SÄKERHETSINSTRUKTIONER FÖR ANVÄNDARE AV IT SYSTEM Version 2002-11-20
INNEHÅLLSFÖRTECKNING BAKGRUND...3 INLOGGNING...3 HANTERING AV INFORMATION...4 INTERNET...5 E-POST...6 INCIDENTER...6 BÄRBAR PC...6 ARBETSPLATSEN...7 Sida 2
BAKGRUND Information är en viktig tillgång för vår organisation. För att skydda de värden informationen representerar krävs ett säkerhetsmedvetande hos alla medarbetare. Du som användare har alltså en del av ansvaret för säkerheten i informationshanteringen. PC:n är ett arbetsredskap som arbetsgivaren tillhandahåller för att du ska kunna utföra dina arbetsuppgifter. För att du skall kunna leva upp till de säkerhetskrav som ställs på dig måste du känna till: vilket ansvar du har vad du skall göra vid olika incidenter var du kan få stöd och hjälp En del av systemen som du arbetar i kan ha speciella säkerhetsinstruktioner, information om detta du få av systemägaren. INLOGGNING Våra datasystem är utrustade med behörighetskontrollsystem för att säkerställa att det endast är behöriga användare som kommer åt information. För att bli behörig användare krävs din chefs godkännande. Sedan ansvarar Du för att följa de regler som kopplas till behörigheten. För att få behörighet krävs att: 1. Du lämnar en skriftlig ansökan om behörighet till din chef 2. Chefen beslutar om behörighet 3. Systemansvarig lägger in din behörighet till systemet 4. Därefter får du: EN ANVÄNDARIDENTITET ETT LÖSENORD - Din egen hemlighet Initialt lösenord Första gången loggar du in med ett initialt lösenord som du får av behörighetsadministratören. Detta lösenord kan du bara använda för att komma in i systemet och byta det till ditt personliga lösenord. Genom detta säkerställs att det är bara du själv som känner till lösenordet. Lösenordet är strängt personligt och skall hanteras därefter. Du skall därför: inte avslöja ditt lösenord för andra eller låna ut din behörighet skydda lösenordet väl omedelbart byta lösenordet om du misstänker att någon känner till det lösenordet skall bytas var 90:e dag Lösenordet skall bestå av minst 6 tecken och skall konstrueras så att det inte lätt kan kopplas till dig som person. Enkla repetitiva mönster såsom t ex ABC123, AAAAA2 skall undvikas, liksom andra lättforcerade lösenord, såsom eget eller familjemedlems namn eller lösenord av typen QWERTY, dvs enkla tangentkombinationer. Sida 3
För att skapa ett bra lösenord kan du: ta första (andra/tredje/sista) bokstaven i en för dig bekant textsträng, melodi eller boktitel, till exempel HHSFOM från Han hade seglat för om masten.. Du ska dock inte välja textsträngar av karaktären Hans Hanssons halta höna hade hösnuva hela hösten välj en uttalbar, men meningslös sekvens, till exempel BAMROK ovanliga ord ur ordlistan i kombination med en siffra eller annat tecken, till exempel LIT#OTES ovanstående exempel kan också konstrueras genom att blanda stora och små bokstäver, till exempel hhsfom eller lit#otes. Tidigare använda lösenord kan du inte återanvända. När du byter lösenord kontrollerar systemet att du inte använder något av de senaste lösenord som du tidigare använt. Om du glömmer ditt lösenord och försöker att logga in till systemet med ett felaktigt lösenord kommer systemet efter felaktiga försök att låsas. Om detta inträffar vänder du dig till behörighetsadministratören. Du kommer då att få ett nytt initialt lösenord. Du lämnar spår efter dig när du är inloggad och arbetar i systemen. Systemens loggningsfunktion används för att spåra obehöriga intrång. Detta görs för att skydda informationen och för att undvika att oskyldiga misstänks om oegentligheter inträffar. HANTERING AV INFORMATION Verksamhetskritisk information lagras på gemensamma diskutrymmen. Sker lagring av annan icke verksamhetskritisk information på lokala arbetsstationer ansvarar Du själv för att denna blir säkerhetskopierad. Den IT-säkerhetsansvarige rekommenderar att lokal lagring av information inte förekommer. För den information du lagrar lokalt på din hårddisk ansvarar du själv, vilket innebär att: du själv skall ta säkerhetskopior du skall tänka på att disketter och annan datamedia är känsliga för onormal värme, magnetism, damm, rök och tryck och måste hanteras därefter. Du bör i det dagliga arbetet förvara dem i diskettboxar du skall tänka på att andra kan ha otillbörligt intresse av att komma över informationen Sida 4
