Information til ansatte på TEK om IT Procedure Når der er skrevet kontrakt med en nyansat, skal den ansættende enhed give besked til IT-afdelingerne, så der kan oprettes et login til de forskellige IT-systemer, som den nyansatte skal have adgang til. Se Retningslinier for anvendelse af IT-systemer på Juni 2006 i bilag 2. Der gives samme brugernavn til alle systemer, med da alle systemer ikke er fuldt integrerede, vil der være forskellige adgangskoder. Brugernavnet vælges normalt ud fra brugerens initialer, og i mange systemer skal brugernavnet skrives på formen TEK\xxx Datalagring I forbindelse med brugeroprettelsen, får den ansatte et personligt databibliotek på en SDU-server. Ansatte skal lagre data her, fordi der tages backup, og datalageret er beskyttet mod uautoriseret adgang. Data bør kun lagres lokalt på udstyr midlertidigt, f. eks. hvis der ikke er adgang til netværket. Det personlige bibliotek optræder i Windows stifinderen som et M-drev, men den direkte sti er: \\tek.c.sdu.dk\dfs\data\ansatte-brugerdata\xxx (xxx er brugenavnet). Til lagring af fællesdata på Fakultet, er der oprettet et bibliotek til dette, med forskellige rettigheder, aftalt med TEK-it. I daglig tale kaldet O-drev. Den direkte sti er: \\tek.c.sdu.dk\dfs\fælles Der findes noget tilsvarende for hele SDU, kaldet S-drev. Datahåndtering I forbindelse med håndtering af data, dvs. lagring, afsendelse af e-mail med vedhæftede filer mm, skal reglerne for dataklassifikation følges. Se bilag 1. E-mail I forbindelse med brugeroprettelsen, bliver der også oprettet er e-mailkonto på SDU s Exchangeserver. For at få de fulde udnyttelse af dette system, anbefales det at bruge MS Outlook som klient, og det er kun denne klient der installeres og supporteres af TEK-it. Vær opmærksom på, at alle studerende også er oprettet i Exchange, og derfor figurerer i Outlooks adressebog. Det betyder at ansatte, der også har været eller er studerende på SDU, står flere gange i adressebogen. På Exchangeserveren er der oprettet mange forskellige distributionslister, som kan være nyttige. Distibutionslisterne kan findes i Outlooks adressekartotek, og navnet starter med DL-xxx-yy, f.eks. DL-TEK- ITafdeling. Over 90 % af den e-mail der modtages på SDU er SPAM, så derfor filtreres al indkommende e-post, før det leveres til brugeren på Exchangeserveren. Det kan i nogle tilfælde betyde, at der er forsinkelser ved modtagelse. Telefonbog SDU har en telefonbog, som bruges af omstillingen, og som er tilgængelig på www.sdu.dk, brugerne er selv ansvarlige for at oplysningerne er rigtige og opdaterede. se http://www.sdu.dk/servicenavigation/search/findperson.aspx
Organisering af IT På er IT organiseret i en central IT-afdeling, som hedder IT-service, og en ITafdeling på Fakultetet i Odense, kaldet TEK-it. Ansvarsområderne er forsøgt vist i figur 1. IT-service Fællessystemer (f. eks) e-mail, e-læring, studieadministrative systemer, økonomisystemer mm. Brugeroprettelse (studerende) Netværk, inkl. det trådløse IT i Jylland og på Sjælland Figur 1. Ansvarsområder TEK-it PC-rum og printere på NBA og Mærsk bygningen IT til ansatte på Fakultetet (Odense) Brugeroprettelse (ansatte Odense) Nyttige link vedr. IT på SDU. http://pds.sdu.dk http://help.sdu.dk http://www.sdu.dk/it-service http://www.sdu.dk/om_sdu/faellesomraadet/it-service/services.aspx http://www.sdu.dk/om_sdu/fakulteterne/teknik/ledelse_administration/it_teknisk.aspx http://sdumail.sdu.dk http://elearn.sdu.dk http://kopi.sdu.dk http://wifi.sdu.dk Udstyr PC TEK-it køber en stationær eller bærbar PC efter indstilling fra den ansattes leder, ud fra nogle få standard modeller, som dækker det behov der er på Fakultetet for de fleste brugere. Skærm + ekstraudstyr Det leveres altid en fladskærm, også til bærbare, som opfylder dagens standard til opløsning og ergonomi. Til bærbare leveres også en dockingstation med separat strømforsyning. Udskrivning Der er placeret netværksprintere i alle bygningsafsnit, nogle kun for ansatte og andre også for studerende. Det er nemt at få et overblik over printerne ved at køre følgende kommando, under Start > Kør/Run \\tek-print0c.tek.c.sdu.dk Navngivningen starter altid med lokalet hvor printeren er placeret. Bemærk at nogle få af printerne er til specialformål, og derfor ikke kan bruges af alle. Udskrivningsforbrug registreres, men der sker ingen kontering. Nogle brugere har fået bevilget en personlig printer af deres leder, og den må de selv vedligeholde. Ønskes der udskrift fra en PC, i et af PC-rummene, køres kommandoen: \\tek-print0a.tek.c.sdu.dk Kopi + skanning Kopimaskinerne er fælles for hele SDU og passes af serviceafdelingen. Der er placeret kopimaskiner i de fleste sekretariater og i garderoben ved personalekantinen. Adgangskortet skal bruges ved kopiering, og der sker kontering. Kopimaskinerne kan også bruges som skanner, og resultatet af skanning kan sendes per e-mail. http://kopi.sdu.dk
