”Out of sight, out of mind” Har ni hört det uttrycket?
Jag tycker att det passar ganska bra även på GDPR och cybersäkerhet.
Ofta förknippas cybersäkerhet med IT-avdelningen och dataskydd kanske med en DPO, eller så vet man inte vem som faktiskt är ansvarig. Ibland är ansvaret tydligt, ibland mindre tydligt. Och resten av organisationen kanske inte alltid vet vad som görs eller vilken roll de själva har.
Därför tror jag att en viktig första åtgärd är att göra arbetet synligt. Men det räcker inte att IT eller den som ansvarar för dataskydd driver frågorna. Ledningen behöver också visa att de är viktiga och ge dem utrymme i verksamheten.
Det kan handla om ganska konkreta saker:
- Lyfta aktuella cyberhot och säkerhetsfrågor på gemensamma möten
- Be IT dela ett konkret säkerhetstips varje vecka, något som medarbetarna faktiskt kan använda i sitt arbete.
- Har ni ett regelbundet arbete med GDPR? Bra! Berätta vad ni arbetar med och dela gärna er årsklocka med resten av organisationen
- Använd verkliga fall där företag blivit fällda av myndigheter för brister inom dataskyddet som ett tillfälle att diskutera varför de fått sanktioner och vad man kan lära sig av situationen
- Prata om riskerna i den egna verksamheten. Inte bara om vad som kan hända, utan också om konsekvernserna och vilka arbetssätt och åtgärder som kan förebygga problemen
Men framför allt behöver ledningen visa genom sina beslut och prioriteringar att dataskydd och cybersäkerhet är en del av verksamheten, inte något som bara IT eller DPO ansvarar för.
För mig handlar det om att skapa förståelse för varför frågorna är viktiga, vem som ansvarar för vad och hur var och en kan bidra.
Det är svårt att skapa en kultur kring något som man inte pratar om.