regler (iso27002-2013) - kalundborg · regler (iso27002-2013) secureaware 4.8.6. ledelsens rolle...

Kalundborg Kommune

Regler (ISO27002-2013)2.4

29-03-2016

Indholdsfortegnelse

5 Informationssikkerhedspolitikker 1

5.1 Retningslinjer for styring af informationssikkerhed 15.1.1 Politikker for informationssikkerhed 1

5.1.2 Gennemgang af politikker for informationssikkerhed 1

6 Organisering af informationssikkerhed 2

6.1 Intern organisering 26.1.1 Roller og ansvarsområder for informationssikkerhed 2

6.1.2 Funktionsadskillelse 3

6.1.3 Kontakt med myndigheder og særlige interessegrupper 3

6.2 Mobilt udstyr, fjernarbejdspladser og fastnettelefoner 36.2.1 Politik for mobilt udstyr 3

6.2.2 Fjernarbejdspladser 4

7 Personalesikkerhed 5

7.1 Før ansættelsen 57.1.1 Screening 5

7.1.2 Ansættelsesvilkår og -betingelser 6

7.2 Under ansættelsen 67.2.1 Ledelsesansvar 6

7.2.2 Bevidsthed om, uddannelse og træning i informationssikkerhed 6

7.2.3 Sanktioner 7

7.3 Ansættelsesforholdets ophør eller ændring 77.3.1 Ansættelsesforholdets ophør eller ændring 7

8 Styring af aktiver 7

8.1 Ansvar for aktiver 78.1.1 Fortegnelse over aktiver 7

8.1.2 Ejerskab af aktiver 7

8.1.3 Accepteret brug af aktiver 8

8.2 Klassifikation af information 98.2.1 Klassifikation af information 9

8.2.2 Mærkning af information 9

8.2.3 Håndtering af aktiver 10

8.3 Mediehåndtering 108.3.1 Styring af bærbare medier 11

8.3.2 Bortskaffelse af medier 11

8.3.3 Fysiske medier under transport 12

9 Adgangsstyring 12

Regler (ISO27002-2013)

SecureAware 4.8.6

9.1 Forretningsmæssige krav til adgangsstyring 129.1.1 Politik for adgangsstyring 12

9.1.2 Adgang til netværk og netværkstjenester 13

9.2 Administration af brugeradgang 149.2.1 Brugerregistrering og -afmelding 14

9.2.2 Tildeling af brugeradgang 14

9.2.3 Styring af priviligerede adgangsrettigheder 15

9.2.4 Styring af hemmelig autentifikationsinformation om brugere 17

9.2.5 Gennemgang af brugeradgangsrettigheder 18

9.2.6 Inddragelse eller justering af adgangsrettigheder 19

9.3 Brugernes ansvar 209.3.1 Brug af hemmelig autentifikationsinformation 20

9.4 Styring af system- og applikationsadgang 219.4.1 Begrænset adgang til informationer 21

9.4.2 Procedurer for sikker log-on 21

9.4.3 System for administration af adgangskoder 21

9.4.4 Brug af priviligerede systemprogrammer 21

9.4.5 Styring af adgang til kildekoder til programmer 22

10 Kryptografi 22

10.1 Kryptografiske kontroller 2210.1.1 Politik for anvendelse af kryptografi 22

10.1.2 Administration af krypterings nøgler 22

11 Fysisk sikring og miljøsikring 22

11.1 Sikre områder 2211.1.1 Fysisk perimetersikring 22

11.1.2 Fysisk adgangskontrol 23

11.1.3 Beskyttelse mod eksterne og miljømæssige trusler 24

11.1.4 Arbejde i sikre områder 24

11.1.5 Områder til af- og pålæsning 24

11.2 Udstyr 2411.2.1 Placering og beskyttelse af udstyr 24

11.2.2 Understøttende forsyninger (forsyningssikkerhed) 25

11.2.3 Sikring af kabler 25

11.2.4 Vedligeholdelse af udstyr 26

11.2.5 Fjernelse af aktiver 26

11.2.6 Sikring af udstyr og aktiver uden for organisationen 26

11.2.7 Sikker bortskaffelse eller genbrug af udstyr 26

11.2.8 Brugerudstyr uden opsyn 27

11.2.9 Politik for ryddeligt skrivebord og blank skærm 27


SecureAware 4.8.6

12 Driftssikkerhed 27

12.1 Driftsprocedurer og ansvarsområder 2812.1.1 Dokumenterede driftsprocedurer 28

12.1.2 Ændringsstyring 28

12.1.3 Kapacitetsstyring 30

12.1.4 Adskillelse af udviklings test- og driftsmiljøer 30

12.2 Beskyttelse mod malware 3012.2.1 Kontroller mod malware 30

12.3 Backup 3112.3.1 Backup af information 31

12.4 Logning og overvågning 3212.4.1 Hændelseslogning 32

12.4.2 Beskyttelse af logoplysninger 34

12.4.3 Administrator- og operatørlog 34

12.4.4 Tidssynkronisering 35

12.5 Styring af driftssoftware 3512.5.1 Softwareinstallation på driftsystemer 35

12.6 Sårbarhedsstyring 3512.6.1 Styring af tekniske sårbarheder 35

12.6.2 Begrænsninger på softwareinstallation 36

12.7 Overvejelser i forbindelse med audit af informationssystemer 3712.7.1 Kontroller i forbindelse med audit af informationssystemer 37

13 Kommunikationssikkerhed 38

13.1 Styring af netværkssikkerhed 3813.1.1 Netværksstyring 38

13.1.2 Sikring af netværkstjenester 41

13.2 Informationsoverførsel 4213.2.1 Politikker og procedurer for informationsoverførsel 42

13.2.2 Elektroniske meddelelser 43

14 Anskaffelse, udvikling og vedligeholdelse af systemer 45

14.1 Sikkerhedskrav til informationssystemer 4614.1.1 Analyse og specifikation af informationssikkerhedskrav 46

14.1.2 Beskyttelse af handelsapplikationer og -tjenester 46

14.2 Sikkerhed i udviklings- og hjælpeprocesser 4714.2.1 Sikker udviklingspolitik 47

14.2.2 Procedurer for styring af systemændringer 48

14.2.3 Teknisk gennemgang af applikationer efter ændring af

driftsplatforme

48

14.2.4 Begrænsning af ændringer af softwarepakker 48


SecureAware 4.8.6

14.2.5 Principper for udvikling af sikre systemer 49

14.2.6 Sikkert udviklingsmiljø 49

14.2.7 Outsourcet udvikling 49

14.2.8 Systemgodkendelsestest 50

14.3 Testdata 5114.3.1 Sikring af testdata 51

15 Leverandørforhold 51

15.1 Informationssikkerhed i leverandørforhold 5115.1.1 Informationssikkerhedspolitik for leverandørforhold 51

15.1.2 Håndtering af sikkerhed i leverandøraftaler 51

15.1.3 Forsyningskæde for informations- og kommunikationsteknologi 51

15.2 Styring af leverandørydelser 5115.2.1 Overvågning og gennemgang af leverandørydelser 51

15.2.2 Styring af ændringer af leverandørydelser 51

16 Styring af informationssikkerhedsbrud 52

16.1 Styring af informationssikkerhedsbrud og forbedringer 5216.1.1 Ansvar og procedurer 52

16.1.2 Rapportering af informationssikkerhedshændelser 54

16.1.3 Rapportering af informationssikkerhedssvagheder 54

16.1.4 Vurdering af og beslutning om

informationssikkerhedshændelser

54

16.1.5 Håndtering af informationssikkerhedsbrud 54

16.1.6 Erfaring fra informationssikkerhedsbrud 54

16.1.7 Indsamling af beviser 55

17 Informationssikkerhedsaspekter ved nød-, beredskabs- og

reetableringsstyring

55

17.1 Informationssikkerhedskontinuitet 5517.1.1 Planlægning af informationssikkerhedskontinuitet 55

17.1.2 Implementering af informationssikkerhedskontinuitet 56

17.1.3 Verificer, gennemgå og evaluer

informationssikkerhedskontinuiteten

57

18 Overensstemmelse 57

18.1 Overensstemmelse med lov- og kontraktkrav 5718.1.1 Identifikation af gældende lovgivning og kontraktkrav 57

18.1.2 Immaterielle rettigheder 58

18.1.3 Beskyttelse af registreringer 59

18.1.4 Regulering af kryptografi 59

18.2 Gennemgang af informationssikkerhed 59


SecureAware 4.8.6

18.2.1 Uafhængig gennemgang af informationssikkerhed 59

18.2.2 Undersøgelse af teknisk overensstemmelse 59


SecureAware 4.8.6

5 Informationssikkerhedspolitikker 5.1 Retningslinjer for styring af informationssikkerhed 5.1.1 Politikker for informationssikkerhed

IT-sikkerhedshåndbogens regler

IT-sikkerhedshåndbogens regler fremgår af kapitlerne nummereret 5 til 15. Denne nummerering er valgt, for at

krav og retningslinier i IT-sikkerhedshåndbogen struktur og nummereringsmæssigt skal korrespondere med

strukturen i ISO 27002 (og DS 484:2005)

Offentliggørelse af IT-sikkerhedspolitik

Relevante dele af sikkerhedsreglerne skal kommunikeres til alle relevante interessenter, herunder alle

medarbejdere.

Offentliggørelse sker via Kalundborg Kommunes interne informationsportaler m.m.

Det er vigtigt, at ledelsen med udgangspunkt i kommunens forretningsmæssige behov og en overordnet

risikovurdering samt eksterne og interne krav udstikker en klar målsætning og viser sin støtte og sit

engagement gennem udstedelsen af og opfølgning på en sikkerhedspolitik og en overordnet handlingsplan med

en prioritering af ressourceindsatsen. 5.1.2 Gennemgang af politikker for informationssikkerhed

Ansvar for vedligeholdelse af IT-sikkerhedspolitikken

Overordnet IT-sikkerhedspolitik samt regler skal vedligeholdes af IT-chefen.

Godkendelse af IT-sikkerhedspolitik

Den overordnede IT-sikkerhedspolitik skal godkendes af Kommunalbestyrelsen ved ændringer.

Reglerne i sikkerhedshåndbogen skal godkendes af direktionen ved ændringer.

Ved væsentlig ændringer skal IT-sikkerhedspolitikken godkendes i Kommunalbestyrelsen.

IT-sikkerhedspolitikken skal som minimum årligt godkendes i Direktionen tilllige med reglerne i

sikkerhedshåndbogen.

Revision af IT-sikkerhedspolitik

Der skal ske revision af IT-sikkerhedspolitikken mindst en gang om året.

IT-sikkerhedspolitikken skal gennemgås, når der sker vigtige ændringer i IT-miljøet.

Revision af informationssikkerhedsstrategien

Der skal ske revision af informationssikkerhedsstrategien mindst

hvert tredje år samt ved væsentlige ændringer.

Ved informationssikkerhedsstrategi forstås den overordnede IT-sikkerhedspolitik og den overordnede

handlingsplan, der skal sikre implementering og vedligeholdelse af politikken.

IT-sikkerhedshåndbogens anvendelsesområde

IT-sikkerhedshåndbogen gælder for centralt IT-udstyr, decentrale servermiljøer og alle administrative IT-

arbejdspladser i Kalundborg Kommune. IT-arbejdspladser tilknyttet Citrix-miljøet samt stationære og bærbare

pc'er og andre mobile enheder.

Side 1 af 60


SecureAware 4.8.6

IT-sikkerhedshåndbogen dækker oplysninger, der behandles digitalt og på papir.

IT-sikkerhedshåndbogen gælder ikke for skoleelevers private computere, som tilsluttes internet på skolernes

åbne netværk o.l.

Sikkerhedshåndbogens Omfang

Alle data, der tilhører Kalundborg Kommune, herudover også data, som ikke tilhører Kalundborg Kommune,

men som Kalundborg Kommune kan gøres ansvarlig for er omfattet. Dette inkluderer f.eks. alle data om

borgere, personale, data om finansielle forhold, alle data, som bidrager til administration af Kalundborg

Kommune samt data, som er overladt til Kalundborg Kommune af andre. Disse data kan være faktuelle

oplysninger, optegnelser, registreringer, rapporter, forudsætninger for planlægning eller ethvert andet

datagrundlag, som kun er til intern brug.

Alle data, ligegyldigt, hvilken form de opbevares og formidles på, herunder også data i papirform.

Politikken og sikkerhedshåndbogen er gældende for:

Alle ansatte uden undtagelse - både fastansatte og midlertidigt ansatte.

Politikere.

Eksterne konsulenter, fritvalgsleverandører og serviceleverandører, som arbejder i eller for Kalundborg

Kommune.

Alle medarbejdere der er ansat under aftaleenheder, herunder selvejende institutioner. 6 Organisering af informationssikkerhed 6.1 Intern organisering 6.1.1 Roller og ansvarsområder for informationssikkerhed

Krav til ejerskab

Alle informationsaktiver ejes af Kalundborg Kommune.

For alle IT-systemer er der udpeget en organisationsenhed som systemejer.

Sikkerhedsansvar for IT-funktioner

Alle kritiske IT-funktioner der kræver specialviden, færdighed eller erfaring skal identificeres, og der er udpeget

en driftsansvarlig ejer.

Sikkerhedsorganisation

Kalundborg Kommune skal have et forum for informationssikkerhed, der har ansvar for at sikre at strategien for

informationssikkerhed er synlig, koordineret og i overensstemmelse med Kalundborg Kommunes mål.

Forum for informationssikkerhed består af direktionen og IT-chefen.

Forum for informationssikkerhed mødes minimum én gang om året. IT udarbejder samtidig rapport over

sikkerhedshændelser for perioden til godkendelse i Økonomiudvalget.

Koordination af informationssikkerheden

Ansvaret for koordination af sikkerheden på tværs i

organisationen varetages af Kalundborg Kommunes forum for

informationssikkerhed.

Placering af ansvar er vitalt for at sikre opmærksomhed på kommunens informationsaktiver.

Organisationsstrukturen i kommunen og samarbejde med eksterne partnere er yderst vigtigt for at opretholde et

tidssvarende sikkerhedsniveau. Kontrakter med partnere og andre aftaler er ligeledes et område, der har

indflydelse på informationssikkerheden.

Side 2 af 60


SecureAware 4.8.6

Ledelsens rolle

Ledelsen skal støtte Kalundborg Kommunes informationssikkerhed ved at udlægge klare retningslinier, udvise

synligt engagement samt sikre en præcis placering af ansvar. 6.1.2 Funktionsadskillelse

Sikring af forretningskritiske systemer

Forretningskritiske systemer skal beskyttes ved hjælp af

funktionsadskillelse, således at risikoen for misbrug af

privilegier minimeres.

Funktionsadskillelse: udvikling, test og

drift.

Der skal være funktionsadskillelse henholdsvis i forhold til

udviklings-, test- og driftsmiljøet. 6.1.3 Kontakt med myndigheder og særlige interessegrupper

Information om nye trusler, virus og sårbarheder

IT er ansvarlig for eksternt samarbejde med de fornødne informationskanaler, herunder samarbejde omkring IT-

sikkerhed med relevante sikkerhedsorganisationer.

IT har etableret en proces for identifikation af nye sårbarheder. Der er udpeget ansvarlige personer for dette.

IT skal informere relevante personer i ledelsen om nye trusler, som potentielt kan berøre de pågældende

forretningsenheder. 6.2 Mobilt udstyr, fjernarbejdspladser og fastnettelefoner 6.2.1 Politik for mobilt udstyr

Mobile enheders tilslutning til andre netværk

Det er tilladt at forbinde mobilt udstyr til andre netværk

såfremt der benyttes firewall på enheden.

Sikkerhedskontroller overfor fjernopkoblet

udstyr.

Mobile enheder skal sikres med antivirus, firewall og

adgangskontrolsystemer. Disse foranstaltninger skal opdateres

løbende.

Fortrolige data på mobile enheder

Der må opbevares fortrolige data på mobile enheder, såfremt disse data beskyttes med et sikkerhedsprodukt,

der er godkendt af IT.

Virusscanning af mobile datamedier

Inden ibrugtagning skal brugeren scanne ethvert datamedie for

virus, hvis det har været i brug på eksternt udstyr. Med datamedie

menes for eksempel transportable hukommelsesenheder, diske,

USB-nøgler, cd'er, dvd'er m.v.

Side 3 af 60


SecureAware 4.8.6

Tyverimærkning af IT-udstyr

Alle stationære- og bærbare pc'er skal være sikkerhedsmærket for at minimere risiko for tyveri og for at gøre

det lettere at få stjålet udstyr retur.

Mobiltelefoner, PDA'er og lignende er ikke sikkerhedsmærket.

Opbevaring af bærbare computere

Bærbare computere skal fjernes eller låses inde efter

arbejdstidens ophør.

Hvis der er risiko for, at uvedkommende kan få adgang til

bærbare computere efter arbejdstid, skal computerne være låst inde

i et tilpas sikkert skab.

Arbejdsmobil (uden multimediebeskatning)

Må kun benyttes til arbejdsrelaterede formål.

Beskeder på mobilsvarer skal aflyttes og behandles.

Fri telefon

Ved fri telefon forstås, at abonnementet enten er oprettet i Kalundborg Kommunes navn som ejer, og med

medarbejderens navn som bruger, eller at Kalundborg Kommune fuldstændigt eller op til et bestemt beløb

afholder telefonudgiften eller en procentdel af telefonudgiften, dvs. bærer en direkte risiko for telefonregningens

størrelse.

Beskattes i h.t. regler om multimedieskat med henvisning til procedurer i:Medarbejderportalen: Værktøjskassen

/Løn og personaleforhold /Administrative vejledninger.

Må benyttes til private formål, dog ikke til konkurrencedeltagelse samt bidrag til velgørende formål.

