Klassning för forskningsprojekt

Vad är informationsklassning?

Informationsklassning är ett sätt att inventera information och data i ett projekt och förstå hur den hanteras och rör sig mellan personer, system och lagringsplatser.

Genom klassningen får du stöd i att svara på tre övergripande frågor:

• Vilken information hanteras?
• Vilket skydd behöver informationen?
• Är våra arbetssätt tillräckligt säkra för informationen?

Klassningen kan visa både var skyddet behöver stärkas och var säkerhetsåtgärderna är mer omfattande än vad informationen kräver.

Använd mallen för informationsklassning

Mallen "Informationsklassning forskare" leder dig steg för steg genom informationsklassningen. I mallen identifierar du informationen, bedömer dess skyddsbehov och risker samt dokumenterar hur informationen ska skyddas.

De som arbetar med informationen har viktig kunskap om hur den används och vilka konsekvenser olika händelser skulle kunna få.

Mall informationsklassning forskare (docx)

När ska informationsklassning göras?

Informationsklassning ska göras vid:

• Forskningsprojekt och förändringar i forskningsprojekt
• Förändringar i verksamheten eller i hur information lagras
• Införande eller förändring av IT-system.

Utgå från den information som är viktig för projektets kärnverksamhet.

Så gör du en informationsklassning

Arbetet kan delas in i fyra steg:

• Steg 1: Identifiera informationen
• Steg 2: Bedöm informationens skyddsbehov
• Steg 3: Bedöm riskerna
• Steg 4: Bestäm säkerhetsåtgärder

Steg 1: Identifiera informationen

Börja med att skapa en överblick över vilken information forskningsprojektet hanterar.

Information kan exempelvis vara:

• Forskningsdata
• Dokument och kalkylark
• Databaser och kod
• Bilder och ritningar
• Utbildningsmaterial
• Information som delas muntligt vid möten
• Information som delas med samverkanspartner.

Tänk bredare än bara filer och forskningsdata. Även arbetssätt och muntlig informationsöverföring kan vara viktiga för projektet.

Steg 2: Bedöm informationens skyddsbehov

När du har identifierat informationen bedömer du hur viktigt det är att skydda den. Bedömningen görs utifrån tre perspektiv: konfidentialitet, riktighet och tillgänglighet, även kallade K, R och T.

För varje perspektiv bedömer du skyddsbehovet på en nivå från 0 till 3.

Konfidentialitet: vem får ta del av informationen?: Vad skulle konsekvenserna bli om någon obehörig fick tillgång till informationen? Det kan exempelvis handla om personuppgifter, patent, affärshemligheter eller forskningsdata med särskilda skyddsbehov.

Riktighet: kan vi lita på informationen?: Vad skulle konsekvenserna bli om informationen ändrades utan att du visste om det, eller om en felaktig version användes i projektet?

Tillgänglighet: när behöver informationen finnas tillgänglig?: Vad skulle konsekvenserna bli om forskare eller samverkanspartner inte kunde komma åt informationen under exempelvis 8 timmar, 48 timmar eller 7 dagar?

Bedömningen görs av den som genomför klassningen, utifrån projektets information och förutsättningar. 

Steg 3: Bedöm riskerna

Om klassningen visar ett högre skyddsbehov behöver du också bedöma vilka risker som finns. Riskbedömningen hjälper er att avgöra vilka händelser du behöver skydda informationen mot och vilka säkerhetsåtgärder som behövs.

Använd: Modell för riskbedömmning (pdf)

Utgå från tre frågor:

• Hur sannolikt är det att en negativ händelse inträffar?
• Vilka konsekvenser skulle händelsen få?
• Kan vi acceptera konsekvenserna av negativ händelse?

Definition av "negativ händelse": Hypotetisk situation som forskningsprojektet utsätts för med negativ påverkan. Till exempel arbetsgruppens möjlighet utföra projektet begränsas/försenas/omöjliggörs.

En händelse med låg sannolikhet kan fortfarande behöva hanteras om konsekvenserna skulle bli mycket stora.

