Albertslund Kommune. Albertslund. Samlet politik Virksomhedens samlede it-sikkerhedshåndbog 1.0

Transkript

1 Albertslund Kommune Albertslund Samlet politik Virksomhedens samlede it-sikkerhedshåndbog

2 Indholdsfortegnelse Politik 2 Indledning 2 Overordnet Informationssikkerhedspolitik for Albertslund Kommune 2 Mål 2 Vores holdninger og principper 2 Rammer og gyldighed 3 Opfølgning 3 Godkendt 4 Regler 5 4 Risikovurdering og -håndtering Vurdering af sikkerhedsrisici 5 5 Overordnede retningslinier Informationssikkerhedsstrategi Formulering af informationssikkerhedspolitik Løbende vedligeholdelse 5 6 Organisering af data og informationssikkerhed Interne organisatoriske forhold Ledelsens rolle Koordinering af informationssikkerhed Ansvarsplacering Godkendelsesprocedure ved anskaffelser Tavshedserklæringer Fagligt samarbejde med grupper og organisationer Eksterne samarbejdspartnere Identifikation af risici i forbindelse med eksternt samarbejde Sikkerhedsforhold i relation til leverandører Samarbejdsaftaler 11 7 Styring af informationsrelaterede aktiver Identifikation af og ansvar for informationsrelaterede aktiver Fortegnelse over informationsaktiver Ejerskab Accepteret brug af netværket 12 8 Medarbejdersikkerhed Ansættelsesforholdet 15 Uddannelse Sanktioner Ansættelsens ophør Ansvar ved ansættelsens ophør Returnering af aktiver 15 9 Fysisk sikkerhed Sikre områder Fysisk afgrænsning Fysisk adgangskontrol Sikring af kontorer, lokaler og udstyr Beskyttelse mod eksterne trusler Arbejdsmæssige forhold i sikre områder Områder til af- og pålæsning med offentlig adgang Beskyttelse af udstyr Placering af udstyr Forsyningssikkerhed Sikring af kabler Udstyrs og anlægs vedligeholdelse Sikring af udstyr uden for virksomhedens overvågning Fjernelse af Kommunens informationsaktiver 18

3 10 Styring af netværk og drift Operationelle procedurer og ansvarsområder Driftsafviklingsprocedurer Ændringsstyring Funktionsadskillelse Adskillelse mellem udvikling, test og drift Ekstern serviceleverandør Overvågning og revision af serviceleverandøren Styring af driftsmiljøet Kapacitetsstyring Godkendelse af nye eller ændrede systemer Skadevoldende programmer og mobil kode Beskyttelse mod skadevoldende programmer Sikkerhedskopiering Sikkerhedskopiering Netværkssikkerhed Netværket Netværkstjenester Databærende medier Bærbare datamedier Beskyttelse af datamediers indhold Beskyttelse af systemdokumentation Informationsudveksling Informationsudvekslingsretningslinjer og -procedurer Aftaler om informationsudveksling Elektronisk post og dokumentudveksling Kommunens informationssystemer Elektroniske forretningsydelser Elektronisk handel Offentligt tilgængelige informationer Logning og overvågning Opfølgningslogning Overvågning af systemanvendelse Fejllog Tidssynkronisering Adgangsstyring Krav til adgangsstyring Retningslinjer for adgangsstyring Administration af brugeradgang Registrering af brugere Udvidede adgangsrettigheder Adgangskoder Periodisk gennemgang af brugernes adgangsrettigheder Brugerens ansvar Brug af adgangskoder Uovervåget udstyr Beskyttelse af datamedier på den personlige arbejdsplads I tilfælde af mistanke om misbrug Styring af netværksadgang Retningslinjer for brug af netværkstjenester Autentifikation af brugere med ekstern netværksforbindelse Opdeling af netværk Rutekontrol i netværk Styring af systemadgang Sikker log-on Identifikation og autentifikation af brugere Styring af adgangskoder Brug af systemværktøjer Automatiske afbrydelser 30

4 11.7 Mobilt udstyr og fjernarbejdspladser Mobilt udstyr og datakommunikation Fjernarbejdspladser Anskaffelse, udvikling og vedligeholdelse af 31 informationsbehandlingsystemer 12.1 Sikkerhedskrav til informationsbehandlingssystemer Analyse og specifikation af krav til sikkerhed Korrekt informationsbehandling Validering af inddata Kryptografi Retningslinjer for brugen af kryptering Styring af driftsmiljøet Sikkerhed ved systemtekniske filer Sikring af testdata Sikkerhed i udviklings- og hjælpeprocesser Ændringsstyring Teknisk gennemgang af forretningssystemer efter ændringer i styresystemerne Begrænsninger i ændringer til standardsystemer Lækage af informationer Sårbarhedsstyring Sårbarhedssikring Styring af sikkerhedshændelser Rapportering af sikkerhedsbrud og svagheder Rapportering af sikkerhedsbrud Rapportering af svagheder Håndtering af sikkerhedsbrud og forbedringer Ansvar og forretningsgange At lære af sikkerhedsbrud Beredskabsstyring Beredskabstyring og informationssikkerhed Beredskab og risikovurdering Udarbejdelse og implementering af beredskabsplaner Rammerne for beredskabsplanlægningen Afprøvning, vedligeholdelse og revurdering af beredskabsplaner Overensstemmelse med lovbestemte og kontraktlige krav Overensstemmelse med lovbestemte krav Identifikation af relevante eksterne krav Ophavsrettigheder Sikring af kommunes kritiske data Beskyttelse af personoplysninger Beskyttelse mod misbrug af informationsbehandlingsfaciliteter Overensstemmelse med sikkerhedspolitik og -retningslinier Overensstemmelse med virksomhedens sikkerhedsretningslinjer Beskyttelsesforanstaltninger ved revision af informationsbehandlingssystemer Sikkerhed i forbindelse med systemrevision Beskyttelse af revisionsværktøjer 39 Procedurer 40 Skadelige programmer 40 Sådan skal antivirus installeres og opdateres på servere 40 Sådan skal antivirus installeres og opdateres på arbejdsstationer 40 Adgangskoder 40 Sådan skifter du din adgangskode 40 Brug af 40 Sådan underskriver du med digital signatur 40 Software-installation 40 Installation af standard pc 40 Følgende software må installeres på standard-pc 40

5 Sikkerhedskopiering af data 41 Sådan laver du backup af din bærbare pc 41 Adgang til virksomhedens netværk 41 Oprettelse af ny bruger 41 Kryptering 41 Sådan underskriver du med digital signatur 41 Håndtering af hændelser 41 Rapportering af hændelser eller formodede hændelser 41

6 Politik Indledning Dette dokument beskriver Albertslund Kommunes overordnede informationssikkerhedspolitik og skaber, sammen med en løbende risikovurdering, grundlaget for sikker anvendelse af informationsteknologi i Albertslund Kommune. Overordnet Informationssikkerhedspolitik for Albertslund Kommune Mål Albertslund Kommune gennemfører alle nødvendige aktiviteter for at sikre: Tilgængelighed: At opnå en høj tilgængelighed med høje oppetider og minimeret risiko for nedbrud. Integritet: At opnå en pålidelig og korrekt funktion af informationssystemerne med minimeret risiko for ukorrekt datagrundlag, f.eks. som følge af menneskelige og systemmæssige fejl eller udefrakommende hændelser. Fortrolighed: At etablere mulighed for fortrolig behandling, transmission og opbevaring af data, hvor kun autoriserede og autentificerede brugere har adgang. Vores holdninger og principper Behandling af data til dannelse af information er af grundlæggende betydning for de opgaver, der udføres i Albertslund Kommune, og for den service, som ydes over for borgerne. Behandling af data, som indgår i forskellige informationssystemer, skal derfor ske på den mest betryggende måde af hensyn til borgernes retssikkerhed, kommunens troværdighed og af hensyn til de opgaver, der vedblivende skal løses på den mest hensigtsmæssige og rationelle måde. IT-sikkerhedspolitikken har til formål at sikre data og informationer både i forhold til tekniske sikkerhedsforanstaltninger såvel som i forhold til alle ansattes håndtering af data i forbindelse med de daglige arbejdsopgaver. Det ledelsesmæssige ansvar består derfor i fortsat at bevare, styre og forbedre behandlingen af data og informationssystemer med henblik på at tilvejebringe de bedst tænkelige tekniske løsninger inden for rammerne af de vedtagne budgetter samt at sikre de nødvendige ITkompetencer hos medarbejderne for at kunne løse de arbejdsmæssige opgaver professionelt og adfærdsmæssigt i overensstemmelse med lovgivningsmæssige krav. Formålet med IT-sikkerhedspolitikken er dermed at tilkendegive over for borgere, virksomheder og andre offentlige myndigheder, at behandling af data sker på baggrund af besluttede procedurer og retningslinjer. Side 2 af 41

7 IT-sikkerhedspolitikken angiver samtidig over for alle ansatte rammerne for den daglige administrative praksis, som Albertslund Kommune forventer efterlevet. På baggrund af IT-sikkerhedspolitikken sker der en gang årligt (i 3. kvartal) revision af procedurer og retningslinjer for databehandling med henblik på at: Forebygge sikkerhedsproblemer Forebygge/afsløre misbrug Begrænse skader Reetablere informationer Skabe gennemsigtighed i forvaltningen Sikre kvalitet og validitet i forhold til data Sikre borgerne korrekt information og oplysning Rammer og gyldighed IT-sikkerhedspolitikken gælder for alle fastansatte, for alle som midlertidigt arbejder for Albertslund Kommune samt for politikere og samarbejdspartnere, som på den ene eller anden måde deltager i behandling af data. IT-sikkerhedspolitikken omfatter alle data og informationer, dvs. data i form af ord, billeder, lyd mm., som lagres elektronisk. IT-sikkerhedspolitikken omfatter endvidere ikke-elektronisk lagrede data, når disse er dannet på grundlag af elektroniske data, fx i form af uddatamateriale.data og informationer defineres som data og informationer, der tilhører Albertslund Kommune. Herudover defineres det også som informationer, der ikke tilhører kommunen, men som Albertslund Kommune kan gøres ansvarlig for. Dette inkluderer fx alle data og informationer om personale, alle data og informationer, som bidrager til administrative rutiner, samt informationer, som er overladt Albertslund Kommune af andre. Opfølgning Det er målet at beskytte data og informationer og udelukkende tillade adgang og behandling af data og informationer i overensstemmelse med Albertslund Kommunes interesser og under hensyntagen til den til enhver tid gældende lovgivning samt god dataforvaltningsskik. Albertslund Kommune fastlægger på baggrund af en risiko- og konsekvensanalyse et sikkerhedsniveau som svarer til betydningen af den pågældende IT-anvendelse. Det er målet at etablere det fornødne beredskab til at imødekomme skader, tab mm. i forhold til data og informationer på baggrund af risikoanalysen under hensyntagen til de eksisterende økonomiske ressourcer. Det fornødne beredskab ajourføres i en løbende proces. Side 3 af 41

