Basert på:
«IT-reglement for institusjoner i utdanningssektoren»
UNINETT FAS/UNINETT ABC
Versjon 1.0, 1. desember 2004

Innledning

IT-reglementet er delt i tre nivåer. Øverst et overordnet IT-reglement som får plass på en side. Dette er et kort sett med normer som egner seg som oppslag.

Under dette ligger selve IT-reglementet, som utdyper punktene i det overordnede reglementet.

Til slutt ligger 8 subreglementer. Disse går i dybden og beskriver detaljerte normer for bruk, plikter og rettigheter for partene osv. Hvert av de åtte kapitlene tar for seg et avgrenset område og gjennomgår dette.

Del I. Overordnet IT-reglement

Nedslagsfelt:

Dette reglementet gjelder for bruk av HIVEs IT-ressurser. Reglementet gjelder også bruk av andres IT-ressurser gjennom bruk av sin tilknytning til HIVEs.

Bruk av IT-ressurser:

Bruk av HIVEs IT-ressurser er ment å skulle oppfylle HIVEs formål. Det er forbudt å bruke HIVEs IT-ressurser til noe som er uforenlig med HIVEs formål, eller med de etiske eller moralske normene som er fastsatt for HIVE. Bruk av HIVEs IT-ressurser til noe som strider mot norsk lov vil kunne føre til selvstendige sanksjoner fra HIVE.

Det er ikke tillatt å bruke HIVEs IT-ressurser uten å få tillatelse til dette i forkant. Det å få en bruker hos HIVE innebærer at tillatelse er gitt til formålstjenlig bruk.

Det er ikke tillatt å bruke HIVEs IT-ressurser på en måte som opptar større ressurser enn nødvendig, tatt de tilgjengelige ressursene i betraktning. Bruk som ikke er begrunnet i HIVEs formål skal ikke oppta annet enn ubetydelige ressurser.

IT-ressursene skal ikke brukes på en måte som kan forringe eller krenke deres integritet. Dette gjelder også ved bruk av privat utstyr.

Brukere har plikt til å følge IT-driftspersonells pålegg og instrukser om bruk av IT-ressursene. Hvor det er påkrevd skal brukere identifisere seg på korrekt måte. En brukers passord eller annen nøkkel skal holdes hemmelig og skal kun anvendes av den korrekte brukeren.

Vis nett-vett.

Brukernes rettigheter

HIVE skal sette klare standarder og retningslinjer for hva som er forsvarlig bruk av HIVEs IT-ressurser.

HIVE skal tilgjengeliggjøre oppdatert informasjon til brukerne om relevante forhold om IT-ressursene og brukernes anvendelse av disse.

Alle brukere har krav på at deres personvern og integriteten til deres data ikke krenkes av HIVE. HIVE skal bidra til at brukernes personvern og integriteten til brukernes data ikke krenkes av andre.

HIVE skal ikke utlevere opplysninger om en enkelt bruker eller data tilhørende en bruker hvor dette ikke fremgår av vedtatte reglementer eller følger av lovgivningen forøvrig.

Inngrep og sanksjoner

Brudd på IT-reglementet kan føre til sanksjoner fra HIVE. Straff eller sanksjoner grunnet bruk av IT-ressurser skal ikke avvike fra sanksjoner grunnet annen opptreden ved HIVE. Sanksjoner skal fastsettes av ansvarlig enhet.

IT-driftspersonell har som oppgave å sikre systemets funksjonalitet og integritet. IT-driftspersonell ved HIVE kan utføre ethvert inngrep for å ivareta systemets funksjonalitet så lenge som det ikke er i utrengsmål. Ved inngrep skal bruker varsles så snart som praktisk mulig.

Ansvarsfraskrivelse:

HIVE er ikke ansvarlig for noe tap av data, tjenestebortfall eller andre tap som skyldes svikt i IT-tjenestene. HIVE kan ikke frata brukere rettigheter eller stille dem til ansvar grunnet handlinger eller passivitet hvor det er svikt i IT-tjenestene som er årsaken til dette.

Del II. IT-reglementet

Dette reglementet gjelder for bruk av HIVEs IT-ressurser. Reglementet gjelder også bruk av andres IT-ressurser gjennom bruk av sin tilknytning til HIVE

Nedslagsfelt

Dette reglement gjelder for bruk av IKT-anlegg (Informasjons- og kommunikasjons-teknologi-anlegg) ved HIVE.

Med IKT-anlegg siktes det til maskiner, sluttbrukerutstyr (også enheter som mobiltelefon og lomme-PC), nettverk, programmer, data m.v. som stilles til disposisjon av institusjonen - inklusive lokale, nasjonale og internasjonale nettverk, eller andres anlegg som man får tilgang til gjennom slike ressurser.

