1(3) Handläggare Lars H Ericsson TJÄNSTEUTLÅTANDE 2014-01-13 Trafiknämnden 2014-02-11, punkt 12 TN 2014-0014 Förslag till ny informationssäkerhetspolicy för trafikförvaltningen inklusive ingående verksamheter Ärendebeskrivning Nuvarande informationssäkerhetspolicy för trafikförvaltningen (tidigare SL) är 10 år gammal. Landstingsfullmäktige har 2013-03-19 fastställt ny övergripande policy för informationssäkerhet inom SLL. I denna föreskrivs att lokala styrdokument ska tas fram och fastställas inom respektive verksamhetsdel. Samtliga nämnder, styrelser och bolag, däribland trafiknämnden, ska utifrån den övergripande policyn ta fram och fastställa en lokalt anpassad policy för informationssäkerhet för sina ingående verksamheter. I trafiknämndens fall trafikförvaltningens verksamhet inklusive AB Storstockholms lokaltrafik, Waxholms Ångfartygsaktiebolag och Färdtjänsten. Beslutsunderlag Förvaltningschefens tjänsteutlåtande den 13 januari 2014. Förslag till Informationssäkerhetspolicy för trafikförvaltningen i Stockholms läns landsting inklusive ingående verksamheter,. Förslag till beslut Trafiknämnden föreslås besluta att anta förslag till Informationssäkerhetspolicy för trafikförvaltningen i Stockholms läns landsting inklusive ingående verksamheter,. Förvaltningens förslag och motivering Sammanfattning Ärendet gäller ny policy för informationssäkerhet för trafikförvaltningen i Stockholms läns landsting inklusive ingående verksamheter. Policyn omfattar även dem som arbetar som uppdragstagare/konsulter inom trafikförvaltningen inklusive ingående de verksamheterna. Trafiknämnden föreslås nu godkänna den nya informationssäkerhetspolicyn.
2(3) TJÄNSTEUTLÅTANDE 2014-01-13 TN 2014-0014 Bakgrund Arbetet med att utarbeta föreliggande nya policy för informationssäkerhet har under ledning av säkerhetsdirektören bedrivits inom trafikförvaltningen avdelning Strategisk utveckling. Styrdokumentet följer SLL:s struktur för styrande dokument, där policyn utgör huvuddokument. Policyn bygger på SLL:s övergripande informationssäkerhetspolicy, men har rensats på delar som inte är relevanta för trafikförvaltningen Informationssäkerhetspolicyn beskriver trafiknämndens mål och syn på informationssäkerhet samt de övergripande principer som gäller för informationssäkerheten i verksamheten. Policyn ska bidra till ett professionellt förhållningssätt där informationssäkerhetsaspekter skall vägas in i alla beslut. Målet för informationssäkerhetsarbetet är att hantera information på ett korrekt sätt och att skydda känslig information i verksamheten. Skyddet ska vara anpassat till informationens skyddsvärde, risker samt lagkrav och därigenom möjliggöra för verksamheten att uppnå sina mål. Ett väl fungerande informationssäkerhetsarbete innebär att informationstillgångar finns tillgängliga när de behövs (tillgänglighet), att de är korrekta (riktighet), att obehöriga inte kan få tillgång till informationstillgångar som är klassade med förhöjda säkerhetskrav. Synpunkter på förslaget till ny policy har inhämtats från verksamheten genom ett remissförfarande. Konsekvenser av beslutet Trafikförvaltningen i Stockholm läns landsting liksom alla verksamheter under Trafikförvaltningen (AB Storstockholms lokaltrafik, Waxholms Ångfartygsaktiebolag och Färdtjänsten) skall vidta föreskrivna skyddsåtgärder för att uppnå och vidmakthålla eftersträvad nivå på informationssäkerheten. Genom införandet av en ny informationssäkerhetspolicy stärks informationssäkerhetsarbetet samt ges bättre förutsättningar för att kunna realisera en god informationssäkerhet i alla verksamhetsdelar. Miljökonsekvenser av beslutet I enlighet med landstingets miljöpolitiska program Miljösteg 5 har hänsyn till miljön beaktats och bedömningen är att det inte är relevant med en miljökonsekvensbeskrivning i detta ärende.
