Informasjonssikkerhet
Virksomheter som bruker personopplysninger skal ha en forholdsmessig sikring av opplysningene.
Datatilsynets tilsyns- og sikkerhetsavdeling kan gi veiledning om bruk av informasjonsteknologi ved behandling av personopplysninger, og vurdere informasjonssikkerhet hos virksomheter i forbindelse med endring eller etablering av nye informasjonssystemer. Tidligere veiledninger vil fortsatt være tilgjengelige som referansedokumenter. Nye veiledninger vil utarbeides etter hvert og gjøres tilgjengelige som referansedokumenter.
Innholdsfortegnelse
Sikkerhetsbestemmelser
Risikovurdering
Veileder for kommuner og fylker
Tynne klienter
Ny norm skal bedre sikkerheten i helsesektoren
Fødselsnummeret må sikrast
Slett ikke slettet?
Kryptering
Konsesjonssøknader
Kritikkverdig håndtering av passord
Spørsmål og svar
Spørsmål og svar (privatpersoner)
Sikkerhetsbestemmelsene i personopplysningsforskriften stiller konkrete krav til virksomhetene
Les sikkerhetsbestemmelsene med kommentarer her (nytt vindu).
Datatilsynet har laget en veileder om risikovurdering av informasjonssystemer.
De aller fleste behandlingsansvarlige må gjennomføre en risikovurdering i forhold til informasjonssikkerhet dersom de skal bli i stand til å bringe behandlingen av personopplysninger i samsvar med personopplysningsloven og forskriften til denne. Dette dokumentet veileder virksomheten i den prosessen. (TV-506:2002)
Risikovurdering av informasjonssystem med utgangspunkt i forskrift til personopplysningsloven (Pdf-format - Acrobat Reader)
(15.02.2005) Redaksjonen
Veilederen for informasjonssikkerhet er rettet inn mot kommuner og fylkeskommuner, men kan også brukes av andre virksomheter som behandler personopplysninger.
Veilederen forklarer blant annet hvordan man kan dele opp informasjonssystemet i soner for å ivareta ulike sikkerhetsbehov.
Dokumentet ble første gang ble gitt ut i 1998, men er nå tilpasset dagens regelverk.
Last ned veilederen her (nytt vindu, pdf-format)
(06.05.2005) Redaksjonen
Dette dokumentet er en veileder for bruk av terminaltjener/klient (tynne klienter) for å skille samtidige brukerrettigheter i åpne og sikre soner.
Last ned veilederen her (nytt vindu, pdf)
(07.09.2006) Gunnel Helmers
Norm for informasjonssikkerhet i helsesektoren ble lansert 7. september 2006. - Normen er en viktig milepæl i arbeidet med å oppnå en tilfredsstillende sikkerhet i helsesektoren, sier avdelingsdirektør Leif T. Aanensen i Datatilsynet.
Sosial- og helsedirektoratet har vært den sentrale drivkraften i arbeidet med normen. Representanter for sektoren, blant annet fra Den norske lægeforening, Norsk Sykepleierforbund, Norges Apoterkerforening, Kommunenes Sentralforbund, og de regionale helseforetakene, har vært med på utarbeidelsen. Datatilsynet satt i styringsgruppen, og har bidratt i utformingen av normen ved behov.
- Datatilsynet er tilfreds med at direktoratet nå har lansert Norm for informasjonssikkerhet i helsesektoren, sier Aanensen. - Den kan medvirke til at helseopplysninger sikres godt nok, fastslår han.
Normen er et felles grunnlag for å etterleve regelverket når det gjelder informasjonssikkerhet. Helsesektoren er stor og kompleks, med aktører med ulike behov og av ulik størrelse.
- Når deltakerne i helsenettet følger denne normen, kan man ha gjensidig tillit til at den man sender helseopplysninger til sikrer opplysningene godt nok. Dette er en viktig forutsetning for forsvarlig kommunikasjon, påpeker Aanensen.
Datatilsynet har klare forventninger om at alle innen bransjen forholder seg til normen, sier Aanensen, og fastslår samtidig at arbeidet ikke er over med dette. - Nå gjenstår det viktige arbeidet med å innføre normen hos den enkelte aktør.
Les mer på Sosial- og helsedirektoratets websted (nytt vindu)
Se normen her (nytt vindu, hos Sosial- og helsedirektoratet)
(26.10.2006) Helge Veum
Krav frå Datatilsynet: Når ein legg til rette for elektronisk kommunikasjon av fødselsnummer over usikra nettverk, må fødselsnummeret krypterast eller sikrast på annan måte.
Personopplysningsforskrifta § 9-2 stiller følgjande krav ved sending av fødselsnummer: "Postsendinger som inneholder fødselsnummer skal være utformet slik at nummeret ikke er tilgjengelig for andre enn adressaten. Tilsvarende gjelder sendinger som formidles ved hjelp av telekommunikasjon."
