Sammanfattning: Att välja konsultbolag inom informationssäkerhet handlar om mer än kompetens på papper – det handlar om vem som gör jobbet, hur det leds och om råden går att omsätta i praktiken. Här är tio frågor som hjälper er att välja rätt partner för NIS2, GRC, ISO 27001 och CISO-stöd.
Att välja konsultbolag inom informationssäkerhet och regelefterlevnad handlar inte bara om kompetens på papper. Det handlar lika mycket om vem som faktiskt gör jobbet, hur arbetet leds och om råden går att omsätta i praktiken.
Många organisationer behöver stöd med NIS2/Cybersäkerhetslagen, ISO 27001, GDPR, GRC eller CISO-frågor. Men behoven ser olika ut. Vissa behöver en tydlig nulägesanalys. Andra behöver hjälp att få styrningen att fungera i vardagen. Några behöver en interim CISO eller ett löpande seniorstöd till ledning, IT och verksamhet.
Här är tio frågor som hjälper er att välja rätt partner.
1. Vem kommer faktiskt utföra arbetet?
Det är vanligt att den mest seniora personen är med i säljmötet, men att arbetet sedan lämnas över till andra konsulter. Det behöver inte vara fel, men det bör vara tydligt från början.
Be alltid om att få veta vem som faktiskt kommer att genomföra analysen, hålla workshops, skriva rekommendationer och stötta i genomförandet.
Vår syn är enkel: den seniora kompetensen ska finnas nära uppdraget, inte bara i inledningen. Hos oss är målet att ni ska veta vilka personer ni arbetar med och att samma konsulter följer med genom hela uppdraget.
2. Hur säkrar ni kontinuitet?
Informationssäkerhet och GRC bygger mycket på förståelse för verksamheten. När konsulter byts ut för ofta försvinner sammanhang, historik och relationer.
En bra partner bör därför kunna visa hur kontinuitet säkras. Det kan handla om dokumentation, gemensam uppdragsstyrning och att fler än en person är insatt i arbetet.
Vi försöker arbeta så att minst två personer har insyn i uppdraget. Det ger både redundans och kvalitet, utan att ni tappar den personliga relationen till den seniora konsult som driver arbetet framåt.
3. Har ni erfarenhet från vår typ av verksamhet?
Informationssäkerhet ser olika ut beroende på bransch, mognad och regulatorisk miljö. En bank, ett vårdbolag, ett industribolag och ett SaaS-bolag kan alla behöva arbeta med risk, incidenter och leverantörer, men utmaningarna ser inte likadana ut.
Det viktiga är inte att konsulten har gjort exakt samma sak tidigare, utan att den förstår hur reglering, risk och verksamhet hänger ihop.
För oss är det centralt att inte bara läsa kraven, utan förstå hur de påverkar organisationens faktiska arbetssätt. Därför börjar vi ofta med nuläge, ansvar, befintliga processer och verksamhetens riskbild innan vi rekommenderar åtgärder.
4. Levererar ni bara analys, eller även genomförande?
En gap-analys kan vara värdefull. Men om den bara blir en rapport med brister kommer den sällan att förändra särskilt mycket.
Ett bra konsultstöd bör kunna hjälpa er från analys till faktisk styrning: prioriteringar, ansvar, tidsplan, beslutsunderlag, styrdokument, rutiner och uppföljning.
Vår approach är att en analys alltid ska kunna användas. Varje större gap bör kopplas till en rekommenderad åtgärd, en prioritering och ett nästa steg. Målet är inte att skapa fler dokument, utan att hjälpa organisationen att komma vidare.
5. Hur arbetar ni med riskprioritering?
Alla gap är inte lika viktiga. Vissa brister kan innebära hög risk för verksamheten, kunderna eller efterlevnaden. Andra är förbättringsområden som kan hanteras senare.
En bra partner ska kunna hjälpa er att skilja mellan det som är kritiskt, det som är viktigt och det som kan vänta. Annars finns risken att allt blir lika bråttom, vilket ofta leder till att inget blir klart.
Vi arbetar helst riskbaserat. Det innebär att vi väger samman krav, hotbild, verksamhetspåverkan, mognad och genomförbarhet. Resultatet ska bli en prioriterad plan, inte en lång lista där allt ser lika viktigt ut.
6. Är ni oberoende?