8 Godkendt Denne politilk er vedtaget af Albertslund Kommunes direktørgruppe den dd. mmmm åååå Side 4 af 41

9 Regler 4 Risikovurdering og -håndtering 4.1 Vurdering af sikkerhedsrisici Risikoanalyse Der skal udarbejdes en detaljeret risikoanalyse for alle forretningskritiske systemer. Overordnet risikovurdering Der skal være udført en overordnet risikovurdering af trusselsbilledet for kommunen. Der skal være udført en overordnet risikovurdering, der indeholder konsekvensvurdering og sårbarhedsvurdering. Risikovurderingen skal opdateres en gang om året og ved implementering af nye kritiske syster Der skal gennemføres en bredt funderet risikovurdering med revurdering, der dækker hele organisationen. Målet er at sikre at sårbarheder, trusler og konsekvenser er kendte, og at deres sammenhæng afspejles i organisationens risikoprofil. Risikovurderingen skal omfatte alle væsentlige it-systemer. 5 Overordnede retningslinier. 5.1 Informationssikkerhedsstrategi Formulering af informationssikkerhedspolitik Godkendelse af sikkerhedspolitik Sikkerhedspolitikken skal godkendes af direktørgruppen. Definition på it-sikkerhed Informationssikkerhed defineres som de samlede foranstaltninger til at sikre fortrolighed, tilgængelighed og integritet. Foranstaltninger inkluderer tekniske, proceducemæssige, lov- og regelmæssige kontroller. Vedligeholdelse af sikkerhedspolitik Organisationens sikkerhedspolitikker, regler, procedurer og tilhørende dokumentation skal vedligeholdes af den it-sikkerhedsansvarlige Løbende vedligeholdelse Løbende vedligeholdelse af informationssikkerhedspolitik Revision af sikkerhedspolitik Der skal ske revision af sikkerhedspolitikken mindst hvert andet år. Side 5 af 41

10 6 Organisering af data og informationssikkerhed Placering af ansvar er vitalt for at sikre opmærksomhed på kommunens data og informationsaktiver. Organisationsstrukturen i kommunen og samarbejde med leverandører og samarbejdspartnere er vigtig for at opretholde et tidssvarende sikkerhedsniveau. 6.1 Interne organisatoriske forhold Ledelsens rolle Ledelsens rolle Ledelsen skal støtte virksomhedens informationssikkerhed ved at udlægge klare retningslinier, udvise synligt engagement samt sikre en præcis placering af ansvar Koordinering af informationssikkerhed Sikkerhedsorganisation Der skal være en separat og veldefineret sikkerhedsfunktion, hvis primære arbejdsopgave er at sikre virksomheden. Koordination af informationssikkerheden Ansvaret for koordination af sikkerheden på tværs i organisationen varetages af kommunens Digitaliseringsforum Ansvarsplacering Sikkerhedsansvar for Kommunaldirektøren Kommunens øverste IT-sikkerhedsansvarlige er ansvarlig for at iværksætte og kontrollere sikkerhedsforanstaltningerne i kommunen på IT-området - fysisk og organisatorisk Kommunaldirektøren er ansvarlig for at udpege en daglig itsikkerhedsansvarlig til at varetage service og overvågningsopgaver i forbindelse med rådgivning omkring behandling af personoplysninger i kommunen samt til at foretage kontrol af overholdelse af itsikkerhedsretningslinjerne. Den daglige sikkerhedsansvarlige Rådgiver kommunaldirektøren og forvaltningsdirektører i alle spørgsmål, der vedrører behandling af persondata og it-sikkerhed. Rådgiver forvaltninger og centre i forbindelse med udvikling af lokal praksis Deltager i instruktion og vidensdeling for medarbejdere i forvaltninger og centre. Holder sig løbende orienteret om lovgivning indenfor behandling af personoplysninger, og anvendelsen af persondata i den kommunale administration. Ansvarlig for opfølgning og revision af ít-sikkerhedspolitikken hvert år. Side 6 af 41

11 It-sikkerhedsudvalgets opgaver Formulere og vedligeholde it-sikkerhedspolitikken og indstille den til videre behandling. At formulere og vedligeholde regler og procedure for sikkerhedsarbejdet. At sikre, at der for data og systemer er udpeget data- og systemejere. At vurdere og sikre gennemførelse af den overordnede uddannelse og information vedrørende it-sikkerheden. At prioritere aktiviteter og indsatsområder på grundlag af indstillig fra itsikkerhedsansvarlig. Sikkerhedsansvar for forvaltningsdirektører og centerchefer Forvaltningsdirektøren er ansvarlig for, at den daglige drift i forvaltningen sker på grundlag af reglerne for god databehandlingsskik samt de gældende IT-sikkerhedsmæssige retningslinier. Forvaltningsdirektører og centerchefer autoriserer brugere i egen forvaltning. Forvaltningsdirektører og centerchefer fører kontrol med, at medarbejdere kun er autoriserede til behandlinger, de har brug for i deres daglige arbejde. Forvaltningsdirektører og centerchefer kontrollerer misbrug og uautoriseret adgang ved begrundet mistanke. Forvaltningsdirektører og centerchefer er ansvarlige for, at behandlinger af data af fortrolig eller privat karakter, anmeldes til Datatilsynet og kan endvidere iværksætte behandlinger, der ikke er anmeldelsespligtige. Det påhviler forvaltningsdirektører og centerchefer at fastsætte regler for opbevaring og tilintetgørelse af ind- og uddata og føre tilsyn med, at de fastsatte regler overholdes. Forvaltningsdirektører og centerchefer er ansvarlige for, at der føres tilsyn med brugernes overholdelse af fastsatte sikkerhedsforanstaltninger. Forvaltningsdirektører og centerchefer er ansvarlige for, at medarbejderne instrueres i gældende procedurer og retningslinjer for itsikkerhed samt at medarbejderne løbende får tilstrækkelig uddannelse inden for it-sikkerhed. Side 7 af 41

12 Sikkerhedsansvar for Digitaliseringschefen Ansvaret for vedligeholdelse af en liste over samtlige informationssystemer. Listen skal angive henholdsvis den sikkerhedsansvarlige data- og systemejer for hvert enkelt system. Kommunens netværk, skal sørge for, at netværket er indrettet, så kommunale data til enhver tid vil kunne rekonstrueres hurtigt og uden væsentlige datatab. At der mindst en gang i døgnet tages sikkerhedskopi af alle arbejdsdata. Der etableres et cyklisk ordning med mulighed for at gå mindst tolv måneder tilbage på månedsbasis. Der lægges en plan for sikkerhedskopieringen gennemførelse. Backup og genindlæsningsrutiner skal testes stikprøvevist mindst en gang om året, eller i forbindelse med omlægning af rutinen. At kommunens netværk altid er forsynet med tidssvarende foranstaltninger mod virus og er forsynet med tidssvarende foranstaltninger imod uautoriseret elektronisk adgang udefra. At yde den fornødne service overfor forvaltningsdirektører m.fl. i forbindelse med den driftsmæssige del af datasikkerheden. At datamedier, der ikke længere anvendes, slettes/destrueres så effektivt, at genskabelse ikke er mulig. Linieledelsens ansvar Informere medarbejdere om it-sikkerhedspolitikken og sikre overholdelse af de sikkerhedsmæssige retningslinjer. Sikre sikkerhedsvurdering af nye systemer inden for området i samarbejde med digitaliseringscentret. Ansvar for opklaringsarbejdet ved sikkerhedsbrud i samarbejde med Digitaliseringscentret. Sikkerhedsansvar for systemejer (linieleder) Den faglige anvendelse af systemet. At der altid er opdaterede stamdata, fx. kontaktoplysninger, for det ejede system. Anmeldelse af system til Datatilsynet og evt. opdatering af anmeldelsen. Arkivering af systemets data i følge Arkivloven. At der udarbejdes en kravspecifikation for enhver systemudvikling og ændring i samarbejde med Digitaliseringscentret. At der udarbejdes en risikovurdering ifht. kravene til systemet. At ændringer i systemer mm. følger retningslinierne jf. Digitaliseringsforum mv. At der ved idriftsætning af systemet foreligger konkrete regler og prcedurer for adgangsforholdene. At autorisere adgangen til systemet iht. retningslinier og at foretage opfølgning og rapportering af sikkerhedsbrud. At Change Management retningslinierne følges ved enhver ændring af systemet. Side 8 af 41

13 Sikkerhedsansvar for dataejer (linieleder) At der udarbejdes en risikovurdering for systemtilknyttede data i samarbejde med digitaliseringscentret. At der inden indrapportering af data i systemer foreligger konkrete regler og procedurer for regulering og administration af adgangsforholdene. At autorisere adgangen til data iht. retningslinierne herfor og foretage opfølgning og rapportering af sikkerhedsbrud. Den enkelte medarbejders ansvar I overensstemmelse med lovgivningen har den enkelte medarbejder adgang til personhenførbare data og informationer udelukkende med relevans for de arbejdsmæssige opgaver, som vedkommende varetager. For at beskytte data og informater mod tab og for at sikre borgerne de størst mulige retssikerhed skal alle ansatte følge it-sikkerhedspolitikkens regler og procedure Godkendelsesprocedure ved anskaffelser Anskaffelsesprocedurer Det skal sikres, at nyanskaffelser ikke giver anledning til konflikt med eksisterende krav i sikkerhedspolitikken. Anskaffelser må ikke give anledning til forøget risiko for sikkerhedshændelser, medmindre ledelsen accepterer den øgede risiko. Ethvert nyt system skal gennemgå detaljeret risikoanalyse, såfremt Digitaliseringschefen og den it-sikkerhedsansvarlige beslutter dette på baggrund af den udførte risikovurdering. Anskaffelse og installation af nyt informationsbehandlingsudstyr og - systemer skal igennem en godkendelsesprocedure og godkendes i Digitaliseringsforum. Specifikation af sikkerhedskrav Såfremt en overordnet risikovurdering retfærdiggør aktiviteten, skal sikkerhedskrav dokumenteres i forbindelse med enhver it-system nyanskaffelse eller it-systemopgradering. Dette gælder både for kundetilpassede- og standardsystemer. Anskaffelser Digitaliseringscentret skal tilse, at kun kendt og sikkert udstyr eller software, med et defineret formål, anskaffes og sættes i drift. Installation af programmer på arbejdsstationer Brugere må installere programmer på Kommunens arbejdsstationer forudsat at Digitaliseringscentret har godkendt leverandøren. Ved en reinstallation af computeren bliver alle lokalt installerede programmer slettet. Side 9 af 41