Reglementet gjelder også, så langt det passer, for brukerens private IKT-anlegg eller andre IKT-anlegg i den utstrekning det benyttes til å utføre oppgaver for institusjonen. Dette gjelder uansett om anlegget er plassert i institusjonens lokaler eller andre steder.

Reglementet gjelder for arbeidstakere, studenter og andre som får tilgang til IKT-anlegg, heretter kalt brukere.

Institusjonen kan fordele ansvar for IKT-anlegg til forskjellige enheter og personer, kalt systemeiere og IKT-driftsansvarlige. En oversikt over systemeiere og IKT-driftsansvarlige skal være tilgjengelig på institusjonens web-sider. Institusjonen kan gi utfyllende regler for bruk av IKT-anlegg og/eller brukere som er satt til å utføre særskilte oppgaver.

Institusjonens IKT-anlegg skal nyttes til å utføre oppgaver knyttet til forskning, utdanning og formidling, samt til nødvendig drift og administrasjon.

Alle bestemmelser i reglementet skal forstås ut fra dette formålet.

Akseptabel bruk

Brukeren har et medansvar for at IKT-anlegg utnyttes best mulig. Systemeier kan kreve at brukeren skal identifisere seg med navn, egen brukeridentitet og eget passord, eller på annen måte.

Brukeren har et medansvar for at IKT-anlegg utnyttes best mulig. Brukeren skal la sin bruk være til minst mulig ulempe for andre og ikke misbruke felles ressurser. Bruk som ikke direkte er knyttet til institusjonens formål, herunder reklame og kommersiell bruk, er kun tillatt dersom dette er bemyndiget av institusjonen.

Brukeren har plikt til å følge systemeier og/eller IKT-driftsansvarliges anvisninger om bruk av anlegg eller tjenester knyttet til anlegget.

Det er brukerens ansvar at den informasjonen som skapes, lagres eller formidles på institusjonens IKT-anlegg ikke er i strid med reglementet her, eller rettsregler for øvrig (f.eks. å fremsette ærekrenkelser eller diskriminerende uttalelser, formidle pornografi eller taushetsbelagte opplysninger, krenke privatlivets fred eller oppfordre eller medvirke til ulovlige handlinger).

Utover dette skal brukeren avholde seg fra bruk av IKT-anlegg som utsetter institusjonen for vesentlig risiko for tap av omdømme.

Brukeren er selv ansvarlig for de ytringer og informasjon som formidles gjennom IKT-anlegg. Det skal fremgå hvem som er ansvarlig for den aktuelle informasjon. Informasjon om annet enn institusjonens virksomhet skal ha en form som gjør at den ikke kan forveksles med offisiell informasjon fra institusjonen.

Det er ikke tillatt å bruke HIVEs IT-ressurser uten å få tillatelse til dette i forkant. Det å få en bruker hos HIVE innebærer at tillatelse er gitt til formålstjenlig bruk.

HIVEs IT-ressurser skal kun anvendes av de HIVE har bemyndiget til dette. Det å registrere en bruker og gjøre denne operativ og så dele ut brukernavn og passord/pin til brukeren, ansees som en tillatelse til å begynne og anvende IT-ressursene.

Annen bruk, eller forsøk på slikt kan også forekomme, f.eks. ved at personer som ikke er registrerte brukere forsøker å anvende trådløs nettilgang. Dette vil da ikke være tillatt etter dette reglementet, foruten hvor det er eksplisitt gitt slik tillatelse.

Det er ikke tillatt å bruke HIVEs IT-ressurser på en måte som opptar større ressurser enn nødvendig, tatt de tilgjengelige ressursene i betraktning. Bruk som ikke er begrunnet i HIVEs formål skal ikke oppta annet enn ubetydelige ressurser.

For HIVEs web-sider, som er åpne for alle, og liknede ressurser må slik tillatelse ansees som gitt ved at ressursen er tilgjengelig.

Bruk av IT-ressursene skal foretas med nennsomhet, det er ikke er akseptabelt å bruke mer av IT-ressursene enn det som er nødvendig.

Privat bruk skal ikke forekomme i en slik grad at det opptar vesentlige ressurser, eller er til fortrengsel for bruk som er begrunnet i virksomhetens formål.

IT-ressursene skal ikke brukes på en måte som kan forringe eller krenke deres integritet. Dette gjelder også ved bruk av privat utstyr.

Brukeren skal ikke uautorisert endre eller modifisere IKT-anlegg eller på annen måte forårsake at IKT-anlegg virker på en annen måte enn forutsatt.

Brukere har plikt til å følge IT-ansattes pålegg og instrukser om bruk av IT-ressursene.

