Holbæk Kommunes I-SIKKERHEDSHÅNDBOG Sidst redigeret oktober 2013
Indhold 1 INDLEDNING OG FORMÅL... 2 2 ANSVAR OG ORGANISATION... 3 3 STYRING AF AKTIVER... 5 4 MEDARBEJDERSIKKERHED... 5 5 FYSISK SIKKERHED... 6 6 STYRING AF NETVÆRK OG DRIFT... 7 7 ADGANG TIL DATA... 9 8 ANSKAFFELSE OG UDVIKLING... 11 9 STYRING AF I-SIKKERHEDSHÆNDELSER... 11 10 NØDBEREDSKAB FOR IT-ANVENDELSEN... 11 11 REGELSÆT OG LOVGIVNING... 12 12 OVERSIGT OVER BILAG...13 1
1 INDLEDNING OG FORMÅL I-sikkerhedshåndbogen (informationssikkerhedshåndbogen) dokumenterer, sammen med i- sikkerhedspolitik (informationssikkerhedspolitik) og -retningslinjer, kravene til styring af informationssikkerheden i Holbæk Kommune. Retningslinjerne fungerer som bilag til i- sikkerhedshåndbogen, og den overordnede struktur. Omfanget af retningslinjer fremgår af bilagsoversigten. På konkrete områder er retningslinjerne udmøntet i operationelle instrukser, som beskriver håndteringen inden for det pågældende område. Håndbogen er et redskab for sikkerhedsorganisationen og endvidere en reference til brug for udarbejdelse af dokumentation af systemer og forretningsgange. I-sikkerhedskoordinatoren vedligeholder i-sikkerhedshåndbogen. 2
2 ANSVAR OG ORGANISATION Kommunaldirektøren er Holbæk Kommunes øverste sikkerhedsansvarlige. Det ledelsesmæssige ansvar varetages af en styregruppe bestående af direktøren for stabe som formand, chefen for Borger- og organisationsservice, lederen af it-afdelingen. Styregruppen har det overordnede ansvar for, at i-sikkerhedspolitikken gennemføres hensigtsmæssigt og effektivt. Styregruppens rolle er at: Yde aktiv støtte til gennemførelse af de besluttede initiativer og sikre, at der opnås accept på alle ledelsesniveauer. Behandle spørgsmål af principiel karakter og fastlægge principperne for opfyldelse af politikkens målsætning. Foretage en årlig vurdering af politikken og de tilknyttede retningslinjer, herunder om de lever op til de aktuelle forretningsmæssige behov og eksterne forpligtelser udtrykt i lovgivning og aftaler. Sikre, at det besluttede sikkerhedsniveau efterleves og indgår i relevante handlingsplaner. Styregruppen vurderer endvidere løbende behovet for fornyet risikovurdering udover den årlige vurdering. Ændringer i i-sikkerhedspolitikken besluttes endeligt af Byrådet, mens ændringer af retningslinjer i bilagene godkendes af styregruppen efter indstilling fra i-sikkerhedskoordinatoren. For væsentlige informationsaktiver - systemer, informationer, processer mv. - skal der udpeges ejere, som har ansvaret for, at retningslinjerne for anvendelse og forvaltning af det pågældende aktiv overholdes i alle forretningsgange og i hele aktivets levetid: Systemejere har ansvaret for sikkerheden i og omkring systemerne - systemernes egenskaber, brug, drift, omgivelser og vedligeholdelse. Systemejerne fastlægger de sikkerhedsmæssige krav til systemet på baggrund af forretningsmæssige behov, lovbestemte krav, kontraktlige krav og dataejeres krav. Systemejere har endvidere ansvaret for at følge op på efterlevelsen af kravene. Dataejere har ansvaret for sikkerheden omkring dataanvendelse, distribution og opbevaring. Dataejer fastlægger ligeledes kravene på baggrund af forretningsmæssige behov, lovbestemte krav og kontraktlige krav. Procesejere, dvs. chefer med ansvar for bestemte forretningsfunktioner, som anvender systemer og data, har ansvaret for, at system- og dataejeres krav efterleves i de pågældende forretningsfunktioner. Ejere af de fysiske aktiver har ansvaret for beskyttelsen af de fysiske aktiver og for at system- og dataejeres krav til fysisk sikring efterleves. Procedurer