Kontextanalys för cybersäkerhet

Din kontext sätter ramarna för vad du gör och dina risker. Rätt säkerhetsåtgärder kräver förståelse av systemet som säkerhetssystemet skall säkra och dess omvärld. Affärsmodellen. Kontextanalys är ett annat ord för förstudie.

Ulf Dellborg

Kontextanalys på 2 min

Podd

Jag tittar ut mot den frostbitna granen, slumrar och julgransbelysning blir en stjärnhimmel över Zanzibar. Jag vaknar kvar i kylan. varför inte låta dröm till verklighet? Första buss härifrån! Oj, slutstation Almunge, ny buss till Arlanda. Väl av bussen hamnar jag på tåget i stället för flyget. Jag kliver av och möts av kyla och stank från Skutskärs pappersbruk. Jag har hela resan missat att analysera nuläget, det jag måste förstå för att nå målet, därför blev Zanzibar Skutskär.

Ledningens sammanfattning

Affärsnyttan står i centrum när du möter kraven i cybersäkerhetslagen. Omvandla regelefterlevnad till konkurrensförde genom att koppla varje säkerhetsinvestering affärsnytta. Målet är affärsnytta, låt inte ditt Zanzibar bli Skuskär. Det är här kontextanalysen kommer in, ett strategiskt verktyg som säkerställer att du vet var du är innan du börjar din resa. Genom att förstå affärsmodell, intressenter och deras krav kan du fatta rätt beslut, undvika felinvesteringar och bygga säkerhet som skyddar det som är värdefullt, dina tjänster och dina kunder, din intjäningsförmåga.

Analysera kontexten utifrån affärsmodellen

Denna guide är skriven för två läsare: För dig som beslutsfattare (CTO/CIO) ger de inledande avsnitten en förståelse för varför detta steg är affärskritiskt. För ditt implementeringsteam är de efterföljande avsnitten en praktisk manual för hur arbetet ska genomföras.

Den här artikeln visar hur du agilt i fem steg per iteration tar dig mot kraven i cybersäkerhetslagen. Du lär dig definiera kontext och avgränsningar för ett säkerhetssystem som sedan kan utökas och förbättras.

Kontext för kontextanalysen, varför gör ni arbetet

Kontext vad betyder det

Systemets kontext avgör vilken säkerhet som krävs

Kontext betyder nästan sammanhang. Ordet är lättast att förklara genom betydelsen i språksammanhang.

I språket är text en sammansättning av ord. Kontext är den text som ett ord kommer tillsammans med. Det enskilda ordet finns inte i ett vakuum utan får sin betydelse bland dom andra orden, av kontexten.

ISO refererar till "affärsmiljön", affärsmodellen definierar affärsmiljön. För att klara kraven i ISO 27001 och cybesäkerhetslagen beskriva kontexten ur perspektivet cybersäkerhet i affärsmodellen.

Kontext och koncept i ISO 27001 och ISO 61508

Säkerhetssystemets kontext avgör säkerhetssystemets utformning

I ISO 15288 är konextanalys business/mission analysis.

I ISO 27001 identifieras frågor relaterat organisationens syfte som påverkar säkerhetssystemet samt intressenter och deras krav. Med detta ges systemets avgränsning.

I 61508 är målet med konceptfasen tillräcklig förståelse för EUC (Equipment Under Control) och dess kontext så att aktiviteterna i säkerhetslivscykel kan utföras.

Läs mer i ISO27001

Läs mer ISO61508

Grunden för organisationen och dess kontext är affärsmodellen

Cybersäkerhetslagen ställer krav på att du ska skydda din affärsmodell, din kontext

Affärsmodellen, affärsmiljön, är grunden för att förstå kontexten. Affärsmodellen innehåller din organisation, dina kunder och dina partners. De beskrivs med drivkrafter, beroenden och de värden som skapas.

Affärsmodellen med lagal och teknisk kontext ska användas för att identifiera skador kan uppstå på informationssäkerheten enligt ISO 27001, enligt cybersäkerhetslagen på samhällsviktiga funktioner.

