Utdrag fra Styringsdokument for arbeidet med samfunnssikkerhet og beredskap i kunnskapssektoren

Styringsdokumentet i PDF.

Utdrag:

[...]

8. Informasjonssikkerhet

De store teknologiske endringene gir oss noen utfordringer.
Vi ser at sentrale tjenester for samfunnet, som for eksempel
betaling og telefoni, utfordres av internasjonale aktører
som leverer tjenester i Norge uten at norske myndigheter
har rettslig kontrollmulighet over dem. Dessuten er vår
evne til å holde informasjon konfidensiell utfordret, og dermed
også personvernet. I tillegg utsettes mange virksomheter
for reelle trusler knyttet til at det utstyret de bruker
kan angripes, og som et resultat bli delvis styrt av uvedkommende.
Det foreligger således et betydelig teknologisk press
som kan utfordre sentrale samfunnsverdier.10

Informasjonssikkerhet er en integrert del av arbeidet
med samfunnssikkerhet og beredskap. De digitale tjenestene
er blitt kritiske for at samfunnet skal fungere
som normalt. Kunnskapsdepartementet forventer at
arbeidet med informasjonssikkerhet gis høy prioritet i
kunnskapssektoren. Med informasjonssikkerhet menes
her beskyttelse mot brudd på konfidensialitet , integritet
eller tilgjengelighet11 av den informasjonen som blir
behandlet i et system, samt beskyttelse av informasjonssystemer
og nett i seg selv. Utvalget som har sett
på digital sårbarhet trekker også frem sporbarhet som et
fjerde sikkerhetsmål.12

Nasjonal strategi for informasjonssikkerhet13, Handlingsplanfor informasjonssikkerhet i statsforvaltningen2015-2017 og andre føringer gitt av Justis- og beredskapsdepartementet,
Kommunal- og regionaldepartementet,
og Nasjonal sikkerhetsmyndighet utgjør et viktig
grunnlag for Kunnskapsdepartementets arbeid med
informasjonssikkerhet.

Krav til informasjonssikkerhet er en integrert del av
flere lover og forskrifter, som for eksempel personopplysningsloven
med forskrifter, esignaturloven med forskrifter,
lov om elektronisk kommunikasjon (ekomloven)
med forskrifter, e-forvaltningsloven, forvaltningsloven,
offentlighetsloven med forskrifter og sikkerhetsloven
med forskrifter.

Informasjonssikkerhet dreier seg om å håndtere risiko
relatert til virksomhetens informasjonsverdier, og handler
ikke bare om tekniske løsninger, men like mye om fordeling av ansvar, oppfølging av rutiner og planverk
og bevisstgjøring av den enkelte bruker.

Informasjonssikkerhet er ikke minst viktig i forhold til
elektronisk kommunikasjon med andre virksomheter
og publikum. Tap av informasjon og bortfall av IKT-tjenester
kan få store konsekvenser for en virksomhet, en
sektor eller for samfunnet som helhet. Det er derfor
svært viktig at risiko og sårbarhet forebygges kontinuerlig.

Også innenfor informasjonssikkerhet gjelder de fire
grunnleggende beredskapsprinsippene: ansvars-, nærhets-,
likhets- og samvirkeprinsippet. Det er følgelig den
enkelte virksomhet ved ledelsen som har ansvaret for å
etablere og opprettholde tilfredsstillende informasjonssikkerhet.
Iverksetting og oppfølging av tiltak skal inngå
som en integrert del av den interne styringen i enhver
virksomhet. Departementet har et overordnet ansvar
for å ivareta sikring av sektorens IKT-infrastruktur, og at
det forebyggende arbeidet med informasjonssikkerhet
i sektoren er tilfredsstillende.

I 2015 kom en egen Handlingsplan for informasjonssikkerhet
i statsforvaltningen 2015-2017 (KMD). Denne,
og tiltaksområdene den beskriver, er det viktig at virksomhetene
i sektoren følger opp. Tiltaksområdene er
innenfor styring og kontroll, sikkerhet i digitale tjenester,
digital beredskap, sikkerhet i nasjonale felleskomponenter,
kunnskap, kompetanse og kultur. I tillegg
til de fire grunnleggende prinsippene i den nasjonale
beredskapstilnærmingen, bygger arbeidet med informasjonssikkerhet
i statsforvaltningen på forutsetningene
risikostyring og innebygget informasjonssikkerhet.
Risikostyring er kjernen i arbeidet med informasjonssikkerhet.
Virksomhetene i statsforvaltningen skal ha god
risikoforståelse og arbeide systematisk med risikovurderinger.
Risikostyring skal gjøre virksomhetene i stand
til å ta informerte valg og gjøre prioriteringer ved innføring
av sikkerhetstiltak. Innebygd informasjonssikkerhet
innebærer at informasjonssikkerhet skal være en del av
ethvert digitaliseringsprosjekt i statsforvaltningen fra
starten, og i hele systemets livssyklus. Informasjonssikkerhet
skal også være en naturlig del av virksomhetsstyringen,
og et tema som alle ansatte i statsforvaltningen
– ut fra sin rolle – skal ha et kjennskap til.

