Författningssamling 016.0

Transkript

1 Oskarshamns kommun Författningssamling SÄKERHETSPOLICY OCH SÄKERHETSHANDBOK FÖR OSKARSHAMNS KOMMUN Fastställd av kommunstyrelsen , 67 Gäller fr.o.m SÄKERHETSPOLICY Oskarshamns kommuns samlade verksamhet har syftet att utveckla, vidmakthålla och tillhandahålla tjänster som alla kommuninnevånare, företag och organisationer är beroende av. Den dagliga verksamheten skall kunna pågå med ett minimum av risker för störningar och avbrott. Säkerhetsverksamheten skall understödja ansträngningarna att förverkliga dessa mål. Denna säkerhetshandbok (Säkhbok) skall ge allmänna råd och anvisningar i säkerhetsfrågor för hela kommunens verksamhet. Några av kommunens verksamhetsområden kan ha specielle säkerhet- och sekretesskrav p sin verksamhet. Det är då lämpligt att göra förvaltningsvisa tillägg till Säkerhetshandboken. 2. ALLMÄNNA GRUNDER OCH RIKTLINJER FÖR SÄKERHETSVERKSAMHET Öppenhet anser vi vara en självklarhet. Det kan dock aldrig innebära att allmänheten kan gå ut och in på n kommunal förvaltning hur som helst. Kommunens ökade känslighet för störningar och avbrott i t.ex. ADB-funktioner och försörjningssystem medför högre krav på säkerhetsskydd. Ökad ADBanvändning medför att det finns gott om stöldbegärligt gods på våra förvaltningar, vilket kräver ökade insatser av säkerhetsskydd. Försäkringsbolagens självrisker är så höga att de tillsammans med övriga risker ger motiv för att se över säkerhetsfrågorna i allmänhet. Kommunal riskhantering (KRH) är ett sammanfattande ord för alla aktiviteter och åtgärder som vidtages inom kommunen för att minska totalkostnaderna för

2 2 (11) Säkerhetspolicy och säkerhetshandbok för Oskarshamns kommun skador och avbrott. KRH innefattar allt från katastrofskydd till ökad riskmedvetenhet i den vardagliga miljön. Det är politikerna som har yttersta ansvaret för KRH-verksamheten, men utan att de anställdas medverkan kan inte målen nås. Målet skall vara att skydda kommunen och minska riskerna för störningar av kommunens verksamhet. Om det trots allt inträffar något så skall konsekvenserna bli så små som möjligt. Vidare skall Säkerhetshandboken skapa en ökad riskmedvetenhet, och göra detta till begrepp bland alla anställda. Säkerheten för kommunens anställda skall ha hög prioritet. Utbildning skall vid behov genomföras för att ge personalen möjligheter att aktivt deltaga i KRH och övrigt säkerhetsarbete. 3. SÄRSKILDA SÄKERHETSBESTÄMMELSER I TOTALFÖRSVARSFRÅGOR Kommunstyrelsen är högsta civila totalförsvarsmyndighet på lokal nivå, med ansvar för att samverkan kommer till stånd med bland annat företag och militära myndigheter. Kommunen har fått en viktigare roll i totalförsvarsansträngningarna i kris och krig. Detta medför att många frågor som numera handläggs av kommunen är viktiga för landets försvar. Ökad grov brottslighet och fredstida sabotage är andra skäl till att ritningar och sammanställningar av kommunens viktiga tekniska försörjningssystem samt vissa delar av beredskapsplanerna skall hemligstämplas. Beredskapsplaneringsansvarig på kommunkansliet handlägger frågor om hemligstämpel. En likartad syn är här mycket viktig med hänsyn till allmänhetens krav på öppenhet och krav p sekretess med hänsyn till totalförsvaret. Hemliga handlingar skall diarieföras. På förvaringsplatsen skall finnas en förteckning över vilka handlingar som finns, där också den som är behörig kan anteckna lån av handling. Behörig att låna hemlig handling är den som behöver den för sin tjänst. Förvaring av hemlig handling skall ske i säkerhetsskåp eller motsvarande. 4. SÄKERHETSINSTRUKTIONER/ANVISNINGAR 4.1 ADB-SÄKERHET Kommunen kommer i allt högre utsträckning vara beroende av ett väl fungerande ADB-stöd. Utnyttjande av datoriserade informationssystem innebär förutom de positiva effekterna också vissa risker. Dessa risker skall inte överdrivas, men det är viktigt att ta hänsyn till den hotbild som finns. Hur ser då hotbilden ut? Något speciellt svar finns inte. Hoten är givetvis olika, liksom konsekvenserna, och sannolikheten för att de skall inträffa varierar. Det är inte svårt att inse att riskerna i redovisningssystemet är annorlunda än

