Informationssäkerhet - Instruktion för förvaltning

Informationssäkerhet - Instruktion för förvaltning

Innehållsförteckning 1. INFORMATIONSSÄKERHET...3 2. ORGANISATION OCH ANSVAR INFORMATIONSSÄKERHET...4 2.1 KOMMUNSTYRELSEN... 4 2.2 NÄMND OCH BOLAG... 4 2.3 FÖRVALTNINGSDIREKTÖR VD... 4 2.4 ITUG(IT UTVECKLINGSGRUPP)... 4 2.5 SYSTEMFÖRVALTARE... 4 2.6 IT-CHEF... 4 2.7 IT SÄKERHETSSAMORDNARE... 4 2.8 ANVÄNDARE... 4 3. REGLER OCH RUTINER...5 3.1 ANSVAR FÖR TILLGÅNGAR... 5 3.2 KLASSIFICERING AV INFORMATION... 5 3.3 MODELL FÖR KLASSNING AV INFORMATION... 6 3.4 UNDER ANSTÄLLNINGEN... 7 3.5 SÄKRADE UTRYMMEN... 7 3.6 KONTROLL AV UTOMSTÅENDE TJÄNSTELEVERANTÖR... 7 3.7 HANTERING AV DATAMEDIA... 7 3.8 UTBYTE AV INFORMATION... 8 3.9 ÖVERVAKNING... 8 3.10 STYRNING AV ANVÄNDARES ÅTKOMST... 8 3.11 STYRNING AV ÅTKOMST TILL NÄTVERK... 9 3.12 STYRNING AV ÅTKOMST TILL OPERATIVSYSTEM... 9 3.13 MOBIL DATORANVÄNDNING OCH DISTANSARBETE... 9 3.14 SÄKERHETSKRAV PÅ IT-SYSTEM... 9 3.15 SÄKERHET I UTVECKLINGS- OCH UNDERHÅLLSPROCESSER... 10 3.16 HANTERING AV INFORMATIONSSÄKERHETSINCIDENTER OCH FÖRBÄTTRINGAR... 10 3.17 EFTERLEVNAD AV RÄTTSLIGA KRAV... 10 BILAGA 1 - INFORMATIONSLAGRING PÅ DATAMEDIA...11 BILAGA 2 - FÖRTYDLIGANDE AV VIKTIGA LAGAR OCH FÖRORDNINGAR...12 2

1. Informationssäkerhet Informationssäkerhet är den samlade effekten av de skyddsåtgärder, som tillsammans minskar eller eliminerar hot och risker, som riktar sig mot IT-stödets och informationsresursernas tillgänglighet, riktighet, sekretess och spårbarhet. Arbetet med informationssäkerhet i koncernen Karlstads kommun (kommunen och bolagen) styrs av flera dokument: riktlinjer för informationssäkerhet och instruktioner för Användare, Kontinuitet och drift samt den här instruktionen för Förvaltning. Riktlinjer informationssäkerhet Informationssäkerhetsinstruktion Användare Informationssäkerhetsinstruktion Kontinuitet och drift Informationssäkerhetsinstruktion Förvaltning Riktlinjer informationssäkerhet redovisar ledningens viljeinriktning och mål för informationssäkerhetsarbetet. Detta dokument, Informationssäkerhetsinstruktion Förvaltning, utgår från Riktlinjer informationssäkerhet och syftar till att redovisa: Den interna organisationen för informationssäkerhetsarbetet Omfattningen av det ansvar som vilar på koncernens organisation för informationssäkerhetsarbetet. Hur informationssäkerhetsarbetet ska bedrivas. De generella krav som är aktuella. 3

2. Organisation och ansvar Informationssäkerhet 2.1 Kommunstyrelsen Har det övergripande ansvaret. 2.2 Nämnd och bolag Har ansvar inom respektive verksamhetsområde. 2.3 Förvaltningsdirektör VD Organiserar informationssäkerhetsarbetet inom förvaltning/bolaget samt ansvarar för ledning och kontroll. FD/VD är system- objektsägare och har det övergripande förvaltaransvaret för verksamhetssystem. 2.4 ITUG(IT utvecklingsgrupp) För att uppnå samsyn i IT-frågor finns en IT-utvecklingsgrupp. Gruppen ska, på uppdrag av ledningen, hantera och utreda IT-frågor och förbereda dessa för beslut. IT-chefen leder IT-utvecklingsgruppen. Gruppen består utöver IT-chef av en representant vardera från förvaltningar och bolag i koncernen Karlstads kommun 2.5 Systemförvaltare Har det dagliga ansvaret för systemanvändandet på verksamhetsnivå. 2.6 IT-chef Är övergripande ansvarig för att beslutade åtgärder gällande infrastruktur och skydd av gemensamma resurser genomförs. 2.7 IT säkerhetssamordnare IT-säkerhetssamordnaren leder arbetet med att uppnå uppsätta mål enligt riktlinjer för informationssäkerhet och är ansvarig för att samordna informationssäkerhetsarbetet inom koncernen. 2.8 Användare Ansvarar för att följa kommunens gällande riktlinjer och instruktioner. 4