14 Anmeldelse til Datatilsynet Dataejer er ansvarlig for at foretage anmeldelse af anmeldelsespligtige databehandlinger til Datatilsynet. Der udarbejdes en procedure for anmeldelse af data til Datatilsynet. Hvis behandlinger indeholder oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, helbredsmæssige eller seksuelle forhold eller strafbare forhold, væsentlige sociale problemer og andre rent private forhold - skal forvaltningen inden anmeldelsen indhente Datatilsynets udtalelse om behandlingen. I forbindelse med anmeldelse til Datatilsynet orienteres den Itsikkerhedsansvarlige. Det er et mål at få registreret alle ikke-anmeldelsespligtige behandlinger i forvaltningerne Tavshedserklæringer Indhold af fortrolighedserklæringerne Definition af de informationer, der er omfattet. En fastlagt løbetid. Beskrivelse af, hvad der skal ske, når aftalen udløber. Fortrolighedserklæring for tredjepart Det skal sikres, at tredjepart, der kan få adgang til virksomhedens data, er omfattet af en fortrolighedserklæring Fagligt samarbejde med grupper og organisationer Information om nye trusler, virus og sårbarheder Digitaliseringscentret skal holde sig orienteret inden for de benyttede platforme. Digitaliseringscentret skal informere relevante personer i ledelsen om nye trusler, som potentielt kan berøre de pågældende forretningsenheder. Digitaliseringscentret skal udpege en gruppe som er ansvarlig for dette område. 6.2 Eksterne samarbejdspartnere Identifikation af risici i forbindelse med eksternt samarbejde Identifikation af brugerprofiler for eksterne brugere Eksterne brugerprofiler skal, gennem konsistent navngivning, være tydeligt adskilt fra fastansatte medarbejderes brugerprofiler. Sikkerhed ved samarbejde med partnere Ved integration af virksomhedens systemer og processer med tredjepart skal sikkerhedsrisici altid vurderes og dokumenteres. Outsourcing-partnere Inden indgåelse af aftaler skal sikkerhedsniveauet ved partneren afklares og sammenlignes med de krav der stilles i sikkerhedspolitikken. Valg af partnere skal godkendes af den sikkerhedsansvarlige. Side 10 af 41

15 6.2.2 Sikkerhedsforhold i relation til leverandører Sikkerhed i forhold til leverandører Før kommunens leverandører må få adgang til virksomhedens informationsbehandlingssystemer, skal alle sikkerhedsforhold være afklaret. Identifikation af brugerprofiler for eksterne brugere Eksterne brugerprofiler skal, gennem konsistent navngivning, være tydeligt adskilt fra fastansatte medarbejderes brugerprofiler Samarbejdsaftaler Tilgængelighedshændelser Hændelser, der har indflydelse på tilgængelighed, skal afklares i henhold til gældende driftsaftaler (SLA). Driftshændelser, der ikke kan afklares inden for aftalt tid, skal udløse procedurer for hændelseshåndtering. De ramte brugere og systemejere skal informeres. Fortrolighedserklæring for tredjepart Det skal sikres, at tredjepart, der kan få adgang til virksomhedens data, er omfattet af en fortrolighedserklæring. 7 Styring af informationsrelaterede aktiver Informationsaktiver skal beskyttes, uanset om det er fysiske aktiver som dokumenter, der er udskrevet, produktionsudstyr eller it-systemer. Det er derfor nødvendigt at identificere, klassificere og placere ejerskab for alle aktiver. 7.1 Identifikation af og ansvar for informationsrelaterede aktiver Fortegnelse over informationsaktiver Administration af internet-domænenavne Ansvaret for registrering af domænenavne ligger hos Digitaliseringschefen. Registrering af it-udstyr Der skal vedligeholdes en fortegnelse over samtlige relevante enheder, som er forbundet til Kommunens it-infrastruktur Ejerskab Ansvar for adgangsrettigheder Systemets ejer har ansvaret for at fastlægge og løbende revurdere adgangsrettigheder i overensstemmelse med kommunens generelle adgangspolitik. Side 11 af 41

16 7.1.3 Accepteret brug af netværket For at sikre anvendelsen af internettet sker på en lovlig og sikkerhedsmæssig og i det hele taget forsvarlig måde, gælder en række anvisninger som rettesnor. Det gælder imidlertid også om at bruge sin sunde fornuft i forhold til hvad der er forsvarligt. Albertslund Kommune opfordrer til brug af internettet i arbejdsmæssig sammenhæng. Overvågning af netværk Som led i den almindelige netværksovervågning bliver al netværkstrafik logget. Såfremt der er begrundet mistanke om, at der findes misbrug af internettet sted, eller der er begrundet mistanke om, at medarbejdere bryder med Albertslund Kommunes holdninger kan nærmeste leder foranledige, at der indsamles oplysninger med henblik på at belyse om der finder misbrug sted. Dette kan være sider hvor inholdet kan støde andre medarbejdere. Uanset resultatet af logningen skal medarbejderen altid informeres om, at logningen finder sted. Misbrug kan medføre påtale, afskedigelse eller anmeldelse til politiet. Brug af ikke godkendte applikationer på sociale netværk DU må ikke anvende applikationer på kommunens it-systemer, hvis de ikke er godkendte af Digitaliseringscentret. Omfang af brug af sociale netværk Din brug af sociale netværk må ikke genere almindelig drift og brug af virksomhedens it-systemer. Brugere af sociale netværk skal være specielt opmærksomme på at: Personer på sociale netværk er ikke altid dem de udgiver sig for at være (det er ikke sikkert den person, du tror er en kollega, faktisk er det) Persondata må aldrig deles på sociale netværk. Download af filer, som du modtager via et socialt netværk, er underlagt de samme regler som øvrige downloads Informationer, som du har lagt ud på et socialt netværk, kan kun meget vanskeligt, måske aldrig, trækkes tilbage Du vil med stor sandsynlighed opleve at nogen forsøger at franarre dig dine bruger-id''er og/eller dine adgangskoder (phishing). De sociale netværk, som du bruger, kan registrere og gemme oplysninger om dig, og hvilke informationer du søger og bruger. Download af filer fra internettet Arbejdsrelaterede filer må downloades fra internettet. Download af programmer fra internettet Det er ikke tilladt at hente programmer fra internettet, medmindre det er relateret til løsning af arbejdsopgaver og aftalt med Digitaliseringscentret. Streaming via internet Det er ikke tilladt at anvende Kommunens netværk til vedvarende trafik, som eksempelvis streaming af lyd eller billede fra radio- og tv-tjenester eller film. Side 12 af 41

17 Afvikling af programmer i forbindelse med internetsurfing Det er tilladt at afvikle browserbaserede programmer, f.eks. netbankprogrammer, forudsat at sikkerhedspolitikken i øvrigt overholdes. Terminalsessioner til fjernstyring Godkendt personale må tilgå visse virksomhedssystemer over internet eller gennem dial-up-forbindelser, hvis disse sikres på forsvarlig vis. Adgang skal tillades af den sikkerhedsansvarlige i samråd med systemejerne. Sikkerhedsindstillinger i web-browser Brugerne må ikke forsøge at omgå eller bryde de fastsatte sikringsforanstaltninger. Medarbejderes private brug af internetadgang Kommunens internetadgang må i begrænset omgang anvendes til private formål i begrænset omfang, såfremt sikkerhedspolitikken i øvrigt overholdes, og såfremt arbejdsrelateret brug ikke generes på nogen måde. Adgang til surfing på internettet Internetadgangen må benyttes til internetsurfing - dog skal surfing i privat øjemed foretages således, at det ikke blokerer for arbejdsrelateret brug af internettet. Fortrolig mail med følsomt indhold skal krypteres med godkendt software. Dette gælder især for klassificeret, fortrolig eller følsom persondata, der sendes over internettet. Phishing og bedrageri Uanset at Kommunen udfører indholdsscanning af alle s, skal brugere skal være opmærksomme på "phishing" og "social engineering", der f.eks. kan betyde, at de kan modtage tilsyneladende oprigtige e- mails, der forsøger at franarre personlige eller fortrolige oplysninger eller forsøger at få brugeren til at foretage uønskede handlinger. Medarbejderes private brug af Kommunen tillader brug af -systemer, også til privat brug, såfremt sikkerhedspolitikken i øvrigt overholdes. Kommunen forbeholder sig ret til at skaffe sig adgang til data og for medarbejdere, hvis der er mistanke om misbrug eller sker af driftseller sikkerhedshensyn. Virksomheden vil så vidt muligt forsøge at undgå at åbne eventuel privat -korrespondance. Medarbejderne må anvende mailsystemerne til personligt brug i begrænset omfang, hvis dette ikke har indflydelse på virksomhedens drift og sikkerhed i øvrigt. Al mailtrafik betragtes som virksomhedens ejendom. Brug af previewfunktion til åbning af må gerne vises i previewfunktion. Vedhæftede filer It-afdelingen skal blokere for filtyper som it-afdelingen vurderer farlige eller uhensigtsmæssige. Side 13 af 41

