Frederikshavn Kommune. Informationssikkerhed Version 1.0 Regler

Transkript

1 Frederikshavn Kommune Informationssikkerhed Version 1.0 Regler

2 1 Risikovurdering og -håndtering Overordnet risikovurdering Der skal være udført en overordnet risikovurdering der indeholder konsekvensvurdering og sårbarhedsvurdering. Risikovurderingen skal opdateres mindst en gang om året. Risikovurderingen skal omfatte alle it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver. Risikoanalyse Der skal udføres detaljeret risikoanalyse for organisationen for de områder hvor den overordnede risikovurdering begrunder det. Side 2 af 48

3 2 Overordnede retningslinier. 2.1 Informationssikkerhedsstrategi Kommunens informationssikkerhedspolitik og tilhørende sikkerhedshandlingsplan udgør samlet set det overordnede styringsredskab i forhold til kommunens strategi for arbejde med informationssikkerhed. Strategien skal sikre, at overordnede informationssikkerhedstiltag gennemføres Formulering af informationssikkerhedspolitik Udarbejdelse af informationssikkerhedspolitik Offentliggørelse af informationssikkerhedspolitik Godkendelse af informationssikkerhedspolitik IT-forum har ansvaret for at udarbejde Frederikshavn Kommunes informationssikkerhedspolitik og den overordnede informationssikkerhedshandlingsplan. Informationssikkerhedspolitikken skal offentliggøres og kommunikeres til alle relevante interessenter, herunder alle medarbejdere i kommunen og eksterne samarbejdspartnere. Informationssikkerhedspolitikken skal godkendes af Byrådet Løbende vedligeholdelse Løbende vedligeholdelse af informationssikkerhedspolitik Revision af informationssikkerhedspolitik Vedligeholdelse af informationssikkerhedspolitik Informationssikkerhedspolitikken skal revideres mindst én gang årligt. Vedligeholdelse og revidering af informationssikkerhedspolitikken varetages af IT-forum. Eventuelle ændringer godkendes af Byrådet. Side 3 af 48

4 3 Organisering af informationssikkerhed Placering af ansvar er vitalt for at sikre opmærksomhed på kommunens informationsaktiver. Organisationsstrukturen i kommunen og samarbejde med eksterne samarbejdspartnere er yderst vigtigt for at opretholde et tidssvarende sikkerhedsniveau. Kontrakter og aftaler med eksterne samarbejdspartnere er ligeledes et væsentligt forhold i forbindelse med informationssikkerheden. 3.1 Interne organisatoriske forhold Ledelsens rolle Sikkerhedsorganisation Ledelsen skal støtte kommunens informationssikkerhed ved at udlægge klare retningslinier, udvise synligt engagement samt sikre en præcis placering af ansvar. IT-forum har ansvaret for at sikre at strategien for informationssikkerhed er synlig, koordineret og i overensstemmelse med kommunens mål. Direktøren for Centralforvaltningen er it-sikkerhedsansvarlig og varetager det daglige arbejde og ansvar i forbindelse med informationssikkerheden i kommunen. Den it-sikkerhedsansvarlige er formand for IT-forum. Koordinering af informationssikkerheden Forsikring mod hændelser Ansvaret for koordineringen af informationssikkerheden på tværs i organisationen varetages af kommunens IT-forum. Direktionen skal vurdere, om forsikring kan medvirke til minimering af risiko for tab. Især på områder, hvor sikringsforanstaltninger er vurderet som uhensigtsmæssige eller utilstrækkelige, skal dette overvejes. 3.2 Eksterne samarbejdspartnere Information til eksterne partnere Eksterne samarbejdspartnere skal informeres om krav til efterlevelse af kommunens informationssikkerhedspolitik og sikkerhedsretningslinjer. Det skal sikres, at eksterne samarbejdspartnere har adgang til informationssikkerhedspolitikken og de relevante sikkerhedsretningslinjer. Sikkerhedsvurdering af eksterne samarbejdspartnere Sikkerhed ved samarbejde med eksterne samarbejdpartnere Samarbejdsaftaler I forbindelse med indgåelse af aftaler med eksterne samarbejdspartnere, skal der foretages en vurdering samarbejdspartnerens sikkerhedsniveau. Ved integration af kommunens systemer og processer med tredjepart skal sikkerhedsrisici altid vurderes og dokumenteres. For at sikre, at kommunens sikkerhedsmålsætning ikke kompromitteres, skal ethvert formaliseret eksternt samarbejde være baseret på en samarbejdsaftale. Hvis en samarbejdspartner behandler personoplysninger, skal der foreligge en skriftlig samarbejdsaftale, af hvilken det fremgår, at samarbejdspartneren handler under instruks fra kommunen og er underlagt samme sikkerhedskrav som kommunen. Side 4 af 48

5 Aftaler om informationsudveksling Udveksling af information imellem Frederikshavn Kommune og eksterne samarbejdsparterne må kun ske på grundlag af formel aftale herom. Udveksling af information skal i denne sammenhæng forstås som udveksling af større mængder data og integration af it-systemer og ikke som rutinemæssig korrespondance i forbindelse med eksempelvis almindelig sagsbehandling. Hvis der sker udveksling af personoplysninger med eksterne parter, skal der rettes opmærksomhed på regler på persondatalovens område. Det gælder særlig persondatalovens 5 om god databehandlingsskik, lovens 41, stk. 3 om fortrolighed m.v., sikkerhedsbekendtgørelsens 11 om autorisation, adgangskontrol og adgangsbegrænsning, samt 14 om eksterne kommunikationsforbindelser. Sikkerhed i forhold til kunder Hvis borgere og virksomheder skal have adgang til kommunens informationsbehandlingssystemer, skal alle sikkerhedsforhold være afklaret, inden der gives adgang. Det er systemejernes ansvar at afklare sikkerhedsforhold i forbindelse med til etablering af adgang for borgere og virksomheder til kommunens informationsbehandlingssystemer. Outsourcing Outsourcing Ved outsourcing af it-systemer skal kommunens it-sikkerhedsansvarlige indhente information om sikkerhedsniveau fra outsourcingpartner inden indgåelse af kontrakt. Det påhviler kommunens it-sikkerhedsansvarlige at sikre, at kommunens informationssikkerhed samlet set ikke forringes af outsourcing. I forbindelse med behandling af personoplysninger hos en outsourcingpartner, skal det fremgå af en aftale, at sikkerhedsbekendtgørelsens regler også gælder for outsourcingpartneren. Ekstern revision af outsourcingpartnere Outsourcing-partnere skal sørge for ekstern revision mindst en gang om året. Kommunen skal have adgang til at gennemgå rapporter vedrørende gennemførte revisioner hos outsourcing-partnere. Side 5 af 48

6 4 Styring af informationsrelaterede aktiver Informationsrelaterede aktiver skal beskyttes, uanset om det er fysiske aktiver som dokumenter, der er udskrevet, produktionsudstyr eller it-systemer. Det er derfor nødvendigt at identificere, klassificere og placere ejerskab for alle væsentlige informationsrelaterede aktiver. 4.1 Identifikation af og ansvar for informationsrelaterede aktiver Fortegnelse over informationsrelaterede aktiver Kommunen fører fortegnelse over følgende typer informationsrelaterede aktiver: Informationsaktiver (databaser, filer, systemdokumentation, bredskabsplaner, kontrakter, mv.). Systemaktiver (brugersystemer, styresystemer, udviklings- og hjælpeværktøjer, mv.). Fysiske aktiver (it-udstyr, lagringsmedier, mv,). Registrering af aktiver Alle væsentlige informationsrelaterede aktiver skal registreres med relevante oplysninger i en fortegnelse. IT-afdelingen har ansvaret for, at fysiske aktiver og systemaktiver er registreret Kommunens øverste it-sikkerhedsansvarlige har ansvaret for, at informationsaktiver er registret Ejere af systemer og data Ejerskab Der skal udpeges ansvarlige ejere for samtlige registrerede informationsrelaterede aktiver. Ejerskabet registreres i fortegnelsen over aktiver. Ejerskab og ansvar for informationsaktiver påhviler system- og dataejerene. Ejerskab og ansvar for systemaktiver påhviler systemejerne. Ejerskab og ansvar for fysiske aktiver påhviler it-chefen. Ansvar for sikkerheden på it-platforme Ejere af data på mobile enheder IT-afdelingen er ansvarlig for sikkerheden på de anvendte platforme. Kontroller skal implementeres og defineres i samråd med systemejerne. Brugere af kommunens bærbare pc'er og andre mobile dataenheder er ansvarlige for at beskytte de data der behandles på disse, samt enhederne selv Adfærdsregler Formålet med retningslinier i dette afsnit er at beskytte kommunens aktiver, borgernes ret til privatlivets fred og ikke mindst kommunens medarbejdere mod at handle i strid med regler, Side 6 af 48

7 eller at blive mistænkt for at have handlet i modstrid med kommunens retningslinjer eller sikkerhedsbekendtgørelsens krav. Adfærdsregler for brug af internet Medarbejderes private brug af internetadgang Sikkerhedsindstillinger i web-browser Kommunens internetadgang må også anvendes til privat formål, såfremt sikkerhedspolitikken i øvrigt overholdes, og såfremt arbejdsrelateret brug ikke generes på nogen måde. Web-sites på internet må kun besøges med sikkerhedsindstillinger mindst sat til "medium" for internet-zonen. Der må kun anvendes godkendte webbrowsere. Brugerne må ikke forsøge at omgå eller bryde sikringsforanstaltningerne. Afvikling af programmer i forbindelse med anvendelse af internet Streaming via internet Download af programmer fra internet Terminalsessioner til fjernstyring Overvågning af medarbejdernes brug af internet Det er tilladt at afvikle browserbaserede programmer, for eksempel netbank-programmer, forudsat sikkerhedsretningslinjerne for brug af internet i øvrigt overholdes. Det er tilladt at streame indhold fra internet, for eksempel lyd eller billede fra radio, tv-tjenester og film, såfremt dette sker uden gene for arbejdsrelateret netværksbrug og uden forøgede sikkerhedsrisici. Det er kun tilladt for IT-afdelingen af hente og installere programmer fra internet. Download og afvikling af mobil programkode, som eksempelvis ActiveX og Java, er tilladt for alle brugere. Det er tilladt at benytte krypterede sessioner, for eksempel Secure Shell (SSH), fra det interne netværk til andre netværk. Som et led i kommunens it-drift registreres medarbejdernes brug af internet. Registreringen anvendes udelukkende i driftteknisk henseende og ikke til kontrol af medarbejdernes adfærd på internet. IT-afdelingen har mulighed for at filtrere og begrænse adgangen til websteder og andre tjenester på internettet. Adfærdsregler for brug af Ejerskab Kommunen betragter alle s som kommunens ejendom. Side 7 af 48

8 Medarbejderes private brug af Kommunen tillader brug af -systemer til privat brug, såfremt sikkerhedsretningslinjerne i øvrigt overholdes. Medarbejdere skal markere private s med teksten 'privat' i emnefeltet, eller alternativt gemme private mails i en folder hvor teksten 'privat' indgår i folderens navn. Kommunen forbeholder sig ret til at skaffe sig adgang til data og for medarbejdere, hvis dette sker af drifts- eller sikkerhedshensyn. Kommunen vil så vidt muligt forsøge at undgå at åbne eventuel privat e- mail-korrespondance. Kommunen tillader ikke, at medarbejdere anvender kryptering til at sende privat . Brug af previewfunktion til åbning af Vedhæftede filer må gerne vises i preview funktion. Det er tilladt at benytte vedhæftede filer ved brug af systemet. Kun dokumentfiler, billedfiler og arkiver må vedhæftes og åbnes. Følgende filtyper er tilladte: TXT, RTF, DOC, XLS, PPT, PPS, JPG, JPEG, PNG, GIF, TIFF, PS, EPS, PDF eller ZIP. Vedhæftede filer i s, som vurderes at kunne indeholde skadelige programmer og lignende, skal automatisk blokeres eller bortflitreres. ITafdelingen skal vedligeholde en listen over filer, som automatisk bortfiltreres. Programfiler og kommando-filer må ikke vedhæftes eller åbnes. Det gælder eksempelvis følgende filtyper:.exe,.com,.scr,.pif,.bat, cmd,.vbs. Brugerne kan som udgangspunkt betragte filer, som ikke er blokleret eller bortfiltreret fra mail, som sikre at åbne. Sagsbehandling og journalisering af Fortrolig mail Modtaget og afsendt skal journaliseres og behandles efter samme principper, som gælder for almindelig brevpost og fax. med følsomt indhold, som sendes til ekstern modtager, skal krypteres med godkendt software. Dette gælder især for information som er klassificeret fortrolig eller intern. s med fortrolige eller følsomme personoplysninger (oplysninger omfattet af personatalovens 7 og 8) skal altid krypteres, når de sendes over internettet eller andre åbne netværk. Elektronisk udveksling af post og dokumenter Phishing og bedrageri Hvis bruges til bindende aftaler skal de underskrives med en digital signatur. Uanset at kommunen udfører indholdskanning af alle s, skal brugere skal være opmærksomme på "phishing" og "social engineering", der for eksempel kan betyde, at de kan modtage tilsyneladende oprigtige s, der forsøger at franarre personlige eller fortrolige oplysninger, eller forsøger at få brugeren til at foretage uønskede handlinger. Adfærdsregler for brug af messenger-programmer Side 8 af 48

