Informationssäkerhet i regional samverkan! Nr 11 & 12, 2015 Månadsbrev november & december 2015

Transkript

1 Månadsbrev november & december 2015 Samverkan Informationssäkerhet I Kalmar län samverkar kommunerna, landstinget och regionförbundet i informationssäkerhetsfrågor. Månadsbrevens syfte är att sprida information till parterna. Tidigare månadsbrev hittar du här: Innehåll Tyvärr hann jag inte med att skriva månadsbrev för november, istället omfattar detta månadsbrev både november och december. Innehållet belyser balansen mellan integritet och säkerhet, lite om EU:s nya dataskyddsförordning, säker meddelandehantering, rapport om regeringens syn på kommunernas informationssäkerhet och länsstyrelsens projekt för informationssäkerhet. Några genomförda aktiviteter november och december 2015 LänsITråd Seminarium cybersäkerhet Föreläsning för 49 kommuner i Västkom Workshop roller och ansvar Informationssäkerhet i vårdprocesser Möte med Lidingö km om KLASSA etc Inspirationsdag välfärdsteknik Länsstyrelsens Nätverksträff informationssäkerhet Informationssäkerhetsprojekt Balansen mellan integritet och säkerhet blir allt viktigare och svårare! Vi lever i en orolig tid med flyktingkriser och våldsdåd, i skenet av detta kan informationssäkerhet te sig marginellt. Men som mycket annat är informationssäkerhet en del i utvecklingen då så gott som all brottslig verksamhet planeras på nätet. Därför föreslår regeringen att hemlig dataavlyssning (trojaner) och utökad kameraövervakning 1 bör tillåtas under kontrollerade och strikta former. Detta är inte helt okomplicerat rent tekniskt, men förmodligen nödvändigt i förebyggande brottsbekämpande syfte. Alla dessa åtgärder måste alltid ställas mot integriteten, som är en viktig del i av informationssäkerheten och som stärks ytterligare i EU:s nya dataskyddsförordning. Vågen symboliserar den nödvändiga balansen mellan integritet och sekretess EU antog den 15 december en ny dataskyddsförordning! Med gedigna gemensamma normer för uppgiftsskydd kan människor vara säkra på att de har kontroll över sina personuppgifter 2. Utan tvekan stora ord som ställer krav. Förordningen kommer att ersätta vår personuppgiftslag och gälla likartat för alla medlemsländer. Nittio procent av EU:s medborgare vill se ett enhetlig skydd inom EU, denna reform innebär slutet på ett lapptäcke av regler som finns i EU. Förordningen öppnar upp för EU:s inre marknad, framtiden ska byggas på förtroende. Överenskommelsen utgör en bas för utveckling av innovativa digitala tjänster, en öppen och blomstrande dataekonomi i EU

2 Vad innebär förordningen? 3 Enskildas rättigheter stärk, den personliga integriteten värnas. Rätten till sin egen information skärps, det ställs tuffare krav på personuppgiftshantering, incidenthantering, dataportabilitet, organisation, roller och ansvar. Personuppgiftsombudens roll kommer att stärkas och ledningens ansvar blir tydligare. Vad behöver kommunerna och landstinget göra? Med anledning av EU:s nya dataskyddsförordning planeras en workshop till den 17 februari som syftar till förklara konsekvenser och identifiera åtgärder med efterföljande insats och stöd för respektive kommun/landstinget. Anmälan till denna workshop görs på denna länk: Säker meddelandehantering Inte minst har Kalmar län genom det arbete som socialförvaltningarna i Kalmar och Västervik gjort bidragit till att det nu finns ett utkast till rapport avseende säker digital meddelandehantering mellan myndigheter. Möjligheten att kunna överföra känslig information mellan offentlig sektors olika aktörer behöver förbättras. Mycket av dagens informationsutbyte sker via fax vilket är en metod med begränsningar och vars risker är svåra att överbrygga. Dessutom aviserar fler myndigheter att de vill sluta ta emot fax. Det handlar om ett tiotal myndigheter som kommunerna ofta överför känslig information till. Visst vore det bra om vi istället för att bygga tio olika lösningar för detta, kunde enas om en gemensam säker metod. Rapporten är resultatet av en förstudie vars resultat ännu inte är publikt. Det kommer att krävas djupare analys av olika lösningsförslag innan vi vet hur vi ska gå vidare. Det jag vill med denna information är att ni ska vet att frågan lever, och att man nu på nationell nivå försöker att hantera denna utmaning på uppdrag av kommunerna. Regeringen vill att kommunerna ska bli bättre på informationssäkerhet. Den enkät som MSB skickade ut till kommunerna i somras ligger till grund för MSB:s rapport till regeringen den 1 december. En bild av kommunernas informationssäkerhetsarbete Rapporten pekar på brister som avsaknad av giltig informationssäkerhetspolicy och att ingen process för systematiskt

