Standarder for risikostyring av informasjonssikkerhet
|
|
- Elin Sørensen
- 8 år siden
- Visninger:
Transkript
1 Standarder for risikostyring av informasjonssikkerhet Standardiseringsrådsmøte 13.mars 2012 Beslutningssak Mehran Raja
2 Bakgrunn for utredningen Difi har ferdigstilt 2 rapporter som anbefaler å se nærmere på standardisering innenfor risikoområdet Forprosjekt «Kartlegging av aktuelle anvendelsesområder og relevante sikkerhetsstandarder» Utredningen «Standarder for styring av informasjonssikkerhet» Viktigheten av risikovurderinger gjenspeiles i flere regelverk, spesielt i forbindelse med krav til styring av informasjonssikkerhet
3 Risikostyring vs. risikovurderinger Risikostyring Definere mål, omfang og avgrensning Gjennomføre Risikovurdering Identifisering av risiko Håndtere risikoer og implementere tiltak Overvåke og gjennomgå risikoer Analyse av risiko Evaluering av risiko
4 Offentlig sektors behov for risikostyring Offentlige virksomheter benytter forskjellige metoder for å styre risiko Gjør det vanskelig å forstå hverandres risikogradering Fører til at arbeid med risikostyring og styringssystemet for informasjonssikkerhet blir lite helhetlig og kostnadsdrivende Det viser seg at antallet ulike metodeverk gjør det vanskelig å vite hvilken som er best egnet for den enkelte virksomhet Standarder for risikostyring vil bidra til å gjøre det enklere for virksomhetene å etterleve kravene i regelverk
5 Kartlegging av standarder for risikostyring Kartleggingen viser følgende rammeverk som beskriver fullstendig prosess for risikostyring i forhold til informasjonssikkerhet: ISO/IEC 27005:2011 NIST Special Publication ISACA The RiskIT Framework
6 Vurderinger av standarder for risikostyring Rapporten har identifisert at felles bruk av en, eller et bestemt sett av standarder, vil gi en mer enhetlig gjennomføring av risikoarbeid Alle 3 standardene for risikostyring har hver for seg vist å ha store nyttevirkninger Tilnærmingen er i generelle termer, noe som kan åpne opp for en rekke utfordringer i forhold til praktisk gjennomføring av de ulike aktivitetene. For å skille mellom hvem som er best egnet, har det spesielt blitt lagt vekt på hvilke standarder for styring av informasjonssikkerhet disse baserer på.
7 Risikostyring og styringssystem for informasjonssikkerhet ISO/IEC Tett kobling til ISO når det gjelder begrepsbruk, modeller og prosesser osv. Special Publication , NIST SP er sterkt knyttet til SP , som er et rammeverk for styring av informasjonssikkerhet. The RiskIT Framework, ISACA Spesielt egnet for virksomheter som vil bruke COBIT som styringssystem for informasjonssikkerhet
8 Kartlegging av metoder for risikovurdering Følgende metodeverk er kartlagt i forbindelse med risikovurdering: TV-506:2002 (Datatilsynet) Risikovurdering en veiledning til Rammeverk for autentisering og uavviselighet i elektronisk kommunikasjon med og i offentlig forvaltning (Difi) NS 5814:2008 (Norsk Standard) Risikovurdering (Helsedirektoratet) Veiledning i Risiko- og sårbarhetsanalyse (NSM) OCTAVE (CERT) FAIR (Risk Management Insight)
9 Metoder for risikovurdering TV-506_02, Datatilsynet Veilederen er laget for å hjelpe virksomheter i prosessen med å gjennomføre risikovurderinger i samsvar med personopplysningsloven og forskrift til denne Forankring i overordnede rammer for risikostyring er ikke spesifisert Risikovurdering en veiledning til Rammeverk for autentisering og uavviselighet i elektronisk kommunikasjon med og i offentlig sektor, Difi Metoden som presenteres i veilederen er forenlig med prosess for risikostyring fra ISO/IEC 31000, som i sin tur er utgangspunkt for ISO/IEC og begrepstolkninger fra NS-ISO/IEC 73:2006 Oppsett og vurderinger er i stor grad sammenfallende med Datatilsynets veileder
10 Metoder for risikovurdering NS 5814:2008, Standard Norge Standarden er generell og kan anvendes på alle typer risikovurderinger, unntatt vurdering av økonomisk risiko som følge av forretningsmessige disposisjoner. Utformingen er med dette ikke spesielt tilpasset relevante utfordringer for informasjonssikkerhet. Prosessen for risikovurdering etter NS5814:2008 er planlegging, risikoanalyse og risikoevaluering Etterarbeidet, prosess for kontinuerlig oppfølging og overvåking av risikoer som en del av en virksomhets komplette risikostyring er ikke inkludert i standarden
11 Metoder for risikovurdering Norm for informasjonssikkerhet, Helsedirektoratet Med hjemmel i personopplysningsforskriften har Helsedirektoratet utarbeidet et støttedokument om risikovurderinger til Norm om informasjonssikkerhet. Hensikten med dokumentet er å hjelpe virksomheter i helsesektoren med å dokumentere tiltak og vise at deres behandling av informasjon utføres innenfor nivå for akseptabel risiko Dokumentet er på fem sider og adresserer både forarbeid, gjennomføring og etterarbeid som er relevant i forhold til arbeid med risikovurderinger
12 Metoder for risikovurdering ROS 2004 Veiledning, Nasjonal Sikkerhetsmyndighet Utviklet i samarbeid med NTNU kan benyttes frittstående for gjennomføring av ROS-analyser kan også inngå som metodeverk for å gi en praktisk tilnærming til andre rammeverk for risikostyring Begrepsbruken i veilederen er noe avvikene i forhold til ISO/IEC 27005
13 Metoder for risikovurdering OCTAVE (Operationally Critical Threat, Asset and Vulnerability Evaluation), CERT Metoden definerer strategi for vurdering og planlegging av sikkerhet med risiko som utgangspunkt. Stor utbredelse blant offentlige virksomheter internasjonalt Mye benyttet for å støtte opp under rammeverket til ISO/IEC 27005
14 Metoder for risikovurdering Factor Analysis of Information Risk (FAIR), Risk Management Insight Metodeverket FAIR kan benyttes frittstående, men er ment å styrke eller understøtte rammeverk for risikostyring av informasjonssikkerhet Flere kommersielle virksomheter benytter metoden for å understøtte rammeverk som ISO/IEC 27005, RiskIT, SP osv.