När du bedömer konsekvenser använder du Högskolan Dalarnas fem konsekvenskategorier:

• Arbetstidsförlust (ekonomisk förlust)
• Verksamhet (utbildning/forskning)
• Minskat förtroende
• Individpåverkan
• Juridiska konsekvenser

Ett exempel på riskbedömning

Anta att ett projekt regelbundet delar forskningsdata med samverkanspartner. Forskningsgruppen bedömer att det skulle få stora konsekvenser om informationen förvanskades eller försvann. Det skulle kunna försena projektet och påverka samarbetspartner som är beroende av informationen. Gruppen bedömer därför att risken inte är acceptabel.

En möjlig säkerhetsåtgärd kan då vara att regelbundet skapa daterade kopior av forskningsdata och kontrollera informationen mot en tidigare version innan den delas med samverkanspartner.

Steg 4: Bestäm säkerhetsåtgärder

Resultatet av klassningen och riskbedömningen använder du för att avgöra vilka säkerhetsåtgärder som behövs.

Det kan exempelvis handla om hur informationen lagras, vilka som har tillgång till den eller hur du säkerställer att rätt version av informationen finns kvar.

Målet är att säkerhetsåtgärderna ska motsvara informationens behov. Information med större skyddsbehov kan kräva fler eller starkare åtgärder, medan information med lägre skyddsbehov inte ska hanteras med mer omfattande åtgärder än vad som behövs.

Dokumentera era bedömningar, vilka åtgärder du har valt och varför.

Välj lagringsplats utifrån klassningen

Klassningen ger stöd när du ska välja hur och var projektets information ska lagras.

I checklistan för lagring jämför du informationens klassningsnivå med olika lagringsplatser:

• Godkänd lagring
• Kan användas för tillfällig lagring om lämpliga säkerhetsåtgärder vidtas
• Får ej användas

Använd checklistan för att välja plats för lagring.

Tabellen i PDF: Tabell-Regler för lagring av digital information (pdf)

Mer information om fullständiga regler för lagring: Regler för lagring av digital information (pdf)

Vanliga frågor

Jag kan inte riskbedömning, hur ska jag kunna göra det här?

Du som arbetar med informationen har viktig kunskap om hur den används och vilka konsekvenser ett avbrott, en förändring eller obehörig åtkomst skulle kunna få.

Utgå från projektets faktiska förutsättningar. Vid behov kan du ta stöd av relevanta stödfunktioner inom Högskolan Dalarna.

Vem bör delta i riskbedömningen?

De personer som arbetar med och skapar informationen har ofta bäst kunskap om hur den används i det dagliga arbetet. De kan också bedöma hur exempelvis ett avbrott skulle påverka projektet eller samarbetet med andra aktörer.

Vad menas med information?

Information är mer än forskningsdata. Det kan exempelvis vara dokument, kalkylark, databaser, kod, bilder, ritningar, analyser och information som delas muntligt.

Räknas samtal och möten också?

Ja, information kan även delas muntligt. Fundera därför på vilken viktig information som överförs i samtal och möten och vad som skulle hända om den inte var tillgänglig för rätt personer.

Även beroendet av enskilda personers kunskap kan vara relevant att uppmärksamma. Vad händer exempelvis om en person med viktig kunskap inte är tillgänglig?

Hur hjälper klassningen mig som forskare?

Klassningen hjälper dig och forskningsgruppen att skapa överblick och prioritera. Genom att identifiera vilken information som behöver mest skydd blir det lättare att lägga säkerhetsåtgärderna där de gör störst nytta.

Vad händer om vår bedömning blir fel?

Utgå från den information och de förutsättningar du har när klassningen görs. Dokumentera hur du har resonerat, vilka beslut du har fattat och vilka förutsättningar bedömningen bygger på.

Om projektet eller förutsättningarna förändras kan bedömningen behöva göras på nytt.

Behöver du stöd?

Du kan få stöd i arbetet med informationsklassning och riskbedömning från högskolans dataskydd, dataskydd@du.se