I medhold av Personregisterlovens § 8b kan Datatilsynet ved enkeltvedtak gi regler for sikring av personregistre. Sikkerhetsregler gis for konsesjonspliktige registre og for personregistre fritatt for konsesjon i medhold av Forskrifter til personregisterloven. I tillegg gir Datatilsynet regler for informasjonssikkerhet for personregistre opprettet med hjemmel i egen lovgivning - i de tilfeller der det ikke er fastsatt egne sikkerhetsregler i hjemmelsloven, noe som bare unntaksvis er tilfellet.
Datatilsynet vedtok 9. juni 1998 Retningslinjer for informasjonssikkerhet ved behandling av personopplysninger, som underlag ved utarbeidelse av konsesjonsvilkår og for Datatilsynets sikkerhetskontroller.
Retningslinjene er resultat av et utviklingsarbeid som ble gjennomført i 1997 og i begynnelsen av 1998. Formålet med arbeidet var å bringe Datatilsynets sikkerhetsregelverk bedre i samsvar med den teknologiske utviklingen, og med virksomhetenes behov for å ta i bruk moderne databehandling av personopplysninger.
Tidligere regelverk har hatt som utgangspunkt at personopplysninger - og i særlig grad sensitive personopplysninger - skulle føres i egne, isolerte edb-system. Utviklingen av informasjonssystemene innebærer en stadig tettere integrering mellom forskjellige funksjoner. Det dreier seg ikke bare om sammenkobling av funksjoner i virksomhetens eget informasjonssystem, men også tilkobling av informasjonssystem med sensitive personopplysninger til eksterne nett, bl.a. Internett.
Ved utvikling av retningslinjene er det tatt hensyn til anerkjente standarder for informasjonssikkerhet og kvalitetssikring. Utviklingsarbeidet er koordinert med arbeid som er utført i regi av Nærings- og handelsdepartementet med sikte på å etablere norske sertifiseringsordninger for informasjonssikkerhet.
Det er viktig å merke seg at det ikke er tilstrekkelig bare å etablere avanserte tekniske sikkerhetstiltak for å oppnå tilfredsstillende informasjonssikkerhet. Organisatoriske tiltak, herunder klare ansvarsforhold og tilstrekkelig kompetanse, er også påkrevd.
Datatilsynets Retningslinjer for informasjonssikkerhet ved behandling av personopplysninger omfatter derfor krav til etablering av kvalitetssystem som også dekker bruk av informasjonssystemet og informasjonssikkerhet.
Datatilsynet har under arbeidet med retningslinjene hatt kontakt med brukere, fagmiljøer og offentlige organer, blant annet ved å sende ut høringsutkast på flere stadier i utviklingsprosessen. En rekke tilbakemeldinger er mottatt og innarbeidet, og dette har bidratt til at det endelige dokumentet er blitt positivt mottatt av brukerne.
Veiledning i informasjonssikkerhet for kommuner og fylkeskommuner
Datatilsynets retningslinjer omfatter i mindre grad detaljerte tekniske sikkerhetskrav enn tidligere sikkerhetsreguleringer. Årsaken til dette er at retningslinjene ikke skal være for sterkt knyttet til teknologiske løsninger eller bestemte virksomhetssektorer. DT er klar over at dette skaper et behov for å gi mer konkret veiledning og informasjon om hvordan kravene til sikkerhet kan imøtekommes.
Datatilsynet tar dette alvorlig og utarbeider derfor veiledninger i informasjonssikkerhet spesielt rettet mot enkelte sektorer, eller som omhandler spesielle sikkerhetsmessige problemstillinger. Slike veiledninger utarbeides i nært samarbeid med de aktuelle brukerne.
Et eksempel på slik veiledning er resultatet av Datatilsynets samarbeid med kommuner og fylkeskommuner. Tidlig i 1998 inviterte Datatilsynet til deltakelse i en arbeidsgruppe med formål å utarbeide Veiledning i informasjonssikkerhet for kommuner og fylkeskommuner. Sammen med Kommunenes Sentralforbund deltok representanter fra seks kommuner og fylkeskommuner i dette arbeidet.