Ved sending over usikra nettverk blir dette løyst mest formålstenleg ved at fødselsnummeret krypterast ved sending. Spørsmålet er spesielt aktuelt når ein har lagt til rette for sending av fødselsnummer over Internett i form av innlegging på Web-sider og sending i e-post.
Eit slik vern samsvarer vidare med føresegna om sikring av konfidensialitet i personopplysningsforskrifta § 2-11.
Det blir lagt til grunn at lovkrava for bruk av fødselsnummer i personopplysningslova § 12 er oppfylt.
Les meir om bruk av fødselsnummer her.
(27.04.2007) Frank Ulfsby Eriksen
Hvordan skal man sikre seg at informasjon som er blitt lagret igjennom tiden, ikke kommer på avveie? Er vanlig sletting godt nok?
En datamaskin kan brukes til så mangt. De fleste bruker den til arbeid, til å surfe rundt på Internett, spille spill, gjøre innkjøp og bruke nettbank. Man legger kanskje inn bilder av familien, fører regnskap, sender e-post og skriver brev og søknader. Av og til legger man kanskje inn opplysninger man ikke ønsker andre skal få tak i. En god del informasjon relatert til slik bruk er vanskelig tilgjengelig for den normale bruker og derfor vanskelig å slette permanent.
Slettet?
Hvordan skal man sikre seg at informasjon som er blitt lagret igjennom tiden, ikke kommer på avveie? Er vanlig sletting godt nok?
Hvordan ville du reagere om personen du solgte datamaskinen til ringer og forteller hva han har funnet av privat informasjon eller i ytterste tilfelle lagt det ut på Internett og du får vite om det? Selv husker du helt klart at du slettet denne informasjonen før du videresolgte datamaskinen. Du kan derfor ikke skjønne hvordan informasjonen har sett dagens lys igjen.
Problemet med slik normal sletting er at man egentlig ikke sletter informasjonen, men bare legger til rette for at den kan skrives over. Ett godt eksempel på slik normal sletting er slettefunksjonen i operativsystemet Windows. Denne metoden for sletting begrenser seg ikke kun til harddisker, men også til andre lagringsmedier man bruker i sammenfatning med for eksempel Windows, herunder minnepinner, minnebrikker og disketter.
Hvis man ønsker sikre at personlig og sensitiv informasjon ikke havner i feil hender bør man ta noen ekstra grep. Man kan for eksempel selge datamaskinen uten harddisk, som er lagringskomponenten inne i datamaskinen, eller bruke et program som sletter informasjonen permanent. Et mer drastisk skritt er å bruke sterk magnetisme, men dette vil ødelegge harddisken for fremtidig bruk.
Leverer du datamaskinen inn til reparasjon bør du få en forsikring på hvordan denne bedriften forholder seg til og håndterer personlig informasjon lagret på maskinen videre. Bedriften bør ha innarbeidet rutiner rundt hvordan slik informasjon skal behandles og skal uoppfordret informere kunden om hva som er praksis i deres bedrift.
Datatilsynet kan ikke anbefale produkter eller leverandører som kan hjelpe deg med å slette data på en god måte, men vi oppfordrer til at man bør være varsom, kritisk og ikke minst sjekke anbefalinger fra andre rundt hvordan de oppfattet produktet eller produsenten i forhold til kvalitet og resultat.
Rekonstruksjon
Programvare som kan gjenskape tapte eller slettede data har i den senere tid blitt mer tilgjengelig og enklere å bruke. Mange av disse programmene er ”pek og klikk” og derfor er det enkelt for en middels kyndig databruker å rekonstruere opplysningene på harddisken eller minnepinnen.
De aller fleste av slike programmer baserer seg på at informasjonen er slettet via normale metoder som nevnt tidligere. Hvis man tar i bruk mer avanserte metoder for å forsikre seg mot at personlig og sensitiv informasjon kommer på avveie, vil sannsynligheten bli mindre for at noen kan bruke slike enkle metoder for å hente tilbake det som er slettet.
(14.09.2001) Redaksjonen
Datatilsynet krever krypteringsstyrke tilsvarende DES128
Når sensitive personopplysninger overføres over eksterne datanett krever Datatilsynet at informasjonen beskyttes gjennom bruk av kryptering. I denne forbindelsen har vi også satt et kvantitativt "krav" (i form av sterk anbefaling) til krypteringsstyrken. Det har til nå blitt regnet som tilstrekkelig med DES-algoritme og 56 bits nøkkelrom. Denne anbefalingen ble satt ut fra tilgjengelig utstyr for den aktuelle målgruppen, samt hvilken krypteringsstyrke som ble regnet som tilstrekkelig.
