Retningslinjer for IT-driftsansvarlig ved Universitetet i Bergen
Originalversjon: Forvaltningshåndbok UiB (pkt. 5.5.3)
1. FORMÅL
Institusjonens IKT- reglement tillegger IKT-driftsansvarlige flere oppgaver. Disse retningslinjene supplerer de bestemmelsene som er gitt i reglementet.
2. OPPNEVNING AV IKT-DRIFTSANSVARLIG
2.1
Ledelsen ved institusjonens hovedenheter (fakultet m.m.) kan utpeke en
IKT-driftsansvarlig (med stedfortreder) som har kvalifikasjoner til å
ivareta reglementets bestemmelser om håndheving av reglementet og
eventuelle sanksjoner (§ 9 og § 10). Ved institusjonens sentrale
IKT-avdeling er lederen for avdelingen IKT-driftsansvarlig.
2.2
Med unntak av de oppgaver som er tillagt den IKT-dirftsansvarlige selve,
kan IKT- driftsoppgaver tillegges andre personer (delegering) under den
IKT-driftsansvarliges oppsyn.
2.3
Utpeking av IKT-driftsansvarlige meldes til den sentrale IKT-avdelingen,
som til enhver tid skal ha en vedlikeholdt oversikt over institusjonens
IKT-driftsansvarlige.
2.4
Ansvarsområdet til den IKT-driftsansvarlige bør beskrives
i en instruks. Det kan være hensiktsmessig å benytte et eget
dokument som beskriver den enkelte IKT-driftsansvarliges ansvar og arbeidsoppgaver
i forhold til både disse retningslinjene og til IKT-reglementet.
3. ORGANISERING
3.1
Ved oppnevning av IKT-driftsansvarlig blir det fastlagt hvem som skal
være den IKT- driftsansvarliges nærmeste foresatte og hvilke
grunnenheter som skal betjenes.
3.2
Ledelsen ved grunnenheten som betjenes skal være informert om den
IKT-driftsansvarliges virksomhet og ha anledning til å delta i avgjørelser
om arbeidet i den grad det berører grunnenhetens oppgaver og ansvar.
3.3
IKT-driftsansvarlig rapporterer til systemeier (den som fastlegger formålet
med behandlingen som skal skje i et IKT-system og hvilke hjelpemidler
som skal benyttes) i saker som angår det enkelte system. Den sentrale
IKT-avdelingen kan være systemeier for flere system bl.a. nettverkstjenester.
3.4
Informasjon fra systemeier til brukere skal også gis til IKT-driftsansvarlig
i den grad hun/han er involvert i driftsoppgaver for vedkommende system.
3.5
For institusjoner som har flere IKT-driftsansvarlige kan det opprettes
et felles forum. Gjennom dette organet utarbeider de IKT-driftsansvarlige
løsninger på driftsoppgaver som involverer flere hovedenheter
eller grupper med brukere. Anbefalinger fra forumet vedtas av den som
har myndighet til det ved institusjonen.
4. OPPGAVER
4.1
Hovedoppgaver
Den IKT driftsansvarlige kan ha oppgaver når det gjelder:
- registrering av brukere og deres data
- anvisning om bruk og regler
- stå for driften av IKT-anlegg innen sitt område.
De IKT-driftsansvarlige har sammen en viktig rolle når det gjelder samarbeid om felles mål for IKT-driftsarbeidet, holde i hevd et felles sett med prosedyrer og retningslinjer som ivaretar et vedtatt sikkerhetsnivå og som sikrer høy kvalitet og kostnadseffektive IKT-driftsløsninger ved institusjonen.
IKT-driftsansvarlig har kun oppgaver knyttet til drift av IKT-anlegg som det er bestemt at skal nyttes til å utføre institusjonens oppgaver, jfr. Reglementets § 2. Arbeid med IKT-anlegg som er plassert i institusjonens lokaler og følger dennes regler for utstyrstyper, variantbegrensning og standardisering skal være et prioritert arbeid.
Systemeier eller brukeren selv er tillagt oppgaven å bruke systemet ved f.eks. å legge inn, korrigere eller å slette data i systemet. Uten at det direkte er avtalt skal den IKT-driftsansvarlige ikke ha oppgaver/ansvar knyttet til selve innholdet som blir behandlet av systemet.
4.2
Brukerrettede oppgaver
Institusjonen kan gjøre vedtak om at tilgang til institusjonens datanett og sentrale tjenester som e- post og domeneregistrering styres gjennom en sentral brukerdatabase. Den IKT-driftsansvarlige vil kunne få en rolle om operatør i en slik database.