Reglementet, og eventuelle utfyllende bestemmelser, skal være tilgjengelig på institusjonens web-sider. Brukeren av IKT-anlegg plikter å holde seg informert om det til enhver tid gjeldende IKT-reglement og eventuelle supplerende bestemmelser til dette. Brukeren har plikt til å sette seg inn i bruksanvisning, dokumentasjon m.v. på forsvarlig måte slik at risikoen for driftsforstyrrelser eller tap av data, programmer eller utstyr ikke blir unødig stor.

Hvor det er påkrevd skal brukere identifisere seg på korrekt måte. En brukers passord eller annen nøkkel skal holdes hemmelig og skal kun anvendes av den korrekte brukeren.

Systemeier kan kreve at brukeren skal identifisere seg med navn, egen brukeridentitet og eget passord, eller på annen måte. Brukeren plikter å ikke gjøre personlige passord eller lignende sikkerhetselementer kjent for andre.

Brukeren plikter å forhindre at uautoriserte personer får tilgang til bruk av nettet, adgang til anlegg eller tilgang til rom hvor utstyr er tilgjengelig, og ellers på annen måte bidra til å hindre at uautoriserte personer får tilgang til utstyret.

Vis nett-vett.

Nett-vett er et sett regler for sømmelig og fornuftig bruk av e-post. Retningslinjer for godt nett-vett finner man her: http://www.uninett.no/epost/nettvett/

Brukernes rettigheter

HIVE skal tilgjengeliggjøre oppdatert informasjon til brukerne om relevante forhold om IT-ressursene og brukernes nvendelse av disse.

Planlagt nedetid eller avbrudd for vedlikehold, kommende manglende støtte for forskjellige klienter, plattformer eller liknende som skal fases ut skal bekjentgjøres i god tid.

Alle brukere har krav på at deres personvern og integriteten til deres data ikke krenkes av HIVE. HIVE skal bidra til for at brukernes personvern og integriteten til brukernes data ikke krenkes av andre.

Personopplysningsloven stiller særlige krav til hvordan HIVE som behandlingsansvarlig skal utføre planlagte og systematiske tiltak, herunder internkontroll, for å sikre at alt er som det skal med informasjonssikkerheten og at behandlingen av persondata ikke strider mot hva loven har angitt som tillatelig.

HIVE skal ikke utlevere opplysninger om en enkelt bruker eller data tilhørende en bruker hvor dette ikke fremgår av vedtatte reglementer eller følger av lovgivningen forøvrig.

IKT-anlegget utfører blant annet sporing (logging) av hendelser og sikkerhetskopiering. Loggingen er typisk kobling mellom tjeneste, tidspunkt, nettverksadresse og innloggings-id. Brukeren er kjent med at annen bruk, herunder privat bruk, også kan føre til at personopplysninger blir registrert.

Inngrep og sanksjoner

Fundamentet for inngrep og sanksjoner er universitets- og høgskoleloven og institusjonens reglement.

IT-driftspersonell har som oppgave å sikresystemets funksjonalitet og integritet. IT-driftspersonell ved HIVE kan utføre ethvert inngrep for å ivareta systemets funksjonalitet så lenge som det ikke er i utrengsmål Ved inngrep skal bruker varsles så snart som praktisk mulig.

Overtredelse av reglementets bestemmelser kan føre til at bruker nektes tilgang til hele eller deler av institusjonens IKT-anlegg. I tillegg kan det medføre sanksjoner etter andre regler, så som disiplinærreaksjoner etter tjenestemannslovgivningen, advarsel eller utestenging fra studier og eksamen etter universitets- og høgskoleloven, erstatningsansvar, straffeansvar o.a.

Midlertidig utestenging, i inntil 5 virkedager, pga. overtredelse, eller mistanke om overtredelse, kan besluttes av den IKT-driftsansvarlige selv, uten forhåndsvarsel. Slik utestenging kan bare skje dersom det er skjellig grunn til å anta at:

• brukeren har gjort seg skyldig i alvorlige overtredelser, eller
• brukeren utgjør en vesentlig trussel for IKT-sikkerheten (brudd på konfidensialitet, integritet eller tilgjengelighet), eller
• brukerens IKT-utstyr utgjør en vesentlig trussel for IKT-sikkerheten

For øvrig kan utestenging vedtas av styret. Vedtak om utestenging i mer enn 6 måneder gjøres av styret selv. Det skal legges vekt på overtredelsens grovhet, om brukeren tidligere har overtrådt reglementet, hvilke følger en utestenging vil få for brukeren og forholdene ellers.

Dersom sanksjoner etter reglementet her vedtas i et slikt omfang at det må likestilles med ordensstraff eller andre disiplinærsanksjoner etter tjenestemannsloven, ev. med advarsel eller utestenging etter universitets- og høgskolelovens § 42, skal saken behandles etter disse lovenes regler om saksforberedelse m.v.