9 Brug af messenger-programmer Afsendere og modtagere Det er tilladt at bruge messenger-programmer, f. eks. Microsoft Messenger, fra kommunens pc-arbejdspladser, såfremt dette sker via kommunens interne Live Communication Server. Messenger-kommunikation må anvendes både mellem medarbejdere internt og eksterne personer, f.eks. samarbejdspartnere. Messenger-kommunikation må ikke anvendes i forbindelse med kommunens sagbehandling i forhold til borgere. Informationsudveksling med eksterne parter Filudveksling Autentificering Overvågning Messenger-programmer må ikke benyttes til udveksling af interne og fortrolige informationer med eksterne parter. Der må ikke udveksles filer eller internet-links via messengerprogrammer. Brugere skal være opmærksomme på at messenger-programmer anvender svag autentificering. Det betyder, at brugeren principielt aldrig har fuldstændig vished for, hvem der kommunikeres med. Medarbejderes brug af messenger-programmer overvåges og logges. Registreringen anvendes primært til udredning af driftteknisk problemer, men kommunen forbeholder sig ret til i særlige tilfælde at benyttet registreringen til kontrol af medarbejdernes brug messengerprogrammer. Adfærdsregler for trådløse netværk Installation af trådløst udstyr Forbindelse til fremmede trådløse netværk Medarbejdere må ikke installere eller ibrugtage udstyr, der giver trådløs netadgang. Medarbejderne må forbinde kommunens trådløse udstyr til fremmede trådløse netværk, såfremt der anvendes token-løsning eller software- VPN. Ved fremmede trådløse netværk forstås netværk, som ikke administreres og kontrolleres af Frederikshavn Kommune. Eksempler på fremmede trådløse netværk er offentligt tilgængelige hot-spots og trådløse netværk hos private, organisationer og virksomheder. 4.2 Klassifikation af informationer og data Klassifikation Klassifikation af informationsaktiver Informationer og data skal klassificeres som følger: Alle registrerede informationsaktiver skal klassificeres i henhold til kommunens fastlagte klassifikationsniveauer. Offentligt: Materiale der frit må udleveres til offentligheden Internt brug: Materiale der er tilgængeligt for alle internt i kommunen. Fortroligt: Materiale der er tilgængeligt for en begrænset gruppe personer Side 9 af 48

10 Ansvar for klassifikation Kontrol med klassificerede informationer Klassifikationsmærkning Aktivets ejer har ansvaret for, at aktivet er klassificeret. Kommunens it-sikkerhedsansvarlige er ansvarlig for at definere et fast sæt af egnede og relevante sikkerhedskontroller til beskyttelse af de enkelte informationskategorier. Hvis der er tale om informationer, der er kritiske for kommunens virksomhed, skal der udarbejdes yderligere detaljerede kontroller ud fra en risikovurdering Hvor det anses for nødvendigt eller hensigtsmæssigt, skal informationsbærende medier markeres tydeligt med klassifikation. Udskrifter skal helst markeres på hver side. Filer skal have en elektronisk label Håndtering af informationer Accepteret brug af informationsaktiver Procedurer for informationsudveksling Elektroniske dokumenter Opbevaring af fysiske dokumenter Kommunens it-sikkerhedsansvarlige skal i samarbejde med IT-forum udarbejde retningslinier for accepteret brug af alle kommunens informationsaktiver. Kommunens it-sikkerhedsansvarlige har ansvaret for at der foreligger retningslinier og procedurer for enhver form for informationsudveksling både fysisk og elektronisk. Elektroniske kopier af dokumenter, for eksempel indscannede dokumenter og faxer med fortrolige eller personhenførbare oplysninger, må kun behandles på kommunens it-udstyr. Dokumenter med personoplysninger omfattet af anmeldelsespligt skal opbevares aflåst udenfor arbejdstiden. Dokumenter med fortrolige oplysninger må ikke ligge med tektsiden opad når et skrivebord forlades. Dokumenter må gerne ligge fremme, såfremt kontorlokaler er aflåste. Udskrivning Printere, som benyttes til udskrivning af personoplysninger generelt og fortrolige informationer, skal placeres i lokaler, der ikke er offentligt tilgængelige. Udskrifter med fortrolige oplysninger skal hurtigst muligt fjernes fra uovervågede printere for at undgå, at oplysningerne kommer til uvedkommendes kendskab. Fortrolige informationer i offentligt tilgængelige rum Fortrolige informationer må ikke efterlades uden opsyn i offentligt tilgængelige rum. Der skal udvises forsigtighed ved omtale af fortrolige informationer i offentligt tilgængelige rum. Social Engineering Medarbejdere skal, når de behandler fortrolige informationer, være passende opmærksomme på begrebet "social engineering" eller "kunsten at aflure fortrolige informationer uden at blive opdaget". For eksempel kan denne form for bedrag udføres via , telefon og/eller messenger -programmer. Side 10 af 48

11 Kassation og destruktion af papir og andre medier For at udgå uvedkommendes adgang til fortrolige informationer, skal dokumenter og databærende medier, som indeholder fortrolig information - herunder fortrolige personoplysninger - indsamles og tilintetgøres på betryggende måde. Side 11 af 48

12 5 Medarbejdersikkerhed Informationssikkerheden i kommunen afhænger i høj grad af medarbejderne. Det er nødvendigt, at kommunen inddrager informationssikkerheden i forbindelse med ansættelse medarbejdere. Medarbejdere skal uddannes i informationssikkerhed i relation til deres jobfunktion og modtage nødvendige informationer. Endvidere er det nødvendigt med regler der beskriver sikkerhedsforhold, når et ansættelsesforhold slutter. 5.1 Sikkerhedsprocedure før ansættelse Baggrundstjek af ansatte Med udgangspunkt i kommunens krav til informationssikkerhed, skal der i forbindelse med nyansættelser foretages en vurdering af behovet for efterprøvning af ansøgere inden ansættelsen. Vurdering af behov for efterprøvning foretages decentralt i kommunens enkelte afdelinger og institutioner. Baggrundstjek af medarbejdere kan omfatte: En personlig reference. Ansøgerens curriculum vitæ. Uddannelser og professionelle kvalifikationer. Identitetskontrol. Aftale om ansættelse Aftaler om ansættelse med faste og midlertidige medarbejdere skal indeholde en fortrolighedserklæring. I aftaler om ansættelse med faste og midlertidige medarbejdere, skal der på sigt indarbejdes en henvisning til medarbejderens ansvar og forpligtelser vedrørende informationssikkerhed. Fortrolighedserklæring ved ansættelse Alle medarbejdere skal underskrive fortrolighedserklæring senest ved ansættelsestidspunktet; denne kan være en del af ansættelseskontrakten. Alle eksterne konsulenter skal underskrive en fortrolighedserklæring forud for konsulentforholdets start. Fortrolighedserklæringer fra eksterne konsulenter kan, hvor det er hensigtsmæssigt, indgå som en del af det generelle aftalegrundlag. 5.2 Ansættelsesforholdet Side 12 af 48

13 Det er ledelsens ansvar at alle medarbejdere: Er tilstrækkeligt informeret om deres roller og ansvar i forbindelse med informationssikkerhed, før de tildeles adgang til kommunens systemer og data. Er gjort bekendt med nødvendige retningslinier, således at de kan leve op til kommunens informationssikkerhedspolitik. Er motiverede til at leve op til kommunens informationssikkerhedspolitik og retningslinier. Opnår et opmærksomhedsniveau i spørgsmål vedrørende informationssikkerhed, der er i overensstemmelse med deres roller og ansvar i kommunen. Holder sig inden for de retningslinier og bestemmelser, der er for ansættelsen, inkl. kommunens informationssikkerhedspolitik og konkrete arbejdsmetoder. Instrueres om de særlige forhold og regler vedrørende behandling af personoplysninger, som er fastsat i medfør af sikkerhedsbekendtgørelsens 5. Uddannelse Uddannelse i sikkerhedspolitikken Alle nye medarbejdere modtager senest på første arbejdsdag kommunens informationssikkerhedspolitik og tilhørende relevante retningslinjer. Alle medarbejdere skal læse kommunens informationssikkerhedspolitik og relevante tilhørende retningslinjer. Alle medarbejdere skal have træning i kommunens informationssikkerhedspolitik og baggrundsviden om denne. Alle medarbejdere modtager løbende uddannelse for at sikre viden om og opmærksomhed på informationssikkerhed. Alle medarbejdere skal kvittere for, at de har læst og forstået kommunens informationssikkerhedspolitik. Alle it-brugere modtager løbende instruktioner i overholdelse af kommunens informationssikkerhedspolitik. Uddannelse i klassificering af informationer Sikkerhedsuddannelse for it-medarbejdere Alle ansatte skal modtage instruktioner om, hvorledes data og dokumenter klassificeres. Alle it-medarbejdere skal uddannes indenfor relevante og specifikke sikkerhedsemner for at minimere risikoen for sikkerhedshændelser. It-medarbejdere skal løbende gennemgå produktspecifik sikkerhedsuddannelse, for de it-produkter der er mest udbredte i kommunen. Sanktioner Side 13 af 48

14 Overtrædelse af sikkerhedsretningslinierne Bevidste eller gentagne overtrædelser af sikkerhedsretningslinjer betragtes som tjenesteforseelser. Dette kan medføre, at kommunen må se sig nødsaget til overveje ansættelses- eller samarbejdsforholdet. Direktionen har ansvaret for, at sanktioner i forbindelse med brud på kommunens sikkerhedsretningslinier håndhæves konsekvent og i overensstemmelse med gældende lovgivning. 5.3 Ansættelsens ophør Returnering af aktiver ved aftrædelse Inddragelse af privilegier ved fratrædelse Medarbejderen skal aflevere alle udleverede aktiver ved samarbejdets ophør. Der skal forefindes en opdateret procedure for inddragelse af privilegier i forbindelse med medarbejderes fratrædelse. Proceduren for inddragelse af privilegier skal indeholde en liste over funktioner og personer der skal informeres i forbindelse med fratrædelsen. Fortrolighedserklæring ved fratrædelse Den nærmeste overordnede skal ved fratrædelse gøre medarbejderen opmærksom på gældende fortrolighedsaftaler. Side 14 af 48

