Riktlinjer för informationssäkerhet. ver 1.0. Antagen av Kommunstyrelsen

Transkript

1 Riktlinjer för infrmatinssäkerhet ver 1.0 Antagen av Kmmunstyrelsen

2 sid 2 (7) 1. Inledning Tanums kmmuns övergripande styrdkument inm IT-mrådet är IT-plicy för Tanums kmmun. Plicyn är antagen av Tanums kmmunfullmäktigen den 18 mars Plicyn anger kmmunens förhållningssätt till ch inriktningen för användning ch utveckling av infrmatins- ch kmmunikatinsteknik för att utveckla kmmunens verksamheter ch för att bidra till att nå kmmunens mål ch göra det på ett infrmatinssäkert sätt. IT-plicyn förvaltas av Kmmunstyrelsen. Föreliggande dkument behandlar infrmatinssäkerheten inm IT-verksamheten. IT-plicy för Tanums kmmun (KF) Riktlinjer för verksamhetsutveckling med IT sm stöd (KS) Riktlinjer för infrmatinssäkerhet (KS) IT-plicyn ch kmmunstyrelsens bägge dkument för riktlinjer för IT gäller för hela Tanums kmmun med dess blag. Med begreppet Tanums kmmun avses i frtsättningen både kmmunen ch blagen. 2. Kmmunfullmäktiges antagna mål ch rller 2.1 Mål för IT-verksamheten Kmmunfullmäktige har beslutat att de övergripande målen för verksamhetsutveckling med IT sm stöd är att: kmmunen skall erbjuda e-tjänster till nytta för invånare, näringsliv ch rganisatiner för att ge kvalitativ ch effektiv service anställda ch plitiker inm kmmunen skall ges de kunskaper ch de verktyg sm krävs för att kstadseffektivt utnyttja mdern infrmatinsteknlgi användningen av IT skall vara ett redskap i verksamhetsutveckling samt ge möjlighet till effektiv samverkan inm kmmunen ch med andra kmmuner, Regin, statliga förvaltningar ch andra rganisatiner där relatinen påverkar medbrgarnas nytta kmmunen skall i samverkan med övriga kmmuner i reginen, Regin ch leverantörer samt utförare erbjuda service sm utgår från invånarens livssituatin kmmunens IT-verksamhet skall präglas av höga ambitiner vad avser infrmatinssäkerhet ch tillgänglighet Tanums kmmun skall ha en sammanhållen ch därmed kstadseffektiv IT-verksamhet 2.2 Rller ch ansvarsmråden för IT-verksamheten Kmmunfullmäktige har i sin IT-plicy beslutat m följande ansvarsfördelning: Kmmunfullmäktige beslutar m för kmmunen gemensam IT-plicy. Kmmunstyrelsen ansvarar för att: IT-verksamheten bedrivs så att kmmunfullmäktiges mål för IT-verksamheten uppnås IT-verksamheten effektivt tillgdser kmmunens gemensamma behv ch att den bedrivs med rätt krav på säkerhet ch skydd av persnlig integritet

