Informasjonssikkerhet og risikovurdering for Nettskjema

Nettskjema er et verktøy for utforming og gjennomføring av spørreundersøkelser og datainnsamling på nett for universitets- og høyskolesektoren.

Bruksområdet spenner vidt fra seminarpåmelding og quiz til forskningsundersøkelser og spesialtilpassede mobilapper for innsamling av helseopplysninger integrert mot Tjenester for Sensitive Data (TSD).

Hengelås som illustrerer sikkerhet

Personopplysningsloven (av 20. juli 2018, dvs GDPR med nasjonale tilpasninger) stiller krav til internkontroll og vurdering av Informasjonssikkerhet for systemer som inneholder personopplysninger. Nettskjema er underlagt UiOs ledelsessystem for informasjonssikkerhet (LSIS).

Andre forskrifter stiller også krav om styring og kontroll med informasjonssikkerheten. Disse kravene er imidlertid ikke strengere enn personvernlovgivningen, så vi vil kun forholde oss til denne i diskusjonen under.

Informasjonssikkerhet dreier seg om å håndtere risikoen for at personopplysninger og andre informasjonsverdier blir ivaretatt på en tilfredsstillende måte.

Dette gjøres ved først å identifisere hvilke personopplysninger virksomheten har.

Deretter gjennomføres en risikovurdering for å avklare om eksisterende sikkerhetstiltak er tilfredsstillende.

Dersom risikovurderingen avdekker manglende tiltak må det vurderes om nye tiltak skal iverksettes for å oppnå tilfredsstillende sikkerhetsnivå for personopplysningene.

Kontrollrutiner må utarbeides og jevnlig følges, for å kontrollere at tiltakene blir fulgt opp og virker etter hensikten.

Veileder: Internkontroll og informasjonssikkerhet, Datatilsynet 2018

Sikkerhetsmål og -strategi

  • Krav i personopplysningslover og relevante forskrifter skal etterleves

  • Risiko- og sårbarhetsvurdering (ROS) skal gjennomføres minst annethvert år

    • Vi følger opp risikoelementene fra risiko- og sårbarhetsvurderingen kontinuerlig i en risikohåndteringsplan, der det planlegges og gjennomføres sikkerhetstiltak slik at risiko reduseres til et nivå som kan aksepteres.

    • Risikohåndteringsplanen utvides med nye risikoelementer hvis det identifiseres nye hendelser som kan medføre moderat eller høy risiko.

    • Vi vurderer og gjennomfører nødvendige sikkerhetstiltak for alle risikoelementer som står på OWASP top 10,

  • Det er rutiner for avvikshåndtering for ulike typer uøn­skede hendelser

  • Retningslinjene for informasjonssikkerhet skal revideres hvis det oppstår uønskede hendelser, og minst én gang året hvis det ikke er noen avvik.
    (For å fange opp læring og muligheter for prosessforbedring)

  • Pentesting (penetration testing) skal gjennomføres minst annethvert år. Det gjennomføres tiltak for alle funn.

  • Vi jobber målrettet med å integrere automatisk kontinuerlig sikkerhetstesting av all ny kode.

Viktige begreper, definisjoner, regler og avgrensinger

Personopplysninger er opplysninger eller vurderinger som kan knyttes til en enkeltperson. Typiske personopplysninger er navn, adresse, telefonnummer, e-post og fødselsnummer. Et bilde regnes som en personopplysning dersom personer kan gjenkjennes, og lydopptak kan være personopplysninger selv om ingen navn blir nevnt i innspillingen. Biometri slik som fingeravtrykk, irismønster, hodeform (for ansiktsgjenkjenning) er også personopplysninger.

Sensitive personopplysninger er spesielle kategorier av opplysninger som er strengere regulert enn andre opplysninger:

  • Opplysninger om rasemessig eller etnisk bakgrunn
  • Opplysninger om politisk, filosofisk eller religiøs oppfatning
  • Opplysninger om fagforeningsmedlemskap
  • Genetiske opplysninger
  • Biometriske opplysninger med det formål å entydig identifisere noen
  • Helseopplysninger
  • Opplysninger om seksuelle forhold
  • Opplysninger om seksuell legning
  • Opplysninger om straffedommer
  • Opplysninger om lovovertredelser

(Definisjoner hentet fra Datatilsynet)

Informasjonssikkerhet omfatter beskyttelse av:
  • Konfidensialitet – at informasjonen ikke blir kjent for uvedkommende
  • Integritet  – at informasjonen ikke blir endret utilsiktet eller av uvedkommende
  • Tilgjengelighet – at informasjonen er tilgjengelig for autoriserte ved behov

Risikovurdering er et verktøy for å identifisere uønskede hendelser og risikoen for at disse skal inntreffe (risikoelementer).

I en risikovurdering stiller man tre hovedspørsmål:

  1. Hva kan gå galt, hvor sannsynlig er det, og hva er konsekvensene?
  2. Hva kan vi gjøre for å hindre dette eller redusere sannsynligheten for at det skjer?
  3. Hva kan vi gjøre for å redusere konsekvensen dersom noe skjer?

Se rutine for gjennomføring av Risiko- og sårbarhetsvurdering (ROS) for Nettskjema.

Risikohåndtering og sikkerhetstiltak

Vi følger opp risikoelementer med moderat og høy risiko i en intern risikohåndteringsplan. Det planlegges og gjennomføres sikkerhetstiltak for å redusere risikoen til et nivå som kan aksepteres. Tiltak som iverksettes for å redusere risiko vil normalt ha ett av tre formål:

  • Forebygge – å hindre eller redusere sannsynligheten for at uønskede hendelser skjer
  • Oppdage – å oppdage at uønskede hendelser har skjedd eller er i ferd med å skje
  • Reagere – å reagere på og håndtere uønskede hendelser etter at de har skjedd, slik at uønskede konsekvenser kan unngås eller reduseres

UiOs regelverk og internkontroll for personopplysninger og IT-sikkerhet

Personopplysninger i Nettskjema

Sensitive personopplysninger

Nettskjema kan levere PGP-krypterte svar direkte til USITs Tjenester for Sensitive Data (TSD), uten at svarene er innom Nettskjemas database. Dette kan settes opp for forskningsprosjekter som har behov for sikker lagring av sensitive data. Et skjema kan da settes da opp med en Public Key for prosjektet som alle svar krypteres med. Besvarelser leveres fullkryptert til prosjektets sikre lagringsområde i TSD. 

​Det skal ikke lagres sensitive personopplysninger i Nettskjemas databaser. Sensitive data bør lagres kryptert rett i TSD eller sendes med kryptert epost (uten å lagres i databasen).

Risiko- og sårbarhetsvurdering (ROS)

Ta kontakt hvis det er behov for tilgang til Risiko- og sårbarhetsvurdering (ROS) for Nettskjema eller en gjennomgang av risikohåndteringsplanen.

Annen relevant sikkerhetsrelatert info om Nettskjema

Av Are Gulbrandsen
Publisert 10. mars 2017 10:48 - Sist endret 4. sep. 2018 13:03