Informasjonssikkerhet policy Norge

Informasjonssikkerhetspolicy i Norge er et formelt styringsdokument som fastsetter virksomhetens tekniske og organisatoriske sikkerhetstiltak for å beskytte informasjonsverdier mot uautorisert tilgang, endring, tap og utilgjengelighet. Policyen gjennomfører kravene i personvernforordningen (GDPR) artikkel 32, som gjelder i Norge gjennom EØS-avtalen og er gjennomført i norsk rett ved personopplysningsloven (2018).

En informasjonssikkerhetspolicy skiller seg fra en personvernerklæring ved at den er et internt styringsverktøy rettet mot ansatte og leverandører, mens personvernerklæringen er et eksternt informasjonsdokument rettet mot de registrerte. Policyen dokumenterer de tekniske og organisatoriske tiltakene virksomheten har iverksatt for å oppfylle ansvarlighetsprinsippet i personvernforordningen (GDPR) artikkel 5 nr. 2, og er et viktig bevis ved tilsyn fra Datatilsynet.

Personvernforordningen (GDPR) artikkel 32 pålegger behandlingsansvarlig og databehandler å iverksette egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er egnet for risikoen. Tiltakene skal blant annet ta hensyn til: (a) pseudonymisering og kryptering av personopplysninger; (b) evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet for behandlingssystemene; (c) evne til å gjenopprette tilgjengeligheten til personopplysninger innen rimelig tid ved en fysisk eller teknisk hendelse; og (d) en prosess for regelmessig testing, vurdering og evaluering av effektiviteten av tiltakene.

Nasjonalt sikkerhetsmyndighet (NSM) har publisert «Grunnprinsipper for IKT-sikkerhet», som er den norske tilsynsmyndighetens anbefalinger for teknisk sikring av IT-systemer. Grunnprinsippene er delt inn i fire kategorier: identifisere og kartlegge, beskytte og opprettholde, oppdage, og gjenopprette og lære. En informasjonssikkerhetspolicy som er utviklet i tråd med NSMs grunnprinsipper, vil typisk oppfylle kravene i personvernforordningen (GDPR) artikkel 32.

Dataklassifisering er et sentralt element i en informasjonssikkerhetspolicy. Norske virksomheter benytter typisk to til fire klassifiseringsnivåer, for eksempel Offentlig, Intern, Konfidensiell og Strengt konfidensiell. Personopplysninger etter personvernforordningen (GDPR) artikkel 4 nr. 1 behandles alltid som Konfidensiell eller Strengt konfidensiell, avhengig av om det er tale om ordinære personopplysninger eller særlige kategorier etter artikkel 9, som helseopplysninger, genetiske data og biometriske data.

Tilgangsstyring etter minste privilegiumsprinsippet er grunnleggende for informasjonssikkerheten. Ansatte skal kun ha tilgang til de personopplysningene de trenger for å utføre sine arbeidsoppgaver, i samsvar med personvernforordningen (GDPR) artikkel 32 nr. 4 som slår fast at behandling bare skal skje etter instrukser fra behandlingsansvarlig. Tofaktorautentisering (2FA) er en av de mest effektive mekanismene for å forhindre uautorisert tilgang, særlig for systemer med personopplysninger.

Avvikshåndteringen kobler informasjonssikkerhetspolicyen til pliktene etter personvernforordningen (GDPR) artiklene 33 og 34. Behandlingsansvarlig skal melde brudd på personopplysningssikkerheten til Datatilsynet innen 72 timer etter å ha blitt kjent med bruddet etter artikkel 33, og varsle de registrerte ved høy risiko etter artikkel 34. En intern varslingsfrist på 4 til 24 timer er nødvendig for å ha tilstrekkelig tid til å vurdere bruddet og utforme meldingen. forms-legal.com biblioteket tilbyr en separat mal for avviksmelding til Datatilsynet.

Informasjonssikkerhetspolicy i Norge er nødvendig for alle virksomheter som behandler personopplysninger, og særlig i situasjoner der Datatilsynet, kunder eller forretningspartnere etterspør dokumentasjon på sikkerhetstiltak.

