Virksomhetsikkerhetsforskriften § 23 Destruering av dokumenter og lagringsmedier med sikkerhetsgradert informasjon

Ved destruering av dokumenter og lagringsmedier som inneholder eller har inneholdt sikkerhetsgradert informasjon, skal det brukes en metode som gjør at det ikke er mulig å rekonstruere og lese informasjonen.

Dersom informasjonen er eller har vært gradert KONFIDENSIELT eller høyere, skal det benyttes et produkt som er evaluert etter § 16, til å destruere dokumentet eller lagringsmediet.

Virksomhet som skal destruere dokument eller lagringsmedium inneholdende sikkerhetsgradert informasjon må benytte en fremgangsmåte som utelukker mulighet for rekonstruksjon, og dermed forhindrer gjenoppretting av tilgang til informasjonen. Det er selve informasjonen som skal beskyttes, og dette skal så langt det er mulig, utføres med samme grad av sikkerhet uavhengig av hvilket format informasjonen er lagret på.

I utgangspunktet vil enhver metode som målbærer hensikten om å forhindre rekonstruksjon, for med det å forhindre gjenoppretting for tilgang til informasjonen, kunne benyttes. Produktet som benyttes for slik destruksjon skal imidlertid være evaluert av NSM eller akkreditert laboratorium utpekt av NSM, alternativt sertifisert i andre land der disse er godkjent av NSM. Mulige metoder for destruksjon kan for eksempel være forbrenning eller annen kjemisk prosessering, krysskutting, avmagnetisering, sliping og knusing.

NSM jobber fortløpende med å utarbeide kriterier for evaluering av produkter til bruk for destruksjon som nevnt over. Det må her sees hen til overgangsreglene i § 95 for korrekt prosedyre. Det vises ellers til NATOs regelverk og NATOs krav for destruksjon av dokumenter og lagringsmedier med gradert innhold, se https://www.ia.nato.int/NIAPC.

Virksomhetsikkerhetsforskriften § 95 Overgangsregler

Destrueringsmetoder og oppbevaringsenheter som er godkjent etter forskrift 1. juli 2001 nr. 744 om informasjonssikkerhet § 4-36, § 6-11 og § 6-12, skal anses godkjent inntil godkjenningen opphører, eller det av andre grunner er behov for ny godkjenning av destrueringsmetoden eller oppbevaringsenheten.

Et rom som er godkjent etter forskrift 1. juli 2001 nr. 744 om informasjonssikkerhet § 9-1, skal anses å oppfylle kravene i § 46.

En klage på klassifisering eller godkjenning etter første eller andre ledd skal avgjøres etter de reglene som gjelder når klageinstansen treffer vedtak i saken.

For enkelte lagringsmedier med informasjon opp til og med HEMMELIG, vil det ikke være nødvendig med fullstendig destruksjon av selve lagringsmediet, så fremt informasjonen kan slettes på en slik måte at den ikke kan rekonstrueres. Liste over NSM-godkjent sletteverktøy kommer på NSMs nettsider. Denne oppdateres løpende. 

Notoritet med hensyn til destruksjon ivaretas ved å registrere slik destruksjon i oversikten der dokumentet eller lagringsmediet er registrert.

Virksomhetsikkerhetsforskriften § 43 Særlige krav for informasjon gradert HEMMELIG eller høyere

Når dokumenter eller lagringsmedier gradert HEMMELIG eller høyere skal fordeles internt i en virksomhet, skal mottakeren bekrefte mottaket.

Destruering av informasjon gradert HEMMELIG eller høyere skal kontrolleres og bekreftes av minst to autoriserte personer.

Uavhengig av hva slags produkt som benyttes for destruksjon, anbefaler NSM generelt at virksomhetene følger destruksjonsprosessen nøye, for å sikre at denne fullendes slik at hensikten oppnås – å forhindre mulig rekonstruksjon, og med det forhindre tilgang til informasjonen for uautorisert personell.

En virksomhet kan velge å benytte ekstern tjenesteleverandør til destruksjon. Dersom tjenesteleverandøren ikke er klarert og autorisert for innholdet i informasjonen, må personell fra virksomheten bevitne destruksjonen for å forhindre uautorisert tilgang til informasjonen. Alternativt kan kommersiell tilbyder utføre tjenesten som leverandør etter regelverket om sikkerhetsgraderte anskaffelser.

Virksomhetsikkerhetsforskriften § 24 Evakuering og ekstraordinær destruering i nødsituasjoner

En virksomhet skal for nødsituasjoner ha en evakueringsplan og en plan for destruering av dokumenter og lagringsmedier med skjermingsverdig informasjon.

Virksomheten skal, i forbindelse med arbeidet med evakueringsplan og plan for destruksjon av dokumenter og lagringsmedier, foreta en risikovurdering som vil være styrende for planarbeidet. For en virksomhet som er lokalisert i et område der det med stor sannsynlighet vil være behov for evakuering og destruksjon, vil utforming av planene og behov for øving ha en annen karakter enn for en virksomhet som er lokalisert i et område med lavere risiko. Det vil da kanskje ikke være relevant med planverk for evakuering, da dette ikke i alle settinger betraktes som aktuelt, men heller fokusere på destruksjon.

NSM anbefaler at en plan for evakuering som minimum bør inneholde:

  • Oversikt over dokumenter og lagringsmedier og deres plassering
  • Prioriteringsliste
  • Hvem skal bidra i evakueringen
  • Hvordan skal evakueringen foregå, herunder
    • pakking
    • frakt ut av lokasjon
    • alternativer ved strømbrudd
    • frakt fra bygning til bestemmelsessted
  • Bestemmelsessted
    • hvor det skal evakueres til
    • alternative ruter
    • tilgjengelighet

NSM anbefaler at en plan for destruksjon som minimum bør inneholde:

  • Oversikt over dokumenter og lagringsmedier og deres plassering
  • Prioriteringsliste
  • Destruksjonsmetode for papirdokumenter
  • Destruksjonsmetode for lagringsmedier - alternativer ved fravær av elektrisitet, vannforsyning mm.

Planene må evalueres jevnlig. Behov og krav vil kunne endres ved endringer i risikobildet og samfunnsutviklingen generelt. Planene bør også være en del av ledelsens årlige evaluering. Planene må også øves for å sikre at evakuering og/eller destruksjon kan gjennomføres sikkert og effektivt. Virksomheten må se dette i sammenheng med sin øvrige sikkerhetsstyring.