Office 365. Risk- och sårbarhetsanalys. Omsorgsförvaltningen Nybro kommun. Risk- och sårbarhetsanalys Sid 1 (27)

Transkript

1 Sid (27) Office 65 Omsorgsförvaltningen Nybro kommun Bilaga ärende 8 - Office 65

2 Innehållsförteckning Sid 2 (27) Underlag.... Beskrivning av användningen..... Syfte med användning av Onlinetjänsten d v s molntjänsten Avgränsningar rörande datatyper som behandlas i Office Behandling av personuppgifter Syfte med behandling Klassificering av uppgifter Tillåten behandling Information till användare Personsuppgiftsbiträde och behandling av data Överföring av personuppgifter till tredje land Avtal som reglerar mellan Nybro kommun och Microsoft Ändamål med behandlingen Underleverantörer och säkerhet för Onlinetjänsterna Uppsägning av tjänsten Risker användning av Onlinetjänsten, Office Nya rutiner, information och utbildning Sammanfattning av och sårbarhetsanalys Bilaga ärende 8 - Office 65

3 Underlag Sid (27). Beskrivning av användningen I detta stycke görs en genomgång av vilken leverantör som valts, vilka tjänster som kommer att användas och vilken typ av information som kommer behandlas i Onlinetjänsten... Syfte med användning av Onlinetjänsten d v s molntjänsten Nybro kommun har valt att använda tjänsten Office 65 från Microsoft som Onlinetjänst. Office 65 kommer efter beslut av nämnderna att användas av alla förvaltningar inom Nybro kommun för att stödja administrativa arbetsuppgifter. Tjänsterna kommer att erbjudas till all personal i Nybro kommun, i fortsättningen benämnda som användare. De ändamål som förväntas uppnås när användarna får tillgång till tjänsten kan sammanfattas enligt följande: Eposthantering Lagringen av offentliga data som respektive förvaltning anser som lämplig för lagring i Office 65. Möjliggöra kommunikation mellan användarna Användarna kommer ges möjlighet att använda följande tjänster i Office 65 Exchange Online för kommunikation via e-post. OneDrive for Business för organisering och lagring av dokument, bilder, filmer och annat administrativt material Skype for Business för snabbmeddelanden och eosamtal. Office Web Apps för tillgång till Word, PowerPoint, Excel och OneNote..2 Avgränsningar rörande datatyper som behandlas i Office 65 Kommunen har valt att inte behandla data kopplat till personaladministration, indiuella utvecklingsplaner, data som är kategoriserad att innehålla sekretess eller data som betraktas som kritisk i verksamhetsprocesser i Office 65. Denna data kommer antingen att behandlas i kommunens befintliga verksamhetssystem eller lagras i kommunens egna lagringsenheter d v s sådan data lagras inte i Office 65. Bilaga ärende 8 - Office 65

4 Sid 4 (27).2 Behandling av personuppgifter.2. Syfte med behandling Behandling av personuppgifter utförs när det är nödvändigt och stödjer det administrativa arbetet i Nybro kommun. Varje förvaltning har sina rutiner och bestämmelser om hur behandling av personuppgifter får utföras inom respektive nämnd..2.2 Klassificering av uppgifter Information som enligt Personuppgiftslagen klassificeras som känsliga personuppgifter kommer inte behandlas i Office 65. Exempel på sådan data är information om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, eller information rörande hälsa eller sexualliv. Information som enligt Personuppgiftslagen 2 klassificeras som känslig och integritetskränkande kommer inte heller behandlas i Office 65. Exempel på detta är information om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Nämnderna kommer att inte behandla data som enligt Personuppgiftslagen och 2 klassificeras som känsliga eller integritetskränkande personuppgifter i Office 65. Indirekta personuppgifter såsom namn behandlas i Office 65 för att möjliggöra tillgång till arbetsverktygen och behörighetsstyrning. Andra personuppgifter, såsom namn och faktainformation, kan förekomma i fritext. För att förhindra att känsliga personuppgifter behandlas i Onlinetjänsten har respektive verksamhet inom respektive nämnd gjort -och sårbarhetsanalys för Office 65 och i samband med det tagit fram skriftliga instruktioner till användarna. Av instruktionerna framgår bland annat att känsliga personuppgifter inte får skrivas eller sparas i Onlinetjänsten. Bilaga ärende 8 - Office 65

