Sikring generelt

Den daglege drifta i alle verksemder er avhengige av informasjonen som ligg i fysiske arkiv og databasar. Sikring er tiltak som tryggjer: Kvaliteten til dokumentasjonen, det garanterast at informasjonen er fullstendig, oppdatert og korrekt. Tilgjengeleg dokumentasjon ved at rett person får rette dokument til rett tid og at informasjonen i dokumenta er tilgjengelege over tid. Lagra informasjon mot urettmessig innsyn, misbruk, øydelegging og tap

Arbeidet med slike spørsmål går langt tilbake i historia til dokumenthandsaminga. Sjølv om sikringa gjeld alle dokument uavhengig av kva for lagringsmedium dei er på, reiser bruken av moderne informasjonsteknologi nye utfordringar, og arbeidet med oppbevaring og sikring har difor fått fornya merksemd dei seinare åra.

Sikringstiltak kan delast i mange ulike emne og område. I denne oversikta brukast følgjande inndeling:

1. Administrativ- og organisatorisk sikring:  Organisering av sikringsarbeidet, sikringsplanlegging og utarbeiding av tiltak.  

2. Fysisk- og bygningsteknisk sikring: Tiltak for å sikra arkivlokale mot urettmessig adgang og at romma oppfyller standardkrav til arkivlokaler.  

3. Personellsikring: Tiltak som gjeld arbeidsrutinene til medarbeidarane og teieplikt og klarering av personale som arbeider med fortruleg informasjon.  

4. Dokumentsikring: Tiltak for å sikra kvaliteten på dokumentasjonen og tilgjenge, under dette krav til utstyr og lagringsmedium, samt spesielle tiltak for vern av fortruleg informasjon.  

5. Datasikring: Spesielle tiltak for vern av datasystem og elektroniske dokument og register.  

1. Administrativ- og organisatorisk sikring

Administrativ og organisatorisk sikring dreier seg om å analysera truslar mot dokumentasjonen i arkiva og utarbeida krav og rutinar for oppbevaring og sikring. Sikringstiltaka kan sjåast på som ein beredskapsplan for vern av informasjonen i manuelle arkiv og elektroniske databasar.

I alle verksemder er sikringa eit leiaransvar. Men i større verksemder er det gjerne ei eiga sikringsteneste som skal organisera sikringsarbeidet, eller i det minste ein person som har dette som si hovudoppgåve. Det må vera eit samarbeid mellom arkivtenesta og sikringsansvarleg når det gjeld å vurdera sikringa for dokument, utstyr og lokale. Eventuelle risikofaktorar som vasskader, brann, straumbrot, uforsiktig handsaming, urettmessig innsyn, tjuveri, tap, svindel, sabotasje, maskinfeil, programfeil og datavirus må vurderast og sjansen for at desse inntreff, i tillegg til skadeverknader og konsekvensar av slike ulukker. Kostnader og nytteeffekt av ulike sikringstiltak må spesifiserast.

2. Fysisk og bygningsteknisk sikring

Alle rom der det blir oppbevart arkivmateriale over lengre tid reknast som arkivlokale. Fysisk- og bygningsteknisk sikring dreier seg om: Fysiske sikringstiltak som verna utstyr og lokale som oppbevarer arkiv mot urettmessig tilgang. Bygningsteknisk standard på arkivrom som vernar dokument og utstyr mot vatn og fukt, brann og skadeleg varme, i tillegg til skadeleg påverknad frå klima og miljø.

Fysiske sikringstiltak mot urettmessig tilgang: Det skal vera regulert tilgang til alle arkivlokale, og alle offentlege organ plikta å ha reglar for kven som har tilgang til lokala. Dette gjeld både daglegarkiv, bortsettingsarkiv og eldre materiale (forskrift om offentlege arkiv §§ 4-1, 4-9). Det skal vidare vera klart definert kven som har tilgang til å betena arkiva. Arkiv som inneheld konfidensielt materiale skal oppbevarast avlåst og bør vera skilt frå resten av arkivmaterialet. Dette gjeld for alle personregister.

