English version: Data storage guide

Temaside om informasjonssikkerhet | Sider merket med informasjonssikkerhet

Løsningene som presenteres i denne guiden er tiltenkt aktiv lagring og behandling av data i pågående forskningsprosjekter.

Har du behov for langtidslagring og / eller arkivering ved prosjektslutt, se informasjon om arkivering av forskningsdata. Informasjon om digitale verktøy for innsamling og behandling av persondata finnes på side om datainnsamling.

Informasjon om lagring i forbindelse med undervisning og administrative oppgaver finnes på temaside om lagring og samarbeid.

Hvordan velger jeg riktig lagringssted?

For å kunne velge den beste løsningen for dine data, må du vurdere:

• Behovet for beskyttelse av data og klassifisering av konfidensialitetsnivå
• Hvem som skal ha tilgang til dine data
• Mengden data som skal lagres

Vi anbefaler at du tar i bruk lagringsløsninger som er tilgjengelig ved NTNU og som presenteres i tabelloversikt nedenfor. Disse løsningene ivaretar tilgangskontroll og automatisk sikkerhetskopiering (backup) av dine data. Dermed unngår du uautoriserte endringer, og at data går tapt eller blir ødelagte.

Det anbefales ikke å bruke fysiske medier som PC, minnepinne eller ekstern harddisk som primært lagringssted. Hvis slik bruk ikke kan unngås, sett deg inn i retningslinjene nederst i denne teksten.

Vurdere behov for beskyttelse av data – informasjonsklassifisering

Alle som skal håndtere data i forskningsprosjekter ved NTNU plikter å sette seg inn i NTNUs retningslinje for informasjonsklassifisering

Dersom prosjektet involverer behandling av personopplysninger, må du dessuten gjøre deg kjent med Retningslinje for behandling av personopplysninger. Husk også at koblingsnøkler alltid skal lagres på et separat område, og aldri sammen med forskningsdataene.

Klassifisering av data er en forutsetning for å velge riktig lagringsløsning, og gjøres av prosjektansvarlig. Alle prosjektdeltakere skal behandle data i tråd med klassifiseringen. NTNUs retningslinje for informasjonsklassifisering gjelder for alle typer data som NTNU behandler.

Retningslinjen beskriver verdivurdering i forhold til Konfidensialitet, Integritet og Tilgjengelighet (KIT). Dataenes integritet og tilgjengelighet vil være godt ivaretatt dersom du benytter en av løsningene presentert i tabellene nedenfor. Det er i hovedsak konfidensialitet som må vurderes i klassifisering av forskningsdata.

Ved NTNU benyttes følgende klassifiseringsnivå – og følgende fargemarkering – for konfidensialitet:

For mer informasjon om klassifisering, se avsnittet “Hjelp til klassifisering av forskningsdata” nedenfor.

Oversikt over lagringsløsninger ved NTNU

Tabellen nedenfor gir en oversikt over ulike løsninger NTNU anbefaler for lagring og behandling forskningsdata. Løsningene er tilgjengelig for alle brukere ved NTNU, men tilgang må forespørres for enkelte av løsningene.

Du kan lese mer om de ulike tjenestene og plattformene ved å klikke på dem.

Tabell: Anbefalte lagringsløsninger

* Fortrolige data kan lagres dersom de krypteres. Les om hvordan du kan kryptere Microsoft 365-dokumenter eller andre filer med 7-Zip.

* * Strengt fortrolige data kan lagres dersom de krypteres. Les om hvordan du kan kryptere Microsoft 365-dokumenter eller andre filer med 7-Zip.

* * * Risikonivå vurderes individuelt, se mer informasjon på HUNTs informasjonssider.

Andre løsninger

Tabellen nedenfor gir en oversikt over andre løsninger som tilbys av enten NTNU eller andre, og som er aktuelle for en mindre andel brukere.

* Det kan tilbys ekstra sikring som muligjør lagring av fortrolige data ved behov

Pilot: objektlagring via S3

NTNU IT piloterer S3-buckets og kan tilby slik lagring for forskere som ønsker å teste ut objektlagring. Ta gjerne kontakt med Forskningsdatahjelpen via NTNU Hjelp dersom du er nysgjerrig på denne typen lagring.

Hjelp til klassifisering av forskningsdata

De fleste typer forskningsdata vil kunne klassifiseres som interne eller fortrolige i den aktive fasen av et forskningsprosjekt. Interne fordi det ofte er ønskelig å beskytte informasjonen fra uvedkommende, eventuelt fortrolig dersom dataene har særlige behov for beskyttelse.

