Risikoen ved å bruke skytenester vil variere avhengig av kor sensitive data ein skal lagre eller behandle, og korleis den valde skytenesteleverandøren har implementert sine spesifikke skytenester. Kor omfattande vurderinga av leverandøren må vere, vil avhenge av kva som er verdien av den informasjonen det er snakk om, og kor alvorlege konsekvensane kan vere dersom noko går gale. […] Tidlegare var hovudtyngda av uroa rundt tryggleik knytt til konfidensialitet. Ein var først og fremst uroleg for om uvedkommande kunne få tak i for eksempel forretningsløyndomar eller sensitiv informasjon om personar. Vi ser nå stadig meir uro knytt til integritet. Uautorisert endring av data kan skje både som følgje av tekniske faktorar og som ei vondsinna handling. Dersom ein ikkje kan føle seg trygg på integriteten i systemet ein brukar, kan det få alvorlege konsekvensar om ein skal bruke informasjonen til å ta viktige avgjerder, eller om han for eksempel inngår i system som er kritiske for verksemda eller kundane. Etter kvart som samfunnet blir meir avhengig av å ha tilgang til IKT og nettverk for å fungere, blir òg tilgjenge stadig viktigare i vurderinga av informasjonstryggleiken. Dersom ei viktig teneste ikkje er tilgjengeleg over ei tid, kan det få alvorlege konsekvensar for ei verksemd. Mange verksemder har kritiske system der ein ikkje toler noko nedetid i det heile. […] Offentlege verksemder skal - og private verksemder bør - gjennomføre risiko- og sårbarheitsanalysar ved større endringar, som etablering av nye digitale tenester, omlegging av drifta, skifte av leverandørar og liknande. Omein behandlar personopplysningar gjeld dette alle verksemder. Verksemda må då vurdere kva konsekvensar ulike hendingar kan få, både for brukarane av verksemda sine tenester, for verksemda sjølv og for sektoren i det heile. Verksemda må så vurdere kor sannsynleg det er at desse konsekvensane vil inntreffe. Nasjonal strategi for bruk av skytenester

######## [Boks slutt]

Norge er et trygt land, men Internett utsetter norske virksomheter for det globale trusselbildet. Dette gjelder også internettilknyttede systemer internt i Norge. Statsråd Bent Høie formulerte det slik i sin redegjørelse til Stortinget 30. januar 2018 om Helse Sør-Øst-saken:

Direktoratet for e-helse mener det ikke er grunnlag for å konkludere med at noen typer tjenester aldri kan overlates til eksterne leverandører. Det trenger altså ikke å være et motsetningsforhold mellom informasjonssikkerhet og tjenesteutsetting. Det må imidlertid alltid foreligge nødvendige risikovurderinger og databehandleravtaler for å ivareta hensynet til informasjonssikkerheten.

Spørsmålet her er om det samme gjelder for arkivsektoren. Informasjonssikkerhet handler om hvordan integritet og konfidensialitet blir håndtert, og om hvor tilgjengelig informasjonen er, se kapittel 4 om integritet, konfidensialitet og tilgjengelighet. Kryptering kan gi økt sikkerhet for at ikke uvedkommende kan bruke dataene, men ved lagring over tid kan kryptering by på utfordringer. Det er umulig å benytte seg av krypterte data uten en fungerende nøkkel. Forvaltning av nøkler over tid er en ikke-triviell oppgave. Stort sett har virksomheten god kontroll så lenge dataene er i administrativ bruk. Når de ikke lenger er i bruk, er det fare for neglisjering av forvaltningen av disse dataene med tilhørende nøkler. En konsentrerer seg heller om det som til enhver tid er i administrativ bruk. Store datasentre i Norge og utlandet vil kunne være attraktive mål for terrorhandlinger fordi konsekvensene av sammenbrudd er store. Dette er et spørsmål om objektsikring. Det må også inngå som del av risikovurderingen ved tjenesteutsetting.