Fysiske sikringstiltak som regulerer tilgangen til lokale omfattar tilhøve som låserutiner, vakthald, besøksreglement, tilgangskontroll, graderte tilgangssoner, alarmar m.m. Kvar einskilt verksemd må utarbeida sine eigne sikringstiltak. I offentleg forvalting skal alle spesialrom for arkiv vera utstyrt med særskilt innbrotsalarm. Mange offentlege kontor og verksemder er også tilknytta eksterne vaktselskap etter arbeidstida.

Krav til bygningsteknisk standard for arkivlokale: Alle arkivlokale skal tilfredsstilla krava som blir sett til slike rom. For offentleg forvalting er krava gjengitt i Forskrift om offentlege arkiv (kap. IV). Det blir stilt ulike krav til vanlege kontorrom som blir brukt til arkivlokale og krav til spesialrom for arkiv. Arkiv som er i hyppig bruk, slik som daglegarkivet, kan plasserast i vanlege kontorrom dersom desse tilfredsstiller generelle krav til arkivrom. Bortsettingsarkiv skal så langt som råd plasserast i spesialrom for arkiv, medan eldre og avslutta arkiv skal plasserast i spesialrom. Spesielt små verksemder kan plassera bortsettingsarkiv og eldre/avslutta i brannsikkert skap dersom dette tilfredstiller gjeldande branntekniske krav til slike skap.

Generelle krav til arkivlokale inneber: Vern av arkivmateriale mot skader frå vatn og fukt, brann og skadeleg varme, klima og miljø. Brannkrava inneber m.a. røykeforbod, og forbod mot å plassera elektriske installasjonar som straummålarar, sikringsskap m.m. i arkivlokale. Lokala skal vera separate branntekniske einingar, med brannmotstandsevne A/B30 (evne til å motstå gjennombrenning i 30 minuttar). Dette gjeld også for skiljeveggar mellom ulike arkivrom. Alle arkivlokale skal vera utstyrte med handsløkkingsapparat. Klima og miljø skal vera tilpassa dei ulike databerarane som blir oppbevarte i lokala. Temperatur og luftfuktigheit skal regulerast slik at verdiane er korrekte og jamne året rundt. Materialet må heller ikkje ta skade av lys, røyk, kjemiske vaskemidlar, gassar frå maling eller bygningstekniske materiale m.m.. Krav om tilsyn og reinhald med jamne mellomrom. Alle lokale som oppbevarer arkiv skal ha fast tilsyn og reinhald. Krav om utforming, dimensjonering og innreiing som krev at golv og reolar skal ha tilstrekkeleg bereevne, samt at det skal vera tilstrekkeleg plass for transport og framhenting av materiale.

Krava til depot og spesialrom for arkiv er strengare enn dei generelle krava til arkivlokale, m.a. når det gjeld: Innreiing, der det krevast at materialet ikkje skal plasserast rett på golv eller inntil vegg. Vern mot vatn og fukt inneber at lokale ikkje skal innehalda vatnrøyr. Dersom dette ikkje er teknisk mogeleg skal det vera varslarar i form av fuktfølarar på golvet, stengeventilar, alarmar eller andre sikringstiltak. Vern mot brann krev at lokalet varmast opp ved varmekablar i golv, eigne vernekonstruksjonar, varmluftanlegg eller liknande sikringstiltak. Rommet skal ikkje ha vindauge og det skal vera sjølvlukkande dør og installert automatisk brannalarm. Spesialrom for bortsettingsarkiv krev ein brannmotstandsevne på A/B60, for eldrre og avslutta arkiv på A120. Arkivskap som blir brukt til bortsettingsarkiv eller eldre arkiv skal ha motstandsevne på A90 eller høgare. Samtidig er det sjølvsagt at alt eldre arkivmateriale er verna mot skadedyr, som midd, rotter, mus og fuglar. Det er mange døme på at eldre kommunalt materiale som har blitt oppbevart i luftige loft eller fuktige kjellarar er blitt påført store skadar eller gått tapt etter angrep frå skadedyr.

3. Personellsikring

Personellsikring i vid forstand dreier seg om arbeidsrutinane og teieplikta til medarbeidarane, om tilgangsregulering og autorisasjonsreglar og om sikringsklarering og personellkontroll.