Software TEK-it supporter kun Windows operativsystemet, og kun i én version. Derudover installeres altid en MS Office pakke (Word, Outlook, mm), og Outlook opsættes til brugerens SDU-email. Software derudover efter aftale mellem bruger og leder, da der ofte skal betales for licenser. Computeren skal tilmeldes et af SDU s Windows domæner, dvs. TEK. Softwaren der bruges må normalt ikke bruges kommercielt og ansatte er ansvarlig for at overholde licensregler hvis de selv installerer programmer. Ansatte kan købe Officepakken til privat brug. Brug disse link: Office 2007: http://help.sdu.dk/2007/installationhjemme.htm Office 2010: http://help.sdu.dk/2010/installationhjemme.htm TEK-it yder ikke support til privat udstyr og software. Domænet Det er et krav at udstyr der supporteres af TEK-it er tilmeldt domænet af følgende grunde: 1. Software installeres over netværket på forskellige måder 2. Overvågning af antivirus og tilbagemelding til TEK-it ved virus 3. Overvågning af installeret software (ved konflikter mellem programmer og licensstyring) 4. Fjernsupport Trådløst netværk Læs her: http://wifi.sdu.dk Vigtigt: Sluk for det trådløse netværk, når den bærbare er koblet på det faste netværk. VPN Skal brugeren have adgang til personlige data udefra (også fra det trådløse), skal der oprettes en VPNforbindelse. SDU bruger et Cisco VPN system, og klienten er altid installeret på bærbart udstyr fra TEKit. Vigtigt: Brug kun VPN når det er nødvendigt, dvs. ved adgang udenfor SDU og fra det trådløse netværk på SDU. VPN krypterer trafikken, og sætter derfor hastigheden ned. Søren Lauridsen/jan 2012
Bilag 1 Dataklassifikation på Det Tekniske Fakultet, Som et led i indførelsen af IT-sikkerhedspolitikken er der vedtaget et sæt regler for dataklassifikation på SDU. Dette dokument er tænkt som en hjælp, til at starte denne proces, og til at belyse de tekniske muligheder, vi har for at overholde reglerne. Det samlede regelsæt er i bilag 3. Dokumentet afsluttes med et sæt forenklede regler, som skal følges i det daglige arbejde i administrationerne. IT-sikkerhedspolitikken er baseret på DS 484. Datatyper Der arbejdes med følgende 4 datatyper (se nærmere specifikation i reglerne) 1. Offentlige 2. Internt brug 3. Fortroligt 4. Følsomme forskningsdata Det er altid dataejeren, dvs. lederen af organisatoriske enhed, der har ansvaret for klassifikationen, og særligt punkt 4 vil give en del arbejde for Institutlederne. Dog er data der er omfattet af Lov om behandling af personoplysninger altid fortrolige. Se evt. https://www.retsinformation.dk/forms/r0710.aspx?id=828 Teknik Det er selvfølgelig de fortrolige data, der stiller størst krav til sikkerheden, derfor fokuseres på disse data, i det efterfølgende. Datalagring På det Tekniske Fakultet har alle ansatte adgang til et personligt område til lagring af data, normalt kaldet M-drevet, og et fælles dataområde, normalt kaldet O-drevet. Begge disse dataområder overholder kravet til lagring af fortrolige oplysninger. Det gælder også hvis data tilgås gennem en VPN forbindelse, fra det trådløse netværk eller udefra. Lagring på PC, mobiltelefoner, eksterne harddisk o.l. overholder ikke umiddelbart kravene, men kræver kryptering. Email - opsætning Ved opsætning af klienten skal der skelnes mellem, om der lagres information lokalt på arbejdsstationen eller ikke. Sker der lagring lokalt er det nødvendigt at vurdere nødvendigheden af kryptering. Der skal foretages den samme vurdering for mobiltelefoner. Email udveksling internt på SDU på Exchange Ingen restriktioner hvis der bruges en klint der krypterer datatransmissionen mellem klient og Exchangeserver. Hvis det ikke er tilfældet skal anden kryptering foretages afhængig af dataklassifikation. Email udveksling ekstern Her skal kryptering kunne bruges når data kræver det. Udskrivning/kopiering Kun på printere hvor der ikke er offentlig adgang, og udskriften skal hentes umiddelbart efter udskrivningen.
