TÅRNBY KOMMUNE IT SIKKERHEDSREGLER VEJLEDNING TIL BRUGERNE

TÅRNBY KOMMUNE IT SIKKERHEDSREGLER VEJLEDNING TIL BRUGERNE REVIDERET DECEMBER 2015

Denne vejledning tager sit afsæt i kommunens overordnede it-sikkerhedsregler, samlingen af love og regler, der findes på området - og er gældende for dig som medarbejder i Tårnby Kommune. Vi er til for borgerne, og bruger IT for at sikre effektivitet og kvalitet. Vi skal sammen sikre informationssikkerheden ved at beskytte følsomme og fortrolige oplysninger og sikre driften. Det er derfor vigtigt, at vi undgår uautoriseret adgang til systemerne. Med udgangspunkt i kommunens værdigrundlag skal instrukserne for brug af IT ses som en rettesnor for, hvad du skal, hvad du kan og hvad du ikke må. Du vil som ny medarbejder i kommunen få en kort introduktion til IT-sikkerhed og kommunens sikkerhedsprocedurer ved første log-on på din arbejdscomputer. Denne vejledning uddyber introduktionen og klarlægger, hvordan du som medarbejder, skal forholde dig i henhold til at overholde kommunens ITsikkerhedsregler. INDHOLDSFORTEGNELSE: Brugernavn og adgangskode... 2 Krav til adgangskode... 2 Log af / Lås PC... 2 Printere... 2 Digital Post... 3 Fjernprint... 3 Behandling af fortrolige og følsomme oplysninger... 3 Lagringsmedier... 3 Sikkerhedskrav for brug af mobilt IT-udstyr... 4 E-mail... 4 Internet... 4 Positivliste... 5 Webmail... 5 Virus... 5 Programmer... 6 Logning... 6 Sikkerhedskopi... 6 Sikkerhedsbrud... 6 Brug for at vide mere?... 6 TÅRNBY KOMMUNE - Forslag til Risikostyringsplan 2014 1

Brugernavn og adgangskode Din adgang til IT-systemer og udstyr styres via tildeling af brugerrettigheder. Disse rettigheder bliver løbende revideret i overensstemmelse med organisationens behov for tildeling. Adgang til systemer og data, som du er autoriseret til, er beskyttet af brugernavn og adgangskode. Brugernavnet er som udgangspunkt bygget op af første bogstav i dit fornavn efterfulgt af de to første bogstaver i efternavnet. Efter et punktum angives forkortelsen for din forvaltning. Eks. Bjarne Nielsen ansat i Teknisk Forvaltning Brugernavn: BNI.TF. For eksterne medarbejdere, dvs. udenfor rådhuset, er der ydermere tilføjet institutionens initialer i brugernavnet. Din adgangskode er strengt personligt og skal identificere dig over for systemets servere. Du er som bruger ansvarlig for enhver brug af dine personlige adgange og konti og har pligt til at håndtere adgangskode mv. forsvarligt, således at de ikke kommer andre i hænde. Udlever aldrig adgangskoden til andre og log altid af eller lås skærmen, når PC en forlades. Undlad at nedskrive adgangskoden. Adgangskoden skal ændres straks, hvis du får mistanke om, at andre kan have fået kendskab til den. Har du glemt din Windows adgangskode, eller er du kommet til at taste en forkert kode ind mere end tre gange og derved blevet låst ude af Windows, så er det nu muligt selv at løse dette problem vha. din private NemID. Under feltet hvor man taster sin Windows adgangskode ind, finder man et nyt link med teksten Skift adgangskode med NemID. Her er det muligt at benytte sin private NemID med nøglekort, til enten at låse sin Windows konto op, hvis man er blevet låst ude, eller skifte sin Windows adgangskode, hvis man har glemt den. Dette gøres ved at indtaste dit private bruger-id og adgangskode, efterfulgt af den nøglekode som du efterfølgende bliver spurgt om. Vi taler altså her om den private NemID, som også benyttes derhjemme til eksempelvis Netbank eller borger.dk, blot for at nævne et par eksempler. Alternativt kan Organisations- og Personaleafdelingen kontaktes. Krav til adgangskode Adgangskoden skal bestå af min. 8 tegn. Adgangskoder skal indeholde kombinationer fra følgende tre kategorier; store bogstaver, små bogstaver og tal. Du må ikke benyttes brugernavn og eget navn som