5 Sid 5 (27).2. Tillåten behandling Personuppgifter med innehållet är av okänslig karaktär enligt 0 punkt d Personuppgiftslagen, detta får ske utan indiens samtycke..2.4 Information till användare Information om övergång till Office 65 kommer att lämnas till användarna i samband med att de får tillgång till tjänsten. Information kommer även att finnas på intranät, webbplats och andra kanaler. Utbildning införandet kommer att ske till anställda..2.5 Personsuppgiftsbiträde och behandling av data Vid användning av Office 65 kommer leverantören Microsoft att fungera som personuppgiftsbiträde åt kommunen. Mellan parterna har ett personuppgiftsbiträdesavtal upprättas, som en del av standardavtalet för tjänsten. Genom avtalet kommer Microsoft att ges mandat att anlita underleverantörer för att genomföra personuppgiftsbehandlingen. Underleverantörer ska endast utföra begränsade servicearbeten t ex att erbjuda kundsupport. Underleverantörer ska inte använda kunddata för några andra ändamål enligt avtalet. Information om vilka underleverantörer som anlitas och vart de är verksamma finns på följande sida. Enligt avtalet kommer kunddata att användas endast för att tillhandahålla kunden Onlinetjänsterna, inklusive ändamål som är förenliga med att tillhandahålla dessa tjänster. Microsoft kommer inte att använda kunddata eller härleda information från dem i reklamsyfte eller något annat liknande kommersiell syfte. Kunden behåller alla rättigheter, äganderätter och intressen i och till kunddata. Nämnden gör bedömningen att Microsofts rutiner kring radering av behandlad data efter det att de inte längre krävs för de definierade Bilaga ärende 8 - Office 65

6 Sid 6 (27) ändamålen uppfyller de krav som ställs i personuppgiftslagen. Till grund för bedömningen ligger följande avtalsvillkor: Volume Licensing, Online Services Terms August, 206, Microsoft Privacy: Inte mer än 80 dagar efter upphörande eller uppsägning av Kundens användning av en Onlinetjänst kommer Microsoft att inaktivera kontot och radera Kunddata från kontot..2.6 Överföring av personuppgifter till tredje land För att erbjuda en så hög driftsäkerhet som möjligt finns den behandlade informationen i flera datacenter enligt Volume Licensing Online Services Terms August, 206, Microsoft 2. När personuppgifterna ska överföras utanför EU/ESS länder (i PUL är denna överföring benämnd som överföring av personuppgifter till tredje land ) kan det variera vilken lagstiftning som finns till skydd för enskildes personliga integritet. För att Onlinetjänstleverantörer ska garantera att samma skydd kan ges som om uppgifterna behandlas inom EU/EES brukar Onlinetjänsteavtal kompletteras med särskilda tillägg. Enligt Volume Licensing Online Services Terms August, 206, Microsoft, Privacy and Security Terms, Microsoft kommer att följa kraven enligt medlemsländerna EES och Schweiz datalagringsdirektiv om överföring, användning och behandling av personuppgifter..2.7 Avtal som reglerar mellan Nybro kommun och Microsoft Nedan görs en genomgång av de avtal som tagits fram kopplande till införande och användning av Office 65. Online Service Terms August, 206, Microsoft 2 ypeid= Bilaga ärende 8 - Office 65

7 Sid 7 (27) Attachment The Standard Contractual Clauses, Online Service Terms August, 206, Microsoft.2.8 Ändamål med behandlingen Enligt PUL får leverantör och underleverantörer inte behandla personuppgifter för eget ändamål. Följande avtalspunkter från avsnitt.b.(i) i personuppgiftsbiträdesavtalet och.b.(ii) i biträdesavtalet säkerställer detta. Mellan parterna kommer ett personuppgiftsbiträdesavtal upprättas, som en del av standardavtalet för tjänsten. Enligt avtalet med Microsoft och kunden, kunddata kommer att användas endast för att tillhandahålla kunden Onlinetjänsterna, inklusive ändamål som är förenliga med att tillhandahålla dessa tjänster. Microsoft kommer inte att använda kunddata eller härleda information från dem i reklamsyfte eller något annat liknande kommersiell syfte. Kunden behåller alla rättigheter, äganderätter och intressen i och till kunddata. Genom avtalet kommer Microsoft att ges mandat att anlita underleverantörer för att genomföra personuppgiftsbehandlingen. Underleverantörer ska endast utföra begränsade servicearbeten t ex att erbjuda kundsupport. Underleverantörer ska inte använda kunddata för några andra ändamål enligt avtalet..2.9 Underleverantörer och säkerhet för Onlinetjänsterna Information om vilka underleverantörer som anlitas och vart de är verksamma finns på följande sida hos Microsoft. Nedan finns det valda delar av säkerhetsanvisningar som gäller för Online tjänsterna: Bilaga ärende 8 - Office 65

