Riskanalys för IT-säkerhet: metoder och mallar

Hur genomför ni en riskanalys steg för steg?

En strukturerad process i fem steg täcker alla väsentliga moment. Enligt MSB (2024) bör analysen vara iterativ och integreras i organisationens ledningssystem. Här är en praktisk modell för svenska verksamheter.

Steg 1: Avgränsa och definiera omfattningen

Bestäm vad analysen ska täcka. Hela IT-miljön? En specifik applikation? En molnmigration? Tydlig avgränsning förhindrar att projektet sväller och aldrig blir färdigt. Dokumentera omfattning, ansvariga och tidsplan.

Steg 2: Kartlägg informationstillgångar

Lista alla tillgångar inom avgränsningen: system, databaser, nätverkskomponenter, molntjänster och data. Klassificera varje tillgång efter känslighet. Använd tre nivåer: öppen, intern och konfidentiell. Tillgångar med personuppgifter kräver extra uppmärksamhet enligt GDPR.

Steg 3: Identifiera hot och sårbarheter

Kartlägg hotaktörer: externa angripare, insiders, leverantörskedjor och naturhändelser. Koppla hoten till kända sårbarheter i er miljö. Använd källor som CVE-databaser, branschrapporter och era egna incidentloggar.

Steg 4: Bedöm och prioritera risker

Använd en riskmatris med fem nivåer för sannolikhet och konsekvens. Multiplicera värdena för att beräkna riskpoäng. Risker med poäng 15-25 kräver omedelbar åtgärd. Risker med poäng 8-14 planeras in. Risker under 8 kan accepteras med dokumenterat beslut.

Steg 5: Dokumentera och planera åtgärder

Sammanställ resultaten i ett riskregister med risk, bedömning, åtgärd, ansvarig och deadline. Presentera för ledningen med tydliga rekommendationer. Planera nästa genomgång, minst årligen eller vid väsentliga förändringar.

[CHART: Flödesschema - Fem steg i säkerhetsriskanalys med feedback-loop - ISO 27005 och MSB]

Citationskapsel: En strukturerad säkerhetsriskanalys i fem steg, från avgränsning till dokumenterade åtgärder, bör genomföras årligen. MSB (2024) rekommenderar att processen integreras i organisationens ledningssystem och anpassas efter verksamhetens storlek.

Vilken riskmatris-mall passar för IT-säkerhet?

Riskmatrisen är det viktigaste visuella verktyget för att kommunicera risknivåer. Enligt NIST Cybersecurity Framework (2024) bör matrisen anpassas till organisationens riskaptit och branschkrav. Här är en mall som fungerar för de flesta svenska verksamheter.

Sannolikhetsskala (1-5):

• 1 = Mycket osannolik (mindre än 1 gång per 10 år)
• 2 = Osannolik (1 gång per 5-10 år)
• 3 = Möjlig (1 gång per 1-5 år)
• 4 = Sannolik (1-5 gånger per år)
• 5 = Mycket sannolik (mer än 5 gånger per år)

Konsekvensskala (1-5):

• 1 = Försumbar (under 50 000 SEK, ingen verksamhetspåverkan)
• 2 = Liten (50 000-250 000 SEK, begränsad påverkan)
• 3 = Måttlig (250 000-1 000 000 SEK, märkbar påverkan)
• 4 = Allvarlig (1 000 000-5 000 000 SEK, betydande verksamhetsstörning)
• 5 = Katastrofal (över 5 000 000 SEK, verksamhetshotande)

Riskklassificering:

• Riskpoäng 1-4: Acceptabel risk (grön). Bevaka.
• Riskpoäng 5-9: Moderat risk (gul). Planera åtgärder.
• Riskpoäng 10-14: Hög risk (orange). Åtgärda inom 90 dagar.
• Riskpoäng 15-25: Kritisk risk (röd). Omedelbar åtgärd krävs.

[PERSONAL EXPERIENCE]

Anpassa konsekvensskalan till er verksamhets omsättning. Beloppen ovan passar företag med 50-500 MSEK i omsättning. Större organisationer bör justera uppåt, mindre nedåt. Det viktiga är att skalan känns meningsfull för beslutsfattarna.