De vanligste dataangrepene fra Internett skjer via e-poster
og nettsider. En del angrep kommer også fra infiserte
USB-minnepinner. NSM har utarbeidet dokumen-

[forts. side 17]

10 NOU 2015:13 Digital sårbarhet – sikkert samfunn, kap. 1, s.15.
11 FAD, Justis- og beredskapsdepartementet, FD og SD. (2012).
Nasjonal strategi for informasjonssikkerhet. Oslo:FAD
12 NOU 2015:13. Digital sårbarhet – sikkert samfunn, kap 5. s. 35.
13 Vedtatt av regjeringen i 2012.

Side 17:

tet Ti viktige tiltak mot dataangrep hvor de fire første vil
stoppe 80-90 prosent av alle kjente dataangrep. Departementet
forutsetter at virksomhetene gjennomgår og
oppdaterer sine rutiner i henhold til disse tiltakene.

Det vises også til Nasjonal sikkerhetsmyndighets rapport
Helhetlig IKT-risikobilde 2015. Rapporten tar for
seg de viktigste risikoene knyttet opp mot bruk av IKT i
det norske samfunnet.

8.1 Styringssystem for informasjonssikkerhet

Kunnskapsdepartementet stiller krav til at underliggende
virksomheter skal ha et helhetlig styringssystem
for informasjonssikkerhet (ISMS/SSIS), også kalt ledelsessystem.
Styringssystemet består av alle aktiviteter
en virksomhet samlet gjør av planlagte og systematiske
tiltak for styring, kontroll og oppfølging av informasjonssikkerhet
og skal i staten være basert på anerkjente
standarder som ISO 27001:2013 (iht. Difis referansekatalog).
Styringssystem for informasjonssikkerhet bør
være en integrert del av virksomhetenes helhetlige styringssystem,
internkontroll, kvalitetssystem eller tilsvarende
betegnelse på samlet og helhetlig intern kontroll.

Departementet viser til UNINETTs veiledning til styringssystemfor informasjonssikkerhet i UH-sektoren.

Difi har utarbeidet et praktisk rettet veiledningsmateriellfor internkontroll av informasjonssikkerhet. Veiledningen
er basert på anerkjente standarder for styringssystemer
for informasjonssikkerhet, og skal gi lederne
og fagansvarlige i forvaltningen bedre styring og kontroll
med informasjonssikkerheten. Begrepet internkontroll
brukes her i stedet for betegnelsen styringssystem,
men dette refererer til det samme.

8.2 Skytjenester

Skytjenester blir en stadig viktigere del av vår IKT-hverdag,
både privat og i jobbsammenheng. Skytjenester
er en felles betegnelse på alt fra dataprosessering og
datalagring, til programvare som er tilgjengelige fra
eksterne serverparker tilknyttet internett.

Utvalget som har sett på digital sårbarhet mener de
vurderingene en må gjøre når det gjelder sikkerhet ved
bruk av skytjenester, ligner vurderingene en må gjøre
om en skal sette ut andre tjenester til eksterne leverandører.
I praksis betyr dette å forholde seg til de formelle
avtalene med leverandøren om hvordan data vil
bli lagret eller behandlet. Når skytjenestene åpner for
lagring og behandling av data i utlandet, reiser det seg
imidlertid særlige juridiske problemstillinger knyttet til
at tjenestene ikke reguleres av norske lover.

Utvalget påpeker at risikoen ved å bruke skytjenester
vil variere avhengig av hvor sensitive data en skal lagre
eller behandle, og hvordan skytenesteleverandøren
har implementert sine spesifikke skytjenester. Hvor
omfattende vurderinger av leverandøren må være, vil
avhenge av verdien av den informasjonen det er snakk
om, og hvor alvorlige konsekvensene kan bli dersom
noe går galt.

Det vil antagelig ofte være slik at en bedrift eller virksomhet
vil kunne legge noe av sin informasjon ut i skyen, mens
annen informasjon beholdes lokalt/internt. Det kan finnes
opplysningstyper som av konkurransehensyn eller sensitivitetshensyn
ikke bør legges i en skytjeneste, selv om det er
lovlig å legge dem der14

14 NOU 2015:13 Digital sårbarhet – sikkert samfunn, kp. 23, s.
306.

9. Kritisk infrastruktur og kritiske samfunnsfunksjoner

[...]

