Informationssäkerhetspolicy för Sunne kommun Antagen av Kommunfullmäktige 2003-12-18 157

Framtagen av Ulf Borg, IT-strateg, version 1.0 Informationssäkerhetspolicy för Sunne kommun Antagen av Kommunfullmäktige 2003-12-18 157

2

Sammanfattning ändringar Datum Version Beskrivning av ändringar Godkännande 3

Innehållsförteckning INTRODUKTION...6 1. OMFATTNING...7 2. TERMER OCH DEFINITIONER...7 3. INFORMATIONSSÄKERHETSPOLICY...8 3.1 MOTIV FÖR INFORMATIONSSÄKERHET... 8 3.2 MÅL FÖR INFORMATIONSSÄKERHETSARBETET... 8 3.3 OMFATTNING OCH AVGRÄNSNING... 9 3.4 ANSVAR... 9 3.5. INFORMATIONSSÄKERHETSORGANISATION....9 4. INFORMATIONSSÄKERHETSORGANISATION...11 4.1 INFRASTRUKTUR FÖR INFORMATIONSSÄKERHET... 12 4.2 EXTERNA RESURSER... 12 5. KLASSIFICERING OCH KONTROLL AV TILLGÅNGAR...13 5.1 ANSVAR FÖR TILLGÅNGAR... 13 5.2 KLASSIFICERING AV INFORMATION... 13 6. PERSONAL OCH SÄKERHET...14 6.1 SEKRETESSAVTAL... 14 6.2 UTBILDNING... 14 6.3 RAPPORTERING AV SÄKERHETSINCIDENTER OCH FUNKTIONSFEL... 15 7. FYSISK OCH MILJÖRELATERAD INFORMATIONSSÄKERHET...15 7.1 TILLTRÄDESKONTROLL... 15 7.2 FYSISKT SKYDD AV LOKALER OCH UTRUSTNING... 15 8. STYRNING AV KOMMUNIKATION OCH DRIFT...16 8.1 DRIFTRUTINER OCH DRIFTANSVAR... 16 8.2 SKYDD MOT SKADLIGA PROGRAM... 16 8.3. SÄKERHETSKOPIERING... 17 8.4. STYRNING AV NÄTVERK... 19 8.4.1 Säkerhet vid datakommunikation - allmänt (datacentral etc)...20 8.4.2 Uppringda förbindelser...20 8.4.3 Fasta förbindelser...20 8.4.4 Internet...21 8.4.5 Telefonväxel...22 8.5 MEDIAHANTERING OCH MEDIASÄKERHET... 22 8.6 UTBYTE AV INFORMATION OCH PROGRAM... 23 8.6.1 Avtal om utbyte av information och program...23 8.6.2 Säkerhet i elektronisk handel...23 8.6.3 Säkerhet för elektronisk post...23 9. STYRNING AV ÅTKOMST...23 10. SYSTEMUTVECKLING OCH - UNDERHÅLL...24 10.1 RISKANALYS - SÄKERHETSKRAV FÖR SYSTEM... 25 10.2 SÄKERHET I TILLÄMPNINGSSYSTEM... 25 11. AVBROTTSPLANERING...27 4

11.1. KATASTROFPLAN... 27 12. EFTERLEVNAD...29 12.1. LAGAR OCH FÖRORDNINGAR... 29 12.2. INKÖP AV PROGRAMVARA... 30 13. UNDERHÅLL AV INFORMATIONSSÄKERHETSPOLICY...31 BILAGA 0. DEFINITIONER... 32 BILAGA 1. EXEMPEL PÅ MER DETALJERADE MÅL FÖR INFORMATIONSSÄKERHETSARBETET... 34 BILAGA 2. INFORMATIONSSÄKERHETSORGANISATION - ARBETSUPPGIFTER... 36 BILAGA 3. EXEMPEL PÅ KLASSNINGSMODELL FÖR SEKRETESS... 38 BILAGA 4. EXEMPEL PÅ SEKRETESSFÖRBINDELSE FÖR ANSTÄLLDA... 43 BILAGA 5. FÖRBINDELSE OM SEKRETESS OCH TYSTNADSPLIKT FÖR KONSULTER OCH SERVICEFÖRETAG... 44 BILAGA 6. EXEMPEL PÅ ÅTGÄRDER FÖR FYSISK INFORMATIONSSÄKERHET... 46 BILAGA 7. MINIMIKRAV FÖR DATAMEDIAARKIV... 48 BILAGA 8. EXEMPEL PÅ EN RUTIN FÖR SÄKERHETSKOPIERING OCH -ARKIVERING:... 49 BILAGA 9. EXEMPEL PÅ KONKRETA ÅTGÄRDER FÖR NÄTVERK... 50 BILAGA 10. EXEMPEL PÅ SKYDD VID UPPRINGBARA FÖRBINDELSER... 51 BILAGA 11. EXEMPEL PÅ ÅTGÄRDER FÖR SÄKERHET I INTERNET... 52 BILAGA 12. EXEMPEL PÅ REGLER OCH RUTINER FÖR BEHÖRIGHETSADMINISTRATION... 54 BILAGA 13. FÖRTECKNING ÖVER SYST EMÄGARE/-FÖRVALTARE... 55 BILAGA 14. EXEMPEL PÅ METODER FÖR RISK- OCH SÅRBARHETSANALYS... 56 BILAGA 15. EXEMPEL PÅ VIKTIGA PUNKTER I EN KATASTROFPLAN... 57 BILAGA 16. RIKTLINJER FÖR E-POST INOM SUNNE KOMMUN... 52 BILAGA 17. ETISKA REGLER FÖR ANVÄNDNING AV INTERNET INOM SUNNE KOMMUN... 55 BILAGA18. BLANKETT FÖR TILLDELNING AV BEHÖRIGHET... 56 5

Introduktion Den nivå av säkerhet som beskrivs i Informationssäkerhetspolicyn baseras på Sunne kommuns riskbedömningar. Policyns struktur följer den svenska standarden, SS 62 77 99-1 Ledningssystem för informationssäkerhet. I bilagorna upptas olika råd och tips beträffande regler och rutiner. Dessa är av mer detaljerad karaktär och utgör i vissa fall gällande instruktioner. Sunne 2003-12-07 Arbetsgruppen för Informationssäkerhetsfrågor Kommunstyrelsens ordförande eller adjungerad Erik Larsson, IT-chef Ulla Engström, MAS Mikael Brandin, bitr rektor Ulf Borg, IT-strateg samt sammankallande 6

