Verktyg för prioritering av affär och säkerhet

Är en säkerhetsåtgärd viktigare än en funktion som får er att överleva som företag? Den frågan ligger numera på ledningens bord, cybersäkerhetslagen flyttade den dit. Ledningen behöver verktyg för att kunna agera.

Ensions idé är att affärsdriven arkitektur och affärsdriven säkerhet sitter ihop. Det sitter ihop genom affärsmodellen som är grunden för båda. Ledninngen styr genom prioriteringar och beslut. Här beskrivs hur ledningen styr prioriteringar inom affär, arkitektur och säkerhet. Grunden är det agilas Weighted Shortest Job First (WSJF), ension har lagt till Weighted Prioritised Risk First (WPRF) och kombinerar detta så ledningen kan besluta vart investeringarna ska gå.

Artikeln visar hur ledningen sätter riskaptit policy prioriterar  affär och säkerhet samtidigt, hur man går med viriskvärdet bärs hela vägen: från prioriterade risker till säkerhetsstrategier i policyn, vidare till prioriterade säkerhetsfunktioner, och in i backloggen genom WSJF. Resultatet är att frågan "varför byggde ni det här före det där" alltid har ett svar som går att räkna på. Det är precis vad tillsynen frågar efter när den prövar om åtgärderna varit lämpliga och proportionella.

En varning på vägen: ett säkerhetsarbete kan visa 75 procents framdrift och samtidigt ha åstadkommit noll riskreduktion.

Ansvaret för affären kan enligt aktiebolagslagen inte deligeras bort. Det kan heller inte ansvaret för cybersäkerhet, enligt cybersäkerhetslagen. Men det betyder inte att ledningen ska prioritera säkerhetsfunktioner, det betyder att den ska sätta ramarna som prioriteringen sker inom, och agera när den inte håller. Jag älskar VDar som steve jobs, extremt engagerad i produkternas funktion, ni måste var ännu mer intresserade, intresserade av även säker funktion.

Inom säkerhet fattar ledningen fyra beslut:

1. Riskaptiten. Vilka värden väger tyngst, och var går gränsen för acceptabel risk.
2. Säkerhetspolicyn. Ledningens Inriktning för säkerhetsarbetet.
3. Kvarvarande risk. Formell acceptans genom riskägaren, särskilt av det som bryter mot era egna kriterier.
4. Resurserna. När en riskkedja inte bryts i tid är det ett ledningsbeslut, inte ett teamproblem.

Organisationen gör räknandet. Tvärfunktionella team identifierar farorna med HAZID och HAZOP, arkitekterna översätter policyn till säkerhetsfunktioner och beräknar åtgärdsvärden, produktägaren och teamet skattar insatsen och sätter WSJF.

Ledningen gör inte detta: godkänner inte enskilda säkerhetsfunktioner, sätter inte WSJF-värden, granskar inte hotmodeller.

Återkopplingen mäts i brutna kedjor, inte i levererade funktioner. Tre av fyra barriärer på plats ger noll riskreduktion, men ser ut som 75 procents framdrift. Två tal räcker till styrelsen: hur många riskkedjor som är brutna, och hur många risker som accepterats utanför de ordinarie kriterierna. Den andra listan är den intressanta — växer den utan beslut har styrningen slutat fungera.

Hur fungerar WSJF? Ursprunget och inspirationen till WSJF kommer från ramverket SAFe, där det skapades som ett ekonomiskt verktyg för team att på ett objektivt sätt prioritera bland en mängd olika initiativ. Grundtanken är att maximera avkastningen och optimera flödet genom att prioritera det arbete som "kostar" verksamheten mest att skjuta upp, i förhållande till hur lång tid (eller hur stor insats) jobbet kräver.I praktiken kalkyleras WSJF-poängen genom en specifik formel: Cost of Delay (kostnad av fördröjning) dividerat med Job Size (jobbets storlek eller tidsåtgång). Fördröjningskostnaden beräknas i sin tur genom att man summerar tre strategiska parametrar:Business/User Value: Det direkta affärs- eller användarvärdet funktionen medför.Time Criticality: Tidskritikalitet (till exempel legala deadlines eller tidsfönster på marknaden).Risk Reduction: Värdet av att eliminera en risk eller möjliggöra framtida affärer.Genom denna formel neutraliseras subjektiva åsikter, och algoritmen placerar automatiskt de uppgifter som ger störst värde – eller reducerar mest risk – per nedlagd arbetstimme högst upp i prioriteringslistan. WSJF avgör ingenting. Alla ingångar sätts av människor. Vad modellen gör är att göra konflikten mellan säkerhet och kundfunktioner explicit och förhandlingsbar: i stället för "säkerhet måste först" mot "kunderna väntar" får ni två tal och ett samtal om vilken skattning som är fel.

