Utforme føringer

1. Om føringer for styring av informasjonssikkerhet

1.1 Hvorfor er det viktig med gode føringer?

Føringene skal beskrive struktur og innhold i styringsaktivitetene. Virksomheten skal beskrive hvem som skal gjøre hva, og hvordan det skal gjøres. Struktur og innhold i styringsaktivitetene som beskrives i dette veiledningsmateriellet bør benyttes som utgangspunkt, da det er offisiell anbefaling til forvaltningen.

1.2 Hva bør man ha føringer for?

Føringene bør si noe overordnet om formålet med informasjonsbehandlingen og informasjonssikkerhet, og hvilken betydning det har for virksomhetens oppgaver og tjenester. Beskrivelse av roller og ansvar i arbeidet med styring av informasjonssikkerhet (hva skal gjøres, og hvem skal gjøre det) er også vesentlig å få på plass.

Føringer for hvordan virksomheten skal forstå, vurdere og håndtere risiko er viktig for en helhetlig og samordnet styring av risiko på informasjonssikkerhetsområdet. Enhver virksomhet må også vurdere behovet for mer detaljerte føringer for andre styringsaktiviteter, for eksempel under Måling, evaluering og revisjon.

Det kan være hensiktsmessig at føringene omfatter andre områder enn informasjonssikkerhet. Felles føringer for ulike områder for styring vil gi mer helhet i virksomhetsstyringen.

1.3 Hvordan bør føringene dokumenteres?

Føringene må dokumenteres på en hensiktsmessig måte, slik at de

• fungerer som oppslagsverk, hvor man kan sette seg inn i dem
• fungerer som samfunnsdokumentasjon (arkivplikt)
• ved behov kan gi eksterne interessenter informasjon om hvordan ting fungerer hos dere

God dokumentasjon er viktig for at styringsaktivitetene og sikkerhetsarbeidet for øvrig skal bli gjennomført i tilstrekkelig omfang og på riktig måte.

Hvordan retningslinjene faktisk struktureres og hva de kalles må tilpasses de styringsdokumenter virksomheten har fra før, og de valg som gjøres under etableringsaktiviteten Etablere dokumentasjonsrammeverk. En kombinasjon av ulike dokumenter, der struktur, utdypninger og detaljeringsnivå er tilpasset virksomhetens egenart og behov, vil normalt gi den mest oversiktlige og funksjonelt beste etterlevelsen.

Både struktur og innhold i dokumentene bør alltid sees i sammenheng med tilsvarende man eventuelt har på andre områder. Muligheter for og nytte av samordning og integrering bør alltid vurderes.

De overordnede føringene dokumenteres som regel i en form for policy for informasjonssikkerhet. Den understøttes av mer detaljerte retningslinjer for hva som skal gjøres og hvordan ting skal fungere.

Digitaliseringsdirektoratets eksempler på styrende dokumenter

Dette veiledningsmateriellet har eksempler på styrende dokumenter med føringer for roller og ansvar, og hvordan forstå, vurdere og håndtere risiko. I tillegg er det et dokument tilgjengelig med eksempler på føringer for øvrige styringsaktiviteter. Eksemplene kan brukes som et utgangspunkt når en virksomhet skal etablere egne føringer.

Det er imidlertid svært viktig at virksomhetene gjør innholdet til sitt eget. Det er viktig det gjennomføres en prosess som sikrer god forståelse og forankring både i virksomhetsledelsen og i organisasjonen for øvrig.

Ved samordning inn mot andre områder, kan våre eksempler justeres og utvides med relevante krav fra disse områdene. Eksemplene på retningslinjer er utformet slik at de kan dekke flere internkontrollområder.

Alternativt kan innholdet i våre eksempler plukkes ut, omstruktureres og legges inn i andre maler eller eksisterende dokumenter. Dette er avhengig av hva virksomheten har fra før, eller hva den ønsker å bruke i en helhetlig tilnærming til styring og kontroll i virksomheten.

