Hvordan påvirker et varsel om tilsyn interne prioriteringer?

Transkript

1 Hvordan påvirker et varsel om tilsyn interne prioriteringer? Tove Muravez, IT & Admin Manager 23. April

2 DISPOSISJON Tilsynsvarsel trussel eller mulighet? Umiddelbare aksjoner Hvordan tar vi dette videre? Hvordan sikre at dette fortsetter? Hva ønsker vi å oppnå? Foreløpige erfaringer og videre planer 2 2

3 TILSYNSVARSEL TRUSSEL ELLER MULIGHET? Umiddelbar reaksjon Aktivitetsnivå internt Angrepsvinkel Hvem Hva Hvor Hvordan? Ansvarsfordeling Forventninger fra Petroleumstilsynet og internt 3 3

4 UMIDDELBARE AKSJONER Etablerte ansvar, forankring og prosessdriver samtidig som både prosess og frist ble tydelig kommunisert i hele organisasjonen Godt og tydelig scope for undersøkelsen Sikret god datafangst som input til ISBR Oversettelse til norsk Tydelig begrunnelse for forespørsel Oppstartsmøte med respondenter Forhåndssending av skjema med forklaring Intervju med respondenter Kvalitetssikring av svar i samarbeid med respondent Sentral besvarelse i tillegg Samordning mellom funn / verifikasjon av enkeltfunn Rapporten ble kvalitetssikret og forankres hos ledelsen Tydelig kommunisert at dette er starten på noe mer 4 4

5 HVORDAN TAR VI DETTE VIDERE Bruke anledningen som «unnskyldning» for å: Løfte og «standardisere nivået» for informasjonssikkerhet i selskapet Dokumentere og formalisere hvor det er identifisert mangler Korrigere og tydeliggjøre der det er nødvendig Supplere og implementere det som mangler og forankre i selskapets styringssystem Heve kompetanse og bevissthetsnivå i forhold til informasjonssikkerhet Inkludere informasjonssikkerhet i interne revisjonsaktiviteter for å sikre praktisk etterlevelse Bruke informasjonssikkerhet i arbeidet med kontinuerlig forbedring Gjennomføre dette innen en klart definert tidsramme med et resultat som kan gjenbrukes 5 5

6 HVORDAN SIKRE AT DETTE FORTSETTER? Resultatet av tilsynet ble formalisert i et Information Security Project Prosjektet har startet og skal gå ut 2013 Sikret forankring hos toppledelsen, løpende informasjon og forankring til Transocean sentralt samtidig som det er bred forankring i organisasjonen Inkludering av alt relevant personell tidlig i prosessen Tydelig intern rapportering og synliggjøring av nytte Kommunikasjonsplan etablert fra starten tilpasset kommunikasjon og involvering i organisasjonen Tydelig på at dette er en praktisk tilnærming 6 6

7 HVA ØNSKER VI Å OPPNÅ? Helhetlig og effektiv organisering og styring av informasjonssikkerhet i den norske organisasjonen Omforent status om informasjonssikkerhet Sikret eierskap til «relevant informasjonssikkerhet» i hele organisasjonen Omforent operasjonelt risikobilde Rett kompetansenivå på informasjonssikkerhet Informasjonsdeling og motivasjon 7 7

8 FORELØPIGE ERFARINGER OG VIDERE PLANER Erfaringer: Tilsynsvarselet satte informasjonssikkerhet høyere på agendaen Påminnelse og krav bidro til prioritering Tydelig og tilrettelagt kommunikasjon avgjørende for resultatet ISBR vanskelig tilgjengelig for mange, måtte forklares Beslutning om å ta en grunndig gjennomgang ble godt mottatt, grad av vellykkethet avhenger av god forklaring og tydelig avgrensing Veien videre: Gjennomføre prosjektet i henhold til plan Samarbeid med intern revisjons teamet om verifikasjoner, revisjon og gjennomganger i organisasjonen Bruke Petroleumstilsynet i forhold til rådgiverrolle 8 8

9 SPØRSMÅL? 9 9

10 Takk for oppmerksomheten! 10