Hvordan styre informasjonssikkerhet i et dynamisk trusselbilde? Tommy Molnes Security Manager Digital Sikkerhet AS

Størrelse: px
Begynne med side:

Download "Hvordan styre informasjonssikkerhet i et dynamisk trusselbilde? Tommy Molnes Security Manager Digital Sikkerhet AS"

Transkript

1 Hvordan styre informasjonssikkerhet i et dynamisk trusselbilde? Tommy Molnes Security Manager Digital Sikkerhet AS

2 Agenda Hva skal vi beskytte? Hvilke krav stilles? Forskrift om beredskap i kraftforsyningen Hvordan konsolidere krav til et styringssystem? Standarder og ressurser

3 Sikkerhetstiltak Hva skal vi beskytte? Trusler Sikre at informasjon/objekt er korrekt og fullstendig Risiko Sikkerhetstiltak Informasjon/ Objekt Integritet Tilgjengelighet Konfidensialitet Sikkerhetstiltak Sikkerhetstiltak Sikre at informasjon/objekt bare er tilgjengelig for de som skal ha tilgang Sårbarheter Sikre at informasjon/objekt er tilgjengelig innenfor de krav som er satt

4 Hvilke krav stilles til el-forsyningen Sikkerhetsarbeid er 80% organisasjon og 20% teknologi Lovmessige krav og hjemler Teknisk Policyer Sikkerhetsarbeid Retningslinjer Organisasjon Revisjon Utdanning

5 Lovmessige krav og hjemler Lovmessige krav og hjemler Policyer Energiloven Energilovforskriften Beredskapsforskriften for kraftforsyningen Sikkerhetsloven Retningslinjer Revisjon Bevisstgjøring Utdanning sluttbruker

6 Policyer Lovmessige krav og hjemler Policyer 6 4. Særlige krav til driftskontrollsystemer ( ) Både for utformingen av driftskontrollsystemet og for driften av dette, bør det utformes en samlet sikkerhetspolicy med beskrivelse av risiko, krav, tiltak og lignende. ( ) Retningslinjer Revisjon Utdanning Eksempler: Sikkerhetspolicy/Sikkerhetskonsept Policy for bruk av eksterne lagringsmedier Policy for bruk av internett

7 Retningslinjer Lovmessige krav og hjemler Policyer Retningslinjer Revisjon Bevisstgjøring Utdanning sluttbruker 6 2. Beskyttelse av informasjon ( ) Det skal utarbeides og implementeres sikkerhetsinstruks og gjennomføres tiltak og rutiner ( ) 6 4. Særlige krav til driftskontrollsystemer ( ) Alle enheter i KBO skal til en hver tid ha oppdatert dokumentasjon over de eksisterende og planlagte driftskontrollsystemer( ) Kan f.eks. omfatte: Sikker bruk av driftskontrollsystemer Konfigurasjonskontroll av informasjonssystemer Håndtering av lagringsmedier Sikring av objekter

8 Revisjon Lovmessige krav og hjemler Policyer Retningslinjer Revisjon 6 2. Beskyttelse av informasjon (...)Enheten skal gjennomføre tiltak og rutiner for å sikre at beskyttelsen er effektiv. Dette kan være i form av: Rutiner for rapportering av sikkerhetsbrudd/ sikkerhetstruende hendelser og behandling av slike rapporter Periodiske egenevalueringer Uavhengige, eksterne gjennomganger Interne revisjoner ( ) Bevisstgjøring Utdanning sluttbruker

9 Utdanning Lovmessige krav og hjemler Policyer Retningslinjer 3 2. Kompetanse ( ) Alle enheter i KBO skal ha personell med den kompetanse som kreves i ulike funksjoner for å kunne gjennomføre oppgaver i forbindelser med ulykker, skader og andre ekstraordinære situasjoner på en sikker og effektiv måte ( ) Revisjon Bevisstgjøring Utdanning sluttbruker

10 Teknisk Teknisk 6 4. Særlige krav til driftskontrollsystemer ( ) b) Tilgangskontroll Alle driftskontrollsystemer skal ha kontrollordninger som effektivt beskytter mot intern og ekstern uautorisert fysisk og elektronisk tilgang og spredning av ondsinnet programvare og lignende. ( ) Eksempel: Brannvegger, adgangskontrollsystemer, kameraovervåkning, nettverkssensorer, spamfiltre etc.

11 Kvalitetssystem 1 2. Kvalitetssystem Alle enheter i KBO skal ha et kvalitetssystem som dokumenterer at kravene i denne forskriften er oppfylt. Systemet skal inneholde opplysninger og dokumentasjon som er nødvendig for a gjennomføre tilsyn. Systemet skal gjenspeile faktisk tilstand og dette skal kunne kontrolleres.

12 Art of War 不 知 己, 每 戰 必 殆 If you do not know your enemies nor yourself, you will be imperiled in every single battle; 不 知 彼 而 知 己, 一 勝 一 負 if you do not know your enemies but do know yourself, you will win one and lose one; 知 彼 知 己, 百 戰 不 殆 if you know your enemies and know yourself, you will not be imperiled in a hundred battles. - Sun Tzu 600 f.kr

13 Lær deg selv å kjenne Er ledelsen med? Utarbeide sikkerhetspolicy Kommunisere ledelsens mål og behov for sikkerhet Rammeverk for informasjonssikkerhet Hva er akseptabel risiko? Identifiserer roller og ansvar

14 Lær deg selv å kjenne Identifisere og verdivurdere forretningskritiske prosesser, funksjoner og data Gjennomføre sårbarhetsanalyse på virksomhetens verdier (assets) Hvilke iboende sårbarheter har mine assets? Hvilken konsekvens vil et fravær medføre?

15 Lær din fiende å kjenne Kompetanse i egen organisasjon Kjenne til hvilke trusler virksomheten står ovenfor Gjennomføre risikoanalyse Hva er sannsynligheten for at en gitt hendelse inntreffer? Hvilken risiko står mine assets ovenfor?

