Få Starkare IT-Säkerhet Med Plan-Do-Check-Act Cykeln (PDCA Cykeln)

Plan-Do-Check-Act cykeln är en modell som din organisation kan använda för att förbättra en kontinuerlig process. Tanken med modellen är att man ska undvika att upprepa samma misstag om och om igen. Processen är iterativ, ett vanligt tillvägagångsätt inom agil ledning och ‘Design Thinking’. Modellens uppbyggnad är simpel och enkel att förstå, utmaningen ligger i att använda den i ett långsiktigt perspektiv, då detta kräver långvarigt engagemang från ledningen.

Ett beskrivande exempel av PDCA cykeln

Hos oss på CyberPilot tror vi att det starkaste försvaret för att skydda din verksamhetsinformation är att ha ett pågående medvetenhetsprogram för anställda. För att få en bild av hur PDCA modellen kan fungera, kan vi använda oss av följande exempel av PDCA cykeln: Föreställ dig att din organisation precis beslutat sig för att införa ett utbildningsprogram för medvetenhet.

Under den här fasen av PDCA modellen ska du identifiera ett problem som ska lösas, eller ett mål som ska uppnås. För att säkerställa att du når ditt önskande resultat, ska du här identifiera relevanta nyckeltal, så kallade Key Performance Indicators (KPIs). 

Innan du går vidare till nästa fas, se till att du och dina kollegor kan svara på följande frågor:

I vårt PDCA exempel med ett utbildningsprogram, skulle det övergripande målet kunna vara att skapa medvetenhet om IT-säkerhet bland kollegorna. Ett del-mål kan därför vara att majoriteten av de anställda genomför alla de kurser de blir tilldelade. Det gör att ett nyckeltal (KPI) kan vara antalet genomförda kurser. Men ett nyckeltal skulle också kunna vara om kollegorna uppskattar utbildningen, vilket skulle kräva en mer kvalitativ kontrollmetod.

Nästa steg i PDCA cykeln går ut på att du genomför planen. Men du ska samtidigt vara uppmärksam och försöka förutse eventuella problem som kan uppstå. Om din plan innebär stora organisatoriska förändringar kan det vara smart att först testa planen i en mindre skala, för att undvika störningar. Här är det också viktigt att du håller koll på dina nyckeltal.

I denna fas ges kurserna ut till de anställda i den ordning och takt som bestämdes i Planerings-fasen. Se även till att du fångar upp relevanta uppgifter om hur många anställda som genomför kurserna.

Nästa fas av PDCA modellen är kontrollen. Insamlingen av data och nyckeltal gör att det framgår tydligt om insatserna har haft önskad effekt eller om det finns justeringar som behöver göras. Kontrollen går därmed ut på att jämföra det faktiska resultatet från den förra fasen, med de förväntningar som bestämdes i planerings-fasen. Denna del är helt avgörande i cykeln.

I vårt exempel kan ledningen i din organisation analysera resultatet om hur många anställda som har genomfört en kurs. De kan också tänkas kolla antalet säkerhetsintrång verksamheten har haft sedan utbildningen startade, jämfört med hur det såg ut innan träningen. Ni skulle också kunna prata med medarbetarna om hur de upplevt själva utbildningen. Alla dessa olika kontrollmetoder hjälper dig att reflektera och utvärdera din ursprungliga plan.

Med de kunskaper du fick från Do- och Check-faserna ska nu den övergripande processen förbättras. Under den här fasen av PDCA cykeln tar du handling på ditt resultat och optimerar processen. Du anpassar dina nyckeltal efter din nya kunskap och återvänder sedan till cykelns planeringsfas. Genom att konstant upprepa denna process som cykeln skapar, kommer din organisation att uppleva en konstant förbättring.

För att knyta tillbaka till exemplet: om data visar att ingen av kollegorna har genomfört någon kurs, och den övergripande inställningen inte förändrats, borde ledningen hitta den underliggande orsaken till detta. Kan det vara att de anställda inte har haft tid? Anser de att utbildningen är onödig? Vad är själva huvudorsaken till resultaten. Efter att du har räknat ut vart problemet ligger, så ska du åtgergå till planeringsfasen och se hur du kan göra utbildningen bättre och mer relevant. Om dina kollegor tycker att utbildningen är onödig, behöver du tydligt förmedla varför det är viktigt.

Många verksamheter har gjort ett bra jobb med att anskaffa de tekniska delar som krävs för att förbättra IT-säkerhet, såsom  antivirus, SIEM och logghanteringssystem, brandväggar och spamfilter. Men innan du köpte ett antivirusprogram, visste du varför du spenderar pengar på det och hade det ett klart syfte som programmet skulle fylla. Var svaren besvarade på en riskanalys? Var ledningen överens om hur antivirusprogrammets framgång skulle mätas?

Om din organisation har svårt att besvara den här typen av frågor kommer ni också ha svårt att utvärdera resultatet, och därmed kan ni inte utvärdera om det var en lyckad investering eller inte.

Därför ska ni använda er av KPIer, som gör det möjligt att utvärdera effektiviteten hos de IT-säkerhetsprogram som ni har investerat i. Men kom ihåg att en KPI bara är effektiv om ni tar till åtgärder när resultatet inte lever upp till det ni förväntade. Som vårt exempel på PDCA modellen i detta blogginlägg har visat, är Plan-Do-Check-Act cykeln ett praktiskt verktyg för återkommande uppföljning av KPIer.

Kom ihåg att anpassa säkerhetslösningar utefter din organisation

Det finns därutöver inte några universallösningar för informationssäkerhet. En stor flygplats har andra behov än en liten butik. Det är alltid organisationens egen situation som bör avgöra vilka tillvägagångssätt, kontroller och program som ni ska investera i.

PDCA modellen är ett användbart verktyg som du kan använda för att sätta upp IT-säkerhetsmål och regelbundet utvärdera dina framsteg. Du kan till och med använda PDCA-cykeln för att arbeta mot mål som anges i din IT-säkerhetspolicy. IT-säkerhet är en kontinuerlig process som både IT-teamet och medarbetare måste bidra till. Att använda en modell som PDCA-cykeln kan hjälpa dig att säkerställa att du fortsätter att göra framsteg mot dina IT-säkerhetsmål.