Veileder i sikkerhetsstyring
Tiltaksvurdering for å oppnå forsvarlig sikkerhet
Hvorvidt allerede etablerte eller foreslåtte sikkerhetstiltak vil gi akseptabelt risikonivå og med dette forsvarlig sikkerhetsnivå, vurderes:
- for hvert av scenarioene det må beskyttes mot (se kapittel 2.1.1. foran)
- i forhold til gradering for berørt informasjon/klassifisering av berørt informasjonssystem, objekt eller infrastruktur
For å kunne ivareta forsvarlig sikkerhet må sikkerhetstiltakene kunne beskytte mot aktører, eget personell og eksterne, som har kapasitet og intensjon/vilje til å utføre sikkerhetstruende virksomhet, se kapittel 2.1.2 for beskrivelse av aktørene. Med kapasitet menes blant annet aktørens tilgjengelige ressurser til å gjennomføre sikkerhetstruende virksomhet.
Ettersom aktørens kapasitet og intensjon/vilje øker, må grunnsikringen økes tilsvarende, se kapittel 2.2.1.1 og 2.2.1.2. Det settes høyere krav til beskyttelse mot eksterne da disse ikke omfattes av den oppfølging som er mulig overfor eget personell. Vurdering av tiltak for å beskytte skjermingsverdig informasjon. Skjermingsverdig informasjon som ikke er sikkerhetsgradert, det vil si som må beskyttes av andre hensyn en konfidensialitet, vurderes i forhold til klassifiseringen for informasjonssystem, objekt eller infrastruktur som berøres dersom informasjonen går tapt, blir endret eller blir utilgjengelig.
Figur 2: Vurdering av tiltak for å beskytte skjermingsverdig informasjon
Leseveiledning til Figur 2:
BEGRENSET
Eget personell (med eller uten tilgang) skal ikke kunne forårsake uønskede hendelser overfor skjermingsverdig informasjon sikkerhetsgradert BEGRENSET dersom de kun har grunnleggende kompetanse, informasjon fra åpne kilder og allment tilgjengelige ressurser – gjennom ubevisst uønsket handling.
Eksterne skal ikke kunne forårsake slike hendelser selv med utvidet kompetanse, kjennskap til intern informasjon om funksjon og operativt miljø og tilpassede ressurser (middels kapasitet) – ved bevisst opportunistisk handling.
KONFIDENSIELT
Eget personell (med tilgang) skal ikke kunne forårsake uønskede hendelser overfor skjermingsverdig informasjon sikkerhetsgradert KONFIDENSIELT dersom de kun har grunnleggende kompetanse, informasjon fra åpne kilder og allment tilgjengelige ressurser – gjennom ubevisst uønsket handling.
Eget personell (uten tilgang) skal ikke kunne forårsake slike hendelser selv med utvidet kompetanse, kjennskap til intern informasjon om funksjon og operativt miljø og tilpassede ressurser (middels kapasitet) – ved bevisst opportunistisk handling.
Eksterne skal ikke kunne forårsake slike hendelser selv med tilpasset kompetanse, inngående kjennskap til funksjon og operativt miljø og nødvendige ressurser (stor kapasitet) – med hensikt og plan.
HEMMELIG
Eget personell (med tilgang) skal ikke kunne forårsake uønskede hendelser overfor skjermingsverdig informasjon sikkerhetsgradert HEMMELIG selv med utvidet kompetanse, kjennskap til intern informasjon om funksjon og operativt miljø og tilpassede ressurser (middels kapasitet) – ved bevisst opportunistisk handling.
Eget personell (uten tilgang) eller eksterne skal ikke kunne forårsake slike hendelser selv med tilpasset kompetanse, inngående kjennskap til funksjon og operativt miljø og nødvendige ressurser (stor kapasitet) – med hensikt og plan.
STRENGT HEMMELIG
Det skal ikke være mulig å forårsake uønskede hendelser overfor skjermingsverdig informasjon sikkerhetsgradert STRENGT HEMMELIG selv med tilpasset kompetanse, inngående kjennskap til funksjon og operativt miljø og nødvendige ressurser – og selv om det foreligger hensikt og plan.
