Trusler mot informasjonsverdier

Trusler mot informasjonsverdier er hendelser som kan skade informasjonens konfidensialitet, integritet og tilgjengelighet, fra angrep utenfra til egne feil. Truslene kan kartlegges systematisk, men først må dere vite hva dere har, og guiden om informasjonssikkerhet, risikoer og informasjonsverdier tar dere gjennom den kartleggingen.

Hva er en trussel mot informasjonsverdier?

Skill mellom trussel, sårbarhet og risiko. Trusselen er hendelsen som kan inntreffe, sårbarheten er svakheten den utnytter, og risikoen er sannsynligheten ganget med konsekvensen.

De 3 begrepene blandes ofte sammen:

• Trussel: løsepengevirus, e-post sendt til feil mottaker, strømbrudd, uautorisert tilgang, konkurs hos en leverandør
• Sårbarhet: kontoer uten flerfaktorautentisering, manglende oppdateringer, uklar ansvarsfordeling, mangelfull opplæring, manglende logging
• Risiko: sannsynligheten for at trusselen utnytter sårbarheten, ganget med konsekvensen for virksomheten

Hvilke trusler finnes mot informasjonsverdiene?

Truslene har 3 kilder: tilsiktede angrep, egne feil og hendelser i omgivelsene, som tekniske feil og problemer hos leverandører.

Sikringstiltaket er forskjellig avhengig av om informasjonen lekker, blir feil eller blir utilgjengelig, derfor står egenskapen som rammes i tabellen:

Datatilsynet mottok 3 016 avviksmeldinger i 2025, en svak nedgang på 5 % fra året før. Totalen er stabil, men meldingene om tilsiktede angrep har økt kraftig, fra 103 i første halvår 2025 til 282 i første halvår 2026.

Tilsiktede trusler

Motivet styrer hvordan angriperen arbeider, og dermed hvilke tiltak som virker.

Kriminelle grupper drives av penger, statsstøttede aktører av etterretning og evnen til å forstyrre samfunnsviktige tjenester, og hacktivister av oppmerksomhet. Innsidere, både ansatte og konsulenter, har allerede tilgang og derfor den korteste veien inn. Hvordan et dataangrep typisk foregår, avhenger derfor mye av hvem som står bak.

I ENISAs trusselrapport for perioden juli 2024 til juni 2025 sto tjenestenektangrep for rundt 77 % av de rapporterte hendelsene i EU, mens løsepengevirus dominerte blant de rent kriminelle angrepene. Bildet er altså mye støy mot tilgjengeligheten og færre, men mer alvorlige angrep mot konfidensialiteten.

Utilsiktede trusler og den menneskelige faktoren

Egne feil ligger bak flere meldte avvik enn angripere gjør.

Den vanligste typen brudd i Datatilsynets avviksmeldinger for 2025 var personopplysninger sendt til feil mottaker, med 39 % av meldingene. Mekanismen er den samme som før: tidspress, autoutfylte adressefelt og vedlegg som ingen kontrollerer. Tiltakene må derfor sitte i rutinene, ikke bare i teknikken.

Trusler i omgivelsene og hos leverandører

Et angrep mot en leverandør med mange kunder gir angriperen tilgang til alle kundenes informasjon på en gang.

Datatilsynet peker på nettopp denne mekanismen som en viktig forklaring på økningen i 2026, fordi ett angrep kan ramme mange virksomheter samtidig. Et eksempel er innbruddet hos leverandøren av en læringsplattform, som eksponerte opplysninger om ansatte og studenter ved en rekke utdanningsinstitusjoner. Hit hører også driftsavbrudd, konkurs, bytte av underleverandør og overføringer til tredjeland dere ikke kjenner til. Motmiddelet er strukturert oppfølging, for eksempel med vår løsning for leverandørevaluering.

Slik identifiserer dere truslene mot informasjonsverdiene

Vurder truslene én verdi om gangen, med en trusselkatalog som utgangspunkt og en dokumentert vurdering av sannsynlighet og konsekvens.

Arbeidet i 5 steg:

1. Lag oversikten over informasjonsverdiene. Trusler vurderes per verdi, ikke for organisasjonen som helhet, fordi samme trussel får ulik konsekvens avhengig av hvilken informasjon som rammes. Oversikten kan bygges i verktøyet for informasjonsverdier
2. Bruk en trusselkatalog. En ferdig liste over trusseltyper gjør at dere ikke bare ser truslene som tilfeldigvis er i nyhetene. Suppler med trusler som er spesifikke for deres sektor
3. Koble trussel til sårbarhet. Beskriv for hver trussel hvilken svakhet som ville blitt utnyttet. Finnes ingen sårbarhet, er trusselen ikke relevant for akkurat den verdien
4. Vurder sannsynlighet og konsekvens. Konsekvensen hentes fra informasjonsklassifiseringen, som allerede har vurdert verdien ut fra konfidensialitet, integritet og tilgjengelighet
5. Beslutt tiltak. Aksepter, reduser, overfør eller unngå risikoen, og dokumenter hvem som tok beslutningen. Dette steget hører hjemme i risikovurderingen for informasjonssikkerhet

Gå gjennom trusselbildet minst 1 gang i året, og alltid etter en hendelse, fordi en hendelse som faktisk inntraff viser at vurderingen var for lav.

