Informasjonsverdier

Informasjonsverdier er virksomhetens informasjon sammen med systemene, personene, lokalene og tjenestene som håndterer den. Uten en oppdatert oversikt kan dere ikke vise hva som beskyttes, hvem som har ansvaret eller hvorfor vernet ser ut som det gjør. Oversikten er derfor første steg i et systematisk informasjonssikkerhetsarbeid, og guiden om informasjonssikkerhet, risikoer og informasjonsverdier viser hvordan dere kommer i gang.

Hva er en informasjonsverdi?

En informasjonsverdi er virksomhetens informasjon og ressursene som behandler den, for eksempel ved å motta, lagre, bearbeide, vise eller kommunisere informasjonen.

Poenget med definisjonen er at den har 2 deler: informasjonen i seg selv og alt som håndterer den. Nasjonal sikkerhetsmyndighet (NSM) uttrykker det samme når de starter sine grunnprinsipper for IKT-sikkerhet med å kartlegge styringsstrukturer, leveranser og understøttende systemer.

Inndelingen har praktisk betydning, fordi beskyttelsesbehovet følger informasjonen, mens sårbarhetene sitter i ressursene. Et personregister har samme beskyttelsesbehov enten det ligger i en skytjeneste, i en eksportfil eller i en utskrevet perm, men de 3 stedene har helt ulike svakheter. En ren IT-oversikt blir derfor aldri en oversikt over informasjonsverdier.

Eksempler på informasjonsverdier

Informasjonsverdier kan deles i 5 grupper, og de fleste virksomheter finner noe i alle.

Konkrete eksempler per gruppe:

• Informasjon og data: personregistre, pasientjournaler, personalmapper, avtaler, tegninger, kildekode, prislister, postjournal og arkiv, forskningsdata, logger
• Systemer og applikasjoner: HR-system, økonomisystem, sak- og arkivsystem, e-post, intranett, fagsystemer, databaser, sikkerhetskopier
• Fysiske verdier: servere, nettverksutstyr, PC-er, mobiltelefoner, minnepinner, adgangskontroll, arkivrom, papirpermer, skrivere med lagringsminne
• Tjenester og eksterne parter: skytjenester, driftsleverandører, lønns- og regnskapsbyrå, kommunikasjonslinjer, strømforsyning, supportavtaler
• Kunnskap og kompetanse: nøkkelpersoners udokumenterte kunnskap om systemer og rutiner, altså informasjon som bare finnes i hodet på noen

Den siste gruppen blir oftest glemt, selv om den er blant de mest sårbare. En virksomhet der bare 1 person vet hvordan en kritisk prosess startes på nytt, har en tilgjengelighetsrisiko som ingen brannmur løser.

Slik kartlegger dere virksomhetens informasjonsverdier

Kartleggingen starter i virksomheten og ender i teknologien, aldri omvendt.

Starter dere i IT-systemlisten, finner dere bare det som er digitalt og allerede kjent, mens skyggesystemer, eksportfiler og papirbasert håndtering aldri kommer med. Gjør det slik i 5 steg:

1. Ta utgangspunkt i prosessene. Gå gjennom hva virksomheten leverer, og hvilken informasjon hver leveranse krever. En kommune starter i tjenesteområdene, som oppvekst og helse og omsorg, mens en privat virksomhet starter i forretningsprosessene
2. List opp informasjonen. Beskriv informasjonstypene som håndteres i prosessen, for eksempel søknader, journaler, fakturagrunnlag eller konstruksjonstegninger
3. Koble på ressursene. Noter for hver informasjonstype hvilke systemer, personer, lokaler og eksterne parter som behandler den. Det er her skytjenester og underleverandører fanges opp
4. Sett en grense for vesentlighet. Marker hvilke verdier som er kritiske, og avgrens bort det perifere. En liste med 400 poster er umulig å holde oppdatert, og da slutter den å bli brukt
5. Utpek en eier per verdi. Uten en navngitt eier finnes det ingen som kan beslutte vern, klassifisering eller endringer

Oversikten trenger ikke være omfattende, men den skal være komplett på feltnivå. Et minimum er disse feltene:

Gjelder verdien personopplysninger, finnes halve grunnlaget allerede i behandlingsprotokollen etter artikkel 30 i personvernforordningen. Verktøyet for behandlingsprotokoll er derfor et praktisk startpunkt, men oversikten over informasjonsverdier er bredere, fordi den også omfatter informasjon som ikke er personopplysninger. Vil dere samle register, klassifisering og koblingen til systemene på ett sted, kan dere bruke vår løsning for informasjonsverdier.

Hvem eier en informasjonsverdi?

Eierskapet ligger i virksomheten, ikke i IT-funksjonen, og handler om beskyttelsesbehov snarere enn drift.

Rollene blandes ofte sammen, og det er den vanligste grunnen til at beslutninger om vern blir liggende:

• Informasjonseieren beslutter informasjonens beskyttelsesbehov, hvem som skal ha tilgang og hvor lenge informasjonen skal oppbevares. Som regel er det lederen for prosessen der informasjonen oppstår
• Systemeieren har ansvaret for at systemet som bærer informasjonen, oppfyller kravene informasjonseieren har stilt
• IT-funksjonen gjennomfører de tekniske tiltakene og forvalter driften
• Personvernombudet gir råd og kontrollerer når verdien inneholder personopplysninger, men eier verken informasjonen eller systemet

Knytt eierskapet til en navngitt person, fordi ansvar som ligger hos en avdeling, i praksis ikke ligger hos noen.

