Evenes kommune. Internkontroll. Personopplysninger og informasjonssikkerhet

Transkript

1 Evenes kommune Internkontroll Personopplysninger og informasjonssikkerhet

2 Innhold 1. Styrende dokumentasjon Sikkerhetsmål Sikkerhetsstrategier Organisering Andre parter Gjennomførende dokumentasjon Håndtering av personopplysninger Rutiner registrert person Informasjonssikkerhet Kontrollerende dokumentasjon Vedlegg Definisjoner Sikkerhetsinstruks bruker Innledning Bruk av Evenes kommunes informasjonssystem Opplæring Brukernavn, passord og skjermsparer Internett E-post Bærbar PC, PDA og annet portabelt utstyr Sikkerhetskopiering Installasjon av programvare og maskinvare Hjemme-PC Reparasjon, service og vedlikehold Fysisk adgang Adgangskort Kontakt med media Nødhjelp Personellsikkerhet Sikkerhetsinstruks og taushetserklæring Konsekvenser ved brudd på retningslinjene Rapportering og avvik Rapportering av sikkerhetsbrudd/hendelser Informasjonssikkerhet og internkontroll Side 2 av 37

3 Avvikshåndtering Sikkerhetsinstruks - leder Innledning Sikkerhetsinstruks Ansettelse Regelmessig verifikasjon av brukerkonti og brukertilganger Endring av arbeidsforhold/ansvar Hendelser med betydning for sikkerheten Konsekvenser ved brudd på retningslinjene Permisjoner eller andre typer midlertidige arbeidsopphold Avslutning av arbeidsforhold Sikkerhetsinstruks - sikkerhetsansvarlig Innledning Sikkerhetsinstruks Taushetserklæring Beskrivelse av informasjonssystemet Arkitektur Funksjonell arkitektur Sikkerhetsarkitektur Grensesnitt ut av / inn til virksomheten Logiske grensesnitt Fysiske forbindelser Internt ruter / IP-nett Adresseplan Nettverkstjenester Nettverkskomponenter Rutere Svitsjer Brannmurer Overvåking Driftsovervåking Nettverksovervåking Logging Andre sikkerhetstiltak Informasjonssikkerhet og internkontroll Side 3 av 37

4 Redundans Tilgjengelighetsovervåking Tilgangskontroll Kryptering Integritetsovervåking Nettverkstegning Konfigurasjon - Nettverk Beskrivelse av informasjonssystem Tjenester / applikasjoner / sluttbrukere Personopplysninger Programvare / plattform Maskinvare / plattform Oppsett av maskinvare og programvare Nettverk / evt. eksterne grensesnitt Sikkerhetstiltak Avviksskjema Risikovurdering Egenkontrollskjema Oversikt over personopplysninger Informasjonssikkerhet og internkontroll Side 4 av 37

5 Innledning Personopplysningsloven 14 fastsetter følgende om internkontroll: Den behandlingsansvarlige skal etablere og holde vedlike planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene i eller i medhold av denne loven, herunder sikre personopplysningenes kvalitet. Den behandlingsansvarlige skal dokumentere tiltakene. Dokumentasjonen skal være tilgjengelig for medarbeiderne hos den behandlingsansvarlige og hos databehandleren. Dokumentasjonen skal også være tilgjengelig for Datatilsynet og Personvernnemnda. Kongen kan gi forskrift med nærmere regler om internkontroll. Dette er Evenes kommunes system for å ivareta vårt ansvar etter personopplysningsloven. Systemet er i hovedsak bygd opp etter Datatilsynets veileder og Datatilsynets risikoveileder så langt disse passer for vår virksomhet, og består av følgende tre deler: Styrende Gjennomførende Kontrollerende Styrende elementer, som i hovedsak retter seg mot ledelsen og hvilke beslutninger og føringer som legges for internkontroll. Disse beslutningene må ha almen tilslutning dersom systemet skal ha tilstrekkelig legitimitet. Informasjonssikkerhet og internkontroll Side 5 av 37

6 Gjennomførende elementer, som i hovedsak retter seg mot ansatte. Her finner man beskrivelse av rutiner som det forutsettes at ansatte er kjent med og arbeider i samsvar med. Kontrollerende elementer, som bidrar til å fange opp avvik fra systemet og til at det gjennomføres periodiske gjennomganger. Behandlinger av eventuelle avvik vil kunne medføre justeringer både i styrende og gjennomførende elementer. På denne måten får et rullerende som forsøkt vist i figuren på forrige side. Vi behandler sensitive opplysninger som trenger høy grad av beskyttelse. Det ligger i vår oppgave som tjenesteleverandør av viktige tjenester for alle livets faser. Selv om Evenes kommune er underlagt offentleglova og har som mål å utøve merinnsyn, må det vises utstrakt grad av varsomhet i praktiseringen for å sikre at fortrolig informasjon ikke kommer ut. Beskrivelsene gjelder krav og plikter som virksomheten blir underlagt på grunn av personopplysninger, og eventuelle krav og plikter gjennom andre lover og forskrifter. Styringsdokumenter og underliggende dokumenter er godkjent av rådmannen 10. mars 2014, og forutsettes fulgt opp av alle som behandler fortrolig informasjon. Bogen i Ofoten, 10. mars 2014 Steinar Sørensen Rådmann Informasjonssikkerhet og internkontroll Side 6 av 37

7 1. Styrende dokumentasjon Personopplysningsloven stiller som beskrevet innledningsvis krav til internkontroll gjennom etablering og vedlikehold av systematiske tiltak. Tiltakene skal medvirke til at krav i lov og forskrift overholdes og at vi dermed sikrer personopplysningenes kvalitet. Dette beskrives som: Rutiner for oppfyllelse av våre plikter, og dermed de registrertes rettigheter. Rutiner og tekniske tiltak for informasjonssikkerhet. Evenes kommune er avhengig av å behandle personopplysninger for å administrere og forvalte forholdet til våre ansatte, og forholdet til våre brukere. Rådmannen er behandlingsansvarlig, og ansvarlig for at behandlingen av personopplysninger og informasjon skjer etter personopplysningslovens krav. Evenes kommune behandler opplysninger om ansatte med hjemmel (behandlingsgrunnlag) i: Personopplysningslovens 8 ved at det er fastsatt i lov. Personopplysningslovens 8 ved at det innhentes samtykke fra den ansatte. Personopplysningslovens 8 a) for å oppfylle avtale med den registrerte. Personopplysningslovens 8 b) for å ivareta en rettslig forpliktelse. Personopplysningslovens 8 f) for å ivareta tungtveiende interesser. Personopplysningslovens 8 f) for å ivareta arbeidsrettslige plikter og rettigheter. Evenes kommune behandler personopplysninger om brukere (kunder= med hjemmel (behandlingsgrunnlag) i: Personopplysningslovens 8 a) for å kunne oppfylle avtale med den registrerte (nødvendig administrasjon av forholdet). Personopplysningslovens 8 ved at det i tillegg til foregående innhentes samtykke. Personopplysningslovens 8 ved at det er fastsatt i lov (regnskapsopplysninger). Opplysninger om ansatte behandles i Visma Enterprise HRM (lønn m.m.) og i saksbehandlingssystemet ephorte. Det vises til gjeldende retningslinjer for personalmapper. Det skal ikke oppbevares personalmapper annet sted enn i personalarkivet, som skal være låst når det ikke er aktivitet. Når det gjelder opplysninger om brukere skjer behandlingen i egne fagsystemer, se senere. Evenes kommune skal kun behandle nødvendige opplysninger om ansatte og brukere. De som blir registrert, skal være klar over at dette blir gjort. Dersom det er nødvendig, skal vi be om hjemmel til det. Evenes kommune skal kunne svare på spørsmål, både fra registrerte og publikum generelt, om hvordan vi behandler personopplysninger. Informasjonssikkerhet og internkontroll Side 7 av 37