16 Risikostyring Vi kjenner oss selv og vi «kjenner» vår fiende Utarbeide tiltak for å imøtekomme identifisert risiko Eksempel på kategorisering av tiltak: Tekniske Organisasjonsmessige Forsikringsmessige Kompetanse Risikoanalyser bør som minimum gjennomføres årlig

17 Sikkerhetsegenskaper Sikkerhetstiltak Informasjonstilstander Sikkerhetsegenskaper Informasjonstilstander Sikkerhetstiltak Policy & prosedyrer Personell Teknologi

18 Dynamisk styringsprosess Planlegging Overordnet sikkerhetspolitikk Risiko- og sårbarhetsanalyse Revisjon Identifisere forbedringsbehov Korrigerende tiltak Implementasjon Sikkerhetstiltak Policy og Retningslinjer Verifikasjon Monitorering Oppfølging og evaluering

19 Kjente standarder Man ma ikke finne opp hjulet pa nytt ISO COBIT (ISACA) Ressurser/ malverk: Nasjonal Sikkerhetsmyndighet (NSM) Veiledninger ift sikkerhetsloven Norsk Senter for Informasjonssikkerhet (NorSIS) Veiledninger ift best practice

20 Avdeling Oslo Digital Sikkerhet AS Fornebuveien Lysaker Kontakt: Telefon : Faks : E-Post :

ISO 27001 Syscom brukerforum 2013 Jørn Erik Hornseth og Torbjørn Remmen

ISO 27001 Syscom brukerforum 2013 Jørn Erik Hornseth og Torbjørn Remmen ISO 27001 Syscom brukerforum 2013 Jørn Erik Hornseth og Torbjørn Remmen Informasjonssikkerhet Visjon «Organisasjonen anerkjennes som ledende aktør innen informasjonssikkerhet» Oppdrag «Å designe, implementere,

Detaljer

Velkommen! RiskManager styringssystem for informasjonssikkerhet (ISMS) - 6.12.2012. Susanne Helland Flatøy Markedssjef Digital Kvalitet

Velkommen! RiskManager styringssystem for informasjonssikkerhet (ISMS) - 6.12.2012. Susanne Helland Flatøy Markedssjef Digital Kvalitet Velkommen! RiskManager styringssystem for informasjonssikkerhet (ISMS) - 6.12.2012 Susanne Helland Flatøy Markedssjef Digital Kvalitet Agenda En prosessbasert tilnærming: Planlegge sikringstiltak Utføre

Detaljer

Internkontroll og informasjonssikkerhet lover og standarder

Internkontroll og informasjonssikkerhet lover og standarder Internkontroll og informasjonssikkerhet lover og standarder Renate Thoreid, senioringeniør Side 1 Internkontroll og Informasjonssikkerhet Krav i Personopplysningsloven 13 og 14 Krav i Personopplysningsforskriften

Detaljer

Risikovurdering av cybersystemer

Risikovurdering av cybersystemer Risikovurdering av cybersystemer Atle Refsdal Seminar: Cyberspace Hva er utfordringene fra et risikoperspektiv? SINTEF, 22. januar, 2016 1 Oversikt Kontekstetablering Cyber-risk identifikasjon Analyse

Detaljer

Lagring av personopplysninger. Øyvind Eilertsen UNINETT CERT. SUHS-konferansen Informasjonssikkerhet Behandling av personopplysninger:

Lagring av personopplysninger. Øyvind Eilertsen UNINETT CERT. SUHS-konferansen Informasjonssikkerhet Behandling av personopplysninger: Lagring av personopplysninger Øyvind Eilertsen UNINETT CERT SUHS-konferansen 2011 Dagens tekst Informasjonssikkerhet Behandling av personopplysninger: Organisatoriske krav Tekniske krav Informasjonssikkerhetsarbeidet

Detaljer

Personopplysningsforskriften kapittel 2 og 3 - ISO/IEC 27001

Personopplysningsforskriften kapittel 2 og 3 - ISO/IEC 27001 Personopplysningsforskriften kapittel 2 og 3 - ISO/IEC 27001 Personopplysningsforskriften Krav utledet av paragrafene i forskriften Tilsvarer krav og kontroller i ISO/IEC 27001 2-1 Forholdsmessige krav

Detaljer

VI BYGGER NORGE MED IT.

VI BYGGER NORGE MED IT. VI BYGGER NORGE MED IT. DEN NYE WIFI-LØSNINGEN HAR GITT STAVANGER FORUM ET LØFT SOM GIR OSS MULIGHET TIL Å TILBY UNIKE LØSNINGER FOR KUNDENE VÅRE Stavanger Forum Lokal tilstedeværelse og global leveransekapasitet

Detaljer

Verdivurdering også for næringslivet! NSR Sikkerhetskonferansen 2009 Dagfinn Buset Seksjon for analyse og tilsyn Nasjonal sikkerhetsmyndighet

Verdivurdering også for næringslivet! NSR Sikkerhetskonferansen 2009 Dagfinn Buset Seksjon for analyse og tilsyn Nasjonal sikkerhetsmyndighet Verdivurdering også for næringslivet! NSR Sikkerhetskonferansen 2009 Dagfinn Buset Seksjon for analyse og tilsyn Nasjonal sikkerhetsmyndighet Nasjonal sikkerhetsmyndighet Sikre samfunnsverdier 1 Jeg skal

Detaljer

Sikkerhetsledelse et løpende og langsiktig arbeid. - Som ikke alltid gir raske resultater

Sikkerhetsledelse et løpende og langsiktig arbeid. - Som ikke alltid gir raske resultater Sikkerhetsledelse et løpende og langsiktig arbeid - Som ikke alltid gir raske resultater Innhold Fem overordnede prinsipper for sikkerhetsledelse Six impossible things before breakfast Og en oppsummerende

Detaljer

Tema for tilsyn 2011

Tema for tilsyn 2011 Funn på tilsyn 2011 11. januar 2012 Johannes Sjo Steinsvåg Seksjon for beredskap Tema for tilsyn 2011 Standard tilsyn: Drift og ggjenoppretting gunder ekstraordinære forhold Risiko- og sårbarhetsanalyser

Detaljer

Aggregering av risikoanalyser med hensyn til etterlevelse

Aggregering av risikoanalyser med hensyn til etterlevelse Aggregering av risikoanalyser med hensyn til etterlevelse Atle Refsdal Atle.Refsdal@sintef.no 1 Oversikt Problemstilling Eksempler og kravtyper Målsetting og utfordringer Skisse til metode 2 Problemstilling

Detaljer

IKT sikkerhet, regelverk og teknologi. Hvordan gjør Glitre Energi Nett det? Energidagene 2016

IKT sikkerhet, regelverk og teknologi. Hvordan gjør Glitre Energi Nett det? Energidagene 2016 IKT sikkerhet, regelverk og teknologi. Hvordan gjør Glitre Energi Nett det? Energidagene 2016 Otto.Rustand@glitreenergi.no Agenda Kort om Glitre Energi Nett Strategi for IKT sikkerhet Modernisering av

Detaljer

Sikkerhet innen kraftforsyningen

Sikkerhet innen kraftforsyningen Sikkerhet innen kraftforsyningen Dataforeningen, 12.11.2014 Arthur Gjengstø, NVE Strømmen fram til «stikkontakten» Færrest mulig avbrudd Raskest mulig gjenoppretting Verdien av strøm før og under strømbrudd

Detaljer

Hvordan sikre seg at man gjør det man skal?

