Vad gör en It säkerhetschef?

Så ser vardagen ut

En stor del av arbetstiden går åt till strategiska möten och riskanalyser tillsammans med ledningsgruppen, medan det operativa "brandsläckandet" vid incidenter periodvis tar mer tid än vad kalendern egentligen tillåter.

Visste du?

Den moderna säkerhetschefen är sällan den som säger "nej" till allt. Idag handlar rollen om att vara en "möjliggörare" – att hitta sätt att säga "ja" till nya affärsidéer och tekniska lösningar, men att göra det på ett sätt som håller risken på en acceptabel nivå. Fokus har flyttat från att stoppa innovation till att säkra den.

Konkreta arbetsuppgifter

Strategisk riskhantering

Kärnan i uppdraget är att översätta tekniska hot till affärsmässiga risker. Du analyserar verksamheten för att förstå vad som är mest skyddsvärt – är det kundregistret, patenten eller driftkontinuiteten? Utifrån detta beslutar du var budgeten och resurserna ska läggas.

Det här kräver att du kan tala två språk: teknikernas detaljerade språk och ledningens ekonomiska språk. Du måste kunna förklara varför en investering i ett nytt identitetssystem är viktig för företagets överlevnad, inte bara för IT-avdelningen.

Exempel i vardagen:

Företaget vill lansera en ny app för kunder. Marknadsavdelningen vill att inloggningen ska vara så enkel som möjligt, helst utan lösenord. Du gör en riskanalys och föreslår en lösning med biometrisk inloggning (FaceID) som balanserar användarvänlighet med säkerhetskraven. Du presenterar lösningen för styrelsen och får budget godkänd.

Incidenthantering och krishantering

När skydden fallerar är det du som leder försvaret. Du ansvarar för incidentprocessen – vem gör vad när larmet går? Under en pågående attack agerar du ofta krisledare och koordinerar tekniska team, kommunikatörer och jurister.

Efteråt leder du arbetet med "Lessons Learned". Vad hände? Varför upptäckte vi det inte tidigare? Hur ser vi till att det inte händer igen?

Exempel i vardagen:

En medarbetare på ekonomiavdelningen rapporterar att deras dator beter sig konstigt och filer har bytt namn. Du aktiverar incidentplanen. Medan teknikerna isolerar datorn och analyserar skadeprogrammet, informerar du ledningen om läget och förbereder en rapport till Datainspektionen ifall personuppgifter har läckt. Lugnet du utstrålar hjälper teamet att fokusera.

Säkerhetskultur och utbildning

Teknik kan inte stoppa allt – människan är ofta den svagaste länken, men också den viktigaste försvarslinjen. En stor del av jobbet är att bygga en kultur där säkerhet är en naturlig del av vardagen, inte ett hinder.

Det innebär att utforma utbildningsprogram, genomföra phishing-tester och skapa en miljö där anställda vågar rapportera misstag utan rädsla för repressalier.

Exempel i vardagen:

Efter en genomförd phishing-simulering ser du att säljavdelningen klickade på många länkar. Istället för att skicka arga mail bjuder du in dig själv till deras månadsmöte. Du visar konkreta exempel på hur moderna bedrägerier ser ut och förklarar hur en hackad säljare kan skada kundrelationerna. Diskussionen vänder från "IT krånglar" till "vi hjälps åt".

Regelverk och compliance (GRC)

Lagar som GDPR och direktiv som NIS2 ställer höga krav på informationssäkerhet. Du ansvarar för att organisationen lever upp till dessa krav och att ni har dokumentationen på plats för att bevisa det vid en revision.

Det handlar inte bara om byråkrati, utan om att strukturera arbetet så att säkerheten blir mätbar och spårbar över tid.

Exempel i vardagen:

En stor kund kräver att ni ska vara ISO 27001-certifierade för att få förlänga kontraktet. Du leder projektet med att granska era nuvarande processer mot standarden, täpper till luckor i behörighetsstyrningen och tar fram de policyer som saknas inför den externa revisionen.

Säkerhetsarkitektur och leverantörskrav

Innan nya system köps in eller byggs måste de säkerhetsgranskas. Du ställer krav på leverantörer och ser till att säkerhet (Security by Design) finns med från början i alla projekt, snarare än att klistras på i efterhand.