18 Adware Adware-beskyttelse baseres på medarbejder-awareness, sikkerhedsindstillinger i internetbrowser, begrænsninger i brugeres muligheder for softwareinstallation samt brug af adware-scannere. Digitaliseringscentret skal sikre, at der regelmæssigt scannes for adware på alle arbejdsstationer. Sagsbehandling og journalisering af Modtaget og afsendt skal journaliseres og behandles efter samme principper som gælder for almindelig brevpost og fax. Installation af trådløst udstyr Medarbejdere må ikke installere udstyr, der giver trådløs netadgang. Forbindelse til fremmede trådløse netværk Brugere må forbinde sig til fremmede trådløse netværk. Autentificering Brugere skal være opmærksomme på at messenger-programmer anvender svag autentificering. Det vil sige at brugeren sjældent eller aldrig har vished for, hvem der kommunikeres med. Filudveksling Der må ikke udveksles filer eller internet-links via messengerprogrammer. Misbrug af internettet Såfremt der er begrundet mistanke om, at der findes misbrug af internettet sted, eller der er begrundet mistanke om, at medarbejdere bryder med Albertslund Kommunes holdninger kan forvaltningsdirektøren foranlede at der indsamles oplysninger med henblik på at belyse om der er fundet mistbrug sted. Opdager man selv at man har brudt datasikkerheden skal det meddeles ens leder. Uanset resultatet af logningern skal medarbejderen altid informeres om at logningen er kontrolleret. Misbrug kan medføre påtale, afskedigelse eller anmeldelse til politiet. Eksempler på internetsider man ikke må benytte: Sider med børneporno, porno, o.lign. Download af ulovlige programmer, Tilbyde elektroniske tjenester, Krænke andres licens og ophavnsrettigheder 8 Medarbejdersikkerhed Informationssikkerheden i Kommunen afhænger i høj grad af medarbejderne. Det er nødvendigt at sikre virksomheden gennem ansættelse af de rigtige medarbejdere. Medarbejdere skal uddannes i itsikkerhed i relation til deres jobfunktion og modtage nødvendige informationer. Endvidere er det nødvendigt med regler, der beskriver sikkerhedsforhold når et ansættelsesforhold slutter. Side 14 af 41

19 8.2 Ansættelsesforholdet Uddannelse Sikkerhedsuddannelse for it-medarbejdere Alle it-medarbejdere skal specifikt uddannes i sikkerhedsaspekter, for at minimere risikoen for sikkerhedshændelser. Uddannelse i sikkerhedspolitikken Alle nyansatte it-brugere modtager, senest på første arbejdsdag, Kommunens informationssikkerhedspolitik. Alle it-brugere skal læse Kommunens informationssikkerhedspolitik Sanktioner Overtrædelse af sikkerhedsretningslinierne Det er ledelsens ansvar, at sanktioner for brud på Kommunens politikker, regler eller retningslinier håndhæves konsekvent og i overensstemmelse med gældende lovgivning. 8.3 Ansættelsens ophør Ansvar ved ansættelsens ophør Fratrædelse Når ansættelse eller midlertidige kontrakter ophæves, skal alle tilknyttede rettigheder trækkes tilbage. ID-kort og lignende skal afleveres, og itudstyr skal afleveres inden sidste lønning udbetales. Afdelingslederen har ansvaret for at it-udstyr o.lign. afleveres og at Digitaliseringscentret modtager en blanket om medarbejderens fratrædelse Returnering af aktiver Returnering af aktiver ved aftrædelse Medarbejderen skal aflevere alt udleveret udstyr såsom mobiltelefon og pc ved samarbejdets ophør. 9 Fysisk sikkerhed Fysisk sikkerhed og adgangsregler for gæster er naturlige elementer i Kommunens sikkerhedspolitik. Fysisk sikkerhed omfatter blandt andet døre, vinduer, alarmer - samt tyverisikring af Kommunens fysiske aktiver, eksempelvis it-udstyr. 9.1 Sikre områder Fysisk afgrænsning Distribueret it-udstyr Alle krydsfelter, afdelings-serverrum og lignende faciliteter med delt itudstyr skal aflåses for at hindre uautoriseret adgang til disse. Side 15 af 41

20 Indbrudsalarmer Virksomheden skal anvende passende alarmsystemer på relevante bygninger og lokaler. Aflåsning af lokaler og bygninger Alle døre og vinduer med adgang til/fra bygningerne skal lukkes og låses ved arbejdstids ophør. Døre til sikrede lokationer i bygningerne skal ligeledes aflåses. Sidste medarbejder der forlader et område er ansvarlig for sikring af dette Fysisk adgangskontrol Adgang for serviceleverandører Serviceleverandører må kun få adgang til sikre områder, når dette er påkrævet. Adgang til serverrum og hovedkrydsfelter Adgang til serverrum og hovedkrydsfelter tillades kun med sikkerhedsgodkendelse eller ved overvåget adgang af medarbejdere fra Digitaliseringscentret. Udlån af adgangskort Adgangskort må udlånes til håndværkere, teknikere og andre såfremt der afleveres komplet udfyldt udlånsformular Sikring af kontorer, lokaler og udstyr Sikring af kontorer, lokaler og udstyr Kontorer og andre lokaler, hvor der opbevares systemer med følsom data, skal kunne låses. Der skal desuden benyttes et adgangskontrolsystem til styring af adgangen til lokalerne Beskyttelse mod eksterne trusler Brandsikring Passende brandsikringsudstyr skal forefindes og være korrekt placeret. Opbevaring af sikkerhedskopier på ekstern lokation Datamedier til retablering af forretningskritiske systemer skal opbevares på et eksternt opbevaringssted Arbejdsmæssige forhold i sikre områder Overvågning i sikre områder It-afdelingen skal sikre, at arbejde i sikre områder så vidt muligt overvåges. Oplysninger om sikre områder Oplysninger om sikre områder og deres funktion skal alene gives ud fra et arbejdsbetinget behov Områder til af- og pålæsning med offentlig adgang Af- og pålæsningsområder Adgang til af- og pålæsningsområder må kun gives til identificerede og autoriserede personer. Leverancer skal registreres i henhold til varemodtagelsesprocedure. Side 16 af 41

21 9.2 Beskyttelse af udstyr Placering af udstyr Placering af udstyr Udstyr, der benyttes til at behandle kritiske/følsomme informationer, skal placeres så informationerne ikke kan ses af uvedkommende. Digitaliseringscentret skal begrænse fysisk adgang til krydsfelter. Køling Serverrum skal sikres med veldimensionerede airconditionanlæg. Tyverimærkning af it-udstyr Alt udstyr skal være tydeligt mærket for at minimere risikoen for tyveri. Alle bærbar pc'er er tydeligt mærket for at minimere risikoen for tyveri. Miljømæssig sikring af serverrum Serverrum, krydsfelter og tilsvarende områder skal på forsvarlig vis sikres mod miljømæssige hændelser som brand, vand, eksplosion og tilsvarende påvirkninger Forsyningssikkerhed Forsyningssikkerhed Miljø- og Teknikdirektøren har ansvaret for, at alle forsyninger som elektricitet, vand, kloak, varme, og ventilation har den fornødne kapacitet og løbende inspiceres for at forebygge uheld der kan have indflydelse på informationsaktiverne. Nødstrømsanlæg Alle server-systemer skal beskyttes med nødstrømsanlæg til at sikre hurtig og korrekt system-nedlukning i tilfælde af strømudfald Sikring af kabler Sikring af kabler Kabler til datakommunikation skal beskyttes mod uautoriserede indgreb og skader. Faste kabler og udstyr skal mærkes klart og entydigt. Dokumentation skal opdateres, når den faste kabelføring ændres. Aflåsning af hovedkrydsfelter og lignende teknikrum Alle krydsfelter og andre teknikrum skal være aflåste Udstyrs og anlægs vedligeholdelse Vedligeholdelse af udstyr og anlæg Digitaliseringscentret skal vedligeholde udstyr efter leverandørens anvisninger. Kun godkendte leverandører må udføre reparationer og vedligeholdelse. Side 17 af 41

22 9.2.5 Sikring af udstyr uden for virksomhedens overvågning Forsikringsdækning for mobile enheder Der er ikke forsikringsdækning af it-udstyr. Sikring af hjemmearbejdspladser Hjemmearbejdspladser og deres kommunikationsforbindelser skal beskyttes i forhold til de informationer og forretningssystemer, de benyttes til. Opsyn med mobile enheder Mobile enheder må ikke efterlades uden opsyn i uaflåste rum. Adgang til data på pc'er og mobiltelefoner skal beskyttes med en loginadgangskode Fjernelse af Kommunens informationsaktiver Fjernelse af udstyr fra virksomheden Udstyr, der indeholder fortrolige data, må kun fjernes efter behørig godkendelse fra pågældende dataejer. 10 Styring af netværk og drift Vedligeholdelse og opdatering af it-systemer er nødvendigt for at opretholde et passende sikkerhedsniveau for Kommunen. Drift af it-systemer inkluderer elementer af overvågning af systemernes helbredstilstand, opdatering og sikkerhedskopiering af data. De fleste it-systemer i dag er afhængige af netværk, og derfor er administration, opbygning, sikring og vedligeholdelse af netværk vitalt for Kommunen. Den trussel, som uautoriseret adgang indebærer, gør det nødvendigt med klare regler for brugen af Kommunens netværk samt overvågning af infrastrukturen Operationelle procedurer og ansvarsområder Driftsafviklingsprocedurer Driftsansvar Digitaliseringscentret er ansvarlig for drift og administration af fælles itsystemer samt disses sikkerhed. Dette inkluderer efterlevelse af sikkerhedspolitikker, regler og procedurer. Dokumentation Digitaliseringscentret skal løbende vurdere dokumentationsbehov for alle væsentlige systemer og it-relaterede forretningsgange Ændringsstyring Side 18 af 41