Last ned våre eksempler på styrende dokumenter

Digitaliseringsdirektoratet har laget eksempler på følgende styrende dokumenter:

• Notat om virksomhetens rammer
• Policy for informasjonssikkerhet
• Retningslinje for roller og ansvar
• Retningslinje for å forstå, vurdere og håndtere risiko
• Retningslinje for å vurdere behov for risikovurderinger

Disse er tilgjengelig fra samlesiden med maler og eksempler:

2. Fremgangsmåte for utforming av føringer

Arbeidet med de ulike føringene må sees i sammenheng. Det kan være hensiktsmessig å kartlegge virksomhetens rammer før man starter arbeidet med føringene. Dette vil være viktig input til arbeidet med selve føringene.

Det er deretter naturlig å starte med å utforme virksomhetens policy for informasjonssikkerhet. Når den begynner å bli ferdig, kan arbeidet med føringer på andre områder starte.

Det er bedre at utformingen tar noe tid og ressurser, enn at innholdet blir et resultat av tilfeldigheter og blind kopiering av andres arbeid. Føringene skal være et hjelpemiddel for å oppnå ønsket styring og kontroll. De styrende dokumentene er ikke et mål i seg selv. Gode føringer som er forankret i virksomheten, og som de ansatte har forståelse for, sikrer god etterlevelse og tilstrekkelig styring.

2.1 Etablere arbeidsgrupper

Føringer på ulike områder krever ulik arbeidsinnsats og ulik kompetanse. Digitaliseringsdirektoratet anbefaler at det etableres en eller flere arbeidsgrupper for utforming av føringene og de styrende dokumentene.

Deltakerne kan helt eller delvis være andre personer enn de som sitter i en eventuell prosjektgruppe for å etablere styringsaktiviteter på informasjonssikkerhetsområdet. Virksomhetens fagansvarlig informasjonssikkerhet vil normalt være en sentral aktør.

Man må også sikre nødvendig samordning med andre områder for styring og kontroll. Det betyr at fagansvarlige for ulike områder må involveres.

I tillegg er det hensiktsmessig at også nøkkelpersoner med god kjennskap til virksomhetens formål, viktigste oppgaver, eksisterende organisering, styringsstrukturer og dagens styringsaktiviteter både innen informasjonssikkerhet og på andre områder deltar i arbeidsgruppen(e).

I arbeidsgruppen som arbeider med føringer for hvordan virksomheten skal forstå, vurdere og håndtere risiko, bør både linjeledere (risikoeiere), systemeiere og andre nøkkelpersoner i gjennomføring av risikovurderinger være representert.

Arbeidsgruppene bør også representere bredden i virksomheten. Dette har ofte vesentlig betydning for både kvaliteten på sluttresultatet og for forståelse og lojalitet når føringene skal etterleves.

Det er en fordel om flere i arbeidsgruppene har kjennskap til beskrivelsene av styringsaktivitetene i dette veiledningsmateriellet.

2.2 Involvering av organisasjonen

Arbeidsgruppene bør lage utkast, avstemme med virksomhetsledelsen underveis og sikre hensiktsmessig involvering av organisasjonen for øvrig. Det siste kan skje gjennom informasjonsmøter og ulike typer høringer avhengig av virksomhetens egenart. Det er også viktig å involvere arbeidstakerorganisasjonene på en hensiktsmessig og formelt korrekt måte.

Vi anbefaler at man sikrer en god og reell høringsprosess i hele virksomheten for å inkludere de som ikke har fått deltatt i arbeidsgruppene eller referansegrupper. Det kan skje både underveis og mot slutten av arbeidet.

Virksomhetsledelsen må ha eierskap til føringene. De setter svært viktige styringssignal, og er avgjørende for en tilfredsstillende styring av informasjonssikkerheten i virksomheten. Virksomhetsledelsen bør derfor være aktivt involvert i utformingen av føringene. I tillegg er det virksomhetsledelsen som tar de endelige beslutningene til slutt i arbeidet, vedtar de endelige føringene og følger opp etterlevelsen, blant annet i Virksomhetsledelsens gjennomgang.

Bruk av referansegrupper

I deler av arbeidet kan det være nyttig å benytte en eller flere referansegrupper. Toppledergruppen eller representanter derfra kan være en referansegruppe for å få inn styringssignal fra toppen.

