Informationsklassning är att dela in företagets information baserat på hur känslig och kritisk den är. Det handlar om att förstå vilken information som behöver högst skydd och vilken som kan hanteras mer öppet.
För företag som arbetar med ISO 27001 är informationsklassning en grundläggande säkerhetsåtgärd. Den hjälper er att skydda rätt information på rätt sätt – varken mer eller mindre än vad som behövs.
Varför informationsklassning är viktigt
Tänk på hur olika typer av information påverkar ert företag om den hamnar i fel händer:
Personaldata med personnummer och löneuppgifter – Om dessa läcker skadas medarbetarnas förtroende och integritet, och ni riskerar GDPR-böter.
Kundregister med kontaktuppgifter – Mindre känsligt än personaldata, men fortfarande värdefullt för konkurrenter och skadligt om det missbrukas.
Publika pressmeddelanden – Ingen skada alls om dessa sprids, eftersom de är avsedda för allmänheten.
Utan informationsklassning behandlar många företag all information lika. Det leder till två problem:
- Överdriven säkerhet – Ni lägger resurser på att skydda information som inte behöver det
- Undermålig säkerhet – Känslig information får inte det skydd den kräver Informationsklassning löser detta genom att ge varje typ av information rätt skyddsnivå.
Informationsklassning och ISO 27001
Bilaga A, kontroll 5.12, kopplar informationsklassning till de skyddsbehov ni har i verksamheten. Bedömningen behöver också ta hänsyn till relevanta intressenters krav, till exempel vad en kund har avtalat om för sin information. Urvalet av kontroller hör ihop med riskbehandlingen i ISO 27001 avsnitt 6.1.3.
För att förstå skyddsbehovet behöver ni skilja på tre frågor:
- Konfidentialitet: Vilka får ta del av uppgifterna? En offert som sprids till en konkurrent kan skada en förhandling även om innehållet är korrekt.
- Riktighet (integritet): Kan ni lita på innehållet? Ett ändrat kontonummer i en betalningsinstruktion kan orsaka skada även om ingen obehörig läser dokumentet.
- Tillgänglighet: När måste uppgifterna kunna användas? En korrekt, väl skyddad produktionsorder hjälper inte om operatören saknar åtkomst när tillverkningen ska börja.
Vårt råd är att låta den som använder informationen och den som ansvarar för den bedöma sådana situationer tillsammans. Skriv ned hur informationen får hanteras efter klassningen och förklara reglerna för berörda kollegor. Pröva bedömningen igen när användningen, innehållet eller kraven ändras.
Välj en skala som går att använda
Bestäm hur ni vill beskriva skadan om information röjs, ändras felaktigt eller inte går att nå. Använd exempel som kollegorna känner igen. Siffrorna i exemplen nedan är illustrativa, inte en skala från SIS eller MSB. ISO 27001 föreskriver inte fem nivåer. Skriv vad en nivå betyder hos er och vilka beslut den ska leda till. Vid samarbete med andra organisationer behöver ni jämföra vad klassningarna betyder i praktiken; lika siffror eller etiketter behöver inte innebära samma skydd.
Så här fungerar informationsklassning i praktiken
Låt oss ta ett konkret exempel från ett svenskt tillverkningsföretag:
Produktionsrecept
Bedömning:
- Konfidentialitet: Nivå 4 (konkurrenter skulle tjäna enormt på att få tillgång)
- Integritet: Nivå 5 (fel i receptet stoppar produktionen)
- Tillgänglighet: Nivå 4 (produktionen står still utan tillgång) Övergripande klassning: Nivå 5 (högsta av de tre)
Säkerhetsåtgärder som följer:
- Kryptering vid lagring och överföring
- Tvåfaktorsautentisering för åtkomst
- Detaljerad åtkomstloggning
- Backup var 6:e timme
- Begränsad åtkomst endast för godkända produktionschefer
Internt nyhetsbrev
Bedömning:
- Konfidentialitet: Nivå 1 (publiceras internt, ingen skada om det läcker)
- Integritet: Nivå 2 (mindre viktigt om ändringar görs)
- Tillgänglighet: Nivå 2 (kan vänta några dagar) Övergripande klassning: Nivå 2
Säkerhetsåtgärder som följer:
- Standardåtkomst via inloggning
- Daglig backup
- Ingen kryptering nödvändig Skillnaden i säkerhetsåtgärder är enorm – och helt rimlig utifrån informationens värde för verksamheten.
Kopplingen till riskhantering
Informationsklassning är startpunkten för er riskhantering inom informationssäkerhet.
När ni vet vilken information som är mest kritisk kan ni:
- Prioritera riskbedömningar – Börja med den information som har högst klassning
- Välja passande säkerhetsåtgärder – Nivå 5-information får starkare skydd än nivå 2
- Fördela resurser effektivt – Lägg budgeten där den gör mest nytta Utan informationsklassning blir riskbedömningen gissningsarbete. Med klassning får ni en faktabaserad grund att stå på.
