Säkerhetsinstruktion för användare av UmUs it-resurser

Transkript

1 Sid 1 (7) Säkerhetsinstruktion för användare av UmUs it-resurser Innehållsförteckning 1 Bakgrund Tillgång till it-resurserna Hantering av information Programvaror Internet Virus E-post Incidenter Mobila enheter Datorarbetsplatsen...6 Fastställd av IT-enheten vid Umeå universitet den 6 november Informationen kontrollerades senast den 25 februari Ansvarig för dokumentet:, IT-enheten

2 Sid 2 (7) 1 Bakgrund Information är en viktig tillgång för vår organisation. För att skydda de värden informationen representerar krävs ett säkerhetsmedvetande hos alla medarbetare. Du som användare har alltså en del av ansvaret för säkerheten i informationshanteringen. För att du skall kunna leva upp till de säkerhetskrav som ställs på dig måste du känna till: vilket ansvar du har. vad du skall göra vid olika incidenter. var du kan få stöd och hjälp. 2 Tillgång till it-resurserna Umeå universitet tillämpar tjänsten Central autentiseringstjänst (CAS) vilket ger alla anställda tillgång till ett centralt användarnamn som möjliggör tillgång till ett flertal webbaserade tjänster och applikationer, både på central och lokal nivå. I samband med aktivering av detta tilldelas du också ett lösenord. Normalt sker detta i samband med att du blir anställd vid universitetet. Vissa av våra it-system är utrustade med egna inloggnings- och behörighetskontrollsystem. För att bli behörig användare krävs din chefs godkännande och i förekommande fall godkännande från systemägaren för systemet. Sedan ansvarar Du för att följa de regler som kopplas till den behörigheten. För att få behörighet krävs att: 1. Du lämnar en skriftlig ansökan om behörighet till din chef. 2. Chefen beslutar om behörighet och i förekommande fall systemägaren. 3. Systemadministratören lägger in din behörighet till systemet. 4. Därefter får du: EN ANVÄNDARIDENTITET ETT LÖSENORD - Din egen hemlighet 2.1 Initialt lösenord För vissa it-system gäller att första gången loggar du in med ett initialt lösenord som du får av behörighetsadministratören. Detta lösenord kan du bara använda för att komma in i systemet och byta det till ditt personliga lösenord. Genom detta säkerställs att det är bara du själv som känner till lösenordet. 2.2 Lösenordet är strängt personligt Lösenordet är strängt personligt och skall hanteras därefter. Du skall därför: inte avslöja ditt lösenord för andra eller låna ut din behörighet. skydda lösenordet väl.

3 Sid 3 (7) inte skicka lösenord via e-post eller annan osäker förbindelse. omedelbart byta lösenordet om du misstänker att någon känner till det. lösenordet skall bytas enligt instruktioner som gäller för varje enskilt system. 2.3 Lösenordet ska bestå av ett antal tecken Lösenordet ska bestå av ett antal tecken och konstrueras så att det inte lätt kan kopplas till dig som person. Enkla repetitiva mönster såsom t ex ABC123, AAAAA2 skall undvikas, liksom andra lättforcerade lösenord, såsom eget eller familjemedlems namn eller lösenord av typen QWERTY, dvs. enkla tangentkombinationer. 2.4 För att skapa ett bra lösenord kan du ta första (andra/tredje/sista) bokstaven i en för dig bekant textsträng, melodi eller boktitel, till exempel HHSFOM från Han hade seglat för om masten.. Du ska dock inte välja textsträngar av karaktären Hans Hanssons halta höna hade hösnuva hela hösten välj en uttalbar, men meningslös sekvens, till exempel BAMROK ovanliga ord ur ordlistan i kombination med en siffra eller annat tecken, till exempel LIT#OTES ovanstående exempel kan också konstrueras genom att blanda stora och små bokstäver, till exempel hhsfom eller lit#otes. För mer information om vad du bör tänka på när det gäller lösenord se dokumentet Tidigare använda lösenord Det skiljer på olika system vilka regler som gäller vid hantering av tidigare använda lösenord. Se separat instruktion för varje enskilt system. 2.6 Glömt ditt lösenord Om du glömmer ditt lösenord och försöker att logga in till systemet med ett felaktigt lösenord kommer systemet efter ett antal felaktiga försök att låsas. Om detta inträffar vänder du dig till behörighetsadministratören. Du kommer då att få ett nytt initialt lösenord. 2.7 Du lämnar spår efter dig Du lämnar spår efter dig när du är inloggad och arbetar i systemen. Systemens loggningsfunktion används för att spåra obehöriga intrång. Detta görs för att skydda informationen och för att undvika att oskyldiga misstänks om oegentligheter inträffar. 2.8 Särskilda regler för vissa system För vissa av våra system kan det gälla särskilda regler. De som är användare av dessa system får i förekommande fall dessa regler av systemägaren för systemet.