en del af adgangskoden. Systemet sikrer, at du skifter adgangskode efter senest 90 dage (hver 3. måned). Du kan tidligst anvende det samme adgangskode igen efter 8 gange. Adgang til systemer blokeres efter 3 mislykkedes login forsøg Alle arbejdsstationer har en skærmlås, der aktiveres automatisk efter 10 minutters inaktivitet med krav om indtastning af adgangskode. Log af / Lås PC Du skal låse din pc, når du forlader din arbejdsplads, så andre ikke får adgang til data via dit log in. Også selv om det kun er for en kortere periode. Tryk på: ctrl + alt + delete og vælg herefter Lås computer. Alternativt kan følgende taster benyttes til at låse computeren: + L. Printere Du må ikke ændres på printernes konfigurationer. Udskrifter med følsomme data skal afhentes umiddelbart efter afviklingen eller så vidt muligt udskrives til printere som Sikker udskrift med brug af pin-kode. IT-afdelingen logger alt brug af printere. Loggen indeholder bl.a. navn, printmængde, printtider. Kommunen har en række farvelaserprintere. Prisen på farveprint er høj, så derfor skal der printes med omtanke. TÅRNBY KOMMUNE - Forslag til Risikostyringsplan 2014 2

Digital Post Digital Post er en service på de fællesoffentlige portaler Borger.dk og Virk.dk, der giver mulighed for sikker digital kommunikation mellem myndigheder og borgere/virksomheder. Både borgere og virksomheder kan se deres post fra e-boks i Digital Post-løsningen. Al post der kan sendes digitalt skal sendes digitalt, jf. kommunes principper og retningslinjer for digital post, der findes på Intranettet. Fjernprint Kommunens fjernprintløsning, der distribuerer posten til borgerens/virksomhedens digitale postkasse. Ved anvendelse af fjernprint aflæses cpr.nr./cvr.nr. i forsendelsen, der sendes automatisk til modtagerens digitale postkasse. Hvis der ikke er oprettet digital postkasse, printer og kuverterer Strålfors forsendelsen. Behandling af fortrolige og følsomme oplysninger Følsomme oplysninger vil altid være fortrolige. Fortrolige oplysninger vil ikke altid være følsomme oplysninger. Eksempelvis dankortnummer. Det afgørende for, om en oplysning skal anses for fortrolig, vil være en vurdering af, om oplysningen er af en sådan karakter, at den efter den almindelige opfattelse i samfundet ikke bør komme til offentlighedens kendskab. En almindelig oplysning kan ud fra en konkret vurdering af den sammenhæng, den indgår i, vise sig at være fortrolig. Det vil være tilfældet, hvis adressen f.eks. viser, at vedkommende pt. er i fængsel. Følsomme oplysninger er eksempelvis oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, oplysninger om helbredsforhold, seksuelle forhold, oplysninger om strafbare forhold og væsentlige sociale problemer. Det samme gælder oplysninger om interne familieforhold, f.eks. stridigheder og oplysninger om selvmordsforsøg og ulykkestilfælde. Herudover vil f.eks. oplysninger om indtægts- og formueforhold, arbejds-, uddannelses- og ansættelsesmæssige forhold efter omstændighederne også være fortrolige. Du skal være omhyggelig med at sikre, at uvedkommende ikke får adgang til følsomme eller fortrolige data. Du skal logge af din pc, når du forlader den, så andre ikke kan få adgang til persondata via din kode. Lad ikke følsomme eller fortroligt materiale ligge frit fremme, når du forlader din arbejdsplads og sørg for at det ikke kommer uvedkommende i hænde. Personfølsomme oplysninger skal jf. persondataloven sendes via sikre kanaler, f.eks. digital post. Mail internt i kommunen er altid sikker mail. Du kan derfor udveksle fortrolige oplysninger eller følsomme oplysninger internt med dine kolleger, hvis det er nødvendigt og lovligt i forhold til de arbejdsopgaver, du udfører. Du må ikke skaffe dig oplysninger om personer, hvis du ikke skal bruge det i dit arbejde, og heller ikke opbevare eller