Veiledning i sikkerhetsadministrasjon - NSM

NSM Veiledning i sikkerhetsadministrasjon 2010-07-01Dersom virksomheten velger å forskyve eller forsinke enkelte undersøkelser, må dette begrunnes –eksempelvis med at det i deler av virksomheten har vært liten aktivitet, ingen uønskede hendelser,eller at sikkerhetstjenestens utøvelse og funksjon er avklart på annen måte.Sikkerhetsrevisjoner kan omfatte gjennomganger av sikkerhetsdokumentasjon, intervjuer medpersonellet, og prøving av tekniske sikkerhetstiltak 11 . Sikkerhetsrevisjoner må når det er aktueltomfatte:• kontroll med tilstedeværelse av sikkerhetsgraderte dokumenter og maskinlesbarelagringsmedier• opptelling av nøkler for tilgang til områder og oppbevaringsenheter• kontroll med beholdning av kryptomateriellSikkerhetsrevisjoner må gjennomføres etter god faglig standard for slike undersøkelser, herunder mådet være tilstrekkelig organisatorisk avstand mellom den som utfører revisjonen og utførelsen av dearbeidsoppgaver som skal kontrolleres.Resultater fra sikkerhetsrevisjoner må dokumenteres i form av revisjonsrapporter Rapportenefremlegges for virksomhetsledelsen.merknad: I større virksomheter kan det være nødvendig å utforme revisjonsprogrammet slik atsikkerhetsrevisjoner (”delrevisjoner”) fordeles over året. Mindre virksomheter kan gjennomgåhele sikkerhetstjenesten i en revisjon, eventuelt som del av foreberedelsen til ledelsensevaluering av sikkerhetstilstanden.sikkerhetsloven § 5, 2.ledd, litra c – om regelmessig kontroll av sikkerhetstilstandenforskrift om sikkerhetsadministrasjon § 4-4, 1. og 3. ledd – om sikkerhetsrevisjon og dokumentering av resultaterYtterligere bestemmelser er gitt i forskrift om informasjonssikkerhet.6.3 Håndtering av uønskede hendelserUønskede hendelser må rapporteres og registreres internt i virksomheten.Feil og mangler ved den forebyggende sikkerhetstjenesten og sikkerhetstruende hendelser eruønskede hendelser i den forebyggende sikkerhetstjenesten.Feil og mangler må rapporteres til foresatt og kan eksempelvis være:• mulig forbedring av den forebyggende sikkerhetstjenesten• forhold som ikke er sikkerhetsbrudd, men som det er nødvendig å følge opp, eksempelvisavvik fra interne bestemmelser• sikkerhetsbrudd (som ikke er ”grove”)Sikkerhetstruende hendelser må omgående rapporteres til foresatt som meddelervirksomhetsledelsen og kan eksempelvis være:• sikkerhetstruende virksomhet, dvs. forberedelse til, (forsøk på) gjennomføring av ogmedvirkning til spionasje, sabotasje eller terrorhandlinger• kompromittering, det vil si tap, eller mistanke om tap, av konfidensialitet, tilgjengelighet ellerintegritet for sikkerhetsgradert informasjon• grove sikkerhetsbrudd, det vil si sikkerhetsbrudd som direkte kan medføre sikkerhetstruendevirksomhet eller kompromittering, samt sikkerhetsbrudd som skyldes systematiske avvik11 NSM kan anmodes om gjennomføring av tekniske sikkerhetsundersøkelser og inntregningstesting, eksempelvis som bistandtil virksomhetens arbeid med interne sikkerhetsrevisjonerSide 25 av 35