Institusjonen kan etablere regler for forenklet saksbehandling for mindre alvorlige brudd på reglementet som forekommer hyppig. Slike regler skal være tilgjengelig på institusjonens web-sider.

Vedtak etter denne paragraf kan påklages innen 3 uker til nærmeste overordnede instans.

Datasikkerhet

Brukeren plikter selv å treffe de tiltak som er hensiktsmessige for at tap av data, programmer eller lignende skal få minst mulig følger gjennom sikkerhetskopiering, forsvarlig oppbevaring av media, anbefalte rutiner for bruk av nettet m.v. IKT-driftsansvarlig skal opplyse om institusjonens rutiner og tiltak for å sikre brukernes data. Brukeren er kjent med at ingen IKT-anlegg kan være helt sikre og skal legge dette til grunn når en sikkerhetsløsning velges.

Brukeren plikter å ikke gjøre personlige passord eller lignende sikkerhetselementer kjent for andre.

Brukeren plikter å forhindre at uautoriserte personer får tilgang til bruk av nettet, adgang til anlegg eller tilgang til rom hvor utstyr er tilgjengelig, og ellers på annen måte bidra til å hindre at uautoriserte personer får tilgang til utstyret. Brukeren plikter å være oppmerksom på at programmer eller data kan inneholde uønskede elementer (virus e. l.), og selv treffe hensiktsmessige tiltak for kontroll.

Brukeren plikter straks å rapportere forhold som kan ha betydning for IKT-anleggets sikkerhet eller integritet til nærmeste foresatte, alternativt den IKT-driftsansvarlige.

Ved opphør av ansettelses, studie- eller brukerforhold er brukeren ansvarlig for at kopier av data, programmer m.v. som eies/disponeres av institusjonen sikres for den IKT-driftsansvarlige.

Andre filer m.v. som er lagret under brukerens navn, brukeridentitet eller lignende skal brukeren selv slette. Skjer dette ikke innen rimelig tid, og senest innen 3 måneder, kan den IKT-driftsansvarlige granske og slette slike filer m.v. Det samme gjelder ved dødsfall, men da skal pårørende varsles og få adgang til å overta kopi av materialet før eventuell sletting finner sted.

Dersom brukeren ikke har benyttet anlegg eller tjenester i løpet av 12 måneder kan institusjonen legge til grunn at brukerforholdet er opphørt, med mindre annet er avtalt.

HIVE er ikke ansvarlig for noe tap av data, tjenestebortfall eller andre tap som skyldes svikt i IT-tjenestene. HIVE kan ikke frata brukere rettigheter eller stille dem til ansvar grunnet handlinger eller passivitet hvor det er svikt i IT-tjenestene som er årsaken til dette.

Ansvarsfraskrivelse

Brukerne har selv ansvaret for bruk av opplysninger, programmer m.v. som gjøres tilgjengelig gjennom anlegget. Institusjonen fraskriver seg ansvar for økonomisk tap eller annen ulempe som følge av feil eller mangler i programmer, data, bruk av opplysninger fra tilgjengelige databaser eller andre opplysninger innhentet gjennom nettet m.v.

Del III. Subreglementer

1. Eierskap og behandling av data

Dette reglementet dekker ikke logger ol. som er HIVEs eiendom.

Utgangspunkt:

HIVE forholder seg til en fils eier som en indikasjon på hvem som eier data. Om eierskapet er korrekt eller ikke, skal ikke dette på noe vis endre det reelle eierskapet til data.

Eierskap til data

HIVE forholder seg til at den som er oppført som eier av en fil, er disse datas eier. Dette uansett hvor filen skulle befinne seg. HIVE vil kun utlevere filen til den som er oppført som eier med mindre det ved beslutning av norsk domstol bestemmes noe annet.

Konflikt om eierskap til data mellom to 3. parter

Hvor to parter begge hevder å være eier til data vil HIVE i utgangspunktet utlevere data til parten som er oppført som eier av filen. Hvor en part varsler rettslige skritt for å få fastslått eierskapet kan HIVE allikevel i en kortere periode avvente utleveringen.

Hvis ikke en avgjørelse fattes, får ingen utlevert noe?

Hvor det ikke er mulig å sannsynliggjøre hvem som eier data, og flere hevder å ha eiendomsretten til nevnte data, vil det ikke bli utlevert noe før det foreligger en avgjørelse fra norsk domstol omkring eierskapet til dataene.