Definiera din affärsmodell

Ska kunden eller leverantörens affäsmodell skyddas

För SAAB är svaret självklart, som lever på att kundens affärsmodell fungerar, i krig och fred. SAAB och flygvapnet har tillsammans med FMV en framgångssaga för flygsäkerhet.

Som pilot hos operatören tycker jag det är givet att operatörens affärsmodell är säker. Jag är säker på att detta även genomsysrar SAAB, och därmed deras affärsmodell. Men säkerhetsarbetet har olika kontext.

Process för kontextanalysen: En guide för implementeringsteamet

Den här metoden uppfyller NIS2 krav på "strategier för riskanalys och informationssystemens säkerhet". Den är utformad i enlighet med ISO 27001 krav på kontextanalys

Hitta Intressenterna av säkerhetsystemet
Definiera säkerhetssystemets intressentkrav.
Identifiera förmågan att uppnå intressentkrav, SWOT.
Definiera strategi att hantera SWOT-resultat TOWS.
Definiera avgränsningar för säkerhetssystemet

Indata till kontextanalysen

Input till det här arbetet är affärsmodell och processer. I detta arbete har du specificerat din nuvarande och framtida affärsmodell samt affärs och systemprocesser. Dessa är här dokumenterad i en gemensam modell med ramverket Archimate genom olika mallar från ension.

På detta sätt utnyttjar du hela tiden tidiga arbetete och kopplar det nya till detta. Hela tiden kan du ta det du behöver för stunden från modellen för att förstå och bygga vidare på modellen av din verksamhet och IT.

Som exempel används Gipsat.nu, vårdens Uber.

Det här är gipsat.nu

Självklart. Jag bygger ut de två avsnitten med en mer detaljerad beskrivning av affärsmodellen för nuläget respektive framtiden, baserat på informationen i de olika modellerna.

Vad gipsat.nu gör idag

I dagens läge är gipsat.nu en mobilapp som fungerar som en digital trygghetspartner vid enklare olycksfall. När en användare skadar sig, kan de med ett enkelt knapptryck aktivera en hel kedja av händelser som är designad för att vara helt sömlös. Tjänsten identifierar och bokar tid på en lämplig vårdinrättning, beställer en taxi för transport dit och hem, och håller anhöriga informerade.

Dagens affärsmodell är en klassisk plattforms- och förmedlingsmodell med ett tydligt B2B2C-fokus (Business-to-Business-to-Consumer).

Värdeskapande: Värdet skapas genom att integrera och förenkla tre separata tjänster (vårdsökning, bokning, transport) till en enda, stressfri upplevelse. De skapar värde för den enskilde användaren (bekvämlighet, trygghet) och för sina affärspartners (nya kunder, effektivare flöden).
Värdeleverans: Leveransen sker uteslutande via mobilappen, som marknadsförs genom riktade kanaler som Appstore, direktreklam med QR-koder och via partners som taxichaufförer.
Värdefångst (Intäkter): Intäkterna kommer från två huvudsakliga källor:
1. Förmedlingsavgift: En provision på varje taxiresa som bokas via plattformen.
2. Kickback från försäkringsbolag: En ersättning från försäkringspartnern, troligen för varje kund de refererar eller som en del av att de erbjuder en kostnadsreducerande och kvalitetshöjande tjänst till försäkringsbolagets kunder.
Kostnadsstruktur: Kostnaderna är typiska för en tech-startup: löner för utvecklare, säljare och marknadsförare samt avgifter för den tekniska infrastrukturen som molntjänster. Målet är att hålla en slimmad organisation och automatisera så mycket som möjligt.

Redan här är affärsdriven säkerhet en del av modellen. Genom att erbjuda en kontrollerad och säker process blir de ett mer pålitligt alternativ och bygger det förtroendekapital som krävs för att växa.

