Godkjenner Datatilsynet mine IT-løsninger?
Datatilsynet har ikke godkjenningsordning for løsninger. Ved behov gir Datatilsynet råd og veiledning til leverandører i forhold til hvilke forhold det bør tas hensyn til. De formelle kravene til informasjonssikkerhet hos den behandlingsansvarlige finner du i personopplysningsforskriftens kapittel 2. Tiltak skal baseres på gjennomført risikovurdering.
Tilbake til innholdsfortegnelsen
Hvor kan jeg finne regler og krav som Datatilsynet setter rettet mot programvareleverandører?
Personopplysningsloven er ikke rettet mot programleverandører. Personopplysningsloven bygger på følgende hovedprinsipp med tanke på informasjonssikkerhet: - Det er den behandlingsansvarlige som gjennom å definere sikkerhetsmål og strategi skal avgjøre hva som er et akseptabelt sikkerhetsnivå. Behandlingsansvarlig skal gjennom risikovurderingen sannsynliggjøre at tiltakene er tilstrekkelige. Datatilsynet kan overprøve de vurderinger som er lagt til grunn. Det er få detaljerte krav i regelverket, og Datatilsynet er heller ikke kommet så langt med hensyn til å utarbeide veiledninger. Det er forøvrig ingen direkte krav til programvare, men disse vil inngå i den totale vurderingen den behandlingsansvarlige må gjøre.
Datatilsynet tilbyr veiledningsmøter med leverandører ved spesielle behov. I slike tilfeller presenteres konseptet og det gis innspill fra Datatilsynets side. Det gis ikke noen godkjenning, men vi bidrar til at produktet kan oppfylle lovens krav.
Tilbake til innholdsfortegnelsen
Eksisterer det en godkjenning eller sikkerthetssertifisering som Datatilsynet kan gi til IT-produkter eller systemer?
Datatilsynet har ingen slik godkjenningsordning, men kan gi råd og veiledning ved konkrete problemstillinger.
SERTIT v/Nasjonal sikkerhetsmyndighet gir informasjon om sikkerhetssertifisering av utstyr. Sikkerhetssertifisering av organisatorisk sikkerhet gjøres av Justervesenet/Norsk Akkreditering.
Tilbake til innholdsfortegnelsen
Hva slags informasjonsløsning gir tilstrekkelig sikkerhet i en barnevernsinstitusjon?
Personopplysningsloven med tilhørende forskrift stiller få konkrete (materielle) krav til hvordan ting skal løses, men setter rammer for hva som skal ligge til grunn. I praksis innebærer regelverket (personopplysningslovens §13, samt personopplysnigsforskriftens kapittel 2) at den behandlingsansvarlige gjennom en risikovurdering skal sannsynliggjøre en akseptabel sikkerhet. Hvis behandlingen omfatter sensitive opplysninger, kan regelverket utløse krav om konsesjon fra Datatilsynet. I forbindelse med en slik behandling vurderer Datatilsynet dokumentasjonen som fremlegges fra behandlingsansvarlig.
Tilbake til innholdsfortegnelsen
Er det slik at leger har lov til å koble seg til Internett med samme maskin som de bruker til å kjøre journal-programvaren sin på?
I utgangspunktet nei, men dette avhenger av valgt teknisk løsning. Personopplysningsloven skal blant annet sikre at den som behandler personopplysninger gjør dette på en tilfredstillende måte ved å sette krav til behandlingsansvarlig. I dette ligger også krav til tilfredstillende informasjonssikkerhet. Informasjonssikkerhet oppnås ved at opplysningene som behandles vurderes i forhold til konfidensialitet, integritet og tilgjengelighet. En risikovurdering skal bidra til at behandlingsansvarlig iverksetter tilstrekkelige tiltak.
Ved tilknytning til eksternt nettverk øker trussel og sårbarhet vesentlig i forhold til en fysisk isolert PC. Dette krever at behandlingsansvarlig kompenserer økt trussel med et knippe tiltak som gjør at nivået ikke forringes.
Tilbake til innholdsfortegnelsen
Er VPN tilstrekkelig for flytting av personopplysninger mellom en lokal applikasjon og en sentral databehandler?
