Alle virksomheter som tilvirker sikkerhetsgradert informasjon eller som oppbevarer dokumenter eller lagringsmedier med sikkerhetsgradert informasjon gradert KONFIDENSIELT eller høyere plikter å dele inn sine lokaler i fysiske soner. Hensikten med de ulike sonene er at de gradvis skal gi bedre sikkerhet for informasjonen som skal beskyttes, og således fungere som flere lag med beskyttelse. Sonene defineres som kontrollert, beskyttet og sperret – hvorav kontrollert er det minst vitale og sperret mest sensitivt.

Virksomhetsikkerhetsforskriften § 38

Soneinndeling for informasjon gradert KONFIDENSIELT eller høyere Virksomheter som har informasjon som er gradert KONFIDENSIELT eller høyere, skal etablere en kontrollert og beskyttet sone for å beskytte den sikkerhetsgraderte informasjonen. Dersom virksomheten har et område med direkte tilgang til informasjon gradert KONFIDENSIELT eller høyere, skal det etableres en sperret sone rundt området.

Virksomhetsikkerhetsforskriften §39 Kontrollert sone

En kontrollert sone skal være et tydelig avgrenset område der virksomheten skal kunne ha kontroll med personer, kjøretøy og annen aktivitet. Ved særlig høy risiko skal adgang og ferdsel kontrolleres med en fysisk avgrensning. 

Virksomhetsikkerhetsforskriften § 40 Beskyttet sone
En beskyttet sone skal ha en fysisk avgrensing der sikkerhetstruende virksomhet skal kunne oppdages.


I en beskyttet sone skal dokumenter og lagringsmedier med informasjon som er gradert KONFIDENSIELT eller høyere, lagres i en oppbevaringsenhet godkjent av Nasjonal sikkerhetsmyndighet, eller være under stedlig vakthold.


Personer som skal gis permanent adgang til en beskyttet sone, skal være sikkerhetsklarert for KONFIDENSIELT. Dersom andre personer skal gis adgang, skal adgangen registreres, og personene skal følges av personer med permanent adgang.


Det skal være kontroll med adgangen til en beskyttet sone, og det skal være synlig hvem som har permanent adgang dit.

Virksomhetsikkerhetsforskriften § 41 Sperret sone

 

En sperret sone skal være tydelig merket med det høyeste tillatte graderingsnivået og sikres i samsvar med dette graderingsnivået.


Personer som skal gis permanent adgang til en sperret sone, skal være sikkerhetsklarert og autorisert for informasjonen i området. Dersom andre personer skal gis adgang, skal adgangen registreres, og personene følges av personell som har permanent adgang.


Det skal være kontroll med adgangen til en sperret sone, og det skal være synlig hvem som har permanent adgang til sonen.

Utforming av de ulike sonene må sees i sammenheng med de prinsipper som ligger til grunn for valg og utforming av sikkerhetstiltak etter virksomhetsikkerhetsforskriften § 15, se særlig paragrafens første ledd bokstav a-e.

Virksomhetsikkerhetsforskriften § 15 Prinsipper ved valg og utforming av sikkerhetstiltak

Første ledd bokstav a-e:


Sikkerhetstiltakene skal ikke ha en annen funksjonalitet eller større kompleksitet enn nødvendig.


Det skal ikke gis en mer omfattende tilgang til skjermingsverdige verdier enn nødvendig.


Svikt i ett enkelt tiltak skal ikke kunne føre til kompromittering av skjermingsverdige verdier.


Sikkerhetstiltak skal i minst mulig grad være avhengig av hverandre, og flere sikkerhetstiltak skal dermed ikke kunne svekkes eller settes ut av funksjon samtidig, for eksempel som følge av én enkelt feil eller hendelse.


Effekten av sikkerhetstiltakene skal være tilnærmet lik for alle skjermingsverdige verdier med samme sikkerhetsbehov.

NSM legger ellers det følgende til grunn som retningslinjer for de ulike sonene:

Sperret sone forstås som sone der adgang gir direkte tilgang til sikkerhetsgradert informasjon gradert KONFIDENSIELT eller høyere. Typiske sperrede soner vil være arkiver og dokumenthvelv, operasjonsrom, kommunikasjons- og serverrom eller lokaler der det lages sikkerhetsgraderte produkter. Dette er altså spesialrom hvor sikkerhetsgradert informasjon er åpent eller lett tilgjengelig for den som har adgang. Felles for disse rommene er at det personellet som gis adgang skal være autorisert for den informasjonen og det utstyret som er i rommet. For at beskyttelsen skal være reell må det være en form for fysisk barriere inn til sperret sone, som faktisk forhindrer innsyn og direkte tilgang til gradert informasjon.

Hvem som har adgang i sperret sone må være synlig for de som har en kontrollfunksjon virksomheten. Ved bortfall av en persons behov for tilgang til sperret sone må virksomheten ha rutiner som forhindrer fortsatt faktisk tilgang – elektroniske tilganger må fjernes, nøkler inndras, relevante passord/koder endres og navn fjernes fra tilgangsliste.

Beskyttet sone forstås som sone hvor det behandles sikkerhetsgradert informasjon gradert KONFIDENSIELT eller høyere og/eller oppbevares dokumenter og lagringsmedier med slik sikkerhetsgradert informasjon, og/eller det oppbevares sikkerhetsgraderte informasjonssystemer godkjent for gradsnivå KONFIDENSIELT eller høyere. De som gis permanent adgang (har egen nøkkel / adgangskort og kan ferdes fritt alene) skal ha gyldig sikkerhetsklarering.

Kontrollert sone forstås som en sone som omgir beskyttet eller sperret område. En kontrollert sone fungerer som en buffersone mellom beskyttet eller sperret område på den ene siden, og et område med allmenn ferdsel på den andre. En kontrollert sone vil kunne fungere som et ytre lag med beskyttelse mellom beskyttet sone på den ene side og et område med allmenn ferdsel på den andre, men en kontrollert sone vil også kunne være en sone som benyttes til å behandle sikkerhetsgradert informasjon BEGRENSET, forutsatt at informasjonen beskyttes i henhold til kravene om forsvarlig sikkerhetsnivå, jf kapittel 4 under.