Klassifisering og beskyttelse av informasjon - NSM

More documents

Recommendations

Info

TabellerTabell 1 Inndeling i klasser ...................................................................................................... 26Tabell 2 Eksempel vedrørende helseopplysninger................................................................... 28Tabell 3 Eksempel vedrørende børsinformasjon...................................................................... 28Tabell 4 Eksempel knyttet til en beredskapsplan..................................................................... 28Tabell 5 Kategorisering av en beredskapsplan......................................................................... 29Tabell 6 Klassifisering på bakgrunn av konsekvens ................................................................ 30Tabell 7 Beskyttelsestiltak for konfidensialitet, integritet og tilgjengelighet .......................... 31Tabell 8 Beskyttelsestiltak i et livssyklusperspektiv for konfidensialitet................................ 33Tabell 9 Beskyttelsestiltak i et livssyklusperspektiv for integritet .......................................... 34Tabell 10 Beskyttelsestiltak i et livssyklusperspektiv for tilgjengelighet................................ 35Tabell 11 Eksempel på referansetabell for å vurdere informasjonens kritikalitet ................... 384
1 INNLEDNING1.1 BakgrunnOppnevningen av arbeidsgruppen for Klassifisering og Beskyttelse av Informasjon, (KOBI)er et tiltak som følger direkte av kapittel 6, V i Nasjonal strategi for informasjonssikkerhet(2003): ”Klassifisering av informasjon og informasjonssystemer.”Informasjonsflyten internt i virksomheter og mellom virksomheter har økt betydelig de sisteårene. Det lagres stadig mer informasjon på ulike medier, og det er et økende behov for ådele informasjon mellom ulike aktører. Samtidig skal informasjonen beskyttes for innsyn fraandre enn de som var tiltenkt som mottagere av informasjonen. I virksomhetene behandlesstore mengder informasjon som isolert sett ikke nødvendigvis utgjør noen trussel motenkeltpersoners eller virksomheters interesser, eller mot samfunnet. Dersom bestemte typerinformasjon sammensettes i aggregerte oversikter kan informasjonen imidlertid endrekarakter fra å være harmløs til å bli sensitiv informasjon med potensial til og utnyttes tilskadelige formål. Det kan også være tilfeller der informasjon som må beskyttes, for eksempeli henhold til personopplysningsloven, vil være nødvendig å få rask tilgang til når dette erpåkrevet for å redde liv og helse.En stadig større del av informasjonen utveksles i dag elektronisk. Elektronisk utveksling avinformasjon stiller andre krav til beskyttelse enn papirbasert. Blant annet kan elektroniskutveksling medføre at man er avhengig av at informasjonen som utveksles og som skalbeskyttes, må merkes etter en standard slik at mottaker også har mulighet til å beskytteinformasjonen i forhold til de krav som utsteder har satt.Sikkerhetsloven angir hvordan informasjon skal merkes og behandles. Annet lovverk stillerkrav til beskyttelse av informasjon, men konkretiserer ofte ikke nærmere hvordan dette skalgjøres. Det finnes mange eksempler på informasjon hvor det er behov for å foreta envurdering og klassifisering av behovet for beskyttelse, og hvor det også vil være ønskelig åangi visse krav, retningslinjer eller anbefalinger til hvordan denne beskyttelsen skalgjennomføres.Denne rapporten tar opp problemstillinger knyttet til informasjon som ikke må beskyttes avgrunner som sikkerhetsloven angir (hensynet til rikets sikkerhet og vitale nasjonalesikkerhetsinteresser) 1 , men som likevel trenger å bli vurdert og klassifisert for å bestemmeriktig beskyttelsesnivå og beskyttelsesmetode. På mange områder mangler krav, retningslinjereller anbefalinger til hvordan slik informasjon kan klassifiseres, merkes og beskyttes for åkunne transporteres og lagres elektronisk på en tilstrekkelig sikker måte. Dette prosjektet vilbelyse problemstillinger knyttet til elektronisk utveksling av informasjon med hovedvekt påverdivurdering og datateknologiske sikkerhetstiltak. Målgruppen er alle typer virksomhetersom omfattes av myndighetskrav til beskyttelse av informasjon.I rapporten omtales eksempler på regelverk / lovverk som stiller krav til beskyttelse avinformasjon. Det vises også til standarder som sier noe om beste praksis på områdetklassifisering og beskyttelse av informasjon. Det er laget en matrise som er et forslag til en1 Likevel er det viktig å understreke at for virksomheter som sikkerhetsloven gjelder for, må disse uansettvurdere hvorvidt det er behov for beskyttelse i henhold til denne loven for informasjon som tilvirkes ivirksomheten.5
Page 6 and 7: inndeling av informasjon i klasser,
Page 8 and 9: 2 MANDAT OG SAMMENSETNINGKoordineri
Page 10 and 11: 4 BEGREPSAVKLARINGERAutentisering:
Page 12 and 13: 5 EKSISTERENDE NASJONALE OG INTERNA
Page 14 and 15: omhandler klassifisering av informa
Page 16 and 17: SikkerhetslovenSikkerhetslovens for
Page 18 and 19: disse må om nødvendig samarbeide
Page 20 and 21: Forskriftens formål er å legge ti
Page 24 and 25: Det finnes noen enkle spørsmål so
Page 27 and 28: 7.3 Eksempler på bruk av klassifis
Page 29 and 30: KonfidensialitetIntegritetTilgjenge
Page 31 and 32: Klasser\OmrådeLavMiddelsHøyInform
Page 33 and 34: 8.4 Noen eksempler på beskyttelses
Page 35 and 36: Klasser/OmrådeLavMiddelsHøySvært
Page 37 and 38: 9 VIDERE ARBEIDDenne rapporten vise

Klassifisering og beskyttelse av informasjon - NSM

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?