Foranalyse - IKT-sikkerhet og drift i Hedmark fylkeskommune

Transcription

Foranalyse 2014
Utarbeidet av Hedmark Revisjon IKS
på oppdrag fra kontrollutvalget i Hedmark
fylkeskommune
Foranalyse
IKT-sikkerhet og drift i Hedmark fylkeskommune
Postboks 84, 2341 Løten
Telefon: 62 43 58 00
www.hedmark-revisjon.no
E-post: post@hedmark-revisjon.no
Org.nr: 974 644 576 MVA
Foranalyse – IKT-sikkerhet i Hedmark fylkeskommune
2015
1 SAMMENDRAG
3
2 BESTILLING
3
2.1
4
FORMÅL MED FORANALYSE – OPPBYGGING AV RAPPORTEN
3 IKT-SIKKERHETENS AKTUALITET, SENTRALE BEGREPER OG LOVVERK
5
3.1
AKTUALITET
5
3.2
HVA ER PERSONLIGE OPPLYSNINGER, PERSONVERN OG IKT-SIKKERHET?
6
3.3
LOV OG FORSKRIFT
7
3.4
KS DIGITALISERINGSSTRATEGI OG KOMMIT
9
4 IKT-SIKKERHET I HEDMARK FYLKESKOMMUNE
9
4.1
ORGANISERING AV IKT-OMRÅDET
9
4.2
REGLEMENTER OG RETNINGSLINJER I FYLKESKOMMUNEN
11
4.3
REGISTRE MED PERSONOPPLYSNINGER
12
5 MULIG EMNE: DRIFT AV IKT I FYLKESKOMMUNEN
17
6 REVISORS VURDERING OG ANBEFALING
20
6.1
IKT-SIKKERHET OG DRIFT – VURDERING AV RISIKO OG VESENTLIGHET
20
6.2
ANBEFALING
22
6.3
GJENNOMFØRING OG TIMEFORBRUK
22
Forsidebilde: Image “Hand On Keyboard” courtesy of phanlop88 at FreeDigitalPhotos.net.
HEDMARK REVISJON IKS
Innhold
Side
2
2015
1 Sammendrag
I denne foranalysen har vi sett på IKT-sikkerhet i Hedmark fylkeskommune samt på driften av
IKT-løsninger i fylkeskommunen.
Vi anbefaler en revisjon som vurderer om fylkeskommunen har en systematisk tilnærming til
IKT-sikkerhet og drift. Det leder til at vi anbefaler to overordnede problemstillinger:
1. I hvilken grad har fylkeskommunen tilfredsstillende retningslinjer og rutiner for å sikre
personopplysningers konfidensialitet, integritet og tilgjengelighet?, herunder:
 personopplysninger for fylkeskommunens ansatte som helhet
 elevenes personopplysninger på skolene
2. Har fylkeskommunen betryggende systemer for kontroll med drift og vedlikehold av
IKT-tjenester?
Med eventuell tilføyelse av følgende problemstilling:
3. Hvordan følges retningslinjer og rutiner opp i praksis?
Vi har innhentet informasjon via:
-
Presentasjon ved møte i Kontrollutvalget 10. februar 2015
Diverse regler og retningslinjer i fylkeskommunen
Diverse lover, regler og standarder for it-sikkerhet
Forvaltningsrevisjonsrapport «Styring av IKT-satsningen i Hedmark fylkeskommune»
med tilhørende datainnsamling
Relevante samfunnsundersøkelser
2 Bestilling
Høsten 2014 hadde kontrollutvalget gått gjennom de fleste temaene som ble trukket frem
som aktuelle forvaltningsrevisjonsprosjekter i plan for forvaltningsrevisjon for perioden. På
denne bakgrunn ble det utarbeidet en liste over relevante temaer for forvaltningsrevisjon i
perioden 2015/16. Kontrollutvalget valgte ut tre temaer fra listen som det ønsket å få belyst i
en foranalyse hvilket ses av følgende vedtak 18. november 2014 i sak nr. 27/14:
I henhold til kommuneloven § 77 fjerde ledd skal kontrollutvalget påse at det blir gjennomført
forvaltningsrevisjon i kommunen/fylkeskommunen.
Side
3
2015
Kontrollutvalget prioriterer følgende tema for forvaltningsrevisjon i perioden 2015-2016:
1. Utleie av bygninger og idrettshaller i regi av fylkeskommunen (omfang, prissetting, habilitet)
2. IKT-sikkerhet
3. Hvordan jobber fylkeskommunen som næringsutviklingsaktør?
Kontrollutvalget bestiller foranalyse fra Hedmark Revisjon IKS om de prioriterte temaene til de første
møtene i 2015, og kontrollutvalget ber sekretariatet sørge for orienteringer fra administrasjonen på
temaene.
Høsten 2014 ble forvaltningsrevisjonsprosjektet «Styring av IKT-satsningen i Hedmark
fylkeskommune» levert til Kontrollutvalget. Prosjektet hadde en overordnet og generell
synsvinkel, og har konsentrert seg om strategi, ledelse og kompetanse, samordning og
standardisering av IKT-løsninger, tilgjengelighet og digitalisering, IKT i forhold til
fylkeskommunens oppgaver innen utdanning (dvs. videregående opplæring) og helse
(tannhelse), samt IKT-sikkerhet på overordnet nivå.
Prosjektet omfattet ikke:
 Personvern, taushetsplikt og informasjonssikkerhet
 Sentral og lokal infrastruktur, fysisk sikring av data, tilgang til systemer og andre
tekniske tiltak som skal bidra til IKT-sikkerhet. Videre har prosjektet ikke omfattet
driftstiltak knyttet til IKT, eller implementering av IKT-systemer.
Kontrollutvalget prioriterte i møtet 18. november 2014 at foranalysen skulle fokusere på den
delen som ikke ble vurdert i førnevnte rapport, nemlig IKT-sikkerhet.
2.1 Formål med foranalyse – oppbygging av rapporten
1
Datamaskin – Norsk Datakunnskap Network skriver om definisjonen på IT og IKT: «IT og IKT brukes ofte om
hverandre av de i databransjen, men disse begrepene er forskjellige i definisjonen. IT står for
informasjonsteknologi og IKT står for Information Communication Technology. Dette er svært nært beslektet,
men vilkårene betegne to forskjellige studieretninger eller industri. Mest enkelt sagt, faller IKT under IT paraply
og refererer til bestemt område av IT som har å gjøre med kommunikasjon.»
(http://www.datamaskin.biz/Nettverk/other-computer-networking/77301.html#.VP2ZWY3KztR) Vi benevner det
her «IKT»-sikkerhet fordi dette er betegnelsen i Personopplysningsloven.
Formålet med forundersøkelsen er å skaffe til veie informasjon slik at kontrollutvalget kan ta
stilling til hvorvidt det er grunnlag for å gå videre på området, dvs. om det er grunnlag for å
bestille en forvaltningsrevisjon innenfor IKT-sikkerhet.1 Videre skal forundersøkelsen bidra til å
gi kontrollutvalget grunnlag for å velge hvilket tema innenfor IKT-sikkerhet som anses mest
Side
4
2015
aktuelt å fokusere på. Endelig vil vi med forundersøkelsen søke å legge til rette for en effektiv
gjennomføring av en eventuell forvaltningsrevisjon på området.
