13.1 Hva er hendelser og avvik?
Det er viktig at IT-avdelingen og rett instans ved UiO får beskjed når det skjer ting som kan ha betydning for informasjonssikkerheten. Dette kan være alt fra små hendelser som vekker mistanke om at noe ikke er helt som det skal med en datamaskin, en brukerkonto eller en arbeidsrutine, til lekkasje av viktig informasjon eller tap av viktige data.
Hendelser og avvik er nær beslektet, men avvik reguleres blant annet av personopplysningsloven. Avvik skal i noen tilfeller rapporteres til Datatilsynet.
Alle IT-sikkerhetshendelser regnes som interessante ut fra hensynet til informasjonssikkerhet. Igjen kan dette være alt fra store datainnbrudd til mistanke om at et forskningsprosjekt ikke lagrer data på rett sted. Man kan godt si at noen IT-sikkerhetshendelser kan føre til avvik.
Det kan gjøres grove inndelinger i ulike typer avvik, uten at dette er skarpe skiller. Eksempler kan være
- IT-sikkerhetshendelser og tilhørende potensielle avvik.
- Rene IT-sikkerhetshendelser
- IT-sikkerhetshendelser som har konsekvenser for informasjonssikkerheten
- Avvik i håndtering av personopplysninger eller sensitive personopplysninger i administrative IT-systemer.
- Avvik i håndtering av personopplysninger eller sensitive personopplysninger i forskning eller undervisning.
13.2 Ansvar
Universitetsdirektøren er overordnet ansvarlig for håndtering av avvik ved UiO. IT-avdelingen er gitt ansvaret for å implementere og drifte verktøy for å oppdage avvik i IT-systemene ved UiO, utforming av standardprosedyrer for håndtering av disse, og håndtering av oppgaver (inklusive delegasjon) i forhold til oppdagede eller mistenkte avvik.
Ansvaret for å implementere prosedyrer og verktøy for å oppdage og håndtere avvik påhviler enhver enhet og enhver bruker av informasjonssystemene ved UiO.
Ledere på alle nivåer er ansvarlig for opplæring og tilrettelegging slik at avvik blir oppdaget, varslet og håndtert.
13.3 Varsling
Alle ansatte og studenter ved universitetet har et felles ansvar for å varsle dersom det foreligger mistanke om at noe kan ha skjedd som påvirker informasjonssikkerheten.
Sikkerhetsbrudd og bruk av informasjonssystemene i strid med fastlagte rutiner skal behandles som avvik og rapporteres i tråd med bestemmelser for avvikshåndtering. Varsling skal skje etter gjeldende rutine for håndtering av avvik.
13.4 Håndtering
UiO-CERT og utøver av behandleransvaret ved UiO vil behandle henvendelser og om nødvendig samarbeide med, og varsle videre til, andre enheter.
- IT-avdelingen
- IT-organisasjonen
- Politi og påtalemyndighet
- Datatilsynet
- Universitetets personvernombud
- Universitetsdirektør og eventuelt andre fagdirektører
- Helsetilsynet
- Rettighetsinnehavere
- Involverte brukere, studenter, ansatte og forskere
13.5 Universitetets CERT-gruppe, UiO-CERT
UiO-CERT er organisert under IT-avdelingen. Gruppen er oppnevnt av IT-direktøren, og har sitt overordnede mandat fra universitetsdirektøren. Leder av UiO-CERT rapporterer til IT-sikkerhetssjefen. Medlemmer i UiO-CERT består av både IT-sikkerhetspersonell og personell fra driftsgruppene på USIT.
Omfattende grunnlag og rammer for UiO-CERT («team charter»), er beskrevet her: https://github.uio.no/IT-UIO-CERT/documentation/blob/master/cert/sim3/index.md
Publikumsrettet beskrivelse av rammene er beskrevet her: https://www.uio.no/english/services/it/security/cert/rfc2350.html
UiO-CERT skal varsles umiddelbart ved mistanke om IT-sikkerhetshendelser. Forholdsregler ved slik mistanke skal være enkelt tilgjengelig for IT-ansatte og brukere på universitetet.
13.5.1 UiO-CERTs reaktive tjenester
13.5.1.1 Hendelseshåndtering
UiO-CERT håndterer følgende hendelser:
- Phishing
- Skadelig programvare
- Svindel og bedrageri
- Hacking og uautorisert tilgang
- Distribuerte tjenestenektangrep (DDoS-angrep)
- Datainnbrudd (bekreftet eller mistenkt)
- Sårbarhetsvarsling (responsible disclosures)
- Håndtering, koordinering og oppfølging av sårbarheter (CVE-er)
- Tyveri av IT-utstyr
- Avvik og datalekkasjer
- Andre sikkerhetshendelser
13.5.1.2 Etterlevelse og håndtering av misbruk
UiO-CERT håndterer også hendelser innenfor følgende kategorier:
- IT-reglementet
- Misbruk av IT-tjenester
- Ikke-godkjent eller ulovlig programvare
- Piratkopiert eller «cracket» programvare
13.5.1.3 Håndtering av sensitiv informasjon
- Sikker destruksjon av lagringsmedier
13.5.2 UiO-CERTs proaktive tjenester
UiO-CERT bidrar med tjenester innen følgende områder, men er ikke alltid eneste eier:
- Råd og veiledning om sikkerhet
- Policyutvikling og policyforvaltning
- Brukerveiledninger og dokumentasjon av god praksis
- Opplæring og bevisstgjøringstiltak
- Beredskap
- Sikkerhetstesting
- Kontrollaktiviteter
- Overvåking og logganalyse
- Proaktiv opprydding og utbedring av sikkerhetshendelser
- Deling av trusselinformasjon
- Samarbeid innen sektoren
13.5.3 UiO-CERTs myndighet
UiO-CERT har myndighet til å iverksette relevante tiltak for å forebygge og håndtere IT-sikkerhetshendelser. Dette inkluderer, men er ikke begrenset til:
- Lesing og behandling av relevante logger
- Passiv og aktiv sårbarhetsskanning
- Sette brukerkontoer i karantene
- Tilgang til tjenere og klienter
- Isolering av tjenere og klienter
- Nedstenging av tjenere
- Innsamling av relevante data
- Verifisering av sårbarheter
- Fjerning av publiserte nettsider på UiOs domener
- Lesing og sletting av e-post, underlagt nødvendig juridisk godkjenning
- Blokkering av e-postavsendere og -domener
- Blokkering av nettdomener