Videre kan representanter for de som vil være sentrale i gjennomføringen av risikovurderinger i ulike deler av virksomheten, være en eller flere andre referansegrupper. Størrelse og kompleksitet i virksomheten vil påvirke hva som er hensiktsmessig.

2.3 Beslutning og oppfølging

Det er virksomhetsledelsen som må ta endelig stilling til og vedta føringene. Som en del av beslutningsprosessen må de vurdere hvilke endringer dette eventuelt får for stillinger og organisasjonsstrukturer i virksomheten, herunder hvilke økonomiske og personalmessige konsekvenser det får.

Også her må arbeidstakerorganisasjonene involveres slik lov- og avtaleverk krever.

Dersom nye eller oppdaterte føringer medfører behov for nytilsettinger, funksjonsoppnevninger eller kompetanseheving, må dette iverksettes som en del av oppfølgingen. Det er et ansvar for virksomhetsledelsen eller den de utpeker.

3. Virksomhetens rammebetingelser

Vi anbefaler at virksomheten identifiserer og lager en oversikt over rammebetingelser som kan påvirke arbeidet med styring av informasjonssikkerhet. Dette kan man med fordel gjøre allerede før man starter arbeidet med å analysere status, slik at dette ligger til grunn også for denne analysen.

En slik oversikt er viktig for å utforme føringer som er tilpasset virksomheten, og bidrar til man får en virksomhetstilpasset utforming av styringsaktivitetene. Den er også et viktig grunnlag for å få gode diskusjoner internt. Oversikten vil være nyttig for

• virksomhetsledelsen
• de som arbeider med å utforme utkast til føringer
• avdelinger og seksjoner når de involveres

3.1 Samle og sammenstille fra ulike kilder

I de fleste virksomheter vil mye være identifisert allerede, men ofte være spredd. Dette arbeidet vil derfor ofte i hovedsak innebære å samle og sammenstille informasjon fra ulike interne kilder. Der noe mangler, kan intervju med nøkkelpersoner være nødvendig.

Oversikten bør dokumenteres, for eksempel i form av et notat.

4. Policy for informasjonssikkerhet

En policy for informasjonssikkerhet skal kommunisere det viktigste og danne grunnlaget for mer detaljerte retningslinjer.

Policyen bør nå ut til alle ansatte og gi dem en forståelse av hvorfor informasjonssikkerhet er viktig i og for virksomheten. Den bør også gi grunnleggende kunnskap om virksomhetens mål for informasjonssikkerhet og krav til informasjonssikkerhetsarbeidet i virksomheten.

Mål og krav bør være målbare. Ledelsen kan da se om policyen blir fulgt. Policyen er normalt et offentlig dokument som kan være interessant for eksempelvis innbyggere, næringsliv, samarbeidspartnere og overordnede departement eller kommunestyre.

En policy for informasjonssikkerhet bør være overordnet, tydelig og førende, og samtidig ikke for lang. Noen få sider vil oftest være nok. Det er imidlertid ingen fasit på hvor omfattende policyen skal være og hva den samlet skal inneholde. Ulike virksomheter kan gjøre ulike valg ut fra egne erfaringer, vurderinger og andre føringer i egen virksomhetsstyring.

Det er viktig at den dekker all informasjonsbehandling og ikke bare enkelte deler, som for eksempel personopplysninger.

Vi anbefaler at følgende beskrives i en policy for informasjonssikkerhet:

• Omfang
• Formål med virksomhetens informasjonsbehandling og informasjonssikkerhet
• Mål for informasjonssikkerhet
• Strategi for informasjonssikkerhet, med overordnede krav til virksomhetens arbeid

De enkelte delene er beskrevet nærmere under.

4.1 Omfang

For de fleste virksomheter i offentlig sektor vil omfanget av en policy for informasjonssikkerhet være en variant av:

«Policyen gjelder all informasjonsbehandling internt i virksomheten og som virksomheten har ansvaret for eksternt. Dette omfatter all behandling, lagring og sending av informasjon både muntlig, på papir og digitalt. All bruk av IKT-verktøy er også inkludert.»

