Säkerhetsklassning e-tjänster

Transkript

1 Säkerhetsklassning e-tjänster DATUM Version Säkerhetsklassning e-tjänster sambr_saekklassn_v10_ (49)

2 1. Kort sammanfattning Bakgrund och omfattning Juridisk bakgrund Formel Personuppgiftslagen Metod Metodkarta Mål kontra medel Måloptimering Gradering och betygsättning Klassificeringsmatris enligt OffLIS Övrig process Analogier manuella rutiner e-tjänster Träd för säkerhetsaspekter Medel/lösningar Lösningsvarianter för elektronisk identifiering Lösningsvarianter för elektronisk underskrift (motsv) Lösningsvarianter för kryptering av datakommunikation Resultat och rekommendation Förnyad ansökning om ekonomiskt bistånd Ansökan om barnomsorg Lokalbokning och föreningsbidrag Medborgarassistent Gymnasieval Kommande utredningsbehov Begreppsdefinitioner Bemanning, kunskaps- och intervjupersoner Referenser och fördjupningstexter Bilaga 1: Använt intervjuformulär Intervju för IT-säkerhetsbehovsklassning för kommunala e-tjänster... 48! " #$$ &'($ 2(49)

3 $$)*)$(*)($+ $* )$ ' *)$, '-( -..&'. #$$-&( $)&'*$ ' * )( *$ ) ) $$)(,$ $$ '(' /' '* *-*( * 4( *( 4 3* ( &'( 5. 3* $&$$*&' ) $ )( 0&' '*-$) * ( ''$&' ' '89*- $&&+($ $ * $&$$ &' ( $' $ 7'((- &$:',' ' $.$ *' &' $. *$ $$*)*$ 2 3*-*(2 + $ /)1 4( 2 ; $ /)1 (** $ () &'*$,&'. $$ ($$$$' 7*( 2 + $ /)1 (** $ () &'*$,&'. $$ ($$$$' 3(49)

4 3* ( &'( 2 7 &'*$,&'. $$ (* $ /)1()$ < $$ 4 $& $ (* 9* &' * (* 8$4( * * *) ' ' '''( $$-- (' '** (-, 8 ( ('(&' (&'' '*-&'&=* = * ( (&' &'- '&& 3*$$(( $&' )$$ 4(49)

5 >'((*)$ '*) - '( /&'* 1 ( -/*)$$( ( $$$$$&1&' '-/ 1 &' ' $*) '(89'' - '2)*.'.$&?'$ '$ '( * '&'89 ' *)( 3* $$** '$-* $* $&'$ ( # &'$$' &',9' * &'& 3*),'$$ ( 2 =)' ('* ( *) 2 o 5 /& '.( '.' * 1 o "/ )(' )* &1= ="$$ *(, $$,!*( $= 9 $&)* ($3$ *&'* $$ *(* ) (* ( $&' $ (.$$ &-&* $-&'$ * (.. # * $$' ( 4 (? $& (&'*& => (' =* -& '$89 & &' * *$ ' (' *)(* &' 3$$$( / * 1 ) &'' (' &'* / )) 5(49)

6 ' *, '$$ &1 &' ) )'(*$ $ /,.('* '1 )&(*$$) - ( )$' '- $ ' & ( '('* '$$8' - ( ( *,(( -$$&'''(*)-)+- * ' )/(&' $='& && =1 * (&'A(($$ 4(*& $) -& '(-& & 6(49)

7 4 &' $ -*) '89&&' *$(*) $&&) (+,$ &' ' $&$( $ * $ )$&$( $* (* (* ( $ ( ( $& ' $(*(,'' ' & '' +'' )89&'' +(*3 &'BC 3 $$# -&, * &'* (' (*&'$(? * $$- BC&'6 *- ' &' B!C!"! ; 3 &'BC ' )'/ $ 12 2 =3*)(* $$ 2 * ( $$ &'-6 / * 1* ' &'(*' '>,/ 1( $*&' ' #$$# &8 $* (* $ # $& &'& ( $' ' *-' ## < ' (** &' $ '(* &' Mål Medel Figuren förklaras i kap 4 Opt. Bedömning Rek. 7(49)