mm. udarbejdes og vedligeholdes af de pågældende ejere, evt. i samarbejde med i- sikkerhedskoordinatoren. Det operationelle ansvar for den daglige styring er placeret hos chefgruppen, hvis rolle er: at sikre information om i-sikkerhed og retningslinjer til alle medarbejdere at sørge for, at der udarbejdes og vedligeholdes procedurer, der sikrer i-sikkerhedsniveauet og overholdelse af retningslinjerne koordinering og opfølgning på overholdelse af retningslinjer og procedurer løbende vedligeholdelse af det overordnede risikobillede at holde sig ajour med den generelle udvikling på i-sikkerhedsområdet. Derudover har alle medarbejdere ansvar for at holde sig orienteret om og efterleve reglerne for korrekt og accepteret brug af kommunens informationsaktiver. Opmærksomheden henledes på, at Holbæk kommune er at betragte som en myndighed og alle informationer og data derfor overordnet set ejes af kommunen. I praksis betyder kommunes ejerskab, at informationer og data skal stilles til rådighed enheder imellem, såfremt der måtte være 3
et arbejdsmæssigt behov. Ansvaret for informationer og data er uddelegeret til de enkelte systemog dataejere. 2.2 Placering af ansvar i organisationen Ansvaret for overholdelse af i-sikkerhedspolitikken følger kommunens organisatoriske opbygning. Direktører, chefer, afdelingsledere og institutionsledere er dermed ansvarlige for i-sikkerheden inden for eget ansvarsområde. Herudover har Holbæk Kommune en række medarbejdere, som er ansvarlige for delelementer i forbindelse med i-sikkerheden. Ansvar for informationsaktiver (systemer og data) skal placeres entydigt. Placering af ansvar/ejerskab foretages ud fra følgende overvejelser: Hvem i kommunen, der har det primære ansvar for fagområdet/afdelingen, som systemet/data anvendes i Hvem der har ansvaret for de forretningsprocesser, som systemet/data anvendes i. Hvilke forretningsprocesser er mest afhængige af systemet/data? Hvem der har kompetencen til og ansvaret for at fastlægge værdien af systemet/data. Hvilken afdeling/område der vil lide størst skade, hvis systemets/datas sikkerhed kompromitteres. Om der er flere ejere. Eventuelt af elementer af systemet/data Ejere er som udgangspunkt cheferne. Ejere kan uddelegere dele af opgaven, men vil altid have ansvaret. Ofte er der i praksis sammenfald mellem system-, data- og procesejerrollen. Oversigten over systemejere og dataejere vedligeholdes af it-afdelingen, forretningskonsulenter og i-sikkerhedskoordinatoren i fællesskab. 2.3 Ejere af fysiske aktiver Som udgangspunkt ejes de fysiske aktiver af lederen af it-afdelingen. De fysiske sikkerhedsforanstaltninger skal etableres på en måde, som ikke forringer medarbejdersikkerheden. 2.4 Lederen af it-afdelingen Lederen af it-afdelingen er sparringspartner i de fleste forhold omkring håndtering af sikkerheden og har ansvaret for at drift, vedligeholdelse og udvikling er tilrettelagt på en måde, så ejernes krav efterleves. Lederen af it-afdelingen skal påse, at der til stadighed er etableret forretningsgange og procedurer i it-afdelingen, som støtter overholdelsen af i-sikkerhedspolitikken, i- sikkerhedshåndbogen og bilagene. Lederen af it-afdelingen varetager ejerskabet af den fysiske og logiske infrastruktur, it-arkitekturen, serverrum mm. 2.5 Opfølgning og kontrol Efterlevelsen af reglerne i sikkerhedshåndbogen og bilagene afprøves mindst en gang årligt af i- sikkerhedskoordinatoren. Afvigelser rapporteres i den årlige opfølgning og i særlige tilfælde straks til styregruppen for i-sikkerhed. 2.6 Samarbejdsaftaler Hvis it-driften - eller andre dele af kommunens it-anvendelse - overlades til eksterne samarbejdspartnere, skal der foreligge en konkret samarbejdsaftale, hvor leverandørens 4
