Ny lag i fokus på Rätt Säkerhet

Klockan tickar – om mindre än två år träder dataskyddsförordningen i kraft. Nu väntar bråda dagar för alla företag och myndigheter som ännu inte har satt sig in i den nya lagen. Implementeringen tar tid, konstaterar de experter som deltog i SIS årliga informationssäkerhetskonferens, Rätt Säkerhet.

Från och med den 25 maj 2018 blir EU:s General Data Protection Regulation, GDPR, svensk lag. Förordningen ersätter personuppgiftslagen, PUL, och det nuvarande dataskyddsdirektivet från 1995.

För bolag, myndigheter och andra organisationer som hanterar personuppgifter införs bland annat sanktionsverktyg: den som inte lever upp till GDPR riskerar att drabbas av böter som motsvarar 2–4 procent av årsomsättningen.

– Grunden är att inte samla in mer personuppgifter än vad som är absolut nödvändigt, konstaterar Sofie Åberg på säkerhetskonsultbolaget Ekelöw inom PwC.

Hon var en av föreläsarna vid årets upplaga av Rätt Säkerhet, SIS-konferensen som är en av de stora sammankomsterna i informationssäkerhetsbranschen. Flera av talarna berörde den nya dataskyddsförordningen. Hans Dahlquist från Rote Consulting pekade bland annat på en av de stora utmaningarna:
– Den selektiva raderingen av personuppgifter kan kosta uppemot en miljon kronor per databas.

Samtidigt redovisade han siffror över de enorma läckage av personinformation som pågår. I Sverige var det i fjol cirka 80 000 anmälda bedrägerier som var nät- eller personuppgiftsrelaterade.
– Det handlar om din och min säkerhet, och våra relationer med allt från banker till sjukvård.

Pernilla Rönn och Hans Danielsson från konsultföretaget Combitech tog upp det faktum att attackerna mot företag och myndigheter stadigt ökar, och att många organisationer fortfarande saknar rutiner för hur incidenter och avbrott ska hanteras.

– Det är viktigt att lära av sin historik, hitta mönster och öka medvetenheten bland användarna, var ett av deras budskap.

Per Sundqvist, ledningssystemrevisor på Intertek, framhöll att informationssäkerhet inte bara består av teknik, utan även av den mänskliga faktorn.

Han gav exempel på hur okrypterade USB-minnen har hamnat i fel händer och hur medresenärer på tåg och flygplatser öppet har avhandlat kunder och uppköpsplaner – i vissa fall till den grad att informationen kan ses som kursdrivande på börsen.

Flera av föreläsarna betonade att standarder gör informationssäkerhetsarbetet mer metodiskt. Lars Granström på IT- driftleverantören Datacenter berättade om hur hans organisation med hjälp av ISO 27001 har skapat ett ledningssystem för informationssäkerhet och även satsat på certifiering.

– Vi behövde förbättra strukturen och effektiviteten, och få en oberoende granskning. Våra åtgärder blev många och omfattade allt från bättre lösenordspolicy och registerkontroll till bättre semesterplanering och insynsskydd för fönstren…

– Några generella lärdomar är att företaget och ledningen måste sätta en tydlig säkerhetsnivå. Det gäller också att inte ha övertro på de tekniska lösningarna: utbildning och träning är minst lika viktigt. Försök heller inte att göra allt perfekt från början, utan se till att jobba med ständiga förbättringar.

Läs mer om SIS kommitté för informationssäkerhet här.

Läs mer om GDPR här.

Text: Lena Lidberg