Tilbake

Informasjonsklassifisering - informasjonssikkerhet

Denne siden har som mål å gi deg som leser bedre innsikt i klassifisering av informasjon. Vi produserer og håndterer til daglig store mengder informasjon med høy verdi for NTNU. Det er derfor viktig at alle har kunnskap nok til å håndtere informasjon på en sikker måte.

Temaside om informasjonssikkerhet | Sider merket med informasjonssikkerhet

Informasjonssikkerhet og klassifisering #

All informasjon du behandler og deler har ulike behov for sikring og skjerming, ut fra hvor verdifull den er. For å idenfisiere verdinivå og hvilke sikkerhetstiltak som er nødvendige, må informasjonen klassifiseres.

Prosessen med å klassifisere informasjonen som behandles i en enhet, er et lederansvar, og alle medarbeidere har medvirkningsplikt. Uninett har laget en veileder med anbefaling for UH sektoren. Les mer om veilederen

Følgende attributter skal vurderes #

Eier #

Hvilken organisatorisk enhet, rolle eller arbeidsprosess har eierskapet til informasjonen.

Innhold #

Type informasjon, uavhengig av format og medium. Hva informasjonen handler om. For eksempel FOU-søknader, arbeidskontrakter, fagplaner eller regnskapsrapporter.

Hjemmel #

Referanse til regulatoriske dokument (lov, regel, forskrift, styrende dokument) hvor oppbevaring og/eller disponering framgår. For eksempel offl. § 25 (LOV 2006-05-19 nr 16: Lov om rett til innsyn i dokument i offentleg verksemd, offentleglova § 25) eller fvl. § 13.1 (LOV 1967-02-10 nr. 00: Lov om behandlingsmåten i forvaltningssaker, forvaltningsloven § 13, første ledd).

Lagringssted #

Navnet på systemet og/eller fysiske arkiv der informasjonsobjektet oppbevares i lagringsperioden.

Bevaringsverdi #

Bevaringsverdi er en vurdering som angir den relative betydningen informasjonen har for organisasjonen. Dette kan for eksempel være:

  • Juridisk verdi
  • Virksomhetskritisk
  • Historisk verdi

Personopplysninger #

Hvis informasjonsobjektet inneholder eller kan inneholde personopplysninger, skal dette avmerkes i tabellen.

Personopplysninger er opplysninger og vurderinger som direkte eller indirekte kan knyttes til en enkeltperson. Eksempler på personopplysninger er navn, fødselsnummer, bilde (dersom personer kan gjenkjennes), video og lydopptak, logg fra bruk av adgangskort, informasjon fra en kilde, blodprøver og googlesøk på person.

Særlige kategorier av personopplysninger (sensitive personopplysninger) I utgangspunktet er det forbudt å behandle denne kategorien av personopplysninger.

Opplysningen som dette gjelder er:

  • Opplysninger om rasemessig eller etnisk opprinnelse
  • opplysninger om politisk oppfatning
  • opplysninger om religion
  • opplysninger om filosofisk overbevisning
  • opplysninger om fagforeningsmedlemskap
  • genetiske opplysninger
  • biometriske opplysninger med det formål å entydig identifisere noen
  • helseopplysninger
  • opplysninger om seksuelle forhold
  • opplysninger om seksuell legning
  • opplysninger om straffedommer
  • opplysninger om lovovertredelser

Lagringssted/Skylagring #

Angir om informasjonen er egnet for skylagring. Enkelte informasjonstyper kan ikke lagres i skyen på grunn av lovkrav eller de er ikke egnet for skylagring av andre grunner. Dette gjelder spesielt lagring utenfor Norge eller EU/EØS-området. Informasjon som kan falle inn under disse kategoriene må gjennomgå en særskilt risikovurdering før en eventuell lagring i skyen.

Arkivnøkkel #

En arkivnøkkel er et system for ordning av sakarkiv basert på ett eller flere ordningsprinsipper. Arkivnøkler beskriver inndelingsprinsipper og rekkeordningssystemer og benytter vanligvis et ordningsprinsipp på inndeling etter emne. Statlige organer skal ifølge arkivforskriften bruke «Felles arkivnøkkel for statsforvaltningen».

Oppbevaringsperiode #

Den tid som informasjonen skal oppbevares i arkivet. Oppbevaringsperioden starter når informasjonsobjekt blir til, og oppgis i antall år.

  • Permanent – informasjonsobjektet oppbevares permanent.
  • Levetidsrelatert – informasjonsobjektet er levetidsrelatert i forhold til andre objekter (datasystemer, prosjekter, programmer, kontrakter, bygninger, ansettelsesforhold, studieforhold eller lignende). Det er vanlig at man setter en oppbevaringsperiode som kan være 5 eller 10 år etter at objektet er avhendet, kontrakten er utløpt osv. Institusjonen kan ha definert oppbevaringsperioden, for eksempel hvis oppbevaringsperiode er koblet til en hendelse, aktivitet eller er lovpålagt.

Avhendingsregler #

Regler for avhending av informasjonen etter endt oppbevaringsperiode. Merk at det kan være spesielle regler for bevaring av informasjon som gjelder egen virksomhet eller som har prinsipiell karakter. Rutinemessige enkeltsaker som har mistet sin administrative betydning kan ofte kasseres.