INTERNET Organisationens lokala nätverk är anslutet till Internet via en brandvägg som reglerar in- och utgående trafik. Loggning sker även av trafiken i brandväggen. Internetanvändandet är ett område där säkerheten påverkas i mycket hög grad av användarnas beteende. Vid användande av Internet gäller följande: spel och fildelningsprogram får inte laddas in i våra system gratisprogram får inte laddas in i våra system utan att de godkänts och genomgått en funktions och virustest av IT-säkerhetsansvarig samt att programmet behövs i det dagliga arbetet. Allmänt gäller att vid nedladdning av filer från Internet krävs att du har gott omdöme och endast hämtar in sådant som är relevant för arbetet och kommer från välrenommerade webplatser. Det är inte tillåtet att via Internet titta/lyssna på material av pornografisk, rasistisk, nazistisk karaktär. Förbudet gäller också material som är diskriminerande (religion, kön, sexuell läggning, nationalitet etc.) eller har anknytning till kriminell verksamhet eller satanism. När du surfar på Internet representerar du organisationen. Agera i enlighet med våra värderingar så att det du förmedlar på nätet inte skadar oss. Du lämnar spår efter dig i form av organisationens IP-adress. Det stora hotet mot vår information är Datavirus som kan sägas vara ett program eller en programsekvens vars uppgift är att kopiera sig själv och tränga in i andra program för att utföra något otillbörligt. I bästa fall är det oskyldiga pip eller hälsningar som ritas på skärmen. I värsta fall raderas datorns hårddisk eller så kopierar viruset sig självt i det oändliga tills hela systemet bryter samman. Datavirus är ofta ytterst smittsamma och smittkällan kan vara svår att identifiera. Gratisprogram, spelprogram och filer som laddas ned från Internet eller till e-post medföljande filer är de vanligaste smittbärarna. Tecken på datavirus i systemet kan vara att: datorn utför operationer/arbete utan att du själv initierat det, t.ex. förändringar sker på skärmen (tecken flyttas, försvinner etc.) datorn uppträder på ett onormalt sätt, t.ex. arbetar mycket långsamt Om du misstänker att systemet innehåller virus skall du avbryta allt arbete i systemet på det ställe där du gjorde upptäckten: se till att ingen använder systemet omedelbart anmäla förhållandet till IT-säkerhetsansvarig omedelbart kontakta din chef om du inte kan nå IT-säkerhetsansvarig skriva ner alla iakttagelser som du misstänker kan ha samband med händelsen inte ladda in säkerhetskopior i datorn Sida 5
E-POST E-post är ett rationellt hjälpmedel i arbetet vilket kan medföra att man skickar I väg information till stora grupper människor som inte alls är intresserade eller behöver den informationen för att kunna utföra sitt arbete. Med tiden sparar man kanske på sig stora mängder meddelanden som ofta innehåller bifogade filer. Tänk därför på att regelbundet radera i din inkorg. Se även Haparanda Stads postrutin vilken behandlar e-post hanteringen ur ett offentlighetsperspektiv. För att undvika problem med ökad risk för virusspridning och onödig belastning av systemresurser: är det inte tillåtet med automatisk vidarekoppling var selektiv med att skicka eller vidarebefordra meddelanden som innehåller stora filer öppna endast bifogade filer från avsändare du litar på tänk på vad du skickar till interna och externa gruppadresser, är information relevant för alla Undvik att vidarebefordra till Alla i postkontoret e-post med texten Varning för!!! eller annan e -post av kedjebrevs karaktär meddelandet kan innehålla virus. Om du misstänker att det kommit in virus via e-postsystemet skall du agera som beskrivits i avsnittet om Internet. INCIDENTER Om du misstänker att någon obehörig använt din användaridentitet och varit inne i systemet: notera tidpunkt då du senast själv var användare i systemet notera tidpunkt då du upptäckte förhållandet anmäl omedelbart till IT-säkerhetsfunktionen eller din chef dokumentera alla iakttagelser i samband med upptäckten samt försök att fastställa om kvaliteten på informationen har påverkats Om du misstänker datavirus kontakta närmaste chef eller IT-säkerhetsfunktionen (se i övrigt avsnitt om internet) Om du misstänker stöld, brand, sabotage etc. kontakta närmaste chef eller IT-säkerhetsfunktionen BÄRBAR PC Bärbara persondatorer som du använder utanför din ordinarie arbetsplats utgör en säkerhetsrisk. Därför bör du: hålla utrustningen och datamedia under ständig uppsikt om du inte kan låsa in den Sida 6
tänka på att du inte får lagra verksamhetskritisk information på den bärbara PC:n förvara en säkerhetskopia av all information på din ordinarie arbetsplats låta installera behörighetskontrollsystem, krypto och viruskontroll ARBETSPLATSEN Om du lämnar arbetsplatsen skall du använda skärmsläckaren med lösen ord alternativt logga av, även om det bara är för en kortare stund. Om du glömmer detta finns risk att information är tillgänglig för obehöriga. Kom ihåg att du ansvarar för allt som registrerats med din användaridentitet. Distansarbetsplatser Särskilda instruktioner gäller för distansarbetsplatser. Programvaror som används inom Haparanda Stad ska vara licensierade, ansvaret för det ligger på respektive verksamhet. Beställningar av nya program ska göras av IT-kontoret. Se även avsnittet om Internet. Utskrifter av dokument på en gemensam skrivare skall hämtas så snart du kan. Tänk på att kvar glömda dokument kan komma i orätta händer. Service på utrustning som innebär att din persondator lämnas bort medför att du måste se till att eventuell känslig information avlägsnas från hårddisken. Om den gått sönder måste du rådgöra med systemadministratören innan den sänds på service eller kasseras. Stöd och hjälp kan du få av din närmaste chef eller av den IT-säkerhetsansvarige. Sida 7