Forskrift om endring i forskrift om informasjonssikkerhet

I

I forskrift 1. juli 2001 nr. 744 om informasjonssikkerhet gjøres følgende endringer:

§ 1-1 nytt andre ledd, andre punktum, skal lyde:

NSM kan gi nærmere bestemmelser om behandling av ATOMAL informasjon.

Nåværende andre og tredje punktum blir nytt tredje og fjerde punktum.

TEMPEST; elektromagnetisk stråling fra elektronisk utstyr som utilsiktet kan forårsake at uvedkommende kan få tilgang til sikkerhetsgradert informasjon, samt undersøkelser og analyser knyttet til slike fenomener. Inspiserbart område; det tredimensjonale området rundt en installasjon hvor muligheten for å motta og analysere signaler fra et informasjonssystem ikke er praktisk mulig eller hvor virksomheten lovlig kan kreve adgang for å kontrollere området.

§ 2-10 andre ledd skal lyde:

Arkivverket kan nekte å motta sikkerhetsgraderte dokumenter som ikke har vært gjenstand for vurdering etter første ledd nr. 6.

§ 3-1 skal lyde:

Forvaltningsorganer kan bare ved tjenstlig behov gis tilgang til eller selv tilvirke sikkerhetsgradert informasjon. Det enkelte departement godkjenner underordnede forvaltningsorganer som har behov for å håndtere sikkerhetsgradert informasjon, med angivelse av hvilken sikkerhetsgrad som er den høyeste organet kan håndtere. Forvaltningsorganer kan godkjenne underordnede forvaltningsorganer innen rammen av egen godkjenning. Fylkesmannen godkjenner fylkeskommunen og primærkommuner i vedkommende fylke.

Privat virksomhet kan bare gis tilgang til sikkerhetsgradert informasjon dersom det er i samsvar med offentlige interesser og ikke i strid med taushetsplikt. Anskaffelsesmyndigheten godkjenner leverandør av sikkerhetsgradert anskaffelse. Det departement som forvalter vedkommende sektor godkjenner private virksomheter som ikke er leverandører.

Det enkelte forvaltningsorgan skal føre oversikt over virksomheter det har godkjent etter første eller andre ledd.

Person som vil kunne få tilgang til sikkerhetsgradert informasjon skal på forhånd sikkerhetsklareres og ved behov autoriseres, jf. sikkerhetsloven § 19. Personen har taushetsplikt og skal påse at uvedkommende ikke kan få tilgang til informasjonen, jf. sikkerhetsloven § 12.

§ 4-1 femte ledd skal lyde:

Regler om merking av maskinvare i sikkerhetsgodkjente informasjonssystemer er fastsatt i § 5-19 (Merking av sikkerhetsgodkjent informasjonssystem).

§ 4-3 første ledd, første punktum, skal lyde:

I forbindelse med sikkerhetsgraden skal følgende henvisning påføres: «iht. sikkerhetsloven § 11 og § 12 jf. offentleglova § 13».

§ 4-4, overskriften skal lyde:

Påføring av tidsbegrenset gradering, unntak fra automatisk avgradering og omgradering

§ 4-4 andre ledd skal lyde:

Dokumenter og maskinlesbare lagringsmedier unntatt fra automatisk avgradering (UFAN) skal ved sikkerhetsgraden påføres teksten «Unntatt fra automatisk avgradering iht. sikkerhetsloven § 11».

§ 4-34 andre ledd, andre punktum, skal lyde:

Er ordren på papir skal teksten «Siste post» påføres etter siste linje.

Kapittel 5 skal lyde:

Autentisiteten (ektheten), konfidensialiteten, integriteten og tilgjengeligheten til systemets data og tjenester. Brukernes ansvarlighet for egne handlinger. Tilliten til at sikkerhetstiltak er korrekt implementerte og ivaretar sikkerheten på en effektiv og hensiktsmessig måte.

Nødvendigheten av disse egenskapene skal utledes av informasjonssystemets operative funksjon og miljø, herunder brukernes klarering og autorisasjon, informasjonens gradering, systemets omfang og kompleksitet, samt eksterne tilkoblinger.