3 informationssäkerhetsarbete som kontinuitetsplanering, rapportering och uppföljning av ITincidenter förekommer. Detta hänger ihop med att roller och ansvar saknas. De lyfter särskilt avsaknad av resurs med ansvar för samordning av informationssäkerhet. Då denna resurs finns är det ofta inte mer än runt tio procent av en heltid. Tre fjärdedelar anger att de helt saknar samverkan med länsstyrelsen. Resultat visar på stora skillnader avseende hur kommuner fördelar ansvar, uppgifter och roller på informationssäkerhetsområdet rörande rapportering, klassning och riskanalys. MSB säger så här om utfallet: "Det är tydligt att det finns behov av åtgärder inom den kommunala verksamheten. Vi ser att resultatet av undersökningen kan bli ett viktigt ingångsvärde för kommunerna i deras arbete med att prioritera och resurssätta sitt informationssäkerhetsarbete. I detta är kommunledningens inriktning och engagemang centralt! Med denna gemensamma bild över läget borde också samverkan mellan kommunerna och andra aktörer, exempelvis länsstyrelserna, underlättas" Min bedömning är att kommunerna i Kalmar län är på rätt väg, och att vi i flera delar ligger över rikssnittet. Men inte i alla delar, vi har mycket kvar att jobba vidare med. Vad gör vi åt resultatet, hur kan vi bli bättre? Den 12 februari, då kommunernas nätverk för informationssäkerhet har en av sina träffar, kommer resultatet att analyseras tillsammans med SKL och MSB. Syftet är att identifiera vilket nationellt stöd som behöver tas fram för att underlätta och skapa förutsättningar för kommunerna att förbättra arbetet med informationssäkerhet så att rätt nivå uppnås. Länsstyrelsens Informationssäkerhetsprojekt Kort sammanfattning av aktuella aktiviteter: E-learning Nu har vi äntligen tecknat avtal om ett koncept för interaktivt lärande. Vi planerar just nu för ett uppstartsmöte under januari där vi går igenom förutsättningarna för utrullning. Därefter kan man komma igång inom någon vecka. Det vi upphandlat är ett koncept kallat NanoLearning. Istället för en längre webbutbildning består NanoLearning av ett flertal korta utbildningsserier om 2-5 minuter per lektion som kan adresseras till dator, telefon eller annan mobil enhet. Tanken är att genomföra korta och snabba lektioner oftare än en längre lektion vid ett tillfälle. I Norge gick kursen ut till arbetstagare. 95,4 procent av användarna slutförde sina lektioner. 9 av 10 anställda bekräftar i att de tänker mer på informationssäkerhet efter utbildningarna och att de föredrar detta sätt att lära sig på. Vi får ett startpaket med 28 lektioner, men det är fritt fram för oss att utveckla innehållet med nya frågor och nya lektioner. Det går även att dela utbildningar mellan organisationer, vilket innebär att vi konkret kan få en direkt nytta av samverkan med andra kommuner

