Informationssäkerhet är mer än att skydda lönedata

Därför är informationssäkerhet en särskild fråga för lönefunktionen

Dataintrång och andra IT-incidenter är något som allt fler verksamheter behöver vara förberedda på. För lönefunktionen är frågan särskilt viktig. Här hanteras stora mängder personuppgifter samtidigt som verksamheten är beroende av att informationen finns tillgänglig för att rätt lön ska kunna betalas ut i rätt tid. 

Integritetsskyddsmyndigheten (IMY) betonar att informationssäkerhet inte bara handlar om tekniska lösningar. Verksamheter behöver arbeta med både tekniska och organisatoriska säkerhetsåtgärder, exempelvis rutiner, riskbedömningar, behörigheter, uppföljning och incidenthantering. 

Informationssäkerhet handlar inte bara om att skydda lönedata utan också om att kunna upprätthålla löneprocessen när något händer. 

Det förebyggande arbetet börjar innan incidenten 

För lönefunktionen börjar arbetet långt innan något faktiskt händer. Vilka personuppgifter hanterar vi? Vem har tillgång till dem? Behöver alla uppgifter finnas där de finns i dag? Vilka system och leverantörer är löneprocessen beroende av? Och finns det tydliga rutiner för behörigheter och säker hantering av information? 

Det handlar med andra ord både om tekniska lösningar och om hur vi organiserar arbetet runt löneinformationen. 

En systemkarta är ett viktigt verktyg

En systemkarta kan vara ett viktigt verktyg i informationssäkerhetsarbetet. Här kartlägger du vilka system som ingår i löneprocessen, vilken information som finns i respektive system och hur uppgifter förs mellan dem? 

En sådan kartläggning kan också synliggöra beroenden till externa leverantörer och vilka delar av processen som blir särskilt sårbara om ett system eller informationsflöde slutar fungera. Du kan inte planera för hur löneprocessen ska fortsätta om du inte först vet vad den är beroende av. 

”Det händer nog inte oss” är ingen kontinuitetsplan 

Det är lätt att tänka att ett större dataintrång eller en allvarlig IT-incident är något som drabbar andra. Men informationssäkerhet bygger inte på att kunna förutse om en incident kommer att inträffa. Det handlar om att minska risken för att den gör det och att vara förberedd om den ändå inträffar. 

För även med bra rutiner och säkerhetsåtgärder kan något hända. Ett dataintrång eller en annan IT-incident kan innebära att information inte bara riskerar att hamna i fel händer. System och uppgifter som löneprocessen är beroende av kan också bli otillgängliga. 

Då uppstår nästa fråga: Kan vi fortfarande betala ut rätt lön i rätt tid? 

När det förebyggande arbetet inte räcker

Här blir kontinuitetsplaneringen viktig. En kontinuitetsplan beskriver hur verksamheten ska kunna upprätthålla kritiska delar av löneprocessen när ordinarie system, information eller arbetssätt inte är tillgängliga. Lönefunktionen behöver veta vilka delar av processen som är kritiska, vilken information som måste finnas tillgänglig och vilka alternativa arbetssätt som gäller om ordinarie system eller informationsflöden inte fungerar. 

Det ligger också i linje med GDPR:s krav på informationssäkerhet. IMY lyfter bland annat förmågan att säkerställa tillgänglighet och motståndskraft samt att kunna återställa tillgången till personuppgifter efter en incident. 

Reservrutinerna behöver samtidigt vara säkra. När det vanliga arbetssättet inte fungerar är det lätt att hitta snabba lösningar. Uppgifter skickas via mejl, tillfälliga filer skapas eller information sparas lokalt. Men en incident får inte leda till att personuppgifter börjar hanteras på ett mindre säkert sätt. 

Frågor lönefunktionen kan ställa innan något händer 

För att identifiera vad som behövs i en kontinuitetsplan kan det vara klokt att redan i dag fundera på några grundläggande frågor: 

• Vilka system, leverantörer och informationsflöden är löneprocessen beroende av? 

• Har rätt personer tillgång till rätt information och inte mer än de behöver? 

• Vad gör vi om ett kritiskt system eller underlag plötsligt inte är tillgängligt? 

• Vilken information behöver vi minst ha tillgång till för att kunna genomföra löneutbetalningen? 

• Finns det säkra alternativa arbetssätt? 

• Vem gör vad om en incident inträffar? 

Det förebyggande arbetet minskar risken för att något händer. Kontinuitetsplanen hjälper lönefunktionen att fortsätta när det ändå gör det. 

Läs mer: IMY – Säkerhetsåtgärder vid behandling av personuppgifter