Informasjonsklassifisering

Informasjonsklassifisering er arbeidet med å vurdere virksomhetens informasjon etter konfidensialitet, integritet og tilgjengelighet, slik at beskyttelsen havner på riktig nivå. Klassifiseringen gjør det mulig å begrunne sikkerhetstiltakene etter GDPR, og for offentlige organer er den en naturlig del av internkontrollen med informasjonssikkerhet. Kartleggingen kan dere strukturere i verktøyet for informasjonsverdier.

Hva er informasjonsklassifisering? (H2)

Informasjonsklassifisering er en strukturert vurdering av virksomhetens informasjon ut fra hvilke konsekvenser det vil få om konfidensialiteten, integriteten eller tilgjengeligheten svikter.

Formålet er at beskyttelsen skal stå i forhold til verdien av informasjonen. Uten klassifisering beskyttes alt likt, noe som betyr at det mest skjermingsverdige beskyttes for lite og det trivielle for mye. Klassifiseringen gjøres på informasjonstyper, ikke på systemer eller lagringssteder. De samme personopplysningene kan ligge i et HR-system, i en eksportfil og på en utskrift, og beskyttelsesbehovet følger informasjonen gjennom alle tre.

Hver informasjonstype vurderes separat etter de 3 sikkerhetsegenskapene, ofte kalt konfidensialitet, integritet og tilgjengelighet:

• Konfidensialitet: Informasjonen skal ikke gjøres tilgjengelig for eller avsløres til uvedkommende. Konsekvensen måles i hva en lekkasje ville bety for enkeltpersoner, virksomheten eller tredjeparter
• Integritet: Informasjonen skal være korrekt og fullstendig, altså beskyttet mot utilsiktet eller uautorisert endring. Konsekvensen måles i hva en beslutning tatt på feil grunnlag ville koste
• Tilgjengelighet: Informasjonen skal være tilgjengelig og brukbar når en autorisert person trenger den. Konsekvensen måles i hva et avbrudd ville bety, og hvor langt avbrudd virksomheten tåler

Egenskapene vurderes hver for seg fordi de sjelden følger hverandre, slik eksemplene under "Eksempler på informasjonsklassifisering" viser. 

Vær oppmerksom på 2 begrepsfeller. Integritet betyr i informasjonssikkerhet beskyttelse mot uautorisert endring, ikke personlig integritet i personvernforstand. Personvernforordningen bruker samme ord i prinsippet om integritet og konfidensialitet i artikkel 5 nr. 1 bokstav f, mens kravet om at opplysningene skal være korrekte og oppdaterte er prinsippet om riktighet i artikkel 5.1 d. Den andre fellen er gradering: i norsk språkbruk er gradering forbeholdt sikkerhetsloven og beskyttelsesinstruksen, mens virksomhetens egen vurdering heter klassifisering.

Informasjonsklassifisering nivåer: hvor mange og hvilke?

3 til 4 nivåer er nok for de fleste virksomheter, fordi hvert ekstra nivå skaper nye grensedragningsspørsmål uten at beskyttelsen blir målbart bedre.

Det finnes ingen felles norsk lovpålagt skala for virksomhetens egen klassifisering, så nivåene fastsetter dere selv. En vanlig modell er 4 konsekvensnivåer, nummerert fra 0 til 3:

Informasjon som kan skade nasjonale sikkerhetsinteresser, hører ikke hjemme i denne skalaen. Den håndteres etter sikkerhetsloven, se "Sikkerhetsgraderingen er et eget system".

Konsekvensnivåer og håndteringsklasser er 2 ulike ting

Konsekvensnivået er resultatet av vurderingen, mens håndteringsklassen er etiketten de ansatte ser og jobber etter.

Nivåene 0 til 3 er et analyseverktøy, men de sier ingenting til en ansatt som skal avgjøre om et dokument kan sendes på e-post til en ekstern mottaker. Derfor oversetter de fleste virksomheter klassifiseringen til en håndfull håndteringsklasser:

• Åpen: Informasjon som kan spres fritt, også eksternt
• Intern: Informasjon som kan deles i virksomheten, men ikke utenfor
• Fortrolig: Informasjon som bare kan deles med navngitte eller autoriserte mottakere
• Strengt fortrolig: Informasjon der en lekkasje får alvorlige følger, med særskilte krav til lagring, overføring og tilgang

Etikettene bygger på konfidensialitet, fordi det er der de ansatte tar flest valg i hverdagen. Integritet og tilgjengelighet styrer i stedet tekniske krav som versjonskontroll, tilgangsstyring, sikkerhetskopiering og gjenopprettingstid. Navnene varierer mellom virksomheter. Fortrolig og Strengt fortrolig er også beskyttelsesgrader etter beskyttelsesinstruksen, så statlige virksomheter som bruker instruksen, bør sørge for at de interne etikettene ikke kan forveksles med den formelle graderingen.