8 1.1. Sikkerhetsmål Personopplysninger om brukere og ansatte skal Kun være tilgjengelige for ansatte som har behov for disse opplysningene i sitt arbeide. Være oppdaterte i henhold til behov. Personopplysninger må ikke komme på avveie, og det etableres rutiner for å minimalisere risiko for dette. Personopplysningene skal sikres med hensyn til konfidensialitet (uvedkommende får ikke tilgang til opplysninger), integritet (opplysninger endres ikke uautorisert eller utilsiktet) og tilgjengelighet (opplysningene er tilgjengelige når det er nødvendig). Evenes kommune skal beskyttes seg mot hendelser som framgår av risikovurderingen, se vedlegg Sikkerhetsstrategier Leder av Fellesavdelingen er sikkerhetsansvarlig for virksomheten. Uvedkommende skal ikke få tilgang til personopplysninger, enten disse er elektronisk lagret eller i papirversjon. Tilgangskontroll skal sikre at personopplysninger begrenses til de som har behov for dette i sitt arbeid. Datanettverket skal være sikret, både mot inntrengning og mot bruk av uvedkommende Organisering Leder av Fellesavdelingen har, ut fra de oppgaver avdelingen er tildelt, rollen som sikkerhetsansvarlig. Den sikkerhetsansvarlige skal vedlikeholde oversikt over behandlinger av personopplysninger, hva som er formålet og behandlingsgrunnlaget. Sikkerhetsansvarlig skal sørge for rutiner slik at behandling av personopplysninger skjer forsvarlig. Sikkerhetsansvarlig skal en gang i året foreta en gjennomgang av internkontroll og informasjonssikkerhet Andre parter Parter som behandler personopplysninger på vegne av Evenes kommune, er databehandlere. Informasjonssikkerhet og internkontroll Side 8 av 37

9 Den behandlingsansvarlige skal inngå avtale med databehandlere, og avtalen skal regulere hvordan databehandleren skal sikre personopplysninger. Leder av økonomienheten er databehandler for økonomi- og lønnssystemene, og helse-. Og omsorgssjef er databehandler for systemer for helse og omsorg samt barnevern. Evenes kommune har alle datasystemer (epost, saksbehandlingssystem og fagsystemer) lagret hos Hålogaland IKT (se vedlegg for dokumentasjon). Alle parter som har tilgang til våre informasjonssystemer skal signere taushetserklæring (se vedlegg). 2. Gjennomførende dokumentasjon 2.1 Håndtering av personopplysninger Ny behandling, opphør av behandling og overholdelse av melde-/konsesjonsplikt. Ved oppstart av ny behandling av personopplysninger, skal sikkerhetsansvarlige bekrefte at det foreligger gyldig behandlingsgrunnlag. Dersom behandlingen ikke er unntatt slik behandling, skal det gis melding eller konsesjonssøknad til Datatilsynet. Sikkerhetsansvarlige skal sørge for fornyet melding hvert tredje år. Ved nye behandlinger skal det vurderes behov for endring av internkontrollen. Melde- og konsesjonsplikt Evenes kommune har følgende unntak fra melde- og konsesjonsplikten: Kundeopplysninger er unntatt meldeplikt etter personopplysningslovens 31, jf. personopplysningsforskriftens 7-7. Personalopplysninger er unntatt meldeplikt etter personopplysningslovens 31 og 33, jf. personopplysningsforskriftens Opplysninger i datalogger er unntatt meldeplikt etter personopplysningslovens 31, jf. personopplysningsforskriftens Bestemmelsene om unntak er beskrevet i vedlegg. Meldepliktige personopplysninger tas opp årlig slik at det kan meldes til Datatilsynet. Innsyn i behandling av personopplysninger Enhver som ber om det, kan med hjemmel i personopplysningslovens 18 kreve å få vite hvordan Evenes kommune behandler personopplysninger: Enhver som ber om det, skal få vite hva slags behandling av personopplysninger en behandlingsansvarlig foretar, og kan kreve å få følgende informasjon om en bestemt type behandling: Informasjonssikkerhet og internkontroll Side 9 av 37

10 a) navn og adresse på den behandlingsansvarlige og dennes eventuelle representant, b) hvem som har det daglige ansvaret for å oppfylle den behandlingsansvarliges plikter, c) formålet med behandlingen, d) beskrivelser av hvilke typer personopplysninger som behandles, e) hvor opplysningene er hentet fra, og f) om personopplysningene vil bli utlevert, og eventuelt hvem som er mottaker. Dersom den som ber om innsyn er registrert, skal den behandlingsansvarlige opplyse om a) hvilke opplysninger om den registrerte som behandles, og b) sikkerhetstiltakene ved behandlingen så langt innsyn ikke svekker sikkerheten. Den registrerte kan kreve at den behandlingsansvarlige utdyper informasjonen i første ledd bokstav a - f i den grad dette er nødvendig for at den registrerte skal kunne vareta egne interesser. Retten til informasjon etter annet og tredje ledd gjelder ikke dersom personopplysningene behandles utelukkende for historiske, statistiske eller vitenskapelige formål og behandlingen ikke får noen direkte betydning for den registrerte. Henvendelser om innsyn rettes til sikkerhetsansvarlig, som er ansvarlig for at henvendelser besvares uten ugrunnet opphold. Sletting av personopplysninger Personopplysninger skal slettes umiddelbart når det ikke er saklig behov for dem. Sikkerhetsansvarlig er ansvarlig for sletting dersom dette gjelder forhold knyttet til virksomheten. Arkivlov og gjeldende forskrifter skal følges ved kassasjon. Rutine for sletting: Personalkonsulenten skal Sørge for at personalopplysninger relatert til ansettelsesforholdet slettes dersom det ikke har vært aktivitet de siste 3 år. Dette gjelder ikke informasjon i kommunens regnskap, her gjelder oppbevaringsplikten. Enhets - /avdelingsledere skal Sørge for makulering av unødvendige personalopplysninger når ansatte slutter. Dette være seg referat fra medarbeidersamtaler, kopier av korrespondanse, m.m. Påse at det ikke lagres flere brukeropplysninger enn nødvendig for saksområdet, og holde oversikt over når det sist var aktivitet i relasjonen til bruker. Rutinen gjelder ikke informasjon i regnskap, her gjelder oppbevaringsplikten. Informasjonssikkerhet og internkontroll Side 10 av 37

