Trinn 1 - Identifisere oppgaver og informasjonstyper

Vi anbefaler å benytte «MAL Foranalyse trinn 1 - Oppgaver og informasjonstyper» i utførelsen av dette trinnet. Malen inneholder en oversikt over oppgaver som kan tilpasses virksomheten. Oppgavene og tjenestene bør dokumenteres i hvert sitt støtteskjema.

Hvordan organisere arbeidet med trinn 1

Alle som har ansvar for en arbeidsoppgave, -prosess eller tjeneste i virksomheten bør gjennomføre en kartlegging av oppgaver og informasjonstyper. Virksomheten kan selv velge på hvilket organisatorisk nivå kartleggingen skal gjennomføres. Den kan for eksempel gjennomføres på laveste organisatoriske nivå, eller samlet i ledergruppen på nivået over.

Kartleggingen kan gjerne gjennomføres med bistand fra fagansvarlig informasjonssikkerhet. Digitaliseringsdirektoratet anbefaler også at man oppretter en arbeidsgruppe der man involverer fagpersoner som kjenner oppgavene og informasjonstypene gjennom sitt daglige arbeid.

Det bør pekes ut en prosessleder som er ansvarlig for å lede gjennomføringen. Prosessleder bør få støtte av en ansatt som kan bistå med praktisk utfylling av malen. Da blir møter mer effektive og man kan se resultater av gjennomføringen raskere. Prosessleder kan da fokusere på å lede diskusjonen, og møtedeltakerne ser hvordan innholdet i dokumentet utvikler seg.

Ettarbeid etter møter kan gjerne gjøres av prosessleder og støtteperson i fellesskap. Ferdigstilling av dokumentet bør gjøres av den aktuelle organisatoriske enhet. Det er de som skal eie resultatet.

Det vil normalt være behov for å gjennomføre 1-2 arbeidsmøter pr enhet. Dersom prosessleder ikke arbeider i enheten som skal gjennomgås bør vedkommende gjøre seg kjent med den aktuelle enheten før arbeidsmøtene.

Identifiser og beskriv oppgaver og tjenester

Arbeidsgruppen begynner med å identifisere hvilke oppgaver og tjenester som utføres innen ansvarsområdet. Det er viktig å omtale oppgavene på et overordnet nivå, og navnet bør si noe om det faktiske innholdet i oppgaven. Det finnes eksempler i malen som kan benyttes som utgangspunkt, men de må tilpasses behovene i virksomheten og den enkelte enhet. Man kan supplere, stryke, eller presisere i løpet av gjennomgangen.

For større oppgaver eller tjenester kan det være hensiktsmessig å dele opp i mindre deloppgaver. Det kan for eksempel være en saksbehandlingsoppgave der enkelte av sakene som behandles har høyt konfidensialitetsbehov, mens andre ikke har det.

Beskrivelse av hver oppgave eller tjeneste

Det bør gis et navn på oppgaven eller tjenesten, som det kan refereres til i de neste trinnene i foranalysen. Det anbefales at navnet er kort og forståelig.

Formålet med oppgaven eller tjenesten bør beskrives kort. Det kan for eksempel være å utføre en nødvendig tjeneste, nå et spesielt mål for virksomheten, eller etterleve et konkret regelverk. Behandler man personopplysninger må denne behandlingen ha et klart formål.

Det bør også gis en kort beskrivelse av oppgaven eller tjenesten dersom ikke det korte navnet og formålet til sammen gir tilstrekkelig informasjon. Et eksempel kan være dersom man beskriver oppgaven «Tilsyn», og dette omfatter flere områder man gjør tilsyn på.

Ved utfylling av et støtteskjema bør det angis dato for når det er ferdig utfylt, og når noe endres i etterkant. Det kan være nyttig informasjon når man jevnlig skal sjekke ut behov for oppdateringer av kartleggingen.

Man bør for hver oppgave/tjeneste identifisere:

• Navn på IKT-system som benyttes til behandling av informasjon. Dette kan enten være systemer som kun benyttes i denne oppgaven, eller det kan være fellessystemer som også andre deler av virksomheten benytter i andre oppgaver eller tjenester.
• Relevant regelverk for gjennomføring av oppgaven, for eksempel forvaltningsloven, arkivloven og offentleglova.
• Regelverk med krav til informasjonssikkerhet, for eksempel personopplysningsloven, sikkerhetsloven eller helseregisterloven.