Enkelte kan oppleve det som unødvendig å ha et eget punkt i policyen for omfang når all informasjonsbehandling er inkludert. Samtidig kan dette være viktig å si for å skape forståelse hos alle ansatte om at informasjonssikkerhet angår dem alle og deres informasjonsbehandling.

Vi anbefaler derfor at omfanget alltid beskrives, selv om det bare inneholder varianter av setningene over.

4.2 Formål med virksomhetens informasjonsbehandling og informasjonssikkerhet

Informasjonsbehandling har stor betydning for en virksomhets oppgaver og tjenester. Informasjonssikkerhet handler om å sikre denne informasjonsbehandlingen. Virksomheten bør derfor beskrive formålet med informasjonsbehandlingen som utføres, og arbeidet med informasjonssikkerhet bør settes i sammenheng med dette.

En god formålsbeskrivelse vil tydeliggjøre og forankre alt arbeid med informasjon og informasjonssikkerhet opp til virksomhetens overordnede formål og dens oppgaver og tjenester. Dette er avgjørende for at de som arbeider i virksomheten skal forstå betydningen av virksomhetens informasjonsbehandling, og dermed også behovet for informasjonssikkerhet.

4.3 Mål for informasjonssikkerhet

Det bør formuleres et overordnet mål for informasjonssikkerhet i virksomheten. Det bør være en tydelig kobling mellom formålet med virksomhetens informasjonsbehandling og dette overordnede målet for arbeidet med informasjonssikkerhet.

Det bør også utformes delmål for henholdsvis konfidensialitet, integritet og tilgjengelighet på informasjon. Disse delmålene bør være en konkretisering av hva det overordnede målet innebærer. Vi anbefaler at man avgrenser seg til noen få sentrale, lett forståelige og gjenkjennbare mål for hvert av disse tre delområdene.

Man bør være klar over at målene innen delområdene kan komme i konflikt med hverandre. Hovedmålet bør da balansere dette.

Med denne tilnærmingen, vil målene for informasjonssikkerhet ofte bli svært like mellom offentlige virksomheter. Offentlige virksomheter har mange fellestrekk. Målene bør likevel utformes gjennom gode diskusjoner i den enkelte virksomhet. En god prosess gir både bedre forståelse av målene og bedre etterlevelse i det konkrete arbeidet senere.

4.4 Strategi for informasjonssikkerhet

Det bør defineres noen overordnede krav som skal legges til grunn for arbeidet med informasjonssikkerhet. Kravene skal gi tydelige styringssignal på veien mot realisering av de målene man har satt seg. De vil dermed danne grunnlaget for arbeidet med styring av informasjonssikkerhet.

eForvaltningsforskriftens § 15 stiller krav om å basere internkontrollarbeidet på anerkjente standarder. Kravene i policyen bør synligjøre dette. De viktigste hovedelementene som beskrives i dette veiledningsmateriellet bør også være synliggjort i disse kravene. De er basert på den anbefalte standarden NS-ISO/IEC 27001.

Omfanget av krav bør begrenses slik at man i policyen klarer å kommunisere det viktigste. Siden rammevilkårene er ganske like, vil også disse kravene ofte bli ganske like mellom offentlige virksomheter. Variasjonen kan imidlertid bli noe større enn ved målene for informasjonssikkerhet.

Vi anbefaler at man utformer krav på følgende områder:

• Ansvar knyttet til arbeidet med styring av informasjonssikkerhet
• Krav til gjennomføring av styringsaktiviteter
• Krav til ansatte

Vi anbefaler at kravene utformes gjennom gode diskusjoner i den enkelte virksomhet. Fokus bør være på hva som uttrykker de viktigste kravene ut fra virksomhetens ståsted.

5. Føringer for roller og ansvar

For å arbeide effektivt med styring av informasjonssikkerhet, er det viktig å ha klare føringer for hvem som har ansvaret for hva. En rekke organisatoriske enheter og personer rundt om i en virksomhet vil naturlig ha samme type ansvar på tvers av områder. Den mest formåls- og kostnadseffektive løsningen for virksomheten samlet, finner man ved å se de ulike områdene i sammenheng.