sikkerhedshåndtering er beskrevet. Det skal sikres, at kommunens sikkerhedsregler ikke kompromitteres ved samarbejdet. Retningslinjer for eksterne leverandører er beskrevet i bilag D1. 3 STYRING AF AKTIVER Alle væsentlige informationsaktiver i Holbæk Kommune skal være kortlagt og identificeret, og der skal være udpeget en ansvarlig ejer. Informationsaktiver er både hardwarebaseret it-udstyr samt programmer og applikationer og data, der anvendes i forbindelse med programmerne. Informationer, der befinder sig på papir eller andet medie er ligeledes omfattet. Alle væsentlige aktiver i kommunen skal indgå i en fælles fortegnelse, hvor alle relevante karakteristika er angivet. Registreringen skal sikre en entydig identifikation af de enkelte aktiver og sikre overblik samt styring af opgradering og moderniseringsprojekter. Med henblik på at tilrettelægge en betryggende sikkerhed for det enkelte aktiv, skal aktivets betydning for kommunen vurderes, og der skal foretages en klassifikation af aktiverne på baggrund af sikkerhedskravene. Den administrative, fysiske og logiske sikkerhed skal herefter tilrettelægges med udgangspunkt i klassifikationen. Retningslinjer for fysisk sikkerhed er endvidere beskrevet i kapitel 5. 4 MEDARBEJDERSIKKERHED Alle medarbejdere skal være opmærksomme på deres særlige ansvar i forbindelse med anvendelse af kommunens informationsaktiver og it-baserede infrastruktur. Alle medarbejdere skal have kendskab til - og arbejde i overensstemmelse med - kommunens i- sikkerhedspolitik og retningslinjer. 4.1 Ansættelsesforholdet Informationssikkerheden i kommunen afhænger af medarbejderne. Det skal derfor sikres, at medarbejderne har de fornødne kompetencer og er bekendt med retningslinjerne. Endvidere er der i i-sikkerhedshåndbogen og bilagene beskrevet retningslinjer for hvordan itbrugere og it-medarbejdere skal håndtere sikkerhedshændelser og risici. 4.2 Ledelsens ansvar Kommunens chefgruppe har ansvaret for, at alle it-brugere har kendskab til - og arbejder efter de retningslinjer der er relevante for den enkelte bruger. I-sikkerhedskoordinatoren udmønter i-sikkerhedspolitikken i de fornødne kontroller og i- sikkerhedstiltag. 4.3 Viden Det skal sikres, at alle it-brugere forstår og accepterer retningslinjerne inden de gives adgang til systemer og data. Relevante retningslinjer skal være formidlet til alle it-brugere. Alle medarbejdere, der arbejder med kommunens it-udstyr, skal have kendskab til kommunens i-sikkerhedsregler og forretningsgange. 5
4.4 Sanktioner Den enkelte medarbejder har selv ansvar for at efterleve retningslinjerne og følge fastlagte forretningsgange. Det skal derfor fremhæves, at overtrædelse af i-sikkerhedspolitikken samt relaterede bilag, betragtes som en tjenesteforseelse, som efter omstændighederne, kan medføre sanktioner. Hvis en medarbejder opdager trusler imod kommunens aktiver eller er bekendt med brud på sikkerheden, skal dette meddeles nærmeste leder hurtigst muligt. Styregruppen skal altid orienteres om brud på sikkerheden til brug for den løbende opdatering af risikobilledet og rapportering til Direktionen. 