3(3) TJÄNSTEUTLÅTANDE 2014-01-13 TN 2014-0014 Ekonomiska konsekvenser av beslutet Införandet av den nya informationssäkerhetspolicyn medför inga tillkommande kostnader. Anders Lindström Förvaltningschef Lars H Ericsson sdirektör
1(7) Upprättad av: Torsten Regenholz Version 0.3 Gäller fr o m 2014-xx-xx Tom T.v. Granskad av: Lars H Ericsson Fastställd av: Trafiknämnden Förslag till Informationssäkerhetspolicy för trafikförvaltningen i Stockholms läns landsting inklusive ingående verksamheter Läsanvisning: Kursiv text överensstämmer med SLL övergripande informationssäkerhetspolicy och är således redan bindande för TF.
2(7) Beslutad av trafiknämnden 2014-02-xx Innehållsförteckning Hittade inga poster för innehållsförteckning. 1 Inledning Verksamheten inom trafikförvaltningen i Stockholms läns landsting är grundad på principer om öppenhet, personlig integritet och respekt för individen. Medborgarna ska kunna få insyn i trafikförvaltningens verksamhet. De ska kunna förlita sig på den information som trafikförvaltningen lämnar och vara förvissade om att information som samlas in får ett tillräckligt skydd. Information är en av trafikförvaltningens mest strategiska resurser, hela verksamheten är beroende av tillförlitlig information. Avbrott i tillgången till information kan vara kritiskt och felaktig information kan ge allvarliga konsekvenser inom kollektivtrafiken och trafikförvaltningens övriga ansvarsområden. Hantering av information genom IT-system ger i många avseenden stor effektivitet i verksamheten. Samtidigt innebär beroendet av informationssystem att sårbarheten och riskexponeringen ökar om inte säkerhetsaspekterna beaktas, därför ska trafikförvaltningen arbeta aktivt med informationssäkerhet. Det innebär att se till att informationstillgångar finns tillgängliga när de behövs, att de är korrekta och att obehöriga inte får åtkomst till dem. Genom att arbeta systematiskt och långsiktigt upprätthåller vi ett tillräckligt skydd som är anpassat efter trafikförvaltningens verksamhet, förutsättningar och behov. Informationssäkerhetsarbetet syftar till att stödja och säkerställa intern styrning och kontroll samt riskhantering inom trafikförvaltningens verksamhetsområde. Alla medarbetare ska delta i detta arbete. Informationssäkerhetsarbetet är en viktig del i trafikförvaltningens övergripande arbete med styrning och kontroll samt riskhantering. Denna policy är baserad på Stockholms läns landstings övergripande informationssäkerhetspolicy (LS 112-1733) beslutad av landstingsfullmäktige 2013-03-19, och beskriver de principer som ska gälla för informationssäkerhet i trafikförvaltningens verksamhet inklusive AB Storstockholms lokaltrafik, Waxholms Ångfartygsaktiebolag och Färdtjänsten.
3(7) 2 Mål Målet för trafikförvaltningens informationssäkerhetsarbete är att skydda informationen i verksamheten. Skyddet ska vara anpassat till skyddsvärde, risk och lagkrav och därigenom möjliggöra för trafikförvaltningens verksamhet att uppnå sina verksamhetsmål. En god informationssäkerhet främjar verksamheternas funktionalitet, kvalitet och effektivitet, resenärers rättigheter och personliga integritet samt trafikförvaltningens förmåga att förebygga och hantera störningar och kriser samt förtroendet för trafikförvaltningens informationssystem och IT-system. Trafikförvaltningen är navet för kollektivtrafiken i Stockholms län och sörjer dagligen för cirka 2,7 miljoner resor i trafiksystemet. Trafikförvaltningen hanterar vidare årligen över sex miljarder kronor i biljettintäkter och totalt, inklusive investeringar, i storleksordningen 20 miljarder kronor årligen. Brister i informationshantering kan dels orsaka omfattande ekonomisk skada, dels äventyra säkerheten och utsätta verksamheten och dess kunder för risker i form av allvarliga driftstörningar, olyckor, sabotage och liknande. Som beställare av kollektivtrafik behöver trafikförvaltningen ha god ordning på information om sina tillgångar i form av fordon, banor, fastigheter, avtal och IT-system. Trafikförvaltningen riskerar att fatta felaktiga beslut om inte informationssystemen korrekt speglar verkligheten. 