11 Rutine for utlevering av personopplysninger til andre Utlevering betyr at personopplysninger gis til annen behandlingsansvarlig. Dette er i så fall å anse som en ny behandling som krever eget behandlingsgrunnlag. Dersom ikke behandlingsgrunnlag finnes, må det innhentes samtykke. Opplysninger om egne ansatte kan gis til andre myndigheter dersom dette er i samsvar med lovpålagte krav. Ved tvil om hjemmelen, må dette dokumenteres. Sikring av kvalitet av personopplysninger Behandlingsansvarlig har overordnet ansvar for at opplysningene er så korrekte og oppdaterte som mulig, og dermed relevante til formålet med behandlingen. Enhets og avdelingsledere har ansvar for at brukeropplysninger er korrekte og oppdaterte. 2.2 Rutiner registrert person Innhenting og kontroll av samtykke. Kunder kan abonnere på nyhetsbrev o.l. som sendes via epost fra kommunen. I slike tilfeller skal samtykke gis, dette kan gis via telefon eller epost. Samtykke kan når som helst trekkes ved bruk av samme medier. Evenes kommune har f.t. ingen slike lister. Det har tidvis vært etterspurt for EvenesNytt, og egen rutine må innarbeides dersom abonnementsordning skal innføres. Oppfyllelse av informasjonsplikten Søkere til stillinger i Evenes kommune orienteres under tilsettingsprosessen om våre retningslinjer, og om hvilke opplysninger som lagres under arbeidsforholdet, innsynsrett og rett til å få korrigert lagret informasjon. Innsyn Personopplysningslovens 18 fastsetter følgende: Enhver som ber om det, skal få vite hva slags behandling av personopplysninger en behandlingsansvarlig foretar, og kan kreve å få følgende informasjon om en bestemt type behandling: a) navn og adresse på den behandlingsansvarlige og dennes eventuelle representant, b) hvem som har det daglige ansvaret for å oppfylle den behandlingsansvarliges plikter, Informasjonssikkerhet og internkontroll Side 11 av 37

12 c) formålet med behandlingen, d) beskrivelser av hvilke typer personopplysninger som behandles, e) hvor opplysningene er hentet fra, og f) om personopplysningene vil bli utlevert, og eventuelt hvem som er mottaker. Dersom den som ber om innsyn er registrert, skal den behandlingsansvarlige opplyse om a) hvilke opplysninger om den registrerte som behandles, og b) sikkerhetstiltakene ved behandlingen så langt innsyn ikke svekker sikkerheten. Den registrerte kan kreve at den behandlingsansvarlige utdyper informasjonen i første ledd bokstav a - f i den grad dette er nødvendig for at den registrerte skal kunne vareta egne interesser. Retten til informasjon etter annet og tredje ledd gjelder ikke dersom personopplysningene behandles utelukkende for historiske, statistiske eller vitenskapelige formål og behandlingen ikke får noen direkte betydning for den registrerte. Det foreligger plikt til å informere når det samles inn personopplysninger, jf. personopplysningslovens 19: Når det samles inn personopplysninger fra den registrerte selv, skal den behandlingsansvarlige av eget tiltak først informere den registrerte om a) navn og adresse på den behandlingsansvarlige og dennes eventuelle representant, b) formålet med behandlingen, c) opplysningene vil bli utlevert, og eventuelt hvem som er mottaker, d) det er frivillig å gi fra seg opplysningene, og e) annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven her på best mulig måte, som f.eks. informasjon om retten til å kreve innsyn, jf. 18, og retten til å kreve retting, jf. 27 og 28. Varsling er ikke påkrevd dersom det er på det rene at den registrerte allerede kjenner til informasjonen i første ledd. Det skal informeres også når det hentes inn opplysninger fra andre enn den registrerte, jf. personopplysningslovens 20: En behandlingsansvarlig som samler inn personopplysninger fra andre enn den registrerte selv, skal av eget tiltak informere den registrerte om hvilke opplysninger som samles inn og gi informasjon som nevnt i 19 første ledd så snart opplysningene er innhentet. Dersom formålet med innsamling av opplysningene er å gi dem videre til andre, kan den behandlingsansvarlige vente med å varsle den registrerte til utleveringen skjer. Den registrerte har ikke krav på varsel etter første ledd dersom a) innsamlingen eller formidlingen av opplysningene er uttrykkelig fastsatt i lov, b) varsling er umulig eller uforholdsmessig vanskelig, eller c) det er på det rene at den registrerte allerede kjenner til informasjonen varslet skal inneholde. Når varsling unnlates med hjemmel i bokstav b, skal informasjonen likevel gis senest når det gjøres en henvendelse til den registrerte på grunnlag av opplysningene. Informasjonssikkerhet og internkontroll Side 12 av 37

13 Innsyn i epost og private områder Det vises til vedlegg Sikkerhetsinstruks om den ansattes plikter i forbindelse med bruk av vårt epostsystem. Det er ikke adgang for Evenes kommune å foreta innsyn i ansattes epostkonto og dokumenter på tildelt område. I følgende situasjoner kan det likevel vurderes unntak: Ved langvarig fravær: Dersom det er begrunnet oppfatning av at det foreligger informasjon som er viktig at driftsmessige hensyn. Den ansatte samtykker i innsyn. Samtykke skal uansett søkes innhentet, dersom dette ikke er praktisk mulig skal informasjon om at det er foretatt innsyn gis ved første anledning. Ved begrunnet mistanke om Epostkonto har et innhold som er straffbart. Epostkonto brukes som virkemiddel i straffbare handlinger. Epostkonto brukes på en måte som representerer grove brudd på de plikter som følger av arbeidsforholdet, reglement eller andre plikter i arbeidsforholdet som er hjemlet i lov. Dette saksområdet er gjenstand for stadige endringer, og vi henviser til Datatilsynets hjemmeside for ytterligere informasjon om gjeldende rett. 2.3 Informasjonssikkerhet Som del av utarbeiding av internkontroll, er det foretatt en indentifisering av hvilke informasjonsverdier vi har. Det er foretatt en risikovurdering for å avklare om våre sikkerhetstiltak er tilstrekkelige, og på denne bakgrunn er det fastsatt sikkerhetstiltak (se vedlegg) for å etablere et tilfredsstillende sikkerhetsnivå. Endelig er det fastsatt kontrollrutiner som å kontrollere at innførte tiltak virker etter hensikten. Konfidensialitet, integritet og tilgjengelighet Evenes kommune ønsker å benytte personopplysningene med hensyn til: Konfidensialitet, at uvedkommende ikke får tilgang til personopplysninger Integritet, at opplysningene ikke endres uten at dette er korrekt og av ansvarlig person Tilgjengelighet, at opplysningene er tilgjengelige for rettmessig bruker ved behov. Informasjonssikkerhet og internkontroll Side 13 av 37