Regelsæt ved arbejde med data på det Tekniske Fakultet 1. Stationære arbejdsstationer Data må kun lagres på M, O og S-drev Der må ikke være en lokal kopi af emailpostkassen Emailklient skal opsættes så transmission er krypteret til Exchange Email sendt til adresser udenfor SDU skal krypteres, hvis data høre under datatype 2-4 Udskrivning må kun ske til ikke offentlig tilgængelig printer på SDU, hvis data høre under datatype 2-4. 2. Bærbare (som for stationære) Der må dog lagres lokalt, hvis harddisken er krypteret Der må være en lokal kopi af emailpostkasse, hvis harddisken er krypteret 3. Mobiltelefoner Skal være krypterede og bluetooth skal være slukket, hvis der findes data der hører under datatype 2-4 4. USB-lagerenheder Må ikke bruges til lagring af data der hører under datatype 2-4 Kryptering Der skal bruges godkendt metode og software, som er købt og snart klar til brug. Brugerne skal have en digital signatur. Kryptering af bærbar og telefon Dekanen, Institutledere og deres sekretærer skal have kryptering på bærbare og mobiltelefoner. Dekanen og Institutlederne vurderer hvilke andre personers udstyr, der kræver kryptering. Det bør nøje overvejes om en kryptering er nødvendig, da der er en del omkostninger af forskellig art forbundet dermed, og endnu en adgangskode at huske for brugeren. Kryptering gør heller ikke et system hurtigere. Januar 2009/SL
Bilag 2 Retningslinier for ansattes anvendelse af IT-systemer på (SDU). Formål. Formålet med nærværende regelsæt for IT-anvendelse ved SDU er at fastlægge regler for god IT-adfærd og sikre en ensartet praksis ved alle universitetets enheder. SDU ønsker, at sikkerheden og driftsstabiliteten ved IT-systemer holdes på et så højt niveau som muligt og at SDU overfor omverdenen fremtræder som en ansvarlig bruger af IT-systemer. Gyldighedsområde. Regelsættet gælder for alle IT-systemer, der er ejet af SDU, uanset geografisk placering, herunder også for udstyr, der er hjemlånt. Endvidere gælder det for alle IT-systemer, uanset ejerforhold, når de er tilsluttet SDU's netværk. Tilslutningsformen (fast, dial-in/back, andre net m.v.) er uden betydning i den forbindelse. Generelle retningslinier for anvendelse af IT-systemer. Dele af universitetets organisation kan have supplerende regler, der ligeledes skal følges. Nærværende regelsæt har dog forrang ved divergerende retningslinier. Anvendelse af IT-systemer skal foregå med omtanke og til løsning af arbejdsopgaver for SDU. IT-systemer må ikke anvendes, så det kan skade SDU's omdømme. IT-systemerne må ikke anvendes til kommercielle formål herunder indeholde reklamer. Virksomheder (f.eks. boghandel, forlag, kantine), personale- og kunstforeninger, studenterorganisationer og andre tilsvarende med nær tilknytning til SDU kan dog, efter separat tilladelse i hvert enkelt tilfælde, anvende IT-systemerne. Tilladelsen gives af rektor. Privat anvendelse af IT-systemer. IT-systemer kan i begrænset omfang anvendes til private formål som f.eks informationssøgning og elektronisk post (e-mail). Den private brug må ikke påvirke arbejdsforpligtigelsen og skal fortrinsvis ske uden for almindelig arbejdstid. Anvendelse af (inter)nettet til privat chat og anden systematisk privat anvendelse er ikke tilladt. IT-systemer, som de ansatte har lånt med hjem, er ligeledes omfattet af nærværende regelsæt, når de er tilsluttet SDU's netværk. Elektronisk post (e-mail). E-mail og andre former for elektronisk kommunikation, der afvikles via SDU's IT-systemer skal betragtes og behandles på samme måde som skreven kommunikation, der tilhører SDU. Der gælder således samme krav til arkivering, journalisering m.v. som anden form for korrespondance. Reglerne for elektronisk og skriftlig kommunikation er fastsat i lovgivningen, f.eks. forvaltningsloven.
