I advokat-, revisions- og rådgivningsvirksomheder er klienternes tillid til, at deres oplysninger bliver i huset, en del af det, de betaler for. Sikkerhedsledelsen skal derfor bygges op omkring sagen og klienten: hvem må se hvilke sager, hvordan deles dokumenter med klienten, og hvad sker der, hvis oplysninger om en klient kommer ud. Ansvaret placeres hos én partner, mens en sikkerhedsleder, intern eller ekstern, oversætter det til regler, følger op og forbereder de beslutninger, som partnerkredsen skal træffe. Klienternes egne sikkerhedskrav skal have en fast ejer, der kan svare ens hver gang.
Fortroligheden er både regel og løfte
Flere rådgivende fag har regler om tavshedspligt. Revisorloven henviser i § 30 til straffelovens regler om tavshedspligt, som finder tilsvarende anvendelse på revisorer. Behandler virksomheden personoplysninger, kræver databeskyttelsesforordningens artikel 32 passende tekniske og organisatoriske foranstaltninger. Dertil kommer de løfter om fortrolighed, der står i klientaftaler, forretningsbetingelser og svar på klienternes spørgeskemaer.
De konkrete pligter vurderes med juridisk rådgivning. Sikkerhedslederen sørger for, at virksomheden kan vise, hvordan løfterne holdes i praksis.
Hvem i partnerkredsen ejer sikkerheden
Spørgsmålet om, hvordan IT placeres i partnerkredsen, er gennemgået på ekstern-it-ledelse.dk. For sikkerhedsledelsen er det nok at fastslå tre ting. Én partner er ansvarlig og har mandat til at handle mellem partnermøderne. Sikkerhedslederen refererer til den partner. Og partnerkredsen godkender de regler, der binder alle partnere, fx om deling af dokumenter og brug af private enheder. Hvem en ekstern sikkerhedsleder refererer til, er uddybet under hvem refererer CISO til.
Adgang pr. sag
I mange rådgivningsvirksomheder kan alle medarbejdere som udgangspunkt åbne alle sager. Det er praktisk, men det passer dårligt til løftet om fortrolighed. Sikkerhedslederen kan foreslå en enkel model, som partnerkredsen godkender:
- Sager deles i nogle få niveauer. De fleste sager er åbne for alle i afdelingen, mens særligt følsomme sager kun kan åbnes af de medarbejdere, der arbejder på dem.
- Den ansvarlige partner beslutter niveauet, når sagen oprettes, og kan ændre det undervejs.
- Adgangen gennemgås, når en medarbejder skifter afdeling eller stopper, og når en sag lukkes.
- Adgang til følsomme sager kan logges, så det bagefter kan vises, hvem der har åbnet dem.
Modellen bygger på en dataklassifikation, som forretningen selv ejer, og på principperne under adgangsstyring som politik.
Deling med klienter og modparter
Meget af kommunikationen med klienter går stadig over mail, og en fejlsendt mail er en af de enkleste måder, fortrolige oplysninger kan komme ud på. Ledelsen bør beslutte, hvilke oplysninger der må sendes som almindelig mail, hvornår der skal bruges en sikker kanal eller en delingsportal, og hvem der må give undtagelser. Reglerne skal være enkle nok til, at en travl medarbejder følger dem en fredag eftermiddag.
Delingsportaler og datarum skaber deres egne spørgsmål. Hvem opretter rummet, hvem inviterer eksterne, og hvornår lukkes det? Et datarum, der blev oprettet til en enkelt transaktion eller en enkelt sag, kan ligge åbent i årevis, hvis ingen har ansvaret for at lukke det. Den ansvarlige partner på sagen bør eje rummet, og sikkerhedslederen bør med faste mellemrum trække en liste over åbne rum og eksterne brugere, som partnerne kan tage stilling til.
Medarbejdernes egne enheder er det andet emne. Rådgivere arbejder hos klienter, i retten, på rejser og hjemme. Partnerkredsen skal beslutte, om sager må åbnes på private telefoner og computere, og hvilke krav der i så fald gælder. Beslutningen bør stå i medarbejdernes sikkerhedsregler, så den gælder alle og ikke forhandles sag for sag.
Klienternes sikkerhedskrav
Klienter, særligt i regulerede brancher, sender spørgeskemaer til deres rådgivere, og nogle skriver sikkerhedskrav ind i opdragsaftalen. Uden en fast ejer bliver spørgeskemaerne besvaret af den partner, der har klienten, og svarene bliver forskellige fra partner til partner. Det er et problem, hvis to klienter sammenligner svar, og et større problem, hvis svarene lover mere, end virksomheden kan holde.
Sikkerhedslederen kan samle et sæt godkendte standardsvar, som alle partnere bruger, og være den, der svarer på de spørgsmål, standardsvarene ikke dækker. Hvordan et spørgeskema håndteres fra modtagelse til svar, står under kundens sikkerhedsspørgeskema, og det bredere emne under når kunderne stiller sikkerhedskrav.
Når en klients oplysninger kommer ud
En hændelse, der berører klientdata, rejser spørgsmål, som ikke kan overlades til den enkelte partner: skal klienten orienteres, skal Datatilsynet underrettes, og hvordan formuleres beskeden? Beredskabet bør på forhånd fastlægge, at den ansvarlige partner og sikkerhedslederen vurderer hændelsen sammen, at partnerkredsen inddrages ved alvorlige sager, og at kommunikationen til klienter koordineres. Det kan hjælpe at have et udkast til en orientering af klienter klar på forhånd, så den ansvarlige partner kun skal tilpasse det konkrete indhold, når tiden er knap. Udkastet bør være godkendt af partnerkredsen og gennemgået med rådgivning. Hvad ledelsen skal afgøre, mens hændelsen står på, er gennemgået under de første timer efter en sikkerhedshændelse.
Det skal I lade være med
- At lade alle medarbejdere åbne alle sager, fordi det altid har været sådan.
- At lade hver partner besvare klienternes spørgeskemaer på egen hånd.
- At overlade valget af delingskanal til den enkelte medarbejder uden fælles regler.
- At lade den partner, der har klienten, alene afgøre, om klienten skal orienteres efter en hændelse.
- At love mere i klientaftalerne, end praksis kan bære.
Det skal I kræve af den eksterne
- ☐ Forståelse for, at fortroligheden er kernen i forretningen, og diskretion om klienternes forhold.
- ☐ En model for adgang pr. sag, som partnerkredsen kan godkende og medarbejderne forstå.
- ☐ Enkle regler for deling af dokumenter med klienter og modparter.
- ☐ Et sæt godkendte standardsvar til klienternes spørgeskemaer.
- ☐ Et beredskab, der fastlægger, hvem der beslutter orientering af klienter og myndigheder.
Hvad I kan gøre nu
Undersøg, hvor mange medarbejdere der kan åbne jeres ti mest følsomme sager, og om nogen kan se, hvem der har gjort det. Saml samtidig de seneste svar, partnerne har givet på klienters spørgeskemaer, og læg dem ved siden af hinanden. De to øvelser viser, hvor arbejdet skal begynde. Hvordan partnerkredsen kan beslutte en sikkerhedstest, er beskrevet på sikkerhedstesten.dk. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Revisorloven, LBK nr. 206 af 20. februar 2025 (retsinformation.dk): § 30, hvorefter straffelovens tavshedsregler også gælder for revisorer.
- Databeskyttelsesforordningen, (EU) 2016/679 (eur-lex): artikel 32 om behandlingssikkerhed.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Når en medarbejder stopper · Logning som ledelsesbeslutning
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
