IT-konsultbolag, 15 medarbetare

Ledningen har identifierat viktiga processer och risker, etablerade kontaktvägar för kriskommunikation och ett tydligt engagemang i beredskapsfrågor. Samtidigt saknas en fullt dokumenterad och kommunicerad beredskapsplan, och krisledningen bedöms inte vara fullt funktionsduglig. Detta skapar ett glapp mellan ledningens ambition och organisationens förmåga att fatta samordnade beslut när en allvarlig händelse kräver tydlig styrning.

Personalförmågan är bred inom akuta händelser och reducerad bemanning, med kontinuerlig spridning av erfarenhet från tidigare uniformsyrken. Redundans för nyckelpersoner bedöms som mindre relevant eftersom ansvaret uppfattas ligga främst hos kunderna, medan risker för insiderhot och industrispionage ges begränsad vikt. Därmed kan den egna leveransförmågan bli sårbar om en nyckelperson eller ett kundnära team samtidigt påverkas av frånvaro eller säkerhetshändelse.

Kundkommunikation vid störningar och deltagande i kundernas övningar fungerar väl, vilket passar bolagets nära kundrelationer. Den egna hanteringen av leverantörsberoenden är däremot begränsad eftersom få leverantörer antas vara kritiska och avtalskrav på kontinuitet saknas. Bedömningen riskerar att förbise beroenden i exempelvis molntjänster, kommunikation eller andra stödresurser som påverkar bolagets egen leverans.

Den finansiella beredskapen framstår som en tydlig styrka med analyserade ekonomiska konsekvenser, reservrutiner och flera alternativ vid störning. Bolaget bedömer att det kan hantera en längre period utan externa intäkter, även om belastningen ökar efter en tids avbrott. Detta ger handlingsutrymme vid kortare och medellånga störningar, men uthålligheten är fortfarande beroende av att intäktsflöden återställs inom överskådlig tid.

Intern samverkan fungerar väl i den lilla organisationen, och medarbetarna deltar ofta i kundernas övningar. Kontakter med myndigheter och externa aktörer bygger främst på enskilda medarbetares engagemang inom totalförsvaret snarare än ett tydligt organiserat arbetssätt. Vid en händelse utanför kunduppdragen kan det därför vara oklart vilka externa kontakter bolaget ska använda och vilken roll det ska ta.

Informationsskyddet har allvarliga brister i klassning, ägarskap, behörighetsstyrning, uppföljning av åtkomst och kontroll över var molndata behandlas. Backup och reservlösningar finns, men kommentarerna anger att delar av skyddet har uppkommit av andra skäl eller tillfälligheter snarare än genom ett samlat arbetssätt. Bolaget kan därför fortsätta arbeta efter ett tekniskt avbrott men har svag kontroll över vem som får tillgång till kund- och verksamhetsinformation före, under och efter en incident.

Cybersäkerheten är stark inom kartläggning av digitala resurser, uppdateringar, tekniska tester och specialistkompetens. Den stora avvikelsen är att bolaget saknar kontroll över system och molntjänster som används utan godkännande eller egen administration. Detta innebär att en hög teknisk skyddsnivå kan kringgås i praktiken när arbete eller kundinformation flyttas till okända tjänster.

Bolaget saknar identifierade arbetssätt för informationspåverkan, samordnad kommunikation under påverkanskampanjer och regler för sociala medier. Personalens förmåga att känna igen manipulation och bedöma källor beskrivs främst som individuell mognad, samtidigt som kommentaren uttryckligen anger att något känt arbetssätt för källkontroll saknas. Den höga bedömningen av källkontroll står därmed i konflikt med kommentaren, och avsaknaden av övning i bedrägliga kontakter gör förmågan osäker vid ett riktat angrepp.

Den distribuerade arbetsformen ger mycket god möjlighet att fortsätta arbeta om en lokal eller vissa lokala resurser faller bort. Underlaget innehåller samtidigt en tydlig skillnad mellan den höga bedömningen av reservlösningar för el, nätverk och kommunikation och kommentaren att sådana lösningar inte finns. Den praktiska kontinuiteten vilar därför främst på geografisk spridning och medarbetarnas egna arbetsplatser, vilket kan bli otillräckligt vid bredare störningar i kommunikation eller elförsörjning.

Tillträdesskyddet för den egna lokalen är enkelt och anpassat till att lokalen i huvudsak står tom, medan personalen känner till skyddsrum vid kontoret. Företaget har i begränsad grad bedömt behovet av skydd vid allvarliga hot och genomför inga egna övningar, utan förlitar sig på fastighetsvärdar eller kunder. Eftersom personalen arbetar på flera platser blir beredskapen vid fysiska hot och utrymning ojämn mellan kontoret, kundmiljöer och andra arbetsställen.