Sikker datalagring betyr at virksomheten kan beskytte data mot uautorisert innsyn, uønsket endring og tap, samtidig som informasjonen er tilgjengelig når den trengs. Valget står derfor ikke bare mellom lokal server og skylagring. Det handler om hele livsløpet: kartlegging, tilgang, kryptering, sikkerhetskopiering, gjenoppretting, avtaler, sletting og leverandørbytte.
En lagringsplattform kan ha gode tekniske sikkerhetsfunksjoner og likevel brukes uforsvarlig. Motsatt kan en enkel løsning fungere godt når ansvar, tilgang og gjenoppretting er tydelig organisert. Denne guiden viser hvilke spørsmål norske virksomheter bør besvare før de velger eller vurderer en lagringsløsning.
Tre egenskaper må beskyttes
NIST beskriver konfidensialitet, integritet og tilgjengelighet som grunnleggende egenskaper ved informasjonssikkerhet. For datalagring betyr det:
- Konfidensialitet: Bare autoriserte personer og systemer skal kunne lese dataene.
- Integritet: Data skal ikke kunne endres eller slettes uten at det er tillatt og sporbart.
- Tilgjengelighet: Virksomheten må få tilgang til riktige data innenfor tiden driften tåler.
Alle tre må vurderes. Krypterte data er lite nyttige dersom nøkkelen er tapt. En svært tilgjengelig tjeneste er ikke tilstrekkelig dersom for mange brukere har tilgang. En sikkerhetskopi har begrenset verdi dersom den ikke kan gjenopprettes.
Start med dataene, ikke produktet
Før virksomheten sammenligner leverandører, bør den vite hva som faktisk skal lagres. Lag en oversikt over systemer, informasjonsmengder, eiere, brukere og avhengigheter. Skill blant annet mellom offentlig informasjon, interne arbeidsdokumenter, personopplysninger, økonomidata, forretningskritiske data og informasjon med særlige lov- eller avtalekrav.
Klassifiseringen bør gi praktiske svar:
- Hvem har tjenstlig behov for tilgang?
- Hvor alvorlig er innsyn, endring eller tap?
- Hvor lenge kan data eller systemer være utilgjengelige?
- Hvor mye nytt arbeid kan virksomheten akseptere å miste?
- Hvor lenge skal opplysningene beholdes, og når skal de slettes?
Dette gjør det mulig å fastsette krav til gjenopprettingstid og akseptabelt datatap før teknologien velges. NSMs grunnprinsipper anbefaler at slike krav knyttes til virksomhetskritiske prosesser og at ansvar for sikkerhetskopiering og gjenoppretting er dokumentert.
Velg lagringsmodell ut fra kravene
Data kan lagres lokalt, i en offentlig skytjeneste, i et dedikert driftsmiljø eller i en kombinasjon. Ingen modell er automatisk sikrest. En lokal server gir ikke kontroll dersom den mangler vedlikehold, fysisk sikring eller ekstern sikkerhetskopi. En skytjeneste fjerner heller ikke virksomhetens ansvar for brukere, tilganger, dataklassifisering og avtaler.
En sammenligning bør omfatte samme sikkerhetsnivå og samme livsløp. Se på drift, overvåking, oppdateringer, identitetsstyring, sikkerhetskopier, gjenoppretting, eksport, sletting og kostnaden ved å bytte løsning. Den mer detaljerte gjennomgangen av cloud versus egen server viser hvordan ansvar og totalkostnad kan vurderes samlet.
Styr identiteter og tilganger
De fleste lagringsløsninger blir sikrere når hver bruker har en personlig konto, flerfaktorautentisering og bare tilgangen arbeidet krever. Delte administratorkontoer gjør hendelser vanskeligere å spore. Permanente administratorrettigheter øker konsekvensen av stjålne kontoer.
Virksomheten bør ha en fast prosess for opprettelse, endring og avslutning av brukertilgang. Tilganger bør kontrolleres jevnlig, særlig for eksterne samarbeidspartnere, delte mapper og gamle prosjektområder. Offentlige delingslenker bør ha tydelig eier, utløpsdato og et dokumentert formål.
Kryptering er viktig, men nøklene avgjør
Kryptering under overføring beskytter data på vei mellom enhet og tjeneste. Kryptering av lagrede data beskytter mediene og infrastrukturen. Begge deler er relevante, men virksomheten må også forstå hvem som kontrollerer nøklene, hvordan de sikkerhetskopieres og hva som skjer dersom de går tapt eller kompromitteres.
Leverandørstyrt kryptering kan være tilstrekkelig for mange formål. For særlig sensitive data kan det være nødvendig å vurdere kundestyrte nøkler eller ekstra kryptering. Slike tiltak gir mer kontroll, men også mer ansvar. En løsning må derfor vurderes mot trusselbildet og virksomhetens evne til å forvalte nøklene.
Synkronisering og versjonshistorikk er ikke alltid backup
En synkronisert mappe kan raskt spre en feil, sletting eller kryptert fil til flere enheter. Versjonshistorikk kan hjelpe, men kan ha begrensninger i oppbevaring og omfang. Virksomheten bør derfor avklare hva tjenestens innebygde gjenoppretting faktisk dekker, og om den trenger en separat sikkerhetskopi.
NSM anbefaler en plan som beskriver hvilke data som skal sikkerhetskopieres, hvor ofte det skal skje, hvem som har ansvar, hvordan kopiene sikres, hvor lenge de beholdes og hvilke gjenopprettingstider som kreves. CISA anbefaler at kritiske sikkerhetskopier beskyttes mot ransomware og testes regelmessig. 3-2-1-prinsippet er et nyttig utgangspunkt, men må tilpasses virksomheten.
