Tilbakemelding fra tilsyn med Universitetet i Oslo (UiO) sitt arbeid med samfunnssikkerhet og beredskap

Transkript

1 Universitetet i Oslo Postboks 1072 Blindern 0316 OSLO Deres ref Vår ref Dato 14/ Tilbakemelding fra tilsyn med Universitetet i Oslo (UiO) sitt arbeid med samfunnssikkerhet og beredskap Kunnskapsdepartementet (KD) viser til avholdt tilsyn med UiOs arbeid med samfunnssikkerhet og beredskap (SoB) 1. september 2015 i universitetets lokaler. Formålet med tilsynet med UiO var å vurdere institusjonens arbeid med samfunnssikkerhet og beredskap og å gi råd og tilbakemeldinger. I det følgende er departementets tilbakemelding fra tilsynet. 1. Bakgrunn for tilsynet Det enkelte departement har ansvar for samfunnssikkerhet og beredskap innenfor egen sektor, jf. kongelig resolusjon 15. juni 2012 nr. 535 (instruks for departementenes arbeid med samfunnssikkerhet og beredskap, Justis- og beredskapsdepartementets samordningsrolle, tilsynsfunksjon og sentral krisehåndtering). Departementets ansvar innebærer blant annet å følge opp forbedringspunkter i sektoren som følge av tilsyn. Kravene til institusjonenes arbeid med SoB følger av KDs tildelingsbrev til UiO for 2015 av 19. desember 2014, hvor det står: "Kunnskapsdepartementets styringsdokument for arbeidet med samfunnssikkerhet og beredskap i kunnskapssektoren skal ligge til grunn for institusjonens arbeid på dette feltet. Institusjonen skal ha etablert en virksomhetstilpasset risiko- og sårbarhetsanalyse (ROS) på samfunnssikkerhets- og beredskapsfeltet som revideres minimum hvert annet år. ROS-analysen skal følges opp gjennom en egen handlingsplan med tiltak for å redusere risiko og konsekvenser av uønskede hendelser. Institusjonen skal videre ha oppdaterte krise- og beredskapsplaner og gjennomføre årlige kriseøvelser. Institusjonen Postadresse Kontoradresse Telefon* Universitets- og Saksbehandler Postboks 8119 Dep Kirkeg * høyskoleavdelingen Øystein Holmedal Oslo Org no. Hagen postmottak@kd.dep.no

2 skal påse at informasjonssikkerhetsarbeidet er i samsvar med eforvaltningsforskriften og den nasjonale strategien for informasjonssikkerhet med tilhørende handlingsplan." Tilsynsobjektene velges ut på grunnlag av risikovurderinger basert på rapportering, på geografisk spredning, institusjonsstørrelse og egenart. I forbindelse med tilsynet tok departementet utgangspunkt i UiOs rapportering i årsrapporten , relevant informasjon på institusjonens internettsider og øvrig tilsendt materiale. Fra UiO deltok: Gunn-Elin Bjørneboe, Universitetsdirektør Marina Tofting, Kommunikasjonsdirektør Johan Skogen, Eiendomsdirektør Britt Amundsen Hoel, stabsdirektør Eiendom Irene Sandlie, Personaldirektør Hanna Ekeli, fung. direktør Fagstøtte Lars Oftedal, Direktør USIT Anita Sandberg, HMS og Beredskapsdirektør Tove K. Karlsen, ass. Universitetsdirektør Mehrbod Nasseri, sikkerhetsrådgiver Kenneth Nielsen, sikkerhetsrådgiver Johannes Falk Paulsen, underdirektør Hege Lynne, hovedverneombud Fra KD deltok: Arne Lunde, avdelingsdirektør Jan Fredrik Schøyen, avdelingsdirektør Anja Elisabeth Sundby Hem, seniorrådgiver Elisabeth Bratt, seniorrådgiver Gustav Birkeland, seniorrådgiver Øystein Holmedal-Hagen, seniorrådgiver 2. Dagsorden inkludert UiOs redegjørelse: 1) Innledning v/kd 2) Kort presentasjon av UiOs arbeid med samfunnssikkerhet og beredskap, herunder oppfølgning av 22. juli-kommisjonens rapport Som oppfølgning av 22. juli-kommisjonens rapport, har UiO blant annet fokusert på at det er et ledelsesansvar at SoB-arbeidet blir utført på en god og systematisk måte. Dette fokuset kom også til nytte ved hendelsen ved UiO 5. august. UiO vil fortsette å utvikle sin sikkerhets- og beredskapskultur gjennom opplæring, veiledning, lokale sikkerhets- og beredskapskontakter og implementering av CIM. 3) Rolleavklaringer, kriseorganisering og samspill med andre beredskapsinstanser Side 2