Hvordan sikre seg at man gjør det man skal? Beredskapsforskriften og krav om ROS-analyser. Hvordan sikre seg at man gjør det man skal? Roger Steen NVE, Beredskapsseksjonen rost@nve.no Tenk igjennom hva som kunne vært konsekvensene for ditt selskap

Detaljer

Norges vassdrags- og energidirektorat

Norges vassdrags- og energidirektorat Norges vassdrags- og energidirektorat Helhetlig tilnærming til beredskapsarbeidet Orientering på seminar i regi av EBL 22 okt. 2008 Roger Steen beredskapsseksjonen rost@nve.no www.nve.no Disposisjon Hvorfor

Detaljer

Standarder for risikostyring av informasjonssikkerhet

Standarder for risikostyring av informasjonssikkerhet Standarder for risikostyring av informasjonssikkerhet Standardiseringsrådsmøte 13.mars 2012 Beslutningssak Mehran Raja Bakgrunn for utredningen Difi har ferdigstilt 2 rapporter som anbefaler å se nærmere

Detaljer

Styringssystem for informasjonssikkerhet et topplederansvar

Styringssystem for informasjonssikkerhet et topplederansvar Styringssystem for informasjonssikkerhet et topplederansvar Jan Sørgård Seniorrådgiver Difi Visjon «Vi utvikler offentlig sektor» Områder Digital forvaltning Offentlige anskaffelser Ledelse og organisering

Detaljer

Styringssystem i et rettslig perspektiv

Styringssystem i et rettslig perspektiv Styringssystem i et rettslig perspektiv Seminar 14. oktober 2011 Seniorrådgiver Ingvild Høvik Kiland STYRING AV INFORMASJONSSIKKERHET? Dato Direktoratet for forvaltning og IKT Hva sier loven? Dato Direktoratet

Detaljer

Hva er et styringssystem?

Hva er et styringssystem? Hva er et styringssystem? Og forholdet mellom ISO 27001 og 27002 Seminar 12. april 2012 Ingvild Høvik Kiland Riksrevisjonens Dok 1 (2010-2011) Revisjonen var basert på Nasjonale retningslinjer for å styrke

Detaljer

Informasjonssikkerhet i Norge digitalt Teknologiforum 07.11.13

Informasjonssikkerhet i Norge digitalt Teknologiforum 07.11.13 Informasjonssikkerhet i Norge digitalt Teknologiforum 07.11.13 Trond Skyseth, sikkerhetsleder, Kartverket Plan for innspill Hensikt Prinsipper for informasjonssikkerhet i ND Hvorfor er sikkerhet viktig

Detaljer

Strategi for Informasjonssikkerhet

Strategi for Informasjonssikkerhet Strategi for Informasjonssikkerhet Vedtatt 2015 Informasjonssikkerhet og personvern en naturlig del av Bergen kommune Side 1 av 8 Innholdsfortegnelse Sammendrag 3 Visjon 3 Innledning 4 Begreper 5 Nasjonalt

Detaljer

Internkontroll. SUHS konferansen. 07. November 2012 Kenneth Høstland, CISA, CRISC

Internkontroll. SUHS konferansen. 07. November 2012 Kenneth Høstland, CISA, CRISC Internkontroll SUHS konferansen 07. November 2012 Kenneth Høstland, CISA, CRISC Innhold Internkontroll Regulatorisk forankring Ulike tilnærminger til internkontroll Litt om trusler Generelle erfaringer

Detaljer

Presentasjon sikkerhetsforum Avdelingsdirektør Arne Lunde Uh-avdelingen KD

Presentasjon sikkerhetsforum Avdelingsdirektør Arne Lunde Uh-avdelingen KD Presentasjon sikkerhetsforum 2014 Avdelingsdirektør Arne Lunde Uh-avdelingen KD Agenda Regjeringens politikk Regulatoriske krav til etablering av tiltak for å sikre informasjonssikkerheten Risk management

Detaljer

Styrende dokumenter og informasjonssikkerhet - erfaringer fra Hydro

Styrende dokumenter og informasjonssikkerhet - erfaringer fra Hydro Styrende dokumenter og informasjonssikkerhet - erfaringer fra Hydro Sintef-seminar 22.november 2006 Hege Jacobsen Hydro IS Partner, Norsk Hydro 2006-11-20 Innhold Hydros organisasjon Målene for informasjonssikkerhet

Detaljer

Rettslige krav til styring av informasjonssikkerhet. Karin Kristiansen og Amund Eriksen

Rettslige krav til styring av informasjonssikkerhet. Karin Kristiansen og Amund Eriksen Rettslige krav til styring av informasjonssikkerhet Karin Kristiansen og Amund Eriksen Hva får dere IKKE? Informasjonssikkerhet? Informasjonssikkerhet dreier seg om å håndtere risiko relatert til virksomhetens

Detaljer

Nasjonal sikkerhetsmyndighet

Nasjonal sikkerhetsmyndighet Nasjonal sikkerhetsmyndighet Veiledning Sist oppdatert: 2002-08-23 Veiledning til 5-25: Utarbeidelse av driftsinstruks Nasjonal sikkerhetsmyndighet Nasjonal sikkerhetsmyndighet er tverrsektoriell fag-

Detaljer

Risikovurdering. Utgitt med støtte av: Støttedokument Faktaark nr 7 Versjon: 3.0 Dato: 12.2.2015

