Sikring av personopplysninger hos Statens Lnekasse for Utdanning

Sikring av personopplysninger hos Statens Lånekasse for Utdanning Av: Rune Jacobsen, Ina C. Glymer, Bjørnar Hånes og Helle Hiorth-Schøyen

Sikkerhetsorganisering og grunnleggende arbeidsmåter (POF § 2 -3) n Roller – Er disse definert i Lånekassens organisasjon, og hvem er så fall: ¨ ¨ ¨ Behandlingsansvarlig Daglig leder Databehandler Sikkerhetsrevisor Personell / medarbeidere / brukere som er autorisert for bruk og drift av systemet n Hvis det finnes en databehandler, er det på plass en avtale som beskriver hvilke sikkerhetsmekanismer databehandleren må ha på plass? Hvis ja, er det fra Lånekassens side utført noen sjekker av om avtalens innhold blir etterlevet av databehandler? n Oppgaver – Hvilke ansvar og hvilke oppgaver har den eller de av de eksisterende overnevnte rollene knyttet til bruk og drift av systemet?

”Sikkerhetsorganisering og grunnleggende arbeidsmåter” POF § 2 -3 ”Sikkerhetsledelse” n POL § 13 Informasjonssikkerheten skal være tilfredstillende. n Dette forutsetter en vurdering for de foreliggende behov for organisering av sikkerhetsarbeid.

Ansvar for informasjonssikkerhet: - Roller og arbeidsoppgaver Er disse rollene definert i Lånekassens organisasjon, hvem er i så fall og hvilke oppgaver har de: • Behandlingsansvarlig • Daglig leder/daglig ansvar • Databehandler • Sikkerhetsrevisor • Personell/medarbeidere/brukere som er autorisert for bruk og drift av systemet

Definerte roller i lånekassa ”Styret” Behandlingsansvarlig - ”den administrative ledelsen” Daglig leder - direktør Bertil Tiusanen Daglig ansvar - avdelingsdirektør for kundeavdelingen, Ingeborg Thomassen Databehandlere - ERGO group - Alt. Inn v/brønnøysundregisteret Personell/medarbeider/ brukere hos databehandlerne Personell/medarbeider/ brukere i kundeavdelingen behandlingen av PO foregår i kundeavdelingen

Roller og arbeidsoppgaver n Daglige ansvar: Ingeborg Thomassen ¨ Daglige ansvar for å oppfylle den behandlingsansvarliges plikter, jf POL § 32 bokstav c. ¨ Personopplysningene i lånekassa behandles i kundeavdelingen av personellet, typisk saksbehandlere. Daglige ansvarlige har dermed ansvar for at behandlingen av disse opplysningene oppfyller krav til informasjonssikkerhet, jf POF § 2 -3, 1. ledd ved behandling av personopplysninger.

Roller og arbeidsoppgaver n Databehandlere: ERGO og brønnøydsundregisteret ¨ Behandler personopplysninger på behandlingsansvarliges vegne, jf POL § 2 nr 5. n ERGO drifter bl. a kundedatabasen i LIS-systemet (Lånekassens informasjon og saksbehandlingssystem) n ERGO leier ut datakraft, lagringsplass og programvare for utvikling, drift og databasehåndtering. ¨ Databehandlere har et selvstendig ansvar for informasjonssikkerheten, jf POL § 13. ¨ Etter POL § 15 skal det være en skriftlig avtale mellom lånekassa og behandlingsansvarlige, en slik avtale foreligger, her kommer bl. a annet plikten til å gjennomføre sikkerhetstiltak komme frem. ” n Kommunikasjonen mellom kunden og systemet må tilfredsstille generelle krav til sikkerhet og omfatte sikker identifisering gjennom bruk av elektronisk ID og elektronisk signatur. n Sikker autorisering av brukere.

Roller og arbeidsoppgaver n ”Styret” ¨ Følger opp virksomheten, kontrollere at den daglige ledelsen utfører oppgavene sine i samsvar med styringssignal og retningslinjer gitt av departementet. ¨ Behandler bl. a Lånekassens strategiplan for å oppnå fremtidige mål, følge opp den løpende virksomheten i Lånekassen, legge fram årsrapport og årsregnskap, behandle budsjettforslag og virksomhetsplan, gi nærmere regler til forskriftene og behandle viktige saker som gjelder organisasjonen og personalet i Lånekassen. ¨ Har studenter som medlemmer bl. a for at de kan være med på å påvirke lånekassa. n Behandlingsansvarlige ¨ Er ledelsen som har det overordnete administrative ansvaret i lånekassa, de bestemmer formål med behandlingen og hvilke hjelpemidler som skal brukes. ¨ Målene og medfølgende strategi for å nå målene beskrives i sikkerhetsmål og sikkerhetsstrategi. n Direktørens rolle: ¨ Øverste leder i den administrative ledelsen.