I det følgende vil vi gi en generell redegjørelse for temaet IKT-sikkerhet og relevant regel- og
lovverk. Deretter vil vi gi en redegjørelse for IKT-sikkerhet i Hedmark fylkeskommune. Endelig
vil vi gi vår vurdering og anbefaling, herunder skissere alternative innfallsvinkler for et
eventuelt forvaltningsrevisjonsprosjekt.
3 IKT-sikkerhetens aktualitet, sentrale begreper og lovverk
3.1 Aktualitet
Fylkeskommunene råder som arbeidsgivere og virksomhetseiere over en stor mengde
personopplysninger. I en digital tid kan disse opplysningene spre seg raskt og bli utsatt for
misbruk. Datatilsynet kategoriserer misbruk av personopplysninger i to hovedgrupper,
henholdsvis en utilsiktet handling (uhell eller uaktsomhet) eller tilsiktet handling fra en
kriminell. 2
Uhell eller uaktsomhet betyr at beskyttelsesverdig informasjon kommer uvedkommende i
hende. Det kan for eksempel skje ved at ansatte lekker informasjon, at bærbare datamaskiner
kommer på avveie, ved uforsvarlig håndtering av sikkerhetskopier eller innbrudd.
Helseopplysninger er et eksempel på sensitiv informasjon som gis under tillit og fortrolighet.
Brudd på tillit kan medføre alvorlig tillitskrise.
I 2011 gjennomførte Statens institutt for forbruksforskning (Sifo) og TNS Gallup en
undersøkelse av omfanget av identitetstyveri i Norge.3 I undersøkelsen opplyser 3 % at de har
opplevd at deres gode navn og rykte ble skadet ved misbruk av personens navn.4 3,3 % har
opplevd at det er blitt kjøpt varer eller tjenester i sitt navn slik at personen har fått regningen.
2
https://www.datatilsynet.no/Sektor/ID-tyveri/Virksomheters-bruk-og-misbruk-av-personopplysninger/
STATENS INSTITUTT FOR FORBRUKSFORSKNING 2011: Identitetstyveri. Omfang, tillit og beskyttelse mot risiko av
Ragnhild Brusdal og Randi Lavik
4
Tallene i undersøkelsen er basert på svar fra 1.124 personer i alderen 18–80 år
3
Enda verre er det når personopplysninger misbrukes til å fremme et illegitimt formål, slik som
å skaffe seg tilgang til og kontroll over andres økonomiske midler, kredittinstrumenter eller
eiendom. Dette innebærer at uvedkommende tar helt eller delvis kontroll på aktiver eller
eiendeler tilhørende en annen person (ofte kalt identitetstyveri). Ved hjelp av
personopplysninger kan man foreta uautoriserte endringer eller disposisjoner i en annens
navn (eksempelvis ut fra et hevnmotiv). Personopplysninger kan også misbrukes til å skaffe
seg ytterligere tilgang til informasjon om enkeltmenneskers bevegelse, kommunikasjon og
økonomiske disposisjoner, mot vedkommendes vilje og ønske.
Side
5
2015
6,8 % svarer at de har blitt rammet av identitetstyveri 1 eller 2 ganger. Hvis dette tallet er
representativt for hele befolkningen, har denne typen forbrytelse rammet nær en kvart
million nordmenn.
Samtidig har Datatilsynet opplevd en økning i henvendelser om personvern i arbeidslivet. I
2013 håndterte Datatilsynets veiledningstjeneste 7 578 telefon- og e-posthenvendelser om
personvern. Av disse var 22 prosent om overvåking i arbeidslivet, og tilsynet ser en fortsatt
tendens til at denne typen henvendelser øker. Henvendelsene omhandler for eksempel GPSsporing og kameraovervåking, samt innsyn i og sletting av ansattes e-postkorrespondanse. Her
blir det gitt som eksempel fordi det er påfallende mange arbeidsgivere som uten
motforestillinger går gjennom e-postkorrespondansen til sine ansatte, også i sammenhenger
der den ansatte har sluttet.5
3.2 Hva er personlige opplysninger, personvern og IKT-sikkerhet?
Personlige opplysninger
Datatilsynet gjennomførte i 2013 og 2014 et tilsyn med bruk og lagring av personopplysninger
i skoler og barnehager.6 En erkjennelse og en noe overraskende oppdagelse for dem, var at
betydningen av begrepet «personopplysning» var uklar for svært mange.
I Personopplysningslovens § 2 defineres personopplysninger som «opplysninger og
vurderinger som kan knyttes til en enkeltperson». Med andre ord er personopplysninger alle
opplysninger som kan knyttes til enkeltpersoner. Sensitive personopplysninger defineres i
samme paragraf som opplysninger om:
a) rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning,
b) at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling,
c) helseforhold,
d) seksuelle forhold,
e) medlemskap i fagforeninger.
Både for personopplysninger og sensitive personopplysninger er det en rekke vilkår som må
være tilstede før det er lov å dele og behandle dem.7 Det er særlig skjerpede krav knyttet til
sensitive opplysninger, men alminnelige personopplysninger skal også vernes om.
Datatilsynet definerer personvern som retten til et privatliv og retten til å bestemme over
egne personopplysninger. Alle mennesker har en ukrenkelig egenverdi og rett på en privat
sfære som personen selv kontrollerer. Det skal være mulig å handle fritt uten tvang eller
innblanding fra staten eller andre mennesker.
5
https://www.datatilsynet.no/Nyheter/2014/En-av-fem-har-sporsmal-om-personvern-i-arbeidslivet/
http://www.datatilsynet.no/Global/04_planer_rapporter/Skoleprosjektet_samlerapport.pdf
7
Personopplysningslovens §§ 8 og 9
6
Personvern
Side
6
2015
Personvernbegrepet refererer ikke bare til vernet av privatlivets fred og den enkeltes
personlige integritet. I norsk forståelse innebærer begrepet i stor grad også vernet av
individers rett til å ha innflytelse på bruk og spredning av personopplysninger om seg selv. Den
enkelte skal i størst mulig grad kunne bestemme over egne personopplysninger. 8
IKT-sikkerhet
Når man taler om IKT-sikkerhet dreier det seg om at virksomheten må håndtere risikoen for at
personopplysninger og andre informasjonsverdier sikres på en tilfredsstillende måte.
Internkontroll handler om at virksomheten skal etablere og vedlikeholde planlagte og
