Säkerhetsklassning - vad behöver vi tänka på?

ohan Karlström är Säkerhetsspecialist & teamledare inom personal- och leverantörssäkerhet på Svenska Kraftnät. Hans råd är att företaget ska starta med en säkerhetsanalys. Den ger svar på om man har säkerhetskänslig verksamhet och i vilken omfattning. Det avgör också vilka tjänster som ska säkerhetsklassas och på vilken nivå.

Det kanske bara är en del av verksamheten och personalen som omfattas, därför ska man inte försöka göra det enkelt för sig och sätta alla tjänster i samma säkerhetsklass.

– I april 2019 uppdaterades lagstiftningen, och den tydliggör nu att även privata företag omfattas. Så alla behöver tänka på detta och göra sin säkerhetsanalys, rekommenderar Johan Karlström.

Säkerhetsanalysen görs i följande steg:

• Titta först på den fysiska säkerheten. Den ska hindra obehöriga att ta sig in, försvåra så kallat otillbörligt tillträde, och handlar om framför allt lås och larm.
• Nästa steg är att se över informationssäkerheten. Vilka system har vi och hur ska informationen klassificeras för att se till att den är rätt och tillgänglig när man behöver den, utan att riskera säkerheten?
• Det tredje steget handlar om säkerhetsprövning, vilka tjänster som behöver säkerhetsklassas och på vilken nivå. Därefter behöver man pröva hur pålitlig medarbetaren är ur säkerhetssynpunkt. Här är en säkerhetsprövningsintervju ett bra verktyg. Den innebär personliga frågor, till exempel kring alkohol och brottslighet, vilket är en anledning att tänka sig för när man tar ställning till om en tjänst ska säkerhetsklassas.
• Efter säkerhetsprövningsintervjun vidtar en referenskontroll, där intyg och betyg ska verifieras. Det finns ganska färska exempel på att personer har gett falska dokument, från Försvarsmakten och Tullverket, vilket understryker vikten att kontrollera en extra gång. Det är en ingående registerkontroll som behöver göras, och upprepas.

– Var restriktiv med att säkerhetsklassa tjänster, det är inte den första åtgärden. Jobba först med fysisk säkerhet och informationssäkerheten, för det kräver mycket att gå igenom en säkerhetsprövningsintervju och att bli kollad varje dag, understryker Johan Karlström.

Samtidigt ska man vara medveten om att människan är det största säkerhetsrisken, hen kan värvas, sälja information eller till och med utföra sabotage. Därför är det viktigt att precisera – vad är säkerhetskänslig verksamhet? Och tänk på att hela säkerhetsklassningsproceduren behöver göras igen, om en redan säkerhetsklassad byter tjänst.

Sedan 2019 ska kommunala bolag vända sig till kommunen, medan privata ska kontakta Svenska kraftnät, om det finns behov av att placera en befattning i säkerhetsklass. Oavsett vem man ska vända sig till behöver företaget ta med i beräkningen att SÄPO kan ha långa ledtider. Det kan alltså ta lång tid att få svar så att anställningsprocessen kan komma i mål.

Det finns bra verktyg att använda på SÄPO:s webbplats, som information, vägledningar och till och med en mall. Detta är information som så småningom ska finnas på Svenska kraftnäts webbplats, specifikt för energisektorn, men det ligger en bit bort i tiden. Johan Karlström rekommenderar även att företaget tittar närmare på lagstiftningen för att fördjupa sig. Den kan dock vara svår att förstå och då kan man vända sig till Svenska kraftnät som gärna hjälper till.

Se hela föredraget:

Presentation (pdf)