Upload
others
View
3
Download
0
Embed Size (px)
Citation preview
Kalundborg Kommune
Regler (ISO27002-2013)2.4
29-03-2016
Indholdsfortegnelse
5 Informationssikkerhedspolitikker 1
5.1 Retningslinjer for styring af informationssikkerhed 15.1.1 Politikker for informationssikkerhed 1
5.1.2 Gennemgang af politikker for informationssikkerhed 1
6 Organisering af informationssikkerhed 2
6.1 Intern organisering 26.1.1 Roller og ansvarsområder for informationssikkerhed 2
6.1.2 Funktionsadskillelse 3
6.1.3 Kontakt med myndigheder og særlige interessegrupper 3
6.2 Mobilt udstyr, fjernarbejdspladser og fastnettelefoner 36.2.1 Politik for mobilt udstyr 3
6.2.2 Fjernarbejdspladser 4
7 Personalesikkerhed 5
7.1 Før ansættelsen 57.1.1 Screening 5
7.1.2 Ansættelsesvilkår og -betingelser 6
7.2 Under ansættelsen 67.2.1 Ledelsesansvar 6
7.2.2 Bevidsthed om, uddannelse og træning i informationssikkerhed 6
7.2.3 Sanktioner 7
7.3 Ansættelsesforholdets ophør eller ændring 77.3.1 Ansættelsesforholdets ophør eller ændring 7
8 Styring af aktiver 7
8.1 Ansvar for aktiver 78.1.1 Fortegnelse over aktiver 7
8.1.2 Ejerskab af aktiver 7
8.1.3 Accepteret brug af aktiver 8
8.2 Klassifikation af information 98.2.1 Klassifikation af information 9
8.2.2 Mærkning af information 9
8.2.3 Håndtering af aktiver 10
8.3 Mediehåndtering 108.3.1 Styring af bærbare medier 11
8.3.2 Bortskaffelse af medier 11
8.3.3 Fysiske medier under transport 12
9 Adgangsstyring 12
Regler (ISO27002-2013)
SecureAware 4.8.6
9.1 Forretningsmæssige krav til adgangsstyring 129.1.1 Politik for adgangsstyring 12
9.1.2 Adgang til netværk og netværkstjenester 13
9.2 Administration af brugeradgang 149.2.1 Brugerregistrering og -afmelding 14
9.2.2 Tildeling af brugeradgang 14
9.2.3 Styring af priviligerede adgangsrettigheder 15
9.2.4 Styring af hemmelig autentifikationsinformation om brugere 17
9.2.5 Gennemgang af brugeradgangsrettigheder 18
9.2.6 Inddragelse eller justering af adgangsrettigheder 19
9.3 Brugernes ansvar 209.3.1 Brug af hemmelig autentifikationsinformation 20
9.4 Styring af system- og applikationsadgang 219.4.1 Begrænset adgang til informationer 21
9.4.2 Procedurer for sikker log-on 21
9.4.3 System for administration af adgangskoder 21
9.4.4 Brug af priviligerede systemprogrammer 21
9.4.5 Styring af adgang til kildekoder til programmer 22
10 Kryptografi 22
10.1 Kryptografiske kontroller 2210.1.1 Politik for anvendelse af kryptografi 22
10.1.2 Administration af krypterings nøgler 22
11 Fysisk sikring og miljøsikring 22
11.1 Sikre områder 2211.1.1 Fysisk perimetersikring 22
11.1.2 Fysisk adgangskontrol 23
11.1.3 Beskyttelse mod eksterne og miljømæssige trusler 24
11.1.4 Arbejde i sikre områder 24
11.1.5 Områder til af- og pålæsning 24
11.2 Udstyr 2411.2.1 Placering og beskyttelse af udstyr 24
11.2.2 Understøttende forsyninger (forsyningssikkerhed) 25
11.2.3 Sikring af kabler 25
11.2.4 Vedligeholdelse af udstyr 26
11.2.5 Fjernelse af aktiver 26
11.2.6 Sikring af udstyr og aktiver uden for organisationen 26
11.2.7 Sikker bortskaffelse eller genbrug af udstyr 26
11.2.8 Brugerudstyr uden opsyn 27
11.2.9 Politik for ryddeligt skrivebord og blank skærm 27
Regler (ISO27002-2013)
SecureAware 4.8.6
12 Driftssikkerhed 27
12.1 Driftsprocedurer og ansvarsområder 2812.1.1 Dokumenterede driftsprocedurer 28
12.1.2 Ændringsstyring 28
12.1.3 Kapacitetsstyring 30
12.1.4 Adskillelse af udviklings test- og driftsmiljøer 30
12.2 Beskyttelse mod malware 3012.2.1 Kontroller mod malware 30
12.3 Backup 3112.3.1 Backup af information 31
12.4 Logning og overvågning 3212.4.1 Hændelseslogning 32
12.4.2 Beskyttelse af logoplysninger 34
12.4.3 Administrator- og operatørlog 34
12.4.4 Tidssynkronisering 35
12.5 Styring af driftssoftware 3512.5.1 Softwareinstallation på driftsystemer 35
12.6 Sårbarhedsstyring 3512.6.1 Styring af tekniske sårbarheder 35
12.6.2 Begrænsninger på softwareinstallation 36
12.7 Overvejelser i forbindelse med audit af informationssystemer 3712.7.1 Kontroller i forbindelse med audit af informationssystemer 37
13 Kommunikationssikkerhed 38
13.1 Styring af netværkssikkerhed 3813.1.1 Netværksstyring 38
13.1.2 Sikring af netværkstjenester 41
13.2 Informationsoverførsel 4213.2.1 Politikker og procedurer for informationsoverførsel 42
13.2.2 Elektroniske meddelelser 43
14 Anskaffelse, udvikling og vedligeholdelse af systemer 45
14.1 Sikkerhedskrav til informationssystemer 4614.1.1 Analyse og specifikation af informationssikkerhedskrav 46
14.1.2 Beskyttelse af handelsapplikationer og -tjenester 46
14.2 Sikkerhed i udviklings- og hjælpeprocesser 4714.2.1 Sikker udviklingspolitik 47
14.2.2 Procedurer for styring af systemændringer 48
14.2.3 Teknisk gennemgang af applikationer efter ændring af
driftsplatforme
48
14.2.4 Begrænsning af ændringer af softwarepakker 48
Regler (ISO27002-2013)
SecureAware 4.8.6
14.2.5 Principper for udvikling af sikre systemer 49
14.2.6 Sikkert udviklingsmiljø 49
14.2.7 Outsourcet udvikling 49
14.2.8 Systemgodkendelsestest 50
14.3 Testdata 5114.3.1 Sikring af testdata 51
15 Leverandørforhold 51
15.1 Informationssikkerhed i leverandørforhold 5115.1.1 Informationssikkerhedspolitik for leverandørforhold 51
15.1.2 Håndtering af sikkerhed i leverandøraftaler 51
15.1.3 Forsyningskæde for informations- og kommunikationsteknologi 51
15.2 Styring af leverandørydelser 5115.2.1 Overvågning og gennemgang af leverandørydelser 51
15.2.2 Styring af ændringer af leverandørydelser 51
16 Styring af informationssikkerhedsbrud 52
16.1 Styring af informationssikkerhedsbrud og forbedringer 5216.1.1 Ansvar og procedurer 52
16.1.2 Rapportering af informationssikkerhedshændelser 54
16.1.3 Rapportering af informationssikkerhedssvagheder 54
16.1.4 Vurdering af og beslutning om
informationssikkerhedshændelser
54
16.1.5 Håndtering af informationssikkerhedsbrud 54
16.1.6 Erfaring fra informationssikkerhedsbrud 54
16.1.7 Indsamling af beviser 55
17 Informationssikkerhedsaspekter ved nød-, beredskabs- og
reetableringsstyring
55
17.1 Informationssikkerhedskontinuitet 5517.1.1 Planlægning af informationssikkerhedskontinuitet 55
17.1.2 Implementering af informationssikkerhedskontinuitet 56
17.1.3 Verificer, gennemgå og evaluer
informationssikkerhedskontinuiteten
57
18 Overensstemmelse 57
18.1 Overensstemmelse med lov- og kontraktkrav 5718.1.1 Identifikation af gældende lovgivning og kontraktkrav 57
18.1.2 Immaterielle rettigheder 58
18.1.3 Beskyttelse af registreringer 59
18.1.4 Regulering af kryptografi 59
18.2 Gennemgang af informationssikkerhed 59
Regler (ISO27002-2013)
SecureAware 4.8.6
18.2.1 Uafhængig gennemgang af informationssikkerhed 59
18.2.2 Undersøgelse af teknisk overensstemmelse 59
Regler (ISO27002-2013)
SecureAware 4.8.6
5 Informationssikkerhedspolitikker 5.1 Retningslinjer for styring af informationssikkerhed 5.1.1 Politikker for informationssikkerhed
IT-sikkerhedshåndbogens regler
IT-sikkerhedshåndbogens regler fremgår af kapitlerne nummereret 5 til 15. Denne nummerering er valgt, for at
krav og retningslinier i IT-sikkerhedshåndbogen struktur og nummereringsmæssigt skal korrespondere med
strukturen i ISO 27002 (og DS 484:2005)
Offentliggørelse af IT-sikkerhedspolitik
Relevante dele af sikkerhedsreglerne skal kommunikeres til alle relevante interessenter, herunder alle
medarbejdere.
Offentliggørelse sker via Kalundborg Kommunes interne informationsportaler m.m.
Det er vigtigt, at ledelsen med udgangspunkt i kommunens forretningsmæssige behov og en overordnet
risikovurdering samt eksterne og interne krav udstikker en klar målsætning og viser sin støtte og sit
engagement gennem udstedelsen af og opfølgning på en sikkerhedspolitik og en overordnet handlingsplan med
en prioritering af ressourceindsatsen. 5.1.2 Gennemgang af politikker for informationssikkerhed
Ansvar for vedligeholdelse af IT-sikkerhedspolitikken
Overordnet IT-sikkerhedspolitik samt regler skal vedligeholdes af IT-chefen.
Godkendelse af IT-sikkerhedspolitik
Den overordnede IT-sikkerhedspolitik skal godkendes af Kommunalbestyrelsen ved ændringer.
Reglerne i sikkerhedshåndbogen skal godkendes af direktionen ved ændringer.
Ved væsentlig ændringer skal IT-sikkerhedspolitikken godkendes i Kommunalbestyrelsen.
IT-sikkerhedspolitikken skal som minimum årligt godkendes i Direktionen tilllige med reglerne i
sikkerhedshåndbogen.
Revision af IT-sikkerhedspolitik
Der skal ske revision af IT-sikkerhedspolitikken mindst en gang om året.
IT-sikkerhedspolitikken skal gennemgås, når der sker vigtige ændringer i IT-miljøet.
Revision af informationssikkerhedsstrategien
Der skal ske revision af informationssikkerhedsstrategien mindst
hvert tredje år samt ved væsentlige ændringer.
Ved informationssikkerhedsstrategi forstås den overordnede IT-sikkerhedspolitik og den overordnede
handlingsplan, der skal sikre implementering og vedligeholdelse af politikken.
IT-sikkerhedshåndbogens anvendelsesområde
IT-sikkerhedshåndbogen gælder for centralt IT-udstyr, decentrale servermiljøer og alle administrative IT-
arbejdspladser i Kalundborg Kommune. IT-arbejdspladser tilknyttet Citrix-miljøet samt stationære og bærbare
pc'er og andre mobile enheder.
Side 1 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
IT-sikkerhedshåndbogen dækker oplysninger, der behandles digitalt og på papir.
IT-sikkerhedshåndbogen gælder ikke for skoleelevers private computere, som tilsluttes internet på skolernes
åbne netværk o.l.
Sikkerhedshåndbogens Omfang
Alle data, der tilhører Kalundborg Kommune, herudover også data, som ikke tilhører Kalundborg Kommune,
men som Kalundborg Kommune kan gøres ansvarlig for er omfattet. Dette inkluderer f.eks. alle data om
borgere, personale, data om finansielle forhold, alle data, som bidrager til administration af Kalundborg
Kommune samt data, som er overladt til Kalundborg Kommune af andre. Disse data kan være faktuelle
oplysninger, optegnelser, registreringer, rapporter, forudsætninger for planlægning eller ethvert andet
datagrundlag, som kun er til intern brug.
Alle data, ligegyldigt, hvilken form de opbevares og formidles på, herunder også data i papirform.
Politikken og sikkerhedshåndbogen er gældende for:
Alle ansatte uden undtagelse - både fastansatte og midlertidigt ansatte.
Politikere.
Eksterne konsulenter, fritvalgsleverandører og serviceleverandører, som arbejder i eller for Kalundborg
Kommune.
Alle medarbejdere der er ansat under aftaleenheder, herunder selvejende institutioner. 6 Organisering af informationssikkerhed 6.1 Intern organisering 6.1.1 Roller og ansvarsområder for informationssikkerhed
Krav til ejerskab
Alle informationsaktiver ejes af Kalundborg Kommune.
For alle IT-systemer er der udpeget en organisationsenhed som systemejer.
Sikkerhedsansvar for IT-funktioner
Alle kritiske IT-funktioner der kræver specialviden, færdighed eller erfaring skal identificeres, og der er udpeget
en driftsansvarlig ejer.
Sikkerhedsorganisation
Kalundborg Kommune skal have et forum for informationssikkerhed, der har ansvar for at sikre at strategien for
informationssikkerhed er synlig, koordineret og i overensstemmelse med Kalundborg Kommunes mål.
Forum for informationssikkerhed består af direktionen og IT-chefen.
Forum for informationssikkerhed mødes minimum én gang om året. IT udarbejder samtidig rapport over
sikkerhedshændelser for perioden til godkendelse i Økonomiudvalget.
Koordination af informationssikkerheden
Ansvaret for koordination af sikkerheden på tværs i
organisationen varetages af Kalundborg Kommunes forum for
informationssikkerhed.
Placering af ansvar er vitalt for at sikre opmærksomhed på kommunens informationsaktiver.
Organisationsstrukturen i kommunen og samarbejde med eksterne partnere er yderst vigtigt for at opretholde et
tidssvarende sikkerhedsniveau. Kontrakter med partnere og andre aftaler er ligeledes et område, der har
indflydelse på informationssikkerheden.
Side 2 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Ledelsens rolle
Ledelsen skal støtte Kalundborg Kommunes informationssikkerhed ved at udlægge klare retningslinier, udvise
synligt engagement samt sikre en præcis placering af ansvar. 6.1.2 Funktionsadskillelse
Sikring af forretningskritiske systemer
Forretningskritiske systemer skal beskyttes ved hjælp af
funktionsadskillelse, således at risikoen for misbrug af
privilegier minimeres.
Funktionsadskillelse: udvikling, test og
drift.
Der skal være funktionsadskillelse henholdsvis i forhold til
udviklings-, test- og driftsmiljøet. 6.1.3 Kontakt med myndigheder og særlige interessegrupper
Information om nye trusler, virus og sårbarheder
IT er ansvarlig for eksternt samarbejde med de fornødne informationskanaler, herunder samarbejde omkring IT-
sikkerhed med relevante sikkerhedsorganisationer.
IT har etableret en proces for identifikation af nye sårbarheder. Der er udpeget ansvarlige personer for dette.
IT skal informere relevante personer i ledelsen om nye trusler, som potentielt kan berøre de pågældende
forretningsenheder. 6.2 Mobilt udstyr, fjernarbejdspladser og fastnettelefoner 6.2.1 Politik for mobilt udstyr
Mobile enheders tilslutning til andre netværk
Det er tilladt at forbinde mobilt udstyr til andre netværk
såfremt der benyttes firewall på enheden.
Sikkerhedskontroller overfor fjernopkoblet
udstyr.
Mobile enheder skal sikres med antivirus, firewall og
adgangskontrolsystemer. Disse foranstaltninger skal opdateres
løbende.
Fortrolige data på mobile enheder
Der må opbevares fortrolige data på mobile enheder, såfremt disse data beskyttes med et sikkerhedsprodukt,
der er godkendt af IT.
Virusscanning af mobile datamedier
Inden ibrugtagning skal brugeren scanne ethvert datamedie for
virus, hvis det har været i brug på eksternt udstyr. Med datamedie
menes for eksempel transportable hukommelsesenheder, diske,
USB-nøgler, cd'er, dvd'er m.v.
Side 3 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Tyverimærkning af IT-udstyr
Alle stationære- og bærbare pc'er skal være sikkerhedsmærket for at minimere risiko for tyveri og for at gøre
det lettere at få stjålet udstyr retur.
Mobiltelefoner, PDA'er og lignende er ikke sikkerhedsmærket.
Opbevaring af bærbare computere
Bærbare computere skal fjernes eller låses inde efter
arbejdstidens ophør.
Hvis der er risiko for, at uvedkommende kan få adgang til
bærbare computere efter arbejdstid, skal computerne være låst inde
i et tilpas sikkert skab.
Arbejdsmobil (uden multimediebeskatning)
Må kun benyttes til arbejdsrelaterede formål.
Beskeder på mobilsvarer skal aflyttes og behandles.
Fri telefon
Ved fri telefon forstås, at abonnementet enten er oprettet i Kalundborg Kommunes navn som ejer, og med
medarbejderens navn som bruger, eller at Kalundborg Kommune fuldstændigt eller op til et bestemt beløb
afholder telefonudgiften eller en procentdel af telefonudgiften, dvs. bærer en direkte risiko for telefonregningens
størrelse.
Beskattes i h.t. regler om multimedieskat med henvisning til procedurer i:Medarbejderportalen: Værktøjskassen
/Løn og personaleforhold /Administrative vejledninger.