3. Regler och rutiner 3.1 Ansvar för tillgångar All IT-utrustning ägs av IT-enheten. IT-enheten ansvarar för att all IT-utrustning märks och förtecknas. IT-enheten ansvarar för all överlåtelse och omflyttning av IT-utrustning. Innan flytt av IT-utrustning sker skall IT-enheten meddelas. Publik IT-utrustning bör alltid vara fastlåst. IT-utrustning i övriga utrymmen skall efter behov vara fastlåst. Verksamheten bedömer behovet gällande fastlåsning av utrustningen. 3.2 Klassificering av information Koncernen har en modell för informationsklassning. Modellen följer Krisberedskapsmyndighetens regelverk BITS. IT-systemen i koncernen klassas utifrån den information som hanteras i systemet. Klassningen görs från aspekterna sekretess, tillgänglighet och riktighet. Med detta menas: Sekretess - Tillgänglighet - Riktighet - Information skall skyddas så den inte avsiktligt eller oavsiktligt görs tillgänglig eller avslöjas för obehörig eller kan nyttjas på annat otillåtet sätt. Information skall vara tillgänglig för behörig användare efter identifierat behov både för interna och externa intressenter. Information skall vara skyddad mot oavsiktlig och avsiktlig förvanskning. Tas information ut ur systemet och lagras på andra media, eller används i ett annat sammanhang, måste informationen klassas där den används och hanteras därefter. 5

3.3 Modell för klassning av information För information som lagras i IT-system måste inte bara sekretessaspekten beaktas, utan även kraven på riktigheten i informationen och tillgängligheten till den. Säkerhetsaspekt Sekretess Riktighet Tillgänglighet Kravnivå Mycket hög nivå Hög nivå Basnivå Information som kan medföra mycket allvarliga negativa verksamhet eller för enskild person om den röjs för obehörig Information som kan medföra allvarliga negativa verksamhet eller för enskild person om den röjs för obehörig Information som kan medföra mindre allvarliga negativa verksamhet eller för enskild person om den röjs för obehörig Information som kan medföra mycket allvarliga negativa verksamhet eller för enskild person om den är felaktig Information som kan medföra allvarliga negativa verksamhet eller för enskild person om den är felaktig Information som kan medföra mindre allvarliga negativa verksamhet eller för enskild person om den är felaktig Information som ska vara åtkomlig inom högst 2 timmar för att inte medföra oacceptabla verksamhet eller för enskild person Information som inte behöver vara åtkomlig inom 2 timmar, men inom högst 8 timmar för att inte medföra oacceptabla verksamhet eller för enskild person Information som inte behöver vara åtkomlig inom 8 timmar för att inte medföra oacceptabla verksamhet eller för enskild person Anm: Följande typ av information hanteras utanför klassningsmodellen: o Information som avser rikets säkerhet. Sådan information ska hanteras enligt särskilda bestämmelser. o Information som har extrema krav på sig att vara tillgänglig och där utgångspunkten är att den alltid ska vara det. o Information som inte bedöms ha krav på sig vare sig avseende sekretess, riktighet eller tillgänglighet. De åtgärder som ska vidtas för att uppfylla säkerhetskraven på respektive IT-system framgår av analys enligt BITS Plus. 6

