Skanderborg Kommune. Regler. Nedenstående regler er udfærdiget på kravene i ISO. Udkast 27002:2005. Udkast:

Transkript

1 Skanderborg Kommune Regler Nedenstående regler er udfærdiget på kravene i ISO 27002:2005 :

2 Indholdsfortegnelse 4 Risikovurdering og -håndtering 4.1 Vurdering af sikkerhedsrisici 4.2 Risikohåndtering Overordnede retningslinier 5.1 Informationssikkerhedsstrategi Formulering af informationssikkerhedspolitik Løbende vedligeholdelse 6 Organisering af informationssikkerhed 6.1 Interne organisatoriske forhold Ledelsens rolle Koordinering af informationssikkerhed Ansvarsplacering Godkendelsesprocedurer ved anskaffelser Kontakt med myndigheder Periodisk opfølgning 6.2 Eksterne samarbejdspartnere Identifikation af risici i forbindelse med eksternt samarbejde Samarbejdsaftaler 7 Styring af informationsrelaterede aktiver 7.1 Identifikation af og ansvar for informationsrelaterede aktiver Fortegnelse over informationsaktiver Ejerskab Accepteret brug af aktiver 7.2 Systemejerskab Aftale om drift og support Funktionalitet og opbygning Understøttelse af arbejdsgange Dokumentation Eksterne samarbejdspartnere Logning

3 7.2.7 Vurdering af integrationer Rådighed for revision Udpegning af systemejer Økonomi 7.3 Klassifikation af informationer og data Klassifikation Mærkning og håndtering af informationer og data Medarbejdersikkerhed 9 Fysisk sikkerhed 9.1 Sikre områder Fysisk afgrænsning Fysisk adgangskontrol Sikring af kontorer, lokaler og udstyr Beskyttelse mod eksterne trusler Arbejdsmæssige forhold i sikre områder 9.2 Beskyttelse af udstyr Placering af udstyr Forsyningssikkerhed Sikring af kabler Udstyrs og anlægs vedligeholdelse Sikring af udstyr uden for virksomhedens overvågning Sikker bortskaffelse eller genbrug af udstyr Fjernelse af virksomhedens informationsaktiver Styring af netværk og drift 10.2 Ekstern serviceleverandør Serviceleverancen Overvågning og revision and serviceleverandøren Styring af ændringer hos ekstern serviceleverandør 10.3 Styring af driftsmiljøet Kapacitetsstyring Godkendelse af nye eller ændrede systemer

4 10.4 Skadevoldende programmer og mobil kode Beskyttelse mod skadevoldende programmer Beskyttelse mod mobil kode 10.5 Sikkerhedskopiering Sikkerhedskopiering 10.6 Netværkssikkerhed Netværket Netværkstjenester 10.7 Databærende medier Bærbare datamedier Destruktion af datamedier Beskyttelse af datamediers indhold Beskyttelse af systemdokumentation 10.8 Informationsudveksling Informationsudvekslingsretningslinier og -procedurer Aftaler om informationsudveksling Fysiske datamediers sikkerhed under transport Elektronisk post og dokumentudveksling 10.9 Elektroniske forretningsydelser Elektronisk handel Online transaktioner Offentligt tilgængelige informationer Logning og overvågning Opfølgningslog Overvågning af systemanvendelse Beskyttelse af log-oplysninger Administrator- og operatørlog Tidssynkronisering Adgangsstyring 11.1 De forretningsmæssige krav til adgangsstyring Retningslinier for adgangsstyring 11.2 Administration af brugeradgang

5 Registrering af brugere Udvidede adgangsrettigheder Adgangskoder Periodisk gennemgang af brugernes adgangsrettigheder 11.3 Brugernes ansvar Brug af adgangskoder Uovervåget udstyr Beskyttelse af datamedier på den personlige arbejdsplads 11.4 Styring af netværksadgang Retningslinier for brug af netværkstjenester Autentifikation af brugere med ekstern netværkstjeneste Identifikation af netværksudstyr Beskyttelse af diagnose- og konfigurationsporte Opdeling af netværk Styring af netværksadgang Rutekontrol i netværk 11.5 Styring af systemadgang Sikker log-on Identifikation og autentifikation af brugere Styring af adgangskoder Brug af systemværktøjer Automatiske afbrydelser Begrænset netværksforbindelsestid 11.6 Styring af adgang til brugersystemer og informationer Begrænset adgang til informationer Isolering af særligt kritiske brugersystemer 11.7 Mobilt udstyr og fjernarbejdspladser Mobilt udstyr og datakommunikation Fjernarbejdspladser Anskaffelse, udvikling og vedligeholdelse af informationsbehandlingssystemer 12.1 Sikkerhedskrav til informationsbehandlingssystemer Analyse og specifikation af krav til sikkerhed

6 12.2 Korrekt informationsbehandling Validering af inddata Kontrol af den interne databehandling 12.5 Sikkerhed i udviklings- og hjælpeprocesser Ændringsstyring Teknisk gennemgang af forretningssystemer efter ændringer i styresystemerne Begrænsinger i ændringer til standardsystemer Lækage af informationer Systemudvikling udført af en ekstern leverandør 12.6 Sårbarhedsstyring Sårbarhedssikring 13 Styring af sikkerhedshændelser 13.1 Rapportering af sikkerhedshændelser og svagheder Rapportering af sikkerhedshændelser Rapportering af svagheder 13.2 Håndtering af sikkerhedsbrud og forbedringer Ansvar og forretningsgange At lære af sikkerhedsbrud Indsamling af beviser 14 Beredskabsstyring 14.1 Beredskabsstyring og informationssikkerhed Informationssikkerhed i beredskabsstyringen Beredskab og risikovurdering Udarbejdelse og implementering af beredskabsplaner Rammerne for beredskabsplanlægningen Afprøvning, vedligeholdelse og revurdering af beredskabsplaner Overensstemmelse med lovbestemte og kontraktlige krav 15.1 Overenstemmelse med lovbestemte krav Identifikation af relevante eksterne krav Ophavsrettigheder Sikring af virksomhedens kritiske data

7 Beskyttelse af personoplysninger Beskyttelse mod misbrug af informationsbehandlingsfaciliteter Lovgivning vedrørende kryptografi 15.2 Overensstemmelse med sikkerhedspolitik og -retningslinier Overensstemmelse med virksomheden sikkerhedsretningslinier Opfølgning på tekniske sikringsforanstaltninger 15.3 Beskyttelsesforanstaltninger ved revision af informationsbehandlingssystemer Sikkerhed i forbindelse med systemrevision Beskyttelse af revisionsværktøjer