Vi anbefaler derfor at man så langt det er mulig utarbeider felles føringer for roller og ansvar for styring av ulike områder i virksomheten. Dersom dette i dag er beskrevet ulikt for ulike områder bør man ta stilling til hvilken form beskrivelsene skal ha og etterstrebe å samkjøre dem.

Fokus bør være på hvilke roller man faktisk trenger, og hva som kan være hensiktsmessig ansvarsfordeling ut fra eksterne og interne krav om hvordan arbeidet skal utføres. Det er viktig å få oversikt over hvordan ansvaret i dag er fordelt, både formelt og uformelt.

Arbeidet med føringer for roller og ansvar bør ta utgangspunkt i notatet man har utarbeidet om virksomhetens rammer. Her bør blant annet eksisterende organisering og relevante regelverkskrav være beskrevet.

5.1 Viktige elementer i føringer for roller og ansvar

Linjen som hovedføring

Ansvaret for sikkerhetsarbeidet i virksomheten bør i hovedsak følge linjen. Ansvaret delegeres og følges opp på samme måte som på andre områder.

De som er ansvarlig for en oppgave eller tjeneste er ansvarlig for resultater, måloppnåelse og hvordan arbeidet gjennomføres på sitt område. De blir da også ansvarlige for å identifisere og håndtere alle typer risikoer som kan hindre eller redusere måloppnåelse, effektivitet og regelverksetterlevelse. Risikoer innen informasjonssikkerhet er en del av dette.

Grunnleggende prinsipper

Alle ansatte har en rolle i en virksomhets sikkerhetsarbeid. Det er vanlig å synligjøre dette gjennom de fire prinsippene

• ansvarsprinsippet
• likhetsprinsippet
• nærhetsprinsippet
• samvirkeprinsippet

Dersom ikke spesielle grunner tilsier noe annet, anbefaler vi at virksomhetene slår fast disse prinsippene som grunnleggende prinsipper.

Spesialfunksjoner

Selv om linjen er en hovedføring i arbeidet med informasjonssikkerhet, vil det alltid være behov for et sett av spesialfunksjoner i sikkerhetsorganisasjonen. Disse bør kobles til konkrete funksjoner eller stillinger i de organisatoriske linjene de skal tilhøre.

Flere funksjoner kan legges til samme person og stilling, og flere stillinger kan samles i samme organisatoriske enhet. Man bør ta stilling til hvordan funksjonene skal organiseres når føringene utformes.

Et forhold man må vurdere spesielt når man vurderer organisatorisk plassering, er om man oppnår tilstrekkelig uavhengighet mellom virksomhetens arbeid med styring av informasjonssikkerhet, og tiltaksleverandører. Eksempelvis om uavhengigheten er god nok mellom fagansvarlig informasjonssikkerhet og IKT-driftsenheten.

Tiltaksleverandører

Vi anbefaler begrepet tiltaksleverandører for de som leverer eller er ansvarlig for ulike typer sikkerhetstiltak i virksomheten.

Alle virksomheter vil ha et sett av felles tiltaksleverandører. Disse er ansvarlig for tiltaksområder som flere risikoeiere og systemeiere benytter eller er avhengig av. Hvilke organisatoriske enheter dette er, bør konkretiseres i føringene.

I tillegg bør det i retningslinjen presiseres at både risikoeiere og systemeiere for fellessystem kan være tiltaksleverandører for egne ansvarsområder og system.

Samarbeidsforumer

I en sikkerhetsorganisasjon vil det også være behov for et sett av samarbeids- og beslutningsforumer på tvers av virksomheten.

Vi anbefaler at man så langt det er hensiktsmessig benytter de samme forumene som man har for andre områder. Dette understøtter de grunnleggende prinsippene. I tillegg kan det være behov for forumer eller grupper spesielt rettet mot arbeidet med informasjonssikkerhet.

