tilgangskontrolllag

Tilgangskontrolllag er et hypotetisk norsk løpende regelverk som ville regulere tiltak for tilgangskontroll i informasjonssystemer og fysiske lokaler. Hovedformålet er å beskytte konfidensialitet, integritet og tilgjengelighet av sensitive data og kritisk infrastruktur gjennom styring av hvem som får tilgang, under hvilke betingelser og med hvilke mekanismer.

Omfanget av et slik lovverk ville trolig omfatte både digitale og fysiske tilgangskontroller. Digitale kontroller omfatter autentisering, autorisasjon, tilgangsprovisjonering og sesjonsstyring, samt logging og overvåking av tilgang. Fysiske kontroller dekker områder som adgangskontrollsystemer, nøkkelkort, biometriske tiltak og besøkshåndtering. Loven kunne kreve tydelige policyer, prosedyrer og dokumentasjon for hvordan tilgang tildeles, endres og termineres.

Nøkkellovens innhold forventes å omfatte risikovurderinger, krav til minimumsstandarder og en livssyklusmodell for tilgangsrettigheter (provisjonering, endring og avvikling). Den ville fremheve prinsippene om minst privilegium og deling av oppgaver, samt behovet for revisjonsspor og regelmessige gjennomganger av tilgangsstyring. Personvernaspekter skulle integreres i designet av tilgangskontroller, i tråd med gjeldende personvernlovgivning og GDPR.

Styring og håndhevelse ville bli tilpasset ulike ansvarsnivåer, med ansvar hos dataansvarlige eller eierne av informasjonssystemer, og mulig tilsyn fra relevante myndigheter. I praksis kan loven også henvise til samsvar med eksisterende standarder (for eksempel ISO/IEC 27001) og sektorbaserte regler, samt mulige sertifiseringer og tilsynsrammer.

Statusen til et tilgangskontrolllag er ikke bekreftet som eksisterende; i ordene tilfellet ville det være et forslag eller konsept for fremtidig lovgivning.