8

9 4 Risikovurdering og -håndtering 4.1 Vurdering af sikkerhedsrisici Overordnet risikovurdering Der skal være udført en overordnet risikovurdering, der indeholder konsekvensvurdering og sårbarhedsvurdering. Risikovurderingen skal opdateres mindst en gang om året. 4.2 Risikohåndtering Håndtering af risici Risici der er vurderet som værende kritiske for forretningen, skal formelt håndteres. Side 2 af 56

10 5 Overordnede retningslinier 5.1 Informationssikkerhedsstrategi Formulering af informationssikkerhedspolitik Definition på it-sikkerhed It-sikkerhed defineres som værende alle sikringsforanstaltninger, der har til formål at beskytte virksomhedens informationer, aktiver og data. Godkendelse af sikkerhedspolitik Sikkerhedspolitikken skal godkendes af direktionen. Offentliggørelse af sikkerhedspolitik Sikkerhedspolitikken skal offentliggøres og kommunikeres til alle relevante interessenter, herunder alle medarbejdere. Omfang af it-sikkerhedspolitik Informationssikkerhed defineres som de samlede foranstaltninger til at sikre fortrolighed, tilgængelighed og integritet. Foranstaltninger inkluderer tekniske, proceduremæssige, regel- og lovmæssige kontroller Løbende vedligeholdelse Vedligeholdelse af sikkerhedspolitik Sikkerhedschefen har det overordnede ansvar for at oprette, vedligeholde og distribuere sikkerhedspolitikker, regler og procedurer. Revision af sikkerhedspolitik Der skal ske revision af sikkerhedspolitikken mindst en gang om året. Opfølgning på implementering af sikkerhedspolitikken Hver enkelt leder skal løbende sikre at sikkerhedspolitikken bliver overholdt inden for eget ansvarsområde. Dispensation for krav i sikkerhedspolitikken Sikkerhedschefen kan give dispensation for krav i sikkerhedspolitikken. Side 3 af 56

11 6 Organisering af informationssikkerhed 6.1 Interne organisatoriske forhold Ledelsens rolle Ledelsens rolle Ledelsen skal støtte virksomhedens informationssikkerhed ved at udlægge klare retningslinier, udvise synligt engagement samt sikre en præcis placering af ansvar Koordinering af informationssikkerhed Koordination af informationssikkerheden Ansvaret for koordination af sikkerheden på tværs i organisationen bæres af den sikkerhedsansvarlige. Sikkerhedsorganisation Skanderborg Kommune s sikkerhedsorganisation følger den formelle organisation. Digitaliserings og IT udvalget har ansvaret for at sikre, at strategien for informationssikkerhed er synlig, koordineret og i overensstemmelse med virksomhedens mål Ansvarsplacering Sikkerhedsansvar for informationsaktiver Kontraktholderne har ansvaret for at vedligeholde en liste over samtlige it-aktiver. Denne vedligeholdes via web-baseret adgange. Listen skal angive den sikkerhedsansvarlige ejer for hvert enkelt aktiv Godkendelsesprocedurer ved anskaffelser Anskaffelser It-afdelingen skal tilse, at kun kendt og sikkert udstyr eller software, med et defineret formål, anskaffes og sættes i drift. Udstyr og software må kun indkøbes fra leverandører som it-afdelingen vurderer som seriøse og som må forventes ikke at krænke tredjeparts ophavsret. Specifikation af sikkerhedskrav Sikkerhedskrav skal være dokumenteret i forbindelse med enhver it-system-nyanskaffelse eller itsystemopgradering. Dette gælder både for kundetilpassede- og standardsystemer. Side 4 af 56

12 Anskaffelsesprocedurer Anskaffelse af it-systemer og services skal være i overensstemmelse med it-sikkerhedspolitikken. Hvis det findes nødvendigt, skal der gennemføres risikoanalyse inden anskaffelse. Anskaffelse og installation af nyt informationsbehandlingsudstyr og -systemer skal godkendes af it-chefen Kontakt med myndigheder Kontakt med relevante myndigheder Ved brud på sikkerheden skal der være etableret en procedure for håndtering af bevismateriale og eventuelt kontakt med relevante myndigheder Periodisk opfølgning Uafhængig audit af informationssikkerheden Skanderborg Kommunes sikkerhedspolitik bliver auditeret i forbindelse med den årlige sikkerhedsrevision af en uafhængig revisionsvirksomhed. Audit skal omfatte: Informationssikkerhedspolitik It-sikkerhedsregler - og disses efterlevelse It-sikkerhedsprocedurer Audit skal gennemføres 1 gang om året. 6.2 Eksterne samarbejdspartnere Identifikation af risici i forbindelse med eksternt samarbejde Outsourcing Ved outsourcing af it-systemer der kan indeholde fortrolige eller personhenførbare data skal der, inden indgåelse af kontrakt, indhentes information om outsourcing-partnerens sikkerhedsniveau, herunder dennes sikkerhedspolitik. Outsourcing-partnere Sikkerhedsniveauet hos alle outsourcing-partnere skal være acceptabelt. Alle outsourcing-partnere skal godkendes af sikkerhedschefen. Alle outsourcing-partnere skal bekræfte kendskab til organisationens sikkerhedspolitik. Ekstern revision af outsourcing-partnere Outsourcing-partnere skal sørge for ekstern revision mindst en gang om året. Side 5 af 56