1. Omfattning Denna Informationssäkerhetspolicy har tagits fram för att samla regler och rutiner för säkerhetsarbetet vid Sunne kommun. Ett antal säkerhetsområden behandlas motsvarande de som ingår i svensk standard, SS 62 77 99: Ledningssystem för informationssäkerhet. För varje område finns beskrivet de mål och minimikrav som gäller för Informationssäkerheten. Informationssäkerhetspolicyn omfattar en delmängd av standardens områden. Dels omfattar den senare begreppet informationssäkerhet i vilket Informationssäkerhet kan anses var en (dominerande) delmängd, dels har av praktiska skäl vissa avsnitt inte brutits ned i alla de underrubriker som standarden omfattar. I bilagor ges i vissa fall också råd och exempel på regler och rutiner på mer detaljerad nivå hur målen kan uppnås. 2. Termer och definitioner Informationssäkerhet har tre grundkomponenter: Sekretess - säkerställande av att information är tillgänglig endast för dem som har behörighet för åtkomst Riktighet - skydd av information och behandlingsmetoder så att de förblir korrekta och fullständiga Tillgänglighet - säkerställande av att behöriga användare vid behov har tillgång till information och tillhörande tillgångar När analyser av Informationssäkerhet behandlas förekommer en rad begrepp där vi i denna policy har följande definitioner: Hot - händelser och störningar som kan påverka verksamheten negativt Brist - svaghet som utgör ett hot Konsekvens - effekten av ett hot som realiserats Risk - konsekvensen av en händelse x och sannolikheten för att den inträffar Sårbarhet - används oftast som ett samlingsbegrepp för verksamhetens risker Andra definitioner återfinns i bilaga 0. 7

3. Informationssäkerhetspolicy Informationssäkerhet är de säkerhetsåtgärder som krävs för att skydda information och den teknik som används för att hantera informationen. Målet med Informationssäkerhetspolicyn är att ange kommunledningens syn på informationssäkerhet och är fastställd av Kommunstyrelsen. 3.1 Motiv för Informationssäkerhet Inom Sunne kommun använder vi Informationsteknik (IT) i allt större utsträckning vilket innebär att den totala mängden information i kommunens informationssystem blir allt större. I takt med denna utveckling blir vi allt mer beroende av att ITverksamheten är fungerande, tillförlitlig och skyddas ifrån störningar, oavsiktliga eller avsiktliga och från stöld av data eller obehörigas användning av IT-systemen. Händelserna kan orsakas såväl externt som internt inom Sunne kommun. Även måttliga störningar i enskilda IT-system kan få betydande negativa konsekvenser. Informationen i våra system är en viktig tillgång som, i orätta händer, kan orsaka stora problem för Sunne kommun eller enskild person. Slutsats Ett fungerande IT-stöd är en förutsättning för att Sunne kommuns verksamhet skall kunna bedrivas effektivt och för att vi skall få nöjda användare, samarbetspartners och kunder. 3.2 Mål för Informationssäkerhetsarbetet Informationssäkerheten skall vara sådan att information egendom personal i möjligaste mån skyddas från intrång, stöld, avlyssning, skadegörelse, fysisk skada eller annan åverkan som kan försvaga Sunne kommuns konkurrenskraft eller på annat sätt inverka menligt på Sunne kommuns och/eller personalens verksamhet och säkerhet. Mer detaljerade mål framgår av bilaga 1. 8

3.3 Omfattning och avgränsning Informationssäkerhetsarbetet i Sunne kommun innefattar alla aspekter såsom system- och driftsäkerhet, fysisk och logisk säkerhet. Informationssäkerhetspolicyn omfattar all informationsbehandling där någon typ av datorer används. Detta gäller oberoende av driftmiljö, d v s oavsett i vilka typer av datorer eller nätverk bearbetningen sker i eller om den sker i egen regi eller hos servicebyrå. Med datorbearbetning avses hela informationssystemet inklusive datakommunikation och manuella kringrutiner i direkt anslutning till datorbehandlingen. Policyn omfattar anskaffning, utveckling, förvaltning, drift samt avveckling av både IT-utrustning och tillämpningar. Informationssäkerhetsarbetet innebär att risk-/sårbarhetsanalyser skall göras och dokumenteras, dels innan anskaffning av datorstöd påbörjas, dels i samband med större förändringar av system eller vid ändring av förutsättningar för verksamhetens datorutnyttjande. 3.4 Ansvar Övergripande ansvar Kommunstyrelsen i Sunne är ytterst ansvarig för Informationssäkerheten och fastställer policy och riktlinjer för Informationssäkerhetsarbetet. Respektive styrelse/nämnd är personuppgiftsansvarig enligt personuppgifts-lagen samt har det primära ansvaret i frågor om IT och Informationssäkerhet. Kommunstyrelsen beslutar om införande av kommungemensamma system. Övriga nämnder och styrelser beslutar om införande av förvaltningsunika system. Verksamhetsansvar De verksamhetsansvariga (VD/förvaltningschefer) har det övergripande ansvaret för att de IT-system som finns i deras verksamhet uppfyller de krav på säkerhet som Informationssäkerhetspolicy och riktlinjer ställer. Informationssäkerhet ingår som en integrerad del i chefsansvaret på alla nivåer och i det ansvar som varje anställd person i kommunen har. 9

10

Samordningsansvar För att leda och övervaka Informationssäkerhetsarbetet finns en Informationssäkerhetsgrupp inom Sunne kommun utsedd. Informationssäkerhetsgruppen ansvarar under kommunledningen för att Informationssäkerheten inom hela Sunne kommun fortlöpande hålls på minst den nivå som Informationssäkerhetspolicy och riktlinjer kräver. I gruppens uppgifter ingår också att vara rådgivande i Informationssäkerhetsfrågor, att initiera/genomföra utbildning i Informationssäkerhet inom Sunne kommun samt att bevaka och vid behov föreslå förändringar i Informationssäkerhetspolicy och riktlinjer. I säkerhetsgruppen ingår: KS ordförande eller adjungerad, Erik Larsson, Ulla Engström, Mikael Brandin och Ulf Borg Personuppgiftsombud är ännu inte utsedd. 3.5. Informationssäkerhetsorganisationsmodell KOMMUNSTYRELSEN PUL- OMBUD INFORMATIONS SÄKERHETS- GRUPPEN KOMMUN- KONTORET FÖRVALTNINGAR OCH BOLAG Systemansvariga Förvaltningsövergripande system Systemansvariga Förvaltningsspecifika system 11

4. Informationssäkerhetsorganisation 4.1 Infrastruktur för Informationssäkerhet Målet är att styra Informationssäkerhetsarbetet inom Sunne kommun. Informationssäkerhetspolicyn beskriver den övergripande organisationen för Informationssäkerhet. Med utgångspunkt från denna beskrivs, i bilaga 2, det specifika ansvar som verksamhetsansvariga och Informationssäkerhetsgruppen har. 4.2 Externa resurser Målet är att förvalta Sunne kommuns fysiska IT-resurser och de informationstillgångar som tredje part har tillgång till enligt beslutad säkerhetsnivå. Med extern resurs avses utnyttjande av såväl enskilda konsulter och konsultföretag (för t ex utredning, programmering, systemering), som serviceföretag för t ex datordrift. Vid användande av externa resurser krävs motsvarande Informationssäkerhet som i den egna verksamheten. All användning av konsulter och serviceföretag skall vara reglerad genom avtal. I avtalet skall finnas inskrivet att respektive konsult/serviceföretag skall följa Sunne kommuns policy och riktlinjer för Informationssäkerhet. Konsulter och serviceföretag skall ges nödvändig kännedom om policy och riktlinjer. Alla externa resurser - konsulter, serviceföretag m fl - som kan komma i kontakt med konfidentiell information, skall underteckna en sekretess-förbindelse (se bilaga 5). Konsulter/serviceföretag skall inneha försäkring för de skador de kan åsamka Sunne kommun. 12

