Når en virksomhed sender fortrolige oplysninger via e-mail, er dokumentation af sikker e-mail mindst lige så vigtig som selve beskyttelsen. Det er ikke altid nok at kunne sige, at en besked blev krypteret. Hvis en kunde, revisor, ledelse eller myndighed senere spørger, hvad der faktisk skete, skal virksomheden kunne finde svaret.
Hvornår blev beskeden sendt? Blev den leveret? Var kommunikationen krypteret? Hvilken sikkerhedsmetode blev anvendt? Og kan virksomheden dokumentere hele forløbet?
Det er spørgsmål, som mange virksomheder først tænker over, når de har brug for svarene.
Sikkerhed handler også om sporbarhed
Når man taler om sikker e-mail, er fokus ofte på kryptering og beskyttelse mod uautoriseret adgang. Det er naturligvis centralt. Personoplysninger skal beskyttes med passende tekniske og organisatoriske sikkerhedsforanstaltninger, og virksomheder skal kunne demonstrere, at de har truffet relevante sikkerhedsforanstaltninger.
Men sikkerhed stopper ikke ved kryptering.
En virksomhed har også brug for at vide, hvad der sker med kommunikationen efter afsendelse. Hvis en vigtig besked indeholder personfølsomme eller fortrolige oplysninger, kan det være relevant at kunne dokumentere hændelsesforløbet.
Det betyder, at dokumentation af sikker e-mail bør være en naturlig del af virksomhedens sikkerhedsarbejde.
Hvad skete der med e-mailen?
Forestil dig, at en medarbejder sender en e-mail med fortrolige dokumenter til en kunde.
Tre måneder senere opstår der et spørgsmål:
“Kan I dokumentere, hvordan denne information blev sendt?”
Et svar som “Vi mener, at den blev sendt sikkert” er ikke særlig stærkt.
Det er langt bedre at kunne dokumentere:
- Hvornår beskeden blev sendt
- Hvem den blev sendt til
- Om beskeden blev leveret
- Om kommunikationen var krypteret
- Hvilken krypteringsmetode der blev anvendt
- Hvilke relevante hændelser der fandt sted
- Hvilke sikkerhedsoplysninger der er registreret
Det gør det lettere at skabe et konkret og dokumenterbart billede af, hvad der faktisk skete.
Fra antagelser til dokumentation
Mange virksomheder er afhængige af flere forskellige systemer til e-mail, sikkerhed, arkivering og administration. Det kan gøre det vanskeligt at samle information om en bestemt besked, når den først er sendt.
Det er her, en løsning som Permido kan gøre en forskel.
Permido er udviklet til sikker e-mailkommunikation, hvor kryptering sker automatisk. Platformen krypterer både kommunikation og lagring, og beskeder beskyttes med individuelle nøgler.
Samtidig giver Permido virksomheder mulighed for at arbejde mere struktureret med dokumentation af deres sikre kommunikation gennem oplysninger om beskeder, levering, kryptering og relevante hændelser.
Det betyder, at sikkerhed ikke kun bliver noget, virksomheden forventer er sket. Det bliver noget, virksomheden kan følge og dokumentere.
Hvorfor bliver det vigtigere?
Kravene til cybersikkerhed og dokumentation bliver stadig mere omfattende. NIS2-direktivet stiller blandt andet krav til relevante organisationers håndtering af cybersikkerhedsrisici, herunder sikkerhedspolitikker, hændelseshåndtering, kryptering og procedurer til vurdering af effektiviteten af sikkerhedsforanstaltninger.
For virksomheder, der er omfattet af NIS2, er dokumentation derfor ikke kun et spørgsmål om god praksis. Det kan være en vigtig del af virksomhedens samlede arbejde med cybersikkerhed og risikostyring.
EU’s regler og vejledninger lægger også vægt på overvågning, logning og vedligeholdelse af logs, så relevante hændelser kan identificeres, vurderes og håndteres.
Det understreger en vigtig pointe: Det er ikke nok at have sikkerhedsforanstaltninger. Virksomheden skal også have styr på, hvordan sikkerheden kan følges op og dokumenteres.
Hvad sker der, hvis nogen spørger i morgen?
Forestil dig, at en kunde spørger:
“Kan I dokumentere, at mine oplysninger blev sendt sikkert?”
Eller at en intern ansvarlig spørger:
“Hvilken kryptering blev anvendt på denne besked?”
Eller at virksomheden skal undersøge en hændelse og har brug for at forstå, hvornår og hvordan en bestemt besked blev sendt.
Hvis svaret kræver, at medarbejdere leder gennem flere systemer, gamle e-mails og manuelle noter, kan det hurtigt blive både tidskrævende og usikkert.
Med en løsning, hvor relevante oplysninger om den sikre kommunikation kan findes samlet, bliver det lettere at skabe overblik.
Sikker e-mail bør kunne dokumenteres
Sikkerhed handler ikke kun om at forhindre uvedkommende i at få adgang til information.
Det handler også om at kunne dokumentere, hvordan informationen blev håndteret.
For virksomheder, der arbejder med fortrolige oplysninger, persondata og krav til informationssikkerhed, er dokumentation af sikker e-mail derfor en vigtig del af den samlede sikkerhedsstrategi.
Permido kombinerer sikker e-mail med kryptering og funktioner, der gør det lettere at bevare overblikket over den sikre kommunikation.
Så spørgsmålet er ikke kun:
“Var e-mailen sikker?”
Det næste spørgsmål bør være:
“Kan vi bevise det?”
Hvis nogen bad om dokumentationen i morgen, ville din virksomhed så kunne finde den?
Læs mere om Permido: www.permido.dk
Referencer
