Vår ref. Deres ref. Dato 2013/ Avklaring i forhold til arkivering av materiale gradert begrenset i kommuner

Transkript

1 INTERKOMMUNALT ARKIV I VEST-AGDER Eierkommunene Vår ref. Deres ref. Dato 2013/ Avklaring i forhold til arkivering av materiale gradert begrenset i kommuner Etter henvendelse fra flere av eierkommunene høsten 2013, har IKAVA undersøkt krav til arkivering for materiale gradert begrenset i kommunal sammenheng. I brev datert 27.8.l3, kom Fylkesmannen i Vest- Agder blant annet med en presisering av retningslinjer forjoumalføring og oppbevaring av dokumenter knyttet til personellsikkerhet og sikkerhetsklarering. Utfordringen for kommunene, slik IKAVA oppfatter det, er at slike dokumenter ikke skal joumalføres eller arkiveres i kommunens valgte elektroniske sak/arkivsystem. Viser til IKAVA sin henvendelse til Nasjonal Sikkerhetsmyndighet (NSM) datert og svar fra NSM til IKAVA datert 24.4.l4. Se vedlegg. Etter gjennomgang av svar fra NSM i saken vil IKAVA presisere følgende for eierkommunene: 0 Dokumenter gradert begrenset kan genereltjoumalføres i kommunens elektroniske sak/arkivsystem. Det er imidlertid kun metadata som kan lagres, dokument skal ikke lagres. 0 Dokumenter knyttet til sikkerhetsklarering av personell, er både gradert begrenset og skal merkes med personkontroll. Dette innebærer at dokument ikke kan joumalføres eller oppbevares med andre dokument som er gradert etter Sikkerhetsloven, men skal holdes helt adskilt. Derfor kan dokument knyttet til sikkerhetsklarering ikke joumalføres i sak/arkivsystem, ei heller i samme papirjoumal som føres for annet gradert materiale. 0 Dokumenter gradert begrenset må oppbevares nedlåst. NSM gir ingen anbefaling om konkret utstyr til dette formål, men anbefaler kommunene å oppbevare begrenset materiale i henhold til krav for konfidensielt materiale. Märthas vei l Telefon Organisasjonsnr. E-post 4633 KRISTIANSAND S I ikava@ikava.va.no

2 Veileder i Fysisk sikring mot ulovlig inntregning på NSM sin nettside, se lenke, ing%20mot%20ulov1ig%20inntrengning%20v2.pdf gir nærmere informasjon om krav til fysisk sikring av gradert materiale. Med hilsen Merethe Mykland Johansen Rådgiver Vedlegg: 1 Arkivering av materiale gradert begrenset i kommuner 2 Svar på spørsmål om arkivering (U) A03 - S Märthas vei l Telefon Organisasjonsnr E~post 4633 KRISTIANSANDS ikava@ikava.va.no