Arbeidsrutinar og teieplikt: Dei aller fleste sikringsbrot blir gjort av eige personale. Dette kan vera medvitne brot, men er som regel brot grunna slurv og fåkunne. Den beste sikringa er motiverte og ansvarsmedvitne medarbeidarar. Det er difor viktig å utvikla ein sikringskultur som innarbeider gode arbeidsrutinar hjå dei tilsette. Dette inneber m.a. ryddige arbeidsplassar der dokument som er unnateke offentleg innsyn, passord, og liknande ikkje ligg ope tilgjengeleg. Enkelte verksemder har innført prinsippet om «reint bord» ved arbeidsdagens slutt. Skuffer og skap skal låsast når ein forlet kontoret, og nøklane skal oppbevarast på ein sikker stad, i nøkkelskåp eller i personleg varetekt.

Dokument vil kunne innehalda mange slags opplysningar som ikkje skal spreiast til uvedkommande. Personale som arbeider i arkiva må difor vera underlagt føresegner om teieplikt. I utgangspunktet er alle medarbeidarar pålagde ei viss teieplikt etter Forvaltingslova. Lova heimlar også krav om skriftleg erklæring om teieplikt.

Teieplikta er ikkje avhengig av skriftleg erklæring, men dei seinare åra har det blitt meir vanleg at tilsette underteiknar ei slik erklæring ved tilsetting. Datatilsynet set krav til slik teiepliktserklæring for personale som arbeider med konsesjonspliktige personregister. Også personar som utfører tenester for datahandsamingsforetak skal skriva under skriftleg teiepliktserklæring.

Det er sjølvsagt, men teieplikta gjeld også etter arbeidstid og utanfor arbeidsplassen. Mange fortrulege opplysningar er komne på avvege i drosjar eller i uformelle samtalar. Det er viktig å hugsa at teieplikta også gjeld dersom ein går over i ei anna stilling.

Det kan vera nyttig å utarbeida ei generell oversikt over dei ulike teiepliktføresegnene i forvaltingslova og særlover som barnevernslov, legelov, likningslov, sosiallov, m.m. Dermed får ein oversikt over kor lenge slikt materiale skal vera unnateke frå offentleg innsyn.

Tilgangsregulering og autorisasjonsreglar: Rett informasjon, i rett tid, til rette vedkommande, kan også innebera at den enkelte sakshandsamar berre skal ha tilgang til dokument og informasjon som er naudsynte for utføringa av arbeidsoppgåvene. Anna informasjon er forstyrrande og ikkje naudsynt. Informasjonen som kan unntakast frå offentleg innsyn skal berre vera tilgjengelege i ein arbeidssituasjon for personar som er autoriserte for dette. Autorisasjon vil seia ein munnleg eller skriftleg tillating til at ein person får tilgang til fortruleg informasjon. KOARK-standarden har ulike graderingskodar for avskjerming av dokument og journalopplysningar som kan unntakast frå offentleg innsyn ut frå offentlegheitslova , forvaltingslova og særlover, eller som er gradert etter ”sikkerhets- eller beskyttelsesinstruksen”. I elektroniske system for dokumenthandsaming styrer graderingskodane lese- og skrivetilgangen. Arkivet sal ha oversikta over kven som er autorisert til kva for opplysningar.

Sikringsklarering og personellkontroll: Visse typar sensitivt materiale krev ei sikringsklarering av personalet før dei får tilgang. Det gjeld i hovudsak for sikringsgradert informasjon, dvs. materiale som er gradert som konfidensielt, hemmeleg eller strengt hemmeleg ut frå rikets sikkerheit. I statsforvaltinga er det fleire grupper som arbeider med slikt materiale, medan dette i kommunalforvaltinga i hovudsak berre gjeld personale som arbeider med dokument som dreier seg om beredskapsmessig verksemd. Personellkontrollen omfattar m.a. vurdering av eigenskapar som plikttruskap, vera påliteleg, dømmekraft m.m.

4. Dokumentsikring

Dokumentsikring i vid forstand er tiltak som sikrar kvaliteten på informasjonen og at han er tilgjengeleg, samtidig som det hindrar urettmessig innsyn, bruk (sikrar konfidensialiteten til informasjonen) og utilsikta endring (sikrar informasjonens autensitetet).