15
16 Konklusjon standarder for risikostyring Av de evaluerte standardene for risikostyring av informasjonssikkerhet har det vist seg at ISO/IEC ved sin nære relasjon til ISO/IEC og ISO/27002 vil gi mest nyttevirkninger. ISO/IEC er dermed den eneste standarden som anbefales som forvaltningsstandard for risikostyring av informasjonssikkerhet
17 Konklusjon Metoder for risikovurdering Av de evaluerte metodene for risikovurdering anbefaler rapporten at «Risikovurdering en veiledning til Rammeverk for autentisering og uavviselighet i elektronisk kommunikasjon med og i offentlig forvaltning» bør benyttes som en «anbefalt forvaltningsstandard» i offentlig sektor Denne anbefalingen gjøres under forutsetning av at Difi inkluderer standarden i et formelt og åpent forvaltningsregime, gjerne i samarbeid med andre forvaltningsorganer eller andre virksomheter. Det anbefales også at Difi gjør en vurdering av muligheten for å inngå et samarbeid med NSM og Datatilsynet, for å lage et felles veiledningsregime for risikostyring av gradert og ugradert informasjon
18 Konklusjon Metoder for risikovurdering For gjennomføring av risikovurderinger i samsvar med personopplysningsloven anbefales Helsedirektoratets «Risikovurdering til Norm for informasjonssikkerhet» som en «anbefalt forvaltningsstandard» i offentlig sektor
19
20 Høringsuttalelser Vi har mottatt kommentarer fra NSM, Finanstilsynet, Difi, Helsedirektoratet og en privat person Konklusjonen i uttalelsene er ganske sammenfallende: ISO/IEC 27005:2011 Standard for risikostyring støttes Anbefalingen på støttedokumenter støttes ikke
21 Høringsuttalelser NSM har kommentert at veiledningen ikke er tilstrekkelig etter sikkerhetslovens krav. NSM er imidlertid positive til å delta i et arbeid sammen med Difi og andre aktuelle forvaltningsorganer for å utvikle en felles veiledningsregime på dette området. Difi: Selv om Difis veileder er bygget på diverse velkjente standarder og metoder, så bør det nok gjøres omfattende omskriving før den kan brukes som en generell metode for risikovurdering av informasjonssikkerhet. Det er ikke alltid sterk sammenheng mellom ISO og veiledningen når det gjelder begrepsbruk, struktur, og prosessoppbygging. Både NSM, Difi og Seip i Finanstilsynet understreker i uttalelsene sine behovet for at metodikker og støttedokumenter for risikovurderinger må tilpasses den enkelte virksomhet.
22 Anbefalinger til Standardiseringsrådet ISO/IEC 27005:2011 gjøres anbefalt for forvaltningen. Den vurderingen som er gjort i utredningen har fått ensidig positiv støtte og bør derfor opprettholdes. Difi sin veileder «Risikovurdering en veiledning til Rammeverk for autentisering og uavviselighet i elektronisk kommunikasjon med og i offentlig forvaltning» og Helsedirektoratets veileder til risikovurdering gjøres anbefalt for informasjon som ikke er underlagt sikkerhetslovens bestemmelser. Det har kommet noen kritiske bemerkninger til standardene og usikkerheten rundt fremtidig forvaltningsregime. Dette taler for å avvente med å anbefale disse standardene. Det er derimot viktig å få på plass noen standarder raskt, slik at offentlige virksomheter får felles metoder de kan benytte. Det anbefales derfor på tross av de kritiske spørsmålene og anbefale standardene, med forbehold om at Difi velger å prioritere arbeidet med å forvalte sin standard i tiden som kommer.
