Secode Sikkerhetsmål og strategi

Dokumentet vil gi en oversikt over hvilke sikkerhetskrav og retningslinjer som er gjeldende i virksomheten, både i forhold til teknisk IT-løsning, og de organisatoriske og administrative sikkerhetsmessige forhold. Dokumentet utarbeides med basis i BS7799 med en praktisk tilnærming til virksomhetens sikkerhetsbehov for å kunne benyttes i hele informasjonssystemets levetid, og vil kunne være et viktig bidrag for virksomheten, slik at sikkerhetsaspekter blir nødvendig hensyntatt over tid.

Gjennomføring og arbeidsmetode
Secode legger vekt på at utformingen av dokumentet skal være en prosess med et nært samarbeid med virksomhetens eget personell, slik at innholdet blir en del av virksomhetens daglige liv. Dette vil sikre at dokumentet blir "levende" og at det ivaretar behovet for tjenester. Samtidig skal det bidra til å sikre at eventuelle trusler håndteres med riktig sikkerhetsnivå for virksomhetskritiske funksjoner.

Det anbefales at utforming av dette dokumentet gjøres i parallell med, -eller i etterkant av risikoanalyser slik at nødvendige behov for tjenester og relevante trusler blir tatt hensyn til ved utforming av virksomhetens sikkerhetspolicy, krav og tiltak.

Behovet for omfang og dybde av dette dokumentet vil være avhengig av type virksomhet og vil derfor variere. I tillegg til resultater fra risikoanalyser, vil også BS7799 være retningsgivende, og dokumentet vil ha følgende hovedinndeling:

Sikkerhetsmål og strategi, sikkerhetsorganisasjon og ansvar
Rettet mot ledelsen og vil være dennes beslutning av sikkerhetsbehovet i virksomheten

Trusler, tapspotensiale og kategorisering av informasjon og tjenester
Vil være grunnlaget for behovet for sikkerhetskrav

Systemtekniske og organisatoriske sikkerhetstiltak
Sikkerhetstiltakene har konsekvenser for brukerne, og detaljer i denne sammenheng utformes i håndbøker rettet mot ulike brukergrupper

Vedlikehold av sikkerheten over tid
Kritiske tiltak som risikoanalyse, konfigurasjonskontroll, avvikshåndtering og ledelsens gjennomgang, for å sikre at systemene over tid opprettholder vedtatt sikkerhetsnivå

Resultat
Dokumentet vil være et levende dokument som vil bidra til å sikre at informasjonshåndtering og elektroniske tjenester bidrar forretningsmessig på en hensiktsmessig måte, uten at den elektroniske håndteringen utsetter virksomheten for trusler og uønskede hendelser.