Utlevering av data ved brukerforholdets opphør

Brukerforholdets opphør grunnet brukerens tilknytning til HIVE

Hvor brukerens forhold til HIVE opphører, f.eks. ved endt studium eller avsluttet arbeidsforhold skal brukeren selv besørge å fjerne sine data fra HIVEs IT-ressurser, herunder å ta kopier av de data brukeren ønsker å beholde. Brukeren skal derfor ha tilgang til sine data i tre måneder etter at rollen som begrunnet brukerforholdet opphørte.

At brukeren skal ha tilgang til sine data betyr ikke at andre tjenester skal være tilgjengelige.

Brukerforholdets opphør grunnet brukerens død

Hvor en bruker dør, vil dennes arvinger (dødsboet) tre inn i dennes sted hva angår rettigheter knyttet til så vel fysiske som immaterielle goder og objekter. Retten til innholdet av dennes hjemmeområde er et slikt.

Det som må fastlegges er at den eller de som ønsker å få utlevert innholdet av hjemmeområdet er rett arving. Dette gjøres ved fremleggelse av en skifteattest, hvor det fremgår hvem arvingene er.

Personlig innhold skal lagres på hjemmeområde. Materiale som lagres på arbeidsplassmaskin vil uten gjennomgåelse av hva det inneholder, bli slettet ved en brukers død.

Prosedyre for utlevering av data

Utfylling av erklæring

Utlevering skjer mot utfylling av en erklæring hvor mottaker av data underskriver på at denne

• har mottatt data.
• erkjenner at overleveringen ikke medfører noen endring i faktiske eierforhold.
• lover å utlevere data som tilhører andre til riktig mottaker.

Arkivering

En kort redegjørelse (f. eks en logg) for utleveringen, samt kopi av dokumenter som identifiserer rett mottaker (f.eks. skifteattest), erklæring og andre relevante dokumenter skal arkiveres.

Utlevering

Utlevering skjer på egnet medium som kan deles ut i bytte mot erklæring.

2. Utlevering av opplysninger

Det vil med jevne mellomrom kunne komme klager eller henvendelser rettet til HIVE hvis mål er å få utlevert logger eller informasjon (identitet) om en bruker. Dette er i utgangspunktet ikke noe man skal gi ut. Mange av opplysningene er belagt med taushetsplikt, men også andre regler, f.eks. etter personopplysningsloven tilsier at stor forsiktighet skal utvises i forhold til utlevering av informasjon om enkeltpersoner eller om deres bruk av IT-ressurser.

Spesielt om utlevering til politi eller påtalemyndighet

Etter Ekomlovens §2-9 kan politi eller påtalemyndighet kreve å få identifisert en bruker av et ip-nummer. Andre data, f.eks. logger av trafikkdata eller innholdet i kommunikasjoner krever beslutning av en domstol.

Utlevering til andre

Utlevering opplysninger, logger eller likende til andre enn politi eller påtalemyndigheter krever beslutning fra norsk domstol.

Utlevering til brukeren selv

En bruker som ønsker utlevert seg opplysninger, logger eller likende som omhandler denne selv, kan få dette ved vanlig henvendelse til IT-tjenesten. Retten til dette følger bl.a. av personopplysningsloven.

Fellestjenester i sektoren

For fellestjenester i sektoren, herunder en brukers utnyttelse av andre institusjoners IT-ressurser vil eventuelt misbruk enten bli tatt hånd om av brukerens vertsinstitusjon ved klage på denne fra HIVE hvis ressurser er misbrukt, eller HIVE hvis ressurser er misbrukt kan forfølge saken i rettsvesenet og dermed få identifisert brukeren etter reglene over.

3. Ressursbruk

Utgangspunkt.

Bruk av HIVEs IT-ressurser skal hovedsakelig forekomme for å fremme HIVEs formål.

Det er ikke tillatt å bruke HIVEs IT-ressurser på en måte som opptar større ressurser enn nødvendig, tatt de tilgjengelige ressursene i betraktning. Bruk som ikke er begrunnet i HIVEs formål skal ikke oppta annet enn ubetydelige ressurser.

Tillatt bruk etter HIVEs formål.

Formålet til HIVEs er utdanning, forskning og formidling.

Bruk som er direkte relatert til HIVEs formål er grunnlaget for de ressursene som er tilgjengelige og er derfor tillatt så lenge som det ikke opptar for store ressurser slik at bruken blir til fortrengsel for annen tillatt bruk.

Bruk som ikke er direkte relatert til HIVEs formål er kun tillatt i den utstrekning det opptar ubetydelige ressurser. Bruk som ikke har noen beskyttelsesverdige interesse kan forbys av IT-tjenesten.

Privat bruk

IT-tjenestene ved HIVE er hovedsakelig til bruk for å oppfylle formålet til HIVE. Imidlertid er det fullt ut akseptabelt at brukere anvender IT-ressursene til private gjøremål så lenge som de ikke

• opptar IT-ressurser på bekostning av annet bruk.
• bryter lisenser, avtalevilkår eller andre forutsetninger.
• bidrar til å svekke sikkerhet eller stabilitet.
• er forbudt av IT-tjenesten.