8 ' # ## 8 &' $' -' ' ' 9(&'(& $ -$ (,&' * (*' > $ ( $$ '= D 2 = $ ####+' *$ ('* ',* 8; ('* ' *', ( (# #?* *$$8 $ -$ *$$& '= E2 =)*$ $= 2 =6 /2!D1'&'') *..+6 $$') '$/' 1 8 * $ $& -##" ** 1 $ * * ' * '- (1 - ' -( $ - '* &1( &'''' $ ** - ' 1 ) && (=! 2 ="#&' ' *(*) 2 "'- '*& ' ')$ ) ' ' 5 $ &= + $$ & ' 3*$ -& $(' $$$ *' ' BC2=,& $-# $ ' -&$&* F ' (' 8$ ( $ )&'* -& * ), ( $*) '-& ' ' )$$$ ' 8(49)

9 ( (**-&* *$$$ * ' $ -& 8 $ *. &= $ $'.(&' * $$$$ '- '.'$(,89&' ' =$$$ &#& G $ ' =$BC $ +$& =($* $?&' **('&$* $$$ '-(' (=$ BC*$ $ -$' > & =,* $$ $$ ('* =$BC 9(49)

10 /( " *$$ ' ' $$,:( '$(( '&* (*) ', : * *): () /( )*(1 ' *) * -' $( 8 '$,, -&9,' ( *& ' -?(' ' ( 0#### ##1&18 ) '$ Mål Medel Bedömning Utvärdering för nästa version Rekommendation Utfall ('* )-,&&'** H)$$ H *,$$$&'( &' '*)+)$' - $$( & (,$I( # 2-&*#'*3 & $-&' ' * " &'- $$ (' & &', - /'* $&' $ =*='$ *8( '-&=(= $$&1 10(49)

11 /( Intervjusvar Mål: Nytta, resurser mm (Kap 4.7, 6) Risk/skadekonsekv. - Sekretess - Riktighet - Tillgänglighet (Kap 4.5, 6) Lag/regelkrav (Kap 3, 6) Medel: Procedurella lösningar (Kap 4.6, 5) Tekniska lösningar - Deras egenskaper (Kap 5) - Analogier (Kap 4.7) ;*)* ) (* $$ $' Måloptimering Optimeringsparametrarna (målen) balanseras mot varandra för att ta fram resp. vikt för dem. (Kap 4.3, 6) Bedömning Med grund i vikterna i måloptimeringen görs ett resonemang och en bedömning av vilken lösningsrekommendation varje e-tjänst bör ges. (Kap 6). Rekommendation av säkerhetslösning 11(49)

12 +'$ / $$1 - ')$('* *( *) $+$ $ +,$2 Mål Medel Opt. Bedömning Rek. 12(49)

13 /( $$$ '* &' $8' $J (- * 0 '0 '8 * -&--0 '0 ' ' $( $$3*$ (&'$ '-( *('* ' &'* $() '( '(4--0')' *. / &1&'-$&4 '('* $$/ '$$ ( 1!"# (fokuseras inte på i denna rapport) ')$ + $$$ $&' (*( $ ') ($$) - )($* $ $ (* && * &' &'$ '* * ( &' '$$ 13(49)

14 /( ' (* ' ' ( *$ &'$ (($ $ $ '0$$)*$$ $7$ (- $$ (8& / * *1 8$&- /&'-1'&'$'&' '*(,$$( ' $ $2?'- 4( - 5. >. #. )'$ &** $ '&'( - 3*)&$ $$ (( *. / ( 12 Mål Medel Balansplattan för måloptimering Opt. Bedömning Rek. Verksamhetsnytta Medborgarnytta Risk/skadekonsekvenser Lag/regelkrav Kostnad/ resurser 14(49)

15 //4 & ' *( (- $& $',9' 4 BDC8-& $$$ (*(( &' ** $ (* #' ) *$$&'* '8 ) ( $$8 )& '($*$('$ 8 $ ' - ' 8 $ -& *-$ * * * (( =-=+,$$ )()' 7 * &'( ' '* $ $ &' '* ' /&'$$ *( 1)*== (+*)$$&'' (*) ;(*& - $ ', * *( *$$ *$,)*>$$I $''/ '1 *- ) $ $#&' /56 7, 5 -* '058BC'$! *)& & * *(* $$ ( $$0 '0 ' Mål Medel Opt. Bedömning Rek. 15(49)