GDPR-etterlevelse for behandlingsansvarlige. Alle behandlingsansvarlige er etter personvernforordningen (GDPR) artikkel 32 forpliktet til å iverksette egnede tekniske og organisatoriske tiltak. En informasjonssikkerhetspolicy er den primære dokumentasjonen på at virksomheten har oppfylt denne plikten. Uten en skriftlig policy er det vanskelig å demonstrere etterlevelse overfor Datatilsynet ved tilsyn.

Databehandlere og leverandørkontrakter. Databehandlere er etter personvernforordningen (GDPR) artikkel 32 selvstendig forpliktet til å iverksette egnede sikkerhetstiltak. En informasjonssikkerhetspolicy er et sentralt element i en databehandlers dokumentasjonsgrunnlag, og behandlingsansvarlige vil typisk kreve at leverandøren kan fremlegge en policy som del av leverandørvurderingen og databehandleravtalen.

Sertifisering og standarder. Virksomheter som søker ISO/IEC 27001-sertifisering, ISAE 3402/SOC 2-revisjonsrapport eller annen sikkerhetsrelatert sertifisering, trenger en formalisert informasjonssikkerhetspolicy som en del av sertifiseringsgrunnlaget. Policyen er også et krav i leverandørvurderinger for offentlige anskaffelser og EU-finansierte prosjekter.

Offentlige anskaffelser. Virksomheter som ønsker å levere IT-tjenester eller andre tjenester med tilgang til personopplysninger til det offentlige, møter i praksis krav til dokumentert informasjonssikkerhetspolicy i anbudskonkurranser etter offentlige anskaffelsesregler (anskaffelsesloven av 2016).

Finansforetak og helseinstitusioner. Finansforetak under Finanstilsynets tilsyn er underlagt særskilte krav til informasjonssikkerhet etter CRR/CRD-regelverket og EBA-retningslinjene, som krever en formalisert sikkerhetspolicy. Sykehus, legesentre og helseinstitusjoner er underlagt kravene i normen for informasjonssikkerhet og personvern i helse- og omsorgssektoren («Normen»), som krever en skriftlig informasjonssikkerhetspolicy.

Etter personvern-avvik. Virksomheter som har hatt et brudd på personopplysningssikkerheten som er meldt til Datatilsynet, vil ofte bli bedt om å fremlegge eller utarbeide en informasjonssikkerhetspolicy som del av oppfølgingen av avviket.

Nye ansettelser og onboarding. En informasjonssikkerhetspolicy er et grunnleggende opplæringsdokument som nye ansatte skal gjennomgå som del av sin onboarding. Policyen setter standardene for akseptabel bruk av IT-systemer, klassifisering av informasjon og rapportering av sikkerhetshendelser.

En komplett Informasjonssikkerhetspolicy Norge inneholder følgende nøkkelelementer for å oppfylle kravene i personvernforordningen (GDPR) artikkel 32 og NSMs Grunnprinsipper for IKT-sikkerhet.

Formål og rettslig grunnlag. Policyen skal angi formålet med informasjonssikkerhetsarbeidet og det rettslige grunnlaget, herunder personvernforordningen (GDPR) artikkel 32, personopplysningsloven (2018) og eventuell sektorspesifikk lovgivning. Henvisning til NSMs Grunnprinsipper for IKT-sikkerhet og ISO/IEC 27001 viser faglig forankring og gir policyen troverdighet overfor tilsynsmyndigheter og revisorer.

Omfang og dataklassifisering. Policyen skal klarlegge hvilke systemer, ansatte og opplysninger som er dekket, og innføre et konsekvent dataklassifiseringssystem. Klare klassifiseringsnivåer — for eksempel Offentlig, Intern, Konfidensiell og Strengt konfidensiell — er nødvendige for at ansatte skal vite hvilke regler som gjelder for ulike typer informasjon. Personopplysninger skal alltid behandles som Konfidensiell som et minimum.

Tilgangsstyring og autentisering. Minste privilegiumsprinsippet og rollebasert tilgangskontroll begrenser tilgangen til personopplysninger til dem som har et begrunnet behov. Krav til passordstyring (minimumslengde, kompleksitet, rotasjon) og tofaktorautentisering (2FA) for systemer med personopplysninger er sentrale tiltak etter personvernforordningen (GDPR) artikkel 32.