3.4 Under anställningen Alla nyanställda skall vid anställning genomgå en grundläggande introduktion. Varje förvaltning/bolag ansvarar för att egna nyanställda tar del av och genomgår introduktionen. Introduktionen skall innehålla: Informationssäkerhet instruktion för användare Genomgång digitala arbetsplats (DAP) Intranet(solsidan) Lagar och krav Det skall finnas en användarhandledning för alla verksamhetssystem. system- objektsägare ansvarar för att en användarhandledning finns tillgänglig och systemförvaltare ansvarar för framtagandet. Användarhandledning skall vara riktad på målgruppens arbetsuppgifter. 3.5 Säkrade utrymmen IT-enheten beslutar och ansvarar för vem som får tillträde till serverhallar. Utrymmen där känslig information förvaras så som papper, media eller system skall vara låsta och utrustas med kontroll för inpassering. Vid tillträde till utrymmen med känslig information skall alltid besök (städpersonal, konsulter m.fl.) övervakas av besöksmottagare. 3.6 Kontroll av utomstående tjänsteleverantör Systemförvaltare ansvarar för att utomstående leverantörers tjänster följs upp och granskas. Alla utomstående leverantörer skall följa de säkerhetsföreskrifter som gäller inom koncernen Karlstads kommun. Det är systemförvaltarens ansvar att delge leverantör aktuella säkerhetsföreskrifter. Tillträde till system utförs endast på uppdrag av systemförvaltare. 3.7 Hantering av datamedia Datamedia med för verksamheten känslig information skall förvaras i brandsäkra skåp. Datamediat och dess säkerhetskopia skall förvaras på två geografiskt skilda platser. Det är systemförvaltarens ansvar att besluta vilken information som är känslig för verksamheten och därmed vilka datamedia som skall omfattas av reglerna. Systemförvaltare beslutar vilken information, lagrad på datamedia, som ska omfattas av särskilda förvaringsrutiner så att den inte kan läsas av obehöriga. Systemförvaltaren ansvarar för beställning av säkerhetskopior av datamedia. IT-enheten har därefter ansvar för genomförande och förvaring av säkerhetskopiorna enligt systemets övernskommna SLA. Objektsägare bär ansvaret vid avveckling av datamedia som innehåller IT-systemets information. För avveckling av datamedia med sekretessbelagd information skall denna överlämnas till IT-enheten. 7

3.8 Utbyte av information Allt informationsutbyte mellan egna system och system utanför organisationen skall regleras i avtal. Objektsägare ansvarar för att avtal finns och efterlevs. Objektsägare ansvarar vid fysisk transport av känslig information från eget system. Vid tillfällen då reparation av servrar med känslig information är nödvändig skall detta ske på aktuell arbetsplats. Servrar med känslig information får ej transporteras. 3.9 Övervakning Objektsägare ansvarar för att det finns regler gällande logghantering för verksamhetssystem. Reglerna skall minst omfatta: Beslut av objektsägare, i samråd med IT-enheten, om hur ofta samt vem som ansvarar för att loggar skall analyseras. Hur länge loggar skall sparas. Hur loggar skall förvaras. Objektsägare ansvarar för att säkerställa så IT-systemet är konstruerat på ett sådant sätt att de loggar som krävs för uppföljning av användares, systemadministratörers och driftoperatörers åtkomst finns. 3.10 Styrning av användares åtkomst I IT-systemen skall endast behöriga användare förekomma. Systemfövaltaren ansvarar för att tilldelning, uppföljning och uppdatering av behörigheter kontinuerligt övervakas och hanteras enligt regelverket. Förändringar av behörighet tex. höjd/sänkt ny eller uphört skall genomföras senast en vecka efter förändrings uppkomst. Minst en gång per år skall det kontrolleras att endast behöriga användare är registrerade i behörighetssystemet. Närmaste chef ansvarar för att användaren genomgått introduktion utbildning och att via Service Desk beställa behörighet till nätverket. Användare skall innan de tilldelas behörighet i specifikt verksamhetssystem ha tillräckliga kunskaper för att hantera tilldelade arbetsuppgifter. Detta skall säkerställas genom utbildning i specifikt verksamhetssystem. Närmaste chefs ansvar att initiera utbildning via systemförvaltare. Vid förändring av arbetsuppgifter som kräver förändrade behörighet i datasystem skall beställning ske till IT-enheten. 8

