Så får Helsingborg ihop säkerhet och innovation

Denna intervju finns även som ett avsnitt i CIO Analytics poddflöde, som du bland annat hittar på Spotify eller i Podcaster-appen.

– Helsingborgs stad är för många känd som en väldigt innovativ stad som vågar gå före, testa nytt och pröva nya arbetssätt, säger Maria Stelinger Ernbland, digitaliseringsdirektör, Helsingborgs stad.

– Den kraften är extremt viktig för staden, för vår identitet och för hur vi arbetar. För mig står säkerhet och innovation inte i motsats till varandra. Har vi inte säkerhet och ordning och reda i det vi gör, kommer vi inte heller att våga fortsätta innovera. Med de tekniksprång vi tar nu, inte minst inom AI, blir det ännu viktigare att ha koll på vad man håller på med.

Några kommentarer, Oliver Zellweger, CISO, Helsingborgs stad?

– Jag instämmer helt. Jag brukar säga, i min roll som CISO i staden, att informationssäkerhet inte har något egenvärde i sig. Vi är en stödfunktion för att verksamheterna och staden som helhet ska kunna uppnå sina mål. Vi ska helt enkelt bidra till att det finns så bra underlag som möjligt för att man ska kunna fatta så bra beslut som möjligt. Jag tycker alltså inte alls att säkerhet och innovation står i konflikt med varandra, utan snarare tvärtom. Säkerheten gör oss tryggare som stad och ger oss mycket bättre koll på vad vi gör.

Har du något exempel på när ert samarbete har lyckats extra väl?

– Ja, vi har gått in i ett samarbete som nu är på sin sluttamp tillsammans med forskningsinstitutet RISE, där vi arbetar med digital resiliens och kontinuitetshantering, säger Maria Stellinger Ernblad. Där har vi verkligen krokat arm och tittat på hur vi behöver förbereda staden för att ha en bättre grund att stå på. Vi har också bjudit in verksamheterna. I våras hade vi en stor övning där samtliga verksamheter och de flesta av våra bolag i koncernen deltog. Då var det flera som kommenterade efteråt att säkerhet och digitalisering faktiskt stod där tillsammans och pratade om de här frågorna. Det gäller att göra den typen av saker. Där tog vi ett extra kliv framåt och visade hur allt detta hänger ihop.

– Jag kan bara hålla med, Oliver Zellweger. Jag tror att det är i relationerna vi bygger säkerhet, genom att möta verksamheterna där de står i sin vardag. Säkerhet kan aldrig komma från ingenstans som något ingen förstår. Vi måste anpassa arbetet så att vi underlättar i vardagen. Om jag till exempel sätter ett lösenord på en skärmsläckare måste jag också kunna förklara varför. Det är inte för att försvåra arbetet, utan för att ingen obehörig ska kunna gå förbi och se känslig information på skärmen.

– Vi måste möta varandra hela tiden, och det tycker jag att vi är väldigt bra på, både i RISE-projektet och i vardagen. Vi har olika forum i staden där vi träffas, och vi pratar på ett väldigt enkelt och verksamhetsnära sätt. Visst, vi måste ha compliance och vi måste följa lagar och regler. Det är självklart. Men det är inte där vi börjar när vi pratar om de här frågorna. I stället utgår vi från hur det ska bli möjligt och lätt att göra rätt. Sedan får vi se till att kontrollera att vi faktiskt uppfyller de regelverk vi måste följa.

Generativ AI känns som ett område där säkerhet och innovation kanske inte alltid är helt överens. Hur har diskussionerna gått där?

– Det vi gör nu är mycket att arbeta i en slags sandboxmiljö, säger Maria Stellinger Ernblad. Vi har ett par plattformar som är särskilt utformade för offentlig sektor, där medarbetarna får testa, träna och se vad man kan göra. Det är en resa vi befinner oss på. Nästa steg blir att fundera på hur vi går djupare och får större effekt. Då behöver vi göra verksamhetsanalyser och se var nyttan kan skapas. Men det här är ett sätt att börja, och det kommer redan spännande saker ur det. Medarbetare bygger agenter och hittar lösningar som faktiskt underlättar i vardagen.

