Loven har egne sikkerhetsbestemmelser som krever at den som behandler personopplysninger skal foreta en risikovurdering i forhold til mulige sikkerhetsbrudd.
Hva er sikkerhetsrisiko?
Da den nye personopplysningsloven kom i januar 2001, ble praktisk talt alle som er ansvarlige for behandling av personopplysninger konfrontert med et krav om å foreta en risikovurdering i forhold til mulige brudd på konfidensialitet, integritet og tilgjengelighet.
For i det hele tatt å kunne ta stilling til hvorvidt man oppfyller lovkravet om tilfredsstillende sikkerhet er det nødvendig å foreta en slik vurdering. I noen tilfeller vil vurderingen være enkel, som for eksempel når personopplysninger av mer triviell karakter behandles i et system hvor det ikke er fysisk mulig med tilgang fra uvedkommende. Store virksomheter med mange brukere, mange behandlinger av forskjellige typer personopplysninger og bred kontaktflate til omverdenen vil måtte legge vesentlig mer arbeid i risikovurderingen.
Risikobegrepet
Risikobegrepet rommer to størrelser: sannsynlighet for at noe skal skje, og hvilke konsekvenser denne hendelsen kan få. Når vi snakker om sikkerhetsrisiko for informasjonssystemer, vil de hendelsene som på denne måten vurderes være knyttet til de tre aspektene man vanligvis forbinder med informasjonssikkerhet. Dette er konfidensialitet , integritet og tilgjengelighet .
Planleggingsfasen
Risikovurdering kan foretas både i forkant og i etterkant av at et informasjonssystem bygges opp. Alle med erfaring fra sikkerhetsarbeid er enige om at det ideelle er å kunne foreta vurderingen i planleggingsfasen. På dette tidspunktet er det mulig å være føre var og finne de mest optimale løsningene.
En risikovurdering er ikke bare en passiv målemetode for å undersøke risikonivået. Metoden er like viktig for å definere hvilket risikonivå man er villig til å akseptere for behandlingen av bestemte personopplysninger i et system. Ved å beskrive de to størrelsene sannsynlighet og konsekvens kan man sette opp akseptkriterier for risikonivået. Senere risikovurderinger vil da ha som hensikt å måle det aktuelle risikonivået mot disse akseptkriteriene.
Analyse av personopplysningene
Ytterligere to aktiviteter er nødvendige for å kunne foreta en risikovurdering. Det må gjøres en analyse av de personopplysningene som det skal vurderes sikkerhetsrisiko for. Hvor store konsekvenser vil brudd på konfidensialiteten få? Tilsvarende vurdering må gjøres i forhold til integritet og tilgjengelighet. Det er altså en sammenheng mellom personopplysningenes karakter og konsekvensen av sikkerhetsbrudd, som er det ene parameteret i risikobegrepet.
Trusselanalyse
Videre må det gjøres en trusselanalyse, hvor man forsøker å identifisere mulige hendelser som kan føre til sikkerhetsbrudd. Eksempelvis vil tilknytning til Internett fra nettverket med personopplysninger gi opphav til en lang rekke trusler som må analyseres. I forhold til risikobegrepet vil analysen omfatte sannsynligheten for at truslene skal resultere i uønskede hendelser, og altså fokusere på det andre parameteret i risikobegrepet.
Det kan være vanskelig å kvantifisere størrelsene for så vel konsekvens som sannsynlighet. De behøver da heller ikke fastsettes som rene tallstørrelser, men kan heller beskrives i prosa. Poenget er likevel at det skal være mulig å etterprøve og sammenlikne resultatene av vurderingene fra gang til gang.
Sannsynligheter
Sannsynlighet for at en hendelse skal inntreffe som resultat av menneskelig aktivitet kan også vurderes ved en betraktning av hvor mye som skal til av tilfeldigheter, kvalifisert kunnskap og grad av besluttsomhet. Vil uaktsomhet, forsett eller overlegg være tilstrekkelig? Man skal heller ikke glemme de trusler som kommer fra omgivelsene, uten at mennesker nødvendigvis er direkte involvert når hendelsen utløses. Vann og brann er stikkord for hendelser som kan utløse både større og mindre katastrofer, ofte med store konsekvenser for tilgjengeligheten til informasjon.
Bransjeforeninger bør lage akseptkriterier
Det er nødvendig for alle med ansvar for sikring av personopplysninger å gjennomføre en prosess slik den er beskrevet her, kanskje med unntak av noen ganske få. Etter Datatilsynets oppfatning er det ikke noen grunn for at alle behandlingsansvarlige skal sitte på sin egen tue og gjøre hele denne jobben på egenhånd. Særlig i forhold til akseptkriterier ville det være gunstig om virksomheter med fellestrekk (bransjeforeninger etc.) kunne gjøre et arbeid sammen i denne forbindelse. Datatilsynet kan alltid bidra med råd og veiledning.
Datatilsynets rådgivningsarbeid
Personopplysningsloven legger i større grad enn personregisterloven vekt på at virksomhetene selv gjennom å etablere sikkerhetsmål og strategier skal utvise et tilfredsstillende sikkerhetsnivå. Virksomheten skal vurdere etablerte tiltak opp mot dette nivået ved hjelp av risikovurderingen. Denne prosessen er påkrevd uavhengig av om en virksomhet er konsesjonspliktig, meldepliktig eller fritatt fra melde- og konsesjonsplikt.
Datatilsynets driver utstrakt råd- og veiledningsarbeid ovenfor bransjer og virksomheter. Dette inkluderer korrespondanse, veiledning via e-post, telefonsamtaler og møter. Det arbeides også med å spre allmenn kunnskap gjennom relevant materiale på Datatilsynets websted. Konsesjonssøknader blir vurdert med hensyn til om virksomheten har etablert et tilfredsstillende nivå for informasjonssikkerheten. I noen tilfeller må det gås flere runder med virksomhetene før dette er dokumentert og konsesjon kan gis. Datatilsynet deltar også i sikkerhetsfaglig arbeid nasjonalt og internasjonalt.
100 saker
I 2001 behandlet Datatilsynet om lag 100 informasjonssikkerhetssaker. Dette inkluderer ikke det store antall henvendelser pr e-post og telefon hvor det gis svar på enklere spørsmål. Hovedtyngden av henvendelsene som er saksbehandlet knytter seg til følgende sektorer: Helsesektoren, kommunesektoren, forskning og andre sektorer hvor det behandles sensitive personopplysninger. Mange av disse aktørene ønsker vurdering av informasjonssikkerheten opp mot gjeldende regelverk.