  • Gjennomgang – send informasjonsobjektet til informasjonseieren for gjennomgang etter utløpt oppbevaringsperiode.
  • Kasser – kasser informasjonsobjektet umiddelbart etter utløpt oppbevaringsperiode. Vær oppmerksom på at informasjonsobjekter som inneholder personopplysninger krever sikker destruering.
  • Deponer – deponer informasjonsobjekt i arkivdepot, for eksempel hos Statsarkivet, etter utløpt oppbevaringsperiode.
  • Bevares – skal ikke avhendes på grunn av krav om permanent oppbevaring.

Konfidensialitetsklasse (K) #

  • Åpen - Informasjonen er tilgjengelig for alle uten pålogging. Eksempel på slik informasjon kan være websider, kursoversikter eller trykt materiell som deles ut fritt tilgjengelig.
  • Intern - Informasjonen er tilgjengelig for utvalgte interne og eksterne brukere, men krever pålogging. Den store mengden av informasjon vi jobber med til daglig havner ofte under denne klassen. Eksempel på slik informasjon kan være eksamensbesvarelser, forskningsdata eller karakterer. 
  • Fortrolig - Informasjonen krever streng tilgangsstyring. Klassifiseringen benyttes hvis offentliggjøring vil skade offentlige interesser, institusjonen eller enkeltperson(er). Eksempel på slik informasjon kan være enkelte strategidokumenter, store mengder av sensitive personopplysninger, helseopplysninger, eksamensoppgaver før de er gitt, enkelte typer forskningsdata og -arbeider.
  • Streng fortrolig - Informasjonen krever meget streng tilgangsstyring. Klassifiseringen benyttes hvis offentliggjøring vil gi betydelig skade på offentlige interesser, institusjonen eller enkeltpersoner. Eksempel på slik informasjon kan være informasjon om personer som har behov for særlig beskyttelse (kode 7) og svært konfidensielle forskningsdata og -arbeider.

Integritetsklasse (I) #

  1. Ingen - Feil påvirker ikke beslutningsprosesser Arbeidsdokumenter, hvor feil i informasjonen ikke får negativ konsekvens i beslutningsprosesser hos den/de som benytter informasjonen.
  2. Forventet - Den som benytter informasjonen forventer at den er autentisk og gyldig. Feil i informasjonen kan gi moderate økonomiske skader og/eller svekket omdømme for NTNU, enkeltindivider eller samarbeidspartnere.
  3. Avhengig - Den som benytter informasjonen er avhengig av at den er autentisk og gyldig. Utilsiktet eller tilsiktet feilinformasjon vil kunne føre til feilvurderinger eller beslutninger slik at det kan medføre betydelig økonomisk tap, omdømmetap eller annen skade for NTNU, enkeltindivider eller samarbeidspartnere. Dette kan være, men ikke begrenset til; Grunndata, forskningsdata og publikasjoner hvor autentisitet er svært viktig.
  4. Kritisk - Det er av kritisk betydning at det avleveres autentisk og gyldig informasjon. Utilsiktet eller tilsiktet feilinformasjon vil kunne føre til feilvurderinger eller beslutninger med fatale konsekvenser. Feil i informasjonen kan medføre tap av liv, for eksempel ved feilbehandling av pasienter, eller feilkonstruksjoner i bygg. Brudd kan medføre korrupte data i sentrale systemer som fører til omfattende følgefeil og påfølgende stort tap av produsert materiale ved NTNU.

Tilgjengelighetsklasse (T) #

  1. Ingen betydning - Nedsatt ytelse eller utilgjengelighet til informasjon eller tjeneste har liten eller ingen betydning for NTNUs totale produksjon eller omdømme. Begrenset tilgang kan oppleves som kritisk for enkeltperson(er). Feilretting skjer kun innenfor normal arbeidstid.
  2. 2 dager - Nedsatt ytelse eller utilgjengelighet kan føre til noe etterslep i produksjon og redusert servicenivå for store deler av NTNU. IKT-infrastruktur og data kan være utilgjengelig i 2 virkedager uten at det medfører vesentlig fare for økonomisk- eller omdømmetap for NTNU. Feilretting skjer kun innenfor normal arbeidstid.
  3. 4 timer - Nedsatt ytelse eller utilgjengelighet kan føre til store etterslep eller stans i vesentlige tjenesteleveranser. Systemet eller tjenesten kan maksimalt være utilgjengelig i 4 timer uten at det medfører vesentlig fare for økonomisk- eller omdømmetap for NTNU. Feilretting starter umiddelbart og fortsetter inntil feilen er løst.
  4. Umiddelbar - Benyttes der nedsatt ytelse eller utilgjengelig kan være katastrofalt. Dvs. selv korte avbrudd vil føre til kritiske situasjoner, f. eks ved gjennomføring av eksamen, utbetaling av lønn, mv. IKT-infrastrukturen har høyeste prioritet, feilretting starter umiddelbart og fortsetter inntil feilen er løst.

Klassifisering av informasjonen som produseres i, eller tilføres, et IKT-system eller prosess, angir krav til sikring av IKT-systemet og arbeidsprosessen som benytter, transporterer eller lagrer informasjonen.

Når informasjon er klassifisert skal den høyeste klassifiseringen innen hvert av områdene konfidensialitet, integritet og tilgjengelighet angi omfanget av risikovurderingen som skal gjennomføres for å fastsette nødvendig tiltak for sikring. Les mer om dette i Retningslinje for klassifisering av informasjon.

Du kan laste ned et forslag til en Word-mal 

Mer informasjon #

Retningslinje for klassifisering av informasjon

Informasjonssikkerhet - styrende dokumenter

Kontakt #

Orakeltjenesten kan hjelpe deg om du har spørsmål eller opplever problemer.

11 Vedlegg
10195 Visninger
Gjennomsnitt (3 Stemmer)