13 Vurdering og godkendelse af outsourcingleverandør Informationssikkerhedschefen skal deltage i vurdering og godkendelse af outsourcingleverandører. Leverandøren skal kunne dokumentere sit sikkerhedsniveau eksempelvis i form af revisorerklæring, intern auditrapport eller it-revisionsrapport. Anskaffelse, udvikling og vedligeholdelse ved outsourcing Leverandøren skal have passende formelle procedurer baseret på best practices på området (change- og patch management-procedurer). Anvendelse af cloudløsninger Der skal gennemføres en risikovurdering, hvor de it-sikkerhedsmæsige trusler som er forbundet med cloudløsningen, vurderes, inden aftale indgås It-afdelingen er ansvarlig for, at der findes en opdateret fortegnelse over godkendte udbydere af cloudløsninger Samarbejdsaftaler Fortrolighedserklæring for tredjepart Det skal sikres, at tredjepart, der kan få adgang til virksomhedens data, er omfattet af en fortrolighedserklæring. Samarbejdsaftaler For at sikre, at virksomhedens sikkerhedsmålsætning ikke kompromitteres, skal ethvert formaliseret eksternt samarbejde være baseret på en samarbejdsaftale. Formalisering af samarbejde med outsourcingleverandør Der skal indgås en formel skriftlig kontrakt mellem parterne. Kontrakt mellem parterne skal blandt andet fastsætte krav til organisering og ansvar, servicemål, kontroller, overvågning, håndtering og rapportering af hændelser. Outsourcingleverandørens brug af underleverandører Outsourcingleverandøren må kun benytte underleverandører, som på forhånd er godkendt af virksomheden. Ophør af kontrakt med outsourcingleverandør Ved kontraktens ophør skal leverandøren returnere udstyr og informationer efter aftale. Evt. destruktion af udstyr og informationer skal ske efter aftale med virksomheden og i henhold til aktivets klassifikation. Outsourcingleverandørens håndtering af informationsaktiver Leverandøren skal følge virksomhedens regler for håndtering af informationer. Brugeradministration, outsourcingleverandør Leverandøren skal følge virksomhedens regler for brugerstyring. Netværkssikkerhed, outsourcingleverandør Leverandøren skal sikre en hensigtsmæssig opbygning af netværk, firewall, segmentering, kryptering mm. Side 6 af 56

14 Virksomheden kan beslutte, at der skal foretages periodiske test af netværk og firewall, fx. penetrationstest. Disse kan udføres af tredjepart. Personalesikkerhed hos outsourcingleverandøren Leverandøren må kun anvende personale, som er godkendt af virksomheden. Uddannelse i informationssikkerhed, outsourcingleverandør Leverandøren skal sikre, at eget personale har fået tilstrækkelig uddannelse i virksomhedens informationssikkerhedsregler, procedurer og instrukser. Outsourcingleverandørens behandling og videregivelse af informationer Leverandøren må ikke anvende eller videregive virksomhedens informationer til andre formål end de aftalte. Sikkerhedshændelser hos outsourcingleverandør Leverandøren skal underrette virksomhedens informationssikkerhedschef, hvis der sker en sikkerhedshændelse, f.eks. ved brud på fortrolighed, integritet eller tilgængelighed. Virksomheden gennemgår eventuelle sikkerhedshændelser sammen med leverandøren med faste intervaller, eksempelvis på aftalte kontraktmøder. Kontrakt om cloud-løsning Aftale med cloud-udbyder sker på grundlag af udbyderens standardkontrakt. Virksomheden skal sikre, at kontrakten som minimum tager højde for de lovgivningsmæssige krav, f.eks. vedr. personoplysninger. Ophør af aftale, cloudløsning Ved aftalens udløb skal virksomheden sikre, at cloud-udbyderen sletter eller tilbageleverer informationer på forsvarlig vis og i henhold til eventuel lovgivning og aktivets klassifikation. Misligholdelse, cloudløsning Virksomheden skal sikre, at servicen kan afbrydes i tilfælde af misligholdelse, ved brud på sikkerheden, eller hvis løsningen indebærer en uacceptabel risiko for virksomhedens informationer og netværk. Virksomheden skal have en "exit-strategi" på plads i tilfælde af misligholdelse. Beredskab, cloud-løsning Virksomheden skal have et internt beredskab, der sikrer fortsat drift i tilfælde af uventet afbrydelse af cloudservicen. Brugeradministration, cloudløsning Virksomheden er selv ansvarlig for brugeradministration i cloudløsninger. Side 7 af 56

15 7 Styring af informationsrelaterede aktiver 7.1 Identifikation af og ansvar for informationsrelaterede aktiver Fortegnelse over informationsaktiver Administration af internet-domænenavne Der skal forefindes en liste over virksomhedens registrerede domænenavne Ejerskab Ansvar for internetforbindelser Det overordnede ansvar for internetforbindelserne ligger hos it-afdelingen. Sikkerhedsansvar for it-funktioner Alle kritiske it-funktioner, der kræver specialviden, færdighed eller erfaring, skal identificeres, og der skal udpeges en driftsansvarlig ejer. Sikkerhedsansvarlige systemejere for virksomhedskritiske systemer skal identificeres og gøres opmærksom på dette ansvar. Disse ejere skal have ansvar og beføjelser til at sikre tilstrækkelig beskyttelse. Ejerskab Alle informationsaktiver skal have udpeget en ejer. Ansvar for klassifikation Aktivets ejer har ansvaret for, at aktivet er klassificeret. Ansvar for adgangsrettigheder Aktivets ejer har ansvaret for at fastlægge og løbende revurdere adgangsrettigheder i overensstemmelse med virksomhedens generelle adgangspolitik. Ansvar for sikkerheden på it-platforme It-afdelingen er ansvarlig for sikkerheden på de anvendte platforme. Kontroller skal implementeres og defineres i samråd med systemejerne. Ejere af data på mobile enheder Brugere af virksomhedens bærbare pc er og andre mobile dataenheder er ansvarlige for at beskytte de data, der behandles på disse, samt enhederne selv. Ejerskab Virksomheden betragter alle s som virksomhedens ejendom. Side 8 af 56

16 7.1.3 Accepteret brug af aktiver Installation af programmer på arbejdsstationer Kun it-afdelingen må installere programmer på virksomhedens arbejdsstationer. Krav til indstillinger af internet-browser MS Internet Explorer og andre browsere opsættes jævnfør sikkerhedspolitikken. Brugerne kan ikke ændre denne opsætning. Afsendere og modtagere Messenger-kommunikation må anvendes med medarbejdere og samarbejdspartnere. Filudveksling Der må gerne udveksles filer og internet-links via messenger-programmer, forudsat at brugeren sikrer, at virusscanning udføres henholdsvis før åbning eller afsendelse. Autentificering Brugere skal være opmærksomme på at de, via messenger-programmer, kan udsættes for "social engineering". Med "social engineering" menes andre personers forsøg på at udnytte brugerens hjælpsomhed til at få informationer. Forbindelse til fremmede trådløse netværk Brugere må forbinde deres mobile udstyr til fremmede trådløse netværk. Installation af trådløst udstyr Medarbejdere må ikke installere udstyr, der giver trådløs netadgang. Medarbejdere må installere og bruge udstyr, forudsat at it-afdelingen har godkendt det. Sagsbehandling og journalisering af Modtaget og afsendt skal journaliseres og behandles efter samme principper som gælder for almindelig brevpost og fax. Vedhæftede filer It-afdelingen skal blokere for filtyper som it-afdelingen vurderer farlige eller uhensigtsmæssige. Medarbejderes private brug af Medarbejderne må anvende mailsystemerne til personligt brug i begrænset omfang, hvis dette ikke har indflydelse på virksomhedens drift og sikkerhed i øvrigt. Al mailtrafik betragtes som virksomhedens ejendom. Virksomheden forbeholder sig ret til at skaffe sig adgang til data og for medarbejdere, hvis dette sker af drifts- eller sikkerhedshensyn. Virksomheden vil så vidt muligt forsøge at undgå at åbne eventuel privat korrespondance. Phishing og bedrageri Brugere skal være opmærksomme på "phishing" og "social engineering", der f.eks. kan betyde, at de modtager tilsyneladende oprigtige s, der forsøger at franarre personlige eller fortrolige oplysninger eller forsøger at få brugeren til at foretage uønskede handlinger. Side 9 af 56

