Bilag 5 Aarhus Kommune. Udpluk af IT-sikkerhedspolitik Regler Virksomhedens regler for informationssikkerhed 1.0. Opbevaring/sletning af informationer

Transkript

1 Bilag 5 Aarhus Kommune Udpluk af IT-sikkerhedspolitik Regler Virksomhedens regler for informationssikkerhed 1.0 Opbevaring/sletning af informationer

2 Regler 7 Styring af informationsrelaterede aktiver Alle kommunens fysiske og funktionsmæssige informationsrelaterede aktiver skal beskyttes, uanset om det er fysiske aktiver som dokumenter, der er udskrevet, produktionsudstyr eller IT-systemer. Det er derfor nødvendigt at identificere, klassificere og placere ejerskab for alle aktiver. Magistratsafdelingerne skal vedligeholde fortegnelser over alle væsentlige aktiver, herunder IT-udstyr og informationssystemer. Der skal udpeges en ejer som ansvarlig for hvert aktiv. Borgmesterens Afdeling udarbejder retningslinier for accepteret brug af kommunens informationsaktiver. Formålet med klassifikation af information og data er at identificere og prioritere de særligt kritiske netværk, systemer og data. 7.4 Klassifikation af informationer og data Opbevaring af fysiske dokumenter Udskrivning Fortrolige informationer i offentlige rum 8 Medarbejdersikkerhed Dokumenter med fortrolige/følsomme personhenførbare informationer skal opbevares i aflåst skab eller skuffe efter ar-bejdstids ophør. Dokumenter med fortrolige/følsomme personhenførbare informationer må ikke ligge med forsiden opad når du forlader dit skrivebord. Printere, som benyttes til udskrivning af fortrolige eller personhenførbare informationer skal placeres i lokaler, der ikke er offentligt tilgængelige eller er overvågede. Fortrolige informationer må ikke efterlades uden opsyn i offentligt tilgængelige rum. Der skal udvises forsigtighed ved omtale af fortrolige informationer i offentlige rum. Informationssikkerheden i kommunen afhænger i høj grad af medarbejderne. Medarbejdere skal derfor uddannes i IT-sikkerhed i relation til deres jobfunktion og modtage de nødvendige informationer. Endvidere er det nødvendigt med regler, der beskriver sikkerhedsforhold når et ansættelsesforhold slutter. IT-sikkerhedschefen udarbejder en nærmere beskrivelse af sikkerhedsprocedurerne. Medarbejderne skal underskrive en medarbejdererklæring. Den enkelte magistratsafdeling vurderer behovet for baggrundscheck og straffeattest. 8.2 Ansættelsesforholdet Uddannelse 2

3 Uddannelse i klassificering af informationer 9 Fysisk sikkerhed Medarbejderne skal informeres om reglerne for opbevaring og behandling af personhenførbare oplysninger. Kommunens IT-infrastruktur, lokaler, informationsbehandlingsudstyr og kommunikationsudstyr skal beskyttes mod uautoriseret fysisk adgang samt fysiske skader og uønskede hændelser. IT-sikkerhedschefen beskriver retningslinier for fysisk afgrænsning af områder, fysisk adgangskontrol, sikring af kontorer, lokaler og udstyr, beskyttelse mod eksterne trusler, forsyningssikkerhed, sikker bortskaffelse eller genbrug af udstyr m.v. 9.1 Sikre områder Offentlige områder 9.2 Beskyttelse af udstyr Placering af udstyr Bortskaffelse af data, licenser og udstyr I offentligt tilgængelige områder skal det sikres, at uvedkommende ikke kan få adgang til de sikre områder via kommunens øvrige lokaliteter. Informationer og udstyr, der er placeret i offentligt tilgængelige områder, skal sikres, således at uvedkommende hindres adgang hertil. Udstyr, der benyttes til at behandle fortrolige, følsomme og/eller kritiske informationer, skal sikres, således at informationerne ikke kan ses af uvedkommende. Udstyr, herunder computere, servere, routere og schwitche skal placeres eller beskyttes så risikoen for skade og uautoriseret adgang minimeres. I forbindelse med salg, kassation og overdragelse af udstyr skal der foretages sikker sletning af data og licenser som ikke tilhører maskinen, før enhver overdragelse af ejendomsretten til udstyret. Sikring af mobilt udstyr og fjernarbejdspladser 10 Styring af netværk og drift Opkobling til kommunens netværk må kun ske via faste opkoblinger eller VPN-forbindelser udført af Århus Kommunes netværksoperatør. Adgang til systemer kan herudover etableres via Citrix og sikkerhedsgodkendt tofaktor-autentifikationsløsning. Den enkelte bruger af det mobile og det fastopkoblede udstyr har ansvaret for, at ingen uvedkommende kan få adgang til kommunens netværk, ligesom der ikke må lagres fortrolige, kritiske og følsomme informationer på udstyret med mindre, at harddisken er sikret, f.eks. ved kryptering. Det skal sikres, at eventuelle printudskrifter bortskaffes via arbejdspladsens makuleringsordning. Borgmesterens Afdeling beskriver operationelle procedurer og ansvarsområder. Herunder driftsafviklingsprocedurer, beskyttelse mod skadevoldende programmer og mobil kode, sikkerhedskopiering, netværkssikkerhed, databærende medier, informationsudveksling, elektroniske forretningsydelser samt overvågning og registrering af sikkerhedsrelaterede hændelser. Systemejerne skal sikre en korrekt og betryggende driftsafvikling af kommunens informationssystemer. 3

