Opplæring. Informasjonssikkerhet

Transkript

1 Opplæring i Informasjonssikkerhet

2 Innledning De overordnede mål for informasjonssikkerhetsarbeidet i Harstad kommune er å oppnå høy grad av: Konfidensialitet opplysninger skal ikke eksponeres for uvedkommende Tilgjengelighet nødvendig tilgang til opplysninger ved behov Integritet sikre informasjon mot utilsiktet endring Kvalitet opplysningene skal være fullstendig og ajourført i forhold til behandlingen av opplysningene Det betyr at de data som vi registrerer i våre datasystemer skal være beskyttet mot uvedkommende, de skal være tilgjengelige når det er behov for dem og de skal være korrekte. Personopplysningsloven av Helseregisterloven av

3 Ansvar Alle som utfører arbeide for Harstad kommune; ansatte, midlertidig ansatte og oppdragstakere har lovbestemt taushetsplikt. Plikten gjelder både i arbeidet og privat, og den varer også etter avsluttet arbeidsforhold i Harstad kommune. Enhetsleder har ansvar for å opprettholde en tilfredsstillende informasjonssikkerhet innenfor sitt ansvarsområde. Den enkelte medarbeider har ansvar for å kjenne til og overholde brukerinstruksen i tillegg til dokumentet Mål og strategi for informasjonssikkerhet i Harstad kommune og personopplysningslovens bestemmelser om vilkårene for behandling av personopplysninger( 8) og sensitive personopplysninger( 9), grunnkravene til behandlingen( 11), rett til innsyn( 18), informasjonsplikten( 19 og 20), mangelfulle opplysninger og rett til sletting eller retting( 27 og 28). Enhetsleder skal sørge for at loven er tilgjengelig for ansatte som ikke har tilgang til lovdata på internett.

4 Personopplysninger Personopplysninger er opplysninger og vurderinger som kan knyttes til en enkeltperson. Sensitive personopplysninger er opplysninger om: rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning, at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, helseforhold, seksuelle forhold, medlemskap i fagforeninger NB! Taushetsbelagte personopplysninger i følge særlovgivning skal behandles etter samme sikkerhetsregler som sensitive personopplysninger.

5 Adgang til kommunens utstyr og systemer Vær klar over at det du gjør i kommunens nettverk og på PC vil kunne spores tilbake til deg. Alle pc er og skrivere som skal kobles til kommunens datanettverk, skal kjøpes inn og settes opp av IT-avdelingen. For å få tilgang til Harstad kommunes datasystemer og manuelle arkiv, må alle ansatte, oppdragstakere og midlertidig ansatte gis nødvendige autorisasjoner gjennom sin enhetsleder, og taushetserklæring og konformitetserklæring må undertegnes. Passord er den ansattes personlige nøkkel til Harstad kommunes datasystemer. Passordet skal holdes hemmelig og skal ikke lånes ut til andre. Den enkelte ansatte er selv ansvarlig for de handlinger som utføres med egen indent. Passord må endres umiddelbart hvis det kan ha blitt kjent av andre!

6 Ansatte som ikke har personlige identer, kan benytte en fellesident for å få tilgang til intranettet(portalen). Fellesidenten gir tilgang til kommunens avvikssystem og elektroniske kvalitetshåndbok, men ikke direkte tilgang til øvrige saksbehandlingssystemer eller personregistre. Alle pc er i Harstad kommune skal ha aktivert passordbeskyttet skjermbeskytter som slås på med maks 30 minutter inaktivitet. Ansatte skal dessuten alltid slå på skjermbeskytteren når vedkommende forlater arbeidsplassen/skjermen ved å trykke windowstast+l og logge seg ut ved arbeidsdagens slutt.

7 Kun programvare som er lisensiert til Harstad kommune og som IT-seksjonen har godkjent kan benyttes på kommunens PC er og nettverk. Kopiering av kommunens programvare til privat bruk uten tillatelse er forbudt! Det er ikke tillatt å installere eller benytte programvare uten godkjenning fra IKT. Dette gjelder også portabel og virtualisert programvare. Tilgjengeligheten til ikke-sensitive personopplysninger som lagres på frittstående pc må sikres med daglig backup på annet medium eller papirutskrifter. Dette må fremgå i enhetens oversikt over personregistre.