17 Adgang til surfing på internettet Netværket må bruges til internet-browsing i forbindelse med arbejdsrelaterede opgaver. Medarbejderes private brug af internetadgang Virksomhedens internetadgang må også anvendes til private formål, såfremt sikkerhedspolitikken i øvrigt overholdes, og såfremt arbejdsrelateret brug ikke generes på nogen måde. Sikkerhedsindstillinger i web-browser Der må kun anvendes godkendte webbrowsere. Brugerne må ikke forsøge at omgå eller bryde sikringsforanstaltningerne. Terminalsessioner til fjernstyring Godkendt personale må tilgå visse virksomhedssystemer over internet eller gennem dial-up-forbindelser, hvis disse sikres på forsvarlig vis. Adgang skal tillades af den sikkerhedsansvarlige i samråd med systemejerne. Afvikling af programmer i forbindelse med internetsurfing Det er tilladt at afvikle browserbaserede programmer, f.eks. netbank-programmer, forudsat at sikkerhedspolitikken i øvrigt overholdes. Streaming via internet Det er ikke tilladt at anvende virksomhedens netværk til tung og vedvarende trafik, som eksempelvis radio- og tv-tjenester eller film, medmindre det er fagligt relevant. Download af programmer fra internettet Det er ikke tilladt at hente programmer fra internettet. Internetbaserede tjenester Der må kun anvendes godkendte internetservices. Download af filer fra internettet Hentning af filer fra Internettet skal ske med største forsigtighed og må ikke ske uden et arbejdsmæssigt legitimt behov. Love og regler om ophavsrettigheder og distribuering skal til enhver tid overholdes. Accepteret brug af informationsaktiver It-sikkerhedsafdelingen skal lave retningslinier for accepteret brug af alle virksomhedens informationsaktiver. Anvendelse af sociale netværk Sociale netværk må gerne anvendes fra virksomhedens it-systemer, når anvendelsen har et forretningsmæssigt formål. Blokering af sociale netværk It-afdelingen skal blokere brugernes adgang til forbudte sociale netværk. Brugere af sociale netværk skal være specielt opmærksomme på at: De sociale netværk, som du bruger, kan registrere og gemme oplysninger om dig og hvilke informationer du søger og bruger. Side 10 af 56

18 Informationer som du har lagt ud på et socialt netværk, kan kun meget vanskeligt, måske aldrig, trækkes tilbage Du vil med stor sandsynlighed opleve at nogen forsøger at franarre dig dine bruger-id er og/eller dine adgangskoder (phishing). Download af filer som du modtager via et socialt netværk er underlagt de samme regler som øvrige downloads Betalingskort-oplysninger må aldrig deles på sociale netværk Persondata må aldrig deles på sociale netværk Omfang af brug af sociale netværk Din brug af sociale netværk må ikke genere almindelig drift og brug af virksomhedens it-systemer. Du har selv et arbejdsmæssigt ansvar for at kontrollere dit tidsforbrug på sociale netværk. Sociale netværk med forretningsforbindelser Du må gerne "connecte" eller "være ven" med samarbejdspartnere og kunder på sociale netværk, forudsat at sikkerhedspolitikken i øvrigt overholdes. Virksomhedens informationer på sociale netværk Bortset fra offentlige eller uklassificerede informationer, må virksomhedens informationer aldrig deles på et socialt netværk. Brug af 3.-parts applikationer på sociale netværk Du må ikke anvende 3.-parts-applikationer på virksomhedens it-systemer. Overvågning af sociale netværk Virksomhedens sikkerhedskopier kan indeholde data om din brug af it generelt, herunder din brug af sociale netværk. Som led i den almindelige netværksovervågning bliver netværkstrafik til sociale netværk også overvåget. Ansvar og ejerskab for privat udstyr Medarbejderen forpligter sig til at overholde de samme regler, som gælder for øvrig brug af virksomhedens udstyr. Medarbejderen skal underskrive særskilt erklæring om, at virksomheden må slette (Wipe) data på privat udstyr, der anvendes til opbevaring af virksomhedens informationer. Virksomheden er ikke erstatningspligtig for tyveri, bortkomst, skade eller tab af personlige informationer for privat udstyr. 7.2 Systemejerskab Systemejeren skal sikre, at systemets funktionalitet og anvendelse løbende tilpasses og bedst muligt understøtter It-sikkerhedskravene samt forretningens og brugernes behov Aftale om drift og support Systemejer skal som forretningsansvarlig sikre, at der bliver indgået relevante og passende aftaler omkring teknisk drift og support for IT systemet. I særlige tilfælde kan aftalen indgås af systemejer, såfremt dette vil være mere hensigtsmæssigt i forhold til organisation og økonomi. I sådanne tilfælde deltager IT afdelingen som Side 11 af 56