3 3 (11) Säkerhetspolicy och säkerhetshandbok för Oskarshamns kommun riskerna för ett system inom socialförvaltningen. Lika självklart är hotbilden för stadsbyggnadskontorets system annorlunda än hotbilden i lönesystemet. Klart är dock att totalansvaret för ADB-säkerheten ligger hos respektive hämnd. Förvaltningschefen har det operativa ansvaret och är systemansvarig. Nämnden/förvaltningschefen ansvarar för att det inom förvaltningen finns en rimlig säkerhetsnivå för ADB-verksamheten, En ADB-säkerhetspolicy. Kommunförbundet har gett ut en skift i ämnet som heter ADB-säkerhet Policy och Riktlinjer där dessa frågor behandlas. Kommunfullmäktige har antagit ADB-strategi för Oskarshamns kommun. (Kf 1988, 230). Ytterligare anvisningar finns i bilaga BOMBHOT Om en kommunal förvaltning eller arbetsplats bombhotas skall hotet omedelbart anmälas till polisen. Rent juridiskt kan ingen annan än polisen besluta om att utrymma en bombhotad lokal. Av säkerhetsskäl för vår egen personal och eventuella besökare bör dock personalen i en hotad byggnad snarast lämna lokalerna. Vid bombhot och utrymning gäller följande: - Anmäl omedelbart till polisen. - Utrym lokalerna. Se till att alla arbetskamrater och besökande kommer med. Innan du lämnar lokalerna, kontrollera om möjligt om det finns väskor, påsar, kartonger e.dyl. som du inte känner igen. Detta kan vara värdefulla upplysningar till polisen som skall leta igenom lokalerna. Tag med egna tillhörigheter. - Stäng inga dörrar. Detta underlättar för polisen vid genomsökning. - Samlas förvaltningsvis/avdelningsvis på plats utanför den hotade byggnaden och kontrollera att alla är med. - Sammanställ eventuella uppgifter som polisen kan ha nytta av. - Underlätta för polisen genom att ha ev. nycklar tillgängliga. - Håll ett rimligt säkerhetsavstånd ifall explosion kommer. Angående bombhot finns anledning att läsa om passekontroll, behörighet, tillträdesskydd/låsning. 4.4 BRANDSKYDD Det är allas skyldighet att medverka till ett bra brandskydd på förvaltningen eller arbetsplatsen. Nödutgångar och brandredskap får inte blockeras. Det är också viktigt att förvara viktiga handlingar så att de inte skadas eller förstörs av brand. Det skall finnas rutiner för kopiering av viktiga handlingar och säkerhetskopior på ADB-systemen så att det hela tiden finns reservalternativ och därmed mindre risk för störning. En bra lösning vid förvaring av känsliga handlingar är brandsäkra valv eller