4.5 Ansættelsens ophør Når den enkelte it-bruger fratræder sin stilling, skal der være etableret konsekvente forretningsgange, der dels sikrer betryggende sletning af autorisationer samt at kommunens itaktiver returneres. Retningslinjer for adgangsstyring fremgår i bilag A9/B10/C4*. (* angiver, at der er tale om det samme bilag, som fremgår i flere søjler) 5 FYSISK SIKKERHED Den fysiske sikkerhed omkring et informationsaktiv skal afspejle den værdi, funktionalitet og følsomhed aktivet repræsenterer. De fysiske installationer skal sikres mod uautoriseret adgang, ulykker, hærværk, tyveri og forsyningssvigt. Den fysiske sikkerhed skal stå i et naturligt forhold til de værdier, som skal beskyttes. Kravene til sikring af centralt udstyr er således højere end kravene til sikring af udstyr i kontormiljøerne. Den fysiske sikkerhed er tilrettelagt ud fra en risikovurdering og skal som minimum overholde retningslinjerne, som de er beskrevet her samt i relaterede bilag. Den fysiske sikkerhed skal i relevant omfang være dokumenteret således, at styregruppen for i-sikkerhed - som en del af den generelle it-risikostyring - kan planlægge sikkerhedsprocedurer i forhold til den fysiske sikkerhed. Den fysiske sikkerhed skal afvejes i forhold til mulige driftsforstyrrelser og driftstab. I praksis betyder det, at kravene til den fysiske sikkerhed er opdelt i 3 sikkerhedsniveauer: Sikkerhedsniveau 1: Omfatter centralt udstyr, herunder udstyr i centrale serverrum - servere og kommunikationsudstyr, samt krydsfelter. Sikkerhedsniveau 2: Omfatter almindeligt it-udstyr i kommunens lokaler, herunder primært pc er, printere og tilsvarende periferiudstyr. Sikkerhedsniveau 3: Omfatter decentrale arbejdspladser og bærbare pc er udenfor kommunens lokaler, herunder distance- og politiker pc er, bærbare pc er samt USBnøgler, tablets, PDA er og lignende. Fastsættelse af det fysiske sikkerhedsniveau indebærer mindst retningslinjer for; Serverrum, herunder placering, adgangskontrol, alarmsystemer samt andre tekniske løsninger, som køleanlæg, nødstrømsanlæg og automatiske brandslukningssystemer. Kabling og krydsfelter, herunder placering og sikkerhed. Pc-udstyr i kommunens lokaler, herunder hensigtsmæssig placering i forhold til både arbejdsmiljø og i-sikkerhed. Lokalerne skal være betryggende sikret - enten døgnbemandet eller aflåst udenfor normal arbejdstid. Pc-udstyr på andre lokationer end kommunens, herunder hensigtsmæssig placering i forhold til arbejdsmiljø og i-sikkerhed. 6
Kassation og destruktion af udstyr, skal foretages miljømæssigt forsvarligt og finde sted efter betryggende sletning af data. Registrering af aktiver og forsikringer. Registrering - af alle enheder der repræsenterer en væsentlig værdi. Registrering - af alle licensforhold. Alt it-udstyr er dækket af kommunens interne forsikring, bemærk dog at der er en selvrisiko. Retningslinjer for den fysiske sikkerhed, er uddybende beskrevet i følgende bilag: Bilag A5, fysisk sikkerhed, servere og netværk. Bilag B1, it-brugere Bilag B4, distancearbejdspladser. Bilag B5, bærbare enheder. Bilag A7/B8*, destruktion af datamedier. 6 STYRING AF NETVÆRK OG DRIFT Holbæk Kommune driftsafvikler et fælles netværk således, at alle kommunens it-brugere kan opnå hurtig og sikker adgang til systemer og data. Samtidig skal der være etableret sikkerhedsforanstaltninger således, at uvedkommende ikke kan opnå adgang til kommunens itsystemer. Holbæk Kommunes it-drift er tilrettelagt med betryggende forretningsgange og procedurer, ligesom der altid foretages den fornødne dokumentation. For alle væsentlige dele af it-anvendelsen, skal der være etableret dokumenterede driftsafviklingsprocedurer, der sikrer konsekvent og stabil drift af systemer og data. Endvidere skal der være etableret funktionsadskillelse på væsentlige områder. Ændringer i it-anvendelsen skal være dokumenteret. Lederen af it-afdelingen følger løbende op på styringen af netværk og drift. 