Företagets framtidsvision

Visionen är att gipsat.nu ska evolvera från en app till en allestädes närvarande, intelligent plattform – en global "spindel i nätet" som automatiskt koordinerar hjälpinsatser vid olyckor, tillgänglig via vilken uppkopplad enhet som helst.

Framtidens affärsmodell är betydligt mer sofistikerad och diversifierad. Den rör sig från en enkel förmedlingsmodell till en fullfjädrad ekosystems- och datamodell.

Värdeskapande: Värdet breddas från enbart bekvämlighet till bevisad säkerhet, global tillgång och valfrihet. De skapar nu även ett enormt värde för sina partners genom att erbjuda dem tillgång till en global kundbas och en plattform där de kan konkurrera.
Värdeleverans: Plattformen i sig blir huvudprodukten, medan gränssnittet (app, röstassistent, bilens system) blir utbytbart. Värdet levereras genom extremt hög tillförlitlighet och säkerhet.
Värdefångst (Intäkter): Intäktsmodellerna blir mångfacetterade för att fånga värdet som skapas i ekosystemet:
1. Transaktionsavgifter i marknadsplatsen: Istället för bara en avgift på taxiresan, kan de ta en procentandel på värdet av alla tjänster som förmedlas via plattformen, inklusive vårdkostnader och andra tilläggstjänster.
2. Prenumerationsintäkter (SaaS): Partners kan erbjudas premium-abonnemang för att få bättre synlighet på plattformen, tillgång till dataanalys eller mer avancerade integrationsverktyg. Företagskunder kan erbjudas prenumerationer för att täcka alla sina anställda.
3. Datamonetarisering: Med en global databas över olycksfall (strikt anonymiserad och aggregerad) kan de sälja ovärderliga insikter till stadsplanerare för att bygga säkrare städer, till försäkringsbolag för avancerad riskmodellering, eller till fordonsindustrin för att utveckla bättre säkerhetssystem. Detta är en potentiellt mycket lönsam intäktsström.
Kostnadsstruktur: Kostnaderna kommer att öka avsevärt med nya, tunga poster för global marknadsföring, en stor GRC-avdelning (Governance, Risk & Compliance) och kontinuerlig forskning och utveckling inom AI och säkerhet.

I denna vision är cybersäkerhet inte längre bara en del av modellen – det är själva grunden för den. Det är den affärsdrivna säkerheten som möjliggör hanteringen av globala dataströmmar, som vinner förtroendet från de största partnerna och som därmed blir den primära motorn för både konkurrenskraft och lönsamhet.

Utmaningen: Att omvandla Cybersäkerhet till Konkurrenskraft och Överlevnad

Den största affärsmässiga utmaningen för gipsat.nu är att framgångsrikt implementera en strategi för affärsdriven säkerhet. Detta handlar inte om att minimera risk, utan om att maximera affärsmöjligheter genom ett överlägset säkerhetsarbete. Utmaningen kan brytas ner i tre avgörande delar:

1. Säkerhet som Konkurrenskraft

På en framtida global marknad kommer det finnas konkurrenter. Gipsat.nu:s strategi är inte nödvändigtvis att vara billigast, utan att vara obestridligt säkrast. Deras konkurrensfördel byggs genom att:

Vara det självklara valet för seriösa partners: Stora, riskmedvetna partners (försäkringsbolag, vårdkoncerner) kommer att granska sina leverantörers säkerhet noggrant. Genom att kunna uppvisa certifieringar, transparenta säkerhetsrevisioner och en mogen GRC-funktion, blir gipsat.nu det lågriskalternativ som dessa partners föredrar.
Skapa ett premiumvarumärke: Förtroendet som ett bevisat säkert varumärke inger kommer att motivera ett högre pris och skapa en lojal kundbas som värderar trygghet över allt annat i en sårbar situation.

