Retningslinje for klassifisering av informasjon ved NTNU. 

Engelsk versjon - Policy for Classification of Information

Temaside om informasjonssikkerhet | Sider merket med informasjonssikkerhet

Innholdsfortegnelse

• Formål
• Gjelder for
• Roller og ansvar
• Overordnede prinsipper
• Verdivurdering og klassifisering
• Klassifisering i praksis 
  • Vurdering av tilgjengelighet
  • Vurdering av integritet
  • Vurdering av konfidensialitet
  • Krav til merking
• • Leder av HR- og HMS-avdelingen
  • Leder av IT-avdelingen 
  • Leder av Seksjon for digital sikkerhet
  • Linjeleder
• Systemeier
• Mer informasjon
• Om retningslinjen
• Kontakt

Formål

Formålet med retningslinje for klassifisering av informasjon er å ha oversikt over NTNUs informasjonsverdier, og sikre at de blir forvaltet og håndtert forsvarlig. 

Gjelder for

Retningslinjen for klassifisering av informasjon gjelder for alle som har tilgang til og benytter NTNUs IKT-infrastruktur (informasjonssystemer, programvare, tjenester og utstyr). All bearbeiding og forvaltning av informasjon og data ved NTNU, faller inn under denne retningslinjen. Eksempler på dette er forskningsprosjekt, undervisning, administrasjon og saksbehandling. 

Roller og ansvar

Arbeidet med informasjonssikkerhet berører virksomheten på alle nivå. Ansvar og myndighet for informasjonssikkerhet følger det ordinære linjeansvaret. Alle roller tilhørende styringssystemet er definert i politikk for informasjonssikkerhet.  

For retningslinje for klassifisering for informasjon har linjeledere, prosjektledere og systemeiere sentrale roller med tilhørende ansvar. 

Overordnede prinsipper

• For å sikre forsvarlig behandling av informasjonsverdier, skal all informasjon og data som produseres og forvaltes ved NTNU klassifiseres.  
• Klassifisering av informasjonen som behandles i et IKT-system eller prosess, angir krav til sikring av både det enkelte IKT-systemet og hele den samlede prosessen for håndtering. Dette gjelder både informasjon som produseres og som hentes inn, og alle faser av håndtering (lagring, transport, bearbeiding etc). 

Verdivurdering og klassifisering

En informasjonsverdi er informasjon, opplysninger og data vi som enkeltpersoner, NTNU, eller samfunnet ønsker å beskytte. Dette inkluderer både selve informasjonen, lokaler, utstyr, systemer og mennesker som behandler og oppbevarer informasjon. 

• Informasjon som oppbevares og produseres ved NTNU skal gjennom en verdivurdering1. Dette gjøres ved å avgjøre hva slags verdi informasjonen har for NTNU, og hva slags verdi den har for andre aktører. Eksempel på informasjonsverdier ved NTNU er: 
  • Forskning – Har verdi for NTNU som universitet, for forskerne og potensielt en verdi for samfunnet. 
  • Dokumentasjon – Systemdokumentasjon, planverk osv. 
  • Systemer – noen systemer har verdi ved at vi er avhengig av dem for å få gjort jobben vår, andre ved at de brukes for å lagre data som har verdi. 
  • Personopplysninger – dette er ikke bare en verdi for NTNU, men også for hver enkelt person det gjelder. Derfor stilles det krav til NTNU om hvordan personopplysninger skal oppbevares. 
  • Fysiske områder – laber, arkivrom, serverrom osv. der informasjon og forskning opprettes, bearbeides og lagres. 
• Basert på verdivurderingen klassifiseres informasjon i samsvar med interne og eksterne krav til konfidensialitet, integritet og tilgjengelighet.  
  • At noe er konfidensielt betyr at det er krav til tilgangsstyring; dette betyr i praksis å sikre at informasjon og informasjonssystemer bare er tilgjengelig for de som har et tjenstlig behov. 
  • Integritet betyr å sikre at informasjon er korrekt, gyldig og fullstendig og ikke kan endres utilsiktet eller av uvedkommende. 
  • Å sikre tilgjengelighet vil si at informasjon og informasjonssystemer er tilgjengelig og kan benyttes innenfor definerte krav  
• Krav til riktig klassifisering av informasjonsverdier kommer fra mange parter og har forskjellige mål: 
  • Ha oversikt over hvilke verdier NTNU besitter. 
  • Fastslå hvilke informasjon/system/objekt som er viktigst for å nå NTNUs mål, samt holde seg innenfor gjeldende regelverk og imøtekomme inngåtte avtaler. 
  • Sortere hvilken informasjon og IKT-systemer som skal prioriteres ved en hendelse som medfører begrenset kapasitet. 
  • Forenkle arbeidet med å bygge en effektiv og driftsøkonomisk informasjonsarkitektur 

Klassifisering i praksis 

Data og informasjon som behandles på NTNU har ulikt beskyttelsesnivå. All informasjon og data skal klassifiseres med hensyn til konfidensialitet for å velge riktig verktøy og infrastruktur. Integritet er også viktig, slik at data/informasjon er korrekt og ikke blir endret ved en feil. Tilgjengelighet er i mange tilfeller mest sentralt for systemeiere som har ansvar for selve systemene, for å sikre at disse fungerer. I praksis vil dataenes integritet og tilgjengelighet vil være godt ivaretatt dersom du benytter en av løsningene presentert i Lagringsguiden.

Krav til merking

• Bruk sensitivitetsmerking med etiketter/labels på dokumenter og e-post når informasjon har et høyt krav til konfidensialitet (intern, fortrolig og strengt fortrolig samt begrenset etter Sikkerhetsloven). 
• Bruk egnet fagsystem eller verktøy for å behandle, lagre, og bearbeide informasjonen på en sikker og effektiv måte i tråd med systemeiers anbefalinger. 

Mer informasjon

Klassifisering av filer og informasjon

Informasjonssikkerhet - styrende dokumenter

Kontakt

Orakeltjenesten kan hjelpe deg om du har spørsmål eller opplever problemer.

Om retningslinjen

• Type dokument: Retningslinje
• Forvaltes av: Seksjon for digital sikkerhet
• Godkjent av: Direktør for Organisasjon og infrastruktur
• Gjelder fra: 01.10.2025
• Neste revisjon: 01.10.2027
• Unntatt offentlighet: Nei
• Referanse ISO: ISO27002:2022 5.9,5.10,5.12,5.13,8.12
• Referanse Policy for informasjonssikkerhet og personvern i høyere utdanning og forskning: Pkt 2
• Referanse NSMs grunnprinsipper for IKT-sikkerhet: 2.7.5
• Referanse LOV/Regel: Sikkerhetsloven, Personvernloven, Sikkerhetsinstruksen
• Referanse interne dokumenter: Politikk for informasjonssikkerhet