Vi går gjennom verktøyene dere bruker, hvilke data og systemer de kan nå, og hvordan tilganger og ansvar er satt opp.
PBL Mentor har i første halvår 2026 engasjert Amund Strandå Kristensen for å utvikle et ledelsessystem for informasjonssikkerhet. Amund har vært en fornøyelse å jobbe med. Han leverer iht. estimat, på tid og med høy kvalitet. SPADE Consulting kan anbefales på det varmeste.
Fikk anbefalt Amund som foredragsholder til et webinar om digital sikkerhet og beredskap. Han var engasjert, og flink på kommunikasjon og avstemming av forventninger i forkant av leveransen. Han gjorde også en god jobb med selve foredraget. Kan absolutt anbefale Amund!
Resultatet samles i fire deler som kan brukes av ledelsen og de som skal følge opp tiltakene.
Ledelsen får de viktigste funnene forklart med konsekvenser for virksomheten og anbefalinger om videre bruk.
Funnene knyttes til konkrete verktøy, kontoer, integrasjoner og datakilder, slik at de som skal følge opp vet hvor de skal begynne.
Planen samler tekniske endringer og oppgaver knyttet til ansvar, rutiner og opplæring. Dere kan bruke den internt eller sammen med deres eksisterende leverandør.
Vi går gjennom funnene og anbefalingene sammen, slik at dere kan stille spørsmål om grunnlaget og hva tiltakene betyr i praksis. Oppfølgingsmøtet gir rom for spørsmål som dukker opp når dere tar planen i bruk.
Ved overlevering får dere også en kort redegjørelse for hvordan KI er brukt i arbeidet og hvordan resultatet er kontrollert. Les våre prinsipper for bruk av KI.
Vi ser på KI i nettlesere, skrivebordsapper, utviklingsverktøy og tjenester dere allerede bruker.
EksempelEt møtereferat blir behandlet av en KI-funksjon i videoløsningen. Vi undersøker om funksjonen er aktivert, og hvilke kontoer og data som er koblet til.
Vi undersøker roller og rettigheter, fra delte filer og datakilder til lokale nøkkellagre og nettverk.
EksempelEn assistent trenger én prosjektmappe, men har tilgang til hele fellesområdet. Vi vurderer hvilke rettigheter som kan begrenses uten at oppgaven stopper opp.
Vi gjennomgår hvor tilleggene kommer fra, hvordan de installeres, og hvilke tilganger de får. Det omfatter også skills og andre koblinger.
EksempelEn MCP-server installeres fra en pakke som kjøres lokalt. Vi undersøker utgiver, oppdateringer og om pakken kan lese filer eller bruke lagrede nøkler.
Vi ser på automatisk godkjenning, modellvalg, hooks og underprosesser, og om agenten kan endre systemer eller kjøre kommandoer.
EksempelEn kodeagent kan installere pakker og kjøre terminalkommandoer uten å spørre. Vi undersøker hvilke handlinger som krever godkjenning, og hva som skjer når den starter en underprosess.
Vi vurderer lagring, deling, eventuell modelltrening og logger, samt representative scenarioer for prompt injection og uønsket datauttak.
EksempelEn nettsidetekst ber agenten sende et internt dokument videre. Vi undersøker hvilke begrensninger som gjelder, og om et slikt forsøk ville vært synlig i loggene.
Vi avklarer hvem som eier verktøyene, hvem som godkjenner bruken, og hvordan dere holder oversikten oppdatert.
EksempelEn avdeling har tatt i bruk en KI-tjeneste på eget initiativ. Vi undersøker hvem som kan beslutte videre bruk, og hvem som følger opp tilganger og innstillinger.
Vi ser på praktiske bruksregler, dataklassifisering og relevante spørsmål knyttet til GDPR, AI Act og internkontroll.
EksempelEn ansatt vil oppsummere en kundesak med KI. Vi undersøker om rutinene gjør det tydelig hvilke opplysninger som kan brukes, og når saken må avklares med noen andre.
Vi vurderer hvordan dere undersøker leverandører, avtalevilkår og endringer i KI-tjenester før og under bruk.
EksempelEn eksisterende leverandør legger til en KI-funksjon. Vi undersøker hvem som vurderer nye vilkår og databehandling før funksjonen tas i bruk.
Vi ser på hvilke handlinger som trenger menneskelig kontroll, hvem som kan godkjenne dem, og hvem som har ansvar for resultatet.
EksempelEn assistent kan sende e-post fra en ansatts konto. Vi undersøker om virksomheten har bestemt hvilke meldinger som skal godkjennes først, og av hvem.
Vi vurderer opplæring, rapportering av avvik, endringsstyring og hvordan verktøy og tilganger avsluttes.
EksempelEn ansatt oppdager at fortrolig informasjon er delt med feil tjeneste. Vi undersøker om vedkommende vet hvem som skal varsles, og hvem som kan stanse delingen og følge opp hendelsen.
Standardpakken gjelder én virksomhet og et avtalt utvalg av KI-verktøy og bruksområder. En innebygget KI-funksjon i et SaaS-produkt teller som ett av de fem verktøyene eller bruksområdene.
Gjennomgangen bygger på representativ dokumentasjon, guidede konfigurasjonsvisninger og avtalte loggutdrag.
Det er meg dere møter i samtalene og gjennomgangen.
CISSP ISC2
Informasjonssikkerhet på tvers av teknologi, mennesker og virksomhet.
Se sertifikatet
ISO 27001 Lead Implementer PECB
Systematisk arbeid med ansvar, rutiner og oppfølging av informasjonssikkerhet.
Se sertifikatet
ISO 27005 Lead Risk Manager PECB
Vurdering og håndtering av risiko knyttet til informasjonssikkerhet.
Se sertifikatet
Nei. Vi bruker intervjuer, dokumentasjon, konfigurasjonsgjennomganger og representative logger. Funnene bygger på dette underlaget; vi undersøker ikke samtlige enheter eller garanterer at all uautorisert bruk avdekkes.
Nei. Tekniske forhold gjennomgås normalt i guidede skjermdelinger og med avtalte eksportfiler eller skjermbilder. Passord, tokens og API-nøkler skal ikke overføres.
Et vesentlig verktøy eller bruksområde som kan vurderes samlet, telles som én av de fem. Det kan for eksempel være ChatGPT Enterprise, Microsoft 365 Copilot, Claude, en intern agent eller KI-funksjonen i et SaaS-produkt.
Nei. Gjennomgangen peker på relevante berøringspunkter mot AI Act, GDPR og ISO-standarder, men er ikke en juridisk betenkning, samsvarsvurdering eller sertifisering.
Da sier vi det i avklaringssamtalen. Arbeid utenfor standardpakken starter ikke automatisk; behov og pris beskrives skriftlig først.
Nei. 30/60/90-dagersplanen skal kunne brukes av interne ressurser eller deres eksisterende leverandør. Eventuell bistand fra SPADE avtales separat.
I en samtale på 30 minutter går vi gjennom verktøyene dere bruker, tilgjengelig underlag og om leveransen kan gjennomføres til fastpris.
