IT-säkerhetspolicy
IT-säkerhetspolicy Finspångs kommun 612 80 Finspång Telefon 0122-85 000 Fax 0122-850 33 E-post: kommun@finspang.se Webbplats: www.finspang.se
Innehåll Sammanfattning 1 IT-säkerhetspolicy 2 IT-Guiden 2 IT-säkerhetsinstruktion förvaltning 2 IT-säkerhetsinstruktion drift 3 Kontinuitetsplan för IT-funktionen 3 Kontinuitetsplan för IT-service 3 Mål för IT-säkerhetsarbetet 4 Långsiktiga mål 4 Årliga mål 4 Roller och ansvar 5 Informationschefen 5 IT-funktionen 5 Arena IT 5 IT-strateg 5 Systemägare 6 IT-samordnare 6 Systemförvaltare 7 Verksamhetschefer 7 Driftsansvarig Finet IT-service 8 Användare 9 Organisation 10 Övergripande organisation 10 Övergripande ansvar 10 Systemplanering 11 Systemförvaltning 11 Referensgruppsmöten 12 Beslutsnivåer 13 Revidering och uppföljning 14 I
Sammanfattning IT-säkerhet är en del i kommunens lednings- och kvalitetsprocess som skall bidra till att ett IT-system kan användas på avsett sätt, i avsedda förhållanden och med avsedd funktionalitet. MSB:s (Myndigheten för samhällsskydd och beredskap) skall gälla som ramverk för IT-säkerhetsarbetet. Styrdokument för IT-säkerhet Strategisk plan IT/E-strategi IT-säkerhetspolicy IT-guiden IT-säkerhetsinstruktion Drift IT-säkerhetsinstruktion Förvaltning Kontinuitetsplan Handlingsplan IT Krisberedskapsplan Kontinuitets-plan IT-funktionen Kontinuitetsplan IT-service 1
IT-säkerhetspolicy IT-säkerhetspolicyn redovisar kommunens inriktning och mål för ITsäkerhetsarbetet och ska klarlägga: mål för IT-säkerhetsarbetet organisation och roller för IT-säkerhetsarbetet krav på riktlinjer för områden av särskild betydelse Policyn konkretiseras i följande dokument: IT-Guiden IT-säkerhetsinstruktion förvaltning IT-säkerhetsinstruktion drift Kontinuitetsplan för IT-funktionen Kontinuitetsplan för IT-service IT-Guiden IT-Guiden omfattar informationsklassning, distansarbete, ITincidenthantering, säkerhetskopiering, informationslagring, kommunikation och användning av internet och syftar till att ge användaren kunskaper och riktlinjer om hur man på ett säkert sätt skall använda IT i sitt arbete. Dokumentet riktar sig till: Alla anställda och förtroendevalda hos Finspångs kommunkoncern IT-säkerhetsinstruktion förvaltning IT-säkerhetsinstruktion förvaltning omfattar områdena behörighetsadministration, behörighetskontroll, loggning och sårbarhet, distansarbete, drift- och förvaltning, tillträdesskydd, säkerhetskopiering, lagring, avveckling av datamedia och datakommunikation. Instruktionen redovisar: ansvar som ingår i de olika förvaltningsrollerna regler som gäller för systemförvaltning Dokumentet riktar sig till: Systemägare Systemförvaltare 2
IT-säkerhetsinstruktion drift IT-säkerhetsinstruktion drift omfattar områdena system- och driftdokumentationer, förvaring av datamedia, bemanning, tillträdes- och brandskydd, elförsörjning, regler för säkerhetskopiering, förvaring av datamedia. Instruktionen redovisar: ansvar för drift av IT-systemen rutiner för systemutveckling, systemunderhåll och incidenthantering rutiner för säkerhetskopiering, lagring, driftadministration och kontinuitetsplanering. Dokumentet riktar sig till: Personal hos Finet IT-service och Finet Stadsnät Kontinuitetsplan för IT-funktionen Kontinuitetshantering är en process som ska säkerställa leveransen av ITtjänster till kritiska verksamhetsprocesser vid allvarliga händelser. Kontinuitetsplanen för IT-funktionen beskriver denna process och rangordnar kommunens IT-tjänster efter hur kritiska de är för verksamheten. Detta dokument beskriver rutinerna för kommunens IT-funktion vid avbrott eller annan kritisk händelse. Kontinuitetsplan för IT-service Kontinuitetshantering är en process som ska säkerställa leveransen av ITtjänster till kritiska verksamhetsprocesser vid allvarliga händelser. Detta dokument beskriver rutinerna för kommunens IT-service vid avbrott eller annan kritisk händelse. Kontinuitetsplanen för IT-service beskriver hanteringen av risker inom kommunikation och elförsörjning för IT-tjänster. 3
