Informasjonstryggleik i Møre og Romsdal fylkeskommune

Transkript

1 Informasjonstryggleik i Møre og Romsdal fylkeskommune

2 Innleiing 1. Generelt om informasjonstryggleik 2. Om informasjonstryggleik i fylkeskommunen 3. Behandling av personopplysningar a) Grunnkrav b) Informasjonsplikt mm c) Informasjonstryggleik d) Risikovurdering e) Avvikshandtering 4. Diverse frå skole a) IOP b) Timeplanar på nett c) Kontroll rus, ransaking Informasjon til vgs

3 Konfidensialitet Informasjons- tryggleik Tilgjengelighet Integritet Informasjon til vgs

4 Kva skal sikrast: - Informasjon - IT-system - Personopplysningar / personvern - Omgivelsene (fysisk) - Evne til å løyse oppgåvene - Omdømme Informasjon til vgs

5 Kva truslar møter vi: - Virus og ormar - Spam - Web bugs og spyware - Hurtigmeldingar / chat - Phishing - Identitetstjuveri - Datainnbrot / innbrot - Misbruk av trådløs kommunikasjon - Utilsikta menneskeleg feil - Misbruk av verksemdas ressurser - Tap av mobile enheter - Tenestenekting (DDOS) - Utro tener - Sikkerheitshol i programvare - m.m... Informasjon til vgs

6 Om eksterne truslar: - Frå tilfeldige virus til målretta utnytting av svakheiter - Identitetstjuveri, åndsverkstjuveri - Trojanarar med ulik verknad - Sosial manipulering - Mål om økonomisk vinning eller å ramme verksemda (øk./omd.) Informasjon til vgs

7 Om interne truslar: - Manglande kontroll på informasjon - Oversikt over omfang av informasjon - Informasjon på ei rekkje medium - Svikt i interne rutinar - Oppdatering av programvare (tryggleikshol) - Tryggleikskopi manglar - Misbruk av IT - Auka kompleksitet i systema - Kompromiss mellom effektivitet og funksjonalitet og tryggleik - Manglande kompetanse og haldningar Informasjon til vgs

8 :Mobile utfordringar Hittegods Gardermoen OSL Mobiler 2874 per dag = 8 Bærbare Pcer 1100 per dag = 3 Hittegods NSB Oslo S Mobiler 840 per dag = 2,3 Bærbare Pcer 120 per dag = 0,3 Introduksjonsdag for nye leiarar og mellomleiarar 5. april

9 Eksempel - virus Aftenposten Informasjon til vgs

10 Eksempel sosiale medier / nettenester Informasjon til vgs

11 Menneskeleg feil? Informasjon til vgs

12 Eksempel Altinn Informasjon til vgs

13 Eksempel - Svindel Vi går for å være de mest naive brukerne i Europa (NORSIS): Informasjon til vgs

14 Eksempel - Sosial manipulering Informasjon til vgs

15 Forts Informasjon til vgs

16 Korleis oppnå tryggleik: Organisasjon Teknologi Tryggleik Menneske Informasjon til vgs

17 Arbeidet med informasjonstryggleik i fylkeskommunen Tryggleiksutvalet Informasjon til vgs

18 Organisering: Fylkesrådmannen Sekretariat (Eirik Jenssen) Tryggleiksutvalet Jur. Avd. Gudmund Lode It-seksj. Dagfinn Grønvik Arkiv/dok.sent. Geir Håvard Ellingseter Tannhelseavd. Bjørn Eggen Utd.avd. Sverre Hollen Vgs adm. Ingeborg Busch Vgs it Lidvard Lundanes Tillitsvalt Viggo Jordahl Øvrige avdelingar Utdanningsavdelinga Tannhelseavdelinga Vidaregåande skoler Tannhelsetenesta Informasjon til vgs