Sikker plattform. Dette innebærer at: Det skal etableres en helhetlig og enhetlig IKT-infrastruktur med nødvendige sikkerhetsfunksjoner, -strukturer og tillitsnivå. Det skal implementeres og dokumenteres en sikker tilstand, det vil si at sårbarheter for denne infrastrukturen reduseres til et akseptabelt nivå. Sikker drift og vedlikehold. Dette innebærer at: Rutinemessig drift og vedlikehold av systemet skal skje innenfor den sikre tilstanden. Informasjonssystemets faktiske tilstand skal rutinemessig kontrolleres opp mot den sikre tilstanden. Ved deteksjon av avvik skal aktiviteter iverksettes i samsvar med nr. 3. Informasjonssystemet skal kontinuerlig overvåkes for sikkerhetstruende hendelser. Ved deteksjon av slike hendelser skal aktiviteter iverksettes i samsvar med nr. 3. Sikker hendelseshåndtering og gjenoppretting. Dette innebærer at: Hendelsens karakter og omfang skal identifiseres. Mottiltak skal iverksettes og hendelsen bringes under kontroll slik at den ikke lenger utgjør noen trussel mot informasjonssystemet. Informasjonssystemets sikre tilstand skal gjenopprettes, hvis kompromittert.

Sikkerhetstiltakene som utledes av hovedmålene skal løpende oppdateres i henhold til endringer i informasjonssystemets operative miljø. Innenfor alle tre målene skal det gjennomføres kontinuerlig risikostyring.

Autentisitet. Brukere skal identifiseres og autentiseres før de gis tilgang til data og tjenester. Introduksjon av falske data og tjenester skal detekteres og forhindres. Konfidensialitet. Data skal beskyttes mot uønsket lesing og tjenester skal beskyttes mot uønsket bruk. Integritet. Data skal beskyttes mot uønsket modifikasjon og tjenester skal beskyttes mot uønsket modifikasjon/manipulasjon. Tilgjengelighet. Data skal beskyttes mot uønsket sletting og tjenester skal beskyttes mot uønsket reduksjon/stans. Ansvarlighet. Sikkerhetsrelevante hendelser skal registreres slik at sikkerhetsbrudd kan detekteres så tidlig som mulig, om ikke forhindres. Ved sikkerhetsbrudd skal registreringen kunne bidra til at skadens karakter og omfang kan identifiseres, skaden utbedres, og brukerne holdes ansvarlige for sine handlinger. Tillit. Det skal systematisk kontrolleres at sikkerhetstiltakene er korrekt implementerte og ivaretar sikkerheten på en effektiv og hensiktsmessig måte.

Forebygge sikkerhetsbrudd. Detektere sikkerhetsbrudd. Reagere på og kontrollere sikkerhetsbrudd. Gjenopprette informasjonssystemets sikre tilstand. Styre sikkerhetstiltakene i punkt a–d.

Minimalisme. Sikkerhetsrelevante funksjoner skal ikke ha mer funksjonalitet eller kompleksitet enn strengt nødvendig for å utføre sin tilsiktede oppgave. Minste privilegium. Brukere og funksjoner skal bare tildeles rettigheter som er strengt nødvendige. Redundans. Funksjoner skal ha ekstra kapasitet for å tåle overbelastning og utstyrssvikt.

Selvbeskyttelse. Funksjoner skal ikke ha unødige sikkerhetsmessige avhengigheter til andre sikkerhetsdomener. Dette gjelder både internt i systemet, f.eks. mellom avdelinger, og eksternt mot andre informasjonssystemer. Kontrollert dataflyt. Informasjonsutveksling skal følge veldefinerte mønstre som er underlagt sentral kontroll. Balansert styrke. Sikkerhetsnivået til funksjoner som ivaretar samme sikkerhetsbehov skal være tilnærmet likt på tvers av systemet.

Med systemteknisk sikkerhet skal forstås hvordan sikkerheten ivaretas i og av informasjonssystemets program- og maskinvare.

Dedikert operasjonsmåte. Operasjonsmåten kjennetegnes ved at: Alle brukerne har sikkerhetsklarering for høyeste graderingsnivå som behandles Alle brukerne har autorisasjon for alle graderingene som behandles Alle brukerne har tjenestelige behov for all informasjonen som behandles Fellesnivå operasjonsmåte. Operasjonsmåten kjennetegnes ved at: Alle brukerne har sikkerhetsklarering for høyeste graderingsnivå som behandles Alle brukerne har autorisasjon for alle graderingene som behandles Ikke alle brukere har tjenestelige behov for all informasjonen som behandles, tilgang til data skal reguleres i henhold til brukeres tjenestelige behov. Partisjonert operasjonsmåte. Operasjonsmåten kjennetegnes ved at: Alle brukerne har sikkerhetsklarering for høyeste graderingsnivå som behandles Ikke alle brukere har autorisasjon for alle graderingene som behandles, tilgang til data skal reguleres i henhold til brukeres autorisasjon Ikke alle brukere har tjenestelige behov for all informasjonen som behandles, tilgang til data skal reguleres i henhold til brukeres tjenestelige behov Flernivå operasjonsmåte. Operasjonsmåten kjennetegnes ved at: Ikke alle brukere har sikkerhetsklarering for høyeste gradering som behandles, tilgang til data skal reguleres i henhold til brukeres klarering Ikke alle brukere har autorisasjon for alle graderingene som behandles, tilgang til data skal reguleres i henhold til brukeres autorisasjon Ikke alle brukere har tjenestelige behov for all informasjonen som behandles, tilgang til data skal reguleres i henhold til brukeres tjenestelige behov.