6.1 Netværk IT-afdelingen har ansvaret for Holbæk Kommunes overordnede it-infrastruktur samt lokalnet på alle kommunens lokationer. Alle eksterne kommunikationsforbindelser skal godkendes af lederen af it-afdelingen, som vedligeholder oversigter over netværk og datakommunikation. I forbindelse med pc ere som er tilkoblet Holbæk Kommunes netværk, må der ikke tilsluttes til andre netværk, med mindre der gives tilladelse af it-afdelingen. 6.2 Eksterne leverandører I særlige tilfælde kan eksterne leverandører få adgang til Holbæk Kommunes systemer og i- infrastruktur. Retningslinjer for eksterne leverandørers adgang fremgår i bilag D1. 6.3 Sikkerhedskopiering Der tages sikkerhedskopi af alle væsentlige systemer og data. For hvert enkelt system skal der tages stilling til frekvensen af sikkerhedskopiering, og hvordan sikkerhedskopier skal opbevares. Kravene til sikkerhedskopiering fastlægges af systemejerne. Der skal foretages en teknisk stikprøvekontrol af kopieringsrutinerne mindst en gang om året, eller i forbindelse med omlægning af rutinerne. 7
Procedurer for sikkerhedskopiering og reetablering skal beskrives således, at procedurerne til enhver tid kan udføres af udvalgte it-medarbejdere i kommunen. Sikkerhedskopier opbevares på en forsvarlig måde. Uddybende retningslinjer for sikkerhedskopiering er beskrevet i bilag A3. 6.4 Firewall Adgangen fra eksterne netværk - herunder internet - til Holbæk Kommunes netværk er sikret således, at det kun er autoriserede it-brugere, som kan opnå adgang. Lederen af it-afdelingen er ansvarlig for, at adgangen til netværket er beskyttet med en firewall, herunder betryggende administration af firewall samt vedligeholdelse af firewallsoftware, overvågning af firewall, logning af trafikken samt aftestning af funktionaliteten. Retningslinjer for administration og håndtering af firewall er uddybende beskrevet i bilag A2. 6.5 Sikring af datamedier mod uautoriseret adgang Alle databærende medier skal beskyttes mod uautoriseret adgang. Der er derfor etableret forretningsgange for autorisation til data og systemer, ligesom fysiske datamedier skal være beskyttet. Den enkelte it-bruger skal identificere sig over for systemerne, inden adgangen kan etableres. Sammen med identificeringen skal der ligeledes angives et personligt password eller tilsvarende autentifikationsløsning. Retningslinjer for anvendelse af passwords samt beskyttelse af dataadgang er beskrevet i bilag B1. 6.6 Destruktion af data Bortskaffelse af data skal finde sted under betryggende forhold. Hvis der er tale om personhenførbare data eller andre former for følsomme data, skal det sikres, at data ikke bliver tilgængelige for uvedkommende. Uddybende retningslinjer for destruktion af data fremgår i bilag A7/B8*. Uanset om data gemmes på manuelle- eller elektroniske medier, er retningslinjerne gældende. 6.7 E-post og internet E-post og internet betragtes som strategiske værktøjer, som har til formål at sikre en fleksibel-, bruger- og borgervenlig it-anvendelse i Holbæk Kommune. Med henblik på at beskytte kommunen mod skader forårsaget af e-post og internet, er der beskrevet retningslinjer for anvendelse af e-post og internet i bilag B2 og bilag B3. 6.8 Sikker e-post og anvendelse af digitale signaturer og certifikater Digitale signaturer og certifikater anvendes til adgangskontrol - logon - til en række offentlige tjenester og i forbindelse med afsendelse og modtagelse af elektroniske meddelelser, hvor der skal være sikkerhed for identitet (hvem der er afsender/modtager), autenticitet (at indholdet ikke er ændret), fortrolighed (via kryptering). Retningslinjer for anvendelse af digitale signaturer fremgår af bilag B6. 8