systematiske tiltak for å sikre at de oppfyller lovens krav til behandling av personopplysninger.
Gjennom å ha god informasjonssikkerhet og god internkontroll sikrer virksomheten at den
behandler personopplysninger lovlig, sikkert og forsvarlig.9
Konfidensialitet, integritet og tilgjengelighet
Konfidensialitet er at uvedkommende ikke får tilgang til dataene. Integritet innebærer at
ingen uautoriserte personer kan endre på opplysninger eller at informasjon utilsiktet blir
endret. Med tilgjengelighet menes det at opplysningene må være tilgjengelige for personer
som har behov for disse.10
I fortsettelsen ser vi på lov og forskrift i forbindelse med personopplysninger.
3.3 Lov og forskrift
Personopplysningslovens § 13 første og annet ledd om «Informasjonssikkerhet» lyder:
«Den behandlingsansvarlige og databehandleren skal gjennom planlagte og systematiske
tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet,
integritet og tilgjengelighet ved behandling av personopplysninger. For å oppnå
tilfredsstillende informasjonssikkerhet skal den behandlingsansvarlige og databehandleren
dokumentere informasjonssystemet og sikkerhetstiltakene...»
8
http://www.datatilsynet.no/personvern/Hva-er-personvern/
9
http://www.datatilsynet.no/Sikkerhet-internkontroll/
jf. Personopplysningsforskriften § 2-11 til 2-13
10
Med digitalisering av offentlig sektor blir det i økt grad samlet inn, bearbeidet og analysert
store
mengder
opplysninger.
Opplysningene
kan
omhandle
enkeltpersoner,
forretningsprosesser, produktutvikling, strategier og metoder. Felles for alle opplysninger, er
at det stilles varierende krav til behandling og beskyttelse. Opplysninger som kan knyttes til
individet,
skal
behandles
i
samsvar
med
Personopplysningsloven
og
Personopplysningsforskriften. Reglene er fastsatt for å hindre fare for tap av liv og helse,
økonomisk tap eller tap av anseelse og personlig integritet.
Side
7
2015
Dette innholdet er utdypet i Personopplysningsforskriftens kapittel 2. I forskriftet fremgår det
en rekke konkrete krav til informasjonssikkerhet for IT-systemer hvor det behandles
personopplysninger. Det er krav til følgende områder (§§ 2, nr. 3-16):
-
-
-
Sikkerhetsledelse: Den som har den daglige ledelsen av virksomheten har ansvaret.
Risikovurdering: Det skal føres oversikt over hva slags personopplysninger som
behandles. Virksomheten skal selv fastlegge kriterier for akseptabel risiko forbundet
med behandlingen av personopplysninger.
Sikkerhetsrevisjon: Sikkerhetsrevisjon av bruk av informasjonssystemet skal
gjennomføres jevnlig.
Avvik: Bruk av informasjonssystemet som er i strid med fastlagte rutiner, og
sikkerhetsbrudd, skal behandles som avvik.
Organisering: Det skal etableres klare ansvars- og myndighetsforhold for bruk av
informasjonssystemet.
Personell og taushetsplikt: Medarbeidere hos den behandlingsansvarlige skal bare
bruke informasjonssystemet for å utføre pålagte oppgaver, og selv være autorisert for
slik bruk. Medarbeidere hos den behandlingsansvarlige skal pålegges taushetsplikt for
personopplysninger hvor konfidensialitet er nødvendig.
Fysisk sikring: Det skal treffes tiltak mot uautorisert adgang til utstyr som brukes for å
behandle personopplysninger etter forskriften her.
Sikring av konfidensialitet, tilgjengelighet og integritet.
Sikkerhetstiltak: Sikkerhetstiltak skal hindre uautorisert bruk av informasjonssystemet
og gjøre det mulig å oppdage forsøk på slik bruk.
Sikkerhet hos andre virksomheter: Den behandlingsansvarlige skal bare overføre
personopplysninger elektronisk til den som tilfredsstiller kravene i
personopplysningsforskriften.
Dokumentasjon: Rutiner for bruk av informasjonssystemet og annen informasjon med
betydning for informasjonssikkerheten, skal dokumenteres.
Personopplysningsloven stiller krav til internkontroll i form av etablering og vedlikehold av
planlagte og systematiske tiltak for å oppfylle kravene i, eller i medhold av,
Personopplysningsloven – herunder å sikre personopplysningenes kvalitet. Datatilsynet skriver
i sin veileder at det ikke forventer at øverste leder alltid har inngående kunnskap om
informasjonssikkerhet. Derimot forventes det at personopplysninger er sikret på en forsvarlig
måte, og at øverste leder ser etter at dette blir gjort. I praksis betyr det å sørge for at
virksomheten har oversikt over hvilke plikter som gjelder, hvordan opplysninger behandles og
sikres, at alle rutiner knyttet til dette er godkjent og blir fulgt opp av alle ansatte.11
11
Jf. Personopplysningsforskriftens kapittel 3 om Internkontroll.
-
Side
8
2015
3.4 KS Digitaliseringsstrategi og KommIT
Staten og Kommunenes sentralforbund (KS) er viktige premissgivere for kommunal sektor når
det gjelder utviklingen på IKT området. Hedmark fylkeskommune er deltaker i KommIT
(Program for IKT-utvikling i kommunesektoren) som ble etablert av KS våren 2012. Dette
programmet eies av KS og styres av et programstyre bestående av kommuner,
fylkeskommuner og KS. Formålet med KommIT er å bistå kommuner og fylkeskommuner slik
at de kan nå målene i Digitaliseringsstrategi 2013 – 2016 for kommuner og fylkeskommuner
(KS). Denne strategien fastsetter de viktigste satsningsområdene og målene for kommuner og
fylkeskommuner i perioden. KS har i strategien følgende mål for IKT-sikkerhet
- Kommuner og fylkeskommuner har strategi for informasjonssikkerhet
- Kommuner og fylkeskommuner har databehandleravtaler med andre som behandler
personopplysninger på vegne av kommunen
- Kommuner og fylkeskommuner har databehandleravtaler med andre som kommunen
behandler personopplysninger for
- Kommuner og fylkeskommuner har ledelsesforankret internkontroll og styringssystem
på plass.
- Kommuner og fylkeskommuner har løsninger som tilfredsstiller kravene til