23 Ændringsstyring Ved ændringer skal der foregå en gennemgang af sikringsforanstaltninger og integritetskontroller for at sikre, at disse ikke forringes ved implementeringen. Der skal indhentes en formel godkendelse af ændringen, før arbejdet med den går i gang. Forældet systemdokumentation skal arkiveres eller destrueres. Implementeringen af ændringen skal foretages på et aftalt tidspunkt, så den ikke forstyrrer de involverede forretningsydelser. Planlægning, test og godkendelse af ændringer Ændringernes konsekvenser skal vurderes inden drift. Ændringer skal igennem en formaliseret godkendelsesprocedure inden drift. Retningslinier for ændringer Ændringer skal kun gennemføres, når de er forretningsmæssigt velbegrundede. Digitaliseringscentret har ansvaret for, at der foregår en entydig identifikation og registrering af væsentlige ændringer. Digitaliseringscentret har ansvaret for, at der findes en nødprocedure til at mindske effekten af fejlslagne ændringer Funktionsadskillelse Funktionsadskillelse: udvikling, test og drift Der er ingen krav til funktionsadskillelse i forbindelse med udviklingstest- og driftsmiljøer. Sikring af forretningskritiske systemer Forretningskritiske systemer skal sikres gennem etableringen af brugerprofiler for at hindre misbrug af disse Adskillelse mellem udvikling, test og drift Adskillelse af udvikling, test og drift Adskillelse af udviklings- og testmiljø fra driftsmiljø skal opretholdes ved hjælp af adgangskontrol. Migreringsstyring Migrering fra udvikling til produktion skal undergå test og kontrol for at tilsikre driftsniveau, sikkerhedsniveau og brugbarhed inden implementering. Derudover skal godkendt software sikres mod efterfølgende uønskede ændringer. Hvis muligt skal kun objekt-kode, og ikke kildetekster, migreres til produktionssystemer. Sikring af applikationsudviklingsmiljøerne Udviklingsmiljøer skal sikres mod trusler som uautoriseret adgang, ændringer og tab. Data skal sikres efter følsomhedsniveau. Adgang til produktionsdata Systemadministratorers adgang til fortrolige oplysninger skal begrænses. Side 19 af 41

24 10.2 Ekstern serviceleverandør Overvågning og revision af serviceleverandøren Overvågning af serviceleverandøren Digitaliseringscentret skal regelmæssigt overvåge serviceleverandørerne, gennemgå de aftalte rapporter og logninger samt udføre egentlige revisioner for at sikre, at aftalen overholdes, og at sikkerhedshændelser og -problemer håndteres på betryggende vis Styring af driftsmiljøet Kapacitetsstyring Kapacitetsovervågning Alle serversystemer med kritiske informationer skal løbende overvåges for tilstrækkelig kapacitet for at sikre pålidelig drift og tilgængelighed. Kapacitetsplanlægning It-systemernes dimensionering skal afpasses efter kapacitetskrav. Belastning skal overvåges således, at opgradering og tilpasning kan finde sted løbende. Dette gælder især for forretningskritiske systemer Godkendelse af nye eller ændrede systemer Godkendelse af nye eller ændrede systemer Digitaliseringscentret skal etablere en godkendelsesprocedure for nye systemer, for nye versioner og for opdateringer af eksisterende systemer samt de afprøvninger, der skal foretages, inden de kan godkendes og sættes i drift. Sikring af serversystemer Servere skal sikres og testes inden implementering i produktionsmiljøet jvf. kravspec. og designspec Skadevoldende programmer og mobil kode Beskyttelse mod skadevoldende programmer Automatisk indholdsfiltrering Systemerne skal jævnligt scannes for spam- og phishing-mails. Disse mails mv. skal sættes i karantæne automatisk. Adware Adware-beskyttelse baseres på medarbejder-awareness, sikkerhedsindstillinger i internetbrowser, begrænsninger i brugeres muligheder for softwareinstallation samt brug af adware-scannere. Digitaliseringscentret skal sikre, at der regelmæssigt scannes for adware på alle arbejdsstationer. Side 20 af 41

25 Spyware Installation af spyware søges undgået gennem begrænsningerne i muligheder for softwareinstallation. Installation af spyware søges undgået gennem patch-managementprocesser. Digitaliseringscentret skal sikre, at der regelmæssigt scannes for spyware på alle arbejdsstationer. Spam-mail beskyttelse Kommunen bortfiltrerer , er omfattet af kommunens kriterier for spam-mails. Medarbejderne skal udvise forsigtighed med deres brugeridentitet i forbindelse med videregivelse af eksempelvis mailadresser, samt i forbindelse med modtagelsen af uønskede s. Antivirus-produkter på servere Der skal være installeret antivirus-beskyttelse på alle serversystemer, hvor dette er muligt og hensigtsmæssigt Sikkerhedskopiering Sikkerhedskopiering Sikkerhedskopiering af data på serversystemer Digitalieringscentret er ansvarlig for opbevaring og sikkerhedskopiering af alle forretningskritiske informationer på serversystemer. Opbevaring af sikkerhedskopier på ekstern lokation Datamedier til retablering af forretningskritiske systemer skal opbevares på et eksternt opbevaringssted. Nødplaner for sikkerhedskopiering Alle kritiske systemer skal have en nødplan for sikkerhedskopiering, således at risikoen for tab af data minimeres. Overvågning af procedurer for sikkerhedskopiering Muligheden for at retablere data fra backup-systemer skal regelmæssigt aftestes i et testmiljø. Endvidere skal retablering testes efter system- eller proces-ændringer, der kan påvirke backup-rutiner Netværkssikkerhed Netværket Sikring af netværk Digitaliseringscentret har det overordnede ansvar for at beskytte Kommunens netværk. Adgang til trådløse netværk for gæster Gæster, hvis identitet er kendt, kan få en ticket i Digitaliseringscentret til gæstenettet "Internet", forudsat at udstyret ikke generer andre systemer. Gæsters brug af virksomhedens trådløse netværk Netværket kan og må kun anvendes til internetadgang, og ikke til direkte adgang til interne systemer. Side 21 af 41

26 Adgang til trådløse netværk Brugere skal autentificeres, ved hjælp af et certifikat eller ticket, før der gives adgang til virksomhedens trådløse netværk, f.eks. ved hjælp af IEEE 802.1x. Indkommende netværksforbindelser Sikkerhedschefen skal godkende enhver form for indkommende netværksforbindelse fra internet til interne netværk. Tilslutning af udstyr til netværk Medarbejdere og konsulenter må ikke koble udstyr sammen med det interne netværk. Kun Digitaliseringscentret må koble udstyr på det interne netværk. Placering af trådløse netværk Der er ingen restriktioner på placering af trådløst netværksudstyr Brug af trådløse lokalnetværk Brug af trådløse netværk tillades. Trådløse netværk betragtes som usikre, ubeskyttede netværk. Adgang til aktive netværksstik Adgang til aktive netværksstik skal styres af Digitaliseringscentret. Firewall-funktioner på servere Alle servere skal benytte firewalls til at sikre, at der kun gives adgang til nødvendige services Netværkstjenester Netværksleverandøren skal kunne levere: De nødvendige teknologiske muligheder for autentifikation, kryptering og overvågning. De nødvendige tekniske opsætninger til at sikre opkoblinger i overensstemmelse med samarbejdsaftalen. Adgangskontrol, der sikrer mod uvedkommendes adgang Databærende medier Bærbare datamedier Brug af datamedier Benyttelse af bærbare datamedier skal være forretningsmæssigt begrundet Beskyttelse af datamediers indhold Beskyttelse af følsomme og fortrolige data på datamedier Systemejere skal etablere procedurer, der sikrer datamediers indhold mod uautoriseret adgang og misbrug af mediernes indhold. Udskrivning Printere som benyttes til udskrivning af fortrolige eller personhenførbare informationer skal have en adgangskodefunktion eller tilsvarende, der sikrer, at kun de rette medarbejdere får adgang til udskrifterne. Side 22 af 41

27 Beskyttelse af systemdokumentation Beskyttelse af systemdokumentation Digitaliseringscentret skal opbevare systemdokumentation passende sikkert. Lagring og adgangsrettigheder til systemdokumentation Systemdokumentation opbevares i mindst 5 år Informationsudveksling Informationsudvekslingsretningslinjer og -procedurer Procedurer for informationsudveksling Digitaliseringschefen har ansvaret for, at der foreligger retningslinier og procedurer for enhver form for elektronisk informationsudveksling. Udskrivning Printere som benyttes til udskrivning af fortrolige eller personhenførbare informationer skal have en adgangskodefunktion eller tilsvarende, der sikrer, at kun de rette medarbejdere får adgang til udskrifterne. Brug af kryptering i forbindelse med dataudveksling Det kræves, at og data, der indeholder fortrolige informationer og personfølsomme data, altid er krypteret med digitalt certifikat eller sendes via dokumentboks. Udlevering af fortrolige informationer og oplysninger Fortrolige informationer og oplysninger må udleveres, hvis der foreligger underskrevne fortrolighedsaftaler. Personhenførbare og fortrolige oplysninger må kun udleveres til bemyndigede personer Aftaler om informationsudveksling Aftaler om informationsudveksling Ved udveksling af information og software imellem virksomheden og evt. tredjepart, skal der foreligge en aftale herom Elektronisk post og dokumentudveksling Elektronisk udveksling af post og dokumenter Hvis bruges til bindende aftaler, skal de underskrives med en digital signatur. Fortrolig mail med følsomt indhold skal krypteres med godkendt software. Dette gælder især for klassificeret, fortrolig eller følsom persondata, der sendes over internettet. Automatisk indholdsfiltrering Systemerne skal jævnligt scannes for spam- og phishing-mails. Disse mails mv. skal sættes i karantæne automatisk. Side 23 af 41

28 Spam-mail beskyttelse Kommunen bortfiltrerer , er omfattet af kommunens kriterier for spam-mails. Medarbejderne skal udvise forsigtighed med deres brugeridentitet i forbindelse med videregivelse af eksempelvis mailadresser, samt i forbindelse med modtagelsen af uønskede s. Afsendelse af mails til flere modtagere Afsendelse af mails til flere personer skal ske med omtanke. Man må ikke sende kædebreve, spam, chikanebreve rundt Kommunens informationssystemer Integration af informationssystemer Hvis integration af informationssystemer resulterer i en forøget risiko, skal denne vurderes og godkendes af ledelsen Elektroniske forretningsydelser Elektronisk handel Foranstaltninger ved elektronisk handel skal omfatte: Krav til fortrolighed, integritet og uafviselighed for både køber og sælger, f.eks. i forbindelse med kontraktindgåelse. Krav til fortrolighed og integritet for alle købsordrer, betalingsoplysninger, leveringsadresser og kvitteringer. Krav til en sikker og hensigtsmæssig betalingsprocedure. Elektronisk handel Information involveret i elektronisk handel over offentligt netværk skal beskyttes mod svindel, kontraktlige uoverensstemmelser, uautoriseret adgang og ændringer Offentligt tilgængelige informationer Offentlig tilgængelig information Det er driftsleverandørens ansvar, at offentlig tilgængelig information, f.eks. på kommunes web-server(e), er passende beskyttet mod uautoriserede ændringer Logning og overvågning Opfølgningslogning Opbevaring af opfølgningslog Digitaliseringscentret skal opbevare log for sikkerhedshændelser på væsentlige systemer i mindst 3 måneder. Digitaliseringscentret skal opbevare log for fejlhændelser på væsentlige systemer i mindst 3 måneder. Digitaliseringscentret skal opbevare log for brugerhændelser på væsentlige systemer i mindst 3 måneder. Side 24 af 41