Dokumentasjonskvalitet og tilgjenge: Kvalitet og tilgjenge er tiltak som ligg innebygga i arkivrutinar og i generelle krav til varigheita til ulike databerarar. Det er arkivreglementet som skal sikra at dokumentasjonen alltid er korrekt, oppdatert og fullstendig, og at han er tilgjengeleg når vi treng han. Dette gjeld for alle typar arkivdokument, papir, telefaks, elektronisk informasjon, film, video og fotografi. Alle fasar og alt utstyr i dokumenthandsaminga må vurderast: Mottaket av inngåande post, kvaliteten på registreringa, fordelinga, produksjonen av eigne dokument, utsending, utlån, arkivlegging og kassasjon.

Bruken av dokumenthandsamingssystem, ordningsmåtar og arkivsysstem må vera gjennomtenkte. Manuelle og elektroniske system for arkivering og lagring skal sikra rasjonell og personuavhengig gjenfinning over tid. Manuelle ordningssystem skal vera forklarte i ein plan for arkivoppsettet. Elektroniske system skal ha papirbasert systemdokumentasjon som forklarer oppbygginga og drifta av systemet, i tillegg til brukardokumentasjon som skildrar korleis systemet fungerer og korleis kvart trinn i den elektroniske dokumenthandsaminga føregår.

Standardisering sikrar personuavhengige system, og det finnast tilrådde standardar for elektroniske arkivsystem, arkivnøklar, alfabetiseringsreglar, datering, arkivmateriell m.m.

For å sikra kvaliteten over tid er det viktig å ha kunnskap om bruksområde, varigheit og krav til langtidslagring og oppbevaring av ulike typar medium: Papir som skal langtidsoppbevarast skal tilfredsstilla krava som den internasjonale standardiseringsorganisasjonen ISO set til permanent papir, ISO 9706 (1994). Papiret er vurdert etter surheitsgrad og slitestyrke. Rettleiande klima for langtidsoppbevaring av papir er stabil temperatur rundt 15 grader med ei relativ luftfukt på mellom 40-60 %. Mikrofilm er godkjent som lagringmedium, og har god lagringskapasistet samanlikna med papir. Optimale lagringstilhøve for slik film er stabil temperatur mellom 10-15 grader og med stabil luftfukt på mellom 25-35 %. Arkivbestandigheita på elektroniske medium og optiske plater er svært varierande. Dei fleste elektroniske medie og optiske plater er svært varierande. Dei fleste elektroniske media som diskettar, magnetband, CD-ROM plater osv. øydelegg seg sjølv over tid. Dei fleste diskettar har som regel svært kort bestandigheit, og dataa blir forringa etter få år. Magnetband kan godt halda i fem år, og optiske plater mykje lengre. For alt slikt materiale som skal oppbevarast skal det etablerast konverteringsrutinar, ved at dataa regelmessig bli overført til nytt medium. Optimale forhold for elektronisk materiale er jamn temperatur rundt 18 grader og med ei relativ luftfukt rundt 35 %.

Samtidig blir det stilt krav til leseutstyr og avspelarar. Både film, video, lydopptak og elektroniske data skal vera lesbare på tilgjengeleg teknologi, slik at informasjonen i desse dokumenta er tilgjengelege. Dette krev at det er tilgjengeleg programvare som er i stand til å tolka datader det er naudsynt. Materiale på elektronisk medium må konverterast til nye lagringseiningar i den grad det er naudsynt for å ha tilgang til innhaldet i dokumenta.

