Ansvar for IT-sikkerhet i forskning
Ansvar for IT-sikkerhet ved UiO er beskrevet generelt i LSIS. Denne siden er en konkretisering av ansvarsområdene for prosjektledere og medarbeidere i forskningsprosjekter. Overordnet ansvar for IT-sikkerhet i forskningsprosjektet ligger hos prosjektleder, men alle deltakere har ansvar for å følge gjeldende lover, rutiner og retningslinjer.
Som prosjektleder skal du fremme en kultur for personvern og IT-sikkerhet gjennom åpen kommunikasjon, samarbeid og ved behov bevisstgjørende kampanjer blant ansatte. Du skal tilrettelegge for involvering av ansatte i prosessen med å identifisere og rapportere mulige trusler og sårbarheter innen personvern og IT-sikkerhet. Ved behov skal du også operasjonalisere den generelle informasjonen og gjøre den relevant for ditt forskningsprosjekt.
Se også:
- Personvern i forskning
- Arbeidsstøtte-siden om forskningsprosjekter
- IT-sikkerhet ved UiO
- Ledelsessystem for informasjonssikkerhet ved UiO (LSIS)
Opplæring og gode IT-sikkerhetsvaner
Prosjektleder er ansvarlig for å sette seg inn i og etterleve relevante krav til informasjonssikkerhet og personvern, for å sikre at prosjektets løsninger og rutiner er tilpasset datatypen og risikonivået, og at prosjektmedarbeidere har tilstrekkelig kunnskap om informasjonssikkerhet. Tilstrekkelig kunnskap oppnås gjennom å sette seg inn i gjeldende retningslinjer, benytte tilgjengelig opplæring og søke råd hos relevante støttefunksjoner ved behov.
UiOs Grunnkurs i personvern og IT-sikkerhet skal bidra til at alle ansatte og studenter får grunnleggende opplæring i personvern og IT-sikkerhet. Ved å ta kurset og relatere det til din arbeidshverdag, skal du i utgangpunktet være trygg på at dine sikkerhetsvaner er gode nok.
Kurset finnes her: Grunnkurs i personvern og IT-sikkerhet
Det finnes også andre kurstilbud innen personvern og IT-sikkerhet for spesifikke avdelinger og fakulteter. Ansatte bør ta relevante fordypningskurs i personvern, basert på sine roller og ansvarsområder.
IT-tjenester og godkjente løsninger
For å sikre tilstrekkelig IT-sikkerhet, etterlevelse av regelverk og institusjonelt ansvar, er det kun tillatt å behandle forskningsdata i tjenester og løsninger som er godkjent av UiO.
Feil bruk av IT-tjenester kan medføre større IT-sikkerhetsrisiko for forskningsprosjekter enn mange tror.
Et sentralt prinsipp er at kun UiO-godkjente IT-tjenester skal brukes. Det er mange grunner til dette, men de viktigste er at ikke-godkjente tjenester kan inneholde skadevare (spesielt tjenester som er lastet ned fra treff på google-søk) og at UiO er lovpålagt å vurdere alle IT-tjenester for personvern, IT-sikkerhet, bruk av underleverandører og andre juridiske- og risikoforhold før de tas i bruk.
Se tjenestekatalogen, IT-tjenester for forskning, liste over vurderte IT-tjenester eller snakk med områdenær IT for å finne UiO-godkjente IT-tjenester som dekker dine behov.
Husk også på at noen instrumenter og annet teknisk utstyr, som ikke kan sikres med UiOs driftsopplegg, skal settes på eget instrumentnett. Dette er for å hindre at slikt utstyr blir bakdører inn i UiOs infrastruktur ellers. Les mer her: Instrumentnett – nett for ustandard utstyr.
Tilgangsstyring
Prosjektleder er ansvarlig for å sikre forsvarlig tilgangsstyring til forskningsdata og IT-systemer, herunder at kun autoriserte prosjektdeltakere får tilgang, og at tilganger jevnlig vurderes og oppdateres.
En annet viktig punkt å være bevisst på er at hvem som skal ha tilgang til en IT-tjeneste kan endre seg gjennom forskningsprosjektets levetid. Det er derfor viktig at ditt forskningsprosjekt har gode rutiner for å rydde opp i tilganger etter hvert som medlemmer bytter roller eller slutter, spesielt hvis dere forsker på beskyttelsesverdig data. En måte å gjøre dette på er å ha regelmessige gjennomganger av at kun riktige personer har tilgang til prosjektets IT-tjenester og data. Les mer i LSIS kapittel 9.
