Artikel top billede

Sådan udvælger du de data der er værd at beskytte

Klumme: Virksomheder er nødt til at prioritere nogle data frem for andre, for det kan bare ikke lade sig gøre at beskytte alt. Her får du nogle fif til udvælgelsen.

Nogle af dine data er mere værd end andre.

Det ved du selvfølgelig godt. Men har du tænkt over, hvad det betyder for din investering i it-sikkerhed?

Mængden af data i verden vokser eksponentielt. Samtidig stiger antallet af angreb og forsøg på angreb også voldsomt.

Konsekvensen er, at vi sikkerhedsfolk simpelthen ikke har ressourcer til at beskytte alt.

Vi må erkende, at vi har data, som vi kan miste, uden at det får fatale konsekvenser.

Men det stiller krav til os: Vi er nødt til at afgøre, hvilke data der er livsvigtige for os - og hvilke der ikke er det.

Vi må klassificere

Jeg taler her om klassificering af data. Klassificering foregår ved, at man opdeler data i klasser ud fra deres forretningsmæssige værdi.

For eksempel kan man inddele data i klasserne fortroligt, internt og offentligt.

Dataklassificering indgår som en af de aktiviteter, en organisation skal gennemføre, for at den kan blive certificeret ud fra kravene i ISO 27001.

Dermed er det en øvelse, som mange vil komme ud for, efterhånden som standarden bliver mere udbredt.

Krav skal afvejes

Under klassificeringen skal man både overveje konsekvenserne for tilgængelighed, integritet og fortrolighed.

For eksempel kan der være data, hvor fortrolighed ikke er afgørende. Det er data, som udenforstående ikke kan bruge til noget.

Men de samme data kan indgå i driften på en måde, så de absolut ikke kan undværes. Her vejer tilgængelighed altså tungere end fortrolighed.

Så klassificeringen hænger sammen med en risikovurdering.

Man må overveje, hvilke konsekvenser det får, hvis dataene kommer i de forkerte hænder. Eller hvis systemet bringes ud af drift.

En stor opgave

Udfordringen ved arbejdet er ikke så meget at tænke i klasser. Det har andre gjort før jer, og der er gode kilder at trække på.

Nogle kan bruge de fortrolighedsklasser, Forsvaret anvender, og som kendes fra statsministeriets sikkerhedscirkulære.

For andre passer en simplere model, som den jeg nævnte tidligere, bedre.

Nej, den store udfordring ligger i udførelsen: I skal vurdere hver eneste stump data i jeres virksomhed eller organisation.

Både data og de systemer, der behandler data, skal beskyttes i henhold til klassifikationen.

Nogle data klassificeres ud fra den værdi, de har for jeres egen organisation.

Andre skal klassificeres som følsomme, fordi lovgivningen stiller krav til, hvordan I beskytter dem.

Det er for eksempel data om kunder eller medarbejdere, der falder ind under persondataloven.

Næste udfordring kommer, når arbejdet er gjort. Så skal klassifikationerne holdes ved lige.

I skal løbende tjekke, at data stadig er klassificeret korrekt - og nye datatyper skal ind i systemet.

Vi er bagud i våbenkapløbet

Det lyder måske mærkeligt, at vi som sikkerhedsfolk skal acceptere, at nogle data kan gå tabt.

Men det er en nødvendig konsekvens af det våbenkapløb, vi deltager i.

Vi dataejere er konstant bagud i forhold til dem, der har ondt i sinde. Vi har ikke råd til at beskytte alt.

Derfor er det nødvendigt at prioritere.

Vi må afgøre, hvor guldet i vores virksomhed befinder sig. Og når vi har fundet det, skal vi beskytte det.

Klassificering af data er et af de første skridt på vejen mod en styret sikkerhedsindsats.

For at det kan virke, er det afgørende, at medarbejderne kender og forstår systemet.

De skal vide, hvilke data I regner for særligt følsomme, så de kan behandle dem korrekt.

Det kan indførelsen af dataklassifikation i sig selv hjælpe med til: Når data ikke er klassificeret, regnes alle data for lige vigtige - eller uvigtige.

Men når I har sat en værdi på data, bliver det klart for medarbejderne, hvad der er værd at beskytte.

DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet. I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeIC, DTU.
Henrik Larsen opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
JN Data A/S
Driver og udvikler it-systemer for finanssektoren.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Computerworld Summit 2021

En moderne digital vindervirksomhed bringer nye teknologier i spil, skaber digital innovation, udnytter data som styringsværktøj og ser verden som én stor markedsplads. Men succes kræver, at du ved, hvor den dyre teknologi kan gøre den største forskel i forretningen. Den kræver, at du ved i hvilken retning den øgede politiske regulering af teknologi og data bevæger sig hen. Og den succes kræver, at du kan udnytte teknologien til at automatisere og skalere til gavn for bundlinjen og budgettet.

26. oktober 2021 | Læs mere


CIO Trends 2021: Sådan ser teknologiradaren ud hos Danmarks bedste CIOs

Teknologien i virksomheder spiller i den grad en større og større rolle, hvor vi er nødt til at stille endnu større krav til, hvordan vi udnytter den, og hvilke muligheder den giver. Spørgsmålet er dog, hvordan man formår at lede en virksomhed, der konstant skal forholde sig til teknologiens forandringer.

16. november 2021 | Læs mere


How to Sikkerhed: Awareness, email fraud og phishing

Man kan aldrig vide sig sikker, for uanset hvor godt man sikrer sig mod hackerangreb og anden svindel, vil hacker næsten altid være et skridt foran. De går efter organisationernes svageste led i håbet om at kunne snyde sig til data, penge eller andet værdifuldt. Få derfor konkrete bud på, hvordan du kan gribe opgaven an og understøtte et effektivt awareness-niveau i din organisation med enkel, men velfungerende, teknologi.

17. november 2021 | Læs mere