Klassifisering og beskyttelse av informasjon - NSM

Etter stedlig tilsyn skriver Kredittilsynet en foreløpig tilsynsrapport. Denne unntasoffentlighet etter Offvl § 5a, jf. kredttl § 7 og fvl § 13. Foretaket skal dermed ha enforvaltningsmessig forsikring om at informasjon i den foreløpige rapporten ikke blir forelagtandre enn dem. Den endelige rapporten er derimot offentlig og vil kunne være et mål forpressens interesse. Den foreløpige rapporten sendes i dag med ordinær postgang.Informasjon som kan påvirke kursen på verdipapirer på Oslo Børs er svært sensitiv. Slikinformasjon kan for eksempel være nye regnskapstall, planlagte emisjoner, planlagte oppkjøposv. i det børsnoterte selskapet. Dette er informasjon som skal offentliggjøres på et gitttidspunkt. Før dette tidspunktet betegnes informasjonen som innsideinformasjon og det eretter verdipapirhandel lovens § 2-1, ikke er lov å benytte informasjonen som grunnlag forhandel. Kun en sluttet gruppe personer i selskapet er kjent med informasjonen, men i periodenfør informasjonen frigis, kan det være at denne informasjonen må utveksles internt i selskapetfor eksempel via e-post eller andre kommunikasjonskanaler. Hvordan kan selskapet sikre slikutveksling av innsideinformasjon?Kraftforsyningen behandler store mengder sensitiv informasjon. Denne informasjonen vartidligere BEGRENSET etter sikkerhetsinstruksen, men er nå avgradert og erstattet avbeskyttelseskrav hjemlet i Energiloven. I tillegg er kraftforsyningens styresystemer i seg selvsvært sensitive, særlig med tanke på tilgjengelighet og konfidensialitet. Uvedkommende måhindres fra å hacke seg inn og overta styringen av kraftnettet. Forskriftskravet i dag(Beredskapsforskriftens § 6-2), er at sensitiv informasjon om kraftforsyningen ”til enhver tidskal avskjermes effektivt for uvedkommende”. Kraftforsyningsanlegg og driftskontrollsystemer i dag klassifisert i 3 klasser. Klassifiseringen er basert på anleggets viktighet og erretningsgivende også for hvordan informasjonen og driftskontrollsystemene skal beskyttes.Hva som er sensitiv informasjon om kraftforsyningen med særlig beskyttelseskrav, er gitt iBeredskapsforskriftens (BfK) § 6-2:a) Driftskontrollsystemer (oversikter over system, sikkerhetstiltak, sårbarhet ogliknende),b) detaljerte oversikter (kraftsystem, kart, tabeller og liknende) over sentral- ogregionalnett hvor status over transformatorytelser eller kraftlinjer med spenningsnivåog/eller overføringskapasitet er angitt,c) oversikter over fordelingsnett som leverer kraft til viktige forsvarsanlegg og andreberedskaps- og samfunnsviktige virksomheter,d) sikrings- og sikkerhetstiltak,e) beredskapsrom / kommandoplasser,f) detaljerte analyser av sårbarhet som følge av påført skade,g) oversikter over reservemateriellagre og reparasjonsmuligheter.I realiteten omfattes altså dette informasjon om sårbare punkt i kraftforsyningen som kanrammes ved et målrettet angrep fra en ondsinnet aktør. For eksempel vil det være brudd påomtrent samtlige punkter under beredskapsforskriftens § 6-2 å utlevere slike opplysningersom trengs for å slå ut kraftforsyningen til en samfunnsviktig funksjon, gjennom et målrettetfysisk eller logisk angrep.7