Må benyttes til private formål, dog ikke til konkurrencedeltagelse samt bidrag til velgørende formål.
Må benyttes i udlandet i begrænset omfang.
Beskeder på mobilsvarer skal aflyttes og arbejdsmæssige henvendelser behandles.
PDA (i hjemmeplejen)
Må kun benyttes til arbejdsrelaterede formål.
Brug af fastnettelefon
Alle organisationsenheder skal sikre at der udarbejdes lokale retningsliner, så det sikres at telefonerne
besvares i åbningstiden. 6.2.2 Fjernarbejdspladser
Forsikringsdækning for mobile enheder
Kalundborg Kommune er selvforsikrende.
Sikring af medarbejderes fjernarbejdspladser
Medarbejderes fjernarbejdspladser og deres
kommunikationsforbindelser skal beskyttes i forhold til de
informationer og forretningssystemer, de benyttes til.
Sikkerhedsbekendtgørelsens § 7, stk. 2 indeholder en række krav vedr. hjemmearbejdspladser m.v. Reglerne
omfatter også mobile enheder m.v. Datatilsynet har publiceret en værd-at-vide tekst om emnet. Teksten findes
Side 4 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
på Datatilsynets hjemmeside www.datatilsynet.dk.
Krav til sikring af udstyr uden for Kalundborg Kommunes
overvågning
Udstyr, der benyttes uden for Kalundborg Kommunes lokaliteter,
skal beskyttes efter samme retningslinier, som gælder for udstyr,
der benyttes inden for Kalundborg Kommunes lokaliteter under
hensyntagen til de særlige risici ved ekstern anvendelse.
Adgang fra distancearbejdspladser
Kun Kalundborg Kommunes IT-udstyr må få direkte adgang. Øvrigt privat og offentligt tilgængeligt IT-udstyr i
internet caféer m.v. må således ikke få direkte adgang.
Adgang gives kun for brugere, der er autentificerede med brugernavn og kodeord.
Der skal anvendes krypteret forbindelse. 7 Personalesikkerhed 7.1 Før ansættelsen 7.1.1 Screening
Baggrundscheck af ansatte
Vedkommendes chef skal efter vurdering tilse, at der sker
forsvarligt baggrundscheck af medarbejdere med ansvar for
forretningskritiske arbejdsområder.
Baggrundscheck af medarbejdere kan omfatte:
En personlig reference.
Ansøgerens curriculum vitæ.
Uddannelser og professionelle kvalifikationer.
Verifikation af referencer
Udvalgte referencer eller eksamensbeviser for betroede
medarbejdere skal verificeres. HR og Personale vurderer individuelt
nødvendigt omfang af verifikation.
Ren straffeattest
Der skal følges procedure for indhentelse og anvendelse af straffeattester i Kalundborg Kommune for
nyansatte.
Henvisning til procedure på medarbejderportalen: Værktøjskassen/HR/Personaleforhold.
Baggrundscheck af konsulenter
Den ansvarlige chef, der indgår aftale med en ekstern konsulent
skal tilse, at der sker forsvarligt baggrundscheck af
konsulenten.
Side 5 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Tavsheds-/fortrolighedserklæring ved ansættelse
Alle medarbejdere skal som en del af ansættelseskontrakten underskrive en tavshedserklæring. Alle
ansættelsesmyndigheder SKAL senest ved ansættelsestidspunktet sørge for, at tavshedserklæringen
underskrives. 7.1.2 Ansættelsesvilkår og -betingelser
Informationssikkerheden i kommunen afhænger i høj grad af medarbejderne.Medarbejdere skal uddannes i IT-
sikkerhed i relation til deres jobfunktion og modtage nødvendige informationer. Endvidere er det nødvendigt at
regler, der beskriver sikkerhedsforhold, efterleves når et ansættelsesforhold slutter.
Henvisning: Medarbejderportalen; Værktøjskassen/IT/Retningslinjer/ IT miljøet-IT/Udstyr til ansatte og
politikkere/Retningslinjer.
Tavsheds-/fortrolighedserklæring ved ansættelse
Alle medarbejdere skal som en del af ansættelseskontrakten underskrive en tavshedserklæring. Alle
ansættelsesmyndigheder SKAL senest ved ansættelsestidspunktet sørge for, at tavshedserklæringen
underskrives.
Ansvar for sikkerhed
I stillings- og funktionsbeskrivelser for medarbejdere med adgang til forretningskritiske data og systemer skal
sikkerhed indgå i beskrivelsen. 7.2 Under ansættelsen 7.2.1 Ledelsesansvar
Det er ledelsens ansvar at alle medarbejdere:
Er tilstrækkeligt informeret om deres roller og ansvar i forbindelse med IT-sikkerhed, før de tildeles adgang til
Kalundborg Kommunes systemer og data.
Er gjort bekendt med nødvendige retningslinier, således at de kan leve op til Kalundborg Kommunes IT-
sikkerhedspolitik.
Opnår et opmærksomhedsniveau i spørgsmål vedrørende informationssikkerhed, der er i overensstemmelse
med deres roller og ansvar i Kalundborg Kommune.
Holder sig inden for de retningslinier og bestemmelser, der er for ansættelsen, inkl. Kalundborg Kommunes IT-
sikkerhedspolitik og konkrete arbejdsmetoder. 7.2.2 Bevidsthed om, uddannelse og træning i informationssikkerhed
Sikkerhedsuddannelse for IT-medarbejdere
Alle IT-medarbejdere skal specifikt uddannes i sikkerhedsaspekter for at minimere risikoen for
sikkerhedshændelser.
Uddannelse i IT-sikkerhedspolitikken
Alle nye medarbejdere, som får adgang til IT-miljøet, modtager senest på første arbejdsdag Kalundborg
Kommunes IT-sikkerhedspolitik.
Alle medarbejdere skal informeres om Kalundborg Kommunes IT-sikkerhedspolitik herunder baggrundsviden
omkring denne.
Side 6 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Uddannelse i klassificering af informationer
Alle ansatte skal instrueres om, hvorledes data og dokumenter
klassificeres. 7.2.3 Sanktioner
Overtrædelse af sikkerhedsretningslinierne
Det er ikke tilladt at forsøge at omgå sikkerhedsmekanismer.
Det er ikke tilladt at foretage uautoriseret afprøvning af sikkerheden.
Bevidste eller gentagne overtrædelser kan medføre at ansættelses- eller samarbejdsforholdet overvejes fra
Kalundborg Kommunes side.
Ledelsen skal etablere en formel sanktionsprocedure for medarbejdere, der bryder Kalundborg Kommunes
politikker, regler eller retningslinier for informationssikkerhed.
Henvisning: IT's interne sikkerhedsprocedurer P 4 Sanktionsprocedure når regler brydes.
Det er ledelsens ansvar, at sanktioner for brud på Kalundborg Kommunes politikker, regler eller retningslinier
håndhæves konsekvent og i overensstemmelse med gældende lovgivning. 7.3 Ansættelsesforholdets ophør eller ændring 7.3.1 Ansættelsesforholdets ophør eller ændring
Fortrolighedserklæring ved fratrædelse
Ved fratrædelse skal der gøres opmærksom på gældende fortrolighedsaftaler med henvisning til IT's interne
sikkerhedsprocedurer P 3. 8 Styring af aktiver 8.1 Ansvar for aktiver 8.1.1 Fortegnelse over aktiver
Registrering af IT-udstyr
Alt IT-udstyr PCere, tablets, m.v. skal indkøbes gennem Digitalisering og IT, for at sikre at det registreres og
derl vedligeholdes en fortegnelse over samtlige relevante enheder, som er forbundet til Kalundborg Kommunes
IT-infrastruktur.
Administration af internet-domænenavne
Der forefindes dokumentation over Kalundborg Kommunes overordnede registrerede domænenavne, status for
brug, betalingsoplysninger og dato for fornyelse.
Identifikation af kritiske processer
Alle forretningskritiske funktioner og disses relaterede
processer, systemer og ejere skal være identificerede og
dokumenterede. 8.1.2 Ejerskab af aktiver
Sikkerhedsansvar for informationsaktiver
Side 7 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
IT-chefen har ansvar for vedligeholdelse af en liste over samtlige informationssystemer. Listen angiver
henholdsvis den sikkerhedsansvarlige dataejer og systemejer af hvert enkelt system.
Informationsaktiver skal beskyttes, uanset om det er fysiske aktiver som dokumenter, der er udskrevet,
produktionsudstyr eller IT-systemer. Det er derfor nødvendigt at identificere, klassificere og placere ejerskab for
alle aktiver. 8.1.3 Accepteret brug af aktiver
Brug af mobile enheder
Bærbart udstyr skal medbringes som håndbagage under rejser.
Bærbart udstyr må ikke efterlades, så det er synligt udefra i
parkerede biler.
Omfang af brug af sociale netværk
Det accepteres at sociale netværk benyttes til privat brug i begrænset omfang i overensstemmelse med IT-
sikkerhedspolitikken, forudsat at det ikke blokerer for arbejdsrelateret brug af internettet.
Overvågning af sociale netværk
Som et led i den almindelige netværksovervågning er der mulighed
for at logge den enkelte medarbejders anvendelse af netværkstrafik
til sociale netværk.
Blokering af sociale netværk
IT skal blokere brugernes adgang til forbudte sociale netværk.
Anvendelse af sociale netværk
Man må gerne anvende sociale netværk fra Kalundborg Kommunes IT-systemer, medmindre de er specifikt
forbudte.
Kalundborg Kommunes informationer på sociale
netværk
Kalundborg Kommunes informationer må aldrig deles på et socialt
netværk (tænk derfor over hvad du skriver til dine venner).
Brugere af sociale netværk skal være specielt opmærksomme på at:
Personer på sociale netværk er ikke altid dem de udgiver sig for at være (det er ikke sikkert den person du tror
er en kollega, faktisk er det).
Persondata må aldrig deles på sociale netværk.
Download af filer som du modtager via et socialt netværk er underlagt de samme regler som øvrige downloads.
Informationer som du har lagt ud på et socialt netværk, kan meget vanskeligt, måske aldrig, trækkes tilbage.
Du vil med stor sandsynlighed opleve at nogen forsøger at franarre bruger-id'er og/eller dine adgangskoder
(phishing). Så giv aldrig dine koder til andre.
De sociale netværk, som du er bruger af, kan registrere og gemme oplysninger om dig og hvilke informationer
du søger og bruger på internettet.
Kameraer
Side 8 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Kalundborg Kommune har ikke fastsat forbud mod brug af kameraer i nogen af kommunens lokaliteter.
Såfremt der benyttes kameraer til overvågning henvises der til Datatilsynets pjece "TV-overvårning" marts
2008", hvor der henvises til persondataloven for dette område.
Henvisning til hjemmeside: www.datatilsynet.dk/publikationer/tv-overvaagningspjece. 8.2 Klassifikation af information 8.2.1 Klassifikation af information
Informationer og data skal klassificeres som
følger:
Uklassificeret: Ingen begrænsninger
Fortroligt: Materiale der er tilgængeligt for en begrænset
gruppe personer - herunder fortrolige og følsomme
personoplysninger.
Forretningskritisk: Informationer der er vigtige for
kernefunktioner i kommunen. Høj tilgængelighed og stor pålidelighed
er kritisk, uanset hvilket fortrolighedsniveau, der er i øvrigt
kræves.
Sikkerhedsbekendtgørelsen fastsætter krav om fastsættelse af interne uddybende regler for brug af
informationsaktiver.
Offentlig tilgængelig information
Det er IT's ansvar at offentlig tilgængelig information, f.eks. på Kalundborg Kommunes web-server(e), er
passende beskyttet mod uautoriserede ændringer. 8.2.2 Mærkning af information
Ansvar for klassifikation
IT-chefen har ansvaret for, at aktiver er klassificeret.
Ansvar for adgangsrettigheder
Systemets ejer har ansvaret for at fastlægge og løbende revurdere adgangsrettigheder i overensstemmelse
med Kalundborg Kommunes generelle adgangspolitik.
Henvisning til medarbejderportalen: Værktøjskassen/IT retningslinjer/adgangskoder.
Klassifikationsmærkning
Data og medier mærkes ikke særligt i forhold til fortrolighed og
forretningskritikalitet.
Automatisk indholdsfiltrering
Systemerne skal jævnligt scannes for spam-mail og phishing.
Disse mails mv. skal sættes i karantæne automatisk.
Side 9 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Spam-mail beskyttelse
Kalundborg Kommune bortfiltrerer e-mail inkl. eventuelle vedhæftede filer, der opfylder Kalundborg Kommunes
kriterier for spam-mails.
Medarbejderne skal udvise forsigtighed med deres brugeridentitet i forbindelse med videregivelse af
eksempelvis mailadresser, samt i forbindelse med modtagelsen af uønskede e-mails.
Klassifikationsmærkning
Data og medier mærkes ikke særligt i forhold til fortrolighed og
forretningskritikalitet. 8.2.3 Håndtering af aktiver
Fortrolige data på mobile enheder
Der må opbevares fortrolige data på mobile enheder, såfremt disse data beskyttes med et sikkerhedsprodukt,
der er godkendt af IT.
Godkendte krypteringsprodukter
IT skal vedligeholde en liste over godkendte krypteringsløsninger.
Godkendelse af krypteringsprodukter
IT skal godkende alle produkter, der indeholder kryptografi, før disse må benyttes til fortrolige data.
Kryptering af administrative netværksforbindelser
Netværksforbindelser, der benyttes til IT-administration skal altid krypteres. Dette betyder alt udstyr undtagen
terminaler med direkte forbindelse.
Kontrol med klassificerede informationer
IT-chefen er ansvarlig for at definere et fast sæt af egnede og relevante sikkerhedskontroller til beskyttelse af
de enkelte informationskategorier. Hvis der er tale om kritiske informationer, skal der udarbejdes yderligere
detaljerede kontroller ud fra en risikovurdering
En risikovurdering skal identificere og prioritere risici med udgangspunkt i kommunens forretningsmæssige
forhold. Resultatet skal bidrage til at fastlægge og prioritere de nødvendige ledelsesindgreb og
sikringsforanstaltninger for at imødegå relevante risici.
Fottrolige data på mobile enheder
Der må opbevares fortrolige data på mobile enheder, såfremt disse data beskyttes med et sikkerhedsprodukt,
der er godkendt af IT.
Behandling og destruktion af ind- og uddatamateriale
Sikkerhedsbekendtgørelsen stiller specifikke krav vedr. behandling og destruktion af ind- og uddatamateriale.
Der stilles krav om autorisationsprocedurer, opbevaring under lås, sletning når data ikke længere anvendes til
de formål, behandlingen varetager, tidsfrist for sletning og sikkerhedsforanstaltninger ved sletning/destruktion.
Det skal bemærkes, at regler for uddata ikke, ifølge sikkerhedsbekendtgørelsens §13, stk. 6, gælder for
uddatamateriale, som indgår i en manuel sag eller et manuelt register. 8.3 Mediehåndtering
Side 10 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
8.3.1 Styring af bærbare medier
Opbevaring og registrering af datamedier
Systemejer skal sikre at medierne eller informationerne på mediet klassificeres, og at brugere er instrueret i at
opbevare mediet i henhold til regler for klassifikationen.
Henvisning til IT's interne sikkerhedsprocedurer P 7 Klassifikation af bærebare medier.
Brug af datamedier
Benyttelse af bærbare datamedier (USB-nøgler- og harddiske m.m.) skal være forretningsmæssigt begrundet.
Sikkerhedsbekendtgørelsen indeholder i § 13, regler om behandling af uddata:
Krav til bærbare datamedier
Uddatamateriale må kun anvendes af personer, der er beskæftiget
med de formål, til hvilke behandlingen af personoplysningerne
foretages. Herudover må uddatamateriale anvendes af personer, som
er beskæftiget med revision eller drifts- og systemtekniske opgaver
i det pågældende system.
Brug af bærbare medier til fortrolige data
Fortrolige informationer skal krypteres, når de opbevares eller transporteres på bærbare medier, f.eks. USB-
hukommelse, PDA'er, cd'er, dvd'er eller lignende.
Manglende kryptering tillades hvis medierne, der benyttes til transport af fortrolige data, under transporten er
overvåget af betroede personer.
Forretningsgangen for beskyttelse af datamediers indhold skal omfatte:
Håndtering og mærkning.
Adgangsbegrænsning.
Log over tildelte autorisationer.
Afstemningsprocedurer.
Beskyttelse af midlertidigt lagrede data.
Regelmæssig gennemgang af distributions- og autorisationslister.
Forretningsgangene fremgår af relevante afsnit i IT-sikkerhedshåndbogen.
Beskyttelse af følsomme og fortrolige data på datamedier
IT skal etablere procedurer, der sikrer datamediers indhold mod uautoriseret adgang (procedure nr 7) og
misbrug af mediernes indhold.
Henvisning til IT's interne sikkerhedsprocedurer P 7 Klassifikation af bærebare medier.
Udskrivning
Printere, som benyttes til udskrivning af fortrolige
informationer, skal placeres i lokaler, der ikke er generelt
tilgængelige. 8.3.2 Bortskaffelse af medier
Bortskaffelse og genbrug af medier, der indeholder fortrolige informationer
Side 11 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
••
•
Alle datamedier, for eksempel harddiske, disketter, cd, dvd, bånd og hukommelsesenheder, skal
sikkerhedsslettes eller destrueres inden bortskaffelse.
Henvisning til medarbejderportalen: Værktøjskassen/IT/hardware, PC, bærbar og tynd klient/retningslinjer for
bortskaffelse af datamedier.
Papirmateriale skal makuleres, når det ikke længere skal benyttes.