Eksempler på trusler mot informasjonsverdier

3 eksempler på hvordan vurderingen ser ut i praksis:

Saksbehandlingssystem i en kommune

• Trussel: løsepengevirus via en kapret konto hos en konsulent med ekstern tilgang
• Sårbarhet: ingen flerfaktorautentisering for eksterne kontoer, sikkerhetskopier på samme nettverk
• Konsekvens: saksbehandlingen stopper, og vedtak kan ikke fattes innen lovpålagte frister

Tiltaket ble flerfaktorautentisering for alle eksterne kontoer og sikkerhetskopiering utenfor nettverket med årlige gjenopprettingstester.

Personalmapper i HR-systemet

• Trussel: en eksportfil med lønns- og helseopplysninger sendes til feil mottaker
• Sårbarhet: retten til å eksportere hele registeret ligger hos alle HR-saksbehandlere
• Konsekvens: særlige kategorier av personopplysninger etter artikkel 9 i personvernforordningen utleveres til uvedkommende, med meldeplikt til Datatilsynet innen 72 timer

Tiltaket ble begrenset eksportrett, obligatorisk kryptering av vedlegg og en rutine for dobbeltkontroll av mottaker.

Driftsleverandør for digitale tjenester

• Trussel: innbrudd hos leverandøren som rammer alle kundene samtidig
• Sårbarhet: ingen oppfølging av leverandørens sikkerhetsarbeid siden avtalen ble inngått, uklart hvilke underdatabehandlere som brukes
• Konsekvens: opplysninger om innbyggerne eksponeres uten at dere selv kan se omfanget

Tiltaket ble årlig leverandørevaluering, en oppdatert databehandleravtale med krav om oversikt over underdatabehandlere og en avtalt frist for informasjon om hendelser.

Slik beskytter dere informasjonsverdiene mot truslene

Tiltakene velges ut fra hvilken trussel de skal møte, og dere trenger alle de 3 lagene nedenfor fordi truslene har ulike kilder.

• Tekniske tiltak mot angrep og tekniske feil: flerfaktorautentisering, tilgangsstyring etter prinsippet om minste nødvendige tilgang (least privilege), kryptering, oppdateringsrutiner, logging og sikkerhetskopier som er atskilt fra driftsmiljøet
• Organisatoriske tiltak mot menneskelige feil: opplæring, rutiner for utsendelser og tildeling av tilganger, tydelig ansvarsfordeling, leverandøroppfølging og en besluttet prosess for avvikshåndtering
• Fysiske tiltak mot tyveri, brann og uautorisert adgang: låste arkiver, adgangskontroll, skallsikring og rutiner for hvordan bærbart utstyr og papir håndteres utenfor lokalene

Et angrep som lykkes, må i tillegg kunne håndteres. Et brudd på personopplysningssikkerheten skal meldes til Datatilsynet innen 72 timer fra dere ble kjent med det, etter artikkel 33. Virksomheter som omfattes av digitalsikkerhetsloven (LOV-2023-12-20-108), som trådte i kraft 1. oktober 2025, skal i tillegg varsle hendelser som virker betydelig inn på tjenesteleveransen, til tilsynsmyndigheten med kopi til Nasjonal sikkerhetsmyndighet (NSM) senest innen 24 timer, oppdatere varselet innen 72 timer og sende en hendelsesrapport innen 1 måned, etter digitalsikkerhetsforskriften (FOR-2025-06-20-1131) § 17. Det tidspresset klarer dere bare med forberedte rutiner, og et avvikssystem holder sammen melding, vurdering og dokumentasjon.

Vanlige spørsmål om trusler mot informasjonsverdier

Hva er forskjellen på trusselvurdering og risikovurdering?

Trusselvurderingen kartlegger hvilke hendelser som kan inntreffe, mens risikovurderingen vurderer hvor sannsynlige de er og hvor alvorlige konsekvensene blir.

Trusselvurderingen er altså et steg i risikovurderingen, ikke et parallelt dokument. Holder dere dem atskilt, oppdateres truslene i et dokument ingen tar beslutninger ut fra.

Må vi ha vår egen trusselkatalog?

Nei, ta utgangspunkt i en etablert trusselkatalog og suppler med trusler som er spesifikke for deres sektor.

Bransjeorganisasjoner, NSM og ENISA publiserer trusselbeskrivelser som dekker de generelle truslene, blant annet NSMs årlige risikovurdering Risiko 2026. Det dere selv må legge til, er de unike avhengighetene, for eksempel et fagspesifikt system eller en enkelt leverandør med en nøkkelrolle.

Hvordan håndterer vi trusler vi ikke kan beskytte oss mot?

Trusler som ikke kan forebygges, håndteres med beredskap og gjenoppretting i stedet for med skallsikring.

Et målrettet angrep fra en statsstøttet aktør, et langvarig strømbrudd eller en leverandørkonkurs kan ikke bygges bort. Verdien ligger da i kontinuitetsplanlegging, testede gjenopprettingsrutiner og en beslutning om hvor lang nedetid virksomheten tåler.

Regnes KI-tjenester som en ny trussel mot informasjonsverdiene?

Ja, først og fremst fordi ansatte limer inn virksomhetsinformasjon i eksterne KI-tjenester, noe som er en ukontrollert overføring snarere enn et angrep.

Behandles personopplysninger, trenger dere behandlingsgrunnlag, databehandleravtale og kontroll over hvor behandlingen skjer. Angriperne bruker samtidig KI til mer treffsikker phishing, noe som øker sannsynligheten for truslene dere allerede har, snarere enn å skape en ny kategori.