informations- och it-säkerhet€¦ · informations- och it-säkerhet jan a svensson i kommunal...
TRANSCRIPT
Informations- och IT-säkerhet
Jan A Svensson
i kommunal verksamhet
• En kommuns roll i trygghets och säkerhetsarbetet och var informations- och IT-säkerheten kommer in i detta
• Vad, vem och hur man kan arbeta med informations- och IT-säkerhetinformations- och IT-säkerhet
Jan A Svensson
Kommunens roll i trygghets- och säkerhetsarbetet• Skydd mot olyckor
• Hantera räddningsinsatser samt brandförebyggande och olycksförebyggande arbete
• Hantera extraordinära händelser • Egen krishanteringsförmåga och geografiskt områdesansvar
• Brottsförebyggande arbete• Till stor del socialt arbete och lokal förankring av polisverksamhet samt
samverkan i brottsförebyggande rådsamverkan i brottsförebyggande råd
• Internt säkerhetsarbete• Säkerställa och skydda den egna verksamheten och dess tjänster
Källa: MSB/SKL
Jan A Svensson
Områden inom internt säkerhetsarbete
Internt säkerhetsarbete
Personsäkerhet Fysisk säkerhet Informationssäkerhet
Teknik
Processer
Informationssäkerhet
IT-säkerhet
Jan A Svensson
Riktighet Konfidentialitet Tillgänglighet
MänniskorOrganisation
Riktighet Förändring/påverkan sker endast på ett önskat och kontrollerat sätt
Konfidentialitet (sekretess) Åtkomst endast för behöriga
Tillgänglighet Tillgång efter behov i förväntad utsträckning/inom önskad tid
Verksamhetsperspektivet
IT-verksamhet
Sty
rnin
g oc
h kr
av INFORMATIONSSÄKERHET
Jan A Svensson
Driftleverantör
IT-SÄKERHET
Sty
rnin
g oc
h kr
av
• En kommuns roll i trygghets och säkerhetsarbetet och var informations- och IT-säkerheten kommer in i detta
• Vad, vem och hur man kan arbeta med informations- och IT-säkerhet
Jan A Svensson
Vad behöver göras ?
Jan A Svensson
Internt Externt Externt/Internt
Vad behöver göras ?
Färdriktning• Önskvärda framtida läge• Vad man ska uppnå• Prioriteringar• ….
Jan A Svensson
Förhållningssätt• Värden som ska beaktas• Principer som ska gälla• Sätter gränser• ….
Förhållningssätt(t ex DI:s råd)
Färdriktning(t ex Digital Agenda)
Förhållningssätt
Vad behöver göras ?
Viljeyttring, värdeyttring. Livscykel ≈ 5 år
Vad som skall göras, anger ramar. Livscykel ≈ 3 -5 årHur & på vilket sätt. Konkreta.
Livscykel ≈ 3 år
Viktigt att definiera och besluta om
Jan A Svensson
besluta om styrdokumentens hierarki !
Vad behöver göras ?
Exempel:•Säkerhetspolicy
Exempel:• Riktlinjer för informationssäkerhet
Exempel:• Regler för chefers informationssäkerhetsansvar• Regler för IT-användare• Regler för Driftsdokumentation• Regler för E-post
Exempel:• Arkivlag ( Allmänna handlingar ska skyddas mot förstörelse, skada, tillgrepp
Exempel:• Strategi för samhällets informationssäkerhet• Arkivlag ( Allmänna handlingar ska skyddas mot förstörelse, skada, tillgrepp
och obehörig åtkomst)• Personuppgiftslag (Skydd av personuppgifter som behandlas)• Offentlighets- och sekretesslag (Sekretessbelagda uppgifter får ej röjas)• Tryckfrihetsförordningen (Tillhandahållande av allmän handling )• Lag om kommuners och landstings åtgärder inför och vid
extraordinära händelser i fredstid och höjd beredskap (Minskasårbarheten och kunna hantera extraordinära händelser)
• Lag om skydd mot olyckor (Tillfredsställande skydd för egendom)• Patientdatalag (Informationshantering inom hälso- och sjukvården ska
tillgodose patientsäkerheten, god kvalitet samt främja kostnadseffektivitet)• Lag om kommunal redovisning(Beskrivningar över genomförda
bearbetningar ska upprättas så att man kan följa och förstå de enskilda bokföringsposternas behandling)
• Strategi för samhällets informationssäkerhet• Nationell strategi för skydd av samhällsviktig
verksamhet• DI:s råd• Socialstyrelsens föreskrifter• Nationell eHälsa• Strategi för eSamhället• Digital agenda för Sverige• Lokala styrdokument• Avtal och överenskommelser
Jan A Svensson
Hur gör man ?