Hvis en ekstern leverandør benyttes til destruktion af Kalundborg Kommunes datamedier, skal det sikres at
leverandøren efterlever de aftalte sikkerhedskrav.
Beholdere med papirmateriale til destruktion skal opbevares i rum, der holdes aflåste udenfor almindelig
arbejdstid, og hvortil der ikke er offentlig adgang.
Beskyttelse af systemdokumentation
IT skal opbevare systemdokumentation sikkerhedsmæssigt forsvarligt.
Adgangsrettigheder til systemdokumentation skal holdes på et minimum og godkendes af systemejer eller IT. 8.3.3 Fysiske medier under transport
Fortrolige informationer skal krypteres, når de opbevares eller tansporteres på bærbare medier, f.eks. USB-
hukommelse, PDA, tablets, CD, DVD eller lignende.
Manglende kryptering tillades hvis medierne, der benyttes til transport af fortrolige data, under transporten er
overvåget af betroede personer.
Personoplysninger af enhver art kan sendes på papir som almindeligt brev. 9 Adgangsstyring 9.1 Forretningsmæssige krav til adgangsstyring
Adgangen til at udføre handlinger på kommunens IT-systemer beskyttes af autorisationssystemer. Systemerne
har til formål at sikre mod uautoriserede ændringer, ordrer, fejl og svindel. Kommunens medarbejdere er
medvirkende til beskyttelse af informationsaktiverne gennem korrekt brug af autorisationssystemerne. 9.1.1 Politik for adgangsstyring
Inddragelse af rettigheder ved fratrædelse
Der skal forefindes en opdateret procedure for inddragelse af rettigheder i forbindelse med fratræden eller
afskedigelse af personale.
Henvisning til IT's interne sikkerhedsprocedurer P 3 Regler når ansættelsesforhold ophører.
Proceduren for inddragelse af rettigheder skal indeholde en liste over funktioner og personer der skal
informeres i forbindelse med fratrædelsen.
Nedenstående procedurer har henvisning til IT's interne sikkerhedsprocedurer:
P 3.1 Procedure for nedlæggelse af bruger i AD og KMD Samt Løn og Økonomi
P 9 Oprettelse af bruger i AD og KMD samt Løn og Økonomi
Henvisning til:
Medarbejderportalen: Værktøjskassen/IT-rretningslinjer/IT miljøet/Adgang til anden brugers postkasse-
instruks.
Begrænset adgang til informationer
Side 12 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Adgang for brugere og hjælpepersonale til brugersystemers
funktioner og informationer skal begrænses i overensstemmelse med
de fastlagte forretningsbetingede krav og informationernes
klassifikation.
Det fremgår af sikkerhedsbekendtgørelsens § 12, at der skal
træffes foranstaltninger for at sikre, at kun autoriserede brugere
kan få adgang, og at disse kun kan få adgang til de
personoplysninger og anvendelser, som de er autoriserede til. 9.1.2 Adgang til netværk og netværkstjenester
Autentificering ved adgang til netværket
Adgangen til det interne netværk fra eksterne netværk end
Kalundborg Kommunes (f.eks. fjernarbejdspladser eller
internet-café) skal benytte et ekstra kodeord i form af
engangskodeord.
Sikring af kritiske data
IT skal ændre standardadgangskode efter installation af et nyt system.
Forbindelse til fremmede trådløse netværk
Brugere må forbinde sig til fremmede trådløse netværk, forudsat
at godkendt firewall er i brug.
Adgang til det administrative trådløse netværk
Brugere skal autentificeres ved hjælp af et certifikat, før der
gives adgang til Kalundborg Kommunes trådløse netværk. For eksempel
ved hjælp af IEEE 802.1x.
Gæsters brug af Kalundborg Kommunes trådløse
netværk
Netværket kan og må kun anvendes til internet-adgang, ikke til
direkte adgang til interne systemer.
Opdeling af netværk
IT skal segmentere netværk for at etablere en passende adskillelse imellem forskellige tjenester, brugergrupper
eller systemer.
Mindste krav til netværkssegmentering er at IT etablerer en "demilitariseret zone" (DMZ) hvor offentligt
tilgængelige servere placeres adskilt fra internt tilgængelige servere.
Overvågning af netværk
IT skal have den nødvendige viden og redskaber til overvågning af Kalundborg Kommunes netværk, for
eksempel til fejlretning samt detektering og sporing af sikkerhedshændelser.
IT skal løbende overvåge netværk med henblik på detektering af brud på sikkerheden.
Ved hjælp af scanning skal det kontrolleres, at emnefeltet i e-mails ikke indeholder CPR-numre.
Overvågning af internetforbindelser
Side 13 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
IT skal løbende overvåge internetforbindelser med henblik på at detektere elektroniske angreb. Logfiler skal
gennemgås regelmæssigt og mindst 3 måneders historik skal opbevares.
Krav til overvågning af systemanvendelse
Brugen af Kalundborg Kommunes informationsbehandlingssystemer
skal overvåges og løbende følges op.
Der skal i henhold til sikkerhedsbekendtgørelsens § 18,
foretages registrering af alle afviste adgangsforsøg. Hvis der
inden for en fastsat periode er registreret et nærmere fastsat
antal på hinanden følgende afviste adgangsforsøg fra samme
arbejdsstation eller med samme brugeridentifikation, skal der
blokeres for yderligere forsøg. Der skal løbende ske opfølgning i
myndigheden.
Retningslinier for brug af netværkstjenester.
Brugere skal kun have adgang til de tjenester, de er autoriseret
til at benytte.
Det fremgår af sikkerhedsbekendtgørelsens § 14, at der kun må
etableres eksterne kommunikationsforbindelser, hvis der træffes
særlige foranstaltninger for at sikre, at uvedkommende ikke gennem
disse forbindelser kan få adgang til personoplysninger.
Styring af netværksadgang
IT skal ved styring af brugernes netværksadgang sikre imod uautoriseret anvendelse af fælles netværk og hertil
knyttede tjenester.
Brug af automatisk identifikation af netværksudstyr.
IT skal etablere automatisk identifikation af netværksenheder på netværkssegmenter, hvor det er væsentligt, at
kommunikationen kun må ske fra specifikt udstyr eller specifik lokation. 9.2 Administration af brugeradgang 9.2.1 Brugerregistrering og -afmelding
Identifikation og autentifikation af brugere
Alle brugere skal have en unik identitet til personlig brug.
Der skal benyttes en passende autentifikationsteknik til verifikation af brugernes identitet.
Brugeridentiteten skal kunne spores til den person, som er ansvarlig for en given aktivitet.
Fælles brugeridentiteter for en gruppe brugere eller en specifik opgave kan benyttes, hvis det er
forretningsmæssigt forsvarligt.
Brugen af en fælles brugeridentiteter skal godkendes af IT-chefen. 9.2.2 Tildeling af brugeradgang
Gennemgang af brugerprofiler
I henhold til procedure skal alle brugerprofiler gennemgås mindst 2 gange årligt for at identificere inaktive
profiler eller tilsvarende, der skal fjernes eller ændres.
Side 14 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Brugerprofiler, der giver adgang til personoplysninger omfattet af anmeldelsespligt, skal gennemgås mindst 2
gange årligt.
Henvisning til IT's interne sikkerhedsprocedurer P 11 Procedure for periodisk gennemgang af inaktive brugere
oprettet i AD.
Det fremgår af sikkerhedsbekendtgørelsens § 17, stk. 1, at det
skal sikres, at de autoriserede personer fortsat opfylder
betingelserne i bekendtgørelsens § 11, stk. 2 og 3, og § 16.
Det fremgår af bekendtgørelsens § 17, stk. 2, at kontrol af
opfyldelse af autorisationsbetingelser skal foretages mindst en
gang hvert halve år.
Krav til periodisk gennemgang af brugernes adgangsrettigheder
Brugernes adgangsrettigheder skal gennemgås regelmæssigt efter en formaliseret forretningsgang.
IT sender lister til den enkelte leder, der har ansvaret for gennemgang af medarbejdernes rettigheder.
Henvisning til IT's interne sikkerhedsprocedurer:
P 12 Procedure for periodisk Opfølgning af brugere oprettet i AD.
P 12.1 Procedure for årlig revision af brugernes tildelte rettigheder i KMD cics og Opus. 9.2.3 Styring af priviligerede adgangsrettigheder
Udvidede adgangsrettigheder
De udvidede adgangsrettigheder må kun tildeles i begrænset
omfang og alene ud fra et arbejdsbetinget behov.
De udvidede adgangsrettigheder skal registreres.
De udvidede adgangsrettigheder må ikke sættes i kraft, før den
fornødne autorisation er indhentet.
Automatiserede systemtekniske processer skal anvendes i videst
muligt omfang for at begrænse behovet for tildeling af udvidede
rettigheder.
De enkelte brugerprogrammer skal, så vidt muligt,
tilrettelægges, så de begrænser behovet for indgreb med udvidede
rettigheder.
Side 15 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
•
•
•
Der skal benyttes særlige brugeridentiteter til de udvidede
rettigheder af hensyn til overvågning og opfølgning.
Ændring af administrative kodeord
Administrative kodeord skal ændres efter højest 90 dage.
Administrative og systemkodeord skal ændres, hvis udenforstående får kendskab til disse.
Adminstrative system kodeord skal ændres mindst én gang årligt. Ved administrativ systemkodeord forstås det
brugerkonti der udelukkende har en funktionalitet for automatisering af en proces til det tilhørende system.
Eksempelvis opdatering af data fra en tilhørende snitflade m.v.
Administratorbeskyttelse
Der skal benyttes systemadministrator-adgangskode på alle
platforme.
Skift af administrator kodeord ved fratrædelse
Hvis en person med kendskab til administrative kodeord
fratræder, skal disse kodeord ændres med det samme.
Hvis en person med kendskab til administrative system kodeord
fratræder, skal disse kodeord ændres med det samme.
Registrering af brugere
Brugere skal have unikt brugernavn og bruger-id.
Ved tildeling af autorisation skal der ske kontrol af om ønskede adgangsrettigheder stemmer med
forretningsmæssigt behov.
Chefen eller den autorisationsberettigede skal autorisere brugeradgang.
Der skal ske en verifikation af at rettighedsniveauet er i overensstemmelse Kalundborg Kommunes generelle
sikkerhedsretningslinier.
Serviceleverandørerer skal anvende tilsvarende eller samme autorisationsprocedure som Kalundborg
Kommune.
IT skal vedligeholde brugerfortegnelser for systemerne.
Ved tildeling af rettigheder skal der ske kontrol af, om ønskede adgangsrettigheder eventuelt krænker krav om
funktionsadskillelse.
Procedurer for autorisation af brugeradgang skal omfatte en formel autorisationsformular i hvilken de
nødvendige privilegier specificeres.
Autorisationsformularen til brugeradgang skal udfyldes af en chef eller autorisationsberettiget og opbevares
som dokumentation. Der skal være sikkerhed for afsenders identitet i form af underskrift, anvendt intern
mailadresse eller brugernavn registreret ved udfyldelse af web-formular.
Henvisninger til;
Medarbejderportalen: Værktøjskassen/IT-retningslinjer IT miljøet/regler for leverandørers opkobling til
Kalundborg Kommunes netværk.
Medarbejderprotalen: Værktøjskassen/IT-rretningslinjer IT miljøet/Procedurer oprettelse af private
aktører/leverandører.
Medarbejderprotalen: Værktøjskassen-IT-autorisationsberettiget/Retningslinjer for Kalundborg Kommunes
miniadministratorer.
Side 16 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
••
Nedenstående henvisninger til IT's interne sikkerhedsprocedurer:
P 13.1Oprettelse eller tildeling af Administratorrettighed til en ansat
P 13.2 Procedure for administrative passwords
Administratorbeskyttelse
Der skal benyttes systemadministrator-adgangskode på alle
platforme.
Ændring af administrative kodeord
Administrative kodeord skal ændres hvert kvartal.
Administrative og systemkodeord skal ændres, hvis udenforstående
får kendskab til disse.
Adminstrative system kodeord skal ændres mindst én gang årligt.
Ved administrativ systemkodeord forstås det at være nødvendige
administrative brugerkonti der udelukkende har en funktionalitet
for automatisering af en en proces til det tilhørende system.
Eksempelvis opdatering af data fra en tilhørende snitflade m.v.
Adgangskode
Adgangskode er det samme som password og kodeord. Begreberne bruges i flæng. 9.2.4 Styring af hemmelig autentifikationsinformation om brugere
Overdragelse af kodeord
Kodeord må ikke overdrages på ukrypterede forbindelser, for eksempel e-mail. Kodeord kan overdrages
verbalt, feks. over telefonen af IT-administratorer til den enkelte bruger.
Opbevaring af adgangskoder
Adgangskoder til væsentlige systemer må aldrig lagres
elektronisk i klartekst.
Retningslinier for adgangskoder
Ved brugeroprettelse eller nulstilling af adgangskode skal brugere tildeles en sikker, midlertidig adgangskode,
som skal ændres umiddelbart efter første anvendelse.
IT skal etablere og vedligeholde en procedure for, hvordan en brugers identitet fastslås før en ny midlertidig
adgangskode må udleveres.
Midlertidige adgangskoder skal være unikke, må ikke genbruges og skal opfylde de almindelige krav til
adgangskoder.
Henvisning til medarbejderportalen: Værktøjskassen /IT retningslinjer/Adgangskoder.
Kodeord er strengt personlige
Kodeord er strengt personlige og må ikke deles med andre end IT-administratorer.
Krav til adgangskoder
Side 17 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Tildeling af adgangskoder skal styres ved en formaliseret
proces.
For adgangskoder, der giver adgang til personoplysninger
omfattet af persondatalovens anmeldelsespligt, gælder det jf.
sikkerhedsbekendtgørelsens § 11, at autorisationer skal angive, i
hvilket omfang brugeren må forespørge, inddatere eller slette
personoplysninger.
Identifikation af brugerprofiler for eksterne
brugere
Eksterne brugerprofiler skal gennem konsistent navngivning være
tydeligt angivet for at adskille disse fra egne medarbejdere.
Standardkodeord og bruger-id'er må ikke anvendes på Kalundborg
Kommunes systemer. Disse skal ændres eller slettes.
Identifikation af brugerprofiler for eksterne
brugere
Eksterne brugerprofiler skal gennem konsistent navngivning være
tydeligt angivet for at adskille disse fra egne medarbejdere.
Standardkodeord og bruger-id'er må ikke anvendes på Kalundborg
Kommunes systemer. Disse skal ændres eller slettes.
Krav til sikkerhedsforhold i relation til borgere
Alle sikkerhedsforhold skal afklares, før Kalundborg Kommunes
borgere får adgang til Kalundborg Kommunes
informationsbehandlingssystemer. (Selvbetjeningsløsninger m.m.)
Sikkerhedsforanstaltninger ved borgeradgang
Når borgere skal have adgang til Kalundborg Kommunes
informationsaktiver, skal der træffes en række
sikkerhedsforanstaltninger. Punkterne i følgende procedure for
borgeres adgang til Kalundborg Kommunes systemer skal følges. Vi
forudsætter at alle selvbetjeningsløsninger tilgås via NEM-ID.
Ansvar ved borgeradgang til kommunens informationssystemer
IT-chefen har ansvaret for at sikre informationssikkerheden i forbindelse med borgeres adgang til Kalundborg
Kommunes informationssystemer. 9.2.5 Gennemgang af brugeradgangsrettigheder
Det fremgår af sikkerhedsbekendtgørelsens § 17, stk. 1, at det skal sikres, at de autoriserede personer fortsat
Side 18 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
opfylder betingelserne i bekendtgørelsens § 11, stk. 2 og 3, og § 16.
Det fremgår af bekendtgørelsens § 17, stk. 2, at kontrol af opfyldelse af autorisationsbetingelser skal foretages
mindst en gang hvert halve år.
Krav til periodisk gennemgang af brugernes adgangsrettigheder
Brugernes adgangsrettigheder skal gennemgås regelmæssigt efter en formaliseret forretningsgang.
Henvisning til IT's interne sikkerhedsprocedurer P 12 Procedure for periodisk Opfølgning af brugere oprettet i
AD
IT sender lister til den enkelte leder, der har ansvaret for gennemgang af medarbejdernes rettigheder.
Gennemgang af brugerprofiler
I henhold til procedure skal alle brugerprofiler gennemgås mindst 2 gange årligt for at identificere inaktive
profiler eller tilsvarende, der skal fjernes eller ændres.
Henvisning til IT's interne sikkerhedsprocedurer P 12 Procedure for periodisk Opfølgning af brugere oprettet i
AD.
Brugerprofiler, der giver adgang til personoplysninger omfattet af anmeldelsespligt, skal gennemgås mindst én
gang årligt.
Det fremgår af sikkerhedsbekendtgørelsens § 17, stk. 1, at det skal sikres, at de autoriserede personer fortsat
opfylder betingelserne i bekendtgørelsens § 11, stk. 2 og 3, og § 16.
Det fremgår af bekendtgørelsens § 17, stk. 2, at kontrol af opfyldelse af autorisationsbetingelser skal foretages
mindst 2 gange hvert halve år.
IT sender lister til den enkelte leder, der har ansvaret for gennemgang af medarbejdernes rettigheder. 9.2.6 Inddragelse eller justering af adgangsrettigheder
Medarbejderes omplacering
Ved ændringer af roller for medarbejderne skal rettigheder og
privilegier revurderes. Dette gælder især for forretningskritiske
systemer.
Fratrædelse
Når ansættelse eller midlertidige kontrakter ophæves, skal alle tilknyttede rettigheder trækkes tilbage. Id-kort og
lignende skal afleveres, og IT-udstyr skal inddrages, når ansættelsesforholdet ophører.
