IT driftsaftale Bilag 7: IT-sikkerhedsbestemmelser

Transkript

1 IT driftsaftale Bilag 7: IT-sikkerhedsbestemmelser INDHOLDSFORTEGNELSE 1. Baggrund og formål Ansvarsfordeling Jobcenterchefens ansvar Gensidig informationspligt Krav til driftsmiljø Ekstern IT-drift Pc-arbejdspladser og servere Beredskab Adgang Adgangskontrol Tildeling af autorisation Behandling af personfølsomme oplysninger Sikkerhedskopiering (backup) Procedurer ved ulovlig indtrængen... 6

2 1. BAGGRUND OG FORMÅL Som følge af at kommunen stiller basis-it til rådighed for statslige jobcentermedarbejdere, er kommunen også ansvarlig for IT-sikkerheden i jobcentret på Beskæftigelsesministeriets vegne. Følgende IT-sikkerhedsbestemmelser opstiller på den baggrund Beskæftigelsesministeriets minimumskrav til IT-sikkerheden af jobcentrets basis-it og fastlægger ansvarsfordelingen for IT-sikkerhed mellem ministeriet og kommunen. IT-sikkerhedsbestemmelserne er udarbejdet med udgangspunkt i Arbejdsmarkedsstyrelsens og AF s eksisterende IT-sikkerhedshåndbog med den målsætning at opretholde samme IT-sikkerhedsniveau i de fælles jobcentre som i det tidligere AF-system. Bilaget overholder Sikkerhedsbekendtgørelsen (bkg. nr. 528 af 15. juni 2000 som ændret ved bkg. nr. 201 af 22. marts 2001). Bilaget bliver ultimo 2007 erstattet af et tilrettet bilag, der overholder DS ANSVARSFORDELING Jobcentrene anvender som udgangspunkt kommunens IT-sikkerhedsregler, under forudsætning af at der er etableret et sådant regelsæt ved aftalens indgåelse og at regelsættet overholder sikkerhedsbestemmelserne specificeret i dette bilag. Såfremt kommunen ikke har et regelsæt for IT-sikkerhed ved aftalens indgåelse, påhviler det kommunens at sikre, at jobcentrenes basis-it på anden vis til stadighed overholder samtlige krav til sikkerhed, som fremsat i driftsaftalen med tilhørende bilag. Beskæftigelsesministeriet varetager det samlede ansvar for IT-sikkerheden i den statslige del af beskæftigelsesindsatsen og er ansvarlig for de forretningssystemer, som stilles til rådighed for de statslige jobcentermedarbejdere. 2.1 Jobcenterchefens ansvar Jobcenterchefen skal sikre, at alle statslige jobcentermedarbejdere får fyldestgørende instruktion i de kommunale IT-sikkerhedskrav samt ITsikkerhed generelt. Jobcenterchefen skal føre tilsyn med de statslige jobcentermedarbejderes overholdelse af sikkerhedskravene og påtale såfremt der konstateres overtrædelser. Konstaterer jobcenterchefen kontinuerlige overtrædelser eller generelle mangler og svagheder af sikkerhedsmæssig karakter, skal dette rapporteres til pågældende ansvarlige instans. Aftale om IT-understøttelse af beskæftigelsesindsatsen Bilag 7 2