Mål för IT-säkerhetsarbetet Långsiktiga mål För Finspångs kommuns IT-säkerhetsarbete skall gälla att: det stöder kommunens samlade utvecklings- och förbättringsarbete krishanteringsförmågan säkerställs det förebygger oväntade händelser som kan leda till negativa konsekvenser i IT-systemen det säkrar en effektiv informationsförsörjning som bidrar till ökat skydd och stöd för medarbetare, samverkande partners och tredje man alla investeringar både i form av information (data) och teknisk utrustning skyddas informationen ses som en tillgång och skyddas i paritet med dess värde all personal ges kunskap om gällande IT-säkerhetsregler det finns tillgång till en gemensam, säker och väl definierad infrastruktur för extern och intern datakommunikation hotbilden för varje enskilt samhällsviktigt IT-system analyseras fortlöpande. De långsiktiga målen skall säkerställa att Finspångs kommun kan tillhandahålla relevant information som: endast delges behöriga personer och kan levereras vid rätt tidpunkt och till skäliga kostnader är riktig, komplett och aktuell efterfrågas och som organisationen har ett ansvar att tillhandahålla Årliga mål IT-säkerhetsarbetet skall bedrivas som en integrerad del av Finspångs kommuns löpande verksamhet. Årliga mål för arbetet skall därför beslutas och framgå av verksamhetsplaneringen. För de årliga målen anges: vad skall göras under året tidplan (när och hur, sluttidpunkt) resurser för arbetet, både personella och ekonomiska när och hur uppföljning, utvärdering och avrapportering skall ske när och hur Finspångs kommuns medarbetare skall informeras och utbildas. 4
Roller och ansvar Informationschefen Informationschefen har det övergripande ansvaret för Finspångs kommuns IT-verksamhet inklusive IT-säkerhet. IT-funktionen IT-funktionen ansvarar för att förvalta kommunens IT-strategi. Denna fastslås av kommunstyrelsen. IT-funktionen utvärderar och samordnar kommunkoncernens övergripande IT-behov samt är ett stöd vid införandet av nya IT-stöd. IT-funktionen beslutar om standarden för kommunkoncernens generella programvaror. IT-funktionen utgör ett stöd för sektorer och bolag. IT-funktionen samordnar utveckling och förändring av IT-stöd. IT-funktionen utför kvalitetssäkring av IT-projekt och initierar kommunkoncerngemensamma projekt. IT-funktionen ansvarar för att beställa och kvalitetssäkra de tjänster som krävs för realisering av driften av kommunens IT-system. Arena IT Med utgångspunkt i den årliga verksamhetsplaneringen definierar Arena IT verksamheternas behov av IT-stöd kommande verksamhetsår inom områdena: nyanskaffning och införande av IT-system systemintegration systemförvaltning systemavveckling Planeringen resulterar i en IT-plan. Arena IT följer även upp att ITsäkerhetspolicy och underliggande dokument efterlevs. IT-funktionen dokumenterar alla pågående och kommande IT-projekt i en projektkatalog. IT-strateg IT-strateg finns centralt på kommunens IT-funktion och är även informationssäkerhetssamordnare. IT-strateg ansvarar för IT-säkerhetspolicyn ansvarar för kontinuitetsplanen följer upp att IT-säkerhetspolicy och IT-säkerhetsinstruktionerna revideras och hålls aktuella är rådgivande i IT-säkerhetsfrågor 5
sammanställer och rapporterar IT-säkerhetsincidenter följer upp hur IT-säkerhetspolicyn efterlevs och delta i ITsäkerhetsrevisioner ansvarar för utbildning i IT-säkerhetsfrågor Systemägare Sektors- eller bolagschefen är systemägare. De kan utse annan person som systemägare. Om systemägarskapet delegerats skall detta även omfatta erforderliga befogenheter inklusive ekonomiska resurser. Systemägaren har det övergripande ansvaret för att IT-systemet förvaltas på bästa sätt för verksamheten. Systemägaren har ansvar för att: identifiera om systemet är samhällsviktigt initiera och föreslå den egna verksamhetens behov av IT-stöd inför den årliga verksamhetsplaneringen löpande följa upp att systemet stödjer verksamheten delta i och stödja IT-säkerhetsarbetet en kontinuitetsplan upprättas det finns en bemannad organisation och budget för systemet säkerställa att det finns budget för kompetensutveckling det finns rutiner och policys för systemet i enlighet med kommunens riktlinjer säkerställa att systemet fungerar ihop med samverkande IT-system i samråd med IT-funktionen licenser och tillstånd finns godkänna IT-systemet för driftsättning. IT-samordnare Systemkoordinator finns centralt på IT-funktionen. Systemkoordinatorn ansvarar för systemsambandskarta ansvarar för systemförteckning koordinerar systemförvaltarna stödjer systemägare och systemförvaltare för respektive system vid: upprättande av systemsäkerhetsplan upprättande av IT-säkerhetsinstruktioner upprättande av kontinuitetsplanering för systemet säkerhetsgranskning inför driftgodkännande utbildning i IT-säkerhetsfrågor 6
