Säker lagring börjar med informationens behov

1. Ta reda på vad ni behöver skydda

Inventera viktig information, var den finns och hur den används. Bedöm konsekvenserna om den röjs, ändras felaktigt eller inte går att nå. Klassificeringen ska hjälpa verksamheten att välja rimliga skydd, inte bara sätta etiketter på dokument.

Personuppgifter, affärshemligheter och annan känslig information kan kräva olika åtgärder. Blanda inte ihop en intern informationsklass med särskilda juridiska begrepp som säkerhetsskyddsklassificerade uppgifter.

2. Koppla åtkomst till arbetsuppgiften

Beskriv vilka roller som behöver läsa, ändra, dela eller administrera information. Ge behörigheter efter behov, följ upp dem när roller ändras och avveckla åtkomst när den inte längre behövs.

Regler kan även ta hänsyn till sammanhang, exempelvis vilken enhet som används. Dokumentera vad regeln ska förhindra och vilka undantag verksamheten behöver.

3. Styr delning och användning

Information lämnar ofta sitt ursprungliga system genom länkar, nedladdningar eller e-post. Bestäm vilka sätt att dela som är tillåtna och när ytterligare skydd behövs.

Kryptering, DLP och vattenmärkning fyller olika funktioner. De kan stödja ett arbetssätt men garanterar inte att en behörig mottagare aldrig kopierar, fotograferar eller vidareförmedlar information.

4. Följ upp och planera återställning

Välj logghändelser som hjälper er att utreda relevant åtkomst och förändringar. Begränsa tillgången till loggarna och bestäm hur länge de behövs. Kontrollera samtidigt att lagrad information och nycklar kan återställas enligt verksamhetens krav.

• En informationsägare har godkänt skyddsbehovet.
• Behörigheter och delningsregler är prövade i verkliga arbetsflöden.
• Incidenter har en tydlig kontaktväg och ansvarig.
• Återställning har testats och avvikelser har följts upp.

Sammanför teknik och arbetssätt

Börja med ett avgränsat informationsflöde, gör skyddet begripligt för användarna och justera efter vad uppföljningen visar.