19 rådgiver ved kontraktindgåelse og - opfølgning, således der sikres en fordelagtig driftsøkonomi. I forbindelse med anskaffelsen af systemet skal der foreligge en kortfattet risikoanalyse Funktionalitet og opbygning Systemejerskabet skal varetages ud fra kommunens forretningsmæssige behov. Systemejeren er ansvarlig for it-systemets funktionalitet, opbygning, anvendelse og sikkerhedsløsning. Der kan indgås aftale mellem fagområderne og leverandøren/it afdelingen som beskriver niveauet for service. Ændringer i systemer som har snitflader til andre it-systemer/deling af it ressourcer, skal ske efter IT afdelingens "change" procedure Understøttelse af arbejdsgange Systemejer er ansvarlig for, at it-systemet kan anvendes mest muligt effektivt og at systemet løbende forbedres, så det bedst muligt understøtter arbejdsopgaverne og kommunens forretningsmæssige behov og lever op til kravene i IT Standarden. Der skal etableres processer, der sikre en stabil, effektiv og sikker drift af systemet Dokumentation Systemejer er ansvarlig for, at dokumentationen af systemer og processer er ajourført og tilgængelig for relevante medarbejdere. Endvidere har systemejer ansvar for, at der indgås aftale om it-beredskab efter kriterier og retningslinjer fastlagt i it-standarden, og systemejeren skal endvidere bidrage til kommunens itberedskabsplan Eksterne samarbejdspartnere Ved brug af eksterne samarbejdspartnere/leverandører er systemejer ansvarlig for, at der indgås en databehandler-/it-sikkerhedsaftale, hvor sikkerhedsforanstaltninger i forbindelse med samarbejdet/leverancerne er beskrevet. Nye aftaler baseres på den standard, der er fastlagt i it-sikkerhedshåndbogen Logning Systemejeren skal sikre, at it-systemet kan logge behandling af data, når det er krævet i de uddybende Itsikkerhedsregler og som følge af gældende lovgivning Vurdering af integrationer Hvis integration af it-systemer indebærer en øget it-sikkerhedsrisiko, skal denne risiko vurderes nærmere af systemejeren med inddragelse af IT sikkerhedsfunktionen, typisk IT-Chefen. Side 12 af 56

20 7.2.8 Rådighed for revision Systemejer står til rådighed for kommunen med oplysninger om it-systemet så vidt som dette er sikkerhedsmæssigt forsvarligt, f.eks. i forbindelse med revision Udpegning af systemejer For systemer der anvendes på tværs af kommunen udpeges systemejeren af Digitaliserings og IT udvalget. Systemejer kan uddelegere varetagelsen af de opgaver, der følger af systemejeransvaret. Selve ansvaret kan dog ikke uddelegeres. Hvis der endnu ikke er udpeget en systemejer, varetages systemejerskabet af lederen af det område, som anskaffer systemet eller af en af denne udpeget projekt-ejer, hvis ansvaret for et systemet er overdraget til en anden leder er det denne som varetager systemejers opgaver. For mindre vigtige systemer, som ikke indeholder væsentlige økonomioplysninger eller følsomme personoplysninger består systemejers rolle i at være system-kontaktperson Økonomi Der skal laves en økonomimodel for centralt/decentralt bidrag/finansieringsandel, hvor vedligeholdelse og drift er en naturlig del. IT afdelingen skal også vurdere om det har nogen større ressourcemæssig påvirkning og heraf afledt økonomisk konsekvens. 7.3 Klassifikation af informationer og data Klassifikation Informationer og data skal klassificeres som følger: Offentligt: Materiale, der frit må udleveres til offentligheden. Internt brug: Materiale, der er tilgængeligt for alle internt i organisationen. Personhenførbart: Data er relateret til et individ, f.eks. en kunde, en borger, en patient eller en medarbejder. Fortroligt: Materiale, der er tilgængeligt for en begrænset gruppe personer Mærkning og håndtering af informationer og data Fortrolige informationer i offentlige rum Der skal udvises forsigtighed ved omtale af fortrolige informationer i offentlige rum. Fortrolige informationer må ikke efterlades uden opsyn i offentligt tilgængelige rum. Side 13 af 56

21 Klassifikationsmærkning Informationsbærende medier skal markeres tydeligt med klassifikation. Udskrifter skal helst markeres på hver side. Filer skal have en elektronisk label. Kontrol med klassificerede informationer Sikkerhedschefen er ansvarlig for at definere et fast sæt af egnede og relevante sikkerhedskontroller til beskyttelse af de enkelte informationskategorier. Hvis der er tale om virksomhedskritiske informationer, skal der udarbejdes yderligere detaljerede kontroller ud fra en risikovurdering. Side 14 af 56

22 8 Medarbejdersikkerhed Sikkerhedsuddannelse for it-medarbejdere Alle it-medarbejdere skal uddannes i sikkerhedsaspekterne af deres job, for bl.a. at mindske risiko for hændelser i forbindelse med privilegeret adgang. Uddannelse i sikkerhedspolitikken Alle it-brugere modtager løbende instruktioner i overholdelse af virksomhedens informationssikkerhedspolitik. Alle medarbejdere skal læse virksomhedens informationssikkerhedspolitik. Side 15 af 56

23 9 Fysisk sikkerhed 9.1 Sikre områder Fysisk afgrænsning Aflåsning af lokaler og bygninger Alle døre og vinduer med adgang til/fra bygningerne skal lukkes og låses ved arbejdstids ophør. Døre til sikrede lokationer i bygningerne skal ligeledes aflåses. Sidste medarbejder der forlader et område er ansvarlig for sikring af dette Distribueret it-udstyr Alle krydsfelter, afdelings-serverrum og lignende faciliteter med delt it-udstyr skal aflåses for at hindre uautoriseret adgang til disse Fysisk adgangskontrol Adgang til serverrum og hovedkrydsfelter Adgang til serverrum og hovedkrydsfelter tillades kun med sikkerhedsgodkendelse eller ved overvåget adgang af medarbejdere fra it-afdelingen. Adgang for serviceleverandører Serviceleverandører må kun få adgang til sikre områder, når dette er påkrævet. Adgang til maskinstuer og it-klargøringsrum Adgangen skal beskyttes med kodelås, og koden må kun kendes af sikkerhedsgodkendte medarbejdere. It-chefen er ansvarlig for godkendelse af personale med adgang til sikre områder. Adgangskort Adgangskontrolkort er personlige. De skal opbevares forsvarligt og må ikke overdrages til tredjepart. Adgangskort til håndværkere og andet midlertidigt personale Håndværkere, reparatører, teknikere og andre gæster, der får udleveret midlertidige adgangskort, skal bære disse synligt. Brug af personlige adgangskort Alle medarbejdere skal bære synligt identifikationskort, når de er i virksomheden. ID-kortene er personlige og må ikke overdrages til tredjepart. Gæster skal aflevere deres ID-kort når de forlader virksomheden. Side 16 af 56