5. Klassificering och kontroll av tillgångar 5.1 Ansvar för tillgångar Målet är att förvalta erforderligt skydd av Sunne kommuns IT-tillgångar. Förteckning skall finnas över fysiska IT-tillgångar. Den skall uppta all väsentlig utrustning oavsett om den köpts, hyrts eller leasats. Utrustning som är ansluten till kommunens administrativa nät hanteras via kommunens övervakningssystem. Värdering skall ske av tillgångarnas relativa betydelse och värde samt erforderliga skyddsåtgärder vidtas. Förteckning skall finnas över väsentliga informationstillgångar såsom program (applikations- och systemprogram, utvecklingshjälpmedel etc), databaser och systemdokumentation. 5.2 Klassificering av information Målet är att säkerställa att informationstillgångar får ett skydd på erforderlig nivå. Systemägare är ansvariga för klassning av information och för att denna får det skydd som motsvarar klassningen. Klassningen skall ske med speciell hänsyn till följande verksamhetskrav: Sekretess - verksamhetens behov att dela eller begränsa åtkomst till information med avseende på sekretess samt de kontroller som erfordras för att begränsa åtkomst till informationen Riktighet - verksamhetens behov att kontrollera modifieringar av information samt de kontroller som erfordras för att tillse att informationen förblir korrekt och komplett Tillgänglighet - verksamhetens behov att informationen är tillgänglig när verksamheten så kräver samt de kontroller som erfordras för att uppnå detta Exempel på klassningsmodell för sekretess framgår av bilaga 3. 13

6. Personal och säkerhet Målet är att reducera riskerna för mänskliga misstag, stöld, bedrägeri eller missbruk av tillgångar. 6.1 Sekretessavtal Anställda inom Sunne kommun som hanterar och handlägger konfidentiella ärenden skall underteckna ett sekretessavtal. Se bilaga 4 6.2 Information till anställda Målet är att alla användare skall vara medvetna om hot och risker avseende Informationssäkerhet samt handla i enlighet med Informationssäkerhetspolicyn och underliggande riktlinjer och rutiner i sitt dagliga arbete. Motiv Sunne kommuns beroende av fungerande IT-stöd kräver att Informationssäkerhetsfrågorna uppmärksammas på ett systematiskt och strukturerat sätt. All personal bör därför vara medvetna om betydelsen av Informationssäkerhet samt ges erforderlig information. Genomförande Informationssäkerhetsinformation skall lämnas till all personal som använder IT-stöd i sin verksamhet. Utbildningen bör ges till olika befattningshavare och delas in i tre nivåer: Chefer Övergripande utbildning fokuserat på aktuella ansvarsområden, olika regelverk och hotbilder. Återkommande information IT-personal (drift- och nätverksansvariga, systemutvecklare/-förvaltare etc) Fördjupad Informationssäkerhetsutbildning. 14

Användare av strategiska verksamhetssystem Utbildning som skall ge förståelse och kunskaper om vilka krav som ställs av policy och riktlinjer. 6.3 Rapportering av säkerhetsincidenter och funktionsfel Målet är att minimera skadorna vid säkerhetsincidenter samt att följa upp och dra erfarenhet av sådana incidenter. Rutin skall finnas för rapportering av incidenter som påverkar säkerheten. 7. Fysisk och miljörelaterad Informationssäkerhet 7.1 Tillträdeskontroll Målet är att förhindra obehörigt tillträde, skador och störningar i Sunne kommuns lokaler och IT-tjänster. Tillträdeskontroll avser utrustning/åtgärd, som skall utgöra skydd mot obehörigt tillträde till lokaler där viktig/känslig IT-utrustning är installerad. Serverrum skall ha en högre skyddsnivå och tillträde vara begränsat. Utrymmen för switchar, korskopplingsskåp etc bör vara låsta. För exempel på åtgärder se bilaga 6. 7.2 Fysiskt skydd av lokaler och utrustning Målet är att förhindra förlust av eller skada på IT-tillgångar eller avbrott i verksamhetens aktiviteter. De säkerhetsåtgärder som vidtas skall vara anpassade till de hot/risker som finns. Normalt blir konsekvenserna för verksamheten av avbrott eller störningar i datorstödet störst om den för Sunne kommun/organisationen gemensamma utrustningen förstörs. Den centrala datautrustningen skall därför ha en hög skyddsnivå. 15

Främst skall skydd finnas mot brand, vattenskada och störningar i elförsörjningen. Exempel på skyddsåtgärder framgår av bilaga 6. 8. Styrning av kommunikation och drift 8.1 Driftrutiner och driftansvar Målet är att säkerställa korrekt och säker drift av IT-utrustning. Ansvar och rutiner för styrning och drift av alla datorer och nätverk skall vara etablerade. För att öka driftsäkerheten på de lokala nätverken skall enhetlighet vad gäller maskinvara eftersträvas. Inköp av maskinvara och programvara samt anslutning till nätet skall därför utföras av kommunens IT-enhet. Ansvar och rutiner för incidenthantering skall vara etablerade. Ansvar skall fördelas på olika personer för att minska risken för oavsiktligt eller avsiktligt missbruk. 8.2 Skydd mot skadliga program Målet är att skydda riktighet i programvara och data. Sunne kommun skall skydda programvara och data i bärbara PC, stationära PC, nätverk etc på följande sätt: Skydd av bärbara PC På Sunne kommuns alla bärbara PC skall det finnas antivirusprogram. Programmet skall aktiveras då PC:n startas och kontrollera minne, hårddisk och övriga datamedia som diskett, CD, DVD. Detta för att undvika virus på aktuell PC samt risken att det sprids då PC:n ansluts till PC-nätet eller då filer flyttas. Endast programvara anvisad av IT-enheten får användas. Installation av programvaror som inte är nödvändigt för arbetets utförande är inte tillåtet. T ex spel och skärmsläckare mm. Det är inte tillåtet att ladda ner programvaror och musik från Internet. 16