Risikovurdering. Utgitt med støtte av: Støttedokument Faktaark nr 7 Versjon: 3.0 Dato: 12.2.2015 Utgitt med støtte av: Norm for informasjonssikkerhet www.normen.no Risikovurdering Støttedokument Faktaark nr 7 Versjon: 3.0 Dato: 12.2.2015 Formål Ansvar Gjennomføring Omfang Målgruppe Dette faktaarket

Detaljer

Revisjon av IT-sikkerhetshåndboka

Revisjon av IT-sikkerhetshåndboka Direktørnettverket 4. juni 2014 Revisjon av IT-sikkerhetshåndboka IT-direktør Lars Oftedal Formål IT-sikkerhetsarbeidet skal sikre universitetets verdier, virksomhet, resultater og omdømme. Det skal beskytte

Detaljer

Erfaringer fra revisjon av informasjonssikkerhet i statsforvaltningen

Erfaringer fra revisjon av informasjonssikkerhet i statsforvaltningen Erfaringer fra revisjon av informasjonssikkerhet i statsforvaltningen Konferanse om informasjonssikkerhet i offentlig sektor Stig Folkvord - 21. oktober 2014 Om Riksrevisjonen Visjon: Bedre offentlig ressursbruk.

Detaljer

VEDLEGG A UTKAST TIL LEVERANSEBESKRIVELSE

VEDLEGG A UTKAST TIL LEVERANSEBESKRIVELSE ANSKAFFELSESNR.: K-00319 Rammeavtale informasjonssikkerhet Side 1 av 5 VEDLEGG A UTKAST TIL LEVERANSEBESKRIVELSE INNHOLDSFORTEGNELSE 1. Bakgrunn og formål med anskaffelsen... 2 2. Leveranseomfang... 2

Detaljer

Etablering av et ISMS Vi er i gang i SPK. Gunilla Fagerberg Grimsgaard

Etablering av et ISMS Vi er i gang i SPK. Gunilla Fagerberg Grimsgaard Etablering av et ISMS Vi er i gang i SPK Gunilla Fagerberg Grimsgaard Agenda Hvem er statens pensjonskasse? Hvordan har SPKs organisert sikkerhetsarbeidet? Prosesser for å ivareta ISMS Rapporteringsstruktur

Detaljer

Revisjon av informasjonssikkerhet

Revisjon av informasjonssikkerhet Revisjon av informasjonssikkerhet Frode Ikdahl Andreas Førde Oslo 14. juni 2012 2 Oversikt Rammeverk og standarder IKT-profil Revisjon av informasjonssikkerhet 2009 (Dok.1 2010-2011) Revisjon av informasjonssikkerhet

Detaljer

Nasjonal sikkerhetsmyndighet

Nasjonal sikkerhetsmyndighet Nasjonal sikkerhetsmyndighet Veiledning Sist oppdatert: 2002-08-23 Veiledning til 5-26: Utarbeidelse av brukerinstruks Nasjonal sikkerhetsmyndighet Nasjonal sikkerhetsmyndighet er tverrsektoriell fag-

Detaljer

Nasjonal sikkerhetsmyndighet

Nasjonal sikkerhetsmyndighet Nasjonal sikkerhetsmyndighet Veiledning Sist oppdatert: 2006-11-24 Veiledning i Sikkerhetsadministrasjon Grunnlagsdokument for sikkerhet Grunnlagsdokumentet er virksomhetens styringsdokument for den forebyggende

Detaljer

Oversending av revisjonsrapport Fredrikstad Fjernvarme AS

Oversending av revisjonsrapport Fredrikstad Fjernvarme AS Fredrikstad Fjernvarme AS Stabburveien 18 1617 FREDRIKSTAD Vår dato: 11.02.2016 Vår ref.: 201506574-7 Arkiv: 447 Deres dato: 05.02.2016 Deres ref.: Per Bolstad Saksbehandler: Amir Messiha ame@nve.no Oversending

Detaljer

Utredning av standarder for styring av informasjonssikkerhet

Utredning av standarder for styring av informasjonssikkerhet Utredning av standarder for styring av informasjonssikkerhet 26. standardiseringsrådsmøte Beslutningssak 16.03.2011 Bakgrunn I 23.rådsmøte (2.- 3. juni) ble forprosjektsrapporten og arbeidsgruppens innstilling

Detaljer

Mandal kommunes styringssystem for informasjonssikkerhet Utkast, mars 2011

Mandal kommunes styringssystem for informasjonssikkerhet Utkast, mars 2011 Mandal kommunes styringssystem for informasjonssikkerhet Utkast, mars 2011 1 1.0 INNLEDNING. Mandal kommune samler inn, oppbevarer og bruker personopplysninger som en nødvendig del for å kunne utføre sine

Detaljer

Mandat informasjonssikkerhet. Avdelingsdirektør Arne Lunde Uh-avdelingen KD

Mandat informasjonssikkerhet. Avdelingsdirektør Arne Lunde Uh-avdelingen KD Mandat informasjonssikkerhet Avdelingsdirektør Arne Lunde Uh-avdelingen KD Definisjoner Informasjonssikkerhet handler om hvordan informasjonens konfidensialitet, integritet og tilgjengelighet blir ivaretatt.

Detaljer

Styringssystem for informasjonssikkerhet

Styringssystem for informasjonssikkerhet Styringssystem for informasjonssikkerhet et topplederansvar og en viktig kulturpåvirker Jan Sørgård Seniorrådgiver Difi Visjon «Vi utvikler offentlig sektor» Områder Digital forvaltning Offentlige anskaffelser

Detaljer

Felles journal. Fra et samfunnssikkerhets- og beredskapsperspektiv. avdelingsdirektør

Felles journal. Fra et samfunnssikkerhets- og beredskapsperspektiv. avdelingsdirektør Felles journal Fra et samfunnssikkerhets- og beredskapsperspektiv Elisabeth Longva, avdelingsdirektør 4. mai 2017 DSB (Direktoratet for samfunnssikkerhet og beredskap) Samordningsansvar på nasjonalt nivå

Detaljer

Kvalitetssikring av arkivene

Kvalitetssikring av arkivene Kvalitetssikring av arkivene Kort om ROS-analysen og erfaringene fra UiT Norges arktiske universitet arkivleder Anita Dahlberg Kort om UiT Norges arktiske universitet Opprettet 1968 (vedtak) Sammenslått

Detaljer

Ifølge Stortingsmelding nr. 17 (2006-2007) «Et informasjonssamfunn for alle» bygger begrepet IKT-sikkerhet på tre basisegenskaper:

Ifølge Stortingsmelding nr. 17 (2006-2007) «Et informasjonssamfunn for alle» bygger begrepet IKT-sikkerhet på tre basisegenskaper: Geir Martin Pilskog og Mona I.A. Engedal 8. Økende bruk av informasjons- og kommunikasjonsteknologi (IKT) medfører flere utfordringer når det gjelder sikkerhet ved bruken av IKT-system, nettverk og tilknyttede

Detaljer

Avmystifisere internkontroll/styringssystem - informasjonssikkerhet

Avmystifisere internkontroll/styringssystem - informasjonssikkerhet Avmystifisere internkontroll/styringssystem - informasjonssikkerhet Difis veiledningsmateriell Jan Sørgård, seniorrådgiver Difi Difi Visjon: Vi utvikler offentlig sektor Digitalisering Anskaffelser Organisering

Detaljer

Samling for Norges beste beredskapsteam - KBO i Molde 27. 28. mai 2009 -

Samling for Norges beste beredskapsteam - KBO i Molde 27. 28. mai 2009 - Samling for Norges beste beredskapsteam - KBO i Molde 27. 28. mai 2009 - Arthur Gjengstø seksjonssjef, beredskapsseksjonen epost: argj@nve.no; mobil: 48 12 74 98 Velkommen Til Norges beste fylke Til informasjon,

Detaljer

ISO27001 som del av forvaltningen

ISO27001 som del av forvaltningen ISO27001 som del av forvaltningen Froskostseminar 8. april 2011 Geir Arild Engh-Hellesvik KPMG Advisory Presentasjon KPMG Informasjonssikkerhet Krav til informasjonssikkerhet i lovverket ISO27001 Hvor

Detaljer

Internkontroll i mindre virksomheter - introduksjon

Internkontroll i mindre virksomheter - introduksjon Internkontroll i mindre virksomheter - introduksjon Veileder 07/02a (del 1 av 2) Publisert 15.02.2007 Datatilsynet Gateadresse: Tollbugata 3, Oslo Postadresse: postboks 8177, dep 0034 Oslo E-post: postkasse@datatilsynet.no

Detaljer

Risikovurdering av AMS

Risikovurdering av AMS Risikovurdering av AMS Frank Skapalen Seksjon for beredskap, energiavdelingen NVEs BfK-seminar 11. januar 2012 Rekkefølge Formål med AMS, funksjoner Hva vi har jobbet med i risikovurderingen Scenarioer

Detaljer

Helhetlig risikostyring og informasjonssikkerhet. Knut Håkon T. Mørch PricewaterhouseCoopers knut.morch@no.pwc.com Tlf.

Helhetlig risikostyring og informasjonssikkerhet. Knut Håkon T. Mørch PricewaterhouseCoopers knut.morch@no.pwc.com Tlf. Helhetlig risikostyring og informasjonssikkerhet Knut Håkon T. Mørch PricewaterhouseCoopers knut.morch@no.pwc.com Tlf. 95 26 04 38 Innhold Informasjonssikkerhet og modenhet Helhetlig risikostyring Rammeverk

Detaljer

Styringssystem basert på ISO 27001

Styringssystem basert på ISO 27001 Styringssystem basert på ISO 27001 Agenda ISO/IEC 27001 - krav i standarden Styringssystem ISMS Beslutning og oppstart av prosjekt Definere omfang og kriterier Hva må utarbeides og hvordan? Hvordan implementere

Detaljer

Sikkerhet og informasjonssystemer

Sikkerhet og informasjonssystemer Sikkerhet og informasjonssystemer IFEA 19.10.2011 Datasikkerhet i industri og offentlig infrastruktur. Helge Rager Furuseth seniorrådgiver, siv.ing. Avdeling for sikkerhetsforvaltning Nasjonal sikkerhetsmyndighet

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 12/00178 Dato for kontroll: 28.03.2012 Rapportdato: 23.08.2012 Endelig kontrollrapport Kontrollobjekt: Lyngen kommune Sted: Lyngseidet Utarbeidet av: Knut-Bredee Kaspersen 1 Innledning Datatilsynet

Detaljer

Veiledning til IKT- forskriftens 5 "Sikkerhet" August 2013

Veiledning til IKT- forskriftens 5 Sikkerhet August 2013 Veiledning til IKTforskriftens 5 "Sikkerhet" August 2013 2 Finanstilsynet Innhold 1 Innledning 4 2 Forskriftsmessige krav til sikkerhet i IKT-systemene 5 3 Berørte områder av IKT-virksomheten 5 4 Etterlevelse

Detaljer

Hvordan påvirker et varsel om tilsyn interne prioriteringer?

Hvordan påvirker et varsel om tilsyn interne prioriteringer? Hvordan påvirker et varsel om tilsyn interne prioriteringer? Tove Muravez, IT & Admin Manager 23. April 2013 1 DISPOSISJON Tilsynsvarsel trussel eller mulighet? Umiddelbare aksjoner Hvordan tar vi dette

Detaljer

Kommunens Internkontroll

Kommunens Internkontroll Kommunens Internkontroll Verktøy for rådmenn Et redskap for å kontrollere kommunens etterlevelse av personopplysningsloven 2012 Innhold Til deg som er rådmann... 4 Hvordan dokumentet er bygd opp... 4 Oppfølging

Detaljer

Avvikshåndtering og egenkontroll

Avvikshåndtering og egenkontroll Avvikshåndtering og egenkontroll Side 1 av 5 Avvikshåndtering og egenkontroll NB! Innholdet i denne malen må tilpasses til egen virksomhet. Det kan medføre utfylling av ytterligere informasjon og/eller

Detaljer

Internkontroll i Gjerdrum kommune

Internkontroll i Gjerdrum kommune Tatt til orientering i Gjerdrum kommunestyre 14.12.2016 Internkontroll i Gjerdrum kommune Formålet med dokumentet Formålet med dette dokumentet er å beskrive internkontrollen i Gjerdrum kommune. Dokumentet

Detaljer

Virksomhetsstyring i Bane NOR SF

Virksomhetsstyring i Bane NOR SF Virksomhetsstyring i Bane NOR SF DFØ 20 oktober 2016 Agenda Agenda 1 Målbilde: Modenhet Virksomhetsstyring i Bane Nor SF 2 Status: Modenhet Virksomhetsstyring i Jernbaneverket 3 Veien videre: Ambisjon