Brukere uten administrative rettigheter (sluttbrukere) ikke kan kompromittere sikkerheten til programvaren i informasjonssystemet. Sikkerhetsrelevante hendelser registreres slik at eventuelle sikkerhetsbrudd kan avdekkes, skadens karakter og omfang kan identifiseres, og individuelt ansvar kan beregnes.

Ved dedikert operasjonsmåte kan det unnlates å implementere systemseparasjon og sporbarhet dersom systemeier aksepterer den risiko for tap av sikkerhet (dvs autentisitet, integritet, tilgjengelig, ansvarlighet og tillit) som måtte følge av dette.

Dedikert operasjonsmåte skal bare tilknyttes systemer med samme graderingsnivå, autorisasjonskrav og tjenestelige behov. Fellesnivå operasjonsmåte skal bare tilknyttes systemer med samme graderingsnivå og autorisasjonskrav. Partisjonert operasjonsmåte skal bare tilknyttes systemer med samme graderingsnivå. Systemets partisjoner, som hver for seg har fellesnivå operasjonsmåte, skal bare tilknyttes systemer med samme graderingsnivå og autorisasjonskrav.

Der flere enn to informasjonssystemer sammenkobles skal dette skje via et eget informasjonssystem som er dedikert for dette formålet. Dette systemet skal etableres i samsvar med forskrift om sikkerhetsadministrasjon § 2-6 av berørte systemeiere og være en selvbeskyttende felles sone for helhetlig og enhetlig sikring av trafikk mellom de sammenkoblede systemene. Sikringen skal være basert på sammenkoblingsavtaler mellom systemeiere for de tilknyttede systemene samt eventuelle bestemmelser gitt av NSM.

NSM fastsetter hvilken systemteknisk sikkerhetsfunksjonalitet som kreves for informasjonssystemer, samt hvordan denne sikkerhetsfunksjonaliteten skal organiseres, installeres, konfigureres, testes, dokumenteres, brukes og driftes.

NSM kan bestemme at hele eller deler av sikkerhetsfunksjonaliteten skal evalueres og sertifiseres i henhold til evalueringskriterier, sikkerhetsprofiler og tillitsnivå angitt av NSM.

Evaluerte og sertifiserte produkter skal benyttes for å etablere den grunnleggende sikkerhetsfunksjonaliteten og tillitsnivået i informasjonssystemet. Applikasjoner skal gjenbruke den evaluerte og sertifiserte sikkerhetsfunksjonaliteten (integrert sikkerhet). Applikasjoner som introduserer utvidet sikkerhetsfunksjonalitet skal være interoperable med den evaluerte og sertifiserte sikkerhetsfunksjonaliteten og eventuelt annen utvidet sikkerhetsfunksjonalitet. Sikkerhetstjenester skal dekke hele informasjonssystemet, der dette er påkrevd. Fragmenterte sikkerhetsløsninger skal ikke benyttes. Løsninger for punkt 2 til 4 skal baseres på evaluerte og sertifiserte produkter når slike er tilgjengelige.

Systemtekniske sikkerhetstiltak som krever rask utførelse eller som er tilbøyelige til å introdusere feilsituasjoner ved manuell utførelse skal automatiseres.

Systemtekniske sikkerhetstiltak skal normalt kunne fjernstyres.

Store og virksomhetsomspennende informasjonssystemer (entreprise-systemer) skal ha sikkerhetsløsninger som adresserer totalsystemets omfang og kompleksitet. Den operative dimensjonen, med deteksjons-, reaksjons- og gjenopprettingsevne skal vektlegges.

For å ivareta sikkerheten til totalsystemet kan NSM i det enkelte tilfelle bestemme at tiltaksutvikling for store informasjonssystemer skal være underlagt én overordnet systemeier, planleggingsprosses og utviklingsprosess selv når flere parter eier, planlegger eller utvikler systemet.

Eiere av sikkerhetsgradert infrastruktur kan pålegges å regelmessig konsultere NSM i forbindelse med strategiarbeid, langtidsplanlegging, prosjektering og utvikling av informasjonssystemer som krever sikkerhetsmessig godkjenning, slik at NSM får mulighet til å gi strategiske råd, vurdere planlagte aktiviteter opp mot sikkerheten i totalløsningen, identifisere behov for tiltaksutvikling og koordinere tiltaksutvikling på tvers av systemer og virksomheter.