24 Koder på kodelås skal ændres: - hvis en medarbejder, der kender koden, forlader firmaet Sikring af kontorer, lokaler og udstyr Sikring af kontorer, lokaler og udstyr Kontorer og andre lokaler, hvor der opbevares systemer med følsom data, skal kunne låses. Der skal desuden benyttes et adgangskontrolsystem til styring af adgangen til lokalerne Beskyttelse mod eksterne trusler Brandsikring It-afdelingen har ansvaret for, at der benyttes branddøre, der kan lukke automatisk og er forsynet med alarm til sikre områder. Serverrum må ikke benyttes som lager for brændbare materialer. Serverrum skal sikres med veldimensioneret brandslukningsudstyr. Farlige eller brandfarlige materialer skal lagres i sikker afstand fra sikre områder. Passende brandsikringsudstyr skal forefindes og være korrekt placeret Arbejdsmæssige forhold i sikre områder Kameraer Kameraer, f.eks. i mobiltelefoner og håndholdte computere, må ikke anvendes på virksomhedens område. Overvågning i sikre områder It-afdelingen skal sikre at arbejde i sikre områder så vidt muligt overvåges. Ubenyttede lokaler i sikre områder It-afdelingen har ansvaret for, at ubenyttede lokaler i sikre områder er aflåst og inspiceres jævnligt. 9.2 Beskyttelse af udstyr Side 17 af 56

25 9.2.1 Placering af udstyr Miljømæssig sikring af serverrum Serverrum, krydsfelter og tilsvarende områder skal på forsvarlig vis sikres mod miljømæssige hændelser som brand, vand, eksplosion og tilsvarende påvirkninger. Tyverimærkning af it-udstyr Alt mobilt udstyr skal være tydeligt mærket for at minimere risikoen for tyveri. Køling Lokaler med væsentlige mængder af it-udstyr skal sikres med aircondition. Lokaler med virksomhedskritisk itudstyr skal sikres med redundant aircondition. Placering af udstyr It-afdelingen skal begrænse fysisk adgang til gateways og trådløse adgangspunkter. Udstyr skal placeres eller beskyttes, så risikoen for skader og uautoriseret adgang minimeres. Spisning og rygning i nærheden af udstyr Der må ikke ryges i serverrum. Der må ikke spises og drikkes i serverrum Forsyningssikkerhed Nødstrømsanlæg Alle ikke-redundante forretningskritiske systemer skal beskyttes med nødstrømsanlæg med kapacitet til mindst 30 minutters uafbrudt drift. Forsyningssikkerhed It-chefen har ansvaret for, at forsyninger som elektricitet og ventilation har den fornødne kapacitet, og løbende inspiceres for at forebygge uheld, der kan have indflydelse på informationsaktiverne. Data-og telekommunikationsforbindelser skal etableres via minimum to adgangsveje for forretningskritiske systemer Sikring af kabler Aflåsning af hovedkrydsfelter og lignende teknikrum Alle krydsfelter og andre teknikrum skal være aflåste. Sikring af kabler Dokumentation skal opdateres, når den faste kabelføring ændres. Kabler til datakommunikation skal beskyttes mod uautoriserede indgreb og skader. Faste kabler og udstyr skal mærkes klart og entydigt. Side 18 af 56

26 Fysisk sikring af netværk Der skal etableres alternative kommunikationsveje. It-afdelingen skal regelmæssigt kontrollere, om uautoriseret udstyr er blevet tilkoblet. Krydsfelter og kabeltermineringer skal være placeret så fysisk adgang begrænses. Krydsfelter og kabeltermineringer skal være aflåste Udstyrs og anlægs vedligeholdelse Vedligeholdelse af udstyr og anlæg It-afdelingen er ansvarlig for, at der føres log over alle fejl og mangler samt reparationer og forbyggende vedligeholdelse. Kun godkendte personer må udføre reparationer og vedligeholdelse. It-afdelingen skal vedligeholde udstyr efter leverandørens anvisninger. Kritiske/følsomme informationer skal slettes fra udstyr, der repareres eller vedligeholdes uden for virksomheden. Sikkerhedsopdateringer til netværksudstyr It-afdelingen skal dagligt sørge for, at alle benyttede trådløse adgangspunkter og software til disse er opdateret med de seneste sikkerhedsrettelser. Udrulning/installation skal foretages senest 30 dage efter udgivelsen af sikkerhedsrettelsen Sikring af udstyr uden for virksomhedens overvågning Brug af mobile enheder Bærbart udstyr skal medbringes som håndbagage under rejser. Opsyn med mobile enheder Adgang til data på bærbare pc er skal beskyttes med en login-adgangskode. Udstyr med klassificerede informationer skal anvende harddisk-kryptering. Mobile enheder skal altid låses inde, når disse ikke er i brug. Mobile enheder må ikke efterlades uden opsyn i uaflåste rum. Hvor det er muligt skal der anvendes hardware/bios-adgangskode for at sikre uautoriseret opstart af udstyret. Derudover skal der anvendes en stærk administrativ adgangskode, og systemet skal være konfigureret til ikke at kunne starte fra usikre flytbare medier som disketter, CD, USB-nøgler og lignende. Opstartsbeskyttelse kan ikke fravælges i forbindelse med beskyttelse af følsomme informationer på mobilt udstyr. Sikring af hjemmearbejdspladser Hjemmearbejdspladser og deres kommunikationsforbindelser skal beskyttes i forhold til de informationer og forretningssystemer, de benyttes til. Forsikringsdækning for mobile enheder Forsikringsdækningen ved opbevaring og anvendelse af udstyr uden for virksomheden skal afklares. Side 19 af 56

27 Hardwarebaserede adgangskoder Der skal benyttes adgangskode for at sikre systemer mod tyveri. Som minimum skal det sikres, at systemet ikke kan startes, medmindre adgangskoden indtastes. Hardware-adgangskode må kun benyttes på bærbare computere Sikker bortskaffelse eller genbrug af udstyr Bortskaffelse eller genbrug af udstyr Når udstyr bortskaffes eller genbruges, skal kritiske/følsomme informationer og licensbelagte systemer fjernes eller overskrives Fjernelse af virksomhedens informationsaktiver Fjernelse af udstyr fra virksomheden Udstyr må kun fjernes fra virksomheden, hvis der foreligger en underskrevet kvittering på det udleverede. Udstyr, der indeholder fortrolige data, må kun fjernes efter behørig godkendelse fra pågældende dataejer. Side 20 af 56