2. Säkerhet som Vinstmotor

Affärsdriven säkerhet innebär att se investeringar i säkerhet som en direkt väg till ökade intäkter och skydd av vinsten:

Låsa upp nya intäktsströmmar: En hög säkerhetsnivå gör det möjligt att hantera ännu känsligare data, vilket kan öppna dörren till nya tjänster, till exempel prediktiv analys för försäkringsbolag eller integration med nationella e-hälsosystem – tjänster som kräver den högsta nivån av säkerhet och som kan prissättas därefter.
Undvika förödande kostnader: I en värld med böter på hundratals miljoner för dataintrång (enligt GDPR) är proaktiv säkerhet en ren vinstkalkyl. Kostnaden för ett enda stort dataintrång – i form av böter, sanering, förlorade kunder och skadat varumärke – skulle vida överstiga en flerårig budget för säkerhetsarbete. Säkerhet är därmed en av de mest effektiva formerna av kapitalförsäkring.

3. Säkerhet som Överlevnad

Detta är den mest brutala sanningen för gipsat.nu. För ett företag vars enda tillgång är data och förtroende, är en allvarlig säkerhetsincident inte en kris – det är en potentiell utplåning.

Förtroendet är allt: Om plattformen hackas och användardata läcker, kommer användarna att fly, partnerna att omedelbart bryta sina kontrakt för att skydda sig själva, och myndigheterna att inleda granskningar. Affärsmodellen, som bygger på ett sömlöst flöde av förtroende mellan alla parter, skulle kollapsa omedelbart.
Ingen plan B: Det finns inget sätt att "pivotera" eller byta affärsmodell efter en katastrofal förtroendekris.

Sammanfattningsvis är affärsdriven säkerhet inte en valfri del av strategin för gipsat.nu. Det är en fundamental förutsättning för hela deras affärsmodell, deras främsta vapen i konkurrensen och den enda garantin för deras långsiktiga överlevnad och vinstskapande.

Podd om gipsat.nu

1. Intressenter av säkerhetssystemet och deras drivkrafter

Strategic canvas, en mall för att beskriva mission och vision

Intressenter är partners, kunder, medarbetare och myndigheter

Partners, kunder, medarbetare och myndigheter har drivkrafter relaterat organisationen

ISO 27001: Identifiera alla intressenter relevanta för säkerhetssystemet.

I din strategiska canvas hittar du organisationens syfte i rutorna värdeerbjudande kunder och partners. Utifrån detta definierar du målet för säkerhetsystemet. Det gör du utifrån de tjänster du erbjuder och hur dessa tas fram.

Med detta som grund gör du en intressentanalys.

Läs mer

2. Intressenternas säkerhetskrav

2.1. I mallen för kravanalys av intressentkrav sätts värdeerbjudandet i centrum

Mall för analys av intressenternas säkerhetskrav

I din strategiska canvas finns vad du tänkt för säkerhet i din nuvarande mission och din vision. Du hittar där mål och strategier för att skapa värden associerade med säkerhet när du tittat på modellen i ett affärsperspektiv.

Nu utnyttjar du mallen för intressentanalys: Lägger in mål och strategier där och rensa bort det som ej relateras till säkerhet. Du har ett utkast till säkerhetsstrategi. Gå igenom detta och skapa krav utifrån intressentkrav.

Läs mer

2.2. Intressenternas krav sätts mot värdeerbjudandet

Nedan är några exempel av de krav Gipsat.nu hittat:

Kravet "Systemet ska leverera enligt verksamhetens vårdprocess" består av fyra delkrav, "Patienter på rätt sjukhus vid rätt tid", "Patienter får inte komma till överfulla sjukhus", "Chaffören ska få rätt upphämtningsplats hänvisad" och "Larm ska skapa transport".

Kravet "Tjänsten ska ha parallella servicar som säkrar tillgängligheten" består av "Parallell service ska finnas med fullständig funktionalitet" och "Parallell förenklad service ska finnas säkrande kontinuitet ".

3. Analysera förmågan att uppnå kraven med en SWOT-analys

3.1. SWOT-analysen hittar affärsmodellens styrkor, svagheter, möjligheter och hot.

ISO27001: Identifiera alla frågor som påverkar förmågan att uppnå målet med säkerhetssystemet.