Programuppgradering skall ske regelbundet och utförs automatiskt genom nätverket vid dockning av datorn. Skydd av stationära datorutrustning Antivirusprogram skall finnas för servrar och PC som är anslutna i nätverket. De senare bör uppdateras automatiskt från servern. Då disketter, som har använts utanför Sunne kommun, skall användas på någon av Sunne kommuns stationära PC skall aktuell diskett viruskontrolleras. Endast programvara anvisad av IT-enheten får användas. Installation av programvaror som inte är nödvändigt för arbetets utförande är inte tillåtet. T ex spel och skärmsläckare mm. Det är inte tillåtet att ladda ner programvaror och musik från Internet. Obs! Datavirus sprids idag via bl a disketter, e-post, och Internet. Därför är det viktigt att alla externa disketter, e-post och bifogade filer viruskontrolleras innan användning. 8.3. Säkerhetskopiering Målet är att vidmakthålla riktighet och tillgänglighet i IT-tjänsterna. Vid varje tidpunkt skall all väsentlig information i systemet kunna rekonstrueras med säkerhetskopior och återlagringsrutiner. Undantaget är den i förväg beslutade insats som krävs för att återvinna information som tillförts systemet efter senaste arbets- eller säkerhetskopia. (Insatsen är beroende av hur ofta kopiering sker). För att säkerställa att information, program och system inte går förlorade om något skulle hända ordinarie datorsystem måste rutiner för säkerhets-kopiering finnas. Säkerhetskopior skall förvaras i för ändamålet avsedda utrymmen. Dessa säkerhetskopior ingår som en mycket viktig komponent i avbrottsrutinerna. Säkerhetskopiering 17

Frekvensen för framställning av säkerhetskopior skall vara sådan att det aldrig åtgår mer än en i förväg bestämd insats (t ex 8 persontimmar) att återställa den information som inte finns på arbets- eller säkerhetskopia. 18

Förutom behovet av säkerhetskopia vid rena katastrofsituationer finns behov att i efterhand kunna återskapa informationen per en viss dag eller bearbetning bakåt i tiden. Det kan vara t ex i samband med felsökning eller rekonstruktion vid felaktigheter som framkommit i efterhand. Det kan också vara lag/ bokföringskrav som kräver kopior av informationen från t ex månads- kvartals- eller årsbearbetningar. Se bilaga 8 för exempel på rutin för säkerhetskopiering. Förvaring av säkerhetskopior Förvaring av säkerhetskopior skall i vissa fall ske i härför avsedda datamediaskåp. De skall vara brandsäkra och inbrottsskyddade samt testade och godkända för den typ av datamedia som används. (Se bilaga 7). Det bör finnas tillgång till minst två säkerhetsarkiv, varav det ena skall vara placerat på ett säkert avstånd från dator och skivminne. Detta för att minska risken att all information går förlorad i både dator och arkiv vid en eventuell brand, inbrott, skadegörelse etc. Rutinerna för arkivering skall vara utformade så att oavsett från vilket säkerhetsarkiv säkerhetskopiorna tas vid en återlagring skall ett acceptabelt komplett resultat erhålls. Tillse att nycklar till externt säkerhetsarkiv är placerade externt. Se bilaga 8 för exempel på rutin för säkerhetsarkivering. Återlagringstest Testa att återlagring från säkerhetskopia fungerar som avsett. Instruktioner för återlagring måste finnas. De ingår i katastrofplanen som en mycket viktig del. 8.4. Styrning av nätverk Målet är att säkerställa skydd av information i nätverk och skyddandet av understödjande infrastruktur. 19

8.4.1 Säkerhet vid datakommunikation - allmänt (datacentral etc) Datakommunikationen är en känslig del av IT-systemen. För att möta kraven på tillgänglighet, riktighet och sekretess måste stor uppmärksamhet fästas på riskerna för: obehörig åtkomst till det lokala nätverket av hackers avlyssning av förbindelser avbrott på vitala förbindelser fysisk förstöring av kommunikationsutrustning (avsiktlig eller genom slarv) De åtgärder som bör vidtas för att förhindra eller minska dessa risker inkluderar: begränsning av åtkomstmöjligheterna till det lokala nätverket skydd av överförd information rutiner för avbrottshantering fysiskt skydd av kommunikationsutrustningen (inklusive kablage, hubbar etc) Obs! Vid externa kopplingar skall utredning av Informationssäkerheten ske vad gäller varje kontaktyta utåt. En del exempel på konkreta åtgärder framgår av bilaga 9. 8.4.2 Uppringda förbindelser Antalet uppringda modem till det lokala nätverket bör minimeras. Företrädesvis skall det vara VPN-teknik som används, kontakta IT-enheten för att rådgöra. Det är väl känt att hackers ofta använder dåligt skyddade modem för att få åtkomst till det lokala nätverket. Uppringbara modem skall vara försedda med tillräckliga skyddsmekanismer så att säkerhetsnivån ej försämras genom dessa. Exempel på skydd vid uppringda förbindelser framgår av bilaga 10. 8.4.3 Fasta förbindelser Vid fasta uppkopplingar mot andra företag är det ett minimikrav att brygga/router med filter används. Man måste dock vara medveten om att identifikationen som används i filtret bygger på använd maskinvara, men kan ändras programvarumässigt. 20

8.4.4 Internet Vitala fasta förbindelser bör ha en reserv väg i händelse av t ex ett linje-avbrott. De hot som främst är förknippat med en Internet-anslutning är: Intrång av utomstående/ sabotage (känslig information kan förloras eller förstöras). Spridning av virus via elektronisk post (vanligtvis fil som bifogas), konferenser eller FTP. Stöld av elektronisk post. Läckage av information (anställda delar ut "verksamhetskänslig" information via de konferenser som pågår ute på Internet). Överbelastning av eget nätverk (anställda begär stora filöverföringar till sin PC). Spridning av oriktig eller falsk information av mindre nogräknade personer. "Denial of service"-attack som innebär att den dator/router som är målet för attacken slås ut (den belastas till 100% och kan inte längre utföra något arbete). Okända hot! För att minimera riskerna gäller vidare att: Om en egen fast linje till Internet etableras samtidigt som denna ansluts till det egna ordinarie nätverket skall brandvägg installeras. Viruskontroller skall köras dagligen i nätverket och på arbetsstationer. Den externa Web-servern skall vara separerad från det lokala nätet. Elektronisk post skall krypteras om den innehåller känslig information (e-post skall annars betraktas som lika öppet som ett vykort). Exempel på åtgärder för Internetsäkerhet se bilaga 11. 21