behandle fortrolige eller følsomme data på din private computer eller eksterne lagringsmedier. Lagringsmedier Du skal lagre dine arbejdsdokumenter og andre data på kommunens dokumenthåndteringssystem Acadre, hvor der er backup og andre sikkerhedsforanstaltninger. Persondata må kun gemmes i systemer, der er beregnet til det. Dvs. der skal være logning på adgange, som f.eks. i Acadre. Du kan opbevare persondata på dit lokale drev (skrivebordet) eller e-mail-system i kortere tid (op til 30 dage) uden særlige sikkerhedsforanstaltninger, hvis det indgår som led i behandlingen af en sag. I sådanne tilfælde er særlig opmærksomhed påkrævet. Du må ikke lagre arbejdsdata permanent på dit C-drev, ligesom databærende medier så som USB-nøgler, CD-rom og lignende ikke må benyttes. TÅRNBY KOMMUNE - Forslag til Risikostyringsplan 2014 3

Sikkerhedskrav for brug af mobilt IT-udstyr Smartphone arbejdsmobiler, bærbare computere og tablets skal låses i form af adgangskode for at forhindre uautoriseret brug i tilfælde af, at telefon eller tablet mistes. En låst enhed forhindrer uvedkommende direkte adgang til kommunens it-systemer og fortrolige informationer. Telefonen skal opsættes til at låse automatisk efter 10 minutter, hvis den ikke har været i brug. Opbevar altid oplysninger omkring pinkode og pukkode et sikkert sted. Du må ikke efterlade bærbare computere, mobiltelefoner, tablets, medmindre de er sikret med adgangskode. Hvis telefon eller tablet kobles på trådløse netværk, som ikke er kommunens eget, så undlad at udveksle fortrolig information. Vær kritisk, med at surfe på internettet. Download ikke filer fra hjemmesider, som ikke fremgår af positivlisten (se afsnit om internet senere i denne vejledning). Generelt bør du ikke ringe op til ukendte telefonnumre eller besvare mistænkelige sms-beskeder, hvis ikke afsenderen kendes. Du skal sikre dig, at følsomme og fortrolige data ikke lagres på mobilt IT-udstyr så som mobil eller tablet. Udlånte tablets og smartphones vedligeholdes / opdateres af dig selv. Mobilt it-udstyr omfatter smartphones, tablets og PDA'er med synkronisering til Exchange eller anden dataadgang til kommunes it-systemer, som ansvarsmæssigt er underlagt lederen af IT-afdelingen. Tekniske minimumstiltag: Adgangskoden skal som minimum indeholde 4 tegn. Enheden skal spærres efter højst 5 forkerte adgangsforsøg. Enheden skal være udstyret med adgangskodebeskyttet skærmlås, der automatisk aktiveres efter højst 10 minutters inaktivitet. Håndholdt udstyr er underlagt en centralt administreret løsning, der sikrer, at enheden kan spærres og data slettes, i tilfælde af at enheden mistes eller stjæles. I sådanne situationer er det derfor vigtigt, at du hurtigst muligt giver IT-afdelingen besked. E-mail Når du sender e-mails fra en @taarnby.dk konto repræsenterer du Tårnby Kommune, og skal derfor være opmærksom på sprogbrug og indhold. E-mails sendt fra en @taarnby.dk konto ejes af kommunen, og betragtes som arbejdsrelaterede. E-mails, der vedrører sagsbehandlingen skal journaliseres i dokumenthåndteringssystemet. Du kan sende fortrolige og personfølsomme e-mails internt i kommunen, men de skal slettes fra postkassen og papirkurven inden 30 dage. Du skal benytte sikker e-mail, hvis du sender fortrolige eller følsomme personoplysninger til borgere og virksomheder (modtagere uden for kommunen). Dette indebærer bl.a., at du skal sikre dig at modtageren også har sikker e-mail. Men som udgangspunkt skal Digital Post anvendes i det omfang, der er muligt. Til kommunikation hvori der ikke indgår fortrolige eller personfølsomme oplysninger vil almindelig mail kunne anvendes. Du skal behandle e-mails fra ukendte afsendere og/eller med ukendt eller manglende emne med varsomhed. De kan indeholde virus. Internet Formålet med anvendelse af internettet og e-mail i kommunen