Ja, det er ikke formelle hindre for en slik løsning, men regelverket stiller krav om at behandlingsansvarlig (for eksempel kommunen) eller databehandler (for eksempel en privat bedrift) gjennomfører en risikovurdering som innbefatter vurdering av nødvendige tiltak for å sikre et tilfredsstillende nivå innen informasjonssikkerhet.
Nivået fastlegges av behandlingsansvarlig ved sikkerhetsmål og sikkerhetsstrategi. Den konkrete løsningen må gjennom tilfredsstillende tiltak samsvare med nevnte nivå. Dette dokumenteres gjennom risikovurderingen.
Tilbake til innholdsfortegnelsen
Hvordan skal behandlingsansvarlig håndtere taushetsplikt for databehandler?
Vanlig praksis er at taushetsplikten ivaretas på to selvstendige nivå:
1- mellom behandlingsansvarlig og databehandler
2- ved at databehandler har pålagt taushetsplikt overfor sine ansatte. Internkontroll er normalt det verktøy som benyttes for å ivareta dette.
Tilbake til innholdsfortegnelsen
Hvilke tiltak må iverksettes for at en virksomhet som behandler sensitive personopplysninger skal kunne tilknytte seg f.eks. Internett?
Vi vil først understreke at behandlingsansvarlig gjennom en utført risikovurdering må kunne sannsynliggjøre at valgte løsning er i samsvar med de sikkerhetsmål og strategier som er valgt for behandlingen. Når det er sagt kan vi gi noen indikasjoner på hvilke løsinger som normalt benyttes i et slikt tilfelle.
Det vil som regel være to alternative metoder:
1. Nettverket deles opp i to fysisk isolerte hovedsegmenter, hvor de som behandler sensitiv informasjon får et eget dedikert nettverk til dette. Dette nettverket er da hverken tilknyttet øvrig nettverk eller eksternt nettverk. Dette innebærer at de som arbeider med sensitive personopplysninger vil måtte ha to maskiner, en for sikker sone og en for intern sone hvor de også vil kunne ha tilgang til Internett, e-post osv. Ofte brukes det da felles tastatur og skjerm og en swich (fysisk omkobler)
2. Ett annet alternativ er å bygge opp en såkalt tosonemodell, hvor det etableres to sett brannmurer. En mot ytre nett og en mellom sikker og intern sone. Her er konfigureringen svært viktig.
Mer informasjon om dette finnes på Datatilsynets hjemmeside under informasjonssikkerhet.
Se spesielt i veileder for kommuner og fylker.
Tilbake til innholdsfortegnelsen
Hvilke hensyn må vi ta når det gjelder informasjonssikkerhet ved opprettelse av kunderegister?
Om registrene inneholder personopplysninger, skal de sikres etter sikkerhetsbestemmelsen i Personopplysningsloven. Om det kun er manuell behandling gjelder personopplysningsloven § 13. I den grad det er elektronisk behandling skal også personopplysningsforskriften kapittel 2 tas hensyn til.
Tilbake til innholdsfortegnelsen
Hvilke sikkerhetstiltak bør etableres for en Internettside hvor personopplysninger om kunder er tilgjengelige?
Alle personopplysninger må sikres i henhold til personopplysningsloven § 13. Behandlingsansvarlig for tjenesten må ha foretatt en risikovurdering. Som regel vil risikovurderingen, holdt opp mot de fastlagte kriterier for akseptabel risiko, føre til at det må iverksettes kryptering og da kryptering både av påloggingspassord og aktuell informasjon. SSL-kryptering er aktuell i slike sammenhenger.
Behandlingsansvarlig skal foreta en slik vurdering og iverksette nødvendige tiltak.
Tilbake til innholdsfortegnelsen
Kommunen har laget elektronisk søknadsskjema for barnehageopptak. Er det tillatt?
Ja, det er tillatt med denne typen tjenester på Internett, men det forutsetter at kommunen har sikret tjenesten. Datatilsynet anbefaler generelt at søknadsskjemaer håndteres kryptert. Dersom søknadsskjemaet inneholder sensitive opplysninger skal det overføres kryptert. Kommunen må legge til rette for dette.
Tilbake til innholdsfortegnelsen
Hvilke regler gjelder datanettverk på skoler? Skal elevnett og lærernett kjøres på to fysisk atskilte nettverk, eller kan de kjøres på samme nettverk?