Detaljer

Veileder BfK Kap 6 Informasjonssikkerhet med fokus på klasse 2 og 3-anlegg. Frank Skapalen Seksjon for beredskap, energiavdelingen

Veileder BfK Kap 6 Informasjonssikkerhet med fokus på klasse 2 og 3-anlegg. Frank Skapalen Seksjon for beredskap, energiavdelingen Veileder BfK Kap 6 Informasjonssikkerhet med fokus på klasse 2 og 3-anlegg Frank Skapalen Seksjon for beredskap, energiavdelingen Agenda Hvorfor strenge regler til IKT-sikkerhet? Gjennomgang av de viktigste

Detaljer

Internkontroll i praksis (styringssystem/isms)

Internkontroll i praksis (styringssystem/isms) Internkontroll i praksis (styringssystem/isms) Difis veiledningsmateriell internkontroll.infosikkerhet.difi.no Bakgrunn, innhold og status Jan Sørgård, seniorrådgiver Difi 2010-2011 - Tilstanden er ikke

Detaljer

Endelig kontrollrapport

Endelig kontrollrapport Saksnummer: 14/00257 Dato for kontroll: 09.04.2014 Rapportdato: 06.08.2014 Endelig kontrollrapport Kontrollobjekt: Leikanger kommune Sted: Leikanger Utarbeidet av: Ted Tøraasen Knut-Brede Kaspersen 1 Innledning

Detaljer

10.03.2011. Vår digitale hverdag Et risikobilde i endring

10.03.2011. Vår digitale hverdag Et risikobilde i endring Nasjonal sikkerhetsmyndighet Vår digitale hverdag Et risikobilde i endring Etablert 1. januar 2003 Historikk fra 1953 Et sivilt direktorat JD KOORD FD En sektorovergripende myndighet FD er styrende departement.

Detaljer

Sikkerhetsmål og -strategi

Sikkerhetsmål og -strategi Sikkerhetsmål og -strategi Side 1 av 8 Sikkerhetsmål og -strategi NB! Innholdet i denne malen må tilpasses til egen virksomhet. Det kan medføre utfylling av ytterligere informasjon og/eller sletting av

Detaljer

Erfaringer fra tilsyn. Helge Rager Furuseth Nasjonal sikkerhetsmyndighet

Erfaringer fra tilsyn. Helge Rager Furuseth Nasjonal sikkerhetsmyndighet Erfaringer fra tilsyn Helge Rager Furuseth Nasjonal sikkerhetsmyndighet 1 Mål for NSMs tilsyn Pådriver for bedret sikkerhetstilstand Kontrollere overholdelse av plikter Bidra til å finne forbedringspunkter

Detaljer

Referansearkitektur sikkerhet

Referansearkitektur sikkerhet NAV IKT Styring/Arkitektur Referansearkitektur sikkerhet Senior sikkerhetsarkitekt Robert Knudsen Webinar Den Norske Dataforening 22. Mai 2013 Agenda Har vi felles forståelse og oversikt på sikkerhetsområdet?

Detaljer

Sikkerhetsbestemmelsene i personopplysningsforskriften med kommentarer

Sikkerhetsbestemmelsene i personopplysningsforskriften med kommentarer Sikkerhetsbestemmelsene i personopplysningsforskriften med kommentarer Desember 2000 Sikkerhetbestemmelsene i personopplysningsforskriften med kommentarer Side 2 av 15 INNHOLD DEL I INNLEDNING 3 DEL II

Detaljer

Erfaringer med innføring av styringssystemer

Erfaringer med innføring av styringssystemer Erfaringer med innføring av styringssystemer Kåre Presttun kaare@mnemonic.no Kåre Presttun Sivilingeniør fra NTH 1979 Jobbet med sikkerhet siden våren 1980 Har jobbet mye med standardisering Medlem av

Detaljer

Kontrollrapport. Kontrollobjekt: Øksnes kommune Sted: Myre

Kontrollrapport. Kontrollobjekt: Øksnes kommune Sted: Myre Saksnummer: 14/01055 Dato for kontroll: 09.10.2014 Rapportdato: 20.01.2015 Kontrollrapport Kontrollobjekt: Øksnes kommune Sted: Myre Utarbeidet av: Knut-Brede Kaspersen 1 Innledning Datatilsynet gjennomførte

Detaljer

Handbok i informasjonstryggleik. Presentasjon 13.05.08 Geir Håvard Ellingseter, dokumentsenteret

Handbok i informasjonstryggleik. Presentasjon 13.05.08 Geir Håvard Ellingseter, dokumentsenteret Handbok i informasjonstryggleik Presentasjon 13.05.08 Geir Håvard Ellingseter, dokumentsenteret Kva med MR fylke? Ingen har noko å tjene på datainnbrot hos oss. Hærverk, sabotasje Vi har aldri hatt

Detaljer

Egenevalueringsskjema

Egenevalueringsskjema Egenevalueringsskjema for foretakets IT-virksomhet forenklet versjon basert på 12 COBIT prosesser Dato: 10.07.2012 Versjon 2.6 Finanstilsynet Tlf. 22 93 98 00 post@finanstilsynet.no www.finanstilsynet.no

Detaljer

Kontrollrapport. Kontrollobjekt: Våler kommune Sted: Våler

Kontrollrapport. Kontrollobjekt: Våler kommune Sted: Våler Saksnummer: 15/00500 Dato for kontroll: 28.05.2015 Rapportdato: 28.07.2015 Kontrollrapport Kontrollobjekt: Våler kommune Sted: Våler Utarbeidet av: Knut-Brede Kaspersen og Hallstein Husand 1 Innledning

Detaljer

Skytjenester utviklingstrekk, krav og forventninger. Frank Skapalen NVE

Skytjenester utviklingstrekk, krav og forventninger. Frank Skapalen NVE Skytjenester utviklingstrekk, krav og forventninger Frank Skapalen NVE Kilde: http://srmsblog.burtongroup.com/ Innhold Globale utviklingstrekk for skytjenester Skypolitikk Dilemmaet sikkerhet opp mot funksjonalitet