Roller og arbeidsoppgaver (Behandlingsansvarlige) n Behandlingsansvarlige har ansvar for sikkerhetsmål. Ledelsen i lånekassa skal beskrive formål med behandling og overordnete føringer, jf POF § 2 -3, 2. ledd. n Formålet med behandling av PO: ”Formålet med behandling er å tildele lån og stipend til utdanning og opplæring i samsvar med gjeldende regelverk. ” n Sikkerhetsmål er dokumentert.

Roller og arbeidsoppgaver (Behandlingsansvarlige) n Behandlingsansvarlig har ansvar for sikkerhetsstrategi. Styret i lånekassa skal beskrive valg og prioriteringer i en sikkerhetsstrategi, jf POF § 2 -3, 3. ledd. n En slik sikkerhetsstrategi omfatter grunnleggende beslutninger om organisering og gjennomføring av sikkerhetsarbeidet. n Sikkerhetsstrategi er dokumentert.

n Gjennomgås bruk av informasjonssystemet jevnlig, jf POF § 2 -3, 4 ledd? ¨ I Lånekassa gjennomføres det årlige forskriftsgjennomganger og blankettutforminger. ¨ Dette for å vurdere om opplysningene som behandles er tilstrekkelige og relevante i forhold til formålet. ¨ Vurderer om sikkerhetsstrategien gir tilfredsstillende informasjonssikkerhet som resultat.

Konklusjon n Lånekassas sikkerhetsorganisasjon er etter vår oppfatning i samsvar med kravene POF § 2 -3.

Personell – Hvem har tilgang til personopplysningene i systemet? (POF § 2 -8) n Hvem har tilgang til personopplysningene i systemet? n Er alle brukere av systemet autoriserte? n Hvordan gjøres denne autorisasjonen, dvs. vurdering/tildeling/endring/fjerning av autorisasjon? n Hvordan registreres autorisert bruk av systemet? Hvor lenge og hvordan blir denne informasjonen lagret? n Hvordan registreres forsøk på uautorisert bruk av systemet? Hvor lenge og hvordan blir denne informasjonen lagret?

Hvem får tilgang til personopplysninger i systemet? n Kunden Gjennom Lånekassens internett portal kan kunden blant annet søke om lån og stipend, endre opplysninger om adresse etc. og se informasjon om gjeld, innbetalinger og utbetalinger n Saksbehandlere Gjennom fellessystemet til Lånekassen (LIS) og system for lagring av vedtak, elektroniske gjeldsbrev mv. (Alt. Inn) n Ledelse Gjennom fellessystemet til Lånekassen (LIS) og system for lagring av vedtak, elektroniske gjeldsbrev mv. (Alt. Inn) n Administrasjon Gjennom fellessystemet til Lånekassen (LIS) og system for lagring av vedtak, elektroniske gjeldsbrev mv. (Alt. Inn)

Hvem får tilgang til personopplysninger i systemet? Fort. n Generellt sett kan alle brukerne (saksbehandlere, administrasjon og ledelse) av systemet kan se og spørre om all informasjon i systemet, men de får ikke endre og godkjenne n Direkte databaset tilgang er det kun et minimalt antall driftspersoner som har tilgang til, gjennom en egen Proxy. Brannmurer gjør at dette er eneste direkte aksesspunkt til databasen for slike aktiviteter

Hvem får tilgang til personopplysninger i systemet? Fort. n I tillegg overføres personopplysninger elektronisk til : ¨ ¨ ¨ n Folketrygdekontoret for utenlandssaker Advokater Formyndere Likningsmyndigheter / Banker Alt. Inn Og skriftlig til: Kunden ¨ Foreldre (dersom kunden ikke er myndig) ¨ Skolen ¨

Er alle brukere av systemet autoriserte? Tilsynelatende, ja. .

Hvordan registreres autorisert bruk av systemet? Hvor lenge og hvordan blir denne informasjonen lagret? n All brukeraktivitet blir logget n Hvordan og hvor lenge kjenner vi ikke til

Hvordan registreres forsøk på uautorisert bruk av systemet? Hvor lenge og hvordan blir denne informasjonen lagret? n Systemet har flere nivåer med brannmurer som (forhåpentligvis. . ) vil fange opp forsøk på uautorisert aksess. Informasjon om disse forsøkene vil derfor bli lagret i evt logger som genereres av disse lagene med brannmurer. n I tillegg benyttes IDS (Intrusion Detection System) for å detektere forsøk på innbrudd både gjennom internett portaler og ved forsøk på direkte innbrudd i databasesystemene. n Mislykkede innloggingsforsøk blir logget på vanlig måte

Oppsummering / konlusjon n Lånekassen oppfyller tilsynelatende kravene fra POF § 2 -8 om autoriserte brukere, autorisert bruk av systemet og at autorisert bruk skal logges n Opplæring av brukerne må nødvendigvis skje, men hvordan kjenner vi ikke til n Når det gjelder kundene er det begrenset hvor mye opplæring de kan få (og trenger. . ? ) for å fylle ut en internett søknad. . Diskusjon: n Nå har alle brukerene hos lånekassen tilgang til å se all informasjon, er dette nødvendig?