4 4 (11) Säkerhetspolicy och säkerhetshandbok för Oskarshamns kommun skåp. Strävan skall vara att varje förvaltning har tillgång till sådant. Vid utrymning vid brandlarm skall det finnas rutiner så att alla kommer ut ur byggnaden. Särskild omtanke skall ägnas rörelsehandikappade och hörselskadade som kanske inte hör utrymningslarm. Efter en utrymning kontrolleras att ingen saknas. 4.5 Vid sammanträden i kommunens lokaler på andra tider än kontorstid skall det finnas en säkerhetsansvarig. Hans eller hennes uppgift är att se till att obehöriga inte tar sig in i lokalerna, och att det är släckt och låst när lokalerna lämnas. Det är lämpligt att den säkerhetsansvarige eller ordföranden för mötet bokar lokalen. Den säkerhetsansvarige skall vara kunnig i vilka rutiner som gäller om lokalen är larmad. Det är bra om den ansvarige ägnar en liten del av något sammanträde för orientering om hur man använder porttelefoner på de ställen där sådan finns. Det är inte tillåtet att lägga mattor eller sten i dörren för att hindra dörren att gå i lås. Förtroendevalda och andra som utnyttjar kommunens lokaler på andra tider än kontorstid, måste också ha en positiv syn på säkerhetsskyddet av kommunens egendom. Bristande kontroll kvällstid, är som att bedja om tjuvars hemsökelse. 4.6 LARMFUNKTIONER En del av kommunens lokaler är skyddade med larm av olika slag. Om du inte känner till funktionen skall du kräva utbildning. Du måste också känna till hur brandlarmet låter. Är lokalerna försedda med inbrottslarm kan du inte gå in i lokalerna utan att stänga av larmet. Den som har orsak att vistas på arbetsplatsen utanför kontorstid är skyldig att sätta sig in i vad som gäller och skall vara utbildad. Ett larm får aldrig stängas av utan orsak och då skall anläggningsskötaren alltid underrättas. Om larmet sätts i funktion kan detta ställa till många problem, inte minst för polisen och räddningstjänsten. Falsklarm kan dessutom orsaka kostnader för utryckning. 4.7 INFORMATION SEKRETESSKYDD Information om kommunens beredskapsplanering lämnas av kommunkansliet. Information om hemlig handling får ej lämnas ut utan kontroll av behörighet, detta prövas av förvaltningschefen. Utlämning av information om känsliga försörjningssystem, t.ex. vatten- och elförsörjning, bör ske med försiktighet. Det skall finnas kontroll på vem som har ritningar, anbudshandlingar m.m. på de känsligaste försörjningssystemen. När den som lånat ritningar eller andra känsliga handlingar inte behöver dessa mer skall de återlämnas till ansvarig förvaltning. Sekretessbelagda handlingar skall förvaras oåtkomliga för alla som inte behöver dem för sin tjänst, d.v.s. inlåsta i godkända förvaringsutrymmen.

5 5 (11) Säkerhetspolicy och säkerhetshandbok för Oskarshamns kommun 4.8 PASSERKONTROLL, BEHÖRIGHET, TILLTRÄDESSKYDD- /LÅSNING 4.9 STÖLD Vid förvaltningar/arbetsplatser skall strävan vara att ha kontroll av in- och utpassage till byggnaden/arbetsplatsen. Om möjligt skall redan vid inpassering frågan ställas till inpasserande om ärende och om vem som skall besökas. Det kan i vissa fall vara lämpligt att den som skall besökas hämtar besökaren vid receptionen. I de fall då t.ex. hantverkare, entreprenörer och bud inte är kända skall frågan om behörighet ställas. Om kommunens anställda på ett korrekt, vänligt men bestämt sätt deltar i säkerhetsskyddet av kommunens egendom, så måste det ses som positivt av allmänheten som säkert i de flesta fall är medvetna om hotbilden. En arbetsplats där ingen anställd finns skall vara låst. Tänk på att ett helt våningsplan i en byggnad kan vara tomt vid en fikapaus. Det tar ett par minuter för två tillräckligt fräcka tjuvar att bära ut en PC med tillbehör. Ett bra säkerhetsskydd minskar riskerna för stöld och skadegörelse. Säkerhetsskydd kräver klara rutiner för t.ex. låsning av dörrar och fönster. Det får alltså inte vara så att alla förvaltningens anställda går hem och tror att någon annan låser och släcker. Lås din kontorsdörr då du inte är på rummet, se till att värdefulla saker är svåråtkomliga för utomstående. Det gäller inte minst egna tillhörigheter som plånböcker och väskor. Lokaler där datautrustning och arkiv finns skall vara låsta när de inte är under uppsikt. Inbrott, stöld och skadegörelse skall polisanmälas liksom till arbetsledning/förvaltningsledning. När inbrott upptäcks skall hänsyn tas till att inte försvåra för polisens utredare. Kommunens tillhörigheter skall vara stöldmärkta. Kommunala riskhanteringsgruppen har ansett 2000 kronor som en lämplig nedre värdegräns. Riskhanteringsteknikern kan svara på lämpligt märkningsalternativ. Checklista för att motverka stölder finns i bilaga SÄKERHETSANSVARIG INOM ENSKILDA FÖRVALTNINGAR OCH INOM DEN SAMLADE KOMMUNFÖRVALTNINGEN På varje förvaltning skall finnas en säkerhetsansvarig med uppgift att svara för att ett rimligt säkerhetsskydd finns. Att ge detaljerade direktiv är svårt men vissa självklara uppgifter finns. Några exempel: - Låsrutiner skall fungera så att dörrar och fönster är stängda vid arbetstidens slut. - Värdefulla handlingar skall förvaras på säkrast möjliga sätt.