15 6 Fysisk sikkerhed Fysisk sikkerhed og adgangsregler for medarbejdere og gæster er naturlige elementer i kommunens sikkerhedspolitik. Fysisk sikkerhed omfatter blandt andet sikring af døre og vinduer, alarmer - samt tyverisikring af fysiske aktiver, eksempelvis it-udstyr. Systemer til adgangskontrol er ligeledes et element i forbindelse med fysisk sikkerhed, der sikrer at kun personer med legalt ærinde får adgang til kommunens lokaliteter. I forbindelse med behandling af personoplysninger stiller sikkerhedsbekendtgørelsen en række krav til den fysiske sikkerhed og dokumentationen af denne. Generelle regler for fysisk sikkerhed Kommunens enheder og institutioner løser opgaver af vidt forskellig art. Kravene til fysisk sikring vil derfor være meget forskellige. Sikkerhedsretningslinjerne for fysisk sikkerhed skal derfor betragtes som generelle minimumskrav. Kommunens enkelte institutioner og enheder skal sikre, at der etableres tilstrækkelig fysisk sikring af de områder, hvor der sker informationsbehandling. 6.1 Sikre områder Af- og pålæsningsområder Adgang til af- og pålæsningsområder må kun gives til identificerede og autoriserede personer. Af- og pålæsningsområder skal indrettes, så risiko for uautoriseret adgang til kommunens øvrige lokaliteter mindskes. Leverancer skal registreres i henhold til varemodtagelsesprocedure. Adgang til serverrum og hovedkrydsfelter Adgang til serverrum og hovedkrydsfelter tillades kun særligt autoriserede medarbejdere fra IT-afdelingen. Ikke autoriserede personer tillades kun adgang til serverrum og hovedkrydsfelter i følge med autoriserede medarbejdere fra ITafdelingen. Adgang for serviceleverandører Adgang til serverrum Aflåsning af hovedkrydsfelter og lignende teknikrum Indbrudsalarmer Oplysninger om sikre områder Serviceleverandører må kun få adgang til sikre områder, når dette er påkrævet. Adgangen skal beskyttes med kodelås, og koden må kun kendes af autoriserede it-medarbejdere fra IT-afdelingen. Alle krydsfelter og andre teknikrum skal være aflåste. Kommunen skal anvende tilstrækkelige alarmsystemer i alle lokaler med it-udstyr, der indeholder fortrolige informationer. Oplysninger om sikre områder og deres funktion skal alene gives ud fra et arbejdsbetinget behov. Side 15 af 48

16 Sikring af kontorer, lokaler og udstyr. Direktionen træffer beslutning om overordnede retningslinier for fysiske sikringsforanstaltninger i kommunens enheder og institutioner. Kommunens it-sikkerhedsansvarlige påser, at fysiske sikringsforanstaltninger er etableret i overensstemmelse med direktionens overordnede retningslinier. På steder, hvor der foretages behandling af personoplysninger, skal der træffes særlige forholdsregler med henblik på at forhindre uvedkommendes adgang til oplysningerne. Miljømæssig sikring af serverrum Aflåsning af lokaler og bygninger Ansvar for den fysiske adgangskontrol Serverrum, krydsfelter og tilsvarende områder skal på forsvarlig vis sikres mod miljømæssige hændelser som brand, vand, eksplosion og tilsvarende påvirkninger. Alle vinduer og døre skal være låst forsvarligt, når en lokalitet forlades. Den it-sikkerhedsansvarlige har ansvaret for den fysiske adgangskontrol ved serverrum og andre sikrede områder. Gæster Gæsters adgang Ved gæster forstås borgere og besøgende, som kommunen ikke har en formel samarbejdsrelation til. Eksterne samarbejdspartnere, som kommunen har indgået aftaler med, betragtes ikke som gæster. Gæster kan færdes frit i offentligt tilgængelige områder. Gæster skal altid ledsages af en medarbejder fra Frederikshavn Kommune, når de færdes i kommuens kontorområder og sikre områder. 6.2 Beskyttelse af udstyr Placering af udstyr Udstyr skal placeres eller beskyttes, så risikoen for skader og uautoriseret adgang minimeres. Udstyr der benyttes til at behandle fortrolige informationer, herunder personoplysninger, skal placeres så informationerne ikke kan ses af uvedkommende. Opbevaring af bærbare computere Brug af mobile enheder Forsikringsdækning for mobile enheder Bærbare computere skal fjernes, fastlåses eller låses inde efter arbejdstidens ophør. Bærbart udstyr skal medbringes som håndbagage under rejser. IT-afdelingen skal sikre, at der er etableret passende forsikringsdækning i forbindelse med opbevaring og anvendelse af it-udstyr uden for kommunens lokaliteter. Side 16 af 48

17 Opsyn med mobile enheder Mobile enheder må ikke efterlades uden opsyn i uaflåste rum. Hvor det er muligt, skal der anvendes hardware/bios password for at sikre uautoriseret opstart af udstyret. Derudover skal der anvendes et stærkt administrativt password, og systemet skal være konfigureret til ikke at kunne starte fra usikre flytbare medier som disketter, CD, USB nøgler og lignende. Opstartsbeskyttelse kan ikke fravælges i forbindelse med beskyttelse af følsomme informationer på mobilt udstyr. Sikring af kabler Kabler til datakommunikation skal beskyttes mod uautoriserede indgreb og skader. IT-afdelingen skal sikre at dokumentation skal opdateres, når den faste kabelføring ændres. IT-afdelingen skal sikre at faste kabler og udstyr skal mærkes klart og entydigt. Forsyningssikkerhed Spisning og rygning i nærheden af udstyr Det skal sikres, at alle forsyninger som elektricitet, vand, kloak, varme, og ventilation har den fornødne kapacitet, og løbende inspiceres for at forebygge uheld, der kan have indflydelse på informationsaktiverne. Kommunens it-sikkerhedsansvarlige har ansvaret for dette. Der må ikke spises og drikkes i serverrum. Der må ikke ryges i serverrum. Fjernelse af udstyr fra kommunens lokaliteter Udstyr må kun fjernes fra kommunens lokaliteter, hvis der foreligger en underskrevet kvittering på det udleverede. Udstyr, der indeholder fortrolige data, må kun fjernes efter behørig godkendelse fra pågældende dataejer. Udlån af udstyr skal være tidsbegrænset. Tyverimærkning af it-udstyr Vedligeholdelse af udstyr og anlæg Alt mobilt udstyr skal være tydeligt mærket for at minimere risikoen for tyveri. IT-afdelingen skal vedligeholde udstyr efter leverandørens anvisninger. Kun godkendte leverandører må udføre reparationer og vedligeholdelse. Kritiske/følsomme informationer skal slettes fra udstyr, der repareres eller vedligeholdes uden for kommunens lokaliteter. Hvis kritiske/følsomme informationer ikke kan slettes fra udstyr, der repareres eller vedligeholdes uden for kommunens lokaliteter, skal kommunen sikre sig, at reparations- og servicepersonalet vil behandle oplysninger, som de måtte blive bekendt med under deres arbejde, som fortroligt materiale. Brandsikring Serverrum skal sikres med veldimensioneret brandslukningsudstyr. Serverrum må ikke benyttes som lager for brændbare materialer. Farlige eller brandfarlige materialer skal lagres i sikker afstand fra sikre områder. Passende brandsikringsudstyr skal forefindes, og være korrekt placeret. Køling Serverrum skal sikres med veldimensionerede køleanlæg. Side 17 af 48

18 Nødstrømsanlæg Alle server-systemer skal beskyttes med nødstrømsanlæg til at sikre hurtig og korrekt nedlukning af servere i tilfælde af strømudfald. Side 18 af 48

19 7 Styring af netværk og drift Vedligeholdelse og opdatering af it-systemer er nødvendigt for at opretholde et passende sikkerhedsniveau for kommunen. Drift af it-systemer inkluderer overvågning af systemernes helbredstilstand, opdatering og sikkerhedskopiering af data. De fleste it-systemer i dag er afhængige af netværk, og derfor er administration, opbygning, sikring og vedligehold af netværk vitalt for kommunen. Den trussel, som uautoriseret adgang indebærer, gør det nødvendigt med klare regler for brugen af kommunens netværk, samt overvågning af infrastrukturen. 7.1 Operationelle procedurer og ansvarsområder Driftsafvikling Driftsafviklingsprocedurer Driftsafviklingsprocedurer for forretningskritiske systemer skal være dokumenterede, ajourførte og tilgængelige for driftsafviklingspersonalet og andre med et arbejdsbetinget behov. De enkelte systemejerere skal godkende driftsafviklingsprocedurer for systemerne. Driftsansvar Dokumentation Indkaldelse af medarbejdere i vagtordning og ekstra personale Deaktivering af beskyttelsesmekanismer Systemejerne indgår aftale om drift af det enkelte system med ITafdelingen. IT-afdelingen er, i henhold til aftalen, ansvarlig for drift, administration og sikkerhed i forbindelse med systemet. IT-afdelingen skal sikre, at alle systemer og it-relaterede forretningsgange er dokumenterede. System- og dataejere bidrager til dokumentationen jævnfør kommunens standard for dokumentation. Det skal være dokumenteret under hvilke omstændigheder, ekstra personale kan tilkaldes ved driftsforstyrrelser. Det er under ingen omstændigheder tilladt at deaktivere eller omgå beskyttelsesmekanismer, herunder anti-virus produkter Styring af ændringer Retningslinier for ændringer. Ændringer i it-systemer må kun gennemføres når de er forretningsmæssigt velbegrundede. IT-afdelingen har ansvaret for, at der foretages en entydig identifikation og registrering af alle væsentlige ændringer i it-systemer. Information om udførte ændringer skal formidles til relevante interessenter, herunder systemejere. IT-afdelingen har ansvaret for at der findes en nødprocedure som kan sikre at effekten af fejlslagne ændringer minimeres. Side 19 af 48

20 Installation af programmer på pcarbejdspladser Operativsystemer og programmer på kommunens pc-arbejdspladser må kun installeres og ændres af IT-afdelingen, eller samarbejdspartnere og personer, som er bemyndiget af IT-afdelingen. Der må kun benyttes it-udstyr, som er godkendt og opsat af ITafdelingen. Planlægning, test og godkendelse af ændringer Ændringer i it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver, skal foretages på grundlag af en formaliseret godkendelsesprocedure. Ændringer i it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver, skal i videst mulig omfang planlægges og afprøves, inden de sættes i drift. Der skal foretages en grundig vurdering af mulige konsekvenser, inden gennemførelsen af væsentlige ændringer i it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver. Styring af ændringer hos serviceleverandøren. Sikring af serversystemer IT-afdelingen skal sikre, at ændringer i systemer, som driftafvikles hos eksterne samrbejdspartnere, følger kommunens retningslinjer for ændringsstyring. Alle servere skal sikres inden ibrugtagning. IT-afdelingen skal udarbejde og vedligeholde krav til konfiguration og sikring af servere inden ibrugtagning. Sikring af pc-arbejdspladser inden ibrugtagning Installation og opsætning af pc-arbejdspladser skal ske gennem ITafdelingens centralt styrede installationssystem. Alle pc-arbejdspladser skal sikres, inden de sættes i drift. Sikringen omfatter minimumskrav om installation af seneste sikkerhedsrettelser for operativsystemet og antivirus program. Tilladte programmer IT-afdelingen skal vedligeholde en liste over tilladte programmer. IT-afdelingen styrer og kontrollerer installation af tilladte programmer vha. det centrale system til softwarepakkeinstallation. Softwareopdateringer generelt IT-afdelingen skal løbende holde sig ajour med sikkerhedsrettelser til de programmer, der anvendes i kommunens it-miljø. Sikkerhedsrettelser skal installeres på servere og pc-arbejdspladser, så snart det vurderes, at rettelserne har positiv indflydelse på den samlede sikkerhed. Systemejerne er ansvarlige for, at der løbende sker regelmæssig opdatering af anvendt software. Opdateringer foretages i samarbejde med IT-afdelingen Funktionsadskillelse Side 20 af 48

21 Sikring af forretningskritiske systemer I forbindelse med it-systemer, som er kritiske for kommunens forvaltnings - og forretningsmæssige opgaver, skal risikoen for misbrug af privilegier vurderes. Hvis vurderingen peger på en reel risiko for misbrug, skal privilegier i itsystemer begrænses gennem funktionsadskillelse. Hvis det af økonomiske eller organisatoriske årsager ikke er muligt at etablere funktionsadskillelse, skal der etableres kompenserende foranstaltninger, som f.eks. logning af systemadgang Adskillelse mellem udvikling, test og drift Adskillelse af udvikling, test og drift Der skal i videst mulig omfang anvendes særskilte it-miljøer til udviklingsog testopgaver. Udviklings- og testmiljøer skal være systemteknisk eller fysisk adskilt fra driftsmiljøet. Der skal benyttes fiktive testdata ved udviklings- og testopgaver i forbindelse med it-systemer, som behandler personoplysninger. Der kan undtagelsesvis benyttes produktionsdata, som indeholder personoplysninger, i udviklings- og testmiljø, hvis systemerne opfylder de sikkerhedskrav til autorisation, adgangskontrol, logning, mv., som gælder for produktionssystemerne. 7.2 Ekstern serviceleverandør Overvågning af serviceleverandøren IT-afdelingen skal regelmæssigt overvåge serviceleverandørerne, gennemgå de aftalte rapporter og logninger samt udføre egentlige revisioner for at sikre, at aftalen overholdes, og at sikkerhedshændelser og -problemer håndteres på betryggende vis. Krav til samarbejdsaftaler fremgår af afsnit Styring af driftsmiljøet Sikkerhed i systemplanlægning Kapacitetsplanlægning Integration af informationssystemer It-sikkerhedskrav skal tages i betragtning ved design, aftestning, implementering og opgradering af nye it-systemer og ved systemændringer. It-systemernes dimensionering skal afpasses efter kapacitetskrav. Belastning skal overvåges, således at opgradering og tilpasning kan finde sted løbende. Dette gælder især for systemer, der er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver. Hvis integration af it-systemer resulterer i en forøget risiko, skal denne vurderes af systemejer(e) og godkendes af direktionen efter indstilling fra kommunens it-sikkerhedsansvarlige. Side 21 af 48