15. marts 2002 Al e-mail skal indeholde tydelig identificerbar afsender. E-mail, der er privat, skal tydeligt markeres med ordet: "privat" i emnefeltet. Sikkerhed. For at IT-sikkerheden kan opretholdes, er det væsentligt, at alle følger de givne retningslinier og er opmærksom på, at brud på sikkerheden et enkelt sted kan have følger for mange. IT-systemer, der ejes af SDU, skal være tilgængelige for institutionen. Det betyder at, systembrugernavne og tilhørende kodeord, krypteringsnøgler og nøgler til andre sikringsmekanismer, skal deponeres i pengeskabe eller på anden betryggende vis, således at administrator eller andre bemyndigede medarbejdere i givet fald kan få adgang til systemerne, ved den normale systemansvarliges fravær. De deponerede oplysninger skal ajourføres, når der sker ændringer. Materiale, der er omfattet af offentlighedsloven eller forvaltningsloven, må ikke opbevares/arkiveres på krypteret form. Kryptering og efterfølgende dekryptering, der sker (automatisk) mellem afsender og modtager for at sikre datatransporten er ikke omfattet af forbudet mod kryptering. Licensforhold. Den person, der installerer programmel, er personlig ansvarlig for, at licenskravene er opfyldt. Personlige hjemmesider må ikke have et indhold, der strider mod retningslinierne i nærværende regelsæt. Der henvises endvidere til regelsættet for SDU's Web-system (se de interne hjemmesider for information til ansatte under: "Vejledning til web-konstruktører ved SDU", "Retningslinier"). Ressourceforbrug. IT-systemer er en begrænset og kostbar ressource og skal behandles med samme omhu som andre ressourcer som f.eks. udstyr og inventar. Overvågning, logning m.v. Af driftstekniske, sikkerhedsmæssige og/eller afregningsmæssige årsager sker der en løbende automatisk registrering af alle aktiviteter på de fleste IT-systemer. Ved mistanke om misbrug har systemadministratorer og de ansvarlige for netværkssikkerheden ret til at overvåge aktiviteterne, herunder ind- og udgående e-mail, uden på forhånd at informere brugerne herom i det konkrete tilfælde. En sådan overvågning kan kun ske med rektors forudgående tilladelse. Brugere af e-mail gøres opmærksom på, at e-mail lagres under forsendelse fra afsender til modtager på forskellige servere. E-mailens kuvert (headeren), men ikke indholdet, registreres af transmissionssystemerne af hensyn til eftersporing af e-mail, fejlanalyse m.v. E-mail kan endvidere af sikkerhedsårsager blive sikkerhedskopieret både under vejs i forsendelsen og på den server, hvorfra brugeren henter sin e-mail. Systemadministratorer og netværksansvarlige har adgang til disse registre, servere og sikkerhedskopier.
15. marts 2002 Systemadministratorer og netværksansvarlige har tavshedspligt, så længe der ikke konstateres misbrug. Disciplinære foranstaltninger m.v. ved misbrug. Misbrug er at betragte som pligtforsømmelse, der medfører disciplinære foranstaltninger. Det samme gælder forsøg på misbrug. Disciplinære foranstaltninger iværksættes efter en samlet vurdering af misbrugets omfang og karakter. Der kan blive tale om anvendelse af sanktionerne: irettesættelse, advarsel, afskedigelse og ved særlig grov pligtforsømmelse bortvisning. Personalekontoret skal altid konsulteres inden der tages stilling til de disciplinære foranstaltninger. Der henvises i øvrigt til punkt 4.4. i de personalepolitiske retningslinier, der findes på personalekontorets hjemmeside. Der kan i visse tilfælde ligeledes blive tale om politianmeldelse. Afklaring af tvivlsspørgsmål. Rektor er øverst ansvarlige for alle forhold vedrørende universitetets IT-systemer og kan afgøre eventuelle tvivlstilfælde om deres anvendelse. Spørgsmål i relation til regelsættets bestemmelser og anvisninger stilles til den lokale ITsikkerhedsansvarlige eller til SDU's IT-sikkerhedsansvarlige organisation (p.t. IT-service). Til dette regelsæt hører 1 bilag med definitioner, ordforklaringer og eksempler på uønsket adfærd. Fremlagt og vedtaget på HSU-mødet den 6. juni 2002 Jens Oddershede Bjarne Andersen Formand Næstformand
