Informasjonsaktiva - en (forsøksvis) praktisk tilnærming til kategorisering av data Harald Rishovd Oslo kommune, Vann- og avløpsetaten
Informasjonsaktiva Hjelpemiddel for å klassifisere informasjon i henhold til lovmessig krav, nivå av konfidensialitet, sensitivitet og verdi Metode for å fastsette beskyttelsesgrad på informasjon Overgradering er like skadelig som undergradering Informasjonseier har ansvar for korrekt klassifisering Det benyttes fem basisnivåer for klassifisering av informasjon / informasjonsaktiva
Informasjonsaktiva - basisnivåer 1. Sikkerhetsgradert informasjon 2. Sensitive opplysninger 3. Annen pålagt plikt til konfidensialitet/taushetsplikt 4. Annen informasjon unntatt offentlighet 5. Åpen informasjon
En kort gjennomgang av VAVs arbeid Verdivurdering (og skadevurdering) Grunnlaget for vurdering av tilgang til og utlevering av ledningsinformasjon Kriterier for deling av ledningsinformasjon Internett (åpen: alle) Tjenstlig behov (u.off) Autorisert tilgang (gradert iht sikkerhetsloven)
Først noen spørsmål Hvorfor ønsker man å beskytte informasjon? Hva kan informasjonen brukes til? Er det behov for å beskytte all informasjon? Har vi en informasjonsplikt vi må ivareta? Hvilken verdi har ledningsinformasjonen? Og hvordan finner man informasjonen verdi?
Hvorfor beskytte? Hovedgrunn: Tilsiktede uønskede handlinger Trusselaktører: Andre lands styrker, terroraktører, kreative misfornøyde borgere Ledningsinformasjon kan brukes til kartlegging og planlegging av angrep, både nærstående og langsiktig. Kun fantasien setter grenser for bruken av informasjonen Urban Exploration: URBEX.NO
Verdivurdering (og skadevurdering) For å si noe om behovet for sikring av ledningsinformasjon, er det behov for å gjøre: Verdivurdering Finne ledningsinformasjonen verdi Klassifisering og vurdering av skade gjennom vurdering av brudd på konfidensialitet, integritet og tilgjengelighet Eventuelt også: Skadevurdering Vurdere skadepotensial (sikkerhetsloven)
Verdivurdering I Verdivurdering gjøres for å finne korrekt nivå for beskyttelse: Vanlig med 3 klassifiseringsnivåer: gradert iht sikkerhetsloven, unntatt offentlighet og åpen informasjon U.off: Hjemmel eller krav i lovverk Offl 24 tredje ledd: «Det kan gjerast unntak frå innsyn for opplysningar når unntak er påkravd fordi innsyn ville lette gjennomføringa av straffbare handlingar. Det same gjeld opplysningar der unntak er påkravd fordi innsyn ville utsetje enkeltpersonar for fare, eller lette gjennomføringa av handlingar som kan skade delar av miljøet som er særleg utsette, eller som er trua av utrydding.»
Fordeling på klassifiseringsnivå Gradert Svært liten mengde informasjon Skadevurdering må utføres før gradering: Uautorisert tilgang til informasjonen kan påvirke rikets sikkerhet og vitale nasjonale sikkerhetsinteresser Eksempler, for enkelte steder: Oversikt over ledningsnettet, detaljinformasjon rundt kritiske bygninger, klassifiserte objekter. Felleskulverter som viser sårbare punkter. U.off. 24 tredje ledd Stor mengde informasjon Tilgang til informasjonen kan lette gjennomføringen av straffbare handlinger, utsette enkeltpersoner for fare, etc. Oversikt over ledningsnett (mindre steder som ikke er et naturlig mål). Felleskanaler. Eksempler: ledningens detaljer, pumpestasjonens detaljer, stikkledning, reduksjonsventil, kum med egenskaper. Åpen Liten mengde informasjon Ingen fare for straffbare handlinger, eller skade. Opplysningsplikt Meroffentlighet Eksempler: Vannkilder, kartlag med geologisk informasjon, kum uten egenskaper, enkelte oversikter uten detaljer.
Verdivurdering II Vurdering av skadepotensial ved brudd på: Konfidensialitet: Hva er ytterste konsekvens hvis uautoriserte får innsyn/tilgang til ledningsinformasjonen? Terrorister får tilgang til informasjonen etter at en ansatt har åpnet et.pdf-dokument. Integritet: Hva er ytterste konsekvens hvis uautoriserte endrer ledningsinformasjonen Hackere endrer verdiene i kartbasen Tilgjengelighet: Hva er ytterste konsekvens hvis ansatte ikke får tilgang til ledningsinformasjon når de har behov for den? Nedetid, eller hackere har kryptert eller slettet kartbasen
Verdivurdering gir fasitsvar Gir verdifull informasjon som kan brukes til å sette krav til mottakers håndtering av informasjonen Doffin, deling med andre etater og utbyggere krav til systemet som ivaretar informasjonen kravspesifikasjon og gjennom avtaler med eksterne Svært nyttig i arbeidet med GDPR!