Kapabilitet
Informasjonssikkerhet - Styringssystem
Evne til å evaluere, forbedre, fornye styringssystem for informasjonssikkerhet.
Relaterte ressurser
Samarbeidsforum
Felles sikkerhet i forvaltningen
FSIF bidrar til kapabiliteten ved å utvikle og spre felles anbefalinger for hvordan offentlige virksomheter bør styre informasjonssikkerhet og personopplysningsvern. Første leveranse (P1) beskriver styringsaktivitetene virksomhetene bør ha, blant dem ledelsens styring og oppfølging og måling, evaluering og revisjon. Selve styringssystemet etableres og forbedres i hver virksomhet; FSIF driver ikke et styringssystem.
Rammer og virkemidler
eForvaltningsforskriften
§ 15 krever at hvert forvaltningsorgan som bruker elektronisk kommunikasjon, har dokumenterte mål og strategi for informasjonssikkerhet som grunnlag for internkontroll, at internkontrollen bygger på anerkjente standarder for styringssystem for informasjonssikkerhet, og at omfanget er tilpasset risiko.
Normerende ressurs
NSMs grunnprinsipper for IKT-sikkerhet
grunnprinsippene og støtteproduktene gir en tiltakskatalog med prioriteringsforslag, kobling til ISO/IEC 27002 og et verktøy for risikovurdering som virksomheter bruker når de vurderer og forbedrer egne sikkerhetstiltak. NSM sier selv at prinsippene ikke erstatter virksomhetens sikkerhetsstyring.
Normerende ressurs
Internkontroll i praksis – informasjonssikkerhet
veiledningen beskriver selve styringssystemet: ni styringsaktiviteter fra ledelsens styring og oppfølging til måling, evaluering og revisjon, ti etableringsaktiviteter for å bygge det opp, og maler og støtteark for risikovurdering, fellessikring og ledelsens gjennomgang.
Rammer og virkemidler
Digitalsikkerhetsloven
Forskriften § 6 krever at tilbydere av samfunnsviktige tjenester etablerer et dokumentert styringssystem for sikkerhet basert på anerkjente standarder, som inngår i virksomhetsstyringen og gjennomgås minst årlig for å forbedre sikkerhetsarbeidet. §§ 7 og 8 krever risikovurdering og risikohåndteringsplan som grunnlag for tiltakene.
Rammer og virkemidler
Personopplysningsloven og personvernforordningen
Artikkel 24 krever egnede tekniske og organisatoriske tiltak som skal gjennomgås og oppdateres ved behov, og artikkel 5 nr. 2 krever at den behandlingsansvarlige kan påvise etterlevelse. Artikkel 32 nr. 1 bokstav d krever en prosess for regelmessig testing og vurdering av hvor effektive sikkerhetstiltakene er, og artikkel 35 krever risikovurdering før behandling med høy risiko.
Normerende ressurs
Normen
Normen stiller krav til roller og ansvar, styringssystem, ledelsens gjennomgang, risikovurdering og risikohåndtering, som virksomhetene bruker til å etablere og forbedre egen styring av informasjonssikkerhet og personvern.