Säkerhetsbudgetar avgörs sällan av analys. De avgörs av hur väl den som föreslår dem kan förklara vad som händer om pengarna uteblir. En säkerhetsfunktion som beskriver hot får ofta ett artigt nej. En som beskriver konsekvenser i verksamhetens egna termer får oftare ett ja. Kapitlet handlar om att göra den andra förklaringen möjlig.
Det inleds med investeringsfrågan, alltså hur nivån härleds ur verksamhetens faktiska exponering i stället för ur en procentsats hämtad från någon annans budget. Jämförelsetal för branschen svarar på vad andra gör, vilket är en annan fråga än vad ni behöver. Sedan kommer motsatsen, alltså kostnaden för att inte investera, vilket är den beräkning som gör säkerhet jämförbar med varje annan investering styrelsen väger den mot. Ett avsnitt behandlar hur säkerhetens värde kommuniceras utan att bli varken alarmism eller teknisk redovisning, två fällor som båda leder till samma utfall. Därefter följer strukturen för en styrelsepresentation som leder till beslut, och en genomgång av nyckeltal som fungerar på styrelsenivå, med tydlig skillnad mellan att mäta aktivitet och att mäta effekt. Antal genomförda utbildningar är aktivitet. Förändrad rapporteringsgrad är effekt. Kvantifiering av cyberrisk får ett eget avsnitt, med rimliga anspråk på precision snarare än falsk exakthet. Kapitlet avslutas med praktiska råd kring budgetprocessen och en genomgång av cyberförsäkring som komplement och inte ersättning. Underlaget som allt vilar på kommer ur kapitel 14 om riskanalys och gap-analys.
Frågan har fått ny tyngd sedan cybersäkerhetslagen gjorde säkerhetsarbetet till ett ledningsansvar med tillsyn bakom sig. En styrelse som avslår en investering behöver nu kunna motivera beslutet mot ett underlag, vilket förutsätter att underlaget fanns och att det gick att förstå. Det gör beslutsunderlaget till en säkerhetsåtgärd i sig, eftersom det avgör vilka andra åtgärder som blir av.
Sidan visar vad kapitlet omfattar och varför siffrorna avgör om arbetet blir av. Beräkningsmodellerna, nyckeltalen och presentationsstrukturen finns i kapitel 12 i boken.
En budget är en strategi i siffror. Det som inte budgeteras kommer inte att hända.
Nyckelinsikter
- Jämförelsetal för branschen svarar på vad andra gör, inte på vad er verksamhet behöver.
- Kostnaden för att inte investera är den enda siffra som gör investeringen jämförbar med andra beslut.
- Nyckeltal som mäter aktivitet snarare än effekt ger en styrelse falsk trygghet.
- En styrelsepresentation ska leda till ett beslut. Saknas beslutspunkten är det en rapport.
- Cyberförsäkring ersätter inte förmåga och villkoren förutsätter oftast att grundskyddet finns på plats.
Verktyg som hör till kapitlet
Mallarna och de interaktiva verktygen finns i Verktygsboxen, kostnadsfritt.
Systemverktyg
Mognadsmätning och uppföljning som ger underlag över tid.
Läs vidare
Nästa steg
Var står din organisation?
Självskattningen ger dig en mognadsprofil mot cybersäkerhetslagens tio kravområden på några minuter, direkt på skärmen.