sikkerhetsarkitektur
- Kommuner og fylkeskommuner som tar i bruk skytjenester, har gjennomført grundige
risiko- og sårbarhetsanalyser og inngått en databehandleravtale (s. 15).
I forvaltningsrevisjonsprosjektet «Styring av IKT satsningen» ble det valgt å la være å benytte
mål fra KS digitaliseringsstrategi som grunnlag for å utlede konkrete revisjonskriterier. Det ble
begrunnet med at strategien nettopp var iverksatt. Hvis det bestilles et
forvaltningsrevisjonsprosjekt om IKT-sikkerhet kan det vurderes om revisjonskriteriene skal
utledes
av Personopplysningsloven og Personopplysningsforskriften eller KS
digitaliseringsstrategi eller begge deler. En forvaltningsrevisjon vil som regel ta utgangspunkt i
den kilde som er mest autoritativ. I dette tilfellet er lovverk med forskrift mere autoritativ enn
en KS strategi. Det synes å være overensstemmelse mellom lovverket og KS
digitaliseringsstrategi, og grunnlaget for revisjonskriteriene kan således avvente beslutningen
om det skal gjennomføres en forvaltningsrevisjon på området.
4 IKT-sikkerhet i Hedmark fylkeskommune
4.1 Organisering av IKT-området
Fylkeskommunen har egen IKT avdeling som har som oppgave å koordinere fylkeskommunens
IT-satsning, og å drifte fylkeskommunens IT-løsninger. Avdelingen har i alt 11 faste stillinger +
lærlinger. IKT drifter løsninger for fylkeshuset, de videregående skolene, de fylkeskommunale
Etter disse avklaringer ser vi nå på IKT-sikkerhet i Hedmark fylkeskommune.
Side
9
2015
tannklinikkene og regionskontorene. Øvrige kunder er Hedmark Trafikk FKF, Kjørekontoret
Innlandet AS og Kunstbanken.
IKT sin servicedesk yter 1. og 2. linje brukerstøtte til sentraladministrasjonen, regionkontorene og tannklinikkene, samt 2. linje brukerstøtte til de videregående skolene.
Servicedesken er IKTs kontaktflate mot brukere og leverandører og behandler 6500 saker i
året. Desken tar i mot og behandler feilmeldinger, driftsproblemer, brukerspørsmål,
endringsønsker, samt bestillinger.12
Fylkeskommunens IT-løsninger benyttes av over 13000 brukere13. I tillegg til de oppgavene
som løses av de ansatte ved IKT avdelingen, er det også oppgaver som løses ved den enkelte
enhet/virksomhet.
Sentral infrastruktur er IKT avdelingens ansvar. I sentral infrastruktur ligger sentralt
serverrom, bredbåndslinjer, brannmurer og felles lisensavtaler. Lokal infrastruktur er den
enkelte enhet/virksomhet sitt ansvar, og omfatter lokalt nettverk, pc’er, skrivere og mobile
enheter. Fylkeskommunen hadde våren 2013 i alt 10 konsernsystemer og 27 fagsystemer som
skulle driftes, vedlikeholdes og utvikles.14
På noen områder, og særlig innenfor videregående utdanning, er det etablert samarbeid med
andre/konsulentbistand. Som eksempel kan nevnes at Hedmark fylkeskommune er medeier i
Vigo IKS som ivaretar utvikling av noen av fylkeskommunens IT-systemer innen videregående
opplæring. Fylkeskommunen er også medeier i NDLA som er et fylkeskommunalt
innkjøpssamarbeid som har som formål å tilby kvalitetssikrede, fritt tilgjengelige, nettbaserte
læremidler i alle fag i videregående skole. Ellers deltar fylkeskommunen i BUDDY samarbeidet
som er et samarbeid mellom fylkeskommuner og kommuner om en løsning for
identitetsforvaltning. Hedmark fylkeskommune samarbeider også tett med andre
fylkeskommuner i Visma fylkesforum.
12
Fra Internkontroll og kontinuerlig forbedring i Hedmark fylkeskommune, utkast februar 2015
https://www.hedmark.org/Om-fylkeskommunen/Fag-stab-og-serviceenheter/IKT
14
Fra Internkontroll og kontinuerlig forbedring i Hedmark fylkeskommune, utkast februar 2015
13
Vi ser av organisasjonskartet under at IKT-avdelingen er en service-enhet som er underlagt
fylkesdirektøren. I fylkeskommunen det i særlig grad bli håndtert personopplysninger og
registre med personfølsomme opplysninger i Personal og organisasjon, Arkivet samt i IKTavdelingen. Dessuten finnes behandling av personopplysninger i følgende av
fylkeskommunens virksomheter: Tannhelsetjenesten og de videregående skolene (se pilene).
Side
10
2015
Figur 1 Organisasjonskart Hedmark fylkeskommune
4.2 Reglementer og retningslinjer i fylkeskommunen
10. februar presenterte fylkeskommunen utkast til «Internkontroll og kontinuerlig forbedring i
Hedmark fylkeskommune», 27. februar 2015. I kapittel 8 står det mer om
Informasjonssikkerhet og informasjonsteknologi.
Her beskriver fylkeskommunen at KS-digitaliseringsstrategi er en av de føringer man forholder
seg til. Av fylkeskommunale føringer har man:
Fylkeskommunens gjeldende IT strategi ble vedtatt av fylkesdirektøren i 2006 og var ment å
skulle rulleres i 2008. Dette har foreløpig ikke skjedd. Det er imidlertid nedsatt en
arbeidsgruppe som har utarbeidet forslag til ny IT strategi (juni 2013). Visjonen i gjeldende IT
strategi er at Hedmark fylkeskommune skal ligge i forkant når det gjelder bruk av
informasjonsteknologi administrativt og pedagogisk. Videre at fylkeskommunen skal ligge i
forkant når det gjelder elektronisk samhandling med kommuner, innbyggere, næringsliv,
folkevalgte og frivillige organisasjoner i Hedmark, samt andre samarbeidspartnere nasjonalt
og internasjonalt.
Side
11
2015
-
Reglement for bruk av Hedmark fylkeskommunes IT-løsninger, fastsatt av
fylkesdirektøren 18.12.2013
IT-reglement for elever i videregående skole i Hedmark fylkeskommune, fastsatt av
fylkesdirektøren 3.7.2014.
Disse reglementene er sentrale i forhold til en eventuell revisjon av emnet. I den forbindelse
kan revisor se på om reglementene lever opp til lov og forskrifter, om de er kjent i de enkelte
virksomhetene / enhetene, og om de i praksis bidrar til at personopplysninger håndteres på
en god måte.
4.3 Registre med personopplysninger
IKT-avdelingen i Hedmark fylkeskommune fortalte ved sin presentasjon i Kontrollutvalget 10.