6 6 (11) Säkerhetspolicy och säkerhetshandbok för Oskarshamns kommun - Kontroller görs så att inga obehöriga onödigtvis vistas på arbetsplatsen. Det är en fördel om säkerhetsansvarig och beredskapsplanerare på förvaltningen är samma person av utbildningsskäl. Säkerhetsansvarig för den samlade kommunförvaltningen är administrativa chefen kommunkansliet SÄKERHETSANSVAR OCH LEDNING VID AKUTA SÄKERHETSINCIDENTER Respektive förvaltningschef är ansvarig för säkerhetsfrågorna å sin förvaltning. Likaså att personalen är utbildad i säkerhetsfrågor och att vidareutbildning genomföres. Detta fråntar inte någon anställd att ha ansvar i säkerhetsfrågor. Alla skall verka för en hög säkerhet. Alla säkerhetsincidenter skall rapporteras till arbetsledning/förvaltningsledning. Det kan gälla stöld/inbrott, driftstörningar eller oförklarliga händelser som kan vara hot mot anställda eller kommunen. Förvaltningschefen leder verksamheten vid akuta säkerhetsincidenter i samråd med kommunledningen TELE- OCH RADIOKOMMUNIKATIONER Hemlig eller sekretessbelagd handling bör aldrig överföras med telefax eller liknande. Känsliga uppgifter om t.ex. människor och deras problem, bör heller aldrig diskuteras på telefon. Överhörning på telenätet är inte helt ovanligt. Teletrafik på längre håll överföres ofta med telelänk, som är lätt att avlyssna. Att tala på NMT eller Kom-radio om sekretessbelagd uppgift kan jämställas med att annonsera uppgifterna i pressen. PÅ vissa förvaltningar måste man trots risk för avlyssning använda Kom-radionätet, som t.ex. räddningstjänsten. Då bör de känsligaste uppgifterna täckas med någon form av blomsterspråk. Anvisningar för telefax, se bilaga 3. Masten är helt avgörande för att trådlös kommunikation skall fungera. Det är vanligt att besiktning och underhåll är eftersatt på master. Det är viktigt att besiktning och underhåll följs upp, det krävs då ofta specialutbildad personal. Ett haveri med en mast på grund av dåligt underhåll kan få oerhörda konsekvenser TILLTRÄDE TILL ANLÄGGNINGAR OCH ARBETSLOKALER I avsnittet besöksrutiner har berörts tillträde och behörighet. Utöver vad som där sagts skall följande gälla: Några förvaltningar har hand om nycklar till hemliga anläggningar. Självklart