Konfidensialitet og autentisitet. Sikringstiltaka skal også verna dokument og informasjon mot urettmessig innsyn og endring. Dette gjeld både for personale og eksterne brukarar. I utgangspunktet treng berre sakshandsamarar har tilgang til informasjon som det er jobbmessig trong for. Det vil seia at ikkje alle treng å ha tilgang til all dokumentasjon. Særleg viktig er det å verna dokumenta som inneheld opplysningar som skal unntakast frå offentleg innsyn ut frå bestemmelsar i offentlegheitslova, forvaltingslova eller særlover. Det skal vera klare reglar for korleis slike dokument og opplysningar registrerast, oppbevarast, handsamast, slettast, sendast osb. For all informasjon unnateke offentleg innsyn skal det registrerast i journalen kva for lov og paragraf som gir heimel for unntak frå offentleg innsyn. I NOARK-standarden er det laga forslag til standard graderingskodar i elektroniske system for avskjerming av journalopplysningar og sak/dokumentinformasjon som kan unntakast frå offentleg innsyn. For å regulera lese- og skrivetilgangen til beskytta informasjon koplast dette saman med tilgangsautorisasjonen til informasjon for ulike brukargrupper. Telefon, telefaks og elektroniske postsystem kan avlyttast, og sensitive opplysningar skal ikkje formidlast via slike kanalar.

Nokre opplysningar er særleg sensitive, m.a. hemmeleg informasjon om gjeld sikkerheita til riket eller fortruleg informasjon som vil kunne skada offentlege interesser, bedrifter, institusjonar eller enkeltpersonar.

Desse skal handsamast etter tryggleikslova. Denne loven sett krav til merking og gradering av dokument som etter lova skal unnakast frå offentligheit, og har bestemmingar om behandling, journalisering, spreiing, oppbevaring, utsending og øydelegging av informasjonen.

Eit vilkår for rett handsaming er at dokumenta blir merka med korrekt gradering på lettsynleg stad. På papirdokument bør gradering koma fram på kvar einskilt side slik som instruksane legg opp til. Eit bilete på dataskjermen bør gi tilsvarande opplysningar. For magnetband, platelager og diskettar merkast den enkelte eininga på deksel og emballasje..

Sikringstiltaka må også omfatta hjelpemidlar. Det er mange døme på at sensitive opplysningar er funne i utrangerte datamaskinar. Platelageret i kasserte Pcar skal difor tømmast for sensitiv informasjon. Eldre Pcar som tilsett får tilbod om til heimebruk skal tømmast for informasjon som det ikkje er naudsynt å ta med heim. Elektroniske skrivemaskinar har ofte internt minne, og dersom det ligg fortruleg informasjon må han vernast. Fargeband inneheld gjerne avtrykk av heile dokument. Det bør vidare vera klare retningslinjer for kopi av fortruleg informasjon. Papirkorga skal under ingen omstende brukast til å bli kvitt fortruleg materiale.

5. Datasikkerhet

Edb-anlegget og elektronisk informasjon må sikrast fysisk på same måte som andre delar av arkivet. Men elektroniske dokument er meir sårbare, dei kan lettare koma på avvege, straumen kan svikta, nettet kan liggja nede og elektroniske data blir langt fortare forringa enn data på andre lagringsmedium. Datasikring er tiltak for å verna datasystema og informasjon som overførast, blir handsama eller lagra elektronisk. Uttrykket brukast ofte synonymt med edb-sikring, men er eit vidare omgrep, og omfattar i tillegg til sikkerheiten ved sjølve edb-systema også flyten av data. Tiltaka omfattar fleire område og ein del av desse blir dekka av dei generelle sikringstiltaka. Sikringa rundt bruk av e-post, elektronisk sakshandsaming, lagring og versjonskontroll, kassasjon av elektronisk materiale m.m. bør innarbeidast i arkivreglement og generelle sikringstiltak. Nokre gjeld likevel meir spesielt for datautstyr og elektronisk informasjon. Her vil vi sjå på fysisk sikring av drift og utstyr, og på tekniske sikringstiltak som gir vern mot urettmessig tilgang og innsyn.

Det er i dag ingen generelle krav om datasikkerheit i kommunalforvaltinga. Men Direktiv for sikring av EDB-system og datanett gradert etter Sikkerhetsinstruksen eller Beskyttelsesinstruksen, utgitt av Forsvarssjefen 1.12.1989 (kalla Datasikkerhetsdirektivet), gir omfattande reglar for sikring av elektronisk informasjon som er gradert etter dei to instruksane. I tillegg har Datatilsynet krav om detaljerte sikringstiltak for sensitive personregister på edb.