Hvilke krav stiller regelverket?

Ingen norsk lov bruker ordet informasjonsverdi som et eget krav, men flere regelverk forutsetter at oversikten finnes.

• Personvernforordningen (forordning (EU) 2016/679), GDPR, artikkel 30: Forordningen gjelder i Norge gjennom EØS-avtalen og personopplysningsloven (LOV-2018-06-15-38). Behandlingsprotokollen skal beskrive behandlinger, formål, kategorier av personopplysninger, mottakere og slettefrister, altså de informasjonsverdiene som inneholder personopplysninger
• GDPR artikkel 32: Sikkerhetstiltakene skal være egnet ut fra risikoen, og risikoen kan ikke vurderes for verdier dere ikke kjenner til
• eForvaltningsforskriften (FOR-2004-06-25-988) § 15: Forvaltningsorganer skal ha internkontroll på informasjonssikkerhetsområdet basert på anerkjente standarder, noe som forutsetter at verdiene er identifisert før de kan klassifiseres
• ISO/IEC 27001:2022: Kontroll 5.9, 5.10 og 5.11 i vedlegg A krever en oversikt med utpekt eier, regler for akseptabel bruk og tilbakelevering av verdier når et arbeidsforhold eller en avtale avsluttes
• Digitalsikkerhetsloven (LOV-2023-12-20-108) og digitalsikkerhetsforskriften (FOR-2025-06-20-1131): Regelverket trådte i kraft 1. oktober 2025 og gjennomfører det første NIS-direktivet. Etter forskriften § 7 skal risikovurderingen beskrive virksomhetens nettverk og informasjonssystemer og hvor viktige de er for tjenesten, noe som krever et oppdatert bilde av systemer og avhengigheter. NIS2 er ennå ikke innlemmet i EØS-avtalen
• Sikkerhetsloven (LOV-2018-06-01-24): Virksomheter som omfattes, skal vurdere risiko jevnlig (§ 4-2) og håndtere skjermingsverdig informasjon, skjermingsverdige informasjonssystemer og skjermingsverdige objekter (§§ 5-1, 6-1 og 7-1), med strengere krav enn en vanlig oversikt over informasjonsverdier

ISO/IEC 27001 er frivillig, men kontrollene i vedlegg A er en nyttig sjekkliste også uten sertifisering. For en kort definisjon, se hva er ISO 27001.

Fra oversikt til vern som virker

Oversikten er et grunnlag, ikke et vern i seg selv.

Kjeden ser slik ut. Oversikten svarer på hva dere har og hvem som eier det. Informasjonsklassifiseringen vurderer hvor beskyttelsesverdig hver verdi er med tanke på konfidensialitet, integritet og tilgjengelighet. Risikovurderingen prøver deretter hvilke trusler mot informasjonsverdiene som er sannsynlige, og hvilke tiltak som står i forhold til risikoen.

Hold de 3 dokumentene sammen med samme ID per verdi. Ellers blir en verdi klassifisert, men aldri risikovurdert, og det er nettopp det hullet en tilsynsmyndighet leter etter.

Vanlige spørsmål om informasjonsverdier

Er personopplysninger en informasjonsverdi?

Ja, men bare en del av verdiene.

Oversikten omfatter også forretningshemmeligheter, kildekode, avtaler, tegninger og driftsinformasjon som ikke gjelder en enkeltperson. Behandlingsprotokollen etter artikkel 30 dekker altså en del av verdiene, aldri alle, og de 2 bør kunne leses sammen uten at noe dobbeltføres.

Hva er forskjellen på en informasjonsverdi og en IT-verdi?

En IT-verdi er teknologi, mens en informasjonsverdi er informasjonen og alt som behandler den.

En bærbar PC er en IT-verdi. Informasjonen på den kan finnes i flere systemer samtidig og ha samme beskyttelsesbehov i alle.

Regnes en leverandørs system som vår informasjonsverdi?

Ja, dersom dere er behandlingsansvarlig eller på annen måte eier informasjonen som behandles der.

Ansvaret følger informasjonen, ikke serverrommet, så skytjenester, lønnsbyråer og driftsleverandører skal stå i oversikten med en eier hos dere. Vis koblingen mellom verdien og databehandleravtalen, slik at leverandøroppfølgingen kan spores til hvilken informasjon som står på spill.

Hvor ofte skal oversikten oppdateres?

Gå gjennom oversikten minst 1 gang i året, og oppdater den løpende ved endringer, fordi en utdatert oversikt gir falsk trygghet.

Nye og avviklede systemer, bytte av leverandør, omorganisering og nye informasjonsmengder skal utløse en oppdatering. Bygg steget inn i forvaltningsmodellen eller i beslutningsgrunnlaget ved systemanskaffelser, i stedet for å basere dere på en årlig kampanje.

Hva gjør vi med skyggesystemer og lokale regneark?

Ta dem med i oversikten i stedet for å forby dem, fordi de inneholder reell virksomhetsinformasjon enten de er godkjent eller ikke.

Lokale regneark og verktøy som en avdeling har skaffet selv, bærer ofte personopplysninger og mangler nesten alltid tilgangskontroll og sikkerhetskopiering. Når de er kartlagt, kan de avvikles, erstattes eller gis et rimelig vern.