22 7.4 Skadevoldende programmer og mobil kode For at fastholde stabil drift af kommunens systemer og sikre data, skal kommunens itsystemer beskyttes mod skadevoldende programmer og mobil kode. Eksempler på skadevoldende programmer og mobil kode er computervirus, orme og trojanske heste. Antivirus-produkter på arbejdsstationer Kontrol af antivirus på arbejdsstationer Spyware IT-afdelingen skal sikre, at der anvendes minimum to antivirus-produkter fra forskellige leverandører. Ét på indgangene til kommunens netværk og et andet på samtlige computere på kommunens lokaliteter. Opdatering skal ske højst et døgn efter, at leverandørens opdateringer er frigivet. Medarbejdere kan antage, at antivirus-programmer på pc-arbejdspladser fungerer. Det er alene IT-afdelingens ansvar at kontrollere korrekt funktion. Installation af spyware søges undgået gennem begrænsningerne i muligheder for softwareinstallation. Installation af spyware søges undgået gennem fastlagte processer for installation af sikkerhedsopdateringer. IT-afdelingen skal sikre, at der regelmæssigt scannes for spyware på alle arbejdsstationer. Adware Beskyttelse mod Adware baseres på medarbejdernes bevidsthed og viden, sikkerhedsindstillinger i internetbrowsere, begrænsninger i brugeres muligheder for softwareinstallation samt brug af adwarescannere. IT-afdelingen skal sikre, at alle arbejdsstationer regelmæssigt scannes for adware. Antivirus-produkter på servere Styring af antivirus Der skal være installeret antivirus-beskyttelse på alle serversystemer, hvor det er muligt. IT-afdelingen skal kunne foretaget central administration at antivirus på arbejdsstationer og servere. Dette omfatter kontrol af, om antivirussoftware er installeret og aktivt, samt at det løbende bliver opdateret. 7.5 Sikkerhedskopiering Sikkerhedskopiering af data på serversystemer IT-afdelingen er, i henhold til aftaler med system- og dataejerne, ansvarlig for, at der foretages sikkerhedskopiering af alle it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver. IT-afdelingen har ansvaret for at beskytte sikkerhedskopier gennem forsvarlige håndterings- og opbevaringsprocedurer. Test af sikkerhedskopier IT-afdelingen skal, på grundlag af en formaliseret procedure, foretage regelmæssige test af om sikkerhedskopier er anvendelige og tilgængelige. Side 22 af 48

23 Sikkerhedskopiering af data på andre systemer Ved anvendelse af stationære pc-arbejdspladser skal data gemmes på de centrale servere. Data gemt på lokale harddiske sikkerhedskopieres ikke. Ved anvendelse af bærbare pc-arbejdspladser og andre mobile enheder, hvor det kan være nødvendigt at lagre data lokalt, er det brugerens ansvar, at data bliver sikkerhedskopieret. Opbevaring af sikkerhedskopier på ekstern lokalitet Datamedier med sikkerhedskopier til reetablering af it-systemer og data, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver, skal opbevares på en i forhold til udstyrets placering ekstern lokalitet. 7.6 Netværkssikkerhed Sikring af netværk Adgang til aktive netværksstik IT-afdelingen har det overordnede ansvar for at beskytte kommunens netværk. Adgang til aktive netværksstik skal styres af IT-afdelingen. IT-afdelingen skal sikre, at der ikke forefindes ubenyttede aktive netværksstik i offentligt tilgængelige rum som receptioner, kantiner og lignende. Installation og brug af udstyr til datakommunikation Installation af netværksudstyr Tilslutning af udstyr til netværk Fjernstyring og administration IT-afdelingen skal godkende alle installationer af udstyr til datakommunikation som eksempelvis modemmer og tilsvarende udstyr. Det er ikke tilladt at installere netværksudstyr uden forudgående sikkerhedsgodkendelse. Dog er det tilladt midlertidigt at tilslutte hub/switch til deling af et netværksstik i forbindelse med demonstrationer, møder eller lignende. Det er kun tilladt for medarbejde og eksterne konsulenter at koble udstyr til kommunens netværk, efter aftale med IT-afdelingen. Udstyret må ikke forstyrre driften og IT-afdelingen kan til enhver tid kræve, at det frakobles. Det er tilladt at benytte værktøjer til fjernadministration af kommunens itsystemer. Alle værktøjer til fjernadministration skal godkendes af IT-afdelingen, før de må tages i anvendelse. Kryptering af administrative netværksforbindelser Firewall-funktioner på servere Forbindelser, der benyttes til it-administration, skal krypteres, hvis de benytter offentlige eller usikre netværk for eksempel internet. Alle servere med indbygget firewall funktionalitet skal benytte denne til at sikre, at der kun gives adgang til nødvendige services. Trådløse netværk Brug af trådløse lokalnetværk Kommunen tillader anvendelse af trådløse netværk. Side 23 af 48

24 Placering af trådløse netværk Beskyttelse af trådløse netværk Trådløst udstyr (access points) skal placeres således, at dækningen, i videst mulig omfang, begrænses til kommunens lokaliteter. Datatransmission via kommunens trådløse netværk skal være sikret med WPA-kryptering. Adgangen til kommunens trådløse netværk skal være sikret med en certifikat-løsning. Trådløse netværk for gæster Frederikshavn Kommune tilbyder gæster adgang til internettet via trådløs netværk. Trådløs netværksadgang for kommunens gæster skal være fysisk eller logisk adskilt fra kommunens interne netværk. Forbindelser med andre netværk Indkommende netværksforbindelser Der må kun etableres forbindelser fra internet til servere på kommuenes interne netværk, hvis det er forretningsmæssigt velbegrundet - eksempelvis i forbindelse med - og web-servere. Kommunens it-sikkerhedsansvarlige skal godkende enhver form for indkommende netværksforbindelse fra internet til kommunens interne netværk. Udgående netværksforbindelser Ansvar for internetforbindelser Adgang fra distancearbejdspladser Det er kun tilladt at tilgå services på internet og andre netværk via godkendte proxy servere. Det overordnede ansvar for drift- og serviceaftaler i forbindelse af internetforbindelserne ligger hos IT-afdelingen. Pc-arbejdspladser, som tilhører Frederikshavn Kommune, må gives adgang til kommunens interne netværk via token-løsning eller VPNsoftware. Private pc'er må gives adgang til kommunens interne netværk via tokenløsning. Adgang fra private pc'er gives kun for brugere, der er autentificerede med brugernavn og adgangskode samt fysisk token. Der skal anvendes krypteret forbindelse. 7.7 Databærende medier Brug af datamedier Beskyttelse af følsomme og fortrolige data på datamedier Der må kun benyttes bærbare datamedier såfremt det forretningsmæssigt velbegrundet. System- og dataejere skal sikre, at der etableres procedurer, der sikrer datamediers indhold mod uautoriseret adgang og misbrug af mediernes indhold. Side 24 af 48

25 Opbevaring og registrering af datamedier Forretningsgangen for beskyttelse af datamediers indhold skal omfatte: System- og dataejere skal sikre, at medierne eller informationerne på mediet klassificeres, og at brugere er instrueret i at opbevare mediet i henhold til regler for klassifikationen. Håndtering og mærkning. Adgangsbegrænsning. Fysiske krav til opbevaringssted, f.eks. temperatur og luftfugtighed ifølge leverandørens specifikationer. Klar mærkning af alle kopier. Regelmæssig gennemgang af distributions- og autorisationslister. Afskaffelse og genbrug af medier Alle datamedier, for eksempel harddiske, disketter, cd, dvd, bånd og hukommelsesenheder, skal slettes på en sikker måde eller destrueres inden bortskaffelse. Datamedier, som kommunens medarbejdere anvender, skal i forbindelse med bortskaffelse afleveres til IT-afdelingen, som forestår sikker bortskaffelse. Sletning af datamedier skal foregå i overensstemmelse med en formel procedure for sikker sletning. Hvis en ekstern leverandør benyttes til destruktion af kommunens datamedier, skal det sikres, at leverandøren efterlever de aftalte sikkerhedskrav. Håndtering af inddata Inddatamateriale, som indeholder personoplysninger, eller anden information der betragtes som fortroligt, skal opbevares udner lås, når det ikke benyttes. Adgang til inddatamateriale, som indeholder personoplysninger, eller anden information, der betragtes som fortroligt, skal begrænses til de personer, der har behov for dette. Inddatamateriale, som indeholder personoplysninger, skal slettes eller tilintetgøres senest et halvt år efter, at der ikke længere er brug for materialet. Kommunen skal fastlægge en procedure for tilintetgørelse af inddatamateriale der sikrer, at inddata ikke i denne sammenhæng kan misbruges eller komme uvedkommende til kendskab. Side 25 af 48

26 Håndtering af uddata Kommunen skal sikre, at uvedkommende ikke får adgang til uddatamateriale, som indeholder personoplysninger, eller anden information, der betragtes som fortroligt. Adgang til uddatamateriale, der indeholder personoplysninger, eller anden information, der betragtes som fortroligt, skal begrænses til de personer, der har behov for dette. Kommunen skal fastsætte formelle retningslinier for forsvarlig opbevaring af uddatamateriale. Uddatamateriale, der indeholder persondata, skal slettes eller tilintetgøres senest et halvt år efter, at der ikke længere er brug for materialet. Kommunens enheder og institutioner skal fastlægge en procedure for tilintetgørelse af uddatamateriale der sikrer, at uddata ikke, i denne sammenhæng, kan misbruges eller komme uvedkommende til kendskab. Håndtering af ind- og uddata i borgerservicecentre I kommunens borgservicecentre skal der udvises særlig forsigtighed ved opbevaring og håndteringen af ind- og uddatamateriale. Containere til opbevaring af kasseret ind- og uddatamateriale skal enten være aflåste eller placeres, så de ikke er tilgængelige for besøgende i borgerservicecentrene. Virusscanning af mobile datamedier Beskyttelse af systemdokumentation Inden ibrugtagning scannes ethvert datamedie automatisk for virus. Med datamedie menes for eksempel transportable hukommelsesenheder, transportable drev, cd'er, dvd'er og disketter. It-afdelingen skal opbevare systemdokumentation passende sikkert. Adgangsrettigheder til systemdokumentation skal holdes på et minimum og godkendes af systemejer. Afskaffelse eller genbrug af udstyr Når udstyr bortskaffes eller genbruges, skal kritiske/følsomme informationer og licensbelagte systemer fjernes eller overskrives. 7.8 Informationsudveksling Aftaler om informationsudveksling Udveksling af information imellem Frederikshavn Kommune og eksterne samarbejdsparterne må kun ske på grundlag af formel aftale herom. Udveksling af information skal i denne sammenhæng forstås som udveksling af større mængder data og integration af it-systemer og ikke som rutinemæssig korrespondance i forbindelse med eksempelvis almindelig sagsbehandling. Hvis der sker udveksling af personoplysninger med eksterne parter, skal der rettes opmærksomhed på regler på persondatalovens område. Det gælder særlig persondatalovens 5 om god databehandlingsskik, lovens 41, stk. 3 om fortrolighed m.v., sikkerhedsbekendtgørelsens 11 om autorisation, adgangskontrol og adgangsbegrænsning, samt 14 om eksterne kommunikationsforbindelser. Automatisk indholdsfiltrering Kommunens systemer skal jævnligt scannes for spammail og phishing. Disse mails mv. skal sættes i karantæne automatisk. Side 26 af 48