Kommersiell bruk

Bruk av HIVEs IT-ressurser til kommersielle formål (enhver form for kjøp, salg, utleie, annonsering mot betaling eller likende) er forbudt med mindre det foreligger skriftlig tillatelse til slik bruk i forkant.

Ingen beskyttelsesverdig interesse

Handlinger som anvender IT-ressurser men ikke er begrunnet ut fra beskyttelsesverdige interesser slik som HIVEs formål eller allment aksepterte interesser kan forbys av IT-tjenesten. Hvor det er grunn til å klandre brukeren for handlingen, kan sanksjoner iverksettes. Avveiningen skal foretas etter momentene gjengitt under:

En handling har ikke beskyttelsesverdige interesser i denne konteksten hvor den ikke har en særlig nærhet til HIVEs formål og heller ikke har en særlig nærhet til alminnelig anerkjente rettigheter eller formål slik som:

• demokrati
• grunnleggende rettigheter
• samfunnsøkonomisk nytte
• tekniske eller andre vitenskapelige fremskritt

Handlingen vil kunne være i strid med dette reglementet hvor den samtidig anvender HIVEs IT-ressurser.

IT-tjenesten kan iverksette sanksjoner mot en bruker som har foretatt en slik handling hvor:

• En bruker forsto eller burde ha forstått at handlingen ikke var tillatt bruk av IT-ressursene

og

• Handlingen ikke utelukkende eksisterte i brukerens privatsfære.

Håndheving av ressursutnyttelse.

Enhver enhet og hver enkelt bruker har et selvstendig ansvar for å selv påse at egen bruk er innenfor grensene av tillatt bruk. IT-tjenesten kan og skal gi generelle retningslinjer om hvilket bruk som tillates.

I spesielle tilfeller hvor IT-tjenesten blir oppmerksom på bruk som, etter en konkret vurdering basert på nærheten til HIVEs formål, andre beskyttelsesverdige interesser og mengden ressurser bruken opptar, ikke bør tillates, skal IT-tjenesten sørge for at denne stoppes. Hvis det er grunn til å klandre en bruker for opptreden i forbindelse med slik bruk kan sanksjoner fra IT-tjenesten iverksettes mot brukeren.

4. Brukerens plikt til å identifisere seg

Korrekt identifikasjon

Alle brukere plikter å til enhver tid identifisere seg selv på en korrekt måte ovenfor HIVE hvor det er lagt opp til dette. Det er forbudt å identifisere seg eller å forsøke å identifisere seg som en annen enn den man er.

Riktig brukernavn

For alle tjenester hos HIVE hvor en skal identifisere seg selv skal kun ens eget brukernavn anvendes.

Riktig avsenderadresse

Det er forbudt å forsøke å modifisere eller skjule noen felt eller informasjon i kommunikasjon med sikte på å skjule hvor den kommer fra, eller gi et feilaktig bilde av dette.

Riktig maskinnavn/ip- adresse

Det er forbudt å forsøke å endre en innstilling, aksessere tjenester via omveier eller på andre måter forsøke å skjule hvilken maskin en sitter ved eller gi et feilaktig inntrykk av dette ovenfor HIVE eller andre brukere tilknyttet HIVE.

Hemmeligholdelse av nøkkel

Det er svært viktig å holde sin nøkkel hemmelig. Denne eksisterer ofte i form av et passord eller en pin-kode. Det er forbudt å dele denne med noen. Hvor det går frem at en nøkkel er blitt kjent vil brukerkonto bli sperret og brukeren vil bli ansvarliggjort.

Rett til anonymitet

Det er ikke opp til HIVE å bestemme hvorvidt brukerne identifiserer seg ovenfor tredjemann ved bruk av åpne tjenester utenfor HIVE. Dog vil brudd på norsk eller internasjonal lovgivning utført via eller ved hjelp av HIVEs IT-ressurser rammes av IT-reglementet.

5. Sanksjoner

Sanksjoner

En sanksjon er en reaksjon iverksatt for å straffe en bruker for klanderverdig atferd fra dennes side. Handlingen iverksatt for å oppnå andre resultater, f.eks. stabilitet og sikkerhet blant IT-ressursene er ikke en sanksjon.

Sanksjoner i forhold til opptreden relatert til IT-ressurser, skal håndteres av IT-tjenesten.

Sanksjoner relatert til annen opptreden skal håndteres av brukerens ansvarlige enhet.

Omfang av sanksjoner og kompetanse til å iverksette disse

Styret

En total sperring av en brukerkonto er en bortvisning etter universitetslovens §11.

