Klassifisering og beskyttelse av informasjon - NSM

5 EKSISTERENDE NASJONALE OG INTERNASJONALESTANDARDEREn av målsetningene med å bruke standarder for informasjonssikkerhet er at virksomhetersom utveksler informasjon, får et felles rammeverk og begrepsapparat. Det gjør det lettere åetablere tillit til hverandres sikkerhet og forstå grunnlaget for de verdivurderinger som angirhva som er tilfredsstillende beskyttelsesbehov. Etablering av standarder vil også etablere ensystematikk som gjør det lettere å klassifisere informasjon.Informasjonssikkerhet er vanligvis en del av en helhetlig sikkerhetsaktivitet i en organisasjonog vil følgelig være innrettet etter de standarder og metoder som hele sikkerhetsaktivitetenfølger. Dersom man ser informasjonssikkerhet isolert, vil det fremdeles være nødvendig å tamed problemstillinger som fysisk sikkerhet, personellsikkerhet, tilgangskontroll,beredskapsplanlegging osv. I en større virksomhet vil en eller flere av disse gjerne være egneansvarsområder i en sikkerhetsorganisasjon.Ved innføring av standarder og valg av metoder for sikkerhetsaktiviteten er det viktig at manforholder seg til den eksisterende sikkerhetskulturen i virksomheten. Det er gjerne kultureltbetingede oppfatninger som preger en organisasjons forståelse av risiko og håndtering avtrusler. Fra dette utgangspunktet kan sikkerhetskulturen planmessig og systematisk utviklesog forbedres som en del av sikkerhetsaktiviteten.I mange sammenhenger er det lagt stor vekt på datasikkerhet som er et smalere område eninformasjonssikkerhet generelt. På området datasikkerhet eksisterer det flere standarder somfokuserer på de tekniske systemene og løsningene, på vedlikehold av eksisterendeprogramvare og utvikling av ny programvare.Pålitelig sikkerhetsarbeid krever at sikkerhetsaktiviteten er underlagt kvalitetsstyring ogderfor vil standarder som ISO 9000-serien, inngå som en del av rammeverket forsikkerhetsledelse.Sikkerhetsaktiviteten vil som regel også omfatte et system for revisjon ved internkontroll. INorge blir det ofte referert til internkontrollforskriften som brukes i HMS-arbeidet.Internasjonalt blir det gjerne referert til COSO-rammeverket (Committee of SponsoringOrganizations of the Treadway Commission). Dette er et generelt rammeverk for finansiellinternkontroll som kan utvides til å være en prosess for å styre hele virksomheten. I dennedelen av sikkerhetsarbeidet er det viktig at det er virksomhetens ledelse som beslutter hvasom er tilstrekkelig sikkerhet og akseptabel risiko.5.1 Standarder for informasjonssikkerhetISO/IEC 27000-serien er standarder for informasjonssikkerhet. Kun noen få deler av serien erferdige, men serien gir en helhetlig tilnærming til et strukturert system for administrasjon avinformasjonssikkerhet.Den sentrale standarden er ISO/IEC 27002 som er utviklet fra britisk standard BS 7799-1:1999. ISO/IEC 27002 het ISO/IEC 17799:2005 fram til juli 2007. Standarden anbefalerretningslinjer og generelle prinsipper for å opprette, iverksette og vedlikeholde et system for12