Säkerhetsåtgärder och internet
Upcoming SlideShare
Loading in...5
×
 

Säkerhetsåtgärder och internet

on

  • 2,080 views

Föreläsning med Magnus Bergström, Datainspektionen, vid seminarium med Nätverket för E-hjälp, Stockholm 100528.

Föreläsning med Magnus Bergström, Datainspektionen, vid seminarium med Nätverket för E-hjälp, Stockholm 100528.

Statistics

Views

Total Views
2,080
Views on SlideShare
2,075
Embed Views
5

Actions

Likes
0
Downloads
4
Comments
0

1 Embed 5

http://www.slideshare.net 5

Accessibility

Categories

Upload Details

Uploaded via as Adobe PDF

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

    Säkerhetsåtgärder och internet Säkerhetsåtgärder och internet Presentation Transcript

    • Säkerhet för personuppgifter Magnus Bergström IT-säkerhetsspecialist magnus.bergstrom@datainspektionen.se www.datainspektionen.se 2010-05-28 1
    • Datainspektionens tillsynsverksamhet • Tillsynsmetoder • Fältinspektioner • Skrivbordstillsyn • Enkäter • Inspektioner • Planerade – föranmälda • Oanmälda 2010-05-28 2
    • Datainspektionens befogenheter • På begäran få tillgång till • Tillgång till de personuppgifter som behandlas • Upplysningar om behandlingen och säkerheten • Tillträde till lokaler där behandlingen sker • Möjligheter till sekretess • Samma sekretess som hos tillsynsobjektet • Uppgifter om enskilda • Uppgifter om säkerhetsåtgärder 2010-05-28 3
    • Vad föranleder tillsyn? ”Det har kommit till Datainspektionens kännedom att…” • Media • Klagomål • Förfrågningar • Samråd • ”Eget intresse” • Branch- eller sektorsvisa kontroller • Nya företeelser • … Dock alltid ex officio… 2010-05-28 4
    • Hur går det då till? • Skrivbordstillsyn • Man får ett brev med frågor som ska besvaras inom viss tid. • Fältinspektion • Kontakt (Vanligtvis via PuO) • Vad vill vi veta/diskutera? • Vilka behöver vara med? • När kan vi ses? • Tillsynsskrivelse/Bekräftelse 2010-05-28 5
    • Hur går det då till? • Fältinspektion (forts) • Besök - resulterar i ett protokoll • Kommunikation av protokoll • inspektionsobjektet ges möjlighet att inkomma med synpunkter • Beslut • Eventuella synpunkter/påpekanden • Eventuella förelägganden • Ärendet avslutas • ”…kan komma att/kommer att följas upp.” 2010-05-28 6
    • ”IT-inspektioner” • Skiljer sig inte formellt från ”annan” tillsyn, bara att fokus ligger på säkerhetsåtgärder. • Kontroll av samstämmighet mellan teori och praktik… • Kontroll även av de organisatoriska aspekterna. • Styrdokument • Rutiner •… 2010-05-28 7
    • Säkerhetsåtgärder enligt PuL 2010-05-28 8
    • Den perfekta lagen? 2010-05-28
    • Integritetstrappan Säkerhet 30-32 §§ Information 23-27 §§ Person- 22 § nummer Känsliga 13-21 §§ uppgifter Tillåten 10 § behandl. Grundl. 9§ krav 2010-05-28
    • Säkerhetsåtgärder enligt PuL • 30 § • Personer som behandlar personuppgifter • 31 § • Säkerhetsåtgärder • 32 § • Befogenhet att besluta om säkerhetsåtgärder 2010-05-28 11
    • Personuppgiftsbiträde – 30 § PuL • Personuppgiftsbiträde (PuB) • 30 § • Behandlar personuppgifter för den personuppgiftsansvariges (PuA) räkning. • PuB får bara behandla personuppgifter i enlighet med instruktioner från PuA. • Skriftligt avtal. • 31 §, 2 st. • PuA ska se till att PuB både kan och verkligen vidtar ”lämpliga åtgärder” 2010-05-28 12
    • Säkerhetsåtgärder – 31 § PuL •Tekniska och organisatoriska åtgärder för att skydda uppgifterna •Åtgärderna ska åstadkomma en lämplig säkerhetsnivå 2010-05-28 13
    • Säkerhetsåtgärder – 31 § PuL (forts.) Lämplig med beaktande av: • Tekniska möjligheter • Kostnad • Särskilda risker • Hur pass känsliga uppgifterna är 2010-05-28 14
    • Vad är ”lämpligt”? • Tillgänglig teknik • Standardlösningar • Man behöver inte uppfinna något nytt • Kostnad • Sällan krävs att skyddet ska kosta mer än det som ska skyddas… 2010-05-28 15
    • Vad är ”lämpligt”? (forts) • Särskilda risker • Hot – händelser att skydda sig emot • Sannolikhet – hur ofta realiseras hotet? • Konsekvens – effekten om hotet realiseras En säkerhetsåtgärd ska (som minst) reducera antingen sannolikheten för eller konsekvensen av att ett hot realiseras! 2010-05-28 16
    • Vad är ”lämpligt”? (forts) • Hur pass känsliga uppgifterna är • Känsliga personuppgifter enligt 13 § PuL? • Särreglering? – Isf, vad säger den? • Tystnadsplikt eller sekretess? • ”Skyddsvärde” 2010-05-28 17
    • Beslut om säkerhetsåtgärder – 32 § • Beslut i enskilda fall • Beslut får förenas med vite 2010-05-28 18
    • Integritetstrappan Säkerhet 30-32 §§ Information 23-27 §§ Person- 22 § nummer Känsliga 13-21 §§ uppgifter Tillåten 10 § behandl. Grundl. 9§ krav 2010-05-28 19
