Fastighetsavdelningen STYRDOKUMENT Leif Bouvin 11-09-14 dnr A 13 349/ 07 031-789 58 98 Bilaga, Definition av roller och begrepp, till policy för IT-säkerhet Publiceringsdatum Juni 2007 ( rev. September 2011) Publicerad Beslutsfattare www.gu.se Rektor Beslutsdatum 2007-06-11 (rev. 2011-09-14) Dokumentsansvarig Giltighetstid Sammanfattning Leif Bouvin Tillsvidare Bilaga Definition av roller och begrepp anger definitioner av roller och begrepp som används i policy, regler och riktlinjer för IT-säkerhet samt i övriga styrdokument avseende IT. Fastighetsavdelningen Karl Gustavsgatan 12 B, Box 100, SE 405 30 Göteborg 031 786 0000, 031 786 1142 (fax) www.gu.se
September 2011 Definition av roller och begrepp En befattningshavare kan, främst när det gäller mindre system, ha flera av nedanstående roller. För att förebygga oegentligheter får kombination av roller som medger behörighet till en transaktion och samtidigt behörighet till att dölja transaktionen genom t.ex. radering av logg, inte ske. T.ex. får en personaladministratör som har behörighet till transaktioner i det personaladministrativa systemet inte samtidigt vara teknisk förvaltare eller systemadministratör för aktuellt system. Det principiella sambandet mellan nedanstående roller framgår av Principskiss avseende roller och ansvar på sidan 6. Användare Person som tilldelats behörighet till Göteborgs universitets IT-resurser och som ska gå att identifiera. Behörighetsadministratör Behörighetsadministratör utses av behörighetsansvarig och ansvarar för inregistrering och avregistrering av behörigheter enligt behörighetsansvarigs beslut. Administratören ansvarar också för att beslut om behörighetstilldelning arkiveras enligt fastställda arkivkrav. Behörighetsansvarig Behörighetsansvarig beslutar om tilldelning av behörigheter till universitetets gemensamma och lokala system samt ansvarar för uppföljning av tilldelade behörigheter. Tilldelningen och uppföljningen ska följa av systemägare och tekniskt ansvarig fastställda regler. Behörighetsansvariga är prefekt, avdelningschef i gemensamma förvaltningen, enhetschef för bibliotek inom universitetsbiblioteket, chef för fakultetskansli eller motsvarande. Sidan 2 av 7
GU- gemensamma system System som hela Göteborgs universitet kan använda sig av t ex personalsystem, ekonomisystem, e-post. Incident Manager (IM) En IT- incident är en händelse som gör att en IT-tjänst är helt eller delvis otillgänglig. Incident Manager är den roll inom IT-service som ansvarar för att bedöma omfattningen av incidenten. IM leder och samordnar arbetet för att så snabbt som möjligt hitta en åtgärd som återställer IT-tjänstens tillgänglighet. Incident Response Team (IRT) IRT är den grupp inom IT- service som arbetar med att säkra universitetets ITresurser dels genom att analysera nätverkstrafiken, dels genom att leta efter och informera om kända säkerhetshål som kan förekomma i systemen. Om en incident inträffat tar IRT fram underlag för åtgärder genom analys och spårning. IRT hanterar också externa sk abuseanmälningar som inkommer till GU. Informationsägare Informationsägare är den som är utfärdare och/eller fastställare av viss information och som svarar för att informationen är riktig, tillförlitlig och för det sätt på vilken den får sin spridning. All information skall ha en informationsägare. Följande uppställning ger exempel på vem som räknas som informationsägare i olika fall, om inget annat beslutats. Kategori Fastställda dokument Data i informationssystem All annan information Ägare (om ej annat anges) Den som fastställt dokumentet Systemägaren Utfärdaren Isolerat nät Ett isolerat nät har inga som helst kopplingar till Internet eller andra nätverk. Inga IT-system utanför det isolerade nätet skall ha möjlighet att kommunicera med ITsystem i ett isolerat nät. IT-infrastruktur Grundläggande gemensam konfiguration av servrar, klienter, operativsystem, nätverk, arbetsstationer, skrivare, programvaror, databaser etc. Sidan 3 av 7
