Fastighetsavdelningen STYRDOKUMENT Leif Bouvin 07-05-24 dnr A 13 349/ 07 031-789 58 98 Bilaga, Definition av roller och begrepp, till policy för IT-säkerhet Publiceringsdatum Juni 2007 Publicerad Beslutsfattare www.gu.se Rektor Beslutsdatum 2007-06-11 Dokumentsansvarig Giltighetstid Sammanfattning Leif Bouvin Tillsvidare Bilaga Definition av roller och begrepp anger definitioner av roller och begrepp som används i policy, regler och riktlinjer för IT-säkerhet samt i övriga styrdokument avseende IT. Fastighetsavdelningen Karl Gustavsgatan 12 B, Box 100, SE 405 30 Göteborg 031 786 0000, 031 786 1142 (fax) www.gu.se
Maj 2007 Definition av roller och begrepp En befattningshavare kan, främst när det gäller mindre system, ha flera av nedanstående roller. För att förebygga oegentligheter får kombination av roller som medger behörighet till en transaktion och samtidigt behörighet till att dölja transaktionen genom t.ex. radering av logg, inte ske. T.ex. får en personaladministratör som har behörighet till transaktioner i det personaladministrativa systemet inte samtidigt vara teknisk förvaltare eller systemadministratör för aktuellt system. Det principiella sambandet mellan nedanstående roller framgår av Principskiss avseende roller och ansvar på sidan 5. Person som tilldelats behörighet till Göteborgs universitets IT-resurser och som ska gå att identifiera. Behörighetsadministratör Behörighetsadministratör utses av behörighetsansvarig och ansvarar för inregistrering och avregistrering av behörigheter enligt behörighetsansvarigs beslut. Administratören ansvarar också för att beslut om behörighetstilldelning arkiveras enligt fastställda arkivkrav. Behörighetsansvarig Behörighetsansvarig beslutar om tilldelning av åtkomsträttigheter till universitetets gemensamma och lokala system samt ansvarar för uppföljning av tilldelning av behörigheter. Tilldelningen och uppföljningen ska följa av systemägare och tekniskt ansvarig fastställda riktlinjer. Behörighetsansvariga är prefekt, avdelningschef i gemensamma förvaltningen, enhetschef för bibliotek inom universitetsbiblioteket, chef för fakultetskansli och motsvarande. Informationsägare Informationsägare är den som är utfärdare och/eller fastställare av viss information och som svarar för att informationen är riktig, tillförlitlig och för det sätt på vilken den får sin spridning. Sidan 2 av 5
All information skall ha en informationsägare. Följande uppställning ger exempel på vem som räknas som informationsägare i olika fall, om inget annat beslutats. Kategori Fastställda dokument Data i informationssystem All annan information Ägare (om ej annat anges) Den som fastställt dokumentet Systemägaren Utfärdaren Isolerat nät Ett isolerat nät har inga som helst kopplingar till Internet eller andra nätverk. Inga IT-system utanför det isolerade nätet skall ha möjlighet att kommunicera med ITsystem i ett isolerat nät. IT-infrastruktur Grundläggande gemensam konfiguration av servrar, klienter, operativsystem, nätverk, arbetsstationer, skrivare, programvaror, databaser etc. IT-resurser Med IT-resurser menas datorer, programvaror, licenser och all annan kringutrustning som nyttjas i samband med hantering av information i digital form. IT-system Med IT-system avses utrustning och programvara som behandlar, d.v.s. insamlar, bearbetar, lagrar samt distribuerar information och utbyter data mellan funktionsenheter med hjälp av dataöverföring och i enlighet med tekniskt protokoll. IT-tjänst Funktion som användare nyttjar och som är baserad på IT-infrastruktur och verksamhetsspecifika IT-system. Skyddat nät I ett skyddat nät regleras så väl inkommande som utgående trafik vilket innebär att det finns regler för hur IT-tjänster i det skyddade nätet får kommunicera med ITtjänster utanför det skyddade nätet. Restriktionen ligger i infrastrukturen och är inte en del av IT-tjänstens autentisering som exempelvis ett påloggningsförfarande. Brandväggar är exempel på hur man skapar skyddade nät. System I IT-säkerhetsdokumenten definieras system som ett vidare begrepp vilket innefattar inte bara IT-system utan även de manuella rutinerna och mänskliga resurser som hör samman med ett IT-system. Sidan 3 av 5
Systemadministratör Ansvarar för att fastställda säkerhetskrav tillämpas i den tekniska administrationen och driften av IT-systemen. Systemadministratör får inte vara användare av de administrativa system som han är systemadministratör för. T.ex. får en personaladministratör som har behörighet till transaktioner i det personaladministrativa systemet inte samtidigt vara systemadministratör för aktuellt system. Systemförvaltare Ansvarar för systemförvaltningen utifrån systemägarens direktiv avseende tillämpningen, användarnas krav och behov. Systemförvaltaren skall ha en djup kunskap om den verksamhet som systemet ska stödja samt övergripande kunskap om tekniken som tillämpas i systemet. Systemägare För varje IT-system skall en systemägare (systemansvarig tjänsteman) finnas utsedd. Systemägare skall tillvarata användarnas krav och har det övergripande ansvaret för att IT-systemet stödjer verksamheten och verksamhetens mål. Systemägare ansvarar för att analys av säkerhetsbehov genomförs med hänsyn till informationsinnehåll och verksamhetskrav. Säkerhetskraven ska anges med inriktning på tillgänglighet, riktighet, sekretess och spårbarhet att riktlinjer för behörighetstilldelning utarbetas att tekniskt ansvarigs säkerhetskrav uppfylls. T.ex. är personal och organisationsutvecklingsdirektören systemägare för det personaladministrativa systemet och en chef för en forskargrupp kan vara systemägare för gruppens forskningsdatabas. Tekniskt ansvarig För den tekniska driftsäkerheten ska en teknisk ansvarig tjänsteman finnas utsedd. Teknisk ansvarig ansvarar för att analyser av den tekniska säkerheten genomförs med hänsyn till tillgänglighet, riktighet, sekretess och spårbarhet samt att påvisade brister åtgärdas. att systemägarens säkerhetskrav uppfylls tekniskt. Till exempel chefen för avdelningen för informationsteknik respektive IT-ansvarig vid Sahlgrenska akademin, fakultet respektive universitetsbiblioteket. Teknisk förvaltare Ansvarar för den tekniska förvaltningen av systemet utifrån tekniskt ansvarigs direktiv. Den tekniska systemförvaltaren skall ha goda kunskaper om systemets konstruktion, datahantering och tekniska säkerhetslösningar samt övergripande kunskaper om den verksamhet som systemet stödjer. Sidan 4 av 5
Principskiss avseende roller och ansvar System- och driftsorganisation Linjeorganisation (System och drift-/tekniskt ansvar) (Övergripande IT-säkerhets- ansvar) Rektor Systemägare Tekniskt ansvarig Systemförvaltare Teknisk förvaltare Dekanus, motsv. Systemadministratör Prefekt, motsv. Anmärkning I system- och driftsorganisationen kan en befattningshavare, främst när det gäller mindre IT-system, inneha flera av ovanstående roller. Tekniskt ansvarig utses för universitetsgemensam nivå respektive fakultetsområdes eller motsvarande nivå. Systemägare utses av lägst prefekt eller motsvarande. Sidan 5 av 5