Utviklingen går raskt, og Datatilsynet har nå sett det nødvendig å vurdere kravet på nytt. Maskinkraften i dagens utstyr er nå så sterk at det er mulig i løpet av forholdsvis kort tid å bryte et kryptogram som er kryptert med DES56 ved hjelp av "brute force"-metoden. I tillegg er utstyr som kan gi mye sterkere kryptering nå er gjort enklere tilgjengelig, blant annet som følge av lettelser i eksportrestriksjoner fra USA.
Datatilsynet går derfor ut med ny anbefaling, nemlig bruk av krypteringsstyrke tilsvarende "DES128" (112 bits effektiv nøkkel).
Hva med tidligere løsninger som er i bruk?
En problemstilling er hvorvidt dette kan/bør gis tilbakevirkende kraft. I henhold til personopplysningslovens § 13 skal den behandlingsansvarlige "gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet". § 2-4 i forskriften til loven sier at ny risikovurdering skal gjennomføres ved endringer som har betydning for sikkerheten.
Det forholdet at maskinkraften er blitt så sterk at et kryptogram som er kryptert med DES56 (eller tilsvarende) kan knekkes innen rimelig tid, må sies å være en endring som har betydning for sikkerheten. Strengt tatt vil dette derfor kunne få innvirkning på de tiltak en virksomhet har gjort for å sikre konfidensialitet.
På den annen side er det klart at denne utviklingen har skjedd og skjer gradvis, slik at det er vanskelig å sette et skarpt tidsskille for når en gitt krypteringsstyrke ikke kan brukes lenger. Ikke desto mindre vil kryptering med DES56 (eller tilsvarende) etter hvert bli så svak at det ikke kan anses som tilfredsstillende tiltak.
Bør vurdere oppgradering
Mange virksomheter bør vurdere å oppgradere sine systemer slik at krypteringsstyrken gjenspeiler det som kan anses for tilstrekkelig. Foreløpig vil Datatilsynet ved alle nye henvendelser gi anbefaling slik det er beskrevet over. På et senere tidspunkt vil vi vurdere å påpeke overfor virksomheter at den krypteringsstyrken som er valgt ikke er tilstrekkelig dersom de ikke har oppgradert.
(06.02.2004) Redaksjonen
Hvordan skal informasjonssikkerheten dokumenteres? Ved behandling av konsesjonssøknader vurderer Datatilsynet om behandlingsansvarlig med rimelighet kan sies å ha ivaretatt plikten til forholdsmessig sikring av personopplysningene.
Kravene til informasjonssikkerhet finnes i personopplysningslovens § 13 og personopplysningsforskriftens kapittel 2.
For vurderingen trenger Datatilsynet kopi av noen av de overordnede dokumentene som den behandlingsansvarlige skal ha ifølge forskriften. Omfanget av dokumentene vil variere avhengig av hvilken type behandling som foretas samt virksomhetens størrelse og kompleksitet.
Dette må være vedlagt:
- definerte sikkerhetsmål
- sikkerhetsstrategi
- risikovurdering
- organisasjonskart som beskriver ansvar og myndighet i forhold til informasjonssikkerhet og drift
- konfigurasjonskart
Dersom dokumentasjon i henhold til pkt. 3 i søknadsskjemaet mangler eller er for mangelfull til at Datatilsynet kan gjøre en forsvarlig vurdering av informasjonssikkerheten, vil søknaden kunne bli returnert uten behandling, med anvisning om hva som mangler. Dette kommer nødvendigvis til å forsinke prosessen.
Om begrepene
Her følger en kort omtale av begreper som blir benyttet i arbeidet med informasjonssikkerhet. Se også vedlegg I som forteller mer om hva begrepene innebærer.
- Sikkerhetsmål: Sikkerhetsmålene omfatter ledelsens beslutninger om til hva og hvordan informasjonsteknologien skal benyttes i virksomheten for å kunne nå sine øvrige mål. Den vil således utgjøre en del av virksomhetens beskrivelse av sin totale målsetting.
- Sikkerhetsstrategi: Sikkerhetsstrategien vil omfatte grunnleggende beslutninger om organisering og gjennomføring av sikkerhetsarbeidet. Dette går på fordeling av arbeidsoppgavene mellom ledelse og driftspersonell, beslutning om eventuelt å ta i bruk eksterne leverandører i sikkerhetsarbeidet. Forholdet mellom ledelse, driftspersonell og den enkelte bruker må avklares her. Sikkerhetsstrategi skal gjøre rede for organisatoriske og tekniske strategiske valg. Sikkerhetsstrategien må være utformet på en måte som gjør at de ansatte forstår hva ledelsen har bestemt.