23
Avmystifisere internkontroll/styringssystem - informasjonssikkerhet
Avmystifisere internkontroll/styringssystem - informasjonssikkerhet Difis veiledningsmateriell Jan Sørgård, seniorrådgiver Difi Difi Visjon: Vi utvikler offentlig sektor Digitalisering Anskaffelser Organisering
DetaljerRettslige krav til styring av informasjonssikkerhet. Karin Kristiansen og Amund Eriksen
Rettslige krav til styring av informasjonssikkerhet Karin Kristiansen og Amund Eriksen Hva får dere IKKE? Informasjonssikkerhet? Informasjonssikkerhet dreier seg om å håndtere risiko relatert til virksomhetens
DetaljerPresentasjon sikkerhetsforum Avdelingsdirektør Arne Lunde Uh-avdelingen KD
Presentasjon sikkerhetsforum 2014 Avdelingsdirektør Arne Lunde Uh-avdelingen KD Agenda Regjeringens politikk Regulatoriske krav til etablering av tiltak for å sikre informasjonssikkerheten Risk management
DetaljerAnbefalinger til Standardiseringsrådet vedrørende utredning av standarder for informasjonssikkerhet
Anbefalinger til Standardiseringsrådet vedrørende utredning av standarder for informasjonssikkerhet Bakgrunn Utredningen av standarder for informasjonssikkerhet har kommet i gang med utgangspunkt i forprosjektet
DetaljerInternkontroll i praksis (styringssystem/isms)
Internkontroll i praksis (styringssystem/isms) Difis veiledningsmateriell internkontroll.infosikkerhet.difi.no Bakgrunn, innhold og status Jan Sørgård, seniorrådgiver Difi 2010-2011 - Tilstanden er ikke
DetaljerISO 27001 Syscom brukerforum 2013 Jørn Erik Hornseth og Torbjørn Remmen
ISO 27001 Syscom brukerforum 2013 Jørn Erik Hornseth og Torbjørn Remmen Informasjonssikkerhet Visjon «Organisasjonen anerkjennes som ledende aktør innen informasjonssikkerhet» Oppdrag «Å designe, implementere,
DetaljerSekretariat for informasjonssikkerhet i UHsektoren. Rolf Sture Normann
Sekretariat for informasjonssikkerhet i UHsektoren Rolf Sture Normann UH-sektorens sekretariat for informasjonssikkerhet Opprettet på oppdrag av KD i 2012/2013 Bakgrunnen er Riksrevisjonens kritikk av
DetaljerDifis veiledningsmateriell, ISO 27001 og Normen
Difis veiledningsmateriell, ISO 27001 og Normen Jan Sørgård, seniorrådgiver Difi Jan Gunnar Broch, seniorrådgiver Helsedirektoratet Difi Visjon: Vi utvikler offentlig sektor Digitalisering Anskaffelser
DetaljerAggregering av risiko - behov og utfordringer i risikostyringen
Aggregering av risiko - behov og utfordringer i risikostyringen SINTEF-seminar 4.4.2017 Jan Sørgård, Seniorrådgiver i Difi Seksjon for informasjonssikkerhet og datadeling Avdeling for digital forvaltning
DetaljerUtredning av standarder for styring av informasjonssikkerhet
Utredning av standarder for styring av informasjonssikkerhet 26. standardiseringsrådsmøte Beslutningssak 16.03.2011 Bakgrunn I 23.rådsmøte (2.- 3. juni) ble forprosjektsrapporten og arbeidsgruppens innstilling
DetaljerDifis veiledningsmateriell for offentlig sektor internkontroll.infosikkerhet.difi.no
Difis veiledningsmateriell for offentlig sektor internkontroll.infosikkerhet.difi.no Bakgrunn, innhold og status Jan Sørgård, seniorrådgiver Difi Standard Norges frokostseminar: «IT-sikkerhet og standardisering»
DetaljerRevisjon av anbefalte standarder for styringssystem for informasjonssikkerhet
Revisjon av anbefalte standarder for styringssystem for informasjonssikkerhet Difi gjennomfører en årlig revisjon av alle anvendelsesområder i listen over anbefalte og obligatoriske IT-standarder i offentlig
DetaljerVeiledningsmateriellet Internkontroll i praksis - informasjonssikkerhet. For toppleder Oppdatert:
Veiledningsmateriellet Internkontroll i praksis - informasjonssikkerhet Oppdatert: 7.6.2017 Internkontroll i praksis - informasjonssikkerhet Som toppleder er du ansvarlig for at din virksomhet har velfungerende
DetaljerRevisjonsnotat høsten 2014
Revisjonsnotat høsten 2014 16.10.2014 Bakgrunn Referansekatalog for IT-standarder i offentlig sektor er en liste over anbefalte og obligatoriske tverrsektorielle krav til bruk av IT-standarder i offentlig
DetaljerSikkerhetsforum Styring og kontroll av informasjonssikkerhet. 19. desember 2013
Sikkerhetsforum 2014 Styring og kontroll av informasjonssikkerhet 19. desember 2013 Årets forum har påmeldingsrekord! Ca. 50 deltakere Takk til UiT for gjestfrihet og stille lokaler til rådighet Viktig
DetaljerErfaringer med innføring av styringssystemer
Erfaringer med innføring av styringssystemer Kåre Presttun kaare@mnemonic.no Kåre Presttun Sivilingeniør fra NTH 1979 Jobbet med sikkerhet siden våren 1980 Har jobbet mye med standardisering Medlem av
DetaljerForvaltningsrevisjon IKT sikkerhet og drift 2017
Forvaltningsrevisjon IKT sikkerhet og drift 2017 Fremdrift i arbeidet med anbefalinger og tiltak April 2018 Sak 17/01908 og melding om vedtak i kommunestyret 12/3-2018, arkivsak-dok 17/010908-8 INNHOLD
DetaljerStandardiseringsrådsmøte #4 i November 2015
Standardiseringsrådsmøte #4 i 2015 12. November 2015 Revisjon av referansekatalogen høsten 2015 Kristian Bergem 12. November 2015 Revisjon av referansekatalogen høsten 2015 Difi gjennomfører en årlig vurdering
DetaljerRetningslinje for risikostyring for informasjonssikkerhet
Retningslinje for risikostyring for informasjonssikkerhet Type dokument Retningslinje Forvaltes av Avdelingsleder virksomhetsstyring Godkjent av Organisasjonsdirektøren Klassifisering Intern Gjelder fra
Detaljer«Standard for begrepsbeskrivelser»
«Standard for begrepsbeskrivelser» Standardiseringsrådet, 13. mars 2012 Steinar Skagemo Tema Bakgrunn Behovet for standarder innenfor området metadata/semantikk/begrepsarbeid Spesielt om behovet for standard
DetaljerHelhetlig risikostyring og informasjonssikkerhet. Knut Håkon T. Mørch PricewaterhouseCoopers knut.morch@no.pwc.com Tlf.