Sikring mot avbrudd og tap av data

Sikring av straumtilførsel: Drifta av edb-systemet er avhengig av kraftforsyning. Dersom straumen skulle svikta vil nettet liggja nede og lengre avbrot i drifta kan få store konsekvensar. Avbrot i drifta vil ofte medføra tap av informasjonen ein arbeider med i augneblinken nettet sviktar, dersom informasjonen ikkje er lagra. Ujamn straumtilføring kan føra til at program «heng» og at informasjon går tapt. Verksemder som er heilt avhengige av nettverket for å vera i funksjon, bør vurdera sikringstiltak for å førebygga dette.

Sikringskopiering: Det skal takast sikringskopiar (backup) av all viktig informasjon. Ein bør ta kopi etter kvar arbeidsdag. I tillegg tilrår Datasystemetkopi av alt (operativsystem, programvare og data) ein gang pr. halvår, og sikringskopi av alle nye program og endringar i eksisterande program og data kvar månad.

Det blir tilråda å oppbevara halvårskopiane og månadskopiane i safe i eit anna lokale enn utstyret. Også dei daglege kopiane bør oppbevarast i brannsikkert skap på anna stad enn edb-maskinene. PCar er ettertrakta objekt for tjuveri, og det er mange døme på tjuveri av driftsmaskinar og sikringskopiar som er oppbevarte i same rom.

Konvertering: Edb-register og databasar er primært laga for å gi oppdatert informasjon, og er ikkje særleg gode lagringssystem. For å kunne garantera langtidsbevaring skal det etablerast faste konverteringsrutiner for å kopiera innhaldet over til nye medium. Dette blir gjort for å hindra at dataa blir forringa på grunn av alder, og ved teknologiskifter for å garantera lesbarheit.

Sikringskopi av arkivperioden til depot: Riksarkivaren kan bestemma at elektronisk arkivmateriale og materiale på andre optiske og magnetiske medium (film, lydband, video m.m.) skal avleverast i kopi til depot tidlegare enn anna materiale. Til dømes skal ein sikringskopi av basen for ein avslutta arkivperiode i saksarkivet avleverast til depot.

Fysisk sikring av utstyr:Fysiske sikringstiltak mot innsyn skal hindra at uvedkommande får tilgang til edb-systema og informasjonen i dei. Ein del av dei generelle fysiske- og bygningstekniske sikringstiltaka vil også verna edb-utstyret. Alt sentralt edb-utstyr bør stå i eige låsbart rom utan vindauge. Eit tilgangskontrollsystem (kort eller nøklar) kan styra tilgangen til rommet, og ein alarm kan koplast til systemet. Sentrale lagringseiningar kan utstyrast med låsebøylar som er kopla til alarmar. Merking av utstyr ved til dømes å prega namnet til eigaren på maskina gjer tjuveri mindre attraktiv.

Sikring mot vatn-, brann- og temperaturskader: Dei fysiske- og bygningstekniske sikringstiltaka må sikra sentralt edb-utstyr mot vatn- og brannskadar. «Edb-rommet» bør ha eige «datagolv» som er heva for å verna utstyret frå stigande vatn. Sidan edb-utstyret ikkje toler vatn eller skum må brannslokningsutstyr innehalda andre verkemiddel. Samtidig må ein vera merksam på temperatur og støvtilhøve i datarom. I nokre tilfelle krev det kjølekompressor for å oppnå rett romtemperatur.

Teknisk sikring mot urettmessig tilgang og innsyn

Tekniske sikringstiltak er funksjonar som blir bygd inn i dataprogramma for å sikra informasjonen mot tilgang frå uvedkommande, og mot påfølgjande skade og tap. Tilgangskontroll, passord, logging, kryptering og viruskontroll er ulike former for teknisk sikring.

Tilgangskontroll: Tilgangskontrollen må skilja mellom ulike grader av passiv tilgang til data (tilgang til å sjå) og aktiv tilgang (tilgang til å skriva og sletta). Difor må det lagast ulike nivå av autorisasjon for ulike brukargrupper som blir knytt opp til ulike former for gradering av fortruleg informasjon. Dermed vil ulike brukargrupper ha ulike tilgangsretter alt etter kva verksemda treng. Brukarar skal ikkje ha tilgang til meir fortruleg informasjon enn naudsynt. Når nokre sluttar eller skifter stilling skal brukaridentiteten fjernast eller endrast. Endringar av tilgangsrettigheiter bør samordnast med andre personellrutiner.