Må benyttes i udlandet i begrænset omfang.

Beskeder på mobilsvarer skal aflyttes og arbejdsmæssige henvendelser behandles.

PDA (i hjemmeplejen)

Må kun benyttes til arbejdsrelaterede formål.

Brug af fastnettelefon

Alle organisationsenheder skal sikre at der udarbejdes lokale retningsliner, så det sikres at telefonerne

besvares i åbningstiden. 6.2.2 Fjernarbejdspladser

Forsikringsdækning for mobile enheder

Kalundborg Kommune er selvforsikrende.

Sikring af medarbejderes fjernarbejdspladser

Medarbejderes fjernarbejdspladser og deres

kommunikationsforbindelser skal beskyttes i forhold til de

informationer og forretningssystemer, de benyttes til.

Sikkerhedsbekendtgørelsens § 7, stk. 2 indeholder en række krav vedr. hjemmearbejdspladser m.v. Reglerne

omfatter også mobile enheder m.v. Datatilsynet har publiceret en værd-at-vide tekst om emnet. Teksten findes

Side 4 af 60


SecureAware 4.8.6

på Datatilsynets hjemmeside www.datatilsynet.dk.

Krav til sikring af udstyr uden for Kalundborg Kommunes

overvågning

Udstyr, der benyttes uden for Kalundborg Kommunes lokaliteter,

skal beskyttes efter samme retningslinier, som gælder for udstyr,

der benyttes inden for Kalundborg Kommunes lokaliteter under

hensyntagen til de særlige risici ved ekstern anvendelse.

Adgang fra distancearbejdspladser

Kun Kalundborg Kommunes IT-udstyr må få direkte adgang. Øvrigt privat og offentligt tilgængeligt IT-udstyr i

internet caféer m.v. må således ikke få direkte adgang.

Adgang gives kun for brugere, der er autentificerede med brugernavn og kodeord.

Der skal anvendes krypteret forbindelse. 7 Personalesikkerhed 7.1 Før ansættelsen 7.1.1 Screening

Baggrundscheck af ansatte

Vedkommendes chef skal efter vurdering tilse, at der sker

forsvarligt baggrundscheck af medarbejdere med ansvar for

forretningskritiske arbejdsområder.

Baggrundscheck af medarbejdere kan omfatte:

En personlig reference.

Ansøgerens curriculum vitæ.

Uddannelser og professionelle kvalifikationer.

Verifikation af referencer

Udvalgte referencer eller eksamensbeviser for betroede

medarbejdere skal verificeres. HR og Personale vurderer individuelt

nødvendigt omfang af verifikation.

Ren straffeattest

Der skal følges procedure for indhentelse og anvendelse af straffeattester i Kalundborg Kommune for

nyansatte.

Henvisning til procedure på medarbejderportalen: Værktøjskassen/HR/Personaleforhold.

Baggrundscheck af konsulenter

Den ansvarlige chef, der indgår aftale med en ekstern konsulent

skal tilse, at der sker forsvarligt baggrundscheck af

konsulenten.

Side 5 af 60


SecureAware 4.8.6

http://www.datatilsynet.dk

Tavsheds-/fortrolighedserklæring ved ansættelse

Alle medarbejdere skal som en del af ansættelseskontrakten underskrive en tavshedserklæring. Alle

ansættelsesmyndigheder SKAL senest ved ansættelsestidspunktet sørge for, at tavshedserklæringen

underskrives. 7.1.2 Ansættelsesvilkår og -betingelser

Informationssikkerheden i kommunen afhænger i høj grad af medarbejderne.Medarbejdere skal uddannes i IT-

sikkerhed i relation til deres jobfunktion og modtage nødvendige informationer. Endvidere er det nødvendigt at

regler, der beskriver sikkerhedsforhold, efterleves når et ansættelsesforhold slutter.

Henvisning: Medarbejderportalen; Værktøjskassen/IT/Retningslinjer/ IT miljøet-IT/Udstyr til ansatte og

politikkere/Retningslinjer.

Tavsheds-/fortrolighedserklæring ved ansættelse

Alle medarbejdere skal som en del af ansættelseskontrakten underskrive en tavshedserklæring. Alle

ansættelsesmyndigheder SKAL senest ved ansættelsestidspunktet sørge for, at tavshedserklæringen

underskrives.

Ansvar for sikkerhed

I stillings- og funktionsbeskrivelser for medarbejdere med adgang til forretningskritiske data og systemer skal

sikkerhed indgå i beskrivelsen. 7.2 Under ansættelsen 7.2.1 Ledelsesansvar

Det er ledelsens ansvar at alle medarbejdere:

Er tilstrækkeligt informeret om deres roller og ansvar i forbindelse med IT-sikkerhed, før de tildeles adgang til

Kalundborg Kommunes systemer og data.

Er gjort bekendt med nødvendige retningslinier, således at de kan leve op til Kalundborg Kommunes IT-

sikkerhedspolitik.

Opnår et opmærksomhedsniveau i spørgsmål vedrørende informationssikkerhed, der er i overensstemmelse

med deres roller og ansvar i Kalundborg Kommune.

Holder sig inden for de retningslinier og bestemmelser, der er for ansættelsen, inkl. Kalundborg Kommunes IT-

sikkerhedspolitik og konkrete arbejdsmetoder. 7.2.2 Bevidsthed om, uddannelse og træning i informationssikkerhed

Sikkerhedsuddannelse for IT-medarbejdere

Alle IT-medarbejdere skal specifikt uddannes i sikkerhedsaspekter for at minimere risikoen for

sikkerhedshændelser.

Uddannelse i IT-sikkerhedspolitikken

Alle nye medarbejdere, som får adgang til IT-miljøet, modtager senest på første arbejdsdag Kalundborg

Kommunes IT-sikkerhedspolitik.

Alle medarbejdere skal informeres om Kalundborg Kommunes IT-sikkerhedspolitik herunder baggrundsviden

omkring denne.

Side 6 af 60


SecureAware 4.8.6

Uddannelse i klassificering af informationer

Alle ansatte skal instrueres om, hvorledes data og dokumenter

klassificeres. 7.2.3 Sanktioner

Overtrædelse af sikkerhedsretningslinierne

Det er ikke tilladt at forsøge at omgå sikkerhedsmekanismer.

Det er ikke tilladt at foretage uautoriseret afprøvning af sikkerheden.

Bevidste eller gentagne overtrædelser kan medføre at ansættelses- eller samarbejdsforholdet overvejes fra

Kalundborg Kommunes side.

Ledelsen skal etablere en formel sanktionsprocedure for medarbejdere, der bryder Kalundborg Kommunes

politikker, regler eller retningslinier for informationssikkerhed.

Henvisning: IT's interne sikkerhedsprocedurer P 4 Sanktionsprocedure når regler brydes.

Det er ledelsens ansvar, at sanktioner for brud på Kalundborg Kommunes politikker, regler eller retningslinier

håndhæves konsekvent og i overensstemmelse med gældende lovgivning. 7.3 Ansættelsesforholdets ophør eller ændring 7.3.1 Ansættelsesforholdets ophør eller ændring

Fortrolighedserklæring ved fratrædelse

Ved fratrædelse skal der gøres opmærksom på gældende fortrolighedsaftaler med henvisning til IT's interne

sikkerhedsprocedurer P 3. 8 Styring af aktiver 8.1 Ansvar for aktiver 8.1.1 Fortegnelse over aktiver

Registrering af IT-udstyr

Alt IT-udstyr PCere, tablets, m.v. skal indkøbes gennem Digitalisering og IT, for at sikre at det registreres og

derl vedligeholdes en fortegnelse over samtlige relevante enheder, som er forbundet til Kalundborg Kommunes

IT-infrastruktur.

Administration af internet-domænenavne

Der forefindes dokumentation over Kalundborg Kommunes overordnede registrerede domænenavne, status for

brug, betalingsoplysninger og dato for fornyelse.

Identifikation af kritiske processer

Alle forretningskritiske funktioner og disses relaterede

processer, systemer og ejere skal være identificerede og

dokumenterede. 8.1.2 Ejerskab af aktiver

Sikkerhedsansvar for informationsaktiver

Side 7 af 60


SecureAware 4.8.6

IT-chefen har ansvar for vedligeholdelse af en liste over samtlige informationssystemer. Listen angiver

henholdsvis den sikkerhedsansvarlige dataejer og systemejer af hvert enkelt system.

Informationsaktiver skal beskyttes, uanset om det er fysiske aktiver som dokumenter, der er udskrevet,

produktionsudstyr eller IT-systemer. Det er derfor nødvendigt at identificere, klassificere og placere ejerskab for

alle aktiver. 8.1.3 Accepteret brug af aktiver

Brug af mobile enheder

Bærbart udstyr skal medbringes som håndbagage under rejser.

Bærbart udstyr må ikke efterlades, så det er synligt udefra i

parkerede biler.

Omfang af brug af sociale netværk

Det accepteres at sociale netværk benyttes til privat brug i begrænset omfang i overensstemmelse med IT-

sikkerhedspolitikken, forudsat at det ikke blokerer for arbejdsrelateret brug af internettet.

Overvågning af sociale netværk

Som et led i den almindelige netværksovervågning er der mulighed

for at logge den enkelte medarbejders anvendelse af netværkstrafik

til sociale netværk.

Blokering af sociale netværk

IT skal blokere brugernes adgang til forbudte sociale netværk.

Anvendelse af sociale netværk

Man må gerne anvende sociale netværk fra Kalundborg Kommunes IT-systemer, medmindre de er specifikt

forbudte.

Kalundborg Kommunes informationer på sociale

netværk

Kalundborg Kommunes informationer må aldrig deles på et socialt

netværk (tænk derfor over hvad du skriver til dine venner).

Brugere af sociale netværk skal være specielt opmærksomme på at:

Personer på sociale netværk er ikke altid dem de udgiver sig for at være (det er ikke sikkert den person du tror

er en kollega, faktisk er det).

Persondata må aldrig deles på sociale netværk.

Download af filer som du modtager via et socialt netværk er underlagt de samme regler som øvrige downloads.

Informationer som du har lagt ud på et socialt netværk, kan meget vanskeligt, måske aldrig, trækkes tilbage.

Du vil med stor sandsynlighed opleve at nogen forsøger at franarre bruger-id'er og/eller dine adgangskoder

(phishing). Så giv aldrig dine koder til andre.

De sociale netværk, som du er bruger af, kan registrere og gemme oplysninger om dig og hvilke informationer

du søger og bruger på internettet.

Kameraer

Side 8 af 60


SecureAware 4.8.6

Kalundborg Kommune har ikke fastsat forbud mod brug af kameraer i nogen af kommunens lokaliteter.

Såfremt der benyttes kameraer til overvågning henvises der til Datatilsynets pjece "TV-overvårning" marts

2008", hvor der henvises til persondataloven for dette område.

Henvisning til hjemmeside: www.datatilsynet.dk/publikationer/tv-overvaagningspjece. 8.2 Klassifikation af information 8.2.1 Klassifikation af information

Informationer og data skal klassificeres som

følger:

Uklassificeret: Ingen begrænsninger

Fortroligt: Materiale der er tilgængeligt for en begrænset

gruppe personer - herunder fortrolige og følsomme

personoplysninger.

Forretningskritisk: Informationer der er vigtige for

kernefunktioner i kommunen. Høj tilgængelighed og stor pålidelighed

er kritisk, uanset hvilket fortrolighedsniveau, der er i øvrigt

kræves.

Sikkerhedsbekendtgørelsen fastsætter krav om fastsættelse af interne uddybende regler for brug af

informationsaktiver.

Offentlig tilgængelig information

Det er IT's ansvar at offentlig tilgængelig information, f.eks. på Kalundborg Kommunes web-server(e), er

passende beskyttet mod uautoriserede ændringer. 8.2.2 Mærkning af information

Ansvar for klassifikation

IT-chefen har ansvaret for, at aktiver er klassificeret.

Ansvar for adgangsrettigheder

Systemets ejer har ansvaret for at fastlægge og løbende revurdere adgangsrettigheder i overensstemmelse

med Kalundborg Kommunes generelle adgangspolitik.

Henvisning til medarbejderportalen: Værktøjskassen/IT retningslinjer/adgangskoder.

Klassifikationsmærkning

Data og medier mærkes ikke særligt i forhold til fortrolighed og

forretningskritikalitet.

Automatisk indholdsfiltrering

Systemerne skal jævnligt scannes for spam-mail og phishing.

Disse mails mv. skal sættes i karantæne automatisk.

Side 9 af 60


SecureAware 4.8.6

Spam-mail beskyttelse

Kalundborg Kommune bortfiltrerer e-mail inkl. eventuelle vedhæftede filer, der opfylder Kalundborg Kommunes

kriterier for spam-mails.

Medarbejderne skal udvise forsigtighed med deres brugeridentitet i forbindelse med videregivelse af

eksempelvis mailadresser, samt i forbindelse med modtagelsen af uønskede e-mails.

Klassifikationsmærkning

Data og medier mærkes ikke særligt i forhold til fortrolighed og

forretningskritikalitet. 8.2.3 Håndtering af aktiver

Fortrolige data på mobile enheder



Godkendte krypteringsprodukter

IT skal vedligeholde en liste over godkendte krypteringsløsninger.

Godkendelse af krypteringsprodukter

IT skal godkende alle produkter, der indeholder kryptografi, før disse må benyttes til fortrolige data.

Kryptering af administrative netværksforbindelser

Netværksforbindelser, der benyttes til IT-administration skal altid krypteres. Dette betyder alt udstyr undtagen

terminaler med direkte forbindelse.

Kontrol med klassificerede informationer

IT-chefen er ansvarlig for at definere et fast sæt af egnede og relevante sikkerhedskontroller til beskyttelse af

de enkelte informationskategorier. Hvis der er tale om kritiske informationer, skal der udarbejdes yderligere

detaljerede kontroller ud fra en risikovurdering

En risikovurdering skal identificere og prioritere risici med udgangspunkt i kommunens forretningsmæssige

forhold. Resultatet skal bidrage til at fastlægge og prioritere de nødvendige ledelsesindgreb og

sikringsforanstaltninger for at imødegå relevante risici.

Fottrolige data på mobile enheder



Behandling og destruktion af ind- og uddatamateriale

Sikkerhedsbekendtgørelsen stiller specifikke krav vedr. behandling og destruktion af ind- og uddatamateriale.

Der stilles krav om autorisationsprocedurer, opbevaring under lås, sletning når data ikke længere anvendes til

de formål, behandlingen varetager, tidsfrist for sletning og sikkerhedsforanstaltninger ved sletning/destruktion.

Det skal bemærkes, at regler for uddata ikke, ifølge sikkerhedsbekendtgørelsens §13, stk. 6, gælder for

uddatamateriale, som indgår i en manuel sag eller et manuelt register. 8.3 Mediehåndtering

Side 10 af 60


SecureAware 4.8.6

8.3.1 Styring af bærbare medier

Opbevaring og registrering af datamedier

Systemejer skal sikre at medierne eller informationerne på mediet klassificeres, og at brugere er instrueret i at

opbevare mediet i henhold til regler for klassifikationen.

Henvisning til IT's interne sikkerhedsprocedurer P 7 Klassifikation af bærebare medier.

Brug af datamedier

Benyttelse af bærbare datamedier (USB-nøgler- og harddiske m.m.) skal være forretningsmæssigt begrundet.

Sikkerhedsbekendtgørelsen indeholder i § 13, regler om behandling af uddata:

Krav til bærbare datamedier

Uddatamateriale må kun anvendes af personer, der er beskæftiget

med de formål, til hvilke behandlingen af personoplysningerne

foretages. Herudover må uddatamateriale anvendes af personer, som

er beskæftiget med revision eller drifts- og systemtekniske opgaver

i det pågældende system.

Brug af bærbare medier til fortrolige data

Fortrolige informationer skal krypteres, når de opbevares eller transporteres på bærbare medier, f.eks. USB-

hukommelse, PDA'er, cd'er, dvd'er eller lignende.

Manglende kryptering tillades hvis medierne, der benyttes til transport af fortrolige data, under transporten er

overvåget af betroede personer.

Forretningsgangen for beskyttelse af datamediers indhold skal omfatte:

Håndtering og mærkning.

Adgangsbegrænsning.

Log over tildelte autorisationer.

Afstemningsprocedurer.

Beskyttelse af midlertidigt lagrede data.

Regelmæssig gennemgang af distributions- og autorisationslister.

Forretningsgangene fremgår af relevante afsnit i IT-sikkerhedshåndbogen.

Beskyttelse af følsomme og fortrolige data på datamedier

IT skal etablere procedurer, der sikrer datamediers indhold mod uautoriseret adgang (procedure nr 7) og

misbrug af mediernes indhold.

Henvisning til IT's interne sikkerhedsprocedurer P 7 Klassifikation af bærebare medier.

Udskrivning

Printere, som benyttes til udskrivning af fortrolige

informationer, skal placeres i lokaler, der ikke er generelt

tilgængelige. 8.3.2 Bortskaffelse af medier

Bortskaffelse og genbrug af medier, der indeholder fortrolige informationer

Side 11 af 60


SecureAware 4.8.6

••

•

Alle datamedier, for eksempel harddiske, disketter, cd, dvd, bånd og hukommelsesenheder, skal

sikkerhedsslettes eller destrueres inden bortskaffelse.

Henvisning til medarbejderportalen: Værktøjskassen/IT/hardware, PC, bærbar og tynd klient/retningslinjer for

bortskaffelse af datamedier.

Papirmateriale skal makuleres, når det ikke længere skal benyttes.

Hvis en ekstern leverandør benyttes til destruktion af Kalundborg Kommunes datamedier, skal det sikres at

leverandøren efterlever de aftalte sikkerhedskrav.