14 Konfidensialitet, Integritet og Tilgjengelighet benevnes som K, I og T i senere tabeller. 3. Kontrollerende dokumentasjon Uønskede hendelser Ansatte som oppdager uønskede hendelser skal snarest rapportere dette, enten til nærmeste overordnede eller til sikkerhetsansvarlig. Leder som selv oppdager eller får informasjon om slike hendelser, rapporterer snarest mulig til sikkerhetsansvarlig. Meldinger om uønskede hendelser skal gjennomgås i fellesskap av rådmann, sikkerhetsansvarlig, IT-drift og enhetsleder for det aktuelle saksområdet. Møtet skal konkludere om det skal gjennomføres tiltak for å hindre gjentakelse. Avviksbehandling Ansatte som oppdager avvik fra rutiner, skal rapportere dette i avviksskjema som sendes til sikkerhetsansvarlig, jf. vedlegg. Avvik skal behandles på samme måte som ved uønskede hendelser. Ledelsens gjennomgang Ledelsen skal årlig foreta en gjennomgang av sikkerhetsmål, strategier og organisering av informasjonssystemene. Ledelsen skal kontrollere om disse er i samsvar med virksomhetens behov, og foreta eventuelle oppdateringer. Ved denne gjennomgangen deltar rådmann, aktuelle enhetsledere, sikkerhetsansvarlig og ITdrift. Sikkerhetsansvarlig har ansvar for å utarbeide rapport med aktuelle tiltak. Informasjonssikkerhet og internkontroll Side 14 av 37

15 4. Vedlegg 4.1 Definisjoner (Kilde: Datatilsynets veileder ) BEHANDLINGSANSVARLIG Den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes, pol 2 nr 4. BEHANDLING AV PERSONOPPLYSNINGER Enhver bruk av personopplysninger, som f.eks. innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksområder, pol 2 nr 2. DATABEHANDLER Den som behandler personopplysninger på vegne av den behandlingsansvarlige, pol 2 nr 5. INFORMASJONSSIKKERHET Personopplysningsloven, 13, stiller krav om at virksomheten «skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger». INTEGRITET I forbindelse med informasjonssikkerhet: At det verken tilsiktet eller utilsiktet skal skje uautoriserte endringer av personopplysninger. INTERNKONTROLL Internkontroll er ledelsens verktøy for å styre aktiviteten i virksomheten slik at driften skjer i overensstemmelse med lover og regler. Samtidig er styringssystemet medarbeiderens verktøy for å utføre oppgaver på en forsvarlig og sikker måte. KONFIDENSIALITET At uvedkommende ikke får tilgang på opplysninger. KONFIGURASJONSENDRING Med konfigurasjon menes informasjonssystemets utforming inklusive både teknisk utstyr og programvare. PERSONOPPLYSNING Opplysninger og vurderinger som kan knyttes til enkeltperson. POF Personopplysningsforskriften POL Personopplysningsloven Informasjonssikkerhet og internkontroll Side 15 av 37

16 REGISTRERT Den som en personopplysning kan knyttes til. SAMTYKKE En frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv, pol 2 nr 7. SENSITIV PERSONOPPLYSNING Personopplysning innenfor en av kategoriene, pol 2 nr. 8 rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling helseforhold seksuelle forhold medlemskap i fagforeninger SIKKER SONE Med sikker sone menes den delen eller de delene av virksomhetens informasjonssystem som behandler personopplysninger, hvor kun autoriserte brukere med tjenstlig behov gis tilgang. TILFREDSSTILLENDE INFORMASJONSSIKKERHET At man etablerer sikkerhetstiltak i henhold til besluttet akseptabelt risikonivå og resultatene av en risikoanalyse. Risikoanalysen tar utgangspunkt i de personopplysningene som virksomheten behandler og behandlingene som utføres, ref. pol. 13. TILGJENGELIGHET At opplysningene er tilgjengelige når vi trenger dem. Informasjonssikkerhet og internkontroll Side 16 av 37

17 4.2 Sikkerhetsinstruks bruker Innledning Denne instruksen beskriver retningslinjer for bruk av IT ved Evenes kommune. Instruksen gjelder for alle ansatte, og skal være lest og signert, og så leveres til personalkontoret hvor den blir oppbevart i personalmappen. Håndtering av dokumenter og informasjon er behandlet i en egen instruks. Bruk av Evenes kommunes informasjonssystem Dokumenter som inneholder beskyttelsesverdige opplysninger som kan skade enkeltindivider, kunder eller Evenes kommune hvis de blir kjent av uvedkommende, skal graderes, merkes og håndteres i henhold til rutine for informasjonshåndtering. Evenes kommunes informasjonssystemer er beregnet for jobbrelaterte formål. Privat bruk, f.eks. e-post og private filer tillates i begrenset omfang, så lenge det ikke påvirker jobbrelaterte oppgaver. Evenes kommune har i utgangspunktet ikke anledning til innsyn i privat e-post eller filer. Unntak gjelder hvis du er ikke-planlagt utilgjengelig i lengre tid, og virksomheten har behov for virksomhetsrelatert informasjon. Det er etablert en egen rutine for slikt innsyn. Evenes kommune har i utgangspunktet ikke anledning til innsyn i privat e-post eller filer. Unntak gjelder ved begrunnet mistanke om straffbare forhold eller ved sikkerhetsmessige behov. Det er etablert en egen rutine for slikt innsyn. Utskrifter skal fjernes fra skriveren så snart utskriftsjobben er ferdig. Opplæring Før du får tilgang til de aktuelle informasjonssystemene, skal du ha gjennomgått nødvendig opplæring. Du er selv ansvarlig for å følge de regler som gjelder for bruk av de forskjellige informasjonssystemene og for behandling av beskyttelsesverdig informasjon i henhold til gjeldende regler. Brukernavn, passord og skjermsparer Du får tildelt brukernavn og førstegangs passord av IT-drift. Passord er strengt personlig, og skal ikke oppgis til eller lånes ut til andre. Dette er et personlig ansvar. Informasjonssikkerhet og internkontroll Side 17 av 37