Kryptering og databeskyttelse. Krav til kryptering under overføring (TLS 1.2 eller høyere) og hvile (AES-256 eller tilsvarende) for personopplysninger og konfidensielle data er et minimumskrav. Sikkerhetskopiering med kryptering og atskilt lagring er nødvendig for å ivareta tilgjengeligheten til opplysningene etter personvernforordningen (GDPR) artikkel 32 nr. 1 bokstav c.

Avvikshåndtering og hendelsesrespons. Policyen skal beskrive prosedyren for å oppdage, varsle, undersøke og dokumentere sikkerhetshendelser. En intern varslingsfrist som er kortere enn 72 timer er nødvendig for å overholde meldeplikten til Datatilsynet etter personvernforordningen (GDPR) artikkel 33. forms-legal.com bibliotekets avviksmeldingsmal er et nyttig supplement.

Leverandørstyring. Krav til leverandørvurdering og databehandleravtale for alle leverandører med tilgang til personopplysninger er sentralt. Policyen bør angi prosessen for å vurdere leverandørers sikkerhetspraksis og for å inkorporere sikkerhetskrav i leverandørkontrakter.

Opplæring og bevisstgjøring. Krav til regelmessig opplæring i informasjonssikkerhet og personvern for alle ansatte styrker den menneskelige faktoren i sikkerhetsarbeidet. Phishing, sosial manipulasjon og passordhygiene er temaer som bør dekkes. Gjennomføringen skal dokumenteres.

Revisjon og oppdatering. Policyen skal angis å revideres minst en gang i året og ved vesentlige endringer. Revisjonshistorikken dokumenterer at virksomheten kontinuerlig forbedrer sine sikkerhetstiltak, i tråd med ansvarlighetsprinsippet i personvernforordningen (GDPR) artikkel 5 nr. 2.

Å fylle ut en Informasjonssikkerhetspolicy Norge korrekt krever at man følger trinnene nedenfor for å sikre at policyen oppfyller kravene i personvernforordningen (GDPR) artikkel 32 og NSMs Grunnprinsipper for IKT-sikkerhet.

Trinn 1 — Identifiser virksomheten og ansvarlig. Angi virksomhetens fulle navn, organisasjonsnummer og kontaktopplysninger til den personen som har overordnet ansvar for informasjonssikkerheten. Dette bør typisk være daglig leder eller en utpekt informasjonssikkerhetsansvarlig (CISO). Angi datoen policyen trer i kraft.

Trinn 2 — Definer omfang og dataklassifisering. Beskriv hvilke systemer og infrastruktur policyen gjelder for — vær konkret og unngå vage formuleringer som «alle IT-systemer». Velg et dataklassifiseringssystem som passer virksomhetens størrelse og kompleksitet: to nivåer (Intern/Konfidensiell) er tilstrekkelig for de fleste SME-er, mens større virksomheter kan ha behov for fire nivåer.

Trinn 3 — Velg prinsipp for tilgangsstyring. Velg mellom minste privilegium og rollebasert tilgangskontroll, eller en kombinasjon. Minste privilegium er det strengeste prinsippet og anbefales for systemer med personopplysninger etter personvernforordningen (GDPR). Angi kravet til tofaktorautentisering — «påkrevd for alle» gir best sikkerhet, men «påkrevd for sensitive systemer» er en akseptabel kompromissløsning for virksomheter med begrensede IT-ressurser.

Trinn 4 — Angi avvikshåndteringsprosedyren. Angi hvem sikkerhetshendelser skal varsles til (navn, tittel, e-post) og velg en intern varslingsfrist. En frist på 24 timer er standard og anbefales. Husk at den interne fristen må være kortere enn Datatilsynets 72-timers frist etter personvernforordningen (GDPR) artikkel 33 for å gi behandlingsansvarlig tilstrekkelig tid til å vurdere hendelsen.

