Virksomhetens generelle arbeid med informasjonssikkerhet
Det systematiske arbeidet med informasjonssikkerhet i en virksomhet er en vesentlig del av virksomhetens helhetlige styring og kontroll. Informasjonsbehandling er en kjerneaktivitet, eller en vesentlig støtteaktivitet i nesten alle virksomheter. Å styre risiko knyttet til informasjonssikkerhetsbrudd hjelper virksomheten til å utføre oppgaver, levere tjenester, og nå mål og resultatkrav.
Føringer for arbeidet med informasjonssikkerhet
Ut over generelle krav til internkontroll, som vil medføre at man har internkontroll også på informasjonssikkerhetsområdet, er det også et spesifikt krav i eForvaltningsforskriften om at forvaltningsorganer skal ha internkontroll (styring og kontroll) på informasjonssikkerhetsområdet. I tillegg finnes det flere relevante regelverk som stiller krav til en virksomhets arbeid med informasjonssikkerhet.
Hva skal arbeidet med informasjonssikkerhet dekke?
Arbeidet handler om å sikre all informasjonsbehandling som inngår i virksomhetens oppgaver og tjenester. Dette innebærer å sikre all informasjon som behandles, uavhengig av om denne behandlingen er digital eller ikke, og informasjonssystemene som benyttes. Informasjonssystemer består av både teknologi, inkludert digitale tjenester, IKT-systemer og komponenter som inngår i IKT-systemer, prosesser og de menneskene som er involvert.
Hvordan bør arbeidet med informasjonssikkerhet foregå?
Oversikt over informasjonsbehandlingen som inngår i oppgaver og tjenester gir et godt utgangspunkt for arbeid med informasjonssikkerhet, og for å ivareta en rekke ulike regelverkskrav. Det vil også gi evne til å vurdere hvilke oppgaver og tjenester som må prioriteres i det systematiske arbeidet med informasjonssikkerhet.
Virksomhetsledelsen må etablere det systematiske arbeidet i hele virksomheten, og sørge for gode føringer for effektiv gjennomføring. Det operative ansvaret må delegeres på lik linje med annen risikostyring. Ved å se arbeidet i sammenheng, på tvers av oppgaver, tjenester og fagområder, kan arbeidet gjøres mer kostnadseffektivt, for eksempel gjennom etablering av et felles grunnleggende sikkerhetsnivå (fellessikring) alle risikoeiere kan forholde seg til.
Når risiko vurderes, må man se på alle mulige årsaker til hendelser. Man vil i hovedsak se på konsekvenser for måloppnåelse, men avhengig av hvilken informasjonsbehandling som gjennomføres, må man ivareta de øvrige perspektivene, og dermed vurdere konsekvenser innen ulike konsekvenskategorier.