Ved overføring, lagring og behandling av sikkerhetsgradert informasjon fastsetter NSM hvilke kryptografiske mekanismer som kreves.

Sikring av sikkerhetsgradert informasjon ved bruk av kryptografiske mekanismer kan bare foretas med kryptoutstyr og metode for administrasjon av kryptonøkler og digitale sertifikater godkjent av NSM.

Ved overføring av sikkerhetsgradert informasjon utenfor kontrollert område skal det benyttes kryptering og dekryptering. Sikkerhetsgradert informasjon kan overføres ukryptert på kabeltype godkjent av NSM, dersom kablene i sin helhet ligger innenfor eget kontrollert område og overføringen er sikret med andre mekanismer, jf. § 5-1 til § 5-9.

Nærmere bestemmelser om administrativ kryptosikkerhet er fastsatt i kapittel 7.

Informasjonssystem for KONFIDENSIELT eller høyere og informasjonssystem for BEGRENSET eller høyere i utenrikstjenesten eller norskkontrollert område i utlandet, skal beskyttes mot at uvedkommende kan få tilgang til sikkerhetsgradert informasjon ved å motta og analysere kompromitterende elektromagnetisk stråling (TEMPEST) fra et informasjonssystem.

Alle enheter i et informasjonssystem skal installeres slik at de på en tilstrekkelig måte hindrer at uvedkommende får tilgang til systemet, sender uautorisert informasjon gjennom systemet, eller skader systemet. Sikringen kan bestå av en kombinasjon av krav til teknisk utstyr, installasjon, forseringshindringer, tilsyn og fysisk kontroll. Med mindre NSM bestemmer annet skal fiberoptiske kabler benyttes i et informasjonssystem.

NSM fastsetter nødvendige tiltak som må iverksettes for å beskytte et informasjonssystem mot TEMPEST.

Informasjonssystemer og kommunikasjons- og opptaksutstyr skal sikres mot utnyttelse til uønsket avlytting eller innsyn i sperrede områder, sikrede konferanserom og spesialrom. Systemer og utstyr skal sikres uavhengig av om det er ment for håndtering av sikkerhetsgradert informasjon. Virksomhetens leder skal sørge for sikring av systemer og utstyr i beskyttet område dersom det etter en risikovurdering anses som nødvendig.

Ved presentasjon av sikkerhetsgradert informasjon hvor flere virksomheter er involvert, f.eks. under møte, konferanse, orientering eller undervisning, er det arrangøren som har ansvaret for at bestemmelsene i første ledd blir overholdt. Ved presentasjon av KONFIDENSIELT eller høyere skal arrangøren som minimum gi de tilstedeværende retningslinjer for bruk av personlig medbrakt informasjonssystem eller kommunikasjons- og opptaksutstyr.

I rom med kryptoutstyr eller med sentralutrustning for nettverkssystem skal det ikke være annet teknisk utstyr som medfører at uønsket personell må gis adgang ved vedlikehold, reparasjon eller kontroll. Dersom elektriske installasjoner og kabelsystem som ikke tilhører informasjonssystemet skal være i samme rom som informasjonssystemet, skal det godkjennes av NSM.

I rom i utlandet med informasjonssystemer for sikkerhetsgradert informasjon skal elektriske installasjoner og kabelsystem ikke installeres som skjult anlegg.

I tilfeller der posisjon eller bevegelse av personer eller mobile enheter er å anse som skjermingsverdig informasjon, skal mobiltelefon, radiosendere eller andre systemer som sender ut signaler slås av eller kobles fra strømforsyning, med mindre det ut i fra en risikovurdering er et operativt behov for at systemene er i funksjon.

I rom med kryptoutstyr eller med sentralutrustning for nettverkssystem skal det ikke være annet teknisk utstyr som kan true informasjonens eller systemets integritet eller tilgjengelighet, herunder signaler som kan innvirke på systemet.

Virksomheter som har informasjonssystemer som behandler sikkerhetsgradert informasjon skal etablere en datasikkerhetsorganisasjon. Organisasjonen skal ha tilstrekkelig myndighet, kompetanse og ressurser til å ivareta sikkerheten i systemene, og skal minimum bestå av datasikkerhetsleder med stedfortreder.

Datasikkerhetsleder, driftsansvarlige og andre med administrative rettigheter og privilegier skal sikkerhetsklareres og autoriseres for minimum ett graderingsnivå høyere enn informasjonssystemet. Dette gjelder ikke for dedikerte informasjonssystemer.