Lösning: Gör en SWOT-analys utifrån affärsmodellen samt det legala och teknologiska perspektivet. Resultatet, bedömningarna avseende faktorerna, dokumenterar du i en SWOT-kvadrat. Relatera varje bedömning samtidigt till objekt i affärsmodellen.

Läs mer om SWOT-analys

3.2. Centrera erbjudandet i en SWOT-matris gör en analys relaterat cybersäherhet och affärsmodell

SWOT-analysen i cybersäkerhetskontext med affärsmodellen i centrum

För att göra en SWOT-analys av affärsmodellens värdeerbjudande gär du så här:

Dra isär rutorna för styrkor och möjligjeter från rutorna med svagheter och hot
Lägg väreerbjudandet i det skapade mellanrummet. Värdeerbjudandet tar du från det förfinade som du gjorde i analysen av intressenternas krav.

Sedan gör du en SWOT-analys utgående från värdeerjudandet beskriven med de säkerhetskrav intressenterna har mot detta.

3.3. Hitta styrkor, svagheter, möjligheter och hot relaterat relaterat cybersäherhet och affärsmodell

Gipsat.nu hittade följande vid SWOT-analysen:

Några styrkor: Tjänsten fungerar enligt intressenternas krav, Metoden skapar hög och bevisad säkerhet

Några svagheter: Telefonen fungerar inte, Parallella kanaler gör samma fel.

Några möjligheter: Många skaffar smart klocka, Molntjänster skapar underlag för säkerhetsbevis

Nåra hot: Nya faror skapar nya risker, Regelverk ändras.

4. Skapa strategi med TOWS-analys

4.1. Grunden för en strategi i säkerhetspolicyn skapas med TOWS

Säkerhetspolicyns strategi skapas med TOWS

Grunden för säkerhetspolicyn skapas med Strategier från TOWS

TOWS-analys används för att skapa, jämföra och välja strategier. I detta fall baseras den på en SWOT-analys av organisationens affärsmodell fokuserad på säkerhet.

Du vet nu styrkor, svagheter, möjligheter och hot relaterat säkerhetssystemet. Då är det bara att lägga pusslet. Uppgiften är att sätta strategier för att ändra säkerhetssystemet och det resultat som ska uppnås.

Strategierna är utdata från kontextanalysen. De går in i säkerhetspolicyn, där de vägs mot de strategier riskanalysen ger och blir krav på policyns principer.

4.2. Med en utvecklad TOWS skapas säkerhetsstrategi för säkerhetspolicyn

Säkerhetspolicyns TOWS av SWOT, en mall för gipsat.nu

Större

Säkerhetspolicyns strategier en mall för gipsat.nu

Större

Strategin "Gör tjänsten tillgänglig på klockor" gör att svagheten "Telefonen fungerar inte" stärks med möligheten "Många skaffar även smart klocka".

Strategin "Bevakning kanaler för nya risker" gör att svagheten "Med automatgenerering kan risker missas" stärks mot hotet "Nya faror skapar nya typer av risker".

Strategin "Parallella molntjänster för ökad säkerhet" gör att styrkan "Hög tillgänglighet med parallella servicar" stärks med möligheten "Molntjänster har säkerhetsbevis".

5. Definiera organisationens riskbenägenhet

5.1. Vad riskaptit är, och varför den brukar bli en papperstiger

Riskaptit är den mängd och typ av risk ni är villiga att söka eller behålla för att nå era mål. ISO/IEC 27005 knyter den till riskacceptanskriterierna i 6.4.2: det är riskaptiten som avgör var gränsen går.

Problemet är att riskaptit nästan alltid formuleras i text. "Vi prioriterar patientsäkerhet." "Vi har låg tolerans för avbrott i kritiska tjänster." Ingen är oense, och ingen kan använda det. När analytikern sitter med sextio farliga händelser från HAZID-workshopen ger meningen ingen ledning alls om vilken av dem som ska analyseras först.