8 Sid 8 (27) Organisation för skydd av säkerhet: I dokumentet finns information om att Office 65 Services är ISO 2700 certifierade. Microsoft har utsett en eller flera säkerhetsansvariga som ansvarar för att samordna och övervaka reglerna och rutinerna kring säkerhet. Personal och säkerhet: Microsoft informerar personalen om möjliga konsekvenser om man bryter mot säkerhetsreglerna och säkerhetsrutinerna. Händelseloggning: Microsoft loggar eller gör det möjligt för kunden att logga, åtkomst till och användning av informationssystem som innehåller kunddata. Fullständig information av leverantören Microsofts säkerhetsåtgärder och organisation finns dokumenterad i dokumentet, Volume Licensing, Online Services Terms August, 206, Microsoft Uppsägning av tjänsten I det fallet att kommunen väljer att avsluta tjänsten finns det flera sätta att flytta den behandlade informationen från Office 65 till kommunens egna IT-system. Microsoft erbjuder möjlighet till hybridkopplingar där kommunens egen infrastruktur (on-premise system) kombineras med de tjänster som ingår i Office 65. Hybridkopplingen möjliggör att användare och information flyttas mellan Office 65 och kommunens egen infrastruktur. OneDrive for Business och Exchange Online ger även användaren möjlighet att själv spara ner informationen på sin egen dator för tillgång avbrott i tjänster eller när en internet anslutning inte finns tillgänglig (Offline acceess). Denna funktion kan användas om kommunen väljer att helt avsluta tjänsten för att möjliggöra att användarna på egen hand sparar den information de anser vara relevant för fortsatt arbete. 4 ypeid= Bilaga ärende 8 - Office 65

9 Sid 9 (27) 2 Risker användning av Onlinetjänsten, Office 65 Sätt X i det fält som ni identifierar bäst stämmer överens med förvaltningens syn på konsekvens sam sannolikhet. Ändra i de textfält som ni anser behöver ändras. På sista sidan finns en helt tom matris som används för er och sårbarheter som ni identifierat och som ej finns med i detta dokument. Identifierad Medarbetares arbetsmaterial går förlorad pga. systemfel hos leverantör Förseningar, omarbeta mm. leder till ett tappat förtroende för tjänsten. Allvarlig 4 X Mycket Sällan 2 Ofta 4 sällan Kommentar Leverantören har histo sett haft få incidenter som lett till dataförlust och därför anser gruppen att en att den sker är låg. Prioritet (Hög, låg eller medel) Låg Betydelsefull data kan lagras både i molnet och lokalt på användarens dator vilket minskar en för dataförlust. Bilaga ärende 8 - Office 65

10 Sid 0 (27) Identifierad Obehörig får del av personuppgifter och arbetsmaterial på grund av förlust av inloggningsuppgifter. Obehöriga får tillgång till material Allvarlig 4 x Mycket Sällan 2 sällan Ofta 4 Kommentar: Vi har särskilda verksamhetssystem för personuppgifter. Prioritet (Hög, låg eller medel) Låg Rutiner för hur användarna ska informeras om vikten att hålla inloggningsuppgifter hemlig och vikten av att byta lösenord om man misstänker att obehörig fått tillgång till det tas fram. Kontinuerlig utbildning till anställda. 4 Bilaga ärende 8 - Office 65

11 Identifierad Sid (27) Leverantören visar sig inte kunna etablera eller upprätthålla tillräcklig informationssäkerhet. Obehöriga får tillgång till material. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar Inga förödande konsekvenser för tredje part men kan ge upphov till ryktesspridning om arbetsmaterial blir tillgängligt. Det finns ett avtal med leverantörer om informationssäkerhet. Prioritet (Hög, låg eller medel) Låg En plan för hur data ska flyttas från molntjänsten till annat system tas fram för att planerat kunna migreras. 2 Bilaga ärende 8 - Office 65