29 Opfølgningsloggen skal indeholde: Brugeridentifikation. Registrering af systemadgange og forsøg herpå. Registrering af dataadgange og forsøg herpå. Opfølgningslogning Digitaliseringscentret skal logge sikkerhedshændelser på virksomhedens væsentlige systemer. Hændelseslogning Alle produktionssystemer skal logge information om adgang og forsøg på adgang, for at kunne spore uautoriseret aktivitet. Logfiler gennemgås ved mistanke. Overvågning af internet-brug Den enkelte medarbejders anvendelse af internettet bliver logget. Virksomheden har mulighed for at filtrere og begrænse internetadgang Overvågning af systemanvendelse Overvågning af netværk Digitaliseringscentret skal løbende overvåge netværk med henblik på detektering af brud på sikkerheden. Overvågning af internetforbindelser It-afdelingen skal løbende overvåge internetforbindelser med henblik på at detektere elektroniske angreb. Logfiler skal gennemgås regelmæssigt og mindst 3 måneders historik skal opbevares Fejllog Fejllog Fejl skal logges og analyseres, og nødvendige udbedringer og modforholdsregler skal gennemføres Tidssynkronisering Tidssynkronisering Systemejere skal sikre, at systemernes ure jævnligt synkroniseres til korrekt tid. 11 Adgangsstyring Adgangen til at udføre handlinger på Kommunens it-systemer beskyttes af autorisationssystemer. Systemerne har til formål at sikre mod uautoriserede ændringer, ordrer, fejl og svindel. Virksomhedens medarbejdere er medvirkende til beskyttelse af informationsaktiverne gennem korrekt brug af autorisationssystemerne Krav til adgangsstyring Side 25 af 41

30 Retningslinjer for adgangsstyring Retningslinier for adgangsstyring Systemejere har det overordnede ansvar for at etablere og vedligeholde procedurer for adgangsstyring for hvert system. Tildeling af brugerrettigheder Den systemansvarlige for et it-system bestemmer nødvendige brugerrettigheder for systemet. Identifikation af brugerprofiler for eksterne brugere Eksterne brugerprofiler skal, gennem konsistent navngivning, være tydeligt adskilt fra fastansatte medarbejderes brugerprofiler. Administration af arbejdsstationer Generelt må administrative adgangskoder ikke gives til de arbejdsstationer, der anvendes i organisationen. Dispensation gives kun af sikkerhedsorganisationen. Adgangsbegrænsning til informationer Applikationssystemer bør have adgangskontrol implementeret for at hindre uautoriseret adgang til data og funktionalitet jvf. politik defineret af de enkelte applikationsejere. Detailopsætning og specificering afhænger af form og indhold af data, dokumenteret i risikoanalysen af systemet. Administratorbeskyttelse Der skal benyttes systemadministrator-adgangskode på alle platforme. Fratrædelse Når ansættelse eller midlertidige kontrakter ophæves, skal alle tilknyttede rettigheder trækkes tilbage. ID-kort og lignende skal afleveres, og itudstyr skal afleveres inden sidste lønning udbetales. Afdelingslederen har ansvaret for at it-udstyr o.lign. afleveres og at Digitaliseringscentret modtager en blanket om medarbejderens fratrædelse Administration af brugeradgang Registrering af brugere Side 26 af 41

31 Registrering af brugere Brugere skal have unikt brugernavn og bruger-id. Adgangsrettigheder skal afstemmes med de forretningsmæssige behov. Kommunen skal vedligeholde fortegnelser over, hvordan brugere eller brugeres rettigheder fjernes eller ændres ved ophør eller ændring af brugeres jobfunktion. Nærmeste leder skal anmode digitaliseringscentret om brugeradgang og brugerafgang for medarbejdere. Blanket med anmodning om brugeradgang og brugerafgang registreres i kommunens ESDH-system i 5 år. Sikkerhedssytemet i KMD bevirker, at brugere der ikke har været logget på systemerne i 3 måneder, automatisk bliver gjort inaktive. Procedurer for autorisation af brugeradgang skal omfatte en formel autorisationsformular i hvilken de nødvendige privilegier specificeres. Det påhviler lederen, i samme øjeblik en fratrædelse er kendt, at meddele dette til Digitaliseringscentret via autorisationsformularen. Autorisationsformularen til brugeradgang skal godkendes af en passende leder eller it-koordinator og opbevares som dokumentation. CLP sender hver måned et excelregneark med ophørte medarbejdere til forvaltningernes It-koordinator samt digitaliseringscenteret. Sikkerhedssystemet for adgangen til pc og citrix bevirker, at brugere der ikke har været logget på systemet i 7 uger bliver gjort inaktive. Brugerens gemte data på I og N drev slettes automatisk 14 dage efter medarbejderens ophør med mindre nærmeste leder anmoder om længere frist. Skift af administratoradgangskode ved fratrædelse Hvis en person med kendskab til administrative adgangskoder fratræder, skal disse adgangskoder ændres med det samme. Medarbejderes omplacering Ved ændringer af roller for medarbejderne skal rettigheder og privilegier revurderes Udvidede adgangsrettigheder Udvidede adgangsrettigheder De udvidede adgangsrettigheder skal registreres. Der skal benyttes særlige brugeridentiteter til de udvidede rettigheder af hensyn til overvågning og opfølgning. Ændring af administrative adgangskoder Administrative adgangskoder skal ændres hvert kvartal. Administrative adgangskoder skal ændres, hvis udenforstående får kendskab til disse, herunder hvis administratorer forlader firmaet. Administratorbeskyttelse Der skal benyttes systemadministrator-adgangskode på alle platforme. Side 27 af 41

32 Adgangskoder Rapportering af sikkerhedshændelser Adgangskoder til væsentlige systemer må aldrig lagres elektronisk i klartekst. Retningslinier for adgangskoder Ved brugeroprettelse eller nulstilling af adgangskode skal brugere tildeles en sikker, midlertidig adgangskode, som skal ændres umiddelbart efter første anvendelse. Digitaliseringscentret skal etablere og vedligeholde en procedure for, hvordan en brugers identitet fastslås, før en ny midlertidig adgangskode må udleveres. Overdragelse af adgangskode Midlertidige adgangskoder må overdrages mundtligt, herunder per telefon. Adgangskoder er strengt personlige Adgangskoder er strengt personlige og må ikke deles med andre. Autentificering ved adgang til netværket Adgangen til det interne netværk fra andre lokationer end Kommunens skal være adgangskodebeskyttet Periodisk gennemgang af brugernes adgangsrettigheder Gennemgang af brugerprofiler Alle brugerprofiler skal gennemgås mindst en gang årligt for at identificere inaktive profiler eller tilsvarende, der skal fjernes eller ændres Brugerens ansvar Brug af adgangskoder Brug af autologin funktioner På eksterne websites må browserens indbyggede funktion anvendes, såfremt denne er beskyttet med adgangskode. Genbrug af adgangskode Adgangskoder må gerne genbruges på interne og eksterne systemer. Krav til længde af adgangskode Adgangskoder skal indeholde mindst 8 tegn. Krav til indhold af adgangskode Adgangskoder skal indeholde en kombination af tal og bogstaver. Der må ikke benyttes brugernavn, navn eller datoer som en del af adgangskoden. Krav til skift af adgangskode Adgangskoder skal skiftes efter højst 90 dage. Side 28 af 41

33 Ændring af administrative adgangskoder Administrative adgangskoder skal ændres hvert kvartal. Administrative adgangskoder skal ændres, hvis udenforstående får kendskab til disse, herunder hvis administratorer forlader firmaet. Valg af sikre adgangskoder Det er brugerens ansvar at vælge tilstrækkeligt sikre adgangskoder i adgangskontrolsystemerne Uovervåget udstyr Brug af adgangskodebeskyttet pauseskærm Brugere skal aktivere adgangskodebeskyttet skærmlås, når arbejdsstationen forlades, således at den er uden for synsvidde. Tandplejen og Vagten er undtaget fra denne regel Beskyttelse af datamedier på den personlige arbejdsplads Udskrivning Printere som benyttes til udskrivning af fortrolige eller personhenførbare informationer skal have en adgangskodefunktion eller tilsvarende, der sikrer, at kun de rette medarbejdere får adgang til udskrifterne. Opbevaring af fysiske dokumenter Fortrolige dokumenter skal opbevares i aflåst skab eller skuffe. Skriveborde skal ryddes for fortrolige dokumenter senest ved arbejdsdagens afslutning I tilfælde af mistanke om misbrug Ved mistanke om uautoriseret adgang til fortrolige data eller ulovlige internetsider. Ledelsen kan ved mistanke anmode om indsigt i på hvilke internetside samt oplysninger om i hvilke fagsystemer en medarbejder har været inde på Styring af netværksadgang Retningslinjer for brug af netværkstjenester Installation af netværksudstyr Det er ikke tilladt at installere netværksudstyr uden forudgående sikkerhedsgodkendelse Autentifikation af brugere med ekstern netværksforbindelse Indkommende netværksforbindelser Sikkerhedschefen skal godkende enhver form for indkommende netværksforbindelse fra internet til interne netværk Opdeling af netværk Opdeling af netværk Digitaliseringscentret skal segmentere netværk for at etablere en passende adskillelse imellem forskellige tjenester, brugergrupper eller systemer. Side 29 af 41

