Forebygging av informasjonslekkasje: Hva bør interne retningslinjer inneholde?

Informasjonslekkasje kan påføre bedriftens virksomhet kritisk skade. Derfor er det viktig å utarbeide interne forebyggende tiltak.

Spesifikt kan det være hensiktsmessig å etablere interne retningslinjer og følge dem i praksis. Men hvilke interne retningslinjer bør man utarbeide? I denne artikkelen vil vi forklare hvordan bedriftens juridiske avdeling kan utarbeide interne retningslinjer for å redusere risikoen for informasjonslekkasje.

Hva er interne retningslinjer for informasjonssikkerhet?

Informasjonslekkasje kan oppstå når som helst og på uventede tidspunkter. Derfor er det viktig å utarbeide grundige interne retningslinjer på forhånd for å være forberedt på slike hendelser.

Videre, hvis en informasjonslekkasje skulle oppstå, kan man minimere skadene ved å følge de forhåndsbestemte interne retningslinjene for å håndtere situasjonen på en passende måte.

Utforme grunnleggende retningslinjer

Først og fremst kan det være hensiktsmessig å utforme grunnleggende retningslinjer for informasjonslekkasje for å klargjøre hvordan bedriften skal håndtere slike situasjoner.

De grunnleggende retningslinjene kan for eksempel inneholde følgende punkter:

• Innhold om bedriftens og ledernes ansvar
• Innhold om overholdelse av lover og forskrifter
• Innhold om etablering av interne systemer
• Innhold om informasjonsstyring
• Innhold om tiltak rettet mot ansatte
• Innhold om håndtering ved informasjonslekkasje
• Innhold om regelmessig gjennomgang av de grunnleggende retningslinjene

De grunnleggende retningslinjene kan også brukes eksternt, på samme måte som en personvernpolicy, for å tydeliggjøre bedriftens grunnleggende holdning. Ved å gjøre dette kan bedriften vise sin høye bevissthet om informasjonslekkasje, noe som kan bidra til å øke den sosiale tilliten.

Det er imidlertid viktig å merke seg at det ikke er tilstrekkelig å bare sette opp grunnleggende retningslinjer. Det er nødvendig å utforme retningslinjene i samsvar med bedriftens faktiske forhold og å følge dem i praksis.

Relatert artikkel: Hva er poengene ved utforming av en personvernpolicy i henhold til den japanske personopplysningsloven?[ja]

Regler for beskyttelse av informasjon

Som en del av interne regler kan det være hensiktsmessig å fastsette innhold relatert til beskyttelse av informasjon.

For beskyttelse av informasjon kan man for eksempel vurdere å sette følgende innhold:

Analyse av risiko for informasjonslekkasje

Uten tilstrekkelig risikoanalyse for informasjonslekkasje, kan man ikke iverksette passende tiltak i henhold til risikoen. Derfor er det viktig å fastsette innhold relatert til analyse av risiko for informasjonslekkasje i interne regler for beskyttelse av informasjon.

Oversikt og databasing av informasjon som selskapet besitter

Hvis selskapet ikke har en klar oversikt over informasjonen det besitter, blir det vanskelig å administrere den tilstrekkelig. Ved å databasisere informasjonen selskapet har, blir det mulig å administrere informasjonen på en passende måte.

Fastsettelse av informasjonshåndterere

Ved å fastsette informasjonshåndterere i interne regler, kan man begrense omfanget av informasjonens bruk til et minimum og redusere risikoen for informasjonslekkasje.

Fastsettelse av prosedyrer for avsløring og levering av informasjon

Ved å fastsette prosedyrer for avsløring og levering av informasjon som selskapet besitter i interne regler, kan man sikre at operasjoner utføres i henhold til disse prosedyrene. Dette kan forhindre situasjoner der ansatte bruker selskapets informasjon basert på egen vurdering, og som et resultat bidra til å forhindre informasjonslekkasje.

Begrensning av overføring av informasjon til eksterne parter

Ved å fastsette innhold relatert til overføring av informasjon som selskapet besitter til eksterne parter i interne regler, kan man forhindre unødvendig overføring av informasjon til eksterne parter og forvente en viss effekt i å forhindre informasjonslekkasje.

Fastsettelse av revisjon av informasjonssikkerhetssystemet

Selv om selskapet har etablert et informasjonssikkerhetssystem, er det meningsløst hvis det ikke opereres i henhold til dette systemet.