Exempel i vardagen:

HR-avdelningen vill köpa in ett nytt molnbaserat personalsystem. Du granskar leverantörens säkerhetsdokumentation och upptäcker att de lagrar data utanför EU, vilket bryter mot er policy. Du tar en dialog med leverantören som går med på att flytta datan till en europeisk serverhall, och projektet kan gå vidare.

Specialisering och fördjupning

Inom större organisationer delas rollen ofta upp, eller så väljer man att fördjupa sig inom ett specifikt spår.

CISO (Chief Information Security Officer)

Den strategiska chefsrollen. Fokus ligger på styrning, policyer, budget, ledarskap och kontakten med styrelsen. Här handlar det mindre om att konfigurera brandväggar och mer om att hantera organisatorisk risk och juridik.

Informationssäkerhetschef (Information Security Manager)

Fokuserar på processer, dokumentation och "mjuka" värden. Arbetar mycket med ledningssystem (som ISO 27001), utbildning och att säkerställa att organisationen följer interna och externa regelverk.

IT-säkerhetsansvarig / Teknisk säkerhetschef

En mer operativ och teknisk roll. Du arbetar nära driftteamen och utvecklarna. Fokus ligger på den tekniska arkitekturen, sårbarhetsscanningar, penetrationstester och val av säkerhetsprodukter.

Hur arbetsuppgifterna förändras med erfarenhet

Röster från yrket

I en intervju med Orange Cyberdefense beskriver Richard Jones, en erfaren CISO, hur rollen kräver en mental omställning från teknik till strategi:

Det första steget som en ny CISO bör ta är att lämna sin roll med funktionellt ansvar bakom sig och se sig själv som strateg. Strateger är inte ansvariga för att göra. De är ansvariga för att planera, utvärdera, sätta upp mål och målsättningar.

— Richard Jones, CISO, Orange Cyberdefense Blogg, 2022

David Lindin, cybersäkerhetskonsult som arbetar nära många säkerhetschefer, lyfter i en intervju med Asurgent fram vikten av ledarskap framför verktyg:

Det som saknas är inte kunskap eller verktyg. Det är samtal som betyder något. Samtal där man kan tala öppet om ansvar, tillit och hur man leder när man inte har kontroll.

— David Lindin, Cybersäkerhetsexpert, Asurgent, 2024

TechSverige poängterar i en rapport att säkerhetsarbetet har blivit en kritisk samhällsfråga som kräver ny kompetens:

I och med utvecklingen mot ett allt mer digitalt arbete så blir det vår allra viktigaste funktion som skyddar all affärskritisk information.

— IT-Total (Medlem i TechSverige), Blogginlägg om kompetensbrist, 2024

Mer om yrket – It-säkerhetschef

70 000

Så stort var det beräknade underskottet av personer med IT-kompetens i Sverige 2024, enligt TechSveriges rapport. Inom just cybersäkerhet beskrivs bristen ofta som extra akut, vilket gör att efterfrågan på kunniga säkerhetschefer är extremt hög.

Vad folk tror

    Att IT-säkerhetschefen sitter i en huvtröja i ett mörkt rum och hackar tillbaka mot inkräktare.

Hur det faktiskt ser ut

    Det är en utpräglad ledarroll som oftare bär kavaj än huvtröja. Arbetet handlar om kommunikation, juridik, psykologi och verksamhetsutveckling. Du tillbringar mer tid i styrelserummet med PowerPoint än i terminalen med kod.

NIS2-direktivet ritar om kartan. De nya EU-reglerna för cybersäkerhet (NIS2) har gjort att säkerhetschefens roll har uppgraderats rejält i många styrelserum. Från att ha varit en "IT-fråga" är det nu en juridisk nödvändighet med personligt ansvar för ledningen. Det innebär att säkerhetschefen får mer mandat, större budget och tyngre ansvar än någonsin tidigare.

AI är både svärd och sköld. Artificiell intelligens förändrar arbetsuppgifterna i grunden. Försvarsarbetet automatiseras allt mer – AI kan upptäcka mönster i nätverkstrafik snabbare än någon människa. Samtidigt måste säkerhetschefen nu hantera riskerna med att personalen använder egna AI-verktyg ("Shadow AI") och att angripare använder AI för att skapa mer sofistikerade phishing-mail. Det gör jobbet till en ständig kapplöpning som är tekniskt fascinerande.

Dela