Viktige begreper, definisjoner, regler og avgrensinger
Personopplysningsloven (av 20. juli 2018, dvs GDPR med nasjonale tilpasninger) stiller krav til internkontroll og vurdering av Informasjonssikkerhet for systemer som inneholder personopplysninger.
Informasjonssikkerhet dreier seg om å håndtere risikoen for at personopplysninger og andre informasjonsverdier blir ivaretatt på en tilfredsstillende måte.
Dette gjøres ved først å identifisere hvilke personopplysninger virksomheten har.
Deretter gjennomføres en risikovurdering for å avklare om eksisterende sikkerhetstiltak er tilfredsstillende.
Dersom risikovurderingen avdekker manglende tiltak må det vurderes om nye tiltak skal iverksettes for å oppnå tilfredsstillende sikkerhetsnivå for personopplysningene.
Kontrollrutiner må utarbeides og jevnlig følges, for å kontrollere at tiltakene blir fulgt opp og virker etter hensikten.
Veileder: Internkontroll og informasjonssikkerhet, Datatilsynet 2018
Personopplysninger er opplysninger eller vurderinger som kan knyttes til en enkeltperson. Typiske personopplysninger er navn, adresse, telefonnummer, e-post og fødselsnummer. Et bilde regnes som en personopplysning dersom personer kan gjenkjennes, og lydopptak kan være personopplysninger selv om ingen navn blir nevnt i innspillingen. Biometri slik som fingeravtrykk, irismønster, hodeform (for ansiktsgjenkjenning) er også personopplysninger.
Sensitive personopplysninger er spesielle kategorier av personopplysninger som er strengere regulert enn andre opplysninger.
(Definisjoner hentet fra Datatilsynet)
- Konfidensialitet – at informasjonen ikke blir kjent for uvedkommende
- Integritet – at informasjonen ikke blir endret utilsiktet eller av uvedkommende
- Tilgjengelighet – at informasjonen er tilgjengelig for autoriserte ved behov
Risikovurdering er et verktøy for å identifisere uønskede hendelser og risikoen for at disse skal inntreffe (risikoelementer).
I en risikovurdering stiller man tre hovedspørsmål:
- Hva kan gå galt, hvor sannsynlig er det, og hva er konsekvensene?
- Hva kan vi gjøre for å hindre dette eller redusere sannsynligheten for at det skjer?
- Hva kan vi gjøre for å redusere konsekvensen dersom noe skjer?
Sikker lagring av ulike kategorier av personopplysninger
Lagringsguiden er et tillegg til UiOs ledelsessystem for informasjonssikkerhet (LSIS), som beskriver hvor man kan behandle, lagre, og bearbeide ulike typer informasjon.
Nettskjema er beskrevet under «Andre Tjenester», og er godkjent for innsamling av alle kategorier av data.
Skjemadesign, svar på vanlige skjema og utvalgte metadata lagres i nettskjemas database.
Nettskjema er spesielt tilpasset innsamling av sensitive data til Tjenester for Sensitive Data (TSD), som er godkjent for lagring av «svarte data». Dette tilsvarer graden strengt fortrolig i den offentlige Beskyttelsesinstruksen. Ved UiO er det kun TSD som er godkjent for lagring og håndtering av direkte identifiserbare helseopplysninger.
Nettskjema tilbyr samme integrasjon mot Educloud, som er godkjent for «røde data».
LSIS beskriver klassifisering og fargekoder for data nærmere
Risiko- og sårbarhetsvurdering (ROS) for Nettskjema
- Nettskjema er underlagt UiOs ledelsessystem for informasjonssikkerhet (LSIS)
-
I henhold til LSIS Kapittel 7: Risiko- og sårbarhetsanalyser gjennomføres det en risiko- og sårbarhetsvurdering (ROS) for Nettskjema minst annethvert år
-
Målet med risiko- og sårbarhetsvurderingen er å lage en tiltaksplan for eventuelle risikoelementer med moderat eller høy risiko. Det planlegges og gjennomføres sikkerhetstiltak slik at risiko reduseres til et nivå som kan aksepteres.
-
Vi vurderer og gjennomfører nødvendige sikkerhetstiltak for alle risikoelementer som står på OWASP top 10
-
Personvern og vilkår for bruk av Nettskjema (Kommentarutgave til Personvern og vilkår for bruk av Nettskjema)
-
LSIS kapittel 7 spesifiserer: «Tiltaksplaner og risikovurderinger som inneholder beskrivelser av sårbarheter som kan lette angrep skal behandles som konfidensielle dokumenter og skjermes for innsyn.»
Siden vi ikke kan gi innsyn til ROS-dokumentet og tiltaksplaner for eventuelle risikoelementer, har vi laget pdf-dokumentet Informasjonssikkerhet i Nettskjema for institusjoner, enheter og prosjekter som trenger innsyn i Nettskjemas prosesser knyttet til informasjonssikkerhet.