6.9 E-handel Det skal sikres, at data og informationer, som udveksles i forbindelse med elektronisk handel over offentlige netværk, er beskyttet mod svig og svindel, kontraktlige uoverensstemmelser samt autoriseret adgang og ændringer. Dette skal primært sikres via tekniske løsninger samt betryggende forretningsgange for tildeling af adgang til at disponere og foretage e-handel på vegne af Holbæk Kommune. 6.10 Offentligt tilgængelige data Holbæk Kommune stiller en række data til rådighed for borgere og virksomheder på kommunens hjemmeside. Tilgængeligheden skal tilrettelægges således, at data ikke kan forvanskes, ligesom data ikke må være offentligt tilgængelige ud over, hvad lovgivningen tillader. 6.11 Overvågning og logning It-afdelingen foretager overvågning af kommunens væsentligste installationer. Der er etableret registrering af system- og dataanvendelsen (logning) for alle væsentlige systemer og data samt systemer og data der indeholder personhenførbare informationer. Systemejere tager stilling til logningsniveauet. Logningen skal som minimum være i overensstemmelse med kravene i Persondataloven. Retningslinjer for logning er beskrevet i bilag B11/C5*. 7 ADGANG TIL DATA Det er kun autoriserede brugere, der må have adgang til kommunens interne data. Der føres kontrol med anvendelsen af data for at forhindre fejl i forbindelse med databehandlingen. Endvidere skal det sikres, at data, som anvendes i kommunen, er korrekte. Indsatsen for styring af adgang koncentreres særligt om de data, som: Er særlig værdifulde Er følsomme Er nødvendige for den daglige drift og forretningsprocesser Har (væsentlig)betydning for kommunes mål, omdømme og økonomi Dataejere fastsætter sikkerhedsniveauet og har ansvaret for at finde balancen mellem behovet for at anvende data og den risiko, der knytter sig til anvendelse, transport og opbevaring. 7.1 Adgang til it-systemer og netværk Kun personer med et tjenstligt behov kan få adgang til Holbæk Kommunes interne it-systemer. Systemejerne er ansvarlige for at definere, hvilke systemer kommunens medarbejdere skal have adgang til og hvilke rettigheder, de skal have. Systemejerne fastlægger hvilke systemer og informationer, borgere og eksterne brugere skal have adgang til. Autorisationsproceduren skal være tilrettelagt på en sådan måde, at risikoen for fejl minimeres. Endvidere skal der være en forretningsgang der sikrer, at autorisationer gennemgås med faste intervaller. Adgangsrettigheder kan udelukkende tildeles efter godkendelse af systemejerne, som også har ansvaret for, at det til enhver tid kun er brugere med tjenstlig behov, der har adgang. 9
Retningslinjer for adgangsstyring, herunder tildeling, ændring og sletning af autorisationer, er beskrevet i bilag A9/B10/C4*. 7.2 Logon-procedure Der skal være etableret en logonprocedure som sikrer, at brugeroplysninger ikke kan blive tilgængelige for uvedkommende. Forbindelser til kommunens netværk og systemer via åbne netværk, herunder internet, skal tilsvarende sikres således, at brugeroplysninger og passwords aldrig bliver tilgængelige for uvedkommende. Autentifikation skal være tilrettelagt således, at i-sikkerheden har optimal styrke samtidig med, at den enkelte it-bruger oplever mindst mulig ulempe. Det er den enkelte it-brugers ansvar at behandle it-udstyr og informationer på betryggende vis således, at data og systemer ikke bliver tilgængelige for uvedkommende. Derfor skal den enkelte pc være beskyttet med logisk og fysisk adgangskontrol. Anvendelse af passwords skal som minimum overholde retningslinjerne i bilag B1. 