Trinn 5 — Tilpass krypteringskravene til virksomhetens behov. For virksomheter som behandler ordinære personopplysninger (kontaktdata, kjøpshistorikk), er TLS i transit og kryptering av mobile enheter og ekstern lagring normalt tilstrekkelig. For virksomheter som behandler helseopplysninger, finansdata eller andre særlig sensitive opplysninger, bør krypteringen av lagrede data (AES-256) og nøkkelhåndteringen beskrives mer detaljert.

Trinn 6 — Legg til virksomhetsspesifikke krav. Tilpass policyen til virksomhetens sektor og risikoeksponering. Finansforetak bør inkorporere krav fra Finanstilsynet og DORA-forordningen (Digital Operational Resilience Act). Helseinstitusjoner bør inkorporere kravene i Normen. Offentlige virksomheter bør referere til NSMs Grunnprinsipper og sikkerhetsloven (2018) der relevant.

Trinn 7 — Forankre policyen i ledelsen og kommuniser til ansatte. En informasjonssikkerhetspolicy som ikke er vedtatt av ledelsen og kommunisert til alle ansatte, er lite verdt. Sørg for at policyen signeres av daglig leder eller styret, og at alle ansatte kvitterer for å ha lest og forstått innholdet. Gjennomføringen av opplæring skal dokumenteres.

Trinn 8 — Sett opp et revisjonsystem. Angi en fast dato for den neste revisjonen av policyen (for eksempel ett år etter vedtak) og ansvaret for revisjonen. Oppbevar alle versjoner av policyen med reviseringsdatoer for å dokumentere kontinuerlig forbedring overfor Datatilsynet.

Informasjonssikkerhetspolicy i Norge er underlagt et regelverk i personvernforordningen (GDPR), personopplysningsloven (2018) og NSMs IKT-sikkerhetsprinsipper som fastsetter kravene til sikkerhetstiltakene.

Sikkerhetskravene i GDPR artikkel 32. Etter personvernforordningen (GDPR) artikkel 32 nr. 1 skal behandlingsansvarlig og databehandler under hensyn til det tekniske nivå, gjennomføringskostnadene, behandlingens art, omfang, sammenheng og formål, samt risikoen for fysiske personers rettigheter og friheter, iverksette egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er egnet for risikoen. Bestemmelsen er risikobasert og teknologinøytral — den krever ikke spesifikke teknologier, men resultatene (konfidensialitet, integritet, tilgjengelighet) er bindende.

NSMs Grunnprinsipper for IKT-sikkerhet. Nasjonalt sikkerhetsmyndighet (NSM) har publisert Grunnprinsipper for IKT-sikkerhet, som er de norske myndighetenes anbefalinger for teknisk sikring av IT-systemer. Grunnprinsippene er organisert rundt fire aktiviteter: identifisere og kartlegge, beskytte og opprettholde, oppdage, og gjenopprette og lære. Datatilsynet refererer til NSMs grunnprinsipper i sin veiledning om sikkerhetstiltak, og en policy i tråd med disse prinsippene vil typisk oppfylle kravene i personvernforordningen (GDPR) artikkel 32.

Personopplysningsloven (2018). Personopplysningsloven (2018) gjennomfører personvernforordningens (GDPR) bestemmelser i norsk rett og gir Datatilsynet myndighet til å føre tilsyn med overholdelsen, gi veiledning og ilegge overtredelsesgebyr. Loven har ikke særskilte sikkerhetskrav utover personvernforordningens (GDPR) artikkel 32, men Datatilsynets tilsynspraksis er retningsgivende for hva som forventes av norske virksomheter.

Sikkerhetsloven (2018). Sikkerhetsloven (2018) gjelder for virksomheter som behandler skjermingsverdig informasjon (klassifisert informasjon av nasjonal sikkerhetsverdi). For slike virksomheter stiller sikkerhetsloven strengere krav til informasjonssikkerheten enn personvernforordningen (GDPR), og informasjonssikkerhetspolicyen må tilpasses disse kravene.

Normen for informasjonssikkerhet og personvern i helse- og omsorgssektoren. Helse- og omsorgssektoren i Norge er underlagt «Normen», som er en sektorspesifikk standard for informasjonssikkerhet og personvern. Normen krever en skriftlig informasjonssikkerhetspolicy, og inneholder detaljerte krav til tilgangsstyring, kryptering, avvikshåndtering og leverandørstyring som supplerer kravene i personvernforordningen (GDPR) artikkel 32.

