De fleste organisasjoner kan gjennomføre en risikovurdering én gang. Det vanskelige er å etablere en fast prosess der kritiske systemer og aktiva vurderes på nytt år etter år, og der resultatet fortsatt gir mening 12 måneder senere. Det er som regel her prosessen faller fra hverandre.
Den neste vurderingen bør være enklere fordi grunnlaget allerede er på plass: Truslene er vurdert, kritiske aktiva og avhengigheter er kartlagt, risikoappetitten er definert, og tidligere beslutninger er dokumentert. Den neste vurderingssyklusen handler derfor om å undersøke hva som har endret seg – ikke om å bygge opp vurderingen fra bunnen av.
Når du går i gang med en risikoanalyse, er det fristende å begynne direkte med systemene: Hva kan gå galt med HR-plattformen, CRM-systemet eller filserveren? Det er et naturlig utgangspunkt, men også en av grunnene til at mange risikovurderinger stopper opp før de er gjennomført.
Et bedre utgangspunkt er å vurdere selve truslene for organisasjonen som helhet. For hver trussel – for eksempel brann, cyberhærverk eller menneskelige feil – vurderer du sannsynligheten og hvordan trusselen kan påvirke konfidensialitet, integritet og tilgjengelighet.
Til sammen danner vurderingene organisasjonens trusselkatalog, som senere risikoanalyser kan ta utgangspunkt i. Dermed trenger du ikke begynne med et blankt ark hver gang et nytt aktivum skal vurderes.
Ikke gjør dette alene. Organisasjonene som får mest ut av prosessen, involverer fagpersonene som faktisk kjenner truslene. Det kan for eksempel være en CTO eller andre tekniske spesialister som vurderer sårbarheter, og avdelingsledere eller systemeiere som vurderer de forretningsmessige konsekvensene.
Hopp over kategorier som åpenbart ikke er relevante ennå, men behold dem i kataloget. Når organisasjonen tar i bruk ny teknologi eller endrer prosessene sine, kan de raskt bli aktuelle.
Gevinsten blir tydelig i år to. Som vår informasjonssikkerhetsansvarlige uttrykker det:
«Første gang gikk vi grundig gjennom alt. Hvert år etter det spør vi bare: Har noe endret seg? Har det kommet nye trusler, nye systemer eller nye måter å drive virksomheten på? Det gjør arbeidet betydelig enklere.»
Det er hele poenget med et felles utgangspunkt: Det grundige analysearbeidet gjennomføres første gang, mens de påfølgende årene først og fremst handler om å identifisere og vurdere endringer.
Når trusselbildet er på plass, må du avgjøre hvilke aktiva som skal vurderes. Det handler om å identifisere systemene og leverandørene som faktisk er kritiske for virksomheten, for de registrerte hvis personopplysninger organisasjonen behandler, eller for driftsmiljøet rundt.
Du trenger ikke å ta med hvert eneste aktivum fra starten. Til en første gjennomgang er 10 til 15 kritiske aktiva som regel tilstrekkelig. Hvis omfanget vokser ukontrollert underveis, risikerer risikovurderingen å stoppe opp før den skaper reell verdi.
Det som ofte blir oversett, er sammenhengen mellom aktivaene. Et system står sjelden alene. Det kan være avhengig av en leverandør, et nettverk eller andre tekniske komponenter, og sikkerheten i de ulike leddene henger sammen.
Et system med et lavt risikonivå kan derfor likevel være eksponert dersom den underliggende leverandøren har en svak sikkerhets- eller hendelseshistorikk. NorthGRC synliggjør denne sammenhengen som arvet risiko, slik at den blir tydelig i risikobildet og ikke avhenger av om noen husker en leverandørsamtale fra halvannet år tilbake.
Dette er verdt å ta på alvor. I KPMGs globale undersøkelse fra 2026 om tredjepartsrisikostyring beskriver bare 18 % av organisasjonene programmene sine for tredjepartsrisikostyring som fullt integrert i den overordnede risikostyringen. Samtidig har bare 15 % av de risikoansvarlige høy tillit til dataene programmene bygger på.
Leverandørrisikoer som ligger i et separat regneark ved siden av resten av risikolandskapet, blir i praksis risikoer som ingen har full oversikt over.
Kartlegger du avhengighetene grundig første gang, kan strukturen ofte gjenbrukes. Aktiva og leverandører skiftes sjelden ut hvert år, og neste vurderingssyklus handler derfor om å kontrollere hva som har endret seg, fremfor å tegne hele landskapet på nytt.
Du trenger ikke å utvikle en strukturert metode for vurdering av trusler, aktiva og risikobehandling fra bunnen av.