19 Informasjonstryggleikshandboka Verkty for å ivareta informasjonstryggleik - Byggjer på: Personopplysningslova Personopplysningsforskrifta Retteleiing i informasjonstryggleik (Datatilsynet) - Overordna utgangspunkt - Ny utgåve våren 2013 Informasjon til vgs

20 Tryggleiksmål Møre og Romsdal fylkeskommune sitt mål for informasjonstryggleik er: - at opplysningar ikkje kjem uvedkomande i hende (sikre konfidensialitet) - å sikre tilgjenge til opplysningane slik at dei med tenesteheimel kan bruke opplysningane når dei treng dei (sikre tilgjengelighet) - å sikre at personopplysningar er korrekte (ikkje blir utilsikta endra) (sikre integritet) Informasjon til vgs

21 Informasjon til vgs

22 Personopplysningslova Informasjon til vgs

23 Personopplysningslova - definisjonar Informasjon til vgs

24 Vilkår for å behandle opplysningar Informasjon til vgs

25 9. Behandling av sensitive personopplysninger Sensitive personopplysninger (jf. 2 nr. 8) kan bare behandles dersom behandlingen oppfyller et av vilkårene i 8 og a) b) den registrerte samtykker i behandlingen, det er fastsatt i lov at det er adgang til slik behandling, c) behandlingen er nødvendig for å beskytte en persons vitale interesser, og den registrerte ikke er i stand til å samtykke, d) det utelukkende behandles opplysninger som den registrerte selv frivillig har gjort alminnelig kjent, e) behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare et rettskrav, f) behandlingen er nødvendig for at den behandlingsansvarlige kan gjennomføre sine arbeidsrettslige plikter eller rettigheter, g) behandlingen er nødvendig for forebyggende sykdomsbehandling, medisinsk diagnose, sykepleie eller pasientbehandling eller for forvaltning av helsetjenester, og opplysningene behandles av helsepersonell med taushetsplikt, eller h) behandlingen er nødvendig for historiske, statistiske eller vitenskapelige formål, og samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte. Informasjon til vgs

26 Grunnkrav til behandling av personopplysningar Informasjon til vgs

27 Andre krav til verksemda Informer om kva opplysningar som blir behandla. Gje innsyn til den opplysningane gjeld. Feil / mangelfulle opplysningar skal rettast. Slett opplysningane når det ikkje lenger er behov for dei. Informasjon til vgs

28 Informasjonstryggleik Oversikt over dei opplysningane vi behandlar Gjennomføring av risikovurdering Sikring i høve konfidensialitet, integritet og tilgjenge Handtering av avvik Dei same krava gjeld om ein nyttar ekstern leverandør. Informasjon til vgs

29 Opplysningar i system Informasjon til vgs

30 Risikovurdering Gjennomførast: Alltid før ei ny behandling av personopplysningar. Ved større endringar i eksisterande system eller løysingar. Bytte av leverandør på sentrale tenester. Når det oppstår avvik av alvorleg grad, og alltid ved uautorisert utlevering av personopplysningar der konfidensialitet er nødvendig. Som ein del av kontroll og oppfølging. I sin enklaste form ei vurdering av sannsynlegheit og konsekvens. Skal gi svar på om det er nødvendig med tiltak for å sikre opplysningar, utstyr, rom e.a. med tanke på konfidensialitet, integritet eller tilgjenge. Informasjon til vgs

31 Avviksrapportering - Avdekkje - Reparere gjenopprette - Forbetre skal ikkje skje igjen - På bakgrunn av meldingar frå tilsette til - Leiar - Superbruker - Support Det skal skrivast avviksrapport: -tilsette brukar IS utan autorisasjon og/eller opplæring -virus har komme gjennom virusvernet og gjort skade/spreidd seg -(u)tilsikta utlevering /endring av personopplysningar (K&I) -IS blir utsett for innbrot eller innbrotsforsøk -feil i utstyr / program verkar inn på sikring av og bruk av IS -Ikkje uttømmande liste Informasjon til vgs