Den pågældende chef er ansvarlig for anmodning om nedlæggelse af IT-brugere.
Returnering af aktiver ved aftrædelse
Medarbejderen skal aflevere alle udleverede aktiver tilhørende
Kalundborg Kommune ved samarbejdets ophør.
Brugerprofiler for konsulenter m.v.
Personer, som er ansat eller har konsulentaftale, må oprettes som brugere.
Begrænset adgang kan tildeles efter godkendelse fra chef eller IT chef.
Side 19 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Retningslinier for adgangsstyring
Systemejere har i samarbejde med IT det overordnede ansvar for at etablere og vedligeholde af procedurer for
adgangsstyring for hvert system.
Adgangsbegrænsning til informationer
Applikationssystemer bør implementeres med adgangskontrol for at hindre uautoriseret adgang til data og
funktionalitet, jf. politik defineret af de enkelte applikationsejere i samarbejde med IT. Detailopsætning og
specificering afhænger af form og indhold af data, dokumenteret i risikoanalysen af systemet.
Krav til retningslinier for adgangsstyring
Der skal foreligge dokumenterede og ajourførte retningslinier for Kalundborg Kommunes adgangsstyring.
Henvisning til medarbejderportalen: Værktøjskassen/IT retningslinjer/adgangskoder.
Kun de personer, som autoriseres hertil, må have adgang til de personoplysninger, der behandles.
Der må kun autoriseres personer, der er beskæftiget med de formål, hvortil personoplysningerne behandles. De
enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.
Der må endvidere autoriseres personer, for hvem adgang til oplysninger er nødvendig med henblik på revision
eller drifts- og systemtekniske opgaver. 9.3 Brugernes ansvar 9.3.1 Brug af hemmelig autentifikationsinformation
Brug af autologin funktioner
Automatisk login eller systemer hvor kodeord gemmes i genveje
eller på funktionstaster må ikke benyttes.
Genbrug af kodeord
Medarbejderne må gerne anvende samme kodeord til kommunens egne
systemer og systemer, der afvikles hos kommunens
samarbejdspartnere, da det er systemer med ensartede
sikkerhedsniveauer.
Det er ikke tilladt at anvende kodeord, der bruges i kommunens
systemer, til adgang til andre systemer for eksempel internet,
websteder (Hotmail, Facebook m.v.) og netbanker. Omfattende brug af
samme kodeord på forskellige systemer øger sandsynligheden for, at
kodeordets fortrolighed krænkes.
Længde af kodeord
Kodeord skal være mindst 8 tegn langt.
Indhold af kodeord
Kodeord skal indeholde kombinationer fra mindst tre af følgende
kategorier: Store bogstaver, små bogstaver, tal og specialtegn.
Side 20 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Der må ikke benyttes brugernavn, navn eller datoer som en del af
kodeord.
Skift af kodeord
Kodeord skal skiftes efter højst 90 dage
Valg af sikre kodeord
Det er brugerens ansvar at vælge tilstrækkeligt sikre kodeord i
adgangskontrolsystemerne. 9.4 Styring af system- og applikationsadgang 9.4.1 Begrænset adgang til informationer
Det fremgår af sikkerhedsbekendtgørelsens § 12, at der skal træffes foranstaltninger for at sikre, at kun
autoriserede brugere kan få adgang, og at disse kun kan få adgang til de personoplysninger og anvendelser,
som de er autoriserede til.
Begrænset adgang til informationer
Adgang for brugere og hjælpepersonale til brugersystemers funktioner og informationer skal begrænses i
overensstemmelse med de fastlagte forretningsbetingede krav og informationernes klassifikation.
9.4.2 Procedurer for sikker log-on
Sikker log-on
Systemadgang skal beskyttes af en sikker log-on-procedure.
Henvisning til medarbejderportalen: værktøjskassen/IT retningslinjer/Adgangskoder. 9.4.3 System for administration af adgangskoder
Systemer til styring af adgangskoder
Adgangskontrolsystemet skal låse brugerkonti efter tre forgæves adgangsforsøg. 9.4.4 Brug af priviligerede systemprogrammer
Brug af systemværktøjer
IT skal:
- begrænse og styre adgangen til systemværktøjer, f.eks. utilities, der kan påvirke eller omgå systemers eller
enheders sikkerhed.
- sikre, at brugen af systemværktøjer begrænses til et minimum af betroede og autoriserede brugere.
- sikre en procedure for autorisation ved ad hoc anvendelse af systemværktøjer.
- definere, hvem der er autoriseret til at anvende hvilke systemværktøjer.
Hvor funktionsadskillelse er påkrævet, må brugere ikke have adgang til både systemværktøjer og
brugersystemer.
Isolering af særligt kritiske brugersystemer
Side 21 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Særligt kritiske brugersystemer skal placeres på isoleret informationsbehandlingsudstyr. 9.4.5 Styring af adgang til kildekoder til programmer
Håndtering af kildekode til systemer i Kalundborg Kommune
Kalundborg Kommune ligger ikke inde med kildekode til systemer.
10 Kryptografi 10.1 Kryptografiske kontroller 10.1.1 Politik for anvendelse af kryptografi
Kryptering af harddiske
Kalundborg Kommune har ikke fastsat regler om kryptering af
harddiske i stationært udstyr og mobile pc'er. Stationært udstyr er
beskyttet af fysiske og logiske sikringsforanstaltninger, og der må
ikke opbevares fortrolige data på mobile og stationære pc'er.
Brug af kryptering i forbindelse med opbevaring af data
Fortrolige informationer skal altid være krypteret, når de opbevares på transportabelt udstyr, fx på USB-diske,
håndholdte mobile enheder m.m. 10.1.2 Administration af krypterings nøgler
Nøglehåndtering
IT skal etablere et nøglehåndteringssystem, som understøtter Kalundborg Kommunes anvendelse af
kryptografi.
Proceduren for nøglehåndtering skal beskrive hvordan generering, distribution, opbevaring og destruktion af
nøgler håndteres.
Proceduren for nøglehåndtering skal beskrive hvordan tilbagekaldelse af gamle eller ugyldige nøgler håndteres.
Henvisning til IT's interne sikkerhedsprocedurer P 19 Procedure for nøglehåndtering. 11 Fysisk sikring og miljøsikring 11.1 Sikre områder 11.1.1 Fysisk perimetersikring
Gæsters adgang
Gæster må kun færdes i områder uden offentlig adgang, når de er
ledsaget af en medarbejder.
Værten har ansvaret for gæsters færden.
Indbrudsalarmer
Der skal anvendes tilstrækkelige alarmsystemer på relevante
bygninger og lokaler.
Side 22 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Overvågning i sikre områder
IT skal sikre, at arbejde i sikre områder såvidt muligt overvåges. Her tænkes på eksterne IT-tenikere m.m. som
udfører service eller lignende i disse områder.
Ved sikre områder forstås serverrum og lignende steder, hvor der findes forretningskritisk udstyr og/eller større
mængder data.
Ubenyttede lokaler i sikre områder
Ubenyttede lokaler i sikre områder skal være aflåst og
inspiceres jævnligt.
Oplysninger om sikre områder
Oplysninger om sikre områder og deres funktion skal alene gives
ud fra et arbejdsbetinget behov.
Misbrugsbeskyttelse af IT-udstyr
Ledelsen skal sikre, at medarbejdere informeres om eventuelle overvågningsmuligheder, som Kalundborg
Kommune kan tage i brug.
Sikring af kontorer, lokaler og udstyr
IT-chefen må uddelegere ansvaret for at sikre en passende fysisk sikring af kontorer, rum og udstyr bliver
implementeret og vedligeholdt.
Sikkerhedsbekendtgørelsens § 8 stiller krav om, at der på steder, hvor der foretages behandling af
personoplysninger, skal træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til
oplysningerne.
Udstyr til publikumsbetjening
På udstyr der stilles til rådighed for borgerne, f.eks. ved selvbetjeningsløsninger i Borgerservice, må der ikke
gemmes data eller kunne installeres programmer i henhold til Datatilsynet "Datasikkerhed i Borgerservice
Centre".
Henvisning til Datatilsynets hjemmeside: http://www.datatilsynet.dk/publikationer/datasikkerhed-i-borgerservice/
11.1.2 Fysisk adgangskontrol
Fysisk sikkerhed og adgangsregler for gæster er naturlige elementer i kommunens sikkerhedspolitik. Fysisk
sikkerhed omfatter blandt andet døre, vinduer, alarmer - samt tyverisikring af kommunens fysiske aktiver,
eksempelvis IT-udstyr. Systemer til adgangskontrol er ligeledes et element af fysisk sikkerhed, der sikrer at kun
personer med legalt ærinde får adgang til kommunens område. Sikkerhedsbekendtgørelsen stiller endvidere en
række krav til den fysiske sikkerhed og dokumentationen af den.
Gæsters registrering
Kalundborg Kommune registrerer ikke gæster i kommunens
lokaliteter.
Side 23 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
11.1.3 Beskyttelse mod eksterne og miljømæssige trusler
Brandsikring
Serverrum skal sikres med veldimensioneret
brandslukningsudstyr.
Serverrum må ikke benyttes som lager for brændbare
materialer.
Farlige eller brandfarlige materialer skal lagres i sikker
afstand fra sikre områder.
Passende brandsikringsudstyr skal forefindes, og være korrekt
placeret. 11.1.4 Arbejde i sikre områder
Aflåsning af lokaler og bygninger
Alle døre og vinduer skal kunne låses forsvarligt.
Alle døre og vinduer med adgang til/fra bygningerne skal lukkes
og låses ved arbejdstids ophør. Døre til sikrede lokationer i
bygningerne skal ligeledes aflåses. Sidste medarbejder, der
forlader et område, er ansvarlig for sikring af dette. 11.1.5 Områder til af- og pålæsning
Af- og pålæsningsområder
Af- og pålæsningsområder skal indrettes så risiko for
uautoriseret adgang til Kalundborg Kommunes øvrige lokaliteter
mindskes.
Indkommende og udgående leverancer skal så vidt muligt adskilles
fysisk. 11.2 Udstyr 11.2.1 Placering og beskyttelse af udstyr
Spisning i nærheden af udstyr
Der må ikke spises og drikkes i nærheden af forretningskritisk udstyr.
Der må ikke spises og drikkes i serverrum.
Miljømæssig sikring af serverrum
Side 24 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Serverrum, krydsfelter og tilsvarende områder skal på forsvarlig
vis sikres mod miljømæssige hændelser som brand, vand, eksplosion
og tilsvarende påvirkninger.
Tyverimærkning af IT-udstyr
Alle stationære- og bærbare pc'er skal være sikkerhedsmærket for at minimere risiko for tyveri og for at gøre
det lettere at få stjålet udstyr retur.
Mobiltelefoner, PDA'er og lignende er ikke sikkerhedsmærket.
Aflåsning af hovedkrydsfelter og lignende
teknikrum
Alle krydsfelter og andre teknikrum skal være aflåste.
Adgang til serverrum og hovedkrydsfelter
Adgang til serverrum og hovedkrydsfelter tillades kun med sikkerhedsgodkendelse eller ved overvåget adgang
af medarbejdere fra IT.
Adgang for serviceleverandører
Serviceleverandører må kun få adgang til sikre områder, når
dette er påkrævet.
Distribueret IT-udstyr
Alle centrale krydsfelter, afdelings-serverrum og lignende faciliteter med IT-udstyr skal aflåses for at hindre
uautoriseret adgang til disse. 11.2.2 Understøttende forsyninger (forsyningssikkerhed)
Køling
Serverrum skal sikres med veldimensionerede kølefaciliteter.
Nødstrømsanlæg
Alle forretningskritiske systemer skal beskyttes med
nødstrømsanlæg til at sikre hurtig og korrekt system-nedlukning i
tilfælde af strømudfald.
Forsyningssikkerhed
IT-chefen har ansvaret for, at alle forsyninger som elektricitet, vand, kloak, varme, og ventilation har den
fornødne kapacitet, og løbende inspiceres for at forebygge uheld, der kan have indflydelse på programmer og
data.
Data- og telekommunikationsforbindelser skal etableres via minimum to adgangsveje, hvor det skønnes
nødvendigt. IT-chefen vurderer behovet for dublering af linier. 11.2.3 Sikring af kabler
Sikring af kabler
Kabler til datakommunikation skal beskyttes mod uautoriserede
indgreb og skader.
Side 25 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Faste kabler og udstyr skal mærkes klart og entydigt.
Dokumentation skal opdateres når den faste kabelføring
ændres. 11.2.4 Vedligeholdelse af udstyr
Vedligeholdelse af udstyr og anlæg
Systemejere skal vedligeholde udstyr efter leverandørens anvisninger.
Kun godkendte leverandører må udføre reparationer og vedligeholdelse.
Reparationsvirksomheden skal overholde fornødne sikkerhedskrav hvis udstyr repareres eller vedligeholdes
uden for Kalundborg Kommunes lokaliteter.
Kritiske/følsomme informationer skal slettes fra udstyr, der repareres eller vedligeholdes uden for Kalundborg
Kommunes lokaliteter.
IT er ansvarlig for at der føres log over alle fejl og mangler samt reparationer og forbyggende vedligeholdelse. 11.2.5 Fjernelse af aktiver
Fjernelse af udstyr fra Kalundborg Kommunes lokaliteter
Udstyr eller medier, der indeholder data må kun fjernes eller slettes med ledelsens godkendelse. 11.2.6 Sikring af udstyr og aktiver uden for organisationen
Opsyn med mobile enheder
Mobile enheder må ikke efterlades uden opsyn i uaflåste rum.
Adgang til data på bærbare computere skal beskyttes med et login
password. Udstyr med klassificerede informationer skal anvende
harddisk-kryptering. 11.2.7 Sikker bortskaffelse eller genbrug af udstyr
Bortskaffelse eller genbrug af udstyr
Når udstyr bortskaffes eller genbruges skal kritiske/følsomme
informationer og licensbelagte systemer fjernes eller
overskrives.
Bortskaffelse og genbrug af medier, der indeholder fortrolige informationer
Alle datamedier, for eksempel harddiske, disketter, cd, dvd, bånd og hukommelsesenheder, skal
sikkerhedsslettes eller destrueres inden bortskaffelse.
Henvisning til medarbejderportalen: Værktøjskassen/IT/hardware, PC, bærbar og tynd klient/retningslinjer for
bortskaffelse af datamedier.
Papirmateriale skal makuleres, når det ikke længere skal benyttes.
Hvis en ekstern leverandør benyttes til destruktion af Kalundborg Kommunes datamedier, skal det sikres at
leverandøren efterlever de aftalte sikkerhedskrav.
Side 26 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Beholdere med papirmateriale til destruktion skal opbevares i rum, der holdes aflåste udenfor almindelig
arbejdstid, og hvortil der ikke er offentlig adgang.
Sikkerhedsbekendtgørelsen stiller i §§ 9, 10 og 13 en række krav
om sletning og destruktion af datamedier.
Bortskaffelse eller genbrug af udstyr
Når udstyr bortskaffes eller genbruges skal kritiske/følsomme
informationer og licensbelagte systemer fjernes eller
overskrives.
Sikkerhedsbekendtgørelsen stiller i § 9 formelle krav i forbindelse med reparation og service af dataudstyr, der
indeholder personoplysninger, samt ved salg og kassation af anvendte datamedier. Datatilsynet har skrevet en
værd-at-vide om emnet. Tekst kan læses på tilsynets hjemmeside www.datatilsynet.dk. 11.2.8 Brugerudstyr uden opsyn
Placering af udstyr
Udstyr der benyttes til at behandle kritiske/følsomme informationer, skal placeres så informationerne ikke kan
ses af uvedkommende.
IT skal begrænse fysisk adgang til gateways og trådløse adgangspunkter. 11.2.9 Politik for ryddeligt skrivebord og blank skærm
Brug af adgangskodebeskyttet pauseskærm
Alle arbejdsstationer skal automatisk aktivere skærmlås efter 15 minutters inaktivitet.
Som bruger er du ansvarlig for at andre ikke kan tilgå din IT arbejdsplads, når du forlader din arbejdsstation og
arbejdsstationen er uden for din synsvidde.
Opbevaring af fysiske dokumenter
Skriveborde skal ryddes for fortrolige dokumenter senest ved
arbejdsdagens afslutning.
Dokumenter må gerne ligge fremme, såfremt kontorlokaler er
aflåste.
Dokumenter med personhenførbare oplysninger må ikke ligge med
forsiden opad, når du forlader dit skrivebord.
Udskrivning
Printere, som benyttes til udskrivning af fortrolige
informationer, skal placeres i lokaler, der ikke er generelt
tilgængelige. 12 Driftssikkerhed
Side 27 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
12.1 Driftsprocedurer og ansvarsområder 12.1.1 Dokumenterede driftsprocedurer
Vedligeholdelse og opdatering af IT-systemer er nødvendigt for at opretholde et passende sikkerhedsniveau for
kommunen. Drift af IT-systemer inkluderer elementer af overvågning af systemernes helbredstilstand,
opdatering og sikkerhedskopiering af data. De fleste IT-systemer i dag er afhængige af netværk, og derfor er
administration, opbygning, sikring og vedligehold af netværk vitalt for kommunen. Den trussel, som uautoriseret
adgang indebærer, gør det nødvendigt med klare regler for brugen af kommunens netværk samt overvågning af
infrastrukturen.
Registrering af driftsstatus
IT skal registrere væsentlige forstyrrelser og uregelmæssigheder i driften af systemerne.
Krav til driftsafviklingsprocedurer
Driftsafviklingsprocedurer for forretningskritiske systemer skal være dokumenterede, ajourførte og tilgængelige
for driftsafviklingspersonalet og andre med et arbejdsbetinget behov.