Beholdere med papirmateriale til destruktion skal opbevares i rum, der holdes aflåste udenfor almindelig

arbejdstid, og hvortil der ikke er offentlig adgang.

Beskyttelse af systemdokumentation

IT skal opbevare systemdokumentation sikkerhedsmæssigt forsvarligt.

Adgangsrettigheder til systemdokumentation skal holdes på et minimum og godkendes af systemejer eller IT. 8.3.3 Fysiske medier under transport

Fortrolige informationer skal krypteres, når de opbevares eller tansporteres på bærbare medier, f.eks. USB-

hukommelse, PDA, tablets, CD, DVD eller lignende.

Manglende kryptering tillades hvis medierne, der benyttes til transport af fortrolige data, under transporten er

overvåget af betroede personer.

Personoplysninger af enhver art kan sendes på papir som almindeligt brev. 9 Adgangsstyring 9.1 Forretningsmæssige krav til adgangsstyring

Adgangen til at udføre handlinger på kommunens IT-systemer beskyttes af autorisationssystemer. Systemerne

har til formål at sikre mod uautoriserede ændringer, ordrer, fejl og svindel. Kommunens medarbejdere er

medvirkende til beskyttelse af informationsaktiverne gennem korrekt brug af autorisationssystemerne. 9.1.1 Politik for adgangsstyring

Inddragelse af rettigheder ved fratrædelse

Der skal forefindes en opdateret procedure for inddragelse af rettigheder i forbindelse med fratræden eller

afskedigelse af personale.

Henvisning til IT's interne sikkerhedsprocedurer P 3 Regler når ansættelsesforhold ophører.

Proceduren for inddragelse af rettigheder skal indeholde en liste over funktioner og personer der skal

informeres i forbindelse med fratrædelsen.

Nedenstående procedurer har henvisning til IT's interne sikkerhedsprocedurer:

P 3.1 Procedure for nedlæggelse af bruger i AD og KMD Samt Løn og Økonomi

P 9 Oprettelse af bruger i AD og KMD samt Løn og Økonomi

Henvisning til:

Medarbejderportalen: Værktøjskassen/IT-rretningslinjer/IT miljøet/Adgang til anden brugers postkasse-

instruks.

Begrænset adgang til informationer

Side 12 af 60


SecureAware 4.8.6

Adgang for brugere og hjælpepersonale til brugersystemers

funktioner og informationer skal begrænses i overensstemmelse med

de fastlagte forretningsbetingede krav og informationernes

klassifikation.

Det fremgår af sikkerhedsbekendtgørelsens § 12, at der skal

træffes foranstaltninger for at sikre, at kun autoriserede brugere

kan få adgang, og at disse kun kan få adgang til de

personoplysninger og anvendelser, som de er autoriserede til. 9.1.2 Adgang til netværk og netværkstjenester

Autentificering ved adgang til netværket

Adgangen til det interne netværk fra eksterne netværk end

Kalundborg Kommunes (f.eks. fjernarbejdspladser eller

internet-café) skal benytte et ekstra kodeord i form af

engangskodeord.

Sikring af kritiske data

IT skal ændre standardadgangskode efter installation af et nyt system.

Forbindelse til fremmede trådløse netværk

Brugere må forbinde sig til fremmede trådløse netværk, forudsat

at godkendt firewall er i brug.

Adgang til det administrative trådløse netværk

Brugere skal autentificeres ved hjælp af et certifikat, før der

gives adgang til Kalundborg Kommunes trådløse netværk. For eksempel

ved hjælp af IEEE 802.1x.

Gæsters brug af Kalundborg Kommunes trådløse

netværk

Netværket kan og må kun anvendes til internet-adgang, ikke til

direkte adgang til interne systemer.

Opdeling af netværk

IT skal segmentere netværk for at etablere en passende adskillelse imellem forskellige tjenester, brugergrupper

eller systemer.

Mindste krav til netværkssegmentering er at IT etablerer en "demilitariseret zone" (DMZ) hvor offentligt

tilgængelige servere placeres adskilt fra internt tilgængelige servere.

Overvågning af netværk

IT skal have den nødvendige viden og redskaber til overvågning af Kalundborg Kommunes netværk, for

eksempel til fejlretning samt detektering og sporing af sikkerhedshændelser.

IT skal løbende overvåge netværk med henblik på detektering af brud på sikkerheden.

Ved hjælp af scanning skal det kontrolleres, at emnefeltet i e-mails ikke indeholder CPR-numre.

Overvågning af internetforbindelser

Side 13 af 60


SecureAware 4.8.6

IT skal løbende overvåge internetforbindelser med henblik på at detektere elektroniske angreb. Logfiler skal

gennemgås regelmæssigt og mindst 3 måneders historik skal opbevares.

Krav til overvågning af systemanvendelse

Brugen af Kalundborg Kommunes informationsbehandlingssystemer

skal overvåges og løbende følges op.

Der skal i henhold til sikkerhedsbekendtgørelsens § 18,

foretages registrering af alle afviste adgangsforsøg. Hvis der

inden for en fastsat periode er registreret et nærmere fastsat

antal på hinanden følgende afviste adgangsforsøg fra samme

arbejdsstation eller med samme brugeridentifikation, skal der

blokeres for yderligere forsøg. Der skal løbende ske opfølgning i

myndigheden.

Retningslinier for brug af netværkstjenester.

Brugere skal kun have adgang til de tjenester, de er autoriseret

til at benytte.

Det fremgår af sikkerhedsbekendtgørelsens § 14, at der kun må

etableres eksterne kommunikationsforbindelser, hvis der træffes

særlige foranstaltninger for at sikre, at uvedkommende ikke gennem

disse forbindelser kan få adgang til personoplysninger.

Styring af netværksadgang

IT skal ved styring af brugernes netværksadgang sikre imod uautoriseret anvendelse af fælles netværk og hertil

knyttede tjenester.

Brug af automatisk identifikation af netværksudstyr.

IT skal etablere automatisk identifikation af netværksenheder på netværkssegmenter, hvor det er væsentligt, at

kommunikationen kun må ske fra specifikt udstyr eller specifik lokation. 9.2 Administration af brugeradgang 9.2.1 Brugerregistrering og -afmelding

Identifikation og autentifikation af brugere

Alle brugere skal have en unik identitet til personlig brug.

Der skal benyttes en passende autentifikationsteknik til verifikation af brugernes identitet.

Brugeridentiteten skal kunne spores til den person, som er ansvarlig for en given aktivitet.

Fælles brugeridentiteter for en gruppe brugere eller en specifik opgave kan benyttes, hvis det er

forretningsmæssigt forsvarligt.

Brugen af en fælles brugeridentiteter skal godkendes af IT-chefen. 9.2.2 Tildeling af brugeradgang

Gennemgang af brugerprofiler

I henhold til procedure skal alle brugerprofiler gennemgås mindst 2 gange årligt for at identificere inaktive

profiler eller tilsvarende, der skal fjernes eller ændres.

Side 14 af 60


SecureAware 4.8.6

Brugerprofiler, der giver adgang til personoplysninger omfattet af anmeldelsespligt, skal gennemgås mindst 2

gange årligt.

Henvisning til IT's interne sikkerhedsprocedurer P 11 Procedure for periodisk gennemgang af inaktive brugere

oprettet i AD.

Det fremgår af sikkerhedsbekendtgørelsens § 17, stk. 1, at det

skal sikres, at de autoriserede personer fortsat opfylder

betingelserne i bekendtgørelsens § 11, stk. 2 og 3, og § 16.

Det fremgår af bekendtgørelsens § 17, stk. 2, at kontrol af

opfyldelse af autorisationsbetingelser skal foretages mindst en

gang hvert halve år.

Krav til periodisk gennemgang af brugernes adgangsrettigheder

Brugernes adgangsrettigheder skal gennemgås regelmæssigt efter en formaliseret forretningsgang.

IT sender lister til den enkelte leder, der har ansvaret for gennemgang af medarbejdernes rettigheder.

Henvisning til IT's interne sikkerhedsprocedurer:

P 12 Procedure for periodisk Opfølgning af brugere oprettet i AD.

P 12.1 Procedure for årlig revision af brugernes tildelte rettigheder i KMD cics og Opus. 9.2.3 Styring af priviligerede adgangsrettigheder

Udvidede adgangsrettigheder

De udvidede adgangsrettigheder må kun tildeles i begrænset

omfang og alene ud fra et arbejdsbetinget behov.

De udvidede adgangsrettigheder skal registreres.

De udvidede adgangsrettigheder må ikke sættes i kraft, før den

fornødne autorisation er indhentet.

Automatiserede systemtekniske processer skal anvendes i videst

muligt omfang for at begrænse behovet for tildeling af udvidede

rettigheder.

De enkelte brugerprogrammer skal, så vidt muligt,

tilrettelægges, så de begrænser behovet for indgreb med udvidede

rettigheder.

Side 15 af 60


SecureAware 4.8.6

•

•

•

Der skal benyttes særlige brugeridentiteter til de udvidede

rettigheder af hensyn til overvågning og opfølgning.

Ændring af administrative kodeord

Administrative kodeord skal ændres efter højest 90 dage.

Administrative og systemkodeord skal ændres, hvis udenforstående får kendskab til disse.

Adminstrative system kodeord skal ændres mindst én gang årligt. Ved administrativ systemkodeord forstås det

brugerkonti der udelukkende har en funktionalitet for automatisering af en proces til det tilhørende system.

Eksempelvis opdatering af data fra en tilhørende snitflade m.v.

Administratorbeskyttelse

Der skal benyttes systemadministrator-adgangskode på alle

platforme.

Skift af administrator kodeord ved fratrædelse

Hvis en person med kendskab til administrative kodeord

fratræder, skal disse kodeord ændres med det samme.

Hvis en person med kendskab til administrative system kodeord

fratræder, skal disse kodeord ændres med det samme.

Registrering af brugere

Brugere skal have unikt brugernavn og bruger-id.

Ved tildeling af autorisation skal der ske kontrol af om ønskede adgangsrettigheder stemmer med

forretningsmæssigt behov.

Chefen eller den autorisationsberettigede skal autorisere brugeradgang.

Der skal ske en verifikation af at rettighedsniveauet er i overensstemmelse Kalundborg Kommunes generelle

sikkerhedsretningslinier.

Serviceleverandørerer skal anvende tilsvarende eller samme autorisationsprocedure som Kalundborg

Kommune.

IT skal vedligeholde brugerfortegnelser for systemerne.

Ved tildeling af rettigheder skal der ske kontrol af, om ønskede adgangsrettigheder eventuelt krænker krav om

funktionsadskillelse.

Procedurer for autorisation af brugeradgang skal omfatte en formel autorisationsformular i hvilken de

nødvendige privilegier specificeres.

Autorisationsformularen til brugeradgang skal udfyldes af en chef eller autorisationsberettiget og opbevares

som dokumentation. Der skal være sikkerhed for afsenders identitet i form af underskrift, anvendt intern

mailadresse eller brugernavn registreret ved udfyldelse af web-formular.

Henvisninger til;

Medarbejderportalen: Værktøjskassen/IT-retningslinjer IT miljøet/regler for leverandørers opkobling til

Kalundborg Kommunes netværk.

Medarbejderprotalen: Værktøjskassen/IT-rretningslinjer IT miljøet/Procedurer oprettelse af private

aktører/leverandører.

Medarbejderprotalen: Værktøjskassen-IT-autorisationsberettiget/Retningslinjer for Kalundborg Kommunes

miniadministratorer.

Side 16 af 60


SecureAware 4.8.6

••

Nedenstående henvisninger til IT's interne sikkerhedsprocedurer:

P 13.1Oprettelse eller tildeling af Administratorrettighed til en ansat

P 13.2 Procedure for administrative passwords

Administratorbeskyttelse

Der skal benyttes systemadministrator-adgangskode på alle

platforme.

Ændring af administrative kodeord

Administrative kodeord skal ændres hvert kvartal.

Administrative og systemkodeord skal ændres, hvis udenforstående

får kendskab til disse.

Adminstrative system kodeord skal ændres mindst én gang årligt.

Ved administrativ systemkodeord forstås det at være nødvendige

administrative brugerkonti der udelukkende har en funktionalitet

for automatisering af en en proces til det tilhørende system.

Eksempelvis opdatering af data fra en tilhørende snitflade m.v.

Adgangskode

Adgangskode er det samme som password og kodeord. Begreberne bruges i flæng. 9.2.4 Styring af hemmelig autentifikationsinformation om brugere

Overdragelse af kodeord

Kodeord må ikke overdrages på ukrypterede forbindelser, for eksempel e-mail. Kodeord kan overdrages

verbalt, feks. over telefonen af IT-administratorer til den enkelte bruger.

Opbevaring af adgangskoder

Adgangskoder til væsentlige systemer må aldrig lagres

elektronisk i klartekst.

Retningslinier for adgangskoder

Ved brugeroprettelse eller nulstilling af adgangskode skal brugere tildeles en sikker, midlertidig adgangskode,

som skal ændres umiddelbart efter første anvendelse.

IT skal etablere og vedligeholde en procedure for, hvordan en brugers identitet fastslås før en ny midlertidig

adgangskode må udleveres.

Midlertidige adgangskoder skal være unikke, må ikke genbruges og skal opfylde de almindelige krav til

adgangskoder.

Henvisning til medarbejderportalen: Værktøjskassen /IT retningslinjer/Adgangskoder.

Kodeord er strengt personlige

Kodeord er strengt personlige og må ikke deles med andre end IT-administratorer.

Krav til adgangskoder

Side 17 af 60


SecureAware 4.8.6

Tildeling af adgangskoder skal styres ved en formaliseret

proces.

For adgangskoder, der giver adgang til personoplysninger

omfattet af persondatalovens anmeldelsespligt, gælder det jf.

sikkerhedsbekendtgørelsens § 11, at autorisationer skal angive, i

hvilket omfang brugeren må forespørge, inddatere eller slette

personoplysninger.

Identifikation af brugerprofiler for eksterne

brugere

Eksterne brugerprofiler skal gennem konsistent navngivning være

tydeligt angivet for at adskille disse fra egne medarbejdere.

Standardkodeord og bruger-id'er må ikke anvendes på Kalundborg

Kommunes systemer. Disse skal ændres eller slettes.

Identifikation af brugerprofiler for eksterne

brugere

Eksterne brugerprofiler skal gennem konsistent navngivning være

tydeligt angivet for at adskille disse fra egne medarbejdere.

Standardkodeord og bruger-id'er må ikke anvendes på Kalundborg

Kommunes systemer. Disse skal ændres eller slettes.

Krav til sikkerhedsforhold i relation til borgere

Alle sikkerhedsforhold skal afklares, før Kalundborg Kommunes

borgere får adgang til Kalundborg Kommunes

informationsbehandlingssystemer. (Selvbetjeningsløsninger m.m.)

Sikkerhedsforanstaltninger ved borgeradgang

Når borgere skal have adgang til Kalundborg Kommunes

informationsaktiver, skal der træffes en række

sikkerhedsforanstaltninger. Punkterne i følgende procedure for

borgeres adgang til Kalundborg Kommunes systemer skal følges. Vi

forudsætter at alle selvbetjeningsløsninger tilgås via NEM-ID.

Ansvar ved borgeradgang til kommunens informationssystemer

IT-chefen har ansvaret for at sikre informationssikkerheden i forbindelse med borgeres adgang til Kalundborg

Kommunes informationssystemer. 9.2.5 Gennemgang af brugeradgangsrettigheder

Det fremgår af sikkerhedsbekendtgørelsens § 17, stk. 1, at det skal sikres, at de autoriserede personer fortsat

Side 18 af 60


SecureAware 4.8.6

opfylder betingelserne i bekendtgørelsens § 11, stk. 2 og 3, og § 16.

Det fremgår af bekendtgørelsens § 17, stk. 2, at kontrol af opfyldelse af autorisationsbetingelser skal foretages

mindst en gang hvert halve år.

Krav til periodisk gennemgang af brugernes adgangsrettigheder

Brugernes adgangsrettigheder skal gennemgås regelmæssigt efter en formaliseret forretningsgang.

Henvisning til IT's interne sikkerhedsprocedurer P 12 Procedure for periodisk Opfølgning af brugere oprettet i

AD

IT sender lister til den enkelte leder, der har ansvaret for gennemgang af medarbejdernes rettigheder.

Gennemgang af brugerprofiler

I henhold til procedure skal alle brugerprofiler gennemgås mindst 2 gange årligt for at identificere inaktive

profiler eller tilsvarende, der skal fjernes eller ændres.

Henvisning til IT's interne sikkerhedsprocedurer P 12 Procedure for periodisk Opfølgning af brugere oprettet i

AD.

Brugerprofiler, der giver adgang til personoplysninger omfattet af anmeldelsespligt, skal gennemgås mindst én

gang årligt.

Det fremgår af sikkerhedsbekendtgørelsens § 17, stk. 1, at det skal sikres, at de autoriserede personer fortsat

opfylder betingelserne i bekendtgørelsens § 11, stk. 2 og 3, og § 16.

Det fremgår af bekendtgørelsens § 17, stk. 2, at kontrol af opfyldelse af autorisationsbetingelser skal foretages

mindst 2 gange hvert halve år.

IT sender lister til den enkelte leder, der har ansvaret for gennemgang af medarbejdernes rettigheder. 9.2.6 Inddragelse eller justering af adgangsrettigheder

Medarbejderes omplacering

Ved ændringer af roller for medarbejderne skal rettigheder og

privilegier revurderes. Dette gælder især for forretningskritiske

systemer.

Fratrædelse

Når ansættelse eller midlertidige kontrakter ophæves, skal alle tilknyttede rettigheder trækkes tilbage. Id-kort og

lignende skal afleveres, og IT-udstyr skal inddrages, når ansættelsesforholdet ophører.

