Formålet med denne prosedyren er å sikre en helhetlig og forsvarlig risikostyring av personopplysninger og annen informasjon, enten den behandles elektronisk eller oppbevares fysisk – for eksempel i arkivskap eller på annen måte i kontorlokaler – og sikre at den er tilstrekkelig beskyttet.
Målet er å ivareta personopplysningssikkerheten til ansatte og innbyggere i Kristiansand kommune (også kalt de registrerte), og å ivareta informasjonssikkerheten til annen informasjon kommunen behandler i administering og forvaltning av våre tjenester.
Prosedyren gjelder ikke for vurdering av personvernkonsekvenser (DPIA), se Gjennomføring av personvernkonsekvensvurdering (DPIA) - prosedyre
Alle som skal ta i bruk personopplysninger og annen informasjon i nye arbeidsprosesser, nye systemer eller oppdatere eksisterende arbeidsprosesser og/eller systemer. Se også beskrivelse av roller og oppgaver i Informasjonssikkerhet - policy (Ikke tilgjengelig).
Systemeier har ansvar for gjennomføring, men kan delegere myndighet for utførelse til fagsystemansvarlig, prosjektleder eller andre under eget ansvarsområde. Se også oppgavefordeling i Informasjonssikkerhet - policy (Ikke tilgjengelig)
Les mer i kommunens policy for risikostyring Risikostyringspolicy
En risikovurdering (ROS-vurdering) av personopplysnings- og informasjonssikkerheten er en systematisk prosess som har som formål å identifisere, analysere og vurdere risiko knyttet til sikkerheten for opplysninger om innbyggere og ansatte (de registrerte), samt annen informasjon, når vi samler inn, lagrer og bruker disse i våre tjenester. Risikoanalysen skal gjennomføres før man tar i bruk personopplysningene og annen informasjon.
Når man gjennomfører en ROS-vurdering, vurderer man sannsynligheten for at uønskede hendelser kan skje, samt hvilke konsekvenser slike hendelser kan få for individet (innbyggere og ansatte) og for kommunen. Med uønskede hendelser menes hendelser som kan føre til at personopplysninger og annen informasjon blir tilgjengelig for uvedkommende, endret, slettet eller går tapt, eller at opplysningene ikke er tilgjengelige når man ha bruk for dem. Les mer om dette i kommunens policy for informasjonssikkerhet, sikring av konfidensialitet, integritet og tilgjengelighet. (Ikke tilgjengelig)
Forståelse av informasjonsverdi, trusselbilde og sårbarhet er viktig for å forstå hvilke uønskede hendelser som kan skje. Under følger eksempler til bruk i risikovurdering av informasjonsikkerhet og personopplysningssikkerhet (personvern).
For øvring beskriver kommunens risikostyringspolicyen våre etablerte prinsippene for arbeidet med risikostyring, og hvordan ansvar og myndighet er fordelt i arbeidet med risikoer i kommunen. Les mer i Risikostyringspolicy
Risikovurdering skal gjennomføres:
Systemeier eller den som systemeier har delegert ansvaret til, skal gjennomføre en risikovurdering før personopplysninger og annen informasjon behandles og før man tar i bruk et IT-system. ROS-vurderinger skal oppdateres ved vesentlige endringer og gjennomgås regelmessig for å sikre at risikobildet fortsatt er korrekt.
Som et utgangspunkt for å identifisere uønskede hendelser må det være klart hvilke informasjonsverdier som skal beskyttes, hva trusselbildet er, og hva som er de eksisterende sårbarhetene i informasjonsverdiene.
Eksempler på informasjonsverdier:
Eksempler på trusler:
Eksempler på sårbarheter:
| Brudd på taushetsplikt | Personopplysninger blir kjent for uvedkommende. Noen som ikke har tjenstlige behov har fått tilgang til opplysningene. |
| Identitetstyveri og svindel | Opplysninger misbrukes til å utgi seg for å være en annen person eller begå bedrageri. |
| Økonomisk tap | Den registrerte påføres direkte eller indirekte økonomiske ulemper. |
| Skade på omdømmet | Opplysninger som kommer på avveie kan skade personens omdømme eller tillit. Psykiske belastninger, utrygghet og sosial stigmatisering. |
| Manglede tilgjengelighet til personopplysninger | Den registrerte kan miste eller få forsinket tilgang til tjenester, oppfølging, ytelser eller rettigheter vedkommende har krav på. |
| Diskriminering eller usaklig forskjellsbehandling | Opplysninger brukes på en måte som fører til urimelig behandling av personer eller grupper. |
| Tap av kontroll over egne opplysninger | Den registrerte mister oversikt over hvordan opplysninger brukes eller hvem som har tilgang. |
| Feilaktige beslutninger | Uriktige eller mangelfulle opplysninger fører til feil vurderinger eller vedtak. |
| Krenkelse av privatlivet | Innsamling eller bruk av opplysninger oppleves som unødvendig eller for inngripende. |
| Urettmessig profilering | Opplysninger brukes til å analysere eller forutsi forhold som atferd, interesser, helse eller arbeidsprestasjoner. |
| Belastning for sårbare grupper* | Barn eller andre sårbare personer kan bli spesielt utsatt dersom opplysninger misbrukes. |
| Store konsekvenser ved omfattende behandling | Mange personer kan bli berørt dersom store mengder personopplysninger kommer på avveie eller behandles feil. |
(Listen er ikke uttømmende)
*Risikoen kan være særlig høy ved behandling av sensitive personopplysninger, opplysninger om sårbare personer eller store mengder personopplysninger.