Sikkerhetsgraderingen er et eget system

Informasjon som kan skade nasjonale sikkerhetsinteresser, skal sikkerhetsgraderes etter sikkerhetsloven i 4 nivåer, som ligger ved siden av den vanlige informasjonsklassifiseringen.

Sikkerhetsloven (LOV-2018-06-01-24) § 5-3 fastsetter nivåene BEGRENSET, KONFIDENSIELT, HEMMELIG og STRENGT HEMMELIG, og nivået bestemmes av skadefølgene en kompromittering kan få for nasjonale sikkerhetsinteresser. Nasjonal sikkerhetsmyndighet (NSM) er fagmyndighet og har veiledere om skjermingsverdig og sikkerhetsgradert informasjon. Bruk ikke disse betegnelsene som navn på interne håndteringsklasser, og avklar om virksomheten er omfattet av loven før dere bygger egne rutiner for slik informasjon.

Informasjonsklassifisering og GDPR: hva krever regelverket?

GDPR nevner ikke informasjonsklassifisering ved navn, men artikkel 32 krever et sikkerhetsnivå som er egnet med tanke på risikoen, og klassifiseringen er grunnlaget som viser hvordan dere har kommet fram til hva som er egnet.

Personvernforordningen gjelder i Norge gjennom EØS-avtalen og personopplysningsloven (LOV-2018-06-15-38). Slik henger kravene sammen med klassifiseringen:

I offentlig sektor er det offentleglova som avgjør om noe kan unntas fra innsyn. Opplysninger som er underlagt taushetsplikt, for eksempel om noens personlige forhold etter forvaltningsloven § 13 nr. 1, skal unntas etter offentleglova § 13. Påskriften "Unntatt offentlighet" i et dokument er likevel ikke en klassifisering. Innsynskravet skal vurderes konkret hver gang, mens klassifiseringen er en generell vurdering av en informasjonstype.

Slik gjør dere en informasjonsklassifisering i praksis

Klassifiseringen gjøres i 6 steg: avgrens objektet, kartlegg informasjonen, fastsett kravene, klassifiser etter de 3 egenskapene, omsett resultatet i beskyttelsesnivå og merking, og dokumenter og følg opp.

Arbeidet gjøres best i workshopform med fagmiljøet, fordi det er de som vet hva som skjer om informasjonen lekker, blir feil eller forsvinner. Konsekvensvurderingen krever kunnskap om virksomheten, ikke bare om metoden. Digdir anbefaler at enheten som utfører oppgavene, gjør den endelige vurderingen, fordi det er den som skal eie resultatet.

1. Avgrens klassifiseringsobjektet og pek ut informasjonseieren. Bestem hva som skal klassifiseres, for eksempel en prosess eller et fagsystem. Informasjonseier er normalt lederen som eier prosessen der informasjonen oppstår, ikke IT-avdelingen og ikke personvernombudet
2. Kartlegg informasjonen. Beskriv hvilke informasjonstyper som håndteres, hvor de oppstår og hvilke eksterne parter som behandler dem. Inngår personopplysninger, er behandlingsprotokollen et naturlig utgangspunkt, fordi kartleggingen etter artikkel 30 allerede finnes der
3. Fastsett ytre og indre krav. Ytre krav kommer fra lov, avtaler og vedtak, for eksempel taushetsplikt eller arkivplikt. Indre krav kommer fra virksomhetens behov for å kunne levere
4. Klassifiser etter konfidensialitet, integritet og tilgjengelighet. Sett et konsekvensnivå per egenskap og begrunn hvert av dem kort. Begrunnelsen er viktigere enn tallet, fordi det er den som kan etterprøves i ettertid
5. Omsett klassifiseringen i beskyttelsesnivå og merking. Hver kombinasjon av nivåer skal peke mot konkrete administrative, tekniske og fysiske tiltak, og her bestemmes det hvordan informasjonen merkes
6. Dokumenter, beslutt og følg opp. Informasjonseieren tar beslutningen, informasjonssikkerhetsfunksjonen har ansvaret for metode og modell, og personvernombudet involveres når objektet inneholder personopplysninger. Klassifiseringen er samtidig inngangsverdi til risikovurderingen, som guiden om informasjonssikkerhet, risikoer og informasjonsverdier tar deg gjennom

Klassifiseringen svarer på hvor skjermingsverdig informasjonen er, risikovurderingen på hvor sannsynlig det er at beskyttelsen svikter.