18 Dersom du har mistanke om at passordet har blitt kjent av uvedkommende, skal passordet byttes og hendelsen rapporteres til sikkerhetsansvarlig snarest mulig som et avvik. Maskinen skal også være satt opp med automatisk skjermsparer eller hvilemodus med aktivering etter 15 minutters inaktivitet. Du skal alltid logge ut før du overlater maskinen til andre. Internett Alle ansatte har tilgang til å benytte Internett samt sende og motta epost fra sin lokale arbeidsstasjon/pc. Det er ikke tillatt å laste ned utuktig materiale, opphavsrettslig beskyttet materiale (f.eks. musikk, filmer og programvare) eller annet som er i strid med lovverket. Ressurskrevende tjenester, eksempelvis radiolytting og TV/video streaming, skal begrenses for ikke å påvirke negativt jobbrelatert trafikk i nettet. Evenes kommune har anledning til å logge informasjon om Internett og epost trafikk for å sikre alminnelig drift samt for sporing ved eventuelle sikkerhetsbrudd. Det er ikke tillatt å forsøke å forbigå sikkerhetsmekanismer beskrevet i denne sikkerhetsinstruks, for eksempel ved å skjule ikke-tillatte tjenester gjennom andre tjenester. E-post All e-post (innkommende og utgående) skal gå gjennom Evenes kommunes epost løsning. Det er derfor ikke tillatt å hente epost gjennom eksterne POP tjenester eller eksterne web-baserte epostsystemer. Dersom e-post må benyttes for overføring av beskyttelsesverdig informasjon, skal informasjonen sendes som kryptert vedlegg til e-post med godkjent krypteringsprogram. Brukere er selv ansvarlig for å vurdere hva som er arkivverdig. Ved tvil kontaktes arkivansvarlig. Arkivverdig materiale skal slettes fra epost så snart disse er overført aktuelt saksbehandlerprogram. Bærbar PC, PDA og annet portabelt utstyr Kontor PC, bærbar PC, PDA og annet portabelt utstyr er i utgangspunktet konfigurert av IT-drift. Dette oppsettet skal ikke endres av bruker. Informasjonssikkerhet og internkontroll Side 18 av 37

19 Beskyttelsesverdig informasjon skal ikke lagres på bærbar PC, PDA eller annet portabelt utstyr med mindre det er installert godkjente sikkerhetsløsninger (normalt med kryptert disk). Bærbar PC (Jobb-PC) som benyttes som klient i Evenes kommunes nett, kan benyttes i forbindelse med jobb på reiser og hjemme. Jobb-PC skal ikke benyttes til annet enn jobbrelaterte oppgaver. Minnebrikker/USB-stikk skal være godkjent til bruk og kryptert Mobiltelefoner skal ikke brukes til avfotografering og/eller lydopptak av sensitiv informasjon Den enkelte bruker er ansvarlig for å håndtere bærbar PC og andre enheter med informasjon i henhold til informasjonens klassifisering. La aldri bærbar PC, PDA eller annet bærbart utstyr ligge synlig uten tilsyn. Sikkerhetskopiering For å sikre at det blir tatt sikkerhetskopier, skal all jobbrelatert informasjon lagres på, eventuelt kopieres til, fagsystemer i Evenes kommunes nett. For Jobb-PC som benyttes i forbindelse med reiser og hjemmearbeid, må oppdatering mot servere i Evenes kommunes nett gjøres regelmessig, spesielt dersom andre er avhengig av informasjonen. Ved behov for gjenoppretting av sikkerhetskopiert informasjon, kontakt IT-drift. Installasjon av programvare og maskinvare Det skal ikke benyttes programvare som avviker fra lisensavtaler til produsenter. All lisensiert programvare på maskinen skal godkjennes av IT-drift. Dette gjelder både kontor PC, bærbar PC og PDA. Dersom du har behov for ytterligere lisensiert programvare, ta kontakt med IT-drift. All maskinvare og lagringsmedia/harddisk skal være registrert hos IT-drift, dersom dette mangler skal IT-drift varsles. Hjemme-PC Bruker- eller informasjon knyttet til Evenes kommune tillates ikke lagret på privat/hjemme-pc. Informasjonssikkerhet og internkontroll Side 19 av 37

20 Reparasjon, service og vedlikehold Alle feil eller mistanker om feil i informasjonssystemet (både maskinvare og programvare) skal rapporteres til IT-drift snarest mulig. Det er kun IT-drift som kan iverksette arbeid som utføres av eksternt personell på informasjonssystemer og utstyr. Fysisk adgang Adgangskort Dersom du mister nøkkel/nøkkelkort, meld umiddelbart fra til administrasjonen eller sikkerhetsansvarlig. Ansatte som slutter eller går ut i permisjon, skal levere nøkkel/nøkkelkort tilbake til administrasjonen. Kontakt med media Det er kun rådmannen, IT-drift eller sikkerhetsansvarlig, som har myndighet til å uttale seg til presse eller andre media i forbindelse med saker som gjelder IT-sikkerhet, sikkerhetsbrudd eller større hendelser. Nødhjelp Brann: Nødnummer 110 Håndslukkingsapparat CO2 og husbrannslange, se brannvarslingssystemet. Politi: Nødnummer 112 Ambulanse: Nødnummer 113 Personellsikkerhet Sikkerhetsinstruks og taushetserklæring Ansatte, konsulenter og vikarer skal rette seg etter Sikkerhetsinstruks bruker (dette dokumentet) og underskrive denne, samt taushetserklæring. Konsekvenser ved brudd på retningslinjene Konsekvenser for ansatte som har forårsaket brudd på sikkerhetsreglene, vil bli vurdert i hvert enkelt tilfelle og kan ved alvorlige brudd føre til oppsigelse/avskjed. Rapportering og avvik Rapportering av sikkerhetsbrudd/hendelser Meld straks fra til sikkerhetsansvarlig dersom du oppdager sikkerhetsbrudd eller hendelser som kan ha betydning for sikkerheten. Dersom det oppdages virus/orm/trojaner på CD-rom o.l., skal IT-drift varsles og CD-rom e.l. leveres IT-drift umiddelbart. Informasjonssikkerhet og internkontroll Side 20 av 37

21 Avvikshåndtering Avvik på denne instruks skal håndteres i henhold til avviksrutine, og skal varsles til sikkerhetsansvarlig umiddelbart. Dersom brukere har prosjektspesifikke behov som avviker fra denne instruks, skal det sendes en anmodning til sikkerhetsansvarlig via enhetsleder. Sikkerhetsinstruksen er lest og akseptert: Sted og dato: Navn (blokkbokstaver) Signatur: Informasjonssikkerhet og internkontroll Side 21 av 37

