1

Klassning av informationstillgångar

Denna vägledning ger stöd i arbetet med att klassa organisationens

informationstillgångar. Klassningen ska baseras på er organisations

klassningsmodell, som ni skapat med stöd av metodstödets del Utforma

klassningsmodell.

Kort om klassning av informationstillgångar Att klassa informationstillgångar innebär att ni genom konsekvensanalyser

identifierar skyddsbehov för organisationens information och resurser som hanterar

information. Klassningen görs utifrån interna och externa krav på konfidentialitet,

riktighet och tillgänglighet i enlighet med den organisationsövergripande

klassningsmodellen (se Utforma Klassningsmodell).

Genom att klassa informationstillgångar i olika nivåer utifrån de konsekvenser som

otillräckligt skydd kan medföra kan ni identifiera känslig och kritisk information, och

därefter vidta åtgärder för att uppnå tillräckligt skydd. Ni kan även undvika att

information får onödigt överskydd med höga kostnader som följd.

Klassning av informationstillgångar har två syften 1) att förstå och fastställa

skyddsbehovet för information och resurser och för att 2) öka medvetenheten om

vilka negativa konsekvenser som kan drabba er organisation om konfidentialitet,

riktighet och tillgänglighet försämras.

Genomförda analyser och klassningsmodellen är ingångsvärden Ingångsvärden till er klassning är resultaten från arbeten som ni har gjort i faserna

Analysera och Identifiera och Utforma. Särskilt viktiga ingångsvärden är:

Kritiska informationstillgångar och interna krav från Analysera

Verksamhet

2

Rättsliga krav och andra externa krav från Analysera Omvärld

Organisationens gemensamma klassningsmodell från Utforma

Klassningsmodell

Styrdokument som rör klassning Utforma Styrdokument

Roller och ansvar för informationssäkerhet i Utforma Organisation

Vad som ska klassas Det som ska klassas är alltså informationstillgångar, utgörande av både information

och de resurser som hanterar informationen. Ofta är dessa itIT-resurser av olika slag,

som till exempeldatorer, it-system och databaser. Utgångspunkten vid klassning är

dock informationen, som bör ses som de primära informationstillgångarna, medan IT

och andra resurser är sekundära informationstillgångar.

De informationstillgångar som ni ska klassa vid ett specifikt tillfälle kallas

klassningsobjekt. Ett klassningsobjekt bör utgöras av en meningsfull del i

organisationen där information finns och hanteras, exempelvis en enhet eller

avdelning, en process, en tjänst, eller ett it-system.

Ett klassningsobjekt kan innefatta endast information, eller information och resurser,

som exempelvis informationen i ett ekonomisystem.

En informationstyp är ett visst slag av information. En informationstyp kan finnas

lokalt i en verksamhet eller vara spridd över hela organisationen, som exempelvis

personuppgifter. Informationstyper som finns på många ställen i er organisation kan

gärna klassas centralt, för att undvika att olika verksamheter klassar samma

informationstyp på olika sätt (se Roller och ansvar nedan).

En informationsmängd är en gruppering av information, exempelvis i form av

dokument, en databas eller liknande, som innehåller flera informationstyper. Ett

klassningsobjekt innehåller normalt ett flertal informationsmängder.

3

Ni kan välja på vilken detaljeringsnivå ni väljer att klassa. Bilden ovan beskriver

nivåerna.

Särskilt om klassning och säkerhetsskyddslagen

Säkerhetsskyddsklassificerade uppgifter som rör säkerhetskänslig verksamhet i

enlighet med säkerhetsskyddslagstiftningen ska klassas i fyra säkerhetsskyddsklasser.

Om ni identifierar information som misstänks vara säkerhetsskyddsklassificerade

uppgifter bör ni kontakta organisationens säkerhetsskyddschef.

4

När klassning ska ske Klassning av informationstillgångar bör vara en kontinuerlig process som är en del av

det systematiska informationssäkerhetsarbetet. Lämpligt är därför att klassning

genomförs eller ses över årligen som en del av organisationens årshjul för

informationssäkerhetsarbete.

Vid utveckling, större förändringar eller anskaffning av nya it-system eller andra

resurser bör klassning ske initialt så att resultatet kan användas som en naturlig del i

kravställningen.