Henvisning til IT's interne sikkerhedsprocedurer:
P 22 Procedure - Hovedpunkter vedr applikationsopdateringer i Citrix - XEN7.
P 22.1 Procedure installering af Windows patching.
Driftsansvar
IT står for den daglige drift, administration og sikkerhed af fælles IT-systemer. Herunder efterlevelsen af IT-
sikkerhedspolitikker, regler og procedurer der er relevant for IT-driften.
Dokumentation
IT skal sikre, at alle systemer og IT-relaterede forretningsgange er dokumenterede for eksempel ved at
systemejere og proces-ejere dokumenterer jævnfør Kalundborg Kommunes standard.
Sikring af serversystemer
Servere skal sikres og testes inden implementering i
produktionsmiljøet. Jf kravspec og designspec. 12.1.2 Ændringsstyring
Ændringsstyring
Ved ændringer skal der foregå en gennemgang af sikringsforanstaltninger og integritetskontroller for at sikre, at
disse ikke forringes ved implementeringen.
Der skal indhentes en formel godkendelse af ændringen før arbejdet med den går i gang.
Autoriserede brugere skal acceptere ændringer før de implementeres.
Systemdokumentation skal opdateres ved hver ændring.
Forældet systemdokumentation skal arkiveres eller destrueres.
Der skal vedligeholdes en versionsstyring for systemændringer i forretningskritiske systemer.
Driftsdokumentation og forretningsgange for brugerne skal holdes opdateret, således at de stadig er gældende
efter ændringen.
Implementeringen af ændringen skal foretages på et aftalt tidspunkt så den ikke forstyrrer de involverede
forretningsydelser.
Side 28 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Henvisning til IT's interne sikkerhedsprocedurer:
P 30 Incident management.
P 31 Problem management.
Incidenthåndtering
Incident er en pludselig opstået hændelse der har indflydelse på forretningen. Nedenstående model benyttes
for at sikre en hurtig og dokunemteret løsning på den opståede incident/hændelse
- Identificer hændelsen
- Vurder hændelsens omfang og indflydelse på forretningen
- Vurder løsningsmodel
- Implementer løsningen
- Dokumenter forløbet og løsningsmodel
Problemhåndtering
Problemhåndtering er identificering af årsager til hændelser opstået i incidenthåndtering med det formål at
forebygge gentagelser. Nedenstående model benyttes for at sikre en dokumenteret løsningsmodel.
- Identificer problemet
- Vurder problemets omfang og indflydelse på forretningen
- Vurder løsningsmodel
- Implementer løsningen
- Dokumenter forløbet og løsningsmodel
Migreringsstyring
Migrering fra udvikling til produktion skal undergå test og
kontrol for at tilsikre driftsniveau, sikkerhedsniveau og
brugbarhed inden implementering. Derudover skal godkendt software
sikres mod efterfølgende uønskede ændringer. Hvis muligt, skal kun
objekt-kode, ikke kildetekster migreres til
produktionssystemer.
Planlægning, test og godkendelse af ændringer
Ændringer skal planlægges og afprøves, inden de sættes i
drift.
Retningslinier for ændringer
Ændringer skal kun gennemføres, når de er forretningsmæssigt velbegrundede.
IT har ansvaret for, at der foregår en entydig identifikation og registrering af væsentlige ændringer.
IT har ansvaret for, at der findes en nødprocedure til at mindske effekt fra fejlslagne ændringer.
Ændringsstyringsprocedurer skal tilrettelægges og afstemmes
efter systemernes kritikalitet og de muligheder, der er for at
tilrettelægge ændringer i det pågældende system eller miljø.
Side 29 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Adskillelse af udvikling, test og drift
Udviklings- og testmiljøer skal være systemteknisk eller fysisk
adskilt fra driftsmiljøet.
Adgang til produktionsdata
Systemadministratorers adgang til fortrolige oplysninger skal
begrænses og registreres. 12.1.3 Kapacitetsstyring
Kapacitetsplanlægning
IT-systemernes dimensionering skal afpasses efter kapacitetskrav. Belastning skal overvåges således at
opgradering og tilpasning kan finde sted løbende. Dette gælder især for forretningskritiske systemer.
Kapacitetsovervågning
Alle serversystemer med kritiske informationer skal løbende
overvåges for tilstrækkelig kapacitet til at sikre pålidelig drift
og tilgængelighed. 12.1.4 Adskillelse af udviklings test- og driftsmiljøer
Sikring af applikationsudviklingsmiljøerne
Udviklingsmiljøer skal sikres mod trusler som uautoriseret
adgang, ændringer og tab. Data skal sikres efter
følsomhedsniveau. 12.2 Beskyttelse mod malware 12.2.1 Kontroller mod malware
Antivirus produkter på arbejdsstationer
IT skal sikre, at der anvendes minimum to anti-virus produkter fra forskellige leverandører. Ét på indgangene til
Kalundborg Kommunes systemer og et andet på samtlige computere ejet af Kalundborg Kommune. Opdatering
skal ske højest et døgn efter leverandørens opdateringer.
Antivirusprogrammer
Anti-virusprogrammer skal være installeret på mobile- og
medarbejderes fjernarbejdspladser. Softwaren skal holdes opdateret
ved opgradering mindst en gang om ugen.
Kontrol af antivirus på arbejdsstationer
Medarbejdere skal løbende kontrollere, at anti-virus er aktivt på deres Windows-baserede computere og at
data-filerne ikke er over én uge gamle. (gælder ikke tynde klienter)
Automatisk indholdsfiltrering
Systemerne skal jævnligt scannes for spam-mail og phishing.
Disse mails mv. skal sættes i karantæne automatisk.
Spyware
Side 30 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Installation af spyware søges undgået gennem begrænsningerne i muligheder for softwareinstallation.
Installation af spyware søges undgået gennem patch-management-processer.
IT skal sikre, at der scannes for spyware i IT-miljøet.
Spam-mail beskyttelse
Kalundborg Kommune bortfiltrerer e-mail inkl. eventuelle vedhæftede filer, der opfylder Kalundborg Kommunes
kriterier for spam-mails.
Medarbejderne skal udvise forsigtighed med deres brugeridentitet i forbindelse med videregivelse af
eksempelvis mailadresser, samt i forbindelse med modtagelsen af uønskede e-mails.
Anti-virus-produkter på servere
Der skal være installeret anti-virus beskyttelse på alle
systemer, hvor dette er muligt. 12.3 Backup 12.3.1 Backup af information
Sikkerhedskopiering af data på serversystemer
IT er ansvarlig for opbevaring og sikkerhedskopiering af alle forretningskritiske informationer på serversystemer.
Opbevaring af sikkerhedskopier på ekstern lokation
Datamedier til reetablering af forretningskritiske systemer skal opbevares på et forhold til systemernes placering
eksternt opbevaringssted.
Henvisning til IT's interne sikkerhedsprocedurer:
P 31 Procedure for håndtering af backup CommVault løsning.
P 32 Procedure for Server Disaster Recovery.
Afprøvning af procedurer for
sikkerhedskopiering
Muligheden for at retablere data fra backup-systemer skal
regelmæssigt aftestes i et testmiljø. Endvidere skal retablering
testes efter system- eller proces-ændringer, der kan påvirke
backup-rutiner.
Nødplaner for sikkerhedskopiering
Alle forretningskritiske systemer skal have en plan for
sikkerhedskopiering, således at risikoen for tab af data
minimeres.
Det fremgår af persondatalovens § 41, stk. 3, at den
dataansvarlige myndighed skal træffe de fornødne tekniske og
organisatoriske foranstaltninger mod, at personoplysninger
hændeligt eller ulovligt tilintetgøres, fortabes eller forringes
samt mod, at de kommer til uvedkommendes kendskab, misbruges eller
i øvrigt behandles i strid med lov om behandling af
personoplysninger. Dette lovkrav kan bl.a. imødekommes ved
Side 31 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
sikkerhedskopiering.
Opbevaring af sikkerhedskopier på ekstern
lokation
Datamedier til reetablering af forretningskritiske systemer skal
opbevares på et forhold til systemernes placering eksternt
opbevaringssted.
Integration af informationssystemer
Hvis integration af informationssystemer resulterer i en forøget risiko, skal denne vurderes og godkendes af
ledelsen. 12.4 Logning og overvågning 12.4.1 Hændelseslogning
Opfølgningslogning
IT skal logge sikkerhedshændelser på Kalundborg Kommunes væsentlige systemer.
IT skal logge fejlhændelser på Kalundborg Kommunes væsentlige systemer.
Opbevaring af opfølgningslog
IT skal:
opbevare log for sikkerhedshændelser på væsentlige systemer i mindst 3 måneder.
opbevare log for fejlhændelser på væsentlige systemer i mindst 3 måneder.
opbevare log for brugerhændelser på væsentlige systemer i mindst 3 måneder.
Hændelseslogning
Produktionssystemer bør logge information om adgang og forsøg på adgang, for at kunne spore uautoriseret
aktivitet. Der gælder skærpede krav for systemer, der behandler personoplysninger omfattet af
anmeldelsespligt. Se sikkerhedsbekendtgørelsens § 18.
Alle sikkerhedshændelser skal logges og opbevares i en fastlagt periode af hensyn til opfølgning på
adgangskontroller og eventuel efterforskning af fejl og misbrug.
Logfiler skal regelmæssigt gennemgås af relevante medarbejdere i IT eller det fagområde, der har
systemejerskab for det pågældende system.
Alle medarbejdere, samarbejdspartnere og øvrige brugere skal være bekendt med forretningsgangene for
rapportering af forskellige typer hændelser og svagheder, der kan have indflydelse på sikkerheden for
kommunens aktiver. Sikkerhedshændelser og svagheder skal hurtigst muligt rapporteres til IT.
Henvisning til medarbejderportalen: Værktøjskassen /IT sikkerhedsregler/nfo logning brug af mail, internet,
fagsystemer.
Henvisning: IT's interne sikkerhedsprocedurer:
P 34 Procedure for gennemgang af log filer paa DC servere.
Opfølgningsloggen skal efter omstændighederne
indeholde:
Side 32 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Brugeridentifikation.
Dato og klokkeslæt for væsentlige aktiviteter.
Identificering af arbejdsstation eller netværksenhed.
Registrering af systemadgange og forsøg herpå.
Registrering af dataadgange og forsøg herpå.
Ændringer i systemkonfigurationen.
Brug af særlige rettigheder, for eksempel privilegerede eller
administratorrettigheder.
Brug af hjælpeværktøjer.
Brug af benyttede datafiler.
Anvendte netværk og protokoller.
Alarmer fra adgangskontrolsystem.
Aktivering og deaktivering af beskyttelsessystemer.
Hændelsestype.
Angivelse af om hændelsen lykkedes eller fejlede.
Hændelsens oprindelse.
Navn eller identitet på den anvendte data, systemkomponent,
eller ressource.
Side 33 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Overvågning af internet-brug
Kalundborg Kommune filtrerer og begrænser internetadgang.
IT har mulighed for at opsætte logning dvs. registrering af internettets anvendelse.
Man vil på forhånd - på en klar og utvetydig måde - være informeret om, at registreringen/logningen finder sted,
og at registreringen eventuelt vil blive gennemset som led i en kontrol ved mistanke om brug af internettet i strid
med retningslinier herom
Krav til opfølgningslog
Offentlige myndigheder, der behandler personoplysninger, der er omfattet af persondatalovens regler om
anmeldelsespligt, skal logge enhver anvendelse af anmeldelsespligtige personoplysninger i henhold til reglerne
i sikkerhedsbekendtgørelsens § 19.
Logning efter sikkerhedsbekendtgørelsens § 19
stk. 1: Der skal foretages maskinel registrering (logning) af alle anvendelser af personoplysninger.
Registreringen skal mindst indeholde oplysning om tidspunkt, bruger, type af anvendelse og angivelse af den
person, de anvendte oplysninger vedrørte, eller det anvendte søgekriterium. Loggen skal opbevares i 6
måneder, hvorefter den skal slettes. Myndigheder med et særligt behov kan opbevare loggen i op til 5 år.
stk. 2: Bestemmelsen i stk. 1 finder ikke anvendelse for personoplysninger, som indgår i
tekstbehandlingsdokumenter og lignende, der ikke foreligger i endelig form. Det samme gælder sådanne
dokumenter, som foreligger i endelig form, hvis der sker sletning inden for en af den dataansvarlige myndighed
nærmere fastsat kortere frist.
stk. 3: Bestemmelsen i stk. 1 finder ikke anvendelse, hvis behandlingen af personoplysninger udelukkende sker
ved afvikling af programmer, som foretager en forud defineret massebehandling af personoplysninger (»batch«-
kørsler). Der skal dog foretages maskinel logning af bruger og tidspunkt for behandlingen.
stk. 4: Bestemmelsen i stk. 1 finder endvidere ikke anvendelse, hvis behandlingen af personoplysningerne
udelukkende sker med henblik på statistiske eller videnskabelige undersøgelser, og
identifikationsoplysningerne forinden enten er krypteret eller erstattet med et kodenummer eller lignende. Der
skal dog foretages maskinel logning af bruger og tidspunkt for behandlingen.
stk. 5: Bestemmelsen i stk.1 finder endelig ikke anvendelse for personoplysninger, som i form af måle- eller
analyseresultater automatisk lagres i medicoteknisk udstyr. Undtagelsen omfatter tillige personoplysninger, som
manuelt registreres i medicoteknisk udstyr til supplering af automatisk lagrede oplysninger.
stk. 6: Der gælder skærpede krav for opfølgning i Borgerservicecentre med henvisning til Datatilsynets
publikation"Datasikkerhed i Borgerservicecentre". 12.4.2 Beskyttelse af logoplysninger
Beskyttelse af log-oplysninger
Log-faciliteter og log-oplysninger skal beskyttes mod
manipulation og tekniske fejl. 12.4.3 Administrator- og operatørlog
Overvågning af serviceleverandøren
IT skal regelmæssigt overvåge serviceleverandørerne, gennemgå de aftalte rapporter og logninger samt udføre
egentlige revisioner for at sikre, at aftalen overholdes, og at sikkerhedshændelser og -problemer håndteres
betryggende.
Fejllog
Side 34 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Fejl skal logges og analyseres, og nødvendige udbedringer og modforholdsregler skal gennemføres.
Bemærk: Bestemmelsen sikkerhedsbekendtgørelsens § 19, stk. 1 finder ikke anvendelse, hvis behandlingen af
personoplysninger udelukkende sker ved afvikling af programmer, som foretager en forud defineret
massebehandling af personoplysninger ("batch"-kørsler). Der skal dog foretages maskinel logning af bruger og
tidspunkt for behandlingen. Af Datatilsynets vejledning til denne regel fremgår det, at ved "alle anvendelser af
personoplysninger" skal her forstås de anvendelser, som foretages af brugere af systemet i forbindelse med
deres arbejde. Der er en række aktiviteter i forbindelse med driftsafvikling, som indebærer overvågning af og
indgriben i systemerne af drifts- og systemmedarbejdere. Anvendelser af personoplysninger i forbindelse med
sådanne aktiviteter er ikke omfattet af logningskravet (i sikkerhedsbekendtgørelsens § 19).
Sikkerhedsbekendtgørelsen
Ved sikkerhedsbekendtgørelsen forstås Justitsministeriets bekendtgørelse nr. 528 af 15/06/2000 om
sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning.
Sikkerhedsbekendtgørelsen er uddybet i Datatilsynets sikkerhedsvejledning (vejl. nr. 37).
Sikkerhedsbekendtgørelsen og sikkerhedsvejledningen kan læses på Datatilsynets hjemmeside:
www.datatilsynet.dk / https://www.retsinformation.dk/Forms/R0710.aspx?id=1002.
Krav til administrator og -operatørlog
Aktiviteter udført af systemadministratorer og -operatører samt andre med særlige rettigheder skal logges. 12.4.4 Tidssynkronisering
Tidssynkronisering
IT skal sikre at systemernes ure jævnligt synkroniseres til korrekt tid. 12.5 Styring af driftssoftware 12.5.1 Softwareinstallation på driftsystemer
Krav til indstillinger af internet-browser
MS Internet Explorer og andre browsere skal opsættes jævnfør IT-sikkerhedspolitikken. Brugerne må ikke
ændre denne opsætning. 12.6 Sårbarhedsstyring 12.6.1 Styring af tekniske sårbarheder
Større operativsystemopdatinger, for eksempel "service
packs".
Større opdateringer skal testes grundigt for kompatibilitet med
anvendte applikationer, inden opdateringerne installeres i
produktionsmiljøet.
Større programpakkeopdateringer, for eksempel "service
packs".
Større opdateringer skal testes i et testmiljø, inden
opdateringerne installeres i produktionsmiljøet.
Rettelser til operativsystemer
Side 35 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
IT skal mindst hver uge vurdere tilgængelige sikkerhedsrettelser, for eksempel "patches" eller "hot-fixes", til
anvendte operativsystemer. Udrulning/installation på relevante systemer skal foretages senest en uge efter
vurdering og positiv funktions- og kompatibilitetstest.
Rettelser til applikations-programpakker
Systemejer skal mindst hver uge vurdere tilgængelige
sikkerhedsrettelser, for eksempel "patches" eller "hot-fixes", til
anvendte programpakker. Udrulning/installation på relevante
systemer skal foretages senest en uge efter vurdering og positiv
funktions- og kompatibilitetstest.
Softwareopdateringer generelt
Systemejere er ansvarlige for, at der løbende sker regelmæssig opdatering af anvendt software.
IT skal holde sig informeret om programrettelser til programmer på den centrale driftsplatform i Kalundborg
Kommune og snarest installere disse på alle Kalundborg Kommunes computere, f.eks. servere og
arbejdsstationer. Dette skal ske, når det vurderes, at rettelserne har positiv indflydelse på den samlede
sikkerhed.