3 sid 3 (7) besluta m vilken infrmatin ch vilka IT-system sm skall vara gemensamma för kmmunen genm kmmunstyrelsens stab styra, samrdna ch vidareutveckla kmmunens IT-verksamhet Kmmunstyrelsen är ägare av de kmmungemensamma IT-systemen, såväl hårdvara sm mjukvara. 3. Kmmunstyrelsens syfte med Riktlinjer för infrmatinssäkerhet Riktlinjen redvisar ledningens viljeyttring ch engagemang gällande infrmatinssäkerhetsarbetet ch syftar till att sammanfatta ch tydliggöra den säkerhetsnivå sm Tanums kmmuns IT-verksamhet skall ha ch vad sm skall gälla för rller ch ansvarsfördelning samt revisin. Inm Tanums kmmun skall infrmatinssäkerhetsarbetet utifrån MSB:s i kvalitetssäkringsmdell, BITS ii basnivå. 3.1 Om infrmatin ch infrmatinssäkerhet Infrmatin är en av Tanums kmmuns viktigaste tillgångar. Med infrmatinstillgångar avses all infrmatin avsett m den behandlas manuellt eller autmatiserat ch berende av i vilken frm eller miljö den förekmmer. Infrmatinssäkerheten är en integrerad del av vår verksamhet. Med infrmatinssäkerhet menas den samlade effekten av de skyddsåtgärder, sm tillsammans minskar eller eliminerar de ht ch risker, sm riktar sig mt IT-stödet ch infrmatinsresurserna. Infrmatinssäkerhet handlar m: Sekretess, skydd mt behörig åtkmst av infrmatin Riktighet, åtgärder för att åstadkmma rätt kvalitet på infrmatin Tillgänglighet, åtgärder för att säkra drift ch funktinalitet Spårbarhet, möjligheten att fastställa vem sm gjrt vad eller att kunna verifiera rsaken till en händelse Utgångspunkten för arbete med infrmatinssäkerhet är lagar, avtal, förrdningar ch föreskrifter samt kmmunens egna krav. De reglerar hur kmmunen, ch andra nyttjare av kmmunens infrmatinstillgångar ch IT-infrastruktur skall arbeta med infrmatinssäkerhet. Persner sm mfattas är förtrendevalda, anställda ch i viss mfattning sklelever samt knsulter / entreprenörer m deras uppdrag är relevanta för kmmunens infrmatinssäkerhet. Regler ch rganisatin kring IT-säkerhet skall vara känd för alla berörda ch efterlevnaden skall följas upp kntinuerligt. Förankringen ch medvetandet hs medarbetarna utgör själva grunden för infrmatinssäkerhetsarbetet. Tanums kmmun har valt att bygga upp strukturen för infrmatinssäkerhet med stöd av natinella rekmmendatiner sm finns publicerade. Tillämpning av kmmunens riktlinjer för infrmatinssäkerhet gäller för alla system avsett ägande verksamhet ch innebär att: Grundnivån för säkerheten skall fastställas genm infrmatinsklassificering

4 sid 4 (7) Skydd skall anpassas efter genmförd riskanalys Åtkmst/behörighet skall tilldelas frmellt ch endast efter behv Beslut m åtkmst/behörighet skall dkumenteras Anställdas åtkmst/behörighet skall följas upp regelbundet Alla incidenter skall rapprteras ch kntinuerlig uppföljning skall ske mt fastställda regler 4. Kmmunstyrelsens mål för IT-verksamheten 4.1 Övergripande ansvar De övergripande mål för verksamhetsutveckling med IT sm stöd är: Tanums kmmun skall erbjuda e-tjänster till nytta för invånare, näringsliv ch rganisatiner för att ge kvalitativ ch effektiv service anställda ch plitiker inm Tanums kmmun skall ges de kunskaper ch de verktyg sm krävs för att kstadseffektivt utnyttja mdern infrmatinsteknlgi användningen av IT skall effektivisera Tanums kmmuns verksamheter ch vara ett redskap i verksamhetsutveckling samt ge möjlighet till effektiv samverkan inm kmmunen ch med andra kmmuner, Regin, statliga förvaltningar ch andra rganisatiner där relatinen påverkar medbrgarnas nytta Tanums kmmun skall i samverkan med övriga kmmuner i reginen, Regin ch leverantörer samt utförare erbjuda service sm utgår från invånarens livssituatin Tanums kmmuns IT-verksamhet skall präglas av höga ambitiner vad avser infrmatinssäkerhet Tanums kmmun skall ha en sammanhållen ch därmed kstadseffektiv IT-verksamhet Det övergripande målet för IT-säkerhetsarbetet är: att genm ett strukturerat ch väl genmtänkt infrmatinssäkerhetsarbete skydda kmmunens infrmatin mt önskade händelser sm ger negativa knsekvenser för verksamhet, medbrgare ch samverkan Rller/ansvar för infrmatinssäkerhet Kmmunstyrelsen har det övergripande ansvaret Kmmunstyrelsens stab har det övergripande perativa ansvaret Nämnd ch blag har ansvar inm respektive verksamhetsmråde Förvaltningschef/VD rganiserar infrmatinssäkerhetsarbetet inm förvaltningen/blaget samt ansvarar för ledning ch kntrll. FC/VD är system-/ bjektsägare ch har det övergripande förvaltaransvaret för verksamhetssystem Objektsägare, nrmalt förvaltningschef eller VD, är ansvariga inm respektive mråde. För IT-infrastruktur är IT-chefen bjektsägare Dessa skall själva planera så att resurser avsätts för att plicy, riktlinjer ch rutiner kan följas Systemförvaltaren har det dagliga ansvaret för systemanvändandet på verksamhetsnivå. För systemförvaltare skall finnas utpekad ersättare. Systemförvaltaren har en tilldelad IT-tekniker med ersättare sm resurs för den tekniska systemdriften. IT-chef är övergripande ansvarig för att beslutade åtgärder gällande infrastruktur ch skydd av gemensamma resurser genmförs. IT-chefen är bjektsägare för IT-infrastrukturen ch rapprterar till Kmmunstyrelsens stab.