Att börja med Om er organisation inte tidigare har arbetat med klassning så står ni inför valet av

vad som ska klassas först. Rekommendationen är då att ni gör en prioritering av

verksamheter som resulterar i en övergripande plan för klassningar. Kritiska

verksamheter bör prioriteras, det vill säga, de som är fundamentala för att

organisationens ska kunna bedriva sin verksamhet, och där brister i konfidentialitet,

riktighet och tillgänglighet (KRT) kan innebära allvarliga konsekvenser. Som grund

för detta kan ni använda den förteckning över informationstillgångar som tagits fram

i Analysera Verksamhet.

Den första klassningen kan lämpligen ske i form av ett pilotprojekt. Då kan

klassningsmodellen och arbetssättet för klassningen prövas, och arbetet blir lärande

och kan användas som referens till den övriga organisationen. Kriterier för val av

pilot är att den bör vara en kritisk verksamhet enligt ovan, men också att

verksamheten är intresserad och att den inte är för komplex. Risken är annars att

arbetet fastnar i pilotprojektet och att man inte kommer vidare.

Det kan också vara lämpligt att tidigt klassa organisationsövergripande

informationstyper, som till exempelkänsliga personuppgifter. Dessa bör klassas på en

central nivå och inte av en lokal verksamhet (se nedan Roller och ansvar).

5

Roller och ansvar Ansvaret för informationssäkerhet ligger på verksamhetsansvariga och innefattar att

ställa rätt krav på informationssäkerhet (se Utforma Organisation). Klassning av

informationstillgångar är ett viktigt stöd för verksamheter att kunna ställa rätt krav.

Verksamhetsansvariga, i form av linjechefer, processägare, projektägare eller

informationsägare samt systemägare om sådana är utsedda, ansvarar för sin

information och för at den har tillräckligt skydd. Verksamhetsansvarigas ansvar och

rutiner för klassning bör tydligt regleras i era styrdokument för informationssäkerhet

(se Utforma Styrdokument).

Som CISO är din roll att driva, stödja och hålla samman arbetet med klassning. Du

bör ha en aktiv roll initialt, och är kanske den som leder inledande workshops,

exempelvis i en eller flera piloter (se ovan). Efterhand kan vägledningar och

lathundar tas fram som möjliggör att verksamheter själva kan genomföra

klassningar.

När klassningar har kommit igång i er organisation bör ni hålla ordning på vad som

klassats och hur. Ni bör därför skapa rutiner för att godkänna/besluta och att

dokumentera klassade informationstillgångar i en förteckning (se exempel i Figur 1).

Vissa informationstillgångar bör som nämnts tidigare klassas centralt medan andra

bör klassas lokalt i olika verksamheter. De lokala verksamheterna bör kunna se om

och hur informationstillgångar är klassade på andra håll i organisationen i syfte att

nå en enhetlig klassning. De klassningar som görs lokalt bör godkännas på en central

nivå.

Beslutade klassade

informations-tillgångar

Beslut

Klassade informations-tillgångar

Info om klassade informations-tillgångar

Lokal klassning

Centralt klassnings-arbete

Beslut

Klassade informations-tillgångar

Underhåll

6

Figur 1: Central och lokal klassning.

Den centrala klassningen av organisationsövergripande informationstillgångar och

godkännande/beslut av lokala klassningar kan göras av ett informationssäkerhetsråd

eller motsvarande (se Utforma Organisation).

Centralt i organisationen kan ni låta en nivå vara förvald för de informations-

tillgångar som (ännu) inte är klassade (till exempelklassningsprofilen K1-R1-T1, se

avsnittet Klassa information nedan). Ifall ni gör så krävs det en aktiv klassning för att

inte erhålla ett grundskydd. Exempelvis kan till synes öppen information (K-0) först

kräva ett aktivt beslut för att publiceras offentligt. Organisationens rutiner för

publicering och utlämning av offentlig handling och extern kommunikation ska alltid

följas. Om informationstillgångar ska delas med andra organisationer, kan det vara

en fördel om de ingående verksamheterna har samsyn när det gäller klassning och

klassningsmodell.

Arbetssätt vid klassning

I det här avsnittet beskrivs ett arbetssätt som ni kan använda i er organisation.

Processflödet illustreras i Figur 2. Arbetet bedrivs i workshopform, och kan antingen

handla om klassning av informationstillgångar i lokala verksamheter eller på central

organisationsövergripande nivå. Arbetssättet utgår från att det i organisationen finns

en beslutad klassningsmodell.