- Akseptkriterium: Bestemmer hvilken risiko som kan aksepteres av virksomheten. Ved behov har Datatilsynet anledning til å fastlegge særskilte kriterier for akseptabelt risikonivå eller å fastlegge spesielle vilkår for sikkerhet ved behandling.
- Risikovurdering: Risikovurderingen har til hensikt å undersøke hvor stor personvernrisiko det er ved bruk av informasjonssystemet. Resultatet av vurderingen skal sammenliknes med det risikonivå virksomheten kan akseptere (akseptkriteriene). En risikovurdering må derfor måtte inneholde beskrivelse av hvilke personopplysninger som behandles og sikkerhetskravene til disse. Personvernrisiko er kombinasjonen av en hendelses konsekvens og sannsynligheten for at hendelsen inntreffer. (Se Datatilsynets veiledning ”Risikovurdering av informasjonssystem” som finnes på informasjonssikkerhetssidene til Datatilsynets websted.)
- Konfigurasjonskart: På et slikt kart bør nettets infrastruktur og de forskjellige brukere, nettverkskomponentene, datalagringsenhetene fremgå samt hvilken funksjon disse enhetene har. Ekstern tilknytning må tydelig fremgå. Det bør også inngå hvilke enheter som er lagringsmedium for personopplysninger.
Hva bør dokumentasjonen som vedlegges søknaden inneholde?
Tabellen under kan fungere som en sjekkliste for virksomheten. Innholdet er kun veiledende og ikke nødvendigvis uttømmende. Personopplysningsforskriften forkortes pof og punkt henviser til punktet i søknadsskjemaet.
| Krav | Bestemmelse | Kommentar |
pof 2-3, jf. punkt 3.1 | Sikkerhetsmål | Sikkerhetsmål bør omfatte beslutninger om til hva og hvordan virksomheten skal kunne benytte informasjonsteknologi: - Hvilke personopplysninger blir lagret elektronisk/manuelt?
- Må opplysningene sikres med hensyn på konfidensialitet, integritet og tilgjengelighet?
- Hvilke elektroniske hjelpemidler tas i bruk?
- Hvordan skal disse opplysningene kunne brukes?
- Eventuell privat bruk av informasjonssystemet
|
pof 2-3, jf. punkt 3.2 | Sikkerhets-strategi | Beskrivelse av valg og prioriteringer i sikkerhetsarbeidet. - Overordnede valg for gjennomføring av sikkerhetsarbeidet
- Overordnede føringer for bruk av informasjonssystemet
- Eventuell bruk av eksterne samarbeidspartnere, f.eks. databehandler
- Beslutning om tilknytning til eksterne virksomheter
- Overordnet oppgavefordeling
|
pof 2-4, jf. punkt 3.4 | Risikovurdering | Skal gjennomføres før behandling av personopplysninger starter, deretter ved endringer i informasjonssystemet eller trusler som kan påvirke risikobildet. En risikovurdering bør som et minimum inneholde: - Kartlegging av personopplysninger som behandles og hvilke sikkerhetsbehov disse har
- Identifisering av uønskede hendelser som kan true sikkerheten og konsekvensene av disse
- Vurdering av sannsynlighet for at uønskede hendelser skal inntreffe
- Vurdering av avdekket risiko i forhold til aksepterbar risiko
Det forutsettes at risikonivået ligger innenfor akseptable grenser før behandling av personopplysninger settes i gang. Gjør de ikke det, brukes resultatene av risikovurderingen som grunnlag for planlagging og gjennomføring av tiltak som kan gi tilfredsstillende informasjonssikkerhet |
pof 2-7, jf. punkt 3.4 og 3.5 | Organisering | Her skal sikkerhetsorganisasjonen beskrives. Det skal etableres klare ansvars- og myndighetsforhold med utgangspunkt i beslutninger tatt av virksomhetens ledelse (sikkerhetsstrategien). - Ansvar og myndighet relatert til drift av informasjonssystemet (driftsledelse) og for oppfølging av sikkerhetsarbeid (sikkerhetsledelse) må klarlegges. I mindre organisasjoner kan det være samme person som ivaretar disse oppgavene.
- For større organisasjoner fremlegges organisasjonskart som viser de nevnte funksjonene og deres plassering i forhold til ledelse og virksomheten for øvrig.
- Ansvar og myndighet skal fremgå tydelig.
|
pof 2-7, jf punkt 3.5 | Konfigurasjon | - Det må foreligge konfigurasjonskart
- Beskrivelse av nettets infrastruktur og de forskjellige nettverkskomponentene må fremgå
- Identifisering av datalagringsenhetene
- Synliggjøre brukere i nettverket
- Funksjonell beskrivelse av sikkerhetskomponentene
- Eventuelle eksterne tilknytninger må tydelig fremgå
|
3.6, 3.7, 3.8 | => | - 3.6: Det svares 'nei' kun dersom det aktuelle nettverket hvor personopplysningene behandles er fysisk isolert fra andre nettverk.· ·
- 3.7: Det svares 'ja' dersom overføring av personopplysninger i det eksterne nettverket er aktuelt som del av den planlagte behandlingen av opplysningene.