Analysera
UtformaFöljaupp
Införa
Verksamhetsanalys
Mätning gentemot
Analys
Genomgång och återrapportering
Fastställa säkerhetsåtgärder
RiskanalysGAP-analys
Kontroll
Utforma säkerhetsprocesser• Kris- & kontinuitetshantering• Incidenthantering• Förändringshantering • Service och supporthantering• Behörighetshantering • Patch-hantering• Övervakning & logghantering• Information & utbildning
Klassificering
FörtroendeUppfyllande av lagar och krav
från ledning, nyttjare,medborgare, kunder,
intressenter mfl
RiskmedvetenhetTydliggörande av risker för
ansvariga
Jan A Svensson
Införa
Införa säkerhetsåtgärder
gentemot indikatorer
Införa säkerhetsprocesser
Realisera försäkringslösningar
• Information & utbildning• …
VerksamhetsanpassningInte ”högsta” utan ”tillräcklig” säkerhet
intressenter mfl
Vem gör vad?• Riskägare
• Respektive nämnd/förvaltning och styrelse/bolag är ansvarig för riskhanteringen och säkerheten inom respektive verksamhet (KS ytterst ansvarig)
• Övergripande ledning och samordning• Stadsledningskontor (motsv) med uppdrag att stödja kommunstyrelsens ledning och
samordning av kommunens verksamhet
• Uppföljning och granskning• Revisionsförvaltning (motsv) med uppdrag att granska och bedöma den interna
kontrollen i verksamheten såsom att tillämpliga lagar, föreskrifter, styrdokument mm följs
• Stadsledningskontor (motsv) med uppdrag att stödja kommunstyrelsen att fullfölja sin uppsiktsplikt
Processägare
• Riskanalysera • Besluta om säkerhetsnivå• Säkerställa processer och
informationshantering• Informationsklassa • Besluta om åtkomst• Säkerställa att informationssystem uppfyller
beslutade krav • Organisera och planera den operativa
förvaltningen vilket inkluderar uppföljning av definierade säkerhetskrav
• Personuppgiftsansvarig (PuL)
Informationsägare• Informationsklassa • Besluta om åtkomst
Exempel på hur delegation/verkställighet av ansvar/skyldigheter kan göras inom en förvaltning
• Riskanalysera • Besluta om säkerhetsnivå• Säkerställa processer och
informationshantering• Informationsklassa • Besluta om åtkomst• Säkerställa att informationssystem
uppfyller beslutade krav
Säkerhetsfunktion Verksamhetsansvarig • Utveckla/förvalta handlingsplan • Utveckla/förvalta styrdokument• Utveckla/förvalta processer och
metoder• Incidentutredningar • Uppföljningar/revisioner• Utbilda och informera • Stöd
Jan A Svensson
Systemägare
Systemansvarig
• Säkerställa att informationssystem uppfyller beslutade krav
Om en nämnd uppdrar åt en förvaltningschef inom nämndens verksamhetsområde att fatta beslut, får nämnden överlåta åt förvaltningschefen att i sin tur uppdra åt en annan anställd inom kommunen att besluta i ställetBeslut som fattas enligt i förväg fastställda direktiv och som inte innehåller något moment av självständig bedömning
Delegation
Verkställighet
uppfyller beslutade krav • Organisera och planera den operativa
förvaltningen vilket inkluderar uppföljning av definierade säkerhetskrav
• Säkerställa att informationssystem uppfyller beslutade krav
• Organisera och planera den operativa förvaltningen vilket inkluderar uppföljning av definierade säkerhetskrav • Organisera och planera den operativa förvaltningen vilket inkluderar uppföljning av definierade säkerhetskrav
Exempel på hur fördelning av ansvar/skyldigheter för system inom en förvaltning/bolag kan göras
Processägare• Genomföra riskanalyser • Besluta säkerhetsnivå• Säkerställa processer
Verksamhetsansvarig
• Personuppgiftsansvarig
Förvaltningar/Bolag
Informationsägare• Informationsklassning• Hanteringsregler
Nämnd
Förvaltningsschef
Verksamhetschef
Styrelse
VD
Affärsområdeschef
Jan A Svensson
Systemförvaltning Drift
= Delegation (max två led för fv)
= VerkställighetXx Yy
• Hanteringsregler (åtkomst, behörighet,..)
IT-chef IT-chef
Systemansvarig• Organisera, planera, utarbeta och koordinera
• Uppföljning
Systemägare• Säkerställa att beslutadekrav på säkerhet uppfylls
• En kommuns roll i trygghets och säkerhetsarbetet och var informations- och IT-säkerheten kommer in i detta
• Vad, vem och hur man kan arbeta med informations- och IT-säkerhetinformations- och IT-säkerhet
Jan A Svensson
Jan A Svensson