5 sid 5 (7) Infrmatinssäkerhetssamrdnare är ansvarig för att samrdna infrmatinssäkerhetsarbetet inm kmmunen. Inm Tanums kmmun svarar kmmunstyrelsens stab sm infrmatinssäkerhetssamrdnare Användare ansvarar för att följa kmmunens gällande riktlinjer ch instruktiner Uppdrag till verksamheten Kmmunens infrmatinssystem Samtliga infrmatinssystem skall vara identifierade, förtecknade ch bedömda efter vilka sm är verksamhetskritiska. Av förteckningen skall en fullständig rll- ch ansvarsbeskrivning framgå för identifierade system. Alla infrmatinssystem skall minst klara den basnivå för infrmatinssäkerhet sm kmmunen fattat beslut m. Infrmatinsklassificering av verksamhetssystem För samtliga verksamhetssystem skall en infrmatinsklassificering göras. Utifrån klassificeringen skall regler för säkerhet ch tillgänglighet (t ex tillgänglighet via fjärkmmunikatin) fastställas. Systemsäkerhetsanalyser Systemsäkerhetsanalyser skall genmföras på identifierade verksamhetskritiska infrmatinssystem. Riskbedömningar Htbilden för varje enskilt infrmatinssystem sm är av vikt för verksamheten skall analyseras frtlöpande, ch identifierade händelser sm kan leda till negativa knsekvenser skall förebyggas. Incidenthantering Skade- ch incidentrapprteringsrutin skall finnas inm Tanums kmmun ch följas av verksamheten. Infrmatinssäkerhetsutbildning - Intrduktinsutbildning All persnal skall i samband med nyanställning, mplacering ch när speciellt behv föreligger få den utbildning sm behövs för att infrmatinssäkerheten skall upprätthållas. 4.2 Kmmunstyrelsens stabs ansvar Kmmunstyrelsens stab ansvarar för de strategiska frågrna kring IT-användning, IT-utveckling ch IT-säkerhet. Kmmunstyrelsens stab skall skapa förutsättningar för verksamhetsutveckling med stöd av IT i kmmunen. Kmmunstyrelsen uppdrar åt Kmmunstyrelsens stab att ansvara för att: på en övergripande nivå analysera utvecklingen inm IT-mrådet upprätta en väl fungerande samverkan med förvaltningar ch blag inm IT-mrådet så att insatser kan värderas, pririteras ch ges en nyttkalkyl i relatin till mål från kmmunfullmäktige stödja kmmunstyrelsen i samrdningen av strategiska prjekt inm IT-mrådet genmföra en ökad samrdning inm IT-mrådet med fkus på nytta för verksamheten samrdna ch förstärka utvecklingen av e-tjänster på en övergripande nivå analysera kmmunens IT-verksamhet ch föreslå åtgärder för eknmisk effektivisering analysera nyttan med IT-stödet ch utifrån nyttanalysen ta fram förslag till förändring ta initiativ sm leder till en ökad grad av knslidering ch standardisering

