Granskning av IT. Sunne kommun

Storlek: px

Starta visningen från sidan:

Download "Granskning av IT. Sunne kommun"

Margareta Åberg
för 7 år sedan
Visningar:

1 Granskning av IT Sunne kommun 2016

2 Syfte Det övergripande syftet med granskningen är att analysera IT-stöd och IT-säkerhet i syfte att utreda om dessa är ändamålsenliga. Vi har besvarat följande revisionsfrågor: Finns en IT-strategi som definierar hur IT-verksamheten ska utvecklas och förvaltas inom en 3-5 års period? Hur ser IT-organisationen ut och vilka ansvarsfördelningar finns avseende IT-verksamheten inom kommunen? Finns kompetens inom IT-organisationen för att insamla och driva lämplig IT-utveckling? Hur används IT-stöd i verksamheten och hur sker samarbete kring att utveckla/förbättra IT-stödet? Vilka forum och mötesformer används för diskussion om ITutveckling mellan IT-avdelning och övriga verksamheten? 2

3 Syfte forts. Finns en informationssäkerhetspolicy med tillhörande informationssäkerhetsrutiner? Finns rutiner för åtkomsthantering för väsentliga IT-system inklusive rutiner för beställning av behörighetsförändringar, lösenordshantering, begränsning kring höga behörigheter och säkerhet relaterad till att endast behöriga personer har åtkomst till relevanta IT-system? Vilka rutiner finns på plats för återskapande av data vid en eventuell katastrof, hur ser rutinerna ut för säkerhetskopiering och test av återläsning? Hur säkerställs informationssäkerheten vid användandet av molntjänster samt mobila enheter såsom läsplattor, datorer och mobiltelefoner? 3

4 Granskning/slutsatser Det saknas ett strategiskt IT-utvecklingsarbete och någon ITstrategi finns inte beskriven Utan IT-strategi finns risk för att utvecklingen: hanteras som en teknisk fråga, snarare än som en central del av kommunens strategiska verksamhetsutveckling inte är fullt samordnad mellan kommunens verksamheter begränsas av otillräcklig kommunikation bedrivs med bristande kunskap inte fullt ut tillgodoser medarbetares och medborgares behov 4

5 Granskning/slutsatser Bristfälliga rutiner inom IT-området Nuvarande informationssäkerhetspolicy är hela 13 år gammal! Det föreligger också en osäkerhet kring vilka individer som ansvarar för olika frågor inom IT-enheten. Därtill kommer att det saknas tydliga rutiner för användaradministration, åtkomst-, kontinuitets- och katastrofhantering. Bristerna innebär en risk för att: obehöriga missanvänder eller manipulerar data på ett sätt som äventyrar rättssäkerheten och enskildas integritet verksamheterna förlorar information, exempelvis om medborgarnas ärenden verksamheter under en längre period inte fungerar, då de kan komma att sakna tillgång till nödvändiga data och system. 5

6 Rekommendationer Kommunstyrelsen bör upprätta en strategi där det görs klart att IT-utvecklingen ska utföras och drivas utifrån ett kommungemensamt perspektiv. Det primära ansvaret kan då inte ligga hos IT-enheten. Strategin bör bland annat även ange: vem som samordnar arbetet och vilka andra nyckelroller som finns, exempelvis vad gäller utvecklingsansvaret för olika verksamheter och system hur arbetet ska bedrivas vad som ska uppnås hur skälen dokumenteras till sådana beslut som innebär att utveckling genomförs respektive inte genomförs 6

7 Rekommendationer Tydliga ansvarsfördelningar upprättas kring uppenbara områden inom IT-enheten, såsom systemägare och systemförvaltare Informationssäkerhetspolicyn uppdateras samt att den inkluderar en tydlig ansvarsfördelning, en modell för klassificering av informationstillgångar samt en struktur för att säkerställa informationens riktighet, sekretess och tillgänglighet En rutin införs för kontinuerlig utbildning av verksamhetens personal inom informationssäkerhet Rutinerna för åtkomsthantering stärks så att bara personer med behörighet har åtkomst till väsentlig information och system. Rutinen för tillägg, ändring och borttagning av behörigheter bör säkerställa att användarkonton tillhörande personer som slutar inom kommunen blir borttagna inom rimlig tid. 7

8 Rekommendationer Det upprättas en rutin för regelbunden genomgång av samtliga användarbehörigheter så att samtliga användare har rätt behörighet i respektive system En enhetlig lösenordspolicy införs som säkerställer god säkerhet vid inloggning i systemen En kontinuitetsplan införs med rutiner för återställning av system och data vid en katastrof inom IT-miljön. 8

9 kpmg.com/socialmedia kpmg.com/app The information contained herein is of a general nature and is not intended to address the circumstances of any particular individual or entity. Although we endeavor to provide accurate and timely information, there can be no guarantee that such information is accurate as of the date it is received or that it will continue to be accurate in the future. No one should act on such information without appropriate professional advice after a thorough examination of the particular situation KPMG AB, a Swedish limited liability company and a member firm of the KPMG network of independent member firms affiliated with KPMG International The KPMG name, logo are registered trademarks or trademarks of KPMG International.

Relevanta dokument

Granskning av integrationoch flykting-mottagande. Sunne kommun

Granskning av integrationoch flykting-mottagande Sunne kommun 2016 Syfte Bedöma hur styrning, genomförande och uppföljning av arbetet med att ta emot och integrera flyktingar och andra invandrare fungerar