Arvid Nordquist hade länge arbetat med att säkra tillgången till korrekt data. Med ett växande fokus på informationssäkerhet och nya möjligheter inom AI ökade behovet av kontroll över företagets information – inte minst den som fanns i affärssystemet. En gemensam genomlysning med Implema gav både svar och några oväntat positiva besked.
Arvid Nordquist är ett familjeägt svenskt företag med en historia som sträcker sig tillbaka till 1884. Bolaget är idag en välkänd aktör inom kaffe och livsmedel, med verksamhet inom bland annat produktion, distribution och försäljning. När affärskritiska processer hänger tätt samman blir tillgången till korrekt och säker information avgörande.
Säkra system räcker inte
Arvid Nordquist hade länge arbetat med datakvalitet, tillgänglighet och säkerhetskopiering. Men i takt med att kraven på informationssäkerhet ökade väcktes nya frågor. Hur känslig var informationen? Var fanns den? Och vem kunde komma åt den?
Ett viktigt steg blev att börja klassificera informationen i Microsoftmiljön med hjälp av Microsoft Purview. På så sätt kunde företaget successivt skapa en bättre bild av vilken information som fanns och hur den behövde hanteras.
– Vi behöver veta vad det är för data vi använder och hur den ska hanteras. Bara genom att börja klassificera informationen får vi en helt annan insyn i vilken data vi faktiskt har, säger Adam Nygren, driftansvarig för IT på Arvid Nordquist.
AI gör gamla frågor mer akuta
När AI-verktyg kan hitta, sammanställa och använda information på nya sätt får befintliga behörigheter och informationsstrukturer större betydelse. För Arvid Nordquist blev frågan konkret i samband med planerna på att introducera Microsoft Copilot bredare i organisationen.
– När frågan om en bredare utrullning av Copilot kom upp kände jag att vi först behövde förstå vad den faktiskt skulle kunna komma åt. Vi behövde arbeta med informationssäkerheten parallellt, säger Adam Nygren.
Utrullningen av Copilot fick därför gå hand i hand med arbetet med klassificering och skydd av information. Men arbetet i Microsoftmiljön väckte samtidigt en annan fråga.
”Men vad händer med informationen i affärssystemet?”
Microsoft Purview gav bättre kontroll över informationen i Microsoftmiljön. Men Arvid Nordquists SAP-system innehåller också data från centrala delar av verksamheten, dit Purview inte når. Hur såg informationssäkerheten ut där?
– När vi fick frågan hur vi hanterar den information som finns i affärssystemet blev min reaktion ungefär: ”Just det, hur gör vi där?” Det är ju en stor del av vår viktiga verksamhetsdata, säger Adam Nygren.
Frågan blev startpunkten för en gemensam workshop med Implema.
Från magkänsla till faktisk risk
I workshopen samlades kompetens från både IT och verksamheten. Tillsammans med Implema gick gruppen igenom vilken information som fanns i SAP-miljön, hur den användes, vem som hade åtkomst till den och vilka konsekvenser det skulle kunna få om den hamnade fel. Även äldre data och behovet av gallring diskuterades utifrån säkerhet, datakvalitet och framtida användning.
En central del var att värdera riskerna utifrån sannolikhet och konsekvens, i stället för att utgå från att all information var lika känslig.
– Ibland kan man gå in i en sådan här diskussion med känslan att riskerna är större än de faktiskt är. När man systematiskt tittar på sannolikhet och konsekvens får man en betydligt bättre bild av var de verkliga riskerna finns och kan fokusera insatserna där de gör störst nytta, säger Charlott Brask, Quality & Process Manager på Implema.
– Det är verksamheten som bäst förstår informationens betydelse och IT som har kunskap om systemen och säkerheten. När de perspektiven möts kan man göra en relevant riskbedömning och prioritera rätt åtgärder, tillägger Ida Ottosson, projektledare inom Business Transformation på Implema.
Farhågorna visade sig större än riskerna
Genomgången visade att Arvid Nordquist redan hade en stabil grund i hur affärssystemsmiljön, åtkomsten till information och säkerheten hade byggts upp.
– Jag gick in i workshopen övertygad om att vi skulle hitta stora områden som vi behövde arbeta vidare med. I stället fick vi ett kvitto på att vi har arbetat noggrant med vårt affärssystem under lång tid och fattat bra beslut kring hur åtkomster och data ska struktureras, säger Adam Nygren.
Samtidigt identifierades konkreta förbättringsområden. Äldre information kunde rensas bort och workshopen väckte idéer kring hur klassificering skulle kunna automatiseras när information tas ut från SAP, exempelvis i rapporter.
Minst lika viktigt var att Arvid Nordquist fick en tydligare bild av vad som inte behövde prioriteras. Resurserna kunde riktas mot de områden där det faktiskt fanns behov.
– Det skapar trygghet att kunna visa att man faktiskt har gått igenom frågorna, gjort en riskbedömning och fattat medvetna beslut, säger Charlott Brask.
Från IT-fråga till gemensamt ansvar
Arbetet har också gjort informationssäkerhet till en mer naturlig del av diskussionen när nya initiativ och projekt planeras.
– Jag tycker att det har skett en tydlig förändring i synsättet. När vi driver projekt som kan påverka vårt affärssystem kommer frågan nu upp om hur det blir med informationen och säkerheten. Bara att fler känner till frågan och ser att den är viktig är ett stort steg framåt, säger Adam Nygren.
Informationsklassningen byggs nu successivt ut, med möjligheter att framöver använda mer automatiserad klassificering för att upptäcka och hantera känslig information.
När AI får en större roll blir kontrollen över informationen ännu viktigare. För att kunna använda AI på ett tryggt och värdeskapande sätt behöver organisationer förstå vilken information tekniken får tillgång till, hur aktuell den är och hur den får användas.
Kontroll över informationen blir på så sätt både ett skydd för dagens verksamhet och en förutsättning för att kunna ta nästa steg.