16 /9( =,=$ $(7&(1 16(49)

17 /89# (*$ ) * '.$&*' -$ $ $=($= $ * ' + $, ) '&' ' *' &# 2&3, :'+&' *),' )( '$&2 6*) '*( $$&( / $1 6*) '*' $$&( / $1 9 &'$(' 6*) ' $( $'$& * 89 4-& &'$$'(-&/ -') 14 * $$4 $ )89 ( - )A(($$ (-( '-(*- -&'- ' )$$. / - '1'$$- &' ( $ $($$&&' *) '$ $ $& ( $$$ $& 2?'$& 89-$& $& (? $&(* ( ' )( ( * '&-&,BCBCBDCBKC&'BEC Mål Medel Opt. Bedömning Rek. 17(49)

18 /:;<.* $$ ( / $$$* $$$** 1 $ -.'. * &' '*) - $$($ ( 5)()'-*) ', * +( '', ( $ ( ( ( ((* $&' $&5 *),$&*, Manuell rutin >> Mål >> Medel Id-kort, Handskriven underskrift etc... Analogi Mål Rutin inkl e-tjänst >> Mål Medel >> Medel Anv.namn, Lösenord eid etc... Opt. Bedömning Rek. 18(49)

19 +,$$' $ 2 (,# && =2#3 7 ( 0 (?- ;( /' ( 1 #( * ( <'* ),$ $($ $(& /) 1 9 /' * $ (* =' $=1? /$$$ &'1 <'* ), * / ==1 ( +,$$ $$ &')2 ;.*,# && =2#3 7 ( L$$A(() +,2 ;) ;$?A(() +,2 3* $( /8; ( ' )==1 <'* ) +,2 ;) 4 A((( 7 *.8; +,2 7$$ & <'* ) +,2?=A((= M((* 4 A((( + &'. $$ +,* +,2 < 7$$ & 19(49)

20 0?A(() & 4 ( (,& $ +,2 8( +?8/( $1?(/, -&1? ==/ (1 +,2 8( +?8?(/, -&1? == / (1 +,2 8( + 20(49)

21 />' 3*) ** *'&' $$ 2 &&12 USA- aspekt Svensk aspekt Confidentiality Insynsskydd/ sekretess Mål Medel Teknisk lösning Identifiering Roll/behörighet Styrning Inloggning Kryptering Processer Inget Anv.namn/PIN Anv.namn/lösenord e-legitimation Dosa el kort (Kvalificerad leg) Behörighetssystem Inget Enkelsidig SSL Dubbelsidig SSL Avancerat krypto Ev ärendeflödes-system /8$$ )$& '* ' 1 21(49)

22 ?2 USA- aspekt Svensk aspekt Mål Medel Teknisk lösning Underskrift (motsv) *) Manipulationsskydd Roll/behörighet Integrity Riktighet Dokumentäkthet Styrning Transaktioner Processer Inget Ledtext+godkänn (PIN) Ledtext+godkänn (lösen) e-underskrift Dosa el kort (Kvalificerad sign) Behörighetssystem Inget Enkelsidig SSL Dubbelsidig SSL Avancerat krypto Säkerhetskopia Arkivering /8$$ )$& '* ' 1 N1( *(-'== Sigill Atomära transaktioner Långa transaktioner Ev ärendeflödes-system 22(49)

23 '/)$$$12 USA- aspekt Svensk aspekt Mål Medel Teknisk lösning Styrning Obehörig borttagning Availability Tillgänglighet Manipulationsskydd Processer Behörighets-system Säkerhetskopia Arkivering Sökbarhet Systemtillgänglighet Tillgänglighet för funktionshindrade Ev ärendeflödes-system /8$$ )$& '* ' 1 23(49)

24 5(1 ;*) / * 1 '*$$- ) Mål Medel Opt. Bedömning Rek. 24(49)

