Viktige begreper, definisjoner, regler og avgrensinger
Personopplysningsloven (av 20. juli 2018, dvs GDPR med nasjonale tilpasninger) stiller krav til internkontroll og vurdering av Informasjonssikkerhet for systemer som inneholder personopplysninger.
Informasjonssikkerhet dreier seg om ? h?ndtere risikoen for at personopplysninger og andre informasjonsverdier blir ivaretatt p? en tilfredsstillende m?te.
Dette gj?res ved f?rst ? identifisere hvilke personopplysninger virksomheten har.
Deretter gjennomf?res en risikovurdering for ? avklare om eksisterende sikkerhetstiltak er tilfredsstillende.
Dersom risikovurderingen avdekker manglende tiltak m? det vurderes om nye tiltak skal iverksettes for ? oppn? tilfredsstillende sikkerhetsniv? for personopplysningene.
Kontrollrutiner m? utarbeides og jevnlig f?lges, for ? kontrollere at tiltakene blir fulgt opp og virker etter hensikten.
Veileder: Internkontroll og informasjonssikkerhet, Datatilsynet 2018
Personopplysninger er opplysninger eller vurderinger som kan knyttes til en enkeltperson. Typiske personopplysninger er navn, adresse, telefonnummer, e-post og f?dselsnummer. Et bilde regnes som en personopplysning dersom personer kan gjenkjennes, og lydopptak kan v?re personopplysninger selv om ingen navn blir nevnt i innspillingen. Biometri slik som fingeravtrykk, irism?nster, hodeform (for ansiktsgjenkjenning) er ogs? personopplysninger.
Sensitive personopplysninger er spesielle kategorier av personopplysninger som er strengere regulert enn andre opplysninger.
(Definisjoner hentet fra Datatilsynet)
- Konfidensialitet – at informasjonen ikke blir kjent for uvedkommende
- Integritet – at informasjonen ikke blir endret utilsiktet eller av uvedkommende
- Tilgjengelighet – at informasjonen er tilgjengelig for autoriserte ved behov
Risikovurdering er et verkt?y for ? identifisere u?nskede hendelser og risikoen for at disse skal inntreffe (risikoelementer).
I en risikovurdering stiller man tre hovedsp?rsm?l:
- Hva kan g? galt, hvor sannsynlig er det, og hva er konsekvensene?
- Hva kan vi gj?re for ? hindre dette eller redusere sannsynligheten for at det skjer?
- Hva kan vi gj?re for ? redusere konsekvensen dersom noe skjer?
Sikker lagring av ulike kategorier av personopplysninger
Lagringsguiden er et tillegg til UiOs ledelsessystem for informasjonssikkerhet (LSIS), som beskriver hvor man kan behandle, lagre, og bearbeide ulike typer informasjon.
Nettskjema er beskrevet under ?Andre Tjenester?, og er godkjent for innsamling av alle kategorier av data.
Skjemadesign, svar p? vanlige skjema og utvalgte metadata lagres i nettskjemas database.
Nettskjema er spesielt tilpasset innsamling av sensitive data til Tjenester for Sensitive Data (TSD), som er godkjent for lagring av ?svarte data?. Dette tilsvarer graden strengt fortrolig i den offentlige Beskyttelsesinstruksen. Ved UiO er det kun TSD som er godkjent for lagring og h?ndtering av direkte identifiserbare helseopplysninger.
Nettskjema tilbyr samme integrasjon mot Educloud, som er godkjent for ?r?de data?.
LSIS beskriver klassifisering og fargekoder for data n?rmere
Risiko- og s?rbarhetsvurdering (ROS) for Nettskjema
- Nettskjema er underlagt UiOs ledelsessystem for informasjonssikkerhet (LSIS)
-
I henhold til LSIS Kapittel 7: Risiko- og s?rbarhetsanalyser gjennomf?res det en risiko- og s?rbarhetsvurdering (ROS) for Nettskjema minst annethvert ?r
-
M?let med risiko- og s?rbarhetsvurderingen er ? lage en tiltaksplan for eventuelle risikoelementer med moderat eller h?y risiko. Det planlegges og gjennomf?res sikkerhetstiltak slik at risiko reduseres til et niv? som kan aksepteres.
-
Vi vurderer og gjennomf?rer n?dvendige sikkerhetstiltak for alle risikoelementer som st?r p? OWASP top 10
-
Personvern og vilk?r for bruk av Nettskjema (Kommentarutgave til Personvern og vilk?r for bruk av Nettskjema)
-
LSIS kapittel 7 spesifiserer: ?Tiltaksplaner og risikovurderinger som inneholder beskrivelser av s?rbarheter som kan lette angrep skal behandles som konfidensielle dokumenter og skjermes for innsyn.?
Siden vi ikke kan gi innsyn til ROS-dokumentet og tiltaksplaner for eventuelle risikoelementer, har vi laget pdf-dokumentet Informasjonssikkerhet i Nettskjema for institusjoner, enheter og prosjekter som trenger innsyn i Nettskjemas prosesser knyttet til informasjonssikkerhet.