Styret er tillagt kompetansen til å bortvise en bruker. Saksbehandlingen og prosedyren for å gjøre dette er bestemt av lovverket. Disse må følges i slike tilfeller.

Retten til å ha en operativ brukerkonto som gir tilgang til administrative tjenester, utdanning og tilhørende innleveringer eksamener mv. kan ikke som en sanksjon fratas brukere uten at dette er å anse som en bortvisning. Det samme gjelder retten til å kunne motta kommunikasjoner fra HIVE eller noen av dets organer.

Ansvarlig enhet

Den ansvarlige enheten skal ikke iverksette sanksjoner vha. endring av privilegier for bruk av IT.

IT-tjenesten

IT-tjenesten kan iverksette sanksjoner ved å frata brukere visse begrensede privilegier i en begrenset tidsperiode.

Sanksjoner skal være et resultat av et misbruk og relatert til den misbrukte ressursen.

Førstelinje av IT-tjenesten skal ikke iverksette sanksjoner mot brukere utover tilsnakk eller rapportering av dem til 2. linje.

Ved alvorlig misbruk skal IT-tjenesten eskalere en sak i linjen, via den ansvarlige enheten til styret, for beslutning om bortvisning skal finne sted.

6. Inngrep

Inngrep

Et inngrep er en faktisk handling som er foretatt for å oppnå noe annet enn å straffe en bruker.

IT-tjenesten kan foreta inngrep når dette er nødvendig. Med nødvendig menes for å opprettholde sikkerhet, integritet, konfidensialitet og tilgjengeligheten i IT-systemer, tap av liv helse eller gods, hindre at HIVE kommer i ansvar, eller opprettholdelse av HIVEs rykte samt det å forhindre rettsbrudd.

Innsyn

Med innsyn menes et fysisk individ som gjennom en manuell prosess skaffer seg tilgang til data som tilhører andre brukere. Automatiske prosesser som foretar handlinger mot store grupper brukere bedriver ikke innsyn. Dette gjelder f.eks. virusscanning eller prosesser som generer rapporter som ikke identifiserer individer.

Filer, områder og logger

Brukerens private sfære strekker seg kun til kunnskap om eksistens av og innhold i filer. Hvilke prosesser en maskin har gående, er informasjon som til enhver til skal være tilgjengelig for driftspersonale.

Logger som inneholder informasjon om prosesser, innlogginger, avvik eller andre hendelser er HIVEs eiendom og skal være tilgjengelig for driftspersonale.

Det er et konkret skille mellom brukerens filer og områder, og den logging av diverse ting som en institusjon foretar. Det er ikke et innsyn i så måte å gå gjennom disse, men det må til gjengjeld være slik at HIVE ikke logger annet enn det som er forsvarlig, og at dette opplyses om.

Innsyn i data, filer eller områder tilhørende privat bruker

Det er i utgangspunktet kun brukeren selv som har tilgang til dennes data, filer eller private områder.

Samtykke

Som standard er samtykke det man skal be om hvis inngrep med innsyn er nødvendig. I visse tilfeller kan det være nødvendig å skaffe seg dette uten samtykke.

Tillatelse fra overordnet

I en situasjon hvor tidsnød eller andre årsaker umuliggjør eller gjør det svært vanskelig eller uhensiktsmessig å innhente samtykke, kan innsyn foretas med tillatelse av IT-leder eller den som opptrer i dennes sted.

Situasjoner med særlig tidsnød

I en situasjon hvor særlig tidsnød eller andre årsaker umuliggjør eller gjør det svært vanskelig eller uhensiktsmessig å innhente tillatelse fra IT-leder eller den som opptrer i dennes sted, kan innsyn foretas av IT-personalet.

Informasjon i ettertid

Hvor noen har skaffet seg innsyn i en brukers personlige område uten forutgående samtykke fra brukeren selv skal brukeren straks varsles.

Varslet skal redegjøre for hvilket inngrep som har blitt foretatt, hvilken hjemmel dette hviler på og de særlige forhold som er påberopt.

Registrering av innsyn

At innsyn har vært foretatt skal registreres i saksbehandlingssystem.

Sperring/stengning av ressurser

Hvor et det er nødvendig kan inngrep iverksettes ved å sperre, stenge eller på andre måter endre en ressurs.

Informasjon til brukere

Hvor en ressurs sperres skal brukeren ha beskjed. Dette skal skje så snart som mulig. Hvor ressurser som påvirker mange brukere er sperret, kan innholdet i varsel være identisk. Hvis det er praktisk mulig bør, informasjonen nå alle brukere individuelt. Beskjed skal gis gjennom et kommunikasjonsmiddel som ikke er sperret.

