Smart City Lab - Informationsklassning
Informationsklassning är en central del av en organisations systematiska informationssäkerhetsarbete. Genom informationsklassning skyddar man sin information utifrån krav på konfidentialitet, riktighet och tillgänglighet.
Genom informationsklassningen värderar man sina data/informationsmängder utifrån interna och externa krav från exempelvis EU-lagstiftning, nationell lagstiftning och interna policies som gäller för informationsmängden. Härmed kan man kategorisera informationsmängder i olika konsekvensnivåer. Och för varje konsekvensnivå kan man vidta passande säkerhetsåtgärder och i en upphandlingssituation ställa rätt krav på sina leverantörer.
Man kan se informationsklassningen som en risk- och konsekvensbedömning för data utifrån konfidentialitet (det kan få omfattande konsekvenser om personuppgifter eller data om kritisk infrastruktur hamnar fel), riktighet (inkorrekta data kan leda till fel beslut) och tillgänglighet (uteblivna data kan få ekonomiska konsekvenser för en tjänsteleverantör).
För alla informationsmängder man delar internt eller externt bör man göra en informationsklassning. Det är den relevanta informationsägaren som ansvarar för att det genomföras informationsklassning.
Ibland förenklar man när man delar öppna data genom att göra en informell informationsklassning på ett möte som inte dokumenteras tillräckligt bra. Det kan fungera på ad hoc-basis vid små mängder harmlösa data som kanske främst nyttjas av medborgare eller journalister, men vid stora mängder data (exempelvis IoT-data) som dessutom kan vara känsliga och som kanske ska återanvändas i andra lösningar, då måste man jobba betydligt mer strukturerat med informationsklassningen.
Organisationen bör jobba med ett verktyg för informationsklassning för att underlätta processen och där beslut om konfidentialitet, riktighet och tillgänglighet dokumenteras. SKR har tagit fram verktyget KLASSA som används av många kommuner, men det är inte ovanligt att kommuner använder sig av andra och ibland egenproducerade verktyg. Dessutom används ofta olika verktyg på olika platser i kommunen vilket på sikt kan försvåra arbetet.
- Alla data/informationsmängder som delas internt eller externt ska ha en utpekat informationsägare.
- Alla data/informationsmängder bör informationsklassa på ett strukturerat sätt där besluten dokumenteras - det gäller även för öppna data.
- Men kan med fördel använda sig av beprövade verktyg för informationsklassning som exempelvis SKR:s KLASSA-verktyg.
Länkar till relaterad information
Här nedan hittar du länkar till bra infomationsklassning:
SKR:s KLASSA-verktyg är ett konkret verktyg för informationsklassning som används i många kommuner.
För informationsklassning av IoT-data kan man få ytterligare stöd genom vägledningen KLASSA för IoT.
Informationssäkerhet.se är en gemensam satsning från flera myndigheter inkl Myndigheten för samhällsskydd och beredskap (MSB). Här finns omfattande information och stödmaterial inom informationssäkerhet.