7.3 Udskrivning Ved udskrivning fra kommunens systemer skal det sikres, at fortroligt og personfølsomme oplysninger ikke bliver tilgængelige for uvedkommende. Betryggende håndtering af fortroligt og personfølsomt print er uddybende beskrevet i bilag B1. 7.4 Intern kontrol For alle systemer skal der tages stilling til, hvilke interne kontroller, der skal udføres i forbindelse med databehandlingen, og hvem der er ansvarlig. Systemejerne skal sikre, at procedurerne iværksættes. Systemejernes opgaver er uddybende beskrevet i bilag C1. 7.5 Virus Holbæk Kommune råder over forskellige værktøjer, som beskytter it-systemer og netværk imod virusangreb. Udover anvendelse af opdaterede værktøjer, motiveres it-brugerne til varetagelse af god it-skik. Uddybende retningslinjer for tilrettelæggelse af virusberedskab er beskrevet i bilag A4 mens betryggende adfærd til imødegåelse af virus, fremgår i bilag B1. 7.6 Distance- og politiker pc er Distancearbejdspladsernes pc er kan være netopkoblede eller enkeltstående pc arbejdspladser, som er placeret i hjemmet eller andre steder, herunder også bærbare pc er og tablets. Retningslinjer for anvendelse af distancearbejdspladser i Holbæk Kommune fremgår i bilag B4. 7.7 Bærbart udstyr I Holbæk Kommune anvendes i stigende omfang bærbart udstyr, herunder bærbare pc er, tablets, USB-sticks, PDA er/smartphones og lignende. Personhenførbare informationer og fortrolige oplysninger må ikke lagres på bærbart udstyr og på private Cloud-løsninger. Retningslinjer for den type udstyr er beskrevet i bilag B5. 10
8 ANSKAFFELSE OG UDVIKLING Ved anvendelse af fast definerede forretningsgange og standarder skal det sikres, at de systemer eller driftsmiljøer der anskaffes, udvikles eller vedligeholdes, er pålidelige og effektive. It-afdelingen skal i samarbejde med systemejerne sikre, at anskaffede systemer og driftsmiljøer etableres på en sådan måde, at retningslinjerne i i-sikkerhedshåndbogen og bilagene overholdes. Systemejerne har ansvaret for, at de systemer, der anskaffes og udvikles inden for deres ansvarsområde sikres i et tilfredsstillende omfang. Inden et system anskaffes skal systemejeren sikre, at de sikkerhedsmæssige krav til systemet, i hele systemets levetid, identificeres. Kravene identificeres på baggrund af en risikovurdering. Systemer må ikke ibrugtages, før der er foretaget aftestning, hvor omfanget afhænger af væsentlighed og risiko. Systemejer skal godkende omfanget af test, og når resultatet foreligger, er det systemejeren, som beslutter, hvorvidt testresultatet er tilfredsstillende. Efterfølgende ændringer af systemet skal tillige aftestes. Endelig har systemejeren ansvaret for sikkerheden i forbindelse med udfasning af et system. It-afdelingen og evt. Styregruppen for digitalisering og velfærdsteknologi skal altid inddrages i processen inden anskaffelse og installation af nyt software. 9 STYRING AF I-SIKKERHEDSHÆNDELSER Det skal sikres, at svagheder og i-sikkerhedshændelser bliver overvåget og rapporteret således, at det er muligt at foretage rettidige og fornødne korrektioner. Alle it-brugere i Holbæk kommune skal gøres opmærksomme på deres forpligtelser til hurtigst muligt at rapportere i-sikkerhedshændelser til nærmeste leder eller IT-afdelingen. Her vil det blive vurderet, om der er tale om en reel i-sikkerhedshændelse og hvilke foranstaltninger der skal iværksættes. 