8.4.5 Telefonväxel Extern medflyttning - Tillåt endast extern medflyttning inom riket. Det skall ej vara möjligt för personal att medflytta sin telefon utomlands eller till ett s k 071- nummer. Servicemodem - Många växlar har ett servicemodem vilket innebär att den som ringer upp erhåller konsolfunktion till växeln (förutsatt att rätt programvara finns). Från konsolen erhålls komplett tillgång till alla växelns funktioner och risken för felgrepp/sabotage kan inte uteslutas. Slå av strömmen till modemet och etablera en rutin med leverantören vilket innebär att modemet manuellt slås på när servicearbete skall utföras. Distansanslutning skall absolut ej nyttjas. Den avser att ge möjlighet för användare att hemifrån ringa vart som helst via växeln men medför hög risk för missbruk eller intrång. Blockera anställdas möjlighet att via anknytning ringa betaltjänster. Se även Telefonpolicy för Sunne kommun 8.5 Mediahantering och mediasäkerhet Målet är att förhindra skador på IT-tillgångar och avbrott i verksamhetens aktiviteter. Flyttbara datamedia (inklusive media i PC) skall kontrolleras så att t ex innehållet från återanvändbara media raderas innan de lämnar organisationen. Media eller utrustning som innehåller filer med konfidentiell information och som förvaras/transporteras utanför Sunne kommuns lokaler (tex. filer på hårddisken i en laptop) bör vara krypterade. Rutiner skall vara etablerade för hantering av känsliga data, t ex beträffande radering av innehållet innan de avyttras eller kasseras. Om innehållet är mycket känsligt skall datamediat fysiskt förstöras. Systemdokumentation skall skyddas från obehörig åtkomst. 22

8.6 Utbyte av information och program Målet är att förhindra förlust, modifiering eller missbruk av data som utbyts mellan organisationer. 8.6.1 Avtal om utbyte av information och program Avtal om utbyte av information och programvara mellan Sunne kommun och andra organisationer skall specificera säkerhetskontroller och ansvarsförhållanden. Datamedia skall skyddas mot förlust, skador eller missbruk under transport. 8.6.2 Säkerhet i elektronisk handel Elektronisk handel innefattar ofta känslig information och är därför sårbar mot olika hot. Rättigheter till åtkomst och ändring måste därför regleras och överenskommelse om säkerhetsåtgärder träffas med alla berörda parter. Åtgärder och överenskommelse bör bl a omfatta autentisering och behörighetsregler. 8.6.3 Säkerhet för elektronisk post En policy för hur e-post får användas är framtagen (se bilaga 16). Utnyttjande av elektronisk post medför risker för avlyssning, förvanskning etc. Elektronisk post skall inte användas för att skicka sekretessbelagda uppgifter eller integritetskänsliga uppgifter utan att speciella åtgärder för åtkomstskydd vidtas, t ex kryptering. 9. Styrning av åtkomst Målet är att - kontrollera åtkomst till verksamhetsinformation. - förhindra obehörig åtkomst till information - skydda nätverkstjänster 23

- upptäcka obehöriga aktiviteter - tillgodose informationssäkerheten vid användning av bärbara datorer samt vid distansarbete Systemägare tilldelar behörigheter för användarna enligt principen att var och en endast skall ha tillgång till den information som han/hon behöver för fullgörandet av sina arbetsuppgifter. Åtkomstprofiler skall dokumenteras. Inläggning av behörigheter i behörighetskontrollsystemet utförs av IT-enheten efter skriftlig beställning av systemägare. Uppföljning av tilldelade behörigheter skall ske. Exempel på regler och rutiner för behörighetsadministration se bilaga 12. Blankett för tilldelning av behörighet se bilaga 19. 10. Systemutveckling och - underhåll Med säkerhet i systemutveckling avses alla de aktiviteter och åtgärder som krävs för att det färdiga systemet skall följa Sunne kommuns Informationssäkerhetspolicy, samt att själva utvecklingen sker på ett säkert sätt. Systemägaren, d v s den som äger IT-systemet och därmed svarar för den verksamhet som systemet stödjer, fastställer vilken Informationssäkerhet systemet skall ha. Med hjälp av riskanalys och informationsklassning tas hotbilden och känslig-heten för systemet fram. Därefter kan skyddsnivån vad gäller fysisk och logisk Informationssäkerhet bestämmas. Systemägaren ansvarar för utformning av regler för: behörighetskontroll test av nya systemdelar hur tester skall godkännas hur testdata skall framställas hur uppdatering av dokumentation skall gå till kontroll av indata information och utbildning vid systemförändringar 24

Systemägare/förvaltare för IT-systemen inom Sunne kommun framgår av bilaga 13. 10.1 Riskanalys - säkerhetskrav för system Målet är att säkerställa att säkerhet är inbyggda i IT-systemen. Säkerhetskrav skall vara identifierade och överenskomna innan utveckling av ITsystem påbörjas. Riskanalys skall genomföras i kravanalysfasen av varje utvecklingsprojekt liksom vid större förändringar i verksamhetens utnyttjande av datorstöd. En fullständig riskanalys omfattar: Identifiering av hot och brister. Bedömning av konsekvenser av ett realiserat hot. I görligaste mån skall konsekvenserna kvantifieras. Bedömning av sannolikheten för att ett hot realiseras. Riskbedömning, d v s konsekvensen av en händelse x sannolikheten för att den inträffar. De hot som kan ge de största konsekvenserna har oftast låg sannolikhet varför det är svårt att göra en matematisk kalkyl som är meningsfull. Den avgörande faktorn är därför ofta vetskapen att en sådan händelse faktiskt kan inträffa. Beslut om skydd mot en sådan händelse baseras på om konsekvenserna anses oacceptabla. Olika metoder för att genomföra fullständig eller partiell riskanalys tillämpas beroende på förutsättningarna. Exempel på detta framgår av bilaga 14. 10.2 Säkerhet i tillämpningssystem Målet är att förhindra förlust, felaktig modifiering eller missbruk av information i tillämpningssystem. 25

Motiv Det ökade beroendet av IT-stöd inom Sunne kommun innebär ökade krav på datakvalitet i de informationssystem som används. Undermålig datakvalitet kan påverka Sunne kommuns effektivitet och servicenivå. Det är därför nödvändigt att regelmässigt utvärdera datakvalitén i såväl nya som i drift varande informationssystem. Definition Med datakvalitet avses informationens kvalitet avseende: - Aktualitet - Riktighet - Fullständighet - Läsbarhet - Relevans - Noggrannhet Ansvar Systemutveckling Projektledaren är ansvarig för att datakvalitetsfrågorna ägnas erforderlig uppmärksamhet. Speciellt skall kontroll av indata beaktas. I systemuppbyggnaden skall hänsyn tas till såväl formella kontroller som rimlighetskontroller. Vid framtagning av kravspecifikation skall speciellt beaktas: - Krav på indatas relevans för informationssystemets ändamål - De kvalitetskrav som lagstiftningen ställer - De kvalitetskrav som verksamhetsområdet ställer System i produktion Systemägaren har ansvaret för att regelmässigt genomföra kvalitetsanalyser av system i drift. Dessa kvalitetsanalyser skall genomföras i direkt samarbete med användarna av respektive system. Systemägaren har det slutliga ansvaret för att datakvaliteten ligger på rätt nivå. 26