28 10 Styring af netværk og drift 10.2 Ekstern serviceleverandør Serviceleverancen Information til eksterne partnere Relevante interessenter skal informeres om krav til efterlevelse af sikkerhedspolitikkerne i virksomheden. Fysisk sikkerhed, outsourcingleverandør Leverandøren skal sikre, at der er etableret passende fysiske adgangskontroller således at virksomhedens systemer og aktiver beskyttes i henhold til den fastsatte klassifikation. Beredskab hos outsourcingleverandøren Leverandøren skal etablere et beredskab, som håndterer virksomhedens it-drift i tilfælde af driftsforstyrrelser og katastrofer. Leverandøren indgår i virksomhedens beredskabsorganisation Overvågning og revision and serviceleverandøren Overvågning af serviceleverandøren It-afdelingen skal regelmæssigt overvåge serviceleverandørerne, gennemgå de aftalte rapporter og logninger for at sikre, at aftalen overholdes, og at sikkerhedshændelser og -problemer håndteres på betryggende vis. Overvågning og audit af outsourcingleverandør Leverandøren skal levere rapportering for, i hvilken grad aftalte servicemål er opfyldt. Rapportering for opfyldelse af servicemål behandles på kontraktmøder. Virksomheden kan foretage audit af leverandøren, alternativt kan intern auditrapport, it-revisionsrapport, årlig risikovurdering eller it-outsourcing-erklæring indgå i overvågningen. Virksomhedens overvågning og audit skal fastslå, om leverandøren har passende organisering og ansvarsfordeling, og om de eksisterende kontroller følges og er tilstrækkelige Overvågning og audit, cloudløsning Udbyderen skal kunne dokumentere et passende sikkerhedsniveau, eksempelvis revisorerklæring, intern audit, ISO-certificering i 27xxx eller tilsvarende. Udbyderen skal kunne levere rapportering for, i hvilken grad aftalte servicemål er opfyldt. Virksomhedens overvågning skal fastslå, om udbyderen har en passende styring og organisering af sikkerheden og om eksisterende kontroller følges. Side 21 af 56

29 Styring af ændringer hos ekstern serviceleverandør Styring af ændringer hos serviceleverandøren It-afdelingen skal sikre, at ændringsstyring af serviceleverandørens ydelser følger samme retningslinier som virksomhedens egne Styring af driftsmiljøet Kapacitetsstyring Kapacitetsplanlægning It-systemernes dimensionering skal afpasses efter kapacitetskrav. Belastning skal overvåges således, at opgradering og tilpasning kan finde sted løbende. Dette gælder især for virksomhedskritiske systemer. Driftsafdelingen skal have procedurer, der minimerer risikoen for driftsstop som følge af manglende kapacitet. Kapacitetsovervågning Alle serversystemer skal løbende overvåges for tilstrækkelig kapacitet for at sikre pålidelig drift og tilgængelighed. Alle serversystemer skal overvåges døgnet rundt for tilstrækkelig kapacitet for at sikre pålidelig drift og tilgængelighed. Større afvigelser fra normal-kapacitet skal registreres og håndteres som en hændelse Godkendelse af nye eller ændrede systemer Sikring af serversystemer Alle servere skal hærdes gennem deaktivering af unødvendige og usikre services og protokoller. Alle systemkomponenter skal hærdes gennem deaktivering eller fjernelse af unødvendige funktioner (f.eks. scripts, drivere, underliggende filsystemer og webservere). Alle sikkerhedsparametre i samtlige serversystemer skal konfigureres optimalt for at forhindre misbrug. Alle servere skal sikres inden ibrugtagning. Servere skal sikres og testes inden implementering i produktionsmiljøet jvf. kravspec. og designspec. Inden ibrugtagning af serversystemer skal der foreligge sikkerhedsgodkendt designspecifikation og godkendt systemtest. Godkendelse af nye eller ændrede systemer It-afdelingen skal etablere en godkendelsesprocedure for nye systemer, for nye versioner og for opdateringer af eksisterende systemer samt de afprøvninger, der skal foretages, inden de kan godkendes og sættes i drift. Godkendelsesproceduren skal sikre, at standardværdier, eksempelvis standard administrator-logins og andre Side 22 af 56

30 "fabriksindstillinger", bliver ændret, før et system installeres på netværket Skadevoldende programmer og mobil kode Beskyttelse mod skadevoldende programmer Kontrol af antivirus på arbejdsstationer Medarbejdere kan antage, at antivirus fungerer. Det er alene it-afdelingens ansvar at kontrollere korrekt funktion. Antivirus-produkter på servere Der skal være installeret antivirus-beskyttelse på alle systemer, hvor dette er muligt. Spyware It-afdelingen skal sikre, at der regelmæssigt scannes for spyware på alle arbejdsstationer. Installation af spyware søges undgået gennem begrænsningerne i muligheder for softwareinstallation. Installation af spyware søges undgået gennem patch-management-processer. Adware It-afdelingen skal sikre, at der regelmæssigt scannes for adware på alle arbejdsstationer. Adware-beskyttelse baseres på medarbejder-awareness, sikkerhedsindstillinger i internetbrowser, begrænsninger i brugeres muligheder for softwareinstallation samt brug af adware-scannere. Beskyttelse mod uønsket software Godkendt antivirus-software skal anvendes, hvor dette er muligt. Rapportering af virusangreb Hvis der observeres virus eller mistanke om virus, skal det omgående rapporteres til HelpDesk. Styring af antivirus It-afdelingen skal kunne styre antivirus på alle systemer centralt. Med styring menes overvågning af, om alle antivirus-programmer er aktivt kørende, tvungen opdatering, scanning, oprydning og generering af opfølgningslog Beskyttelse mod mobil kode Antivirus-produkter på arbejdsstationer It-driftsafdelingen skal sikre, at der er installeret aktive antivirus-produkter på samtlige computere i virksomheden, og at disse opdateres højst et døgn efter leverandørens opdateringer. Der skal etableres foranstaltninger til at sikre mod vira, orme, trojanske heste mv. Dette indebærer, at der skal indføres procedurer for personalet til at håndtere disse. Beskyttelse mod mobilkode Anvendelse af mobil kode skal begrænses til et afgrænset driftsmiljø. Side 23 af 56

31 10.5 Sikkerhedskopiering Sikkerhedskopiering Overvågning af procedurer for sikkerhedskopiering Muligheden for at retablere data fra backup-systemer skal regelmæssigt aftestes i et testmiljø. Endvidere skal retablering testes efter system- eller proces-ændringer, der kan påvirke backup-rutiner. Opbevaring af sikkerhedskopier på ekstern lokation Den fysiske sikkerhed på den eksterne opbevarings-lokalitet skal sikres gennem besigtigelse mindst en gang årligt. Reserveanlæg og -udstyr samt datamedier med sikkerhedskopier skal opbevares i sikker afstand for at undgå skadevirkninger fra et uheld på det primære anlæg. Sikkerhedskopiering af data på serversystemer It-afdelingen er ansvarlig for sikker lagring og backup af data på serverudstyr. Nødplaner for sikkerhedskopiering Alle forretningskritiske systemer skal have en nødplan for sikkerhedskopiering, således at risikoen for tab af data minimeres. Sikkerhedskopiering af data på andre systemer Såfremt forretningskritiske data ikke opbevares på serversystemer, er dataejer ansvarlig for etablering af relevant sikkerhedskopiering Netværkssikkerhed Netværket Firewall-funktioner på servere Alle servere skal benytte firewalls til at sikre, at der kun gives adgang til nødvendige services. Adgang til aktive netværksstik Netværksadgang skal kontrolleres og styres af it-afdelingen. Kun nødvendige adgange må være aktive i infrastrukturen. Alle øvrige skal være lukket ned. It-afdelingen skal sikre, at der ikke er ubenyttede aktive netværksstik i offentligt tilgængelige rum som reception, kantine og lignende. Brug af trådløse lokalnetværk Sikkerhedssystemerne WPA eller WPA2 skal anvendes i alt trådløst netværksudstyr, som understøtter denne Side 24 af 56

32 teknologi. Trådløse netværk betragtes som usikre, ubeskyttede netværk. Placering af trådløse netværk Trådløst udstyr må kun forbindes til den eksisterende infrastruktur. Tilslutning af udstyr til netværk Medarbejdere må koble godkendt udstyr på det interne netværk uden yderligere aftale. Indkommende netværksforbindelser Der må ikke være mulighed for at etablere forbindelser direkte fra internettet til interne systemer. IT chefen skal godkende enhver form for indkommende netværksforbindelse fra internet til interne netværk. Der tillades kun etablering af forbindelser fra internet til sikkerhedsgodkendte servere, eksempelvis - og web-servere. Forbindelser fra internettet til den demilitariserede netværkszone (DMZ) må kun oprettes til specifikke IPadresser. Det må ikke være muligt at etablere forbindelser fra internettet til den demilitariserede netværkszone (DMZ) ved anvendelse af interne ip-adresser. Adgang til trådløse netværk Brugere skal autentificeres, før der gives adgang til virksomhedens trådløse netværk. F.eks. ved hjælp af IEEE 802.1x. Gæsters brug af virksomhedens trådløse netværk Netværket kan og må kun anvendes til internetadgang, og ikke til direkte adgang til interne systemer. Adgang til trådløse netværk for gæster Gæster, hvis identitet er kendt, må få udleveret adgangskode til gæstenettet. Gæster, hvis identitet er kendt, må tilslutte eget udstyr til gæstenettet, forudsat at udstyret ikke generer andre systemer. Sikring af netværk It-afdelingen har det overordnede ansvar for at beskytte virksomhedens netværk. Netværksdokumentation Netværksdiagrammet skal omfatte samtlige trådløse netværk. Netværksdokumentationen skal indeholde en beskrivelse af samtlige netværksporte og services, som er nødvendige for driften. Netværksdiagrammet skal omfatte samtlige netværksforbindelser. It-afdelingen skal vedligeholde et opdateret netværksdiagram. Side 25 af 56

33 Netværkstjenester Netværksleverandøren skal kunne levere: De nødvendige teknologiske muligheder for autentifikation, kryptering og overvågning. De nødvendige tekniske opsætninger til at sikre opkoblinger i overensstemmelse med samarbejdsaftalen. Adgangskontrol, der sikrer mod uvedkommendes adgang Databærende medier Bærbare datamedier Opbevaring og registrering af datamedier Systemejer skal sikre, at medierne eller informationerne på mediet klassificeres, og at brugere er instrueret i at opbevare mediet i henhold til regler for klassifikationen. It-afdelingen skal registrere alle datamedier, som ikke fysisk befinder sig i allerede registreret udstyr. Adgang til bærbare computere Bærbare computere er beskyttes med adgangskode. Adgang til data på bærbare pc er skal beskyttes med adgangskode Destruktion af datamedier Bortskaffelse og genbrug af medier Papirmateriale skal makuleres, når det ikke længere skal benyttes. Alle datamedier, f.eks. harddiske, disketter, cd er, dvd er, bånd og hukommelsesenheder skal sikkerhedsslettes eller destrueres inden bortskaffelse. Beholdere med papirmateriale til destruktion skal holdes aflåste. Hvis en ekstern leverandør benyttes til destruktion af virksomhedens datamedier, skal det sikres at leverandøren efterlever de aftalte sikkerhedskrav. Sletning skal foregå i overensstemmelse med proceduren for sikkerhedssletning. Opbevaring og bortskaffelse af data Data må kun opbevares i det tidsrum, som er nødvendigt. Side 26 af 56

34 Beskyttelse af datamediers indhold Udskrivning Printkøer og lignende med følsomt indhold skal sikres mod uautoriseret adgang. Brugerne skal sikre, at følsomme udskrifter indsamles så hurtigt som muligt. Printere, som benyttes til udskrivning af fortrolige eller personhenførbare informationer skal placeres i lokaler, der ikke er offentligt tilgængelige. Beskyttelse af følsomme og fortrolige data på datamedier It-afdelingen skal etablere procedurer, der sikrer datamediers indhold mod uautoriseret adgang og misbrug af mediernes indhold. Elektroniske dokumenter Elektroniske kopier af dokumenter, f.eks. indscannede dokumenter og faxer, med fortrolige eller personhenførbare oplysninger må kun behandles på virksomhedens it-udstyr. Sikring af arbejdsstationer inden ibrugtagning Alle arbejdsstationer skal sikres inden brug. Minimum sikring inkluderer installation af seneste sikkerhedsrettelser for operativsystemet og antivirus-program. Alle personlige computere, arbejdsstationer og lignende skal sikres af it-afdelingen inden brug. Brugerne må ikke omgå denne sikring Beskyttelse af systemdokumentation Lagring og adgangsrettigheder til systemdokumentation Systemdokumentation opbevares i mindst 5 år. Beskyttelse af systemdokumentation It-afdelingen skal opbevare systemdokumentation passende sikkert. Adgangsrettigheder til systemdokumentation skal holdes på et minimum og godkendes af systemejer Informationsudveksling Informationsudvekslingsretningslinier og -procedurer Udlevering af fortrolige informationer og oplysninger Fortrolig information må ikke videregives til tredjepart i nogen form, uden godkendelse af dette fra informationsejeren. Dette gælder især for følsom information, samt personhenførbare oplysninger givet til organisationen. Personhenførbare og fortrolige oplysninger må kun udleveres til bemyndigede personer. Side 27 af 56