Derfor kan det være hensiktsmessig å fastsette i interne regler at en uavhengig enhet fra revisjonsobjektet skal utføre revisjon av informasjonssikkerhetssystemet.

Regler for Personelladministrasjon

Informasjonslekkasje kan også oppstå på grunn av menneskelige feil (human error) fra personer som håndterer informasjon. Derfor kan det være hensiktsmessig å fastsette regler om personer som håndterer informasjon i interne retningslinjer.

Disse reglene for personelladministrasjon kan også inkluderes i arbeidsreglementet eller i retningslinjene for håndtering av konfidensiell informasjon.

For eksempel kan følgende innhold fastsettes:

Taushetsplikt

Det kan være hensiktsmessig å fastsette innhold om taushetsplikt for ansatte i interne retningslinjer. Ved å fastsette taushetsplikt kan man pålegge ansatte en kontraktsmessig plikt til å opprettholde taushet.

Videre kan man forvente å øke bevisstheten om taushetsplikt blant ansatte.

Forbud mot uautorisert bruk av informasjon

Taushetsplikt handler primært om å forhindre informasjonslekkasje. I tillegg kan det være effektivt for å forhindre informasjonslekkasje å fastsette et forbud mot uautorisert bruk av informasjon.

Konfidensialitetserklæring ved ansettelse

En metode kan være å kreve at ansatte ved ansettelse leverer en konfidensialitetserklæring som inkluderer taushetsplikt og forbud mot uautorisert bruk av informasjon.

Konfidensialitetserklæringen ved ansettelse har både en kontraktsmessig forpliktelse og en hensikt om å øke bevisstheten om å forhindre informasjonslekkasje blant ansatte.

Konfidensialitetserklæring ved fratredelse

Det er nødvendig å sikre at ansatte ikke lekker informasjon både under og etter ansettelsen.

Derfor kan det være hensiktsmessig å kreve at ansatte ved fratredelse leverer en erklæring om at de ikke vil lekke informasjon de har fått kjennskap til under ansettelsen. Dette er fordi interne retningslinjer i prinsippet kun har effekt på ansatte og ikke etter at de har fratrådt.

Opplæring av ansatte om informasjonslekkasje

Ved å innhente konfidensialitetserklæringer fra ansatte kan man i noen grad øke bevisstheten om informasjonslekkasje, men erklæringer alene er ikke nødvendigvis tilstrekkelige for å få ansatte til å forstå alvoret ved informasjonslekkasje.

Derfor kan det være nyttig å fastsette i interne retningslinjer at man skal gjennomføre bedriftsintern opplæring med jevne mellomrom for å utdanne ansatte om å forhindre informasjonslekkasje.

Regler for fysisk administrasjon

For å forhindre informasjonslekkasje, er det nødvendig å bygge et miljø der informasjon fysisk er vanskelig å lekke.

For eksempel kan følgende innhold fastsettes i interne regler om informasjonsadministrasjon:

Administrasjon av inn- og utgang til rom der informasjon lagres

Ved å tydelig definere sikkerhetssoner i henhold til informasjonen som håndteres internt, og administrere inn- og utgang samt låsing av hver sone, kan fysisk tilgang til informasjon reduseres.

Ved å redusere fysisk tilgang til informasjon, kan risikoen for informasjonslekkasje forventes å reduseres.

Tilgang til servere

Hvis informasjon lagres på servere, kan det være hensiktsmessig å begrense tilgangsrettighetene til serverne i interne regler.

Hvis ansatte enkelt kan få tilgang til informasjon, øker risikoen for informasjonslekkasje. Derfor er det effektivt å begrense tilgangen til servere der informasjon lagres for å forhindre informasjonslekkasje.

Håndtering av dokumenter og andre medier

Det er også viktig å spesifisere konkrete regler for håndtering og lagring av informasjon i interne regler.

For eksempel, hvis informasjonen er på papir, kan det være hensiktsmessig å lagre den i låsbare skap eller å etablere et rom for informasjonsgjennomgang der dokumenter ikke kan tas med til andre rom.

Retningslinjer for bruk av IT-utstyr

Den siste tiden har utviklingen av internett og økningen i fjernarbeid ført til flere anledninger for å utveksle informasjon ved hjelp av IT-utstyr.

