Informationsklassning är att dela in företagets information baserat på hur känslig och kritisk den är. Det handlar om att förstå vilken information som behöver högst skydd och vilken som kan hanteras mer öppet.
För företag som arbetar med ISO 27001 är informationsklassning en grundläggande säkerhetsåtgärd. Den hjälper er att skydda rätt information på rätt sätt – varken mer eller mindre än vad som behövs.
Tänk på hur olika typer av information påverkar ert företag om den hamnar i fel händer:
Personaldata med personnummer och löneuppgifter – Om dessa läcker riskerar ni GDPR-böter och medarbetare som tappar förtroendet.
Kundregister med kontaktuppgifter – Mindre känsligt än personaldata, men fortfarande värdefullt för konkurrenter och skadligt om det missbrukas.
Publika pressmeddelanden – Ingen skada alls om dessa sprids, eftersom de är avsedda för allmänheten.
Utan informationsklassning behandlar många företag all information lika. Det leder till två problem:
Informationsklassning löser detta genom att ge varje typ av information rätt skyddsnivå.
ISO 27001:2022 Bilaga A kontroll 5.12 (Classification of information) anger att organisationer måste klassificera information baserat på:
Standarden kräver också att ni:
Det finns flera etablerade system för informationsklassning. Valet beror på er verksamhet, bransch och eventuella lagkrav.
SIS och MSB använder 5-gradiga skalor:
Dessa system passar svenska företag bra och lagstiftning. De ger också bra flexibilitet när ni behöver justera skyddsnivåer.
USA, Storbritannien, Tyskland och Frankrike har egna klassningsstandarder. Norge, Danmark och Finland använder liknande 5-gradiga system som Sverige.
Rekommendation för svenska företag: Använd ett 5-gradigt system som SIS eller MSB. De är mer nyanserade än 3-gradiga system och lättare att översätta till andra länders klassificeringar när ni samarbetar internationellt.
Låt oss ta ett konkret exempel från ett svenskt tillverkningsföretag:
Bedömning:
Övergripande klassning: Nivå 5 (högsta av de tre)
Säkerhetsåtgärder som följer:
Bedömning:
Övergripande klassning: Nivå 2
Säkerhetsåtgärder som följer:
Skillnaden i säkerhetsåtgärder är enorm – och helt rimlig utifrån informationens värde för verksamheten.
Informationsklassning är startpunkten för er riskhantering inom informationssäkerhet.
När ni vet vilken information som är mest kritisk kan ni:
Utan informationsklassning blir riskbedömningen gissningsarbete. Med klassning får ni en faktabaserad grund att stå på.
Vissa företag klassificerar nästan all information som "konfidentiell" eller högre. Det leder till:
Lösning: Var ärliga med vilken information som verkligen är känslig. Publik information ska klassas som publik.
Andra företag klassificerar för lågt för att "förenkla". Det leder till:
Lösning: Tänk igenom vad som händer om informationen läcker, ändras eller blir otillgänglig.
Information förändras över tid. Produktionsreceptet som var topphemligheten förra året kanske inte är lika kritiskt nu när produkten är utfasad.
Lösning: Gör det regelbundet – se över klassningen minst årligen.
När HR klassificerar personaldata som nivå 3 men ekonomi klassificerar samma data som nivå 4 uppstår förvirring och säkerhetsrisker.
Lösning: Skapa en tydlig policy som gäller hela organisationen och utbilda alla som klassificerar information.
Informationsklassning stöder flera andra kontroller i ISO 27001:
Bilaga A 5.9 – Inventering av tillgångarNi måste veta vilken information ni har innan ni kan klassificera den.
Bilaga A 5.10 – Godtagbar användning av informationKlassningen avgör vilka regler som gäller för hur information får användas.
Bilaga A 5.13 – Märkning av informationMärk information enligt sin klassning där det passar (t.ex. "Konfidentiellt" i sidfoten).
Bilaga A 8.12 – Förebyggande åtgärder mot dataläckageInformation med hög klassning behöver starkare skydd mot läckage.
Vid ISO 27001-implementeringsprojekt sätter våra konsulter upp en anpassad informationsklassningsmatris som utgångspunkt för er verksamhet. Beroende på projektnivå (mini, midi eller maxi) får ni olika nivåer av stöd att anpassa klassningssystemet till just era behov.
Denna mall hjälper er att:
Om ni ska införa informationsklassning i er organisation, följ dessa steg:
Bestäm om ni ska använda SIS, MSB eller ett annat system. För svenska företag rekommenderar vi ett 5-gradigt system.
Skriv tydliga beskrivningar för varje nivå som passar er verksamhet:
Lista all viktig information:
För varje del, bedöm:
Den högsta nivån blir den övergripande klassningen.
Se till att åtgärderna matchar klassningsnivåerna:
Informationsklassning är inte ett byråkratiskt moment – det är grunden för effektivt informationssäkerhetsarbete.
När ni vet vilken information som är mest värdefull och känslig kan ni:
För företag som arbetar med ISO 27001 är informationsklassning obligatoriskt enligt Bilaga A kontroll 5.12. Men även om ni inte certifierar er är det ett kraftfullt verktyg för att skydda det viktigaste för er verksamhet.
Börja med att identifiera er mest kritiska information och klassificera den. Bygg sedan ut systemet steg för steg. Med rätt struktur och verktyg behöver det inte vara komplicerat.
Relaterade artiklar:
