Sammanfattning: Informationsklassning ska inte resultera i ännu ett Excelark med nivåer. Syftet är att förstå hur allvarlig konsekvensen blir om information röjs, förändras felaktigt eller inte finns tillgänglig – och att använda klassningen för att välja rätt säkerhetsåtgärder, leverantörskrav och arbetssätt.
Informationsklassning låter enkelt. Man identifierar information, sätter en klass, klart. Men den verkliga frågan kommer först efteråt: vad ska organisationen göra annorlunda eftersom informationen fick den här klassningen?
Om svaret är ”ingenting” har klassningen sannolikt begränsat värde.
Vad är det vi egentligen klassar?
Informationsklassning utgår normalt från konsekvenserna om informationens skydd påverkas. SKR:s verktyg KLASSA beskriver modellen utifrån tre dimensioner:
- konfidentialitet
- riktighet
- tillgänglighet
Konsekvenser kan drabba den egna verksamheten, andra verksamheter eller individer. En informationstyp kan därför ha helt olika behov inom de tre dimensionerna.
Ett offentligt dokument kan exempelvis ha lågt krav på konfidentialitet. Men om fel information publiceras kan riktigheten vara mycket viktig. Ett system kan innehålla information som inte är särskilt hemlig men som verksamheten absolut måste komma åt inom några minuter. Då är tillgängligheten central.
Klassificera konsekvensen – inte hur hemligt det känns
Det är lätt att fastna i frågan ”är detta känsligt?”. Men klassningen blir mer användbar om man i stället frågar:
- Vad händer om informationen hamnar hos fel person?
- Vad händer om den är felaktig?
- Vad händer om vi inte kommer åt den?
Det tvingar verksamheten att tänka i konsekvenser. SKR:s modell bedömer just oönskad påverkan på verksamheten, annan part eller individ till följd av bristande konfidentialitet, riktighet eller tillgänglighet.
Verksamheten behöver äga klassningen
IT kan hjälpa till. Informationssäkerhet kan facilitera. Men den som bäst förstår konsekvensen är normalt verksamheten som använder informationen.
IT vet hur systemet är byggt. Men verksamhetsägaren vet vad som händer om orderinformationen är fel, om patientuppgiften saknas, om kundlistan läcker eller om produktionsinformationen inte går att använda. Informationsklassning blir därför också ett sätt att skapa dialog mellan verksamhet och IT.
Klassningen ska styra säkerhetskraven
Här börjar klassningen skapa värde. Om information har ett högt konfidentialitetskrav kan det påverka exempelvis åtkomst, extern delning, autentisering, kryptering, loggning och leverantörskrav.
Höga krav på riktighet kan påverka ändringsbehörigheter, validering, loggning, attest, backup och versionshantering.
Höga tillgänglighetskrav kan påverka redundans, backup, återställningstid (RTO), reservrutiner, övervakning samt support och SLA.
Klassningen blir alltså en brygga mellan verksamhetens behov och de tekniska och organisatoriska kontrollerna.
Informationsklassning och systemklassning är inte exakt samma sak
Organisationen bör börja med informationens behov. Därefter behöver man förstå vilka system som hanterar informationen. Ett system kan hantera flera typer av information med olika klassning. Det betyder att systemets skyddsnivå behöver ta hänsyn till den information som faktiskt finns där, hur den kombineras och vilken verksamhet som är beroende av den.
SKR:s vägledning visar också hur aggregerad information kan ge andra konsekvenser än en enskild datapunkt. Det är särskilt viktigt för exempelvis stora register och analysplattformar.
Informationsklassning och Microsoft 365
Klassningen kan också bli en praktisk grund för modern informationsstyrning. Exempelvis kan organisationen besluta om fyra nivåer:
- Öppen – kan delas externt utan särskilda restriktioner.
- Intern – avsedd för organisationen men inte för allmän publicering.
- Konfidentiell – begränsad delning och tydliga åtkomstkrav.
- Särskilt skyddsvärd – starkare restriktioner och kontroll.
