Kontraktbilag 8. It-sikkerhed og compliance

Transkript

1 Kontraktbilag 8 It-sikkerhed og compliance LØNMODTAGERNES DYRTIDSFOND DIRCH PASSERS ALLÉ 27, 2. SAL 2000 FREDERIKSBERG TELEFON FAX INFO@LD.DK CVR

2 2 INDHOLD INDHOLD 2 1 Indledning LDs it-sikkerhedspolitik Leverandørens ansvar for løsningens sikkerhed Leverandørens forpligtelse til styring af underleverandører Leverandørens sikkerhedspolitik og sikkerhedsprocedurer Kontrol med overholdelse af sikkerhedsregler Backup procedure Katastrofeberedskab og beredskabsplan 5 2 Personoplysninger 5 3 Audit og revision Audit Revisionserklæring 7

3 3 1 Indledning Jf. aftalens punkt indestår leverandøren for at overholde de aftalte krav til sikkerhed. Herunder hører LDs it-sikkerhedspolitik, back-up-procedurer og katastrofeberedskab og beredskabsplaner, som nærmere er beskrevet i nærværende Kontraktbilag og som opdateres på baggrund af leverandørens rådgivning. 1.1 LDs it-sikkerhedspolitik Leverandøren indestår for, at den til enhver tid af LD fastsatte it-sikkerhedspolitik (nuværende version vedlagt som appendix C til kontraktbilag 2 Situationsbeskrivelse), herunder de til enhver tid af LDs bestyrelse fastsatte sikkerhedskrav og sikkerhedsregler, samt alle de til enhver tid gældende myndighedsfastsatte sikkerhedskrav anvendes og overholdes. Såfremt LD ændrer sikkerhedskrav, som indebærer, at leverandøren skal implementere nye sikkerhedsforanstaltninger end dem, der gælder ved indgåelsen af aftalen eller gælder som følge af senere implementerede ændringer, og under forudsætning af at de ændrede krav ikke skyldes forhold, som leverandøren tidligere skulle have taget tilstrækkelig højde for, vil implementeringen af LDs ændrede sikkerhedskrav blive behandlet i overensstemmelse med aftalens punkt 9. LD er til enhver tid og med 3 måneders skriftligt varsel berettiget til at ændre de af LD fastsatte sikkerhedspolitiker og sikkerhedskrav. Såfremt leverandøren dokumenterer, at de ændrede sikkerhedspolitikker og sikkerhedskrav ikke kan implementeres inden for varslet på 3 måneder, er parterne enige om at drøfte en udvidet implementeringsperiode. Leverandøren er forpligtet til omgående at rapportere sikkerhedsbrud, såfremt de har betydning for ydelserne til LD, henunder for den aftalte it-sikkerhed, jf. parternes aftalte procedure for rapportering af sikkerhedsbrud, jf. kravene hertil i Kontraktbilag 9 Samarbejdsorganisation. Leverandøren er forpligtet til at observere og efterleve Bilag 3 til Bekendtgørelse om ledelse og styring af Lønmodtagernes Dyrtidsfond jf. kontraktbilag 14, da denne stiller de lovmæssige krav for LDs it-sikkerhed.