11. Avbrottsplanering Åtgärder för att hantera avbrott, oavsett deras längd, som uppstår kan rubriceras som avbrottsplanering eller kontinuitetsplanering. De som avser avbrott som kan bli så långvariga att de kan medföra katastrofala konsekvenser för berörd verksamhet benämner vi katastrofplanering. Orsaken till denna avgränsning är att de åtgärder som avser kortvariga avbrott betraktas som en fråga om servicenivå och skall hanteras genom rutiner för och kunskap om den dagliga dataproduktionen. I denna policy behandlas katastrofplanering, avgränsat till IT-produktion. 11.1. Katastrofplan Målet är att förhindra avbrott i verksamhetens aktiviteter och skydda kritiska processer från effekterna av allvarliga störningar eller katastrofer. Motiv Beroendet av ett fungerande IT-stöd medför att stora ansträngningar görs för att erhålla en hög tillgänglighetsnivå till informationen i Sunne kommuns IT-system. Det är dock inte möjligt eller ekonomiskt försvarbart att skydda sig mot alla tänkbara problem och störningar som kan drabba IT-stödet. Detta innebär att planer måste finnas för vad som skall göras om IT-stödet helt eller delvis bortfaller (katastrofplan). Definition Med katastrofplanering avses planering av åtgärder mot störningar som är så svåra att de inte kan bemästras inom normala rutiner och resurser. Konsekvenserna av störningarna är av så stor ekonomisk betydelse eller påverkar Sunne kommun i så hög grad att dess funktion äventyras. Katastrofplan Grundläggande för en katastrofplan är att kopior av aktuella data, program och dokumentation finns och förvaras på ett betryggande sätt (för mer information om säkerhetskopiering och förvaring av säkerhetskopior se avsnitt 8.3). 27

Det är också nödvändigt att i förväg (dokumenterat i katastrofplanen) klargöra vilka reservdriftsalternativ som står till buds. Det kan t ex vara: Körning av de viktigaste rutinerna på en reducerad egen datorutrustning, på inlånad utrustning, körning hos leverantör av utrustning, servicebyrå eller hos backupserviceleverantör. För vissa mycket "tidskänsliga" rutiner kan även en manuell eller starkt förenklad maskinell reservrutin krävas. Det är viktigt att tänka igenom hur man skall förfara i händelse av ett bortfall av IT- stödet och dokumentera detta i katastrofplanen. Som underlag för att skapa en katastrofplan bör en konsekvensanalys genomföras. Den bör behandla bl a följande frågor: - Hur drabbas verksamheten om datorstödet slås ut helt eller delvis? - Hur drabbas olika rutiner? - Vilka avbrottstider kan accepteras? - Hur snabbt behövs reservdrift? Efter konsekvensstudien görs en s k backupstudie, d v s en studie för att utröna vilka reservdriftsalternativ som finns tillgängliga och som svarar upp mot användarnas krav på återstartstider. I backupstudien redovisas kostnaderna för de olika reservdriftsalternativen och det är sedan företagsledningen som utifrån konsekvensstudien tar ställning till vilket reservdriftsalternativ som ska väljas. Samtidigt som man studerar reservdriftsalternativet för dataverksamheten är det viktigt att analysera vilka rutiner användarna kan komma att behöva ha för att verksamheten ska kunna fungera även under en katastrof. Förutsättningar för en fungerande katastrofplan Utse någon som är övergripande ansvarig att upprätta och ajourhålla katastrofplanen. Det måste vara klart uttalat och dokumenterat vem/vilka som är behöriga och har ansvaret att aktivera åtgärderna i katastrofplanen. 28

Förbered och dokumentera så långt som möjligt vilka åtgärder som skall vidtagas efter ett oplanerat bortfall av datorstödet. Det kan vara allt från omprioritering av datorbearbetningar vid ett kortare bortfall till användarinstruktioner för hur användarna ska arbeta under uppehållet vid en katastrofsituation. Definiera maximalt acceptabel avbrottstid för respektive rutin/tillämpning. Fastställ hur lång tid ett avbrott kan vara innan katastrofplanen måste aktiveras. Prioritera rutiner/tillämpningar i den händelse ett reservsystem har begränsad kapacitet. En katastrofplan förutsätter rutiner för säkerhetskopiering med tillräcklig frekvens och omfattning samt att säkerhetskopior förvaras på ett betryggande sätt. Katastrofplanen beskriver de åtgärder som skall aktiveras när ett avbrott i IT-stödet inträffar. Den förutsätter att ovan nämnda rutiner och förberedelser är riktigt genomförda och aktuella. Utöver detta fordras också information om datorutrustning, programvara, lokalbehov och nyckelpersoner. Exempel på viktiga punkter i en katastrofplan framgår av bilaga 15. 12. Efterlevnad 12.1. Lagar och förordningar Målet är att lagar, förordningar och Informationssäkerhetskrav skall följas. Lagar och förordningar som måste beaktas vid användning av IT: - personuppgiftslagen - Datainspektionens Allmänna råd om Informationssäkerhet vid behandling av personuppgifter - bokföringslagen - arkivlagen - arbetsmiljölagen 29

- tryckfrihetsförordningen - upphovsrättslagen (t ex beträffande programvara och databaser) - beredskapsförordningen - KBM:s Föreskrifter om Grundsäkerhet för samhällsviktiga datasystem hos beredskapsmyndigheter (FA 22). Föreskrifterna utgör även rekommendationer för kommuner och landsting samt kris- och krigsviktiga företag (K-företag). Den nya personuppgiftslagen (PUL) ersätter datalagen från och med 1998-10-24. Inom PUL används begreppet personuppgiftsansvarig. Denne är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Enligt PUL kan Sunne kommun välja att utse ett personuppgiftsombud. Denne är den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt skall se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Om personuppgiftsombud finns behöver normalt anmälan av nya personregister inte ske till Datainspektionen. Information om PUL kan hämtas från Datainspektionens hemsida på Internet: www.datainspektionen.se. 12.2. Inköp av programvara Målet är att säkerställa efterlevnad av upphovsrättskydd. Licens skall finnas för alla program som används inom kommunen och kommunala bolag. Systemägaren ansvarar för att nödvändig licens finns. Inköp och installation av programvara, skall utföras av IT-enheten. Endast licensierad programvara får användas. 30

13. Underhåll av Informationssäkerhetspolicyn Det är väsentligt att innehållet i Informationssäkerhetspolicyn följer med de ändringar som sker i verksamheten. Informationssäkerhetspolicyn skall därför genomgå uppdatering vid väsentliga förändringar, dock minst en gång per år. Vid dessa tillfällen skall också upptäckta brister noteras för åtgärd. I samband med uppdatering skall kontroll ske av att dokument som policy hänvisar till är aktuella. 31

