Kunnskapsdepartementets forventninger til UH-sektoren - foredrag på Uninett-konferansen 2017

I Digitaliseringsstrategi for UH-sektoren skriver Kunnskapsdepartementet følgende:

En målrettet styrking av informasjonssikkerheten

Kunnskapsdepartementet har overordnet ansvar for informasjonssikkerheten i UH-sektoren og vil fortsette å stille tydelige krav til institusjonene, og følge opp disse kravene gjennom styring og tilsyn. Disse kravene bygger på nasjonale regler og føringer og må forstås som minstekrav til informasjonssikkerhet. Departementet legger vekt på at UH-institusjonene har et bevisst forhold til informasjonssikkerheten som en kritisk suksessfaktor for egne digitaliseringsstrategier og strategiske satsinger. Universitetene og høyskolene er kunnskapsvirksomheter hvor forvaltning og foredling av informasjon/data er en del av kjernevirksomheten. Å videreutvikle denne kjernevirksomheten gjennom en strategisk satsing på digitalisering innebærer også at institusjonene må ha et aktivt forhold til styringen av informasjonssikkerheten, og ha en egen strategisk interesse i å løfte denne høyere enn de nasjonale minstekravene.

UH-sektoren er langt framme på mange områder innenfor informasjonssikkerhet slik som for eksempel utvikling av ledelsessystem, organisering av sektorvist responsmiljø og lokal hendelseshåndtering. På andre områder, som for eksempel innføring av ledelsessystemer på institusjonsnivå, er det fortsatt behov for forbedringer. Kunnskapsdepartementet vil styrke styringen av informasjonssikkerheten på sektornivå gjennom et tydeligere rammeverk for denne styringen. Regjeringen har også besluttet at det skal gjennomføres en utredning av informasjonssikkerheten i kunnskapssektoren. Kunnskapsdepartementet kommer nærmere tilbake til dette.  

Informasjonssikkerhet defineres vanligvis som evnen til å forebygge, oppdage og håndtere tre typer hendelser:

• Brudd på konfidensialiteten, det vil si at uvedkommende får innsyn i beskyttelsesverdig informasjon.
• Brudd på integriteten, det vil si at informasjon og/eller systemer endres, skades eller slettes på uautoriserte eller utilsiktede måter.
• Brudd på tilgjengeligheten, det vil si at informasjon og/eller systemer går tapt eller er utilgjengelige når behovet er der.