Veiledningen inneholder anbefalinger og eksempler på hvordan tilfredsstillende organisatoriske og tekniske sikkerhetstiltak kan implementeres i kommunal/fylkeskommunal sektor. Veiledningen anviser sikkerhetstiltak ved følgende databruk:
- Integrasjon i virksomhetens eget informasjonssystem, herunder sammenkobling mellom de deler av informasjonssystemet hvor sensitive personopplysninger behandles og systemet for øvrig.
- Tilkobling til virksomhetens partnere og leverandører for ekstern behandling av sensitive personopplysninger (databehandling) og ved service og vedlikehold av informasjonssystemet.
- Bruk av hjemmekontor og ved telependling.
- Tilkobling til eksterne datanett, både for (sikker) overføring av sensitive personopplysninger virksomheter imellom, og for generell informasjonsinnhenting - herunder bruk av Internett.
Veiledningen skal ikke oppfattes som en entydig kravspesifikasjon, men angir hvordan tilfredsstillende informasjonssikkerhet kan implementeres. I utgangspunktet kan virksomhetene fritt velge alternative løsninger, men må da påregne et mer omfattende dokumentasjonskrav fra Datatilsynets side.
Sikkerhetsveiledningen for kommuner og fylkeskommuner er, etter å ha vært til høring (bl.a. hos kommuner og fylkeskommuner valgt ut av Kommunenes Sentralforbund), nå til endelig bearbeiding hos Datatilsynet.
Samarbeid - justissektoren og helsevesenet
Tilsvarende samarbeid om veiledninger i informasjonssikkerhet er innledet overfor justissektoren med mål å utarbeide en sikkerhetshåndbok på overordnet nivå for hele sektoren: Politiet, domstoler, kriminalomsorgen mv.
I tillegg fortsetter Datatilsynets samarbeidet med Sosial- og helsedepartementet og med Statens helsetilsyn om veiledninger i informasjonssikkerhet for helsesektoren. Arbeidet er omfattende, og resulterer derfor i flere dokumenter som tar for seg organisatoriske og tekniske anbefalinger. Til nå er veiledninger for bruk av Internett og ved elektronisk overføring (EDI) av helseopplysninger ferdigstilt. Anbefalinger ved etablering av sikkerhetstiltak i større sykehus og i mindre virksomheter i helsevesenet er under utarbeidelse.
Arbeidsformen Datatilsynet her har valgt - å ta utgangspunkt i en felles, grunnleggende sikkerhetsnorm (retningslinjene) for så i nært samarbeid med sektorer og bransjer å utarbeide detaljerte anbefalinger - har vist seg effektiv, men også svært ressurskrevende. Brukerne må kunne forvente at Datatilsynet er i stand til å starte slikt arbeid når behov avdekkes. Dette forutsetter at Datatilsynet har høy kompetanse på datateknikk og informasjonssikkerhet, og dessuten god saksbehandlingskapasitet. Alternativet - sak til sak-vurdering av sikkerheten i hver enkelt virksomhet uten harmoniserte grunnleggende krav - har vist seg lite tilfredsstillende.
Datatilsynets sikkerhetskrav
En rekke virksomheter har nå presentert avansert databruk - herunder tilkobling av informasjonssystem som inneholder sensitive personopplysninger til Internett - for godkjenning hos Datatilsynet. Etter evaluering av informasjonssikkerheten har flere virksomheter fått tillatelse til slik databruk. Dette gjelder virksomheter såvel innen offentlig sektor som i det private næringslivet.
Saksbehandlingen er omfattende, og Datatilsynet tilbyr konsultasjonsmøter for å sikre effektiv kommunikasjon og avklare virksomhetenes behov i forhold til Datatilsynets sikkerhetskrav.