Innenfor Kunnskapsdepartementets ansvarsområde
finnes det aktører og virksomheter innen IKT-området
som faller inn under kategorien kritisk infrastruktur.
Departementet følger opp disse spesielt, bl.a. i forbindelse
med forskrift om objektsikkerhet av 01.01.11.

[...]

9.1 Installasjoner omfattet av ekomloven

NIX (Norwegian Internett eXchange) er viktige samtrafikkpunkter
for norsk internettrafikk. Dette er knutepunkter
hvor også private aktører som Telenor og andre
internettilbydere er påkoblet. Hensikten med disse NIXene
er å koble sammen deler av internettet i Norge.
Disse samtrafikkpunktene eies av UNINETT, men driftes
av USIT ved Universitetet i Oslo. UNINETT har ansvaret
for NIX-ene og er ansvarlig for disse ved tilsyn fra Nasjonal
kommunikasjonsmyndighet. Dette følges opp av
Kunnskapsdepartementet gjennom den løpende dialogen
om de tjenestene som UNINETT leverer til UH-sektoren.
Universitetet i Oslo vurderer NIX som viktig, men
ikke kritisk for Internett i Norge.

Selv om NIX ikke vurderes til å være et skjermingsverdig
objekt etter forskrift om objektsikkerhet, er ekomtjenester
likefullt en kritisk allmenn innsatsfaktor iht.
KIKS-modellen. NIX vurderes derfor til å være en kritisk
infrastruktur.

UNINETT Norid AS, som er et datterselskap av UNINETT
AS, driver .no-domenet og vedlikeholder den sentrale
databasen for alle norske domenenavn. De har ansvaret
for utvikling av regelverket for .no etter brukernes
ønsker og innenfor rammene av den norske domeneforskriften.
UNINETT Norid har Nasjonal kommunikasjonsmyndighet
(Nkom) som tilsynsorgan. Samferdselsdepartementet
og Nkom følger opp UNINETT Norid hva
gjelder objektforskriftens krav om utvelgelse og klassifisering
av eventuelle skjermingsverdige objekter.

Tilgjengeligheten til .no-domenet går inn under ekomtjenestene
som kritisk allmenn innsatsfaktor og navnetjenesten
vurderes derfor som en kritisk infrastruktur på
samme måte som NIX.

Ansvarsforhold

Det er Nasjonal kommunikasjonsmyndighet (Nkom)
som har ansvar for oppfølging av Norid og NIX, og fører
tilsyn med disse. Kunnskapsdepartementet har imidlertid
et ansvar som eier for å følge opp avvik og pålegg fra
Nkom som krever tiltak fra eier.

9.2 Forskningsnettet

UNINETT AS, som eies av Kunnskapsdepartementet,
utvikler og driver det norske forskningsnettet, som forbinder
mer enn 200 norske utdannings- og forskningsinstitusjoner
og over 300 000 brukere, og knytter dem
opp mot internasjonale forskningsnett.

Meteorologisk institutt er avhengig av forskningsnettet
for å drifte dataløsningene og er også avhengig av tungregningskapasiteten
som er koblet opp i forskningsnettet.
Dette gjelder også en rekke andre viktige tjenesteleverandører
i universitets- og høyskolesektoren
der i blant Statens strålevern og Folkehelseinstituttet.
Forskningsnettet er iht. KIKS-modellen en kritisk infrastruktur
for å opprettholde basiskapabiliteten «evnen til
å betjene virksomheter med kritisk samfunnsfunksjon og
befolkningen med nødvendig meteorologisk informasjon»
og flere andre basiskapabiliteter gjennom leveransene
fra universitets- og høyskolesektoren.

[...]

9.4 Krav til oppfølging fra virksomheter som ivaretar kritisk infrastruktur

Alle virksomheter som ivaretar samfunnskritisk IKT-infrastruktur
har et spesielt ansvar for beskyttelsestiltak
som sikrer opprettholdelse av drift og basisleveranser.
Det må vektlegges tiltak for å sikre robusthet og rask
gjenoppretting etter brudd.

Virksomheter som ivaretar kritisk IKT-infrastruktur har
et særlig ansvar for å gjennomføre regelmessige risikoog
sårbarhetsanalyser, jf. kapittel 6. Gjennomføringen
av analysen må inngå i et fastlagt styringssystem for
risikohåndtering i virksomheten og må være forankret
hos ledelsen. [...]

Se også saken på regjeringen.no.