Bilag til: 15. marts 2002 Retningslinier for anvendelse af IT-systemer på (SDU). Nærværende bilag indeholder: definitioner, ordforklaringer og eksempler på uønsket adfærd Definitioner / ordforklaringer: Begrebet "IT-systemer" dækker: arbejdsstationer, servere, datanetværk og andre former for udstyr, der indeholder Informations-Teknologi. Chat: Snak eller diskussion mellem to eller flere personer over et netværk. Kommunikationen sker via tastaturet på pc en Server: Computer eller program, som leverer data eller andre ressourcer til andre computere eller programmer. Junk-mail: Junk-mail kan oversættes til noget i retning af skraldespandspost. Det kan være på papir, på fax eller e-mail. Det er mest udbredt i e-mail, fordi det er let og billigt at sende til mange på én gang. Junk-mail er typisk uopfordrede og useriøse e-mails med tilbud om hvad som helst. Spam-mail: Misbrug af e-mail. At spamme betyder populært sagt, at man sender uønskede mails Hacking: Betegnelse for den aktivitet, der består i, at en person ("hackeren") forsøger at skaffe sig uberettiget adgang til et IT-system, som han ingen lovlig adgang har til. Der er tale om en strafbar handling, jf. strfl. 263, stk. 2, og hacking har i visse tilfælde været praktiseret som led i grovere forbrydelser (spionage mv.). Downloade: At downloade betyder at kopiere data (fx programmer) fra en computer på Internettet til ens egen pc Eksempler på uønsket adfærd: Det er blandt andet ikke tilladt at: forsøge at læse, slette eller kopiere andres e-mail forfalske e-mail-adresse afsende generende, obskøne eller truende meddelelser til andre brugere afsende junk-mail, kædebreve, spam-mail eller lignende former for meddelelser anskaffe eller bibeholde brugernavn (userid) under falske forudsætninger udlåne eller dele "userid/password" med andre. Sker det, er indehaveren personlig ansvarlig for alle handlinger, der udføres af låneren slette, gennemse, kopiere eller modificere andres data uden på forhånd opnået godkendelse forsøge på at snyde eller modificere ressourcetildelinger, privilegier m.v. bruge netværk og/eller dertil knyttede systemer til at opnå uautoriseret adgang til andre tilsluttede systemer forsøge at dekryptere system- eller brugerpasswords forsøge at kopiere normalt utilgængelige systemfiler forsøge at bryde sikkerhedssystemer (hacking) indlægge edb-virus eller andre former for programmer, der kan afbryde eller ødelægge driften af såvel interne som eksterne systemer påvirke fortroligheden af data oprette dial-in adgang til IT-systemer via telefonnettet eller tilsvarende systemer uden forudgående godkendelse fra SDU's IT-sikkerhedsansvarlige organisation kopiere tredieparts materiale uden tilladelse fra ejeren eller uden legal licens distribuere ulovlig programmel, film, musik m.v. side 4 af 5 sider
15. marts 2002 fortsætte med uhæmmet forbrug af systemressourcer, der generer andre legale brugere, efter at der er gjort opmærksom på forholdet forsøge at standse IT-systemer eller ødelægge deres funktioner foretage skanninger af netværk efter adresser, porte, services m.v. downloade og/eller videresende musik- og videofiler med mindre dette har en undervisningsog/eller forskningsmæssig begrundelse.
Bilag 3 Dataklassificering på Version 1.8 Sidst revideret d. 29. november 2007 Side 11 af
Indeks Indeks... 12 Introduktion... 13 Formål... 13 Interessenter... 13 Dokument struktur... 13 Revision af dokumentet... 13 Data klassificerings matrix... 15 Administration... 20 Klassificering... 20 Dispensation... 20 Informationsdelings systemer og lignende... 20 Appendiks A - Fysiske sikringsområder... Version 1.8 Sidst revideret d. 29. november 2007 Side 12 af
Introduktion Formål Formålet med dette dokument er at definere en sikkerhedsklassificering for SDU s data, som dels angiver kriterierne for hvilken klassificering data skal tilhøre, dels angiver regelsættet for håndtering af data indenfor de enkelte klassificeringer. Kravene til håndtering af data indenfor en klassificering er altid udtryk for minimumskrav, hvilket medfører at en dataejer 1 til enhver tid kan forlange at en del af eller alle disse krav skærpes for vedkommendes data. Dataejeren skal dog fagligt begrunde skærpede krav til en specifik datatype. Det vil til en hver tid være dataejeren, som har ansvaret for at klassificere sine data, mens ansvaret for at opfylde de tekniske krav til den enkelte klassificering ligger på den systemansvarlige for de IT-systemer, hvor disse data behandles. Alle SDU s ansatte skal håndtere alle data ud fra de retningslinier, der angives i dette dokument. I tilfælde af uklassificerede data, bør disse data behandles som værende til Internt brug, indtil deres klassificering er afklaret. Interessenter Alle SDU s ansatte. Dokument struktur Dokumentet er struktureret således, at denne introduktion til dokumentet først er beskrevet, herefter følger en matrix over kravene til data håndtering indenfor de forskellige klassificeringer, inden der afsluttes med et afsnit, som beskriver hvorledes hvordan dataklassificeringen skal administreres, herunder også kravene til evt. dispensation fra de beskrevne regler. Dokumentet afsluttes med et appendiks, hvor de fysiske sikringsområder, der henvises til i klassificeringsmatrixen, er beskrevet. Revision af dokumentet Dette dokument er en del af SDU s generelle IT-sikkerheds dokumentation og skal som sådan gennemgås og evt. revideres minimum en gang om året. 1 Dataejeren vil altid være lederen af den organisatoriske enhed, som disse data primært behandles af. F.eks. vil Økonomichefen være ejer af data på ØSS systemet. Version 1.8 Sidst revideret d. 29. november 2007 Side 13 af