8 Lagring av personopplysninger NB! Det er som hovedregel ikke tillatt å lagre sensitive personopplysninger i intern sone(f.eks. i Ephorte, på o- eller p-disken) eller på pc ens harddisk. Hvis den ansatte ikke har tilgang til lukket nett, kan sensitive personopplysninger lagres midlertidig på diskett/tape/flash/cd som merkes og oppbevares i låsbar skuff/skap. Unntaksvis kan sensitive opplysninger lagres i Ephorte for enheter som ikke har tilgang til sikret sone. Slike saker må være registrert unntatt offentlighet. Enheter som foretar slike registreringer må kommentere dette i enhetens oversikt over personregistre. Disketter/CD er/andre lagringsmedier skal alltid kontrolleres for datavirus før du tar dem i bruk! IT-seksjonen vil sørge for at din PC blir kontrollert hver dag når du logger deg på nettverket.

9 Internett og e-post Det er ikke tillatt å benytte internett eller e-post som kanal for å utveksle sensitive personopplysninger. Det er som hovedregel heller ikke tillatt å utveksle fullt fødselsnummer eksternt. Under visse forhold kan utveksling av data utføres kryptert, men da i samråd med IT-seksjonen / sikkerhetsansvarlig. Internett kan være meget nyttig kanal for informasjonsutveksling, men du må huske på at internett er en åpen kanal hvor det er mulig for uvedkommende å få tilgang til den informasjon som du utveksler. Det kan være mulig for uvedkommende å lese, gjøre endringer eller på annen måte misbruke data som overføres på internett

10 Sosiale medier: Privat bruk av sosiale medier er ikke tillatt i arbeidstiden, for eksempel oppslag på privat Facebookprofil. Eksempler på akseptabel bruk: Å oppdatere seg faglig gjennom tilgjengelige nettmedia som lovdata, offentlige utredninger, biblioteksregister, nyheter og andre relevante kilder som f.eks. medisinske oppslagsverk/ databaser. Å utveksle ikke-sensitiv faglig informasjon med kolleger gjennom e-post. Streaming av lyd/bilde når dette er jobbrelatert.

11 Eksempler på uakseptabel bruk: Å laste ned programvare og spill fra nettet med mindre dette på forhånd er godkjent av IT seksjonen. Installasjon av programvare, med mindre det er godkjent av IT - seksjonen. Å laste ned pornografi, volds- og rasistisk preget materiale eller annet materiale som kan virke usømmelig. Å utveksle sensitive personopplysninger, i for eksempel i e-post eller vedlegg til e-post. Å lytte til radio, se på TV-sendinger eller video når dette ikke er jobbrelatert.

12 Elektronisk post m.m. Innsyn i arbeidstakers e-post/personlig område på nettverket/internettrafikk: Med arbeidstakers e-postkasse menes e-postkasse arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet i kommunen. Reglene gjelder tilsvarende for arbeidsgivers adgang til gjennomsøking av og innsyn i arbeidstakers personlige område i kommunens datanettverk og i andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet. Bestemmelsene gjelder også for arbeidsgivers innsyn i opplysninger som arbeidstaker har slettet fra de nevnte områdene, men som finnes lagret på sikkerhetskopier eller lignende som arbeidsgiver har tilgang til.

13 Arbeidsgiver har bare rett til å gjennomsøke, åpne eller lese e-post i arbeidstakers e-postkasse a) når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser i kommunen, b) ved begrunnet mistanke om at arbeidstakers bruk av e- postkassen medfører grovt brudd på de plikter som følger av arbeidsforholdet, eller kan gi grunnlag for oppsigelse eller avskjed. Arbeidstaker skal så langt som mulig varsles og få anledning til å uttale seg før arbeidsgiver gjennomfører innsyn. I varselet skal arbeidsgiver begrunne hvorfor vilkårene i anses å være oppfylt og orientere om arbeidstakers rettigheter. Arbeidstaker skal så langt som mulig gis anledning til å være tilstede under gjennomføringen av innsynet, og har rett til å la seg bistå av tillitsvalgt eller annen representant.