22 4.3 Sikkerhetsinstruks - leder Innledning Evenes kommune er underlagt Personopplysningsloven og tilhørende krav til informasjonssikkerhet. Dette dokumentet inneholder sikkerhetsinstruks for ledere med personalansvar i Evenes kommune. Sikkerhetsinstruks Ansettelse Sjekkliste for ansettelse av fast ansatte: 1) Taushetserklæring leses og underskrives av den ansatte. 2) Sikkerhetsinstruks leses og underskrives av den ansatte. 3) Rutine for informasjonshåndtering skal leses av den ansatte. 4) Utlevere eventuelle nøkler, nøkkelkort, koder e.l. 5) Punktene 1-5 over skal gjennomføres før brukertilganger gis. Leder skal deretter informere IT-drift om behov for brukertilganger. Vær spesielt oppmerksom på hvor lenge det er behov for tilgangen samt nivå på tilgang. Sjekkliste for bruk av konsulenter og andre midlertidige ansatte: 1) Taushetserklæring leses og underskrives. 2) Sikkerhetsinstruks skal leses og underskrives. 3) Rutine for informasjonshåndtering skal leses. 4) Dersom det er behov for autorisasjon til informasjonssystemet, skal dette avklares med systemeier, eventuelt sikkerhetsansvarlig, før autorisasjonsskjema sendes IT-drift. 5) Utlevere eventuelle nøkler, nøkkelkort, koder e.l. 6) Punktene 1-5 over skal gjennomføres før brukertilganger gis. Ledere skal deretter informere IT-drift om behov for brukertilganger. Vær spesielt oppmerksom på hvor lenge det er behov for tilgangen og nivå på tilgang. Leder er ansvarlig for å oppbevare en kopi av underskrevet erklæring og instruks. Regelmessig verifikasjon av brukerkonti og brukertilganger IT-drift vil regelmessig sende ut oversikt over relevante definerte brukere og brukertilganger til leder med personalansvar. Leder skal så snart som praktisk mulig etter mottak, verifisere at oversikten er korrekt, dvs reflekterer ansvar og organisasjonsmessig tilhørighet. Eventuelle feil og mangler skal formidles IT-avdelingen. Leder skal oppbevare kopi av alle meldte endringer. Endring av arbeidsforhold/ansvar Ved endringer av ansvar eller organisasjonsmessig tilhørighet internt i Evenes kommune skal brukerens tilganger i informasjonssystemet vurderes. IT-drift skal informeres om eventuelle relevante endringer i behov for tilgang på informasjonssystemene. Leder skal oppbevare kopi av alle meldte endringer. Informasjonssikkerhet og internkontroll Side 22 av 37

23 Hendelser med betydning for sikkerheten Sikkerhetsrelaterte hendelser av alvorlig karakter skal rapporteres til Sikkerhetsansvarlig. Konsekvenser ved brudd på retningslinjene Brudd på Evenes kommunes sikkerhetsregler er å betrakte som tjenesteforsømmelse, og skal vurderes i det enkelte tilfelle. Permisjoner eller andre typer midlertidige arbeidsopphold Leder skal vurdere innlevering av nøkler/adgangskort/utlånt utstyr samt påse at sensitiv informasjon er nedlåst. Avslutning av arbeidsforhold Leder skal verifisere at arbeidstaker har levert Evenes kommunes eiendeler: Mobiltelefon Bærbar PC Nøkler Adgangskort Leder skal: gi beskjed til IT-drift om sperring av brukerkonti med brukertilganger. o Oppbevare kopi av beskjed til IT-drift. Sikkerhetsinstruksen er lest og akseptert: Sted og dato: Navn (blokkbokstaver) Signatur: Informasjonssikkerhet og internkontroll Side 23 av 37

24 4.4 Sikkerhetsinstruks - sikkerhetsansvarlig Innledning Sikkerhetsansvarlig rapporterer til rådmannen, og er nærmeste overordnede for følgende roller: Administrasjonen; med håndtering av: Fysisk sikkerhet Arkivering og post Personell og sikkerhet Sikkerhetsinstruks Sikkerhetsansvarlig har følgende ansvarsområder: Utarbeide og vedlikeholde regime for Internkontroll. Ansvarlig for vedlikehold av dokumentet Oversikt over personopplysninger. Påse at de gjeldende sikkerhetsbestemmelsene, instrukser og rutiner blir fulgt. Påse at underlagte sikkerhetsledd har klart definerte oppgaver/forhold for å utøve sine funksjoner, og virkelig utøver disse. Ansvar for at administrasjonen utøver sitt ansvarlig for fysisk sikkerhet, personell og sikkerhet og dokumentsikkerhet. Utføre ikke anmeldte inspeksjoner på dag- eller nattid på kontorer, møterom og andre lokaler han/hun finner grunn til å inspisere. Påtale mislighold muntlig eller skriftlig, avhengig av misligholdets karakter. Sørge for at alle ansatte har kjennskap til regimet for Internkontroll og tilhørende sikkerhetsbestemmelser, instrukser og rutiner. Informasjonssikkerhet og internkontroll Side 24 av 37

25 4.5 Taushetserklæring Evenes kommune Taushetserklæring Jeg forplikter meg herved til ikke å bruke, åpenbare, utlevere eller på annen måte gjøre tilgjengelig for uvedkommende informasjon om data og bedrifts- eller forretningshemmeligheter, personopplysninger, eller bedrifts- eller forretningsmessig knowhow som jeg har fått kjennskap til i mitt arbeid i Evenes kommune. Jeg vil også vise aktsomhet i omtale av andre forhold som jeg blir kjent med eller erfarer under mitt arbeid. Jeg har lest de lovbestemmelser som er anført på de neste sidene av denne erklæring. Jeg er dermed klar over straffelovens 145, 294 og 405a samt forvaltningslovens 13. Brudd på disse bestemmelsene kan medføre straffeansvar, oppsigelse eller avskjed. Jeg er også klar over at denne taushetserklæring gjelder etter opphør av ansettelsesforholdet eller oppdraget i henhold til lovene referert i avsnittet ovenfor...., den Sted Dato... Underskrift... Navn i blokkbokstaver Informasjonssikkerhet og internkontroll Side 25 av 37