27 Spam-mail beskyttelse Kommunen bortfiltrerer , der opfylder kommunens kriterier for spam-mails. Medarbejderne skal udvise forsigtighed med deres brugeridentitet i forbindelse med videregivelse af eksempelvis mailadresser, samt i forbindelse med modtagelsen af uønskede s. Sagsbehandling og journalisering af Brug af kryptering i forbindelse med dataudveksling Modtaget og afsendt skal journaliseres og behandles efter samme principper, som gælder for almindelig brevpost og fax. Ved transmission af fortrolige/følsomme personoplysninger eller andre fortrolige informationer over åbne netværk (eks. internet), skal der benyttes stærk kryptering, baseret på en anerkendt algoritme. s, som indeholder fortrolige/følsomme personoplysninger eller andre fortrolige informationer, skal krypteres gennem anvendelse af kommunens sikker -funktion, som er baseret på OCES-certifiktater. Brug af kryptering i forbindelse med opbevaring af data Sikkerhed ved brug af telefax Fortrolige informationer skal altid være krypteret, når de opbevares på mobilt udstyr, f.eks. på bærbare pc-arbejdspladser, håndholdte computere, mv. Telefaxmaskiner skal placeres således, at uvedkommende ikke umiddelbart har adgang til modtagne faxer. 7.9 Elektroniske forretningsydelser Elektronisk borgerbetjening Foranstaltninger ved elektroniske borgerbetjening skal omfatte: Information, som indgår i elektronisk borgerbetjening via internettet, skal beskyttes mod svindel, kontraktlige uoverensstemmelser, uautoriseret adgang og ændringer. Krav til fortrolighed for følsomme oplysninger. Krav til fortrolighed, integritet og uafviselighed for både borger og kommunen, f.eks. i forbindelse med myndighedsafgørelser eller kontraktindgåelse. Kontrolprocedure for betalingsoplysninger i forbindelse med onlinebetalinger. Krav til en sikker og hensigtsmæssig betalingsprocedure i forbindelse med onlinebetalinger. Beskyttelse mod tab eller gentagelse af transaktioner. Systemejers vurdering og etablering af nødvendige sikkerhedsforanstaltninger i forbindelse med systemer, der benyttes til elektronisk borgerbetjening. Online transaktioner Online transaktionssystemer skal beskyttes særligt, især hvis borgene tilbydes mulighed for direkte at opdatere i kommunens databaser. Systemejer skal præcisere de nødvendige krav. Side 27 af 48

28 Offentlig tilgængelig information IT-afdelingen har ansvaret for at indgå aftaler med relevante driftsleverandører vedrørende beskyttelse af kommunens offentligt tilgængelige information mod uautoriserede ændringer. IT-afdelingen har ansvaret for at kontrollere og følge op på, om aftaler med driftsleverandørene overholdes Logning og overvågning Registrering af driftsstatus Overvågning af netværk IT-afdelingen skal registrere væsentlige forstyrrelser og uregelmæssigheder i driften af systemerne samt årsager hertil. IT-afdelingen skal løbende overvåge kommunens netværk med det formål at forebygge og opdage brud på sikkerheden. Det skal sikres at IT-afdelingen har den nødvendige viden og redskaber til overvågning af kommunens netværk. Overvågning af internetforbindelser Overvågning af tilgængelighed Overvågning og kontrol af afviste adgangsforsøg IT-afdelingen skal sikre at internetforbindelser løbende overvåges med henblik på at detektere elektroniske angreb. Logfiler her fra skal opbevares og gennemgås regelmæssigt. IT-afdelingen skal løbende overvåge alle it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver og regelmæssigt dokumentere systemernes tilgængelighed. I forbindelse med it-systemer, i hvilke der foretages anmeldelsespligtige behandlinger af personoplysninger, skal der foretages registrering af alle afviste adgangsforsøg. Hvis der inden for 30 minutter registreres mere fem afviste adgangsforsøg fra samme pc-arbejdsstation eller med samme brugernavn, skal der blokeres for yderligere forsøg. Der skal foreligge en procedure som sikrer, at det sker opfølgning på uautoriserede adgangsforsøg Tilgængelighedshændelser Opfølgningslogning Hændelser, der har indflydelse på tilgængelighed, skal afklares i henhold til gældende driftsaftaler (SLA). Driftshændelser, der ikke kan afklares indenfor aftalt tid, skal udløse procedurer for hændelseshåndtering. De ramte brugere og systemejere skal informeres. IT-afdelingen skal logge sikkerhedshændelser på it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver. IT-afdelingen skal logge fejlhændelser på it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver. IT-afdelingen skal logge brugeraktiviteter på it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver. Side 28 af 48

29 Opfølgningsloggen skal indeholde: Brugeridentifikation. Dato og klokkeslæt for væsentlige aktiviteter. Identificering af arbejdsstation eller netværksenhed. Registrering af systemadgange og forsøg herpå. Alarmer fra adgangskontrolsystem. Opbevaring af opfølgningslog IT-afdelingen skal opbevare log for sikkerheds, fejl- og brugerhændelser på it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver i mindst 3 måneder. Logning af anvendelse af personoplysninger I forbindelse med it-systemer, i hvilke der indgår anmeldelsespligtige behandlinger af personoplysninger, skal der foretages logning i overensstemmelse med kravene i sikkerhedsbekendtgørelsens 19. Loggen skal som minimum indeholde: oplysning om tidspunkt, bruger, type af anvendelse og angivelse af den person, de anvendte oplysninger vedrørte, eller det anvendte søgekriterium. Loggen skal opbevares i 6 måneder, hvorefter den skal slettes. Myndigheder med et særligt behov kan opbevare loggen i op til 5 år. Særlige behov kan opstå som følge af sammenhæng til eksempelvis bogføringssystemer eller andre systemer, hvor der er krav om en længere opbevaringsperiode. Stikprøvekontrol af loggen i borgerservicecentre I forbindelse med anmeldelsespligtige behandlinger af personoplysninger i borgerservicecentre skal der foretages stikprøver af anvendelsesloggen. Stikprøver af loggen skal foretages med vilkårlige intervaller, som ikke må kendes af medarbejderne. Kommunen kan vælge at erstatte stikprøvekontrollen med et automatiseret overvågningssystem, der kan afdække uhensigtsmæssige eller usædvanlige søgemønstre. Administrator log Fejllog Beskyttelse af log-oplysninger Tidssynkronisering Aktiviteter udført af systemadministratorer og -operatører samt andre med særlige rettigheder skal logges i det omfang det er teknisk muligt. Fejl skal logges og analyseres, og nødvendige udbedringer og modforholdsregler skal gennemføres. Log-faciliteter og log-oplysninger skal beskyttes mod manipulation og tekniske fejl. IT-afdelingen skal sikre, at kommunens serverinstallationer jævnligt synkroniseres til korrekt tid. Side 29 af 48

30 8 Adgangsstyring Adgangen til at udføre handlinger på kommunens it-systemer beskyttes af autorisationssystemer. Systemerne har til formål at sikre mod uautoriserede ændringer, ordrer, fejl og svindel. Kommunens medarbejdere medvirker til beskyttelse af informationsaktiverne gennem korrekt brug af autorisationssystemerne. 8.1 De forretningsmæssige krav til adgangsstyring Retningslinier for adgangsstyring Systemejere har det overordnede ansvar for at etablere og vedligeholde procedurer for adgangsstyring for hvert system. Procedurer for adgangsstyring skal omfatte en beskrivelse af, hvilke medarbejdergrupper der kan autoriseres til hvilke data og funktioner og forretningsgangen for autorisation af medarbejdere til systemet. Tildeling af adgang til personoplysninger Systemejere skal være opmærksom på de særlige krav, som gælder for tildeling af adgang til systemer, der indeholder personoplysninger. De specifikke krav fremgår af sikkerhedsbekendtgørelsens 11 og 16. Der må kun autoriseres personer, der er beskæftiget med de formål, hvortil personoplysninger behandles. De enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for. Ved tildeling af adgang til it-systemer, i hvilke der fortages anmeldelsespligtige behandlinger, skal det angives i hvilket omfang brugeren må forespørge, inddatere eller slette personoplysninger. Brugerprofiler for konsulenter og deltidsansatte Personer, som er ansat via en konsulentaftale, må oprettes som brugere i kommunens it-systemer. Vikarer og timelønnede må oprettes som brugere. Ophører ansættelseseller vikaraftalen, skal brugerprofilen øjeblikkeligt nedlægges. Medarbejderes omplacering Fratrædelse Ved ændringer af roller for medarbejderne skal rettigheder og privilegier revurderes. Dette gælder især for systemer, der er kritiske for kommunens virksomhed. Ved fratrædelse skal alle brugerprofiler og systemrettigheder for brugeren øjeblikkeligt nedlægges. 8.2 Administration af brugeradgang Registrering af brugere Brugere skal have unikt brugernavn og bruger-id. IT-afdelingen skal sikre, at der findes en procedure for administration af brugeradgang. IT-afdelingen er ansvarlig for, at proceduren vedligeholdes. IT-afdelingen skal vedligeholde en fortegnelser over tildelte brugeradgangen og autorisationer i forhold til de enkelte systemer. Brugere oprettes af IT-afdelingen efter bestilling fra cheferne for forvaltningsområderne, med godkendelse af fra system- eller dataejerne. Side 30 af 48

31 Anvendelse af fælles bruger-id Brug af fælles bruger-id til systemer skal undgås, men mindre særlige omstændigheder nødvendiggør dette. Det er under ingen omstændigheder tilladt at benytte fælles brugerlogin i forbindelse med it-systemer, i hvilke der foretages anmeldelsespligtige behandlinger af personoplysninger. Retningslinier for tildeling af adgangskoder Ved brugeroprettelse eller nulstilling af adgangskoder skal brugere tildeles en sikker, midlertidig adgangskode, som skal ændres umiddelbart efter første anvendelse. Midlertidige adgangskoder skal opfylde de almindelige krav til adgangskoder. Tildeling af midlertidige adgangskoder skal ske på en sikker måde. Eksempelvis skal fremsendelse i klar tekst over åbne netværk undgås. Andre adgangskoder end midlertidige adgangskoder må aldrig lagres eller transmitteres i klar tekst. Standardadgangskoder fra systemleverandører skal ændres umiddelbart efter installation af systemet. Udvidede adgangsrettigheder Udvidede adgangsrettigheder må kun tildeles i begrænset omfang og alene ud fra et arbejdsbetinget behov. Udvidede adgangsrettigheder skal registreres. Udvidede adgangsrettigheder må ikke sættes i kraft, før den fornødne autorisation er indhentet. Automatiserede systemtekniske processer skal anvendes i videst muligt omfang for at begrænse behovet for tildeling af udvidede rettigheder. De enkelte brugerprogrammer skal, så vidt muligt, tilrettelægges, så de begrænser behovet for indgreb med udvidede rettigheder. Der skal benyttes særlige brugeridentiteter til de udvidede rettigheder af hensyn til overvågning og opfølgning. Identifikation af brugerprofiler for eksterne brugere Bruger-id skal udarbejdes efter en standard-navnekonvention. Dette gælder også for gæster, konsulenter og andre, således at disse kan identificeres enkelt og ligetil. Standardadgangskoder og bruger-id'er må ikke anvendes på kommunens systemer. Disse skal ændres eller slettes. Periodisk gennemgang af brugeres rettigheder Alle tildelte brugerrettigheder skal gennemgås mindst en gang årligt for at sikre, at tildelte rettigheder er i overensstemmelse med aktuelle behov. Der skal foretages halvårlig opfølgning på tildelte adgangsrettigheder til it -systemer, i hvilke der foretages anmeldelsespligtige behandlinger af personoplysninger. Gennemgangen af tildelte adgangsrettigheder foretages af systemejerne. Gennemgangen skal dokumenteres. 8.3 Brugerens ansvar Side 31 af 48