5.2 Dokumentasjon av føringene for roller og ansvar

Vi anbefaler at beskrivelsen av roller og ansvar i virksomheten samles i én retningslinje. Konkrete oppgaver for de enkelte aktørene kan være beskrevet i andre retningslinjer, dokumenter og delegeringer, som for eksempel:

• Retningslinje: Internkontroll (for alle områder og/eller for spesifikke områder som informasjonssikkerhet, HMS og lignende)
• Stillings- eller funksjonsinstrukser i virksomheter som benytter slike
• Delegering gjennom linjen

6. Føringer for hvordan man forstår, vurderer og håndterer risiko

For at en virksomhet skal kunne jobbe effektivt med vurdering og håndtering av risiko, blant annet på informasjonssikkerhetsområdet, må det etableres en rimelig felles forståelse av hva risiko er og hvordan det skal beskrives. Det bør også være føringer for hvordan man skal prioritere arbeidet, planlegge og gjennomføre risikovurderinger, håndtere risiko, og kriterier for å akseptere risiko.

Føringene kan avgrenses til informasjonssikkerhet. Vår anbefaling er imidlertid at virksomhetene forsøker å utforme dem slik at de omfatter flest mulig områder og typer risikoer i virksomheten. Felles føringer for alle/flere områder gir mer helhet i virksomhetens risikostyring og det samlede arbeidet med styring og kontroll.

Det er viktig at de som deltar i å utforme disse føringene har god forståelse for ledelsens prioriteringer og hvilke konsekvenser brudd på konfidensialitet, integritet og tilgjengelighet kan få, med hensyn til avvik fra mål, brudd på lover og regler og manglende effektivitet. De bør også kjenne eventuelle lignende risikomatriser og styringssignal fra virksomhetsstyringen generelt, eller fra andre internkontrollområder i virksomheten.

6.1 Risikoforståelse – hva risiko er og hvordan det skal beskrives

En felles forståelse av risiko på informasjonssikkerhetsområdet vil gjøre risikostyringen på tvers av virksomheten mer samordnet og helhetlig.

I det generelle arbeidet med styring av informasjonssikkerhet anbefaler vi at man i føringene fokuserer på operasjonell risiko, der hendelser, informasjonssikkerhetsbrudd og konsekvenser ligger innenfor virksomhetens kontroll. Det er viktig å stille seg følgende spørsmål:

• Hvilken betydning har oppgavene og tjenestene virksomheten har ansvaret for?
• Hvilken betydning har informasjonsbehandling for disse oppgavene og tjenestene?
• Hva kan konsekvensene bli ved informasjonssikkerhetsbrudd i oppgaver og tjenester?

Dette bør ligge til grunn for føringene for hvordan risiko skal forstås. Føringene bør derfor klargjøre hva risiko betyr i virksomheten, som minimum for informasjonssikkerhet, og gjerne for styring og kontroll generelt.

Føringene bør også si noe om hvordan risiko på informasjonssikkerhetsområdet skal beskrives, og hvilke elementer som skal være med i beskrivelsene.

Det er hensiktsmessig at risikoforståelsen og føringene for å beskrive risiko i så stor grad som mulig er samkjørt på tvers av ulike områder i virksomheten. Det vil gjøre vurderingene av risiko på ulike områder mer sammenlignbare, noe som vil gjøre det lettere for virksomhetsledelsen å prioritere arbeidet på ulike områder.

6.2 Ha oversikt over et ansvarsområde

Risikoeiers ansvar for å ha oversikt over eget ansvarsområde bør være beskrevet i føringene for roller og ansvar. Føringene for hvordan risiko skal forstås og vurderes bør inneholde mer detaljerte beskrivelser av hva dette innebærer. Man bør si noe om hva risikoeier skal gjøre for å:

• gjennomføre en foranalyse av eget ansvarsområde, det vil si å kartlegge
  • oppgaver og tjenester, og informasjonsbehandlingen i disse
  • høyeste konsekvensnivå for oppgaver, tjenester og systemer
  • trusler, farer og sårbarheter
• gruppere eller dele opp eget ansvarsområde for å bedre kunne prioritere det videre arbeidet med informasjonssikkerhet
• vurdere behov for grundigere vurdering og håndtering av risiko, inkludert støttespørsmål og vurderingskriterier som skal benyttes

6.3 Planlegging og gjennomføring av risikovurderinger

For å sikre at risiko innen informasjonssikkerhetsområdet vurderes på en enhetlig måte på tvers av virksomheten, bør man ha gode føringer for hvilken grunnleggende metode som skal brukes. Vi anbefaler at metoden som minimum innebærer å identifisere, analysere og evaluere risiko.