Den pågældende chef er ansvarlig for anmodning om nedlæggelse af IT-brugere.

Returnering af aktiver ved aftrædelse

Medarbejderen skal aflevere alle udleverede aktiver tilhørende

Kalundborg Kommune ved samarbejdets ophør.

Brugerprofiler for konsulenter m.v.

Personer, som er ansat eller har konsulentaftale, må oprettes som brugere.

Begrænset adgang kan tildeles efter godkendelse fra chef eller IT chef.

Side 19 af 60


SecureAware 4.8.6

Retningslinier for adgangsstyring

Systemejere har i samarbejde med IT det overordnede ansvar for at etablere og vedligeholde af procedurer for

adgangsstyring for hvert system.

Adgangsbegrænsning til informationer

Applikationssystemer bør implementeres med adgangskontrol for at hindre uautoriseret adgang til data og

funktionalitet, jf. politik defineret af de enkelte applikationsejere i samarbejde med IT. Detailopsætning og

specificering afhænger af form og indhold af data, dokumenteret i risikoanalysen af systemet.

Krav til retningslinier for adgangsstyring

Der skal foreligge dokumenterede og ajourførte retningslinier for Kalundborg Kommunes adgangsstyring.

Henvisning til medarbejderportalen: Værktøjskassen/IT retningslinjer/adgangskoder.

Kun de personer, som autoriseres hertil, må have adgang til de personoplysninger, der behandles.

Der må kun autoriseres personer, der er beskæftiget med de formål, hvortil personoplysningerne behandles. De

enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.

Der må endvidere autoriseres personer, for hvem adgang til oplysninger er nødvendig med henblik på revision

eller drifts- og systemtekniske opgaver. 9.3 Brugernes ansvar 9.3.1 Brug af hemmelig autentifikationsinformation

Brug af autologin funktioner

Automatisk login eller systemer hvor kodeord gemmes i genveje

eller på funktionstaster må ikke benyttes.

Genbrug af kodeord

Medarbejderne må gerne anvende samme kodeord til kommunens egne

systemer og systemer, der afvikles hos kommunens

samarbejdspartnere, da det er systemer med ensartede

sikkerhedsniveauer.

Det er ikke tilladt at anvende kodeord, der bruges i kommunens

systemer, til adgang til andre systemer for eksempel internet,

websteder (Hotmail, Facebook m.v.) og netbanker. Omfattende brug af

samme kodeord på forskellige systemer øger sandsynligheden for, at

kodeordets fortrolighed krænkes.

Længde af kodeord

Kodeord skal være mindst 8 tegn langt.

Indhold af kodeord

Kodeord skal indeholde kombinationer fra mindst tre af følgende

kategorier: Store bogstaver, små bogstaver, tal og specialtegn.

Side 20 af 60


SecureAware 4.8.6

Der må ikke benyttes brugernavn, navn eller datoer som en del af

kodeord.

Skift af kodeord

Kodeord skal skiftes efter højst 90 dage

Valg af sikre kodeord

Det er brugerens ansvar at vælge tilstrækkeligt sikre kodeord i

adgangskontrolsystemerne. 9.4 Styring af system- og applikationsadgang 9.4.1 Begrænset adgang til informationer

Det fremgår af sikkerhedsbekendtgørelsens § 12, at der skal træffes foranstaltninger for at sikre, at kun

autoriserede brugere kan få adgang, og at disse kun kan få adgang til de personoplysninger og anvendelser,

som de er autoriserede til.

Begrænset adgang til informationer

Adgang for brugere og hjælpepersonale til brugersystemers funktioner og informationer skal begrænses i

overensstemmelse med de fastlagte forretningsbetingede krav og informationernes klassifikation.

9.4.2 Procedurer for sikker log-on

Sikker log-on

Systemadgang skal beskyttes af en sikker log-on-procedure.

Henvisning til medarbejderportalen: værktøjskassen/IT retningslinjer/Adgangskoder. 9.4.3 System for administration af adgangskoder

Systemer til styring af adgangskoder

Adgangskontrolsystemet skal låse brugerkonti efter tre forgæves adgangsforsøg. 9.4.4 Brug af priviligerede systemprogrammer

Brug af systemværktøjer

IT skal:

- begrænse og styre adgangen til systemværktøjer, f.eks. utilities, der kan påvirke eller omgå systemers eller

enheders sikkerhed.

- sikre, at brugen af systemværktøjer begrænses til et minimum af betroede og autoriserede brugere.

- sikre en procedure for autorisation ved ad hoc anvendelse af systemværktøjer.

- definere, hvem der er autoriseret til at anvende hvilke systemværktøjer.

Hvor funktionsadskillelse er påkrævet, må brugere ikke have adgang til både systemværktøjer og

brugersystemer.

Isolering af særligt kritiske brugersystemer

Side 21 af 60


SecureAware 4.8.6

Særligt kritiske brugersystemer skal placeres på isoleret informationsbehandlingsudstyr. 9.4.5 Styring af adgang til kildekoder til programmer

Håndtering af kildekode til systemer i Kalundborg Kommune

Kalundborg Kommune ligger ikke inde med kildekode til systemer.

10 Kryptografi 10.1 Kryptografiske kontroller 10.1.1 Politik for anvendelse af kryptografi

Kryptering af harddiske

Kalundborg Kommune har ikke fastsat regler om kryptering af

harddiske i stationært udstyr og mobile pc'er. Stationært udstyr er

beskyttet af fysiske og logiske sikringsforanstaltninger, og der må

ikke opbevares fortrolige data på mobile og stationære pc'er.

Brug af kryptering i forbindelse med opbevaring af data

Fortrolige informationer skal altid være krypteret, når de opbevares på transportabelt udstyr, fx på USB-diske,

håndholdte mobile enheder m.m. 10.1.2 Administration af krypterings nøgler

Nøglehåndtering

IT skal etablere et nøglehåndteringssystem, som understøtter Kalundborg Kommunes anvendelse af

kryptografi.

Proceduren for nøglehåndtering skal beskrive hvordan generering, distribution, opbevaring og destruktion af

nøgler håndteres.

Proceduren for nøglehåndtering skal beskrive hvordan tilbagekaldelse af gamle eller ugyldige nøgler håndteres.

Henvisning til IT's interne sikkerhedsprocedurer P 19 Procedure for nøglehåndtering. 11 Fysisk sikring og miljøsikring 11.1 Sikre områder 11.1.1 Fysisk perimetersikring

Gæsters adgang

Gæster må kun færdes i områder uden offentlig adgang, når de er

ledsaget af en medarbejder.

Værten har ansvaret for gæsters færden.

Indbrudsalarmer

Der skal anvendes tilstrækkelige alarmsystemer på relevante

bygninger og lokaler.

Side 22 af 60


SecureAware 4.8.6

Overvågning i sikre områder

IT skal sikre, at arbejde i sikre områder såvidt muligt overvåges. Her tænkes på eksterne IT-tenikere m.m. som

udfører service eller lignende i disse områder.

Ved sikre områder forstås serverrum og lignende steder, hvor der findes forretningskritisk udstyr og/eller større

mængder data.

Ubenyttede lokaler i sikre områder

Ubenyttede lokaler i sikre områder skal være aflåst og

inspiceres jævnligt.

Oplysninger om sikre områder

Oplysninger om sikre områder og deres funktion skal alene gives

ud fra et arbejdsbetinget behov.

Misbrugsbeskyttelse af IT-udstyr

Ledelsen skal sikre, at medarbejdere informeres om eventuelle overvågningsmuligheder, som Kalundborg

Kommune kan tage i brug.

Sikring af kontorer, lokaler og udstyr

IT-chefen må uddelegere ansvaret for at sikre en passende fysisk sikring af kontorer, rum og udstyr bliver

implementeret og vedligeholdt.

Sikkerhedsbekendtgørelsens § 8 stiller krav om, at der på steder, hvor der foretages behandling af

personoplysninger, skal træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til

oplysningerne.

Udstyr til publikumsbetjening

På udstyr der stilles til rådighed for borgerne, f.eks. ved selvbetjeningsløsninger i Borgerservice, må der ikke

gemmes data eller kunne installeres programmer i henhold til Datatilsynet "Datasikkerhed i Borgerservice

Centre".

Henvisning til Datatilsynets hjemmeside: http://www.datatilsynet.dk/publikationer/datasikkerhed-i-borgerservice/

11.1.2 Fysisk adgangskontrol

Fysisk sikkerhed og adgangsregler for gæster er naturlige elementer i kommunens sikkerhedspolitik. Fysisk

sikkerhed omfatter blandt andet døre, vinduer, alarmer - samt tyverisikring af kommunens fysiske aktiver,

eksempelvis IT-udstyr. Systemer til adgangskontrol er ligeledes et element af fysisk sikkerhed, der sikrer at kun

personer med legalt ærinde får adgang til kommunens område. Sikkerhedsbekendtgørelsen stiller endvidere en

række krav til den fysiske sikkerhed og dokumentationen af den.

Gæsters registrering

Kalundborg Kommune registrerer ikke gæster i kommunens

lokaliteter.

Side 23 af 60


SecureAware 4.8.6

11.1.3 Beskyttelse mod eksterne og miljømæssige trusler

Brandsikring

Serverrum skal sikres med veldimensioneret

brandslukningsudstyr.

Serverrum må ikke benyttes som lager for brændbare

materialer.

Farlige eller brandfarlige materialer skal lagres i sikker

afstand fra sikre områder.

Passende brandsikringsudstyr skal forefindes, og være korrekt

placeret. 11.1.4 Arbejde i sikre områder

Aflåsning af lokaler og bygninger

Alle døre og vinduer skal kunne låses forsvarligt.

Alle døre og vinduer med adgang til/fra bygningerne skal lukkes

og låses ved arbejdstids ophør. Døre til sikrede lokationer i

bygningerne skal ligeledes aflåses. Sidste medarbejder, der

forlader et område, er ansvarlig for sikring af dette. 11.1.5 Områder til af- og pålæsning

Af- og pålæsningsområder

Af- og pålæsningsområder skal indrettes så risiko for

uautoriseret adgang til Kalundborg Kommunes øvrige lokaliteter

mindskes.

Indkommende og udgående leverancer skal så vidt muligt adskilles

fysisk. 11.2 Udstyr 11.2.1 Placering og beskyttelse af udstyr

Spisning i nærheden af udstyr

Der må ikke spises og drikkes i nærheden af forretningskritisk udstyr.

Der må ikke spises og drikkes i serverrum.

Miljømæssig sikring af serverrum

Side 24 af 60


SecureAware 4.8.6

Serverrum, krydsfelter og tilsvarende områder skal på forsvarlig

vis sikres mod miljømæssige hændelser som brand, vand, eksplosion

og tilsvarende påvirkninger.

Tyverimærkning af IT-udstyr

Alle stationære- og bærbare pc'er skal være sikkerhedsmærket for at minimere risiko for tyveri og for at gøre

det lettere at få stjålet udstyr retur.

Mobiltelefoner, PDA'er og lignende er ikke sikkerhedsmærket.

Aflåsning af hovedkrydsfelter og lignende

teknikrum

Alle krydsfelter og andre teknikrum skal være aflåste.

Adgang til serverrum og hovedkrydsfelter

Adgang til serverrum og hovedkrydsfelter tillades kun med sikkerhedsgodkendelse eller ved overvåget adgang

af medarbejdere fra IT.

Adgang for serviceleverandører

Serviceleverandører må kun få adgang til sikre områder, når

dette er påkrævet.

Distribueret IT-udstyr

Alle centrale krydsfelter, afdelings-serverrum og lignende faciliteter med IT-udstyr skal aflåses for at hindre

uautoriseret adgang til disse. 11.2.2 Understøttende forsyninger (forsyningssikkerhed)

Køling

Serverrum skal sikres med veldimensionerede kølefaciliteter.

Nødstrømsanlæg

Alle forretningskritiske systemer skal beskyttes med

nødstrømsanlæg til at sikre hurtig og korrekt system-nedlukning i

tilfælde af strømudfald.

Forsyningssikkerhed

IT-chefen har ansvaret for, at alle forsyninger som elektricitet, vand, kloak, varme, og ventilation har den

fornødne kapacitet, og løbende inspiceres for at forebygge uheld, der kan have indflydelse på programmer og

data.

Data- og telekommunikationsforbindelser skal etableres via minimum to adgangsveje, hvor det skønnes

nødvendigt. IT-chefen vurderer behovet for dublering af linier. 11.2.3 Sikring af kabler

Sikring af kabler

Kabler til datakommunikation skal beskyttes mod uautoriserede

indgreb og skader.

Side 25 af 60


SecureAware 4.8.6

Faste kabler og udstyr skal mærkes klart og entydigt.

Dokumentation skal opdateres når den faste kabelføring

ændres. 11.2.4 Vedligeholdelse af udstyr

Vedligeholdelse af udstyr og anlæg

Systemejere skal vedligeholde udstyr efter leverandørens anvisninger.

Kun godkendte leverandører må udføre reparationer og vedligeholdelse.

Reparationsvirksomheden skal overholde fornødne sikkerhedskrav hvis udstyr repareres eller vedligeholdes

uden for Kalundborg Kommunes lokaliteter.

Kritiske/følsomme informationer skal slettes fra udstyr, der repareres eller vedligeholdes uden for Kalundborg

Kommunes lokaliteter.

IT er ansvarlig for at der føres log over alle fejl og mangler samt reparationer og forbyggende vedligeholdelse. 11.2.5 Fjernelse af aktiver

Fjernelse af udstyr fra Kalundborg Kommunes lokaliteter

Udstyr eller medier, der indeholder data må kun fjernes eller slettes med ledelsens godkendelse. 11.2.6 Sikring af udstyr og aktiver uden for organisationen

Opsyn med mobile enheder

Mobile enheder må ikke efterlades uden opsyn i uaflåste rum.

Adgang til data på bærbare computere skal beskyttes med et login

password. Udstyr med klassificerede informationer skal anvende

harddisk-kryptering. 11.2.7 Sikker bortskaffelse eller genbrug af udstyr

Bortskaffelse eller genbrug af udstyr

Når udstyr bortskaffes eller genbruges skal kritiske/følsomme

informationer og licensbelagte systemer fjernes eller

overskrives.

Bortskaffelse og genbrug af medier, der indeholder fortrolige informationer

Alle datamedier, for eksempel harddiske, disketter, cd, dvd, bånd og hukommelsesenheder, skal

sikkerhedsslettes eller destrueres inden bortskaffelse.

Henvisning til medarbejderportalen: Værktøjskassen/IT/hardware, PC, bærbar og tynd klient/retningslinjer for

bortskaffelse af datamedier.

Papirmateriale skal makuleres, når det ikke længere skal benyttes.

Hvis en ekstern leverandør benyttes til destruktion af Kalundborg Kommunes datamedier, skal det sikres at

leverandøren efterlever de aftalte sikkerhedskrav.

Side 26 af 60


SecureAware 4.8.6

Beholdere med papirmateriale til destruktion skal opbevares i rum, der holdes aflåste udenfor almindelig

arbejdstid, og hvortil der ikke er offentlig adgang.

Sikkerhedsbekendtgørelsen stiller i §§ 9, 10 og 13 en række krav

om sletning og destruktion af datamedier.

Bortskaffelse eller genbrug af udstyr

Når udstyr bortskaffes eller genbruges skal kritiske/følsomme

informationer og licensbelagte systemer fjernes eller

overskrives.

Sikkerhedsbekendtgørelsen stiller i § 9 formelle krav i forbindelse med reparation og service af dataudstyr, der

indeholder personoplysninger, samt ved salg og kassation af anvendte datamedier. Datatilsynet har skrevet en

værd-at-vide om emnet. Tekst kan læses på tilsynets hjemmeside www.datatilsynet.dk. 11.2.8 Brugerudstyr uden opsyn

Placering af udstyr

Udstyr der benyttes til at behandle kritiske/følsomme informationer, skal placeres så informationerne ikke kan

ses af uvedkommende.

IT skal begrænse fysisk adgang til gateways og trådløse adgangspunkter. 11.2.9 Politik for ryddeligt skrivebord og blank skærm

Brug af adgangskodebeskyttet pauseskærm

Alle arbejdsstationer skal automatisk aktivere skærmlås efter 15 minutters inaktivitet.

Som bruger er du ansvarlig for at andre ikke kan tilgå din IT arbejdsplads, når du forlader din arbejdsstation og

arbejdsstationen er uden for din synsvidde.

Opbevaring af fysiske dokumenter

Skriveborde skal ryddes for fortrolige dokumenter senest ved

arbejdsdagens afslutning.

Dokumenter må gerne ligge fremme, såfremt kontorlokaler er

aflåste.

Dokumenter med personhenførbare oplysninger må ikke ligge med

forsiden opad, når du forlader dit skrivebord.

Udskrivning



tilgængelige. 12 Driftssikkerhed

Side 27 af 60


SecureAware 4.8.6

12.1 Driftsprocedurer og ansvarsområder 12.1.1 Dokumenterede driftsprocedurer

Vedligeholdelse og opdatering af IT-systemer er nødvendigt for at opretholde et passende sikkerhedsniveau for

kommunen. Drift af IT-systemer inkluderer elementer af overvågning af systemernes helbredstilstand,

opdatering og sikkerhedskopiering af data. De fleste IT-systemer i dag er afhængige af netværk, og derfor er

administration, opbygning, sikring og vedligehold af netværk vitalt for kommunen. Den trussel, som uautoriseret

adgang indebærer, gør det nødvendigt med klare regler for brugen af kommunens netværk samt overvågning af

infrastrukturen.

Registrering af driftsstatus

IT skal registrere væsentlige forstyrrelser og uregelmæssigheder i driften af systemerne.