Ved tvil om data er interne (gule) eller fortrolige (røde), bør de behandles som fortrolige data.

Klassen ‘strengt fortrolig’ brukes kun dersom uvedkomnes tilgang kan forårsake betydelig skade, og benyttes relativt sjelden for forskningsdata.

Når må jeg gjøre klassifiseringen?

• Konkrete behov for beskyttelse av data skal vurderes for hvert enkelt forskningsprosjekt, og bør alltid gjøres før en går i gang med å samle inn data.
• Merk at vurderingen kan endre seg underveis i prosjektet. Vurderingen er altså ikke statisk, men avhenger av det til enhver tid gjeldende risikobildet.
• Forskere bør vurdere klassifisering av prosjektets forskningsdata på nytt i avsluttende faser av prosjekter. Slike vurderinger vil være tett forbundet med tilrettelegging av data for arkivering og eventuelt publisering.

Hvem har ansvar for å gjøre klassifiseringen?

• Vurderingen skal gjøres av den som er ansvarlig for forskningsprosjektet, men gjerne etter rådføring med andre.
• Ved studentprosjekter på bachelor- og masternivå er veileder som regel den ansvarlige for vurderingen.
• Linjeleder har det overordnede ansvaret for at klassifiseringen gjennomføres.

Hvor kan jeg få råd og hjelp til klassifiseringen?

Dersom du har behov for råd og hjelp i arbeidet med klassifisering i ditt forskningsprosjekt, ta kontakt med Research Data@ NTNU.

Research Data @ NTNU kan også hjelpe prosjekter med å komme i gang med risiko- og sårbarhetsanalyser (ROS) for forskningsdata, i tilfeller det er relevant.

Om åpne data

Klassen åpne data brukes for informasjon som kan være tilgjengelig for alle uten at de har særskilte tilgangsrettigheter. Slik informasjon kan ikke skade noe eller noen dersom den kommer ut, og alle kan få lesetilgang.

Eksempler på åpne data kan være egne notater eller sammenstilte forskningsdata med utgangspunkt i allerede publisert materiale eller forskningsdata som ikke er unntatt offentligheten: eksempelvis artstellinger, værdata, medieoppslag etc.

Om interne data

Klassen interne data brukes for informasjon som kun skal være tilgjengelig for forskere og medarbeidere og evt. studenter ved NTNU. Interne data kan gjøres tilgjengelige for eksterne ved bruk av kontrollerte tilgangsrettigheter.

Denne klassen benyttes ofte for aktive forskningsdata.

Eksempler: Upublisert arbeid, informasjon som er unntatt offentlighet, og dessuten mange typer personopplysninger knyttet til forskningsprosjekter (for eksempel prosjektmedlemmers navn og epostadresse).

Om fortrolige data

Klassen fortrolige data brukes dersom det vil kunne skade offentlige interesser, NTNU, enkeltindivider eller samarbeidspartnere hvis informasjonen blir kjent for uvedkommende. Fortrolige data kan gjøres tilgjengelige for eksterne ved bruk av strengt kontrollerte tilgangsrettigheter.

Denne klassen benyttes relativt ofte for aktive forskningsdata, spesielt i helseforskningsprosjekter og prosjekter som behandler særlige kategorier av personopplysninger (også kalt sensitiv informasjon).

Eksempler: Særlige kategorier av personopplysninger, sammenstilling av store mengder personopplysninger, data som faller innunder lov om eksportkontroll, data som har kav om særlig beskyttelse etter sikkerhetsloven (skjermingsverdige / sensitive data), data berørt av intellectual property rights (IPR), forretningshemmeligheter.

Om strengt fortrolige data

Klassen strengt fortrolig benyttes dersom det vil kunne forårsake betydelig skade for offentlige interesser, NTNU, enkeltindivider eller samarbeidspartnere at informasjonen blir kjent for uvedkommende. Det stilles krav til særlig streng tilgangskontroll også internt i organisasjonen.

Denne klassen benyttes relativt sjelden for aktive forskningsdata, men kan være aktuell i enkelte tilfeller.

Eksempler: Store mengder helseopplysninger/pasientdata, forsvarshemmeligheter, informasjon som berører rikets sikkerhet, informasjon om individer på hemmelig adresse.

Sikkerhet ved behandling av data

Du bør alltid være bevisst på datasikkerhet når du behandler forskningsdata – dette inkluderer både innsamling / oppretting, overføring og analyse av data. Det er særlig viktig at overføring av data (mellom personer eller lagringsenheter) skjer på en sikker måte og i tråd med dataenes konfidensialitetsklasse. Se wikiside om sikker sending og mottak av filer og dokumenter.