Ved tilkopling av eksterne nett, som Internett og ekstranett, vil opninga mot utanverda bli ei heilt anna. «Køyring» på internasjonale og lokale elektroniske «motorvegar» krev standardiserte køyreregalar og strenge vernetiltak. Det blir auka sjanse for at uautoriserte brukarar kan få tilgang til informasjonen. Det er fleire måtar å verna seg på. Tilgangen til nettet kan skje på separate maskiner som ikkje er kopla til nettet, og det bør vurderast om det er trong for at alle tilsett blir kopla opp mot eksterne nett. Maskiner som inneheld sensitiv informasjon bør vera fråkopla det eksterne nettet.

Tilgangen bør uansett vera regulert av ein elektronisk «brannmur». Brannmuren er programvare som er installert i separate maskiner og verkar som ei sikringssluse som stoppar all inngåande informasjon og elle eksterne brukarar som ikkje er autoriserte. Desse blir kopla til elektroniske muren og ikkje mot nettet. Informasjonen utanfrå slepp berre gjennom muren via elektroniske sikringskodar. Prinsippet er det same som ved bruk av betalingskort. I tillegg krev ein dei vanlege autorisasjonskodane (ID) og brukarpassord som gjeld for det lokale nettet.

Passord: Datasnoking eller innbrot i datasystem er eit stadig større problem. Enkelte miljø har utvikla det til ein sport å bryta inn i andres datasystem. Passord er mykje brukte å hindra at uvedkommande får tilgang til elektronisk informasjon. Det er viktig å utarbeida rutiner for passordbruken. Jamleg skifte av passord og utlogging etter gjentekne forsøk på å finna rett ord, er enkle førebyggjande tiltak.

I mange tilfelle har det vist seg at passord har vore lite sikker som sikring. Bruken har vore lite gjennomtenkt, og det har vore enkelt å knekka passord-koden. Det er eigne program som gjettar passord ut frå dei vanlegaste orda i norske ordbøker. Passord bør difor vera ein kombinasjon mellom bokstavar og tal.

Ein arbeider med å finna fram til sikrare identifikasjonsmetodar. Det finnast i dag terminalar som kan lesa visse typar identitetskort, og som berre verkar når kortet står i. Det er vidare maskiner under utvikling som les ulike fysiske identifikasjonar som fingeravtrykk eller stemme«avtrykk».

Menysystemer:Gjennomtenkt bruk av menyar kan styra brukaranes tilgang til informasjon. Ved menysystem kopla til brukaridentitet får ein berre tilgang til program og informasjonsområde som er definerte på førehand. Menyane bør hindra direkte tilgang til operativsystemet.

Logging: Vedbruk av sikringslogg kan ein få oversikt over bruken av datasystemet. Ein logg kan innehalda identitet til brukarane, tidspunkt for av- og pålogging, kva for maskin pålogginga skjedde frå, kva program som har vorte brukt, mislukka forsøk på innlogging m.m. Loggen skal oppbevarast elektronisk, og det skal ikkje vera mogleg å endra på loggen.

Kryptering: Kryptering av data er ofte forbunde med militærvesenet, men vil bli meir vanleg også i andre delar av offentleg sektor. Kryptering er oversetting av data frå lesbar til ulesbar tekst ved at teikna i eit dokument endrast etter ein kode, slik at berre dei som har koden kan lesa meldinga.

Viruskontroll: Mange kontor og bedrifter har opplevd datavirus som har øydelagt viktig informasjon. Det er difor viktig at det er mogleg for virussjekk i systemet. Eit virusprogram bør installerast slik at det blir starta automatisk og gjennomgår alle sentrale einingar og alle lokale maskiner.

Vanleg spreiing av datavirus er via diskettar, e-post og nedlasting frå eksternt Internett. Faren for smitte av datavirus har gjort at enkelte arbeidsplassar har nedlagt forbod mot bruk av diskettar som er brukt i eksterne maskinar. Dette gjeld og maskiner heime hjå dei tilsette.