3 Nasjonal sikkerhetsmyndighet Vár saksbehandler Vár dato Vàr referanse Ellen Malmé5en AOS- S213/ Deres dato Deres referanse Antall vedlegg Side 1 av 2 Til Interkommunaltarkiv i Vest-Agder vl Merethe Johansen Märthas vei KRISTIANSAND S Norge Spørsmål om arkivering 1 Bakgrunn Nasjonal sikkerhetsmyndighet(nsm) viser til henvendelse av 9. desember lnterkommunaitarkiv i Vest-Agder (IKAVA) stiller i sitt brev til NSM følgende fire spørsmål: 1. Kan kommunenjournalføre dokument gradert BEGRENSET i elektronisk sak/arkivsystemsom ikke er sikkerhetsgodkjent? 2. Kan kommunen arkivere dokument gradert BEGRENSET i elektronisk sak/arkivsystemsom ikke er sikkerhetsgodkjent? 3. Kan arkivtjenestepersonellsom ikke er sikkerhetsklarertjournalføre og arkivere dokument gradert BEGRENSET? 4. Ved papirbasertjournalføringog fysisk oppbevaring, hva anbefaler tilsynsmyndigheteni forholdtil valg av skap, lås, lokale, tilgangsstyringfor personell? 2 Journalføring og arkivering av saksdokumenter Dokumenter gradert BEGRENSET kanjournalføres i ugradertsystem. Dokumenter gradert BEGRENSET kan bare produseres, lagres eller skannes inn i et saks-l arkivsystemsom er sikkerhetsgodkjentfor BEGRENSET. Det er kun ugraderte metadata som kan journalføres i ugradert saks-l arkivsystem. Arklvpersonellsom er autorisertfor BEGRENSET kan journalføre og arkivere dokumenter gradert BEGRENSET. Dersom personalet skal behandle dokumenter gradert KONFIDENSIELT eller høyere kreves det sikkerhetsklareringpå tilsvarende nivå. For oppbevaringav dokumenter gradert BEGRENSET stillerikke forskriftom informasjonssikkerhetandre krav enn at dokumentene skal være nedlàst. Nasjonal sikkerhetsmyndighetgodkjenner ikke oppbevaringsenheterfor BEGRENSET og vi kan således ikke gi anbefalinger om konkret utstyr.vi vil imidlertidanbefale at det anskaffes oppbevaringsenhetersom tilfredsstillerkravene til oppbevaring av KONFIDENSIELT, da det bør tas høyde for at dokumenter med slik gradering etter hvert kan forekomme i kommunen, Postadresse Sivil telefon/telefaks Militær telefon/telefaks Postboks l l SANDVIKA E-postadresse lnternetadresse (URL) post@nsm.stat.no no

4 Nasjonal sikkerhetsmyndighet f.eks. dokumenter om/ved nasjonale beredskapssituasjoner eller dokumenter om skjermingsverdige objekter som befinner seg i kommunen. Kravene til oppbevaring av dokumentergradert KONFlDENSELTer beskreveti Veiledningtil fysisk sikring mot ulovlig inntrengning som finnes pà NSM sine hjemmesider pà lnternett. 3 Særskilte bestemmelser for personkontrollopplysninger Forjournalføring og arkivering av dokumenter med personkontrollopplysninger gjelder egne regler i forskrift om personellsikkerhet. Med personkontrollopplysninger menes ufordelaktige personopplysninger til bruk for sikkerhetsklarering eller autorisasjon etter sikkerhetsloven. Slike dokumenter skal normalt merkes PERSONKONTROLL i tillegg til ordinær sikkerhetsgradering. l forskriftens 6-4 til 6-6 fremgår det at tilgang til personkontrollopplysninger bare skal gis til personell med tjenstlig behov som er særskilt utpekt av virksomhetens leder. Videre at slike dokumenter skal oppbevares separat ogsá fra andre sikkerhetsgraderte arklvdokumenter, i praksis et eget arkivskap eller rom for det formål. Virksomheten skal føre separat journal over alle saker som gjelder personellslkkerhet, f.eks. anmodninger om sikkerhetsklarering, svar på klareringsanmodninger og bekymringsmeldinger. Dokumenter med personkontrollopplysninger kan således ikke journalføres i saks-l arkivsystem for andre sikkerhetsgraderte dokumenter. Dersom man ønsker à føre en elektronisk journal over slike dokumenter kan det benyttes en dedikert datamaskin med sikkerhetsgodkjenning for det høyeste graderingsnivà til informasjonen som skal lagres pà maskinen. Den dedikerte datamaskinen kan ikke koples til virksomhetens nettverk, men kun benyttes lokalt. Skal det benyttes skriver eller annet periferiutstyr til datamaskinen må også slikt utstyr sikkerhetsgodkjennes. Avdelingsdirektør Qt W2 Reidar Mouhleb Seksjonssjef Side Vár dato Vår referanse 2 av A03 - S:13/