Detaljer

Forvaltningsrevisjon. IKT-sikkerhet og sårbarhet i Arendal kommune

Forvaltningsrevisjon. IKT-sikkerhet og sårbarhet i Arendal kommune Arendal Revisjonsdistrikt IKS Arendal-Birkenes-Froland Gjerstad-Grimstad Lillesand-Risør-Tvedestrand-Vegårshei-Åmli ORG.NR. 971 328 452 Forvaltningsrevisjon IKT-sikkerhet og sårbarhet i Arendal kommune

Detaljer

IT Service Management - ITIL v3. Av Are Sivertsen Sjefskonsulent Atea AS are.sivertsen@atea.no

IT Service Management - ITIL v3. Av Are Sivertsen Sjefskonsulent Atea AS are.sivertsen@atea.no IT Service Management - ITIL v3 Av Are Sivertsen Sjefskonsulent Atea AS are.sivertsen@atea.no IT Service Management Definisjon: Implementasjon og håndtering av IT-tjenester med kvalitet som fyller kommunens

Detaljer

Rapport om sikkerhetstilstanden 2009

Rapport om sikkerhetstilstanden 2009 Nasjonal sikkerhetsmyndighet Rapport om sikkerhetstilstanden 2009 Ugradert versjon I denne rapporten redegjør Nasjonal sikkerhetsmyndighet (NSM) for etterlevelsen av sikkerhetsloven med forskrifter samt

Detaljer

Sikkerhetskultur og informasjonssikkerhet

Sikkerhetskultur og informasjonssikkerhet Sikkerhetskultur og informasjonssikkerhet i UH-sektoren Sikkerhet & Sårbarhet 2013 Øivind Høiem, CISA CRISC Seniorrådgiver Om Øivind Seniorrådgiver ved UHsektorens sekretariat for informasjonssikkerhet

Detaljer

NSMs Risikovurdering 2006

NSMs Risikovurdering 2006 NSMs Risikovurdering 2006 NSMs risikovurderinger er viktig for å gi overordnede myndigheter et bilde av utfordringer NSM, og virksomheter underlagt sikkerhetsloven, står overfor med tanke på den defensive

Detaljer

VTFs Vårmøte juni, Oslo. Orientering om kraftforsyningsberedskap. seksjonssjef Arthur Gjengstø, beredskapsseksjonen, NVE

VTFs Vårmøte juni, Oslo. Orientering om kraftforsyningsberedskap. seksjonssjef Arthur Gjengstø, beredskapsseksjonen, NVE VTFs Vårmøte 2008 4. juni, Oslo Orientering om kraftforsyningsberedskap seksjonssjef Arthur Gjengstø, beredskapsseksjonen, NVE epost: argj@nve.no; mobil: 48 12 74 98 Beredskap i kraftforsyningen skal:

Detaljer

Risikovurdering ved lovpålagte tilsyn i helseforetak. Ali Barzinje 2010

Risikovurdering ved lovpålagte tilsyn i helseforetak. Ali Barzinje 2010 Risikovurdering ved lovpålagte tilsyn i helseforetak Ali Barzinje 2010 Agenda Introduksjon Problemstilling Forskningsspørsmålene Metode Datainnsamling og analyse Arbeid i lignende tilsynsorgan Konklusjon

Detaljer

Risikoanalysemetodikk

Risikoanalysemetodikk Risikoanalysemetodikk Mars 2012 Eva Henriksen, eva.henriksen@telemed.no Eva Skipenes, eva.skipenes@telemed.no Sikkerhetsrådgivere NST www.telemed.no/sikkerhet Metodikk for Risikoanalyse Risikovurdering

Detaljer

Beredskap i kraftforsyninga

Beredskap i kraftforsyninga Sikkerhetsdagene 2011 Beredskap i kraftforsyninga - tydelige krav fordi det er viktig for hele samfunnet - Arthur Gjengstø E-post: argj@nve.no Mobilnettet nede i Hordaland og Rogaland (VG Nett) Flere

Detaljer

1-2. Virkeområde Forskriften gjelder for jernbanevirksomheter på det nasjonale jernbanenettet og for jernbanevirksomheter som driver tunnelbane.

1-2. Virkeområde Forskriften gjelder for jernbanevirksomheter på det nasjonale jernbanenettet og for jernbanevirksomheter som driver tunnelbane. Forskrift om sikring på jernbane Kapittel 1. Innledende bestemmelser 1-1. Formål Formålet med denne forskriften er at jernbanevirksomheten skal arbeide systematisk og proaktivt for å unngå tilsiktede uønskede

Detaljer

Informasjonssikkerhetsstyring

Informasjonssikkerhetsstyring Informasjonssikkerhetsstyring Greta Hjertø (Revidert av Bjørn Klefstad), Institutt for informatikk og e-læring, NTNU Lærestoffet er utviklet for emnet IBED2003 og IINI2009 Resymé: I denne leksjonen får

Detaljer

Oversending av revisjonsrapport - Sunndal Energi Kf

Oversending av revisjonsrapport - Sunndal Energi Kf Sunndal Energi Kf Mongstugata 9 6600 SUNNDALSØRA Vår dato: 28.09.2016 Vår ref.: 201600691-6 Arkiv: 447 Deres dato: Deres ref.: Geir Sæther Saksbehandler: Amir Messiha ame@nve.no/98044707 Oversending av

Detaljer

Erfaringer med innføring av styringssystemer

Erfaringer med innføring av styringssystemer Erfaringer med innføring av styringssystemer Kåre Presttun kaare@mnemonic.no Kåre Presttun Sivilingeniør fra NTH 1979 Jobbet med sikkerhet siden våren 1980 Har jobbet mye med standardisering Medlem av

Detaljer

Forvaltningsrevisjon. IKT-sikkerhet og sårbarhet i Lillesand kommune

Forvaltningsrevisjon. IKT-sikkerhet og sårbarhet i Lillesand kommune Forvaltningsrevisjon IKT-sikkerhet og sårbarhet i Lillesand kommune Arendal Revisjonsdistrikt IKS - februar 2009 INNHOLDSFORTEGNELSE 1. INNLEDNING... 3 2. PROSJEKTETS FORMÅL, PROBLEMSTILLING OG AVGRENSING...