Helhetlig risikostyring og informasjonssikkerhet Knut Håkon T. Mørch PricewaterhouseCoopers knut.morch@no.pwc.com Tlf. 95 26 04 38 Innhold Informasjonssikkerhet og modenhet Helhetlig risikostyring Rammeverk
DetaljerInternkontroll og informasjonssikkerhet lover og standarder
Internkontroll og informasjonssikkerhet lover og standarder Renate Thoreid, senioringeniør Side 1 Internkontroll og Informasjonssikkerhet Krav i Personopplysningsloven 13 og 14 Krav i Personopplysningsforskriften
DetaljerRevisjon av informasjonssikkerhet
Revisjon av informasjonssikkerhet Frode Ikdahl Andreas Førde Oslo 14. juni 2012 2 Oversikt Rammeverk og standarder IKT-profil Revisjon av informasjonssikkerhet 2009 (Dok.1 2010-2011) Revisjon av informasjonssikkerhet
DetaljerBerit Sørset, Norsk Industri Guri Kjørven, Standard Norge NS-ISO LEDELSESSYSTEMER FOR ARBEIDSMILJØ KRAV OG VEILEDNING OM BRUK
Berit Sørset, Norsk Industri Guri Kjørven, Standard Norge NS-ISO 45001 LEDELSESSYSTEMER FOR ARBEIDSMILJØ KRAV OG VEILEDNING OM BRUK Historien bak ISO 45001 2000 2007 2018 1. utgave OHSAS 18001:1999 Ny
DetaljerHva er et styringssystem?
Hva er et styringssystem? Og forholdet mellom ISO 27001 og 27002 Seminar 12. april 2012 Ingvild Høvik Kiland Riksrevisjonens Dok 1 (2010-2011) Revisjonen var basert på Nasjonale retningslinjer for å styrke
DetaljerSammenligning av ledelsesstandarder for risiko
Sammenligning av ledelsesstandarder for risiko av Martin Stevens Kvalitet & Risikodagene 2018 14. Juni 2018 Litt om meg Internrevisor i Gjensidige Hvorfor opptatt av risikostyring? - Bakgrunn fra finansiell
DetaljerPrioritering 2011. 26. møte i Standardiseringsrådet 16.03.11 Beslutningssak
Prioritering 2011 26. møte i Standardiseringsrådet 16.03.11 Beslutningssak Prioriteringsnotat 2011 Gjennomgang av forslag til standardiseringsarbeidet Prioritering i henhold til kriterier Utkast til prioriteringsnotat
DetaljerInternkontroll/styringssystem i praksis informasjonssikkerhet. Andreas Grefsrud, seniorrådgiver seksjon for informasjonssikkerhet
Internkontroll/styringssystem i praksis informasjonssikkerhet Andreas Grefsrud, seniorrådgiver seksjon for informasjonssikkerhet Hva er informasjonssikkerhet? CIA Seksjon for informasjonssikkerhet Arbeide
DetaljerStandardisering av krypto i offentlig sektor. Standardiseringsrådsmøte (beslutningssak)
Standardisering av krypto i offentlig sektor Standardiseringsrådsmøte 14.09.11 (beslutningssak) Bakgrunn Det er lite hensiktsmessig at hvert prosjekt som skal ta i bruk krypteringsteknologi, selv skal
DetaljerKvalitetssikring av KS digitaliseringsprosjekter Sjekkliste informasjonssikkerhet og personvern
Kvalitetssikring av KS digitaliseringsprosjekter Sjekkliste informasjonssikkerhet og personvern Versjon 1.0-25.02.2018 Det er krav om innebygget personvern i tråd med personopplysningsloven. Innebygd personvern
DetaljerMåling av informasjonssikkerhet ISO/IEC 27004:2016. Håkon Styri Seniorrådgiver Oslo,
Måling av informasjonssikkerhet ISO/IEC 27004:2016 Håkon Styri Seniorrådgiver Oslo, 2017-11-29 Disposisjon Hvorfor måler vi, og hva måler vi? Måling av styringssystemet Hvordan beskrive en måling? Måling
DetaljerStyringssystem i et rettslig perspektiv
Styringssystem i et rettslig perspektiv Seminar 14. oktober 2011 Seniorrådgiver Ingvild Høvik Kiland STYRING AV INFORMASJONSSIKKERHET? Dato Direktoratet for forvaltning og IKT Hva sier loven? Dato Direktoratet
DetaljerSikkert nok - Informasjonssikkerhet som strategi
Sikkert nok - Informasjonssikkerhet som strategi Lillian Røstad Seksjonssjef Jan Sørgård Seniorrådgiver Digitaliseringskonferansen 6. juni 2014 C IA Nasjonal strategi for informasjonssikkerhet 2003 2007
DetaljerFylkesberedskapsrådet i Hordaland Styring og kontroll - informasjonssikkerhet. Øyvind Grinde Seksjonssjef for informasjonssikkerhet 18.
Fylkesberedskapsrådet i Hordaland Styring og kontroll - informasjonssikkerhet Øyvind Grinde Seksjonssjef for informasjonssikkerhet 18. januar 2018 JMFoto.no HVA ER INFORMASJONSSIKKERHET? Hva er informasjon?