er som ved al anden IT-anvendelse at understøtte og bidrage til en hensigtsmæssig og effektiv løsning af de daglige arbejdsopgaver, samt at forbedre service overfor borgere og erhvervsliv. Når du er på internettet, afgives automatisk et elektronisk fingeraftryk, nemlig computerens IP-adresse, og kommunen ønsker ikke at sætte sådanne fingeraftryk på anstødelige sider. Det gælder f.eks. sider, som indeholder pornografisk, racistisk eller andet stødende materiale. Derfor bør du undlade at besøge sider eller foretage handlinger, der på nogen måde kan virke kompromitterende for kommunen. Mange af disse sider er allerede blokeret af kommunen, så de ikke kan tilgås. Du bør dog alligevel udvise omtanke ved færden på internettet. Det ikke er lovligt at publicere eks. fotos eller video på nettet af personer, der ikke forudgående har givet tilladelser hertil, ligesom loven om ophavsret naturligvis skal respekteres ved publicering af andres værker via nettet. TÅRNBY KOMMUNE - Forslag til Risikostyringsplan 2014 4

Du må søge på samtlige hjemmesider med henblik på at finde arbejdsrelevant information og printe fra disse hjemmesider. Brug af internet fra kommunens netværk bør ske med omtanke, da infektion med virus eller anden skadelig software kan få store negative konsekvenser for hele netværket. Positivliste Det er kun tilladt at downloade (kopiering af filer fra internettet) fra hjemmesider, der fremgår af forvaltningens positivliste. Positivlisten er en fortegnelse over de internetsider, er vurderet sikre og hvorfra der uden risiko for virusangreb kan hentes filer. Spørg i din afdeling, hvor positivlisten findes. Webmail Der er adgang til webmail for en stor del af de administrative medarbejdere i kommunen. Via webmail er der mulighed for at du kan tilgå din mail, kalender, opgaver, noter, kontaktpersoner m.v. over internettet via en webbrowser. Adressen er https://webmail.taarnby.dk. Du kan åbne webmail på alle pc ere med dit brugernavn og adgangskode. Vejledning findes på intranettet. Der findes to indstillingsmuligheder for opkobling til webmail; offentlig/delt computer og privat computer. Offentlig/delt (anbefales): Man logges automatisk ud efter kort tids inaktivitet Der kan ikke gemmes/hentes vedhæftede filer, men de mest almindelige filtyper kan vises Privat: Man logges automatisk ud efter længere tids inaktivitet Der kan gemmes/hentes vedhæftede filer Bør kun anvendes hvis man kan stå inde for sikkerheden på det lokale system Man skal selv huske, at slette eventuelle gemte filer fra det lokale system Hvis medarbejdere arbejder med personoplysninger på IT-udstyr udenfor arbejdspladsen, skal følgende sikkerhedsforanstaltninger være truffet til sikring af, at personoplysninger er beskyttet lige så godt, som når behandlingen sker på kommunens IT-udstyr: Webmail bør kun anvendes hvis du kan stå inde for sikkerheden på det lokale system Du skal være omhyggelig med at sikre, at uvedkommende ikke får adgang til personfølsomme eller fortrolige data Du skal logge af pc en når den forlades, så andre ikke kan få adgang til persondata Du logges automatisk ud efter længere tids inaktivitet Du skal slette eventuelle gemte filer fra det lokale system Det er ikke tilladt at opbevare eller behandle fortrolige eller personfølsomme data på en privat computer Virus En PC kan blive "inficeret" af virus på mange måder, men kendetegnende er, at virus automatisk spreder sig fra en computer til en anden. Fælles for de mange tusind kendte vira er, at de ødelægger - nogle gange sletter - filer, der ligger på harddisken eller på netværket. Virus spredes nemt ved hjælp af vedhæftede filer eller links i e-mails, og derfor er det vigtigt, at man aldrig åbner vedhæftede filer, med mindre man har tillid til afsenderen og forventer at modtage filerne. Mange vira spredes også via hjemmesider. En virus kan skifte form og gemme sig i filformater, der virker helt uskadelige som billeder, gratis programmer/værktøjer, lyd- eller video filer, og det er derfor ikke tilladt at downloade og/eller åbne filer fra andre hjemmesider end de på positivlisten anførte. TÅRNBY KOMMUNE - Forslag til Risikostyringsplan 2014 5