Bilaga 0. Definitioner Ansvarsfördelning - Styrelse/nämnd Respektive styrelse/nämnd är registeransvarig enligt datalagen och personuppgiftsansvarig enligt personuppgiftslagen samt har det primära ansvaret i frågor om IT och Informationssäkerhet. Nämnden beslutar om införande av förvaltningsunika system. Kommunstyrelsen beslutar om kommungemensamma system. - Förvaltningschef - Systemansvariga/Rutinansvariga - Driftansvarig - Behörighetsansvariga Förvaltningschef har det övergripande ansvaret för respektive IT-system inom fackförvaltningen, inkl Informationssäkerheten. Beviljar behörighet till system, utrustningar och data. Vidare är förvaltningschefen systemägare och systemförvaltare, vilket innebär övergripande och löpande ansvar beträffande förändringar, nyutveckling mm inom ett system. För varje IT-system/rutin skall utses en befattningshavare - systemansvariga - inom den fackförvaltning som har huvudansvaret för systemet. Inom ett system kan delrutiner förekomma, varför även rutinansvariga skall utses. Driftansvarig skall ansvara för driften av de kommungemensamma system som används i kommunens lokala nätverk och upprätta förslag till regler för systemförvaltningens områden samt svara för driften avseende löpande drift, underhåll, översyn samt förslag till vidareutveckling. Användarstöd och kommunikationsansvar är andra områden som åligger driftansvarig. Se Systemansvariga/Rutinansvariga. - Systemägare/ Systemförvaltare Se Ansvarsfördelning, Förvaltningschef Innebär övergripande och löpande ansvar beträffande förändringar, nyutveckling mm inom ett system. 32

33

Bilaga 1. Detaljerade mål för Informationssäkerhetsarbetet a. Långsiktiga mål Det långsiktiga målet med Informationssäkerhetsarbetet, är att uppnå och bibehålla en nivå på säkerheten som håller samma standard och kvalitet inom hela Sunne kommun. Det huvudsakliga hjälpmedlet som Sunne kommun har att använda för att uppnå detta mål är denna Informationssäkerhetspolicyn med tillhörande Informationssäkerhetspolicy samt rådande lagstiftning. Policyn och riktlinjerna anger på vilken nivå säkerheten skall vara och hur denna skall uppnås. Informationssäkerhetsfunktionen och de Informationssäkerhetsansvariga ute i de olika verk-samheterna är viktiga komponenter i arbetet att uppnå och bibehålla Informationssäkerhetsnivån. b. Delmål Åtkomstskydd baseras på principen att varje användare bara har tillgång till den information som erfordras för arbetets utförande. Ingen obehörig skall ha tillgång till Sunne kommuns system. Ingen skall kunna agera under en annans identitet. Ingen skall kunna agera anonymt. Teknisk tillgänglighet till systemen baseras på: - rutiner och tekniska lösningar så att tillgänglighetsmål för den dagliga driften uppfylls - katastrofplaner och tekniska lösningar etableras, testas och underhålls så att ett allvarligt avbrott ej leder till katastrofala konsekvenser. Fysiskt skydd av datautrustning och information skall minimera riskerna för avbrott eller förlust/manipulering av utrustning och information. 34

c. Uppföljningsmetod Avvikelser Då grava fall av avvikelser från policy/riktlinjer upptäcks skall detta rapporteras i avvikelserapporter och/eller skaderapporter. IT-projekt Rapporter skall avläggas under det att IT-projekt pågår samt efter avslut av projekt. 35

Bilaga 2. Informationssäkerhetsorganisation - arbetsuppgifter 1. Arbetsuppgifter för Informationssäkerhetsgruppen Informationssäkerhetsgruppen är direkt underställd Kommunsstyrelsen i Informationssäkerhetsfrågor. Informationssäkerhetsgruppen ansvarar för samordning och uppföljning av allt Informationssäkerhetsarbete inom Sunne kommun. Detta innebär att: Övervaka att den fastställda Informationssäkerhetspolicyn och riktlinjerna följs i Sunne kommun. Utfärda regler och anvisningar för Informationssäkerhetsarbetet. Bevaka att gällande lagar, förordningar och myndighetsföreskrifter som berör Informationssäkerhetsområdet efterlevs. Ansvara för kontakterna gentemot Datainspektionen och andra externa intressenter i Informationssäkerhetsfrågor. Bevaka att erforderlig Informationssäkerhetsnivå beaktas av respektive beslutsfattare vid upphandlingar av datorutrustning och programvaror. Ansvara för Informationssäkerhetsutbildning och information till alla anställda som berörs av IT. Regelbundet (t ex kvartalsvis) rapportera i ledningsgruppen om Informationssäkerhetsläget inom Sunne kommun. Årligen lämna skriftlig rapport över Informationssäkerhetsläget till Kommunstyrelsen. Årligen uppdatera Informationssäkerhetspolicyn. Slumpvis kontroll bör genomföras för att kontrollera efterlevnad av direktiv i Informationssäkerhetspolicy. 36

2. Informationssäkerhetsansvar inom respektive verksamhet Verksamhetsansvarig inom respektive verksamhet (bolag, enhet, avdelning) skall: Ansvara för att man inom respektive verksamhet följer de anvisningar och krav som Informationssäkerhetspolicy och riktlinjer ställer. Ansvara för att riskanalyser genomförs. Omedelbart underrätta Informationssäkerhetsfunktion vid upptäckta eller misstänkta allvarligare avsteg ifrån policy och riktlinjer. Ansvara för att beslutade Informationssäkerhetsåtgärder genomförs. Ansvara för att rutinerna för behörighetsadministration följs. Ansvara för att regler och rutiner för undvikande av datavirus följs. Eventuellt ingå i den katastroforganisation som skall träda i funktion om datorstödet drabbas av allvarliga störningar, se katastrofplan avsnitt 11. Tillse att alla användare är medvetna om skyldigheten att omedelbart rapportera till systemägare eller verksamhetsansvariga vid befarade brister i Informationssäkerheten. 37

Bilaga 3. Exempel på klassningsmodell för sekretess För att uppnå en korrekt säkerhetsnivå bör informationen klassificeras (viket sker inom varje förvaltning och bolag) i någon av följande tre kategorier: Klass 1: Information av sådan natur att den bör spridas eller information som inte har någon negativ inverkan för Sunne kommun eller någon person om den skulle gå förlorad, förstöras eller spridas utanför Sunne kommun. Det kan t ex vara personaltidningar, produktkataloger, etc. Detta är den lägsta säkerhetsnivån. Jämställ den med officiell eller lätt reproducerbar information. Klass 2: Information av sådan natur att dess spridning, illegala användning eller ändring kan åsamka begränsad skada för Sunne kommun eller någon person. En typisk "klass 2" information är "Endast för internt bruk" eller information som inte går att återskapa på ett lätt sätt. Klass 3: Information av sådan natur att den drabbar tredjeman, t ex information i verksamhetssystem inom det sociala eller vård och omsorg. Vissa typer av information är omöjlig att klassificera generellt. Det kan t ex vara beroende på vilket utvecklingsskede en viss information beskriver. I dessa fall bör informationen klassas och bedömas i varje enskilt fall. Informationsklassningstabell Information Klasser Administration/Inköp Fakturor (från leverantör) Offerter (från leverantör) Kostnadskalkyler Inköpspriser Rabatter Provisioner Ekonomi 38