Därefter kan klassningen kopplas till teknik som exempelvis känslighetsetiketter i Microsoft Purview, åtkomstregler och andra kontroller. Men tekniken bör komma efter att klassningsmodellen är begriplig. Annars automatiserar man bara en oklar process.
Gör inte modellen för avancerad
En vanlig fälla är att skapa sex nivåer, tolv specialregler och hundratals undantag. Det ser avancerat ut. Men användaren står fortfarande med ett dokument i handen och undrar vilken klass som egentligen ska väljas.
En enklare modell som används är ofta bättre än en perfekt modell som bara informationssäkerhetsfunktionen förstår.
Allt kan inte vara högsta klass
Om nästan all information hamnar på högsta nivån försvinner prioriteringen. Det leder antingen till för dyra skyddsåtgärder eller till att användarna börjar ignorera reglerna. Klassningen behöver därför vara realistisk och konsekvensbaserad.
Så kan en klassningsworkshop fungera
Ett praktiskt upplägg är att samla informationsägare, verksamhetsrepresentant, IT eller systemägare, informationssäkerhet och vid behov dataskydd eller juridik. För varje informationsmängd diskuterar gruppen:
- Vad används informationen till?
- Vem behöver den?
- Vilken skada kan uppstå vid röjande?
- Vilken skada kan uppstå vid felaktighet?
- Hur länge kan verksamheten klara sig utan den?
- Finns externa eller regulatoriska krav?
Resultatet dokumenteras tillsammans med motivering. Motiveringen är viktig. En siffra som säger ”3” hjälper ganska lite om ingen längre vet varför den blev 3.
Klassningen behöver förvaltas
Informationsmängder förändras. System får nya integrationer. Nya regelkrav tillkommer. Verksamheten blir mer beroende av vissa system. Därför är klassningen inte heller permanent.
NCSC:s metodstöd bygger informationssäkerhetsarbetet som en cykel med identifiering och analys, utformning, användning samt uppföljning och förbättring. Informationsklassningen behöver leva i samma cykel.
Så kan Kristensson i Skåne stödja
Kristensson i Skåne hjälper organisationer med både metod och genomförande av informationsklassning, som en del av vårt arbete med informationssäkerhet och styrning. Stödet kan exempelvis omfatta:
- klassningsmodell
- informationsinventering
- workshops och facilitering
- mappning till säkerhetsåtgärder
- systemkrav
- leverantörskrav
- Microsoft 365 och Purview
- dokumentation och förvaltning
Ett exempel på hur det kan se ut i praktiken är vårt uppdrag med informationsklassning hos kommun, som du hittar bland våra referenscase.
Vanliga frågor
Vad är skillnaden mellan informationsklassning och riskanalys?
Klassningen beskriver informationens skyddsbehov. Riskanalysen bedömer vilka hot och sårbarheter som kan påverka informationen och vilka åtgärder som behövs.
Vem ska göra klassningen?
Informationsägaren och verksamheten bör normalt ha en central roll, med stöd av informationssäkerhet och IT.
Måste alla dokument klassas individuellt?
Nej. Det är ofta mer praktiskt att klassificera informationsmängder eller typer av information än enskilda dokument.
Hur ofta ska klassningen uppdateras?
När verksamhet, system, informationsinnehåll eller riskbild förändras, och som en del av den ordinarie uppföljningen av informationssäkerhetsarbetet.
Har ni en klassningsmodell som inte styr något i praktiken, eller ingen modell alls? Läs mer om vårt erbjudande inom informationssäkerhet och styrning eller kontakta oss för ett förutsättningslöst samtal.
Källor: Sveriges Kommuner och Regioner (SKR), KLASSA – verktyg och vägledning för informationsklassning; Nationellt cybersäkerhetscenter (NCSC), metodstöd för systematiskt informationssäkerhetsarbete.
Den här texten är allmän information. Vilken klassningsmodell och vilka skyddsåtgärder som passar beror alltid på den enskilda verksamheten.