I noen tilfeller vil grunnenheten etablere løsninger som er ment å være en fellesløsning for enheten eller en gruppe brukere. Den IKT-driftsansvarlige vil da kunne få oppgaver knyttet til det å gi opplysninger om fellesløsningen, kurs/opplæring, feilretting og drift av løsningen, også system for lagring og reservekopiering av brukernes data.
IKT-anlegg har begrenset kapasitet, og det kan være hensiktsmessig å benytte et system for å utnytte ressursene målrettet. Den IKT-driftsansvarlige kan bli gitt oppgaver når det gjelder å etablere slike ordninger og å se til at ordningen blir praktisert slik den var ment.
4.3
Drift av IKT-anlegg
Den IKT-driftsansvarlige skal medvirke til at anleggets funksjonalitet og sikkerhet (konfidensialitet, integritet, kvalitet og tilgjengelighet) holdes på det nivå som er fastlagt av institusjonens ledelse i samsvar med myndighetspålagte krav og anerkjente regler for "God IKT- skikk". Dette gjelder også for løsninger hvor institusjonen har valgt å benytte en ekstern leverandør.
Den IKT-driftsanvarlige skal ha tilgang til anlegg som han/hun har ansvaret for. Med utgangspunkt i en behovsvurdering gjøres det avtale med systemeier eller grunnenhet hvorledes fysisk tilkomst til privilegerte brukerrettigheter skal være tilgjengelig. Ved utøving av slik tilgang gjelder reglene i IKT-reglementet.
4.4
Loggføring og registrering av andre hendelser
IKT-driftsansvarlig for anlegg som benyttes av flere brukere (tjeneranlegg). Skal føre register over aktiviteter (hendelser) i anlegget, samt register over disposisjoner av ressurser i anlegget, som kan lette arbeidet med administrasjon og feilfinning, og bidra til å avdekke/oppklare brudd på sikkerheten. Institusjonen kan lage nærmere regler for slik registrering og fastsette regler for analyse av det som blir registrert.
Systemeier fastsetter om vedkommende system skal benytte et hierarki av tilgangs-/ rettighetsnivåer med mulighet for privilegert tilgang til hele systemet for noen av de IKT- driftsansvarlige. Systemeier utpeker, i samråd med IKT-driftsansvarlig, hvem som skal ha slik tilgang, men slik at det alltid er en reserveperson som kan tre inn. System-passord o.l. som benyttes i denne sammenheng skal etableres, oppbevares og benyttes ifølge avtalte regler. Den IKT-driftsansvarlige skal sørge for at det blir ført en hensiktsmessig oversikt over det som utføres med "privilegert" tilgangsnivå (logger o.l.).
Den IKT-driftsansvarlige skal se til at viktige hendelser knyttet til
IKT-driften blir registrert. Det siktes her særlig til hendelser
knyttet til reglementets § 3.7 (sletting av brukerens data), §
5.5 (forhold knyttet til sikkerhet), § 9.1 (tilgang til brukerens
reserverte områder) og
§ 10.2 (midlertidig utestenging), men også til andre hendelser
som er viktige å få klarlagt hendelsesforløp, ansvarsforhold
og årsak til vesentlige avvik fra planlagt IKT-virksomhet.
4.5
Føre oversikt over utstyr/programvare
Den IKT-driftsansvarlige skal se til at det føres oversikt over utstyr, programvare, data, bruksrettigheter, feillogg, endringslogg m.m. når det er krevet av institusjonen, av inngåtte avtaler eller av pålegg fra myndigheter e.l.
4.6
Behandling av personopplysninger
Dersom det behandles personopplysninger ved den aktuelle enhet, skal den IKT-driftsansvarlige holde seg informert om gjeldende retningslinjer og krav knyttet til behandling av personopplysninger. Den IKT-driftsansvarlige kan tillegges oppgaver knyttet til sikring av behandlingen og internkontroll.
4.7
Sikkerhetsbrudd
Alvorlig brudd på sikkerheten, eller mistanke om slikt brudd, skal meldes omgående til ansvarlig ledelse ved enheten og den som har ansvar for IKT-sikkerhet ved institusjonen.
5. IVERKSETTING
Retningslinjene iverksettes med virkning fra 8. juli 2002.
Vedlegg:
Ansvar og arbeidsoppgaver
for IKT-driftsansvarlig
Utarbeidet av: Carl Erik Ellingsen
Godkjent av: Kåre Rommetveit
Dato: 08.07.2002
Erstatter: 01.08.1995