7 7 (11) Säkerhetspolicy och säkerhetshandbok för Oskarshamns kommun får nycklar aldrig lämnas ut till någon anläggning utan kontroll av behörighet och legitimation. Den som ansvarar för nycklar skall också se till att ingen obehörig har tillgång till dem. De skall förvaras i säkerhetsskåp. Andra förvaltningar har hand om känsliga handlingar. Det kan handla om personliga förhållanden för enskilda människor. Sekretesslagen gäller i vissa fall. Men inga bestämmelser hjälper om det slarvas med förvarings- och tillträdesskydd. Ansvarighetsfrågan och arbetareskydd är andra skäl att se till att inga obehöriga vistas på förvaltningar och arbetsplatser. Omtanken om personalens egna tillhörigheter är ytterligare ett skäl BYGGNADER Alla anställda skall hjälpa till att se små brister i omgivningarna. Det kan gälla byggnader, lokaler, maskiner, utrustning m.m. Se till att dina iakttagelser kommer fram till dem som har områdesansvaret. Då kan fel och skador åtgärdas i ett tidigt skede, och därmed undanröjs kanske en olycksfallsrisk. Dessutom kan reparation utföras för en låg kostnad. DÄMMA I BÄCKEN, INTE I ÅN ADB-SÄKERHETSPOLICY FÖR OSKARSHAMNS KOMMUN Motiv Bilaga 1 Kommunen använder datorer inom allt fler områden för att stödja och utveckla verksamheten - inte minst från effektivitetssynpunkt. Den tekniska utvecklingen medger alltmer integrerade och avancerade ADB-system. Kraven på snabb och relevant information inom olika funktioner av kommunens verksamhet ökar.

8 8 (11) Säkerhetspolicy och säkerhetshandbok för Oskarshamns kommun För att tillgodose de krav som ställs på den information, som behandlas inom kommunens ADB-system är det nödvändigt att informationshanteringen sker på ett så tillförlitligt sätt som det överhuvudtaget är möjligt. ADB-säkerhetspolicyn skall ge riktlinjer för hur ADB-säkerhetsarbetet skall bedrivas inom Oskarshamns kommun. Policyn rör alla åtgärder, som syftar till att förebygga eller minimera oönskade konsekvenser av olika händelser inom ADB-verksamheten för - kommunmedborgarna - personalen - verksamheten. ADB-säkerhetspolicyn utgör ett komplement till kommunens ADB-strategi, som anger inriktningen på kommunens totala ADB-hantering. Mål - Alla anställda inom Oskarshamns kommun, som berörs av ADB, skall vara medvetna om ADB-säkerhetsfrågornas betydelse samt ha kunskaper om lagar och bestämmelser inom området. - Till grund för ADB-säkerhetsåtgärder skall föreligga genomförda riskanalyser. - Skydden för kända hot skall vara uppbyggda till rätt nivå. - Uppföljning av riskanalyser, skyddsåtgärder och utbildningsinsatser skall ske kontinuerligt. Principer Utgångspunkter för kommunens ADB-säkerhetsarbete är: - Den personliga integriteten skall prioriteras och beaktas. - Känsliga data skall skyddas mot otillbörlig återkomst, dock utan att offentlighetsprincipen åsidosätts. - ADB och säkerhet skall underlätta människors rätt till insyn i allmänna handlingar. - ADB-säkerheten skall vara en integrerad del i den kommunala ADB-verksamheten och stödja förvaltningarna i att uppnå politiskt fastlagda målen. Omfattning ADB-säkerhetspolicyn rör all datorbearbetning oavsett driftmiljö, d.v.s. oavsett datorbearbetningen sker i stordator, minidator, persondator eller hos extern service byrå eller motsvarande. Med datorbearbetning avses hela informationssystemet, d.v.s. källdataframställning, registrering, dataöverföring, bearbetning, datalagring, utdatahantering, arkivering och makulering. Genomförande För att nå de uppsatta nålen skall resurser avdelas för att systematiskt genomföra: - Riskbedömningar och konsekvensanalyser