12 Identifierad Sid 2 (27) Personal hos leverantör läser medarbetares e-post (obehörig access). Obehöriga får tillgång till material. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar: Det finns avtal om hur personal hos leverantören får hantera information Prioritet (Hög, låg eller medel) Låg Kryptering behövs för vissa typer av e-post ex trygghetslarms konversation/beställning Bilaga ärende 8 - Office 65

13 Identifierad Sid (27) Leverantören går i konkurs, köps upp av intressent som inte respekterar personuppgiftslagen. Kommunen måste hitta en ny leverantör av likvärdiga tjänster, implementera denna och migrera data. Detta innebär även en kostnad och en arbetsinsats från kommunen. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar Prioritet (Hög, låg eller medel) Låg : En plan för hur data ska flyttas från molntjänsten till annat system tas fram av IT-enheten för att planerat kunna migreras. 2 Bilaga ärende 8 - Office 65

14 Identifierad Sid 4 (27) Leverantören förmår inte upprätthålla tillgängligheten av tjänsten. Medarbetare kan inte arbeta i systemet. Allvarlig x Måttlig Mycket sällan Sällan Ofta Kommentar Vi kan inte arbeta utan tillgänglighet av tjänsten. Prioritet (Hög, låg eller medel) Medel En plan för hur data ska flyttas från molntjänsten till annat system tas fram för att planerat kunna migreras. 6 Bilaga ärende 8 - Office 65

15 Identifierad Sid 5 (27) Virus eller annan fientlig kod kan via tjänsten hota kommunens övriga IT-miljö. Information sprids till obehöriga, medarbetare kan inte arbeta och en insats behöver utföras för att rensa kommunens miljö från den skadliga koden. Allvarlig X Måttlig Mycket sällan Sällan Ofta Kommentar Prioritet (Hög, låg eller medel) Medel Rutiner för uppdatering av antivirusprogram och uppdatering av system verifieras. Kontinuerlig utbildning till personal. 4 Bilaga ärende 8 - Office 65

16 Sid 6 (27) Identifierad Information och personuppgifter raderas inte efter att medarbetare har slutat i verksamheten. Kommunen uppföljer inte PUL. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar Händer idag regelbundet på grund av att automatisk kontohantering saknas. Prioritet (Hög, låg eller medel) Hög Införande av automatisk kontohantering. Framtill dess rutin för avslut av konton. Poäng (konsekvens * ) 9 Bilaga ärende 8 - Office 65

17 Identifierad Sid 7 (27) Leverantören behandlar personuppgifterna för egna ändamål. Kommunen uppfyller inte PUL. Allvarlig 4 X Mycket Sällan sällan 4 2 Ofta Kommentar Reglerat i avtal. Prioritet (Hög, låg eller medel) Medel Ska framgå tydligt i avtal att det inte är tillåtet Poäng (konsekvens * ) 4 Bilaga ärende 8 - Office 65

18 Identifierad Sid 8 (27) Leverantören förändrar innehållet i tjänsten (funktioner adderas eller förändras). Kommunen behöver utbilda/informera användarna om den nya eller förändrade tjänsten. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar: Att utbilda personal kan innebära kostnader för vikarier Prioritet (Hög, låg eller medel) Hög Microsoft kommunicerar information om förändringar i god tid, en rutin där en person får i uppgift att läsa den information som Microsoft släpper för att säkerställa att det inte påverkar kommunens användning av molntjänsten. Poäng (konsekvens * ) 8 Bilaga ärende 8 - Office 65

19 Identifierad Sid 9 (27) Leverantören förändrar innehållet i tjänsten (funktioner tas bort som är vitala) Kommunen måste i värsta fall hitta en ny leverantör av likvärdiga tjänster, implementera denna och migrera data. Detta innebär även en kostnad och en arbetsinsats från kommunen. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar Prioritet (Hög, låg eller medel) Låg Microsoft kommunicerar information om förändringar i god tid, en rutin där en person får i uppgift att läsa den information om Microsoft släpper för att säkerställa att det inte påverkar kommunens användning av molntjänsten. Bilaga ärende 8 - Office 65

20 Identifierad Sid 20 (27) Data och metadata kan inte överföras till annan IT-lösning avslutande av tjänsten. Risk för inlåsning och att tjänsten fortsätter att användas även om kommunen vill använda en annan tjänst. Allvarlig 4 x Mycket Sällan 2 sällan Ofta 4 Kommentar Med nedanstående åtgärder är en försumbar. Prioritet (Hög, låg eller medel) Låg Microsoft tillhandahåller verktyg för att flytta data från deras molntjänst. Data kan även flyttas till kommunens lokala IT-miljö via en hybridkoppling. Bilaga ärende 8 - Office 65