4 10.1 Operationelle procedurer og ansvarsområder Håndtering af uddata Håndtering af inddata 10.8 Netværkssikkerhed Sikkerhed ved brug af e-fax 10.9 Databærende medier Det skal sikres, at uvedkommende ikke får adgang til uddatamateriale, som indeholder fortrolige persondata og andre kritiske informationer. Adgang til uddatamateriale, der indeholder persondata og andre kritiske informationer, skal begrænses til de personer, der har behov for dette. Uddatamateriale skal opbevares forsvarligt og skal slettes eller tilintetgøres, når det ikke længere skal anvendes. Uddatamateriale, der indeholder persondata, skal slettes eller tilintetgøres i henhold til de interne anmeldelser for det enkelte system eller manuelle register. Inddatamateriale, som indeholder fortrolige persondata og andre kritiske informationer, skal opbevares utilgængeligt for uvedkommende, når det ikke benyttes. Adgang til inddatamaterialet skal begrænses til de personer, der har behov for dette. Inddatamateriale skal opbevares forsvarligt og skal slettes eller tilintetgøres, når det ikke længere skal anvendes. Inddatamateriale, der indeholder persondata, skal slettes eller tilintetgøres i henhold til de interne anmeldelser for det enkelte system eller manuelle register. Ved afsendelse af e-fax, skal modtagerens telefax-nummer kontrolleres nøje. Hvis multifunktionsmaskiner bruges til at modtage fax, skal denne placeres således, at uvedkommende ikke umiddelbart har adgang til de modtagne faxer. Bortskaffelse og genbrug af medier Alle datamedier, f.eks. harddiske, disketter, cd'er, dvd'er, bånd og hukommelsesenheder i f.eks. kopimaskiner skal sikkerhedsslettes eller destrueres inden bortskaffelse. Sletning skal foregå i overensstemmelse med proceduren for sikkerhedssletning. Bortskaffelse eller genbrug af udstyr Når udstyr bortskaffes eller genbruges, skal fortrolige og andre kritiske informationer og licensbelagte systemer fjernes eller overskrives Logning og overvågning Beskyttelse af log-oplysninger 11 Adgangsstyring Log-faciliteter og log-oplysninger skal beskyttes mod manipulation og tekniske fejl. Adgangen til at udføre handlinger på kommunens IT-systemer beskyttes af adgangskontrolsystemer. Systemerne har til formål at sikre mod uautoriserede ændringer, ordrer, fejl og svindel. Kommunens medarbejdere skal medvirke til beskyttelse af informationsaktiverne gennem korrekt brug af systemerne. IT-sikkerhedschefen beskriver retningslinier for adgangsstyring, administration af brugeradgang, 4

5 brugernes ansvar, styring af netværksadgang, styring af systemadgang, styring af adgang til brugersystemer og informationer samt mobilt udstyr og fjernarbejdspladser Mobilt udstyr og fjernarbejdspladser Opbevaring af fortrolige informationer på private enheder Der må ikke opbevares arbejdsrelaterede informationer på andre enheder end kommunens enheder. Privat IT-udstyr som pc'er, PDA'er, bærbare harddiske, memorysticks, MP3-afspillere, minidisks, cd- eller dvd-brændere må ikke anvendes til kopiering eller opbevaring af arbejdsrelaterede informationer. 12 Anskaffelse, udvikling og vedligeholdelse af informationsbehandlingsystemer Det er vigtigt, at indkøb, udvikling og implementering af nye systemer foregår kontrolleret for at undgå unødvendige risici for kommunens informationsbehandling. Når løsninger implementeres skal sikkerhedsovervejelser altid indgå som en integreret del af processen. Systemejerne skal derfor sikre, at krav til sikkerhed bliver identificeret i forbindelse med udarbejdelse af kravspecifikationen ved anskaffelsen af et nyt system. IT-sikkerhedschefen beskriver sikkerhedskravene til informationsbehandlingssystemer, herunder korrekt informationsbehandling, kryptering, logning, styring af driftsmiljøet, sikkerhed i udviklings- og hjælpeprocesser og sårbarhedsstyring Kryptering Kryptering af harddiske Indholdet af harddiske på bærbare computere skal krypteres, hvis fortrolige og/eller følsomme informationer opbevares herpå Sikkerhed i udviklings- og hjælpeprocesser Sikring af systemudviklingsmiljøerne Fortrolige og følsomme informationer må som udgangspunkt ikke anvendes i udviklingsmiljøet. Afvigelser skal godkendes via IT-sikkerhedsorganisationen. Udviklingsmiljøer skal sikres mod trusler som uautoriseret adgang, ændringer og tab. 5