Vad gör du om viktig information i din avdelning plötsligt läcker till obehöriga, ändras utan kontroll eller försvinner helt? Sådana situationer kan få allvarliga konsekvenser och tyvärr händer det oftare än man tror. Därför är det avgörande att veta vilken information som är känslig och hur den ska skyddas på bästa sätt.
En metod att identifiera känslig och viktig information och ge den rätt skydd är genom informationsklassning. Att klassa information ger dig en stark utgångspunkt att prioritera säkerhetsinsatser, minska risker och säkerställa att ni följer gällande lagar och standarder.
Vad är informationsklassning?
Informationsklassning är en process som hjälper organisationer att identifiera, värdera och kategorisera information utifrån hur viktig eller känslig den är, och vilket skydd informationen behöver. Det kan handla om allt från kunddata och avtal till interna dokument, källkoder eller ekonomisk redovisning.
Målet är att säkerställa att rätt information får rätt skyddsnivå. Det bedöms utifrån vilka konsekvenser det skulle få om informationen skulle hanteras fel, komma i fel händer eller helt enkelt försvinna.
För att klassa informationen utgår man från dessa tre säkerhetsparametrar:
- Konfidentialitet: Hur viktigt är det att obehöriga inte tar del av den?
- Riktighet: Hur viktigt är det att informationen inte ändras utan tillstånd?
- Tillgänglighet: Hur viktigt är det att den alltid är åtkomlig?
När ska informationsklassificering göras?
Organisationer som omfattas av GDPR och NIS2 eller vill uppfylla ISO 27001 standarden ska i regel alltid klassa information. I Sverige ställer också säkerhetsskyddslagen ett extra krav på myndigheter och regioner att klassa information som är säkerhetsskyddsklassificerad.
Vet man att man ska utföra en informationsklassning, så ska processen genomföras varje gång ny information skapas, tas emot eller börjar hanteras. Det kan exempelvis vara vid start av nya projekt, system eller tjänster, vid upphandling eller avtal med leverantörer eller när befintlig information förändras i känslighet.
Grundprincipen är att information klassas så tidigt som möjligt och klassificeringen ska uppdateras regelbundet. På så sätt minskar risken för felhantering och organisationen kan säkerställa att informationen har rätt skydd.
Det är den verksamhetsansvariga som ansvarar för att informationen inom sitt område klassificeras och skyddas. Samtidigt ska CISO:s stödja och samordna arbetet, särskilt i ledningen. Men det är inte de ansvariga själva som behöver utföra informationsklassningen, men de ska låta personer med rätt kompetens utföra arbetet.
5 steg för att klassa information
Informationsklassning kan delas upp i flera steg för att identifiera vilken information som finns i organisationen, förstå dess betydelse och bestämma hur den bör hanteras och skyddas. Genom att arbeta metodiskt och systematiskt blir klassningen både hanterbar och effektiv, och den ger ett tydligt underlag för att säkerställa att informationen skyddas på rätt sätt.
Så tar du dig an klassificering av information:
- Identifiera informationen
Vilken information ingår i klassningsobjektet? Det kan vara en verksamhet, avdelning, process eller en tjänst. Det kan även handla om en viss informationstyp, som exempelvis känsliga personuppgifter. - Bedöm betydelsen
Utvärdera informationens betydelse utifrån faktorer som konfidentialitet, riktighet och tillgänglighet. Detta gör ni genom att utgå från vilka konsekvenser det skulle få om informationen hanteras fel. - Bestäm skyddsnivå
Tilldela informationen en lämplig skyddsnivå, till exempel begränsad, medel, hög eller mycket hög, beroende på bedömningen av dess betydelse och risker. Den allvarligaste konsekvensen avgör vilken klass informationen ska hamna i. - Dokumentera klassningen
Dokumentera resultatet av klassningen tydligt. Det fungerar som grund för att bestämma vilka säkerhetsåtgärder som behövs. - Följ upp och uppdatera
Se över klassningen regelbundet och uppdatera vid förändringar i verksamheten eller i informationshanteringen.
Så använder du klassningsresultatet vid val av säkerhetsåtgärder
Efter att ha klassat och riskbedömt informationen har du nu fått en bättre förståelse för informationens värde och vilka konsekvenser den får vid läckage, okontrollerad förändring eller om den blir otillgänglig.
Informationsägaren ska nu införa tillräckliga skyddsåtgärder utifrån de klassade skyddsnivåer: 1. Lågt skyddsbehov, 2. Normalt skyddsbehov, 3. Högt skyddsbehov och 4. Mycket högt skyddsbehov. Åtgärderna kan exempelvis vara administrativa, tekniska och fysiska.