26 AVSKRIFT AV DE VIKTIGSTE LOVBESTEMMELSER SOM VIL KUNNE KOMME TIL ANVENDELSE VED UBERETTIGET BRUK OG ÅPENBARING AV DATA og BEDRIFTSHEMMELIGHETER Lov nr 10 av 22. mai 1902: Almindelig borgerlig Straffelov (Straffeloven) Med Bøder eller Fængsel indtil 6 Maaneder straffes den, som 1. ved at fremkalde eller styrke en Vildfarelse retsstridig forleder nogen til en Handling, hvorved der voldes denne eller nogen, paa hvis Vegne han handler, Formuestab, eller som medvirker hertil, eller 2. uberettiget enten selv gjør Brug af en Forretnings- eller Driftshemmelighed vedkommende en Bedrift, hvori han er eller i Løbet af de 2 sidste Aar har været ansat, eller hvori han har eller i Løbet af de 2 sidste Aar har havt Del, eller aabenbarer en saadan i Hensigt at sætte en anden i stand til at gjøre Brug af den, eller som ved Forledelse eller Tilskyndelse medvirker hertil, eller 3. uberettiget gjør bruk av en bedrifts forretnings- eller bedriftshemmelighet som han har fått kjennskap til eller rådighet over i egenskap av teknisk eller merkantil konsulent for bedriften eller i anledning et oppdrag fra den, eller uberettiget åpenbarer en slik hemmelighet i den hensikt å sette andre i stand til å gjøre bruk av den, eller som ved forledelse eller tilskynding medvirker til dette. Offentlig Paatale finder alene Sted, naar det begjæres af fornærmede og findes paakrævet af almene Hensyn. 405a. Med bøter eller fengsel inntil 3 måneder straffes den som på urimelig måte skaffer seg eller søker å skaffe seg kunnskap om eller rådighet over en bedriftshemmelighet. Lov nr 16 Lovtiltak mot datakriminalitet (Straffeloven) 145. Den som uberettiget bryter brev eller annet lukket skrift eller på liknende måte skaffer seg adgang til innholdet, eller baner seg adgang til en annens låste gjemmer, straffes med bøter eller med fengsel inntil 6 måneder eller begge deler. Det samme gjelder den som uberettiget skaffer seg adgang til data eller programutrustning som er lagret eller som overføres ved elektroniske eller andre tekniske hjelpemidler. Voldes skade ved erverv eller bruk av slik uberettiget kunnskap, eller er forbrytelsen forøvet i hensikt å skaffe noen en uberettiget vinning, kan fengsel inntil 2 år anvendes. Medvirkning straffes på samme måte. Offentlig påtale finner bare sted når allmenne hensyn krever det. Endret ved lover 16 feb 1979 nr. 3, 12 juni 1987 nr. 54, 8 april 2005 nr a. Med bøter eller fengsel inntil 6 måneder straffes den som 1. ved hjelp av hemmelig lytteapparat avlytter telefonsamtale eller annen samtale mellom andre, eller forhandlinger i lukket møte som han ikke selv deltar i, eller 2. ved hjelp av lydbånd eller annen teknisk innretning hemmelig gjør opptak av samtale som foran nevnt eller av forhandlinger i lukket møte som han enten ikke selv deltar i, Informasjonssikkerhet og internkontroll Side 26 av 37

27 eller som han har skaffet seg adgang til ved falske foregivender eller ved å snike seg inn, eller 3. anbringer lytteapparat, lydbånd eller annen teknisk innretning i øyemed som foran nevnt. Medvirkning straffes på samme måte. Offentlig påtale finner bare sted når det kreves av almene hensyn. Tilføyd ved lov 12 des 1958 nr b. Den som uberettiget gjør tilgjengelig for andre passord eller andre data som kan gi tilgang til et datasystem, straffes for spredning av tilgangsdata med bøter eller fengsel inntil 6 måneder eller begge deler. Grov spredning av tilgangsdata straffes med fengsel inntil 2 år. Ved avgjørelsen av om spredningen er grov, skal det særlig legges vekt på om dataene kan gi tilgang til sensitive opplysninger, om spredningen er omfattende og om handlingen for øvrig skaper fare for betydelig skade. Medvirkning straffes på samme måte. Tilføyd ved lov 8 april 2005 nr. 16. Lov om behandlingsmåten i forvaltningssaker (forvaltningsloven). 13. (taushetsplikt). Enhver som utfører tjeneste eller arbeid for et forvaltningsorgan, plikter å hindre at andre får adgang eller kjennskap til det han i forbindelse med tjenesten eller arbeidet får vite om: 1) noens personlige forhold, eller 2) tekniske innretninger og fremgangsmåter samt drifts- eller forretningsforhold som det vil være av konkurransemessig betydning å hemmeligholde av hensyn til den som opplysningen angår. Som personlige forhold regnes ikke fødested, fødselsdato og personnummer, statsborgerforhold, sivilstand, yrke, bopel og arbeidssted, med mindre slike opplysninger røper et klientforhold eller andre forhold som må anses som personlige. Kongen kan ellers gi nærmere forskrifter om hvilke opplysninger som skal reknes som personlige, om hvilke organer som kan gi privatpersoner opplysninger som nevnt i punktumet foran og opplysninger om den enkeltes personlige status for øvrig, samt om vilkårene for å gi slike opplysninger. Taushetsplikten gjelder også etter at vedkommende har avsluttet tjenesten eller arbeidet. Han kan heller ikke utnytte opplysninger som nevnt i denne paragraf i egen virksomhet eller i tjeneste eller arbeid for andre. Informasjonssikkerhet og internkontroll Side 27 av 37

28 4.6 Beskrivelse av informasjonssystemet Arkitektur Funksjonell arkitektur Barnevern, Helse omsorg og Skoler, Barnehager (Administrativ t nett) Skoler (Elevnett) Trådløse rutere brukes for å koble til nettverket VLAN: sone Sikker Vlan: Adm nett Vlan-Internett Rådhus (Administrativt nett) INDRE YTRE Internett.> Trådløs router Sikkerhet: WPA2-psk Figur 1: Brannmur (Fortigate 100D) VLAN mot Hålogaland IKT Informasjonssikkerhet og internkontroll Side 28 av 37

29 Sikkerhetsarkitektur Barnevern, Helse omsorg og Skoler, Barnehager (Administrativt nett) Skoler (Elevnett) Trådløse rutere brukes for å koble til nettverket VLAN: sone Sikker Vlan: Adm nett Vlan-Internett Rådhus (Administrativt nett) INDRE YTRE Internett.> Trådløs router Sikkerhet: WPA2-psk Figur 2: Brannmur (Fortigate 100D) VLAN mot Hålogaland IKT Grensesnitt ut av / inn til virksomheten Logiske grensesnitt Styres ved Fortigate 100D brannmur med en indre- og en ytre definisjon. Fysiske forbindelser Fiber og radiolinje levert av Evenes Kraftforsyning Internt ruter / IP-nett Adresseplan offisiell adresse Nettverkstjenester og Nettverkskomponenter Rutere 5 stk. D-link og Cisco-rutere Svitsjer 4 stk. Cisco en mot internett og 3 stk. indre Informasjonssikkerhet og internkontroll Side 29 av 37

30 Brannmurer 1. stk. Fortigate 100D Overvåking Driftsovervåking Delegert til Hålogaland IKT, Harstad Nettverksovervåking Ingen Logging Autorisasjon gis nye brukere ved underskrift av taushetserklæring. Brukere vedlikeholdes og slettes ved endring og fratredelse. Logging skjer også DHCP-server og via brannmuren (Disse lagres ca. 5 dager og så overskrives disse). Andre sikkerhetstiltak Det er foretatt en risikoanalyse over den totale ikt-flyten i Evenes kommune og vi har en god oversikt over dette. Det som nok mangler og som er i prosess er å få dokumentert dette og få gode rutiner for å sikre dette også i framtiden. Redundans Ingen vurderes som fremtidig tiltak Tilgjengelighetsovervåking Dette skjer manuelt i dag og skal automatiseres i nær framtid. Tilgangskontroll Med brukerid og passord via Citrix Alt av programmer ligger Hos Hålogaland IKT. Kryptering Ingen fast, men vurderes fra sak til sak Integritetsovervåking Informasjonssikkerhet og internkontroll Side 30 av 37