6 sid 6 (7) långsiktigt planera ch samrdna interna ch externa leveranser av IT-tjänster till kmmunens verksamheter för en stabil ch kstnadseffektiv IT-verksamhet medverka till att effektivisera kmmunens administratin ch verksamhet med hjälp av IT fastställa kmmungemensamma standarder för IT inm Tanums kmmun fastställa föreskrifter ch genmföra regelbundna revisiner av IT-säkerhetsplicyn tillse att de av kmmunstyrelsen ägda systemen hanteras enligt gällande riktlinjer rganisera Styrgrupp IT:s verksamhet använda Styrgrupp IT för att inhämta IT-relaterad infrmatin inför beslut samt att sprida sådan infrmatin i rganisatinen rganisera IT-enhetens verksamhet. IT-enheten är underställd eknmikntret. 4.3 Nämnders, styrelsers ch blags ansvar Nämnder, styrelser ch blag ansvarar för att IT-plicyn samt av Kmmunstyrelsens ch Kmmunstyrelsens stabs anvisningar för verksamhetsutveckling med IT ch riktlinjer vad gäller IT-säkerhet sm stöd efterföljs. Den egna verksamhetens lkala riktlinjer ch handlingsplaner skall anpassas till den övergripande plicyn. Detta skall vara en del i verksamhetsplanering ch uppföljning inm kmmunens integrerade ledningssystem. Nämnder, styrelser ch blag ansvarar vidare för att: IT-verksamheten inm nämnden bedrivs med rätt krav på säkerhet, skydd av persnlig integritet ch förtrende hs allmänheten hantering av persnuppgifter sker i enlighet med sekretesslagen samt persnuppgiftslagen nämnden utser en för varje ägt verksamhetssystem en systemförvaltare med ersättare rganisatinen genm systemförvaltaren ch dennes ersättare har kunskap m ägda system infrmatin sm rör egen verksamhet i gemensamma system är krrekt IT-verksamheten inm nämndens verksamhetsmråde effektivt tillgdser såväl kmmunens gemensamma sm de enskilda verksamheternas behv de regler ch riktlinjer sm utfärdas skall spridas ch implementeras inm förvaltningar ch blag förvaltningar ch blag deltar i det samarbete sm bedrivs i gemensamma IT-frågr all berörd persnal har tillräcklig utbildning ch tydliga instruktiner för att genmföra sina arbetsuppgifter i samband med användning av IT på ett effektivt ch säkert sätt Ta hänsyn till den psyksciala arbetsmiljön när verksamheterna förändras med IT-stöd ch att den ergnmiska arbetsmiljön är lämpligt utfrmad det sker en kntinuerlig uppföljning av att föreskrivna regler tillämpas av alla anställda inm verksamheten det sker en kntinuerlig uppföljning av att föreskrivna regler tillämpas för de av förvaltningen ägda verksamhetsystemen 5. Uppföljning ch översyn Förvaltningschefer ch VD:ar för de kmmunala blagen är ansvariga för att denna plicy efterföljs ch kntinuerligt följs upp. Kmmunstyrelsens stab ansvarar för att det finns direktiv ch regelverk för hur uppföljning ch översyn skall genmföras. Kmmunens/ch blagens revisrer beslutar m åtgärder för att granska infrmatinssäkerhetsarbetet ch i samband med revisin följa huruvida beslutade åtgärder är genmförda granskning av kmmunikatinsresurser, IT-system ch datrer utförs säkerhetsfrågr beaktas vid upprättande av kravspecifikatiner ch servicenivåavtal riktlinje ch säkerhetsinstruktiner följs

7 sid 7 (7) riktlinje, säkerhetsinstruktiner ch riskanalyser vid behv revideras. i MSB= Myndigheten för samhällsskydd ch beredskap ii BITS= Basnivå för infrmatinssäkerhet. BITS är samlingsnamnet på MSB:s rekmmendatiner för hur en rganisatin kan ta ett helhetsgrepp på infrmatinssäkerhet. [ ]