Riskovurderinger handler om å vurdere sannsynligheten for at de uønskede hendelsene kan oppstå, og konsekvensene dersom de oppstår.
Risiko = sannsynlignet x konsekvens.
|
|
Sikringstilstand på systemet (sårbarheter) |
Trusselaktør og motivasjon |
Hyppighet |
|
1 |
Sterke sikkerhetskontroller er etablert og oppdateres regelmessig. |
Ingen kjente trusselaktører har nødvendig kapasitet eller motivasjon til å gjennomføre et angrep. |
Ingen kjente hendelser eller indikasjoner på potensielle hendelser |
|
2 |
Gode sikkerhetskontroller er på plass, men det er rom for forbedringer. |
Trusselaktører med lav kapasitet eller motivasjon kan forsøke angrep, men suksess er usannsynlig. |
Sjeldne hendelser har blitt registrert, og lignende hendelser antas å være sjeldne. |
|
3 |
Noen sikkerhetskontroller er på plass, men betydelige sårbarheter har blitt identifisert. |
Flere trusselaktører har kapasitet og motivasjon til å gjennomføre et angrep. |
Det har vært noen tidligere hendelser, og det er en anerkjent risiko for gjentakelse. |
|
4 |
Sikkerhetskontrollene er utilstrekkelige eller utdaterte, med mange kjente sårbarheter. |
Flere trusselaktører har høy kapasitet og motivasjon og er kjent for å utnytte lignende sårbarheter. |
Hyppige tidligere hendelser eller angrep har blitt rapportert, og det er en forventning om at dette vil fortsette. |
Merk at vurdering av konsekvens for personvern skal gjøres med utgangspunkt i de registrertes rettigheter og friheter. Bruk det høyeste relevante konsekvensnivået.
|
|
INFORMASJONSSIKKERHET |
PERSONOPPLYSNINGSSIKKERHET |
|
1 |
Ingen eller minimal uautorisert tilgang eller endring av informasjon. Ingen nedetid på kritiske systemer eller tjenester. |
Mindre hendelser med personopplysninger. Liten eller ingen risiko for økonomisk, sosial eller personlig skade for de registrerte. Opplysningene kan raskt gjenopprettes, og misbruk anses lite sannsynlig. Typisk lavt volum (1–10 personer). |
|
2 |
Uautorisert tilgang eller endring av et lavt til middels volum informasjon. Kritiske systemer utilgjengelig i opptil 1 time. Moderat skadepotensiale for kommunen. |
Hendelser som gjelder personopplysninger i et omfang eller en kontekst som kan medføre ulemper for de registrerte, men hvor skadepotensialet vurderes som begrenset. Det kan være noe risiko for misbruk, men sannsynligheten eller konsekvensen anses som moderat. |
|
3 |
Uautorisert tilgang eller endring av stor mengde informasjon, eller et lite volum konfidensiell informasjon. Kritiske systemer utilgjengelig i opptil 1 dag. Betydelig skadepotensiale for kommunen. |
Hendelser hvor det foreligger tydelig risiko for økonomisk tap, identitetsmisbruk, sosial belastning, omdømmeskade eller andre betydelige negative konsekvenser for de registrerte. Dette kan gjelde et større volum personer, eller et mindre volum der opplysningene er av en slik art at konsekvensene for den enkelte kan bli store. |
|
4 |
Uautorisert tilgang eller endring av en stor mengde konfidensiell informasjon. Kritiske systemer utilgjengelig i mer enn 1 dag. Svært høyt skadepotensiale for kommunen. |
Hendelser som med høy sannsynlighet kan medføre alvorlig eller langvarig skade for de registrerte. Dette kan innebære stor risiko for diskriminering, betydelig økonomisk tap, sosial utestengelse, tap av rettigheter eller vesentlig belastning for enkeltpersoner. |
|
Risikonivå |
Beskrivelse |
| Ikke alvorlig | Har ubetydelige skadevirkninger for enkeltpersoner eller kommunen. Noe arbeidstid går med til opprydding. |
|
Lav risiko |