Før maskinlesbare lagringsmedier tas i bruk skal innholdets opphav verifiseres og det skal kontrolleres at de ikke inneholder programvare som er ødeleggende eller på annen måte kan true sikkerheten.

Det skal etableres rutiner og ansvar for administrativ konfigurasjonsstyring av informasjonssystemet.

Forslag til endringer i godkjent konfigurasjon skal forelegges ansvarlig for konfigurasjonsstyring av informasjonssystemet. Vesentlige endringer i konfigurasjon av et informasjonssystem og enhver endring i konfigurasjon av en kryptoinstallasjon skal forelegges godkjenningsansvarlig for informasjonssystemet.

Registrering av sikkerhetsrelevante hendelser (logger), jf. § 5-3 e, skal lagres i minst 5 år.

Maskinvare i informasjonssystem, herunder sentralutrustning og periferutstyr, skal merkes «Sikkerhetsgodkjent for [graderingsnivå] og [signatur datasikkerhetsleder]» eller «midlertidig brukstillatelse for [graderingsnivå] og [signatur datasikkerhetsleder]». Dato for sikkerhetsgodkjenning, eller midlertidig brukstillatelse, for maskinvare, skal fremgå av et eget medieregister.

Transportable informasjonssystemer skal merkes diskré slik at merking ikke gjør systemet attraktivt for uvedkommende.

Regler om merking av maskinlesbare lagringsmedier er fastsatt i § 4-1 til § 4-8. For merking av kryptoutstyr gjelder i tillegg § 7-17.

Ved anskaffelse av informasjonssystem eller tjenester tilknyttet dette, er den som foretar anskaffelsen ansvarlig for korrekt sikkerhetsgradering av grunnlagsmaterialet. Systemeier skal forsikre seg om at systemet kan sikkerhetsgodkjennes for den høyeste sikkerhetsgraden som skal håndteres. Leverandøren skal dokumentere hvordan sikkerhetskravene oppfylles. Avvik fra eller tvil om oppfyllelse av sikkerhetskravene skal forelegges godkjenningsansvarlig for informasjonssystemet, jf. § 5-28.

Sikkerhetsavtalen skal utformes slik at maskinlesbare lagringsmedier med sikkerhetsgradert informasjon ikke blir returnert til leverandøren.

Ved anskaffelse av kryptoutstyr eller tempestgodkjent utstyr skal utstyr og leverandør være godkjent av NSM.

Bestemmelsene i sikkerhetsloven kapittel 7 og forskrift om sikkerhetsgraderte anskaffelser gjelder for anskaffelsen dersom leverandøren skal få tilgang til eller produsere sikkerhetsgradert informasjon.

NSM kan gi nærmere bestemmelser om anskaffelse, forsendelse og vedlikehold av utstyr som skal behandle sikkerhetsgradert informasjon i utlandet.

personell ved behov inneha relevant sikkerhetsklaring, kryptokvalifikasjon og autorisasjon, leverandør ved behov leverandørklareres og inngås sikkerhetsavtale med, utstyr som kobles til informasjonssystemet være sikkerhetsgodkjent, lagringsmedier i utstyr som kobles til informasjonssystemet være eid av virksomheten selv, og fjerndiagnostikk bare foregå over kryptert forbindelser godkjent av NSM

Virksomheten skal føre fortegnelse over aktuelt vedlikeholdspersonell med angivelse av eventuelle tillatelser nevnt i første ledd nr. 1.

Avhending av et informasjonssystem skal foregå på en måte som gir tillit til at sikkerhetsgradert informasjon ikke kan gjenvinnes.

For avgradering, tilintetgjøring og gjenbruk av maskinlesbare lagringsmedier gjelder bestemmelsene i § 2-10, § 4-29 og § 4-31 til § 4-36. Etter at lagringsmedier er avgradert eller fjernet fra informasjonssystemet, kan informasjonssystemet avhendes. NSM kan i det enkelte tilfelle bestemme på hvilken måte lagringsmedier av en bestemt type teknologi kan avhendes.

Informasjonssystem og maskinlesbart lagringsmedium som er personlig eid skal ikke benyttes til håndtering av sikkerhetsgradert informasjon.

Et informasjonssystem skal være sikkerhetsgodkjent før det kan benyttes til håndtering av sikkerhetsgradert informasjon.

Eier av informasjonssystemet skal budsjettere med og dekke alle kostnader ved sikkerhetsgodkjenningen.

Ved endringer i sikkerhetskonseptet skal det gjennomføres en ny sikkerhetsgodkjenning. Ved andre endringer i grunnlaget for sikkerhetsgodkjenning skal systemeier og virksomhetens leder vurdere behov for ny sikkerhetsgodkjenning.

En sikkerhetsgodkjenning gjelder normalt i 3 år.