Krav til driftsafviklingsprocedurer

Driftsafviklingsprocedurer for forretningskritiske systemer skal være dokumenterede, ajourførte og tilgængelige

for driftsafviklingspersonalet og andre med et arbejdsbetinget behov.


P 22 Procedure - Hovedpunkter vedr applikationsopdateringer i Citrix - XEN7.

P 22.1 Procedure installering af Windows patching.

Driftsansvar

IT står for den daglige drift, administration og sikkerhed af fælles IT-systemer. Herunder efterlevelsen af IT-

sikkerhedspolitikker, regler og procedurer der er relevant for IT-driften.

Dokumentation

IT skal sikre, at alle systemer og IT-relaterede forretningsgange er dokumenterede for eksempel ved at

systemejere og proces-ejere dokumenterer jævnfør Kalundborg Kommunes standard.

Sikring af serversystemer

Servere skal sikres og testes inden implementering i

produktionsmiljøet. Jf kravspec og designspec. 12.1.2 Ændringsstyring

Ændringsstyring

Ved ændringer skal der foregå en gennemgang af sikringsforanstaltninger og integritetskontroller for at sikre, at

disse ikke forringes ved implementeringen.

Der skal indhentes en formel godkendelse af ændringen før arbejdet med den går i gang.

Autoriserede brugere skal acceptere ændringer før de implementeres.

Systemdokumentation skal opdateres ved hver ændring.

Forældet systemdokumentation skal arkiveres eller destrueres.

Der skal vedligeholdes en versionsstyring for systemændringer i forretningskritiske systemer.

Driftsdokumentation og forretningsgange for brugerne skal holdes opdateret, således at de stadig er gældende

efter ændringen.

Implementeringen af ændringen skal foretages på et aftalt tidspunkt så den ikke forstyrrer de involverede

forretningsydelser.

Side 28 af 60


SecureAware 4.8.6


P 30 Incident management.

P 31 Problem management.

Incidenthåndtering

Incident er en pludselig opstået hændelse der har indflydelse på forretningen. Nedenstående model benyttes

for at sikre en hurtig og dokunemteret løsning på den opståede incident/hændelse

- Identificer hændelsen

- Vurder hændelsens omfang og indflydelse på forretningen

- Vurder løsningsmodel

- Implementer løsningen

- Dokumenter forløbet og løsningsmodel

Problemhåndtering

Problemhåndtering er identificering af årsager til hændelser opstået i incidenthåndtering med det formål at

forebygge gentagelser. Nedenstående model benyttes for at sikre en dokumenteret løsningsmodel.

- Identificer problemet

- Vurder problemets omfang og indflydelse på forretningen

- Vurder løsningsmodel

- Implementer løsningen

- Dokumenter forløbet og løsningsmodel

Migreringsstyring

Migrering fra udvikling til produktion skal undergå test og

kontrol for at tilsikre driftsniveau, sikkerhedsniveau og

brugbarhed inden implementering. Derudover skal godkendt software

sikres mod efterfølgende uønskede ændringer. Hvis muligt, skal kun

objekt-kode, ikke kildetekster migreres til

produktionssystemer.

Planlægning, test og godkendelse af ændringer

Ændringer skal planlægges og afprøves, inden de sættes i

drift.

Retningslinier for ændringer

Ændringer skal kun gennemføres, når de er forretningsmæssigt velbegrundede.

IT har ansvaret for, at der foregår en entydig identifikation og registrering af væsentlige ændringer.

IT har ansvaret for, at der findes en nødprocedure til at mindske effekt fra fejlslagne ændringer.

Ændringsstyringsprocedurer skal tilrettelægges og afstemmes

efter systemernes kritikalitet og de muligheder, der er for at

tilrettelægge ændringer i det pågældende system eller miljø.

Side 29 af 60


SecureAware 4.8.6

Adskillelse af udvikling, test og drift

Udviklings- og testmiljøer skal være systemteknisk eller fysisk

adskilt fra driftsmiljøet.

Adgang til produktionsdata

Systemadministratorers adgang til fortrolige oplysninger skal

begrænses og registreres. 12.1.3 Kapacitetsstyring

Kapacitetsplanlægning

IT-systemernes dimensionering skal afpasses efter kapacitetskrav. Belastning skal overvåges således at

opgradering og tilpasning kan finde sted løbende. Dette gælder især for forretningskritiske systemer.

Kapacitetsovervågning

Alle serversystemer med kritiske informationer skal løbende

overvåges for tilstrækkelig kapacitet til at sikre pålidelig drift

og tilgængelighed. 12.1.4 Adskillelse af udviklings test- og driftsmiljøer

Sikring af applikationsudviklingsmiljøerne

Udviklingsmiljøer skal sikres mod trusler som uautoriseret

adgang, ændringer og tab. Data skal sikres efter

følsomhedsniveau. 12.2 Beskyttelse mod malware 12.2.1 Kontroller mod malware

Antivirus produkter på arbejdsstationer

IT skal sikre, at der anvendes minimum to anti-virus produkter fra forskellige leverandører. Ét på indgangene til

Kalundborg Kommunes systemer og et andet på samtlige computere ejet af Kalundborg Kommune. Opdatering

skal ske højest et døgn efter leverandørens opdateringer.

Antivirusprogrammer

Anti-virusprogrammer skal være installeret på mobile- og

medarbejderes fjernarbejdspladser. Softwaren skal holdes opdateret

ved opgradering mindst en gang om ugen.

Kontrol af antivirus på arbejdsstationer

Medarbejdere skal løbende kontrollere, at anti-virus er aktivt på deres Windows-baserede computere og at

data-filerne ikke er over én uge gamle. (gælder ikke tynde klienter)

Automatisk indholdsfiltrering

Systemerne skal jævnligt scannes for spam-mail og phishing.

Disse mails mv. skal sættes i karantæne automatisk.

Spyware

Side 30 af 60


SecureAware 4.8.6

Installation af spyware søges undgået gennem begrænsningerne i muligheder for softwareinstallation.

Installation af spyware søges undgået gennem patch-management-processer.

IT skal sikre, at der scannes for spyware i IT-miljøet.






Anti-virus-produkter på servere

Der skal være installeret anti-virus beskyttelse på alle

systemer, hvor dette er muligt. 12.3 Backup 12.3.1 Backup af information

Sikkerhedskopiering af data på serversystemer

IT er ansvarlig for opbevaring og sikkerhedskopiering af alle forretningskritiske informationer på serversystemer.

Opbevaring af sikkerhedskopier på ekstern lokation

Datamedier til reetablering af forretningskritiske systemer skal opbevares på et forhold til systemernes placering

eksternt opbevaringssted.


P 31 Procedure for håndtering af backup CommVault løsning.

P 32 Procedure for Server Disaster Recovery.

Afprøvning af procedurer for

sikkerhedskopiering

Muligheden for at retablere data fra backup-systemer skal

regelmæssigt aftestes i et testmiljø. Endvidere skal retablering

testes efter system- eller proces-ændringer, der kan påvirke

backup-rutiner.

Nødplaner for sikkerhedskopiering

Alle forretningskritiske systemer skal have en plan for

sikkerhedskopiering, således at risikoen for tab af data

minimeres.

Det fremgår af persondatalovens § 41, stk. 3, at den

dataansvarlige myndighed skal træffe de fornødne tekniske og

organisatoriske foranstaltninger mod, at personoplysninger

hændeligt eller ulovligt tilintetgøres, fortabes eller forringes

samt mod, at de kommer til uvedkommendes kendskab, misbruges eller

i øvrigt behandles i strid med lov om behandling af

personoplysninger. Dette lovkrav kan bl.a. imødekommes ved

Side 31 af 60


SecureAware 4.8.6

sikkerhedskopiering.

Opbevaring af sikkerhedskopier på ekstern

lokation

Datamedier til reetablering af forretningskritiske systemer skal

opbevares på et forhold til systemernes placering eksternt

opbevaringssted.

Integration af informationssystemer

Hvis integration af informationssystemer resulterer i en forøget risiko, skal denne vurderes og godkendes af

ledelsen. 12.4 Logning og overvågning 12.4.1 Hændelseslogning

Opfølgningslogning

IT skal logge sikkerhedshændelser på Kalundborg Kommunes væsentlige systemer.

IT skal logge fejlhændelser på Kalundborg Kommunes væsentlige systemer.

Opbevaring af opfølgningslog

IT skal:

opbevare log for sikkerhedshændelser på væsentlige systemer i mindst 3 måneder.

opbevare log for fejlhændelser på væsentlige systemer i mindst 3 måneder.

opbevare log for brugerhændelser på væsentlige systemer i mindst 3 måneder.

Hændelseslogning

Produktionssystemer bør logge information om adgang og forsøg på adgang, for at kunne spore uautoriseret

aktivitet. Der gælder skærpede krav for systemer, der behandler personoplysninger omfattet af

anmeldelsespligt. Se sikkerhedsbekendtgørelsens § 18.

Alle sikkerhedshændelser skal logges og opbevares i en fastlagt periode af hensyn til opfølgning på

adgangskontroller og eventuel efterforskning af fejl og misbrug.

Logfiler skal regelmæssigt gennemgås af relevante medarbejdere i IT eller det fagområde, der har

systemejerskab for det pågældende system.

Alle medarbejdere, samarbejdspartnere og øvrige brugere skal være bekendt med forretningsgangene for

rapportering af forskellige typer hændelser og svagheder, der kan have indflydelse på sikkerheden for

kommunens aktiver. Sikkerhedshændelser og svagheder skal hurtigst muligt rapporteres til IT.

Henvisning til medarbejderportalen: Værktøjskassen /IT sikkerhedsregler/nfo logning brug af mail, internet,

fagsystemer.

Henvisning: IT's interne sikkerhedsprocedurer:

P 34 Procedure for gennemgang af log filer paa DC servere.

Opfølgningsloggen skal efter omstændighederne

indeholde:

Side 32 af 60


SecureAware 4.8.6

Brugeridentifikation.

Dato og klokkeslæt for væsentlige aktiviteter.

Identificering af arbejdsstation eller netværksenhed.

Registrering af systemadgange og forsøg herpå.

Registrering af dataadgange og forsøg herpå.

Ændringer i systemkonfigurationen.

Brug af særlige rettigheder, for eksempel privilegerede eller

administratorrettigheder.

Brug af hjælpeværktøjer.

Brug af benyttede datafiler.

Anvendte netværk og protokoller.

Alarmer fra adgangskontrolsystem.

Aktivering og deaktivering af beskyttelsessystemer.

Hændelsestype.

Angivelse af om hændelsen lykkedes eller fejlede.

Hændelsens oprindelse.

Navn eller identitet på den anvendte data, systemkomponent,

eller ressource.

Side 33 af 60


SecureAware 4.8.6

Overvågning af internet-brug

Kalundborg Kommune filtrerer og begrænser internetadgang.

IT har mulighed for at opsætte logning dvs. registrering af internettets anvendelse.

Man vil på forhånd - på en klar og utvetydig måde - være informeret om, at registreringen/logningen finder sted,

og at registreringen eventuelt vil blive gennemset som led i en kontrol ved mistanke om brug af internettet i strid

med retningslinier herom

Krav til opfølgningslog

Offentlige myndigheder, der behandler personoplysninger, der er omfattet af persondatalovens regler om

anmeldelsespligt, skal logge enhver anvendelse af anmeldelsespligtige personoplysninger i henhold til reglerne

i sikkerhedsbekendtgørelsens § 19.

Logning efter sikkerhedsbekendtgørelsens § 19

stk. 1: Der skal foretages maskinel registrering (logning) af alle anvendelser af personoplysninger.

Registreringen skal mindst indeholde oplysning om tidspunkt, bruger, type af anvendelse og angivelse af den

person, de anvendte oplysninger vedrørte, eller det anvendte søgekriterium. Loggen skal opbevares i 6

måneder, hvorefter den skal slettes. Myndigheder med et særligt behov kan opbevare loggen i op til 5 år.

stk. 2: Bestemmelsen i stk. 1 finder ikke anvendelse for personoplysninger, som indgår i

tekstbehandlingsdokumenter og lignende, der ikke foreligger i endelig form. Det samme gælder sådanne

dokumenter, som foreligger i endelig form, hvis der sker sletning inden for en af den dataansvarlige myndighed

nærmere fastsat kortere frist.

stk. 3: Bestemmelsen i stk. 1 finder ikke anvendelse, hvis behandlingen af personoplysninger udelukkende sker

ved afvikling af programmer, som foretager en forud defineret massebehandling af personoplysninger (»batch«-

kørsler). Der skal dog foretages maskinel logning af bruger og tidspunkt for behandlingen.

stk. 4: Bestemmelsen i stk. 1 finder endvidere ikke anvendelse, hvis behandlingen af personoplysningerne

udelukkende sker med henblik på statistiske eller videnskabelige undersøgelser, og

identifikationsoplysningerne forinden enten er krypteret eller erstattet med et kodenummer eller lignende. Der

skal dog foretages maskinel logning af bruger og tidspunkt for behandlingen.

stk. 5: Bestemmelsen i stk.1 finder endelig ikke anvendelse for personoplysninger, som i form af måle- eller

analyseresultater automatisk lagres i medicoteknisk udstyr. Undtagelsen omfatter tillige personoplysninger, som

manuelt registreres i medicoteknisk udstyr til supplering af automatisk lagrede oplysninger.

stk. 6: Der gælder skærpede krav for opfølgning i Borgerservicecentre med henvisning til Datatilsynets

publikation"Datasikkerhed i Borgerservicecentre". 12.4.2 Beskyttelse af logoplysninger

Beskyttelse af log-oplysninger

Log-faciliteter og log-oplysninger skal beskyttes mod

manipulation og tekniske fejl. 12.4.3 Administrator- og operatørlog

Overvågning af serviceleverandøren

IT skal regelmæssigt overvåge serviceleverandørerne, gennemgå de aftalte rapporter og logninger samt udføre

egentlige revisioner for at sikre, at aftalen overholdes, og at sikkerhedshændelser og -problemer håndteres

betryggende.

Fejllog

Side 34 af 60


SecureAware 4.8.6

Fejl skal logges og analyseres, og nødvendige udbedringer og modforholdsregler skal gennemføres.

Bemærk: Bestemmelsen sikkerhedsbekendtgørelsens § 19, stk. 1 finder ikke anvendelse, hvis behandlingen af

personoplysninger udelukkende sker ved afvikling af programmer, som foretager en forud defineret

massebehandling af personoplysninger ("batch"-kørsler). Der skal dog foretages maskinel logning af bruger og

tidspunkt for behandlingen. Af Datatilsynets vejledning til denne regel fremgår det, at ved "alle anvendelser af

personoplysninger" skal her forstås de anvendelser, som foretages af brugere af systemet i forbindelse med

deres arbejde. Der er en række aktiviteter i forbindelse med driftsafvikling, som indebærer overvågning af og

indgriben i systemerne af drifts- og systemmedarbejdere. Anvendelser af personoplysninger i forbindelse med

sådanne aktiviteter er ikke omfattet af logningskravet (i sikkerhedsbekendtgørelsens § 19).

Sikkerhedsbekendtgørelsen

Ved sikkerhedsbekendtgørelsen forstås Justitsministeriets bekendtgørelse nr. 528 af 15/06/2000 om

sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning.

Sikkerhedsbekendtgørelsen er uddybet i Datatilsynets sikkerhedsvejledning (vejl. nr. 37).

Sikkerhedsbekendtgørelsen og sikkerhedsvejledningen kan læses på Datatilsynets hjemmeside:

www.datatilsynet.dk / https://www.retsinformation.dk/Forms/R0710.aspx?id=1002.

Krav til administrator og -operatørlog

Aktiviteter udført af systemadministratorer og -operatører samt andre med særlige rettigheder skal logges. 12.4.4 Tidssynkronisering

Tidssynkronisering

IT skal sikre at systemernes ure jævnligt synkroniseres til korrekt tid. 12.5 Styring af driftssoftware 12.5.1 Softwareinstallation på driftsystemer

Krav til indstillinger af internet-browser

MS Internet Explorer og andre browsere skal opsættes jævnfør IT-sikkerhedspolitikken. Brugerne må ikke

ændre denne opsætning. 12.6 Sårbarhedsstyring 12.6.1 Styring af tekniske sårbarheder

Større operativsystemopdatinger, for eksempel "service

packs".

Større opdateringer skal testes grundigt for kompatibilitet med

anvendte applikationer, inden opdateringerne installeres i

produktionsmiljøet.

Større programpakkeopdateringer, for eksempel "service

packs".

Større opdateringer skal testes i et testmiljø, inden

opdateringerne installeres i produktionsmiljøet.

Rettelser til operativsystemer

Side 35 af 60


SecureAware 4.8.6

IT skal mindst hver uge vurdere tilgængelige sikkerhedsrettelser, for eksempel "patches" eller "hot-fixes", til

anvendte operativsystemer. Udrulning/installation på relevante systemer skal foretages senest en uge efter

vurdering og positiv funktions- og kompatibilitetstest.

Rettelser til applikations-programpakker

Systemejer skal mindst hver uge vurdere tilgængelige

sikkerhedsrettelser, for eksempel "patches" eller "hot-fixes", til

anvendte programpakker. Udrulning/installation på relevante

systemer skal foretages senest en uge efter vurdering og positiv

funktions- og kompatibilitetstest.

Softwareopdateringer generelt

Systemejere er ansvarlige for, at der løbende sker regelmæssig opdatering af anvendt software.

IT skal holde sig informeret om programrettelser til programmer på den centrale driftsplatform i Kalundborg

Kommune og snarest installere disse på alle Kalundborg Kommunes computere, f.eks. servere og

arbejdsstationer. Dette skal ske, når det vurderes, at rettelserne har positiv indflydelse på den samlede

sikkerhed.