DetaljerGrunnleggende datakommunikasjon sikker datakommunikasjon fra offentlige nettsteder
HØRINGSNOTAT Høring av forslag til nye eller reviderte forvaltningsstandarder Dato for utsendelse 23.01.17 Behandles i Standardiseringsrådet 22.03.17 Frist for høringssvar 27.02.17 Implementeres i referansekatalogen
DetaljerMetode for identifikasjon av dokumentasjon. Presentasjon i Skate
Metode for identifikasjon av dokumentasjon Presentasjon i Skate 13.03.2019. Agenda Bakgrunn Hva er gjort i prosjektet Resultat Tilbakemeldinger Gevinster Veien videre Bakgrunn Samfunn i endring Informasjon
DetaljerStandarder for sikker bruk av VPN med og i offentlig sektor
Standarder for sikker bruk av VPN med og i offentlig sektor Standardiseringsrådsmøte 23.-24. november 2011 beslutningssak Bakgrunn Grønn IKT (Hjemmekontor, videokonferanser) Fjernarbeid og distribuert
DetaljerRisiko- og sårbarhetsanalyser: vær og veg. Arne Gussiås, Region midt
2 HVORFOR ROS-ANALYSER Klimaendringer Økt krav til pålitelighet (fremkommelighet), sikkerhet og omdømme Krav til informasjon og dokumentasjon Sårbarhet øker med økende vedlikeholdsetterslep 3 ROS-ANALYSER
Detaljer«Standard for begrepsbeskrivelser»
«Standard for begrepsbeskrivelser» Standardiseringsrådet, 16. mai 2012 Steinar Skagemo Innhold Oppsummering av bakgrunn Utvikling av standarden Gjennomgang av dokumentet «Standard for begrepsbeskrivelser»
DetaljerSUHS konferansen 2013. Infomasjonssikkerhetsspor (CSO)
SUHS konferansen 2013 Infomasjonssikkerhetsspor (CSO) Velkommen til SUHS 2013 Gevinstrealisering Hvordan få til gevinstrealisering i arbeidet med informasjonssikkerhet? Er det lett å selge at forhindre
DetaljerRevisjon av IT-sikkerhetshåndboka
Direktørnettverket 4. juni 2014 Revisjon av IT-sikkerhetshåndboka IT-direktør Lars Oftedal Formål IT-sikkerhetsarbeidet skal sikre universitetets verdier, virksomhet, resultater og omdømme. Det skal beskytte
DetaljerKvalitetssikring av arkivene
Kvalitetssikring av arkivene Kort om ROS-analysen og erfaringene fra UiT Norges arktiske universitet arkivleder Anita Dahlberg Kort om UiT Norges arktiske universitet Opprettet 1968 (vedtak) Sammenslått
DetaljerStyringssystem for informasjonssikkerhet et topplederansvar
Styringssystem for informasjonssikkerhet et topplederansvar Jan Sørgård Seniorrådgiver Difi Visjon «Vi utvikler offentlig sektor» Områder Digital forvaltning Offentlige anskaffelser Ledelse og organisering
DetaljerRisiko og sårbarhet knyttet til internkontroll. Charlotte Stokstad seniorrådgiver i Statens helsetilsyn 11. februar 2014
Risiko og sårbarhet knyttet til internkontroll Charlotte Stokstad seniorrådgiver i Statens helsetilsyn 11. februar 2014 1 Tema Hva er god ledelse av det kommunale barnevernet og av sosiale tjenester i
DetaljerMetode for identifikasjon av dokumentasjon. 8 Norske Arkivmøte,
Metode for identifikasjon av dokumentasjon 8 Norske Arkivmøte, 09.04.2019. Agenda Bakgrunn Resultat - metoden Tilbakemeldinger Veien videre Hvordan lykkes med dette i praksis? Bakgrunn Samfunn i endring
DetaljerGuri Kjørven, Standard Norge NS-ISO LEDELSESSYSTEMER FOR ARBEIDSMILJØ KRAV OG VEILEDNING OM BRUK
Guri Kjørven, Standard Norge NS-ISO 45001 LEDELSESSYSTEMER FOR ARBEIDSMILJØ KRAV OG VEILEDNING OM BRUK ISO/PC 283 Occupational health and safety management systems 70 Participating Countries, 16 Observing
DetaljerHelhetlig arbeid med informasjonssikkerhet. Remi Longva
Helhetlig arbeid med informasjonssikkerhet Remi Longva 2019-02-13 Vårt utgangspunkt Informasjonssikkerhet å sikre at informasjon i alle former ikke blir kjent for uvedkommende (konfidensialitet) ikke
DetaljerInformasjonssikkerhet i Norge digitalt Teknologiforum 07.11.13
Informasjonssikkerhet i Norge digitalt Teknologiforum 07.11.13 Trond Skyseth, sikkerhetsleder, Kartverket Plan for innspill Hensikt Prinsipper for informasjonssikkerhet i ND Hvorfor er sikkerhet viktig
DetaljerSikkerhetsforum 2018
Sikkerhetsforum 2018 Kunnskapsdepartementets tjenesteorgan Sekretariat for informasjonssikkerhet I UH-sektoren Rolf Sture Normann Litt status fra 2017 GDPR Veileder om krav til informasjonssikkerhet I
DetaljerUndersøkelse om informasjonssikkerhet i Nasjonale felleskomponenter Spørreskjema Vedlegg til Difi-notat 2017:4
Undersøkelse om informasjonssikkerhet i Nasjonale felleskomponenter Spørreskjema Vedlegg til Difi-notat 2017:4 ID Spørsmål Svar A Styring og kontroll i virksomheten A.1 Hvilke standarder, rammeverk og
DetaljerNTNU Retningslinje for arbeid med sikkerhetskultur og opplæring innen informasjonssikkerhet
Retningslinje for arbeid med sikkerhetskultur og opplæring innen informasjonssikkerhet Type dokument Retningslinje Forvaltes av Leder av HR- og HMS-avdelingen Godkjent av Organisasjonsdirektør Klassifisering
DetaljerRevisjon av ISO 14001
Miljø- og klimaforum, 4. juni 2014 Revisjon av ISO 14001 V/KNUT JONASSEN, STANDARD NORGE Hovedpunkter Styringssystemer: ISO 9001 og ISO 14001 Bakgrunnen for revisjonen Spesielle utfordringer Felles struktur
DetaljerVelkommen! RiskManager styringssystem for informasjonssikkerhet (ISMS) - 6.12.2012. Susanne Helland Flatøy Markedssjef Digital Kvalitet