4 Sid 4 (7) 3 Hantering av information Verksamhetskritisk information ska lagras på gemensamma lagringsutrymmen. Att ha en bra säkerhetskopieringsstrategi för din information är av yttersta vikt för att undvika en eventuell katastrof. Med universitetets automatiska säkerhetskopieringstjänst minimerar du risken att förlora information. Sker lagring av annan icke verksamhetskritisk information på lokal enhet ansvarar Du själv för att denna blir säkerhetskopierad. Detta innebär att: du själv skall ta säkerhetskopior. du själv ansvarar för att förvara säkerhetskopiorna på ett säkert sätt. du skall tänka på att andra kan ha otillbörligt intresse av att komma över informationen. 4 Programvaror Rätten att kopiera program regleras av programleverantören och framgår av den dokumentation som medföljer vid leverans. Piratkopiering är olaglig och kan bryta mot ingångna licensavtal. Detta får inte förekomma i vår organisation. För att förhindra att programkopiering utförs, bör originalprogram och oftast även säkerhetskopior förvaras under kontrollerade former. Vid ITS finns vårt elektroniska licensregistreringsprogram som bygger på en databas med programlicenser från ett antal leverantörer. För att få tillgång till dessa programvaror ska institutionen underteckna en förbindelse om distribution av programvara. I förbindelsen utser institutionen en kontaktperson, en licensansvarig, som står för alla kontakter med ITS. Den licensansvarige sköter nerladdning av programmen från servern, rapporterar installerade licenser samt kan beställa media och dokumentation. För vidare information se 5 Internet Internetanvändandet är ett område där säkerheten påverkas i mycket hög grad av ditt beteende. Allmänt gäller att vid nedladdning av filer från Internet krävs att du har gott omdöme och endast hämtar in sådant som är relevant för arbetet och kommer från välrenommerade webbplatser. När du surfar på Internet representerar du vår organisation. Agera i enlighet med våra värderingar så att det du förmedlar på nätet inte skadar oss. Du lämnar spår efter dig i form av organisationens IP-adress. Se även Regler för användning av Umeå universitets it-resurser,

5 Sid 5 (7) 6 Virus 6.1 Ett stort hot mot vår information Ett stort hot mot vår information är datavirus som kan sägas vara ett program eller en programsekvens vars uppgift är att kopiera sig själv och tränga in i andra program för att utföra något otillbörligt. I bästa fall är det oskyldiga pip eller hälsningar som ritas på skärmen. I värsta fall raderas datorns hårddisk eller så kopierar viruset sig självt i det oändliga tills hela systemet bryter samman. Virus är ofta ytterst smittsamma och smittkällan kan vara svår att identifiera. Gratisprogram, spelprogram och filer som laddas ned från Internet eller till e-post medföljande filer är de vanligaste smittbärarna. 6.2 Tecken på virus i systemet kan vara att datorn utför operationer/arbete utan att du själv initierat det, t.ex. förändringar sker på skärmen (tecken flyttas, försvinner etc.). datorn uppträder på ett onormalt sätt, t.ex. arbetar mycket långsamt alternativt att datorn arbetar intensivt utan att du själv har startat någon applikation. 6.3 Om du misstänker att systemet innehåller virus skall du avbryta allt arbete i systemet på det ställe där du gjorde upptäckten. se till att ingen använder systemet. omedelbart anmäla förhållandet till systemadministratören vid enheten. omedelbart kontakta Kundservice på ITS, skriva ner alla iakttagelser som du misstänker kan ha samband med händelsen. inte ladda in säkerhetskopior i datorn. dra ur nätsladden, men låt gärna datorn vara på. Stäng av mobila enheter. Se mer information 7 E-post E-post är ett hjälpmedel i arbetet. Med tiden sparar du kanske på sig stora mängder meddelanden som ofta innehåller bifogade filer. Tänk därför på att regelbundet radera i din inkorg. Var också observant när du adresserar brevet, om du i hastigheten väljer fel mottagare från adressboken så kan ett dokument hamna väldigt fel. För att undvika problem med en ökad risk för virusspridning och onödig belastning av systemresurserna: var selektiv med att skicka eller vidarebefordra meddelanden som innehåller stora filer, använd UmU:s web upload istället:

