Veileder til internkontroll for Informasjonssikkerhet

Del denne sidenDel på e-post

Kartlegg kritiske funksjoner

Dette kapitlet viser hvordan virksomheten kartlegger hva som er viktigst å beskytte. Dette omtales ofte som en verdivurdering. Kartleggingen danner grunnlag for risikovurdering og prioritering av sikkerhetstiltak.

Nivå 1 – Kom i gang

  1. List opp funksjoner og systemer som er viktige for å drifte virksomheten
  2. Vurder kritikalitet: Hva skjer hvis funksjonen svikter, informasjonen kommer på avveie eller blir manipulert?
  3. Ranger i høy, middels eller lav kritikalitet
  4. Identifiser eier/ansvarlig for hver funksjon

Eksempel:

Funksjon Systemer Ansvarlig Konsekvens ved svikt Kritikalitet
Driftskontroll SCADA, serverrom Driftsleder Mister styring av nettet Høy
AMS Målere, kommunikasjon, sentralsystem AMS-ansvarlig Mister fjernavlesing, kan miste bryterstyring Høy
E-post Exchange, nettverk IT-leder Tungvint kommunikasjon Lav

For noen funksjoner er kritikaliteten gitt av regelverket. Driftskontrollsystem og AMS har omfattende krav i KBF kapittel 6 og 7. Klassifisering av anlegg i klasse 1, 2 og 3 (KBF § 5-2) er også en form for kritikalitetsvurdering.

Sjekkliste

☐ Liste over funksjoner og systemer er utarbeidet

☐ Kritikalitet er vurdert for hver funksjon (høy/middels/lav)

☐ Ansvarlig er utpekt for hver funksjon

☐ Kartleggingen er dokumentert

Nivå 2 – Utdypning

Bruk verdihierarkiet som struktur

Kartleggingen kan struktureres som et hierarki med fire nivåer:

 

Nivå  Beskrivelse Eksempler
Overordnede verdier Det virksomheten til syvende og sist skal ivareta Forsyningssikkerhet, sikkerhet for personell, ytre miljø, økonomi og omdømme
Kritiske funksjoner Funksjoner som må virke for å ivareta de overordnede verdiene Driftskontrollfunksjoner, innsamling av måleverdier, fjernstyring av bryterfunksjonalitet
Objekter og infrastruktur Systemer og innsatsfaktorer som må være på plass for at funksjonene skal virke Driftssentral, reserve driftssentral, AMS-infrastruktur, programvare for overvåking og styring, kraftsensitiv informasjon, ansatte og leverandører
Hjelpesystemer Støttesystemer som de øvrige nivåene er avhengig av Strømforsyning, nødstrøm, ventilasjon, kjøling, backup-system, brannvarsling

Denne strukturen sikrer at virksomheten ikke glemmer hjelpesystemer som er kritiske for at hovedsystemene skal fungere.

Del opp kritikalitet

Kritikalitet kan vurderes i tre dimensjoner:

  • Tilgjengelighet er utfordret når systemet er utilgjengelig (nedetid)

  • Konfidensialitet er utfordret når informasjon kommer på avveie

  • Integritet er utfordret når informasjon eller systemer blir manipulert

En funksjon kan ha høy kritikalitet i én dimensjon og lav i en annen. For eksempel er konfidensialitet mindre relevant for SCADA, mens integritet er svært viktig.

Funksjon Tilgjengelighet Konfidensialitet Integritet Totalt
Driftskontroll Høy Lav Høy Høy
AMS måleverdier Middels Middels Høy Høy
Kundeinformasjon Lav Høy Middels Middels

 

Identifiser avhengigheter

I mange tilfeller er det avhengigheter mellom funksjoner og systemer. For eksempel er driftskontrollfunksjonen avhengig av en rekke systemer og hjelpesystemer for å fungere.

Avhengigheter identifiseres ved å spørre: "Hvilke andre systemer eller innsatsfaktorer er denne funksjonen avhengig av for å fungere som den skal?"

Eksempel for driftskontroll:

  • Systemer: SCADA, servere, nettverk og samband
  • Hjelpesystemer: Strømforsyning, nødstrøm, kjøling og brannvarsling
  • Innsatsfaktorer: Kompetent personell, leverandørtilgang

Systemer som kritiske funksjoner er avhengig av, bør også prioriteres i sikkerhetsarbeidet.

Skjerme kritiske funksjoner

De mest kritiske funksjonene bør skjermes ekstra godt mot eksterne inntrengere. For eksempel bør det ikke være mulig å logge seg på systemer som understøtter kritiske funksjoner fra hjemmekontor eller på reise.

For systemer som understøtter kritiske funksjoner bør virksomheten også sette opp en oversikt over hvem som skal ha tilgang, og deretter verifisere at kun disse personene faktisk har tilgang. Dette gir input til tilgangsoversikten i kapitlet "Dokumenter systemet".

Kobling til regelverk