31 Nettverkstegning Barnevern, Helse omsorg og Skoler, Barnehager (Administrativt nett) Skoler (Elevnett) Trådløse rutere brukes for å koble til nettverket VLAN: sone Sikker Vlan: Adm nett Vlan-Internett Rådhus (Administrativt nett) INDRE YTRE Internett.> Trådløs router Sikkerhet: WPA2-psk Figur 3: Brannmur (Fortigate 100D) VLAN mot Hålogaland IKT Konfigurasjon - Nettverk Fysisk montering (skap) Vi bruker samarbeidspartner i Hålogland IKT som har sikret anleggene i fjell og på best mulig måte. Beskrivelse av informasjonssystem Tjenester / applikasjoner / sluttbrukere Vi lever nettopplysninger til våre innbyggere via Joomla som driftes av Hålogaland IKT. I disse tjenestene ligger også kartløsning. Personopplysninger Personopplysninger er lagret i indre nettverk og behandles som sensitiv informasjon Programvare / plattform HIKT ( Hålogaland IKT): Informasjonssikkerhet og internkontroll Side 31 av 37

32 Familia Notus Visma Enterprise ephorte MS Outlook Rådhuset Telefonsystem levert og driftes av Compartner Maskinvare / plattform ASP-løsninger via Hålogaland IKT, Harstad. Oppsett av maskinvare og programvare ASP-løsninger via Hålogaland IKT, Harstad. Nettverk / evt. eksterne grensesnitt Se datategning. Sikkerhetstiltak Brannmur og adgangskontroll. I tillegg pågår det et arbeid for å samordne og dokumentere disse rutinene. Tilgangskontroll Tilgangskontroll styres i første linje via Citrix og vår ASP-leverandør Hålogaland IKT, Harstad. I tillegg er det vår IKT-leverandør, Evenes Kraftforsyning som har det operasjonelle driftsansvaret. Her pågår det et arbeid for å samordne og dokumentere disse rutinene. Informasjonssikkerhet og internkontroll Side 32 av 37

33 4.7 Avviksskjema Evenes kommune Sendes til: Sikkerhetsansvarlig Saksident: (Sak ephorte) Formål: Skjemaet skal sikre at alle brudd og antatte brudd på håndteringsrutiner eller sikkerhetsrutiner blir registret og behandlet på forsvarlig måte. Beskrivelse av avviket: vedlegg: Beskrivelse av midlertidig tiltak: vedlegg: Melderens registrering Navn: utstyr/ident: dato/ kl: Analyse av årsak: Vedlegg: Beskrivelse av iverksatte tiltak: Henv: Sikkerhetsansvarliges Behandling Klassifikasjon: Rapport sendes Datatilsynet: JA / NEI dato / underskrift: NN Evaluert dato: Informasjonssikkerhet og internkontroll Side 33 av 37

34 4.8 Risikovurdering Hendelse Kategori Konsekvens Sannsynlighet Vurdering Vannskade T Økonomisk tap, redusert produksjon. IT-systemer sikret via ASP. Innbrudd, tyveri K, T Økonomisk tap, redusert produksjon. IT-systemer sikret via ASP. Liten sannsynlighet for skade på IT, papirbaserte arkiv (personal) kan skades) Moderat sannsynlighet Akseptabel mht. personopplysninger Akseptabel mht. personopplysninger Datasystem nede T Kan medføre utsatt lønnskjøring Moderat, har aldri skjedd så langt Akseptabel Tilgang til personalmapper K, I Kan medføre redusert integritet Kan skje dersom arkivskap ikke er låst når arkiv ikke er betjent. Ikke akseptabel 1 Mobil omsorg, info på avveie K, I Medfører tap av integritet Uklart, system ikke innført Ikke akseptabel 2 Strømbrudd T Økonomisk tap, redusert produksjon. Ytre påvikinger (virus, hacking K,T Økonomisk tap, osv.) redusert produksjon. Moderat, har aldri skjedd så langt Moderat, har aldri skjedd så langt og vår ASP-leverandør har Akseptabel Akseptabel 1 Rutiner gjennomgås og innskjerpes slik at arkivskap alltid er låst når det ikke er personell til stede. 2 Vi er i starten ved innføring av Mobil omsorg ved bruk av nettbrett. Nye medier medfører nye utfordringer, og det utarbeides egen rutine før nytt verktøy tas i bruk. Informasjonssikkerhet og internkontroll Side 34 av 37

35 Intern sabotasje K Økonomisk tap, medføre redusert integritet og redusert produksjon. sikkerhetstiltak som tilfredsstiller våre krav Moderat, har aldri skjedd så langt Akseptabel Informasjonssikkerhet og internkontroll Side 35 av 37

36 4.9 Egenkontrollskjema Egenkontrolltiltak Eier av aktivitet Frekvens Resultat Kommentarer/ tiltak Informasjonssikkerhet og internkontroll Side 36 av 37

37 4.10 Oversikt over personopplysninger Informasjon Behandlingsgrunnlag Formål Lønn og personal: Lønnsopplysninger Personopplysningsloven 8 Sensitive personopplysninger Ja Sikringstiltak Begrensede tilganger Ca 200 Opplysningenes omfang Avdeling System- / dataeier Lønn Evenes Visma Personalopplysninger Omsorg: Behandling og tiltak Helseloven Helsepersonell loven 39 Ja Ca 180 Lønnsadministrasjon Ja Lukket system Ca 150 Helse- og omsorgsenheten Ephorte, Notus Profil Barnevern: Barnevernloven 3 Ja Lukket system Barn og foresatte Barneverntjenesten Familia Vurdering og tiltak Helseopplysninger: Helsepersonell loven Ja Begrensende tilganger Helse- og Helsenett Pasientjournal 39 omsorgsenheten Elevadministrasjon: Opplæringsloven 13 Ja Begrensende tilganger 100 og foresatte Oppvekstavdelingen Ephorte Elever/foresatte Lærere Innbyggere Forvaltningsloven Ja Begrensede tilganger 1400 Alle E-phorte Skatt og kommunale avgifter Forvaltningsloven Skattebetalingsloven Lukket system 1400 Skatteoppkreveren i Evenes og Tjeldsund Sofie Visma Sosialtjenesten Helse- og Ja NAV ET NAV ET Velferd omsorgstjenesteloven Samarbeider med Tjeldsund kommune Vertskommunemodell hvor Tjeldsund kommune er vertskommune koml 28