14 Reglene i avsnitt 9 i brukerinstruksen om snoking i pasientjournaler eller personregistre med tillegg av internettrafikk, gjelder også for ansatte i IT-seksjonen. Arbeidstaker skal så langt som mulig varsles og få anledning til å uttale seg før arbeidsgiver gjennomfører innsyn. I varselet skal arbeidsgiver begrunne hvorfor vilkårene i anses å være oppfylt og orientere om arbeidstakers rettigheter. Arbeidstaker skal så langt som mulig gis anledning til å være tilstede under gjennomføringen av innsynet, og har rett til å la seg bistå av tillitsvalgt eller annen representant. Er innsyn foretatt uten forutgående varsel, skal arbeidstaker gis skriftlig underretning om dette så snart innsynet er gjennomført. Underretningen skal i tillegg til å begrunne hvorfor vilkårene for innsyn anses å være oppfylt og orientere om arbeidstakers rettigheter, inneholde opplysninger om hvilken metode for innsyn som ble benyttet, hvilke e-poster eller andre dokumenter som ble åpnet samt resultatet av innsynet.

15 Unntakene fra rett til informasjon i personopplysningslovens 23 gjelder tilsvarende. Unntaket gjelder også etterfølgende varsel. Innsyn må gjennomføres på en slik måte at dataene så langt som mulig ikke endres og at frembrakte opplysninger kan etterprøves. Dersom innsyn i e-postkassen viser at det ikke foreligger dokumentasjon som arbeidsgiver har rett til innsyn i etter 9-2 bokstav a og b, skal e-postkassen og dokumenter i denne straks lukkes. Eventuelle kopier skal slettes.

16 Interne regler for bruk av kommunens datasystemer og e-post Harstad kommunes informasjonssystemer er beregnet for jobbrelaterte formål. Privat bruk, f.eks. e-post og private filer tillates i begrenset omfang(se etterfølgende avsnitt), så lenge det ikke påvirker jobbrelaterte oppgaver. Saksrelatert e-post skal registreres i Ephorte. Råd til arbeidstakerne Vær oppmerksom på at enhetsleder kan foreta innsyn i den ansattes e-post ved fravær for å ivareta den daglige driften o.a.(se pkt. a og b ovenfor) Unngå korrespondanse som ikke er jobbrelatert via e-posten på jobben. Hvis den ansatte mottar privat e-post, bør en svare at vedkommende må benytte privat e-postadresse eller sende brev. Husk at alt som foretas både på Internett og med e- postsystemet vil kunne spores

17 Bruk av hjemmekontor Brukere av hjemmekontorløsning skal være autorisert av enhetsleder. Brukerne vil få tilgang til standardisert programvare som officepakken, e-post, Notus turnussystem, intranett, internett, Ephorte saksbehandlingssystem, fakturabehandling, økonomirapportering osv. Det er 2 alternative løsninger: Alt 1 Bærbar PC som normalt er koblet i nettverk på jobb. Utenfor arbeidsplassen er det nødvendig med tilgang til internett. Den enkeltes internettløsning må installeres på PC ved hjemmebruk. På reise vil internettsoner kunne benyttes ved bruk av standardløsninger på PC en. I dette alternativet vil bruker kunne bruke enheter som harddisk, cd/dvd, USB-penn osv. Årsaken til dette er at antivirusprogramvare alltid er oppdatert på grunn av hyppig bruk i kommunens interne nettverk. PC en skal ikke brukes av andre enn den ansatte i HK.

18 Alt 2 Via internett. I denne løsningen brukes ikke egen bærbar PC. Her kan det være hjemme PC mot internett, internettkafe osv. Ved denne oppkoblingen kan ikke informasjoner lagres på PC ens eksterne enheter(harddisk, CD/DVD, USBpenn osv) på grunn av sikkerheten. All tilgang vil da bli mot serverne i HK s nettverk.

