informasjonssikkerhet

Informasjonssikkerhet er en disiplin som har til formål å beskytte informasjon og informasjonsbehandling mot uautorisert tilgang, bruk, avsløring, forstyrrelse, endring og ødeleggelse. Målet er å sikre konfidensialitet, integritet og tilgjengelighet – ofte kalt CIA-triaden – samt sårbarhetsreduksjon og motstandsdyktighet mot trusler. Beslutninger om beskyttelse skjer i forhold til kontekst: hvilke data, hvilke systemer, hvem som trenger tilgang, og hvilke konsekvenser et sikkerhetsbrudd kan få.

Grunnleggende tiltak inkluderer risikostyring, policy og styringsrammer, autentisering og tilgangskontroll, kryptering, sikkerhetskopiering og gjenoppretting, sikker programvareutvikling, hendelsesrespons og forretningskontinuitet. Organisatoriske tiltak innebærer opplæring, rollebasert tilgang, og sikkerhetskultur. Teknologiske tiltak dekker brannmurer, anti-malware, sårbarhetshåndtering, datakryptering, system- og nettverksovervåkning.

Internasjonale og nasjonale rammeverk og regelverk veileder praksis. Populære standarder inkluderer ISO/IEC 27001 og tilhørende ISMS-rammeverk samt NIST-referanser. I Norge er informasjons- og samfunnssikkerhet regulert av offentlige retningslinjer og regelverk, blant annet under Direktoratet for samfunnssikkerhet og beredskap (DSB) og i henhold til personvernregelverket (GDPR) som påvirker datahåndtering. Informasjonssikkerhet er en kontinuerlig prosess som krever regelmessig vurdering, testing, revisjon og forbedring av kontroller i hele livssyklusen.