I praksis innebærer dette at prosjektleder:
- avklarer hvem som faktisk trenger tilgang til hvilke data
- sørger for at tilgang gis via godkjente systemer, primært ikke via deling av kontoer eller lokale kontoer
- følger opp at tilganger endres eller fjernes når personer slutter i prosjektet eller får endret rolle
- vurderer særskilt tilgang for gjesteforskere/eksterne
Klassifisering og lagring
Prosjektleder har ansvar for korrekt klassifisering av informasjon og forsvarlig lagring i godkjente løsninger i tråd med UiOs retningslinjer.
Å klassifisere informasjon og bestemme hvor den kan og skal lagres, er en viktig del av å redusere IT-sikkerhetsrisiko i ditt forskningsprosjekt.
Lagringsguiden, delingsguiden og klassifisering av informasjon - Universitetet i Oslo
Kommunikasjon, e-post og deling
Når data sendes mellom systemer eller samarbeidspartnere, skal overføringen skje via sikre kanaler (f.eks. kryptert filoverføring, sikre API-er), ikke via ukryptert e-post eller åpne nettverk.
I mange forskningsprosjekter brukes det kommunikasjons- og delingstjenester hvor man manuelt setter opp hvem som skal ha tilgang eller være mottaker. I disse tilfellene er det viktig å ha gode rutiner for å rydde opp tilganger når en person bytter rolle, slutter i prosjektet eller prosjektet endrer fase. Dette kan være TSD-prosjekter, EduCloud-prosjekter, Teams eller e-postlister i Sympa eller Make.
Delingsguiden beskriver hvilke tjenester UiO har godkjent for deling av forskjellige typer data.
Husk at en feilsendt e-post med personopplysninger kan være et personvernavvik.
Hendelseshåndtering
I alle forskningsprosjekter kan det skje uønskede hendelser som gjør at personopplysninger havner på avveie, eller som påvirker din, forsknignsdeltakerens eller UiOs IT-sikkerhet. For å sikre at slike hendelser blir håndtert riktig, må du melde disse inn gjennom kanalene under:
Ved brudd på personopplysningsssikkerheten, meld inn her: Avvik ved behandling av personopplysninger
Eksempler på personvernavvik kan være utilsiktet publisering av helseopplysninger om forskningsdeltakere, at en usladdet versjon av saksdokumenter ble publisert, at en feil i en IT-tjeneste gjorde det mulig for uvedkommende å hente ut forskningsdata med personopplysninger, feil tilgangstyring, eller en feilsendt e-post.
Ved IT-sikkerhetshendelser, kontakt UiO-CERT: UiO-CERT - meld inn IT-sikkerhetshendelse
Eksempler på IT-sikkerhetshendelser kan være mistanke om tap av kontroll på en brukerkonto, mistanke om datainnbrudd av forskjellige typer, eller at du har blitt utsatt for nettsvindel. De viktigste tingene å vite om forskjellige typer nettsvindel kan du lese her: Nettsvindel, phishing, spam og hacking
Etter en hendelse har prosjektleder ansvar for å vurdere behovet for forebyggende tiltak. Slike tiltak kan for eksempel være å tilby opplæring, oppdatere rutiner og tilgangsstyring, eller sørge for at det blir utført ROS-analyser og tekniske tiltak.
IT-sikkerhet på reise
I mange forskningsprosjekter vil deltakere reise til utlandet, noe som kan være forbundet med høyere risiko. Gjør deg kjent med IT-avdelingens veiledere for IT på reise, og for reiser til høyrisikoland, før du drar.
Bruk av IT-ressurser ved utenlandsreiser
Ditt ansvar for innlogging på reise
FAQ - reiser til høyrisikoland
Gjester og internasjonalt samarbeid
Det viktigste å huske på om gjester med IT-konto hos UiO er at du som sponsor eller vert har et ansvar for dine gjester. Dette inkluderer å gi gjesten nødvendig opplæring i UiOs regelverk, i noen tilfeller å verifisere gjesten, og å gi gjesten riktig kontotype.
Se også UiOs nettsider om ansvarlighet i internasjonalt samarbeid.