32 Adgangskoder er strengt personlige Adgangskoder er strengt personlige og må ikke deles med andre. Af hensyn sporbarheden skal brugere, som deler pc-arbejdsplads med andre, altid logge på med eget brugernavn og adgangskode. Brugeren skal logge af, inden en anden bruger overtager pc-arbejdspladsen. Brug af autologin funktioner Der må ikke benyttes automatisk login eller systemer, hvor adgangskoder gemmes i genveje eller på funktionstaster. Der er ikke tilladt at anvende browserens indbyggede funktion til lagring af brugernavn og adgangskode i forbindelse med programmer eller websteder, som anvendes til arbejdsrelaterede opgaver. Valg af sikre adgangskoder Brug af adgangskodebeskyttet skærmlås Det er brugerens ansvar at vælge tilstrækkeligt sikre adgangskoder i adgangskontrolsystemerne. Adgangskodebeskyttet skærmlås skal altid aktiveres, når en pcarbejdsplads forlades og er uden for brugerens synsfelt. På alle pc-arbejdspladser skal skærmlås automatisk aktiveres efter 5 minutters inaktivitet. Genbrug af adgangskoder Krav til adgangskoders længde. Krav til adgangskoders kompleksitet Medarbejderne må ikke anvende den samme adgangskode, som benyttes til kommunens infrastruktur, ved adgang til eksterne systemer. Eksterne systemer er for eksempel internet websteder og netbanker. Omfattende brug af samme adgangskode til eksterne systemer øger sandsynlighed for, at adgangskodens fortrolighed krænkes. Adgangskoder skal være mindst otte tegn lange. Adgangskoder skal som minimum indeholde en kombination af bogstaver og tal. Der må ikke benyttes brugernavn, navn eller datoer som en del af adgangskoder. Krav til skift af adgangskoder Opbevaring af adgangskoder til administrativ adgang Adgangskoder skal skiftes efter højst 90 dage Adgangskoder til administrativ adgang skal opbevares i forseglet kuvert i aflåst brandsikkert pengeskab. 8.4 Styring af netværksadgang Styring af netværksadgang Retningslinier for brug af netværkstjenester. IT-afdelingen skal gennem styring af brugernes netværksadgang sikre, at der ikke sker uautoriseret anvendelse af fælles netværk og hertil knyttede tjenester. Brugere skal kun have adgang til de netværkstjenester, de er autoriseret til at benytte. IT-afdelingen har ansvaret for at der findes en fortegnelse over de netværk og tjenester, der må tilgås. Autentificering ved adgang til netværket Ved adgang til det interne netværk fra andre end kommunens interne lokaliteter skal der benyttes adgangskode og hardware token, eller tilsvarende stærke autentifikationsmekanismer. Side 32 af 48

33 Beskyttelse af diagnose- og konfigurationsporte Diagnose og konfigurationsporte i netværksudstyr skal beskyttes fysisk eller logisk. Diagnose og konfigurationsporte må kun være fysisk eller logisk tilgængelige, når der reelt behov for dette. De skal deaktiveres eller fjernes, når de ikke anvendes. Opdeling af netværk IT-afdelingen skal segmentere kommunens interne netværk for at etablere en passende adskillelse imellem forskellige tjenester, brugergrupper eller systemer. Som et minimumskrav til netværkssegmentering, skal IT-afdelingen etablere en "demilitariseret zone" (DMZ), hvor offentligt tilgængelige servere placeres adskilt fra internt tilgængelige servere. Rutekontrol IT-afdelingen skal sikre, at trafik rutes imellem forskellige netværkssegmenter, således at kun nødvendig trafik videresendes. IT-afdelingen skal overveje anvendelsen af filtrering på afsender- og modtager-adresser på relevante protokoller imellem alle relevante netværkssegmenter. IT-afdelingen skal sikre passende netværks- eller node-autentificering til ethvert netværkssegment. 8.5 Styring af systemadgang Sikker log-on Logonprocedurer må ikke indeholde fejlmeddelelser eller lignende, som kan misbruges af uautoriserede brugere. Antallet af fejlslagne forsøg på logon skal begrænses til fem forsøg. Ved overskridelse af antallet af fejlslagne loginforsøg, skal brugerkontoen låses i 30 minutter. Adgangskoder må ikke vises ved indtastning og må ikke sendes i klar tekst. Brug af systemværktøjer IT-afdelingen skal begrænse og styre adgangen til systemværktøjer, f.eks. værktøjer, der kan påvirke eller omgå systemers eller enheders sikkerhed. IT-afdelingen skal sikre, at unødige systemværktøjer ikke er installeret eller tilgængelige på brugeres pc-arbejdspladser. IT-afdelingen skal sikre, at brugen af systemværktøjer begrænses til et minimum af betroede og autoriserede brugere. Hvor funktionsadskillelse er påkrævet, må brugere ikke have adgang til både systemværktøjer og brugersystemer. Side 33 af 48

34 Administratoradgang til it-systemer Administrative adgange til it-systemer og platforme, skal beskyttes med særskilte administrator-logins. Den enkelte systemadministrator skal tildeles et personligt administratorlogin, som ikke må deles med andre systemadministratorer. I forbindelse med it-systemer, hvor tildeling af individuelle administratorlogins ikke er muligt, skal delte logins beskyttes, mod udbredelse til udvedkomne. Ændring af administrative adgangskoder Administrative adgangskoder skal følge samme minimumsregler, som gælder for øvrige adgangskoder. Administrative adgangskoder skal ændres, hvis uvedkomne får kendskab til disse. Administrative rettigheder på pcarbejdspladser Af administrative hensyn må brugerene tildeles administrationsrettigheder til de pc-arbejdspladser de benytter. ITafdelingen begrænser imidlertid brugernes reelle rettigheder på pcarbejdspladserne til et centralt styret og fastsat nivaeu, ved hjælp af policies. 8.6 Styring af adgang til brugersystemer og informationer Adgangsbegrænsning til informationer Begrænset adgang til informationer Isolering af særligt kritiske brugersystemer For at hindre uautoriseret brugeradgang til informationer og funktionaliteter, skal brugersystemer have indbyggede faciliteter til styring og begrænsning af adgang og privilegier i systemet. Adgang for brugere og hjælpepersonale til brugersystemers funktioner og informationer skal begrænses i overensstemmelse med de fastlagte forretningsbetingede krav og informationernes klassifikation. Særligt kritiske brugersystemer skal placeres på isoleret informationsbehandlingsudstyr. 8.7 Mobilt udstyr og fjernarbejdspladser Mobilt udstyr Kommunen tillader anvendelse af mobilt it-udstyr, som eksempelvis: bærbare pc-arbejdspladser, håndholdte computere (PDA) og smartphones. Informationssikkerhedspolitikken og de tilhørende retningslinjer gælder og skal overholdes i forbindelse med anvendelse af mobilt udstyr. Tilslutning af mobilt udstyr til fremmede net Hjemmearbejdspladser Mobilt udstyr må tilsluttes fremmede netværk, såfremt der anvendes token-løsning eller software-vpn. Kommunen tillader anvendelse af hjemmearbejdspladser. Informationssikkerhedspolitiken og de tilhørende retningslinjer gælder, og skal overholdes, i forbindelse med anvendelse af hjemmearbejdspladser. Side 34 af 48

35 Antivirus-programmer Der skal være antivirus-programmer installeret på hjemmearbejdspladser og bærbare pc-arbejdspladser. Det skal sikres, at antivirus-programmer, hjemmearbejdspladser og bærbare pc-arbejdspladser holdes opdateret - som minimum via daglige automatiske opdateringer. Antivirus-programmer på bærbare pc-arbejdspladser, som benyttes uden netværksopkobling i kortere eller længere perioder, skal automatisk opdateres ved opkobling til internettet eller internt netværk. Adgang til kommunens interne netværk Adgang fra mobilt it-udstyr til kommunens interne netværk og data må kun etableres ved hjælp af en teknisk løsning eller teknologi, der er godkendt af IT-afdelingen. Adgang fra hjemmearbejdspladser til systemer og data på kommunens interne netværk, kan kun etableres via VPN- eller token-løsning. Adgang til applikationer på kommunens netværk Fortrolige data på mobile enheder Opbevaring af fortrolige informationer på privat udstyr Det er muligt at få adgang til samme applikationer/systemer fra hjemmearbejdspladser, som fra brugerens sædvanlige pc-arbejdsplads på kontoret. Der må opbevares fortrolige data på mobilt it-udstyr, såfremt disse data beskyttes med et produkt eller teknologi, der er godkendt af ITafdelingen. Der må kun behandles eller opbevares personhenførbare eller fortrolige informationer på udstyr der tilhører Frederikshavn Kommune. Privatejet it-udstyr, som eksempelvis pc, håndholdt computer, bærbare harddiske, USB-hukommelse, MP3-afspillere, cd- eller dvd-brændere, må ikke anvendes til kopiering eller opbevaring af kommunens fortrolige data. Brug af bærbare medier til fortrolige data Fortrolige informationer skal krypteres når de opbevares eller transporteres på bærbare medier, f.eks. USB-hukommelse, PDA'er, cd'er, dvd'er eller disketter. Manglende kryptering tillades hvis medierne, der benyttes til transport af fortrolige data, under transporten er overvåget af betroede personer. Side 35 af 48

36 9 Anskaffelse, udvikling og vedligeholdelse af informationssbehandlingsystemer Indkøb, udvikling og implementering af nye systemer skal foregå på en kontrolleret måde for at undgå unødig forøgelse af informationssikkerhedsmæssige risici. Når nye løsninger implementeres bør overvejelser om sikkerheden altid indgå som en integreret del af processen. 9.1 Sikkerhedskrav til informationsbehandlingssystemer Anskaffelsesprocedurer Det skal sikres, at nyanskaffelser af informationsbehandlingsudstyr ikke giver anledning til konflikt med eksisterende krav i kommunens informationssikkerhedspolitik og retningslinjer. Kommunen skal have en formel forretningsgang og godkendelsesprocedure for indkøb af nyt it-udstyr og -systemer Nyanskaffelser må ikke give anledning til forøget risiko for sikkerhedshændelser, med mindre kommunens direktion accepterer den øgede risiko. Anskaffelse og installation af nyt it-udstyr og -systemer skal godkendes af kommunens IT-afdeling. Den ansvarlige systemejer skal ved anskaffelse af nye it-systemer sikre, at der foretages en risikovurdering af systemet, inden det tages i anvendelse. Anskaffelse af it-udstyr og software Alt it-udstyr og software skal indkøbes via IT-afdelingen. It-afdelingen skal tilse, at kun kendt og sikkert it-udstyr og software med et defineret formål anskaffes og tages i brug. It-udstyr og software må kun indkøbes fra leverandører, som ITafdelingen vurderer som seriøse og som må forventes ikke at krænke tredjeparts ophavsret. Specifikation af sikkerhedskrav Sikkerhedskrav skal være dokumenterede i forbindelse med enhver væsentlig nyanskaffelser af it-systemer eller it-systemopgradering. Dette gælder både for kundetilpassede systemer og standardsystemer. Sikkerhedskrav skal indgå i kravspecifikationen til nye systemer. Kravspecifikation for nye systemer skal omfatte følgende områder: Adgangskontrol Alle væsentlige hændelser logges og overvåges. Beskyttelse i mod fortrolighedskrænkelser i det omfang systemet skal behandle fortrolige eller personhenførbare informationer. Overholdelse af relevante love eller kontrakter. Mulighed for backup af data og system. Mulighed for genetablering efter kritiske, uforudsete fejlsituationer. Krav til viden og uddannelse af driftspersonale. Side 36 af 48