    • Allmänna råd och rekommendationer 2010-05-28 20
    • Allmänna råd Säkerhet för personuppgifter • Rekommendationer • Förtydligar PuLs krav 2010-05-28 21
    • Informationsbroschyr Sammanfattning av de allmänna råden 2010-05-28 22
    • Organisatoriska åtgärder/Administrativ säkerhet 2010-05-28 23
    • Organisatoriska åtgärder 2010-05-28 24
    • Policy, ansvar och organisation • Säkerhetspolicy • Tilldelade roller i säkerhetsarbetet • Sårbarhets- och riskanalyser • Rutiner för kontroll och uppföljning 2010-05-28 25
    • Dokumentation • Aktuella policydokument • Säkerhetspolicy • Informationssäkerhetspolicy • IT-säkerhetspolicy • Etc, etc, etc… •Berörda anställda ska ha tagit del av relevant information 2010-05-28 26
    • Dokumentation (forts) • Kartläggning av säkerhetsrisker • Nulägesanalyser • Sårbarhetsanalyser • Riskanalyser 2010-05-28 27
    • Dokumentation (forts) • Incidenthantering – Rutiner för att hantera avvikelser • Rapportering • Reaktion • Uppföljning med återkoppling 2010-05-28 28
    • Utbildning • Information om policy och regelverk • Säker hantering av personuppgifter • Säkerhetsmedvetande •Hantering av teknisk utrustning, program och system 2010-05-28 29
    • Strukturerat 2010-05-28 30
    • Praktiska säkerhetsåtgärder 2010-05-28 31
    • Fysisk säkerhet • Tillträdeskontroll • Skydd av utrustning • Lokal • Lås och larm • Brandskydd • Elförsörjning 2010-05-28 32
    • Fysisk datasäkerhet • Mobila enheter och flyttbara lagringsmedia • Rutiner för hantering och förvaring • Kryptera lagrade känsliga uppgifter • Trådlösa nät, blåtand etc 2010-05-28 33
    • Autentisering – Vem är X? • Unik användaridentitet • Lösenord –personligt, hemligt, komplext • Asymmetrisk kryptering (t.ex. e-legitimation) • Engångslösenord (?) • ”Smarta kort” • Biometri 2010-05-28 34
    • Behörighetskontroll – Vad får X göra? • Styrning av åtkomsträttigheter • Skriftligt dokumenterad • Tilldelning, • ändring och • borttagning av behörigheter • Uppföljning av tilldelade behörigheter 2010-05-28 35
    • Behörighetskontroll –frågor •Hur har tilldelningen av åtkomsträttigheter beslutats (och av vem) •Rutiner för tilldelning / borttagning / uppföljning av åtkomsträttigheter • Finns det fler behörigheter än användare? • Hur vida är behörigheterna? • Leverantörs-, administrations, skräpkonton? 2010-05-28 36
    • Loggning • Dokumentation av åtkomst till personuppgifter • Information till användarna • Rutiner för uppföljning Loggning (behandlingshistorik) innebär i sig personuppgiftsbehandling! 2010-05-28 37
    • Loggning -frågor • Går det att utreda vem som gjorde vad och när? • Vilka loggar förs var och varför? • Hur hanteras logguppgifterna? • Hur länge sparas de? – Varför? • Används särskilda verktyg för logghantering? • Används loggsystemen för automatiska beslut/ larm eller andra åtgärder? 2010-05-28 38
    • Datakommunikation • Överföring av personuppgifter • Publika och externa nätverk • Internet / Sjunet • Hur skyddas kommunikationen? • Kryptering • av meddelande eller kommunikationslänk 2010-05-28 39
    • Säkerhetskopiering • Viktiga program och data • Rutiner på regelbunden basis • Förvaring/överföring av säkerhetskopior • Test av återläsning från kopian 2010-05-28 40
    • Säkerhetskopiering –frågor • Hur ofta tas säkerhetskopior? • Hur många generationer sparas? • Hur skyddas säkerhetskopiorna? • När gallras säkerhetskopiorna? • Hur förstörs säkerhetskopiorna? • Testas återläsning regelbundet? 2010-05-28 41
    • Utplåning, reparation och service •Data på lagringsmedia och i annan utrustning. •Avtal med en extern part (till exempel en servicebyrå) • Regler om tystnadsplikt/sekretess • Instruktioner till servicebyrån 2010-05-28 42
    • Skydd mot skadliga program Program på servrar och klienter som skyddar mot datavirus, trojaner, spionprogram etc. • Förebygga • Detektera • Kontinuerlig uppdatering 2010-05-28 43
    • Personuppgiftsbiträden ”Skyddet för personuppgifterna ska inte bli sämre av att man anlitar ett personuppgiftsbiträde.” 2010-05-28 44
    • Personuppgiftsbiträden • Utanför egna organisationen • Skriftligt personuppgiftsbiträdesavtal? • ”lämpliga säkerhetsåtgärder”? • servicebyrå, driftpartner, programvara som tjänst 2010-05-28 45
    • Sammanfattning • Kartlägg hotbilden • Fastställ policy • Upprätta en organisation • Inför åtgärder • Informera och utbilda kontinuerligt • Följ upp efterlevnaden • Testa säkerheten regelbundet 2010-05-28 46
    • Sammanfattande sammanfattning Man ska veta vad man gör och varför… (och se till att det är lagligt…)  2010-05-28 47