högsäkerhetskrav

Högsäkerhetskrav avser krav som syftar till att uppnå en mycket hög nivå av skydd av information, system och infrastruktur i kritiska eller sårbara sammanhang. De används där konsekvenserna av säkerhetsbrott kan vara betydande för nationell säkerhet, samhällsfunktioner, ekonomi eller enskilda personers säkerhet. Kraven grundar sig vanligtvis i en riskbedömning och specificeras i kravdokument eller upphandlingsunderlag som anger vilka skyddsnivåer som ska uppnås.

Omfånget för högsäkerhetskrav varierar beroende på sektor och kontext, men förekommer ofta inom statliga myndigheter, försvarssektorn, kritisk infrastruktur, finans och hälso- och sjukvård. De omfattar både informationssäkerhet och fysisk säkerhet samt hur leveranser hanterar känslig information, kritisk infrastruktur eller produkter med hög driftskritikalitet.

Kärnprinciper i högsäkerhetskrav inkluderar skydd av konfidentialitet, integritet och tillgänglighet, samt äkthet och icke-förnekande. Spårbarhet, ansvarsfördelning och återhämtningsförmåga (resilience) är ofta integrerade delar. Kraven är vanligtvis riskbaserade och beskriver både organisatoriska åtgärder – som policyer, utbildning och behörighetsstyrning – och tekniska kontroller – som stark autentisering, kryptering, nätverkssegmentering, säkra mjukvaruleveranser, övervakning och incidenthantering.

Implementering följer en livscykel som inkluderar kravställning, arkitektur och implementering, testning, verifiering och revision. Verifiering sker genom olika former av tester, granskningar och certifieringar, samt uppföljning av dokumentation och återkommande uppdateringar. Internationella standarder och ramverk som ISO/IEC 27001/27002, NIST, IEC 62443 samt relevanta lagar och regler märks ofta som referensramar när högsäkerhetskrav specificeras och bedöms.