3 Omfattning Med informationssäkerhet menas skyddet av all vår verksamhetsinformation, oberoende av om den är skriven på papper, är i elektronisk form eller ingår i trafikförvaltningens verksamhetssystem (IT-system) för kontorssystem eller kund- och trafikpåverkande system. Denna informationssäkerhetspolicy gäller för hantering av information, i alla dess former, i trafikförvaltningens verksamhet inklusive AB Storstockholms lokaltrafik, Waxholms Ångfartygsaktiebolag och Färdtjänsten och omfattar samtliga anställda inom trafikförvaltningen samt personer och parter som arbetar på uppdrag av trafikförvaltningen. Det sistnämnda regleras genom avtal och vid behov genom särskild sekretessförbindelse. Informationssäkerhetsarbetet styrs med hjälp av trafikförvaltningens ledningssystem för informationssäkerhet som är framtaget dels med stöd av standarden för informationssäkerhet, ISO/IEC 27000 och dels utifrån organisationens verksamhetskrav och gällande lagar och föreskrifter. Ledningssystemet är byggt för att ge struktur för ledning och styrning av informationssäkerheten på verksamhetsnivå. En viktig del av ledningssystemet är regelverket. Det består av styrande dokument som på övergripande nivå utgörs av denna policy och tillhörande riktlinjer och tillämpningsanvisningar. Allt informationssäkerhetsarbete skall utgå
4(7) från dessa styrande dokument. De styrande dokumenten inom trafikförvaltningen skall utformas utifrån SLL:s övergripande styrande dokument för informationssäkerhet. Utöver detta krävs att trafikförvaltningen i tillämpliga delar lever upp till gällande lagar och förordningar samt till landstingets övriga styrande dokument. 4 Innebörd Informationssäkerhetsarbetet innebär att värdera all information efter dess känslighet och att med hjälp av administrativa och tekniska skyddsåtgärder säkerställa att den finns tillgänglig när den behövs, att den är korrekt och att obehöriga inte kan få tillgång till den. Utöver dessa säkerhetsaspekter måste behov av spårbarhet uppfyllas d.v.s. att i efterhand kunna avgöra vem som tagit del av informationen, vilka förändringar som skett och av vem dessa utförts. Kravet på spårbarhet när det gäller vem som tagit del av/efterfrågat information begränsas dock av reglerna i tryckfrihetsförordningen, enligt vilka allmänheten har rätt att ta del av allmänna handlingar, om detta inte begränsas av reglerna i offentlighetsoch sekretesslagen, utan att behöva uppge vem man är eller varför man vill ha informationen. Befattningshavare inom trafikförvaltningen får inte ens fråga efter namn på den som efterfrågar en handling eller skäl till att handling efterfrågas. 4.1 saspekter Konfidentialitet (rätt person): Riktighet (rätt information): Tillgänglighet (rätt tid och plats): Spårbarhet Information får inte göras tillgänglig eller avslöjas på ett sådant sätt att den personliga integriteten eller sekretessen hotas. Informationen få inte förändras eller gå förlorad av misstag, genom inverkan av obehörig eller på grund av tekniskt fel. Informationen ska kunna användas i förväntad utsträckning, inom önskad tid och på rätt plats. Händelser i informationsbehandlingen ska kunna spåras när så föreskrivs för viss information. Skyddet av informationstillgångar och informationssystem ska vara utformat så att verksamhetens krav på dessa säkerhetsaspekter uppfylls. Detta gäller även när trafikförvaltningens information eller informationssystem hanteras av extern part. 4.2 Skyddsåtgärder För att hitta relevant skyddsnivå utifrån dessa fyra aspekter ska trafikförvaltningen arbeta utifrån nedanstående principer:
5(7) 5 Ansvar All information ska informationssäkerhetsklassas. Handlingar och dokument ska märkas med beslutad informationssäkerhetsklass. All information ska ha en ägare. Informationsägaren ansvarar för att säkerhetsklassa informationen och ställa de säkerhetskrav som krävs för informationens skyddsbehov. Alla informationssystem ska ha en systemägare som ansvarar för att säkerhetskraven på systemet uppfylls. Omvärlden förändras. Därför ska vi, utifrån återkommande risk- och sårbarhetsanalyser och analyser av inträffade incidenter, vidta nödvändiga åtgärder för att se till att vår information har rätt skydd. Informationssäkerhetskrav ska alltid ställas i upphandlingar, utveckling, användning