februar 2015 om de forskjellige registre som behandler og inneholder personopplysninger. I
tråd med fylkeskommunens ansvar og oppgaver er det tre overordnede kategorier av
personopplysninger:
-
Opplysninger om de ansatte
Opplysninger om elever i de videregående skoler
Pasientopplysninger i Tannhelsetjenesten
Det er en håndfull av registrene som inneholder opplysninger både om ansatte og om elever. I
det følgende beskrives de tre kategoriene.
Ansatte i fylkeskommunen
Det er litt over 2000 ansatte i Hedmark fylkeskommune.15 For å kunne utføre sin funksjon som
arbeidsgiver har Hedmark fylkeskommune behov for en rekke opplysninger om ansatte.
Fylkeskommunen må bruke kontonummer for å utbetale lønn, adresse for å sende brev,
personnummer for å identifisere personen. Disse opplysningene er sentrale i forhold til
identitetstyveri som omtalt i innledningen. Avanserte systemer om de ansatte kan dessuten
inneholde alt fra CV og opplysninger om sertifikater, fravær, sykdom osv.
15
•
Visma HRM; lønn- og personalsystem samt rekruttering
•
Wintid; tidregistrering (gjelder ikke alle ansatte)
•
ESA (EDB sak/arkiv); personalmapper
•
SATS; skoleadministrativt system (gjelder vgs)
SSB «Sysselsatte i kommunen i alt – Enhet: Sysselsatte» for 2013
Følgende registre behandler opplysninger om de ansatte:
Side
12
2015
•
It’s learning; læringsplattform (gjelder vgs)
•
Novaschem; timeplanverktøy (gjelder vgs)
•
Ansattoversikt på internett/intranett
•
Trio; sentralbord/telefonistøtte
•
Nødvendige tilgangsløsninger
IT-reglementet gjelder for alt personell som har tilgang fylkeskommunens IT-løsninger og ITutstyr, og har følgende innhold:
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
Virkeområde
Grunnregler
Aktsomhet
Passord
Endringer på IT-utstyr og programvare
E-post
Dokument- og utskriftsikkerhet
Fratreden
Innsyn for arbeidsgiver i e-post-kasse mv.
Gjennomsøkning av lagringsområder
Utlevering til politi eller påtalemyndighet
Avhending av utstyr
Det er 14 videregående skoler i Hedmark fylkeskommune:
16
•
Elverum videregående skole, Elverum
•
Hamar katedralskole, Hamar
Fra Datatilsynets rapport 2014: Personvern i skole og barnehage
Elever på de videregående skolene
Det lagres store mengder opplysninger om elever i de videregående skoler. Opplysninger om
orden, oppførsel og karakterer er noen eksempler. Det finnes også verktøy som gjør det mulig
å logge hvilke nettsteder elevene har besøkt i skoletiden eller som logger når og hvor lenge
elevene jobber med spesifikke oppgaver. Dessuten lagres bilder, kommunikasjon mellom
elever, kommunikasjon mellom lærer og elev, kommunikasjon mellom skole og hjem,
informasjon om allergier, logg fra elevenes bruk av skolens nettverk. Læringsplattformer
inneholder eksempelvis kommunikasjonsverktøy som chat, kommentarfelt/diskusjonsforum,
e-post og meldingstjenester hvor private samtaler i noen tilfeller lagres.
Videokonferansefunksjon hvor det er mulig å ta opp både lyd og bilde, er også ofte integrert.
Ofte er det dessuten mulig for lærerne å sende SMS fra læringsplattformene til andre lærere,
elever og foreldre. Dette er også personopplysninger.16
Side
13
2015
•
Jønsberg videregående skole, Stange
•
Midt-Østerdal videregående skole, Koppang
•
Nord-Østerdal videregående skole, Tynset
•
Ringsaker videregående skole, Brumunddal
•
Sentrum videregående skole, Kongsvinger
•
Skarnes videregående skole, Skarnes
•
Solør videregående skole, Flisa
•
Stange videregående skole, Stange
•
Storhamar videregående skole, Hamar
•
Storsteigen videregående skole, Alvdal
•
Trysil videregående skole, Trysil
•
Øvrebyen videregående skole, Kongsvinger
De fleste skoler bruker digitale læringsplattformer (LMS – Learning Management System). Det
åpner for kontinuerlig logging av elevens aktivitet, for eksempel når på døgnet eleven leverer
oppgaver, hvor lang tid eleven bruker på oppgaveløsning, logg av kommunikasjon med lærer
og andre elever, samt hvilke fag eleven har jobbet aktivt med i leksearbeidet. Mange skoler
benytter seg også av andre digitale og nettbaserte læringsressurser, som i ulik grad registrerer
elevenes aktiviteter. De skoleadministrative systemene registrerer blant annet fravær og
karakterer, og noen skoler bruker digitale verktøy til å kartlegge og registrere uønsket atferd.
Samlet utgjør dette et sett med opplysninger som gir et omfattende og detaljert bilde av
barns utvikling og barnets faglige og sosiale atferd gjennom et helt utdannelsesløp.17
17
18
•
VIGO; inntakssystem18
•
OTTO; system for oppfølgingstjenesten
•
SATS; skoleadministrativt system
•
Privatistweb; webbasert oppmelding til privatisteksamen
•
SkoleArena; fraværs- og karaktersystem
•
ESA (EDB sak/arkiv); personalmapper
•
It’s learning; læringsplattform
Fra Datatilsynets rapport 2014: Personvern i skole og barnehage
https://www.vigo.no/vigo/servlet/vigo
Disse registrene behandler opplysninger om elevene:
Side
14
2015
•
Novaschem; timeplanverktøy
•
Visma utfakturering; kundereskontro
•
Elev-PC register
•
Nødvendige tilgangsløsninger
•
Diverse pedagogiske verktøy
•
NDLA19
•
Lokus20
•
Kikora21
•
Geogebra22
•
Etc
Det er fylkeskommunen som skoleeier som har ansvaret for å sikre personvern i skolene.23 Fra
et personvernperspektiv er det viktig at skoleeieren har en klar formening om hva
personopplysninger er. Det er skoleeierens plikt å ha oversikt over personopplysningene.
Skoleeieren skal vite hvorfor de enkelte opplysningene lagres, hvem som skal ha tilgang til
dem, hvor lenge de skal lagres og så videre.
IKT-avdelingen fortalte på møtet i Hedmark fylkeskommunes kontrollutvalg 10. februar at det
pågår et arbeide med å sikre personvern i de videregående skolene. Dette kan oppsummeres
som følger:
Hva er gjort?




