2014-05-05 1 PuL-bedömning och analys av Google Apps for Education (GAFE), Simrishamns kommun Risk- och sårbarhetsanalys Risk Elevers arbetsmaterial i skolan går förlorad pga. systemfel Omarbete/merarbete, förseningar leder till att användare tappar förtroende för tjänsten. Obehörig får del av personuppgifter och arbetsmaterial Oönskad spridning av informationen Störningar i det pedagogiska arbetet Osäkerhet när det gäller användares aktivitet om det finns oklarhet i identifieringen Kan leda till att användare tappar förtroende för tjänsten
2 Leverantören visar sig inte kunna etablera eller upprätthålla tillräcklig informationssäkerhet Förlust av anseende för Simrishamns kommun. Krav i lag och/eller förordning kan inte uppfyllas. Kan framtvinga hävning av avtal och/eller byte av leverantör. Risk för informationsförlust. Leverantören går i konkurs, köps upp av intressent som inte respekterar ingånget avtal eller att tjänsten avvecklas Kan framtvinga hävande av avtal och/eller byte av leverantör och därmed verksamhetsnyttoförlust och/eller ekonomisk förlust för kommunen. Nedlagt arbete går till spillo, förseningar i produktionen/skolarbetet, medarbetare/skolpersonal/elever tappar förtroende för sin arbetsmiljö.
3 Personal hos leverantör läser elevernas e-post Obehörig får del av information av privat karaktär. Kan leda till att användare tappar förtroende till tjänsten Medarbetares arbetsmaterial i skolan går förlorad pga. systemfel. Omarbete, förseningar mm, leder till att användare tappar förtroende för tjänsten.
4 Leverantören förmår inte upprätthålla tillgängligheten av tjänsten Störningar i lärandet, användarna tappar förtroende för sin arbetsmiljö. Ekonomiska konsekvenser vid förlorad arbetstid. Information och personuppgifter raderas inte efter att elever har slutat i verksamheten. Tjänsterna kan fortsätta att användas trots att eleven inte tillhör skolan. Intern information kan spridas till utomstående. Personuppgifter kan bevaras längre än vad som är motiverat från verksamhetens behov.
5 Virus eller annan fientlig kod kan via tjänsten hota kommunens övriga ITmiljö. Störningar i IT-leveransen. Ekonomiska konsekvenser. x Leverantören behandlar personuppgifterna för egna ändamål Kommunen kan anses bryta mot gällande lag. Kan framtvinga hävande av avtal och/eller byte av leverantör och därmed verksamhetsnyttoförlust och/eller ekonomisk förlust för kommunen. Användares brist på förtroende och negativ påverkan på kommunens varumärke.
6 Leverantören behandlar personuppgifterna för egna ändamål. Kommunen kan anses bryta mot gällande lag. Kan framtvinga hävande av avtal och/eller byte av leverantör och därmed verksamhetsförlust och/eller ekonomisk förlust för kommunen. Användares brist på förtroende och negativ påverkan på kommunens varumärke.
7 Leverantören förändrar innehållet i tjänsten. Avtalet kan behöva förändras för att stämma med ny funktionalitet. Personuppgiftsbehandlingen kan förändras. Kan framtvinga hävande av avtal och/eller byte av leverantör och därmed verksamhetsnyttoförlust.
8 Data och metadata kan inte överföras till annan IT-lösning vid avslutande av tjänsten. Information som man vill behålla i verksamheten förloras och man måste börja om från noll varje gång man byter leverantör. Risk för inlåsning till befintlig leverantör.
9 Slutsats analys Riskbedömning Åtgärd Prioritet Elevers arbetsmaterial i / Det ska finnas backup av Medel; skolan går förlorat pga informationen i tjänsten. säkerställ en systemfel Denna ska kunna rutin för kontroll kontrolleras och prövas av back-up fortlöpande av kommunen. Obehörig får del av /Sällan Leverantören ska etablera Hög; det gäller personuppgifter och och upprätthålla en att ta fram arbetsmaterial informationssäkerhet som tydliga skyddar mot intrång. Denna instruktioner till ska kunna kontrolleras och användare prövas fortlöpande av kommunen. Leverantören visar sig / Leverantören ska etablera inte kunna etablera eller och upprätthålla en upprätthålla tillräcklig informationssäkerhet som informationssäkerhet fortlöpande kan kontrolleras och prövas av kommunen. Leverantören är certifierad enligt ISO/IEC 27001. Nivån för informationssäkerheten ska göra det möjligt för kommunen att uppfylla motsvarande krav som gäller för beredskapsföreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10). Personal hos / Kommunen ska ensamt Medel; leverantören läser elevers kunna sätta behörigheter för kontrollera och personals e-post. information i tjänsten behörighetssyst emet
10 Leverantören går i konkurs, köps upp av intressent som inte respekterar ingånget avtal eller att tjänsten avvecklas. / Det ska finnas back-up av Medel; informationen från tjänsten. säkerställ en Denna ska kunna rutin för kontroll kontrolleras och prövas av back-up. fortlöpande av kommunen. Back-up ska kunna användas av kommunen utan leverantörens medverkan eller godkännande. Medarbetares / Det ska finnas back-up av Medel; arbetsmaterial i skolan informationen i tjänsten. säkerställ en går förlorad pga systemfel Denna ska kunna rutin för kontroll kontrolleras och prövas av back-up. fortlöpande av kommunen. / Nivån på tillräcklig tillgänglighet ska regleras i Leverantören förmår inte avtal. Nivån ska vara konkret upprätthålla och mätbar och konsekvens tillgängligheten på för leverantören vid tjänsten. återkommande brister. Virus eller annan fientlig / Kommunen själv och kod kan via tjänsten hota leverantören har väl kommunens övriga IT- etablerade skydd mot virus miljö och fientlig kod. Tjänsten är avskild från kommunens övriga IT-miljö. Information och / Avslutande av konton styrs personuppgifter raderas från kommunen. inte efter att elever har Leverantören garanterar slutat i verksamheten. Leverantören behandlar t/mycket Leverantören garanterar i Medel; personuppgifterna för avtal att personuppgifter säkerställ intern egna ändamål endast kommer att rutin för att behandlas för de ändamål undersöka som leverantören har anlitas förändringar i för. tjänsten. Leverantören förändrar / Leverantören informerar tjänsten löpande om förändringar. Kommunen har rutiner för att
11 granska förändringarna och ta ställning till konsekvens. Data och metadata kan / Leverantören beskriver i inte överföras till annan avtalet hur detta ska kunna IT-lösning vid avslutande genomföras. av tjänsten Sammanfattande bedömning Endast okänsliga personuppgifter kommer att behandlas i tjänsten. De registrerade kommer att få information och personuppgiftsbiträdesavtal har upprättats. Av detta framgår hur den personuppgiftsansvarige säkerställer sin kontroll över behandlingen och anlitande av underleverantörer. Riskanalysen utvisar inga er som motiverar att verksamheten (BUF) skulle avstå från att använda Google Apps for Education (GAFE). Skolnämnden gör bedömningen att behandlingen av personuppgifter i tjänsten Google Apps for Education uppfyller de krav som följer av PuL.