Informationssäkerhet handlar om att skydda information från att läcka, förvanskas eller förstöras. Det uppnår man lättast genom att arbeta utifrån tre principer: konfidentialitet, som skyddar information från obehörig åtkomst; integritet, som säkerställer att informationen är korrekt och oförändrad; och tillgänglighet, som garanterar att information och system är tillgängliga för behöriga användare vid behov. Dessa grundläggande principer samverkar för att skydda data och system från hot och risker.
Grundläggande principer
Konfidentialitet, riktighet och tillgänglighet (KRT) är de grundläggande
principerna för informationssäkerhet. Dessa principer säkerställer att information
skyddas och används på rätt sätt:
-
Konfidentialitet:
Endast behöriga personer ska ha tillgång till informationen. -
Riktighet:
Informationen ska vara korrekt, komplett och oförändrad. -
Tillgänglighet:
Rätt information ska finnas tillgänglig för rätt personer vid rätt
tidpunkt.
Förekommande hot
Hot mot informationssäkerhet kan komma i många former. De kan exempelvis vara avsiktliga och oavsiktliga, interna och externa. Varje hot har potential att leda till försämring av informationstillgångens konfidentialitet, riktighet och tillgänglighet.
-
Malware:
Skadeprogram som används för att manipulera eller sabotera system. Det kan inkludera spionprogram, trojaner eller botnät som möjliggör fjärrstyrning av infekterade enheter. -
Ransomware:
En typ av skadlig programvara som krypterar filer och kräver en lösensumma för att återställa åtkomst. Det riktar sig ofta mot företag och organisationer genom att utnyttja bristfälliga säkerhetsrutiner. -
Dataintrång:
Obehörig åtkomst till system för att samla känslig information, ofta genom riktade attacker som phishing eller genom att utnyttja svagheter i säkerheten.
Riskhantering
Risk är en funktion av dessa två: Sannolikhet x konsekvens = risk.
För att att identifiera och skydda värdefulla tillgångar krävs en noggrann riskanalys, där man bedömer de hot och sårbarheter som kan påverka organisationens informationstillgångar. Inom informationssäkerhet definieras risk utifrån två faktorer: sannolikheten för att en incident inträffar och konsekvenserna av dess påverkan.
Informationssäkerhetspolicy
Denna typ av policy är ett centralt dokument som styr hur organisationen hanterar och skyddar sin information. Den bör inkludera ledningens viljeriktning för informationssäkerhet, strategiska mål, samt huvudsakliga roller och ansvarsområden inom organisationen.
Underliggande styrdokument specificerar den övergripande policyn med detaljer information om hur målen i informationssäkerhetspolicyn ska uppnås.
Säkerhetsåtgärder
För att säkerställa effektiva säkerhetsåtgärder bör de implementeras baserat på risker mot organisationers informationstillgångar.
Säkerhetsåtgärder är de verktyg och metoder som används för att upprätthålla en viss nivå av konfidentialitet, riktighet och tillgänglighet hos informationstillgångar genom att minska förekomsten av incidenter och/eller minska skador av en incident. Dessa kan inkludera:
- Verktygsbaserade säkerhetsåtgärder såsom tekniska lösningar i form av kryptering och tvåfaktorsautentisering.
- Fysiska åtgärder, exempelvis brandlarm och lås.
- Manuella åtgärder såsom administrativa, exempelvis säkerhetspolicy, efterlevnad av lagar och regler.
- Kunskapsbaserade åtgärder såsom säkerhetsutbildningar och kompetens hos personal.
Andra säkerhetsåtgärder är exempelvis informationsklassning, leverantörsbedömning och att ledningen ständigt är medveten om organisationens informationssäkerhetsmognad och såldes säkerhetsställer att det finns resurser för att hantera risker. För att säkerställa att åtgärderna blir effektiva bör de implementeras baserat på risker mot organisationers informationstillgångar.
Informationssäkerhetsincidenter
En oönskad händelse som har, eller kunde ha, medfört skador mot informationstillgångar är informationssäkerhetsincidenter. Effektiv hantering av dessa incidenter kräver en plan som inkluderar identifiering, bedömning, åtgärder och lärdom för att förbättra säkerheten av information.
Lagar och Regleringar
Lagar och regleringar inom informationssäkerhet innehåller krav för att säkerställa att organisationer hanterar information på ett ansvarsfullt sätt utifrån konfidentialitet, riktighet och tillgänglighet. Ett exempel är GDPR i EU som reglerar behandlingen av personuppgifter och ställer krav på organisationer att skydda denna data
Bästa Praxis och Rekommendationer
Bästa praxis och rekommendationer inom informationssäkerhet inkluderar att följa standarder som ISO 27001, identifiera och värdera informationstillgångar, förstå intressenters krav (regulatoriska krav men även kundkrav), genomföra regelbundna säkerhetsrevisioner, riskanalyser och att implementera säkerhetsåtgärder för att minimera risker, utbilda personalen kontinuerligt och att ha en stark incidenthanteringsplan.
