Sikkerhetsledelse fra en toppleders ståsted - Erfaringer fra DSS

Transkript

1 Sikkerhetsledelse fra en toppleders ståsted - Erfaringer fra DSS Kjell Arne Knutsen Direktør DSS NSM sikkerhetskonferanse mars 2015

2 Formål Formidle noen nyttige erfaringer fra DSS 1. Innledning Kort om DSS bakgrunn for vårt arbeid 2. DSS styringssystem integrering av sikkerhetsarbeidet Dokumentasjon Årshjul planprosesser og risikovurdering Risikometodikk: vs. Gjennomføringsrisiko 3. Avslutning Erfaringer suksesskriterier og fallgruver Innspill til tilsynsmyndigheter

3 Innledning DSS organisering

4 DSS situasjon fra 2011 Situasjon 2011 DSS virksomhet forventning til tjenesteyting Utfordringer informasjonssikkerhet 2010 Terroraksjonen 22. juli Noen konsekvenser Prosjekt SSIS med støtte og overvåkning fra konsulentfirma Krisehåndtering etter 22. juli Endrede forventninger utvikling av DSS rolle, plan- og styringssystem Styrket sikkerhetsmiljø i linje og stab Løpende revisjoner/tilsyn/evalueringer av DSS

5 DSS styringssystem - dokumentasjon Generelt lov- og regelverk, Stortingets vedtak, etc FAD: Tildelingsbrev og Økonomiinstruks for DSS (evt. direkte instrukser). DSS: Krise- og beredskap Planverk Nivå 1 DSS krise og beredskapsplan Underliggende prosedyrer, rutiner etc. Nivå 2: Avdelingenes krise og beredskapsplaner Underliggende prosedyrer, rutiner etc. DSS styrende dokumenter Policy-/styringsdokumenter - fast: (Angir permanente krav til driften; hvordan ting skal gjøres.) Nivå 1 DSS Nivå 2 Avd. Kat. 1 Policy Kat. 2 Retningslinjer Kat.3 Rutiner Prosed. Kat. 4 Logger DSS planverk Planverk - rullerende: Årlig angivelse av strategier, mål og ressurser; hva som skal gjøres. Virksomhetsplan (nivå 1) inkl. avdelingsvise prioriteringer. DSS fagstrategier (nivå 1).

6 To typer risikovurdering Hva er risiko for at en (viktig) tjeneste, objekt eller informasjon kan bli slått ut, tappet eller misbrukt. Risiko for at noe DSS har ansvar for blir skadet pga en villet handling eller et uhell. Vurderer verdi, trussel og sårbarhet som grunnlag for forebyggende tiltak og beredskap (kontinuitetsplaner). Brukes til vurdering av risiko for at viktige tjenester, informasjon, objekter, kompetanse som DSS har ansvar for kan bli skadelidende eller satt ut av spill. Brukes til å vurdere hva vi må gjøre for å forebygge eller opprettholde (kontinuitet) driften av viktige funksjoner. Gjennomføringsrisiko Hva er risiko for at et planlagt resultatmål (aktivitet) ikke blir gjennomført. Risiko for at en aktivitet DSS har planlagt å gjennomføre ikke blir realisert. Vurderer sannsynlighet og konsekvens dersom viktige oppgaver ikke løses. Brukes til vurdering av risiko for at DSS ikke klarer å gjennomføre planlagte tiltak. I virksomhetsplanen. Prosjektplaner bør inkludere vurdering av risiko for prosjektet 25. mai 2015

7 Prosess årshjul DSS vs Gjennomføringsrisiko Avd risikovurd. - Objekter - Tjenester - Informasjon DSS risikovurd. - Objekter - Tjenester - Informasjon DSS tiltaksliste -Risikoreduserende tiltak - Kontinuitetsplan DSS ledermøte. Beslutning -Risikovurdering - Tiltak til VP - Akseptert risiko DSS ledermøte VP -Tiltak til VP - Budsjett - Gjennomføringsrisiko

8 Prosess årshjul DSS vs Gjennomføringsrisiko Avd risikovurd. - Objekter - Tjenester - Informasjon DSS risikovurd. - Objekter - Tjenester - Informasjon DSS tiltaksliste -Risikoreduserende tiltak - Kontinuitetsplan DSS ledermøte. Beslutning -Risikovurdering - Tiltak til VP - Akseptert risiko DSS ledermøte VP -Tiltak til VP - Budsjett - Gjennomføringsrisiko 1. Risikovurdering Trussel Verdi Metode Sårbarhet Ri Forebygge hendelse. (Grunnsikring) 2. Tiltaksplaner Hendelse Beredskap Kontinuitetsplan Metode Gjennomføringsrisiko Sannsynlighet Konsekvens 8

9 Suksesskriterier og fallgruver Suksesskriterier Ledelsesstyring Hva trenger du som leder Hva må du sikre at organisasjonen ivaretar Integrert styringssystem Sikkerhet er ikke noe utenom ordinær planlegging og styring. Forenkling og tydelighet Mye metodikk og begrepsapparat må gjøres forståelig og anvendelig for ledere og medarbeidere. Klart definere hva som forventes fra linjeansvarlige og ulike faglige miljøer Hva skal sikkerhetsfaglige miljøer bidra med Hva er krav til øvrig organisasjon. Fallgruver Faglige detaljdiskusjoner i det uendelige Gå seg vill i metodikk Konsulent-underkastelse Tåle revisjoner og avvik mens du jobber Tydelig på ledelsens leveransekrav om og om igjen.

10 Innspill tilsynsorganer Fortsett med tilsyn og gode bidrag Omtale helhetsbilde og både positive og negative forhold Ikke bli fanget av faste rapportstrukturer La etablert metodeverk og terminologi ligge noenlunde fast 25. mai 2015