och avveckling av informationssystem. De krav som ställts ska följas upp. Kontinuitetsplanering och beredskap för avbrott ska finnas. Kritiska verksamheter ska kunna upprätthållas på fastställd nivå vid olika typer av katastrofsituationer, störningar och avbrott. Alla anställda ska veta vad det egna ansvaret omfattar och ha god kunskap om vilka säkerhetsregler som gäller. Detsamma gäller när tillfällig eller extern personal anlitas. Det är viktigt att alla har ett högt säkerhetsmedvetande och kritiskt uppmärksammar och ifrågasätter händelser som kan påverka informationssäkerheten. Skyddsåtgärder skall vara kostnadseffektiva och stå i proportion till värdet av informationen och de negativa konsekvenser en otillräcklig säkerhet kan medföra. Kontinuerlig uppföljning ska ske mot fastställda regler. Ansvaret för informationssäkerheten är kopplat till det delegerade verksamhetsansvaret från trafiknämnden till trafikförvaltningens chef och vidare ut inom trafikförvaltningens organisation enligt gällande arbetsordning och andra instruktioner. Trafiknämnden fastställer den informationssäkerhetspolicy som ska gälla för trafikförvaltningen. Trafiknämnden ansvarar för att trafikförvaltningens informationssäkerhetspolicy och riktlinjer för informationssäkerhet utarbetas och hålls aktuella. Det åligger trafiknämnden att årligen planlägga och löpande följa upp informationssäkerheten och i övrigt vidta de åtgärder som krävs för att uppnå och upprätthålla tillräcklig intern kontroll inom hela ansvarsområdet. Förvaltningschefen för trafikförvaltningen har trafiknämndens uppdrag att sörja för att informationssäkerhetsarbetet bedrivs så effektivt som möjligt.
6(7) Förvaltningschefen ansvarar för att övergripande tillämpningsanvisningar utarbetas, fastställs och hålls aktuella i enlighet med denna policy och tillhörande riktlinjer. Förvaltningschefen ska säkerställa att all informationshantering inom trafikförvaltningens ansvarsområde sker i enlighet med denna policy samt tillhörande riktlinjer och tillämpningsanvisningar för informationssäkerhet. sdirektören vid trafikförvaltningen verkställer samordningen av informationssäkerhetsarbetet inom trafikförvaltningen samt förvaltning av denna policy, tillhörande riktlinjer och tillämpningsanvisningar samt övergripande handlingsplan för informationssäkerhet. sdirektören är tillika säkerhetsskyddschef enligt säkerhetsskyddsförordningen (SFS 1996:633) och utövar kontroll över säkerhetsskyddet. Informationssäkerhetsansvarig tillika biträdande säkerhetsskyddschef ska utses inom trafikförvaltningen och ges i ansvar att samordna och följa upp det för organisationen och verksamheten gemensamma informationssäkerhetsarbetet. Informationssäkerhetsansvarig ansvarar på uppdrag av säkerhetsdirektören även för den praktiska samordningen av informationssäkerhetsarbetet i verksamheten och ska årligen ta fram en övergripande handlingsplan för informationssäkerhetsarbetet som fastställs av förvaltningschefen. Informationssäkerhetsrådet som leds av säkerhetsdirektören har till uppgift att främja, stödja, samordna och följa upp trafikförvaltningens informationssäkerhet samt informationssäkerhetsarbetet på en övergripande nivå. I rådet ska verksamhetsansvariga representanter från trafikförvaltningens olika verksamhetsdelar delta. Rådet skall sammanträda en gång per kvartal och deltagarna ska underteckna en sekretesserinran. Inhyrd konsult, annan uppdragstagare eller annan utomstående som deltar på rådets möten ska istället underteckna en särskild sekretessförbindelse. Internrevisonens uppgift är att granska och ge förbättringsförslag avseende organisationens process för intern styrning och kontroll, vilket även innefattar området informationssäkerhet. Varje anställd, inhyrd konsult eller annan uppdragstagare ansvarar för att uppställda säkerhetsregler följs samt att störningar och fel i informationssystem, utrustningar och informationsinnehåll rapporteras enligt fastställda rutiner. 6 Uppföljning och revidering Uppföljning och revidering av denna policy ska ske regelbundet. I samband med revidering ska även tillhörande riktlinjer och anvisningar samt handlingsplanen för informationssäkerhet revideras på motsvarande sätt.