Brukeropplæring, rutiner for oppretting og sletting av brukertilganger.
Rutiner for sletting av personopplysninger.
Informasjon til elever og foresatte med avtale for signatur.
Inngåelse av databehandleravtaler
Hva arbeides det med?



Kartlegging av datasystemer med personopplysninger på skolene.
Utarbeidelse av mal og rutiner for risikovurdering av disse systemene og gjennomgang av
databehandleravtaler.
Bedre informasjon til ansatte.
Hva gjenstår?
Total oversikt over datasystemer med personopplysninger.
Gjennomgående rutiner for:
19
http://ndla.no/
http://www.lokus.no/
21
http://www.kikora.no/
22
http://www.geogebra.no/
23
Datatilsynets artikkel: «Store utfordringer for personvernet i skole og barnehage», 2. juli 2014
20

Side
15
2015



Risikovurdering av datasystemer med personopplysninger.
Databehandleravtale.
Oppretting og sletting av brukertilganger på datasystemer anskaffet av den enkelte skole.
It-avdelingen fortalte at dagens situasjon ikke er tilfredsstillende med hensyn til de
skoleadministrative systemene, og at det er et stort behov for fornyelse og modernisering.
Skoleadministrative arbeidsoppgaver er blant annet preget av mye manuelt arbeid,
informasjonssikkerheten kan forbedres med hensyn til behandlingen av elevdata, og
kontroller som sikrer dataintegritet kan forbedres.
VISMA FLYT skole (VFS) innføres i Hedmark skoleåret 2017/2018. VFS skal erstatte totalt 54
installasjoner av 9 ulike systemer og vil kunne realisere betydelige gevinster gjennom økt
standardisering, bedre brukervennlighet, bedre datakvalitet og effektivitet, samt lavere
administrasjonskostnader.
Pasientene
Av fylkeskommunens hjemmeside fremgår det at Tannhelsetjenesten har klinikker i 20
av fylkets kommuner. Engerdal og Rendalen betjenes av naboklinikk eller ved
privatpraktiserende tannlege som har avtale med fylkeskommunen.
To registre behandler opplysninger om pasienter
•
OPUS; elektronisk pasientjournal
•
Digora; digital røntgen
I det tidligere gjennomførte forvaltningsrevisjonsprosjektet fikk vi opplyst at alle data fra
tannklinikkene lagres på sentrale servere, og ikke ute på den enkelte tannklinikk. Dataene
herfra omfatter i stor grad pasientopplysninger (sensitive opplysninger), og disse lagres
innenfor såkalt sikker sone. Vi fikk videre opplyst at IKT avdelingen har vært ute og tatt bilder
av og har oversikt over alt IKT - utstyr som finnes ute på de enkelte tannklinikkene.24
Dessuten har vi fått opplyst at Tannhelsetjenesten:
Følger norm for informasjonssikkerhet i helse- og omsorgstjenesten
Revideres årlig internt i tjenesten.25
Vi har nå gjennomgått sentralt lovverk på personvernområdet. Videre har vi redegjort for
Hedmark fylkeskommunes oppgave- og ansvarsområder i forbindelse med personvern. Før vi
vurderer hvilke temaer vi mener har høyest risiko og vesentlighet, og som dermed bør
24
25
Forvaltningsrevisjon 2014 «Styring av IKT-satsningen i Hedmark fylkeskommune», s. 35
Presentasjon 10. februar 2015
•
•
Side
16
2015
omfattes av revisjonen, vil vi se på et annet tema som vi også vurderer som vesentlig for en
revisjon på området.
5 Mulig emne: Drift av IKT i fylkeskommunen
IKT-sikkerhet er et begrep som i lovmessig forstand dekker over vern om personopplysninger.
Dette har vi nettopp beskrevet. I dagligdags tale har vi nok en bredere forståelse av begrepet
IKT-sikkerhet, og det vil inkludere sikkerhet i forbindelse med fylkeskommunens IT-løsninger.
Vi må sikre IT-løsningene slik at vi unngår systemsammenbrudd, herunder at vi sikrer oss mot
katastrofer, og at vi sikrer forsvarlig tilgangsstyring til systemene og de potensielt fortrolige
opplysningene som ligger der.
Arbeidsplasser i dag er digitale. Alle elever får i dag utlevert computer og medarbeidere i
fylkeskommunen arbeider digitalt. Driftssikkerhet er en vesentlig forutsetning for en effektiv
arbeids- og skoledag.
I forvaltningsrevisjonsrapporten «Styring av IKT satsningen» som ble utarbeidet i høsten 2014
ble det ikke skrevet om drift. Med bakgrunn i dette ser vi en relevans i at en revisjon også ser
på dette området.
Fylkeskommunens drift
I dokumentet «Internkontroll og kontinuerlig forbedring i Hedmark fylkeskommune» (utkast)
beskriver fylkeskommunen at sentral infrastruktur er IKT avdelingens ansvar. I sentral
infrastruktur ligger sentralt serverrom, bredbåndslinjer, brannmurer og felles lisensavtaler.
Lokal infrastruktur er den enkelte enhet/virksomhet sitt ansvar, og omfatter lokalt nettverk,
pc’er, skrivere og mobile enheter. Som vi var inne på i Kapittel 4.1 hadde fylkeskommunen
våren 2013 i alt 10 konsernsystemer og 27 fagsystemer som skal driftes, vedlikeholdes og
utvikles. IKT-enheten holder til i fylkeshuset og har 11 ansatte pluss lærlinger. Den daglige
driften omfatter:
Ca 50 fysiske servere
Ca 150 virtuelle servere
Ca 70 brannmurer
Ca 95 switcher
Ca 700 trådløse aksesspunkter
Ca 500 PC-er og tynnklienter
Dessuten beskrives det at IT-plattformen har følgende hovedelementer:
-
Sentral infrastruktur med sentralt serverrom, bredbåndslinjer, brannmur og lisensavtaler
Lokal infrastruktur med lokale nettverk, PC’er, mobile enheter samt perifèrutstyr
Konsernsystemer; systemer som brukes på tvers i organisasjonen, uavhengig av fagområde.
Fagsystemer, eksempelvis skolesystemer og tannhelsesystemer.
-
Side
17
2015
IKT sin servicedesk yter 1. og 2. linje brukerstøtte til sentraladministrasjonen, regionkontorene og tannklinikkene, samt 2. linje brukerstøtte til de videregående skolene.
Servicedesken er IKTs kontaktflate mot brukere og leverandører og behandler 6500 saker i
året. Desken tar i mot og behandler feilmeldinger, drifts-problemer, brukerspørsmål,
endringsønsker, samt bestillinger, jf. kapittel 4.1 Organisering av IKT-området.
Servicedesken er til en hver tid bemannet med minimum to ansatte. Henvendelser rettes til
44300@hedmark.org.
Relevant regelverk
Hvordan man drifter IT-området er ikke hjemlet i et samlet lov- eller regelverk. Derfor må vi
overveie hvilke anerkjente, internasjonale standarder det kan være relevant å bruke. ISACA er
en non-profit organisasjon som er en verdensomspennende forening for IT-styring, sikkerhet,
kontroll og revisjon av informasjonsteknologi. ISACA Norge har utgitt heftet Grunnleggende
retningslinjer for god IT-skikk som er gir en oversikt over hva som oppfattes som god IT-skikk
på utvalgte områder. COBIT er en forkortelse for Control Objectives for Information and
related Technology som er utviklet av ISACA. Dette er et fullstendig, internasjonalt akseptert
prosessrammeverk for bruk til kvalitetssikring og revisjon av IT-prosjekter.
Ser vi under COBITs avsnitt Driftleveranse og støtte nevnes 13 punkter for å sikre driften;
definere og styre servicenivået, styre tjenester fra eksterne it-leverandører, styring av ytelse