3 Universitetet har nylig omorganisert sikkerhets- og beredskapsorganisasjonen, og forsterket området med én sikkerhets- og beredskapsrådgiver og én brannvernsrådgiver. UiO har organisert seg i én sentral og flere lokale beredskapsledelser. Stabsansvaret for sikkerhet og beredskap er lagt til direktør for HMS og beredskap. UiO har en 24 timers vaktsentral som alle hendelser rapporteres til. Universitetet har beredskapsrutiner og systemer for hvordan komme i kontakt med studenter som studerer i utlandet ved hendelser. UiO er også bevisst på arbeidet med samfunnssikkerhet og beredskap i aksjeselskaper som de har eierskap i, blant annet gjennom universitetets styrerepresentasjon. UiO har implementert CIM for bruk i den sentrale beredskapsledelsen. Nytt beredskapsrom ble tatt i bruk 5. august i år. UiO har også tett kontakt med SiO rundt spørsmål som gjelder SoB. 4) Beredskapsplanverk UiO har én sentral og flere lokale beredskapsplaner, herunder egne planer for instituttene i utlandet. Ny revidert sentral beredskapsplan lanseres 1. november, lokale planer revideres i ) Risiko- og sårbarhetsanalyser (ROS) Universitetet gjennomførte sist ROS-analyse for hele organisasjonen i UiO gjennomfører jevnlig særskilte ROS-analyser, som for eksempel av vikingskipshuset. I forbindelse med omstruktureringsprosjektet ble det gjennomført en ROS-analyse av tilsiktede handlinger ved hjelp av tretrinns-modellen. Den sentrale beredskapsstaben bistår i lokalt ROS-arbeid, blant annet ved Det norske instituttet i St. Petersburg våren ) Kriseøvelser Table-top øvelse for sentral beredskapsledelse arrangeres én gang i året. Forrige kriseøvelse ble gjennomført i april Årets øvelse vil finne sted senere i år. UiO har dessuten hatt øvelser for førstelinje personell. Øvelsene evalueres og læringspunktene tas med inn i neste øvelse. Ansatte med beredskapsansvar ved fakultetene og andre enheter har fått muligheten til å følge øvelsene fra siderommet. Dette oppleves av UiO som svært nyttig. 7) Informasjonssikkerhet IT-direktøren har fått delegert myndighet og har ansvar for IT-sikkerhet. IT-direktøren leder en egen sikkerhetsorganisasjon med blant annet responsmiljøet UiO-CERT. IT-sikkerhetshåndboka bygger på standarden ISO/IEC 27002:2005 Informasjonsteknologi sikringsteknikk tiltak for informasjonssikring. Denne skal øke bevisstheten om nødvendigheten av IT-sikkerhetsarbeidet i hele universitetets organisasjon, legge grunnlaget for at dette innarbeides i daglig og Side 3

