Fas 4: Act
Den här sidan beskriver förbättringsfasen Agera (Act) i KTH:s informationssäkerhetsarbete enligt modellen Plan–Do–Check–Act (PDCA). I denna fas beslutas och initieras förbättringar baserat på resultaten från uppföljningen.
Förbättringsfasen förutsätter att Studera‑fasen har genomförts och att det finns tydliga och dokumenterade underlag, såsom sammanställningar av incidenter, revisionsutlåtanden, avvikelser och identifierade förbättringsområden. Dessa underlag utgör grunden för beslut om hur informationssäkerhetsarbetet behöver justeras och utvecklas.
I Agera‑fasen ligger fokus på att korrigera identifierade avvikelser, stärka befintliga skyddsåtgärder och vidareutveckla processer, instruktioner och rollansvar. Arbetet leds av CISO och sker i samverkan med ledning och berörda delar av organisationen. Erfarenheter och lärdomar från inträffade incidenter och genomförda uppföljningar tas till vara för att på ett strukturerat sätt förbättra KTH:s informationssäkerhetsarbete.
Utifrån rapporter och sammanställningar från Studera‑fasen beslutar ledning och CISO om hur avvikelser ska hanteras och vilka åtgärder som behöver prioriteras. Detta resulterar i en förbättringsplan som baseras på revisioner, incidenthantering och andra avvikelser från tidigare fastställda mål och planer. I samband med detta uppdateras vid behov styrande dokument, riktlinjer och processer för att säkerställa att styrningen förblir aktuell, effektiv och anpassad till verksamhetens behov.
Agera‑fasen syftar även till att dokumentera erfarenheter från det som fungerat väl, så att dessa kan tas med in i nästa cykel. För områden där utfallet inte motsvarat förväntningarna analyseras bakomliggande orsaker, till exempel otydliga mål, bristande uppföljning, otillräckliga arbetssätt eller förändrade förutsättningar. Resultatet är rekommendationer om justeringar av mål, mätetal, arbetssätt och säkerhetsåtgärder.
Resultat av Agera‑fasen
Resultatet av förbättringsfasen är ett beslutsunderlag och en uppsättning prioriterade åtgärder som förs vidare till nästa Plan‑fas . Därmed sluts PDCA‑cykeln och informationssäkerhetsarbetet kan fortsätta med uppdaterade mål, krav och förutsättningar.