Elever bør ikke tilkoples samme interne nettverk som kommunen benytter for en rekke andre formål (herunder lærernes elevadministrasjon). Men lærere kan selvfølgelig benytte nettverk i sammen med elever dersom denne bruken er tilpasset til hvilke opplysninger og sikringstiltak som iverksettes i dette nettverket. Se personopplysningsloven § 13, se også personopplysningsforskriftens kapittel 2.
Tilbake til innholdsfortegnelsen
Finnes det retningslinjer for valg av algoritmer for kryptering?
Den generelle retningslinjen fra Datatilsynet er at personopplysninger som transporteres utenfor den behandlingsansvarliges kontroll skal krypteres med algoritmer med styrke tilsvarende eller bedre enn DES 128 (3DES). AES og andre anerkjente algoritmer vil oppfylle dette.
Valg av krypteringsløsning, og øvrige valg av sikkerhetsmessig karakter forøvrig, gjøres av virksomheten selv med bakgrunn i virksomhetens sikkerhetsstrategi og risikovurdering.
Tilbake til innholdsfortegnelsen
Hvordan skal passord behandles? Skal passord krypteres?
Datatilsynet anbefaler at passordet krypteres i den grad forholdsmessig sikkerhet krever dette. Beskyttelsesgraden for passordet må være bedre eller lik beskyttelsesnivået for opplysningene som passordet beskytter. Passord skal lagres kryptert, samt håndteres kryptert på nett som ikke behandlingsansvarlig har fullstendig kontroll over.
Tilbake til innholdsfortegnelsen
På arbeidsplassen min benytter vi samme felles passord, er det tilrådelig?
Nei, dette er ikke tilrådelig og kan også være i konflikt med regelverket.
Tilbake til innholdsfortegnelsen
Finnes det spesielle krav for sending og lagring av sensitiv e-post?
Ja, ved overføring av sensitive personopplysninger skal overføringen normalt krypteres med en styrke tilsvarende 128 bits DES. Når det gjelder lagring av sensitiv e-post, må denne lagres kryptert inntil den hentes inn på den delen av informasjonssystemet som er egnet for behandling av sensitive opplysninger.
Tilbake til innholdsfortegnelsen
Vi tilbyr ASP tjenester til en del kommuner, men løsninger som baserer seg på terminalserver og sentral lagringsplass. Nå vil kommunene vite om det er greit å legge fagprogramvare Barnevern på en slik sentral løsning?
I prinsippet er det ikke formelle hindre for at kommunen benytter såkalt "databehandler", dvs. outsourcer hele eller deler av drift til ekstern selskap. I slike tilfeller skal det foreligge særskilt avtale mellom behandlingsansvarlig (kommunen) og databehandler (f.eks. dere). Denne avtalen må blant annet regulere oppfyllelse av forholdsmessig sikring av personopplysningene (se personopplysningsloven §§ 13 og 15). Det skal forligge en risikovurdering som dokumenterer forholdsmessig sikring av opplysningene. Dette er et ansvar som i utgangspunktet er rettet til behandlingsansvarlig, men databehandler har også en selvstendig plikt.
Nå, tilbake til spørsmålet. En sentral forutsetning for ovennevnte er blant annet:
- sikker autentisering
- sikring av kommunikasjon(f.eks. kryptering)
- tilstrekkelig atskillelse av de ulike behandlingsansvarlige hos databehandler.
- tilstrekkelig sikkerhet på brukersiden
- sikring mot uautorisert tilgang på tvers av behandlingsansvarlige (kommuner)
- sikkerhetslogger som brukes aktivt og jevnlig presenteres i summarisk form ovenfor behandlingsansvarlig.
Tilbake til innholdsfortegnelsen
Kommunen der jeg arbeider benytter multimaskiner med kopiering, printer, e-post og faks, men har stengt for faksmuligheten. Hvorfor det?
Personopplysningsloven setter krav til at kommunen etablerer sikkerhetsmål, sikkerhetsstrategi og utarbeider sikkerhetsvurderinger for å ivareta personvernet. Om kommunen i sin sikkerhetsvurdering har kommet frem til at faksfunksjonen ikke kan aksepteres, så skal det stenges for en slik funksjon. En mulig årsak til dette kan være manglende mulighet for kryptering.
Tilbake til innholdsfortegnelsen