19 Bruk av bærbar PC Alle bærbare PC er som skal være koblet til nettet skal kjøpes inn av IT-avd. IT-avd legger inn antivirus-programvare og konfigurerer PC en. Det skal ikke lagres sensitive data på harddisken. PC en skal oppbevares slik at det er liten sjanse for at den kan bli stjålet. Dette er spesielt viktig under reise hvor PC er med. Det blir ikke tatt backup av harddisk slik at alle data skal lagres på servere sentralt i nettverket.

20 Skolenettverk og Fronter Pedagogisk og administrativt personale som skal ha tilgang til skolenettverket og Fronter, må underskrive samtykkeerklæring/autorisasjonsskjema før fysisk tilgang gis. Det samme gjelder elever og foresatte som skal ha tilgang til Fronter, jfr. skjema.

21 Snoking i pasientjournal eller andre personregistre Det er forbudt å lese, søke etter eller på annen måte tilegne seg, bruke eller besitte helseopplysninger som behandles etter helseregisterloven uten at det er begrunnet i helsehjelp til pasienten, administrasjon av slik hjelp eller har særskilt hjemmel i lov eller forskrift, jfr. helseregisterloven 13. Det er heller ikke tillat for kommunalt ansatte å søke etter, tilegne seg, bruke eller besitte andre personopplysninger i journaler eller andre personregistre uten at det er saklig begrunnet i den ansattes arbeidsoppgaver.

22 Sikkerhet og orden på kontoret La ikke sensitiv/fortrolig informasjon ligge å flyte på skrivebordet, skrivere etc. Kast ikke sensitive/fortrolige dokumenter, disketter CD er etc. i papirkurven. Makuler dem straks! Ellers må materialet oppbevares midlertidig på en sikker måte(innelåst). Uvedkommende skal ikke ha tilgang til steder hvor manuelle arkiv, datautstyr, kommunikasjonsutstyr, skrivere, telefakser o.l. er plassert, uten i følge med ansatt. Hvis sensitiv informasjon ligger åpent på et kontor, skal kontoret låses når det forlates for kortere perioder. Det er ikke tillatt å sende telefaks eller e-post med sensitive personopplysninger.

23 Personopplysningslovens utgangspunkt Behandling av personopplysninger Forbudt EU s personverndirektiv 95/46

24 Fjernsynsovervåking (videoovervåking) Enhetsleder i en enhet som planlegger fjernsynsovervåking, må sørge for å avklare om denne er lovlig og eventuelt melde dette til Datatilsynet iht. pol kap VII. Fjernsynsovervåking. Ved fjernsynsovervåking skal enhetsleder sørge for at rutiner etableres og gjennomføres i samsvar med loven. Datatilsynet har utarbeidet en egen veileder for kameraovervåking.

25 Tilsyn og kontroll 1. Datatilsynet Datatilsynet gir råd og veiledning og kontrollere at lover og forskrifter som gjelder for behandling av personopplysninger blir fulgt, og at feil eller mangler blir rettet. 2. Interne og eksterne tilsyn og kvalitetsrevisjoner Revisjonen skal: Undersøke i hvilken utstrekning virksomheten oppfyller de krav og retningslinjer som er nedfelt i kvalitetssystemet og som er pålagt virksomheten utenfra Undersøke behovet for forbedring og korrigering

26 Avviksbehandling Bruk av system for behandling av personopplysninger som er i strid med fastlagte prosedyrer, identifiseres, dokumenteres og følges opp som avvik i samsvar med kravene i prosedyren for avviksbehandling. Dersom avviket har medført uautorisert utlevering av personopplysninger, skal Datatilsynet varsles. Det er en egen mal i avvikssystemet for registrering av avvik informasjonssikkerhet. Kortere driftsavbrudd eller problemer med utstyr eller tilganger meldes IKT brukerstørre på e-post.

