Granskning av informationssäkerhet inom Landstinget i Kalmar län

Transkript

1 Landstingsdirektörens stab Kanslienheten TJÄNSTESKRIVELSE Sida 1(1) Datum Diarienummer Landstingsstyrelsen Granskning av informationssäkerhet inom Landstinget i Kalmar län Förslag till beslut Landstingsstyrelsen antar redovisat yttrande som sitt svar på revisorernas granskning av informationssäkerhet inom Landstinget i Kalmar län. Yttrandet överlämnas till landstingets revisorer. Bakgrund Landstingets revisorer har låtit granska landstingets informationssäkerhet. Granskningen visar att landstinget under de senaste åren har tagit ett antal goda initiativ inom området informationssäkerhet och IT-säkerhet. KPMG:s granskning ger ett antal rekommendationer, ett flertal är nödvändiga säkerhetsåtgärder och andra är inriktade på arbetssättet för att stärka proaktiviteten och säkerhetskulturen inom landstinget. Landstingets revisorer har begärt svar från landstingsstyrelsen med uppgift om vilka åtgärder som vidtagits respektive planeras för att tillvarata de förbättringsmöjligheter och rekommendationer som redovisas i granskningsrapporten. Redovisning av genomförda och planerade åtgärder redovisas i yttrande. Mot bakgrund av ovanstående föreslås landstingsstyrelsen anta redovisat yttrande. Carl-Johan Ekelund Informationssäkerhetssamordnare Bilagor 1. Yttrande daterat den 29 juni Revisionsrapport från KPMG. Landstinget i Kalmar län Webbplats Ltkalmar.se E-post landstinget@ltkalmar.se Postadress Besöksadress Telefon vx Organisationsnr Bankgiro

2 Landstingsdirektörens stab Kanslienheten YTTRANDE Sida 1(2) Datum Diarienummer Landstingets revisorer Granskning av informationssäkerhet inom Landstinget i Kalmar län Landstingets revisorer har låtit granska landstingets informationssäkerhet. Granskningen visar att landstinget under de senaste åren har tagit ett antal goda initiativ inom området informationssäkerhet och IT-säkerhet. KPMG:s granskning ger ett antal rekommendationer, ett flertal är nödvändiga säkerhetsåtgärder och andra är inriktade på arbetssättet för att stärka proaktiviteten och säkerhetskulturen inom landstinget. En i alla avseenden tillförlitlig informationsförsörjning är avgörande för landstingets förmåga att uppnå sina verksamhetsmål. står det i Landstinget i Kalmar läns riktlinjer för informationssäkerhet. Att ha tillförlitlig och spårbar information tillgänglig för de som behöver den är centralt för att landstinget ska kunna säkerställa ett friskare, tryggare och rikare liv för medborgarna. Landstinget i Kalmar län Webbplats Ltkalmar.se E-post landstinget@ltkalmar.se Postadress Besöksadress Telefon vx Organisationsnr Bankgiro

3 Landstinget i Kalmar län Datum Sida 2(2) Redovisning av åtgärder Nedan redovisas status för de genomförda och planerade kort- och långsiktiga åtgärder som krävs för att uppnå en god informationssäkerhet. Åtgärd KPMG:s bedömning LKL Status Kommentar Handlingsplan LIS Ej tillfredsställande Pågår Beräknas klart under Ny datahall Tillfredsställande Genomfört Klart <sekretess> Ej tillfredsställande Pågår Beräknas klart under <sekretess> Ej tillfredsställande Pågår Beräknas klart under Forum informationssäkerhet Tillfredsställande Genomfört Roll/funktion infosäksamordnare Tillfredsställande Genomfört Dokumenthantering Ej tillfredsställande Ej påbörjat Både system, processer och utb. Förvaltningsmodell IT/verksamhet Tillfredsställande Genomfört pm3 infört. PdL i praktiken Ej tillfredsställande Pågår Årlig riskanalys saknas, klart Införa LIS Ej tillfredsställande Pågår Del av ledningssystemsprojekt, klart <sekretess> Ej tillfredsställande Ej påbörjat Skapa förmåga att mäta tillgänglighet för systemobjekt och infrastruktur. Ej tillfredsställande Ej påbörjat Utveckling av befintliga övervakningssystem efter verksamhetens krav. Förutsätter att systemet som skall övervakas har funktioner för att funktioner för finkornig mätning. Behörighetsportal Ej tillfredsställande Pågår Beräknas klar under Informationssäkerhetsutbildning före och under och under anställning. Ej tillfredsställande Pågår Tillfredsställande Genomfört Ta fram riktlinjer och implementera processer och rutiner kring dessa. Ej tillfredsställande Pågår Kravkatalog kopplat till informationsklassning. Ej tillfredsställande Ej påbörjat Informationssäkerhetsutbildning ges till samtliga sommarvikarier, LSA:er och SÄBEombud men utöver det sker endast punktvisa insatser, t.ex på IT-förvaltningen. Med datorstödd utbildning (film, enkät, spel, etc. på Navet) så kan man få en bredare spridning av kunskap. Riktlinjerna är beslutade, rutiner och process tas fram under hösten Ett förebyggande verksamhets- och nutidsanpassat arbetssätt är att föredra. Det är alltså av yttersta vikt att landstinget inför och integrerar ett ledningssystem för informationssäkerhet (LIS, enligt SS-ISO/IEC 27001) i arbetet med information landstinget är beroende av. Att verksamheterna tidigt och löpande involveras i arbetet som informationssäkerhetsansvariga ger en delaktighet som är mycket positiv i efterlevnaden. Införandet bör ske för den viktigaste informationen och därefter iterativt utökas. Carl-Johan Ekelund Informationssäkerhetssamordnare

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20