CER: Styr medarbejdernes adgang, og tjek deres baggrund

Hvad går styring af medarbejdere ud på i CER-loven?

Virksomheder, der er omfattet af CER-loven, har ansvar for at beskytte følsomme oplysninger og sikre, at samfundsvigtige funktioner kan opretholdes. Det kræver, at man har styr på, hvem der har adgang til hvad – og hvordan den adgang bliver brugt og kontrolleret.

Det handler både om interne medarbejdere, faste leverandører som rengøringspersonale og kantinefolk og eksterne som f.eks. gæster, håndværkere og teknisk support. Man skal vide, hvem der har adgang, hvor og hvornår – og sørge for, at det er den rigtige adgang med de rette begrænsninger. Det kræver både teknisk og fysisk adgangskontrol – og ikke mindst baggrundstjek.

Hvad skal virksomhederne helt konkret gøre?

Første skridt er at kigge på sin drift og organisation: Hvilke funktioner er vigtige for, at virksomheden kan levere sin del til samfundet? Når man har overblik over dem, skal man vurdere, hvor kritiske de er – og hvem der har adgang til dem.

Herfra handler det om at finde ud af, hvilke personer – både ansatte og eksterne – der har adgang til de forskellige funktioner, og hvilke rettigheder de har. Har de adgang til noget, de ikke behøver? Og hvordan styrer man, at kun de rette personer har adgang?

Samtidig skal man vurdere de kritiske funktioners risici. Hvad vil man beskytte? Hvem eller hvad kan true det? Og hvilke sårbarheder er der? Når man har det billede, kan man vælge, hvilke sikringstiltag der skal til – både tekniske, fysiske og organisatoriske.

Et eksempel: Hvis man har et kontrolrum, der styrer driften, skal man beslutte, hvem der overhovedet har grund til at komme derind. Skal f.eks. rengøringspersonale have adgang? Hvis ja – så kan man begrænse deres adgang, så rengøringspersonalets adgangsmedium kun låser døren op i det tidsrum det er planlagt at de skal der ind. Det er den tekniske og fysiske del. Den organisatoriske del handler om, hvem der har hvilke opgaver – og hvornår de skal kunne udføre dem. Skal eksternt rengøringspersonale overhovedet have uledsaget adgang til kontrolrummet, hvornår på døgnet skal de gøre rent etc.?

Når man har sat tiltagene i gang, stopper arbejdet dog ikke dér. De skal driftes, vedligeholdes og justeres, når noget ændrer sig – f.eks. når der kommer nyt udstyr, nye processer eller nye trusler. Der skal også foretages stikprøver og testes, at tiltagene virker som planlagt.

En vigtig del af styring af medarbejdere handler om at kontrollere, at der ikke er noget i deres baggrund, som gør dem uegnet til stillingen. Det gælder især personer, der skal have adgang til følsomme oplysninger eller kritiske områder. Man skal vide, hvem man lukker ind (verificering af identitet), og om de har ‘noget med i bagagen’ (f.eks. på straffeattesten), som udgør en risiko. Derfor bør der foretages baggrundstjek ved nyansættelser og stillingsskift, hvor folk får mere ansvar eller udvidet adgang. I nogle tilfælde kan det også give mening at gentage tjekket med jævne mellemrum.

Hvad er en god fremgangsmåde?

Det er en god idé at starte med et solidt fundament – nemlig en grundig kortlægning og risikovurdering. Det betyder, at man først får overblik over, hvilke funktioner, oplysninger og systemer der er kritiske, og hvad der skal beskyttes, i prioriteret rækkefølge. Dernæst vurderer man, hvilke trusler der kan påvirke dem. Bagefter ser man på, hvor virksomheden er sårbar over for netop de trusler. Det giver et klart billede af, hvor man skal sætte ind – og hvor det giver mening at bruge sine ressourcer.

Når man har det på plads, bliver det også nemmere at vælge de rigtige foranstaltninger og opretholde dem over tid. En god analyse fra start kan spare virksomheden for meget besvær senere – både i forhold til vedligeholdelse og dokumentation.

I analysen er det vigtigt at få det reelle billede frem. Nogle gange ser virkeligheden på gulvet anderledes ud end det, ledelsen tror. Ting kan blive gjort anderledes i praksis. Derfor er det en fordel at inddrage medarbejdere fra forskellige dele og niveauer af organisationen – både i kortlægningen og i den efterfølgende vurdering. Det sikrer, at tiltagene også fungerer i virkeligheden – og ikke kolliderer med driften.

Er der faldgruber, man bør være opmærksom på?

En typisk faldgrube er, at man ikke tænker holistisk. Det er ikke nok at beskytte enkelte systemer eller bygninger – man skal forstå sammenhængen mellem de driftskritiske funktioner, de følsomme oplysninger og de mennesker, der har adgang til dem. Derfor skal sikringen tænkes bredt; organisatorisk, teknisk og fysisk.

På det organisatoriske plan handler det om at have klare procedurer, tydelige roller, opdaterede instrukser og involvering af medarbejdere. Teknisk sikkerhed dækker f.eks. adgangskontrol og overvågning. Og fysisk sikring handler om alt fra låse og døre til hegn og adgangsporte. De tre dele skal tænkes sammen, så løsningerne ikke spænder ben for hinanden – men fungerer i praksis for dem, der skal bruge dem.

En anden faldgrube er at negligere leverandører og samarbejdspartnere. Har de adgang til bygninger eller systemer? Så skal virksomheden vide, hvem de er, om de er stabile, og hvilke sikkerhedskrav de lever op til. Det kan kræve en form for baggrundskontrol af både virksomheden og de konkrete personer, der kommer. Det skal også fremgå af leverandøraftalen, hvad de må, og hvad de ikke må – f.eks. om de må medbringe udstyr, eller hvem der må komme med ind.

Derudover vil mange af de virksomheder, der er omfattet af CER-loven, også være omfattet af NIS2. Derfor giver det mening at tænke fysisk og digital sikkerhed sammen – og undgå, at f.eks. IT og drift arbejder i hver deres silo. Tværgående samarbejde kan både øge sikkerheden og spare ressourcer.

Læs mere om CER-loven

Læs mere om NIS2-loven