Velkommen! RiskManager styringssystem for informasjonssikkerhet (ISMS) - 6.12.2012 Susanne Helland Flatøy Markedssjef Digital Kvalitet Agenda En prosessbasert tilnærming: Planlegge sikringstiltak Utføre
DetaljerInformasjonssikkerhet. Øyvind Rekdal, 17. mars 2015
Informasjonssikkerhet Øyvind Rekdal, 17. mars 2015 Om meg Øyvind Rekdal Utdannet sivilingeniør Jobber som seniorrådgiver i seksjon for virksomhetsutvikling i Miljødirektoratet Prosjektleder for å implementere
DetaljerHøringssvar - Forslag til ny pasientjournallov og ny helseregisterlov
Vår dato Vår referanse 15.10.2013 13/00959-2 Helse- og omsorgsdepartementet Postboks 8011 Dep 0030 Oslo Deres dato: Deres referanse 13/2992 Saksbehandler: Caroline Ringstad Schultz Høringssvar - Forslag
DetaljerDirektoratet for forvaltning og ikt Besøksadresse Oslo: Besøksadresse Leikanger: Postboks 1382 Vika Oslo
.. l'l Direktoratet for forvaltning og ikt Forsvarsdepanementet Vår dato 27.9.2018 Deres dato 2.7.2018 2015/3139 POStbOkS 8126 Dep Vår referanse 18/00025455 Deres referanse 254/FD V 0032 Oslo 3/ENWA Saksbehandler:
DetaljerErfaringer med innføring av styringssystemer
Erfaringer med innføring av styringssystemer Kåre Presttun kaare@mnemonic.no Kåre Presttun Sivilingeniør fra NTH 1979 Jobbet med sikkerhet siden våren 1980 Har jobbet mye med standardisering Medlem av
DetaljerRisikoanalysemetodikk
Risikoanalysemetodikk Mars 2012 Eva Henriksen, eva.henriksen@telemed.no Eva Skipenes, eva.skipenes@telemed.no Sikkerhetsrådgivere NST www.telemed.no/sikkerhet Metodikk for Risikoanalyse Risikovurdering
DetaljerHvordan styre informasjonssikkerhet i et dynamisk trusselbilde? Tommy Molnes Security Manager Digital Sikkerhet AS
Hvordan styre informasjonssikkerhet i et dynamisk trusselbilde? Tommy Molnes Security Manager Digital Sikkerhet AS Agenda Hva skal vi beskytte? Hvilke krav stilles? Forskrift om beredskap i kraftforsyningen
DetaljerOppfølging etter Deepwater Horizon - Status og veien videre
Oppfølging etter Deepwater Horizon - Status og veien videre Industriseminar 23. september 2011 Hilde-Karin Østnes & Øyvind Tuntland Petroleumstilsynet Hovedoppsummering DwH-ulykken reiser spørsmål som
DetaljerRetningslinjer for risikostyring ved HiOA Dato siste revisjon:
Retningslinjer for risikostyring ved HiOA Dato siste revisjon: 28.11.2017 1 Hensikt, bakgrunn og mål Hensikten med dette dokumentet er å bidra til at HiOA har en strukturert tilnærming for å identifisere,
DetaljerSikkerhetstiltak utforming av internkontrolltiltak på informasjonssikkerhetsområdet
Sikkerhetstiltak utforming av internkontrolltiltak på informasjonssikkerhetsområdet DFØs samarbeidsforum 9.9.2015 Jan Sørgård, seniorrådgiver Difi infosikkerhet.difi.no Veiledningsmateriellet Internkontroll
DetaljerVeileder for sentral risiko- og sa rbarhetsvurdering (ROS) av et felles system i UH-sektoren
Veileder for sentral risiko- og sa rbarhetsvurdering (ROS) av et felles system i UH-sektoren Delområde av styringssystem for informasjonssikkerhet i UH -sektoren Versjon 1.0 1 Innholdsfortegnelse Forord...
DetaljerFølger sikkerhet med i digitaliseringen?
Følger sikkerhet med i digitaliseringen? RUNE MYHRE JONASSEN 1 EVRY PUBLIC Rune Myhre Jonassen EVRY Business Consulting Konsulent og rådgiver Risk Management Information Security Bakgrunn Ingeniør Over
DetaljerTiltaksliste Informasjonsforvaltning og -utveksling
Tiltaksliste Informasjonsforvaltning og -utveksling Tabellen gir en oversikt over tiltakene presentert og prioritert av foranalyse informasjonsforvaltning og utveksling. Prioritet Tiltak Beskrivelse 1
DetaljerDigital kommunikasjon som hovedregel endringer i eforvaltningsforskriften
Vår saksbehandler Simon Kiil Vår dato Vår referanse 2013-09-10 A03 - S:13/02202-5 Deres dato Deres referanse 2013-06-11 13/1249 Antall vedlegg Side 1 av 5 Fornyings-, administrasjonskirkedepartementet
DetaljerStandardiseringsarbeidet
Standardiseringsarbeidet Kristian Bergem 10.02.2010 Standardiseringsportalen Dato Totaloversikt standard.difi.no http://standard.difi.no/forvaltningsstandarder Dato 1. Ver av referansekatalogen Kom i desember
DetaljerNorm for Informasjonssikkerhet - www.normen.no. Tor Ottersen
Norm for Informasjonssikkerhet - www.normen.no Tor Ottersen Disposisjon Hva er egentlig Normen Hvorfor ble den laget Forvaltning Hvordan bruke den 03.11.2009 Normen Tor ottersen 2 Hva er Normen Et omforent
DetaljerSIKKER SKY. Skyseminar Difi Lars Strand Dag Sandham NSM
SIKKER SKY Skyseminar Difi 16.10.2017 Lars Strand Dag Sandham NSM SKY? NSM er positive til bruk av skytjenester! Men! Krever god risikovurdering og høy bestillerkompetanse! Men! Medfører ikke at ansvaret
DetaljerForebygging av misligheter og korrupsjon
Forebygging av misligheter og korrupsjon Krever aktive ledere Erkjenne risiko Etablere tiltak og sjekke etterlevelse Gode rollemodeller Fokus på regelverk og etiske retningslinjer Økt fokus på inntekter:
DetaljerMåling av informasjonssikkerhet i norske virksomheter
1 Måling av informasjonssikkerhet i norske virksomheter Difi, 29.11.2013, Marte Tårnes Måling av informasjonssikkerhet i norske virksomheter 29.11.2013 2 Agenda Motivasjon for oppgaven Hvorfor skal vi
DetaljerHvordan sikre seg at man gjør det man skal?