Test gjenoppretting, ikke bare sikkerhetskopieringen
En grønn status på backupjobben viser først og fremst at en jobb har kjørt. Den beviser ikke at alle nødvendige data finnes, at tilganger og nøkler virker, eller at virksomheten rekker å gjenopprette innenfor behovet.
En gjenopprettingstest bør bruke et avgrenset, isolert mål og dokumentere hva som ble hentet tilbake, hvor lang tid det tok, hvilke avhengigheter som manglet og om dataene kunne brukes. Testen bør også omfatte konfigurasjon, identiteter og nødvendig dokumentasjon. Les mer om hvordan gjenoppretting kan testes som beredskap.
Personopplysninger krever avtaler og kontroll
Når en annen virksomhet behandler personopplysninger på vegne av den behandlingsansvarlige, skal forholdet reguleres i en databehandleravtale. Datatilsynet bruker lagring av kundeopplysninger i en annen virksomhets skytjeneste som et eksempel på når en slik avtale kreves.
Avtalen bør ikke behandles som en formalitet. Virksomheten må forstå hvilke data som behandles, formålet, varigheten, underleverandørene, sikkerhetstiltakene, avvikshåndteringen, sletting og hvordan opplysningene kan eksporteres ved avslutning. Datatilsynets veiledning om databehandleravtaler beskriver kravene nærmere.
All overføring av personopplysninger ut av EØS krever et gyldig grunnlag. Serverplassering alene gir ikke alltid hele svaret, fordi support, administrasjon eller leverandørens rettslige tilknytning kan påvirke vurderingen. Datatilsynet har en oppdatert veiledning om overføring ut av EØS. Dette er en konkret juridisk vurdering, ikke et generelt argument for eller mot én bestemt leverandørtype.
Planlegg sletting og leverandørbytte før oppstart
Data bør ikke beholdes uten formål. Definer oppbevaringstid for aktive data, arkiv, versjoner, sikkerhetskopier og slettede elementer. Avklar også når sletting faktisk slår gjennom i replikaer og sikkerhetskopier, og hva leverandøren kan dokumentere.
En exit-plan bør beskrive eksportformat, datamengde, forventet tid, kostnader, kompetansebehov og hvordan integritet kontrolleres etter flytting. Test gjerne en begrenset eksport før løsningen blir forretningskritisk. Leverandøravhengighet er lettere å håndtere når virksomheten vet hvordan data og metadata kan tas ut.
Overvåk lagringen og øv på hendelser
Logging bør gjøre det mulig å oppdage uvanlige innlogginger, masseendringer, store nedlastinger, sletting og endringer i privilegier. Loggene må beskyttes mot manipulering og oppbevares lenge nok til at hendelser kan undersøkes. Varsler som ingen følger opp, gir liten verdi.
Virksomheten bør på forhånd vite hvem som kan sperre kontoer, isolere enheter, kontakte leverandøren, vurdere personvernbrudd og starte gjenoppretting. En enkel øvelse kan avdekke manglende telefonnummer, uklar fullmakt eller avhengighet av systemet som nettopp er utilgjengelig.
En praktisk sjekkliste i åtte trinn
- Kartlegg data og systemer. Dokumenter eiere, brukere, følsomhet og avhengigheter.
- Fastsett krav. Definer tilgang, oppbevaring, gjenopprettingstid og akseptabelt datatap.
- Vurder lagringsmodell. Sammenlign lokalt, cloud, dedikert og hybrid på samme grunnlag.
- Kontroller identiteter. Bruk personlige kontoer, flerfaktor og minste nødvendige tilgang.
- Avklar kryptering og nøkler. Forstå hvem som kan dekryptere, og hvordan nøklene sikres.
- Etabler separat gjenopprettingsevne. Beskytt sikkerhetskopier og test dem i praksis.
- Kontroller avtaler og dataflyt. Kartlegg underleverandører, behandlingssteder og overføringsgrunnlag.
- Planlegg avslutning. Test eksport, sletting og overgang til en annen løsning.
Vanlige spørsmål
Er skylagring sikrere enn en lokal server?
Ikke automatisk. En moden skytjeneste kan gi sterke sikkerhetsfunksjoner og profesjonell drift, mens en godt administrert lokal eller dedikert løsning kan gi tettere kontroll. Resultatet avhenger av krav, konfigurasjon, kompetanse og oppfølging.
Er data i EØS alltid juridisk uproblematisk?
Nei. Behandling i EØS er et viktig utgangspunkt, men virksomheten må også vurdere leverandør, underleverandører, fjernaksess, avtaler og eventuell tilknytning til tredjelands lovgivning.
Hvor ofte bør gjenoppretting testes?
Det finnes ikke ett intervall som passer alle. Testfrekvensen bør følge hvor kritiske dataene er, hvor ofte løsningen endres og hvor mye datatap eller nedetid virksomheten tåler. Vesentlige endringer bør utløse en ny test.
Konklusjon
Sikker datalagring er en styrt prosess, ikke en egenskap man kjøper ferdig. Virksomheten må kjenne dataene, fordele ansvar, begrense tilgang, sikre gjenoppretting og forstå avtalene. Når kravene er tydelige, blir det også enklere å velge en løsning som passer både risiko, drift og regelverk.
Kilder