9 9 (11) Säkerhetspolicy och säkerhetshandbok för Oskarshamns kommun - ADB-säkerhetshöjande åtgärder - Utbildning och information Varje facknämnd/styrelse upprättar en plan för säkerhetsarbetet. Planen skall innehålla en beskrivning av säkerhetsläget samt de planerade åtgärder som skall vidtas för att höja nivån på ADB-säkerheten samt kostnaderna för detta. Övergripande ansvar Kommunstyrelse - ansvarig för mål och ramar för ADB-säkerhtsarbetet. ADB-säkerhetssamordnare - samordning av ADB-säkerhetsarbetet i kommunen genom initiativ, rådgivning, utbildning och tillsyn. Ansvarsfördelning inom nämnder och styrelser Nämnd och styrelse - registeransvarig för personregister - ytterst ansvarig för ADBsäkerhetsläget inom nämndens ansvarsområde. Systemägare har det säkerhetsmässiga ansvaret för ett ADB-system. Användare verkar för god ADB-säkerhet inom sitt område. Bilaga 2 CHECKLISTA FÖR ATT MOTVERKA STÖLDER I KOMMUNALA LOKALER * Stäng och regla fönster. * Förvara personlig tillhörigheter i låsta utrymmen (t.ex. klädskåp, skrivbordslådor etc.). * Lås din kontorsdörr vid pauser, luncher och när du går hem för dagen. * Lås även lokaler där datautrustning och liknande förvaras. * Arkivutrymmen ska vara låsta när de inte är under uppsikt. * Håll ögonen öppna och fråga gärna besökare vad de har för ärende. * Naturligtvis ska vi som serviceinriktade kommunanställda visa besökare till rätta, men se till att den som söks verkligen finns på sitt tjänsterum eller motsvarande. * Se över vilka rutiner som gäller för nyckelhantering. Nycklarna ska förvaras i låsta utrymmen (nyckelskåp eller låsta skrivbordslådor). Huvudnycklar ska förvaras i

10 10 (11) Säkerhetspolicy och säkerhetshandbok för Oskarshamns kommun kassaskåp. STOPPA TJUVEN! HÖR GÄRNA AV DIG TILL TED LINDQUIST, KOMMUNKANSLIET (TEL ) ELLER ENAR CEDERLÖF, FASTIGHETSKONTORET (TEL ) MED FÖRSLAG TILL FÖREBYGGANDE ÅTGÄRDER FÖR ATT MINSKA RISKER OCH SKADOR I KOMMUNALA LOKALER! RISKHANTERINGSGRUPPEN ADB-SÄKERHET VID TELEFAXÖVERFÖRING Bilaga 3 Det blir allt vanligare att använda telefax för att föra över information från en plats till en annan. Många dokument som befordras med telefax innehåller personuppgifter i datalagens mening. Då måste personuppgifterna skyddas mot otillbörligt intrång. Telefaxtrafiken är snabb och enkel att hantera. Samtidigt är det svårt att skydda den information som överförs. Det finns risk för att information kommer på avvägar eller på annat sätt kan läsas av någon obehörig. Det kan resultera i otillbörligt intrång i den personliga integriteten. Vi har gjort en liten minneslista för åtgärder som kan vidtas för att undvika ovanstående problem. 1. För varje telefax utses en ansvarig person. 2. Placera telefaxen så att den ansvariga har uppgift över den.

11 11 (11) Säkerhetspolicy och säkerhetshandbok för Oskarshamns kommun 3. Skapa rutiner för hur ett mottaget dokument skall hanteras. Sändning av telefax: - Första sidan av ett dokument bör vara ett försättsblad. - Före sändning: Kontrollera mottagarens nummer när detta visas i fönstret på telefaxen så är du säker på att det kommer till rätt abonnent. Om ett dokument har sänts till fel abonnent: Kontakta genast mottagaren, informera om felet och se till att dokumentet återsänd, vidarebefordras eller förstörs. - Efter sändning: kontrollera att sändningen genomförts utan felanmärkning. - Telefaxen skriver ut ett sändningskvitto. Kontrollera mottagarens nummer samt antalet överförda sidor. Spara kvittot tillsammans med originalet av dokumentet. Diarieföring av mottagna handlingar: - För kommuner/myndigheter gäller att dokument överförda med telefax diarieförs på samma sätt som andra handlingar.