→ Last ned den kostnadsfrie veiledningen i risikostyring med ISO 27005
Når du har avgrenset hvilke aktiva som skal inngå, er neste spørsmål hvor grundig hvert enkelt aktivum skal vurderes. Selv blant de kritiske aktivaene krever ikke alle den samme analysedybden.
En CIA-basert vurdering, der konfidensialitet, integritet og tilgjengelighet vurderes separat, vil ofte være tilstrekkelig for etablerte systemer. En trusselbasert vurdering går et skritt videre ved å gjennomgå de relevante truslene for det enkelte aktivumet. Det gir et mer detaljert risikobilde der den ekstra dybden er nødvendig.
Utfordringen er å vite hvilke systemer som krever den grundige vurderingen. Et nytt IT-innkjøp eller et system organisasjonen er i ferd med å bli avhengig av, bør som utgangspunkt gjennomgå en trusselbasert vurdering før den endelige beslutningen tas.
Et etablert system som har blitt vurdert flere år på rad, trenger ikke nødvendigvis samme dybde i hver vurderingssyklus. Her kan det være tilstrekkelig å gjennomgå hva som har endret seg siden forrige vurdering.
Uansett hvilket nivå du velger, bør begrunnelsen dokumenteres. En kommentar om hvorfor sannsynligheten er vurdert som lav, eller hvorfor en bestemt sårbarhet øker konsekvensen, er forskjellen mellom en vurdering som kan gjenbrukes, og en vurdering ingen kan forklare året etter. Den skriftlige begrunnelsen gjør det samtidig betydelig enklere å avgjøre hvordan risikoen skal behandles.
Det er under risikoevalueringen at analysene omsettes til beslutninger. Prosessen blir enklere når kriteriene er definert før resultatene kommer inn.
En tydelig risikoappetitt gjør det mulig å holde hver vurdering opp mot risikonivået organisasjonen er villig til å akseptere. Dermed unngår du å diskutere akseptgrensen på nytt for hvert enkelt aktivum.
Akseptkriteriene må gjenspeile organisasjonens egen risikoappetitt og kan variere avhengig av aktivumets kritikalitet og typen konsekvens. Et akseptabelt nivå for et mindre internt verktøy er ikke nødvendigvis akseptabelt for et system som behandler sensitive personopplysninger eller støtter en kritisk forretningsprosess.
Hvis risikoen overstiger nivået organisasjonen er villig til å tolerere, må den behandles.
Det er under risikobehandlingen at planen blir konkret. Opprett en oppgave, og plasser ansvaret hos en navngitt person, slik at risikoen følges opp etter en fast tidsplan i stedet for å bli glemt frem til neste hendelse.
Når oppgaven inngår i organisasjonens årshjul og planlegging, blir risikobehandlingen en del av det løpende arbeidet. Samtidig bygger du opp dokumentasjonen som gjør neste års vurdering til en statusgjennomgang fremfor et nytt prosjekt.
Hele metoden kan i prinsippet håndteres i regneark, og mange organisasjoner gjør nettopp det. Forskjellen når prosessen gjennomføres i en sammenkoblet GRC-plattform, er at de ulike fasene ikke lenger er separate øvelser som bare henger løst sammen gjennom en felles mal.
NorthGRC inneholder et innebygd trusselkatalog som vedlikeholdes av erfarne sikkerhetskonsulenter. Det gir deg et ekspertvalidert utgangspunkt som kan tilpasses organisasjonens eget miljø, fremfor en tom liste som må bygges opp fra bunnen av.
Aktiva og leverandører kan opprettes manuelt, importeres fra Excel eller synkroniseres via API fra for eksempel organisasjonens CMDB. Når aktivaene er koblet sammen og vurdert, identifiserer og synliggjør plattformen automatisk arvet risiko. Dermed avhenger ikke oversikten over sammenhengene av enkeltpersoners kunnskap.
Det samme risikolandskapet kan romme forretningsmessige konsekvenser, konsekvenser for registrerte og samfunnsmessige konsekvenser. Dermed kan team innen informasjonssikkerhet, personvern og operasjonell teknologi arbeide ut fra ett sammenkoblet risikobilde fremfor tre separate siloer.
Oppgaver knyttet til risikobehandling går direkte videre til planleggingsmodulen med ansvarlige, frister og varsler. Rapporteringen bygger samtidig på oppdaterte vurderingsdata fremfor en statisk eksport.
Rapporten styret ser ved årets slutt, gjenspeiler derfor risikobildet organisasjonen faktisk har arbeidet med. Historikken ligger i plattformen og ikke spredt på tvers av innbokser, regneark og enkeltpersoners hukommelse.
En komplett risikosyklus er enklere å forstå når du ser den i praksis. Book en personlig demo av NorthGRC, og opplev hele prosessen fra trusselkatalog til styreklar rapport.