Så väljer du rätt säkerhetsåtgärder:
- Utgå från skyddsnivån som motsvarar den högst klassade informationen i klassningsobjektet.
- Anpassa utifrån riskbedömningen och avgör vilka åtgärder i skyddsnivån som är relevanta, behöver kompletteras eller kan undantas.
- Beakta kontext och särskilda faktorer. Höj skyddsnivån vid t.ex. stora datamängder, sammanslagning av information som ökar känsligheten, eller integration med mer skyddsvärda system. För IT-system ska skyddsnivån baseras på den mest känsliga informationen i systemet och justera vid behov för ackumulering, aggregering eller fler användargrupper.
- Följ organisationens rutiner för undantag eller förändring av skyddsnivåer, och dokumentera beslutet av säkerhetsåtgärder.
Varför är det viktigt att klassa information?
Informationsklassning är en mycket viktig metod för att kunna skydda information på rätt sätt. Utan klassificering är det svårt att avgöra vilken information som kräver starka säkerhetsåtgärder och vilken som kan hanteras mer öppet.
Fördelarna av att använda metoden för informationsklassning kan därför bli många. Att klassa information säkerställer att information får tillräckligt skydd samtidigt som resurser inte slösas på överdrivna skyddsåtgärder. Det minskar inte bara risken för felhantering av information, men gör det också enklare att genomföra riskbedömningar och effektivisera incidenthanteringen när man ska prioritera vilken information ska skyddas och återställas.
Och sist men inte minst kan det underlätta efterlevnaden av lagar och standarder som t.ex. GDPR, NIS2 och ISO 27001.
LÄS OCKSÅ: Starka processer skapar värde i GRC
Så hänger informationsklassning ihop med GDPR, NIS2 och ISO 27001
Även om informationsklassning inte är ett direkt krav i GDPR, NIS2 och ISO 27001, kräver de att organisationer hanterar information på ett sätt som skyddar dess konfidentialitet, riktighet och tillgänglighet. Att klassa information är alltså en metod att arbeta mot att uppfylla säkerhetskraven.
Så hänger metoden och kraven ihop:
GDPR ställer krav på att skydda personuppgifter. Genom informationsklassning kan organisationen identifiera och hantera personuppgifter på ett sätt som säkerställer efterlevnad av GDPR:s krav, såsom dataminimering, lagringsbegränsning och dataintegritet.
NIS2-direktivet syftar till att höja cybersäkerhetslagen inom EU, särskilt inom kritisk infrastruktur. Här kan informationsklassning vara en metod för att uppfylla NIS2-krav på riskhantering och skydd av nätverks-och informationssystem. Även om NIS2 inte direkt nämner informationsklassning, uppmuntrar den användningen av standarder som ISO 27001, där informationsklassning är en etablerad praxis.
ISO 27001 är en internationell standard för informationssäkerhet med syfte att etablera, implementera, underhålla och förbättra ett informationssäkerhetshanteringssystem (ISMS). Inom ISO 27001:s riskbedömningsprocess kan informationsklassning användas för att identifiera och hantera risker på ett effektivt sätt. Det är en central kontroll (A.5.12 i 2022-versionen) i standaren där information klassificeras med hänsyn till konfidentialitet, riktighet och tillgänglighet.
Genom att använda sig av ett systemstöd för informationsklassning i samband med efterlevnad av lagkraven kan du få överblick och ett systematiskt tillvägagångssätt till riskhanteringen och skydd av information. Det sparar tid och resurser på manuell dokumentation och kartläggning. På så sätt kan organisationen arbeta mer effektivt och säkert med sin information.
Informationsklassning som grund för effektiv riskhantering
Riskhantering och informationsklassning är nära sammankopplade i arbetet att skydda information. Arbetet kan med fördel börja med informationsklassningen där du klassar hur känslig informationen är och vilka konsekvenser ett intrång eller en förlust skulle få.
Den kunskapen kan sedan användas i riskhanteringen, där du undersöker vilka hot och sårbarheter som finns. Det hjälper dig att avgöra vilka säkerhetsåtgärder som krävs för att skydda informationen. Ju känsligare informationen är, desto högre blir risknivån och desto striktare skydd behövs.
I praktiken kan arbetet underlättas genom att använda en GRC-plattform (Governance, Risk & Compliance). Där kan du koppla samman informationsklassningen med riskhantering, incidenter, interna policys och procedurer i ett och samma system – för att få en överblick över hur du effektivt kan säkra informationen och minimera risker. På så sätt undviker man att sprida arbetet över flera olika Excel-ark och kan istället länka information, risker, incidenter och skyddsåtgärder på ett samlat och strukturerat sätt. Det gör att du sparar både tid, minskar risken för dubbelarbete och får ett mer strukturerat samarbete mellan avdelningar.