I flyget löstes det för länge sedan. Ingen skriver att flygsäkerhet är viktigt och hoppas att konstruktören förstår. Man klassar konsekvensen, catastrophic, hazardous, major, minor, och ur klassen följer krav på hur osannolikt felet måste vara. Klassificeringen görs innan man vet något om tekniken, och det är just därför den fungerar som styrning. På järnvägssidan är logiken densamma via SIL.

Vi gör samma sak här. Riskaptiten uttrycks som en viktfaktor på de skyddsvärda tillgångarna och processerna, satt i kontextfasen, innan ni börjat prata om hot och sårbarheter.

5.2 Varför vikten sätts på värden

Riskaptit handlar om vad ni är beredda att förlora. Det som förloras är alltid ett värde för någon intressent — inte en process, inte ett system.

Värdena är dessutom de objekt ni redan arbetat med två gånger i den här artikeln. Intressentkraven i 2.2 hängdes på dem. SWOT-analysen i 3.2 gjordes med dem i centrum. Kedjan blir obruten:

Låg riskaptit betyder hög vikt: det här får inte gå sönder. Hög riskaptit betyder låg vikt: här får vi experimentera.

Vikten sätts på objekt ni redan har i modellen, värdeströmmar, tjänster och processer i affärsmodellen från steg 1. Inget nytt underlag behövs.

Intressent (5.1) → intressentkrav (5.2) → värde → vikt → allt som levererar värdet

Att i stället vikta processer eller system i det här läget vore fel av tre skäl. Processerna är ännu inte identifierade,det sker i den preliminära riskanalysen. Ledningen har ingen relation till dem. Och ett system som bär två värden med olika kritikalitet skulle behöva två vikter, vilket inte går att uttrycka.

5.3 Fyra konsekvensområden ger vikten

Vikten på ett värde är den högsta konsekvensen om värdet uteblir, bedömd i fyra områden. Det är samma fyra områden som senare poängsätter riskerna i Weighted Prioritised Risk First — definiera dem en gång och återanvänd dem.

Konsekvensområde	Frågan att ställa
SVT — samhällsfunktion och personsäkerhet	Vad händer med människor och med den samhällsviktiga funktionen?
PI — personlig integritet	Vilka personuppgifter röjs, ändras eller blir otillgängliga?
MI — ekonomi	Vad kostar det i uteblivna intäkter, sanktionsavgifter eller skadestånd?
KN — kund och anseende	Hur påverkas kundens upplevelse och er trovärdighet?

Bedöm varje område 1–5 och ta det högsta. Att ta högsta värdet i stället för ett medelvärde är avsiktligt: ett värde vars fall dödar någon blir inte mindre kritiskt av att det är billigt.

Vikt	Innebörd	Riskaptit
5	Fallerar detta hotas människors liv eller hälsa, eller organisationens existens. Noll tolerans.	Lägsta
4	Kritiskt för kärnverksamhet, legala krav eller varumärke.	Låg
3	Viktig stödfunktion. Manuella rutiner krävs vid fel.	Måttlig
2	Mindre störning. Verksamheten fortsätter med viss ansträngning.	Hög
1	Vi kan leva utan värdet under längre tid.	Högsta

Tre regler gör skalan användbar i stället för godtycklig:

Vikten sätts av ledningen, inte av analytikern. ISO/IEC 27001 avsnitt 5 lägger ansvaret för säkerhetspolicy och resurser hos högsta ledningen, och 27005 kapitel 10 är tydlig med att ledningen äger riskkriterierna och undantagen från dem. Att sätta vikt 5 är att lova resurser.
Varje vikt ska ha en motivering på en rad. Utan den går bedömningen inte att granska, och en revisor kommer att fråga.
Vikt 5 ska vara ovanligt. Om halva verksamheten är kritisk är ingenting kritiskt. Tumregeln: vikt 4–5 är det ni skulle ringa ledningen mitt i natten om.

Denna sida har finansierats med bidrag från MSB och NCC-SE