IT-säkerhet är avgörande i en digital värld. Skydda ditt företag mot cyberhot.
Penetrationstestning, säkerhetsaudit, GDPR-compliance, incidenthantering och säkerhetsutbildning.
Att handla upp IT-säkerhetstjänster kräver en tydlig avgränsning av uppdragets syfte och omfattning. Företag behöver först identifiera om behovet handlar om strategisk rådgivning och efterlevnad, såsom förberedelser inför ISO 27001, GDPR eller NIS2-direktivet, eller om det råder ett operativt behov av sårbarhetsanalyser och penetrationstester. En för vag kravspecifikation leder ofta till felaktigt dimensionerade insatser eller konsulttimmar som läggs på fel områden.
Definiera vilka system, nätverk, applikationer eller processer som omfattas av uppdraget. För regelefterlevnad bör ni kartlägga vilken data som behandlas och vilka externa krav som ställs på verksamheten. Om ni söker teknisk granskning är det avgörande att precisera om konsulten ska göra en så kallad white box-granskning med tillgång till källkod och arkitekturritningar, eller en black box-testning där konsulten simulerar en extern angripare utan förkunskap.
Vid utvärdering av säkerhetskonsulter och rådgivningsbyråer bör ni granska både tekniska certifieringar och praktisk erfarenhet från er bransch. Etablerade personcertifieringar som CISSP (Certified Information Systems Security Professional), CISM och CEH (Certified Ethical Hacker) garanterar en grundläggande kompetensnivå. För byråer är det meriterande om de följer etablerade ramverk som NIST, CIS Controls eller ISO-standarder.
En kritisk aspekt att utvärdera är oberoende. Konsulter som både säljer säkerhetsanalyser och rekommenderar specifika mjukvaruprodukter kan hamna i intressekonflikter. Säkerställ att byråns rådgivning är leverantörsoberoende och att leveranserna innehåller konkreta, prioriterade åtgärdsplaner anpassade för er interna IT-organisation, snarare än generella och teoretiska rapporter.
Ett typiskt rådgivningsprojekt inom IT-säkerhet inleds med en initieringsfas där scopet spikas och sekretessavtal (NDA) tecknas. Därefter genomförs en nuläges- och GAP-analys för att identifiera sårbarheter i infrastruktur, applikationer eller styrdokument. Denna analysfas tar normalt 2 till 4 veckor beroende på organisationens storlek och tekniska komplexitet.
När analysen är klar levererar konsulten en riskrapport med prioriterade åtgärder utifrån hotbild och affärspåverkan. Fas två innebär implementering av rekommenderade säkerhetskontroller, uppdatering av policys samt eventuell utbildning av personal. För mindre avgränsade projekt varar hela insatsen ofta 1 till 3 månader, medan större transformationer eller förberedelser inför ISO-certifiering kan sträcka sig över 6 till 12 månader.
Kostnaden för IT-säkerhetskonsulter varierar beroende på specialistkompetens, uppdragets art och konsultens erfarenhetsnivå. Timtaxan för en senior säkerhetskonsult eller en extern säkerhetschef (CISO as a Service) ligger vanligtvis i intervallet 1 300 till 2 500 SEK per timme exklusive moms. Mer generella IT-konsulter med säkerhetsfokus ligger ofta omkring 1 100 till 1 400 SEK per timme.
För avgränsade projekt tillämpas ofta fast pris:
* Penetrationstest av webbapplikation: Uppskattat pris 40 000 – 150 000 SEK beroende på applikationens storlek. * GAP-analys inför NIS2 eller ISO 27001: Uppskattat pris 80 000 – 250 000 SEK för medelstora bolag. * Löpande säkerhetsrådgivning (retainer): Ofta 10–30 timmar per månad till en fast månadskostnad.
En penetrationstestare fokuserar på tekniska sårbarheter genom att aktivt försöka identifiera och utnyttja säkerhetshål i system och applikationer. En strategisk säkerhetskonsult arbetar bredare med riskhantering, styrning, policys, regelefterlevnad som NIS2 och GDPR samt kontinuitetsplanering för hela organisationen.
Själva testfasen brukar ta mellan 3 och 10 arbetsdagar beroende på systemens omfattning och komplexitet. Därefter tillkommer några dagar för analys och rapportskrivning, vilket innebär att den totala ledtiden ofta är 2 till 3 veckor från start till slutpresentation.
Rapporten ska innehålla en exekutiv sammanfattning för ledningen, en detaljerad förteckning över identifierade sårbarheter kategoriserade efter risknivå, tekniska bevis för fynden samt en konkret och prioriterad åtgärdsplan för hur bristerna ska avhjälpas.
CISO as a Service innebär att företaget hyr in en erfaren säkerhetschef på deltid, exempelvis 10 till 40 timmar per månad. Det är en kostnadseffektiv lösning för bolag som behöver strategisk säkerhetsstyrning och regelefterlevnad utan att anställa en heltidsperson.