Systemförvaltare Systemförvaltaren utses av systemägaren. Systemförvaltaren ska finnas ute i verksamheten. Systemförvaltaren har ansvar för att: sammankallar till förvaltningsmöten hålla sig informerad om utvecklingen av systemet och påtala behov av förändringar till systemägaren administrera användare och behörigheter ansvara för användarsupport beträffande verksamhetsrelaterade frågor i systemet ansvarar för utbildning av systemets användare delta i och stödja IT-säkerhetsarbetet bevaka att systemet hålls uppdaterat med buggfixar och säkerhetsuppdateringar medverka i planering av produktionssättning inför nya releaser och versioner medverka i tester vid uppdateringar och felrättningar ansvara för att rutiner för systemet upprättas och är kända sammankalla till och leda referensgruppsmöten följa upp felanmälningar mot driftsleverantör och applikationsleverantör uttag av rapporter och statistik sammanställa och följa upp incidenter i systemet följa upp fel och störningar i systemet Verksamhetschefer Kommunens verksamhetschefer ansvarar för att säkerställa en säker och rationell drift genom ett korrekt användande. Verksamhetschefen ansvarar för informationen i de IT-system som används i verksamheten och för att denna information hanteras på ett säkert sätt. I detta ingår att delta i och stödja IT-säkerhetsarbetet att ansvara för hur, av vem och vilken information som skall registreras (registeransvarig) att ansvara för vilka uppgifter som skall tillhandahållas enligt offentlighetsprincipen och hur detta skall ske att besluta om och beställa enskilda användares behörighet till ITsystemet att anmäla till systemförvaltaren när personal slutar eller av annat skäl skall ha ändrade behörigheter 7
att besluta vilka delar av informationen som är sekretessbelagda Driftsansvarig Finet IT-service Finet IT-Service har det övergripande ansvaret för att den tekniska driften av ett system fungerar. Finet samverkar med kommunen vad avser drift och resurstilldelning för ett IT-system och ansvarar för avtal med kommunen och leverantörer. Finet ansvarar för regelbunden uppföljning av avtalad måluppfyllnad. En utsedd representant från Finet är systemägare inom området infrastruktur för IT-drift. Kommunen representeras i första hand av IT-funktionen gällande IT-drift. Finet har ansvar för att: systemsäkerhetsplan för infrastruktur för IT-drift upprättas och hålls aktuell kontinuitetsplan för IT-drift är aktuell delta i och stödja IT-säkerhetsarbetet utformning av förslag på den strategiskt långsiktiga och övergripande IT-utvecklingen inom infrastruktur och IT-drift kommunens krav enligt systemsäkerhetsplaner omsätts i den tekniska infrastrukturen testmiljö finns tillgänglig vid behov teknisk IT-infrastruktur hålls uppdaterad med buggfixar och säkerhetsuppdateringar säkerhetskopierat material förvaras på ett betryggande sätt och att det regelbundet kontrolleras att återläsningsrutiner fungerar reservrutiner, serviceavtal mm finns så att systemägarnas krav på längsta tillåtna avbrottstid kan tillgodoses tillhandahålla teknisk support för användare (kundtjänst) vara teknisk rådgivare till kommunen då förändringar i systemen är aktuella att arbetsstationer, nätverk och gemensamma resurser har tillräcklig kapacitet och funktion för beställd tjänst den tekniska infrastrukturens IT-säkerhet motsvarar kommunens krav IT-systemen håller den tekniska och funktionella kvalitet som överenskommits med kommunen IT-säkerhetsinstruktion för drift är aktuell meddela kommunen snarast om driftstörningar meddela kommunen om eventuella säkerhetsbrister. 8
Användare Användarna ska följa gällande regler och riktlinjer för IT-säkerhet. I detta ingår att noga ta del av och följa de säkerhetsregler som finns för de ITsystem som den enskilde använder. 9