Eksempler på vurdering av sikkerhetstiltak i Figur 2:
BEGRENSET
Situasjon: Skriver er tilkoblet informasjonssystem for behandling av informasjon sikkerhetsgradert BEGRENSET er plassert i der både medarbeidere med og uten autorisasjon for tilgang til informasjon sikkerhetsgradert BEGRENSET har adgang. Dokumenter skrives ut straks de sendes til utskrift. Virksomhetens sikkerhetsinstruks har ikke regler om håndtering av utskrifter.
Scenario: Medarbeidere (med eller uten tilgang) tar ved feil med seg (deler av) andres utskrifter med sikkerhetsgradert informasjon, og sender disse (sammen med eget dokument) ut av virksomheten.
Vurdering: Gjeldende sikkerhetsnivå muliggjør at egne medarbeidere (med eller uten) tilgang, ubevisst kan kompromittere informasjon sikkerhetsgradert BEGRENSET. Sikkerhetsnivået er følgelig ikke forsvarlig.
KONFIDENSIELT
Situasjon: I et åpent kontorlandskap, etablert som beskyttet sone, har en virksomhet innleid renholdspersonell. Virksomheten har et informasjonssystem for behandling av informasjon sikkerhetsgradert KONFIDESIELT i sonen. Informasjonssystemets har ikke automatisk skjermsparer og låsing av PC og sikkerhetsinstruksen har ikke regler som beskriver bruk av skjermsparer og låsing.
Scenario: Innleid renholdspersonell (eget personell uten tilgang) blir fulgt av personer med permanent adgang, men får ved gjennomføring av renholdet allikevel innsyn i informasjon på PC-skjermer til brukere som har forlatt arbeidsstasjonen.
Vurdering: Gjeldende sikkerhetsnivå muliggjør at egne medarbeidere uten tilgang, bevisst og opportunistisk kan tilegne seg informasjon sikkerhetsgradert KONFIDENSIELT. Sikkerhetsnivået er følgelig ikke forsvarlig.
HEMMELIG
Situasjon: En virksomhet som behandler sikkerhetsgradert informasjon HEMMELIG har ikke sikrede rom eller lokaler for tale sikkerhetsgradert HEMMELIG. Virksomhetens lokaler er etablert i et forretningsbygg med flere andre eksterne virksomheter i tilstøtende lokaler.
Virksomheten har ikke oversikt over hvilke aktører som har tilgang til tilstøtende lokaler. Når virksomheten behandler og diskuterer informasjon sikkerhetsgradert HEMMELIG gjøres dette på dedikert kontor og sikkerhetsinstruksen har regler som beskriver at alt av elektronisk utstyr ikke skal medbringes inn i rommet.
Scenario: Statlig trusselaktør (eksterne) disponerer etasjen over virksomhetens lokaler. Trusselvurderinger konkluderer med at den statlige trusselaktøren har en interesse i informasjon virksomheten besitter.
Vurdering: Gjeldende sikkerhetsnivå muliggjør at eksterne, med hensikt, plan og tilpasset kompetanse kan kompromittere informasjon sikkerhetsgradert HEMMELIG. Sikkerhetsnivået er følgelig ikke forsvarlig.
STRENGT HEMMELIG
Situasjon: Informasjonssystem for behandling av informasjon sikkerhetsgradert STRENGT HEMMELIG er plassert i sperret område og for bruk av en (autorisert og sikkerhetsklarert) medarbeider av gangen. Systemet har ingen eksterne tilkoblinger eller flyttbare lagringsmedier, men mulighet for kopiering av sikkerhetsgradert informasjon til flyttbart lagringsmedium.
Scenario: Egne medarbeidere med tilgang til det aktuelle informasjonssystemet kan kopiere sikkerhetsgradert informasjon til medbrakt flyttbart lagringsmedia og ta informasjonen med ut av virksomheten.
Vurdering: Gjeldende sikkerhetsnivå muliggjøre at egne medarbeidere med tilgang og med hensikt og plan kan kompromittere informasjon sikkerhetsgradert STRENGT HEMMELIG. Sikkerhetsnivået er følgelig ikke forsvarlig.