- 3.8: Fylles ut kun hvis virksomheten er underlagt annet offentlig regelverk som også regulerer krav til informasjonssikkerhet
|
(27.04.2007) Leif T. Aanensen
Mange personer bruker samme passord og brukernavn på flere nettjenester, samtidig som mange virksomheter lar kundenes ukrypterte passord ligge tilgjengelig for sine ansatte. – Dårlig sikkerhetskultur, sier Frank U. Eriksen, overingeniør i Datatilsynet.
Virksomhetene har for alvor oppdaget at Internett er et godt supplement, og i noen tilfeller en erstatter for telefonbasert kundeservice. Kundene kan på en enkel og oversiktlig måte skaffe seg tilgang til informasjon om eget kundeforhold og eventuelt foreta ønskede endringer. De fleste vil oppfatte et slikt tilbud positivt.
Ansatte kan lese kundenes passord
Virksomhetene har etablert ulike innloggingsløsninger for slike kundesider, med varierende grad av sikkerhet. Årsaken til det er trolig at informasjonen som lagres vurderes ulikt i forhold til beskyttelsesbehov. Imidlertid må en person ofte må forholde seg til et stort antall kundesider. Mange velger derfor av praktiske grunner å benytte samme brukernavn og passord hos flere virksomhetene. Selv om tilsynet fraråder dette, bør virksomhetene likevel forholde seg til at slik praksis forekommer.
Hos noen virksomheter ligger passord og brukernavn åpent i kundesystemene. Datatilsynet er meget kritisk til en slik praksis. Ansatte har med det kunnet tilegnet seg passord og brukernavn som i noen tilfeller også kan misbrukes andre steder. Brukernavn og passord er og oppfattes av de fleste som personlige nøkler. En slik praksis eksponerer virksomhetens kunder for helt unødig risiko. Kundenes passord må være utilgjengelig for de ansatte, fortrinnvis ved at disse krypteres.
- Det er bekymringsfullt at mange virksomheter ikke har større respekt for egne kunder enn at passord ligger til allmenn beskuelse i kundesystemene. Det vitner om en sikkerhetskultur man ikke bør være kjent av, sier overingeniør Frank U. Eriksen i Datatilsynet.
(10.05.2005) Datatilsynets tilsyns- og sikkerhetsavdeling
Alle virksomheter som behandler personopplysninger er pålagt å sikre opplysningene forholdsmessig. Her er de vanligste spørsmålene Datatilsynets tilsyns- og sikkerhetsavdeling får.
Godkjenner Datatilsynet mine IT-løsninger?
Datatilsynet har ikke godkjenningsordning for løsninger. Ved behov gir Datatilsynet råd og veiledning til leverandører i forhold til hvilke forhold det bør tas hensyn til. De formelle kravene til informasjonssikkerhet hos den behandlingsansvarlige finner du i personopplysningsforskriftens kapittel 2. Tiltak skal baseres på gjennomført risikovurdering.
Tilbake til innholdsfortegnelsen
Hvor kan jeg finne regler og krav som Datatilsynet setter rettet mot programvareleverandører?
Personopplysningsloven er ikke rettet mot programleverandører. Personopplysningsloven bygger på følgende hovedprinsipp med tanke på informasjonssikkerhet: - Det er den behandlingsansvarlige som gjennom å definere sikkerhetsmål og strategi skal avgjøre hva som er et akseptabelt sikkerhetsnivå. Behandlingsansvarlig skal gjennom risikovurderingen sannsynliggjøre at tiltakene er tilstrekkelige. Datatilsynet kan overprøve de vurderinger som er lagt til grunn. Det er få detaljerte krav i regelverket, og Datatilsynet er heller ikke kommet så langt med hensyn til å utarbeide veiledninger. Det er forøvrig ingen direkte krav til programvare, men disse vil inngå i den totale vurderingen den behandlingsansvarlige må gjøre.
Datatilsynet tilbyr veiledningsmøter med leverandører ved spesielle behov. I slike tilfeller presenteres konseptet og det gis innspill fra Datatilsynets side. Det gis ikke noen godkjenning, men vi bidrar til at produktet kan oppfylle lovens krav.
Tilbake til innholdsfortegnelsen
Eksisterer det en godkjenning eller sikkerthetssertifisering som Datatilsynet kan gi til IT-produkter eller systemer?
