Lover og ansvar Kapittel 6 DIGITAL SIKKERHET En

Lover og ansvar Kapittel 6 DIGITAL SIKKERHET En innføring

Læringsmål: Kjenne til hvordan rettslig regulering stiller krav til datasikkerhet og hvilket ansvar eiere av IKT-systemer har DIGITAL SIKKERHET En innføring

Personopplysningsloven og personvernforordningen – definisjoner • Personopplysning: «enhver opplysning om en identifisert eller identifiserbar fysisk person» • Særlige kategorier av personopplysninger: «personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering» DIGITAL SIKKERHET En innføring

• Behandling: «enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke» • Behandlingsansvarlig: «en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes» • Databehandler: «en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige» (personvernforordningen artikkel 4. nr 8) DIGITAL SIKKERHET En innføring

Informasjonssikkerhet og personvern DIGITAL SIKKERHET En innføring

Prinsipper 1. Lovlighet, rettferdighet og åpenhet 2. Formålsbegrensning 3. Dataminimering 4. Riktighet 5. Lagringsbegrensning 6. Integritet og fortrolighet 7. Ansvarlighet DIGITAL SIKKERHET En innføring

Ofte vil det oppstå en spenning mellom sikring av informasjon og hensynet til den enkeltes personvern. I et datasystem er gode sikringstiltak ofte avhengige av at det er synlighet i nettverket og at informasjon logges og analyseres. Samtidig vil dette være et betydelig inngrep i personopplysningsvernet til de som bruket datasystemet, og jo mer omfattende logging, lagring og analyse som utføres, desto større vil inngrepet være. Hvilke tiltak kan iverksettes for å redusere inngrepet og likevel ivareta sikkerheten? DIGITAL SIKKERHET En innføring

Sikkerhetsloven – definisjoner • Grunnleggende nasjonale funksjoner – «tjenester, produksjon og andre former for virksomhet som er av en slik betydning at et helt eller delvis bortfall av funksjonen vil få konsekvenser for statens evne til å ivareta nasjonale sikkerhetsinteresser» • Informasjon er skjermingsverdig dersom det kan skade nasjonale sikkerhetsinteresser at informasjonen blir kjent for uvedkommende, går tapt, blir endret eller blir utilgjengelig • Et informasjonssystem er skjermingsverdig dersom det behandler skjermingsverdig informasjon, eller dersom det i seg selv har avgjørende betydning for grunnleggende nasjonale funksjoner • Objekter og infrastruktur er skjermingsverdige dersom det kan skade grunnleggende nasjonale funksjoner om de får redusert funksjonalitet eller blir utsatt for skadeverk, ødeleggelse eller rettsstridig overtakelse DIGITAL SIKKERHET En innføring

Felles regler • Dokumentert sikkerhetsstyring – systematiske aktiviteter som dokumenterer at virksomheten opprettholder er tilfredsstillende sikkerhetsnivå • Risikostyring og risikovurdering – systemene skal sikres i tråd med de verdier som forvaltes. Dette forutsetter oversikt over egne verdier og en prosess for å vurdere og redusere risiko. • Avvikshåndtering- og rapportering – rutiner for å sørge for rapportering av uønskede hendelser, prosesser for å lukke slike hendelser og forebygge nye. DIGITAL SIKKERHET En innføring

Særregler for behandling av personopplysninger Vurdering av personvernkonsekvenser • • Krav hvis behandlingen medfører en «høy» risiko for personers rettigheter og friheter Systematisk prosess med utgangspunkt i individet 1. 2. 3. 4. Beskrive behandlingen Vurdere nødvendighet og proposjonalitet Vurdere risiko for individet Redusere risiko DIGITAL SIKKERHET En innføring Innebygd personvern 1. 2. 3. 4. 5. 6. 7. Vær i forkant, forebygg fremfor å reparere Gjør personvern til en standardinnstilling Bygg personvern inn i designet Skap full funksjonalitet Ivareta informasjonssikkerhet fra start til slutt Vis åpenhet Respekter brukeres personvern

Oppsummering I kapittelet har vi gitt en introduksjon til det komplekse regelverket som regulerer moderne datasikkerhet. Målet er ikke at du skal kunne regelverket utenat, men at du i hvert fall vet hvor du skal lete for å finne svar og ha noen holdepunkter i arbeidet du gjør. DIGITAL SIKKERHET En innføring