3 Det er jobcenterchefens ansvar at give kommunen den nødvendige information til at opretholde IT-sikkerheden i jobcentret, herunder at foretage de relevante indberetninger omkring medarbejderautorisationer, når medarbejdere tiltræder og fratræder. 2.2 Gensidig informationspligt Alle involverede parter har gensidig informationspligt vedr. hændelser der har direkte eller indirekte berøring med IT-sikkerheden i jobcentrene. 3. KRAV TIL DRIFTSMILJØ For at sikre stabil og sikker IT-drift skal kommunens IT-miljø inddeles i logisk eller fysisk adskilte systemmiljøer for henholdsvis udvikling, test og drift. Adgangen til miljøerne skal være adskilt, så medarbejdere der er involveret i udvikling ikke tildeles opdateringsadgang til miljøerne for test og produktion. Afvikling af driften skal ske efter formelle skriftlige procedurer med operationelle retningslinier. Disse skal bl.a. indeholde: - ansvarsforhold for afvikling af driften, - driftsplan for daglige driftsopgaver, - kontrol af relevante logfiler, - overvågningsopgaver, - backup/restore af data og systemer, - versionsstyring, - ændringsstyring inkl. oplysninger om ansvarlig, årsag, eventuelle systemafhængigheder og fall-back procedure, - godkendelse af nye systemer og ændringer, - kapacitetsovervågning og planlægning, - virusopdateringer og -beredskab, - sikkerhedsopdateringer af platforme og systemer, - fejlrapportering. Instruktioner i hvordan man håndterer utilsigtede hændelser, fejl og andre undtagelser fra den normale drift skal fremgå af et formelt problemhåndteringssystem, - kontaktpersoner (med angivelse af telefonnumre), der i tilfælde af unormale driftsforstyrrelser eller tekniske vanskeligheder skal inddrages eller orienteres. Dokumentationen for drift og ændringer skal opbevares for indeværende år + 5 år. 3.1 Ekstern IT-drift Såfremt driften varetages af 3. parts leverandør skal kommunen indgå skriftlige aftaler med driftsleverandøren, som sikrer, at alle krav til IT-sikkerhed i nærværende dokument overholdes. Aftalen skal desuden pålægge driftsleverandøren at sikre, at: - oplysninger, der modtages fra jobcentret med henblik på opgavens løsning, anvendes og opbevares på en forsvarlig måde, - print, bilag og andre dokumenter med personfølsomme oplysninger, opbevares utilgængeligt for andre end relevante medarbejdere, Aftale om IT-understøttelse af beskæftigelsesindsatsen Bilag 7 3

4 - medarbejdere der kommer i berøring med personfølsomme oplysninger, er bekendt med Persondatalovens bestemmelser og deraf afledte regler og instrukser om opbevaring af data, - andre funktioner/afdelinger, der medvirker ved opgavens løsning, modtager den information, der er nødvendig, for at de kan varetage deres funktioner på en sikkerhedsmæssigt forsvarlig måde, - at alle medarbejdere er omfattet af tavshedspligt og adgangskontrol. Leverandøren eller dennes revisor skal én gang årligt afgive en erklæring om overholdelse af de aftalte sikkerhedskrav. Udover erklæringen bør kommunen på stikprøvevis føre tilsyn med de faktiske sikkerhedsforhold hos leverandøren. 3.2 Pc-arbejdspladser og servere Basisprogrammel og standard softwarepakker, som er installeret på pcarbejdspladser eller servere, skal være underkastet løbende sikkerhedsmæssig vedligeholdelse, således at systemet til enhver tid er beskyttet optimalt mod forskellige former for malware (virus, orme, trojanere og forskellige former for angreb). Ved kommunikation med servere uden for kommunen skal det sikres, at adgangen til kommunens servere beskyttes med hensigtsmæssige midler, f.eks. filtre i routere, firewall, faste linier, VPN/kryptering, brugeridentifikation, fysisk token m.m. Såfremt kommunen stiller hjemmearbejdspladser eller bærbare PC er til rådighed, skal der udarbejdes særlige sikkerhedsprocedurer for disse. Procedurerne skal bl.a. omfatte opdatering af virusbeskyttelse, brug af VPN, sikring af adgang til Internet m.v. 3.3 Beredskab Kommunen skal etablere et IT-katastrofeberedskab, som sikrer, at forretningskritiske systemer påvirkes minimalt og kan reetableres og/eller opretholdes ved katastrofer og nødsituationer. Ved nødsituationer forstås nedbrud, der ikke kan håndteres indenfor de normale rammer for daglig driftsafvikling. Som led i beredskabet skal der tages højde for, at kritiske netværksressourcer er understøttet af alternative kommunikationsveje, ligesom kritiske netværkskomponenter skal være dubleret. Beredskab skal testes minimum én gang årligt. 4. ADGANG Kommunen skal sikre, at bygningerne er forsvarligt sikret og at der er adgangskontrol til alle lokaler, hvor der er placeret servere eller hvor personfølsomme oplysninger opbevares, hvad enten det er i papir- eller dataform. Ved adgang til lokaler, hvor fortrolige og personfølsomme oplysninger behandles, skal der være skærpet adgangskontrol. Aftale om IT-understøttelse af beskæftigelsesindsatsen Bilag 7 4