Detaljer

Krav til informasjonssikkerhet. DRI1010 forelesning Jon Berge Holden

Krav til informasjonssikkerhet. DRI1010 forelesning Jon Berge Holden Krav til informasjonssikkerhet DRI1010 forelesning 15.03.2012 Jon Berge Holden jobe@holden.no Sikkerhet - hva skal beskyttes? Informasjonssikkerhet (def. ISO 27001, 3.4) Bevare konfidensialitet, integritet

Detaljer

SLA for digitaliseringsalderen: Nettskyer, sikkerhetstjenester og multisourcing. Informasjonssikkerhet og personvern Renate Thoreid

SLA for digitaliseringsalderen: Nettskyer, sikkerhetstjenester og multisourcing. Informasjonssikkerhet og personvern Renate Thoreid SLA for digitaliseringsalderen: Nettskyer, sikkerhetstjenester og multisourcing Informasjonssikkerhet og personvern Renate Thoreid Formål Driftsavtalen Ved kjøp av driftstjenester knyttet til maskinvare,

Detaljer

Sikkerhet i driftsovervåking og internett i VA-bransjen. Elleke Bergersen-Wartena Avdelingsingeniør VA-prosjekt Harstad kommune

Sikkerhet i driftsovervåking og internett i VA-bransjen. Elleke Bergersen-Wartena Avdelingsingeniør VA-prosjekt Harstad kommune Sikkerhet i driftsovervåking og internett i VA-bransjen Elleke Bergersen-Wartena Avdelingsingeniør VA-prosjekt Harstad kommune Bakgrunn Anbefalinger Bakgrunn: til landets vannverk om sikkerhets- og beredskapstiltak

Detaljer

Datasikkerhet internt på sykehuset

Datasikkerhet internt på sykehuset Datasikkerhet internt på sykehuset DRG Konferansen 11. mars 2009 Informasjonssikkerhetsleder Jan Gunnar Broch Sykehuset Innlandet HF Agenda Informasjonssikkerhet; Hva, hvorfor og hvordan Hvordan håndterer

Detaljer

Kontrollrapport. Kontrollobjekt: Verdal kommune Sted: Levanger

Kontrollrapport. Kontrollobjekt: Verdal kommune Sted: Levanger Saksnummer: 16/00327 Dato for kontroll: 09.11.2015 Rapportdato: 13.04.2016 Kontrollrapport Kontrollobjekt: Verdal kommune Sted: Levanger Utarbeidet av: Knut Kaspersen, Hallstein Husand og Gullik Gundersen

Detaljer

Internkontroll for informasjonssikkerhet en fleksibel tilnærming med høy nytteverdi

Internkontroll for informasjonssikkerhet en fleksibel tilnærming med høy nytteverdi Internkontroll for informasjonssikkerhet en fleksibel tilnærming med høy nytteverdi Øyvind A. Arntzen Toftegaard Rådgiver 1 Hva er internkontroll for informasjonssikkerhet Hva er virksomhetens behov Hvordan

Detaljer

Det 7. norske arkivmøtet Informasjonssikkerhet i endringsprosesser. 6. April 2016

Det 7. norske arkivmøtet Informasjonssikkerhet i endringsprosesser. 6. April 2016 Det 7. norske arkivmøtet Informasjonssikkerhet i endringsprosesser 6. April 2016 2 Agenda 1. Informasjonssikkerhet 2. Klassifisering 3. Risikoanalyse og kontinuitetsplanlegging i endringsprosesser 4. Personvern

Detaljer

Styringssystem for informasjonssikkerhet i Arbeidstilsynet

Styringssystem for informasjonssikkerhet i Arbeidstilsynet 2 Styringssystem for informasjonssikkerhet i Arbeidstilsynet 11. Juni 2014 Bjørn S. Larsen Direktoratet for arbeidstilsynet bjorn.larsen@arbeidstilsynet.no 3 Drivere Riksrevisjonen 17-18 oktober 2011 Riksrevisjonen

Detaljer

Informasjonssikkerhetsprinsipper

Informasjonssikkerhetsprinsipper Ver. 1.0 Mai 2012 Versjonskontroll og godkjenning Dokumenthistorie Versjon Dato Forfatter Endringsbeskrivelse 0.1 (UTKAST-1) 10.07.2010 Christoffer Hallstensen Opprettelse 0.1 (UTKAST-2) 12.07.2010 Christoffer

Detaljer

Mattilsynets erfaring med egenutvikling av e-læringskurs til bruk i sikkerhetsmåneden. Suzette Damman, 31. mai 2017

Mattilsynets erfaring med egenutvikling av e-læringskurs til bruk i sikkerhetsmåneden. Suzette Damman, 31. mai 2017 Mattilsynets erfaring med egenutvikling av e-læringskurs til bruk i sikkerhetsmåneden Suzette Damman, 31. mai 2017 Agenda 1. Hvorfor valgte Mattilsynet å utvikle et eget kurs i 2016? 2. Hva er Mattilsynets

Detaljer

DET DIGITALE TRUSSEL- OG RISIKOBILDET

DET DIGITALE TRUSSEL- OG RISIKOBILDET DET DIGITALE TRUSSEL- OG RISIKOBILDET SIKKERHETSKONFERANSEN DIGIN Kristiansand, 22. september 2015 Roar Thon Fagdirektør sikkerhetskultur Nasjonal sikkerhetsmyndighet 1 Illustrasjon: colourbox.com Trussel-

Detaljer

SPISSKOMPETANSE GIR BEDRE INTERNREVISJON

SPISSKOMPETANSE GIR BEDRE INTERNREVISJON 30.05.2016 SPISSKOMPETANSE GIR BEDRE INTERNREVISJON Vi er opptatt av å kombinere internrevisjonskompetanse med spisskompetanse på relevante problemstillinger. Unike problemstillinger krever unike team.

Detaljer

Informasjonssikkerhet i Nord-Trøndelag fylkeskommune

Informasjonssikkerhet i Nord-Trøndelag fylkeskommune Informasjonssikkerhet i Nord-Trøndelag fylkeskommune Nord-Trøndelag fylkeskommune tar i bruk stadig flere it-løsninger for å ivareta en effektiv tjenesteproduksjon. Samtidig som at slike løsninger letter

Detaljer

ROS - forskningsprosjekter

ROS - forskningsprosjekter ROS - forskningsprosjekter Risiko- og sårbarhetsanalyse av informasjonssikkerheten i forskningsvirksomheten ved NIH Praktisk gjennomføring og metodiske vurderinger Baard Wist og Catharina Holm, Tromsø

Detaljer