Derfor kan det være hensiktsmessig å fastsette følgende innhold i interne retningslinjer angående bruk av IT-utstyr.

Prosedyre for utlån av IT-utstyr fra selskapet

Først og fremst er det viktig å administrere hvem som har mottatt utlån av IT-utstyr som datamaskiner fra selskapet, og når dette skjedde.

Videre er det viktig å regelmessig overvåke bruken av IT-utstyr for å sikre at de som har mottatt utlån fra selskapet, ikke bruker utstyret i miljøer hvor det er høy risiko for informasjonslekkasje.

Prosedyre for bruk av private enheter (BYOD)

Med økningen i hjemmearbeid har det også blitt vanligere at ansatte bruker sine private IT-enheter til arbeid. Når PC-er eller USB-minnepinner er ansattes private eiendom, er det mulig at tilstrekkelige sikkerhetstiltak ikke er på plass.

Videre, siden de bruker IT-enheter de er vant til, kan ansatte ha en redusert følelse av risiko når de håndterer arbeidsrelatert informasjon, noe som kan føre til utilstrekkelig administrasjon.

Derfor kan det være hensiktsmessig å fastsette prosedyrer og forbud i interne retningslinjer for bruk av private enheter (BYOD) når selskapet tillater ansatte å bruke slike enheter.

Andre regler om informasjonslekkasje

I tillegg til de interne reglene om informasjonslekkasje, kan det være hensiktsmessig å fastsette følgende punkter.

Regler for personlig bruk av sosiale medier

Sosiale medier kan brukes både med ekte navn og anonymt. Ved anonym bruk kan det være en risiko for at ansatte legger ut innlegg uten å tenke seg om. Selv om man tror at innlegget ikke vil bli sett av mange, kan det likevel bli spredt og nå et stort publikum.

Sosiale medier har en stor spredningskraft, og hvis det oppstår en informasjonslekkasje, kan informasjonen raskt spres.

Derfor kan det være hensiktsmessig å fastsette regler for ansattes bruk av sosiale medier i de interne retningslinjene.

For eksempel kan man dele bruken av sosiale medier inn i “arbeidsrelatert” og “ikke-arbeidsrelatert (privat)”. For arbeidsrelatert bruk kan man kreve søknad og godkjenning, samt rapportering ved eventuelle kriser. Selv for privat bruk kan man forby å skrive om selskapets konfidensielle informasjon eller noe som bryter med lover og regler, og kreve rapportering hvis det er risiko for informasjonslekkasje eller hvis en krise oppstår.

Informasjonslekkasjetiltak for hele konsernet

Større selskaper kan ha flere datterselskaper. Det kan være utveksling av konfidensiell informasjon mellom konsernselskapene, men sikkerhetsnivået er ikke nødvendigvis det samme i hele konsernet.

Derfor kan det være personer som prøver å få uautorisert tilgang til informasjon ved å angripe et datterselskap med svakere sikkerhet enn morselskapet.

For å håndtere slike situasjoner er det viktig at konsernselskapene ikke håndterer informasjonslekkasjetiltak hver for seg, men at hele konsernet samarbeider om tiltakene.

Oppsummering: Rådfør deg med en advokat om interne retningslinjer for informasjonssikkerhet

Ovenfor har vi forklart hvordan man kan utarbeide interne retningslinjer for å redusere risikoen for informasjonssikkerhet, rettet mot juridiske avdelinger i bedrifter. For å forhindre informasjonssikkerhet, er det viktig å iverksette tiltak fra ulike vinkler.

Det er nødvendig å nøye vurdere interne retningslinjer for slike tiltak med et profesjonelt perspektiv. Vi anbefaler å rådføre seg med en advokat med spesialkunnskap når man utarbeider interne retningslinjer.

Relaterte artikler: Risikoen for lekkasje av personlig informasjon i bedrifter og erstatningsansvar[ja]

Veiledning om tiltak fra vårt firma

Monolith Advokatfirma er et advokatfirma med høy ekspertise innen IT, spesielt internett og jus. Ved utarbeidelse av interne retningslinjer er spesialisert kunnskap uunnværlig. Vårt firma gjennomgår ulike saker for alt fra børsnoterte selskaper til oppstartsbedrifter. Hvis du har problemer med interne retningslinjer, vennligst se artikkelen nedenfor.