5 4.1 Adgangskontrol Adgangen til kommunens IT-systemer og data skal tilsvarende underkastes adgangskontrol. Adgangskontrollen skal sikre, at - kun autoriserede medarbejdere har adgang til systemer og data, og - adgangen er begrænset til de systemer og data, som medarbejderen er autoriseret til. Kommunen skal tilse, at der foretages registrering af alle afviste adgangsforsøg. Hvis der inden for en fastsat periode er registreret et nærmere fastsat antal på hinanden følgende afviste adgangsforsøg fra samme arbejdsstation eller med samme brugeridentifikation, skal der blokeres for yderligere forsøg. Kommunen skal løbende følge op på afviste adgangsforsøg. 4.2 Tildeling af autorisation Jobcenterchefen er ansvarlig for, at medarbejderne autoriseres til de relevante systemer. Jobcenterchefen skal hurtigst muligt orientere kommunen når en medarbejder tiltræder, fratræder eller ændrer jobfunktion. Kommunen skal tilse, at administrationen af autorisationer er entydigt placeret og understøttes af en formel procedure, der fastlægger ansvarsforhold og sikkerhedsrutiner. Administration af brugere og autorisationer skal kunne dokumenteres. 5. BEHANDLING AF PERSONFØLSOMME OPLYSNINGER Såfremt de IT-systemer, kommunen stiller til rådighed for statslige medarbejdere i jobcentret, indeholder persondata, som er omfattet af anmeldelsespligten i Persondatalovens kapitel 12, skal kommunen sikre, at kravene til supplerende sikkerhedsforanstaltninger i Justitsministeriets sikkerhedsbekendtgørelse er opfyldt. For hvert system med adgang til personidentificerbare oplysninger, skal der udpeges en systemadministrator, som administrerer sikkerheden på systemet. For at sikre funktionsadskillelse må systemadministrator ikke have brugerrettigheder til det/de systemer denne administrerer. Derudover skal det indskærpes brugere af eksternt udstyr, at der ikke må lagres personfølsomme oplysninger på udstyret eller på eksterne medier, at udskrifter med personfølsomme oplysninger skal opbevares forsvarligt samt at udstyret ikke må bruges af andre end den autoriserede bruger. 6. SIKKERHEDSKOPIERING (BACKUP) Kommunen skal sikre, at der til stadighed foretages fyldestgørende back-up, så det er muligt at genskabe alle basis-it systemer, -data og -dokumentation i tilfælde af nedbrud eller lign. For at sikre funktionsadskillelse, skal det for væsentlige systemer sikres, at medarbejdere der har direkte eller indirekte adgang til sikkerhedskopierne i sikkerhedsarkiverne, ikke samtidig har adgang til de data og systemer, der ligger til grund for sikkerhedskopierne. Aftale om IT-understøttelse af beskæftigelsesindsatsen Bilag 7 5

6 Af hensyn til den overordnede sikkerhed skal sikkerhedskopier opbevares i henholdsvis et lokalt og et eksternt sikkerhedsarkiv. Det eksterne arkiv skal være bygningsmæssigt adskilt fra det lokale arkiv. Backup- og recoveryprocedurer skal afprøves regelmæssigt og læsbarheden af sikkerhedskopierne skal verificeres. Data, programmer og dokumentation skal arkiveres i henhold til gældende lovgivning (f.eks. Bogføringsloven). 7. PROCEDURER VED ULOVLIG INDTRÆNGEN Kommunen skal fastlægge en procedure ved ulovlig indtrængen, både for fysiske lokaliteter og for systemer. Ulovlig indtrængen i systemer forebygges med en firewall. Firewall en skal sikre en sikkerhedsmæssig adskillelse mellem det interne netværk og eksterne netværker (primært Internettet og samarbejdspartnere). En firewall skal have egenskaber til at bortfiltrere uønsket trafik, aktivt overvåge trafikken, alarmeringsfunktion samt funktion til registrering (logning) af trafikken. Alle kriminelle hændelser som vedrører statslige medarbejdere, informationer eller ejendele, skal oplyses til jobcenterchefen hurtigst muligt. Det gælder også selvom hændelsen er sket uden for kommunens område, f.eks. i en medarbejders hjem, bil eller på rejse. Såfremt den kriminelle hændelse har indflydelse på de statslige systemer og/eller data, orienterer jobcenterchefen BIT hurtigst muligt. Kommunen skal udarbejde en rapport om hændelsen. Rapporten arkiveres således at man eventuelt over tid kan analysere hændelserne i sammenhæng. Aftale om IT-understøttelse af beskæftigelsesindsatsen Bilag 7 6