10 NØDBEREDSKAB FOR IT-ANVENDELSEN Det skal sikres, at væsentlige forretningsgange og opgaver, inden for en given tidsperiode, kan videreføres i prioriteret og kontrolleret rækkefølge. Nødsituationer er uventede it-nedbrud, som har uacceptable konsekvenser for kommunens drift. Systemejere har ansvaret for: At identificere de væsentlige forretningsprocesser At identificere de systemer og data, som forretningsprocesserne afhænger af At fastlægge kravene til retablering: hvor gammel må en backup være, og hvor hurtigt skal forretningsprocessen vende tilbage i normal drift? At fastlægge kravene til eventuelle midlertidige manuelle forretningsgange Løbende at vurdere, om kravene til nødberedskab svarer til behovet. Nødberedskabet skal stå i naturligt forhold til vigtigheden af det driftsmiljø, som skal beskyttes. Kommunaldirektøren har ansvaret for, at kravene til it-understøttelsen, herunder kommunikationsveje, i en generel beredskabssituation er fastlagt og kan efterleves. Chefgruppen sikrer, at kravene efterleves og bistår med afprøvning af beredskabsplaner. Beredskabsstyringen sker i samarbejde med It-afdelingen. 11
Overordnet nødberedskab for it-anvendelsen er beskrevet i bilag A8/B9/C3*. 11 REGELSÆT OG LOVGIVNING Det skal sikres, at relevante i-sikkerhedskrav i lovgivning og bekendtgørelser overholdes. Holbæk Kommune er dataansvarlig myndighed og skal sikre, at anvendelsen af it-systemer overholder persondataloven, forvaltningsloven og lov om offentlighed i forvaltningen. Derudover har kommunen et ansvar for at sikre mod ulovlig brug af kommunens it-systemer og netværk, herunder brud på: Lov om ophavsret Den danske straffelov It-anvendelsen i Holbæk Kommune er endvidere reguleret af en række interne retningslinjer og regelsæt, som skal bidrage til, og være med til at sikre, en høj og ensartet kvalitet i forbindelse med it-anvendelsen. Retningslinjerne er beskrevet i bilag til i-sikkerhedspolitikken og i- sikkerhedshåndbogen. 11.2 Lov om behandling af personoplysninger Lov om behandling af personoplysninger - eller Persondataloven - har til formål at sikre personfølsomme data imod misbrug. Er der tale om en samling af personoplysninger er Persondataloven gældende. Persondataloven skelner ikke mellem, hvilke metoder der anvendes til håndtering af data. Persondataloven er således også gældende for persondata der gemmes på papir. I Persondataloven er defineret en række krav til fastsættelse af sikkerhedsbestemmelser. I- sikkerhedspolitikken, i-sikkerhedshåndbogen og tilhørende bilag bidrager til at opfylde kravene, som er defineret i Persondataloven samt relaterede bekendtgørelser. Særlige forhold vedrørende Persondataloven, herunder retningslinjer for indsigtsret og videregivelse, fremgår i bilag B12/C6*. 12
Bilagsoversigt Bilag Navn Itmedarbejdere Søjle A Søjle B Søjle C Søjle D Itbrugere A 1 Retningslinjer for it-medarbejdere x A 2 Retningslinjer for firewall x A 3 Retningslinjer for sikkerhedskopiering x A 4 Retningslinjer for virusberedskab x A 5 Retningslinjer for fysisk sikkerhed, servere og netværk x A 6 -B 7 Retningslinjer for trådløse netværk x x A 7 - B 8 Retningslinjer for destruktion af datamedier x x A8 - B 9 - C3 Retningslinjer for nødberedskab for it-anvendelse x x x A9 - B10 - C4 Retningslinjer for adgangsstyring x x x B 1 Retningslinjer for it-brugere x B 2 Retningslinjer for anvendelse af e-mail x B 3 Retningslinjer for anvendelse af internet x B 4 Retningslinjer for anvendelse af distancearbejdspladser x B 5 Retningslinjer for anvendelse af bærbare enheder x B 6 Retningslinjer for anvendelse af digital signatur x B 11 - C5 Retningslinjer for logning x x B 12 - C 6 Særlige forhold vedrørende persondataloven x x C 1 Retningslinjer for systemejere x C 2 Retningslinjer for dataejere x D 1 Retningslinjer for eksterne leverandører x D 2 Retningslinjer for eksterne leverandører, erklæringer x Systemejere Eksterne samarbejdspartnere