Ansvar og sanksjoner etter GDPR artiklene 82–84. Manglende sikkerhetstiltak eller manglende dokumentasjon på iverksatte tiltak, kan medføre overtredelsesgebyr fra Datatilsynet på inntil 10 millioner euro eller 2 prosent av global omsetning etter personvernforordningen (GDPR) artikkel 83 nr. 4. Datatilsynets vedtak kan påklages til Personvernnemnda. Den registrerte kan kreve erstatning etter artikkel 82. En veldokumentert informasjonssikkerhetspolicy er et sentralt bevis på at virksomheten har oppfylt sine forpliktelser.

Vanlige feil ved utforming og implementering av Informasjonssikkerhetspolicy i Norge kan undergrave formålet med policyen og medføre brudd på personvernforordningen (GDPR) artikkel 32.

Feil 1 — Policyen er ikke oppdatert. En informasjonssikkerhetspolicy som er fra 2018 og ikke er revidert siden, reflekterer ikke endringene i teknologi, trusselbildet og regelverket. Datatilsynet vil ved tilsyn undersøke om policyen er aktuell. Løsning: sett opp et system for årlig revisjon, og oppdater policyen ved vesentlige endringer i IT-infrastruktur, behandlingsaktiviteter eller regelverk.

Feil 2 — Policyen eksisterer kun på papiret. En policy som ikke er kommunisert til ansatte, ikke etterleves i praksis, og ikke er del av virksomhetens opplæring, gir liten reell sikkerhet. Datatilsynet vil undersøke om sikkerhetstiltakene faktisk er iverksatt, ikke bare om de er beskrevet i et dokument. Løsning: sørg for at policyen er en levende del av virksomhetens kultur, med regelmessig opplæring og dokumentert etterlevelse.

Feil 3 — For generelle og vage sikkerhetskrav. En policy med formuleringer som «vi tar sikkerhet på alvor» eller «vi bruker god sikkerhetspraksis», uten konkrete tiltak, er ikke tilstrekkelig. Personvernforordningen (GDPR) artikkel 32 krever «egnede tekniske og organisatoriske tiltak». Løsning: angi konkrete krav, for eksempel «TLS 1.2 eller høyere for dataoverføring», «AES-256 for lagret data», «12-tegns passord med 2FA».

Feil 4 — Manglende avvikshåndteringsprosedyre. En policy uten klar prosedyre for håndtering av sikkerhetshendelser etterlater ansatte uten veiledning i krisesituasjoner. Løsning: angi hvem som skal varsles, innen hvilken frist, og hvilken informasjon som skal fremskaffes om hendelsen. Koble intern varslingsfrist til Datatilsynets 72-timers frist etter personvernforordningen (GDPR) artikkel 33.

Feil 5 — Ingen leverandørstyring. Mange virksomheter implementerer gode interne sikkerhetstiltak, men mangler prosedyrer for å vurdere og kontrollere leverandørers sikkerhetspraksis. Leverandørers ansatte og systemer er en vanlig kilde til sikkerhetshendelser. Løsning: still krav til leverandørers informasjonssikkerhetspolicy og inngå databehandleravtale med alle leverandører som behandler personopplysninger.

Feil 6 — Tofaktorautentisering ikke implementert. Manglende tofaktorautentisering (2FA) for systemer med personopplysninger er en av de hyppigste og farligste sikkerhetsbristene. Løsning: implementer 2FA for alle systemer med personopplysninger som minimum, og for alle ansattekontoer som best practice.

Feil 7 — Ingen dokumentasjon av opplæring. Å gjennomføre opplæring uten å dokumentere den er en mistet mulighet til å demonstrere etterlevelse. Datatilsynet og ISO/IEC 27001-revisorer vil spørre om dokumentasjon på gjennomført opplæring. Løsning: registrer gjennomført opplæring med deltakerliste, dato og innhold, og oppbevar dokumentasjonen i minst tre år.