Ændringer i forretningskritiske systemer

Alle ændringer i forretningskritiske systemer udføres efter

godkendt procedure. Alle procedurer skal indeholde en alternativ

plan til reetablering af det forretningskritiske system. Vilkårene

for aktivering af den alternative plan skal ligeledes fremgå af

proceduren. 12.6.2 Begrænsninger på softwareinstallation

Installation af programmer på arbejdsstationer

IT installerer programmer på Kalundborg Kommunes Servere og PC-arbejdspladser.

Anskaffelser

IT skal tilse, at kun kendt og sikkert udstyr eller software med et defineret formål må anskaffes og tages i drift.

Udstyr og software må kun indkøbes fra leverandører, som IT vurderer som seriøse, og som må forventes ikke

at krænke tredje parts ophavsret. Herunder indkøb på SKI-aftaler og kommunens egne rammeaftaler.

Sikkerhedsindstillinger i web-browser

Der må kun anvendes godkendte webbrowsere. Brugerne må ikke

forsøge at omgå eller bryde sikringsforanstaltningerne.

Adgang til surfing på internettet

Internetadgangen må benyttes til internetbrowsing - privat brug

i begrænset omfang accepteres i overensstemmelse med

ikt-sikkerhedspolitikken, forudsat at det ikke blokerer for

arbejdsrelateret brug af internettet.

Medarbejderes private brug af internetadgang

Kalundborg Kommunes internetadgang må også anvendes til privat formål, såfremt IT-sikkerhedspolitikken i

øvrigt overholdes, og såfremt arbejdsrelateret brug ikke generes på nogen måde.

Side 36 af 60


SecureAware 4.8.6

Download af dokumenter/filer fra internet

Filer må downloades fra internet i begrænset arbejdsmæssigt

omfang.

Download af programmer fra internet

Det er ikke tilladt at hente programmer fra internet, medmindre det er relateret til løsning af arbejdsopgaver.

Programmer skal godkendes af IT, før de installeres.

Streaming via internet

Det er ikke tilladt at anvende Kalundborg Kommunes netværk til tung og vedvarende trafik, som eksempelvis

radio, tv-tjenester og film med mindre det er fagligt relevant.

Medarbejderens chef afgør, hvilke tjenester der er fagligt relevante. IT afgør, hvilke tjenester der

sikkerhedsmæssigt og driftsmæssigt er forsvarlige.

Overvågning af internet-brug

Kalundborg Kommune filtrerer og begrænser internetadgang.

IT har mulighed for at opsætte logning dvs. registrering af internettets anvendelse.

Man vil på forhånd - på en klar og utvetydig måde - være informeret om, at registreringen/logningen finder sted,

og at registreringen eventuelt vil blive gennemset som led i en kontrol ved mistanke om brug af internettet i strid

med retningslinier herom

Administration af arbejdsstationer

Brugere har administrationsrettigheder til de arbejdsstationer,

de benytter. Dette begrænses dog gennem pålagte politikker. 12.7 Overvejelser i forbindelse med audit af informationssystemer 12.7.1 Kontroller i forbindelse med audit af informationssystemer

Sikkerhed i forbindelse med revision

Revisionskrav og revisionshandlinger i forbindelse med systemer

i drift skal planlægges omhyggeligt og aftales med de involverede

for at minimere risikoen for forstyrrelser af Kalundborg Kommunes

forretningsaktiviteter.

De planlagte revisionshandlinger må kun omfatte læseadgang til

systemer og data.

Hvis revisionen nødvendiggør mere end læseadgang, må dette kun

tillades på kopier af de berørte filer der skal slettes efter

brug.

Al adgang i forbindelse med revision skal logges.

Side 37 af 60


SecureAware 4.8.6

De personer, der udfører revisionen, skal være uafhængige af det

reviderede område.

Beskyttelse af revisionsværktøjer

Adgangen til revisionsværktøjer skal begrænses for at forhindre misbrug.

Vedligeholdelse og opdatering af IT-systemer er nødvendigt for at opretholde et passende sikkerhedsniveau for

kommunen. Drift af IT-systemer inkluderer elementer af overvågning af systemernes helbredstilstand,

opdatering og sikkerhedskopiering af data. De fleste IT-systemer i dag er afhængige af netværk, og derfor er

administration, opbygning, sikring og vedligehold af netværk vitalt for kommunen. Den trussel, som uautoriseret

adgang indebærer, gør det nødvendigt med klare regler for brugen af kommunens netværk samt overvågning af

infrastrukturen. 13 Kommunikationssikkerhed 13.1 Styring af netværkssikkerhed 13.1.1 Netværksstyring

Installation af trådløst udstyr

Medarbejdere må ikke installere udstyr, der giver trådløs

netadgang direkte på Kalundborg Kommunes netværk.

Rutekontrol

IT skal begrænse rutning imellem forskellige netværkssegmenter således at kun nødvendig trafik videresendes.

Sikring af netværk

IT har det overordnede ansvar for at beskytte Kalundborg Kommunes netværk

Adgang til trådløse netværk for gæster

Gæster, har adgang til gæstenettet via udleveret kodeord. Der gives kun adgang til internettet.

Indkommende netværksforbindelser

Forbindelser fra internettet til den demilitariserede netværkszone (DMZ) må kun oprettes til specifikke IP-

adresser. Og må kun foretages af ITs personale

IT-chefen skal godkende enhver form for indkommende netværksforbindelse fra internet til interne netværk.

Tilslutning af udstyr til netværk

Andre medarbejdere eller konsulenter må ikke koble udstyr sammen med det interne netværk. Kun IT må koble

udstyr på det interne netværk.

Adgang til aktive netværksstik

Adgang til aktive netværksstik skal styres af IT.

Netværksstik i offentligt tilgængelige områder, må kun aktiveres, når dette er forretningsmæssigt begrundet.

Firewall-funktioner på servere

Side 38 af 60


SecureAware 4.8.6

Netværkssegmenter, hvor der findes servere skal være beskyttet

af en firewall.

Det fremgår af sikkerhedsbekendtgørelsens § 14, at der kun må etableres eksterne

kommunikationsforbindelser, hvis der træffes særlige foranstaltninger for at sikre, at uvedkommende ikke

gennem disse forbindelser kan få adgang til personoplysninger.

Datatilsynet har endvidere fastsat regler om transmission af personoplysninger over internettet og andre åbne

netværk. For transmission af personoplysninger omfattet af persondatalovens §§ 7 og 8 kræves stærk

kryptering.

Opdeling af netværk

IT skal segmentere netværk for at etablere en passende adskillelse imellem forskellige tjenester, brugergrupper

eller systemer.

Mindste krav til netværkssegmentering er at IT etablerer en "demilitariseret zone" (DMZ) hvor offentligt

tilgængelige servere placeres adskilt fra internt tilgængelige servere.

Overvågning af netværk

IT skal have den nødvendige viden og redskaber til overvågning af Kalundborg Kommunes netværk, for

eksempel til fejlretning samt detektering og sporing af sikkerhedshændelser.

IT skal løbende overvåge netværk med henblik på detektering af brud på sikkerheden.

Ved hjælp af scanning skal det kontrolleres, at emnefeltet i e-mails ikke indeholder CPR-numre.


Alle serversystemer med kritiske informationer skal løbende

overvåges for tilstrækkelig kapacitet til at sikre pålidelig drift

og tilgængelighed.

Anskaffelser

IT skal tilse, at kun kendt og sikkert udstyr eller software med et defineret formål må anskaffes og tages i drift.

Udstyr og software må kun indkøbes fra leverandører, som IT vurderer som seriøse, og som må forventes ikke

at krænke tredje parts ophavsret. Herunder indkøb på SKI-aftaler og kommunens egne rammeaftaler.

Begrænset netværkstid

Kalundborg Kommunes systemer kører som udgangspunkt hele døgnet.

Der er ingen systemer med begrænset anvendelsestid som følge af

sikkerhedskrav.

Installation af netværksudstyr

Det er ikke tilladt at installere netværksudstyr uden

forudgående sikkerhedsgodkendelse. Dog er det tilladt midlertidigt

at tilslutte switch til deling af et netværksstik i forbindelse med

demonstrationer, møder eller lignende.

Standardværdier, eksempelvis administrator-logins og andre

"fabriksindstillinger", skal ændres, før et system installeres på

netværket.

Side 39 af 60


SecureAware 4.8.6

Adgang til netværket via mobilt udstyr

Netadgang og systemadgang begrænses ved brug af godkendte

firewalls.

Adgang til data på Kalundborg Kommunes netværk

Ved fjernadgang til data på Kalundborg Kommunes netværk, må der

ikke gemmes data på lokale harddiske eller andre eksterne

medier.

Adgang til applikationer på Kalundborg Kommunes netværk

Der gives kun adgang til applikationer på internt netværk, som er sikkerhedsgodkendt af IT.

Medarbejderes fjernarbejdspladser

Tillades når IT-sikkerhedspolitikken i øvrigt overholdes.

Opbevaring af fortrolige informationer på privat pc

Personligt ejet IT-udstyr som pc, PDA, bærbare harddiske, memorysticks, MP3-afspillere, minidisks, cd- eller

dvd-brændere må ikke anvendes til kopiering eller opbevaring af fortrolige data.

Ledelsens overvejelser i forbindelse med

fjernarbejdspladser (risikovurdering)

Fjernarbejdspladsens fysiske sikkerhed skal overvejes.

Den tekniske opsætning af fjernarbejdspladsen skal

overvejes.

Kravene til beskyttelse af netværksforbindelsen skal

overvejes.

Risikoen for uautoriseret adgang, fx for andre medlemmer af

husholdningen skal overvejes.

Risikoen ved eventuelle lokale netværk, herunder specielt

trådløse netværk, skal overvejes.

Aftaler vedrørende ophavsret til programmer og systemer udviklet

for Kalundborg Kommune på privat udstyr skal overvejes.

Kalundborg Kommunes ret til adgang til privat udstyr anvendt som

fjernarbejdsplads i forbindelse med den løbende

sikkerhedsopfølgning eller undersøgelse.

Side 40 af 60


SecureAware 4.8.6

Licensforhold, hvis Kalundborg Kommunes licensbelagte systemer

skal anvendes på udstyr, som ikke ejes af Kalundborg Kommune.

Krav til fjernarbejdspladsudstyrets beskyttelse mod

skadevoldende programmer og netværksangreb skal overvejes.

Retningslinier for hjemme-/fjernarbejdspladser

Der skal anskaffes en passende netværksforbindelse, inklusive metoder til sikring af forbindelsen.

Nærværende IT-Sikkerhedsregler gælder også når der arbejdes fra hjemme-/fjernarbejdspladser. Det er derfor

den enkelte brugers ansvar at sikre at familie og besøgendes ikke får adgang til udstyr og informationer.

Der skal være en forretningsgang for sikkerhedskopiering og beredskab.

Når fjernarbejdsaftalen ophører skal det sikres at autorisationer og adgangsrettigheder inddrages og at udstyr

returneres samt at Kalundborg Kommunes informationer på privat udstyr slettes.

Terminalsessioner til fjernstyring

Godkendt personale må tilgå visse systemer over internetforbindelser, hvis disse sikres på forsvarlig vis.

Adgang skal tillades af den sikkerhedsansvarlige i samråd med systemejerne.

Beskyttelse af diagnose- og konfigurationsporte

Fysisk og logisk adgang til diagnose- og konfigurationsporte skal kontrolleres. 13.1.2 Sikring af netværkstjenester

Brug af kryptering i forbindelse med

dataudveksling

Adgangskoder skal sendes krypteret.

Det kræves, at e-mail og data, der indeholder fortrolige

informationer, altid er krypteret under transmission.

Det kræves, at der benyttes stærk kryptering, baseret på en

anerkendt algoritme, når følsomme personoplysninger

transmitteres.

Kryptering af administrative netværksforbindelser

Netværksforbindelser, der benyttes til IT-administration skal altid krypteres. Dette betyder alt udstyr undtagen

terminaler med direkte forbindelse.

Afvikling af programmer i forbindelse med internetsurfing

Det er tilladt at afvikle browserbaserede programmer for eksempel netbank-programmer forudsat IT-

sikkerhedspolitikken i øvrigt overholdes.

Afvikling af programmer er kun tilladt under forudsætning af at bruger kan dokumentere at leverandør er en

anerkendt og kommerciel virksomhed.

Side 41 af 60


SecureAware 4.8.6

Internetbaserede tjenester

IT kan lukke af for uhensigtsmæssige internetservices.

Fjernstyring og -administration

Det er tilladt at benytte værktøjer til fjernadministration,

hvis der foreligger sikkerhedsgodkendelse af produktet og

opkoblingsformen. 13.2 Informationsoverførsel 13.2.1 Politikker og procedurer for informationsoverførsel

Udlevering af fortrolige informationer og

oplysninger

Fortrolige informationer og oplysninger må udleveres, hvis der

foreligger underskrevne fortrolighedsaftaler.

Personoplysninger må kun videregives inden for rammerne af

regler på persondatalovens område.

Procedurer for informationsudveksling

IT-chefen har ansvaret for, at der foreligger retningslinier og procedurer for enhver form for elektronisk

informationsudveksling.

Pågældende chef har ansvaret for, at der foreligger retningslinier og procedurer for fysisk

informationsudveksling.

Når der benyttes åbne- og trådløse net skal behovet for særlig beskyttelse altid vurderes. Datatilsynet har

endvidere fastsat regler om transmission af personoplysninger over internettet og andre åbne netværk. For

transmission af personoplysninger omfattet af persondatalovens §§ 7 og 8 kræves stærk kryptering.

Udskrivning



tilgængelige.

Aftaler om informationsudveksling

Ved struktureret og permanent udveksling af information og software imellem Kalundborg Kommune og

samarbejdspartnere skal der foreligge en aftale herom. Aftalen skal beskrive grænsefladerne.

Det fremgår af sikkerhedsbekendtgørelsens § 14, at der kun må etableres eksterne

kommunikationsforbindelser, hvis der træffes særlige foranstaltninger for at sikre, at uvedkommende ikke

gennem disse forbindelser kan få adgang til personoplysninger. Kommunen behandler andre typer fortrolige

oplysninger, som er omfattet af samme regler.

Henvisning til:

Medarbejderprotalen: Værktøjskassen/IT-Retningslinjer IT miljøet/Adgang til anden brugers postkasse-instruks.

Side 42 af 60


SecureAware 4.8.6

13.2.2 Elektroniske meddelelser

Brug af messenger-programmer

Det er kun tilladt at bruge messenger-programmer til arbejdsmæssige formål. Det er IT der godkender hvilke

messenger programmer der må benyttes. Kalundborg Kommune benytter LYNC til dette formål.

Autentificering

Brugere skal være opmærksomme på, at messenger-programmer

anvender svag autentificering. Det vil sige, brugeren har sjældent

eller aldrig vished for, hvem der kommunikeres med.

Brugere skal være opmærksomme på, at de via

messenger-programmer, kan udsættes for "social engineering". Det

vil sige andre personers forsøg på at udnytte brugerens hjælpsomhed

til at få informationer.

Informationsudveksling med eksterne parter

Messenger applikationer må kun bruges til at udveksle

uklassificerede informationer med eksterne parter.

Afsendere og modtagere

Messenger-kommunikation må anvendes både med medarbejdere og

eksterne personer, for eksempel borgere og samarbejdspartnere.

Social Engineering

Medarbejdere skal, når de behandler fortrolige informationer,

være passende opmærksomme på begrebet "social engineering" eller

"kunsten at aflure fortrolige informationer uden at blive opdaget".

For eksempel kan denne form for bedrag udføres via e-mail, telefon

og/eller messenger-programmer.

Elektronisk udveksling af post og dokumenter

IT-chefen beslutter for hvilke aftaler og typer af dokumenter, der skal anvendes digital signatur.

Fortrolig mail

E-mail med følsomt indhold skal krypteres med godkendt software.

Dette gælder især for klassificeret, fortrolig eller intern

information, der sendes over internet.

E-mails med fortrolige eller følsomme personoplysninger

(oplysninger omfattet af persondatalovens §§ 7 og 8) skal altid

krypteres, når de sendes over internettet eller andre åbne

netværk.

Side 43 af 60


SecureAware 4.8.6

••••

I Kalundborg Kommune er løsningerne "Digital post" og "Send

sikker post" de godkendte løsninger til kommunikation af fortrolig

information.

Opbevaring og sletning af e-post

E-mail, der indeholder personhenførbare oplysninger, skal

behandles i overensstemmelse med persondataloven.

Kontrol af overholdelse persondatalovgivning

Ledelse, Jura og Kommunikation instruerer kommunens enheder i regler på persondatalovens område og

håndtering af personoplysninger i det hele taget.

IT håndterer anmeldelser til Datatilsynet og kontakt til Rigsarkivet ( tidligere kaldet Statens Arkiver).

Persondataloven gælder for behandling af oplysninger om

identificerbare personer, når denne behandling helt eller delvis

foretages ved hjælp af elektronisk databehandling og ved

ikke-elektronisk behandling af personoplysninger, der indeholdes i

et register.

Krav til beskyttelse af personoplysninger

Der skal findes foranstaltninger til beskyttelse af

personoplysninger, dvs. enhver form for information om en

identificeret eller identificerbar fysisk person.

Retningslinier for overholdes af lov om personoplysninger

Der skal træffes de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger for at sikre

personoplysningerne.