Version Initialer Dato Beskrivelse 1.5 JR 19-06-2007 Dokumentet godkendt af SDU s IT-sikkerhedsudvalg. 1.6 JR 19-09-2007 Dokumentet revideret på baggrund af tilbagemeldinger fra IT-koordinationsgruppen: Det er specificeret at kravene indenfor en klassificering er minimumskrav. Reglerne for at gemme fortrolige data på både bærbart udstyr og stationære PC ers harddiske er reviderede. 1.7 JR -11-2007 Dokumentet revideret på baggrund af tilbagemeldinger fra IT-koordinationsgruppen: Det er præciseret at klassificeringen Fortroligt omhandler data, der er omfattet af Lov om behandling af personoplysninger. Klassificeringen Følsomt omdøbt til Forskningsdata for helt at klarlægge hvilke data der omfattes af denne klassificering. 1.8 JR 29-11-2007 Dokumentet revideret efter forslag fra Brian Truelsen: Forskningsdata omdøbt til Følsomme forskningsdata. Krypteringskrav ændret til at fokusere på data. Version 1.8 Sidst revideret d. 29. november 2007 Side 14 af
Data klassificerings matrix Datatype Adgangsbegrænsninger Klassificering Offentligt Internt brug Fortroligt Følsomme forskningsdata Enhver form for data, som uden restriktioner må komme til offentlighedens kendskab. Ingen restriktioner i forbindelse med læsning. Data må kun publiceres eller rettes af godkendte personer. Data, som beskriver eller på anden måde dokumenterer interne forretningsgange på SDU. Alle medarbejdere med et fagligt behov, må få adgang til at læse denne type data. Data må kun publiceres eller rettes af dataejeren eller personer, som dataejeren har autoriseret til dette. Data, som er omfattet af Lov om behandling af personoplysninger. Kun adgang for autoriserede medarbejdere gennem godkendte applikationer, hvor alle transaktioner logges, både mht. læsning og skrivning. Adgang til disse data tildeles på basis af medarbejder roller af dataejeren eller en af dataejeren autoriseret funktion. Systemmedarbejdere må ikke kunne manipulere direkte med databasen uden at denne tilgang logges. Speciel klasse forbeholdt forskningsdata. Der er stor forskel på forskningsdata og dermed også det sikkerhedsniveau, der skal iagttages i forhold til disse data. Klassificeringen af disse data skal derfor foretages af dataejeren i samarbejde med enhedens ITsikkerhedsansvarlige. Det er et absolut krav at der foretages en dataklassificering. Kun adgang for medarbejdere, som enten dataejeren eller en af dataejeren godkendt funktion, har autoriseret til dette. Der skal kun foretages logning af adgang til disse data, hvis dataejeren kræver dette. Version 1.8 Sidst revideret d. 29. november 2007 Side 15 af
Server fysiske krav Server - netværks zone Klassificering Offentligt Internt brug Fortroligt Følsomme forskningsdata Ingen specielle krav udover SDU s normale krav til flerbruger udstyr. Serveren placeres netværksmæssigt således, at der via godkendte porte er offentlig adgang til data via Internettet. Serveren skal være placeret i et aflåst rum, som kun autoriserede personer har adgang til. Serveren placeres netværksmæssigt således, at der på basis af medarbejder roller gives adgang til autoriserede personer på SDU s interne netværk. Overførsel af data Ingen krav. Hvis data transmitteres over Internettet, skal de være beskyttet af kryptering, hvorimod det er tilladt at transmittere dem ukrypteret over SDU s interne netværk. Fjernadgang Ingen begrænsninger. Fjernadgang til data over Internettet er kun tilladt gennem en krypteret opkobling. Eksterne enheder - Bærbar PC, PDA etc.. Ingen begrænsninger. Det er kun tilladt at gemme denne type data på bærbart udstyr, hvis data er beskyttet med anerkendt kryptering. Serveren skal være placeret i en godkendt maskinstue, som lever op til SDU s specificerede krav mht. nødstrøm, køling, backup og overvågning. Serveren placeres netværksmæssigt således, at der på basis af medarbejder roller gives adgang til autoriserede personer på