Beredskapsforskriften og krav om ROS-analyser. Hvordan sikre seg at man gjør det man skal? Roger Steen NVE, Beredskapsseksjonen rost@nve.no Tenk igjennom hva som kunne vært konsekvensene for ditt selskap
DetaljerBarrierestyring. Hermann Steen Wiencke PREPARED.
Barrierestyring Hermann Steen Wiencke PREPARED. Bakgrunn - Ptil Det overordnede fokuset er at barrierer skal ivaretas på en helhetlig og konsistent måte slik at risiko for storulykker reduseres så langt
DetaljerSentrale krav til IKT-anskaffelser. Gardermoen, 16. januar 2014 Kristian Bergem, Difi
Sentrale krav til IKT-anskaffelser Gardermoen, 16. januar 2014 Kristian Bergem, Difi Poenget Det finnes en liste over anbefalte og obligatoriske IT-standarder i offentlig sektor. Alle kravspesifikasjoner
DetaljerMåling av informasjonssikkerhet. Håkon Styri Seniorrådgiver Oslo,
Måling av informasjonssikkerhet Håkon Styri Seniorrådgiver Oslo, 2017-10-30 Disposisjon Hvorfor måler vi, og hva måler vi? Måling av styringssystemet Hvordan beskrive en måling? Måling av informasjonssikkerhet
DetaljerNy styringsmodell for informasjonssikkerhet og personvern
Ny styringsmodell for informasjonssikkerhet og personvern Direktoratet for IKT og fellestjenester i høyere utdanning og forskning Rolf Sture Normann CISA, CRISC, ISO27001LI Fagleder informasjonssikkerhet
DetaljerOppfølging av informasjonssikkerheten i UH-sektoren
Oppfølging av informasjonssikkerheten i UH-sektoren Gustav Birkeland SUHS-konferansen 4. november 2015 Mål s overordnede mål for arbeidet med samfunnssikkerhet og beredskap i kunnskapssektoren er å forebygge
DetaljerStyringssystem for informasjonssikkerhet
Styringssystem for informasjonssikkerhet et topplederansvar og en viktig kulturpåvirker Jan Sørgård Seniorrådgiver Difi Visjon «Vi utvikler offentlig sektor» Områder Digital forvaltning Offentlige anskaffelser
DetaljerStyret Helsetjenestens driftsorganisasjon for nødnett HF 10.juni BESØKSADRESSE: POSTADRESSE: Tlf: Org.nr.
Saksframlegg Referanse Saksgang: Styre Møtedato Styret Helsetjenestens driftsorganisasjon for nødnett HF 10.juni 2016 SAK NR 22-2016 Risikovurdering, internkontroll og avvik Forslag til vedtak: 1. Styret
DetaljerSikkerhet, risikoanalyse og testing: Begrepsmessig avklaring
Sikkerhet, risikoanalyse og testing: Begrepsmessig avklaring Seminar om risikoanalyse og testing innen sikkerhet Bjørnar Solhaug SINTEF, 11. juni, 2013 Technology for a better society 1 Oversikt Risikoanalyse
DetaljerNS-EN Ledelsessystemer for kvalitet - NS-EN ISO 9001 for helseog omsorgstjenester
NS-EN 15224 Ledelsessystemer for kvalitet - NS-EN ISO 9001 for helseog omsorgstjenester NS-EN 15224 LEDELSESSYSTEMER FOR KVALITET NS-EN ISO 9001 FOR HELSE- OG OMSORGSTJENESTER Krav til systematiske metoder
DetaljerKriterier for Difis anbefalinger til KMD om prioritering av tverrgående digitaliseringstiltak
Kriterier for Difis anbefalinger til KMD om prioritering av tverrgående digitaliseringstiltak Digital agenda for Norge Visjon Offentlig forvaltning er endringsvillig, deler og gjenbruker informasjon sikkert,
DetaljerStyringssystem basert på ISO 27001
Styringssystem basert på ISO 27001 Agenda ISO/IEC 27001 - krav i standarden Styringssystem ISMS Beslutning og oppstart av prosjekt Definere omfang og kriterier Hva må utarbeides og hvordan? Hvordan implementere
DetaljerBedre personvern i skole og barnehage
Bedre personvern i skole og barnehage NOKIOS, 28. oktober 2014 Eirin Oda Lauvset, seniorrådgiver i Datatilsynet Martha Eike, senioringeniør i Datatilsynet Datatilsynet Uavhengig forvaltningsorgan Tilsyn
DetaljerVEILEDER OM KRAVET TIL SKOLEEIERS "FORSVARLIGE SYSTEM"
VEILEDER OM KRAVET TIL SKOLEEIERS "FORSVARLIGE SYSTEM" I HENHOLD TIL OPPLÆRINGSLOVEN 13-10 ANDRE LEDD OG PRIVATSKOLELOVEN 5-2 TREDJE LEDD Innhold 1. Forord...2 2. Innledning...3 3. Elementer i et forsvarlig
DetaljerDepartementenes oppfølging av informasjonssikkerheten i underliggende virksomheter
Kommunal- og moderniseringsdepartementet Departementenes oppfølging av informasjonssikkerheten i underliggende virksomheter Avdelingsdirektør Katarina de Brisis Difis høstkonferanse om informasjonssikkerhet,
DetaljerDigital pasientsikkerhet, Normen og litt velferdsteknologi. Stavanger 4. juni 2019 Aasta Margrethe Hetland
Digital pasientsikkerhet, Normen og litt velferdsteknologi Stavanger 4. juni 2019 Aasta Margrethe Hetland Veien til toppen av agendaen «Dødelig personvern» digital pasientsikkerhet? Diskusjonen i media
DetaljerHVEM ER JEG OG HVOR «BOR» JEG?