5 INTERKOMMUNALTARKIV l VEST-AGDER Nasjonal Sikkerhetsmyndighet Pb Sandvika Vår ref. Deres ref. Dato 2013/ Arkivering av materiale gradert begrenset i kommuner IKAVA er arkivfaglige rådgivere overfor sine eierkommuner i Vest - Agder. Vi har fått spørsmål om arkivering av personopplysningsblanketter og klareringsbevis i kommunene og henvender oss herved til Nasjonal sikkerhetsmyndighet for en avklaring. Lov om forebyggende sikkerhetstjeneste (Sikkerhetsloven) med forskrifl om personellsikkerhet og forskrift om informasjonssikkerhet, angir mange retningslinjer som berører arkiv. I forskrift om personellsikkerhet går det bl. a fram at personkontrollopplysninger skal oppbevares separat fra andre arkivdokumenter og i inforrnasjonssikkerhetsforskriftens kap. 4 om dokumentsikkerhet, er det bl. a bestemmelser om joumalføring. I skjema personopplysningsblankett for sikkerhetsklarering står det innledningsvis at kopi av blanketten skal sendes klareringsmyndighet, mens originalen skal beholdes av anmodende myndighet (kommunen). En utfylt personopplysningsblankett er gradert begrenset etter sikkerhetsloven. Den ordningen kommunen velger for joumalføring og arkivering av disse dokumenttypene må være i tråd med gjeldende regelverk. IKAVA har vært i muntlig kontakt med nasjonal klareringsmyndighet ved fylkesmann og NSM for å få veiledning. Vi har blant annet fått tilbakemelding om at graderte dokument aldri skal behandles på ugradert nett og at prosessen med å få sikkerhetsgodkjent et informasjonssystem kan være vanskelig. For fysisk papiroppbevaring anbefales en beredskapsboks som er et låsbart skrin i metall. Informasjonsforskriftens kap. 6 behandler dokument gradert begrenset mindre strengt enn dokument med høyere gradering. Det stilles ingen minimumskrav til rommets motstandsevne mot innbrudd og krav til sporbarhet utover de krav som gjelder for beskyttet område (Veilederen for fizsisk sikring mot ulovlig inntregning kap ). Når det gjelder oppbevaringsenheter bruker forskriften begrepet avlåst. Infonnasjonssikkerhetsforskriftens 6-10 sier at informasjon gradert begrenset skal oppbevares i avlåst rom eller nedlåst i oppbevaringsenhet. Låsbare skuffer i kontonnøbler frarådes likevel i veilederen. Märthas vei l Telefon Telefaks Organisasjonsnr. E-post 4633 KRISTIANSANDS ikava@ikava.va.no

6 Mange kommuner i dag finner sitt elektroniske sak/arkivsystem for å være en sikker løsning for oppbevaring av informasjon av både offentlig og ikke - offentlig karakter. I informasjonssikkerhetsforskrifiens 5-30 og 5-31 sies det bl.a. at informasjonssystem som skal sikkerhetsevalueres og sertifiseres er informasjonssystem med fellesnivå hemmelig eller høyere. Innebærer det at dersom høyeste gradering av dokument eller journalføring som forekommer i et elektronisk informasjonssystem er begrenset, så kan dette føres i system som ikke har spesiell sikkerhetsgodkjenning? IKAVA ønsker på vegne av sine eiere besvart følgende konkrete spørsmål: Kan kommunen journalføre dokument gradert begrenset i elektronisk sak/arkivsystem som ikke er sikkerhetsgodkjent? Kan kommunen arkivere dokument gradert begrenset i elektronisk sak/arkivsystem som ikke er sikkerhetsgodkjent? Kan arkivtjenestepersonell som ikke er sikkerhetsklarertjoumalføre og arkivere dokument gradert begrenset? Ved papirbasert joumalføring og fysisk oppbevaring, hva anbefaler tilsynsmyndigheten i forhold til valg av skap, lås, lokale, tilgangsstyring for personell? IKAVA ber og om en generell tilbakemelding om hvilke avvik og pålegg om lukking av avvik som tilsynsmyndigheten har avdekket på dette området. Vi ber ikke om innsyn i en konkret tilsynsrapport, eller opplysninger om en navngitt kommune. Det er ønskelig med generelle eksempler som viser hvilke feil kommunene gjør i forbindelse med oppbevaring av dokument gradert begrenset. Dette for å lære av andres feil og bidra til å forbedre arkivtjenesten i kommunene. Med hilsen Merethe Mykland Johansen Rådgiver Märthas vei l Telefon Telefaks Organisasjonsnr. E-post 4633 KRISTIANSANDS ] 673 ikava@ikava.va.no