4 4 1.2 Leverandørens ansvar for løsningens sikkerhed Leverandøren skal løbende og for egne midler holde sig orienteret om Best Practice for at sikre Driftsmiljøet mod brud på fortrolighed, integritet og tilgængelighed i overensstemmelse med det krævede sikkerhedsniveau, samt løbende sikre at sikkerhedskontroller er tilstrækkelige, tidssvarende og relevante for ydelserne. Leverandøren er forpligtet til uden ugrundet ophold at oplyse LD om ændringer i leverandørens certificeringer inden for it-sikkerhed og compliance og god skik mht. til it-drift i forhold til de af leverandøren oplyste certificeringer ved Aftalens indgåelse. 1.3 Leverandørens forpligtelse til styring af underleverandører Jf. Aftalens punkt forestår leverandøren den samlede styring af opfyldelsen af Aftalen, herunder i forhold til såvel egne ressourcer og underleverandører som i forhold til LDs opfyldelse af sine forpligtelser. Dette gælder også på it-sikkerhedsområdet, og for anvendelsen af underleverandører gælder endvidere Aftalens punkt 23.7 samt Kontraktbilag 5 (Databehandleraftalen). Leverandøren er bl.a. forpligtet til at sikre, at underleverandørers medarbejdere har underskrevet en fortrolighedsaftale, og skal til enhver tid kunne dokumentere dette. Leverandøren er forpligtet til at sikre, at dennes underleverandører overholder de sikkerhedskrav, der gælder for leverandøren og dennes ydelser til LD. 1.4 Leverandørens sikkerhedspolitik og sikkerhedsprocedurer Jf. Aftalens punkt garanterer og indestår leverandøren for, at Ydelserne opfylder god itskik samt en god branchenorm for IT- og facility management og er i overensstemmelse med god rådgiverskik. Leverandøren indestår som minimum for at opretholde et sikkerhedsniveau, der svarer til en internationalt anerkendt sikkerhedsstandard, som f.eks. ISAE 3402 eller ISO samt at leverandørens sikkerhedspolitik og procedurer for sikkerhed er tilstrækkelig til at opfylde de aftalte krav til sikkerhed. Leverandøren er forpligtet til uden ugrundet ophold at oplyse LD om ændringer i leverandørens sikkerhedspolitik og sikkerhedsniveau i forhold til det af leverandøren oplyste ved Aftalens indgåelse, herunder således også leverandørens svar på LDs kravspecifikation i Kontaktbilag 3 og leverandørens løsningsbeskrivelse i Kontraktbilag Kontrol med overholdelse af sikkerhedsregler LD kan kontrollere leverandørens opfyldelse af kravene til sikkerhed efter tilsvarende regler som anført for audit, jf. aftalens punkt 4.4.

5 5 1.6 Backup procedure Leverandøren skal til enhver tid sikre, at der gennemføres backup procedurer, herunder effektuering af backup, sikker opbevaring af backup medier og kontrol af, at den foretagne backup er anvendelig i tilfælde af nedbrud og datatab, alt i overensstemmelse med det i nærværende bilag anførte samt ydelsesbeskrivelsen, herunder bl.a leverandørens Løsningsbeskrivelse (Kontraktbilag 4). Leverandøren er endvidere forpligtet til at implementere og opretholde sådanne yderligere backup procedurer, som leverandøren måtte anse for fornødne, eller som er sædvanlige i forbindelse med løsning af sådanne driftsmæssige it-opgaver, som er genstand for Aftalen. 1.7 Katastrofeberedskab og beredskabsplan Leverandøren er forpligtet til pr. overtagelsesdagen at implementere og opretholde et katastrofeberedskab i overensstemmelse med det i nærværende kontraktbilag anførte. Katastrofeberedskabet skal sikre, at de af aftalen omfattede ydelser med det i beredskabsplanens angivne varsel efter en katastrofesituation kan leveres i overensstemmelse med de aftalte krav og servicemål for genskabelse iht. Kontraktbilag 15. Leverandøren skal straks informere LD, såfremt der indtræder et driftsnedbrud. LD skal herefter holdes løbende orienteret om situationen indtil driften er normal igen. Efterfølgende skal leverandøren levere en incidentrapport, der dokumenterer hændelsen, samt beskriver hvilke tiltag der foretages for at sikre, at en lignende hændelse ikke opstår i fremtiden. Leverandøren skal til enhver tid overholde den af LD forud for nærværende aftale udarbejdede beredskabsplan, der er vedlagt som Appendix D til Kontraktbilag 2, Situationsbeskrivelse. Beredskabsplanen vedligeholdes af leverandøren. Der foretages opdatering af beredskabsplanen mindst én gang årligt. Beredskabsplanen afprøves af leverandøren mindst én gang om året ved en skrivebordsprøve, hvor planen og de enkelte elementer i denne gennemgås for fejl og mangler, uden at beredskabsplanen i øvrigt faktisk afprøves. Derudover skal leverandøren minimum hvert andet år faktisk afprøve beredskabsplanen. 2 Personoplysninger Leverandøren er databehandler for LD og har tiltrådt databehandleraftalen i kontraktbilag 5 med tilhørende bilag 5 a.