Eksempler på informasjonsklassifisering

3 eksempler som viser hvordan samme metode gir ulike utfall:

Oppfølging av sykmeldte i HR

• Konfidensialitet 3, fordi det gjelder helseopplysninger etter artikkel 9 i GDPR
• Integritet 2, fordi feil opplysninger påvirker beslutninger om tilrettelegging
• Tilgjengelighet 1, fordi noen dagers avbrudd kan håndteres

Beskyttelsesnivået ga tilgangsbegrensning til HR-funksjonen, kryptering ved overføring og logging av tilgang.

Prislisten på nettstedet

• Konfidensialitet 0, fordi informasjonen er offentlig
• Integritet 3, fordi feil priser kan føre til tvister med kunder og svekke tilliten
• Tilgjengelighet 2, fordi en nede prisside stopper salget

Beskyttelsesnivået ga versjonskontroll, godkjenningsflyt før publisering og overvåking av sidens tilgjengelighet.

Logger fra adgangskontrollsystemet

• Konfidensialitet 2, fordi loggene viser hvor enkeltansatte har oppholdt seg
• Integritet 2, fordi de kan brukes som grunnlag i undersøkelser
• Tilgjengelighet 1, fordi de sjelden trengs i sanntid

Beskyttelsesnivået ga sletterutine, begrenset tilgang og krav om at uttak skal begrunnes.

Vanlige feil ved informasjonsklassifisering

Den vanligste feilen er at klassifiseringen stopper ved en tabell, uten at den noen gang omsettes i beskyttelsesnivåer, merking eller tilganger.

Fallgruver som går igjen:

• Systemer klassifiseres i stedet for informasjon. Eksportfiler, utskrifter og e-postvedlegg faller utenfor, og de samme opplysningene beskyttes ulikt avhengig av hvor de ligger
• For mange nivåer. 6 nivåer høres ambisiøst ut, men fører til at fagmiljøet gjetter og at grensetilfeller eskaleres unødvendig
• Bare konfidensialitet vurderes. Integritet og tilgjengelighet glemmes, selv om de fleste forstyrrelser nettopp handler om feil eller utilgjengelig informasjon
• Klassifiseringen oppdateres aldri. Gå gjennom den minst 1 gang i året, og alltid ved nye systemer, bytte av leverandør, endret lovgivning eller etter en hendelse

Er dere usikre på hvor dere står, kan dere ta Draftits GDPR-test for en rask avstemming av modenheten. Trenger dere støtte til å bygge klassifiseringsmodellen og koble den til behandlingene av personopplysninger, kan dere booke en gjennomgang med en rådgiver.

Vanlige spørsmål om informasjonsklassifisering

Hva er forskjellen på informasjonsklassifisering og dataklassifisering?

Informasjonsklassifisering er den virksomhetsdrevne vurderingen av hvor skjermingsverdig informasjonen er, mens dataklassifisering i dagligtale viser til den tekniske merkingen og identifiseringen av data i IT-miljøet.

Verktøy for dataklassifisering kan sette etiketter automatisk, oppdage fødselsnumre i filer og blokkere utsendelser, men de kan ikke avgjøre hva en lekkasje ville bety for virksomheten. Teknologien gjennomfører altså klassifiseringen, den erstatter den ikke.

Hvordan håndterer vi informasjon som blir mer skjermingsverdig i mengde?

Klassifiser sammenstillingen for seg, fordi en samling opplysninger kan trenge et høyere nivå enn hver enkelt opplysning.

Et enkelt navn med telefonnummer er sjelden sensitivt, mens en oversikt over alle ansatte med kontaktopplysninger, roller og tilganger er et attraktivt grunnlag for målrettede angrep. Angi i klassifiseringen om nivået gjelder enkeltposter eller hele mengden, slik at eksporter ikke havner under feil beskyttelsesnivå.

Holder det å klassifisere informasjonen, eller må den merkes også?

Klassifiseringen må følges av merking for å få effekt i hverdagen, og for virksomheter som er sertifisert etter ISO/IEC 27001, er merking et eget krav gjennom kontroll 5.13.

Merkingen kan være en etikett i dokumentmalen, en metadatatagg i saksbehandlingssystemet eller et stempel på papir. Hold antallet etiketter lavt og gjør dem selvforklarende, fordi en merking de ansatte må slå opp betydningen av, sjelden brukes riktig. Opplæring er en del av tiltaket, og kurset i informasjonssikkerhet gir de ansatte et felles grunnlag.