Informasjon som behandles på NIH har ulikt beskyttelsesbehov og skal håndteres og sikres. For at brukere skal kunne vite hvordan man skal håndtere informasjonen, gis det i dette dokumentet en beskrivelse av hvordan informasjon skal klassifiseres og sorteres etter beskyttelsesbehov.
Om eierskap og hvordan vurdere hvilken klasse som skal brukes
All informasjon skal ha en entydig og identifiserbar eier. Eier av informasjonen skal klassifisere informasjonen slik at det er klart hvordan man skal håndtere informasjonen. Eier er også ansvarlig for vurderingene som ligger bak klassifiseringen.
Ulike typer informasjon krever ulik behandling og stiller ulike krav til lagring og deling. Data som behandles på NIH skal derfor klassifiseres.
Eieren av data (for eksempel prosjektleder eller prosess-/systemeier) er ansvarlig for å:
- Før behandlingen starter, gjøre en vurdering av dataene, klassifisere disse og sikre at dataene er plassert i riktig kategori ut ifra nedenstående retningslinjer. Informasjonen skal alltid plasseres i en tilstrekkelig sikker klasse.
- Dersom dataene underveis i behandlingen endrer karakter, skal det gjøres en ny kategorisering.
- Regelmessig sjekke at man oppfyller eventuelle endringer i krav og lovverk.
- Påse at all lagring, behandling, bearbeiding og deling av dataene foregår med løsninger som er godkjent for den kategori dataene er plassert i - se NIHs lagringsguide og delingsguide.
NIH opererer med fire kategorier/fargekoder for data. Kategoriene omfatter all type informasjon, også informasjon som ikke inneholder personopplysninger. Kategoriene refererer til ulikt risikonivå basert på hvor store skadevirkninger det kan ha dersom informasjonen kommer på avveie.
Grønn: Åpen eller fritt tilgjengelig
Denne klassen benyttes dersom det ikke forårsaker noen skade for offentlige interesser, NIH, enkeltperson eller samarbeidspartner hvis informasjonen blir kjent for uvedkommende.
Dataenes integritet skal likevel sikres ved at kun personer og brukere med riktige rettigheter har tilgang til å endre informasjonen. Mye av den informasjon NIH forvalter er åpen, enten som konsekvens av mål og hensikt med universitetets virksomhet eller som resultat av pålegg om åpenhet i lov, forskrift og annet regelverk som regulerer offentlig forvaltning og virksomhet.
Eksempler på grønne data:
- Åpent tilgjengelige web-sider på nih.no, eksempelvis informasjonssider for institutter, laboratorier, ansatte, mm.
- Forskningsdata som ikke trenger noen beskyttelse
- Undervisnings- og studiemateriell som vurderes å ikke trenge noen beskyttelse
- Pre-prints
Gul: Begrenset
Gul eller «Begrenset» benyttes dersom informasjonen krever en viss beskyttelse med kontrollerte tilgangsrettigheter og det vil kunne forårsake en viss skade for offentlige interesser, NIH, enkeltperson eller samarbeidspartner at informasjonen blir kjent for uvedkommende eller endres utilsiktet.
Informasjonen må ha en viss beskyttelse og kan være tilgjengelig for både eksterne og interne, med kontrollerte tilgangsrettigheter. Informasjonen har kun relevans for eller er innrettet mot en begrenset brukergruppe enten ved universitetet eller ved institusjoner og organisasjoner universitetet har samarbeid med.
Eksempler gule data
- Mange typer av personopplysninger (som ikke dekkes av punktene under rødt eller sort), eksempelvis pseudonymiserte data.
- Enkelte interne arbeidsdokumenter
- Informasjon som er unntatt offentlighet
- Karakterer
- Studentarbeider
- Eksamensbesvarelser
- Upubliserte forskningsdata og -arbeider
Rødt: fortrolig
Rødt eller «Fortrolig» benyttes hvis det vil forårsake skade for offentlige interesser, NIH, enkeltperson eller samarbeidspartner hvis informasjonen blir kjent for uvedkommende eller endres utilsiktet.
Eksempler røde data
- Informasjon som inneholder særskilte kategorier av personopplysninger (tidligere kalt sensitive personopplysninger)
- Helseopplysninger
- Personalmapper
- Data underlagt eksportkontroll
- En del informasjon med høy kritikalitet f.eks. sikring av bygninger og IT-systemer
Svart: strengt fortrolig
Svart eller «Strengt fortrolig» benyttes dersom det vil kunne forårsake betydelig skade for offentlige interesser, NIH, enkeltperson eller samarbeidspartner dersom informasjonen blir kjent for uvedkommende eller endres utilsiktet.
Denne kategorien omfatter samme type informasjon som Fortrolig (rød), men der spesielle hensyn gjør at man ønsker å beskytte dataene ytterligere.
Det stilles særlige krav til lagring og håndtering av svarte data og disse skal behandles og lagres i egne systemer med tydelig avgrensning mot andre nettverk, se NIHs lagringsguide.
Eksempler på svarte data
- Store mengder personopplysninger i særskilte kategorier
- Store mengder helseopplysninger
- Direkte identifiserbare helseopplysninger
- Forskningsdata og datasett av stor økonomisk verdi, f.eks. en database det har tatt mange år å bygge opp