Hvis antivirus-programmet fortæller, at der er virus - eller du i øvrigt har mistanke om, at en PC er inficeret med virus - skal lederen straks kontaktes. Lederen kontakter umiddelbart herefter ITsikkerhedskoordinatoren og IT-afdelingen, der er ansvarlig for at løse problemet. Du skal være opmærksom på at kunne gøre rede for dine handlinger på PC`en. Redegørelsen vil muligvis medvirke til opklaring af hvorledes virus er overført til PC en. PC'en vil eventuelt skulle overføres til ITafdelingen for nærmere undersøgelse. For at sikre kommunen mod virus, skal følgende forholdsregler overholdes: Du må ikke downloades/og eller åbnes filer fra andre end de på positivlisten anførte. Undtagelse fra dette kræver særlig tilladelse fra den øverste sikkerhedsansvarlige. Du må ikke indlæses eller afvikles spil. Udefra kommende eller private IT-medier (smartphone, digitalkamera, cd-rom, MP3-afspiller og USB-stik) må ikke indlæses og anvendes på administrative maskiner uden lederens godkendelse. Ved anvendelse af privat e-mail (hotmail, outlook.com, g-mail, osv), er det ikke tilladt at åbne vedhæftede filer, hvilket er at sammenligne med download. Programmer Alle programmer på kommunens IT-udstyr er underkastet licensbestemmelser og må derfor ikke kopieres. Det er kun IT-afdelingen, der må foretage installation af programmer på kommunens PC ere. PC erne vil i videst muligt omfang være låste, således at det kun er IT-afdelingen, der kan installere på disse. Du må ikke foretage ændringer i program- og systemopsætninger på PC'er/bærbare, heriblandt fjerne de sikkerhedskontroller (antivirus, adgangskontrol og lign.), som er installeret. Kommunaldirektøren kan give tilladelse til at downloade/installere særlige programmer. Kommunens udstyr er konfigureret til det centrale netværk og vedligeholdes automatisk via netværket, herunder sikkerhedsopdateringer af Windows, Office-pakken og anden software. Af hensyn til en effektiv og sikker drift er det alene IT-afdelingen, der må ændre indstillinger på kommunens IT-udstyr, ligesom udstyret alene må serviceres og repareres via IT-afdelingen. Logning Al dataanvendelse i kommunen logges. Det betyder, at man kan spore, hvem der har set eller arbejdet med bestemte data. Loggen kan anvendes til at kontrollere medarbejdernes brug af internet og e-mail, hvis der er mistanke om kriminelle forhold, overtrædelse af sikkerhedsbestemmelserne eller i forbindelse med systemproblemer og fejlretning. Der laves stikprøvekontrol i alle IT-systemer. Udskrift af loggen kan kun rekvireres af den øverste sikkerhedsansvarlige (kommunaldirektøren). Databehandlingen er anmeldt til og godkendt af Datatilsynet. Sikkerhedskopi Der tages dagligt en kopi af alle brugerdata, der ligger på de centrale servere (Acadre og fælles drev). Ødelagte dokumenter og filer kan således genskabes, som de var ved sidste kopiering. Formålet med at foretage sikkerhedskopiering eller backup, er at kunne genskabe dem, hvis man ved et uheld får slettet data, eller hvis maskinen går i stykker. På de centralt placerede systemer på Rådhuset foretages sikkerhedskopiering af IT-afdelingen. Sikkerhedsbrud Du skal informere din leder, hvis du opdager eller har mistanke om et sikkerhedsbrud. Brud på sikkerheden kan have konsekvenser for ansættelsesforholdet og lovovertrædelser meldes til politiet. Brug for at vide mere? Har du behov for at få uddybet IT-sikkerhedsreglerne, kan du spørge din leder. TÅRNBY KOMMUNE - Forslag til Risikostyringsplan 2014 6