3.4.1: Risikovurdering

Risikovurdering er et verktøy og skal være av et slikt omfang at virksomheten kan identifisere nødvendige sikkerhetstiltak. Virksomhetene skal utarbeide, vedlikeholde og dokumentere risikovurderinger. Ved endringer i virksomheten som kan påvirke informasjonssikkerhet, skal risikoen som disse endringene medfører vurderes.

Risikovurderinger skal minst inneholde:

• kartlegging av virksomhetens nettverk- og informasjonssystemer, samt deres betydning for leveransen av samfunnsviktige tjenester.
• identifikasjon av potensielle hendelser som kan påvirke virksomhetens nettverk- og informasjonssystemer.
• analyse av sårbarheter knyttet til virksomhetens nettverk- og informasjonssystemer.
• vurdering av sannsynligheten for at en hendelse kan inntreffe.
• vurdering av konsekvensene av hendelser
• analyse av virksomhetens avhengighet av andre virksomheter for å fungere optimalt

Risikovurderingen bør ta utgangspunkt i en kartlegging av informasjonsverdier og hva som vil bli konsekvensen av hendelser som rammer tilgjengeligheten, integriteten og konfidensialiteten til informasjonsverdiene. Virksomheten skal vurdere sannsynligheten for at en hendelse kan inntreffe og konsekvensen av hendelsen. Dersom risikoen er uakseptabel, skal virksomheten gjennomføre tiltak for å redusere risikoen.

Virksomheten skal gjennomføre risikovurderinger, og de skal som minimum gjennomføres før:

• etablering av eller endring i behandling av helse- og personopplysninger
• etablering av nye informasjonssystemer eller registre som inneholder eller benytter helse- og personopplysninger
• endringer i eksisterende informasjonssystemer eller registre som inneholder eller benytter helse- og personopplysninger
• det etableres organisatoriske, tekniske, fysiske, personellmessige tiltak eller andre endringer med betydning for informasjonssikkerheten
• det etableres eller endres tilgang til helseopplysninger mellom virksomheter

Risikovurdering bør oppdateres ved endring i trusselbildet. I tillegg skal virksomhetens ledelse jevnlig gjennomføre risikovurderinger som ledd i sitt arbeid med å kontrollere informasjonssikkerheten.