3.11 Styrning av åtkomst till nätverk IT-chef ansvarar för att det finns regler för: Anslutning av utrustning till interna och externa nätverk. Anslutning av externa nätverk till koncernens eget nät med ingående säkerhetsfunktioner. IT-chef ansvarar för att dokumentera: Säkerhetsarkitekturer för kommunikationssystem, interna och externa nät. Anvisningar för anslutning av trådlösa nätverk/anslutningar. IT-chef skall gällande brandväggar besluta: Vad som ska loggas. Vem som ansvarar för uppföljning av loggarna. Hur uppföljning skall ske. Hur länge loggarna ska sparas. IT-enheten ansvarar för och administrerar kommunens brandväggar. 3.12 Styrning av åtkomst till operativsystem Systemhjälpmedel som kan förbigå system- och tillämpningsspärrar är ej tillåtna. 3.13 Mobil datoranvändning och distansarbete Objektsägare beslutar om IT-systemets information får bearbetas på distans med stationär eller mobil utrustning. Arbete på distans med stationär och mobil utrustning skall regleras via avtal. 3.14 Säkerhetskrav på IT-system Inför nyanskaffning och val av IT-system skall verksamhetsansvarig, förvaltningschef [VD] ta fram en kravspecifikation där säkerhetsaspekter gällande IT-systemet skall framgå. Förvaltningschef [VD] skall i samråd med ITUG (IT Utvecklings Gruppen) utforma en projektplan för anskaffningen. Utefter projektplanen fattar verksamhetsansvarig, förvaltningschef [VD] beslut om ITsystemet skall anskaffas. Projektplanen skall även innefatta överlämnandet av system till systemförvaltning. Införandet av IT-systemet skall ske i enlighet med koncernens projektmodell. Projektledare för anskaffningsprojektet är ansvarig för överlämnandet av IT-systemet. Överlämnandet skall ske enligt koncernens projektplan. Mottagare av systemet är nya systemets objektsägare. En systemsäkerhetsanalys skall upprättas för varje IT-system som bedöms verksamhetskritisk enligt Klassningsmodellen. Objektsägare ansvarar för att initiera och fastställa en systemsäkerhetsanalys. Objektansvarig verksamhet ansvarar för genomförandet och dokumentation av systemsäkerhetsanalysen. 9

3.15 Säkerhet i utvecklings- och underhållsprocesser Alla programförändringar samt installation av nya programversioner skall godkännas och beslutas av objektsansvarig verksamhet i samråd med objektsansvarig IT. Systemförvaltare ansvarar för att utveckling och förändringar i program dokumenteras. Systemförvaltare ansvarar för att det finns en systemdokumentation för IT-systemet enligt Koncernens systemdokumentationsmall. 3.16 Hantering av informationssäkerhetsincidenter och förbättringar Fel och brister i nätverk eller system skall rapporteras till IT-säkerhetssamordnare. Brister i rutiner, regler eller anvisningar gällande nätverk och system samt avsteg från dessa skall rapporteras till IT-säkerhetssamordnare. IT-säkerhetssamordnare skall sammanställa och rapportera till ledningen: Intrång och intrångsförsök. Brott mot lagstiftning och internt regelverk. Incidenter som orsakar eller skulle kunna orsaka betydande avbrott och störningar. Konsekvenser och förslag till åtgärder efter intrång eller funktionsfel. 3.17 Efterlevnad av rättsliga krav IT-enheten ansvarar för och sköter inventering och licenshantering i enlighet med övernskommna SLA:er. Uppföljning och hantering av licenser gällande verksamhetssystem ansvarar objektsägare för. 10

Bilaga 1 - Informationslagring på Datamedia Med datamedia menas disketter, USB-minnen etc. Dessa medier ska inte ses som slutliga förvaringsformer, såvida de inte avser säkerhetskopiering. Information på datamedia är alltid kopierad och måste hanteras med samma säkerhet som det system som den kommer ifrån. Eftersom informationen är kopierad behöver endast kraven på sekretess beaktas. De krav på sekretess som ställs på ett specifikt IT-system framgår av användarhandledningen för systemet. För information på datamedia gäller följande krav: Krav på sekretess Mycket hög nivå Hög nivå Basnivå Åtgärder Förvaring Endast disketter eller USB-minnen får användas och ska förvaras inlåsta Kopiering Får kopieras endast med godkännande från systemägare för systemet som informationen kommer ifrån Återanvändning Får inte återanvändas Destruktion Lämnas till IT för destruktion Förvaring Endast disketter eller USB-minnen får användas och ej förvaras synligt Kopiering Får kopieras i samråd med systemets förvaltare/administratör Återanvändning Tillåten Destruktion Lämnas till IT för destruktion Förvaring Inga krav Kopiering Tillåten Återanvändning Tillåten Destruktion Krävs ej 11