og kapasitet, sikre kontinuerlig service/kriseplanlegging, sikre systemsikkerhet, identifisere og
fordele kostnader, brukeropplæring, mottak for behandling av hendelser, håndtering av
problemer og hendelser, håndtering av data, fysiske omgivelser, styring av driften.
Det vil avhenge av en nærmere vurdering om en forvaltningsrevisjon skal se på alle punktene
her eller velge ut aktuelle temaer. Disse kan eventuelt ta utgangspunkt i fylkeskommunens
målsetninger for informasjonssikkerhet.
Her skriver fylkeskommunen at hovedmålsettingen med bruk av informasjonsteknologi er å
gjøre Hedmark fylkeskommune til en moderne og effektiv organisasjon og tjenesteprodusent.
Fylkeskommunen skal være en attraktiv arbeidsgiver med gode, sikre og brukervennlige ITsystemer.
Delmålene for å oppnå dette er:
Fylkeskommunens målsetninger
Hedmark fylkeskommune er i skrivende stund i ferd med å utarbeide dokumentet
Internkontroll og kontinuerlig forbedring i Hedmark fylkeskommune. I fylkeskommunens
presentasjon i kontrollutvalget 10. februar 2015 fikk vi presentert utkastet til dette
dokumentet. Kapittel 8 handler om Informasjonssikkerhet og informasjonsteknologi.
Side
18
2015
1.
2.
3.
4.
Oppdatert sentral infrastruktur
Oppdaterte IT-systemer
Tilfredse brukere
Oppdatert og hensiktsmessig IT-plattform
Oppfølging av delmål skjer som ledd i virksomhetsstyringen gjennom tertial- og
årsrapporteringen.
Sentrale parametere er:
-
Beskrivelse av status/tilstand og gjennomførte tiltak siste år på sentral IT-infrastruktur og
bredbåndslinjer
Beskrivelse av status/tilstand på avdelingenes/enhetenes IT-utstyr i fylkeshuset – årlig
rapportering
Andel ansatte i fylkeshuset med kun 1 PC
Andel PCer i fylkeshuset med alder 0-4 år
Tilfredshet med servicedesk, målt gjennom årlig brukerundersøkelse
Antall større feilsituasjoner
Beskrivelse av digitaliseringsstatus i HFK og gjennomførte digitaliseringstiltak siste år med
bistand fra IKT
En forvaltningsrevisjon kan ta utgangspunkt i en vurdering av hvordan disse delmålene nås. Vi
vil understreke at Internkontroll og kontinuerlig forbedring i Hedmark fylkeskommune ennå er
i utkastform og revisjonen må avklare en endelig godkjennelse før den kan anvendes som
kriteriegrunnlag i en revisjon.
Side
19
2015
6 Revisors vurdering og anbefaling
6.1 IKT-sikkerhet og drift – vurdering av risiko og vesentlighet
I denne foranalysen har vi fokusert oss inn mot to problemstillinger; IKT-sikkerhet og drift.
IKT-sikkerhet
Det er en generell samfunnstendens at mer informasjon lagres og deles. Hvor oppmerksomme
er vi på å sikre personopplysninger? Hvor gode er rutinene rundt dette? Og hvor gode er
fylkeskommunens ansatte til å praktisere disse rutinene slik at uvedkommende ikke får tilgang
til opplysninger de ikke skal ha?
Vi vurderer for det første at det er risiko og vesentlighet forbunnet med Hedmark
fylkeskommunes generelle arbeidsgiveransvar.
Det er litt over 2000 ansatte i Hedmark fylkeskommune. For å kunne utføre sin funksjon som
arbeidsgiver har Hedmark fylkeskommune behov for en rekke opplysninger om den ansatte.
Fylkeskommunen må bruke kontonummer for å utbetale lønn, adresse for å sende brev, og
personnummer for å identifisere personen.
Avanserte systemer om de ansatte kan dessuten inneholde alt fra CV og opplysninger om
sertifikater, fravær, sykdom, opplysninger om bidragstrekk og påleggstrekk fra myndigheter
osv. Det kan være krenkende hvis uvedkommende får adgang til disse informasjonene. Etter
vår vurdering kan det derfor være sentralt for en forvaltningsrevisjon å se på rutiner og
praksis for de medarbeidere som håndterer og har adgang til personal- og lønnområdet i
fylkeskommunen, og på de enhetene og virksomhetene fylkeskommunen har ansvar for.
Personopplysningene er sentrale i forhold til identitetstyveri som omtalt i innledningen.
Samtidig handler det også om at forvaltningen må ha en ryddig og ordentlig måte å håndtere
sine ansattes opplysninger på. Det handler om forvaltningens omdømme som kan være
vanskelig å gjenreise hvis det først har vært et tillitsbrudd.
Dette er en krevende oppgave i lys av at det er 14 ulike skoler som arbeider i mange ulike
systemer. Det setter krav om gode rutiner, god informasjonssikkerhet og en gjennomtenkt
holdning til hvordan personopplysninger skal behandles.
26
Datatilsynets artikkel: «Store utfordringer for personvernet i skole og barnehage», 2. juli 2014
Videre er det vår vurdering at det er vesentlig å sikre personvernsopplysninger i de
videregående skoler. Det er fylkeskommunen som skoleeier som har ansvaret for å sikre
personvern i skolene.26 Fra et personvernperspektiv er det viktig at skoleeieren har en klar
formening om hva personopplysninger er. Det er skoleeierens plikt å ha oversikt over
personopplysningene. Skoleeieren skal vite hvorfor de enkelte opplysningene lagres, hvem
som skal ha tilgang til dem, hvor lenge de skal lagres og så videre.
Side
20
2015
Risikoen er særlig stor for sårbare barn og unge. Det kan være barn og unge som har fysiske
eller psykiske helseproblemer, barn og unge med diagnoser og/eller er medisinert, barn med
adferdsvanskeligheter og andre utfordringer. Dette er barn som er særlig følsomme overfor
deling av deres personopplysninger. Hvis uvedkommende lærer får tak i informasjon som
han/hun ikke har rett til, kan dette føre til stigmatisering av barnet/ungdommen i
undervisningen. Hvis andre elever får tak i slike opplysninger, kan det føre til tap av
omdømme i vennegruppen, det vil føles krenkende og vil være et brudd på
personvernlovgivningen.
Omvendt er det fare for at fylkeskommunen og skolene fokuserer så mye på konfidensialitet
(at ingen ser opplysningene) at det minsker tilgjengeligheten (adgangen til opplysningene).
Det var et av funnene i et studie som Datatilsynet gjennomførte i et utvalg barnehager og
skoler, som nevnt tidligere. Studiet avslørte også tilfeller hvor skoleeieren ikke hadde
kjennskap til personvern og dermed heller ikke hadde utarbeidet retningslinjer for, eller gitt
opplæring i, håndtering av personfølsomme opplysninger. Datatilsynets reiste en rekke
problemstillinger som også kan knytte seg til de videregående skoler. Det handler blant annet
om å ha oversikt over skolens/barnehagens behandlinger av personopplysninger, sørge for
innhenting av samtykke når det er nødvendig, sørge for at innsyn blir håndtert på riktig måte,
sørge for å ha slette- og/eller arkivrutiner med videre.
I lys av at det vil komme et nytt skoleadministrativt system vil det kanskje være mest relevant
å se på rutiner og praksis rundt systemene på skoleområdet og ikke på systemene i seg selv.
Vi vurderer samtidig at det er mindre risiko og vesentlighet knyttet til tannhelsetjenesten, enn
for de to andre områdene (de ansatte og elevene). Tannhelsetjenestens informasjon er
sensitive, meldepliktige opplysninger, men de behandles allerede i en «lukket sone», hvor det
