Klassifisering og beskyttelse av informasjon - NSM

administrasjon av informasjonssikkerhet. Målsetningen er at en organisasjon skal oppnådokumenterte mål som oppfyller krav som er fastsatt gjennom en risikovurdering.Det er mulig å tilpasse ISO/IEC 27002 til de metodene og strukturen som brukes avstandarder som COBIT og ITIL, og den generelle standarden vil derfor ikke være ikonkurranse med disse spesialiserte standardene. ISO/IEC 27002 vil trolig kunne være etbindeledd til virksomhetens helhetlige sikkerhetsaktiviteter.Kapittel 7.2 i ISO/IEC 27002 omhandler klassifisering av informasjon og er relevant fortemaet som behandles i denne rapporten. I følge standarden skal informasjon klassifiseres iforhold til informasjonens verdi, rettslige og regulatoriske krav, hvor sensitiv informasjonener og hvor kritisk den er for organisasjonen.Kapittel 13 i ISO/IEC 27002 omhandler håndtering av sikkerhetshendelser relatert tilinformasjonssikkerhet. Utfyllende informasjon om dette finnes i ISO/IEC TR 18044 som eren teknisk rapport om samme tema.ISO/IEC 27001 er en standard som inneholder krav for sertifisering av systemet foradministrasjon av informasjonssikkerhet og er ment å brukes i sammenheng med ISO/IEC27002.ISO/IEC 27005 vil bli en standard for risikostyring av informasjonssikkerhet. Dennestandarden er fremdeles under arbeid.ISO/IEC 27004 vil bli en standard for å måle og rapportere effektiviteten av et system foradministrasjon av informasjonssikkerhet. Denne standarden er fremdeles under arbeid.Arbeidet med å gjøre BS 7799 til en ISO-standard møtte noe motstand i starten, og lenge blearbeidet med en annen standard, ISO/IEC TR 13335 Guidelines for the management of ITSecurity (GMITS), sett på som et konkurrerende arbeid. Denne standarden er i ferd med åomarbeides til ISO/IEC 13335 Management of Information and Communications SecurityTechnology. Dette er en standard som i større grad beskriver IKT-sikkerhet, og denne typenstandarder omtales i det følgende kapittel.5.2 Standarder for datasikkerhetStandardene for datamaskinsikkerhet er de standardene som ofte blir brukt derinformasjonssikkerhet har blitt systematisert som en følge av innføring av IKT. På 1980-tallet ble det utviklet nasjonale standarder for datamaskinsikkerhet i flere land. På 1990-talletble det tatt initiativ for å utarbeide ensartede kriterier som kunne få bred internasjonalanerkjennelse. Dette arbeidet resulterte i Common Criteria for Information TechnologySecurity Evaluation (Common Criteria), og i 1999 ble versjon 2.0 til standarden ISO/IEC15408 – Evalueringskriterier for IT-sikkerhet.FIPS (Federal Information Processing Standard) er et sett standarder for bruk i den sivileoffentlige sektor i USA. Denne serien omfatter flere standarder relatert til sikkerhet ogsikkerhetsteknologier. Den standarden som er mest relevant for denne rapporten er FIPS 199Standards for Security Categorization of Federal Information and Information Systems.Denne standarden behandler klassifisering av informasjon særskilt, og den delen som13