27 Personvern i skolen/barnehagen Klasselister, lister over barnehagebarn, fødselsnummer og bilder kan ikke uten videre utleveres. Man kan få utdelt lister over klasser man er eller tidligere har vært elev i uten samtykke fra hver enkelt elev eller dennes foresatte. Om man er foresatt til en elev i en klasse har man også rett til å få utlevert klasseliste for denne elevens klasse. Det samme gjelder opplysninger om barn i samme barnehageavdeling. Taushetsplikten vil likevel gjelde om noen av elevene har hemmelig telefonnummer eller adresse, eller dersom adressen røper et forhold som må sees på som personlig, for eksempel hvis vedkommende bor på en barnevernsinstitusjon. I tilfelle der adressen er sperret (hemmelig), vil også navnet være underlagt taushetsplikt. Dersom det i elevlista kommer frem opplysninger om at eleven får tilrettelagt undervisning grunnet ulike typer handikap eller atferdsproblem, vil taushetsplikten også gjelde.

28 Klasselister Klasselistene som deles ut i en klasse, eller til foresatte, kan inneholde: Elevenes og foresattes navn, adresse og telefonnummer og evt. fødselsdato Klasselister som deles ut til tidligere elever (for eksempel i anledning av invitasjoner til jubileum) kan inneholde: Elevenes navn i tillegg til daværende adresse og telefonnummer Klasselister for klassestyrere, skolelege, skoletannlege og klassekontakter kan inneholde: Elevens navn, adresse, telefonnummer og evt. fødselsnummer Foresattes navn, adresse og arbeidsadresse Klasseangivelse, klasserom og klassestyrers navn

29 Fødselsnummer Kan skolen og barnehagen kreve å få elevens/barnets og foresattes fødselsnummer? Skolen må ha elevens/barnets fødselsnummer (11 siffer) i sitt register. Denne opplysningen trengs til entydig identifisering av elevene/barna. Skolen/barnehagen kan registrere foresattes fødselsnummer dersom skolen/barnehagen har saklig behov for dette i forbindelse med administrasjon av skolen/barnehagen.

30 Bilder Kan barnehager og skoler filme og fotografere barna? Dagligdagse gjøremål som filmes eller fotograferes for å studere samspillet mellom barn og voksne, vil verken være melde- eller konsesjonspliktig. Det bør heller ikke by på noe problem om lærere tar bilder av elever for å henge opp i klasserommet. Dersom man skal utlevere videoopptak eller bilder til foreldrene, kreves samtykke fra de foresatte til barna på videoen/ bildet. Om man filmer eller fotograferer enkeltelever/barn for å for eksempel studere adferdsvansker, vil det kreve samtykke fra de foresatte. Denne bruken vil som regel være konsesjonspliktig. Vedvarende eller reglemessig kameraovervåking av barnehagen i åpningstiden vil som utgangspunkt være forbudt. Utenom åpningstid kan overvåking skje hvis vilkårene i personopplysningsloven er oppfylt.

31 Internett Kan skolen/barnehagen legge ut bilder av elevene på Internett? Bilder av elever er likestilt med personopplysninger. Dersom man publiserer bilder på Internett krever dette samtykke fra den enkelte elev, eller fra elevens/barnets foresatte dersom eleven er under 15 år. (Samtykke kreves forøvrig også for publisering av bilder av ansatte på Internett.) I beste mening - et veiledningshefte om bilder av barn på nett er sendt alle barnehager og skoler i november -08.

32 Elevenes internettbruk Kan skolen loggføre og kontrollere elevenes internettbruk? Hvis formålet med loggføringen er å kontrollere sikkerheten i datasystemet, trenger ikke skolen samtykke fra elever eller foresatte. Ved andre formål må skolen få samtykke fra den enkelte elev, eller fra foresatte om eleven er under 15 år. Skolen skal uansett informere elevene tydelig om at de legger igjen spor etter seg når de bruker maskinene. Det skal også opplyses om at sporene vil bli undersøkt, og hvorfor skolen gjør dette. Nye elektroniske læringsverktøy kan også gi vanskelige problemstillinger i forhold til personvern.