25 !5* * ' / 1 ( &' 8; $&' *.8; 8/)1 7 &' *.8; 8/'.1 == &' *.8; 3**$$ -*. A(((& $,* ( -(/ = = $ &'$ $1 -$8;- ( / ) $ $16 > *(& &' ')$(( 88; (** '(&,$ **>-$ */5&1 4-&$ *-( &'$8 6 > (*$ ' *( 9,$ ( (&'( &'( ( ( &' F * (** ' (&,$ **>-$ */5&1 $$' 8 )& 8 $(>8.-$ $ ('(*)*,& 6 /& 1 " 7 / *1 8 $$' '& $ 4-& $ ('6 7 8( +$ *$ -&'* '+ *) 4 6 < (/ 1 +,&$ $ 25(49)

26 3* $$ ( ($$ )-..2 ; 4 2?)'*$$ ;# ($* &' *&'& 7&&( $ * *)/,$( 1+ /& *18 B@.2*3 4 2 '*'*)')** >8?'&$ 74+9&'$$'* '-$ ( '4$,. / 13* )5/ *) 17&&( ' ' 8(' - '* ' )-& $#&' 8 ) * '.-..&* ))*) ' * ''$.$&' $L $& 26(49)

27 !5* */ 1 7 5,&'. $$/ &' 8; / &' $&' *.8; 8 3**$$ -*. A(( (& 4-& 'A(((& 0) 4-&$ */ 1 -(&'$8 3* & $$ +',8(&'- ( $ +,$-& -,. &'., -& &'&$$$. BC $ (* $$$( *' /&',,$& ( $$1 + '*) ' *, ( ) $$* &$ =$- = *- * (* ** $('' >-$ */5&1 $$' 8 )& 8 -$ *= =$ 00 '*) ') '&' +$* '& 8 ) - ' &' * $ ( '(*)*,& F * ' -$ $ '- 'BC$ 27(49)

28 +/ $&' *.8; 8 0'.1 ". ==/ &' *1 ". & 7 / *1 8 $$' '& $ 4-& $ (' 7 8( +$ *$ -&'* ' # /, $ $ * 1 $ /* * 1O ( +,$ 3* $$ / 1( ($ $ ) &' * ($* 89*-A((? *&'&7&&( $ * *)/,$( 1 + /& *18 "@.2*3 4 2 '*'*)')** >8?'&$ 74+9&'$$'* '-$ ( '4$,. / 17&&( ' '3* )5 / *) 1 8(' - '* ' )-& $#&' /)$1== $ ''* ''$) 8 ) * '.-..&* ))*) ' * ''$.$&' $L $& 28(49)

29 !5* *-$ >-$ */1 $(' -* 8 A(( &' A((-.* ' * *5 -$ )8(* / 1* ( ' *"7( 5-$' 8 $5 3*(E(5/+&& *(( $& (*$*1 4'' &E(5 '*-&&)' -& &*)&' '&" / $& 1* &( ' &' &'.-$7&-$& '' 4'& (&' ' &5($(( 5/ 1$$ 8 & 5-$ / 1 * ;#&'7-1.. ' 29(49)

30 8? 3*( ) ( )*3$ ; ** ))* 1# */. $1< '* ) ' ' /&'$& * 1&' * * $4*( *) Mål Medel Opt. Bedömning Rek. 30(49)

31 8"& Mål?1# ; 1 7 8&( 8 *) /7 2-' 1 > 582 # ' 8$ &' *(*) *-* 8 *) 4(, *) ' *-*&' ( &'- ' $$&'( 8&(* - ( *'- *) ('? ( /)1 > ' # > 582.' 8 &'' $8 $ (/&1?'( ($ )/ )&18 ' ) / ' =(=-1, * Opt. ( ( ) (#1?' - <* $ 4( - <* $ (8 $$$ 6 ( ) ' (- '' ' (* (& - ''$$$ ( * 31(49)

32 5. <* $ >. <* $ #. <* $? + ) ' == ' *) / 1 )*) 8*(* & # * #. +) *$$' 6$$.,'* (*&82 $ /)1 +$' -*(*(* ( +(* - ' *) ==,< & '$$$$$ )? * =B! $ ="=/)1 3*'$$ $)*(3$$)-($ * ** +- $$ ' (*)$$$)& & Bedömning 32(49)