Ændringer i forretningskritiske systemer
Alle ændringer i forretningskritiske systemer udføres efter
godkendt procedure. Alle procedurer skal indeholde en alternativ
plan til reetablering af det forretningskritiske system. Vilkårene
for aktivering af den alternative plan skal ligeledes fremgå af
proceduren. 12.6.2 Begrænsninger på softwareinstallation
Installation af programmer på arbejdsstationer
IT installerer programmer på Kalundborg Kommunes Servere og PC-arbejdspladser.
Anskaffelser
IT skal tilse, at kun kendt og sikkert udstyr eller software med et defineret formål må anskaffes og tages i drift.
Udstyr og software må kun indkøbes fra leverandører, som IT vurderer som seriøse, og som må forventes ikke
at krænke tredje parts ophavsret. Herunder indkøb på SKI-aftaler og kommunens egne rammeaftaler.
Sikkerhedsindstillinger i web-browser
Der må kun anvendes godkendte webbrowsere. Brugerne må ikke
forsøge at omgå eller bryde sikringsforanstaltningerne.
Adgang til surfing på internettet
Internetadgangen må benyttes til internetbrowsing - privat brug
i begrænset omfang accepteres i overensstemmelse med
ikt-sikkerhedspolitikken, forudsat at det ikke blokerer for
arbejdsrelateret brug af internettet.
Medarbejderes private brug af internetadgang
Kalundborg Kommunes internetadgang må også anvendes til privat formål, såfremt IT-sikkerhedspolitikken i
øvrigt overholdes, og såfremt arbejdsrelateret brug ikke generes på nogen måde.
Side 36 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Download af dokumenter/filer fra internet
Filer må downloades fra internet i begrænset arbejdsmæssigt
omfang.
Download af programmer fra internet
Det er ikke tilladt at hente programmer fra internet, medmindre det er relateret til løsning af arbejdsopgaver.
Programmer skal godkendes af IT, før de installeres.
Streaming via internet
Det er ikke tilladt at anvende Kalundborg Kommunes netværk til tung og vedvarende trafik, som eksempelvis
radio, tv-tjenester og film med mindre det er fagligt relevant.
Medarbejderens chef afgør, hvilke tjenester der er fagligt relevante. IT afgør, hvilke tjenester der
sikkerhedsmæssigt og driftsmæssigt er forsvarlige.
Overvågning af internet-brug
Kalundborg Kommune filtrerer og begrænser internetadgang.
IT har mulighed for at opsætte logning dvs. registrering af internettets anvendelse.
Man vil på forhånd - på en klar og utvetydig måde - være informeret om, at registreringen/logningen finder sted,
og at registreringen eventuelt vil blive gennemset som led i en kontrol ved mistanke om brug af internettet i strid
med retningslinier herom
Administration af arbejdsstationer
Brugere har administrationsrettigheder til de arbejdsstationer,
de benytter. Dette begrænses dog gennem pålagte politikker. 12.7 Overvejelser i forbindelse med audit af informationssystemer 12.7.1 Kontroller i forbindelse med audit af informationssystemer
Sikkerhed i forbindelse med revision
Revisionskrav og revisionshandlinger i forbindelse med systemer
i drift skal planlægges omhyggeligt og aftales med de involverede
for at minimere risikoen for forstyrrelser af Kalundborg Kommunes
forretningsaktiviteter.
De planlagte revisionshandlinger må kun omfatte læseadgang til
systemer og data.
Hvis revisionen nødvendiggør mere end læseadgang, må dette kun
tillades på kopier af de berørte filer der skal slettes efter
brug.
Al adgang i forbindelse med revision skal logges.
Side 37 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
De personer, der udfører revisionen, skal være uafhængige af det
reviderede område.
Beskyttelse af revisionsværktøjer
Adgangen til revisionsværktøjer skal begrænses for at forhindre misbrug.
Vedligeholdelse og opdatering af IT-systemer er nødvendigt for at opretholde et passende sikkerhedsniveau for
kommunen. Drift af IT-systemer inkluderer elementer af overvågning af systemernes helbredstilstand,
opdatering og sikkerhedskopiering af data. De fleste IT-systemer i dag er afhængige af netværk, og derfor er
administration, opbygning, sikring og vedligehold af netværk vitalt for kommunen. Den trussel, som uautoriseret
adgang indebærer, gør det nødvendigt med klare regler for brugen af kommunens netværk samt overvågning af
infrastrukturen. 13 Kommunikationssikkerhed 13.1 Styring af netværkssikkerhed 13.1.1 Netværksstyring
Installation af trådløst udstyr
Medarbejdere må ikke installere udstyr, der giver trådløs
netadgang direkte på Kalundborg Kommunes netværk.
Rutekontrol
IT skal begrænse rutning imellem forskellige netværkssegmenter således at kun nødvendig trafik videresendes.
Sikring af netværk
IT har det overordnede ansvar for at beskytte Kalundborg Kommunes netværk
Adgang til trådløse netværk for gæster
Gæster, har adgang til gæstenettet via udleveret kodeord. Der gives kun adgang til internettet.
Indkommende netværksforbindelser
Forbindelser fra internettet til den demilitariserede netværkszone (DMZ) må kun oprettes til specifikke IP-
adresser. Og må kun foretages af ITs personale
IT-chefen skal godkende enhver form for indkommende netværksforbindelse fra internet til interne netværk.
Tilslutning af udstyr til netværk
Andre medarbejdere eller konsulenter må ikke koble udstyr sammen med det interne netværk. Kun IT må koble
udstyr på det interne netværk.
Adgang til aktive netværksstik
Adgang til aktive netværksstik skal styres af IT.
Netværksstik i offentligt tilgængelige områder, må kun aktiveres, når dette er forretningsmæssigt begrundet.
Firewall-funktioner på servere
Side 38 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Netværkssegmenter, hvor der findes servere skal være beskyttet
af en firewall.
Det fremgår af sikkerhedsbekendtgørelsens § 14, at der kun må etableres eksterne
kommunikationsforbindelser, hvis der træffes særlige foranstaltninger for at sikre, at uvedkommende ikke
gennem disse forbindelser kan få adgang til personoplysninger.
Datatilsynet har endvidere fastsat regler om transmission af personoplysninger over internettet og andre åbne
netværk. For transmission af personoplysninger omfattet af persondatalovens §§ 7 og 8 kræves stærk
kryptering.
Opdeling af netværk
IT skal segmentere netværk for at etablere en passende adskillelse imellem forskellige tjenester, brugergrupper
eller systemer.
Mindste krav til netværkssegmentering er at IT etablerer en "demilitariseret zone" (DMZ) hvor offentligt
tilgængelige servere placeres adskilt fra internt tilgængelige servere.
Overvågning af netværk
IT skal have den nødvendige viden og redskaber til overvågning af Kalundborg Kommunes netværk, for
eksempel til fejlretning samt detektering og sporing af sikkerhedshændelser.
IT skal løbende overvåge netværk med henblik på detektering af brud på sikkerheden.
Ved hjælp af scanning skal det kontrolleres, at emnefeltet i e-mails ikke indeholder CPR-numre.
Kapacitetsovervågning
Alle serversystemer med kritiske informationer skal løbende
overvåges for tilstrækkelig kapacitet til at sikre pålidelig drift
og tilgængelighed.
Anskaffelser
IT skal tilse, at kun kendt og sikkert udstyr eller software med et defineret formål må anskaffes og tages i drift.
Udstyr og software må kun indkøbes fra leverandører, som IT vurderer som seriøse, og som må forventes ikke
at krænke tredje parts ophavsret. Herunder indkøb på SKI-aftaler og kommunens egne rammeaftaler.
Begrænset netværkstid
Kalundborg Kommunes systemer kører som udgangspunkt hele døgnet.
Der er ingen systemer med begrænset anvendelsestid som følge af
sikkerhedskrav.
Installation af netværksudstyr
Det er ikke tilladt at installere netværksudstyr uden
forudgående sikkerhedsgodkendelse. Dog er det tilladt midlertidigt
at tilslutte switch til deling af et netværksstik i forbindelse med
demonstrationer, møder eller lignende.
Standardværdier, eksempelvis administrator-logins og andre
"fabriksindstillinger", skal ændres, før et system installeres på
netværket.
Side 39 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Adgang til netværket via mobilt udstyr
Netadgang og systemadgang begrænses ved brug af godkendte
firewalls.
Adgang til data på Kalundborg Kommunes netværk
Ved fjernadgang til data på Kalundborg Kommunes netværk, må der
ikke gemmes data på lokale harddiske eller andre eksterne
medier.
Adgang til applikationer på Kalundborg Kommunes netværk
Der gives kun adgang til applikationer på internt netværk, som er sikkerhedsgodkendt af IT.
Medarbejderes fjernarbejdspladser
Tillades når IT-sikkerhedspolitikken i øvrigt overholdes.
Opbevaring af fortrolige informationer på privat pc
Personligt ejet IT-udstyr som pc, PDA, bærbare harddiske, memorysticks, MP3-afspillere, minidisks, cd- eller
dvd-brændere må ikke anvendes til kopiering eller opbevaring af fortrolige data.
Ledelsens overvejelser i forbindelse med
fjernarbejdspladser (risikovurdering)
Fjernarbejdspladsens fysiske sikkerhed skal overvejes.
Den tekniske opsætning af fjernarbejdspladsen skal
overvejes.
Kravene til beskyttelse af netværksforbindelsen skal
overvejes.
Risikoen for uautoriseret adgang, fx for andre medlemmer af
husholdningen skal overvejes.
Risikoen ved eventuelle lokale netværk, herunder specielt
trådløse netværk, skal overvejes.
Aftaler vedrørende ophavsret til programmer og systemer udviklet
for Kalundborg Kommune på privat udstyr skal overvejes.
Kalundborg Kommunes ret til adgang til privat udstyr anvendt som
fjernarbejdsplads i forbindelse med den løbende
sikkerhedsopfølgning eller undersøgelse.
Side 40 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Licensforhold, hvis Kalundborg Kommunes licensbelagte systemer
skal anvendes på udstyr, som ikke ejes af Kalundborg Kommune.
Krav til fjernarbejdspladsudstyrets beskyttelse mod
skadevoldende programmer og netværksangreb skal overvejes.
Retningslinier for hjemme-/fjernarbejdspladser
Der skal anskaffes en passende netværksforbindelse, inklusive metoder til sikring af forbindelsen.
Nærværende IT-Sikkerhedsregler gælder også når der arbejdes fra hjemme-/fjernarbejdspladser. Det er derfor
den enkelte brugers ansvar at sikre at familie og besøgendes ikke får adgang til udstyr og informationer.
Der skal være en forretningsgang for sikkerhedskopiering og beredskab.
Når fjernarbejdsaftalen ophører skal det sikres at autorisationer og adgangsrettigheder inddrages og at udstyr
returneres samt at Kalundborg Kommunes informationer på privat udstyr slettes.
Terminalsessioner til fjernstyring
Godkendt personale må tilgå visse systemer over internetforbindelser, hvis disse sikres på forsvarlig vis.
Adgang skal tillades af den sikkerhedsansvarlige i samråd med systemejerne.
Beskyttelse af diagnose- og konfigurationsporte
Fysisk og logisk adgang til diagnose- og konfigurationsporte skal kontrolleres. 13.1.2 Sikring af netværkstjenester
Brug af kryptering i forbindelse med
dataudveksling
Adgangskoder skal sendes krypteret.
Det kræves, at e-mail og data, der indeholder fortrolige
informationer, altid er krypteret under transmission.
Det kræves, at der benyttes stærk kryptering, baseret på en
anerkendt algoritme, når følsomme personoplysninger
transmitteres.
Kryptering af administrative netværksforbindelser
Netværksforbindelser, der benyttes til IT-administration skal altid krypteres. Dette betyder alt udstyr undtagen
terminaler med direkte forbindelse.
Afvikling af programmer i forbindelse med internetsurfing
Det er tilladt at afvikle browserbaserede programmer for eksempel netbank-programmer forudsat IT-
sikkerhedspolitikken i øvrigt overholdes.
Afvikling af programmer er kun tilladt under forudsætning af at bruger kan dokumentere at leverandør er en
anerkendt og kommerciel virksomhed.
Side 41 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Internetbaserede tjenester
IT kan lukke af for uhensigtsmæssige internetservices.
Fjernstyring og -administration
Det er tilladt at benytte værktøjer til fjernadministration,
hvis der foreligger sikkerhedsgodkendelse af produktet og
opkoblingsformen. 13.2 Informationsoverførsel 13.2.1 Politikker og procedurer for informationsoverførsel
Udlevering af fortrolige informationer og
oplysninger
Fortrolige informationer og oplysninger må udleveres, hvis der
foreligger underskrevne fortrolighedsaftaler.
Personoplysninger må kun videregives inden for rammerne af
regler på persondatalovens område.
Procedurer for informationsudveksling
IT-chefen har ansvaret for, at der foreligger retningslinier og procedurer for enhver form for elektronisk
informationsudveksling.
Pågældende chef har ansvaret for, at der foreligger retningslinier og procedurer for fysisk
informationsudveksling.
Når der benyttes åbne- og trådløse net skal behovet for særlig beskyttelse altid vurderes. Datatilsynet har
endvidere fastsat regler om transmission af personoplysninger over internettet og andre åbne netværk. For
transmission af personoplysninger omfattet af persondatalovens §§ 7 og 8 kræves stærk kryptering.
Udskrivning
Printere, som benyttes til udskrivning af fortrolige
informationer, skal placeres i lokaler, der ikke er generelt
tilgængelige.
Aftaler om informationsudveksling
Ved struktureret og permanent udveksling af information og software imellem Kalundborg Kommune og
samarbejdspartnere skal der foreligge en aftale herom. Aftalen skal beskrive grænsefladerne.
Det fremgår af sikkerhedsbekendtgørelsens § 14, at der kun må etableres eksterne
kommunikationsforbindelser, hvis der træffes særlige foranstaltninger for at sikre, at uvedkommende ikke
gennem disse forbindelser kan få adgang til personoplysninger. Kommunen behandler andre typer fortrolige
oplysninger, som er omfattet af samme regler.
Henvisning til:
Medarbejderprotalen: Værktøjskassen/IT-Retningslinjer IT miljøet/Adgang til anden brugers postkasse-instruks.
Side 42 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
13.2.2 Elektroniske meddelelser
Brug af messenger-programmer
Det er kun tilladt at bruge messenger-programmer til arbejdsmæssige formål. Det er IT der godkender hvilke
messenger programmer der må benyttes. Kalundborg Kommune benytter LYNC til dette formål.
Autentificering
Brugere skal være opmærksomme på, at messenger-programmer
anvender svag autentificering. Det vil sige, brugeren har sjældent
eller aldrig vished for, hvem der kommunikeres med.
Brugere skal være opmærksomme på, at de via
messenger-programmer, kan udsættes for "social engineering". Det
vil sige andre personers forsøg på at udnytte brugerens hjælpsomhed
til at få informationer.
Informationsudveksling med eksterne parter
Messenger applikationer må kun bruges til at udveksle
uklassificerede informationer med eksterne parter.
Afsendere og modtagere
Messenger-kommunikation må anvendes både med medarbejdere og
eksterne personer, for eksempel borgere og samarbejdspartnere.
Social Engineering
Medarbejdere skal, når de behandler fortrolige informationer,
være passende opmærksomme på begrebet "social engineering" eller
"kunsten at aflure fortrolige informationer uden at blive opdaget".
For eksempel kan denne form for bedrag udføres via e-mail, telefon
og/eller messenger-programmer.
Elektronisk udveksling af post og dokumenter
IT-chefen beslutter for hvilke aftaler og typer af dokumenter, der skal anvendes digital signatur.
Fortrolig mail
E-mail med følsomt indhold skal krypteres med godkendt software.
Dette gælder især for klassificeret, fortrolig eller intern
information, der sendes over internet.
E-mails med fortrolige eller følsomme personoplysninger
(oplysninger omfattet af persondatalovens §§ 7 og 8) skal altid
krypteres, når de sendes over internettet eller andre åbne
netværk.
Side 43 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
••••
I Kalundborg Kommune er løsningerne "Digital post" og "Send
sikker post" de godkendte løsninger til kommunikation af fortrolig
information.
Opbevaring og sletning af e-post
E-mail, der indeholder personhenførbare oplysninger, skal
behandles i overensstemmelse med persondataloven.
Kontrol af overholdelse persondatalovgivning
Ledelse, Jura og Kommunikation instruerer kommunens enheder i regler på persondatalovens område og
håndtering af personoplysninger i det hele taget.
IT håndterer anmeldelser til Datatilsynet og kontakt til Rigsarkivet ( tidligere kaldet Statens Arkiver).
Persondataloven gælder for behandling af oplysninger om
identificerbare personer, når denne behandling helt eller delvis
foretages ved hjælp af elektronisk databehandling og ved
ikke-elektronisk behandling af personoplysninger, der indeholdes i
et register.
Krav til beskyttelse af personoplysninger
Der skal findes foranstaltninger til beskyttelse af
personoplysninger, dvs. enhver form for information om en
identificeret eller identificerbar fysisk person.
Retningslinier for overholdes af lov om personoplysninger
Der skal træffes de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger for at sikre
personoplysningerne.