6 6 3 Audit og revision 3.1 Audit Krav om audit skal ses i lyset af aftalens punkt 4.4, Kontraktbilag 5, Databehandleraftalens punkt 3.7. Leverandøren er forpligtet til at medvirke og understøtte kontrol og tilsynsaktiviteter efter Aftalens punkt inden for det faste driftsvederlag. Leverandøren er endvidere forpligtet til at understøtte LDs uafhængige revision efter Aftalens punkt inden for det faste driftsvederlag jf. Kontraktbilag 10. Leverandøren skal inden for det faste driftsvederlag give LD tilstrækkelige oplysninger til, at LD eller LDs databeskyttelsesrådgiver kan påse, at leverandøren har truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger til beskyttelse af personoplysninger, jf. punkt 3.7 i Kontraktbilag 5 (databehandleraftalen) Leverandørens egenkontrol med it-sikkerhed Leverandøren er forpligtet til på egen hånd at foretage sikkerhedsaudits og udøve egenkontrol baseret på god it-skik af driftsmiljøet en gang om året. Resultatet af denne interne sikkerhedsaudit og egenkontrol skal leveres til LD uden ugrundet ophold LDs it-audit af Leverandøren LD forbeholder sig ret til selv eller at lade LDs revisorer eller anden uvildig sagkyndig revidere og auditere it-sikkerhed og compliance for både leverandørens og eventuelle underleverandørers ydelser under aftalen. Leverandøren er forpligtet til at deltage og stille ressourcer til rådighed i rimeligt omfang og uden særskilt vederlag at yde den bistand, der er nødvendig til gennemførelse af kontrollen. Leverandørens deltagelse mv. i øvrig revision i henhold til aftalens punkt afholdes inden for driftsvederlaget. Kontrol ved LD, LDs revisorer eller anden uvildig sagkyndig skal ske med 10 arbejdsdages varsel via meddelelse og inden for driftsvederlaget maksimalt to gange pr. år. Omkostningerne til den uvildige sagkyndige afholdes af LD, jf. dog nedenfor. Såfremt leverandøren har overskredet den aftalte frist for overtagelsesdagen og/eller for beståelse af driftsprøven i et sådant omfang, at leverandøren ifalder bod efter punkt og/eller i aftalen eller i en periode på 12 kalendermåneder ifalder bod mere end 3 gange på servicemål kan der vederlagsfrit gennemføres yderligere kontrol hos leverandøren ud over det ovenfor anførte antal gange pr. år.

7 7 Omkostningerne til en uvildig sagkyndig eller uafhængig revisor bæres i dette tilfælde ligeligt af leverandøren og LD. Kontroller og audits indebærer ingen begrænsning i leverandørens ansvar for at opfylde kravene i aftalen. Såfremt det giver anledning til ændringer i ydelserne, gennemføres disse i overensstemmelse med aftalens punkt 9. Såfremt en udført audit afslører væsentlige fejl og mangler ved leverandørens Ydelser, herunder bl.a. utilstrækkelig it-sikkerhed eller databeskyttelse, er leverandøren forpligtet til at informere LD og uden ugrundet ophold påbegynde afhjælpning inden for det faste driftsvederlag. LD er berettiget til at iværksætte fornyet auditering af it-sikkerhed og databeskyttelse efter leverandørens afhjælpning af forholdene for at konstatere, om forholdene er afhjulpet på tilfredsstillende måde. Leverandørens skal understøtte denne aktivitet inden for det faste driftsvederlag. Audit og anden kontrol skal så vidt muligt tilrettelægges, så den er til mindst mulig gene for udførelsen af leverandørens forpligtelser under aftalen. 3.2 Revisionserklæring Leverandøren har pligt til én gang årligt senest pr. 1. februar at udlevere en generel revisionserklæring om it-sikkerheden, der også dækker applikationsprogrammellet og driftsmiljøet, herunder i relation til den generelle sikkerhed, it-sikkerheden og den operationelle sikkerhed. Revisionserklæringen skal være udarbejdet af en statsautoriseret eller registeret revisor i overensstemmelse med gældende FSR revisionsstandarder (for nærværende RS/ISAE 3402 type 2) Revisionserklæringen skal første gang præsenteres i januar eller februar De i revisionserklæringen konstaterede afvigelser kan efter omstændighederne udgøre en misligholdelse henholdsvis væsentlig misligholdelse af leverandørens forpligtelser under denne aftale. Leverandøren skal uden ugrundet ophold foretage anbefalet afhjælpning af alle alvorlige og kritiske forhold påpeget af en it-revision, it-audit og ved sikkerhedstest, samt forelægge og få accept fra LD for afhjælpningen af alle alvorlige og kritiske forhold. Inden for 15 Dage fra leverandørens modtagelse af en revisionserklæring, hvorefter der kan være behov for ændringer eller afhjælpningsforanstaltninger, skal leverandøren levere en fuld afhjælpningsplan.