Systemeier og virksomhetens leder skal minst en gang i året gjennomføre sikkerhetsrevisjon av informasjonssystemet.

Virksomhetens leder og systemeier plikter å avsette nødvendige ressurser for å få sikkerhetsgodkjent informasjonssystemer som behandler sikkerhetsgradert informasjon. Ved større prosjekter eller anskaffelser må virksomhetens leder utpeke en prosjektsikkerhetsleder med ansvar for å gjennomføre godkjenningsprosessen, og ved behov etablere en arbeidsgruppe sikkerhet for å koordinere prosessen.

Ved sikkerhetsgodkjenning av informasjonssystemer skal virksomhetens leder eller systemeier sørge for at alle sikkerhetskrav fastsatt i eller i medhold av denne forskriften blir ivaretatt.

Sikkerhetsgodkjenning av informasjonssystemer skal gjennomføres på grunnlag av dokumentert sikkerhetskonsept, sikkerhetskrav, sikkerhetstiltak, testing og risikohåndtering. Sikkerhetstiltakene skal verifiseres.

Godkjenningsprosessen skal beskrives i en godkjenningsstrategi, jf. § 5-34.

Avvik er dokumenterte, herunder sikkerhetskrav, -tiltak og -tester som ikke er oppfylte. Det er sannsynliggjort at avvikene vil bli korrigerte og det foreligger en fremdriftsplan for dette arbeidet. Det foreligger en plan for avvikshåndtering og kompenserende tiltak. Den risiko som følger av punktene 1-3 er dokumentert, vurdert, meddelt og akseptert virksomhetens leder. Det foreligger en godkjenningsstrategi som angir når systemet vil bli lagt frem for endelig sikkerhetsgodkjenning.

NSM kan i særlige tilfeller dispensere fra kravene i første ledd.

NSM, eller den som NSM utpeker, er med de unntak som følger av andre og tredje ledd ansvarlig for sikkerhetsgodkjenning av informasjonssystemer.

Er lokalisert i Norge. Ikke har forbindelser til utlandet. Ikke har forbindelser til informasjonssystemer utenfor egen virksomhet. Ikke har forbindelse utenfor kontrollert område.

Når virksomhetens leder skal godkjenne et informasjonssystem, kommer samme krav til anvendelse som når NSM er godkjenningsansvarlig.

Rapport om sikkerhetsgodkjenning sendes NSM.

Fellesnivå informasjonssystem for HEMMELIG eller høyere. Partisjonerte informasjonssystemer. Flernivå informasjonssystemer. Kryptoutstyr og metode for administrasjon av kryptonøkler.

Sikkerhetsevalueringen skal som teknisk vurdering søke å påvise om de systemtekniske sikkerhetstiltakene er tilstrekkelige, har nødvendig tillitsnivå, og er gjennomført i samsvar med systemtekniske krav i KSS.

Sikkerhetsevaluering kan utføres av NSM eller den NSM godkjenner for dette formål. Eier av informasjonssystemet skal budsjettere med og dekke alle kostnader ved sikkerhetsevalueringen.

Fellesnivå informasjonssystem for HEMMELIG eller høyere. Partisjonerte informasjonssystemer. Flernivå informasjonssystemer. Kryptoutstyr.

Sertifiseringen skal gå ut på å avgjøre om det kan gis typegodkjenning av et produkt eller system for håndtering av sikkerhetsgradert informasjon i et informasjonssystem eller del av dette. Sertifiseringen gis på grunnlag av en sikkerhetsevaluering og skal foreligge før sikkerhetsgodkjenning blir gitt.

Sikkerhetskonsept Godkjenningsstrategi og gjennomføringsplan Kravspesifikasjon for sikkerhet (KSS) Dokumentasjon utarbeidet i forbindelse med sikkerhetsevaluering og sertifisering, der det er krav om dette, jf. § 5-30 og § 5-31 Tempestrisikovurdering, der det er krav om dette, jf. § 5-11 Driftsinstruks Brukerinstruks.

NSM kan tilpasse kravene til sikkerhetsdokumentasjon til det enkelte systems behov, jf. § 5-34.

systemeier informasjonssystemets hensikt, bruksområde og omfang verdivurdering, herunder informasjonens sikkerhetsgradering brukernes klarering og autorisasjon resultatet av tempestrisikovurdering geografisk og fysisk plassering inndeling i fysiske områder, jf. § 6-3 til § 6-6 datakommunikasjon og kryptering sammenkobling med andre systemer operasjonsmåte vurdering av behov for sikkerhetsevaluering og sertifisering systemtekniske aspekter, herunder valg av sikkerhetsfunksjonalitet, -design, -styring, -kontroll og -ledelse, -konfigurasjon og tillit.