I forhold til persondataloven skal ansatte i Kalundborg Kommune særlig være opmærksomme på:
1. Hvornår en behandling er omfattet af persondataloven
2. Eventuel anmeldelsespligt
3. Den registreredes rettigheder: a. oplysningspligt, b. indsigtsret, c. indsigelsesret
4. Aftaler med eventuelle outsourcing leverandører
Phishing og bedrageri
Uanset at Kalundborg Kommune udfører indholdscanning af alle
e-mails, skal brugere være opmærksomme på "phishing" og "social
engineering", der for eksempel kan betyde, at de kan modtage
tilsyneladende oprigtige e-mails, der forsøger at franarre
personlige eller fortrolige oplysninger, eller forsøger at få
brugeren til at foretage uønskede handlinger.
Vedhæftede filer
Programfiler og kommando-filer må ikke vedhæftes eller åbnes. Det gælder eksempelvis følgende filtyper: .exe,
.com, .scr, .pif, .bat, cmd, .vbs.
IT skal blokere for filtyper, som IT vurderer farlige eller uhensigtsmæssige.
Sagsbehandling og journalisering af e-mail
Side 44 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Modtaget og afsendt e-mail skal journaliseres og behandles i henhold til "Retningslinier for behandling af sager
og dokumenter".
Henvisning til retningslinjer på medarbejderportalen: Værktøjskassen/IT/Systemer/KMD
SAG/Retningslinjer/Overordnede Retningslinjer.
Henvisning til medarbejderportalen: Værktøjskassen/IT - Sikkerhedsregler/30 dages reglen om sletning af
dokumenter-
Opbevaring og sletning af e-post
E-mail, der indeholder personhenførbare oplysninger, skal
behandles i overensstemmelse med persondataloven.
Medarbejderes private brug af e-mail
Kalundborg Kommune tillader brug af e-mail-systemer også til privat brug, såfremt IT-sikkerhedspolitikken i
øvrigt overholdes.
Kalundborg Kommune forbeholder sig ret til at skaffe sig adgang til data og e-mail for medarbejdere, hvis dette
sker af drifts- eller sikkerhedshensyn. Kalundborg Kommune vil så vidt muligt forsøge at undgå at åbne
eventuel privat e-mail-korrespondance.
Der henvises til IT's interne sikkerhedsprocedurer P 27 Procedure for tilgang af medarbejder postkasser.
Det er acceptabelt at benytte e-mail til private beskeder i rimeligt og begrænset omfang.
Kalundborg Kommune tillader ikke, at medarbejdere anvender kryptering til at sende privat e-mail.
Kalundborg Kommune tillader ikke privat eller kommerciel salg og markedsføring eller politiske formål via
mailsystemet.
Det er ikke tilladt at sætte automatisk videresendelse af mail til en ikke "Kalundborg kommune" postkasse. Dvs.
der må ikke laves automatisk videresendelse af mails til eks. hotmail, yahoo, G-mail osv.
Brug af previewfunktion til åbning af e-mail
E-mail må gerne vises i preview funktion (vis indholdsrude).
Spam-mail beskyttelse
Kalundborg Kommune bortfiltrerer e-mail inkl. eventuelle vedhæftede filer, der opfylder Kalundborg Kommunes
kriterier for spam-mails.
Medarbejderne skal udvise forsigtighed med deres brugeridentitet i forbindelse med videregivelse af
eksempelvis mailadresser, samt i forbindelse med modtagelsen af uønskede e-mails.
Indstillinger i kalender
Hvis der skrives fortrolige/følsomme oplysninger i aftalerne, skal disse markeres som privat.
Hvis private aftaler benyttes til fortrolige/følsomme oplysninger skal der gives tilladelse til at øvrige
medarbejdere i afdelingen som skal kunne læse disse.
Mødeindkaldelser må ikke indeholde personfølsomme oplysninger 14 Anskaffelse, udvikling og vedligeholdelse af systemer
Side 45 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
14.1 Sikkerhedskrav til informationssystemer 14.1.1 Analyse og specifikation af informationssikkerhedskrav
Anskaffelsesprocedurer
Det skal sikres, at nyanskaffelser ikke giver anledning til konflikt med eksisterende krav i IT-
sikkerhedspolitikken.
Anskaffelser må ikke give anledning til forøget risiko for sikkerhedshændelser, med mindre at ledelsen
accepterer den øgede risiko.
Ethvert nyt system skal gennemgå detaljeret risikoanalyse såfremt IT-chefen beslutter dette på baggrund af den
udførte risikovurdering.
Anskaffelse og installation af nyt informationsbehandlingsudstyr og -systemer skal igennem en
godkendelsesprocedure.
Henvisning til IT's interne sikkerhedsprocedurer P 28 Godkendelsesprocedure for anskaffelse og installation af
nyt informationsbehandlingsudstyr.
Kontrol af intern databehandling
Systemejer skal sikre en kontrol af datas korrekthed i Kalundborg Kommunes systemer eller applikationer med
det formål at afsløre, om data kan eller er blevet modificeret, enten på grund af systemfejl eller bevidste
handlinger. 14.1.2 Beskyttelse af handelsapplikationer og -tjenester
Online transaktioner
Online transaktionssystemer skal beskyttes særligt, især hvis eksterne brugere tilbydes mulighed for direkte at
opdatere i Kalundborg Kommunes databaser. IT skal præcisere de nødvendige krav.
Krav til elektronisk handel
Information involveret i elektronisk handel over offentligt netværk skal beskyttes mod svindel, kontraktlige
uoverensstemmelser, uautoriseret adgang og ændringer.
Foranstaltninger ved elektronisk handel skal omfatte:
Krav til kontrol af autenticitet af både køber og sælger.
Procedurer for tildeling af autorisationer til at indgå bindende købs- og salgsaftaler.
Procedurer for verifikation af autorisationer.
Krav til fortrolighed, integritet og uafviselighed for både køber og sælger, f.eks. i forbindelse med
kontraktindgåelse.
Krav til troværdighed af sælgers prisliste.
Krav til fortrolighed for følsomme oplysninger.
Krav til fortrolighed og integritet for alle købsordrer, betalingsoplysninger, leveringsadresser og kvitteringer.
Kontrolprocedure for betalingsoplysninger.
Krav til en sikker og hensigtsmæssig betalingsprocedure.
Krav til beskyttelse af fortrolighed og integritet for ordreoplysninger.
Beskyttelse mod tab eller gentagelse af transaktioner.
Ansvarsplaceringen ved bedrageri skal være fastlagt.
Forsikringsforhold.
Side 46 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
••••
14.2 Sikkerhed i udviklings- og hjælpeprocesser 14.2.1 Sikker udviklingspolitik
Indkøb, udvikling og implementering af nye systemer i kommunen skal foregå kontrolleret for at undgå en
unødvendig forøgelse af risiko for informationssikkerheden. Når løsninger implementeres bør,
sikkerhedsovervejelser altid indgå som en integreret del af processen.
Databaseintegritet
Databasesikkerhed, integritetsstyring og datavalidering skal
anvendes for at reducere muligheden for kompromittering af
integriteten.
Integritet af andre data
Integriteten for ikke-kritiske data skal beskyttes med
input-kontrol (validering). Andre former for kontroller kan
specificeres for individuelle systemer og processer.
Sikring af udviklingsmiljøer
Udviklingsmiljøer skal specielt sikre integritet i
udviklingsprocessen, herunder sikring mod tab af data.
Sikkerhed i applikationsudvikling
Sikkerhed skal inkluderes som en integreret del af alle
udviklingsprojekter.
Integritet af meddelelser
IT skal sikre at der foretages risikovurderinger af, hvorvidt meddelelsers integritet skal beskyttes samt den mest
hensigtsmæssige metode til at implementere dette på.
Risikohåndtering
Forud for beslutning om håndtering af en risiko skal Kalundborg Kommune fastsætte kriterier for at acceptere,
om risici kan accepteres eller ikke.
I beslutningsprocessen omkring accept af en given risiko vil Kalundborg Kommune overveje den
forretningsmæssige værdi af etablering af relevante sikringsforanstaltninger.
Beslutninger om at acceptere en given risiko skal være dokumenterede.
Håndtering af risici
Risici der er vurderet som værende kritiske for forretningen, skal formelt håndteres.
Risici håndteres på en eller flere af følgende måder:
Ved reduktion af risikoen.
Ved at dele risikoen med 3. part
Ved at undgå risikoen
Ved at acceptere risikoen
Validering af inddata
Data, der sendes ind i systemerne, skal valideres for
korrekthed.
Side 47 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Periodisk gennemgang af nøgledata skal bekræfte deres validitet
og integritet.
Der testes om data virker plausible før de sendes ind i
systemerne.
Der skal genereres log over de aktiviteter der sender data ind i
systemet.
Håndtering af inddata
Inddatamateriale der ikke er digitalt skal opbevares aflåst, når det ikke benyttes.
Adgang til inddatamateriale skal begrænses til de personer, der har behov for dette.
Kalundborg Kommune har fastlagt formelle retningslinier for forsvarlig opbevaring af inddatamateriale.
Inddatamateriale skal slettes eller tilintetgøres, når det ikke længere skal anvendes.
Kalundborg Kommune har fastlagt procedure for tilintetgørelse af inddatamateriale der sikrer, at inddata ikke, i
denne sammenhæng, kan misbruges eller komme uvedkommende til kendskab.
Validering af uddata
Systemejer har ansvar for, at uddata fra Kalundborg Kommunes systemer eller applikationer løbende valideres
med det formål at sikre, data så vidt muligt er korrekte.
Håndtering af uddata
Kalundborg Kommune skal sikre, at uvedkommende ikke får adgang til uddatamateriale, som indeholder
persondata.
Adgang til uddatamateriale, der indeholder persondata, skal begrænses til de personer, der har behov for dette.
Kalundborg Kommune skal fastsætte formelle retningslinier for forsvarlig opbevaring af uddatamateriale.
Uddatamateriale, der indeholder persondata, skal slettes eller tilintetgøres senest et år efter, at der ikke
længere er brug for materialet.
Kalundborg Kommune skal fastlægge en procedure for tilintetgørelse af uddatamateriale der sikrer, at uddata
ikke, i denne sammenhæng, kan misbruges eller komme uvedkommende til kendskab. 14.2.2 Procedurer for styring af systemændringer
Henvisning til IT's interne sikkerhedsprocedurer P 22 Hovedpunkter vedr. aplikationsopdateringer i Citrix - XEN
7. 14.2.3 Teknisk gennemgang af applikationer efter ændring af driftsplatforme
Gennemgang af systemer efter ændringer
Når driftsmiljøerne ændres skal kritiske forretningssystemer
gennemgås og testes for at sikre, at det ikke har utilsigtede
afledte virkninger på Kalundborg Kommunes daglige drift. 14.2.4 Begrænsning af ændringer af softwarepakker
Side 48 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Ændringer i standardsystemer
Ændringer i eksternt leverede systemer skal begrænses til
nødvendige ændringer, og sådanne ændringer skal styres
omhyggeligt. 14.2.5 Principper for udvikling af sikre systemer
Sikkerhedskrav til
informationsbehandlingssystemer
Kalundborg Kommunes ønsker til nye såvel som bestående systemer
skal indeholde krav til sikkerheden med udgangspunkt i en
risikovurdering.
Sikkerhed i systemplanlægning
Ved planlægning af systemer skal sikkerhedsbetragtninger altid medtages i overvejelserne.
IT-sikkerhedskrav skal tages i betragtning ved design, aftestning, implementering og opgradering af nye IT-
systemer og ved systemændringer.
Specifikation af sikkerhedskrav
Såfremt en overordnet risikovurdering retfærdiggør aktiviteten, skal sikkerhedskrav dokumenteres i forbindelse
med ethvert IT-system nyanskaffelse eller IT-systemopgradering. Dette gælder for kundetilpassede og
standardsystemer. 14.2.6 Sikkert udviklingsmiljø
Kalundborg Kommune har ikke egen udvikling. 14.2.7 Outsourcet udvikling
Ekstern revision af outsourcingpartnere
Relevante outsourcingpartnere skal sørge for ekstern revision
mindst en gang om året.
Integration af systemer ved samarbejde med partnere
Ved integration af Kalundborg Kommunes systemer og processer med
eksterne samarbejdspartnere bliver sikkerhedsrisici altid
vurdereret og dokumenteret.
Sikkerhedsvurdering af eksterne parter
Der skal udføres en sikkerhedsvurdering af eksterne parter før
et eventuelt samarbejde.
Information til eksterne partnere
Relevante interessenter skal informeres om krav til efterlevelse af IT-sikkerhedspolitikkerne i Kalundborg
Kommune.
Outsourcing
Side 49 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Ved outsourcing af IT-systemer skal IT-chefen inden indgåelse af kontrakt indhente information om
sikkerhedsniveau fra outsourcingpartner og godkende, at Kalundborg Kommunes sikkerhed samlet set ikke
forringes af outsourcing.
Ekstern revision af outsourcingpartnere
Relevante outsourcingpartnere skal sørge for ekstern revision
mindst en gang om året.
Krav til periodisk opfølgning
Der skal med planlagte intervaller, dog altid ved væsentlige ændringer, foretages en uafhængig vurdering af,
hvordan IT-sikkerhedspolitikken, -strategien og de vedtagne retningslinier i praksis gennemføres, om den
daglige praksis afspejler politikken, strategien og retningslinierne, og om de overholdes.
Interne bestemmelser fastsat i henhold til sikkerhedsbekendtgørelsens § 5, stk. 2 skal gennemgås mindst én
gang hvert år med henblik på at sikre, at de er fyldestgørende og afspejler de faktiske forhold i myndigheden.
Systemudvikling udført af ekstern leverandør
Kalundborg Kommune kræver adgang til at overvåge
udviklingsprocessen.
Kalundborg Kommune kræver afleveringstest.
Kalundborg Kommune kræver dokumenteret løbende
kvalitetssikring.
Kalundborg Kommune kræver deponering af kildekode.
Kalundborg Kommune kræver ophavsrettighed på kildekode.
Information til eksterne partnere
Relevante interessenter skal informeres om krav til efterlevelse af ikt-sikkerhedspolitikkerne i Kalundborg
Kommune.
Når man indgår aftaler med samarbejdspartnere og databehandlere, skal man være opmærksom på reglerne i
persondatalovens §§ 41 og 42 sikkerhed og eksternt samarbejde. 14.2.8 Systemgodkendelsestest
Godkendelse af nye eller ændrede systemer
IT skal etablere en godkendelsesprocedure for nye versioner og for opdateringer af eksisterende systemer samt
de afprøvninger, der skal foretages, inden de kan godkendes og sættes i drift.
Godkendelsesproceduren skal sikre, at standardværdier, eksempelvis standard administrator-logins og andre
"fabriksindstillinger", bliver ændret, før et system installeres på netværket.
Henvisning til IT's interne sikkerhedsprocedurer P 36 Godkendelsesprocedure for nye eller ændrede systemer.
Side 50 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
14.3 Testdata 14.3.1 Sikring af testdata
Sikring af testdata
Data til test skal udvælges, kontrolleres og beskyttes
omhyggeligt og i henhold til deres klassifikation.
Det skal formelt godkendes inden data fra driftsmiljøet kopieres
til et testmiljø.
Data fra driftsmiljøet, der anvendes i testmiljøer, skal slettes
omgående efter afsluttet test.
Kopiering og brug af data fra driftsmiljøet til test skal logges
for at sikre kontrolsporet.
Håndtering af kildekode til systemer i Kalundborg Kommune
Kalundborg Kommune ligger ikke inde med kildekode til systemer. 15 Leverandørforhold 15.1 Informationssikkerhed i leverandørforhold 15.1.1 Informationssikkerhedspolitik for leverandørforhold
Ved kontraktindgåelse skal det sikres at leverandør overholder Kalundborg Kommunes sikkerhedsregler og
godkendt relevant revisionspåtegning. 15.1.2 Håndtering af sikkerhed i leverandøraftaler
Det skal sikres at Kalundborg Kommunes sikkerhedsregler samt sikkerhedsbekendtgørelse overholdes. Dette
sikres gennem kontrakt, databehandleraftale, samt indhentning af revisionspåtegnelser. 15.1.3 Forsyningskæde for informations- og kommunikationsteknologi
Netværksleverandøren skal kunne levere:
opkoblingsforbindelser der er sikret i overensstemmelse med de indgåede samarbejdsaftaler. 15.2 Styring af leverandørydelser 15.2.1 Overvågning og gennemgang af leverandørydelser
Det er den enkelte systemejers ansvar at sikre at systemlevenrandører løbende leverer de ydelser som
kontrakten omhandler. 15.2.2 Styring af ændringer af leverandørydelser
Side 51 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Styring af ændringer hos serviceleverandøren.
IT skal sikre, at ændringsstyring af serviceleverandørens ydelser følger samme retningslinier som Kalundborg
Kommunes egen.
Krav til serviceleverancen
Det skal sikres, at der er indgået en aftale omkring serviceleverancen, og at de aftalte sikrings- og
kontrolforanstaltninger, serviceydelser og servicemål bliver etableret, leveret og opretholdt. jf. 6.2 "Eksterne
samarbejdspartnere".
Det fremgår af persondatalovens § 42, stk. 2, at gennemførelse af en behandling ved en databehandler skal
ske i henhold til en skriftlig aftale parterne imellem. Af aftalen skal det fremgå, at databehandleren alene
handler efter instruks fra den dataansvarlige, og at reglerne i lovens § 41, stk. 3-5, ligeledes gælder for
behandlingen ved databehandleren. Hvis databehandleren er etableret i en anden EU-medlemsstat, skal det
fremgå af aftalen, at de bestemmelser om sikkerhedsforanstaltninger, som er fastsat i lovgivningen i den
medlemsstat, hvor databehandleren er etableret, gælder for denne.