er ekstra it sikkerhet. Det er opplyst at tjenesten følger Norm for informasjonssikkerhet i
Helsetjenesten. Samtidig er det et mindre fagområde som i seg selv ikke er forbunnet med like
stor fare for identitetstyveri og omdømmetap. Selv om det er 20 tannhelseklinikker så skal de
håndtere personopplysninger i to registre. For både de ansatte og elever på videregående
skoler er det en risiko forbunnet med at personopplysninger kan finnes i opp til 6-10
forskjellige registre.
En annen side av den økte digitaliseringen, er at vi er avhengig av driftssikkerhet i vår hverdag.
Uansett om det er i forbindelse med en eventuell katastrofe eller at IT-løsningen fungerer som
den skal, så vil det være risiko for at ting ikke fungerer og det kan utgjøre en vesentlig kostnad
i form av tapt utført arbeid. Vi så i forrige revisjonsgjennomgang at fylkeskommunen har en
stor oppgaveportefølje i forbindelse med drift av fylkets IT-løsninger med 10 konsernsystemer
og 27 fagsystemer som skal driftes, vedlikeholdes og utvikles, det er ca. 50 fysiske servere, ca.
150 virtuelle servere, ca. 70 brannmurer, ca. 95 switcher, ca. 700 trådløse aksesspunkter og
Drift
Side
21
2015
ca. 500 PC-er og tynnklienter. Dette suppleres av at mange ansatte/brukere som henvender
seg (6500 henvendelser årlig).
Det relevante spørsmål her er om fylkeskommunen har en god beredskap dersom det skulle
inntreffe en katastrofe, og om man har gode sikkerhetsrutiner, adgangsstyring til annen
sensitiv informasjon, gode rutiner for implementering av nye systemer og om brukerne er
tilfreds med driften. I forhold til drift kan det være relevant å avdekke om det er driftsområder
som ikke fungerer og som skaper problemer i forhold til ansatte og elevenes hverdag.
6.2 Anbefaling
Formålet med prosjektet er å vurdere fylkeskommunens systematisk tilnærming til IKTsikkerhet og drift. Med bakgrunn i den gjennomførte foranalysen anbefaler vi følgende to
overordnede problemstillinger:
1. I hvilken grad har fylkeskommunen tilfredsstillende retningslinjer og rutiner for å sikre
personopplysningers konfidensialitet, integritet og tilgjengelighet?, herunder:
 personopplysninger for fylkeskommunens ansatte som helhet
 elevenes personopplysninger på skolene
2. Har fylkeskommunen betryggende systemer for kontroll med drift og vedlikehold av
IKT-tjenester?
Med eventuell tilføyelse av følgende problemstilling:
3. Hvordan følges retningslinjer og rutiner opp i praksis?
Ovenstående problemstillinger er overordnede, og det tas forbehold om at det kan bli aktuelt
med endringer i første del av en forvaltningsrevisjon.
6.3 Gjennomføring og timeforbruk
Det kan gjennomføres en revisjon som har sitt hovedfokus på å gå igjennom retningslinjer og
rutiner for IKT-sikkerhet, drift og vedlikehold via dokumentstudier og med intervju (inntil 5 - 7
intervjuer). Det vil svare til problemstilling 1+2 over. I dette scenarioet forventer vi at
besvarelsen av problemstillingene vil ha en ramme på 400 timer. Timetallet vil komme på
dette nivået fordi det er en rekke forskjelligartede krav i Personopplysningsloven med
tilhørende forskrifter som er omfattet. Hvis man eksempelvis skal se på databehandleravtaler,
så må man se på alle avtaler som fylkeskommunen har inngått. Det samme gjelder for
rutinene for drift. De er mange og fylkeskommunen har et stort driftsansvar med mange
komponenter og mange ansatte.
Med bakgrunn i ovenstående er det mulig med to alternative innfallsvinkler for en revisjon på
området.
Side
22
2015
Den andre innfallsvinkelen er at revisjonen suppleres med problemstilling 3 som handler om
IKT-sikkerhets- og driftsrutiner i praksis. I vurderingen av hvordan praksis er i fylkeskommunen
vil det være relevant å velge ut nedslagsområder hvor det vurderes å være stor risiko og
vesentlighet. Dette kan blant annet inkludere:
1. sentrale medarbeidernes opplevelse og bruk av rutinene i forhold til
personopplysninger i fylkeskommunen og på de videregående skolene og,
2. brukernes opplevelse av drift og vedlikehold.
Dette vil involvere spørreskjemaundersøkelse(r) og en mer omfattende intervjurunde av
nøkkelmedarbeidere. For de ansatte kan det for eksempel være relevant å intervjue de som
jobber med HR, lønn, IT. Det kan være relevant å undersøke de største problemområdene
innen driften av it og spørre en utvalgt gruppe personer hvordan problemene blir håndtert i
praksis. Samtidig er det mulig å spørre en større gruppe av ansatte og elever hvordan de
håndterer personopplysninger.
I dette scenarioet forventer vi en ramme på 550 timer.
Spørreskjema og flere intervju
Estimat antall timer (innfallsvinket 2) – økt antall
intervjuer/undersøkelser
Estimert antall timer
25 t.
50 t.
70 t
70 t.
70 t.
30 t.
15 t.
20 t.
50 t.
400 t
150 t.
550 t
Sammensetningen av prosjektgruppen vil bli fastsatt i tilknytning til fremleggelse av
prosjektplan / første fase av prosjektet. Vi ser for oss at prosjektet kan planlegges og startes
opp i april 2015, med beregnet avslutning innen 31.12.2015.
Aktivitet
Planlegging, utarbeidelse av oppstartsbrev, forberedelse og møte
med kontaktperson.
Skriftlig utarbeidelse av rapportens innledning, formål,
problemstillinger, avgrensning, metode samt utledning av
revisjonskriterier
Intervjuer(inntil 7 stk)
Dokumentanalyse
Rapportskrivning, funn, vurderinger og anbefalinger
Kvalitetssikring
Høring av rapport hos fylkesrådet (inkl. avklarende møte)
Forberedelse og behandling i KU
Uforutsett
Estimat antall timer (innfallsvinkel 1)
Side
23
2015
Mulige kilder til revisjonskriterier
 Lov om behandling av personopplysninger, nr. 31 av 14.04.00
(personopplysningsloven).
 Forskrift om behandling av personopplysninger, nr. 1265 av 15.12.00
(personopplysningsforskriften).
 Lov om kommuner og fylkeskommuner, nr. 107 av 25.09 1992 (kommuneloven).
 En veiledning om internkontroll og informasjonssikkerhet. Datatilsynet 2009.
 ISACA: Grunnleggende retningslinjer for god IT-skikk
 UTKAST – Internkontroll og kontinuerlig forbedring i Hedmark fylkeskommune, 27.
februar 2014, kap. 8 om Informasjonssikkerhet
 Reglement for bruk av Hedmark fylkeskommunes IT-løsninger
 IT-reglement for elever i videregående skole i Hedmark fylkeskommune
 Andre relevante kilder
Side
24

Foranalyse - IKT-sikkerhet og drift i Hedmark fylkeskommune

Transcription

Similar documents

IKT-sikkerhet og personvern

Endelig kontrollrapport Eigersund kommune

Malin Tønseth - Overføring av personopplysninger til utlandet

Søndre Follo Brannvesen IKS

Les vilkår - Prior & 2XU

Retningslinjer om innsynslogg

Vilkår for kjøp av billetter via Nordea Kort Fortalt

Eierskap v. direktør Kristine C. Hernes

DET STORE DATAKAPPLØPET

KS i fylkene

Mørketallsundersøkelsen - Næringslivets Sikkerhetsråd

Last ned brosjyren om regnskapsrevisjon her

Digital sårbarhet – sikkert samfunn