Datatilsynet har ingen slik godkjenningsordning, men kan gi råd og veiledning ved konkrete problemstillinger.
SERTIT v/Nasjonal sikkerhetsmyndighet gir informasjon om sikkerhetssertifisering av utstyr. Sikkerhetssertifisering av organisatorisk sikkerhet gjøres av Justervesenet/Norsk Akkreditering.
Tilbake til innholdsfortegnelsen
Hva slags informasjonsløsning gir tilstrekkelig sikkerhet i en barnevernsinstitusjon?
Personopplysningsloven med tilhørende forskrift stiller få konkrete (materielle) krav til hvordan ting skal løses, men setter rammer for hva som skal ligge til grunn. I praksis innebærer regelverket (personopplysningslovens §13, samt personopplysnigsforskriftens kapittel 2) at den behandlingsansvarlige gjennom en risikovurdering skal sannsynliggjøre en akseptabel sikkerhet. Hvis behandlingen omfatter sensitive opplysninger, kan regelverket utløse krav om konsesjon fra Datatilsynet. I forbindelse med en slik behandling vurderer Datatilsynet dokumentasjonen som fremlegges fra behandlingsansvarlig.
Tilbake til innholdsfortegnelsen
Er det slik at leger har lov til å koble seg til Internett med samme maskin som de bruker til å kjøre journal-programvaren sin på?
I utgangspunktet nei, men dette avhenger av valgt teknisk løsning. Personopplysningsloven skal blant annet sikre at den som behandler personopplysninger gjør dette på en tilfredstillende måte ved å sette krav til behandlingsansvarlig. I dette ligger også krav til tilfredstillende informasjonssikkerhet. Informasjonssikkerhet oppnås ved at opplysningene som behandles vurderes i forhold til konfidensialitet, integritet og tilgjengelighet. En risikovurdering skal bidra til at behandlingsansvarlig iverksetter tilstrekkelige tiltak.
Ved tilknytning til eksternt nettverk øker trussel og sårbarhet vesentlig i forhold til en fysisk isolert PC. Dette krever at behandlingsansvarlig kompenserer økt trussel med et knippe tiltak som gjør at nivået ikke forringes.
Tilbake til innholdsfortegnelsen
Er VPN tilstrekkelig for flytting av personopplysninger mellom en lokal applikasjon og en sentral databehandler?
Ja, det er ikke formelle hindre for en slik løsning, men regelverket stiller krav om at behandlingsansvarlig (for eksempel kommunen) eller databehandler (for eksempel en privat bedrift) gjennomfører en risikovurdering som innbefatter vurdering av nødvendige tiltak for å sikre et tilfredsstillende nivå innen informasjonssikkerhet.
Nivået fastlegges av behandlingsansvarlig ved sikkerhetsmål og sikkerhetsstrategi. Den konkrete løsningen må gjennom tilfredsstillende tiltak samsvare med nevnte nivå. Dette dokumenteres gjennom risikovurderingen.
Tilbake til innholdsfortegnelsen
Hvordan skal behandlingsansvarlig håndtere taushetsplikt for databehandler?
Vanlig praksis er at taushetsplikten ivaretas på to selvstendige nivå:
1- mellom behandlingsansvarlig og databehandler
2- ved at databehandler har pålagt taushetsplikt overfor sine ansatte. Internkontroll er normalt det verktøy som benyttes for å ivareta dette.
Tilbake til innholdsfortegnelsen
Hvilke tiltak må iverksettes for at en virksomhet som behandler sensitive personopplysninger skal kunne tilknytte seg f.eks. Internett?
Vi vil først understreke at behandlingsansvarlig gjennom en utført risikovurdering må kunne sannsynliggjøre at valgte løsning er i samsvar med de sikkerhetsmål og strategier som er valgt for behandlingen. Når det er sagt kan vi gi noen indikasjoner på hvilke løsinger som normalt benyttes i et slikt tilfelle.
Det vil som regel være to alternative metoder:
1. Nettverket deles opp i to fysisk isolerte hovedsegmenter, hvor de som behandler sensitiv informasjon får et eget dedikert nettverk til dette. Dette nettverket er da hverken tilknyttet øvrig nettverk eller eksternt nettverk. Dette innebærer at de som arbeider med sensitive personopplysninger vil måtte ha to maskiner, en for sikker sone og en for intern sone hvor de også vil kunne ha tilgang til Internett, e-post osv. Ofte brukes det da felles tastatur og skjerm og en swich (fysisk omkobler)
2. Ett annet alternativ er å bygge opp en såkalt tosonemodell, hvor det etableres to sett brannmurer. En mot ytre nett og en mellom sikker og intern sone. Her er konfigureringen svært viktig.
Mer informasjon om dette finnes på Datatilsynets hjemmeside under informasjonssikkerhet.
