upplýsingaöryggis

Upplýsingaöryggis er svið sem fjallar um vernd upplýsinga gegn óleyfilendum aðgangi, röngum notkun, röngum breytingum, eyðingu eða truflunum. Markmiðið er að viðhalda trúnaði upplýsinga, heilleika gagna og aðgengi þeirra til notkunar þegar þörf krefur.

Meginstoðir upplýsingaöryggis eru: trúnaður (confidentiality), heilleiki (integrity) og aðgengi (availability). Trúnaður snýr að því að takmarka aðgang að upplýsingum viðkomandi aðila; heilleiki tryggir að gögn séu rétt og óbreytt; aðgengi tryggir að upplýsingarnar séu aðgengilegar þegar þær eru nauðsynlegar.

Helstu ferlar og stjórnun. Áhættumat og -stjórnun er grundvallaratriði; fyrirtæki vinna með gagnagrunn, kerfisöryggi og rekstraröryggi til að forgangsraða varúðaraðgerðum. Stefnumótun, verklag og íhlutun innan stofnana eru nauðsynleg til að viðhalda stöðugu öryggi.

Aðgerðir og tæki. Helstu ráðstafanir eru:

- Aðgangsstjórnun og auðkenning, oft með fjölþátta auðkenningu (MFA) og hlutbókunarstjórnun (RBAC).

- Dulkóðun í hvíld og flutningi, til að verja gögn annars vegar.

- Regluleg uppfærsla, öryggisforrit, spam- og malware-varnir.

- Regullöngöng öryggisafrit og endurreisn eftir mannleg eða kerfisleg áföll.

- Viðbrögð við öryggisatvikum, greining, viðgerð og endurkomuöryggisáætlanir.

Viðmið og reglur. Alþjóðleg staðlar eins og ISO/IEC 27001 og 27002, sem og NIST Cybersecurity Framework, eru viðurkennd sem grundvöllur fyrir öryggisstjórnun. Persónuvernd og gagnastjórnun, m.a. GDPR og íslenskri löggjöf, setja einnig skorður og kröfur varðandi meðferð persónuupplýsinga. Upplýsingaröryggi er síbreytilegt svið sem krefst kerfisbundinnar nálgunar og samvinnu innan rekstrar.