33 8; Mål?1# ; 1 8 8)( &( $(- /'& 1? ( /)1 /7 2-' 1 > 582 # ' &' 8 *) $$&'( 8&(* - ( *'- *) ('? ( /)1 > ' # > 582.' 8 &'' $8 $ (?'(( $ )/ )&18 ' ) / ' =(=-1, 4 Opt. ( ( ) (#1?' - <* $ 4( - <* $ (8 $$$ 6 ( ) ' (- '' ' (* (& )$$$$ ( * 33(49)

34 5. <*)('* $ >. <* $ #. <*('* $? + )' ) == '(* *) 8*(* & # $( 4 #. +) '*$$' 6 $$.,'* (*82 $ /)1 & &'*$,&'. $$& /8 18),$$ $$$'& /)*$&' ' 1 &- $$$*( ('* ' $*/81*8 9 ( $ /*1'8 ** $ ('* () -? * =B! $ ="=/)1 (** $()== &'*$ =@=,&'. $$($$$$' 3*'$$ $)*( 3$$)-( (*$&8( $ )$ *) * * $) / ) - $ 1(*&.' &&$ ($(* Bedömning 34(49)

35 87 Mål?1# ; 1 8 8( &'* ( &( $(-? ( /)1F $ /7 2-' 1 > 582 # ' 8 / 1 / ' 1 ( /& * &'( 1 +&*( 8 * )* (( * $ 3*( '( $$&'( 8&(* - ( *'- *) ('? ( /)1F $ > ' 8 > 582.' 8 &'' $8 $ (/&* ( 1 4'(($ )/ )&18 ') / ' =(=-1, 5 Opt. ( ( ) (#1?' - <* $ (8 $$$ 6 ( ) ' (- ' '' 35(49)

36 4( - <* $ 5. 5 $ >. <* $ #. <*('* $? (* (& )$$$$ ( *( + )' ) == '(* *) 8*(* & 9 $( 5 #. +)( ' 5 &' &('* ' 4*) *( './ 1 ($ &&'*$$$*) '-& ( ( =(='$$*( * / 1 )( ('*,*& '(&6$$. '* (*82 $ /)1 & &'*$,&'. $$& /8 1( ('* ' $*/81*8 9 ( $ /*1'8*-& ()(.*&&'8$? * == &'*$ =@=, &'. $$ (*=B! $ ="= /)1()$ 3*'$$ $)*(.* ( 3$$) -((*$&8( $ )$ *) * * $ )*( / ) - $ 1 Bedömning 36(49)

37 8/( Mål?1# ; 1 8 P *$$$ > 582 # ' '** # ' * A(($8 $&* $' > ' 8 > 582.' 8 &'' $8 ' ) / ' =(=-1, 5 Opt. ( ( ) (#1?' - <* $ 4( - <* $ 5. 5 $ >. <* $ #. <* $ *') '- ( &( $&' /4*) *( 1 ( '$$$ ( * 8 $& 8*(* & 9 $( 5 #. 37(49)

38 ? +)(* *$$&' ' 4*) ) ( $ &$ /&* -' *$$ 1? * / 1 Bedömning 38(49)

39 854&# Mål?1# ; &( $( -? ( /)1 /7 2-' 1 > 582 # ' &' 8 *) $$& '( 8&(* - ( *'- *) ('? ( /)1 > ' 8 > 582.' 8 &'' $8 $ (?'(( $ )/ )&18 ' ) / ' =(=-1, 4 Opt. ( ( ) (#1?' - <* $ 4( - <* $ (8 $$$ 6 ( ) ' (- '' ' (* (& )$$$$ ( * 39(49)

40 5. <*)('* $ >. <* $ #. <*('* $? + )' )== '(* *) 8*(* & # $( 4 #. +) '*$$' 6 $$.,'* (*82 $ /)1 & &'*$,&'. $$& /8 18),$$ $$$'& /)*$&' ' 1 &- ( ('* ' $*/81*8 9 ( $ /*1'8 ** $('* () -? * =B! $ ="=/)1 (** $()== &'*$ =@=,&'. $$($$$$' 3*'$$ $)* - 3$$)-( (*$&8( $ )$ *) * * $) / ) - $ 18$$$- ' Bedömning 40(49)