SDU s interne netværk. Data skal altid transmitteres i krypteret form. Fjernadgang til data over Internettet er kun tilladt gennem en krypteret opkobling. Det er kun tilladt at gemme denne type data på bærbart udstyr, hvis data er beskyttet med anerkendt kryptering. Serveren skal være placeret i et aflåst rum, som kun autoriserede personer har adgang til. Serveren placeres netværksmæssigt således, at der på basis af medarbejder roller gives adgang til autoriserede personer på SDU s interne netværk. Hvis data transmitteres over Internettet, anbefales det at beskytte dem vha. kryptering, hvorimod det er tilladt at transmittere dem ukrypteret over SDU s interne netværk. Fjernadgang til data over Internettet er kun tilladt gennem en krypteret opkobling. Bestemmes af dataejeren. Hvis dataejeren tillader at gemme denne type data på bærbart udstyr, anbefales det at data er beskyttet med anerkendt kryptering. Version 1.8 Sidst revideret d. 29. november 2007 Side 16 af
Eksterne enheder - Stationære PC er etc.. Backup/restore Klassificering Offentligt Internt brug Fortroligt Følsomme forskningsdata Ingen begrænsninger. Ingen begrænsninger. Det er kun tilladt at gemme denne type data på stationære PC ers harddiske, hvis data er beskyttet med anerkendt kryptering. Der skelnes ikke mellem de forskellige dataklassificeringer i forbindelse med backup / restore. Backup/restore foretages i henhold til beskrivelsen i SDU s ITsikkerhedshåndbog. Der skelnes ikke mellem de forskellige dataklassificeringer i forbindelse med backup / restore. Backup/restore foretages i henhold til beskrivelsen i SDU s ITsikkerhedshåndbog. Der skelnes ikke mellem de forskellige dataklassificeringer i forbindelse med backup / restore. Backup/restore foretages i henhold til beskrivelsen i SDU s ITsikkerhedshåndbog. Bestemmes af dataejeren. Der skelnes ikke mellem de forskellige dataklassificeringer i forbindelse med backup / restore. Backup/restore foretages i henhold til beskrivelsen i SDU s ITsikkerhedshåndbog. Version 1.8 Sidst revideret d. 29. november 2007 Side 17 af
Kopiering/ udskrivning Klassificering Offentligt Internt brug Fortroligt Følsomme forskningsdata Ingen begrænsninger. Data bør kun udskrives i forbindelse med et fagligt begrundet behov. Udskrifter må kun udleveres til medarbejdere med et fagligt begrundet behov. Udskrifter må ikke sendes til eller efterlades i udskriftsbakken på en printer i et offentligt tilgængeligt 2 område på SDU, men kun på printere i private eller halvprivate områder. Udskrevne data må gerne opbevares i aflåste kontorlokaler, men skal makuleres efter endt brug. Data bør kun udskrives i forbindelse med et fagligt begrundet behov. Udskrifter må kun udleveres til medarbejdere, som dataejeren har autoriseret til at have adgang til disse data. Udskrifter må kun sendes til dedikerede printere i private områder på SDU og må ikke efterlades i udskriftsbakken på disse printere. Udskrifter skal så vidt muligt udskrives med en forside, der angiver at her er tale om fortrolig information. Udskrifter skal makuleres efter endt brug. Data bør kun udskrives i forbindelse med et fagligt begrundet behov. Udskrifter må kun udleveres til medarbejdere med et fagligt begrundet behov. Udskrifter må ikke sendes til eller efterlades i udskriftsbakken på en printer i et offentligt tilgængeligt område på SDU, men kun på printere i private eller halvprivate områder. Udskrevne data må gerne opbevares i aflåste kontorlokaler, men skal makuleres efter endt brug. Dataejeren kan kræve yderligere restriktioner for print og kopiering. 2 Se Appendiks A, Fysiske sikringsområder for definition af offentligt tilgængelige, halvprivate, private og særligt sikrede områder. Version 1.8 Sidst revideret d. 29. november 2007 Side 18 af
Bortskaffelse af datamedier Ingen krav. Klassificering Offentligt Internt brug Fortroligt Følsomme forskningsdata Hardiske og databånd skal formatteres ved kassation. Andre medier, f.eks. papirbaserede, CD ere, DVD ere eller lignende skal makuleres eller på anden måde destrueres efter brug. Hardiske og databånd skal som minimum formatteres ved kassation, men det anbefales at de fysisk destrueres i henhold til anvisningerne i SDU s ITsikkerhedshåndbog. Andre medier, f.eks. papirbaserede, CD ere, DVD ere eller lignende skal makuleres eller på anden måde destrueres efter brug. Hardiske og databånd skal som minimum formatteres ved kassation, men det anbefales at de fysisk destrueres i henhold til anvisningerne i SDU s ITsikkerhedshåndbog. Andre medier, f.eks. papirbaserede, CD ere, DVD ere eller lignende skal makuleres eller på anden måde destrueres efter brug. Version 1.8 Sidst revideret d. 29. november 2007 Side 19 af