I forhold til persondataloven skal ansatte i Kalundborg Kommune særlig være opmærksomme på:

1. Hvornår en behandling er omfattet af persondataloven

2. Eventuel anmeldelsespligt

3. Den registreredes rettigheder: a. oplysningspligt, b. indsigtsret, c. indsigelsesret

4. Aftaler med eventuelle outsourcing leverandører

Phishing og bedrageri

Uanset at Kalundborg Kommune udfører indholdscanning af alle

e-mails, skal brugere være opmærksomme på "phishing" og "social

engineering", der for eksempel kan betyde, at de kan modtage

tilsyneladende oprigtige e-mails, der forsøger at franarre

personlige eller fortrolige oplysninger, eller forsøger at få

brugeren til at foretage uønskede handlinger.

Vedhæftede filer

Programfiler og kommando-filer må ikke vedhæftes eller åbnes. Det gælder eksempelvis følgende filtyper: .exe,

.com, .scr, .pif, .bat, cmd, .vbs.

IT skal blokere for filtyper, som IT vurderer farlige eller uhensigtsmæssige.

Sagsbehandling og journalisering af e-mail

Side 44 af 60


SecureAware 4.8.6

Modtaget og afsendt e-mail skal journaliseres og behandles i henhold til "Retningslinier for behandling af sager

og dokumenter".

Henvisning til retningslinjer på medarbejderportalen: Værktøjskassen/IT/Systemer/KMD

SAG/Retningslinjer/Overordnede Retningslinjer.

Henvisning til medarbejderportalen: Værktøjskassen/IT - Sikkerhedsregler/30 dages reglen om sletning af

dokumenter-

Opbevaring og sletning af e-post

E-mail, der indeholder personhenførbare oplysninger, skal

behandles i overensstemmelse med persondataloven.

Medarbejderes private brug af e-mail

Kalundborg Kommune tillader brug af e-mail-systemer også til privat brug, såfremt IT-sikkerhedspolitikken i

øvrigt overholdes.

Kalundborg Kommune forbeholder sig ret til at skaffe sig adgang til data og e-mail for medarbejdere, hvis dette

sker af drifts- eller sikkerhedshensyn. Kalundborg Kommune vil så vidt muligt forsøge at undgå at åbne

eventuel privat e-mail-korrespondance.

Der henvises til IT's interne sikkerhedsprocedurer P 27 Procedure for tilgang af medarbejder postkasser.

Det er acceptabelt at benytte e-mail til private beskeder i rimeligt og begrænset omfang.

Kalundborg Kommune tillader ikke, at medarbejdere anvender kryptering til at sende privat e-mail.

Kalundborg Kommune tillader ikke privat eller kommerciel salg og markedsføring eller politiske formål via

mailsystemet.

Det er ikke tilladt at sætte automatisk videresendelse af mail til en ikke "Kalundborg kommune" postkasse. Dvs.

der må ikke laves automatisk videresendelse af mails til eks. hotmail, yahoo, G-mail osv.

Brug af previewfunktion til åbning af e-mail

E-mail må gerne vises i preview funktion (vis indholdsrude).






Indstillinger i kalender

Hvis der skrives fortrolige/følsomme oplysninger i aftalerne, skal disse markeres som privat.

Hvis private aftaler benyttes til fortrolige/følsomme oplysninger skal der gives tilladelse til at øvrige

medarbejdere i afdelingen som skal kunne læse disse.

Mødeindkaldelser må ikke indeholde personfølsomme oplysninger 14 Anskaffelse, udvikling og vedligeholdelse af systemer

Side 45 af 60


SecureAware 4.8.6

14.1 Sikkerhedskrav til informationssystemer 14.1.1 Analyse og specifikation af informationssikkerhedskrav

Anskaffelsesprocedurer

Det skal sikres, at nyanskaffelser ikke giver anledning til konflikt med eksisterende krav i IT-

sikkerhedspolitikken.

Anskaffelser må ikke give anledning til forøget risiko for sikkerhedshændelser, med mindre at ledelsen

accepterer den øgede risiko.

Ethvert nyt system skal gennemgå detaljeret risikoanalyse såfremt IT-chefen beslutter dette på baggrund af den

udførte risikovurdering.

Anskaffelse og installation af nyt informationsbehandlingsudstyr og -systemer skal igennem en

godkendelsesprocedure.

Henvisning til IT's interne sikkerhedsprocedurer P 28 Godkendelsesprocedure for anskaffelse og installation af

nyt informationsbehandlingsudstyr.

Kontrol af intern databehandling

Systemejer skal sikre en kontrol af datas korrekthed i Kalundborg Kommunes systemer eller applikationer med

det formål at afsløre, om data kan eller er blevet modificeret, enten på grund af systemfejl eller bevidste

handlinger. 14.1.2 Beskyttelse af handelsapplikationer og -tjenester

Online transaktioner

Online transaktionssystemer skal beskyttes særligt, især hvis eksterne brugere tilbydes mulighed for direkte at

opdatere i Kalundborg Kommunes databaser. IT skal præcisere de nødvendige krav.

Krav til elektronisk handel

Information involveret i elektronisk handel over offentligt netværk skal beskyttes mod svindel, kontraktlige

uoverensstemmelser, uautoriseret adgang og ændringer.

Foranstaltninger ved elektronisk handel skal omfatte:

Krav til kontrol af autenticitet af både køber og sælger.

Procedurer for tildeling af autorisationer til at indgå bindende købs- og salgsaftaler.

Procedurer for verifikation af autorisationer.

Krav til fortrolighed, integritet og uafviselighed for både køber og sælger, f.eks. i forbindelse med

kontraktindgåelse.

Krav til troværdighed af sælgers prisliste.

Krav til fortrolighed for følsomme oplysninger.

Krav til fortrolighed og integritet for alle købsordrer, betalingsoplysninger, leveringsadresser og kvitteringer.

Kontrolprocedure for betalingsoplysninger.

Krav til en sikker og hensigtsmæssig betalingsprocedure.

Krav til beskyttelse af fortrolighed og integritet for ordreoplysninger.

Beskyttelse mod tab eller gentagelse af transaktioner.

Ansvarsplaceringen ved bedrageri skal være fastlagt.

Forsikringsforhold.

Side 46 af 60


SecureAware 4.8.6

••••

14.2 Sikkerhed i udviklings- og hjælpeprocesser 14.2.1 Sikker udviklingspolitik

Indkøb, udvikling og implementering af nye systemer i kommunen skal foregå kontrolleret for at undgå en

unødvendig forøgelse af risiko for informationssikkerheden. Når løsninger implementeres bør,

sikkerhedsovervejelser altid indgå som en integreret del af processen.

Databaseintegritet

Databasesikkerhed, integritetsstyring og datavalidering skal

anvendes for at reducere muligheden for kompromittering af

integriteten.

Integritet af andre data

Integriteten for ikke-kritiske data skal beskyttes med

input-kontrol (validering). Andre former for kontroller kan

specificeres for individuelle systemer og processer.

Sikring af udviklingsmiljøer

Udviklingsmiljøer skal specielt sikre integritet i

udviklingsprocessen, herunder sikring mod tab af data.

Sikkerhed i applikationsudvikling

Sikkerhed skal inkluderes som en integreret del af alle

udviklingsprojekter.

Integritet af meddelelser

IT skal sikre at der foretages risikovurderinger af, hvorvidt meddelelsers integritet skal beskyttes samt den mest

hensigtsmæssige metode til at implementere dette på.

Risikohåndtering

Forud for beslutning om håndtering af en risiko skal Kalundborg Kommune fastsætte kriterier for at acceptere,

om risici kan accepteres eller ikke.

I beslutningsprocessen omkring accept af en given risiko vil Kalundborg Kommune overveje den

forretningsmæssige værdi af etablering af relevante sikringsforanstaltninger.

Beslutninger om at acceptere en given risiko skal være dokumenterede.

Håndtering af risici

Risici der er vurderet som værende kritiske for forretningen, skal formelt håndteres.

Risici håndteres på en eller flere af følgende måder:

Ved reduktion af risikoen.

Ved at dele risikoen med 3. part

Ved at undgå risikoen

Ved at acceptere risikoen

Validering af inddata

Data, der sendes ind i systemerne, skal valideres for

korrekthed.

Side 47 af 60


SecureAware 4.8.6

Periodisk gennemgang af nøgledata skal bekræfte deres validitet

og integritet.

Der testes om data virker plausible før de sendes ind i

systemerne.

Der skal genereres log over de aktiviteter der sender data ind i

systemet.

Håndtering af inddata

Inddatamateriale der ikke er digitalt skal opbevares aflåst, når det ikke benyttes.

Adgang til inddatamateriale skal begrænses til de personer, der har behov for dette.

Kalundborg Kommune har fastlagt formelle retningslinier for forsvarlig opbevaring af inddatamateriale.

Inddatamateriale skal slettes eller tilintetgøres, når det ikke længere skal anvendes.

Kalundborg Kommune har fastlagt procedure for tilintetgørelse af inddatamateriale der sikrer, at inddata ikke, i

denne sammenhæng, kan misbruges eller komme uvedkommende til kendskab.

Validering af uddata

Systemejer har ansvar for, at uddata fra Kalundborg Kommunes systemer eller applikationer løbende valideres

med det formål at sikre, data så vidt muligt er korrekte.

Håndtering af uddata

Kalundborg Kommune skal sikre, at uvedkommende ikke får adgang til uddatamateriale, som indeholder

persondata.

Adgang til uddatamateriale, der indeholder persondata, skal begrænses til de personer, der har behov for dette.

Kalundborg Kommune skal fastsætte formelle retningslinier for forsvarlig opbevaring af uddatamateriale.

Uddatamateriale, der indeholder persondata, skal slettes eller tilintetgøres senest et år efter, at der ikke

længere er brug for materialet.

Kalundborg Kommune skal fastlægge en procedure for tilintetgørelse af uddatamateriale der sikrer, at uddata

ikke, i denne sammenhæng, kan misbruges eller komme uvedkommende til kendskab. 14.2.2 Procedurer for styring af systemændringer

Henvisning til IT's interne sikkerhedsprocedurer P 22 Hovedpunkter vedr. aplikationsopdateringer i Citrix - XEN

7. 14.2.3 Teknisk gennemgang af applikationer efter ændring af driftsplatforme

Gennemgang af systemer efter ændringer

Når driftsmiljøerne ændres skal kritiske forretningssystemer

gennemgås og testes for at sikre, at det ikke har utilsigtede

afledte virkninger på Kalundborg Kommunes daglige drift. 14.2.4 Begrænsning af ændringer af softwarepakker

Side 48 af 60


SecureAware 4.8.6

Ændringer i standardsystemer

Ændringer i eksternt leverede systemer skal begrænses til

nødvendige ændringer, og sådanne ændringer skal styres

omhyggeligt. 14.2.5 Principper for udvikling af sikre systemer

Sikkerhedskrav til

informationsbehandlingssystemer

Kalundborg Kommunes ønsker til nye såvel som bestående systemer

skal indeholde krav til sikkerheden med udgangspunkt i en

risikovurdering.

Sikkerhed i systemplanlægning

Ved planlægning af systemer skal sikkerhedsbetragtninger altid medtages i overvejelserne.

IT-sikkerhedskrav skal tages i betragtning ved design, aftestning, implementering og opgradering af nye IT-

systemer og ved systemændringer.

Specifikation af sikkerhedskrav

Såfremt en overordnet risikovurdering retfærdiggør aktiviteten, skal sikkerhedskrav dokumenteres i forbindelse

med ethvert IT-system nyanskaffelse eller IT-systemopgradering. Dette gælder for kundetilpassede og

standardsystemer. 14.2.6 Sikkert udviklingsmiljø

Kalundborg Kommune har ikke egen udvikling. 14.2.7 Outsourcet udvikling

Ekstern revision af outsourcingpartnere

Relevante outsourcingpartnere skal sørge for ekstern revision

mindst en gang om året.

Integration af systemer ved samarbejde med partnere

Ved integration af Kalundborg Kommunes systemer og processer med

eksterne samarbejdspartnere bliver sikkerhedsrisici altid

vurdereret og dokumenteret.

Sikkerhedsvurdering af eksterne parter

Der skal udføres en sikkerhedsvurdering af eksterne parter før

et eventuelt samarbejde.

Information til eksterne partnere

Relevante interessenter skal informeres om krav til efterlevelse af IT-sikkerhedspolitikkerne i Kalundborg

Kommune.

Outsourcing

Side 49 af 60


SecureAware 4.8.6

Ved outsourcing af IT-systemer skal IT-chefen inden indgåelse af kontrakt indhente information om

sikkerhedsniveau fra outsourcingpartner og godkende, at Kalundborg Kommunes sikkerhed samlet set ikke

forringes af outsourcing.

Ekstern revision af outsourcingpartnere

Relevante outsourcingpartnere skal sørge for ekstern revision

mindst en gang om året.

Krav til periodisk opfølgning

Der skal med planlagte intervaller, dog altid ved væsentlige ændringer, foretages en uafhængig vurdering af,

hvordan IT-sikkerhedspolitikken, -strategien og de vedtagne retningslinier i praksis gennemføres, om den

daglige praksis afspejler politikken, strategien og retningslinierne, og om de overholdes.

Interne bestemmelser fastsat i henhold til sikkerhedsbekendtgørelsens § 5, stk. 2 skal gennemgås mindst én

gang hvert år med henblik på at sikre, at de er fyldestgørende og afspejler de faktiske forhold i myndigheden.

Systemudvikling udført af ekstern leverandør

Kalundborg Kommune kræver adgang til at overvåge

udviklingsprocessen.

Kalundborg Kommune kræver afleveringstest.

Kalundborg Kommune kræver dokumenteret løbende

kvalitetssikring.

Kalundborg Kommune kræver deponering af kildekode.

Kalundborg Kommune kræver ophavsrettighed på kildekode.

Information til eksterne partnere

Relevante interessenter skal informeres om krav til efterlevelse af ikt-sikkerhedspolitikkerne i Kalundborg

Kommune.

Når man indgår aftaler med samarbejdspartnere og databehandlere, skal man være opmærksom på reglerne i

persondatalovens §§ 41 og 42 sikkerhed og eksternt samarbejde. 14.2.8 Systemgodkendelsestest

Godkendelse af nye eller ændrede systemer

IT skal etablere en godkendelsesprocedure for nye versioner og for opdateringer af eksisterende systemer samt

de afprøvninger, der skal foretages, inden de kan godkendes og sættes i drift.

Godkendelsesproceduren skal sikre, at standardværdier, eksempelvis standard administrator-logins og andre

"fabriksindstillinger", bliver ændret, før et system installeres på netværket.

Henvisning til IT's interne sikkerhedsprocedurer P 36 Godkendelsesprocedure for nye eller ændrede systemer.

Side 50 af 60


SecureAware 4.8.6

14.3 Testdata 14.3.1 Sikring af testdata

Sikring af testdata

Data til test skal udvælges, kontrolleres og beskyttes

omhyggeligt og i henhold til deres klassifikation.

Det skal formelt godkendes inden data fra driftsmiljøet kopieres

til et testmiljø.

Data fra driftsmiljøet, der anvendes i testmiljøer, skal slettes

omgående efter afsluttet test.

Kopiering og brug af data fra driftsmiljøet til test skal logges

for at sikre kontrolsporet.

Håndtering af kildekode til systemer i Kalundborg Kommune

Kalundborg Kommune ligger ikke inde med kildekode til systemer. 15 Leverandørforhold 15.1 Informationssikkerhed i leverandørforhold 15.1.1 Informationssikkerhedspolitik for leverandørforhold

Ved kontraktindgåelse skal det sikres at leverandør overholder Kalundborg Kommunes sikkerhedsregler og

godkendt relevant revisionspåtegning. 15.1.2 Håndtering af sikkerhed i leverandøraftaler

Det skal sikres at Kalundborg Kommunes sikkerhedsregler samt sikkerhedsbekendtgørelse overholdes. Dette

sikres gennem kontrakt, databehandleraftale, samt indhentning af revisionspåtegnelser. 15.1.3 Forsyningskæde for informations- og kommunikationsteknologi

Netværksleverandøren skal kunne levere:

opkoblingsforbindelser der er sikret i overensstemmelse med de indgåede samarbejdsaftaler. 15.2 Styring af leverandørydelser 15.2.1 Overvågning og gennemgang af leverandørydelser

Det er den enkelte systemejers ansvar at sikre at systemlevenrandører løbende leverer de ydelser som

kontrakten omhandler. 15.2.2 Styring af ændringer af leverandørydelser

Side 51 af 60


SecureAware 4.8.6

Styring af ændringer hos serviceleverandøren.

IT skal sikre, at ændringsstyring af serviceleverandørens ydelser følger samme retningslinier som Kalundborg

Kommunes egen.

Krav til serviceleverancen

Det skal sikres, at der er indgået en aftale omkring serviceleverancen, og at de aftalte sikrings- og

kontrolforanstaltninger, serviceydelser og servicemål bliver etableret, leveret og opretholdt. jf. 6.2 "Eksterne

samarbejdspartnere".

Det fremgår af persondatalovens § 42, stk. 2, at gennemførelse af en behandling ved en databehandler skal

ske i henhold til en skriftlig aftale parterne imellem. Af aftalen skal det fremgå, at databehandleren alene

handler efter instruks fra den dataansvarlige, og at reglerne i lovens § 41, stk. 3-5, ligeledes gælder for

behandlingen ved databehandleren. Hvis databehandleren er etableret i en anden EU-medlemsstat, skal det

fremgå af aftalen, at de bestemmelser om sikkerhedsforanstaltninger, som er fastsat i lovgivningen i den

medlemsstat, hvor databehandleren er etableret, gælder for denne.

Det fremgår af persondatalovens § 41, at personer, virksomheder mv., der udfører arbejde under den

dataansvarlige eller databehandleren, og som får adgang til oplysninger, kun må behandle disse efter instruks

fra den dataansvarlige, medmindre andet følger af lov eller bestemmelser fastsat i henhold til lov. 16 Styring af informationssikkerhedsbrud 16.1 Styring af informationssikkerhedsbrud og forbedringer 16.1.1 Ansvar og procedurer

Ansvar og forretningsgange for sikkerhedshændelser

IT er ansvarlig for at fastlægge forretningsgange, der sikrer en hurtig, effektiv og metodisk håndtering af

sikkerhedsbrud.

