Informasjonssikkerhet og informasjonssystemer
Vi bistår virksomheter med å beskytte sikkerhetsgradert og annen skjermingsverdig informasjon og informasjonssystemene som behandler eller understøtter denne. Arbeidet tilpasses virksomhetens verdier, leveranser, risikobilde, teknologiske miljø og regulatoriske krav, slik at sikkerheten blir helhetlig, risikobasert og praktisk gjennomførbar.
Helhetlig beskyttelse av informasjon og systemer
Vi vurderer konfidensialitet, integritet og tilgjengelighet gjennom hele systemets livsløp. Systemet ses som en helhet av mennesker, prosesser, teknologi, lokasjoner, dataflyt, integrasjoner og leverandører – ikke som en isolert teknisk løsning.
Våre rådgivere kombinerer sikkerhetslovens krav, NSMs grunnprinsipper og ISO/IEC 27001 og 27005 med praktisk erfaring fra styring, arkitektur, drift, hendelseshåndtering og systemgodkjenning. Det gir sporbarhet fra verdier og risiko til krav, tiltak, testing og godkjenning.
Rådgivningen kan omfatte
- kartlegging og klassifisering av informasjon, systemer, komponenter, dataflyt, integrasjoner, brukere, leveranser og avhengigheter
- vurdering av krav til konfidensialitet, integritet og tilgjengelighet, inkludert skadevurdering, gradering, merking, lagring, overføring og destruksjon
- risikovurdering av informasjonssystemer med identifisering av trusler, sårbarheter, eksisterende tiltak, restrisiko og behov for risikobehandling
- etablering eller videreutvikling av ledelsessystem for informasjonssikkerhet, policyer, roller, toleransegrenser, kontrollmål og styrende dokumentasjon
- utforming av sikkerhetsarkitektur og krav til blant annet identitets- og tilgangsstyring, minste privilegium, autentisering, segmentering, sikker konfigurasjon, kryptering og fysisk beskyttelse
- vurdering av logging, overvåking, deteksjon, sårbarhetsstyring, oppdatering, sikkerhetskopiering og beskyttelse mot skadevare og uautoriserte endringer
- beredskap for digitale hendelser, varslingsrutiner, hendelseshåndtering, kontinuitet, gjenoppretting, øvelser og læring
- sikkerhet i anskaffelser, utvikling, endringer, drift, skytjenester, tjenesteutsetting og leverandørkjeder
- utarbeidelse av systembeskrivelse, sikkerhetsmål, sikkerhetskrav, risikoregister, kontrollmatrise, Statement of Applicability og risikobehandlingsplan
- gap-analyser og modenhetsvurderinger mot sikkerhetsloven, NSMs grunnprinsipper, ISO/IEC 27001 og andre relevante krav og rammeverk
- bistand med dokumentasjon, testing, kontroll og forberedelser til godkjenning av skjermingsverdige informasjonssystemer
- opplæring og bevisstgjøring for ledelse, systemeiere, administratorer, brukere og leverandører
Hva får virksomheten?
Virksomheten får en prioritert oversikt over kritiske informasjonsverdier og systemer, gjeldende krav, etablerte kontroller og nødvendige forbedringer. Leveransen kan omfatte systemoversikt, risikovurdering, sikkerhetskonsept, kontrollmatrise, tiltaksplan og underlag for ledelsesbeslutninger, revisjon, tilsyn eller systemgodkjenning.
← Tilbake til Sikkerhetsloven og risikoanalyser