Oberoende är viktigt när ni vill ha råd som utgår från er verksamhet, inte från en viss produkt, plattform eller koncernlösning.
Ett konsultbolag kan vara mycket kompetent men ändå ha kommersiella kopplingar som påverkar rekommendationerna. Därför är det rimligt att fråga om leverantören är fristående, och om den tjänar på att rekommendera vissa verktyg, produkter eller implementationer.
Kristensson i Skåne är ett mindre och oberoende konsultbolag. Vår roll är att hjälpa er förstå vad som behövs, vad som är rimligt och vad som bör prioriteras. Ibland kan det innebära nya verktyg eller tekniska åtgärder, men det ska inte vara utgångspunkten. Utgångspunkten ska vara risk, behov och verksamhetsnytta.
7. Hur ser prismodellen ut?
Olika uppdrag kräver olika prismodeller. Ibland passar löpande rådgivning bäst. Ibland är ett avgränsat projekt bättre. I andra fall behövs ett interimt stöd under en period.
Det viktiga är att prismodellen matchar ert behov och att det är tydligt vad som ingår. Otydliga upplägg leder ofta till missförstånd kring förväntningar, leveranser och ansvar.
Vi försöker vara tydliga med om uppdraget handlar om analys, rådgivning, implementation, löpande stöd eller en kombination. För oss är det viktigare att hitta ett upplägg som fungerar över tid än att trycka in alla kunder i samma modell.
8. Kan ni stödja både ledning och teknik?
Informationssäkerhet hamnar ofta mellan flera världar: styrelse och ledning, IT, juridik, inköp, verksamhet, dataskydd och ibland externa leverantörer.
Därför behöver konsulten kunna växla nivå. Ibland krävs ett tydligt beslutsunderlag till ledningen. Ibland krävs detaljerad dialog med IT om loggning, backup, åtkomst, incidenthantering eller tekniska kontroller.
Vår styrka ligger i att koppla ihop styrning och praktik. Säkerhetsarbetet behöver vara begripligt för ledningen, men tillräckligt konkret för att kunna genomföras av IT och verksamhet.
9. Erbjuder ni CISO-stöd eller interim ledning?
Många organisationer vet att de behöver CISO-stöd, men är osäkra på formen. Behövs en interim CISO som går in operativt? Eller räcker det med senior rådgivning till en befintlig säkerhetsansvarig, IT-chef eller ledningsgrupp?
Det är viktigt att reda ut innan uppdraget startar. Annars finns risken att förväntningarna skiljer sig åt.
Vi kan stötta både som rådgivande GRC-/CISO-stöd och i mer operativa roller, till exempel genom Manager as a Service. Det kan vara aktuellt vid ett tillfälligt ledningsgap, inför ett större säkerhetsprogram eller när organisationen behöver bygga upp arbetssätt innan en permanent roll finns på plats.
10. Kan ni visa relevanta exempel?
Referenser, anonymiserade case och exempel på liknande uppdrag gör det lättare att förstå hur konsultbolaget faktiskt arbetar.
Det behöver inte alltid vara publika kundnamn. I många säkerhetsuppdrag är det naturligt att detaljer är konfidentiella. Men konsulten bör ändå kunna beskriva typ av uppdrag, bransch, problemställning, arbetssätt och resultat på en nivå som gör att ni kan bedöma erfarenheten.
Vi delar gärna relevanta exempel där det är möjligt, ofta anonymiserat. Det viktiga är att ni får en bild av hur vi går från nuläge till prioritering, styrning och praktiskt genomförande.
Sammanfattningsvis
Rätt konsultpartner ska inte bara kunna regelverken. Den ska kunna hjälpa er att förstå vad kraven betyder i praktiken, vad som är viktigast att börja med och hur arbetet kan förankras i organisationen.
För oss handlar bra informationssäkerhetsarbete om tre saker:
- tydlig nulägesbild
- riskbaserade prioriteringar
- praktisk styrning som går att följa upp
Det är först då NIS2, GRC, ISO 27001 och CISO-stöd blir mer än en rapport eller ett projekt. Det blir en del av hur organisationen faktiskt styr, skyddar och utvecklar sin verksamhet.
Vill ni diskutera hur rätt stöd kan se ut för er organisation? Läs mer om vårt arbete med informationssäkerhet och styrning eller kontakta oss så tar vi gärna ett första samtal.