Ledelsen skal godkende, hvilke arbejdsopgaver der må løses uden for virksomhedens lokaler, hvilket udstyr der må bruges, hvordan medarbejderne kobler sig på fra fremmede netværk, og hvem der må give en undtagelse. Reglerne bør skelne mellem det faste hjemmearbejde, det tilfældige arbejde i toget eller hos en kunde og rejser til udlandet. CISO’en foreslår reglerne ud fra en vurdering af, hvilke oplysninger og systemer der er tale om. Ledelsen beslutter, hvor fleksibel virksomheden vil være, og hvilken risiko det er værd at tage for fleksibiliteten.
Tre situationer med hver sin risiko
Hjemmearbejde er blevet en fast del af mange arbejdspladser, og det er sjældent den største risiko. Medarbejderen sidder samme sted hver gang, udstyret er virksomhedens, og netværket er kendt af den, der bruger det.
Arbejde på farten er mere broget. Toget, lufthavnen, hotellet og kundens mødelokale har hver deres netværk, og skærmen kan ses af andre. Tasker og bærbare glemmes, og en telefon uden lås er en åben dør til mail og filer.
Rejser til udlandet føjer et lag til. Medarbejderen er længere væk fra hjælp, og nogle rejsemål vil virksomheden vurdere som mere risikable end andre. Den vurdering hører til ledelsens risikovurdering og bør ikke overlades til den rejsende alene.
Hvad der må løses hvor
Den mest brugbare regel kobler opgaverne til virksomhedens fortrolighedsniveauer. Offentlige og interne oplysninger kan som udgangspunkt behandles overalt med virksomhedens udstyr. Fortrolige oplysninger kan kræve, at arbejdet sker hjemme eller på kontoret og ikke på en offentlig plads, hvor andre kan se med. Enkelte opgaver, fx administration af systemer eller godkendelse af store betalinger, kan ledelsen vælge kun at tillade fra bestemte steder eller med ekstra kontrol.
Niveauerne er beskrevet i artiklen om dataklassifikation. Er de ikke fastlagt, bliver reglerne om hjemmearbejde vage, fordi ingen ved, hvad “følsomme oplysninger” dækker over.
Udstyr og netværk
Ledelsen bør tage stilling til fire spørgsmål om udstyr.
- Må private enheder bruges? Mange virksomheder tillader mail og kalender på private telefoner, men ikke adgang til fortrolige filer.
- Hvilke krav gælder for udstyret? Kodelås, kryptering af lagerplads, opdateringer og mulighed for at slette indholdet på afstand, hvis enheden forsvinder.
- Hvordan kobler medarbejderne sig på? Ofte gennem en sikker forbindelse til virksomhedens systemer og med totrinsbekræftelse. Hvor kravet om totrinsbekræftelse skal stå, er beskrevet i MFA og sikker kommunikation.
- Hvad med printeren og papiret derhjemme? Udskrifter med fortrolige oplysninger bør have en regel for opbevaring og makulering.
Den tekniske opsætning ligger hos IT-leverandøren. Ledelsens opgave er at beslutte niveauet og få bekræftet, at det er gennemført. Det kræver et opdateret overblik over udstyret, som er beskrevet under forvaltning af aktiver.
Rejser til udlandet
For rejser kan reglen være kort. Den rejsende orienterer sin leder og IT, inden rejsen. Til rejsemål, som virksomheden har vurderet som mere risikable, medbringes et rejseudstyr med kun de oplysninger, der er brug for, og det gennemgås ved hjemkomsten. Adgangskoder skiftes efter hjemkomst, hvis der har været tegn på, at enheden har været ude af syne. Et tabt eller stjålet udstyr meldes med det samme, uanset tidspunkt.
Hvilke rejsemål der kræver ekstra forholdsregler, bør CISO’en foreslå og ledelsen godkende. Vurderingen bør bygge på, hvilke oplysninger den rejsende har med, og hvor værdifulde de er for andre.
Når noget går galt
Den vigtigste regel er den, der gælder, når udstyret er væk, eller når medarbejderen har klikket på noget forkert på hotellets netværk. Meldevejen skal kunne bruges hele døgnet og fra udlandet, fx et telefonnummer hos IT-leverandøren og en navngiven reserve. Jo hurtigere meldingen kommer, jo hurtigere kan kontoen spærres og enheden tømmes. Hvordan meldevejen gøres let at bruge, står i artiklen om at få medarbejderne til at melde det mistænkelige.
Undtagelser og ledelsens eget eksempel
Der vil komme ønsker om undtagelser. En sælger vil arbejde fra en privat bærbar under en messe, eller en direktør vil have adgang til alt fra telefonen. Hver undtagelse bør have en begrundelse, en ejer og en udløbsdato og følger virksomhedens faste undtagelsesproces. Processen er beskrevet i undtagelser fra sikkerhedsreglerne.
Ledelsen rejser ofte mest og har ofte de bredeste adgange. Reglerne skal derfor gælde direktionen på samme måde som alle andre, og det skal være synligt, at de gør. En direktør, der selv tager rejseudstyret med og melder en glemt telefon med det samme, gør mere for reglerne end nogen mail fra IT.
Det skal I lade være med
- At skrive “pas godt på udstyret” og kalde det en regel. Medarbejderne skal vide, hvad de konkret må og ikke må.
- At forbyde alt arbejde uden for kontoret. Arbejdet flytter alligevel, og så sker det uden regler.
- At glemme papiret. Udskrifter på køkkenbordet er også oplysninger.
- At lade den rejsende vurdere risikoen selv. Det er en ledelsesbeslutning.
- At give direktionen faste undtagelser. Det svækker reglerne for alle.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne omsætte jeres arbejdsformer til få, klare regler og skal kunne pege på, hvad IT-leverandøren skal opsætte, uden at have interesse i et bestemt produkt.
- ☐ En kortlægning af, hvor og på hvilket udstyr arbejdet faktisk foregår i dag.
- ☐ Et udkast til regler, der skelner mellem hjemme, på farten og i udlandet.
- ☐ Kobling til jeres fortrolighedsniveauer.
- ☐ En liste over det, IT-leverandøren skal opsætte og bekræfte.
- ☐ En meldevej, der virker uden for arbejdstid og fra udlandet.
- ☐ Undtagelser samlet i ét register med udløbsdato.
Sådan kommer I videre
Start med at spørge, hvor mange der arbejder hjemme, hvem der rejser, og om private enheder er i brug. Lad CISO’en lave et udkast på to sider, og godkend det i direktionen. Reglerne indgår derefter i de samlede sikkerhedsregler for medarbejderne og i arbejdet med risikovurdering og sikkerhedsstrategi.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Undtagelser fra sikkerhedsreglerne · Dataklassifikation
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