Se spesielt i veileder for kommuner og fylker.
Tilbake til innholdsfortegnelsen
Hvilke hensyn må vi ta når det gjelder informasjonssikkerhet ved opprettelse av kunderegister?
Om registrene inneholder personopplysninger, skal de sikres etter sikkerhetsbestemmelsen i Personopplysningsloven. Om det kun er manuell behandling gjelder personopplysningsloven § 13. I den grad det er elektronisk behandling skal også personopplysningsforskriften kapittel 2 tas hensyn til.
Tilbake til innholdsfortegnelsen
Hvilke sikkerhetstiltak bør etableres for en Internettside hvor personopplysninger om kunder er tilgjengelige?
Alle personopplysninger må sikres i henhold til personopplysningsloven § 13. Behandlingsansvarlig for tjenesten må ha foretatt en risikovurdering. Som regel vil risikovurderingen, holdt opp mot de fastlagte kriterier for akseptabel risiko, føre til at det må iverksettes kryptering og da kryptering både av påloggingspassord og aktuell informasjon. SSL-kryptering er aktuell i slike sammenhenger.
Behandlingsansvarlig skal foreta en slik vurdering og iverksette nødvendige tiltak.
Tilbake til innholdsfortegnelsen
Kommunen har laget elektronisk søknadsskjema for barnehageopptak. Er det tillatt?
Ja, det er tillatt med denne typen tjenester på Internett, men det forutsetter at kommunen har sikret tjenesten. Datatilsynet anbefaler generelt at søknadsskjemaer håndteres kryptert. Dersom søknadsskjemaet inneholder sensitive opplysninger skal det overføres kryptert. Kommunen må legge til rette for dette.
Tilbake til innholdsfortegnelsen
Hvilke regler gjelder datanettverk på skoler? Skal elevnett og lærernett kjøres på to fysisk atskilte nettverk, eller kan de kjøres på samme nettverk?
Elever bør ikke tilkoples samme interne nettverk som kommunen benytter for en rekke andre formål (herunder lærernes elevadministrasjon). Men lærere kan selvfølgelig benytte nettverk i sammen med elever dersom denne bruken er tilpasset til hvilke opplysninger og sikringstiltak som iverksettes i dette nettverket. Se personopplysningsloven § 13, se også personopplysningsforskriftens kapittel 2.
Tilbake til innholdsfortegnelsen
Finnes det retningslinjer for valg av algoritmer for kryptering?
Den generelle retningslinjen fra Datatilsynet er at personopplysninger som transporteres utenfor den behandlingsansvarliges kontroll skal krypteres med algoritmer med styrke tilsvarende eller bedre enn DES 128 (3DES). AES og andre anerkjente algoritmer vil oppfylle dette.
Valg av krypteringsløsning, og øvrige valg av sikkerhetsmessig karakter forøvrig, gjøres av virksomheten selv med bakgrunn i virksomhetens sikkerhetsstrategi og risikovurdering.
Tilbake til innholdsfortegnelsen
Hvordan skal passord behandles? Skal passord krypteres?
Datatilsynet anbefaler at passordet krypteres i den grad forholdsmessig sikkerhet krever dette. Beskyttelsesgraden for passordet må være bedre eller lik beskyttelsesnivået for opplysningene som passordet beskytter. Passord skal lagres kryptert, samt håndteres kryptert på nett som ikke behandlingsansvarlig har fullstendig kontroll over.
Tilbake til innholdsfortegnelsen
På arbeidsplassen min benytter vi samme felles passord, er det tilrådelig?
Nei, dette er ikke tilrådelig og kan også være i konflikt med regelverket.
Tilbake til innholdsfortegnelsen
Finnes det spesielle krav for sending og lagring av sensitiv e-post?
Ja, ved overføring av sensitive personopplysninger skal overføringen normalt krypteres med en styrke tilsvarende 128 bits DES. Når det gjelder lagring av sensitiv e-post, må denne lagres kryptert inntil den hentes inn på den delen av informasjonssystemet som er egnet for behandling av sensitive opplysninger.
Tilbake til innholdsfortegnelsen
Vi tilbyr ASP tjenester til en del kommuner, men løsninger som baserer seg på terminalserver og sentral lagringsplass. Nå vil kommunene vite om det er greit å legge fagprogramvare Barnevern på en slik sentral løsning?
I prinsippet er det ikke formelle hindre for at kommunen benytter såkalt "databehandler", dvs. outsourcer hele eller deler av drift til ekstern selskap. I slike tilfeller skal det foreligge særskilt avtale mellom behandlingsansvarlig (kommunen) og databehandler (f.eks. dere). Denne avtalen må blant annet regulere oppfyllelse av forholdsmessig sikring av personopplysningene (se personopplysningsloven §§ 13 og 15). Det skal forligge en risikovurdering som dokumenterer forholdsmessig sikring av opplysningene. Dette er et ansvar som i utgangspunktet er rettet til behandlingsansvarlig, men databehandler har også en selvstendig plikt.