6 Sid 6 (7) öppna endast bifogade filer som du förväntar dig att få, en bra regel är att alltid med automatik köra alla filer som mottas via mail via ett antivirusprogram. Om du misstänker att det kommit in virus via e-postsystemet skall du agera som beskrivits i avsnittet om virus. Se även dokumentet om Skräppost - Spam Om du får e-post som du misstänker innehåller spam, virus, phishing eller annat oönskat, skicka en kopia till IRT: abuse@umu.se 8 Incidenter 8.1 Om du misstänker att någon obehörig använt din användaridentitet och varit inne i systemet notera tidpunkt då du senast själv var användare i systemet. notera tidpunkt då du upptäckte förhållandet. anmäl omedelbart till systemadministratören och IRT: abuse@umu.se. dokumentera alla iakttagelser i samband med upptäckten samt försök att fastställa om kvaliteten på informationen har påverkats. 8.2 Om du misstänker virus Kontakta närmaste chef eller systemadministratören (se i övrigt avsnitt om virus) 9 Mobila enheter Mobila enheter som du använder utanför din ordinarie arbetsplats utgör en säkerhetsrisk. Därför bör du: hålla utrustning och datamedia under ständig uppsikt om du inte kan låsa in den. tänka på att du inte bör lagra verksamhetskritisk information på den bärbara PC:n. förvara en säkerhetskopia av all information på din ordinarie arbetsplats. låta installera behörighetskontrollsystem, krypto och viruskontroll. kryssa aldrig i rutan Spara lösenord. 10 Datorarbetsplatsen 10.1 Om du lämnar arbetsplatsen Om du lämnar arbetsplatsen skall du använda skärmsläckaren på datorn som ska ha ett lösenord alternativt logga av, även om det bara är för en kortare stund.

7 Sid 7 (7) Om du glömmer detta finns risk att information är tillgänglig för obehöriga. Kom ihåg att du ansvarar för allt som registrerats med din användaridentitet Virusskydd Datorn skall vara utrustad med antivirusprogramvara. Det är viktigt att regelbundet uppdatera virusdefinitionerna (om man inte gör det skyddas datorn endast mot de virus som ingick i programmet då det lades in) Utskrifter av dokument Utskrift av dokument på en gemensam skrivare skall hämtas så snart du kan. Tänk på att kvarglömda dokument kan komma i orätta händer. Använd där så är möjligt lösenordsfunktionen Service på utrustning Service på utrustning som innebär att din persondator lämnas bort medför att du måste se till att eventuell känslig information avlägsnas från hårddisken. Om den gått sönder ska du rådgöra med systemadministratören eller Kundservice på ITS innan den sänds på service eller kasseras Stöd och hjälp Stöd och hjälp kan du få av systemadministratören vid din enhet eller Kundservice på ITS Ytterligare information hittar du i dokumenten IT-säkerhetsplan vid Umeå universitet Regler för användning av Umeå universitets it-resurser IT-regler och anvisningar IRT UmU internt Privat dator Privat dator som finns placerad i universitets lokaler betraktas som en del i universitetets infrastruktur och hanteras enligt samma regelverk som övrig utrustning på arbetsplatsen.