DISCLAIMER HVEM ER JEG OG HVOR «BOR» JEG? INFORMASJONSSIKKERHET Konfidensialitet Sikre at informasjon bare er tilgjengelig for de som skal ha tilgang Integritet Sikre informasjon mot utilsiktet eller
DetaljerInformasjonssikkerhet i kommunene. Gaute Wangen, seniorrådgiver Seksjon for digital sikkerhet, NTNU
Informasjonssikkerhet i kommunene Gaute Wangen, seniorrådgiver Seksjon for digital sikkerhet, NTNU Innhold 1. Hvorfor informasjonssikkerhet? 2. Grunnleggende informasjonssikkerhet 1. Pilarene in informasjonssikkerhet
DetaljerKONTROLLSTRATEGI REISER UTEN REKVISISJON
KONTROLLSTRATEGI REISER UTEN REKVISISJON Innhold 1. Formål...2 2. Krav og føringer til styring og kontroll...2 2.1. Pasientreiseforskriften 26 dokumentasjon og kontroll... 2 2.2. Forarbeidene; Høringsnotat
DetaljerLagring av personopplysninger. Øyvind Eilertsen UNINETT CERT. SUHS-konferansen Informasjonssikkerhet Behandling av personopplysninger:
Lagring av personopplysninger Øyvind Eilertsen UNINETT CERT SUHS-konferansen 2011 Dagens tekst Informasjonssikkerhet Behandling av personopplysninger: Organisatoriske krav Tekniske krav Informasjonssikkerhetsarbeidet
DetaljerHva gjør så KiNS og KS med GDPR?
1 Hva er KiNS Foreningen Kommunal Informasjonssikkerhet KiNS 2003 Over 200 kommuner/fylkeskommuner Samarbeider nært med KS, Datatilsynet, DiFi, NSM, ehelse, Senter for IKT i undervisningen. KiNS arrangerer
DetaljerArbeidsgruppens behandling av rapporten Forberedende vurderinger av standarder d for. Møte i Standardiseringsrådet 16. mars 2010
Arbeidsgruppens behandling av rapporten Forberedende vurderinger av standarder d for dokumentformater Møte i Standardiseringsrådet 16. mars 2010 Disposisjon Kort historikk behandling av rapporten Forberedende
DetaljerJorunn Bødtker Norsk Arkivråds seminar 20. mars 2018
Nye arkivforskrifter arkivplan og internkontroll Jorunn Bødtker Norsk Arkivråds seminar 20. mars 2018 Norsk Arkivråd, 2018 Hva gjør vi med arkivplanen og internkontroll spesielt for stat De nye forskriftene
DetaljerNorsox. Dokumentets to deler
Norsox Et dokument om God IT Styring og Kontroll Dokumentets to deler Del 1: En metodikk for innføring av God IT Styring og Kontroll. Forankret i Styrets ansvar og gjennomarbeidet på alle nivå i virksomheten.
DetaljerNS-ISO 38500:2008 Virksomhetens styring og kontroll av IT. IKT seminar August Nilssen Prosjektleder IKT Standard Norge
NS-ISO 38500:2008 Virksomhetens styring og kontroll av IT IKT seminar 2011-02-17 August Nilssen Prosjektleder IKT Standard Norge NS-ISO 38500:2008 Tittel: Virksomhetens styring og kontroll av IT Corporate
DetaljerRammeverk for risikostyring i Helse Midt-Norge
Rammeverk for risikostyring i Helse Midt-Norge Versjon 1.0 Godkjent i ledergruppen Helse Midt-Norge 29.03.16 Innhold Rammeverk for risikostyring i Helse Midt-Norge... 3 Innledning... 3 DEL 1 RAMMEVERK
DetaljerEtableringsplan. Internkontroll for informasjonssikkerhet og personvern
Etableringsplan Internkontroll for informasjonssikkerhet og personvern Innholdsfortegnelse 1 Innledning... 2 2 Formål... 2 3 Informasjonssikkerhet og personvern... 2 4 Etableringsaktiviteter... 3 5 Lenker...
DetaljerSeksjon for informasjonssikkerhet
Seksjon for informasjonssikkerhet Difi etablerte i 2013/2014 et kompetansemiljø for informasjonssikkerhet som skal: Arbeide for en styrket og mer helhetlig tilnærming til informasjonssikkerhet i statsforvaltningen.
DetaljerCyberspace og implikasjoner for sikkerhet
Cyberspace og implikasjoner for sikkerhet Bjørnar Solhaug Seminar: Cyberspace Hva er utfordringene fra et risikoperspektiv? SINTEF, 22. januar, 2016 1 Oversikt Bakgrunn Hva er cyberspace, og hva snakker
Detaljer