Det fremgår af persondatalovens § 41, at personer, virksomheder mv., der udfører arbejde under den
dataansvarlige eller databehandleren, og som får adgang til oplysninger, kun må behandle disse efter instruks
fra den dataansvarlige, medmindre andet følger af lov eller bestemmelser fastsat i henhold til lov. 16 Styring af informationssikkerhedsbrud 16.1 Styring af informationssikkerhedsbrud og forbedringer 16.1.1 Ansvar og procedurer
Ansvar og forretningsgange for sikkerhedshændelser
IT er ansvarlig for at fastlægge forretningsgange, der sikrer en hurtig, effektiv og metodisk håndtering af
sikkerhedsbrud.
Henvisning til medarbejderportalen: Værktøjskassen/IT sikkerhedsregler/Procedurer for rapportering af
sikkerhedshændelser.
Henvisning til IT's interne sikkerprocedurer P 23 Procedurer for IT's rapportering af sikkerhedshændelser.
Proces for reaktion på hændelser
IT-chefen:
- har ansvar for at definere og koordinere en struktureret ledelsesproces, der sikrer en passende reaktion på
sikkerhedshændelser.
- skal definere telefonnumre, e-mail-adresser og elektroniske formularer til indrapportering af
sikkerhedshændelser.
- skal etablere og vedligeholde en procedure, der sikrer et passende svar til personer, som rapporterer en mulig
sikkerhedshændelse.
Tilgængelighedshændelser
Hændelser, der har indflydelse på tilgængelighed, skal afklares
i henhold til gældende driftsaftaler (SLA). Driftshændelser, der
ikke kan afklares indenfor aftalt tid, skal udløse procedurer for
hændelseshåndtering. De ramte brugere og systemejere skal
Side 52 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
informeres.
Information om sikkerhedshændelser
Kalundborg Kommune skal på faktuel vis informere berørte parter internt og eksternt om eventuelle
sikkerhedshændelser. IT-chefen skal godkende alle eksterne meddelelser.
Overvågning af tilgængelighed
IT skal løbende overvåge alle forretningskritiske IT-systemer og regelmæssigt dokumentere systemernes
tilgængelighed.
Fortrolighedserklæring for eksterne parter
Det skal sikres, at eksterne parter, der kan få adgang til Kalundborg Kommunes data, er omfattet af en
fortrolighedserklæring.
Krav til samarbejdsaftaler
Ethvert formaliseret eksternt samarbejde skal baseres på en
samarbejdsaftale, som sikrer, at Kalundborg Kommunes
sikkerhedsmålsætning ikke kompromitteres.
Når en dataansvarlig overlader en behandling af
personoplysninger til en ekstern databehandler, skal den
dataansvarlige i henhold til persondatalovens § 42 sikre sig, at
databehandleren kan træffe de i lovens § 41, stk. 3-5, nævnte
tekniske og organisatoriske sikkerhedsforanstaltninger, og påse, at
dette sker.
Gennemførelse af en behandling ved en databehandler skal efter
reglerne i persondatalovens § 42, stk. 2, ske i henhold til en
skriftlig aftale parterne imellem. Af aftalen skal det fremgå, at
databehandleren alene handler efter instruks fra den
dataansvarlige, og at reglerne i § 41, stk. 3-5, ligeledes gælder
for behandlingen ved databehandleren. Hvis databehandleren er
etableret i en anden EU-medlemsstat, skal det fremgå af aftalen, at
de bestemmelser om sikkerhedsforanstaltninger, som er fastsat i
lovgivningen i den medlemsstat, hvor databehandleren er etableret,
gælder for denne.
Hvis en samarbejdspartner behandler personoplysninger, skal der
foreligge en skriftlig samarbejdsaftale, af hvilken det fremgår, at
samarbejdspartneren er underlagt samme sikkerhedskrav som
Kalundborg Kommune.
Det fremgår af persondatalovens § 41, at personer, virksomheder
mv., der udfører arbejde under den dataansvarlige eller
Side 53 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
databehandleren, og som får adgang til oplysninger, kun må behandle
disse efter instruks fra den dataansvarlige, medmindre andet følger
af lov eller bestemmelser fastsat i henhold til lov. 16.1.2 Rapportering af informationssikkerhedshændelser
Rapportering af sikkerhedshændelser
IT eller eventuelle outsourcingpartnere skal sikre at der rapporteres om hændelser af betydning for
sikkerheden. Mere konkret skal fortrolighed, dataintegritet og tilgængelighed af systemer rapporteres.
Informationen skal målrettes til ledelsen og de systemansvarlige.
For væsentlige applikationer sikres information om hændelser m.v. gennem afholdelse af periodiske
driftstatusmøder.
Rapportering af formodede sikkerhedshændelser
Ved konstatering af brud på eller formodede brud på IT-sikringsforanstaltninger skal repportering straks ske til
IT.
Kapacitetsovervågning
Alle serversystemer med kritiske informationer skal løbende overvåges for tilstrækkelig kapacitet til at sikre
pålidelig drift og tilgængelighed. 16.1.3 Rapportering af informationssikkerhedssvagheder
Rapportering af programfejl
Brugere der observerer programfejl, som de ikke har oplevet før, skal rapportere dette til den systemansvarlige
eller IT.
Rapportering af formodede sikkerhedshændelser
Ved konstatering af brud eller formodede brud på IT-sikringsforanstaltninger skal rapportering straks ske til IT. 16.1.4 Vurdering af og beslutning om informationssikkerhedshændelser
Vurdering af tidligere hændelser
Mindst en gang om året skal IT gennemgå den forgangne periodes hændelser og på denne baggrund anbefale,
hvorvidt IT-sikkerhedssystemet kan forbedres eller præciseres. Fx ved forslag om opdaterede regler eller
procedurer eller opdateret risikovurdering. 16.1.5 Håndtering af informationssikkerhedsbrud
Se punkt 16.1.1. 16.1.6 Erfaring fra informationssikkerhedsbrud
At lære af sikkerhedsnedbrud
IT skal etablere en forretningsgang, der kan kvantificere og overvåge typer, omfanget og evt. omkostningerne
ved håndteringen af sikkerhedsbrud.
Henvisnig til IT beredskabsplaner på F drevet: Alle/Beredskabsplan/Digitalisering IT.
Side 54 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Opfølgning på rapporterede sikkerhedshændelser
IT-chefen er ansvarlig for at opsamle statistik for rapporterede sikkerhedshændelser.
Kontrol og opfølgning på sikkerhedsbrud
Brud på sikkerheden, uautoriseret adgang og forsøg på
uautoriseret adgang til systemer, informationer og data skal
registreres. 16.1.7 Indsamling af beviser
Kontakt med relevante myndigheder
Ved brud på sikkerheden skal der være etableret en procedure for håndtering af bevismateriale og eventuelt
kontakt med relevante myndigheder.
Henvisning til IT's interne sikkerhedsprocedurer P 38 Procedure for håndtering af bevismateriale og eventuelt
kontakt med relevante myndigheder.
Indsamiling af beviser
Hvis et sikkerhedsbrud afstedkommer et retsligt efterspil uanset
om sikkerhedsbruddet er foretaget af en person eller en virksomhed
så skal der indsamles, opbevares og præsenteres et fyldestgørende
bevismateriale. 17 Informationssikkerhedsaspekter ved nød-, beredskabs- og reetableringsstyring 17.1 Informationssikkerhedskontinuitet 17.1.1 Planlægning af informationssikkerhedskontinuitet
Risikostyring og katastrofeplanlægning er nødvendige for at sikre kommunen mod uforudsete hændelser.
Nødplanerne skal være med til at opretholde driften, således at skaderne for kommunen minimeres.
Retablering af forretningskritiske systemer på ny
lokation
For alle forretningskritiske systemer skal der forefindes en
plan for retablering på ny lokation.
Nødprocedurer for kritiske processer
Der skal for alle forretningskritiske processer eksistere en opdateret nødprocedure, der kan sættes i drift.
Henvisning til F drevet: Alle/beredsskabsplan/digitalisering og IT/IT beredskabsplaner.
Side 55 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Beredskabsstyringsproces
I henhold til procedure skal IT udarbejde og vedligeholde en tværorganisatorisk beredskabsstyringsproces, som
skal behandle de krav til informationssikkerhed, der er nødvendige for Kalundborg Kommunes fortsatte drift.
Henvisning til F drevet: Alle/Beredsskabsplan/Digitaliserin og IT/IT beredskabsplaner.
Forsikring mod hændelser
Ledelsen skal vurdere, om forsikring kan medvirke til minimering
af risiko for tab. Især på områder, hvor sikringsforanstaltninger
er vurderet som uhensigtsmæssige eller utilstrækkelige, skal dette
overvejes.
Identifikation af kritiske processer
Alle forretningskritiske funktioner og disses relaterede
processer, systemer og ejere skal være identificerede og
dokumenterede.
Ramme for beredskabsplaner
Ledelsen skal fastlægge en ensartet ramme for Kalundborg
Kommunes beredskabsplaner for at sikre, at alle planerne er
sammenhængende og tilgodeser alle sikkerhedskrav, samt at de
fastlægger prioriteringen af afprøvning og vedligeholdelse. 17.1.2 Implementering af informationssikkerhedskontinuitet
Aktivering af beredskabsplanen
Det skal være klart defineret, hvem der har ansvaret for
aktivering af beredskabsplaner.
Medarbejdere, der udgør en del af beredskabsplanen, skal være
informeret om dette ansvar.
Alle medarbejdere skal være informeret om beredskabsplanernes
eksistens.
Beredskabsplan
Beredskabsplaner skal udarbejdes, afprøves og vedligeholdes for forretningskritiske systemer og processer. IT-
chefen er ansvarlig for at koordinere disse aktiviteter og for at lave en statusrapport til topledelsen hvert år.
Henvisning til F drevet: Alle/Beredsskabsplan/Digitalisering og IT/IT beredskabsplaner.
Nødplaner for sikkerhedskopiering
Alle forretningskritiske systemer skal have en nødplan for
sikkerhedskopiering, således at risikoen for tab af data
minimeres.
Side 56 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Iværksættelse af nødplaner
Det skal være klart defineret hvem der har ansvaret for at
aktivere nødplaner.
Opdatering af beredskabsplaner
Mindst 1 gang om året skal beredskabsplaner gennemgås med
henblik på opdatering.
De forretningskritiske systemer er beskrevet i kommunens beredskabsplan for IT-området.
Konsekvensvurdering
Konsekvenser af hændelser i mod IT-systemerne skal løbende vurderes.
Risikoanalyse
Der skal udføres detaljeret risikoanalyse for de områder, hvor den overordnede risikovurdering begrunder det.
Overordnet risikovurdering
Der skal være udført en overordnet risikovurdering, der indeholder konsekvensvurdering og
sårbarhedsvurdering.
Risikovurderingen skal opdateres mindst en gang om året.
Risikovurderingen skal omfatte alle væsentlige IT-systemer. 17.1.3 Verificer, gennemgå og evaluer informationssikkerhedskontinuiteten
Uddannelse i beredskabsplaner
Ledelsen har ansvaret for, at der foregår tilstrækkelig uddannelse af medarbejdere i de aftalte
beredskabsprocedurer, inklusive krisehåndtering.
Afprøvning og vedligeholdelse af
beredskabsplaner
Beredskabsplaner skal løbende afprøves og opdateres for at
sikre, at de er tidssvarende og effektive.
Afprøvning af beredskabsplaner kan indeholde:
En skrivebordstest af de forskellige scenarier.
Simuleringer (med henblik på at træne deltagerne i håndtering af deres roller efter episoden).
Teknisk retablering (sikring af at tekniske systemer kan retableres effektivt)
Retablering i andre lokaler end de oprindelige (gennemføre parallel drift i andre lokaler)
Test af leverandørens faciliteter og ydelser (sikre at eksterne ydelser og produkter lever op til betingelserne i
kontrakten).
Test af total afprøvning (afprøve at organisationen, personalet, udstyret, faciliteterne og nødprocedurerne kan
håndtere katastrofer) 18 Overensstemmelse 18.1 Overensstemmelse med lov- og kontraktkrav 18.1.1 Identifikation af gældende lovgivning og kontraktkrav
Side 57 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Mange aspekter af kommunens virke kan være omfattet af lovgivning eller påvirket af kontrakter eller eksterne
parters rettigheder.
Krav til identifikation af relevante eksterne krav
Alle relevante eksterne sikkerhedskrav og Kalundborg Kommunes håndtering heraf skal klarlægges,
dokumenteres og løbende vedligeholdes for hvert enkelt af Kalundborg Kommunes informationssystemer og for
hele Kalundborg Kommune.
Overholdelse af lovgivningen
Alle IT-systemer skal overholde relevante lovmæssige krav.
Identifikation af relevant lovgivning
Ledelsen er ansvarlig for, at alle eksterne sikkerhedskrav og Kalundborg Kommunes håndtering heraf,
klarlægges, dokumenteres og løbende vedligeholdes.
Overholdelse af kommunestyrelsesloven
Ledelsen skal sikre, at organisationen efterlever kommunestyrelsesloven på alle områder.
Overholdelse offentlighedsloven
Ledelsen skal sikre, at organisationen efterlever offentlighedsloven på alle områder.
Ledelse, Jura og Kommunikation orienterer kommunens enheder om regler i forbindelse med
offentlighedsloven.
Overholdelse af forvaltningsloven
Ledelsen skal sikre, at organisationen efterlever forvaltningsloven på alle områder.
Ledelse, Jura og Kommunikation orienterer kommunens enheder om regler i forbindelse med forvaltningsloven.
Overholdelse af lov om offentlige betalinger m.v.
Ledelsen skal sikre, at organisationen efterlever lov om offentlige betalinger m.v. på alle områder. 18.1.2 Immaterielle rettigheder
Retningslinier for ophavsrettigheder
Ledelsen har det overordnede ansvar for, at Kalundborg Kommune fastholder en passende opmærksomhed på
ikke at krænke tredjeparts ophavsrettigheder.
IT skal vedligeholde dokumentation for ejendomsretten af licenser, originalmateriale og manualer.
IT skal løbende kontrollere, at software-licensaftaler overholdes, f.eks. at eventuelle begrænsninger i antal
brugere, servere eller kopier overholdes.
Brugere må ikke kopiere, konvertere eller udtrække information fra billed- og lydfiler eller tilsvarende ressourcer,
medmindre dette specifikt tillades fra rettighedshaveren.
Brugere må ikke, helt eller delvist, kopiere bøger, artikler, rapporter eller andre dokumenter medmindre dette
specifikt tillades fra rettighedshaveren.
Identifikation af relevante patenter
Ledelsen er ansvarlig for, at patenter der influerer Kalundborg
Kommunes drift, identificeres.
Administration af softwarelicenser
Side 58 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Registrering af software licenser sker gennem IT. Det er IT-chefens overordnede ansvar, at der er et
tilstrækkeligt antal licenser til rådighed.
Medarbejdere skal koordinere brug af software-licenser med IT.
Medarbejdere må ikke forpligte Kalundborg Kommune ved at acceptere licensvilkår i software, som ikke er
accepteret af IT. 18.1.3 Beskyttelse af registreringer
Lovbestemte data
Kalundborg Kommune skal beskytte lovbestemte data mod ændring,
sletning, samt uautoriseret adgang.
Sikring af Kalundborg Kommunes lovbestemte
data
Kalundborg Kommunes lovbestemte data skal opbevares og behandles
således at datatab, uautoriseret modifikation og forfalskning
undgås.
Opbevaring og behandling af data
Forretningskritiske data skal altid opbevares og behandles
således, at dataintegriteten ikke kan drages i tvivl. 18.1.4 Regulering af kryptografi
Regulering på kryptografiområdet
Ansvaret for overholdelse af regulativer og brug af kryptografiske produkter påhviler IT. 18.2 Gennemgang af informationssikkerhed 18.2.1 Uafhængig gennemgang af informationssikkerhed
Gennemgang af IT-sikkerhedspolitik
IT-revisionen skal kontrollere at IT-sikkerhedspolitikken er indarbejdet i organisationen og overholdes.
Kontrollen skal foretages mindst en gang årligt.
Opfølgning på implementering af IT-sikkerhedspolitikken
Mindst en gang årligt skal der udføres systematisk opfølgning på overholdelse af IT-sikkerhedspolitikken i hele
organisationen, og resultatet rapporteres til Økonomiudvalget.
Hver enkelt chef skal løbende sikre IT-sikkerhedspolitikken bliver overholdt inden for eget ansvarsområde.
Dispensation for krav i IT-sikkerhedspolitikken
Eksisterende systemer, der ikke overholder kravene i IT-sikkerhedspolitikken, skal opdateres, omkonfigureres
eller udfases.
Dispensation for efterlevelsen af IT-sikkerhedspolitikkerne er kun muligt, hvis dette dokumenteres grundigt og
er forsvarligt for de respektive system- og procesejere. Dispensationen tiltrædes af IT-sikkerhedsudvalget, og
revideres mindst en gang om året. Den relevante system- og procesejer er ansvarlig for enhver
sikkerhedshændelse, der sker som en direkte konsekvens af dispensationen. 18.2.2 Undersøgelse af teknisk overensstemmelse
Side 59 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6
Sikkerhedstest af eksterne IT-systemer
Mindst fire gange om året skal der udføres uddybende sikkerhedstest af sikkerhedsniveauet i eksternt
netværksudstyr og servere.
Sikkerhedstest af interne IT-systemer
Mindst en gang om året skal der udføres uddybende sikkerhedstest af sikkerhedsniveauet i internt
netværksudstyr og servere.
Der er etableret en omfattende platform for overvågning af kommunens systemer. Dette sikrer, at der gives
alarmer ved uregelmæssigheder.
Deciderede sikkerhedstests planlægges og afvikles ad hoc.
Side 60 af 60
Regler (ISO27002-2013)
SecureAware 4.8.6