Bilaga 2 - Förtydligande av viktiga lagar och förordningar Här listas några av de viktigaste lagar som är relevanta i samband med informationssäkerhet. Arkivlag (1990:782) Arkivlag reglerar en myndighets skyldighet att värna om det allmänna kulturarvet genom att vårda allmänna handlingar. Brottsbalk (1962:700) Brott är en gärning vilken är beskriven i Brottsbalken där tillhörande straff (påföljd) kan utläsas. I Brottsbalken finns ett flertal brott/gärningar beskrivna där påföljden kan bestå av böter och fängelse samt villkorlig dom, skyddstillsyn och överlämnande till särskild vård. Påföljd kan även innebära att betala skadestånd. Exempel på brott är: stöld, rån, bedrägeri, förskingring, förfalskningsbrott med mera. Den som begår ett brott innan han har fyllt femton år får inte dömas till påföljd enligt Brottsbalken. Förvaltningslag (SFS 1986:223) Föreskrifter om myndigheters tillgänglighet och serviceskyldigheter gentemot allmänheten. Varje myndighet ska lämna upplysningar, vägledning, råd och annan hjälp till medborgare om frågor som rör myndigheternas verksamhetsområde. Lag om kvalificerade elektroniska signaturer (2000:832) Syftet med denna lag är att underlätta användningen av elektroniska signaturer, genom bestämmelser om säkra anordningar för signaturframställning, om kvalificerade certifikat för elektroniska signaturer och om utfärdande av sådana certifikat. Lagen gäller sådana certifikatutfärdare som är etablerade i Sverige och som utfärdar kvalificerade certifikat till allmänheten. Lag om skydd mot företagshemligheter (1990:409) Med företagshemlighet avses i denna lag sådan information om affärs- eller driftförhållanden i en näringsidkares rörelse som näringsidkaren håller hemlig och vars röjande är ägnat att medföra skada för honom i konkurrenshänseende. Med information menas sådana uppgifter som har dokumenterats i någon form, inbegripet ritningar, modeller och andra liknande tekniska förebilder, och enskilda personers kännedom om ett visst förhållande, även om det inte har dokumenterats på något särskilt sätt. Lagen gäller endast obehöriga angrepp på företagshemligheter. Det anses inte vara ett obehörigt angrepp då någon anskaffar, utnyttjar eller röjer en företagshemlighet hos en näringsidkare för att offentliggöra eller inför en myndighet eller annat behörigt organ avslöja något som skäligen kan misstänkas utgöra brott. 12

Personuppgiftslag, PUL (1998:204) Syftet med denna lag är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Med behandling menas allt man gör med personuppgifter, vare sig det sker med en datorns hjälp eller inte. Exempel på behandling av personuppgifter är: insamling, registrering, lagring, bearbetning, spridning med mera. Lagen gäller för behandling av personuppgifter i hela samhället, för verksamheter som bedrivs av såväl myndigheter som av enskilda. All slags information som direkt eller indirekt kan knytas till en fysisk person som är i livet räknas enligt personuppgiftslagen som personuppgifter. Även bilder (foton) på individer som behandlas i dator kan alltså vara personuppgifter. Lagen bygger i hög grad på samtycke och information till de registrerade. Sekretesslag (1980:100) Enligt sekretesslagen gäller sekretess för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Bestämmelsen är tillämplig på alla utlämnanden av personuppgifter från en myndighet. Det prövas inte om själva utlämnandet står i strid med personuppgiftslagen utan om sökandens behandling av personuppgifter efter utlämnandet skulle stå i strid med personuppgiftslagen. Socialtjänstlag (SFS 1980:620; 1990:789) Samhällets socialtjänst skall på demokratins och solidaritetens grund främja människornas ekonomiska och sociala trygghet, jämlikhet i levnadsvillkor och aktiva deltagande i samhällslivet. Socialtjänsten skall under hänsynstagande till människans ansvar för sin och andras sociala situation inriktas på att frigöra och utveckla enskildas och gruppers egna resurser. Verksamheten skall bygga på respekt för människornas självbestämmanderätt och integritet. När åtgärder rör barn skall särskilt beaktas vad hänsynen till barnets bästa kräver. Varje kommun svarar för socialtjänsten inom sitt område. Säkerhetsskyddslag (1996:627) Säkerhetsskyddslagen omfattar regler om myndigheters säkerhetsarbete. Lagen innefattar bl.a. säkerhetsprövning och registerkontroll. I verksamhet där lagen gäller skall säkerhetsskydd finnas, nivån på säkerhetsskyddet skall utformas med hänsyn tagen till verksamhetens art, omfattning och övriga omständigheter. Säkerhetsskyddet skall utformas med beaktande av enskildas rätt att enligt tryckfrihetsförordningen ta del av allmänna handlingar. Med säkerhetsskydd avses: Skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet. Skydd i andra fall av uppgifter som omfattas av sekretess enligt sekretesslagen och som rör rikets säkerhet. Skydd mot terroristbrott enligt även om brotten inte hotar rikets säkerhet. 13

Tryckfrihetsförordningen (SFS 1982:941) I förordningens kapitel 1 fastslås att alla medborgare har rätt att ta del av allmänna handlingar. Här finns bestämmelser om vilka handlingar som ska anses allmänna och hur dessa ska tillhandahållas allmänheten. Här finns också bestämmelser om vilka begränsningar som får göras i handlingsoffentligheten. 14