Figur 2: Ett processflöde för klassning.

Följande avsnitt ger vägledning för respektive aktivitet i processen.

4. Klassa information

2. Förbered workshop

5. Klassa systemstöd

3. Inventera information

1. Definiera klassnings-objekt

6. Dokumentera

Workshop

7

1. Definiera klassningsobjekt Klassningsobjektet är det som är föremål för klassning vid ett visst tillfälle. Ett

klassningsobjekt bör utgöras av en meningsfull del i organisationen där information

finns och hanteras, exempelvis en enhet eller avdelning, en process, en tjänst, eller ett

it-system. Det kan exempelvis vara ett lokalkontor, en bygglovsprocess i en kommun,

en tentamen på ett universitet, en upphandlingsprocess eller en

tillverkningsavdelning. Klassningsobjektet kan också vara en viss informationstyp,

som exempelvis känsliga personuppgifter, vilken om den är

organisationsövergripande, med fördel kan klassas på central nivå.

Det är viktigt att tydligt definiera och avgränsa vad som ska inrymmas i klassningen,

så att det inte råder oklarheter om detta. Det bör vara helt klart var

klassningsobjektet börjar och var det slutar för att kunna avgöra vad som ingår och

vad som är input och output.

2. Förbered Workshop

När klassningsobjektet är definierat ska själva workshopen förberedas. Beroende på

omfattning och komplexitet hos klassningsobjektet kan klassningen ta olika lång tid,

från ett par timmar till flera dagar.

Genom att förbereda workshopen noga så kan arbetet starta direkt och tid behöver

inte läggas på att informera om klassning i stort och hur workshopen ska genomföras.

Ni bör därför informera deltagare i god tid om vad som ska göras, vad klassningen i

stort går ut på, hur klassningsobjektet är definierat och vad som förväntar sig av

respektive deltagare. De kan behöva ta del av, läsa på eller leta rätt på dokumentation

av tidigare klassningar eller analyser, informationsinventeringar,

processbeskrivningar, rättsliga krav, systemdokumentationer och liknande. Den som

ansvarar för verksamheten som ska klassas, det vill säga, klassningsobjektet, bör stå

som avsändare av inbjudan.

8

Det är viktigt att workshopen genomförs av rätt deltagare. Det finns fyra typer av

specifika kompetenser som behövs vid klassningen:

1. Workshopledare med kunskap om modell och arbetssätt för klassning av

informationstillgångar och även om informationssäkerhet generellt. Initialt är det

lämpligen CISO som har denna roll. Workshopledaren kan gärna assisteras av en

sekreterare som för anteckningar.

2. Chefer, vilka är ansvariga för det aktuella klassningsobjektet och deras

medarbetare– de deltagande verksamhetsexperterna bör tillsammans besitta

kunskap om vilken information som finns i klassningsobjektet och vilka

konsekvenser som brister i konfidentialitet, riktighet och tillgänglighet (KRT) kan

innebära.

3. Jurister eller andra personer med kunskap om rättsliga krav på klassningsobjektet

4. Om klassningsobjektet innefattar IT-stöd bör systemförvaltare,

förvaltningsledare, it-personal eller andra roller som har kunskap om IT-stödet

medverka.

Andra funktioner och kompetenser som kan behöva delta är representanter från

liknande verksamheter där klassning skett tidigare, externa leverantörer för aktuellt

IT-stöd och representanter för funktioner som har nära samverkan eller

systemintegrationer med klassningsobjektet.

3. Inventera information Det första steget i workshopen är att inventera informationen i klassningsobjektet

och att dela upp informationen i meningsfulla mängder. Ibland kan det vara svårt att

veta vilken detaljeringsgrad man behöver ha när man definierar

informationsmängder. Grundregeln är då att det som ska utgöra en

informationsmängd är den minsta sammansatta grupperingen av information som

hanteras i klassningsobjektet.

Exempel: Om ett system skapar en PDF-fil med ett visst innehåll, som aldrig delas

upp i mindre informationsmängder, så kan PDF-filen betraktas som en

informationsmängd.

9

För att underlätta inventeringen kan man också tänka i termer av var

organisationens, verksamhetens eller ett it-systems information hanteras, till

exempel i form av input, bearbetning, lagring och output.