Hendelsen vurderes å gi begrenset påvirkning på konfidensialitet, integritet eller tilgjengelighet. Eventuell eksponering av personopplysninger innebærer ubetydelig risiko for de registrerte. Har mindre skadevirkninger for enkeltpersoner eller kommunen. Sikkerhetstiltak er normalt ikke nødvendig å gjennomføre. |
|
Middels risiko |
Hendelsen kan medføre merkbar påvirkning på konfidensialitet, integritet eller tilgjengelighet. For personopplysninger kan hendelsen gi negativ effekt for et begrenset antall registrerte eller omfatte enkelte typer sensitive data. Sikkerhetstiltak bør gjennomføres. F.eks. Ikke-kritisk informasjon går tapt. Eksponering av enkeltindividers personopplysninger eller informasjon klassifisert intern. Mindre mengder kristisk informasjon er ukomplett eller utdatert. |
|
Høy/alvorlig risiko |
Hendelsen kan medføre alvorlig påvirkning på konfidensialitet (uautorisert tilgang til sensitive data), integritet (endring av kritisk informasjon), tilgjengelighet (tap av kritiske tjenester), eller høy risiko for de registrertes rettigheter og friheter. Sikkerhetstiltak må gjennomføres. F.eks. Driftsstans lengre enn systemets maksimale nedetid (kritikalitet), fører til at kommunen ikke er i stand til å drive sin kjernevirksomhet. Eksponering av sensitive eller større mengder personopplysninger, intern/beskyttet eller fortrolig informasjon (unntatt offentlighet). Kritisk informasjon mangler eller er feil. |
| Svært alvorlig | Har svært alvorlige skadevirkninger for enkeltpersoner eller kommunen. Betydelig svekket evne til å utføre kjernevirksomheten. F.eks. Ikke mulig å gjenopprette kritisk data. Nedetid i flere månder. Eksponering av større mengder sensitive personopplysninger eller enkelte opplysninger klassifisert strengt fortrolig. Mange kan få innsyn der konfidensialitet er nødvendig. Større mengder kritisk informasjon mangler eller er feil. Uautorisert endring av store mengder personopplysninger, virksomhetskritisk informasjon, eller annen informasjon der integritet er nødvendig. |
Fase 4 - Riskohåndtering
|
Akseptere |
Overføre |
Redusere |
Unngå |
|
Risikoen kan aksepteres dersom risikoen er under akseptabelt nivå (risikoaksept), eller dersom det ikke er mulig eller kostnadseffektivt å iverksette tiltak for å redusere den. |
Risiko kan overføres til en tredjepart, for eksempel gjennom en kontraktspartner eller forsikring. |
Risiko kan reduseres med sikkerhetstiltak. Slike tiltak kan redusere sannsynligheten og/eller konsekvensen for at risikoen realiseres. |
Risiko kan unngås, for eksempel ved å gjennomføre en behandling på en annen måte. |
Eksempler risikoreduserende tiltak:
Analysen skal kartlegge risiko for konfidensialitet, integritet og tilgjengelighet (Ikke tilgjengelig) og eventuelt omdømme.
Systemeier skal sørge for at alle systemer som brukes vurderes til en akseptabel risiko og skal sette i gang tiltak for at dette skjer. IT avdelingen vil være ansvarlig for fellessikringer av informasjonssystemer og bør tas med i vurderingene for å redusere risiko ved det enkelte system.
Risikovurderingen må ses i sammenheng med etablerte akseptkriterier for risiko, og at den behandlingsansvarlige skal iverksette nødvendige tiltak for å oppnå tilfredsstillende sikkerhet. Se også Informasjonssikkerhet - policy (Ikke tilgjengelig)
Informasjonssikkerhet - policy (Ikke tilgjengelig)
Risikostyringspolicy
Datatilsynet
Difis veileder risikovurdering
Norsk Sikkerhetsmyndighets (NSM) rammeverk for håndtering av IKT hendelser
Risikostyringsprosess - Forside
Personopplysningsloven - lovdata - personvernforordningen artikkel 32
Digitalsikkerhetsloven - informasjon
Digitalsikkerhetsloven - lovdata
Forskrift om digital sikkerhet §7 Risikovurdering - lovdata
Prosedyre for risikovurdering på KiNS.no
Identifisering av oppgaver og informasjonstyper (verdivurdering)