Administration Klassificering Alle data på SDU skal klassificeres med baggrund i den matrix, der er beskrevet i det foregående afsnit. Selve klassificeringen foretages ifølge det regelsæt, som er beskrevet herunder: Dataklassificeringen skal altid foretages af dataejeren, evt. med støtte fra den IT-sikkerhedsansvarlige for dataejerens organisatoriske enhed. Hvis enhedens IT-sikkerhedsansvarlige ikke selv har deltaget i klassificeringen, skal den valgte klassificering godkendes af den ITsikkerhedsansvarlige. Dataklassificeringen skal gennemgås og evt. revideres en gang årligt, f.eks. i forbindelse med den årlige risikovurdering af de systemer, der anvender de aktuelle data. Dispensation Det kan i specielle tilfælde være nødvendigt midlertidigt at dispensere fra nogle af de ovenstående dataklassifikations regler af tekniske eller forretningsmæssige grunde. En sådan dispensation skal altid være en undtagelse, som skal vurderes efter de følgende retningslinier: Enhver dispensation skal være teknisk eller forretningsmæssigt begrundet, f.eks. hvis en applikation er programmeret sådan, at datatransmission ikke kan foretages krypteret, kan der midlertidigt dispenseres fra dette krav. Enhver dispensation skal være godkendt og underskrevet af både dataejeren og enhedens IT-sikkerhedsansvarlige. Enhver dispensation skal være begrænset til maksimalt at vare i 6 måneder, hvorefter den skal revurderes af de ovenstående. Enhver dispensation er midlertidig og implementering af en evt. teknisk eller forretningsmæssig løsning, der kan erstatte dispensationen, skal altid have højeste prioritet. Informationsdelings systemer og lignende I forbindelse med informationsdelings systemer hersker der specielle regler, da informationsdelings systemer (f.eks. wiki s) som hovedregel ikke har en dataejer, men typisk er et forum, hvor folk med interesse for og viden om et specifikt område, selv giver deres besyv med i form af beskrivelser, tips og tricks samt generelle diskussioner omkring området eller dele deraf, hvilket betyder, at man generelt ikke kan være 100% sikker på kvaliteten af data i et informationsdelings system. Der skal iagttages de samme klassifikationsregler for data i informationsdelingssystemer som for alle andre data, men data klassificeret som Fortroligt må aldrig forekomme på et informationsdelings system. Version 1.8 Sidst revideret d. 29. november 2007 Side 20 af
Version 1.8 Sidst revideret d. 29. november 2007 Side 21 af
Appendiks A - Fysiske sikringsområder Der opereres generelt med 4 områdetyper i forhold til dataklassificering, nemlig offentlige, halvprivate, private og særlige sikringsområder. Disse sikringsområder har primært betydning i forhold til kravene til udskrivning og opbevaring af data. De forskellige områdetyper gennemgås nærmere herunder: Et offentligt sikkerhedsområde er karakteriseret ved, at der er fri, ukontrolleret adgang til området det meste af døgnet. Et område kan således godt være offentligt i brugsmæssig og sikkerhedsmæssig betydning, selv om det er aflåst om natten. Dette indebærer, at ethvert SDU campus som hovedregel betragtes som værende et offentligt område, herunder også trappe- og gangarealer, kantiner, undervisningslokaler og auditorier. Et halvprivat sikkerhedsområde er karakteriseret ved, at det kun i begrænset omfang er muligt at kontrollere personers adgang. I forbindelse med SDU er der typisk tale om gangarealer ind til medarbejder kontorer, som er aflåste udenfor normal arbejdstid og hvor de studerende ikke normalt har adgang. Et privat sikkerhedsområde er karakteriseret ved, at det er muligt at føre kontrol med adgang til og opholdsmuligheder i sikkerhedsområdet. Typisk for denne kategori er kontorer, lagerrum, værksteder og øvrige arbejdslokaler. Et særligt sikkerhedsområde er karakteriseret ved, at det udover at være privat har særlige forhold, der skal tages ITsikringsmæssige hensyn til. Typisk stilles der skærpede krav til begrænsning af adgangsforhold og opholdsmuligheder, herunder til begrænsning af, hvilke personalekategorier der kan få adgang. Særlige sikringsområder er fx lokaler, der inddeles i separate funktionsadskilte celler til fx driftsafvikling og overvågning, servere, kontorer med arbejdsstationer og printere, rum til teleudstyr og krydsfelter samt dataarkiver. Version 1.8 Sidst revideret d. 29. november 2007 Side af