Identifiser informasjonstyper som behandles i oppgavene

Når oppgaver og tjenester er identifisert, er neste oppgave å identifisere hvilke informasjonstyper som behandles i de ulike oppgavene.

Støtteskjemaet er et utgangspunkt og bør tilpasses virksomhetens behov. Dersom virksomheten har tilgang til helt eller delvis utfylte skjemaer for noen av oppgavene, bør disse brukes som utgangspunkt. Man kan også ta utgangspunkt i eksemplene fra «EKSEMPEL Typiske oppgaver og tilhørende informasjonstyper» og diskutere hvor relevante de foreslåtte informasjonstypene er for virksomheten. Dersom det ikke er tilgjengelig eksempler/utgangspunkt, må arbeidsgruppen utforme hele beskrivelsen selv.

Når prosessene er komplekse og sammensatte, kan det være nødvendig å kategorisere informasjonstypene annerledes, for eksempel for IKT-drift, der naturlige informasjonstyper kan være «IKT-utstyr», «Brukere», «Driftsrutiner» etc.

Om informasjonsbehandling i oppgaven

Identifiser hvilke informasjonstyper som behandles i oppgaven eller tjenesten. Informasjonstypene bør beskrives på et overordnet nivå.

Deretter identifiseres relevante bestemmelser i form av paragrafer for potensiell taushetsplikt / unntak fra offentlighet. Man bør vise til lov, paragraf og ev. alternativ. Eksempel: fvl §13 nr. 1.

• Ytterligere detaljer kan gjøres som etterarbeid, slik at man ikke bruker tiden på dette i arbeidsmøtet.
• For kompetanseheving eller ved spesielle behov, kan man i forkant eller etterkant også støtte seg på Justisdepartementets «Rettleiar til offentleglova» samt vedlegg til denne.

For hver informasjonstype bør man så vurdere hvor det er behov for å være spesielt obs i henhold til informasjonssikkerhet. Både konfidensialitet (K), integritet (I) og tilgjengelighet (T) bør vurderes. Hensikten er å synliggjøre hvor behovet for å ivareta informasjonssikkerheten er høyere enn det som anses som normalt i virksomheten.

Det bør også vurderes om hver informasjonstype normalt inneholder personopplysninger og om det eventuelt også er snakk om «særlige kategorier av personopplysninger». Det siste har spesiell betydning for personvern­regelverkets bestemmelser om vilkår for å kunne behandle opplysningene.

Hvordan bruke trinn 1 som utgangspunkt for arbeid på andre områder

Digitaliseringsdirektoratet anbefaler at man i så stor grad som mulig koordinerer prosesser for å kartlegge oppgaver og tjenester i virksomheten, og hvilken informasjonsbehandling som understøtter oppgavene. Man har behov for oversikt over hvilken informasjon som behandles for ulike formål, for eksempel personvern, nasjonal sikkerhet, datadeling, informasjonsforvaltning og arkiv.

Støtteskjemaet i malen det vises til her tar høyde for at man for hver oppgave i tillegg til behovet for informasjonssikkerhet også kan kartlegge:

• nødvendig informasjon knyttet til personopplysninger
• behov knyttet til etterlevelse av sikkerhetsloven
• mulighet for datadeling

I eForvaltningsforskriften § 15 heter det at internkontrollen «skal inkludere relevante krav som er fastsatt i annen lov, forskrift eller instruks». Det betyr at når man etablerer internkontroll/styringssystem etter kravene i eForvaltningsforskriften, så skal det inkludere relevante krav om informasjonssikkerhet og internkontroll på området som fremkommer i personopplysningloven, sikkerhetsloven og andre relevante lover, med tilhørende forskrifter. Dette er både mer effektivt og gir bedre samlet styring og kontroll enn å ha ulike system for ulike regelverk som omhandler informasjonssikkerhet.