Informationen i klassningsobjektet kan vara i digital form i it-system, i pappersform

eller endast i muntlig form. Ofta kan samma informationsmängd anta en eller flera

former, exempelvis kan en Word-fil skrivas ut, och informationen kan läsas av och

kommuniceras muntligt.

Om det redan finns inventeringar och kartläggningar är det naturligtvis bra att ni

utnyttjar dessa. Det går även att använda skriftligt stöd under workshopen, till

exempel MSB:s och Riksarkivets ”Vägledning för processorienterad

informationskartläggning”.

Skriv in den inventerade informationen i kolumnerna Informationsmängd och

Beskrivning/innehåll i metodstödets tillhörande Verktyg Använda

informationsklassning.

4. Klassa information Att klassa informationsmängder innebär att man gör en konsekvensbedömning för

vad som kan hända om informationens konfidentialitet, riktighet och tillgänglighet

inte upprätthålls i den utsträckning verksamheten behöver. Exempel på frågor ni kan

ställa er:

Konfidentialitet: Vad kan konsekvenserna bli ifall informationen läcker ut

till obehöriga?

Riktighet: Vad kan konsekvenserna bli ifall informationen är felaktig eller

inaktuell?

Tillgänglighet: Vad kan konsekvenserna bli ifall någon (som är behörig) inte

får tillgång till informationen?

Använd er specifikation av de olika konsekvensnivåerna som ni angivit i er

klassningsmodell som stöd vid konsekvensbedömningen. Se utifrån samtliga

konsekvenskategorier ni beslutat att använda er av.

10

Inventera nu externa och interna krav för varje inventerad informationsmängd.

Ibland kan man härleda en del av konsekvensbedömningen till specifika interna

och/eller externa krav. Det kan vara exempelvis lagar, föreskrifter, avtal, kundkrav,

krav i produktionskedjan och liknande. Kraven kan gälla endast för den specifika

informationsmängden, för hela klassningsobjektet, eller hela organisationen. Därför

är det vanligt att ett och samma krav återkommer för olika informationsmängder.

Kontrollera också om informationsmängder innehåller informationstyper som redan

är klassade centralt eller på andra håll i organisationen.

Skriv in de interna och externa kraven under respektive kolumn för varje

informationsmängd. För detta kan ni med fördel använda metodstödets tillhörande

Verktyg Använda Informationsklassning.

När ni klassar informationsmängder får de en viss klassningsprofil. En viss

informationsmängd kan exempelvis vara känslig när det gäller konfidentialitet och

riktighet men mindre kritisk när det tillgänglighet. En sådan informationsmängd kan

då få klassningsprofilen K2-R2-T1. Klassningen av varje informationsmängd för varje

aspekt kan anges i respektive kolumn i Verktyg Använda

Informationsklassning.

5. Klassa systemstöd Om klassningsobjektet innehåller ett eller flera it-system eller annat stöd så kan

dessa klassas utifrån hur den ingående informationen klassats. Grunden är att it-

system lägst kan klassas som de ingående informationsmängdernas högsta klassning.

Stöd för detta ges under fliken Systemöversikt i Verktyg Använda

Informationsklassning. Den klassade informationen i fliken

Informationsklassning genererar då automatiskt en klassning för systemet. Ni bör

dock tänka på att ett system kan behöva klassas högre än den ingående

informationen. Orsaker till det kan vara om:

Stora mängder information lagras i systemet (ackumulering).

Flera olika informationsmängder när de sammanförs skapar känslig

information (aggregering).

Systemet är integrerat med andra system av högre klass.

11

Vid klassning av it-system måste deltagare medverka som har kunskap om it-

systemet, både från verksamhetens sida och från IT-verksamhetens sida (som kan

vara intern eller extern). Om ni i organisationen har en förvaltningsorganisation så

ska dessa roller vara utsedda för de aktuella systemen.

I vissa fall kan ett och samma systemstöd användas av många verksamheter i

organisationen, som exempelvis ett ärendehanteringssystem. Då bör ni prioritera

klassning i de verksamheter som ni tror har mest skyddsvärd information och klassa

systemet därefter.

6. Dokumentera Resultatet av klassning kan med fördel dokumenteras under workshopens gång.

Därför kan det vara bra att ni har en utsedd sekreterare under arbetet.

Dokumentationen kan göras i Verktyg Använda Informationsklassning eller i

andra program eller verktyg. Klassning av system bör dokumenteras i de eventuella

rutiner ni har sedan tidigare i organisationen för systemdokumentation eller

systemförvaltning.