34 Rutekontrol i netværk Rutekontrol Digitaliseringscentret skal begrænse rutning imellem forskellige netværkssegmenter således at kun nødvendig trafik videresendes Styring af systemadgang Sikker log-on Sikker log-on Systemadgang skal beskyttes af en sikker log-on-procedure Identifikation og autentifikation af brugere Identifikation og autentifikation af brugere Alle brugere skal have en unik identitet til personlig brug Styring af adgangskoder Systemer til styring af adgangskoder Så vidt muligt skal der benyttes it-systemer, der automatisk kan styre de krav, der findes til adgangskoder Brug af systemværktøjer Brug af systemværktøjer Digitaliseringscentret skal begrænse og styre adgangen til systemværktøjer, f.eks. utilities, der kan påvirke eller omgå systemers eller enheders sikkerhed. It-afdelingen skal sikre, at brugen af systemværktøjer begrænses til et minimum af betroede og autoriserede brugere. Der skal være en procedure for autorisation ved ad hoc anvendelse af systemværktøjer. Digitaliseringscentret skal definere, hvem der er autoriseret til at anvende hvilke systemværktøjer. Hvor funktionsadskillelse er påkrævet, må brugere ikke have adgang til både systemværktøjer og brugersystemer Automatiske afbrydelser Automatiske afbrydelser Funktioner i et informationsbehandlingssystem, der ikke har været aktivt i et fastlagt tidsrum, skal automatisk afbrydes. Side 30 af 41

35 11.7 Mobilt udstyr og fjernarbejdspladser Mobilt udstyr og datakommunikation Tyverimærkning af it-udstyr Alt udstyr skal være tydeligt mærket for at minimere risikoen for tyveri. Alle bærbar pc'er er tydeligt mærket for at minimere risikoen for tyveri. Brug af kryptering i forbindelse med opbevaring af data Ingen krav Mobile enheders tilslutning til andre netværk Det er tilladt at forbinde mobilt udstyr til andre netværk såfremt der benyttes firewall på enheden Fjernarbejdspladser Adgang fra distancearbejdspladser Der må kun gives adgang til sikkerhedsgodkendte systemer på internt netværk. Indkommende netværksforbindelser Sikkerhedschefen skal godkende enhver form for indkommende netværksforbindelse fra internet til interne netværk. Fjernstyring og administration Forbindelser til fjernadministration til brug for vedligeholdelses- og supportopgaver må kun aktiveres, når de er nødvendige. Adgangskonti skal slettes, når de ikke længere anvendes. Hjemmearbejdspladser Tillades når sikkerhedspolitikken i øvrigt overholdes. Adgang til netværket Netadgang og systemadgang begrænses ved brug af godkendte firewalls. Opbevaring af fortrolige informationer på privat udstyr Der må ikke overføres personhenførbare eller fortrolige informationer på udstyr, der ikke tilhører Kommunen. Dette vil være en overtrædelse af persondataloven. Oplysninger gemt på private drev vil ikke medgå i den daglige backup. 12 Anskaffelse, udvikling og vedligeholdelse af informationsbehandlingsystemer Indkøb, udvikling og implementering af nye systemer i Kommunen skal foregå kontrolleret for at undgå en unødvendig forøgelse af risiko for informationssikkerheden. Når løsninger implementeres, bør sikkerhedsovervejelser altid indgå som en integreret del af processen. Side 31 af 41

36 12.1 Sikkerhedskrav til informationsbehandlingssystemer Analyse og specifikation af krav til sikkerhed Sikkerhedskrav til informationsbehandlingssystemer Kommunens ønsker til nye såvel som bestående systemer skal indeholde krav til sikkerheden med udgangspunkt i en risikovurdering. Sikkerhed i systemplanlægning Ved planlægning af systemer skal sikkerhedsbetragtninger altid medtages i overvejelserne. It-sikkerhedskrav skal tages i betragtning ved design, aftestning, implementering og opgradering af it-systemer samt ved systemændringer Korrekt informationsbehandling Validering af inddata Databaseintegritet Databasesikkerhed, integritetsstyring og datavalidering skal anvendes for at reducere muligheden for kompromittering af integriteten. Integritet af andre data Integriteten for ikke-kritiske data skal beskyttes med input-kontrol (validering). Andre former for kontroller kan specificeres for individuelle systemer og processer Kryptografi Retningslinjer for brugen af kryptering Godkendte krypteringsprodukter It-afdelingen skal vedligeholde en liste over godkendte krypteringsløsninger. Godkendelse af krypteringsprodukter Sikkerhedsafdelingen skal godkende alle produkter, der indeholder kryptografi, før disse må benyttes til fortrolige data. Kryptering af filer Filer med dokumenter, klassificeret som fortroligt, skal beskyttes ved hjælp af kryptografi Styring af driftsmiljøet Sikkerhed ved systemtekniske filer Rettelser til applikations-programpakker Digitaliseringscentret skal mindst hver uge vurdere tilgængelige sikkerhedsrettelser, f.eks. patches eller hot-fixes til anvendte programpakker. Udrulning/installation på relevante systemer skal foretages senest en uge efter vurdering og positiv funktions- og kompatibilitetstest. Side 32 af 41

37 Rettelser til operativsystemer Digitaliseringscentret skal mindst hver uge vurdere tilgængelige sikkerhedsrettelser, f.eks. patches eller hot-fixes til anvendte operativsystemer. Udrulning/installation på relevante systemer skal foretages senest en uge efter vurdering og positiv funktions- og kompatibilitetstest. Softwareopdateringer generelt Digitaliseringscentret skal holde sig informeret om alle programrettelser til alle programmer, der anvendes i Kommunen og snarest installere disse på alle computere, f.eks. servere og arbejdsstationer, når det vurderes, at rettelserne har positiv indflydelse på den samlede sikkerhed. Digitaliseringscentret skal forestå installation af alle større programrettelser, når det vurderes, at disse har positiv indflydelse på den samlede sikkerhed. Systemejere er ansvarlige for, at der løbende sker regelmæssig opdatering af anvendt software. Ændringer i forretningskritiske systemer Alle ændringer i forretningskritiske systemer skal udføres efter godkendt procedure. Alle procedurer skal indeholde en alternativ plan til retablering af det forretningskritiske system. Vilkårene for aktivering af den alternative plan skal ligeledes fremgå af proceduren Sikring af testdata Sikring af testdata Data til test skal udvælges, kontrolleres og beskyttes omhyggeligt og i henhold til deres klassifikation. Det skal formelt godkendes, inden data fra driftsmiljøet kopieres til et testmiljø Sikkerhed i udviklings- og hjælpeprocesser Ændringsstyring Ændringsstyring Ved ændringer skal der foregå en gennemgang af sikringsforanstaltninger og integritetskontroller for at sikre, at disse ikke forringes ved implementeringen. Der skal indhentes en formel godkendelse af ændringen, før arbejdet med den går i gang. Forældet systemdokumentation skal arkiveres eller destrueres. Implementeringen af ændringen skal foretages på et aftalt tidspunkt, så den ikke forstyrrer de involverede forretningsydelser. Migreringsstyring Migrering fra udvikling til produktion skal undergå test og kontrol for at tilsikre driftsniveau, sikkerhedsniveau og brugbarhed inden implementering. Derudover skal godkendt software sikres mod efterfølgende uønskede ændringer. Hvis muligt skal kun objekt-kode, og ikke kildetekster, migreres til produktionssystemer. Side 33 af 41

38 Teknisk gennemgang af forretningssystemer efter ændringer i styresystemerne Gennemgang af systemer efter ændringer Når driftsmiljøerne ændres, skal kritiske forretningssystemer gennemgås og testes for at sikre, at det ikke har utilsigtede afledte virkninger på virksomhedens daglige drift Begrænsninger i ændringer til standardsystemer Ændringer i standardsystemer Ændringer i eksternt leverede systemer skal begrænses til nødvendige ændringer, og sådanne ændringer skal styres omhyggeligt Lækage af informationer Opdeling af netværk Digitaliseringscentret skal segmentere netværk for at etablere en passende adskillelse imellem forskellige tjenester, brugergrupper eller systemer. Sikring af netværk Digitaliseringscentret har det overordnede ansvar for at beskytte Kommunens netværk. Kapacitetsovervågning Alle serversystemer med kritiske informationer skal løbende overvåges for tilstrækkelig kapacitet for at sikre pålidelig drift og tilgængelighed. Anskaffelser Digitaliseringscentret skal tilse, at kun kendt og sikkert udstyr eller software, med et defineret formål, anskaffes og sættes i drift. Overvågning af netværk Digitaliseringscentret skal løbende overvåge netværk med henblik på detektering af brud på sikkerheden Sårbarhedsstyring Sårbarhedssikring Information om nye trusler, virus og sårbarheder Digitaliseringscentret skal holde sig orienteret inden for de benyttede platforme. Digitaliseringscentret skal informere relevante personer i ledelsen om nye trusler, som potentielt kan berøre de pågældende forretningsenheder. Digitaliseringscentret skal udpege en gruppe som er ansvarlig for dette område. 13 Styring af sikkerhedshændelser Side 34 af 41

39 13.1 Rapportering af sikkerhedsbrud og svagheder Rapportering af sikkerhedsbrud Kapacitetsovervågning Alle serversystemer med kritiske informationer skal løbende overvåges for tilstrækkelig kapacitet for at sikre pålidelig drift og tilgængelighed. Kontrol og opfølgning på sikkerhedsbrud Brud på sikkerheden, uautoriseret adgang og forsøg på uautoriseret adgang til systemer, informationer og data skal registreres. Registrering af driftsstatus Digitaliseringscentret skal registrere væsentlige forstyrrelser og uregelmæssigheder i driften af systemerne. Rapportering af formodede sikkerhedshændelser Ved konstatering af brud eller formodede brud på itsikringsforanstaltninger skal rapportering straks ske til HelpDesk Rapportering af svagheder Rapportering af programfejl Brugere, der observerer programfejl, som de ikke har oplevet før, skal rapportere dette til Digitaliseringscentret. Rapportering af formodede sikkerhedshændelser Ved konstatering af brud eller formodede brud på itsikringsforanstaltninger skal rapportering straks ske til HelpDesk Håndtering af sikkerhedsbrud og forbedringer Ansvar og forretningsgange Ansvar og forretningsgange for sikkerhedsbrud Ledelsens skal placere ansvar for at fastlægge forretningsgange, der sikrer en hurtig, effektiv og metodisk håndtering af sikkerhedsbrud. Proces for reaktion på hændelser Den sikkerhedsansvarlige har ansvar for at definere og koordinere en struktureret ledelsesproces, der sikrer en passende reaktion på sikkerhedsbrud. It-sikkerhedsafdelingen skal definere telefonnumre, -adresser og elektroniske formularer til indrapportering af sikkerhedshændelser. Digitaliseringscentret skal etablere og vedligeholde en procedure, der sikrer et passende svar til personer, som rapporterer en mulig sikkerhedsbrud. Tilgængelighedshændelser Hændelser, der har indflydelse på tilgængelighed, skal afklares i henhold til gældende driftsaftaler (SLA). Driftshændelser, der ikke kan afklares inden for aftalt tid, skal udløse procedurer for hændelseshåndtering. De ramte brugere og systemejere skal informeres. Overvågning af tilgængelighed Digitaliseringscentret skal løbende overvåge alle forretningskritiske itsystemer og regelmæssigt dokumentere systemernes tilgængelighed. Side 35 af 41

