Kravene omfatter blant annet at virksomheten skal ha:
- definerte sikkerhetsmål
- sikkerhetsstrategi
- gjennomført risikovurdering
- organisasjonskart som beskriver ansvar og myndighet i forhold til informasjonssikkerhet og drift
- beskrivelse av informasjonssystemet
Forklaring av begreper
Her følger en kort omtale av begreper som blir benyttet i arbeidet med informasjonssikkerhet.
Sikkerhetsmål:
Sikkerhetsmålene omfatter ledelsens beslutninger om hva informasjonsteknologien skal brukes til i virksomheten og hvordan den skal benyttes for å nå virksomhetens øvrige mål. Sikkerhetsmål vil således utgjøre en del av virksomhetens beskrivelse av sin totale målsetting
Sikkerhetsstrategi:
Sikkerhetsstrategien inneholder beslutninger om organisering og gjennomføring av sikkerhetsarbeidet. Dette dreier seg blant annet om fordeling av arbeidsoppgavene mellom ledelse og driftspersonell og beslutning om eventuelt å ta i bruk eksterne leverandører i sikkerhetsarbeidet. Forholdet mellom ledelse, driftspersonell og den enkelte bruker må være tydelig avklares i sikkerhetsstrategien. Organisatoriske samt tekniske strategiske valg skal også beskrives i sikkerhetsstrategien.
Akseptkriterium:
Et akseptkriterium er det nivået av risiko virksomheten kan akseptere. Det betyr at virksomheten har vurdert ulike scenarioer og konsekvenser av disse og avgjort hvilken grad av risiko for dette, ledelsen kan akseptere. Datatilsynet kan overprøve virksomhetens valg dersom tilsynet mener virksomheten aksepterer for stor risiko.
Risikovurdering:
En risikovurdering har til hensikt å undersøke hvor stor sikkerhetsrisiko det er ved bruk av informasjonssystemet. Resultatet av denne vurderingen skal sammenliknes med det risikonivået virksomheten kan akseptere (akseptkriteriene). En risikovurdering må derfor inneholde en beskrivelse av hvilke personopplysninger som behandles og hvilke sikkerhetskrav som stilles til disse behandlingene. Risiko er kombinasjonen av konsekvensen av en hendelse og sannsynligheten for at denne hendelsen inntreffer. (Se Datatilsynets veiledning ”Risikovurdering av informasjonssystem” – lenke til siden om risikovurdering med veilederen. )
Konfigurasjonsbeskrivelse:
En konfigurasjonsbeskrivelse er en oversikt over infrastruktur, nettverkskomponenter og datalagringsenheter og brukere i virksomhetens nett. Det bør også komme tydelig frem hvilken funksjon enhetene har. Eventuelle eksterne tilknytninger må også komme klart frem. Beskrivelsen bør også forklare hvilke enheter som er lagringsmedium for personopplysninger. Et konfigurasjonskart er ofte en viktig del av en konfigurasjonsbeskrivelse.