Säkerhet i det operativa arbetet

Allt du gjort i design och implementation är värdelöst om det inte fungerar i drift. Ett flygplan är säkert när det producerats och är i drift, när underhållet görs, när fel hanteras och erfarenhet går tillbaka in i konstruktionen.

Flyg och kärnkraft har gemensamt att säkerheten måste bevisas innan systemet får användas, och att beviset måste hålla under hela användningen. Det är inte två olika arbeten. Det är samma arbete i två skeden.

Riskhanteringen är det första skedet. Den tar er från kontext till bevisad säkerhet. Operativ säkerhet är det andra: det som håller beviset sant medan verkligheten förändras.

Och verkligheten förändras. Nya angreppstekniker, nya sårbarheter i komponenter ni inte skrivit själva, nya leverantörer, ny lagstiftning. Ingenting av det gör ert säkerhetsbevis ogiltigt över natten, men allt av det ggör det gradvis mindre sant om ingen håller efter.

Vad operativ säkerhet är, och var gränsen går

Gränsen mot riskhanteringen är enkel att dra. Riskhanteringen arbetar med systemet som det är tänkt att vara. Operativ säkerhet arbetar med systemet som det faktiskt är.

Det betyder inte att operativ säkerhet är lös i kanterna. Den har tre ben, var och ett med egen indata, eget arbetssätt och egen takt.

Vad är operativ säkerhet

Operativ cybersäkerhet ser du till att du är cybersäker i drift

Operativt arbete är att bevara säkerheteh

Operativ säkerhet är säkerhetsarbetet som pågår medan systemet används. Det består av incidenthantering, omvärldsbevakning och förbättring,

Konkret identifierar och hanterar du cyberattacker och andra fel. Du läser veckans sårbarhetsnotiser och hanterar dem, och du analyserar och förbättrar systemen.

Inom flyg är det att rapportera när man höll på att kollidera eller någon, du läser tekniska notiser från leverantörer. Men, nu slipper du flyg, det blir bilsport!

Jackie Stewart var pionjären för säkerhet på banan

Ronnie Peterson var min stora idol. Jag blir fortfarande sorgsen när olyckan på Monza 1978 kommer på tal.

Jackie Stewart, trefaldige världsmästare, var pionjären som riskerade sin egen karriär för säkerhet på banan. Han stred för obligatoriska säkerhetsbälten, heltäckande hjälmar, medicinsk personal och bättre avåkningszoner.

Hans vändpunkt kom 1966. Han voltade i intensivt regn och blev fastklämd uppochned i en bränsledränkt bil i 25 minuter. Andra förare och åskådare fick låna verktyg för att få loss honom. Ambulansen till sjukhuset körde vilse.

Metod för operativ säkerhet

Regler för operativ drift sätts i policyer, rutiner och checklistor

Säkerhetspolicyn styr, rutinerna utför. Policyn slår fast vad som ska gälla och skrivs i riskhanteringen, före systemriskanalysen. Operativ säkerhet är där den möter verkligheten.

Tre aktiviteter för din operativa säkerhet

Tre aktiviteter tar hand om den operativa säkerheten:

Incidenthanteringen startar när något händer, och då fort.
Omvärldsbevakningen är löpande.
Förbättringen går i planerade cykler.

Ingen av dem väntar på en annan, och det är därför var och en behöver en egen ägare.

De matar varandra, och de matar tillbaka in i metoden. Bevakningen ger triagen det som utnyttjas nu, och systemriskanalysen en ändrad hotbild. Incidenthanteringen ger förbättringen grundorsakerna. Förbättringen ger säkerhetskraven det som ska ändras i nästa version. Det är de vägarna som gör säkerhetsarbetet till en cykel i stället för en kedja.

Två saker ser ut som aktiviteter men är det inte. Kvalitetsmätning och revision är hur förbättringen arbetar. Bevisad säkerhet är riskhanteringens sista steg, alltså det ni kommer in i driften med.

1. Incidenthantering

Erik "Carlsson på taket" var en legendarisk svensk rallyförare. Han visste hur man hanterade en incident. När han voltat och hamnat på taket hjälpte publiken honom att hamna på rätt köl igen och tillbaka i tävlingen.

Inom cybersäkerhet är det kanske inte lika lätt att identifiera en incident. Men kraven är hårda. Inte minst inom rapportering. Fristerna är korta och processen styrd. Precis som inom flyg är syftet att hjälpa andra och systemet med att förbättra säkerheten. Det som krånglar till det är att du ska följa flera regelverk samtidigt.

Så här skapar du effektiv incidenthantering

2. Omvärldsbevakning

Lancia Stratos med fy, hittar älg, omvärldsbevakning med extraljus

Extraljuset ger rallyföraren precis den omvärldsbevakning han behöver, och min gamla idol Stig Blomqvist hade fyra.. Och, förlåt SAAB, Lancia Stratos är den absolut coolaste rallybilen.

Omvärldsbevakning är att bevaka förändring, så du kan dra slutsatsen och agera. Det är att kontinuerligt samla in information om omvärlden så du kan agera innan du drabbas av förändringarna.

Skapa effektiv omvärldsbevakning

3. Förbättring

Stirling Moss Maserati 300S 1958, Ronnie Peterson i Tyrrell P34 1977 och Lewis Hamilton i Ferrari SF 26 1926. Vilken utveckling av fart och säkerhetssystem.

Nu finns säkerhetssystem som man inte kunde drömma om 1958. Allt genom ständig förbättring. Obligatoriska säkerhetsbälten, avåkningszoner, bojkotter av farliga banor samt Läkare och ambulanser på plats är exempel.

Inom cybersäkerhet har du samma förbättringsmöjlighet. Det är därför aktiviteten finns i standarder och regler.

Förbättra dig genom den obligatoriska revisionen