40 Information om sikkerhedshændelser Digitaliseringscentret skal på faktuel vis informere berørte parter internt og eksternt om eventuelle sikkerhedshændelser. Digitaliseringschefen skal godkende alle eksterne meddelelser At lære af sikkerhedsbrud Vurdering af tidligere hændelser Mindst en gang om året skal it-sikkerhedsafdelingen gennemgå den forgangne periodes hændelser og på denne baggrund anbefale hvorvidt it-sikkerhedssystemet kan forbedres eller præciseres. Dette kan udmunde i forslag om opdaterede regler eller procedurer eller opdateret risikovurdering. Opfølgning på rapporterede sikkerhedshændelser Digitaliseringschefen er ansvarlig for at indsamle statistik for rapporterede sikkerhedshændelser. 14 Beredskabsstyring Risikostyring og katastrofeplanlægning har til formål at mindske risikoen for og effekten af uforudsete hændelser. Nødplaner skal være med til at opretholde driften, således at skaderne for Kommunen minimeres Beredskabstyring og informationssikkerhed Beredskab og risikovurdering Konsekvensvurdering Konsekvenser af hændelser i forbindelse med it-systemerne skal løbende vurderes. Risikoanalyse Der skal udarbejdes en detaljeret risikoanalyse for alle forretningskritiske systemer Udarbejdelse og implementering af beredskabsplaner Nødprocedurer for kritiske processer Der skal, for alle forretningskritiske processer, eksistere en opdateret nødprocedure, der kan sættes i drift. Retablering af forretningskritiske systemer på ny lokation For alle forretningskritiske systemer skal der forefindes en plan for retablering på ny lokation Rammerne for beredskabsplanlægningen Evakuering af medarbejdere Evakuering signaleres med sirene i 20 sekunder. Alle medarbejdere skal gå ud af nærmeste udgang og afvente yderligere instrukser. Katastrofeplaner for backup Hvert kritiske system skal have en nødplan for at sikre data. Dette skal testes løbende. Side 36 af 41

41 Nødplaner for sikkerhedskopiering Alle kritiske systemer skal have en nødplan for sikkerhedskopiering, således at risikoen for tab af data minimeres Afprøvning, vedligeholdelse og revurdering af beredskabsplaner Katastrofeplaner for backup Hvert kritiske system skal have en nødplan for at sikre data. Dette skal testes løbende. Nødplaner for sikkerhedskopiering Alle kritiske systemer skal have en nødplan for sikkerhedskopiering, således at risikoen for tab af data minimeres. 15 Overensstemmelse med lovbestemte og kontraktlige krav Mange aspekter af kommunes virke kan være omfattet af lovgivning eller påvirket af kontrakter eller eksterne parters rettigheder Overensstemmelse med lovbestemte krav Identifikation af relevante eksterne krav Overholdelse af lovgivningen Alle it-systemer skal overholde relevante lovmæssige krav. Identifikation af relevant lovgivning Ledelsen er ansvarlig for at identificere lovgivning, der er relevant for kommunes drift, eller udpege en person, der er ansvarlig for denne opgave Ophavsrettigheder Retningslinier for ophavsrettigheder Ledelsen har det overordnede ansvar for, at virksomheden fastholder en passende opmærksomhed på ikke at krænke tredjeparts ophavsrettigheder. It-afdelingen skal vedligeholde dokumentation for ejendomsretten af licenser, originalmateriale og manualer. Digitaliseringscentret skal løbende kontrollere, at software-licensaftaler overholdes, f.eks. at eventuelle begrænsninger i antal brugere, servere eller kopier overholdes. Brugere må ikke kopiere, konvertere eller udtrække information fra billedog lydfiler eller tilsvarende ressourcer, medmindre dette specifikt tillades fra rettighedshaveren. Brugere må ikke, helt eller delvist, kopiere bøger, artikler, rapporter eller andre dokumenter medmindre dette specifikt tillades fra rettighedshaveren. Side 37 af 41

42 Administration af softwarelicenser Registrering af software licenser sker gennem Digitaliseringscentret. Det er Digitaliseringschefens overordnede ansvar, at der er et tilstrækkeligt antal licenser. Medarbejdere skal koordinere brug af software-licenser med Digitaliseringscentret. Medarbejdere må ikke forpligte virksomheden ved at acceptere licensvilkår i software, som ikke er accepteret af Digitaliseringscentret. Identifikation af relevante patenter Ledelsen er ansvarlig for, at patenter, der influerer virksomhedens drift, identificeres. Anskaffelser Digitaliseringscentret skal tilse, at kun kendt og sikkert udstyr eller software, med et defineret formål, anskaffes og sættes i drift. Installation af programmer på arbejdsstationer Brugere må installere programmer på Kommunens arbejdsstationer forudsat at Digitaliseringscentret har godkendt leverandøren. Ved en reinstallation af computeren bliver alle lokalt installerede programmer slettet Sikring af kommunes kritiske data Sikring af kommunes lovbestemte data Kommunens lovbestemte data skal opbevares og behandles således at datatab, uautoriseret modifikation og forfalskning undgås. Opbevaring og behandling af data Forretningskritiske data skal altid opbevares og behandles således, at dataintegriteten ikke kan drages i tvivl Beskyttelse af personoplysninger Sporbarhed Behandling af personrelaterede informationer skal logges automatisk, således at det er muligt for en revisor at kontrollere hvem, der har arbejdet med hvilke informationer på hvilke tidspunkter. Kontrol af overholdelse af persondatalovgivning Systemejeren skal kontrollere overholdelse af persondataloven. Opbevaring og sletning af s s, der indeholder personhenførbare oplysninger, skal slettes efter 30 dage. Opbevaring og behandling af personoplysninger Lov om behandling af personoplysninger gælder ved enhver opbevaring og behandling af persondata Beskyttelse mod misbrug af informationsbehandlingsfaciliteter Misbrugsbeskyttelse af it-udstyr Anvendelse af it-udstyr til uautoriserede formål må ikke finde sted uden ledelsens tilladelse. Side 38 af 41

43 15.2 Overensstemmelse med sikkerhedspolitik og -retningslinier Overensstemmelse med virksomhedens sikkerhedsretningslinjer Opfølgning på implementering af sikkerhedspolitikken Mindst en gang årligt skal der udføres systematisk opfølgning på overholdelse af sikkerhedspolitikken i hele organisationen. Resultatet skal rapporteres til øverste ledelse. Hver enkelt leder skal løbende sikre at sikkerhedspolitikken bliver overholdt inden for eget ansvarsområde. Revision af sikkerhedspolitik Den interne revision skal kontrollere, at sikkerhedspolitikken er indarbejdet i organisationen og overholdes. Kontrollen skal foretages mindst en gang årligt Beskyttelsesforanstaltninger ved revision af informationsbehandlingssystemer Sikkerhed i forbindelse med systemrevision Sikkerhed i forbindelse med revision Revisionskrav og revisionshandlinger i forbindelse med systemer i drift skal planlægges omhyggeligt og aftales med de involverede for at minimere risikoen for forstyrrelser af virksomhedens forretningsaktiviteter. De personer, der udfører revisionen, skal være uafhængige af det reviderede område Beskyttelse af revisionsværktøjer Beskyttelse af revisionsværktøjer Adgangen til revisionsværktøjer skal begrænses for at forhindre misbrug. Side 39 af 41

44 Procedurer Skadelige programmer Sådan skal antivirus installeres og opdateres på servere Indsæt proceduretekst her eller opret et link til eksisterende procedure(r) og relateret dokumentation ved hjælp af fanebladet "Eksterne referencer". Sådan skal antivirus installeres og opdateres på arbejdsstationer Indsæt proceduretekst her eller opret et link til eksisterende procedure(r) og relateret dokumentation ved hjælp af fanebladet "Eksterne referencer". Adgangskoder Sådan skifter du din adgangskode På Windows skal du trykke på tasterne Ctrl-Alt-Del samtidigt. Vælg derefter "skift adgangskode". Brug af Sådan underskriver du med digital signatur reports/doc/sac960476p1x12f7195b316y1u42/ab-02-i- 00%20Oprettelse%20af%20digital%20signatur.doc Software-installation Installation af standard pc Indsæt proceduretekst her eller opret et link til eksisterende procedure(r) og relateret dokumentation ved hjælp af fanebladet "Eksterne referencer". Følgende software må installeres på standard-pc Indsæt proceduretekst her eller opret et link til eksisterende procedure(r) og relateret dokumentation ved hjælp af fanebladet "Eksterne referencer". Side 40 af 41

45 Sikkerhedskopiering af data Sådan laver du backup af din bærbare pc Indsæt proceduretekst her eller opret et link til eksisterende procedure(r) og relateret dokumentation ved hjælp af fanebladet "Eksterne referencer". Adgang til virksomhedens netværk Oprettelse af ny bruger Kryptering Sådan underskriver du med digital signatur reports/doc/sac960476p1x12f7195b316y1u42/ab-02-i- 00%20Oprettelse%20af%20digital%20signatur.doc Håndtering af hændelser Rapportering af hændelser eller formodede hændelser Indsæt proceduretekst her eller opret et link til eksisterende procedure(r) og relateret dokumentation ved hjælp af fanebladet "Eksterne referencer". Side 41 af 41