Vanliga misstag att undvika
Överklassificering
Vissa företag klassificerar nästan all information som “konfidentiell” eller högre. Det leder till:
- Frustration hos medarbetare som inte kan göra sitt jobb effektivt
- Slöseri med säkerhetsresurser
- Minskad efterlevnad eftersom reglerna känns orimliga Lösning: Var ärliga med vilken information som verkligen är känslig. Publik information ska klassas som publik.
Underklassificering
Andra företag klassificerar för lågt för att “förenkla”. Det leder till:
- Otillräckligt skydd för kritisk information
- Ökad risk för säkerhetsincidenter
- Svårigheter att uppfylla GDPR och andra lagkrav Lösning: Tänk igenom vad som händer om informationen läcker, ändras eller blir otillgänglig.
Glömma att uppdatera klassningen
Information förändras över tid. Produktionsreceptet som var topphemligheten förra året kanske inte är lika kritiskt nu när produkten är utfasad.
Lösning: Gör det regelbundet – se över klassningen minst årligen.
Olika klassningar mellan avdelningar
När HR klassificerar personaldata som nivå 3 men ekonomi klassificerar samma data som nivå 4 uppstår förvirring och säkerhetsrisker.
Lösning: Skapa en tydlig policy som gäller hela organisationen och utbilda alla som klassificerar information.
Från klassning till hantering av information
En klassning behöver följa med när information flyttas eller används på ett nytt sätt. Tänk exempelvis på en kundlista som exporteras från ett system till ett kalkylblad. Exporten kan behöva samma skydd som originalet, även om den ligger i en annan mapp.
Börja med att veta var informationen finns och vem som ansvarar för den (relevant referens: bilaga A 5.9). Gör sedan hanteringsreglerna begripliga för den som arbetar med den (5.10): får kalkylbladet mejlas, vem får ta emot det och var ska det sparas? Märkning enligt ert valda upplägg kan hjälpa mottagaren att förstå reglerna (5.13). För känsliga exporter kan ni också behöva skydd som upptäcker eller stoppar felaktig delning (8.12). Det här är exempel på hur klassningen kan användas, inte en fullständig lista över nödvändiga skydd.
Hur AmpliFlow stöder informationsklassning
AmpliFlow ger er verktyg för att bygga en informationsklassningsmatris själva. Om ni avtalar om hjälp med införandet kan våra konsulter hjälpa er att sätta upp och anpassa matrisen för er verksamhet. Det stödet ingår inte när ni köper enbart systemet. Se paket och priser.
Denna mall hjälper er att:
- Registrera all information
- Klassificera varje del enligt konfidentialitet, integritet och tillgänglighet
- Dokumentera säkerhetsåtgärder för varje klassningsnivå
- Tilldela ägare och ansvariga
- Schemalägga regelbundna granskningar
- Spåra ändringar över tid
Praktiska steg för att komma igång
Om ni ska införa informationsklassning i er organisation, följ dessa steg:
1. Välj klassningssystem
Välj en skala som passar er verksamhet och era krav. Exemplen ovan använder fem nivåer; det är inte ett generellt krav.
2. Definiera klassningsnivåer
Skriv tydliga beskrivningar för varje nivå som passar er verksamhet:
- Vad betyder nivå 1-5 i er kontext?
- Vilka konsekvenser har ett säkerhetsbrott på varje nivå?
- Vilka säkerhetsåtgärder krävs för varje nivå?
3. Inventera information
Lista all viktig information:
- Databaser
- Dokumentsamlingar
- System och applikationer
- Fysiska arkiv
4. Klassificera informationen
För varje del, bedöm:
- Konfidentialitet (1-5)
- Integritet (1-5)
- Tillgänglighet (1-5) I exemplet används den högsta nivån som övergripande klassning. Behåll bedömningen för varje dimension, så att rätt skydd väljs: höga krav på tillgänglighet säger exempelvis inget i sig om vem som får läsa informationen.
5. Dokumentera och kommunicera
- Skapa en policy för informationsklassning
- Utbilda personal i systemet
- Märk information enligt klassning där det behövs
- Informera om vilka säkerhetsåtgärder som gäller
6. Sätt in säkerhetsåtgärder
Se till att åtgärderna matchar klassningsnivåerna:
- Åtkomstkontroller
- Kryptering
- Backup-frekvens
- Loggning
7. Följ upp och uppdatera
- Granska klassningen minst årligen
- Uppdatera när verksamheten förändras
- Mät efterlevnad och åtgärda avvikelser
Informationsklassning som grund för säkerhetsarbetet
Informationsklassning är inte ett byråkratiskt moment – det är grunden för effektivt informationssäkerhetsarbete.
När ni vet vilken information som är mest värdefull och känslig kan ni:
- Fördela säkerhetsbudgeten där den gör störst nytta
- Ge medarbetare tydliga riktlinjer för hur information ska hanteras
- Få underlag för att bedöma skyddsbehov och tillämpliga krav
- Visa ledning och kunder att ni tar informationssäkerhet på allvar Även utan planer på certifiering kan ni använda informationsklassning för att prioritera skyddet av den information ni är mest beroende av.
Börja med att identifiera er mest kritiska information och klassificera den. Bygg sedan ut systemet steg för steg. Med rätt struktur och verktyg behöver det inte vara komplicerat.
Relaterade artiklar:
