Informationssikkerhedspolitik for Norddjurs Kommune

Transkript

1 Norddjurs Kommune Informationssikkerhedspolitik for Norddjurs Kommune Regler Kommunens regler for informationssikkerhed

2 Indholdsfortegnelse Regler 2 4 Risikovurdering og -håndtering Vurdering af sikkerhedsrisici Risikohåndtering Dokumentationskrav 5 5 Overordnede retningslinjer Informationssikkerhedsstrategi Formulering af informationssikkerhedspolitikken Løbende vedligeholdelse Styring af ressourcer 7 6 Organisering af informationssikkerhed Interne organisatoriske forhold Direktionens rolle Koordinering af informationssikkerhed Ansvarsplacering Godkendelsesprocedure ved anskaffelser Kontakt med myndigheder Fagligt samarbejde med grupper og organisationer Periodisk opfølgning Eksterne samarbejdspartnere Identifikation af risici i forbindelse med eksternt samarbejde Sikkerhedsforhold i relation til kunder Samarbejdsaftaler 12 7 Styring af informationsrelaterede aktiver Identifikation af og ansvar for informationsrelaterede aktiver Fortegnelse over informationsaktiver Ejerskab Accepteret brug af aktiver Klassifikation af alle informationer og data i Norddjurs Kommune Klassifikation Mærkning og håndtering af informationer og data 16 8 Medarbejdersikkerhed Sikkerhedsprocedure før ansættelse Opgaver og ansvar Efterprøvning Aftale om ansættelse Ansættelsesforholdet Ledelsens ansvar Uddannelse Sanktioner Ansættelsens ophør Ansvar ved ansættelsens ophør Returnering af aktiver Inddragelse af rettigheder 18 9 Fysisk sikkerhed Sikre områder Fysisk afgrænsning Fysisk adgangskontrol Sikring af kontorer, lokaler og udstyr Beskyttelse mod eksterne trusler Arbejdsmæssige forhold i sikre områder Områder til af- og pålæsning med offentlig adgang Beskyttelse af udstyr Placering af udstyr Forsyningssikkerhed Sikring af kabler 21

3 9.2.4 Udstyrs og anlægs vedligeholdelse Sikring af udstyr uden for Norddjurs Kommunes overvågning Sikker bortskaffelse eller genbrug af udstyr Fjernelse af virksomhedens informationsaktiver Styring af netværk og drift Operationelle procedurer og ansvarsområder Driftsafviklingsprocedurer Ændringsstyring Funktionsadskillelse Adskillelse mellem udvikling, test og drift Ekstern serviceleverandør Serviceleverancen Overvågning og revision af serviceleverandøren Styring af driftsmiljøet Kapacitetsstyring Godkendelse af nye eller ændrede systemer Skadevoldende programmer og mobil kode Beskyttelse mod skadevoldende programmer Beskyttelse mod mobil kode Sikkerhedskopiering Sikkerhedskopiering Netværkssikkerhed Netværket Netværkstjenester Databærende medier Bærbare datamedier Destruktion af datamedier Beskyttelse af datamediers indhold Beskyttelse af systemdokumentation Informationsudveksling Informationsudvekslingsretningslinjer og -procedurer Fysiske datamediers sikkerhed under transport Elektronisk post og dokumentudveksling Virksomhedens informationssystemer Elektroniske forretningsydelser Offentligt tilgængelige informationer Logning og overvågning Opfølgningslogning Overvågning af systemanvendelse Beskyttelse af log-oplysninger Administrator- og operatørlog Fejllog Tidssynkronisering Adgangsstyring De forretningsmæssige krav til adgangsstyring Retningslinjer for adgangsstyring Administration af brugeradgang Registrering af brugere Udvidede adgangsrettigheder Adgangskoder Periodisk gennemgang af brugernes adgangsrettigheder Brugerens ansvar Brug af adgangskoder Uovervåget udstyr Beskyttelse af datamedier på den personlige arbejdsplads Styring af netværksadgang Retningslinjer for brug af netværkstjenester Autentifikation af brugere med ekstern netværksforbindelse Beskyttelse af diagnose- og konfigurationsporte 34

4 Opdeling af netværk Styring af netværksadgang Styring af systemadgang Sikker log-on Styring af adgangskoder Brug af systemværktøjer Styring af adgang til brugersystemer og informationer Begrænset adgang til informationer Mobilt udstyr og fjernarbejdspladser Mobilt udstyr og datakommunikation Fjernarbejdspladser Anskaffelse, udvikling og vedligeholdelse af 36 informationsbehandlingsystemer 12.1 Sikkerhedskrav til informationsbehandlingssystemer Analyse og specifikation af krav til sikkerhed Korrekt informationsbehandling Validering af inddata Kryptografi Retningslinjer for brugen af kryptografi Styring af driftsmiljøet Sikkerhed ved systemtekniske filer Sikring af testdata Sikkerhed i udviklings- og hjælpeprocesser Ændringsstyring Teknisk gennemgang af forretningssystemer efter ændringer i styresystemerne Begrænsninger i ændringer til standardsystemer Lækage af informationer Systemudvikling udført af en ekstern leverandør Sårbarhedsstyring Sårbarhedssikring Styring af sikkerhedshændelser Rapportering af sikkerhedshændelser og svagheder Rapportering af sikkerhedshændelser Rapportering af svagheder Håndtering af sikkerhedsbrud og forbedringer Ansvar og forretningsgange At lære af sikkerhedsbrud Indsamling af beviser Beredskabsstyring Beredskabstyring og informationssikkerhed Informationssikkerhed i beredskabsstyringen Beredskab og risikovurdering Udarbejdelse og implementering af beredskabsplaner Rammerne for beredskabsplanlægningen Afprøvning, vedligeholdelse og revurdering af beredskabsplaner Overensstemmelse med lovbestemte og kontraktlige krav Overensstemmelse med lovbestemte krav Identifikation af relevante eksterne krav Ophavsrettigheder Sikring af virksomhedens kritiske data Beskyttelse af personoplysninger Beskyttelse mod misbrug af informationsbehandlingsfaciliteter Lovgivning vedrørende kryptografi Overensstemmelse med sikkerhedspolitik og -retningslinjer Overensstemmelse med Norddjurs Kommunes sikkerhedsretningslinjer Opfølgning på tekniske sikringsforanstaltninger Beskyttelsesforanstaltninger ved revision af informationsbehandlingssystemer Sikkerhed i forbindelse med systemrevision Beskyttelse af revisionsværktøjer 47

5

6 Regler 4 Risikovurdering og -håndtering 4.1 Vurdering af sikkerhedsrisici Overordnet risikovurdering Der skal være udført en overordnet risikovurdering af trusselsbilledet for Norddjurs Kommune. Risikovurderingen udarbejdes af ITsikkerhedsgruppen Risikovurderingen skal opdateres mindst en gang om året. Risikovurderingen skal omfatte alle væsentlige it-systemer. Om ISMS Norddjurs Kommunes ISMS (Information Security Management System) benytter den velkendte Plan - Do - Check - Act (PDCA) -model til at etablere, implementere, drive, overvåge, revurdere, vedligeholde og forbedre ISMS. 4.2 Risikohåndtering Risikoanalyse Der skal være udført en overordnet risikoanalyse for Norddjurs Kommune. Der skal udarbejdes en detaljeret risikoanalyse for alle forretningskritiske systemer. ISMS-anvendelsesområde Norddjurs Kommunes ISMS styrer informationssikkerhed for alle interne og eksterne aktiviteter i kommunens afdelinger. Overholdelse af standarder Sikkerhedssystemet overholder kravene i International Standard ISO/IEC 27002:2005, på de områder, hvor Norddjurs Kommunes risikovurdering retfærdiggør overensstemmelse og tilhørende sikkerhedsinvesteringer. Norddjurs Kommunes ISMS-politik: Indeholder rammerne for at opstille mål og skaber en samlet fornemmelse af retning og principper for handling med hensyn til informationssikkerhed. Tager hensyn til forretningsmæssige krav og lov- eller myndighedskrav samt kontraktlige sikkerhedsforpligtelser. Opstiller kriterier, som risiko vil blive vurderet imod. Er godkendt af direktionen. Side 2 af 47

7 Metode til risikovurdering og kriterier for risikovillighed Der benyttes en trusselsbaseret metode til risikovurdering. Forretningskonsekvens og sårbarhed vurderes på baggrund af fortrolighed, integritet og tilgængelighed. Risikovurderingsmetoden er passende for Norddjurs Kommunes ISMS og de fastlagte krav til sikring af forretningsoplysninger samt lov- og myndighedskrav. Den valgte metode til risikovurdering skal sikre, at risikovurderinger giver sammenlignelige og reproducerbare resultater. IT-sikkerhedsgruppen har udarbejdet kriterier for risikovillighed og identificeret de risikoniveauer, der kan accepteres. Identificering af risici Programmer, der falder inden for ISMS' anvendelsesområdet og disse programmers ejere er registreret på listen over programejere i Norddjurs Kommune. Trusler mod aktiver er identificeret i den generelle, tilbagevendende risikovurdering. Risikovurderingsrapporterne identificerer sårbarheder, som kan opstå af de udvalgte trusler. Risikovurderingsrapporterne identificerer de virkninger, som tab af fortrolighed, integritet og tilgængelighed kan have på aktiverne. Risikoanalyse og -evaluering indbefatter: En vurdering af de forretningsmæssige indvirkninger på Norddjurs Kommune, som kan følge af sikkerhedssvigt, under hensyntagen til konsekvenserne af tab af fortrolighed, integritet eller tilgængelighed af aktiverne. En vurdering af sandsynligheden for, at der sker sikkerhedssvigt i lyset af tilstedeværende trusler og sårbarheder samt indvirkninger, der er forbundet med aktiverne, og de iværksatte foranstaltninger. En vurdering af graderne af risici. Beslutning om, om risiciene kan accepteres eller kræver håndtering ud fra kriterierne for risikovillighed. Integration af informationssystemer Hvis integration mellem informationssystemer resulterer i en forøget risiko, skal denne vurderes og godkendes af IT-sikkerhedsgruppen. Risikohåndtering Programejerne vurderer mulighederne for risikohåndtering. Risikohåndtering kan bl.a. omfatte iværksættelse af passende foranstaltninger samt bevidst at acceptere risici. Udvælgelse af foranstaltninger Programmets ejer vælger styringsmål og foranstaltninger til risikohåndtering. Styringsmål og foranstaltninger vælges og implementeres for at opfylde de krav, der er identificeret ved risikovurderingen og risikohåndteringsprocessen idet der tages hensyn til kriterierne for risikovillighed. Side 3 af 47

8 Direktionens tilladelse til ISMS Der er indhentet tilladelse fra direktionen til at implementere og drive ISMS (Information Security Management System). Godkendelse af udækkede risici IT-sikkerhedsgruppen fremsender foreslåede udækkede risici til godkendes af direktionen. Erklæring om anvendelse og opfyldelse indeholder: Styringsmål og foranstaltninger valgt i ISO/IEC 27001:2005) og årsagerne til valget af dem. Erklæringen om anvendelse og opfyldelse revideres årligt, og når ændringer i organisationen, drift, teknologi mm. kræver en opdatering. Implementering og drift af ISMS Norddjurs Kommune har formuleret en risikohåndteringsplan, der identificerer de relevante ledelsestiltag, ressourcer, ansvar og prioriteringer for at styre informationssikkerhedsrisici. Norddjurs Kommune har implementeret risikohåndteringsplanen for at nå de identificerede styringsmål, der indbefatter overvejelser om finansiering og fordeling af roller og ansvar. Norddjurs Kommune har implementeret foranstaltninger, til at opfylde styringsmålene. Norddjurs Kommune har defineret, hvordan effekten af de valgte foranstaltninger måles. Norddjurs Kommune har implementeret uddannelses-/trænings- og bevidsthedsskabende programmer. Norddjurs Kommune leder løbende driften af ISMS. Norddjurs Kommune forvalter løbende ressourcer til ISMS. Norddjurs Kommune har implementeret procedurer og andre foranstaltninger, der gør det muligt omgående at afsløre sikkerhedshændelser og reagere på sikkerhedsbrud (se ISO/IEC 27001:2005). Norddjurs Kommune iværksætter procedurer til overvågning og revurdering og andre foranstaltninger for: Omgående at afsløre fejl i procesresultater Omgående at identificere fejlslagne og gennemførte forsøg på sikkerhedsovertrædelser samt sikkerhedsbrud At sætte IT-sikkerhedsgruppen i stand til at afgøre, om sikkerhedsaktiviteter delegeret til personer eller implementeret ved hjælp af informationsteknologi fungerer som forventet At hjælpe til at afsløre fejlslagne forsøg på sikkerhedsovertrædelser og dermed forhindre sikkerhedsbrud. Afgøre, om de iværksatte handlinger til at løse sikkerhedsbrud har været effektive Regelmæssig gennemgang af effekten af ISMS IT-sikkerhedsgruppen foretager mindst en gang om året gennemgang af effektiviteten af ISMS. Gennemgang af ISMS IT-sikkerhedsgruppen gennemgår løbende ISMS for at sikre, at anvendelsesområdet fortsat er fyldestgørende. Side 4 af 47

9 Ajourføring af sikkerhedsplaner IT-sikkerhedsgruppen ajourfører løbende sikkerhedsplanerne for at tage resultater af overvågnings- og revurderingsaktiviteter i betragtning. Registrering af handlinger og hændelser Den øverste sikkerhedsansvarlige registrerer løbende handlinger og hændelser, der kunne have indflydelse på effekten af ISMS. Vedligeholdelse og forbedring af ISMS indbefatter: Implementering af de identificerede forbedringer af ISMS Iværksættelse af passende korrigerende og forebyggende handlinger i overensstemmelse med ISO/IEC 27001, samt at tage ved lære af de erfaringer, som Norddjurs Kommune og andre virksomheder har indsamlet i relation til informationssikkerhed Udmelding af handlinger og forbedringer til alle medarbejdere i en detaljeringsgrad, der passer til omstændighederne. Sikring af, at forbedringerne når de tilsigtede mål Proces for reaktion på hændelser Den øverste sikkerhedsansvarlige koordinerer en ledelsesproces, der sikrer en passende reaktion på sikkerhedshændelser. Ved gennemgang af risikovurderinger tages højde for følgende: Teknologi Identificerede trusler Effekten af iværksatte foranstaltninger Eksterne hændelser som fx ændringer af lov- eller myndighedsmiljø, ændrede kontraktlige forpligtelser eller ændringer i den sociale bevidsthed Gennemgang af risikovurderinger IT-sikkerhedsgruppen gennemgår risikovurderinger mindst én gang årligt. Gennemgang af risikovurderingen indbefatter udækkede risici og de identificerede acceptable risikoniveauer. 4.3 Dokumentationskrav ISMS-dokumentation omfatter: En dokumenteret ISMS-politik (se ISO/IEC 27001:2005) Anvendelsesområdet for ISMS (se ISO/IEC 27001:2005) Procedurer og foranstaltninger til støtte for ISMS Beskrivelse af metodikken til risikovurdering (se ISO/IEC 27001:2005) Risikovurderingsrapporten (see ISO/IEC 27001:2005) Risikohåndteringsplanen Registreringer krævet i den internationale standard ISO/IEC27001:2005 Netværksdokumentation IT-afdelingen skal løbende vedligeholde et opdateret netværksdiagram. Beskyttelse og styring af dokumenter ISMS-dokumenter skal beskyttes og opbevares på en forsvarlig måde. Side 5 af 47

10 Sikring af Norddjurs Kommunes lovbestemte data Norddjurs Kommunes lovbestemte data skal opbevares og behandles således at datatab, uautoriseret modifikation og forfalskning undgås. Rapportering af sikkerhedshændelser Rapportering om hændelser af betydning for sikkerheden skal fremsendes til Norddjurs Kommunes øverste sikkerhedsansvarlige. Denne afrapporterer mindst én gang om året til IT-sikkerhedsgruppen om antallet af sikkerhedshændelser, forsøg på sikkerhedsbrud m.v., samt reagerer på henvendelserne, når disse er af betydning for sikkerheden. Med dette menes, at tab af fortrolighed, dataintegritet og tilgængelighed af systemer skal rapporteres. Log-gennemgang It-afdelingen skal vedligeholde procedurer vedrørende gennemgang af sikkerhedslogs og krav i forbindelse med opfølgning på uregelmæssigheder. Styring af registreringer Ved udarbejdelse af ISMS, skal der tages hensyn til relevante lov- eller myndighedskrav og til kontraktlige forpligtelser. Der foretages de fornødne foranstaltninger for, at registreringer skal forblive læselige, og umiddelbart skal kunne identificeres og genfindes. De foranstaltninger, der er nødvendige for identifikation, opbevaring, beskyttelse, genfinding, opbevaringstid og disponering vedr. registreringer dokumenteres og implementeres. Der foretages registreringer af processens opretholdelse som beskrevet i ISO/IEC Overordnede retningslinjer. 5.1 Informationssikkerhedsstrategi Direktionen skal bevise sit engagement i: Fastlæggelse af en ISMS-politik. Fastlæggelse af roller og ansvarsområder for informationssikkerhed. At kommunikere vigtigheden af at opfylde informationssikkerhedskrav og efterleve informationssikkerhedspolitikken. At sørge for tilstrækkelige ressourcer til at etablere, implementere, drive, overvåge, gennemgå, vedligeholde og forbedre ISMS (se ISO/IEC 27001: ). At træffe beslutning om kriterier for accept af risici og acceptable risikoniveauer Formulering af informationssikkerhedspolitikken Definition på informationssikkerhed Informationssikkerhed defineres som de samlede foranstaltninger til at sikre fortrolighed, tilgængelighed og integritet. Foranstaltninger inkluderer tekniske, proceduremæssige, lov- og regelmæssige kontroller. Sprog for informationssikkerhedspolitik Informationssikkerhedspolitikken for Norddjurs Kommune udarbejdes kun på dansk. Side 6 af 47

11 Vedligeholdelse af informationssikkerhedspolitikken. Informationssikkerhedspolitikken skal vedligeholdes af ITsikkerhedsgruppen. Godkendelse af den overordnede informationssikkerhedspolitik Den overordnede informationssikkerhedspolitik skal godkendes af Norddjurs Kommunes kommunalbestyrelse. Reglerne i informationssikkerhedspolitikken i Norddjurs Kommune skal hvert år godkendes af direktionen, efter indstilling fra ITsikkerhedsgruppen. Procedurerne i informationssikkerhedspolitikken udarbejdes af ITsikkerhedsgruppen. Procedurerne tager udgangspunkt i reglerne, og må ikke være i modstrid med disse. Offentliggørelse af informationssikkerhedspolitikken. Informationssikkerhedspolitikken skal offentliggøres og kommunikeres til alle relevante interessenter, herunder alle medarbejdere i Norddjurs Kommune Løbende vedligeholdelse Løbende vedligeholdelse af informationssikkerhedspolitik Revision af informationssikkerhedspolitikken. IT-sikkerhedsgruppen foretager revision af informationssikkerhedspolitikken mindst èn gang om året. 5.2 Styring af ressourcer Ressourceforbrug til sikringsforanstaltninger Ved implementering af sikringsforanstaltninger skal ressourceforbruget vurderes op mod den risiko, der forventes reduceret. Sikkerhedsforanstaltninger skal, samlet set, bidrage positivt til organisationen. Udgifter til specifikation, design, implementering, drift og vedligeholdelse skal vejes imod den forventede direkte og indirekte nedgang i udgifter som følge af sikkerhedshændelser. Direktionen fastlægger niveauet og sørger for de nødvendige ressourcer til at: Etablere, implementere, drive, overvåge, revurdere, vedligeholde og forbedre et ISMS. Sikre, at procedurer til informationssikkerhed understøtter de forretningsmæssige krav. Identificere og efterleve lov- og myndighedskrav og kontraktlige forpligtelser. Opretholde tilstrækkelig sikkerhed ved at anvende alle implementerede foranstaltninger korrekt. Foretage revurderinger efter behov og reagere hensigtsmæssigt i forhold til resultaterne af disse revurderinger. Side 7 af 47

12 Beskrivelser af sikkerhedsopgaver og ansvar skal omfatte: Medarbejderens ansvar for at overholde Norddjurs Kommunes informationssikkerhedspolitik. Medarbejderens ansvar for at beskytte Norddjurs Kommunes informationsaktiver mod misbrug. Medarbejderens ansvar for eventuelle specifikke sikkerhedsopgaver. Medarbejderens ansvar for egne handlinger. Medarbejderens ansvar for at rapportere sikkerhedshændelser og - trusler. Kompetenceudvikling af medarbejdere indbefatter: Fastsættelse af den nødvendige kompetence for medarbejdere, der udfører arbejde med indflydelse på ISMS. Uddannelse/træning eller gennemførelse af andre aktiviteter for at opfylde kompetencebehovet. Medarbejderes kompetenceudvikling Det sikres, at alle medarbejdere, der er tildelt ansvarsområder defineret i ISMS, er kompetente til at udføre de nødvendige opgaver. Det sikres, at alle berørte medarbejdere er bevidste om relevansen og vigtigheden af de informationssikkerhedsaktiviteter, de udfører. 6 Organisering af informationssikkerhed Placering af ansvar er vitalt for at sikre opmærksomhed på Norddjurs Kommunes informationsaktiver. Organisationsstrukturen i Norddjurs Kommune og samarbejde med eksterne partnere er yderst vigtig for at opretholde et tidssvarende sikkerhedsniveau. Kontrakter med partnere og andre aftaler er ligeledes et område, der har indflydelse på informationssikkerheden. Planlægning af interne ISMS-audit Norddjurs Kommune gennemfører interne ISMS-audit med planlagte mellemrum. Formålet er at evaluere styringsmål, foranstaltninger, processer og procedurer vedrørende ISMS. ISMS-audit afgør om styringsmål,foranstaltninger, processer og procedurer vedr. ISMS: Opfylder kravene i den internationale standard ISO/IEC27001:2005 og relevant lovgivning eller forskrifter. Opfylder de identificerede informationssikkerhedskrav. 6.1 Interne organisatoriske forhold Side 8 af 47

13 Evaluering af ISMS IT-sikkerhedsgruppen foretager minimum én gang om året evaluering af Norddjurs Kommunes ISMS for at sikre, at det fortsat er egnet, fyldestgørende og effektivt. IT-sikkerhedsgruppen vurderer muligheder for forbedring af og behovet for ændringer af ISMS, herunder informationssikkerhedspolitikken og - målene. Resultaterne af evalueringen af ISMS skal være entydigt dokumenteret, og der skal opretholdes registreringer (se ISO/IEC 27001:2005). Input til evalueringen omfatter: Resultater af ISMS evalueringer. Tilbagemeldinger fra medarbejdere og andre interessenter. Teknikker, produkter eller procedurer, der kunne blive benyttet i Norddjurs Kommune til forbedring af præstation og effekt af ISMS. Status for forebyggende og korrigerende handlinger. Sårbarheder eller trusler, der ikke er håndteret fyldestgørende ved den foregående risikovurdering. Anbefalinger om forbedringer. Output fra evalueringen omfatter beslutninger og handlinger i relation til følgende: Forbedring af effekten af ISMS. Ajourføring af risikovurderingen og risikohåndteringsplanen. Ændring efter behov af procedurer og foranstaltninger, der påvirker informationssikkerheden, for at reagere på interne eller eksterne hændelser, som kan indvirke på ISMS, herunder ændringer af:1) forretningsmæssige krav 2) sikkerhedskrav 3) forretningsprocesser, der påvirker de nuværende forretningsmæssige krav4) myndigheds- eller lovkrav 5) kontraktlige forpligtelser6) niveauer af risiko og/eller kriterier for accept af risici. Ressourcebehov Direktionens rolle Direktionens rolle Direktionen skal støtte Norddjurs Kommunes informationssikkerhed ved at udlægge klare retningslinjer, udvise synligt engagement samt sikre en præcis placering af ansvar Koordinering af informationssikkerhed Organisationen af informationssikkerheden. IT-sikkerhedsgruppen har ansvaret for at sikre at informationssikkerheden er synlig, koordineret og i overensstemmelse med kommunens mål. Koordination af informationssikkerheden Ansvaret for koordination af sikkerheden på tværs i organisationen varetages af IT-sikkerhedsgruppen. Side 9 af 47

14 6.1.3 Ansvarsplacering Sikkerhedsansvar for programmer Den øverste sikkerhedsansvarlige har ansvar for at vedligeholde en liste over samtlige godkendte programmer i Norddjurs Kommune. Listen skal angive den ansvarlige ejer for hvert enkelt program Godkendelsesprocedure ved anskaffelser Anskaffelsesprocedurer Det skal sikres, at nyanskaffelser ikke giver anledning til konflikt med eksisterende krav i sikkerhedspolitikken. Anskaffelser må ikke give anledning til forøget risiko for sikkerhedshændelser, med mindre at direktionen accepterer den øgede risiko. Ethvert nyt system skal risikovurderes inden ibrugtagning. Anskaffelse og installation af nyt informationsbehandlingsudstyr og - systemer skal godkendes af den øverste sikkerhedsansvarlige. Specifikation af sikkerhedskrav Sikkerhedskrav skal være dokumenteret i forbindelse med enhver nyanskaffelse eller IT-systemopgradering. Anskaffelser IT-afdelingen skal tilse, at kun kendt og sikkert udstyr eller software, med et defineret formål, anskaffes og sættes i drift. Udstyr og software må kun indkøbes fra leverandører som må forventes ikke at krænke tredje parts ophavsret Kontakt med myndigheder Kontakt med relevante myndigheder Ved brud eller mistanke om brud på sikkerheden skal der være etableret en procedure for håndtering af bevismateriale og eventuelt kontakt med relevante myndigheder Fagligt samarbejde med grupper og organisationer Information om nye trusler, virus og sårbarheder Når nye sårbarheder annonceres, skal de vurderes for relevans og alvorlighed. Hvis nødvendigt skal passende reaktion, f.eks. installation af sikkerhedsrettelser, prioriteres for at mindske organisationens sårbarhed. IT-afdelingen skal informere relevante personer om nye trusler, som kan berøre de pågældende aftaleområder Periodisk opfølgning Norddjurs Kommune forbedrer løbende effekten af ISMS ved hjælp af: Informationssikkerhedspolitikken Analyse af overvågede hændelser Korrigerende og forebyggende handlinger Side 10 af 47

15 Proceduren for korrigerende handlinger definerer krav til: Identifikation af afvigelser. Fastlæggelse af årsagerne til afvigelser. Evaluering af, om der er behov for at sikre, at afvigelser ikke gentages. Fastlæggelse og implementering af nødvendige korrigerende handlinger. Revurdering af iværksatte korrigerende handlinger. Potentielle afvigelser Forebyggende handlinger skal være passende i forhold til effekten af de potentielle problemer. Afvigelser For at forhindre gentagelse af afvigelser fra kravene til ISMS, iværksætter IT-sikkerhedsgruppen handlinger til at fjerne årsagerne til dette. Proceduren for forebyggende handlinger definerer krav til: Identifikation af potentielle afvigelser og årsagerne til disse afvigelser. En bedømmelse af, om der er behov for tiltag til at forebygge afvigelser. Fastsættelse og implementering af forebyggende handlinger. Registrering af resultaterne af iværksatte handlinger (ISO/IEC 27001:2005). Revurdering af iværksatte forebyggende handlinger. 6.2 Eksterne samarbejdspartnere Identifikation af risici i forbindelse med eksternt samarbejde Sikkerhed ved samarbejde med partnere Ved integration af Norddjurs Kommunes systemer og processer med tredjepart skal sikkerhedsrisici altid vurderes og dokumenteres. Der skal foreligge dokumentation for sikkerhedsrisikoen hvor tredjepart har fået godkendt adgang til Norddjurs Kommunes systemer. Information til eksterne partnere Relevante interessenter skal informeres om krav til efterlevelse af informationssikkerhedspolitikkerne i Norddjurs kommune. Outsourcing Brug af outsourcing må ikke forhøje risikoniveauet for Norddjurs kommune. Outsourcing-partnere Alle outsourcingpartnere skal bekræfte kendskab til Norddjurs kommunes informationssikkerhedspolitik. Inden indgåelse af aftaler skal sikkerhedsniveauet ved partneren afklares og sammenlignes med de krav der stilles i informationssikkerhedspolitikken Sikkerhedsforhold i relation til kunder Identifikation af brugerprofiler for eksterne brugere Eksterne brugerprofiler skal være tydeligt adskilt fra Norddjurs Kommunes fastansatte medarbejderes brugerprofiler. Side 11 af 47

16 6.2.3 Samarbejdsaftaler Tilgængelighedshændelser Hændelser, der har indflydelse på tilgængelighed, skal afklares i henhold til gældende driftsaftaler - Service Level Agreement - (SLA). 7 Styring af informationsrelaterede aktiver Informationsaktiver skal beskyttes, uanset om det er fysiske aktiver som dokumenter der er udskrevet, produktionsudstyr eller it-systemer. Det er derfor nødvendigt at identificere, klassificere og placere ejerskab for alle aktiver. 7.1 Identifikation af og ansvar for informationsrelaterede aktiver Fortegnelse over informationsaktiver Administration af internet-domænenavne Ansvaret for registrering af hoveddomænenavne for Norddjurs Kommune ligger i IT-afdelingen. For øvrige domænenavne er ansvaret ved aftaleenheden. Identifikation af kritiske processer Alle forretningskritiske funktioner og disses relaterede processer, systemer og ejere skal være identificerede og dokumenterede. Registrering af it-udstyr IT-afdelingen registrerer det centralt placerede it-udstyr (servere mv.) med ejer, serienummer og placering Ejerskab Ansvar for adgangsrettigheder De programansvarlige har ansvaret for at fastlægge og løbende revurdere adgangsrettigheder i overensstemmelse med Norddjurs kommunes generelle adgangspolitik. Ansvar for klassifikation Programejerne har ansvaret for at dataindholdet er klassificeret. Data på mobile enheder Alle forretningsdata på mobile enheder skal være kopi af data beliggende på de centrale servere. Sikkerhedsansvar for it-funktioner Programejerne af de virksomhedskritiske systemer skal identificeres og gøres opmærksom på dette ansvar. IT-afdelingen har ansvaret og beføjelser til at sikre tilstrækkelig beskyttelse. Side 12 af 47

17 Ejere af data på mobile enheder På mobile enheder med en primær ejer er pågældende ansvarlig for data. På mobile enheder uden en primær ejer er det den medarbejder der senest har brugt den mobile enhed som er ansvarlig for at data fjernes fra enheden efter brug. Medarbejderne der bruger Norddjurs kommunes bærbare pc'er og andre mobile dataenheder er ansvarlige for at beskytte enhederne samt de data der behandles på disse. Ansvar for sikkerheden på it-platforme IT-afdelingen har ansvaret for administration af sikkerheden på de benyttede platforme Accepteret brug af aktiver Overvågning af sociale netværk Browsere på Norddjurs Kommunes PC'er gemmer blandt andet information om den enkelte medarbejders brug af sociale netværk, og medarbejderen må forvente, at Norddjurs Kommune kan få adgang til denne information. Download af filer fra internettet Medarbejderne må ikke hente filer fra Internettet, medmindre filerne specifikt scannes for virus umiddelbart efter hentning og inden de åbnes. Medarbejderne må hente filer fra leverandørers sites som IT-afdelingen specifikt har godkendt. Internetbaserede tjenester Medarbejderne må anvende internettjenester, der ikke er beskrevet i informationssikkerhedspolitikken, såfremt dette ikke indebærer forøgede sikkerhedsrisici for Norddjurs Kommune Download af programmer fra internettet Medarbejderne må ikke hente og installere programmer fra Internettet, medmindre der foreligger godkendelse af IT-afdelingen. Streaming via internet Medarbejderne må streame indhold fra Internettet, f.eks. lyd eller billede fra radio- og tv-tjenester eller film, såfremt dette sker uden gene for arbejdsrelateret netværksbrug og uden forøgede sikkerhedsrisici. Brug af messenger-programmer Medarbejderne må bruge messenger-programmer på netværket, f.eks. Microsoft Messenger eller Yahoo Messenger, såfremt dette sker uden gene for arbejdsrelateret netværksbrug og uden forøgede sikkerhedsrisici. Afvikling af programmer i forbindelse med internetsurfing Medarbejderne må afvikle browserbaserede programmer, f.eks. Netbankprogrammer, forudsat at Norddjurs Kommunes informationssikkerhedspolitik i øvrigt overholdes. Medarbejderne må afvikle browserbaserede programmer af typen ActiveX selvom disse ikke er digitalt signerede. Medarbejderne må afvikle browserbaserede programmer af typen Java selvom disse ikke er digitalt signerede. Side 13 af 47

18 Terminalsessioner til fjernstyring Medarbejderne må benytte krypterede sessioner, f.eks. Secure Shell (SSH) fra det interne netværk til andre netværk. Sikkerhedsindstillinger i web-browser Sikkerhedsindstillingerne i Web-browserne styres centralt af ITafdelingen og må ikke ændres. Medarbejderes private brug af internetadgang Norddjurs Kommunes internetadgang må anvendes til private formål, såfremt arbejdsrelateret brug ikke generes på nogen måde, og såfremt informationssikkerhedspolitikken overholdes. Adgang til surfing på internettet Internetadgangen må benyttes til internetbrowsing. Privat brug må ske i begrænset omfang, forudsat at det ikke blokerer for arbejdsrelateret brug af internettet og informationssikkerhedspolitikken iøvrigt overholdes. Medarbejderes private brug af Medarbejderne i Norddjurs Kommune skal markere private s med teksten "privat" i emne-feltet, eller alternativt gemme private mails i en folder hvor teksten "privat" indgår i folderens navn. Norddjurs Kommune forbeholder sig ret til at skaffe sig adgang til data og for medarbejdere, hvis dette sker af drifts- eller sikkerhedshensyn. Norddjurs kommune vil så vidt muligt forsøge at undgå at åbne eventuel privat -korrespondance. Medarbejderne må anvende mailsystemerne til privat brug i rimeligt begrænset omfang hvis dette ikke har indflydelse på Norddjurs Kommunes drift og sikkerhed i øvrigt. Mailsystemet i Norddjurs Kommune må ikke anvendes ifm erhvervsmæssig virksomhed. Ejerskab Alle mails betragtes som Norddjurs Kommunes ejendom. Sagsbehandling og journalisering af Sendte og modtagne mails skal håndteres på samme måde som almindelig papirbaseret post, indskannet post og fax. s med vigtig information skal arkiveres systematisk for at sikre lagring. Brug af previewfunktion til åbning af Medarbejderne i Norddjurs Kommune må anvende previewfunktionen i mailprogrammet. Vedhæftede filer Der må kun sendes eller åbnes vedhæftede filer til arbejdsrelaterede formål. Kun dokumentfiler, billedfiler og arkiver må vedhæftes og åbnes. Det gælder eksempelvis følgende filtyper: TXT, RTF, DOC, XLS, PPT, PPS, JPG, JPEG, PNG, GIF, TIFF, PS, EPS, PDF eller ZIP. Programfiler og kommandofiler må ikke vedhæftes eller åbnes. Det gælder eksempelvis følgende filtyper:.exe,.com,.scr,.pif,.bat, cmd,.vbs. IT-afdelingen blokerer for filtyper som vurderes som farlige eller uhensigtsmæssige. Side 14 af 47

19 Phishing og bedrageri Selvom Norddjurs Kommune udfører indholdscanning af alle s, skal medarbejderne alligevel være opmærksomme på "phishing" og "social engineering", der for eksempel kan betyde at medarbejdere kan modtage tilsyneladende oprigtige s, der forsøger at franarre personlige eller fortrolige oplysninger, eller forsøger at få medarbejderen til at foretage uønskede handlinger. Adware Adware-beskyttelse baseres på medarbejderradfærd, sikkerhedsindstillinger i internetbrowser samt begrænsninger i medarbejderens muligheder for softwareinstallation. Installation af trådløst udstyr Medarbejderne må ikke installere og bruge trådløs udstyr på Norddjurs Kommunes interne netværk. Norddjurs Kommunes IT-afdeling opstiller og driver trådløs udstyr, som giver adgang til kommunens interne og eksterne netværk (adskilt). Forbindelse til fremmede trådløse netværk Medarbejdere må forbinde deres mobile udstyr til fremmede trådløse netværk, forudsat at godkendt firewall er aktiveret. Kontrol af antivirus på arbejdsstationer Medarbejderne skal løbende kontrollere, at antivirus programmet er aktivt på deres computere. Autentificering Medarbejderne skal være opmærksomme på at de, via messengerprogrammer, kan udsættes for "social engineering". Det vil sige at andre personers forsøger at udnytte medarbejderens hjælpsomhed til at få informationer, koder m.v. Informationsudveksling med eksterne parter Messenger-programmer må bruges til at udveksle alle former for information, forudsat at medarbejderen har fået sikkerhed for autenticiteten af modparten. Afsendere og modtagere Messenger-kommunikation må anvendes både imellem medarbejdere i Norddjurs Kommune og eksterne personer, f.eks. kunder og samarbejdspartnere. Krav til indstillinger af internet-browser MS Internet Explorer og andre browsere skal opsættes jævnfør informationssikkerhedspolitikken. Medarbejderne må ikke ændre denne opsætning. 7.2 Klassifikation af alle informationer og data i Norddjurs Kommune Klassifikation Side 15 af 47

20 Informationer og data skal klassificeres som følger: Offentligt: Materiale, der frit må udleveres til offentligheden. Fortroligt: Materiale, der er tilgængeligt for en begrænset gruppe personer. Personhenførbart: Data er relateret til et individ, f.eks. en kunde, en borger, en patient eller en medarbejder. Forretningskritisk: Informationer der er vigtige for kerneområdet i forretningen. Høj tilgængelighed og stor pålidelighed er kritisk, uanset hvilket fortrolighedsniveau der iøvrigt kræves Mærkning og håndtering af informationer og data Fortrolige data på mobile enheder Der må ikke opbevares fortrolige data på mobile enheder, medmindre disse er beskyttet med godkendt krypteringsværktøj. Fortrolige informationer i offentlige rum Fortrolige informationer må ikke efterlades uden opsyn i offentlig tilgængelige rum. Medarbejderne skal udvises stor forsigtighed ved omtale af fortrolige informationer i offentlige rum. Elektroniske dokumenter Elektroniske kopier af dokumenter med fortrolige eller følsomme oplysninger, f.eks. indscannede dokumenter og faxer, må kun behandles og lagres på Norddjurs Kommunes eget IT-udstyr. 8 Medarbejdersikkerhed Informationssikkerheden i kommunen afhænger i høj grad af medarbejderne. Det er nødvendigt at sikre kommunen gennem ansættelse af de rigtige medarbejdere. Medarbejdere skal uddannes i informationssikkerhed i relation til deres jobfunktion og modtage nødvendige informationer. Endvidere er det nødvendigt med regler, der beskriver sikkerhedsforhold når et ansættelsesforhold slutter. 8.1 Sikkerhedsprocedure før ansættelse Opgaver og ansvar Ansvar for sikkerhed I stillings- og funktionsbeskrivelser for medarbejdere med adgang til forretningskritiske data og systemer skal sikkerhed indgå i beskrivelsen Efterprøvning Baggrundscheck af medarbejdere skal som minimum omfatte: En personlig reference. Ansøgerens curriculum vitæ. Uddannelser og professionelle kvalifikationer. Identitetskontrol. Side 16 af 47

21 Verifikation af referencer Den ansættelsesansvarlige er ansvarlig for gennemgang og kontrol af oplysninger givet af medarbejdere og ansøgere inden ansættelse. Kravet til kontrol er større for ansøgere til stillinger med højt ansvarsniveau. Børne- og straffeattest For alle medarbejdere der ansættes indenfor børn- og ungeområdet skal der indhentes børneattest og udvidet straffeattest. Blanketterne indhentes af Norddjurs Kommune efter samtykke fra medarbejderen. Eventuelle bemærkninger vurderes i forhold til ansættelsens art og omfang. Baggrundscheck af konsulenter Den ansættelsesansvarlige skal tilse, at der foretages baggrundscheck af konsulenter Aftale om ansættelse Ansættelsesaftalen skal som minimum indeholde og uddybe: Tavshedserklæring. Medarbejderens ansvar i forbindelse med informationsbehandling. Ansvarsplacering når der arbejdes udenfor Norddjurs Kommunes egne områder eller udenfor normal arbejdstid, f.eks. i forbindelse med arbejde hjemmefra. Hvis en medarbejder ignorerer Norddjurs Kommunes krav til sikkerhed, kan det, efter en konkret vurdering, få ansættelsesmæssige konsekveser. 8.2 Ansættelsesforholdet Ledelsens ansvar Det er aftaleenhedernes ansvar at alle medarbejdere: Er tilstrækkeligt informeret om deres roller og ansvar i forbindelse med informationssikkerhed, før de tildeles adgang til Norddjurs kommunes systemer og data. Er gjort bekendt med nødvendige retningslinjer, således at de opnår et opmærksomhedsniveau, så de er i stand til at leve op til Norddjurs Kommunes informationssikkerhedspolitik Uddannelse Social Engineering Medarbejdere skal, når de behandler fortrolige informationer, være passende opmærksomme på begrebet "social engineering" dvs. kunsten at aflure fortrolige informationer uden at blive opdaget. F.eks. kan denne form for bedrag udføres via , telefon og/eller messengerprogrammer. Sikkerhedsuddannelse for IT-medarbejdere Alle IT-medarbejdere skal uddannes i sikkerhedsaspekterne af deres job, for bl.a. at mindske risiko for hændelser i forbindelse med privilegeret adgang. Uddannelse i klassificering af informationer Alle medarbejdere i Norddjurs Kommune skal modtage instruktioner om, hvorledes data og dokumenter klassificeres. Side 17 af 47

22 Uddannelse i informationssikkerhedspolitikken Alle nye medarbejdere modtager senest på første arbejdsdag information om Norddjurs Kommunes informationssikkerhedspolitik. Alle medarbejdere skal have træning i Norddjurs Kommunes informationssikkerhedspolitik og baggrundsviden omkring denne. Alle medarbejdere skal kvittere for at de har læst og forstået Norddjurs Kommunes informationssikkerhedspolitik. Medarbejdere der anvender Norddjurs Kommunes IT-systemer skal holdes informeret om procedurer og politikker for adgangskoder Sanktioner Overtrædelse af sikkerhedsretningslinjerne Det er ikke tilladt at forsøge at omgå Norddjurs Kommunes informationssikkerhedspolitik. Medarbejderne må ikke foretage uautoriseret afprøvning af informationssikkerheden. Hændelser, hvor medarbejdere er involverede, bliver af ledelsen håndteret konsekvent i overensstemmelse med gældende lovgivning og personalepolitik, og kan efter en konkret vurdering få ansættelsesmæssige konsekvenser. 8.3 Ansættelsens ophør Ansvar ved ansættelsens ophør Fratrædelse Når en medarbejder fratræder og/eller midlertidige kontrakter ophæves, skal alle tilknyttede rettigheder trækkes tilbage Returnering af aktiver Returnering af aktiver ved aftrædelse Medarbejderen skal ved ophør af ansættelsesforholdet aflevere alle de aktiver, som er udleveret af Norddjurs Kommune, eksempelvis mobiltelefon, bærbar PC, stationær PC, printer, kommunikationsudstyr, ID-kort, nøgler mv., medmindre der indgås aftale med medarbejderen om køb af udstyret til markedspriser Inddragelse af rettigheder Inddragelse af systemadgang mv. ved fratrædelse Adgangsrettigheder skal inddrages i forbindelse med en medarbejders fratrædelse eller afskedigelse. Der skal forefindes en liste over fratrådte medarbejdere for de seneste seks måneder. Side 18 af 47

23 Tavshedserklæring ved fratrædelse Alle kommunens medarbejdere har ved ansættelsen underskrevet en tavshedserklæring og er gjort opmærksom på, at denne også er gældende efter ansættelsesforholdets ophør. For alle andre med adgang til kommunens systemer gælder, at disse skal underskrive tavshedserklæring, og ved deres underskrift bekræfte at denne også er gældende når adgangen til systemerne ophører. 9 Fysisk sikkerhed Fysisk sikkerhed og adgangsregler for gæster er naturlige elementer i Norddjurs Kommunens informationssikkerhedspolitik. Fysisk sikkerhed omfatter blandt andet døre, vinduer, alarmer - samt tyverisikring af Norddjurs Kommunes fysiske aktiver, eksempelvis IT-udstyr. Systemer til adgangskontrol er ligeledes et element af fysisk sikkerhed, der sikrer at kun personer med legalt ærinde får adgang til Norddjurs Kommunens område. 9.1 Sikre områder Fysisk afgrænsning Indbrudsalarmer Norddjurs Kommune skal anvende tilstrækkelige alarmsystemer i lokaler med IT-udstyr der indeholder fortrolige informationer. Aflåsning af lokaler og bygninger Alle døre og vinduer med adgang til/fra bygningerne skal lukkes og låses ved arbejdstids ophør. Døre til sikrede lokationer i bygningerne skal ligeledes aflåses. Sidste medarbejder der forlader et område er ansvarlig for sikring af dette Fysisk adgangskontrol Adgang for serviceleverandører Serviceleverandører må kun få adgang til sikre områder når dette er absolut påkrævet. Gæsters adgang Værten har ansvaret for gæsters færden. Gæster skal afhentes, følges rundt og følges til udgang af værten. Adgang til serverrum og hovedkrydsfelter Adgang til Norddjurs Kommunes serverrum og hovedkrydsfelter tillades kun med sikkerhedsgodkendelse eller ved overvåget adgang af medarbejdere fra IT-afdelingen. Ansvar for den fysiske adgangskontrol IT-chefen har ansvaret for den fysiske adgangskontrol for serverrum. Adgangskontrollen til Norddjurs Kommunes serverrum sker via kode til alarmsystem. Side 19 af 47

24 9.1.3 Sikring af kontorer, lokaler og udstyr Sikring af kontorer, lokaler og udstyr. Kontorer og andre lokaler, hvor der opbevares systemer med følsomme og forretningskritiske data, skal kunne låses Beskyttelse mod eksterne trusler Brandsikring Serverrummet skal sikres med nødvendigt brandslukningsudstyr. Serverrummet må ikke benyttes som lager for brændbare materialer. Opbevaring af sikkerhedskopier på ekstern lokation Datamedier til retablering af forretningskritiske systemer skal opbevares på et, for Norddjurs Kommune, eksternt opbevaringssted. Reserveanlæg og -udstyr samt datamedier med sikkerhedskopier skal opbevares i sikker afstand for at undgå skadevirkninger fra et uheld på det primære anlæg Arbejdsmæssige forhold i sikre områder Optageudstyr i sikre områder Uautoriseret optageudstyr er ikke tilladt i sikre områder Områder til af- og pålæsning med offentlig adgang Af- og pålæsningsområder Af- og pålæsningsområder skal indrettes, så risiko for uautoriseret adgang til Norddjurs Kommunes øvrige områder mindskes. Modtaget materiale skal inspiceres før materialet viderebringes fra aflæsningsområdet. Indkommende og udgående leverancer skal, så vidt muligt, adskilles fysisk. 9.2 Beskyttelse af udstyr Adgang til bærbare computere Adgang til data på bærbare computere beskyttes med kodeord. Der må ikke opbevares personhenføre data på bærbare computere, medmindre der sker kryptering af dataene Placering af udstyr Placering af udstyr Udstyr skal placeres eller beskyttes så risikoen for skader og uautoriseret adgang minimeres. Udstyr, der benyttes til at behandle kritiske/følsomme informationer, skal placeres så informationerne ikke kan ses af uvedkommende. Køling Serverrummene i Norddjurs Kommune skal sikres med veldimensionerede køleanlæg. Side 20 af 47

25 Miljømæssig sikring af serverrum Serverrummene i Norddjurs Kommune, krydsfelter og tilsvarende områder skal på forsvarlig vis sikres mod miljømæssige hændelser som brand, vand, eksplosion og tilsvarende påvirkninger Forsyningssikkerhed Nødstrømsanlæg Alle forretningskritiske systemer skal beskyttes med nødstrømsanlæg med kapacitet til mindst 15 minutters uafbrudt drift Sikring af kabler Sikring af kabler Kabler til datakommunikation skal beskyttes mod uautoriserede indgreb og skader Udstyrs og anlægs vedligeholdelse Vedligeholdelse af udstyr og anlæg Programejerne skal vedligeholde udstyret efter leverandørens anvisninger. Reparationer og vedligeholdelse på IT-udstyr må kun udføres af godkendte personer. Norddjurs Kommune skal overholde fornødne sikkerhedskrav hvis udstyr repareres eller vedligeholdes uden for Norddjurs Kommune. Kritiske/følsomme informationer skal slettes fra udstyr der repareres eller vedligeholdes uden for Norddjurs Kommune Sikring af udstyr uden for Norddjurs Kommunes overvågning Opsyn med mobile enheder Mobile enheder må ikke efterlades uden opsyn i uaflåste rum. Adgang til data på mobile enheder skal beskyttes med en adgangskode. Udstyr med klassificerede informationer skal anvende harddisk kryptering Sikker bortskaffelse eller genbrug af udstyr Bortskaffelse eller genbrug af udstyr Når informationsudstyr bortskaffes eller genbruges, skal kritiske/følsomme informationer og licensbelagte systemer fjernes eller overskrives. Overskrivning foregår i henhold til datatilsynets regler Fjernelse af virksomhedens informationsaktiver Fjernelse af udstyr fra Norddjurs Kommune Udstyr må kun fjernes fra arbejdspladsen, hvis der foreligger en aftale herom. Udstyr, der indeholder fortrolige data, må kun fjernes efter behørig godkendelse fra pågældende dataejer. Udlån af udstyr skal være tidsbegrænset. Side 21 af 47

26 10 Styring af netværk og drift Vedligeholdelse og opdatering af it-systemer er nødvendigt for at opretholde et passende sikkerhedsniveau for Norddjurs Kommune. Drift af IT-systemer inkluderer elementer af overvågning af systemernes helbredstilstand, opdatering og sikkerhedskopiering af data. De fleste IT-systemer i dag er afhængige af netværk, og derfor er administration, opbygning, sikring og vedligeholdelse af netværk vitalt for Norddjurs Kommune. Den trussel, som uautoriseret adgang indebærer, gør det nødvendigt med klare regler for brugen af Norddjurs Kommunes netværk samt overvågning af infrastrukturen Operationelle procedurer og ansvarsområder Driftsafviklingsprocedurer Driftsafviklingsprocedurer Driftsafviklingsprocedurer for forretningskritiske systemer skal være dokumenterede, ajourførte og tilgængelige for driftsafviklingspersonalet og andre med et arbejdsbetinget behov. Driftsansvar IT-afdelingen er ansvarlig for drift og administration af fælles IT-systemer samt disses sikkerhed. Dette inkluderer efterlevelse af sikkerhedspolitikker, regler og procedurer. Dokumentation IT-afdelingen skal løbende vurdere dokumentationsbehov for alle væsentlige systemer og it-relaterede forretningsgange. Deaktivering af beskyttelsesmekanismer Det er under ingen omstændigheder tilladt at deaktivere eller omgå Norddjurs Kommunes beskyttelsesmekanismer, herunder antivirus produkter Ændringsstyring Side 22 af 47

27 Ændringsstyring Ved ændringer skal der foregå en gennemgang af sikringsforanstaltninger og integritetskontroller for at sikre, at disse ikke forringes ved implementeringen. Autoriserede medarbejdere skal acceptere ændringer før de implementeres. Systemdokumentation skal opdateres ved hver ændring. Forældet systemdokumentation skal arkiveres eller destrueres. Der skal vedligeholdes en versionsstyring for alle systemændringer. Der skal vedligeholdes et kontrolspor for alle ændringer. Driftsdokumentation og forretningsgange for brugerne skal holdes opdateret, således at de stadig er gældende efter ændringen. Implementeringen af ændringen skal foretages på et aftalt tidspunkt, så det forstyrrer de involverede forretningsydelser mindst muligt. Der skal foretages test af driftsfunktionaliteten før ændringer gennemføres. Planlægning, test og godkendelse af ændringer Ændringer skal planlægges og afprøves inden de sættes i drift. Ændringernes konsekvenser skal vurderes inden drift. Ændringer skal igennem en formaliseret godkendelsesprocedure inden drift. Retningslinier for ændringer Ændringer skal kun gennemføres, når de er forretningsmæssigt velbegrundede. IT-afdelingen har ansvaret for, at der foregår en entydig identifikation og registrering af væsentlige ændringer. Information omkring udførte ændringer skal formidles til interessenter. IT-afdelingen har ansvaret for, at der findes en nødprocedure til at mindske effekten af fejlslagne ændringer. Sikring af arbejdsstationer inden ibrugtagning Alle Norddjurs Kommunes arbejdsstationer skal sikres inden brug. Minimum sikring inkluderer installation af seneste sikkerhedsrettelser for operativsystemet og antivirus program Funktionsadskillelse Sikring af alle systemer Alle systemer skal sikres gennem etableringen af brugerprofiler, for at hindre misbrug af disse Adskillelse mellem udvikling, test og drift Adskillelse af udvikling, test og drift Udviklings- og testmiljøer skal være systemteknisk eller fysisk adskilt fra driftsmiljøet. Adgang til produktionsdata Systemadministratorers adgang til personhenførbare oplysninger skal begrænses og registreres. Side 23 af 47

28 10.2 Ekstern serviceleverandør Serviceleverancen Information til eksterne partnere Relevante interessenter skal informeres om krav til efterlevelse af informationssikkerhedspolitikkerne i Norddjurs kommune Overvågning og revision af serviceleverandøren Overvågning af serviceleverandøren Programejerne/IT-afdelingen overvåger regelmæssigt serviceleverandørerne for at sikre, at aftalen overholdes, og at sikkerhedshændelser og -problemer håndteres betryggende Styring af driftsmiljøet Kapacitetsstyring Kapacitetsovervågning Alle serversystemer overvåges i almindelig arbejdstid for tilstrækkelig kapacitet til at sikre pålidelig drift og tilgængelighed. Større afvigelser fra normal kapacitet skal registreres og håndteres som en hændelse. Kapacitetsplanlægning IT-systemernes dimensionering skal afpasses efter kapacitetskrav. Belastning skal overvåges således, at opgradering og tilpasning kan finde sted løbende. Dette gælder især for forretningskritiske systemer Godkendelse af nye eller ændrede systemer Godkendelse af nye eller ændrede systemer IT-afdelingen skal etablere en godkendelsesprocedure for nye systemer, for nye versioner og for opdateringer af eksisterende systemer samt de afprøvninger, der skal foretages, inden de kan godkendes og sættes i drift. Sikring af serversystemer Servere skal sikres og testes inden implementering i produktionsmiljøet Skadevoldende programmer og mobil kode Beskyttelse mod skadevoldende programmer Automatisk indholdsfiltrering Systemerne skal jævnligt scannes for spam- og phishing-mails. Disse mails mv. skal sættes i karantæne automatisk. Adware Adware-beskyttelse baseres på medarbejderradfærd, sikkerhedsindstillinger i internetbrowser samt begrænsninger i medarbejderens muligheder for softwareinstallation. Spyware Installation af spyware søges undgået gennem begrænsningerne i muligheder for softwareinstallation samt gennem patch-management processer. Side 24 af 47

29 Spam-mail beskyttelse Norddjurs Kommune bortfiltrerer der opfylder Norddjurs Kommunes kriterier for spam-mails. Alle relevante metodikker skal sættes i anvendelse for at hindre modtagelse og distribuering af spam og andet uønsket indhold på Norddjurs Kommunes netværk. Medarbejderne skal udvise forsigtighed med deres brugeridentitet i forbindelse med videregivelse af eksempelvis mailadresser, samt i forbindelse med modtagelse af uønskede mails. Antivirus-produkter på servere Der skal være installeret antivirus-beskyttelse på alle serversystemer, hvor dette er muligt. Kontrol af antivirus på arbejdsstationer Medarbejderne skal løbende kontrollere, at antivirus programmet er aktivt på deres computere. Styring af anti-virus IT-afdelingen skal kunne styre anti-virus på alle systemer fra én central lokation. Med styring menes tvungen opdatering, scanning og oprydning Beskyttelse mod mobil kode Antivirus-produkter på arbejdsstationer IT-afdelingen skal sikre, at der er installeret aktive antivirus-produkter på samtlige computere i Norddjurs Kommune, og at disse opdateres højst et døgn efter leverandørens opdateringer. Der skal etableres foranstaltninger til at sikre mod vira, orme, trojanske heste mv Sikkerhedskopiering Sikkerhedskopiering Sikkerhedskopiering af data på serversystemer IT-afdelingen er ansvarlig for sikker lagring og backup af data på det centrale system. Opbevaring af sikkerhedskopier på ekstern lokation Datamedier til retablering af forretningskritiske systemer skal opbevares på et, for Norddjurs Kommune, eksternt opbevaringssted. Reserveanlæg og -udstyr samt datamedier med sikkerhedskopier skal opbevares i sikker afstand for at undgå skadevirkninger fra et uheld på det primære anlæg. Sikkerhedskopiering af data på andre systemer Såfremt forretningskritiske data ikke opbevares på serversystemer, er det dataejerens ansvar at sikkerhedskopiering finder sted i nødvendigt omfang Netværkssikkerhed Side 25 af 47

30 Netværket Sikring af netværk IT-afdelingen har det overordnede ansvar for at beskytte Norddjurs Kommunes netværk. Adgang til trådløse netværk Medarbejderne skal autentificeres før der gives adgang til Norddjurs Kommunes trådløse netværk. Adgang til trådløse netværk for gæster Gæster, hvis identitet er kendt, må tilslutte eget udstyr til gæstenettet. Gæster tildeles en éngangslogonkode. IT-afdelingen skal skifte gæstenettets kodeord én gang månedligt. Indkommende netværksforbindelser IT-afdelingen skal godkende enhver form for indkommende netværksforbindelse fra internet til interne netværk. Tilslutning af udstyr til netværk Det er tilladt for godkendte eksterne konsulenter at forbinde udstyr til det interne netværk. Placering af trådløse netværk Der er ingen restriktioner på placering af trådløst netværksudstyr Adgang til aktive netværksstik Adgang til aktive netværksstik styres af IT-afdelingen. IT-afdelingen skal sikre, at der ikke er ubenyttede aktive netværksstik i offentligt tilgængelige rum som reception, kantine og lignende. Ved tilslutning af udstyr til netværksstik i offentligt tilgængelige områder, må der ikke tildeles ip-adresser ved hjælp af DHCP. Udgående netværksforbindelser Der er ingen restriktioner på forbindelser der etableres fra det interne netværk til internet eller andre netværk. Ansvar for internetforbindelser Det overordnede ansvar for internetforbindelserne ligger hos ITafdelingen. Personlige firewalls Alle arbejdsstationer benytter Windows firewall Netværkstjenester Netværksleverandøren skal kunne levere: De nødvendige teknologiske muligheder for autentifikation, kryptering og overvågning. De nødvendige tekniske opsætninger til at sikre opkoblinger i overensstemmelse med samarbejdsaftalen. Adgangskontrol, der sikrer mod uvedkommendes adgang. Side 26 af 47

31 10.7 Databærende medier Bærbare datamedier Brug af datamedier Benyttelse af bærbare datamedier skal være forretningsmæssigt begrundet. Opbevaring og registrering af datamedier Programejerne skal sikre, at medierne eller informationerne på mediet klassificeres, og at medarbejderne er instrueret i at opbevare mediet i henhold til regler for klassifikationen Destruktion af datamedier Bortskaffelse eller genbrug af udstyr Når informationsudstyr bortskaffes eller genbruges, skal kritiske/følsomme informationer og licensbelagte systemer fjernes eller overskrives. Overskrivning foregår i henhold til datatilsynets regler. Bortskaffelse og genbrug af medier Alle datamedier, (f.eks. harddiske, disketter, cd'er, dvd'er, bånd og hukommelsesenheder) skal sikkerhedsslettes eller destrueres inden bortskaffelse. Sletning skal foregå i overensstemmelse med proceduren for sikkerhedssletning. Papirmateriale der indeholder fortrolige oplysninger eller som er til intern brug skal makuleres eller brændes, når det ikke længere skal benyttes Beskyttelse af datamediers indhold Udskrivning Printere, som benyttes til udskrivning af fortrolige eller personhenførbare informationer skal placeres i lokaler, der ikke er offentligt tilgængelige, eller printeren skal have en adgangskodefunktion der sikrer, at kun de rette medarbejdere får adgang til udskrifterne Beskyttelse af systemdokumentation Beskyttelse af systemdokumentation IT-afdelingen skal opbevare systemdokumentation på en passende sikker måde. Adgangsrettigheder til systemdokumentation skal holdes på et minimum og godkendes af systemejer. Lagring og adgangsrettigheder til systemdokumentation Systemdokumentation opbevares i mindst 3 år. Side 27 af 47

32 10.8 Informationsudveksling Informationsudvekslingsretningslinjer og -procedurer Kryptering af administrative netværksforbindelser Forbindelser, der benyttes til IT-administration, skal krypteres, hvis de benytter offentlige eller usikre netværk, f.eks. Internettet. Brug af kryptering i forbindelse med dataudveksling Alle adgangskoder der sendes til eksterne adresser (adressen ender IKKE skal sendes via sikker mail. Det er et krav, at s og data, der indeholder fortrolige informationer, altid skal sendes sikkert. Udlevering af fortrolige informationer og oplysninger Fortrolig information må ikke videregives til tredjepart i nogen form, uden godkendelse af dette fra informationsejeren. Dette gælder især for følsom information, samt personhenførbare oplysninger givet til organisationen Fysiske datamediers sikkerhed under transport Brug af bærbare medier til fortrolige data Fortrolige informationer skal krypteres når de opbevares eller transporteres på bærbare medier, f.eks. USB-hukommelse, PDA'er, cd'er, dvd'er eller disketter Elektronisk post og dokumentudveksling Elektronisk udveksling af post og dokumenter Hvis bruges til bindende aftaler, skal de underskrives med en digital signatur. Automatisk indholdsfiltrering Systemerne skal jævnligt scannes for spam- og phishing-mails. Disse mails mv. skal sættes i karantæne automatisk. Spam-mail beskyttelse Norddjurs Kommune bortfiltrerer der opfylder Norddjurs Kommunes kriterier for spam-mails. Alle relevante metodikker skal sættes i anvendelse for at hindre modtagelse og distribuering af spam og andet uønsket indhold på Norddjurs Kommunes netværk. Medarbejderne skal udvise forsigtighed med deres brugeridentitet i forbindelse med videregivelse af eksempelvis mailadresser, samt i forbindelse med modtagelse af uønskede mails. Afsendere og modtagere Messenger-kommunikation må anvendes både imellem medarbejdere i Norddjurs Kommune og eksterne personer, f.eks. kunder og samarbejdspartnere Virksomhedens informationssystemer Integration af informationssystemer Hvis integration mellem informationssystemer resulterer i en forøget risiko, skal denne vurderes og godkendes af IT-sikkerhedsgruppen. Side 28 af 47

33 10.9 Elektroniske forretningsydelser Offentligt tilgængelige informationer Offentlig tilgængelig information Det er driftsleverandørens ansvar, at offentlig tilgængelig information, f.eks. på Norddjurs Kommunes web-server(e), er passende beskyttet mod uautoriserede ændringer Logning og overvågning Opfølgningslogning Opbevaring af opfølgningslog IT-afdelingen skal opbevare log for sikkerhedshændelser på ethvert system i mindst 6 måneder. IT-afdelingen skal opbevare logregistreringer i mindst et år. Opfølgningsloggen skal indeholde: Brugeridentifikation. Dato og klokkeslæt for væsentlige aktiviteter. Identificering af arbejdsstation eller netværksenhed. Registrering af systemadgange og forsøg herpå. Hændelsestype. Angivelse af om hændelsen lykkedes eller fejlede. Opfølgningslogning IT-afdelingen skal logge sikkerhedshændelser på Norddjurs Kommunes systemer. IT-afdelingen skal logge brugeraktiviteter på Norddjurs Kommunes systemer. Hændelseslogning Alle produktionssystemer skal logge information om adgang og forsøg på adgang, for at kunne spore uautoriseret aktivitet. Alle sikkerhedshændelser skal logges og opbevares i en fastlagt periode af hensyn til opfølgning på adgangskontroller og eventuel efterforskning af fejl og misbrug. Overvågning af internet-brug Der er mulighed for at logge den enkelte medarbejders anvendelse af internettet. Norddjurs Kommune har mulighed for at filtrere og begrænse internetadgang Overvågning af systemanvendelse Overvågning af netværk IT-afdelingen skal have den nødvendige viden og redskaber til overvågning af Norddjurs Kommunes netværk, for eksempel til fejlretning. Side 29 af 47

34 Overvågning af internetforbindelser IT-afdelingen skal løbende overvåge internetforbindelser med henblik på at detektere elektroniske angreb Beskyttelse af log-oplysninger Beskyttelse af log-oplysninger Log-faciliteter og log-oplysninger skal beskyttes mod manipulation og tekniske fejl. Kun personer, hvis arbejde kræver dette, må tillades adgang til logs Administrator- og operatørlog Administratorlog Aktiviteter udført af systemadministratorer og -operatører samt andre med særlige rettigheder skal logges Fejllog Fejllog Fejl skal logges og analyseres, og nødvendige udbedringer og modforholdsregler skal gennemføres Tidssynkronisering Tidssynkronisering IT-afdelingen skal sikre, at systemernes ure jævnligt synkroniseres til korrekt tid. 11 Adgangsstyring Adgangen til at udføre handlinger på Norddjurs Kommunes IT-systemer beskyttes af autorisationssystemer. Systemerne har til formål at sikre mod uautoriserede ændringer, ordrer, fejl og svindel. Norddjurs Kommunes medarbejdere er medvirkende til beskyttelse af informationsaktiverne gennem korrekt brug af autorisationssystemerne De forretningsmæssige krav til adgangsstyring Retningslinjer for adgangsstyring Retningslinjer for adgangsstyring IT-afdelingen har det overordnede ansvar for at etablere og vedligeholde procedurer for adgangsstyring. Identifikation af brugerprofiler for eksterne brugere Eksterne brugerprofiler skal være tydeligt adskilt fra Norddjurs Kommunes fastansatte medarbejderes brugerprofiler. Administration af arbejdsstationer Medarbejderne har lokal administratorrettigheder på de bærbare arbejdsstationer, de benytter. På øvrige PC'ere har medarbejderne ikke lokal administratorrettigheder - evt. dispensation til disse kan alene gives af IT-afdelingen. Side 30 af 47

35 Adgangsbegrænsning til informationer Programmerne i Norddjurs Kommune bør have implementeret adgangskontrol for at hindre uautoriseret adgang til data og funktionalitet. Administratorbeskyttelse Der skal benyttes systemadministrator adgangskode på alle platforme. Fratrædelse Når en medarbejder fratræder og/eller midlertidige kontrakter ophæves, skal alle tilknyttede rettigheder trækkes tilbage. Brugerprofiler for konsulenter og deltidsansatte Personer, som er ansat eller har konsulentaftale, må oprettes som brugere i Norddjurs Kommune. Vikarer og timelønnede må oprettes som brugere i Norddjurs Kommune. Ophører ansættelses- eller vikaraftalen, skal brugerprofilen øjeblikkeligt nedlægges. Midlertidigt personale tildeles ikke normalt adgang til it-systemerne. Begrænset adgang kan tildeles efter godkendelse fra den øverste sikkerhedsansvarlige 11.2 Administration af brugeradgang Registrering af brugere Registrering af brugere Alle brugere skal have et unikt brugernavn og bruger-id. Autorisationsansvarlige skal autorisere brugeradgang. Adgangsrettigheder skal afstemmes med det arbejdsrelaterede behov. Norddjurs Kommune skal vedligeholde fortegnelser over, hvordan brugere eller brugeres rettigheder fjernes eller ændres ved ophør eller ændring af brugeres jobfunktion. Serviceleverandørerer skal anvende tilsvarende eller samme autorisationsprocedure som Norddjurs Kommune. IT-afdelingen skal vedligeholde fortegnelser over, hvordan bruger-id eller rettigheder fjernes eller ændres ved ophør eller ændring af brugeres jobfunktion. Programejerne skal vedligeholde brugerlister for systemet. Autorisationsansvarlige skal kontrollere og godkende udvidelser og andre ændring i brugerrettigheder samt sletning af bruger-id. Programejerne skal godkende brugere og systemadministratorers adgangsrettigheder. Procedurer for autorisation af brugeradgang skal omfatte en formel autorisationsformular i hvilken de nødvendige privilegier specificeres. Skift af administratoradgangskode ved fratrædelse Hvis en person med kendskab til administrative adgangskoder fratræder, skal disse adgangskoder ændres med det samme. Medarbejderes omplacering Ved omplacering af medarbejdere skal alle rettigheder for pågældende bruger revurderes. Side 31 af 47

36 Udvidede adgangsrettigheder Udvidede adgangsrettigheder De enkelte brugerprogrammer skal, så vidt muligt tilrettelægges, så de begrænser behovet for indgreb med udvidede rettigheder. Ændring af administrative adgangskoder Administrative kodeord skal ændres hvis andre får kendskab til disse, herunder administratorer der forlader kommunen. Administrative adgangskoder skal følge samme minimumsregler som øvrige adgangskoder. Administratorbeskyttelse Der skal benyttes systemadministrator adgangskode på alle platforme Adgangskoder Retningslinjer for adgangskoder Ved brugeroprettelse eller nulstilling af adgangskode skal brugere tildeles en sikker, midlertidig adgangskode, som skal ændres umiddelbart efter første anvendelse. Oplysning af kodeord Kodeord må sendes internt på ukrypterede forbindelser, for eksempel e- mail. Kodeord kan oplyses verbalt til interne medarbejdere, også for eksempel over telefonen. Adgangskoder er strengt personlige Adgangskoder er strengt personlige og må ikke deles med andre. Autentificering ved adgang til netværket Adgangen til det interne netværk fra andre lokationer end Norddjurs Kommunes skal beskyttes med adgangskode og hardware token eller SMS-Passcode Periodisk gennemgang af brugernes adgangsrettigheder Gennemgang af brugerprofiler Alle medarbejderes adgangsrettigheder og privilegier skal gennemgås og opdateres med 90 dages mellemrum. Inaktive brugerprofiler skal slettes Brugerens ansvar Brug af adgangskoder Brug af autologin funktioner På eksterne websites må brugerne anvende browserens indbyggede funktion. Automatiseret log-in til systemer og applikationer må anvendes. Genbrug af adgangskode Det er ikke tilladt at genbruge den samme adgangskode på interne og eksterne systemer. Krav til længde af adgangskode Adgangskoder skal indeholde mindst 8 tegn. Side 32 af 47

37 Krav til indhold af adgangskode Adgangskoder skal indeholde en kombination af tal og bogstaver. Adgangskoder skal indeholde kombinationer fra mindst tre af følgende kategorier: store bogstaver, små bogstaver, tal og specialtegn. Der må ikke benyttes brugernavn, navn eller datoer som en del af adgangskoden. Krav til skift af adgangskode Adgangskoder skal skiftes efter højst 90 dage. Ændring af administrative adgangskoder Administrative kodeord skal ændres hvis andre får kendskab til disse, herunder administratorer der forlader kommunen. Administrative adgangskoder skal følge samme minimumsregler som øvrige adgangskoder. Valg af sikre adgangskoder Medarbejderne må ikke kunne vælge en adgangskode, der er identisk med en af de tyve senest benyttede adgangskoder Uovervåget udstyr Brug af adgangskodebeskyttet pauseskærm Medarbejderne skal aktivere adgangskodebeskyttet skærmlås, når arbejdsstationen forlades. Adgangskodebeskyttet skærmlås aktiveres automatisk på pcarbejdspladser efter 20 minutters inaktivitet Beskyttelse af datamedier på den personlige arbejdsplads Udskrivning Printere, som benyttes til udskrivning af fortrolige eller personhenførbare informationer skal placeres i lokaler, der ikke er offentligt tilgængelige, eller printeren skal have en adgangskodefunktion der sikrer, at kun de rette medarbejdere får adgang til udskrifterne. Opbevaring af fysiske dokumenter Dokumenter med personhenførbare oplysninger og fortrolige dokumenter skal som hovedregel opbevares elektronisk. Hvis det vurderes nødvendigt at udskrive sådanne dokumenter skal disse opbevares i aflåst skab eller skuffe efter arbejdstid. Skrivebordene skal ryddes for fortrolige dokumenter senest ved arbejdsdagens afslutning. Opbevaring af kodeord til administrativ adgang Medarbejderne må ikke nedskrive sine adgangskoder til administrativ adgang til kommunens systemer Styring af netværksadgang Side 33 af 47

38 Retningslinjer for brug af netværkstjenester Installation af netværksudstyr Det er ikke tilladt at installere netværksudstyr uden forudgående sikkerhedsgodkendelse. Dog er det tilladt, midlertidigt, at tilslutte hub/switch til deling af et netværksstik i forbindelse med demonstrationer, møder eller lignende Autentifikation af brugere med ekstern netværksforbindelse Indkommende netværksforbindelser IT-afdelingen skal godkende enhver form for indkommende netværksforbindelse fra internet til interne netværk Beskyttelse af diagnose- og konfigurationsporte Beskyttelse af diagnose- og konfigurationsporte Fysisk og logisk adgang til diagnose- og konfigurationsporte skal kontrolleres Opdeling af netværk Opdeling af netværk IT-afdelingen skal segmentere netværk for at etablere en passende adskillelse imellem forskellige tjenester, brugergrupper eller systemer. Mindstekrav til netværkssegmentering er, at IT-afdelingen etablerer en "demilitariseret zone" (DMZ), hvor offentligt tilgængelige servere placeres adskilt fra internt tilgængelige servere Styring af netværksadgang Styring af netværksadgang IT-afdelingen skal ved styring af brugernes netværksadgang sikre imod uautoriseret anvendelse af fælles netværk og hertil knyttede tjenester Styring af systemadgang Sikker log-on Sikker log-on Systemadgang skal beskyttes af en sikker log-on-procedure Styring af adgangskoder Systemer til styring af adgangskoder Der skal så vidt muligt benyttes IT-systemer, der automatisk kan styre de krav, der findes til adgangskoder. Side 34 af 47

39 Brug af systemværktøjer Brug af systemværktøjer IT-afdelingen skal begrænse og styre adgangen til systemværktøjer, f.eks. værktøjer der kan påvirke eller omgå systemers eller enheders sikkerhed. IT-afdelingen skal sikre, at unødige systemværktøjer ikke er installeret eller tilgængelige på brugeres pc'er. IT-afdelingen skal sikre, at brugen af systemværktøjer begrænses til et minimum af betroede og autoriserede brugere Styring af adgang til brugersystemer og informationer Begrænset adgang til informationer Begrænset adgang til informationer Brugere og medarbejdere med supportfunktioner må kun få adgang til systemfunktioner og informationer, hvis dette er begrundet i arbejdsrelateret henseende Mobilt udstyr og fjernarbejdspladser Mobilt udstyr og datakommunikation Fortrolige data på mobile enheder Der må ikke opbevares fortrolige data på mobile enheder, medmindre disse er beskyttet med godkendt krypteringsværktøj. Virusscanning af mobile datamedier Norddjurs Kommunes antivirus løsning scanner automatisk ethvert nyt medie. Brugeren behøver ikke at foretage sig noget ved ibrugtagen af nyt medie, med mindre IT-systemet giver en specifik advarsel eller opfordring. Brug af kryptering i forbindelse med opbevaring af data Fortrolige informationer skal altid være krypteret, når de opbevares på transportabelt udstyr, f.eks. på bærbare computere, håndholdte computere m.m Fjernarbejdspladser Adgang fra distancearbejdspladser Adgang gives kun for medarbejdere, der er autentificerede med brugernavn og kodeord samt enten en personlig digital nøgle, en fysisk Token eller via SMS Passcode. Indkommende netværksforbindelser IT-afdelingen skal godkende enhver form for indkommende netværksforbindelse fra internet til interne netværk. Fjernstyring og administration Det er tilladt at benytte værktøjer til fjernadministration, hvis der foreligger sikkerhedsgodkendelse af produktet. Hjemmearbejdspladser Tillades når informationssikkerhedspolitikken i øvrigt overholdes. Side 35 af 47

40 Adgang til netværket Adgangen til Norddjurs Kommunes netværk må kun ske gennem sikkerhedsgodkendte løsninger. Adgang til data på Norddjurs Kommunes netværk Ved fjernadgang til data på Norddjurs Kommunes netværk, må der ikke gemmes personhenførbare data på lokale harddiske eller andre eksterne medier. Opbevaring af fortrolige informationer på privat udstyr Personligt ejet it-udstyr som PC'er, PDA'er, bærbare harddiske, memorysticks, MP3-afspillere, minidisks, cd- eller dvd-brændere må ikke anvendes til kopiering eller opbevaring af personhenførbare og/eller forretningskritiske data. 12 Anskaffelse, udvikling og vedligeholdelse af informationsbehandlingsystemer Indkøb, udvikling og implementering af nye systemer i Norddjurs Kommune skal foregå kontrolleret for at undgå en unødvendig forøgelse af risiko for informationssikkerheden. Når løsninger implementeres, bør sikkerhedsovervejelser altid indgå som en integreret del af processen Sikkerhedskrav til informationsbehandlingssystemer Analyse og specifikation af krav til sikkerhed Sikkerhedskrav til informationsbehandlingssystemer Bestående og nye systemer i Norddjurs Kommune skal indeholde krav til sikkerheden med udgangspunkt i en risikovurdering. Sikkerhed i systemplanlægning IT-sikkerhedskrav skal tages i betragtning ved design, aftestning, implementering og opgradering af it-systemer samt ved systemændringer. Kravspecifikation skal omhandle følgende områder: Adgangskontrol Alle væsentlige hændelser logges og overvåges. Beskyttelse mod tavshedshedskrænkelser i det omfang systemet skal behandle fortrolige eller personhenførbare informationer. Overholdelse af relevante love eller kontrakter. Mulighed for backup af data og system. Mulighed for genetablering efter kritiske, uforudsete fejlsituationer Korrekt informationsbehandling Validering af inddata Validering af inddata Der skal genereres log over de aktiviteter, der sender data ind i systemet. Side 36 af 47

41 12.3 Kryptografi Retningslinjer for brugen af kryptografi Fortrolige data på mobile enheder Der må ikke opbevares fortrolige data på mobile enheder, medmindre disse er beskyttet med godkendt krypteringsværktøj. Godkendte krypteringsprodukter IT-afdelingen skal vedligeholde en liste over godkendte krypteringsløsninger. Godkendelse af krypteringsprodukter IT-afdelingen skal godkende alle produkter, der indeholder kryptografi, før disse må benyttes til fortrolige data. Kryptering af administrative netværksforbindelser Forbindelser, der benyttes til IT-administration, skal krypteres, hvis de benytter offentlige eller usikre netværk, f.eks. Internettet. Kryptering af harddiske Hvis harddisk kryptering benyttes, skal logisk adgang til data på harddisken håndteres uafhængigt af styresystemets indbyggede adgangskontrolsystem (lokale systemer og AD må ikke benyttes). Indholdet af harddiske på bærbare computere skal altid krypteres, hvis der opbevares personhenførbare data og/eller fortrolige data Styring af driftsmiljøet Sikkerhed ved systemtekniske filer Større operativsystemopdatinger f.eks. "service packs" Når større opdateringer f.eks. "service packs" er gjort tilgængelige fra leverandører, skal IT-afdelingen vurdere, om disse skal installeres. Større opdateringer skal testes grundigt for kompatibilitet med anvendte applikationer, inden opdateringerne installeres i produktionsmiljøet. Rettelser til applikations-programpakker IT-afdelingen skal mindst hver uge vurdere tilgængelige sikkerhedsrettelser, f.eks. patches eller hot-fixes til anvendte programpakker. Udrulning/installation på relevante systemer skal foretages senest en uge efter vurdering og positiv funktions- og kompatibilitetstest. Rettelser til operativsystemer IT-afdelingen skal vurdere tilgængelige sikkerhedsrettelser, for eksempel "patches" eller "hot-fixes", til anvendte operativsystemer. Udrulning/installation skal foretages efter behov. Softwareopdateringer generelt IT-afdelingen skal forestå installation af alle større programrettelser, når det vurderes, at disse har positiv indflydelse på den samlede sikkerhed. Systemejere og IT-afdelingen er ansvarlige for, at der løbende sker regelmæssig opdatering af anvendt software. Side 37 af 47

42 Ændringer i forretningskritiske systemer Alle ændringer i forretningskritiske systemer skal udføres efter godkendt procedure. Alle procedurer skal indeholde en alternativ plan til retablering af det forretningskritiske system. Vilkårene for aktivering af den alternative plan skal ligeledes fremgå af proceduren Sikring af testdata Sikring af testdata Data til test skal udvælges, kontrolleres og beskyttes omhyggeligt. Kopiering og brug af data fra driftsmiljøet til test skal logges for at sikre kontrolsporet Sikkerhed i udviklings- og hjælpeprocesser Ændringsstyring Ændringsstyring Ved ændringer skal der foregå en gennemgang af sikringsforanstaltninger og integritetskontroller for at sikre, at disse ikke forringes ved implementeringen. Autoriserede medarbejdere skal acceptere ændringer før de implementeres. Systemdokumentation skal opdateres ved hver ændring. Forældet systemdokumentation skal arkiveres eller destrueres. Der skal vedligeholdes en versionsstyring for alle systemændringer. Der skal vedligeholdes et kontrolspor for alle ændringer. Driftsdokumentation og forretningsgange for brugerne skal holdes opdateret, således at de stadig er gældende efter ændringen. Implementeringen af ændringen skal foretages på et aftalt tidspunkt, så det forstyrrer de involverede forretningsydelser mindst muligt. Der skal foretages test af driftsfunktionaliteten før ændringer gennemføres Teknisk gennemgang af forretningssystemer efter ændringer i styresystemerne Gennemgang af systemer efter ændringer Når driftsmiljøerne ændres, skal kritiske forretningssystemer gennemgås og testes for at sikre, at det ikke har utilsigtede afledte virkninger på Norddjurs Kommunes daglige drift. Ændringer i driftsmiljøerne skal annonceres i god tid således, at der er den fornødne tid til gennemgang og test inden implementeringen. IT beredskabsplanerne skal tilrettes i overensstemmelse med nye ændringer. Side 38 af 47

43 Begrænsninger i ændringer til standardsystemer Ændringer i standardsystemer Ændringer i eksternt leverede systemer skal begrænses til nødvendige ændringer, og sådanne ændringer skal styres omhyggeligt Lækage af informationer Opdeling af netværk IT-afdelingen skal segmentere netværk for at etablere en passende adskillelse imellem forskellige tjenester, brugergrupper eller systemer. Mindstekrav til netværkssegmentering er, at IT-afdelingen etablerer en "demilitariseret zone" (DMZ), hvor offentligt tilgængelige servere placeres adskilt fra internt tilgængelige servere. Sikring af netværk IT-afdelingen har det overordnede ansvar for at beskytte Norddjurs Kommunes netværk. Kapacitetsovervågning Alle serversystemer overvåges i almindelig arbejdstid for tilstrækkelig kapacitet til at sikre pålidelig drift og tilgængelighed. Større afvigelser fra normal kapacitet skal registreres og håndteres som en hændelse. Anskaffelser IT-afdelingen skal tilse, at kun kendt og sikkert udstyr eller software, med et defineret formål, anskaffes og sættes i drift. Udstyr og software må kun indkøbes fra leverandører som må forventes ikke at krænke tredje parts ophavsret. Overvågning af netværk IT-afdelingen skal have den nødvendige viden og redskaber til overvågning af Norddjurs Kommunes netværk, for eksempel til fejlretning Systemudvikling udført af en ekstern leverandør Systemudvikling udført af ekstern leverandør Norddjurs Kommune kræver afleveringstest. Norddjurs Kommune kræver dokumenteret løbende kvalitetssikring Sårbarhedsstyring Sårbarhedssikring Information om nye trusler, virus og sårbarheder Når nye sårbarheder annonceres, skal de vurderes for relevans og alvorlighed. Hvis nødvendigt skal passende reaktion, f.eks. installation af sikkerhedsrettelser, prioriteres for at mindske organisationens sårbarhed. IT-afdelingen skal informere relevante personer om nye trusler, som kan berøre de pågældende aftaleområder. Side 39 af 47

44 13 Styring af sikkerhedshændelser 13.1 Rapportering af sikkerhedshændelser og svagheder Rapportering af virusangreb Hvis der observeres virus eller mistanke om virus, skal det omgående rapporteres til Rapportering af sikkerhedshændelser Kapacitetsovervågning Alle serversystemer overvåges i almindelig arbejdstid for tilstrækkelig kapacitet til at sikre pålidelig drift og tilgængelighed. Større afvigelser fra normal kapacitet skal registreres og håndteres som en hændelse. Kontrol og opfølgning på sikkerhedsbrud Brud på sikkerheden, uautoriseret adgang og forsøg på uautoriseret adgang til systemer, informationer og data skal registreres. Rapportering af sikkerhedshændelser Rapportering om hændelser af betydning for sikkerheden skal fremsendes til Norddjurs Kommunes øverste sikkerhedsansvarlige. Denne afrapporterer mindst én gang om året til IT-sikkerhedsgruppen om antallet af sikkerhedshændelser, forsøg på sikkerhedsbrud m.v., samt reagerer på henvendelserne, når disse er af betydning for sikkerheden. Med dette menes, at tab af fortrolighed, dataintegritet og tilgængelighed af systemer skal rapporteres. Registrering af driftsstatus IT-afdelingen skal registrere væsentlige forstyrrelser og uregelmæssigheder i driften af systemerne samt årsager hertil. Rapportering af formodede sikkerhedshændelser Ved konstatering af brud eller formodede brud på informationssikkerhedspolitikken skal rapportering straks ske til Norddjurs Kommunes øverste sikkerhedsansvarlige. Dette kan ske via [email protected] Rapportering af svagheder Rapportering af programfejl Medarbejdere, der observerer programfejl, skal rapportere dette til ITafdelingen. Dette sker via [email protected] Rapportering af formodede sikkerhedshændelser Ved konstatering af brud eller formodede brud på informationssikkerhedspolitikken skal rapportering straks ske til Norddjurs Kommunes øverste sikkerhedsansvarlige. Dette kan ske via [email protected] Håndtering af sikkerhedsbrud og forbedringer Ansvar og forretningsgange Ansvar og forretningsgange for sikkerhedshændelser IT-afdelingen er ansvarlig for at fastlægge forretningsgange, der sikrer en hurtig, effektiv og metodisk håndtering af sikkerhedsbrud. Side 40 af 47

45 Proces for reaktion på hændelser Den øverste sikkerhedsansvarlige koordinerer en ledelsesproces, der sikrer en passende reaktion på sikkerhedshændelser. Tilgængelighedshændelser Hændelser, der har indflydelse på tilgængelighed, skal afklares i henhold til gældende driftsaftaler - Service Level Agreement - (SLA). Overvågning af tilgængelighed IT-afdelingen skal løbende overvåge alle forretningskritiske it-systemer og regelmæssigt dokumentere systemernes tilgængelighed. Information om sikkerhedshændelser Norddjurs Kommune skal informere berørte parter internt og eksternt om eventuelle væsentlige sikkerhedshændelser At lære af sikkerhedsbrud Vurdering af tidligere hændelser Mindst en gang om året skal IT-sikkerhedsgruppen gennemgå den forgangne periodes hændelser, og på baggurund heraf foretage en vurdering af hvorvidt informationssikkerhedspolitikken kan forbedres eller præciseres. At lære af sikkerhedsnedbrud IT-afdelingen skal etablere et system, der kan overvåge typer, omfang og omkostninger ved håndteringen af sikkerhedsbrud. Opfølgning på rapporterede sikkerhedshændelser IT-chefen er ansvarlig for at indsamle statistik for rapporterede sikkerhedshændelser Indsamling af beviser Indsamling af beviser Hvis et sikkerhedsbrud medfører et retsligt efterspil - uanset om sikkerhedsbruddet er foretaget af en person eller en virksomhed - skal der indsamles, opbevares og præsenteres et fyldestgørende bevismateriale. 14 Beredskabsstyring Risikostyring og katastrofeplanlægning har til formål at mindske risikoen for og effekten af uforudsete hændelser. Nødplaner skal være med til at opretholde driften, således at skaderne for Norddjurs Kommune minimeres Beredskabstyring og informationssikkerhed Informationssikkerhed i beredskabsstyringen Beredskabsstyringsproces Direktionen skal udarbejde og vedligeholde en beredskabsplan for Norddjurs Kommune, som bl.a. skal behandle de krav til informationssikkerhed, der er nødvendige for Norddjurs Kommunes fortsatte drift. Side 41 af 47

46 Forsikring mod hændelser It-sikkerhedsgruppen skal vurdere, om forsikring kan medvirke til at minimere konsekvensen af tab. Især på områder, hvor sikringsforanstaltninger er vurderet som uhensigtsmæssige eller utilstrækkelige, skal dette overvejes. Identifikation af kritiske processer Alle forretningskritiske funktioner og disses relaterede processer, systemer og ejere skal være identificerede og dokumenterede Beredskab og risikovurdering Konsekvensvurdering Konsekvenser af hændelser i forbindelse med it-systemerne skal løbende vurderes. Risikoanalyse Der skal være udført en overordnet risikoanalyse for Norddjurs Kommune. Der skal udarbejdes en detaljeret risikoanalyse for alle forretningskritiske systemer. Beredskabsplaner for forretningskritiske funktioner Programejerne er ansvarlige for at passende beredskabsplaner udarbejdes og vedligeholdes for de enkelte systemer med det formål at minimere nedbrud og udgifter som følge af sikkerhedshændelser Udarbejdelse og implementering af beredskabsplaner Uddannelse i beredskabsplaner Programejerne har ansvaret for, at der foregår tilstrækkelig uddannelse af medarbejdere i de aftalte beredskabsprocedurer, inklusive krisehåndtering. Aktivering af beredskabsplanen Det skal være klart defineret, hvem der har ansvaret for aktivering af IT beredskabsplanen. Medarbejdere, der udgør en del af IT beredskabsplanen, skal være informeret om dette ansvar. Alle medarbejdere skal være informeret om beredskabsplanernes eksistens. Nødprocedurer for kritiske processer Der skal, for alle forretningskritiske processer, eksistere en opdateret nødprocedure, der kan sættes i drift. Retablering af forretningskritiske systemer på ny lokation For alle forretningskritiske systemer skal der forefindes en plan for reetablering på ny lokation Rammerne for beredskabsplanlægningen Ramme for beredskabsplaner Direktionen skal fastlægge en ramme for Norddjurs Kommunes generelle beredskabsplaner for at sikre, at alle planerne er sammenhængende og tilgodeser alle sikkerhedskrav, samt at de fastlægger prioriteringen af afprøvning og vedligeholdelse. Side 42 af 47

47 Aktivering af beredskabsplanen Det skal være klart defineret, hvem der har ansvaret for aktivering af IT beredskabsplanen. Medarbejdere, der udgør en del af IT beredskabsplanen, skal være informeret om dette ansvar. Alle medarbejdere skal være informeret om beredskabsplanernes eksistens Afprøvning, vedligeholdelse og revurdering af beredskabsplaner Afprøvning af beredskabsplaner skal indeholde: En skrivebordstest af de forskellige scenarier. Simuleringer (med henblik på at træne deltagerne i håndtering af deres roller efter episoden). Afprøvning og vedligeholdelse af beredskabsplaner IT beredskabsplaner skal løbende afprøves og opdateres for at sikre, at de er tidssvarende og effektive. Opdatering af katastrofeplaner Katastrofeplanerne gennemgås efter behov med henblik på opdatering. 15 Overensstemmelse med lovbestemte og kontraktlige krav Mange aspekter af Norddjurs Kommunes virke kan være omfattet af lovgivning eller påvirket af kontrakter eller eksterne parters rettigheder Overensstemmelse med lovbestemte krav Identifikation af relevante eksterne krav Overholdelse af lovgivningen Alle informationssikkerhedssystemer skal overholde relevante lovmæssige krav. Identifikation af relevant lovgivning Lederne er ansvarlig for at identificere lovgivning, der er relevant for Norddjurs Kommunes drift. Lederne er ansvarlig for, at alle eksterne sikkerhedskrav samt Norddjurs Kommunes håndtering af disse klarlægges, dokumenteres og løbende vedligeholdes Ophavsrettigheder Side 43 af 47

48 Retningslinjer for ophavsrettigheder Lederne har det overordnede ansvar for, at Norddjurs Kommune fastholder en passende opmærksomhed på ikke at krænke tredjeparts ophavsrettigheder. IT-afdelingen skal vedligeholde dokumentation for ejendomsretten af licenser, originalmateriale og manualer. IT-afdelingen skal løbende kontrollere, at software-licensaftaler overholdes, f.eks. at eventuelle begrænsninger i antal brugere, servere eller kopier overholdes. IT-afdelingen skal løbende kontrollere, at der kun er installeret autoriserede systemer med autoriserede licenser i Norddjurs Kommune. Medarbejderne må ikke kopiere, konvertere eller udtrække information fra billed- og lydfiler eller tilsvarende ressourcer, medmindre dette specifikt tillades fra rettighedshaveren. Medarbejderne må ikke, helt eller delvist, kopiere bøger, artikler, rapporter eller andre dokumenter medmindre dette specifikt tillades fra rettighedshaveren. Administration af softwarelicenser Registrering af software licenser sker gennem IT-afdelingen. Alle indkøb af programmer/applikationer i Norddjurs Kommune skal ske gennem ITafdelingen. Alle licenspapirer skal opbevares i IT-afdelingen. Medarbejdere skal koordinere brug af software-licenser med ITafdelingen. Medarbejdere må ikke forpligte Norddjurs Kommune ved at acceptere licensvilkår i software, som ikke er accepteret af IT-afdelingen. Identifikation af relevante patenter Status på efterlevelsen af love og regler inden for informationssikkerheden revideres mindst én gang hvert år. Anskaffelser IT-afdelingen skal tilse, at kun kendt og sikkert udstyr eller software, med et defineret formål, anskaffes og sættes i drift. Udstyr og software må kun indkøbes fra leverandører som må forventes ikke at krænke tredje parts ophavsret. Tilladte programmer IT-afdelingen skal vedligeholde en liste over tilladte programmer Sikring af virksomhedens kritiske data Lovregulerede data Norddjurs Kommune skal beskytte lovbestemte data mod ændring, sletning, samt uautoriseret adgang. Sikring af Norddjurs Kommunes lovbestemte data Norddjurs Kommunes lovbestemte data skal opbevares og behandles således at datatab, uautoriseret modifikation og forfalskning undgås. Side 44 af 47

49 Beskyttelse af personoplysninger Sporbarhed Behandling af personrelaterede informationer skal logges automatisk, således at det er muligt for en revisor at kontrollere hvem, der har arbejdet med hvilke informationer på hvilke tidspunkter. Kontrol af overholdelse af persondatalovgivning Den øverste sikkerhedsansvarlige skal kontrollere overholdelse af persondatalovgivning. Opbevaring og sletning af der indeholder personhenførbare oplysninger, skal slettes efter 30 dage, og skal iøvrigt behandles i overensstemmelse med persondatalovens bestemmelser. Opbevaring og behandling af personoplysninger Der må ikke behandles personoplysninger af fortrolig karakter på privat pc. Der må ikke behandles personoplysninger af fortrolig karakter på mobilt udstyr, medmindre dataene er krypteret med godkendt krypteringsværktøj. Lov om behandling af personoplysninger gælder ved enhver opbevaring og behandling af persondata. Personoplysninger af fortrolig karakter må ikke opbevares eller behandles på bærbar pc, medmindre kryptering anvendes og bekendtgørelse nr. 528 om personoplysninger overholdes. Dansk bekendtgørelse 528 Vejledning til bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning gælder Beskyttelse mod misbrug af informationsbehandlingsfaciliteter Misbrugsbeskyttelse af it-udstyr Anvendelse af IT-udstyr til uautoriserede formål må ikke finde sted. Medarbejderne skal informeres om eventuelle overvågninger som Norddjurs Kommune tager i brug. Informationen skal gives via skiltning ved lokalerne der overvåges, samt til de medarbejdere der arbejder i lokalerne Lovgivning vedrørende kryptografi Regulering på kryptografiområdet Norddjurs Kommune skal efterleve de nationale regler for kryptografering. Dette gælder også for medarbejdere der besøger andre lande, medbringende bærbart og/eller mobilt udstyr. HR-afdelingen og/eller kommunens øverste sikkerhedsansvarlige skal informere medarbejdere om de regler og retningslinjer der er gældende. Side 45 af 47

50 15.2 Overensstemmelse med sikkerhedspolitik og -retningslinjer Dispensation for krav i informationssikkerhedspolitikken Dispensation for efterlevelsen af informationssikkerhedspolitikken kan kun ske hvis dette dokumenteres grundigt og er forsvarligt. Dispensationen kan gives af den øverste sikkerhedsansvarlige og skal efterfølgende tiltrædes af direktionen. Dispensationer skal revurderes mindst én gang årligt. Den enkelte programejer er personlig ansvarlig for enhver sikkerhedshændelse der sker som en direkte konsekvens af dispensationen Overensstemmelse med Norddjurs Kommunes sikkerhedsretningslinjer Opfølgning på implementering af informationssikkerhedspolitikken Alle ledere i Norddjurs Kommune skal løbende sikre at informationssikkerhedspolitikken bliver overholdt inden for eget ansvarsområde. Gennemgang af infomationssikkerhedspolitikken Den interne revision kontrollerer, at informationssikkerhedspolitikken er indarbejdet i organisationen og overholdes. Kontrollen skal foretages mindst én gang årligt Opfølgning på tekniske sikringsforanstaltninger Sikkerhedstest af eksterne IT-systemer Der skal udføres en sårbarhedsscanning mindst én gang årligt. Hvis sårbarhedsscanningen finder væsentlige sikkerrisice skal disse dokumenteres og udbedres. Sikkerhedstest af interne IT-systemer Mindst en gang om året skal der udføres sikkerhedstest af sikkerhedsniveauet i internt netværksudstyr og servere Beskyttelsesforanstaltninger ved revision af informationsbehandlingssystemer Sikkerhed i forbindelse med systemrevision Sikkerhed i forbindelse med revision Revisionskrav og revisionshandlinger i forbindelse med systemer i drift skal planlægges omhyggeligt og aftales med de involverede for at minimere risikoen for forstyrrelser af Norddjurs Kommunes forretningsaktiviteter. De planlagte revisionshandlinger må kun omfatte læseadgang til systemer og data. Al adgang i forbindelse med revision skal logges. De personer, der udfører revisionen, skal være uafhængige af det reviderede område. Side 46 af 47

51 Beskyttelse af revisionsværktøjer Beskyttelse af revisionsværktøjer Adgangen til revisionsværktøjer skal begrænses mest muligt, for at forhindre misbrug. Side 47 af 47