakhet.

Det kan være tyveri, bedrageri, sabotasje eller et dataangrep. Det kan også være en person som allerede befinner seg på innsiden av virksomheten og har tilgang til informasjon, systemer eller lokaler. I slike tilfeller må vi tenke litt annerledes om risiko.

Hva har vi som andre kan være interessert i?

Dette er et spørsmål flere virksomheter med fordel kan stille seg. For det er lett å tenke at «vi har ingenting som er spesielt interessant». Men verdier er langt mer enn hemmeligstemplet informasjon eller avansert teknologi.

Kundelister kan være verdifulle. Informasjon om ansatte kan være verdifull. Avtaler, priser, strategier og tekniske tegninger kan være verdifulle. Det samme gjelder tilgangen til et produksjonsområde, et IT-system, kunnskapen en nøkkelperson sitter på eller personen i seg selv.

Derfor begynner man alltid arbeidet med å kartlegge hva virksomheten faktisk trenger å beskytte. I en sikringsrisikoanalyse er nettopp verdi, trussel og sårbarhet sentrale elementer. I Sikkerhetsledelses eget analyseoppsett brukes verdivurderingen til å identifisere hvilke verdier og innsatsfaktorer virksomhetens funksjoner er avhengige av, slik at sikkerhetsarbeidet kan rettes mot det som er viktigst.

Deretter må vi se på hva som kan skje.

Når vi vet hva som er viktig, kan vi begynne å stille neste spørsmål: Hva kan true disse verdiene?

Her handler det ikke om å lage en lengst mulig liste over alt som teoretisk kan gå galt. Målet er å forstå hvilke hendelser som er relevante for akkurat denne virksomheten.

Noen virksomheter er særlig avhengige av produksjon og leveranser. Andre forvalter store mengder sensitiv informasjon. Noen har lokasjoner eller teknologi som kan være interessante for eksterne aktører. Andre er svært avhengige av noen få nøkkelpersoner.

Risikoen ser derfor forskjellig ut fra virksomhet til virksomhet og risikobildet forandrer seg deretter.

Nye systemer tas i bruk. Nye leverandører kommer til. Medarbeidere begynner og slutter. Virksomheten kjøper andre selskaper, flytter, omorganiserer eller etablerer seg i nye markeder. Dermed kan også det som tidligere var en liten sårbarhet, plutselig bli langt viktigere.

Men hvor er vi sårbare?

Det tredje spørsmålet er kanskje det mest interessante: Hvis noen faktisk ønsket å ramme oss eller få tilgang til noe vi har, hvor ville det vært enklest? Det er her vi begynner å se etter sårbarheter.

Kanskje har for mange personer tilgang til informasjon de egentlig ikke trenger. Kanskje finnes det adganger som ikke er blitt fjernet når ansatte har byttet rolle. Kanskje virksomheten er svært avhengig av én leverandør eller én medarbeider. Eller kanskje rutinene er gode på papiret, men ikke like godt kjent blant dem som faktisk skal følge dem.

En sårbarhet betyr ikke nødvendigvis at noen har gjort noe galt. Den forteller oss først og fremst hvor virksomheten kan være utsatt dersom noe skjer.

I Sikkerhetsledelses analysemodell vurderes derfor også eksisterende barrierer og sikkerhetstiltak for å se om de i tilstrekkelig grad beskytter virksomheten, og om det er behov for ytterligere tiltak.

Fra risiko til prioritering

En god risikoanalyse skal ikke ende med et stort dokument som legges i en mappe. Den skal gjøre det enklere å ta beslutninger. Hvis vi vet hvilke verdier som er viktigst, hva som kan true dem og hvor vi er mest sårbare, blir det også lettere å prioritere.

Kanskje virksomheten trenger bedre adgangskontroll. Kanskje tilganger til informasjon bør gjennomgås. Kanskje rutinene rundt ansatte som begynner, skifter rolle eller slutter bør forbedres. Andre ganger kan løsningen være bedre beredskap, opplæring eller tydeligere ansvar.

Poenget er ikke å fjerne all risiko. Det er verken mulig eller hensiktsmessig. Poenget er å forstå risikoen godt nok til å gjøre noe med den.

NS 5814 og NS 5832 – to perspektiver på risiko

Det er her standardene NS 5814 og NS 5832 kommer inn. For de fleste ledere er det ikke nødvendig å kjenne standardene i detalj. Det viktige er hva de hjelper virksomheten med å gjøre. NS 5814 gir et rammeverk for å arbeide systematisk med risiko. NS 5832 retter oppmerksomheten mot sikringsrisiko og tilsiktede uønskede handlinger.

I Sikkerhetsledelse eksisterende analyseoppsett kombineres elementer fra de to for å få frem både farer, trusler, konsekvenser, verdier og sårbarheter.

Det gir et bredere bilde enn bare å spørre: Hva kan gå galt?

Vi bør også spørre oss:

• Hva har vi som er viktig?
• Hvem eller hva kan true det?
• Hvor er vi sårbare?
• Hva vil konsekvensene bli?
• Og hva bør vi gjøre først?

Det er dette risikoanalyse handler om, å gjøre virksomheten bedre i stand til å forstå hva den må beskytte, hva den må beskytte seg mot, og hvor det er viktigst å sette inn tiltak.