37 9.2 Korrekt informationsbehandling Validering af inddata Data, der sendes ind i systemerne, skal valideres for korrekthed. Der skal genereres log over de aktiviteter, der sender data ind i systemet. Kontrol af intern databehandling Integritet af meddelelser IT-afdelingen skal sikre, at der fortages kontrol af datas korrekthed i kommunens systemer eller applikationer. Formålet er at afsløre, hvis data uretmæssigt modificeres, enten på grund af systemfejl eller bevidste handlinger. IT-afdelingen skal i samarbejde med systemejerne sikre, at der foretages risikovurderinger af, hvorvidt dataintegritet og -autenticitet i forbindelse med meddelelser skal beskyttes. Vurderingen skal klarlægge den mest hensigtsmæssige måde at implementere eventuelle beskyttelsesforanstaltninger på. Validering af uddata Systemejerne skal sikre, at uddata fra it-systemerne valideres for at sikre, at de under de givne omstændigheder er korrekte. 9.3 Kryptografi Krypteringsløsning til elektronisk borgerbetjening IT-afdelingen skal, i henhold til edag2-kravene, sikre at kommunen er i besiddelse af en løsning til kryptering af kommunikationen i forbindelse med elektronisk borgerbetjening via . Krypteringsløsningen skal være baseret på Digital Signatur/OCEScertifikater. Kryptering af harddiske Nøglehåndtering Fortrolig information, som lagres bærbar pc's harddisk, skal altid krypteres IT-afdelingen skal etablere et nøglehåndteringssystem, som understøtter kommunens anvendelse af kryptografi. Nøglehåndteringssystemet kan omfatte, generering, distribution, lagring, ændring, tilbagekaldelse, genskabelse, aktivering og destruktion af nøgler samt logning og overvågning af aktiviteter i forbindelse med nøglehåndtering. Godkendelse af krypteringsprodukter Godkendte krypteringsprodukter IT-afdelingen skal godkende alle produkter, der indeholder krypteringsmekanismer, inden disse må benyttes til fortrolige data. IT-afdelingen skal vedligeholde en liste over godkendte løsninger og produkter til kryptering af data. 9.4 Styring af driftsmiljøet Side 37 af 48

38 Sikring af testdata Kopiering af data fra produktionsmiljøet til et testmiljø skal begrænses og må kun forekomme i situationer, hvor det er uundgåeligt. System- eller dataejer skal formelt godkende aktiviteten, hvis data fra driftsmiljøet skal kopieres til et testmiljø. Data fra driftsmiljøet, der anvendes i testmiljøer, skal slettes omgående efter afsluttet test. Kontrolleret adgang til kildekode Kildekoden til udviklingsprojekter skal sikres mod uautoriseret adgang. Ændringer skal kontrolleres for at sikre integritet. Dette gælder især for itsystemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver. Eventuelle udskrifter af kildekode skal opbevares sikkert. Vedligeholdelse og kopiering af kildekode skal følge en dokumenteret procedure for ændringsstyring. Migreringsstyring Migrering fra udviklingsmiljø til produktionsmiljø skal undergå test og kontrol for at sikre drifts- og sikkerhedsniveauet, samt brugbarhed inden implementering gennemføres. Godkendt software skal sikres mod efterfølgende uønskede ændringer. Systemudvikling udført af ekstern leverandør Kommunen kræver adgang til at overvåge udviklingsprocessen. Kommunen kræver afleveringstest. Kommunen kræver dokumenteret løbende kvalitetssikring. Kommunen kræver deponering af kildekode til systemer som er specielt udviklet til Frederikshavn Kommune. Kommunen kræver ophavsrettighed på kildekode, der er skrevet specifikt til Frederikshavn Kommune. 9.5 Sikkerhed i udviklings- og hjælpeprocesser Ændringsstyring Ved ændringer skal der foregå en gennemgang af sikringsforanstaltninger og integritetskontroller for at sikre, at disse ikke forringes ved implementeringen. Der skal indhentes en formelle godkendelser af ændringer, før arbejdet med implementeringen igangsættes. Systemdokumentation skal opdateres ved hver ændring. Forældet systemdokumentation skal arkiveres eller destrueres. Der skal vedligeholdes en versionsstyring for alle systemændringer. Driftsdokumentation og forretningsgange for brugerne skal holdes opdateret, således at de stadig er gældende efter ændringen. Implementeringen af ændringer skal foregå på et aftalt tidspunkt for at undgå uventede forstyrrelse i relaterede forretningsgange. Side 38 af 48

39 Gennemgang af systemer efter ændringer Når der foretages ændringer i driftsmiljøet, skal it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver, testes, for at undgå utilsigtede afledte virkninger på kommunens daglige drift. Ændringer i driftsmiljøet skal annonceres i god tid således at der er god tid til gennemgang og test, inden implementeringen. Beredskabsplanerne skal tilrettes i overensstemmelse med nye ændringer. Ændringer i standardsystemer Applikationsudvikling og sikkerhed Ændringer i standardsystemer skal begrænses til de nødvendige, og sådanne ændringer skal styres og dokumenteres omhyggeligt. Sikkerhedsmæssige aspekter skal indgå som en integreret del af alle udviklingsprojekter. 9.6 Sårbarhedsstyring Godkendelse af nye eller ændrede systemer Rettelser til operativsystemer Rettelser til applikations-programpakker Større operativsystemopdatinger På baggrund af en software-distributionspakke udarbejdet af ITafdelingen etablerer IT-afdelingen en godkendelsesprocedure for nye systemer, for nye versioner og for opdateringer af eksisterende systemer samt de afprøvninger, der skal foretages, inden de kan godkendes og sættes i drift. IT-afdelingen skal mindst én gang ugentligt vurdere tilgængelige sikkerhedsrettelser, for eksempel "patches" eller "hot-fixes", til anvendte operativsystemer. Udrulning/installation på relevante systemer skal foretages senest en uge efter vurdering og eventuel positiv funktions- og kompatibilitetstest. IT-afdelingen skal mindst én gang om måneden vurdere tilgængelige sikkerhedsrettelser, for eksempel "patches" eller "hot-fixes", til anvendte programpakker. Udrulning/installation på relevante systemer skal foretages senest en uge efter vurdering og eventuel positiv funktions- og kompatibilitetstest. Når større opdateringer, for eksempel "service packs", bliver gjort tilgængelige fra leverandører, skal IT-afdelingen vurdere, om disse skal installeres. Større opdateringer skal testes grundigt for kompatibilitet med anvendte applikationer inden opdateringerne installeres i produktionsmiljøet. Større programpakkeopdateringer Når større opdateringer, for eksempel "service packs", bliver gjort tilgængelige fra leverandører skal IT-afdelingen vurdere om disse skal installeres. Større opdateringer skal testes i et testmiljø, inden opdateringerne installeres i produktionsmiljøet. Side 39 af 48

40 10 Styring af sikkerhedshændelser 10.1 Rapportering af sikkerhedshændelser og svagheder Det er væsentligt at sikkerhedshændelser og svagheder kan rapporteres på en måde, som gør det muligt at foretage korrektioner. Alle medarbejdere og samarbejdspartnere skal gøres bekendt med procedurer for rapportering af sikkerhedshændelser og svagheder, der kan have indflydelse på informationssikkerheden i kommunen. Ansvar og forretningsgange for sikkerhedshændelser Rapportering af sikkerhedshændelser Kommunens IT-forum skal placere ansvar for at fastlægge forretningsgange der sikrer en hurtig, effektiv og metodisk håndtering af sikkerhedshændelser. Konstaterede eller formodede brud på it-sikringsforanstaltninger skal straks rapporteres til kommunens it-sikkerhedsansvarlige. En medarbejder, som formoder eller konstaterer et brud på sikkerheden, skal notere vigtige detaljer om hændelsen, f.eks. oplysninger om den opståede fejl, beskeder på skærmen og usædvanlige hændelser. En medarbejder må ikke selv forsøge at udbedre fejlen eller sikkerhedsbruddet, men skal i stedet kontakte kommunens IT-afdelingen. Eksterne samarbejdspartneres rapportering af sikkerhedshændelser Eksterne samarbejdspartnere, skal registrere alle sikkerhedshændelser og omgående rapportere alvorlige sikkerhedshændelser, med umiddelbar betydning driften af it-miljøet, til kommuens it-sikkerhedsansvarlige. Mindst en gang hver måned skal eksterne samarbejdspartnere foretage en samlet rapportering af alle registrerede sikkerhedshændelser til kommunens it-sikkerhedsansvarlige. Rapportering af programfejl Rapportering af virusangreb Brugere, der observerer programfejl, som de ikke har oplevet før, skal rapportere dette til IT-afdelingen. Hvis der observeres virus eller mistanke om virus, skal det omgående rapporteres til IT-afdelingen 10.2 Håndtering af sikkerhedsbrud og forbedringer Proces for reaktion på hændelser Kontrol og opfølgning på sikkerhedsbrud Kommunens IT-forum har ansvar for at definere og koordinere en struktureret ledelsesproces, der sikrer en passende reaktion på sikkerhedshændelser. Brud på sikkerheden, uautoriseret adgang og forsøg på uautoriseret adgang til systemer, informationer og data skal registreres. Side 40 af 48

41 At lære af sikkerhedsnedbrud Der skal fastlægges retningslinjer for, hvilke typer sikkerhedshændelser kommunens skal registrere. Fastlæggelse af hvilke hændelsestyper, der skal registreres, foretages på grundlag af resultaterne af de risikovurderinger kommunens løbende gennemfører. Der skal etableres et system, som gør det muligt for IT-afdelingen at registrere og dokumentere relevante fastlagte typer af sikkerhedshændelser. Den information som indsamles om sikkerhedshændelser, skal opbevares og systematiseres på en måde, som muliggør kvantificering af gentagne sikkerhedshændelser. Indsamling af beviser Information om sikkerhedshændelser Opfølgning på rapporterede sikkerhedshændelser Vurdering af tidligere hændelser Kommunen skal have en forretningsgang for indsamling og sikring af beviser og kontakt med relevante myndigheder i forbindelse med sikkerhedsbrud, som kan medføre et retsligt efterspil. Kommunen skal på faktuel vis informere berørte parter internt og eksternt om eventuelle sikkerhedshændelser. Kommunens direktion skal godkende udsendelsen af alle eksterne meddelelser. Kommunens it-sikkerhedsansvarlige skal indsamle og opgøre statistik for rapporterede sikkerhedshændelser. Opgørelsen rapporteres til kommunens IT-forum ved de ordinære møder. Mindst en gang om året skal IT-forum gennemgå den forgangne periodes hændelser og på denne baggrund anbefale, hvorvidt itsikkerhedssystemet kan forbedres eller præciseres. Dette kan f.eks. ske via forslag til opdatering af regler, procedurer og risikovurdering eller ved indførelse af fysiske og logiske sikringsforanstaltninger. Side 41 af 48

42 11 Beredskabsstyring Beredskabsstyring sikre kommunens aktiver mod uforudsete afbrydelser som følge af nedbrud i kommunens it-miljø eller katastofer. Beredskabsstyring skal vha. konsekvensminimerende tiltag og veldefinerede beredskabsplaner sikre hurtig reetablering og minimering af skaderne for kommunen i tilfælde af større nedbrud eller katastrofer Beredskabsstyring og informationssikkerhed Informationssikkerhed i beredskabsstyringen Ramme for beredskabsplaner Beredskabsplan Identifikation af kritiske processer Nødprocedurer for kritiske processer Beredskabsplaner for virksomhedskritiske funktioner Reetablering af forretningskritiske systemer alternativ lokalitet Aktivering af beredskabsplanen Kommunens IT-forum skal udarbejde og vedligeholde en tværorganisatorisk beredskabsstyringsproces, som skal behandle de krav til informationssikkerhed, der er nødvendige for kommunens fortsatte drift. Kommunens IT-forum skal fastlægge en ensartet ramme for kommunens beredskabsplaner for at sikre, at alle planerne er sammenhængende og tilgodeser alle sikkerhedskrav, samt at de fastlægger prioriteringen af afprøvning og vedligeholdelse Beredskabsplaner skal udarbejdes, afprøves og vedligeholdes for systemer og processer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver. Kommunens it-sikkerhedsansvarlige er ansvarlig for at koordinere disse aktiviteter og for at udarbejde en statusrapport til direktionen hvert år. Alle funktioner, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver, og de relaterede processer, systemer og ejere skal være identificerede og dokumenterede. Der skal eksistere opdaterede nødprocedurer, som kan sættes i drift og som dækker alle processer, som er kritiske for kommunens forvaltningsog forretningsmæssige opgaver. Systemejerne er ansvarlige for, at passende beredskabsplaner udarbejdes og vedligeholdes for de enkelte systemer med det formål at minimere nedbrud og udgifter som følge af sikkerhedshændelser. For it-systemer, som er kritiske for kommunens forvaltnings- og forretningsmæssige opgaver, skal der udarbejdes en plan for reetablering på en alternativ lokalitet. Det skal være klart defineret, hvem der har ansvaret for aktivering af beredskabsplaner. Medarbejdere, der udgør en del af beredskabsplaner, skal være informeret om dette ansvar. Alle medarbejdere skal være informeret om beredskabsplanernes eksistens. Forsikring mod hændelser Direktionen skal vurdere, om forsikring kan medvirke til minimering af risiko for tab. Især på områder, hvor sikringsforanstaltninger er vurderet som uhensigtsmæssige eller utilstrækkelige, skal dette overvejes. Side 42 af 48