I tillegg bør det utarbeides

• konsekvenskategorier
• beskrivelser av konsekvensnivåer
• beskrivelser av sannsynlighetsnivå, og annen støtte for å estimere sannsynlighet
• beskrivelser av risikonivåer

Føringene må beskrive hvilke kombinasjoner av konsekvens og sannsynlighet som gir hvilke risikonivå. Vi anbefaler at man legger opp til at det skal være rimelig proporsjonalitet mellom nivåene på konsekvens og sannsynlighet. Man vil da få en forholdsmessighet i nivåene på risiko. Vi mener det gir det beste grunnlaget for å styre risiko på informasjonssikkerhetsområdet.

Vi anbefaler også at man benytter de samme nivånavnene for både konsekvens, sannsynlighet og risiko. I våre eksempler benyttes Svært høy, Høy, Moderat og Lav. Hver enkelt virksomhet bør velge nivånavn som er hensiktsmessig for dem.

Man bør klargjøre hva de ulike nivåene av konsekvens og sannsynlighet betyr. En felles normering av dette på tvers av virksomheten understøtter like vurderinger uavhengig av hvor i virksomheten vurderingen gjennomføres, og hvem som er ansvarlig.

Konsekvenskategorier og beskrivelser av konsekvensnivåer

Virksomheten bør først ta stilling til hvilke konsekvenskategorier som bør ha betydning, hvor mange nivåer som skal benyttes, og hvordan grenseverdiene skal settes. For å få en effektiv risikostyring bør ikke omfanget av kategorier bli for stort.

Vi anbefaler at man forsøker å beskrive grenseverdier mellom de ulike nivåene. Det gjør det enklere å estimere riktig nivå. Beskrivelsen av hva konsekvensnivåene faktisk betyr, bør være konsistent på tvers av kategoriene. Man bør systematisk se disse i sammenheng når utkast til grenseverdier utarbeides.

I ulike deler av virksomheten kan det være behov for mer detaljering eller konkretisering for spesielle områder. Det kan derfor også være relevant å gi føringer for hvilket handlingsrom lokale enheter har til å ytterligere konkretisere grenseverdiene.

Beskrivelser av sannsynlighetsnivåer

For å sikre ensartede vurderinger av ulike typer hendelser og informasjonssikkerhetsbrudd på tvers av virksomheten anbefaler vi at følgende elementer sees i sammenheng ved estimeringen av sannsynlighetsnivå:

• forventet/trolig hyppighet
• trusselaktørers intensjon og kapasitet
• virksomhetens sårbarhet

Beskrivelsene av sannsynlighetsnivåer må derfor inneholde grenseverdier og kriterier for alle disse områdene.

Helhetlig utforming og avstemming

Som hjelp til å utforme skalaer for sannsynlighet og konsekvens som står godt i forhold til hverandre, og er avstemt med hvilket risikonivå de sammen skal uttrykke, anbefaler vi at følgende utformes i sammenheng

• Skala for sannsynlighetsnivå (særlig hyppighet)
• Grenseverdier på konsekvensnivå
• Risikonivå med tilhørende kriterier for å akseptere risiko

Figuren under illustrerer hvordan dette kan sees i sammenheng. En slik tabell gir mulighet til å ha oversikt over flere faktorer samtidig.

Risikomatriser

Risikomatriser er en forenklet måte å uttrykke risiko på som er rimelig enkel å bruke, lett å forstå, lett å kommunisere og enkel å styre etter. Det er viktig at man ikke styrer etter matriseverdier alene. Disse sier noe om hvilket nivå man er på, og hvor man kan komme etter at eventuelle risikoreduserende tiltak er iverksatt.