IT- S Ä K E R H E T S P O L I CY Organisation Organisation, roller och fördelning av ansvar skall säkerställa att ett ITsystem kan administreras och hanteras på ett sådant sätt att det under hela sin livstid bidrar till att stödja avsedd verksamhet och uppfylla ITsäkerhetspolicyns mål. Övergripande organisation Ansvaret för informationssäkerheten skall följa linjeorganisationen för varje enskilt IT-system. Verksamhetschefer är i regel systemägare för de ITsystem som stödjer den egna verksamheten. Driftsansvarig (Finet) är systemägare för den tekniska infrastrukturen. Övergripande ansvar Det övergripande ansvaret för organisationens IT-system vilar på Informationschefen som också utser systemägare för de IT-system som används av fler än en sektor eller kommunalt bolag. Systemägaren beslutar i samråd med IT-funktionen vilka IT-system som är samhällsviktiga och/eller verksamhetskritiska. Systemägare för dessa system ansvarar för att en systemsäkerhetsplan upprättas. Samtliga IT-system skall vara identifierade och förtecknade. Systemägare skall vara utsedd för varje system. Finspång kommuns IT-system skall klara den basnivå för IT-säkerhet som MSB:s rekommendationer föreskriver. För de IT-system som identifierats som samhällsviktiga skall en systemsäkerhetsplan vara upprättad i enlighet med MSB:s IT-säkerhetsguide. Planen skall utgöra underlag för systemägarens beslut om driftgodkännande. 10
Systemplanering För varje system ska det göras en årlig planering som innefattar: budget utbildning utökning eller förändring av funktionalitet förändrade krav på drift licenser Vid systemplaneringen ska följande revideras om det är nödvändigt: SLA-nivåer systemsäkerhetsplan IT-säkerhetsinstruktioner kontinuitetsplan Deltagare: systemägare, systemförvaltare, IT-funktionen och vid behov Finet IT-service. Systemförvaltning Organisationen kring varje verksamhetssystem ska ha regelbundna systemförvaltningsmöten. Systemförvaltaren är sammankallande till dessa möten. Mötesfrekvensen avgörs av vilka behov som finns för systemet. Behoven bestäms av systemägaren i samråd med systemförvaltaren. Alla planerade förändringar av verksamhetssystem ska beslutas på förvaltningsmöten. På förvaltningsmöten ska representanter från systemets förvaltningsorganisation och vid behov Finet IT-service och/eller IT-funktionen delta. Om det är en brådskande planerad förändring ska man sammankalla till systemförvaltningsmöte innan förändringar genomförs. På förvaltningsmötet ska följande beslutas: Vilka förändringar som ska göras När förändringarna ska göras Hur långt driftsstopp krävs Testplan för förändringen vem ansvarar för test? behövs testmiljö? krävs det specifika testscenarier? Dessa möten ska: Följa upp incidenter 11
Följa upp fel och störningar Stämma av uppdateringar och systemdrift Stämma av SLA-uppfyllelse Avstämning och planering av referensgruppsmöten Deltagare: Systemförvaltare och vid behov Finet IT-service och/eller ITfunktionen. Vid större förändringar bör även systemägaren delta. Referensgruppsmöten På referensgruppsmöten diskuteras till exempel: Nya funktioner Ändrade behov i verksamheten Utbildning Störningar och incidenter Förslag till förbättringar Deltagare: systemförvaltare, referensgrupp bestående av representanter för systemets användare 12
Beslutsnivåer Detta dokument och riktlinjer som utgör kommunens samlade dokumentation kring IT-säkerhet syftar till att verkställa intentionerna i den av kommunstyrelsen antagna IT-strategin. Följande beslutsnivåer gäller: IT-säkerhetspolicy: Fastställs av kommundirektören i samråd med sektors- och bolagschefer IT-Guiden: Fastställs av informationschefen IT-säkerhetsinstruktion Förvaltning: Fastställs av informationschefen IT-säkerhetsinstruktion Drift: Fastställs av driftsansvarig och rapporteras till informationschefen Systemsäkerhetsplan: Fastställs av systemägare och rapporteras till IT-funktionen. 13
Revidering och uppföljning Policy, säkerhetsinstruktioner och systemsäkerhetsplaner skall löpande följas upp och vid behov revideras. Uppföljningen skall bevaka: att beslutade åtgärder är genomförda årliga mål är uppfyllda att riktlinjer följs att systemsäkerhetsplaner och policydokument vid behov revideras 14