Hvor lenge kan man lagre informasjon fra adgangskontrollsystemer?

Hvor lenge kan man lagre informasjon fra adgangskontrollsystemer?

Adgangskontrollsystemer spiller en stadig viktigere rolle for sikkerheten i virksomheter. Disse systemene registrerer hvem som har tilgang til ulike områder og når, og lagrer dermed kritisk informasjon om ansattes bevegelser. Men hvor lenge skal denne informasjonen lagres? Og hva er de aktuelle reglene for sletting av slike data?

Det er viktig å huske at informasjonen i adgangskontrollsystemene ofte inneholder sensitiv data, inkludert navn, avdelinger, tidspunkt for inngåelser og utganger og, i noen tilfeller, PIN-koder eller kortdetaljer. Denne informasjonen kan representere et sikkerhetsrisiko hvis den ikke håndteres og slettes forsvarlig.

I Norge, og i mange andre land, finnes det ingen spesifikke lovgivningsmessige krav for hvor lenge adgangskontrolldata kan lagres. Men prinsippet om databehandlingssikkerhet og personvern, som ligger i lover som for eksempel personopplysningsloven (GDPR i EU-land), stilles krav om at data ikke lagres lenger enn nødvendig.

Det generelle rådet, og en god sikkerhetspraksis, er at loggene automatisk slettes etter 90 dager. Dette tidsramme er ikke fastlagt av lov, men reflekterer en god avveining mellom å holde en nødvendig historikk over sikkerhetshendelser, og å minimere lagring av potensielt sensitiv informasjon. Viktigst er at det er dokumentert at denne slettingen faktisk utføres. Dokumentasjonen av denne automatiserte slettingsprosessen er et kritisk element for å kunne ettervise at kravene til sikker databehandling er oppfylt.

Slettingen av kort- og PIN-koder bør skje etter et gjennomtenkt og dokumentert plan. Det er ikke nok å bare sette en automatisert tidsbegrensning; det er viktig å sjekke at prosessen fungerer og at dataene er helt slettede. Å ha rutiner for periodisk kontroll, og å kunne dokumentere sletteoperasjoner, er avgjørende.

Hvis en virksomhet har behov for å lagre adgangskontrolldata i lenger tid enn 90 dager, for eksempel i forbindelse med etterforskning av hendelser, er det viktig at denne typen oppbevaring er godt begrunnet og dokumentert, basert på et behov som er tydelig definert og nødvendige for å kunne oppfylle virksomhetens spesifikke krav.

I sum bør adgangskontrollsystemer innføres med et system for automatisert og dokumentert sletting av sensitive data etter en viss periode, som for eksempel 90 dager. Dette sikrer at virksomheten opprettholder et tilstrekkelig sikkerhetsnivå og overholder gjeldende retningslinjer. Det er avgjørende for bedriften å ha rutiner for å evaluere og dokumentere disse rutinnene.

#Adgangskontroll #Informasjon #Lagringstid