Klassifisering og beskyttelse av informasjon - NSM

More documents

Recommendations

Info

Det finnes noen enkle spørsmål som kan gi grunnlag for en nærmere vurdering avinformasjonens verdi:- Hvordan kan informasjonen misbrukes?- Hvem kan misbruke informasjonen?- Hva blir konsekvensen dersom informasjonen blir tilgjengelig for uvedkommende?- Kan informasjonen påføre skade for andre?- I hvilket tidsrom har informasjonen verdi?Hvilken informasjon som til en hver tid vil ha et beskyttelsesbehov, vil aldri være helt statiskover tid. Det vil alltid være et tilsig av ny informasjon som bør beskyttes, samtidig sombehovet for beskyttelse av tidligere ansette verdier kan falle fra eller bli redusert. Det finnesinformasjon som bare trenger beskyttelse ”over natten”, mens annen informasjon kanskje måbeskyttes i mange tiår.En utfordring ved verdivurderingen er at elementer av informasjon som hver for seg kan virkeharmløs vil kunne endre karakter når de sammenstilles med andre elementer som også virkerharmløse og er åpent tilgjengelige. Likeså kan informasjon som for en part er ufarlig utgjøreen trussel for tredjeparts virksomhet, hvis den kommer på avveie. Dilemmaet ligger i at detkan være en fare for at for stor del av den informasjonen vi omgir oss med og som vi faktisktrenger, blir vurdert som kritisk. Dette kan dreie seg om informasjon som, dersom den ikke ertilgjengelig når vi trenger den, kan føre til skade eller tap av verdier. Det vil derfor væreviktig at den som setter sammen og forvalter slik informasjon gjør en kritisk vurdering ominformasjonen for eksempel bør skjermes iht Sikkerhetsloven eller på annen måte.7.2 Inndeling i klasserI en verdivurdering er det opp til virksomhetene selv å vurdere kritikalitet til informasjonen.ref. kap. 7.1. For å dele informasjonen inn i klasser med tilhørende krav til beskyttelse, hararbeidsgruppen valgt en inndeling i fire klasser. Dette er begrunnet i internasjonale standarderog beste praksis fra flere områder. En inndeling med tre klasser vil etter gruppens vurderingikke gi tilstrekkelig differensiering og faren for overgradering vil øke. En inndeling i flere ennfire klasser har gruppen vurdert til å gi en vanskeligere brukersituasjon samt en uoversiktligdifferensiering.De fire klassene gis følgende betegnelser etter hvor store krav som stilles til hhvkonfidensialitet, integritet eller tilgjengelighet:1 – Lav2 – Middels3 – Høy4 – Svært høyGruppens vurdering er at krav til konfidensialitet, integritet eller tilgjengelighet sjelden vilvære sammenfallende og komme i samme beskyttelsesklasse. Det kan for eksempel være atinformasjon med meget store krav til integritet ikke har tilsvarende krav til konfidensialiteteller tilgjengelighet. Vi har derfor valgt å beskrive krav til konfidensialitet, integritet ogtilgjengelighet i hver av klassene separat i tabellen.24
Klasser \Område Konfidensialitet Integritet TilgjengelighetLavInformasjon som ikke kanskade noe eller noen basertpå virksomhetensbedømmelse, relevantlovverk eller reguleringer.Informasjon som alle kan fåse, og som ikke har noenkrav til skjerming.Eier kan gi egnebestemmelser forpublisering som foreksempel tilgjengeliggjøringeller skjerming forsøkemotorer på Internett.I utgangspunktet vil denneklassen gjøres tilgjengeligfor anonyme brukere.Informasjon der feil ikkepåvirkerbeslutningsprosesser.Eier kan gi egnebestemmelser forkvalitetssikring avopplysningene.Informasjon derutilgjengelighet har litenbetydning forvirksomheten.MiddelsInformasjon som kan gimoderate skader forvirksomhetens interessereller enkeltparter hvis denkommer uautoriserte ihende.Informasjon hvor tilgang erbegrenset tilorganisasjonen, samt andrevirksomheten har autorisertInformasjon som i noengrad påvirkerbeslutningsprosesser.Dersom feil oppstår, kandet gi moderat skade ellerverditap og medføresvekket omdømme forbruker eller andre. Kanføre til merarbeid å gjøreoppretting etter feilen.Informasjon derutilgjengelighet kan føretil noe etterslep ogredusert servicenivå.Informasjon skal gis /underlegges kontrollertdistribusjon.25
Page 4 and 5: TabellerTabell 1 Inndeling i klasse
Page 6 and 7: inndeling av informasjon i klasser,
Page 8 and 9: 2 MANDAT OG SAMMENSETNINGKoordineri
Page 10 and 11: 4 BEGREPSAVKLARINGERAutentisering:
Page 12 and 13: 5 EKSISTERENDE NASJONALE OG INTERNA
Page 14 and 15: omhandler klassifisering av informa
Page 16 and 17: SikkerhetslovenSikkerhetslovens for
Page 18 and 19: disse må om nødvendig samarbeide
Page 20 and 21: Forskriftens formål er å legge ti
Page 27 and 28: 7.3 Eksempler på bruk av klassifis
Page 29 and 30: KonfidensialitetIntegritetTilgjenge
Page 31 and 32: Klasser\OmrådeLavMiddelsHøyInform
Page 33 and 34: 8.4 Noen eksempler på beskyttelses
Page 35 and 36: Klasser/OmrådeLavMiddelsHøySvært
Page 37 and 38: 9 VIDERE ARBEIDDenne rapporten vise

Klassifisering og beskyttelse av informasjon - NSM

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?