Digitaliseringsdirektoratets veiledningsmateriell er tilrettelagt for dette. Det omfatter likevel bare de kravene i annet regelverk som gjelder informasjonssikkerhet. Når det gjelder etterlevelse av personvernregelverket og sikkerhetsloven er det henholdsvis Datatilsynet og Nasjonal sikkerhetsmyndighet (NSM) som har veiledningsansvaret. Vi henviser til dem for spørsmål om disse regelverkene.

Etterlevelse av personvernregelverket

Det er viktig å merke seg at internkontroll på informasjonssikkerhetsområdet kun dekker personvernforordningens bestemmelser om informasjonssikkerhet, og deler av bestemmelsene om personvernkonsekvensvurdering og behandlingsprotokoll. Virksomheten må ha egne rutiner, og eventuelt egne støttefunksjoner som fagansvarlig personvern, for å sikre etterlevelse av personvernregelverket for øvrig. Digitaliseringsdirektoratets veiledning om informasjonssikkerhet dekker ikke dette.

Støtteskjemaet er imidlertid tilrettelagt for å også dekke tilgrensede kartleggingsbehov for etterlevelse av personvernregelverket på områder som går utover informasjonssikkerhet. Skjemaet er ment som en støtte dersom man ikke har andre systemer for behandlingsprotokoll. Dersom virksomheten har en slik løsning eller system, bør det benyttes.

Behandlingsgrunnlag for personopplysninger er nyttig å kartlegge for å kunne etterleve informasjonsplikten overfor den registrerte. Dersom man behandler personopplysninger i oppgaven/tjenesten, bør man også identifisere behandlingsgrunnlaget.

Man bør også kartlegge kategorier av registrerte og kategorier av mottakere av personopplysninger for å oppfylle krav til behandlingsprotokoll. Virksomheten kan alternativt registrere dette i én sentral behandlingsprotokoll.

Hvis virksomheten ser behov for å gjennomføre en personvernkonsekvensvurdering av behandlingen bør man notere seg momentene som taler for at det foreligger høy personvernrisiko («høy risiko for fysiske personers rettigheter og friheter»). For mer informasjon om vurdering av personvernkonsekvenser, se Datatilsynets veiledning i Vurdering av personvernkonsekvenser (DPIA).

Dersom personopplysningene utleveres eller behandles utenfor EØS eller til internasjonale organisasjoner, kan også dette noteres for å oppfylle krav til behandlingsprotokoll. Virksomheten må da påse at utleveringen er i overensstemmelse med personvernforordningens regler, slik at opplysningene behandles med et tilstrekkelig beskyttelsesnivå.

​​​​​​Identifisere behov for beskyttelse i henhold til sikkerhetsloven

Dersom man i gjennomgangen identifiserer områder der informasjonen som behandles, eller informasjonssystemene som benyttes, er skjermingsverdig i henhold til sikkerhetsloven, bør dette noteres.

Dette synliggjør behovet for videre arbeid med å vurdere hvordan disse verdiene skal beskyttes for å oppfylle kravene i lov og forskrift.

Identifisere mulighet for deling av data

Kartleggingen av oppgaver og tjenester, og informasjonsbehandlingen i disse, kan også danne grunnlaget for videre arbeid med deling av data. Man bør i løpet av kartleggingen også vurdere følgende:

1. Behandler oppgaven/tjenesten datasett som det bør deles beskrivelser av?
2. Hvilket tilgangsnivå bør datasettene ha?

For videre arbeid anbefales det å se på veilederen «Orden i eget hus» og verktøykassen for deling av data fra Digitaliseringsdirektoratet.

Den enkelte virksomhet skal ha tilstrekkelig oversikt over hvilke data den håndterer, og statlige virksomheter skal registrere datasett i Felles datakatalog (data.norge.no), jf. Digitaliseringsrundskrivet kapittel 1.2 Tilrettelegg for gjenbruk og viderebruk av informasjon. Kommuner og fylkeskommuner oppfordres også til å registrere sine datasett.

Neste trinn i foranalysen

Når man har identifisert oppgaver og tjenester, og kartlagt informasjonsbehandlingen i disse, går man videre til å vurdere høyeste konsekvensnivå som kan inntreffe ved informasjonssikkerhetsbrudd.