32 Handtering av avvik Møre og Romsdal fylkeskommune sitt sentrale avvikssystem skal nyttast til å melde avvik. Den som oppdagar avviket skal prøve å løyse det for å redusere skadeomfanget. Avvik skal alltid evaluerast av databehandlingsansvarleg. Alle avviksmeldingar skal arkiverast i minst 5 år og vere tilgjengeleg for tilsynsmyndigheitene. Om avviket har medført uautorisert utlevering av, eller tilgang til, personopplysningar der konfidensialitet er nødvendig, skal Datatilsynet varslast. Informasjon til vgs

33 Eksempel - Fronter Romsdals Budstikke : Informasjon til vgs

34 Eksempel - faks Informasjon til vgs

35 Eksempel minnepinne Informasjon til vgs

36 Tiltak og etterlevelse? Informasjon til vgs

37 Opplæringsloven vs personopplysningsloven Unntatt melde- og konsesjonsplikt for behandlingar som skjer i medhald av opplæringslova, eller det er innhenta samtykke frå eleven. Personopplysningsforskrifta 7-20 Personopplysningslovas øvrige bestemmingar gjeld framleis Informasjon til vgs

38 IOP Opplæringslova seier: 5-5. Unntak frå reglane om innhaldet i opplæringa Reglane om innhaldet i opplæringa i denne lova og i forskrifter etter denne lova gjeld for spesialundervisning så langt dei passar. For elev som får spesialundervisning, skal det utarbeidast individuell opplæringsplan. Planen skal vise mål for og innhaldet i opplæringa og korleis ho skal drivast. Også avvikande kontraktsvilkår for lærlingar kan fastsetjast i den individuelle opplæringsplanen. Informasjon til vgs

39 IOP behandling av opplysningar Behandlingsgrunnlaget føreligg. Informasjonsflyt? Kven er involvert i utarbeiding av IOP? Korleis gjere det sikkert? Informasjon til vgs

40 Timeplanar på Internett Behandling av opplysningar som krev eit behandlingsgrunnlag Kor finn vi det? Samtykke Gjeld også for lærarane sine timeplanar. Usemje om generelle timeplanar også er omfatta. Vi meiner det ikkje er personopplysningar, men ver varsam. Informasjon til vgs

41 Rustesting Frivillig Krav om samtykke frå elevar. Ingen heimel i opplæringslova Ingen forklaringsplikt Eleven treng ikkje grunngje kvifor han eller ho ikkje ønskjer å la seg rusteste. Ingen konsekvensar av å seie nei Skulen kan ikkje sanksjonere overfor elevar som eventuelt ikkje samtykker til rustesting. Krav i personopplysingslova Personopplysningslova stiller krav til korleis skulen behandlar resultata frå eventuelle rustestar. Kva rutinar har skulen for kva som skal oppbevarast. Korleis syt ein for at det ikkje blir lagra overskotinformasjon. Testresultata skal ikkje bli tilgjengeleg for uvedkomande. Resultata skal slettast når dei ikkje lenger er nødvendige. Informasjon til vgs

42 Ransaking utan mistanke Alvorlig inngrep Å ransaka elevar, eller å la ein hund undersøke sekken til eleven, representerer eit alvorleg inngrep i elevens private sfære. Skriftleg samtykke Stortinget vedtok våren 2012 at politiet må hente inn skriftleg samtykke frå elever før det gjennomførast eventuelle personverninngripande rusaksjonar ved skulane. Er elevane under 16 år må foreldra samtykke. Ingen forklaringsplikt Eleven treng ikkje grunngje kvifor han eller ho ikkje ønskjer å la seg ransake. Ingen konsekvensar av å seie nei Skulen kan ikkje sanksjonere overfor elevar som eventuelt ikkje samtykker til slike tiltak. Informasjon til vgs

43 Andre spørsmål? Informasjon til vgs

44 Informasjon til vgs

45 Informasjon til vgs

46 Informasjon til vgs