Hur kopplar ni riskanalysen till NIS2 och ISO 27001?

NIS2-direktivet ställer explicita krav på riskbaserad IT-säkerhet. Enligt EU-kommissionen (2024) omfattar NIS2 över 160 000 organisationer i EU, inklusive svenska företag inom energi, transport, hälsa och digital infrastruktur.

NIS2 kräver att organisationer genomför regelbundna riskbedömningar av nätverks- och informationssystem, dokumenterar åtgärder och rapporterar allvarliga incidenter. Er riskanalys bör därför uttryckligen adressera NIS2:s kravområden: incidenthantering, affärskontinuitet, leverantörssäkerhet och kryptografi.

Om ni redan följer ISO 27001 har ni en stark grund. Standarden kräver riskanalys i klausul 6.1 och bilaga A ger kontroller att mappa mot identifierade risker. Kombinera ISO 27001:s struktur med NIS2:s specifika krav för att täcka båda ramverken med en enda analysprocess.

[UNIQUE INSIGHT] IT-säkerhetsleverantörer scorecard

Vilka är de vanligaste misstagen vid säkerhetsriskanalys?

Riskanalyser misslyckas oftare på grund av processfel än tekniska brister. Enligt Verizon DBIR (2024) orsakas 68 procent av alla dataintrång delvis av den mänskliga faktorn. Samma mönster gäller själva riskanalysen.

• Analysen görs en gång och glöms bort. En riskanalys som inte uppdateras blir snabbt irrelevant. Hotlandskapet förändras kvartalsvis.
• Bara IT-avdelningen involveras. Verksamhetens representanter måste delta för att bedöma konsekvenser korrekt. IT kan bedöma sannolikhet, men bara verksamheten vet vad ett systemavbrott faktiskt kostar.
• Riskerna kvantifieras inte. "Hög risk" säger lite till en CFO. 2 500 000 SEK i förväntad årlig förlust skapar handling.
• Leverantörsrisker ignoreras. Er säkerhet är lika stark som den svagaste länken i leverantörskedjan.
• Åtgärderna saknar ansvarig. Utan tydlig ägare och deadline blir åtgärdslistan en önskelista.

Undvik de här fällorna genom att integrera riskanalysen i ert ledningssystem och ge den samma status som den ekonomiska revisionen.

Vanliga frågor om riskanalys för IT-säkerhet

Hur ofta bör vi genomföra riskanalys för IT-säkerhet?

Minst en gång per år och vid varje väsentlig förändring, exempelvis nya system, byte av leverantör eller efter en säkerhetsincident. Enligt ISO 27001 ska riskanalysen uppdateras när förutsättningarna förändras, inte bara vid förutbestämda intervall.

Behöver vi extern hjälp för att genomföra riskanalysen?

Det beror på er interna kompetens. Organisationer med en dedikerad säkerhetsansvarig kan ofta genomföra analysen internt med hjälp av ramverk och mallar. Extern expertis tillför objektivitet och branschjämförelser. Kostnaden för en extern riskanalys ligger typiskt på 80 000-250 000 SEK beroende på omfattning.

Vilken koppling har riskanalys till GDPR?

GDPR kräver att ni genomför en konsekvensbedömning (DPIA) när behandling av personuppgifter innebär hög risk. Säkerhetsriskanalysen identifierar dessa högriskbehandlingar. Artikel 32 i GDPR kräver dessutom tekniska och organisatoriska åtgärder baserade på en riskbedömning.

IT-säkerhet ROI-kalkyl

Riskanalys för IT-säkerhet är inte ett pappersarbete som görs för att bocka av en ruta. Det är ett beslutsverktyg som visar var ni ska investera era begränsade säkerhetsresurser. Börja med att kartlägga era mest kritiska informationstillgångar och de hot som är mest sannolika. Använd mallarna och metoderna i den här guiden som utgångspunkt, och anpassa dem till er verklighet.