– Vi har också gjort lite större satsningar. Vi var tidigt ute med att arbeta med transkribering i socialtjänsten, och där går vi djupare in. Där tyckte jag att vi tog ett spännande grepp genom att begära ett förhandsbesked från IMY, Integritetsskyddsmyndigheten. Vi fick ett svar tillbaka, men processen var ganska krävande eftersom vi behövde arbeta fram och tillbaka med myndigheten. Samtidigt gav det oss en grund att stå på inför framtida arbete.

Några kommentarer, Oliver?

– Jag tycker att vi är väldigt duktiga på det här, inte minst i arbetet med den regulatoriska sandlådan på IMY. Men återigen handlar det om att hela tiden ta fram det underlag som behövs för att vi ska kunna göra en bra bedömning. Vi är påkopplade tidigt och stöttar verksamheterna. Vi tittar på vilken information som används i olika AI-verktyg, hjälper till med klassning och gör riskanalyser. På så sätt säkerställer vi rätt skyddsnivå och kan ställa rätt krav utifrån det. Så nej, jag ser ingen målkonflikt här alls, snarare tvärtom. Vi är på väldigt god väg.

Vem har sista ordet om en satsning är affärsmässigt attraktiv men potentiellt riskfylld?

– Jag kan svara ur ett mer regulatoriskt perspektiv, säger Oliver Zellweger. Om vi pratar om NIS2, cybersäkerhetslagen och MSB:s föreskrifter talar man bland annat om informationsägaren, som också är riskägare och som ska fatta beslut om hur en risk ska hanteras. Men vi är ju också en kommun, och då måste vi utgå från våra egna förutsättningar och hur våra strukturer ser ut.

– Ytterst är det förvaltningsdirektören som har det ansvaret. Förvaltningsdirektören är myndighetschef inför sin nämnd, och det är den personen som har sista ordet när riskanalysen är gjord och det är dags att bestämma vilken väg man ska gå. Det finns lagkrav som vi absolut inte kan frångå, men det finns också gråzoner där man måste avgöra vilken riskaptit man har. Då är det den som ansvarar för verksamheten som också måste sätta ner foten och bestämma vilken väg man väljer.

Vad är viktigast i relationen mellan den som ansvarar för säkerhet och den som ansvarar för innovation?

– Jag tycker att du satte fingret på det tidigare: det handlar om relationer, säger Maria Stellinger Ernblad. Om att träffa varandra och våga lägga även det man inte är överens om på bordet. Om man tassar runt saker kommer man aldrig vidare. Det handlar om att lyssna på varandra, bygga relationer och bestämma vilket gemensamt perspektiv man har. Man måste också stämma av var man själv står och var den andra står. Det är viktigt för verksamheterna. Om de ska våga innovera måste de känna trygghet i att det inte blir ett svar på ett ställe och ett annat svar på ett annat. Om vi märker att vi inte har exakt samma utgångspunkt måste vi reda ut det och sedan kunna prata med verksamheterna på ett sätt som skapar trygghet.

Håller du med, Oliver?

– Ja, absolut. Återigen handlar det om relationer. Det är det som är det roligaste, både med att jobba i Helsingborgs stad och med våra frågor. I slutändan arbetar vi för individen, för invånarna, och det är genom relationer vi skapar förståelse. Det är också genom relationer vi förflyttar oss. Utan bra relationer och utan tillit kan vi ta fram hur många processer som helst, men ingen kommer att följa dem fullt ut ändå. Då har vi också organisationens största risk där.

– Och då får vi inte säkerhet på riktigt, på djupet, om det bara handlar om att bocka av en lista, säger Maria Stellinger Ernblad. Om människor däremot känner att saker hänger ihop, då får också det säkerhetsarbete vi vill göra större effekt.

– Målet måste vara att komma bort från ett alltför snävt compliancearbete och höja blicken, säger Oliver Zellweger. Det handlar inte bara om att Helsingborgs stad ska efterleva NIS2, utan också om att vi kan ta ansvar för samhället i stort och bidra till det. Vi kan dela våra erfarenheter med andra kommuner och organisationer. Det är också därför vi är här i dag: vi lär oss av varandra hela tiden.

Denna intervju spelades in i maj.