Risikomatrisene skal primært brukes som støtte for å forstå og følge opp

• virksomhetsledelsens føringer for hvordan risikoer på ulike nivå skal håndteres

• virksomhetsledelsens kriterier for å akseptere risikoer på ulikt nivå

For å få tilstrekkelig innsikt vil både beslutningstaker og andre i en del tilfeller også ha behov for å se nærmere på de konkrete vurderingene som ligger bak nivåestimatene. Det er derfor viktig at det stilles krav til ytterligere dokumentasjon og begrunnelse etter gjennomføringen av en risikovurdering.

6.4 Håndtering av risiko

Formålet med risikovurderinger er å få et beslutningsgrunnlag for håndtering av risiko. Det bør utformes noen førende prinsipper for risikoaksept og risikohåndtering. Dette er sentrale temaer som virksomhetsledelsen bør være involvert i utformingen av. Arbeid med dette kan gi både viktig forståelse og klare prioriteringer.

Kriterier for å akseptere risiko

Prinsippene for håndtering av risiko og risikoaksept vil ha betydning for utformingen av kriterier for å akseptere risiko.

Kriteriene for å akseptere risiko bør knyttes opp til tema som:

• Hvilken innsats som skal settes inn på å finne realistiske risikoreduserende tiltak
• I hvilken grad tiltak er valgt i samsvar med de førende prinsippene fra virksomhetsledelsen
• I hvilken grad valgte tiltak er planlagt eller gjennomført
• I hvilken grad aktiviteten som medfører risikoen er nødvendig for virksomhetens primære måloppnåelse
• I hvilken grad det finnes alternative arbeidsmåter og hjelpemidler med lavere risiko
• Hvem i virksomheten som kan akseptere restrisikoer på ulike nivå

Ved å ha ulik gradering på disse temaene for hvert risikonivå, får man kriterier som er dynamiske og tilpasset risikobasert styring.

Eksempelvis kan kriteriene innebære at kun virksomhetsleder kan akseptere «svært høye» restrisikoer. Det bør medføre at man får en grundig vurdering av de andre kravene nevnt, for eventuelt å finne tiltak som om mulig og forsvarlig kan redusere risikoene.

Tilsvarende kan kriteriesettet innebære at kun virksomhetens nivå 2-ledere kan akseptere «høye» restrisikoer, samtidig som de øvrige kravene blir noe mildere. På denne måten får man en balanse mellom faktorene nevnt i kulepunktene foran. Samtidig får relevant ledernivå muligheten til å vurdere hvor kritisk den aktuelle aktiviteten faktisk er for virksomheten, sett opp mot den risiko den representerer.

6.5 Dokumentasjon av føringene for å forstå, vurdere og håndtere risiko

Føringene bør dokumenteres i en eller flere retningslinjer. Hvordan det eventuelt bør deles opp må vurderes fra virksomhet til virksomhet. I Digitaliseringsdirektoratets eksempler er føringene fordelt på to retningslinjer:

• Retningslinje for å forstå, vurdere og håndtere risiko
• Retningslinje for å vurdere behov for risikovurderinger

7. Føringer for øvrige styringsaktiviteter

Den enkelte virksomhet må vurdere behovet for mer detaljerte føringer også for de øvrige styringsaktivitetene:

• Overvåking og hendelseshåndtering
• Måling, evaluering og revisjon
• Kompetanse- og kulturutvikling
• Kommunikasjon

Det er i mange tilfeller særlig hensiktsmessig med føringer for hvordan risikoeiere skal gjennomføre aktiviteten Vurdere status på eget ansvarsområde under Måling, evaluering og revisjon.

Eksempler på hvordan føringer på dette og andre områder kan utformes kan finnes i eksemplet Aktiviteter og ansvar for informasjonssikkerhetsområdet:

Det kan også være hensiktsmessig at føringene dokumenteres på andre måter enn i retningslinjer. For eksempel kan føringer for overvåking ligge i beskrivelser og avtaler knyttet til spesifikke sikkerhetstiltak. Føringer for hendelseshåndtering vil gjerne være beskrevet i systemet for hendelses- og avvikshåndtering.