4 som har samma produkt. Innehållet kan anpassas efter varje kommuns egna policys, riktlinjer och instruktioner. Varje kommun får sin egen domän och kan administreras den själv. Kommun kan löpande göra egna uppdateringar och vara avsändare av kursen med egen logotyp etc. Vill man inte hantera utbildningen lokalt går det att hantera det regionalt istället. Säkra IT-leveranser, ITIL Avtal är tecknat med en företaget BiTA om utbildning i ITIL som är ett koncept för att kvalitetssäkra en IT-avdelnings leveranser och tjänster. Under våren planeras en heldags introduktion i Oskarshamn, samt två utbildningar á tre dagar i Kalmar och Västervik. Datum sätts i januari i samråd med IT-ansvariga. Informationssäkerhet och juridik inom välfärdsteknik Den 14 mars kommer SKL jurist och informationssäkerhetsstrateg till Kalmar för att leda en heldag om informationssäkerhet och juridik. De exempel som dagen tar fasta på kommer från välfärdsteknik och omsorg. Men kunskapen, metoden och verktygen som vi får ta del av är tillämpbar i ett bredare perspektiv och täcker in större del av den kommunala och landstingsdrivna verksamhetsbredden. En viktig utgångspunkt är behovet av att tidigt i en process beakta informationssäkerheten och juridiken för att undvika negativa händelser längre fram. Mer info och anmälan till denna utbildning i länken nedan. Koncept för att öva på en IT-katastrof görs om Som jag nämnt tidigare pågår upphandling i detta koncept som i slutändan syftar till att utveckla och testa en katastrofplan för IT, disaster recovery. Upphandlingen avbröts men ny upphandling planeras under januari. Introduktion till informationssäkerhet, grunderna i ISO Denna upphandling pågår, sista svarsdag är den 13 januari. Med denna insats avses att uppnå en grund för att arbeta systematisk med informationssäkerhet. Man kan säga att dessa kunskaper är en bra bas för att en långsiktigt möte de utmaningar som jag lyft i nyhetsbrevet. SCADA Aktiviteter för SCADA, som jag nämnt tidigare, är fortfarande preliminära. Informationssäkerhet för chefer, ledning och politiker Planeringen för denna aktivitet pågår. Slutkonferens Planering ej påbörjad.

5 Utan spaning ingen aning - omvärldsspaning journaler lagrade i stulna datorer Journalerna försvann när de skulle till e-arkivet. De mellanlagrades temporärt på tre bärbara datorer, som blev stulna.! De hade inte följd aktuella riktlinjer. Jävla skitsystem heter en bok skriven av Jonas Söderström. Boken tar upp usla datasystem, arbetsmiljö relaterade konsekvenser och hur f-b lätt det är att göra fel. Jag kom genast att tänka på boken när jag fick höra om nedanstående händelse. 410 känsliga personuppgifter utlämnade av misstag Läkaren lämnade av misstag ut personuppgifter med uppgifter om åtgärder för 410 personer till en student som enbart ville ha statistik. Man kan enkelt skylla på den mänskliga faktorn, men utan att vara insatt i ärendet, misstänker jag att systemet borde ses över så att risken för denna typ av misstag minimeras. Vidare borde processerna ses över, så att rättigheterna att plocka ut statistik begränsas till personer med särskilt ansvar och särskild kompetens. Myndigheter skyldiga att rapportera it-brister Regeringen inför krav på obligatorisk it-incidentrapportering för statliga myndigheter. Syftet är att åstadkomma en tydligare lägesbild för att stärka förmågan att förebygga, upptäcka och åtgärda störningar, attacker och angrepp. Kravet gäller inte kommuner och landsting, men det hindrar oss inte från att jobba med dessa frågor i enlighet med tidigare omnämnda förordningar och regeringens syn på kommunernas informationssäkerhet. Utvalda aktiviteter november: Riskanalys och klassning HomeCare, välfärdsteknologi Riskanalys Cosmic Link E-learning Informationssäkerhet i vårdprocesser, MFD KLASSA i Oskarshamn Migrationsverkets etjänst Melker, analys SITHS nätverksdag i Nybro Horizon 2020, webb om utlysning Har du synpunkter eller förslag på innehåll i kommande månadsbrev så får du gärna höra av dig till mig. Jag vill tacka er alla för det gånga året, och önska er alla en riktigt God jul och ett Gott Nytt År! Hälsningar Stephen