43 Uddannelse i beredskabsplaner Opdatering af katastrofeplaner Afprøvning og vedligeholdelse af beredskabsplaner Afprøvning af beredskabsplaner skal indeholde: Kommunes it-sikkerhedsansvarlige har ansvaret for, at der foregår tilstrækkelig uddannelse af medarbejdere i de aftalte beredskabsprocedurer, inklusive krisehåndtering. Kommunens it-sikkerhedsanvarlige skal sikre, at beredskabsplanerne gennemgås og evt. opdateres mindst en gang årligt. Beredskabsplaner skal løbende afprøves og opdateres for at sikre, at de er tidssvarende og effektive. En skrivebordstest af de forskellige scenarier. Simuleringer (med henblik på at træne deltagerne i håndtering af deres roller efter episoden). Teknisk retablering (sikring af at tekniske systemer kan retableres effektivt). Retablering i andre lokaler end de oprindelige (gennemføre parallel drift i andre lokaler). Test af leverandørens faciliteter og ydelser (sikre at eksterne ydelser og produkter lever op til betingelserne i kontrakten). Side 43 af 48

44 12 Overensstemmelse med lovbestemte og kontraktlige krav Mange aspekter af kommunens virke kan være omfattet af lovgivning eller påvirket af kontrakter eller eksterne parters rettigheder Overensstemmelse med lovbestemte krav Identifikation af eksterne krav Identifikation af relevant lovgivning Ledelsen er ansvarlig for at identificere lovgivning der er relevant for kommunens drift, eller udpege en person, der er ansvarlig for denne opgave. Ledelsen er ansvarlig for, at alle eksterne sikkerhedskrav og kommunens håndtering heraf, klarlægges, dokumenteres og løbende vedligeholdes. Overholdelse offentlighedsloven Offentlighedsloven omfatter bl.a. bestemmelser om retten til aktindsigt, samt undtagelser for denne ret. Ledelsen skal sikre, at organisationen efterlever offentlighedsloven på alle områder. Alle kommunens sagsbehandlere skal være opmærksomme på overholdelse af offentlighedsloven. Overholdelse af forvaltningsloven Forvaltningsloven indeholder bl.a. bestemmelser om offentligt ansattes tavshedspligt og regler for videregivelse af oplysninger til andre forvaltningsmyndigheder. Ledelsen skal sikre, at organisationen efterlever forvaltningsloven på alle områder. Alle kommunens sagsbehandlere skal være opmærksomme på overholdelse af forvaltningsloven.. Overholdelse af kommunestyrelsesloven Loven indeholder bl.a. regler om fastsættelse af regler for indretningen af kommunens kasse- og regnskabsvæsen i et regulativ, hvori der tillige optages forskrifter vedrørende forretningsgangen inden for kasse- og regnskabsvæsenet. Ledelsen skal sikre, at organisationen efterlever kommunestyrelsesloven på alle områder. Overholdelse af arkivloven Arkivlovens regler er nærmere uddybet i en række cirkulærer: Cirkulære nr. 24 af 8. marts 2002 om anmeldelse og godkendelse af elektroniske journaler og elektroniske dokumenthåndteringssystemer. Cirkulære nr. 23 af 8. marts 2002 om anmeldelse af statslige myndigheders elektroniske registre (databaser). Cirkulære nr. 25 af 8. marts 2002 om statslige myndigheders aflevering af elektroniske arkivsystemer til Statens Arkiver. Ledelsen skal sikre, at organisationen efterlever arkivloven på alle områder. Overholdelse af persondataloven Forhold vedr. persondataloven er beskrevet særskilt i afsnit Side 44 af 48

45 Ophavsret Retningslinier for ophavsrettigheder Direktionen har det overordnede ansvar for, at kommunen fastholder en passende opmærksomhed på ikke at krænke tredje parts ophavsrettigheder. IT-afdelingen skal vedligeholde dokumentation for erhvervede licenser, originalmateriale og manualer. IT-afdelingen skal løbende kontrollere at software-licensaftaler overholdes, f.eks. at eventuelle begrænsninger i antal brugere, servere eller anvendte kopier overholdes. Brugere må ikke kopiere, konvertere eller udtrække information fra billedog lydfiler eller tilsvarende ressourcer med mindre dette specifikt tillades fra rettighedshaveren. Brugere må ikke kopiere bøger, artikler, rapporter eller andre dokumenter, helt eller delvist, med mindre dette specifikt tillades fra rettighedshaveren. Administration af softwarelicenser Registrering af software licenser sker gennem IT-afdelingen. Ansvaret for at antallet af erhvervede licenser er tilstrækkeligt påhviler den medarbejder, der har budgetansvaret i forhold til anskaffelsen af de pågældende licenser. Medarbejdere må ikke forpligte kommunen ved at acceptere licensvilkår i software, som er ikke er accepteret af IT-afdelingen Sikring af kritiske data Retningslinier til sikring af kommunens kritiske data Kommunens kritiske data skal opbevares, lagres, håndteres og bortskaffes på en sikker måde. Der skal være fastlagt en opbevaringsperiode for de forskellige typer af kritiske data. Der skal være udarbejdet relevante beskyttelsesforanstaltninger for at forhindre tab, ødelæggelse og forfalskning af kritiske data Overholdelse af lov om personoplysninger Krav til beskyttelse af personoplysninger Der skal findes foranstaltninger til beskyttelse af personoplysninger, dvs. enhver form for information om en identificeret eller identificerbar fysisk person. Kommunens juridiske afdeling fastsætter nærmere regler for beskyttelse af personoplysninger i Frederikshavn Kommune og vejleder internt i kommunen om emnet. Side 45 af 48

46 Persondatalovens regler Persondataloven gælder for behandling af oplysninger om identificerbare personer, når denne behandling helt eller delvis foretages ved hjælp af elektronisk databehandling og ved ikke-elektronisk behandling af personoplysninger, der indeholdes i et register. Persondatalovens regler skal iagttages ved enhver behandling af personoplysninger i Frederikshavn Kommune. I forhold til persondataloven skal ansatte i Frederikshavn Kommune særlig være opmærksomme på: 1. Hvornår en behandling er omfattet af persondataloven 2. Eventuel anmeldelsespligt 3. Den registreredes rettigheder a. oplysningspligt b. indsigtsret c indsigelsesret 4. Aftaler med eventuelle outsourcing-leverandører/ serviceleverandører/databehandlere Man skal ved anmodninger om indsigt være opmærksom på, at der er forskel på reglerne for indsigtsret efter persondataloven og reglerne om aktindsigt efter forvaltningsloven og offentlighedsloven. Sikkerhedsbekendtgørelsen Tekstbehandlingsreglen Sikkerhedsbekendtgørelsen gælder for offentlige myndigheders behandling af personoplysninger. Sikkerhedsforanstaltninger nævnt i sikkerhedsbekendtgørelsen er indarbejdet i Frederikshavn Kommunes sikkerhedsretningslinjer. Enhver behandling af anmeldelsespligtige personoplysninger skal logges. Det betyder som udgangspunkt, at sådanne oplysninger kun må behandles i systemer, der har de nødvendige logningsfunktioner indbygget. En undtagelse for logningskravet i sikkerhedsbekendtgørelsens 19 tillader, at der sker behandling af personoplysninger, der er omfattet af anmeldelsespligt på udstyr, der ikke kan logge, hvis oplysningerne senest 30 dage efter, at de foreligger i endelig form, slettes, anonymiseres eller overføres til et system, der kan logge. Herved kan almindelig tekstbehandling, regneark, o.l. anvendes til behandling af personoplysninger omfattet af anmeldelsespligt. Undtagelsen for logningskravet i sikkerhedsbekendtgørelsens 19 finder ikke anvendelse, hvis man på et sagsområde har etableret en rutinemæssig administration, der ved hjælp af tekstbehandling, regneark eller lignende baseres på en behandling, som har karakter af føring af et edb-register. F.eks. gælder undtagelsen ikke en løbende notering af udbetalte ydelser eller føring af ventelister. Opbevaring og behandling af personoplysninger Kommunens it-systemer er indrettet til at behandle personoplysninger i overensstemmelse med de sikkerhedskrav, der stilles på persondatalovens område. Dette gælder f.eks. krav om adgangskontroller og logning. Kommunens medarbejdere må ikke behandle personoplysninger på privat udstyr eller udstyr, hvor de krævede sikkerhedsforanstaltninger ikke findes. Side 46 af 48

47 Beskyttelse mod misbrug Misbrugsbeskyttelse af it-udstyr IT-forum skal sikre, at alle medarbejdere i kommunen er informeret om, at it-udstyr ikke må anvendes til uautoriserede formål. Såfremt kommunen iværksætter eventuelle overvågningsforanstaltninger i forhold til medarbejdernes anvendelse af it-udstyr skal IT-forum sikre at alle medarbejdere i kommunen bliver informeret om dette. Såfremt kommunen iværksætter logning med henblik på kontrol af medarbejderes brug af internettet, skal dette anmeldes til Datatilsynet Lovgivning vedrørende kryptografi Regulering på kryptografiområdet Kommunen skal efterleve de nationale regler for kryptografering. Dette gælder også for medarbejdere, der besøger andre lande, medbringende bærbart og mobilt udstyr. Kommunens juridiske afdeling og den itsikkerhedsansvarlige er ansvarlige for at informere medarbejdere om de regler og retningslinier, der er gældende Overensstemmelse med sikkerhedspolitik og -retningslinier Dispensation for krav i informationssikkerhedspolitik og retningslinjer Alle dispensationer for krav i informationssikkerhedspolitikken og retningslinjer skal godkendes af direktionen og skal revurderes mindst en gang om året. Eksisterende systemer, der ikke overholder kravene i informationssikkerhedspolitikken og retningslinjerne, skal opdateres, omkonfigureres eller udfases. Opfølgning på implementering af informationssikkerhedspolitik og retningslinjer Mindst en gang årligt skal der udføres systematisk opfølgning på overholdelse af informationsikkerhedsspolitikken og retningslinjerne i alle kommunens forvaltningsområder og institutioner, og resultatet skal rapporteres til øverste ledelse. Den enkelte leder skal løbende sikre, at informationssikkerhedspolitikken og retningslinjer bliver overholdt inden for eget ansvarsområde. Gennemgang af informationssikkerhedspolitik og retningslinjer Sikkerhedstest af interne it-systemer Sikkerhedstest af eksterne it-systemer Den interne revision skal kontrollere at informationssikkerhedspolitikken og retningslinjerne er indarbejdet i kommunens organisation og overholdes. Kontrollen skal foretages mindst en gang årligt. Mindst en gang om året skal der udføres uddybende sikkerhedstest af sikkerhedsniveauet i internt netværksudstyr og servere. Mindst en gang om året skal der udføres uddybende sikkerhedstest af sikkerhedsniveauet i eksternt netværksudstyr og servere. Side 47 af 48

48 Overtrædelse af sikkerhedsretningslinierne Det er ikke tilladt at forsøge at omgå sikkerhedsmekanismer. Det er ikke tilladt at foretage uautoriseret afprøvning af sikkerheden. Bevidste eller gentagne overtrædelser kan medføre at ansættelses- eller samarbejdsforholdet overvejes fra kommunens side. Det er ledelsens ansvar, at sanktioner for brud på kommunens politikker, regler eller retningslinier håndhæves konsekvent og i overensstemmelse med gældende lovgivning Beskyttelsesforanstaltninger ved revision af informationsbehandlingssystemer Sikkerhed i forbindelse med revision Revisionskrav og revisionshandlinger i forbindelse med systemer i drift skal planlægges omhyggeligt og aftales med de involverede for at minimere risikoen for forstyrrelser af kommunens forretningsaktiviteter. De personer, der udfører revisionen, skal være uafhængige af det reviderede område. Beskyttelse af revisionsværktøjer Adgangen til revisionsværktøjer skal begrænses for at forhindre misbrug. Side 48 af 48