41 : # - (' * $$- * ( &' - ' ($ +)*)$ /$1* $D # $$ &' -$& $'('* & ( L$$9($ $ $$ $& & -& ' *($/ $ )18' '$$ '$ ) $ $$(* &'- 41(49)

42 > 7 & +' ( $$ ( $$- ' &,!DBC2=7 & & Q /2E1 & = 8 * ( $$$ $& 8 $& &' $$' 8 ' $$' =)&= + 8* /!BC12+ =$$ ' )')$ (' &' '&' *=(, (* - ( ' $'-&= = 5 + 8) ( $$ +,$!! BC2="$$' 2 $$'' $$' &'& $ + $' ) -$ 8$ ( -$ * = 8 7( $$ $$*(& (*8 $&*),.* < $$'(- && 89 7 ( = )?+9 ) 7# ) F#19,(.* &$$ -&( > & 5 $* (' 4( + $, * Q /2E1 <- $ &!KBC2=(*&* & $ = ; -&,2=5 * (' = =4*7<=G(*$$ ( $$+* * +,(--- / $& $' 18 $& ' $ ( $ 42(49)

43 9 ' "/ 1 8 (& $ ' ==8( & * $$$** -&$ - ' 8$$ ( $$*(& (- / &1 +)* ('$$ (-.) -(- *$' *$$ 8$$ * )8($ )$& *, &($$ /81 43(49)

44 C$.#* #$$(($$' # +;*$ #$$ &'($ #$$*' /*>A891!!*$$('( 2 # +89 ;*$ 6*3)I**$ 3( )A )I**$ 6I'P) 75 >A89 4*' '74+92$)*) #*2 3*-*(2 3-, < 6 < #" < 2 >7 ( 4* 8( J<,' ")* <- 3* ( &'( 2 4 < II'I**$ 4( 2 9J'<- 5 * 6-2 >7 ( 4* 4 ( " 4;-* 6 2 5( >5*$ 44(49)

45 ; $ ) )/( 1 ** $('$ ($ $ $AAA$)$/ 1 7 '3$'&&' &' $ '$$&'- $ )$ $( ' ) 45(49)

46 D?*- 5 -*' - '? &' 28'($58 < *89'<89/><421>($- ' /',8.8+JKK&' &'/# 21? * $$- /21! 6 *- ' &' /21 D 4&28$ M(7$$&&-29'JI '$2.&&.&-.&&.'.$,R$S.(-..&.'.9'J$RTS K J 4 " -2J97?+4'8$6? '$2.AAA&.&. E ";892JJJJ '$2.&&.&&. I$2<' $$$ 8<;E!!E ) $;-& $$$ 8;E AAA$,$$-,,$ =58BC= 46(49)

47 ;##* 47(49)

48 #*'. #.* Intervju Intervjuperson Befattning Kommun (motsv) Verksamhetsgren Intervjudatum Fråga Svar/anteckning Ev klass Allmän sekretessnivå inom verksamhetsgrenen (Allvarlig skada skada ingen skada...) Allmänna riktighetskrav inom verksamhetsgrenen (äv dokumentäkthet ) (Allvarlig skada skada ingen skada...) Allmänna tillgänglighetskrav inom verksamhetsgrenen (Allvarlig skada skada ingen skada...) Hur identifierar sig en medborgare i dagens läge för kommunen vid ett ärende? Ärendetyp 1 Hur identifierar sig en medborgare i dagens läge för kommunen vid ett ärende? Ärendetyp 2 (ev) Hur identifierar sig en medborgare i dagens läge för kommunen vid ett ärende? Ärendetyp 3 (ev) 48(49)

49 Finns det speciella krav på identifiering inom lag/föreskrift för verksamhetsgrenen? Kan ärende hanteras helt per telefon? Motringning? Krävs i dagens läge någon formell underskrift från medborgaren? Kontrolleras underskriften gentemot id-handling? Finns det speciella krav på underskrift inom lag/föreskrift för verksamhetsgrenen? Hur hanteras ev ombud idag? Bevittning? Hur skickas info/beslut ut till medborgaren? Vanligt brev - rek rek&utökad idkoll - rek&mott.bevis - fax? Några speciella kommentarer om PUL inom verksamhetsgrenen? Övrigt 49(49)