Budget (innan beslutad) Ekonomiska resultat Finansplaner Förvärvsavtal Försäljningsavtal Agentavtal Prognoser Kunder/Uppdrag Noteringar från kundkontakter, PM etc Brev Avtal Offerter med tillhörande information Anbud med tillhörande information Rabatter Kontaktpersoner Kunders information Orderstock Marknadsföring Marknadsplaner Marknads- och konkurrentanalyser Prognoser Utvecklingsplaner Strategier Prospekts Avtal av betydelse för kommande förhandlingar Informationsfoldrar och broschyrer Personal Antalet anställda Personaltidskrifter och annan publicerad inf Ansökningshandlingar Anställnings- och avgångsintervjuer Löneuppgifter Personbedömningar Betyg Anställningsavtal/förmåner Omplacerings- och anpassningsärenden Sjukvårdsärenden Organisationsärenden 39

Befattningsbeskrivningar Sunne kommuns interna telefonkatalog 40

Exempel på riktlinjer för hantering och skydd av säkerhetsklassad information Detta bör ses över inom varje förvaltning och bolag. Skydd vid Klass 1 Klass 2 Klass 3 Kopiering Inga restriktioner Inga restriktioner Efter godkännande av innehavaren Förvaring på Inga restriktioner Inlås i skrivbord eller Inlåst i dokumentskåp kontoret jalusiskåp Förvaring utanför Inga restriktioner Bör ej förvaras externt Får ej förvaras externt kontoret Förvaring i hemmet Inga restriktioner Bör ej förvaras i hemmet Bör ej förvaras i hemmet Förstöring / Makulering Inga restriktioner I därför avsedd sekretesslåda I dokumentförstörare eller därför avsedd sekretesslåda Arkivering Inga restriktioner I kontorsutrymmen i öppna lådor eller skåp I låst dokumentskåp eller annat låst utrymme Intern Post I intern budpåse I intern budpåse I igenklistrat kuvert med mottagarens namn Extern post I vanligt brev I vanligt brev märkt med mottagarens namn Öppning av post Inga restriktioner Av adressaten eller ställföreträdare Telex/Telefax Inga restriktioner Namnge adressaten och avsändaren I vanligt brev märkt med mottagarens namn Endast av adressaten Adressaten eller ställföreträdaren skall själv ta emot / sända informationen forts 41

forts Riktlinjer för hantering och skydd av säkerhetsklassad information Skydd vid Klass 1 Klass 2 Klass 3 Resor Inga restriktioner I handbagaget I handbagage eller låst resväska Telefonsamtal Inga restriktioner Inga restriktioner Skall ej föras via analoga telefoner Ta del av information Inga restriktioner Alla anställda Den som behöver informationen för sitt arbete, erhållit utbildning samt anses som pålitlig Att avgöra spridning av information Inga restriktioner Anställd som erhållit erforderlig utbildning Anställd som erhållit utbildning. I samråd med chef / faktaansvarig Lagring på hårddisk Inga restriktioner Makulering av datamedia Datakommunikation Förstörs Skall ske i utrustning med BKS 1 eller på likvärdigt sätt Mekanisk destruktion under uppsikt av behörig person Skall ske i utrustning med BKS Mekanisk destruktion under uppsikt av behörig person Inga restriktioner se avsnitt 8.4.1 se avsnitt 8.4.1 1 BKS = Behörighetskontrollsystem 42

Bilaga 4. Exempel på Sekretessförbindelse för anställda Med anledning av min anställning hos Sunne kommun förbinder jag mig att följa nedan angivna sekretessregler. 1. Under min anställning hos Sunne kommun och under tiden därefter ska jag inte yppa till någon utanför Sunne kommun eller själv använda, annat än för Sunne kommuns verksamhet, konfidentiell information om Sunne kommuns affärsangelägenheter såsom: a) Lokalförhållanden b) Produkter c) Arbetsmetoder d) Experiment, undersökningar och forskning e) Marknadsplaner och prissättningar f) Affärsrelationer (såväl kunder som leverantörer). 2. När jag lämnar min anställning ska jag återlämna allt konfidentiellt material som har knytning till Sunne kommun såsom: Konstruktioner, dataprogram, dokument, rapporter, ritningar, utkast och anteckningsböcker, såväl original som eventuella kopior, oberoende av om materialet föreligger som modell, prototyp eller serietillverkat exemplar, i datamaskinläsbar form, på papper eller på annat sätt. 3. För att minska risken för att känsligt material och information ska komma i obehöriga händer ska jag även noggrant iakttaga alla säkerhetsföreskrifter, som kan finnas kring information och material, som jag kan komma i kontakt med under min anställning. 4. Jag är införstådd med att ovan nämnda skyldigheter även omfattar konfidentiell information och material, som Sunne kommun erhållit av tredje man (t ex kunder). 5. Jag är införstådd med att i de fall jag bryter mot ovannämnda sekretessregler kan Sunne kommun väcka talan mot mig....... (Ort) (Datum)... (Namnteckning)... (Namnförtydligande) 43

Bilaga 5. Exempel på Förbindelse om sekretess och tystnadsplikt för konsulter och serviceföretag. Förbindelsen avser förbud att till obehörig röja uppgift vare sig det sker muntligen eller genom att handling lämnas ut eller att det sker på annat sätt. Med obehörig förstås annan än anställd hos Sunne kommun. Vidare förstås med obehörig anställd den, som inte behöver aktuella uppgifter för att fullgöra sina uppdrag. I samband med mitt uppdrag hos Sunne kommun förbinder jag mig att icke yppa något om Sunne kommun, dess kunder eller leverantörers angelägenheter som kan skada någon av dessa samt ej heller yppa uppgifter i offerter, avtal, register, rapporter eller övriga handlingar och dokument som jag med anledning av mitt arbete får eller råkar få del av. Jag förbinder mig även att inte kopiera system, program, utredningsresultat eller annat material för användning i annan verksamhet. Jag är införstådd med att mina åtaganden enligt denna förbindelse även gäller efter det att mitt uppdrag hos Sunne kommun upphört. Obehörigt användande av material eller uppgifter samt obehörigt avslöjande av information utgör ett brott mot denna förbindelse och berättigar Sunne kommun till ersättning med det belopp som motsvarar uppkommen skada. Om undertecknad är juridisk person, är denne juridiske person skyldig att förpliktiga sina anställda, som kommer i kontakt med uppdraget, att ingå motsvarande åtagande om sekretess och tystnadsplikt. Genom underskrift av denna förbindelse, som jag fått i kopia, förklarar jag mig införstådd med ovanstående regler för sekretess och tystnadsplikt....... Ort Datum... Företag... Namnunderskrift 44