Der NSM er godkjenningsansvarlig skal prosessen for sikkerhetsgodkjenning beskrives i en godkjenningsstrategi, som er en avtale mellom godkjenningsmyndighet og systemeier.

Dette dokumentet skal beskrive ansvar og aktører i godkjenningsarbeidet, hvilke sikkerhetsdokumenter som skal utarbeides, behov for evaluering og sertifisering av hele eller deler av systemet. I tillegg skal det utarbeides en gjennomføringsplan med leveranser og milepæler frem til endelig sikkerhetsgodkjenning.

For å forenkle godkjenningsprosessen og for å øke muligheten for gjenbruk kan informasjonssystemet deles inn i moduler som godkjennes hver for seg.

NSM kan gi nærmere bestemmelser om dette.

KSS skal i tillegg til alle sikkerhetskrav inneholde sikkerhetstiltak som møter sikkerhetskravene, testdokumentasjon, avvik med risikovurdering og forslag til risikohåndtering.

KSS skal følge informasjonssystemet i hele levetiden fra planlegging, utvikling, implementering og drift til utfasing. Godkjenningsansvarlig kan i det enkelte tilfelle bestemme at det skal utarbeides egne KSSer for deler av informasjonssystemet.

Ved sammenkobling av informasjonssystemer skal det utarbeides en sammenkoblingsavtale og en informasjonsutvekslingsavtale. Dette kan inngå som en del av KSS.

Omsetting av sikkerhetskonseptet til kravformuleringer Beskrivelse av sikkerhetstiltakene som møter kravene i punkt 1, inkludert tilhørende teknisk systemdokumentasjon Beskrivelse av hvordan funksjonene er sikkerhetstestet En vurdering av risikoer som følge av ev mangler avdekket under punkt 1 til 3. Angivelse av hvilke fremtidige endringer som er akseptable innen rammen av gitt sikkerhetsgodkjenning.

NSM kan for det enkelte tilfelle fastsette særskilte bestemmelser som avviker fra denne paragrafen.

Sikkerhetsevaluering skal dokumenteres på den måten NSM bestemmer i det enkelte tilfelle. I forbindelse med sertifisering skal sertifiseringsmyndigheten utstede et sertifikat og en sertifiseringsrapport.

Virksomhetens leder er ansvarlig for at det blir utarbeidet en skriftlig TEMPEST risikovurdering i samsvar med § 5-11.

TEMPEST risikovurderingen er en del av sikkerhetsdokumentasjonen. TEMPEST risikovurderingen skal beskrive nødvendige TEMPEST tiltak og gi en nærmere beskrivelse av trussel, verdi og sårbarhet knyttet til systemet. Trussel er avhengig av omfanget av inspiserbart område og om installasjonen er i Norge eller i utlandet. Verdi er avhengig av omfanget av sikkerhetsgradering og mengde av sikkerhetsgradert informasjon. Sårbarhet er avhengig av omfanget av type utstyr som skal brukes og det bygningstekniske rundt systemet. Det skal utarbeides planløsninger som gir nødvendig separasjon mellom informasjonssystemer. Det skal foreligge oppdaterte kart over kabelsystemer som transporterer sikkerhetsgradert informasjon.

Driftsinstruksen skal beskrive daglige og periodiske rutiner for sikker drift. Instruksen skal blant annet beskrive alle administratorroller og krav til disse, rutinemessig systeminstallasjon og -oppsett, brukeradministrasjon, tilgangskontroll, maskin- og programvarekonfigurasjon, konfigurasjonskontroll, rutinemessig sikkerhetsverifikasjon, systemovervåking, sikkerhetskopiering, reservedrift, vedlikehold, avhending og tiltak mot ødeleggende programvare.

Brukerinstruksen skal beskrive rutiner for sikker bruk av systemet. Instruksen skal være kjent og lett tilgjengelig for alle brukerne.

§ 6-1 nytt andre ledd skal lyde:

NSM kan dispensere fra kravene til behandling og oppbevaring i denne paragrafs første ledd, første punkt.

Nåværende andre ledd blir nytt tredje ledd.

§ 6-8 andre ledd, tredje punktum, skal lyde:

Personell som gis permanent adgang, herunder vakter, vedlikeholdspersonell og rengjøringspersonell, skal være sikkerhetsklarert for minimum KONFIDENSIELT.

§ 6-9 syvende ledd, andre punktum, skal lyde:

Det skal etableres permanent vakthold eller installeres et godkjent elektronisk sikringsanlegg.

§ 6-14 skal lyde:

NSM er godkjenningsmyndighet for oppbevaringsenhet, spesifikasjon for hvelv og elektronisk sikringsanlegg som det er krav om godkjenning for i henhold til dette kapittelet.

