Hoveddelen i dialogverktøyet tar for seg overordnede vurderinger av risiko, status og utfordringer i tillegg til virksomhetenes styringssystem.
Oppfølging på dette overordnede nivået vil normalt være tilstrekkelig for å vurdere om arbeidet med informasjonssikkerhet er tilfredsstillende: Arbeidet på dette nivået er noe alle etatsstyrere bør være i stand til å ivareta. Nærmere bestemt vil det si at departementet påser at det er etablert god nok internkontroll i virksomheten, framfor at det undersøker konkrete tiltak og aktiviteter.
Vurder behovet for å gå dypere inn i enkelte tema
Du som er etatsstyrer bør alltid vurdere om det er spesielle temaer det er behov for å gå nærmere inn på.
- Ulike strategiske valg: Virksomheten gjør strategiske valg, for eksempel større endringer i oppgaveløsningen. Det kan være behov for å ta opp informasjonssikkerhet i forbindelse med anskaffelsesstrategi og tjenesteutsetting eller i forbindelse med å utnytte mulighetene som ny teknologi gir for å løse oppgaver og levere tjenester på nye måter.
- Regelverksendringer: Endringer i regelverk som stiller krav til arbeidet med informasjonssikkerhet, eller hvor informasjonssikkerhet har vesentlig betydning, gjør at virksomheten må tilpasse arbeidet sitt med informasjonssikkerhet, og departementet ønsker å vite hvordan dette er ivaretatt.
Dette er spesielt relevante eksempler, men andre behov er også aktuelle.
Dersom det er slike behov – bruk fordypningsdelen.