Henvisning til medarbejderportalen: Værktøjskassen/IT sikkerhedsregler/Procedurer for rapportering af


Henvisning til IT's interne sikkerprocedurer P 23 Procedurer for IT's rapportering af sikkerhedshændelser.

Proces for reaktion på hændelser

IT-chefen:

- har ansvar for at definere og koordinere en struktureret ledelsesproces, der sikrer en passende reaktion på


- skal definere telefonnumre, e-mail-adresser og elektroniske formularer til indrapportering af


- skal etablere og vedligeholde en procedure, der sikrer et passende svar til personer, som rapporterer en mulig

sikkerhedshændelse.

Tilgængelighedshændelser

Hændelser, der har indflydelse på tilgængelighed, skal afklares

i henhold til gældende driftsaftaler (SLA). Driftshændelser, der

ikke kan afklares indenfor aftalt tid, skal udløse procedurer for

hændelseshåndtering. De ramte brugere og systemejere skal

Side 52 af 60


SecureAware 4.8.6

informeres.

Information om sikkerhedshændelser

Kalundborg Kommune skal på faktuel vis informere berørte parter internt og eksternt om eventuelle

sikkerhedshændelser. IT-chefen skal godkende alle eksterne meddelelser.

Overvågning af tilgængelighed

IT skal løbende overvåge alle forretningskritiske IT-systemer og regelmæssigt dokumentere systemernes

tilgængelighed.

Fortrolighedserklæring for eksterne parter

Det skal sikres, at eksterne parter, der kan få adgang til Kalundborg Kommunes data, er omfattet af en

fortrolighedserklæring.

Krav til samarbejdsaftaler

Ethvert formaliseret eksternt samarbejde skal baseres på en

samarbejdsaftale, som sikrer, at Kalundborg Kommunes

sikkerhedsmålsætning ikke kompromitteres.

Når en dataansvarlig overlader en behandling af

personoplysninger til en ekstern databehandler, skal den

dataansvarlige i henhold til persondatalovens § 42 sikre sig, at

databehandleren kan træffe de i lovens § 41, stk. 3-5, nævnte

tekniske og organisatoriske sikkerhedsforanstaltninger, og påse, at

dette sker.

Gennemførelse af en behandling ved en databehandler skal efter

reglerne i persondatalovens § 42, stk. 2, ske i henhold til en

skriftlig aftale parterne imellem. Af aftalen skal det fremgå, at

databehandleren alene handler efter instruks fra den

dataansvarlige, og at reglerne i § 41, stk. 3-5, ligeledes gælder

for behandlingen ved databehandleren. Hvis databehandleren er

etableret i en anden EU-medlemsstat, skal det fremgå af aftalen, at

de bestemmelser om sikkerhedsforanstaltninger, som er fastsat i

lovgivningen i den medlemsstat, hvor databehandleren er etableret,

gælder for denne.

Hvis en samarbejdspartner behandler personoplysninger, skal der

foreligge en skriftlig samarbejdsaftale, af hvilken det fremgår, at

samarbejdspartneren er underlagt samme sikkerhedskrav som

Kalundborg Kommune.

Det fremgår af persondatalovens § 41, at personer, virksomheder

mv., der udfører arbejde under den dataansvarlige eller

Side 53 af 60


SecureAware 4.8.6

databehandleren, og som får adgang til oplysninger, kun må behandle

disse efter instruks fra den dataansvarlige, medmindre andet følger

af lov eller bestemmelser fastsat i henhold til lov. 16.1.2 Rapportering af informationssikkerhedshændelser

Rapportering af sikkerhedshændelser

IT eller eventuelle outsourcingpartnere skal sikre at der rapporteres om hændelser af betydning for

sikkerheden. Mere konkret skal fortrolighed, dataintegritet og tilgængelighed af systemer rapporteres.

Informationen skal målrettes til ledelsen og de systemansvarlige.

For væsentlige applikationer sikres information om hændelser m.v. gennem afholdelse af periodiske

driftstatusmøder.

Rapportering af formodede sikkerhedshændelser

Ved konstatering af brud på eller formodede brud på IT-sikringsforanstaltninger skal repportering straks ske til

IT.


Alle serversystemer med kritiske informationer skal løbende overvåges for tilstrækkelig kapacitet til at sikre

pålidelig drift og tilgængelighed. 16.1.3 Rapportering af informationssikkerhedssvagheder

Rapportering af programfejl

Brugere der observerer programfejl, som de ikke har oplevet før, skal rapportere dette til den systemansvarlige

eller IT.

Rapportering af formodede sikkerhedshændelser

Ved konstatering af brud eller formodede brud på IT-sikringsforanstaltninger skal rapportering straks ske til IT. 16.1.4 Vurdering af og beslutning om informationssikkerhedshændelser

Vurdering af tidligere hændelser

Mindst en gang om året skal IT gennemgå den forgangne periodes hændelser og på denne baggrund anbefale,

hvorvidt IT-sikkerhedssystemet kan forbedres eller præciseres. Fx ved forslag om opdaterede regler eller

procedurer eller opdateret risikovurdering. 16.1.5 Håndtering af informationssikkerhedsbrud

Se punkt 16.1.1. 16.1.6 Erfaring fra informationssikkerhedsbrud

At lære af sikkerhedsnedbrud

IT skal etablere en forretningsgang, der kan kvantificere og overvåge typer, omfanget og evt. omkostningerne

ved håndteringen af sikkerhedsbrud.

Henvisnig til IT beredskabsplaner på F drevet: Alle/Beredskabsplan/Digitalisering IT.

Side 54 af 60


SecureAware 4.8.6

Opfølgning på rapporterede sikkerhedshændelser

IT-chefen er ansvarlig for at opsamle statistik for rapporterede sikkerhedshændelser.

Kontrol og opfølgning på sikkerhedsbrud

Brud på sikkerheden, uautoriseret adgang og forsøg på

uautoriseret adgang til systemer, informationer og data skal

registreres. 16.1.7 Indsamling af beviser

Kontakt med relevante myndigheder

Ved brud på sikkerheden skal der være etableret en procedure for håndtering af bevismateriale og eventuelt

kontakt med relevante myndigheder.

Henvisning til IT's interne sikkerhedsprocedurer P 38 Procedure for håndtering af bevismateriale og eventuelt

kontakt med relevante myndigheder.

Indsamiling af beviser

Hvis et sikkerhedsbrud afstedkommer et retsligt efterspil uanset

om sikkerhedsbruddet er foretaget af en person eller en virksomhed

så skal der indsamles, opbevares og præsenteres et fyldestgørende

bevismateriale. 17 Informationssikkerhedsaspekter ved nød-, beredskabs- og reetableringsstyring 17.1 Informationssikkerhedskontinuitet 17.1.1 Planlægning af informationssikkerhedskontinuitet

Risikostyring og katastrofeplanlægning er nødvendige for at sikre kommunen mod uforudsete hændelser.

Nødplanerne skal være med til at opretholde driften, således at skaderne for kommunen minimeres.

Retablering af forretningskritiske systemer på ny

lokation

For alle forretningskritiske systemer skal der forefindes en

plan for retablering på ny lokation.

Nødprocedurer for kritiske processer

Der skal for alle forretningskritiske processer eksistere en opdateret nødprocedure, der kan sættes i drift.

Henvisning til F drevet: Alle/beredsskabsplan/digitalisering og IT/IT beredskabsplaner.

Side 55 af 60


SecureAware 4.8.6

Beredskabsstyringsproces

I henhold til procedure skal IT udarbejde og vedligeholde en tværorganisatorisk beredskabsstyringsproces, som

skal behandle de krav til informationssikkerhed, der er nødvendige for Kalundborg Kommunes fortsatte drift.

Henvisning til F drevet: Alle/Beredsskabsplan/Digitaliserin og IT/IT beredskabsplaner.

Forsikring mod hændelser

Ledelsen skal vurdere, om forsikring kan medvirke til minimering

af risiko for tab. Især på områder, hvor sikringsforanstaltninger

er vurderet som uhensigtsmæssige eller utilstrækkelige, skal dette

overvejes.

Identifikation af kritiske processer

Alle forretningskritiske funktioner og disses relaterede

processer, systemer og ejere skal være identificerede og

dokumenterede.

Ramme for beredskabsplaner

Ledelsen skal fastlægge en ensartet ramme for Kalundborg

Kommunes beredskabsplaner for at sikre, at alle planerne er

sammenhængende og tilgodeser alle sikkerhedskrav, samt at de

fastlægger prioriteringen af afprøvning og vedligeholdelse. 17.1.2 Implementering af informationssikkerhedskontinuitet

Aktivering af beredskabsplanen

Det skal være klart defineret, hvem der har ansvaret for

aktivering af beredskabsplaner.

Medarbejdere, der udgør en del af beredskabsplanen, skal være

informeret om dette ansvar.

Alle medarbejdere skal være informeret om beredskabsplanernes

eksistens.

Beredskabsplan

Beredskabsplaner skal udarbejdes, afprøves og vedligeholdes for forretningskritiske systemer og processer. IT-

chefen er ansvarlig for at koordinere disse aktiviteter og for at lave en statusrapport til topledelsen hvert år.

Henvisning til F drevet: Alle/Beredsskabsplan/Digitalisering og IT/IT beredskabsplaner.

Nødplaner for sikkerhedskopiering

Alle forretningskritiske systemer skal have en nødplan for

sikkerhedskopiering, således at risikoen for tab af data

minimeres.

Side 56 af 60


SecureAware 4.8.6

Iværksættelse af nødplaner

Det skal være klart defineret hvem der har ansvaret for at

aktivere nødplaner.

Opdatering af beredskabsplaner

Mindst 1 gang om året skal beredskabsplaner gennemgås med

henblik på opdatering.

De forretningskritiske systemer er beskrevet i kommunens beredskabsplan for IT-området.

Konsekvensvurdering

Konsekvenser af hændelser i mod IT-systemerne skal løbende vurderes.

Risikoanalyse

Der skal udføres detaljeret risikoanalyse for de områder, hvor den overordnede risikovurdering begrunder det.

Overordnet risikovurdering

Der skal være udført en overordnet risikovurdering, der indeholder konsekvensvurdering og

sårbarhedsvurdering.

Risikovurderingen skal opdateres mindst en gang om året.

Risikovurderingen skal omfatte alle væsentlige IT-systemer. 17.1.3 Verificer, gennemgå og evaluer informationssikkerhedskontinuiteten

Uddannelse i beredskabsplaner

Ledelsen har ansvaret for, at der foregår tilstrækkelig uddannelse af medarbejdere i de aftalte

beredskabsprocedurer, inklusive krisehåndtering.

Afprøvning og vedligeholdelse af

beredskabsplaner

Beredskabsplaner skal løbende afprøves og opdateres for at

sikre, at de er tidssvarende og effektive.

Afprøvning af beredskabsplaner kan indeholde:

En skrivebordstest af de forskellige scenarier.

Simuleringer (med henblik på at træne deltagerne i håndtering af deres roller efter episoden).

Teknisk retablering (sikring af at tekniske systemer kan retableres effektivt)

Retablering i andre lokaler end de oprindelige (gennemføre parallel drift i andre lokaler)

Test af leverandørens faciliteter og ydelser (sikre at eksterne ydelser og produkter lever op til betingelserne i

kontrakten).

Test af total afprøvning (afprøve at organisationen, personalet, udstyret, faciliteterne og nødprocedurerne kan

håndtere katastrofer) 18 Overensstemmelse 18.1 Overensstemmelse med lov- og kontraktkrav 18.1.1 Identifikation af gældende lovgivning og kontraktkrav

Side 57 af 60


SecureAware 4.8.6

Mange aspekter af kommunens virke kan være omfattet af lovgivning eller påvirket af kontrakter eller eksterne

parters rettigheder.

Krav til identifikation af relevante eksterne krav

Alle relevante eksterne sikkerhedskrav og Kalundborg Kommunes håndtering heraf skal klarlægges,

dokumenteres og løbende vedligeholdes for hvert enkelt af Kalundborg Kommunes informationssystemer og for

hele Kalundborg Kommune.

Overholdelse af lovgivningen

Alle IT-systemer skal overholde relevante lovmæssige krav.

Identifikation af relevant lovgivning

Ledelsen er ansvarlig for, at alle eksterne sikkerhedskrav og Kalundborg Kommunes håndtering heraf,

klarlægges, dokumenteres og løbende vedligeholdes.

Overholdelse af kommunestyrelsesloven

Ledelsen skal sikre, at organisationen efterlever kommunestyrelsesloven på alle områder.

Overholdelse offentlighedsloven

Ledelsen skal sikre, at organisationen efterlever offentlighedsloven på alle områder.

Ledelse, Jura og Kommunikation orienterer kommunens enheder om regler i forbindelse med

offentlighedsloven.

Overholdelse af forvaltningsloven

Ledelsen skal sikre, at organisationen efterlever forvaltningsloven på alle områder.

Ledelse, Jura og Kommunikation orienterer kommunens enheder om regler i forbindelse med forvaltningsloven.

Overholdelse af lov om offentlige betalinger m.v.

Ledelsen skal sikre, at organisationen efterlever lov om offentlige betalinger m.v. på alle områder. 18.1.2 Immaterielle rettigheder

Retningslinier for ophavsrettigheder

Ledelsen har det overordnede ansvar for, at Kalundborg Kommune fastholder en passende opmærksomhed på

ikke at krænke tredjeparts ophavsrettigheder.

IT skal vedligeholde dokumentation for ejendomsretten af licenser, originalmateriale og manualer.

IT skal løbende kontrollere, at software-licensaftaler overholdes, f.eks. at eventuelle begrænsninger i antal

brugere, servere eller kopier overholdes.

Brugere må ikke kopiere, konvertere eller udtrække information fra billed- og lydfiler eller tilsvarende ressourcer,

medmindre dette specifikt tillades fra rettighedshaveren.

Brugere må ikke, helt eller delvist, kopiere bøger, artikler, rapporter eller andre dokumenter medmindre dette

specifikt tillades fra rettighedshaveren.

Identifikation af relevante patenter

Ledelsen er ansvarlig for, at patenter der influerer Kalundborg

Kommunes drift, identificeres.

Administration af softwarelicenser

Side 58 af 60


SecureAware 4.8.6

Registrering af software licenser sker gennem IT. Det er IT-chefens overordnede ansvar, at der er et

tilstrækkeligt antal licenser til rådighed.

Medarbejdere skal koordinere brug af software-licenser med IT.

Medarbejdere må ikke forpligte Kalundborg Kommune ved at acceptere licensvilkår i software, som ikke er

accepteret af IT. 18.1.3 Beskyttelse af registreringer

Lovbestemte data

Kalundborg Kommune skal beskytte lovbestemte data mod ændring,

sletning, samt uautoriseret adgang.

Sikring af Kalundborg Kommunes lovbestemte

data

Kalundborg Kommunes lovbestemte data skal opbevares og behandles

således at datatab, uautoriseret modifikation og forfalskning

undgås.

Opbevaring og behandling af data

Forretningskritiske data skal altid opbevares og behandles

således, at dataintegriteten ikke kan drages i tvivl. 18.1.4 Regulering af kryptografi

Regulering på kryptografiområdet

Ansvaret for overholdelse af regulativer og brug af kryptografiske produkter påhviler IT. 18.2 Gennemgang af informationssikkerhed 18.2.1 Uafhængig gennemgang af informationssikkerhed

Gennemgang af IT-sikkerhedspolitik

IT-revisionen skal kontrollere at IT-sikkerhedspolitikken er indarbejdet i organisationen og overholdes.

Kontrollen skal foretages mindst en gang årligt.

Opfølgning på implementering af IT-sikkerhedspolitikken

Mindst en gang årligt skal der udføres systematisk opfølgning på overholdelse af IT-sikkerhedspolitikken i hele

organisationen, og resultatet rapporteres til Økonomiudvalget.

Hver enkelt chef skal løbende sikre IT-sikkerhedspolitikken bliver overholdt inden for eget ansvarsområde.

Dispensation for krav i IT-sikkerhedspolitikken

Eksisterende systemer, der ikke overholder kravene i IT-sikkerhedspolitikken, skal opdateres, omkonfigureres

eller udfases.

Dispensation for efterlevelsen af IT-sikkerhedspolitikkerne er kun muligt, hvis dette dokumenteres grundigt og

er forsvarligt for de respektive system- og procesejere. Dispensationen tiltrædes af IT-sikkerhedsudvalget, og

revideres mindst en gang om året. Den relevante system- og procesejer er ansvarlig for enhver

sikkerhedshændelse, der sker som en direkte konsekvens af dispensationen. 18.2.2 Undersøgelse af teknisk overensstemmelse

Side 59 af 60


SecureAware 4.8.6

Sikkerhedstest af eksterne IT-systemer

Mindst fire gange om året skal der udføres uddybende sikkerhedstest af sikkerhedsniveauet i eksternt

netværksudstyr og servere.

Sikkerhedstest af interne IT-systemer

Mindst en gang om året skal der udføres uddybende sikkerhedstest af sikkerhedsniveauet i internt

netværksudstyr og servere.

Der er etableret en omfattende platform for overvågning af kommunens systemer. Dette sikrer, at der gives

alarmer ved uregelmæssigheder.

Deciderede sikkerhedstests planlægges og afvikles ad hoc.

Side 60 af 60


SecureAware 4.8.6

regler (iso27002-2013) - kalundborg · regler (iso27002-2013) secureaware 4.8.6. ledelsens rolle...

Documents