Nå, tilbake til spørsmålet. En sentral forutsetning for ovennevnte er blant annet:
- sikker autentisering
- sikring av kommunikasjon(f.eks. kryptering)
- tilstrekkelig atskillelse av de ulike behandlingsansvarlige hos databehandler.
- tilstrekkelig sikkerhet på brukersiden
- sikring mot uautorisert tilgang på tvers av behandlingsansvarlige (kommuner)
- sikkerhetslogger som brukes aktivt og jevnlig presenteres i summarisk form ovenfor behandlingsansvarlig.
Tilbake til innholdsfortegnelsen
Kommunen der jeg arbeider benytter multimaskiner med kopiering, printer, e-post og faks, men har stengt for faksmuligheten. Hvorfor det?
Personopplysningsloven setter krav til at kommunen etablerer sikkerhetsmål, sikkerhetsstrategi og utarbeider sikkerhetsvurderinger for å ivareta personvernet. Om kommunen i sin sikkerhetsvurdering har kommet frem til at faksfunksjonen ikke kan aksepteres, så skal det stenges for en slik funksjon. En mulig årsak til dette kan være manglende mulighet for kryptering.
Tilbake til innholdsfortegnelsen
(10.05.2005) Datatilsynets tilsyns- og sikkerhetsavdeling
Mange privatpersoner har spørsmål om sikkerhet på egen datamaskin eller på Internett. Her er de vanligeste spørsmålene med svar.
Jeg skal selge den gamle datamaskinen min, hvordan sikrer jeg at kjøperen ikke får lest de personlige filene som jeg har lagret på den?
Det blir et spørsmål om hvor stor innsats andre kan tenkes å legge i å få tak i informasjonen, samt hvor sensitiv opplysningene er for deg.
Datatilsynet kan gi deg et generelt råd om å ta ut harddisken. Det er vanskelig å fjerne informasjon fullstendig. Du bør eventuelt vurdere profesjonell hjelp for sletting eller sikker destruksjon. Det er ikke tilstrekkelig å slette på ordinær måte om du vil være sikker på at ingen senere skal kunne åpne filene. For ikke-følsom informasjon vil en formatering av lagringsmediet kanskje være nok.
For virksomheter gjelder egne regler.
Tilbake til innholdsfortegnelsen
Hva kan jeg trygt sende på e-post?
Trygg forsendelse forutsetter at e-posten er kryptert. Det er viktig å huske på at e-post i utgangspunktet sendes ukryptert. Det vil dermed være mulig for andre å lese innholdet. Enkelt forklart kan vi sammenlikne ukryptert e-post med å sende et åpent postkort. Tenk over om du ville ha sendt informasjonen på et åpent postkort. Ville du ikke gjort det, bør du heller ikke sende meldingen som e-post (ukryptert).
Tilbake til innholdsfortegnelsen
Jeg ønsker å sette opp et åpent trådløst nett som hvem som helst kan kople seg til. Er det noe jeg bør passe på i den anledning?
Dette vil Datatilsynet fraråde. Å kjøre et helt åpent nett uten kryptering og tilgangskontroll vil medføre at du vil kunne få uholdbare kritiske problemer. Dette må du foreta en sikkerhetsvurdering av. En slik vurdering vil sannsynligvis medføre at kryptering og tilgangskontroll er nødvendig for å få en akseptabelt sikker løsning. Du kan i verste fall stilles til ansvar for den kommunikasjonen som brukerne av nettet ditt vil foreta, og du vil ikke ha noen reell kontroll med hvem disse er.
Tilbake til innholdsfortegnelsen
Jeg har hør at noe som heter RFID-merker kan være et personvernproblem, hva er RFID?
RFID (Radio Frekvens Identifikasjon) skaper nye muligheter for å spore og identifisere produkter og dermed eventuelt også personene som bærer dem. RFID kan skape helt nye overvåkingsmuligheter.
Radiobrikken benytter radiobølger for automatisk identifisering. Slike brikker kan produseres så små at de kan plasseres skjult i klær, på pengesedler eller på ethvert produkt.
Tilbake til innholdsfortegnelsen
Gjelder pliktene i personopplysningsloven for meg som privatperson?
Nei, personopplysningslovens plikter gjelder ikke for privatpersoner som behandler personopplysninger eller bruker IKT-utstyr til private formål, men loven gir deg imidlertid rettigheter når virksomheter behandler personopplysninger om deg.
Tilbake til innholdsfortegnelsen