7. Brukerregistrering

Vilkår for å bli bruker

For å bli bruker ved HIVE må man ha et formalisert forhold til HIVE. Et formalisert forhold har den som er ansatt, opptatt til studier eller har en skriftlig avtale med HIVE om sin tilstedeværelse.

For å bli bruker skal et minimumssett av ens persondata finnes i et av de administrative systemene til HIVE. Dette kan være studentsystemet eller personalsystemet. De opplysningene som må registreres er:

• navn
• personnummer
• tilknytning / rolle i forhold til HIVE
• varighet av tilknytning
• plassering i HIVE

Visse typer ansatte kan ha en tilknytning som ikke etter sitt formål behøver å bli bruker av IT-tjenestene. Dette skal i så fall være grunnet objektive kriterier og utvelgelse skal skje på grunnlag av formelle roller. Dette skal fremgå av registreringen i student- eller personalsystemet.

Registrering av brukere

Ved registrering av nye individer i enten student- eller personalsystem skal det automatisk bygges en bruker til vedkommende. Dette gjelder ikke hvis:

• det av vedkommendes registrering fremgår at denne ikke skal ha bruker
• det allerede finnes en bruker for et individ med den identifikatoren

Finnes det allerede en bruker og denne skal benyttes, må det sikres at de over nevnte pliktige personopplysninger er tilstede i oppdatert form.

Etter at bruker er bygget skal brukernavn og passord (eller annen autentiseringsinformasjon, f.eks. pin-kode) sendes bruker på sitt arbeids/studiested. Samtidig skal bruker få informasjon om IT-ressursene og reglene for bruk av disse.

IT-tjenesten skal som regel ikke bygge brukere som ikke finnes i enten student- eller personalsystem. Unntak fra dette kan skje hvor tekniske forhold nødvendiggjør det. Ved manuell registrering skal også de over nevnte pliktige personopplysninger registreres. Manuelt opprettede brukere skal ikke være gyldige i mer enn ett år.

Det kan settes som vilkår at bruker ved første anvendelse / aktivering av brukerkonti selv velger et nytt passord/pin-kode el. l.

Varighet av brukerforhold

En brukers konto ved HIVE skal ha en like lang varighet som tilknytningen brukeren har til HIVE har. I tillegg kan brukeren få tre måneder til å rydde opp i sine forhold før kontoen blir sperret.

Opphør av brukerforhold

Etter 3 måneder sperres brukerens konto, og data slettes. Sikkerhetskopierte data slettes etter 5 år.

8. Saksbehandling

Alminnelige regler ved saksbehandling

IT-ansatte er underlagt de alminnelige saksbehandlingsreglene som gjelder i det offentlige hva angår utøvelse av myndighet som ansatt av forvaltningsorgan.

Taushetsplikt

IT-ansatte er underlagt taushetsplikt etter forvaltningslovens § 13. Taushetsplikten gjelder for alle taushetsbelagte opplysninger som en får kjennskap til gjennom utøvelse av sin stilling. Taushetsplikten gjelder også mot andre ansatte i IT-organisasjonen, unntatt oppover i linjen.

Arkiveringsplikt

Dokumenter tilhørende sak hvis behandling utgjør et enkeltvedtak etter forvaltningsloven §2b er arkivverdig og skal arkiveres i offentlig journal. Ved tvil om hvorvidt en sak er arkivverdig eller ei skal arkivpersonale rådføres.

Innsynsrett

Alle har rett til innsyn i offentlig journal jf. offentlighetsloven § 2.

Alle som er part i en sak har innsyn i sakens dokumenter. Innsynet gjelder ikke dokumenter og kommunikasjon for intern saksforberedelse.

Svarplikt mm.

HIVE plikter å besvare alle henvendelser rettet til det som forvaltningsorgan eller institusjon. Dette gjelder ikke masseutsendte kommunikasjoner i markedsføringsøyemed (SPAM).

Alle henvendelser skal besvares innen rimelig tid.

HIVE plikter å gi alminnelig veiledning til brukerne som er relevant i forhold til mottatte henvendelser. Slik veiledning kan være henvisning til tilgjengelig informasjon. I saker hvor det utøves forvaltningsmyndighet skal det fremgå at brukerne har adgang til å klage på enkeltvedtak.

Gjentatte henvendelser i saker som er avgjort og hvor det ikke er videre klageadgang, er ikke tillatt. Ei heller gjentatte meningsytringer til slike kanaler, hvor svar på slike allerede har blitt gitt. Det er ikke pliktig å besvare slike henvendelser annet enn med en standardisert avvisning.

Elektronisk kommunikasjon

Det skal fremgå tydelig på HIVEs hjemmeside, hvilke kanaler og adresser som kan benyttes til å rette henvendelser til HIVE ved hjelp av elektronisk kommunikasjon.