Hela denna tekniska kedja av GRC, hotmodellering och agila backloggar styrs av ett strikt juridiskt ramverk. Enligt artikel 20 i NIS2, samt SOU 2024:18 i den svenska lagstiftningen, har ledningsorganet (styrelse, VD eller motsvarande nämnd) nu tre uttalade skyldigheter:Godkänna: Ledningen måste formellt godkänna cybersäkerhetsåtgärder och policyer.Övervaka: Ledningen ska aktivt övervaka att åtgärderna faktiskt genomförs.Utbildas: Ledningen måste genomgå regelbunden utbildning i cybersäkerhet för att kunna förstå riskbedömningar.Att bryta mot dessa regler kan leda till enorma sanktionsavgifter – upp till 10 miljoner euro eller 2 % av omsättningen för väsentliga entiteter. Dessutom riskerar individer i ledningsposition tillfälliga förbud att utöva sina uppdrag om de missköter sitt ansvar.Detta innebär dock inte att styrelsen ska granska kod. Deras delaktighet löses i stället genom de verktyg som implementerats i kedjan:

Kraven som du kan hitta i värdeströmmar varierar beroende på typen av värdeström och syftet med analysen. En värdeström är en sekvens av aktiviteter som omvandlar råmaterial eller information till något av värde för kunderna eller användarna. Här är några exempel på krav som kan identifieras i värdeströmmar:

1. Funktionella krav:

   • Krav som beskriver de specifika funktioner och aktiviteter som måste utföras i varje steg av värdeströmmen för att producera det önskade resultatet. Till exempel kan det vara krav på att samla in data, bearbeta material, utföra en viss tjänst eller leverera en produkt.

2. Tidslinjekrav:

   • Krav som specificerar tidsramen för varje steg i värdeströmmen. Detta kan inkludera krav på genomloppstid, leveranstider eller maximalt tillåten tid för att utföra en viss aktivitet.

3. Kvalitetskrav:

   • Krav som fastställer kvalitetsstandarder och mål som måste uppnås i varje steg av värdeströmmen. Det kan inkludera krav på produktkvalitet, noggrannhet, pålitlighet och säkerhet.

4. Ressurskrav:

   • Krav som beskriver de resurser som behövs för att utföra varje aktivitet i värdeströmmen. Det kan inkludera arbetskraft, material, utrustning och teknik.

5. Kostnads- och budgetkrav:

   • Krav som relaterar till budget och kostnadsstyrning. Det kan inkludera kostnadsgränser för varje steg i värdeströmmen och krav på kostnadseffektivitet.

6. Säkerhetskrav:

   • Om värdeströmmen innefattar hantering av känslig information eller farliga material kan det finnas säkerhetskrav som styr hur dessa hanteras och skyddas.

7. Skalbarhetskrav:

   • Om värdeströmmen förväntas växa eller förändras över tiden kan det finnas krav på skalbarhet, vilket innebär att den måste kunna anpassas till ökande volymer eller nya behov.

8. Miljökrav:

   • Om värdeströmmen påverkar miljön kan det finnas krav på att minimera negativa miljöpåverkningar och följa miljölagstiftning.

9. Regulatoriska krav:

   • Om värdeströmmen innefattar reglerade branscher eller produkter kan det finnas krav från myndigheter som måste följas.

10. Användbarhetskrav:

    • Om värdeströmmen inkluderar användargränssnitt eller interaktion med användare kan det finnas krav på användbarhet och användarupplevelse.

Det är viktigt att noggrant identifiera, dokumentera och hantera dessa krav inom värdeströmmen för att säkerställa att processen är effektiv, att kundernas eller användarnas behov uppfylls och att målen för värdeströmmen uppnås. Kraven inom värdeströmmen hjälper till att styra och forma hur processen utförs och hur resultatet levereras till kunderna eller användarna.

En värdeström är en serie av sammanhängande aktiviteter och processer som omvandlar råmaterial eller information till ett specifikt värde för kunder eller användare. Den är viktig att definiera och analysera av följande skäl:

1. Visualisering av värde: Värdeströmmen hjälper till att visualisera och förstå hur värde skapas och levereras inom en organisation, vilket gör det möjligt att identifiera ineffektiva eller onödiga steg.

2. Optimering av processer: Genom att analysera värdeströmmen kan man upptäcka flaskhalsar, onödig tidsspillan och andra ineffektiviteter som kan optimeras för att förbättra produktiviteten och kvaliteten.

3. Kundfokus: Värdeströmsanalys inriktar sig på att uppfylla kundens behov och önskemål genom att eliminera icke-värdeskapande aktiviteter och fokusera på det som är värdefullt ur kundens perspektiv.

4. Kostnadsreduktion: Genom att identifiera och eliminera onödiga aktiviteter kan en värdeströmsanalys bidra till att minska kostnaderna och öka effektiviteten.

5. Förändringsledning: Värdeströmsanalys ger insikt i hur förändringar kan påverka olika delar av organisationen, vilket underlättar förändringshantering och implementering av förbättringar.

6. Agilitet och flexibilitet: Genom att förstå värdeströmmen kan organisationen vara mer agil och anpassningsbar för att möta förändrade behov och marknadskrav.

7. Mätning och förbättring: En definierad värdeström ger en grund för att mäta och följa upp prestanda samt kontinuerligt förbättra processer och leverans av värde.

Sammanfattningsvis är värdeströmmen viktig eftersom den hjälper organisationer att identifiera och åtgärda ineffektiviteter, öka kundtillfredsställelsen, minska kostnader och bli mer konkurrenskraftiga genom att fokusera på det som verkligen skapar värde. Det är en central komponent inom lean management och processförbättring.