Med detta steg är själva arbetet klart med klassningen av ett specifikt

klassningsobjekt. I nästa avsnitt ges vägledning för hur resultatet på olika sätt kan

användas.

Användning av klassningsresultatet Resultatet av en klassning är likställt med dess syfte: en förståelse för och

fastställande av skyddsbehovet hos informationstillgångar och en ökad medvetenhet

om vilka negativa konsekvenser som kan inträffa om konfidentialitet, riktighet och

tillgänglighet försämras. De som medverkar i arbetet med klassningen får en ökad

insikt om informationstillgångars värde och vilka konsekvenser det innebär ifall

informationen i fråga skulle läcka ut till obehöriga, förändras utom kontroll eller vara

otillgängliga. Denna insikt är i sig en bra grund för att öka informationssäkerheten i

en verksamhet där klassningen genomförts. En lyckad klassning i en verksamhet, till

exempel i form av en pilot, kan också fungera som ett föredömligt exempel för er

övriga organisation.

12

Krav på säkerhetsåtgärder De skyddsbehov som framkommit vid klassning av informationstillgångar ska

kommuniceras till de roller som på olika sätt behandlar informationen och/eller

resurserna som hanterar informationen. Det innefattar användare och andra roller i

den specifika verksamheten, andra funktioner i organisationen som till exempel it-

avdelning, och externa aktörer som hanterar informationen eller levererar system och

andra It-resurser.

Administrativa, tekniska och fysiska säkerhetsåtgärder ska finnas på plats för att

uppfylla de skyddsbehov som finns för informationstillgångarna. Vilka

säkerhetsåtgärder som krävs för informationstillgångar i de olika klasserna kan ni i er

organisation ange i klassningsmodellen (se Utforma Klassningsmodell). Detta

bör vara reglerat i era styrdokument för informationssäkerhet, som gärna kan vara

målgruppsindelade (se Utforma Styrdokument).

På detta sätt blir det tydligt för olika roller i organisationen vilka krav som ställs

utifrån hur information och resurser är klassade.

Varje klassningsobjekt kan dock ha specifika förutsättningar för det sammanhang

som just den informationen eller det systemet används i. Vissa verksamhetsspecifika

säkerhetsåtgärder, som till exempelvissa rutiner, kan behöva införas eftersom

organisationsövergripande säkerhetsåtgärder kan vara av alltför allmän karaktär. Ni

kan här behöva göra ta stöd av en lokal riskanalys, där ni avgör om säkerhets-

åtgärderna kopplade till klassningsmodellen är tillämpliga, tillräckliga eller t.o.m.

överflödiga (till exempelför att exponeringen är låg eller för att de täcks av andra

säkerhetsåtgärder i den specifika miljön).

Säkerhetsåtgärder hos andra funktioner i organisationen Att införa säkerhetsåtgärder ligger till stor del hos olika stödfunktioner i

organisationen, exempelvis personalavdelning (till exempel bakgrundskontroller vid

nyanställning) och fastighetsavdelning (till exempel fysiska behörigheter). Många

säkerhetsåtgärder ska självklart införas av den interna it-driften, om en sådan finns.

13

Det handlar då om säkerhetsåtgärder som exempelvis säkerhetskopiering, kryptering

och stark autentisering för att motsvara skyddsbehovet för klassade it-system.

Om er organisation har en övergripande it-infrastruktur så stödjer denna normalt

alla it-system, oavsett hur dessa är klassade. It-infrastrukturen, inklusive nätverk,

datarum m.m., som är gemensam för organisationen, måste därför ha en

säkerhetsnivå som är tillräcklig för de högsta klasserna som förekommer i

organisationen.

Krav på externa aktörer

Krav mot externa leverantörer bör ni styra genom att koppla säkerhetsåtgärder till

upphandlingar och krav som ställs vid samverkan av olika slag som till exempel

gemensamma projekt. Ni kan med fördel skapa en kravkatalog där ni samlar de

säkerhetskrav som på motsvarande sätt är kopplade till klassningsmodellen. Denna

kan ni sedan använda vid upphandling och/eller inköp av it-relaterade produkter och

tjänster. Här är det viktigt att samverka med upphandlings- eller inköpsavdelningen

för att skapa rutiner eller en process för detta.