33 Pressen Er skolen/barnehagen ansvarlig for publisering av opplysninger om elevene/barn i pressen? Journalistisk virksomhet er unntatt store deler av personopplysningsloven. Ved intervju og fotografering er det eleven/barnet, og ikke skolen, som gir fra seg opplysninger. I slike tilfeller er det andre lover enn personopplysningsloven som gjelder. Pressens etiske komité og opplæringsloven kan blant annet være aktuelle her. Alle journalister må følge "Vær varsom plakaten", der det blant annet gis retningslinjer om intervju av barn.

34 Læringspakke om personvern Utdanningsdirektoratet har utarbeidet en læringspakke, Du bestemmer, som skal gi elever på barne- og ungdomstrinnet mer kunnskap om personvern. Barn og unge gir fra seg opplysninger i forbindelse med tjenester, konkurranser, nedlasting av ringetoner, gratis SMS og spill. Slike opplysninger kan misbrukes. Direktoratet har utviklet et opplegg for ungdomsskolen i samarbeid med Avdeling for forvaltningsinformatikk ved Universitetet i Oslo og Statens filmtilsyn.

35 Personvern for helse- og sosialtjenester Utfordringer: En stadig større del av personopplysningene innenfor helse- og sosialtjenesten blir behandlet elektronisk elektronisk registrering og bruk av fagsystemer og andre ITsystemer for tjenestedokumentasjon preger arbeidsdagen, både på helseområdet og på sosialområdet det er stadig større grad av elektronisk samhandling med andre parter, både internt i kommunen og eksternt med andre virksomheter medarbeideren kan ha oppgaver knyttet til rapportering til IPLOSregisteret de registrerte skal ha informasjon om sine rettigheter innen personvern, og at disse rettighetene skal respekteres

36 Tilgangsstyring Det er kommuneledelsens avsvar å legge til rette for at det enkelte personell kun får tilgang til de opplysninger som vedkommende trenger for å utføre sine oppgaver. Dette kalles tilgangsstyring. Tilgangsstyringen innebærer at det er begrenset hva den enkelte skal se av opplysninger, at den enkelte sin bruk av informasjonssystemet blir hendelsesregistrert (logget) og at hendelsesregisteret (loggen) blir kontrollert for å avdekke eventuelle sikkerhetsbrudd.

37 Forbud mot urettmessig tilegnelse av taushetsbelagte opplysninger Etter helsepersonelloven er det et eget forbud mot urettmessig tilegnelse av taushetsbelagte opplysinger (snoking). Som utgangspunkt er det ulovlig å lese, søke etter eller på annen måte tilegne seg, bruke eller besitte taushetsbelagte opplysninger uten at det er begrunnet i helsehjelp til pasienten eller i administrasjon av slik hjelp.

38 Øvrige rettigheter for den registrerte Medarbeiderne skal bidra til å sikre den registrertes rettssikkerhet gjennom: Informasjonsplikten: Kommunen har plikt til å gi informasjon til den registerte om hva kommunen registrerer om vedkommende. Unntak: Når det gjelder registrering av opplysninger i pasientjournal, er det ikke en slik informasjonsplikt om registreringen. Informert samtykke: Kommunen skal ved behov innhente samtykke for å behandle sensitive personopplysninger. Retten til reservasjon: Den registrerte har rett til å reservere seg mot at diagnoser blir sendt til det sentrale IPLOS-registeret. For helseopplysninger har pasienten rett til å reservere seg mot at opplysninger gis til andre i forbindelse med at det ytes helsehjelp. Retten til innsyn: En sentral rettighet er retten til innsyn i opplysningene som er lagret om en selv. Som hovedregel har den registrerte krav på et slikt innsyn. Det følger f.eks. av pasientrettighetsloven at pasienten vanligvis har innsyn i egen elektronisk pasientjournal. Retten til retting og sletting: Den registrerte kan i en rekke sammenhenger kreve at feil i helse- og personopplysningene om en selv, blir rettet eller slettet. F.eks. følger det av pasientrettighetsloven at den registrerte kan kreve at mangelfulle, feilaktige eller utilbørlige helse- og personopplysninger eller utsagn blir rettet.