4 langsiktig virksomhet på universitetet og dokumentere overfor tredjepart at universitetet ivaretar IT-sikkerheten på en forsvarlig måte. USIT har en rekke pågående prosjekter innenfor IKT-sikkerhet og er en nasjonal driftsleverandør. 3. Departementets tilbakemeldinger Departementets overordnede vurdering er at UiO arbeider godt og systematisk med SoB, og at de er i ferd med å ytterligere forbedre og forsterke sin egen beredskapsorganisasjon. Dette er viktig, da universitetet har et stort ansvar for menneskelige, kulturhistoriske og materielle verdier lokalisert på ulike steder. Departementet vil påpeke viktigheten av at styret og ledelsen ved UiO ivaretar ansvaret for samfunnssikkerhet og beredskap i tråd med de krav som KD har stilt og at også rektor og styret involveres på et overordnet nivå. Departementet noterer seg at universitetsdirektørens rolle blir mer tydelig i det nye beredskapsplanverket som vil komme og at det nye planverket vil ha en enda mer operativ form. Det er viktig å gjennomføre ROS-analyser. ROS-analyser må jevnlig revideres, minst annet hvert år, for at en skal ha et mest mulig oppdatert bilde av risiko og sårbarhet ved institusjonen. Departementet ser at universitetet jevnlig gjennomfører ulike ROS-analyser, men universitetet kan bli enda bedre på systematikken i arbeidet med ROS-analyser, herunder få bedre fram sammenhengen mellom sentrale og lokale ROS-analyser. Med utgangspunkt i de sentrale ROS-analysene må universitetsledelsen kunne prioritere risiko på overordnet nivå. Departementet noterer seg at UiO er i gang med å systematisere de ulike ROS-analysene. ROS-analysene skal følges opp med konkrete tiltak overfor hendelser som vurderes til å inneha middels eller høy risiko. Departementet vil minne om kravet til at kriseledelsen gjennomfører beredskapsøvelser minst én gang i året. Ved valg av øvelsesscenario bør UiO ta utgangspunkt i de hendelser som har blitt vurdert til å ha høyest risiko gjennom ROSanalysene. Departementet anbefaler at universitetet vurderer å arrangere flere spilløvelser enn det de har gjort hittil, og at det enkelte år vurderes å gjennomføre fullskalaøvelser i samarbeid med nødetatene, Oslo kommune etc. IT-sikkerhetshåndboka tilfredsstiller langt på vei dokumentasjonskravene til et styringssystem for informasjonssikkerhet slik dette er beskrevet i ISO/IEC 27001:2013 Informasjonsteknologi sikringsteknikk styringssystem for informasjonssikring krav. Departementet har oppfattet at denne i stor grad fungerer som et oppslagsverk, snarere enn å være dokumentasjon av et operativt styringssystem for informasjonssikkerhet. Departementet viser til krav i eforvaltningsforskriften, digitaliseringsrundskrivet og tildelingsbrev, og forutsetter at styringssystem for informasjonssikkerhet innføres, og at det rapporteres på status for innføringen innen 1. januar Departementet har merket seg at USIT har spisskompetanse på IKT-sikkerhet og cybersikkerhet, og en rekke av de presenterte sikkerhetstiltakene er av IT-teknisk art, og etter vår vurdering gode. UiO har imidlertid ikke demonstrert hvordan informasjonssikkerheten følges opp systematisk i hele virksomheten, jf. kravet om styringssystem, og hvordan gode tekniske tiltak fra IT-avdelingen ses i sammenheng Side 4

5 med personopplysningslovens krav og følges opp gjennom en helhetlig og systematisk internkontroll. UiO har et styringssystem for HMS og beredskap, men har ikke presentert hvordan internkontroll på informasjonssikkerhetsområdet inngår i eller virker sammen med dette. Departementet stiller spørsmål ved om avvik som ble gjennomgått under tilsynet kunne vært unngått med et fungerende styringssystem for informasjonssikkerhet. Departementet forventer at universitetet rapporterer på status for overstående oppfølgningspunkter i årsrapporten for 2015, med mindre annet er oppgitt. KDs Styringsdokument for arbeidet med samfunnssikkerhet og beredskap i sektoren 31. januar 2011 er tilgjengelig her: Vi takker for en god dialog under møtet. Med hilsen Arne Lunde (e.f.) avdelingsdirektør Øystein Holmedal-Hagen seniorrådgiver Dokumentet er elektronisk signert og har derfor ikke håndskrevne signaturer. Side 5