§ 7-36 fjerde ledd, første punktum, skal lyde:

Dersom det ikke er mulig å stille et eget rom til disposisjon kan kryptotjenesten foregå i et rom som også blir benyttet til andre formål.

§ 7-40 første ledd, første punktum, skal lyde:

Kryptoutstyr skal beskyttes i samsvar med § 5-11, og installasjonen skal godkjennes av NSM.

§ 8-2 andre ledd skal lyde:

Kurerposttjeneste i eller til fremmede stater kan også utføres av Forsvaret eller andre virksomheter godkjent av NSM for dette formål, dersom tjenesten utføres i samsvar med NATOs bestemmelser eller andre overenskomster.

§ 8-9 skal lyde:

Ved kurerforsendelse skal avsender utstede et kurersertifikat.

For forsendelse til utlandet utstedes kurersertifikatet på fransk eller engelsk. Ved forsendelse til nordiske stater kan norsk benyttes isteden. Sertifikatene skal nummereres fortløpende av utsteder. I sertifikatet skal det gis opplysninger om forsendelsens registreringsnummer, kurerens navn, avsender, mottaker, og antall kolli eller vekt. Sertifikatet skal signeres av virksomhetens leder, og påføres virksomhetens stempel.

§ 9-1 skal lyde:

Presentasjon av KONFIDENSIELT eller høyere innenfor beskyttet område kan bare finne sted i godkjent rom. Virksomhetens leder godkjenner rom for presentasjon til og med KONFIDENSIELT. NSM godkjenner rom for presentasjon av HEMMELIG og STRENGT HEMMELIG. Rom godkjent for presentasjon av HEMMELIG eller STRENGT HEMMELIG skal sikres permanent i samsvar med § 9-3 til § 9-10. NSM kan etter en risikovurdering gi dispensasjon fra kravet i fjerde punktum.

Presentasjon av KONFIDENSIELT eller høyere utenfor beskyttet område kan bare finne sted etter samtykke fra NSM i det enkelte tilfelle. Rommet skal i så fall sikres midlertidig i samsvar med § 9-11.

Presentasjon av sikkerhetsgradert informasjon i norsk kontrollert område i utlandet kan bare finne sted etter at rommet er godkjent av NSM for dette formål og sikret som nevnt i første og andre ledd med henvisninger. NSM kan i særlige tilfeller, etter en risikovurdering, gi dispensasjon fra kravet i første punktum.

§ 9-2 første ledd skal lyde:

etablering og etterkontroll av permanent sikrede rom, presentasjon av KONFIDENSIELT eller høyere i rom utenfor beskyttet område, mistanke om ulovlig avlytting eller innsyn i rom for presentasjon av sikkerhetsgradert informasjon, og brudd på § 9-3 til § 9-10.

§ 9-5 nytt femte og sjette ledd skal lyde:

Dører skal lydisoleres på samme nivå som rommet for øvrig, f.eks. ved bruk av dobbelte dører, polstring eller tetningslister.

Vinduer skal lydisoleres på samme nivå som rommet for øvrig og innsyn under ulike lysforhold skal hindres. Gardiner skal være ugjennomsiktige ved bruk av lampelys. Vinduene skal monteres slik at forsering utenfra lett kan oppdages. Det skal i sikringen tas hensyn til lokal risikovurdering av blant annet muligheten for innbrudd og rettet avlyttingsutstyr mot vinduer.

§ 9-6 første ledd skal lyde:

Uvedkommende skal hindres adgang ved avlåsing eller annen adgangskontroll til området. Låsen skal ikke inngå i sentralt låsesystem. Bare særskilt utpekt personell skal få adgang til rommet uten ledsagelse.

§ 9-6 andre ledd og tredje ledd – oppheves.

§ 9-6 nytt andre ledd skal lyde:

Dersom ytre dør er utvendig hengslet skal den sikres i bakkant. Rommet skal for øvrig sikres i samsvar med bestemmelsene gitt i § 6-9, femte ledd. Nøkler til rommet skal oppbevares som for KONFIDENSIELT i samsvar med bestemmelsene gitt i § 6-15, tredje ledd.

§ 9-8 overskrift skal lyde:

Elektriske installasjoner

§ 9-8 skal lyde:

Dersom oppvarming ikke kan gjøres i forbindelse med ventilasjon, skal elektrisitet nyttes. Når det foreligger særlige grunner kan NSM dispensere fra bestemmelsen i første punktum.

II

Forskriftens vedlegg 1 om tempestsikkerhet oppheves.

III

Endringene trer i kraft 1. juli 2012.