Prosjektleder har et overordnet ansvar for dataenes sikkerhet, og eventuelt de registrertes rettigheter dersom prosjektet behandler personopplysninger. Alle som jobber med data i forskningsprosjekter har et ansvar for å ha kontroll med data de jobber på, samt eventuelle kopier av forskningsdata. Prosjektet/ forskningsgruppen bør etablere felles rutiner for sikkerhetskopiering (dersom det ikke skjer automatisk), samt sletting av data - og sørge for at disse følges opp.

Fysiske lagringsmedier

Lokal lagring på fysiske lagringsmedier skal som hovedregel ikke benyttes som primært lagringssted, da slik lagring innebærer en risiko for uautorisert tilgang, tap og korrumpering av data. Det kan imidlertid være nødvendig å ta i bruk slike ved overføring av data, eller om du skal på reise og/eller er offline over lang tid.

NTNU tillater ikke at annet enn åpne data lagres på private maskiner eller private skytjenester. Du kan imidlertid behandle både åpen og intern informasjon på privat PC gitt visse retningslinjer. Se Retningslinjer for behandling av informasjon med privat IKT-utstyr.

Bruk av kryptering og/eller passordbeskyttelse av fysiske lagringsmedier er et godt preventivt tiltak for å begrense skadeomfang ved eventuelt tap. Les om hvordan du kan kryptere Microsoft 365-dokumenter eller andre filer med 7-Zip.

Du kan lagre og behandle følgende klasser på fysiske lagringsmedier:

• NTNU-eid datamaskin - egenadministrert: du kan lagre og behandle åpne og interne data.
• NTNU-eid datamaskin – administrert og kryptert av NTNU IT: du kan lagre og behandle åpne, interne og fortrolige data.
• Minnepinne/ekstern harddisk: du kan lagre åpne og interne data, samt fortrolige og strengt fortrolige data dersom disken er kryptert.
• Privat PC: kun åpne data kan lagres. Også intern informasjon kan behandles, gitt visse retningslinjer.

Vær oppmerksom på at noen skylagringstjenester, f.eks. Microsoft-tjenester, kan gjøre bruk av automatisk synkronisering (speiling) mellom skylagringen og enheten som tjenesten benyttes fra (mobil, nettbrett, laptop).

Sletting av filer

I ethvert forskningsprosjekt bør prosjektleder ha planer og rutiner for sletting av data, samt en plan for flytting til eventuelle andre egnede lagringsområder i ulike prosjektfaser - og/eller arkiveringstjenester der det er relevant.

NTNU har ikke mulighet til å hente ut data fra personlige lagringsområder, herunder NTNU hjemmeområde og OneDrive, i ditt sted. Det vil si at data som ligger her ikke er tilgjengelig for andre (f.eks. samarbeidspartnere), og at de vil gå tapt når du slutter ved NTNU eller dersom du blir indisponert av ulike årsaker. Det anbefales derfor som hovedregel ikke å bruke disse områdene for lagring av forskningsdata.

Sletting av filer fra fysiske lagringsmedier

Filer på lokale medier slettes ikke nødvendigvis dersom de legges i papirkurven. Slik går du fram for å sikre at informasjon på eksterne disker blir slettet på en forsvarlig måte:

• Windows: Koble til eksternt lagringsmedium i PCen, finn mediet, høyreklikk og velg Formater. Velg NTFS filsystem, pass på at «Quick format» ikke er haket av og klikk Start. NB: Det er viktig å bruke full formatering for å hindre at informasjonen lar seg gjenopprette.
• MacOS: Koble til eksternt lagringsmedium. Åpne Disk Utility, velg enhet under External, klikk Erase og velg ønsket format fra menyen. (Bruk MS-DOS (FAT) for 32GB og mindre, og ExFat for kort over 32GB med mindre du har en god grunn til å velge andre formater.) Klikk Security Options og flytt bryteren helt til høyre før du klikker Erase.

For sikker sletting av data på andre enheter (f.eks. laptop), ta kontakt med Orakeltjenesten.

Kontakt

Kontakt Forskningsdatahjelpen (Research Data @NTNU) gjennom NTNU Hjelp hvis du har spørsmål om lagring av forskningsdata eller innspill til hvordan vi kan gjøre denne siden bedre.

Orakeltjenesten hjelpe deg dersom du har tekniske spørsmål eller støter på problemer med de ulike lagringsløsningene.