IT-resurser Med IT-resurser menas datorer, mobiltelefoner, programvaror, licenser och all annan kringutrustning som nyttjas i samband med hantering av information i digital form. IT-system Med IT-system avses utrustning och programvara som behandlar, d.v.s. insamlar, bearbetar, lagrar samt distribuerar information och utbyter data mellan funktionsenheter med hjälp av dataöverföring och i enlighet med tekniskt protokoll. IT-tjänst Funktion som användare nyttjar och som är baserad på IT-infrastruktur och GUgemensamma IT-system. Redundans Egenskap där man genom mångfaldigande av en funktion syftar till att säkerställa kontinuerlig drift och ökad feltolerans. Oftast åstadkommes detta genom dubblering av kritiska funktioner t ex reservkraft, diskar. Skyddat nät I ett skyddat nät regleras så väl inkommande som utgående trafik vilket innebär att det finns regler för hur IT-tjänster i det skyddade nätet får kommunicera med ITtjänster utanför det skyddade nätet. Restriktionen ligger i infrastrukturen och är inte en del av IT-tjänstens autentisering som exempelvis ett påloggningsförfarande. Brandväggar är exempel på hur man skapar skyddade nät. Service Level Agreement (SLA) SLA är ett avtal som upprättas mellan systemägare och IT-avdelning med avsikt att garantera en viss nivå av service och support. Supportansvarig Supportansvarig är den person som ansvarar för första linjens support av den aktuella IT- tjänsten. Normalt är det chefen för Servicedesk på ITS. System I IT-säkerhetsdokumenten definieras system som ett vidare begrepp vilket innefattar inte bara IT-system utan även de manuella rutinerna och mänskliga resurser som hör samman med ett IT-system. Sidan 4 av 7
Systemadministratör Ansvarar för att fastställda säkerhetskrav tillämpas i den tekniska administrationen och driften av IT-systemen. Systemadministratör får inte vara användare av de administrativa system som han är systemadministratör för. T.ex. får en personaladministratör som har behörighet till transaktioner i det personaladministrativa systemet inte samtidigt vara systemadministratör för aktuellt system. Systemförvaltare Ansvarar för systemförvaltningen utifrån systemägarens direktiv avseende tillämpningen, användarnas krav och behov. Systemförvaltaren skall ha en djup kunskap om den verksamhet som systemet ska stödja samt övergripande kunskap om tekniken som tillämpas i systemet. Systemägare För varje IT-system skall en systemägare (systemansvarig tjänsteman) finnas utsedd. Systemägare skall tillvarata användarnas krav och ha det övergripande ansvaret för att IT-systemet stödjer verksamheten och verksamhetens mål. Systemägare ansvarar för att analys av säkerhetsbehov genomförs med hänsyn till informationsinnehåll och verksamhetskrav. Säkerhetskraven ska anges med inriktning på tillgänglighet, riktighet, sekretess och spårbarhet att regler för behörighetstilldelning utarbetas att tekniskt ansvarigs säkerhetskrav uppfylls. Till exempel är personalchef systemägare för det personaladministrativa systemet och en chef för en forskargrupp kan vara systemägare för gruppens forskningsdatabas. Tekniskt ansvarig För den tekniska driftsäkerheten ska en teknisk ansvarig tjänsteman finnas utsedd. Teknisk ansvarig ansvarar för att analyser av den tekniska säkerheten genomförs med hänsyn till tillgänglighet, riktighet, sekretess och spårbarhet samt att påvisade brister åtgärdas. att systemägarens säkerhetskrav uppfylls tekniskt. Till exempel chefen för IT-service respektive ansvarig för verksamhetsunik IT vid fakultet, institution eller motsvarande. Teknisk förvaltare Ansvarar för den tekniska förvaltningen av systemet utifrån tekniskt ansvarigs direktiv. Den tekniska systemförvaltaren skall ha goda kunskaper om systemets Sidan 5 av 7
konstruktion, datahantering och tekniska säkerhetslösningar samt övergripande kunskaper om den verksamhet som systemet stödjer. Utförargruppsansvarig Person vid IT-service som ansvarar för att IT-service åtaganden i SLA uppfylls för respektive IT-tjänst. Utförargruppsansvarig leder arbetet i respektive utförargrupp. Verksamhetsunikt system System som används som arbetsstöd av få användare lokalt på en institution eller avdelning. Principskiss avseende roller och ansvar System- och driftsorganisation Linjeorganisation (System och drift-/tekniskt ansvar) (Övergripande IT-säkerhets- ansvar) Rektor Systemägare Tekniskt ansvarig Systemförvaltare Teknisk förvaltare Dekanus, motsv. Utförargruppsansvarig Prefekt, motsv. Systemadministratör Användare Användare Sidan 6 av 7
Anmärkning I system- och driftsorganisationen kan en befattningshavare, främst när det gäller mindre IT-system, inneha flera av ovanstående roller. Tekniskt ansvarig utses för universitetsgemensam nivå respektive fakultet, institution eller motsvarande. Systemägare utses av lägst prefekt eller motsvarande. Sidan 7 av 7