21 Sid 2 (27) Identifierad Lagar och regler förändras som gör att tjänsten inte får användas. Kommunen måste hitta en ny leverantör av likvärdiga tjänster, implementera denna och migrera data. Detta innebär även en kostnad och en arbetsinsats från kommunen. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar Relativt nytt område gör att det finns högre för förändringar i och med att kunskapen ökar. Prioritet (Hög, låg eller medel) Medel Kommunens personuppgiftsombud eller kommunens jurist kan få i uppdrag att ha uppsikt över förändringar i PUL och andra lagar som kan hindra användningen av tjänsten. En plan för hur data ska flyttas från molntjänsten till annat system tas fram för att planerat kunna migrera data till annat system om så blir fallet i framtiden. 6 Bilaga ärende 8 - Office 65

22 Sid 22 (27) Identifierad Avbrott i tjänsten på grund av lokala driftstopp. Användarna erar att förlora arbetstid och kan få ett minskat förtroende för kommunens IT. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar Vid ett lokalt driftstopp i kommunens datacenter kommer ADFS server inte vara tillgänglig och användarna inte kunna logga in i molntjänsten. Om kommunens internetaccess inte fungerar kommer inte heller molntratten vara tillgänglig. Prioritet (Hög, låg eller medel) Låg Genom att implementera redundans i miljö minskas en för att detta inträffar. 4 Bilaga ärende 8 - Office 65

23 Identifierad Sid 2 (27) Leverantör till kommunen följer inte PUL vilket påverkar användningen av Office 65. Kommunen tvingas byta till en annan leverantör som följer PUL. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar En leverantör till kommunen som ex. tillverkar applikationer för Office 65 följer inte PUL och detta i sin tur gör att kommunen måste välja annan leverantör, samt mister förtroendet från användarna. Prioritet (Hög, låg eller medel) Medel Rutiner för kontroll av leverantörer och applikationer tas fram för att minska en att detta inträffar. Måste kvalitetssäkras inför upphandlingen genom kravspec. 4 Bilaga ärende 8 - Office 65

24 Sid 24 (27) Identifierad Användaren lagrar otillåten data i Office 65 (användaren hanterar information på ett felaktigt sätt). Kommunen erar en granskning att dömas för att inte PUL efterföljts i kommunen. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar: Vi har särskilt verksamhetssystem för personuppgifter Rutiner för hur användarna ska informeras för att minska sannolikheten för att denna händelse inträffar. Prioritet (Hög, låg eller medel) Hög Rutiner för hur användarna ska informeras och när detta sker tas fram. 8 Bilaga ärende 8 - Office 65

25 Sid 25 (27) Identifierad Användarna utnyttjar inte de möjligheter som Office 65 erbjuder utan använder istället, på eget bevåg, andra system som inte är godkända av kommunen. Kommunen erar en granskning att dömas för att inte PUL efterföljts i kommunen. Allvarlig 4 X Mycket Sällan 2 sällan Ofta 4 Kommentar Prioritet (Hög, låg eller medel) Låg En plan för hur utbildning ska genomföras och hur lansering av tjänsten ska genomföras tas fram. Bilaga ärende 8 - Office 65

26 Sid 26 (27) Nya rutiner, information och utbildning Följande guider och dokument som rör användningen av Office 65 tas fram Information till pilotanvändare/användare om Office 65 IT-avtal för kommunen uppdateras med regler för Office 65 Rutiner för PUL-kontroll av underleverantörer 4 Sammanfattning av och sårbarhetsanalys För att följa PUL kommer att antal informationsdokument tas fram där riktlinjer finns för hur Onlinetjänsten ska användas och vilken data som får ingå i tjänsten. Den sammantagna en för att införa och behandla data i Onlinetjänsten Office 65 bedöms som låg efter det att användarna informerats i hur tjänsten ska användas, att våra interna rutiner förbättrats avveckling av IT-konton när anställning i Nybro kommun avslutas och när rutiner för kontroll av underleverantörer tagits fram. Allvarlig Måttlig X Mycket sällan Sällan Ofta Kommentar Prioritet (Hög, låg eller medel) Låg Information, nya rutiner och utbildning till användare. Bilaga ärende 8 - Office 65

27 Sid 27 (27) Bilaga ärende 8 - Office 65