Informationssäkerhetskontroller

Informationssäkerhetskontroller är åtgärder som syftar till att skydda informationstillgångar mot hot genom att minska riskerna för obehörig åtkomst, förlust, manipulation och serviceavbrott. De bidrar till konfidentialitet, integritet och tillgänglighet och utgör en central del av informationssäkerhetsstyrning och riskhantering.

Kontrollerna kan delas in i administrativa eller organisatoriska kontroller (policyer, utbildning, incidenthantering), tekniska kontroller (autentisering, behörighetsstyrning, kryptering, patchhantering, säkerhetskonfigurationer, nätverkssegmentering, övervakning) och fysiska kontroller (låssystem, kameraövervakning, kontroll av tillträde till anläggningar). De kan också klassificeras som förebyggande, detekterande eller korrigerande beroende på hur de minskar, upptäcker eller åtgärdar risker.

Exempel på vanliga kontroller är multifaktorautentisering, principen om minst privilegium, kryptering av data i vila och under överföring, regelbunden back-up och återställningstest, patch- och sårbarhetshantering, loggning och övervakning, incidenthanteringsplaner samt förändringshantering.

Praktiskt används informationssäkerhetskontroller i en cyklisk process där riskbedömning ligger till grund för val och implementering av kontroller. Effektiviteten övervakas, testas regelbundet och revideras efter behov, ofta i enlighet med ramverk såsom ISO/IEC 27001 eller NIST SP 800-53 och i anpassning till organisationens sammanhang.

Införandet av kontroller åtföljs av rättsliga och regulatoriska krav, exempelvis GDPR i Sverige och i EU. En tydlig ansvarsfördelning, dokumentation och regelbunden granskning är centrala för att säkerställa att kontrollerna fungerar över tid.