Risikovurdering (POF § 2 -4) n Finnes en oversikt over hva slags type personopplysninger som behandles? Er dette dokumentert? n Er kriterier for akseptabel risiko utarbeidet og dokumentert? n Er det gjennomført en eller flere risikovurderinger av systemet med tanke på konfidensialitet? Er dette dokumentert? n Er i såfall resultatet av risikovurderingen sammenliknet med kriterier for akseptabel risiko? n Er resultatet av eventuelle gjennomførte risikovurderinger dokumentert?

Risikovurdering (POF § 2 -4) Er det foretatt noen risikovurdering i forhold til ivaretakelse av konfidensialitet, og hva er konklusjonen

Bakgrunnsinformasjon n Lånekassen skal tilby elektronisk tildeling av støtte som et pilotprosjekt. n Studentene skal kunne underskrive låneavtalen elektronisk ved bruk av digital signatur. n Autentisering og signering skal gjøres vha Smartkort. n Lånekassen har gjennomført en risikovurdering i forhold til kravene til behandling og oppbevaring av personopplysninger etter POL m/forskrift.

Utdyping av spørsmål i forbindelse med risikovurdering og drøfting av sikkerhetsaspekter relatert til POF § 2 -4 n Gruppens arbeid med denne delen har tatt utgangspunkt i rapport fra tidligere nevnte risikovurdering. n Vi har drøftet innhold og omfang av denne sett i forhold til POF § 2 -4 og konfidensialitetskrav. n Utdyping av spørsmål ¨ Finnes oversikt over hva slags type personopplysninger som behandles? ¨ Er kriterier for akseptabel risiko utarbeidet? ¨ Er det gjennomført en eller flere risikovurderinger av systemet med tanke på konfidensialitet? ¨ Er i så fall resultatet av risikovurderingen sammenliknet med kriterier for akseptabel risiko? ¨ Er resultatet av eventuelle gjennomførte risikovurderinger dokumentert?

Finnes oversikt over hva slags type personopplysninger som behandles? n I rapporten har Lånekassen foretatt en vurdering av hvilke type personopplysninger som finnes i systemet. Konklusjonen er at det under piloten ikke vil være snakk om sensitive personopplysninger. Ved en eventuell senere utvidelse av omfanget for bruk av løsningen, vil sannsynligheten være stor for at det da vil bli behandlet sensitive personopplysninger. n I ”Dokumentasjon på behandling av personopplysninger i forbindelse med tildeling av lån og stipend, datert 1. desember 2003”, har Lånekassen utarbeidet en systematisk oversikt over hvilke typer personopplysninger som behandles i systemet. Dette er delt inn i kategoriene ”ikke sensitive” og ”sensitive” personopplysninger. n ”Ikke sensitive” personopplysninger er delt inn i følgende kategorier: Identifikasjonsopplysninger, opplysninger om adferd, opplysninger om tredjeperson, fjernsynsovervåking og lydopptak. ”Sensitive” opplysninger vil være opplysninger om: rasemessig eller etnisk bakgrunn, filosofisk eller religiøs oppfatning, at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling samt helseforhold. Opplysninger av denne typen vil som nevnt i det første punktet ikke bli benyttet i piloten. n Vi mener oversikten over hva slags type personopplysninger som behandles er tilfredsstillende og samsvarer med kravet i lovverket.

Er kriterier for akseptabel risiko utarbeidet ? n I rapporten (kap. 2) finnes et eget kapittel som inneholder en beskrivelse av det Lånekassen har valgt å kalle ”overordnede risikonivå vedrørende behandling av personopplysninger”. Det fokuseres her ensidig på kriterier for akseptabel risiko relatert til sensitive personopplysninger. Vi er usikre på hva Lånekassen ønsker å få frem med dette kapittelet, og ser ikke dette som til spesielt stor hjelp knyttet til utarbeidelsen av kriterier for akseptabel risiko. n I rapportens kapittel 4 har Lånekassen benyttet en systematisk fremstilling for å finne hva som er akseptabel risiko med utgangspunkt i en skjematisk matrise basert på ”sannsynligheten for at en situasjon skal oppstå” og ”konsekvensen som følger om situasjonen inntreffer”. Kriteriene for akseptabel risiko er definert i matrisen. n Vi mener metoden benyttet i arbeidet med å definere kriterier for hva som er akseptabel risiko er tilfredsstillende utført, og helt i samsvar med lovverket.

Er det gjennomført en eller flere risikovurderinger av systemet med tanke på konfidensialitet? n Som ”mal” i arbeidet er ”Datatilsynets rettledning for risikovurdering av informasjonssystem, av 15. 02”, benyttet. Vi mener at man med dette har et godt utgangspunkt for lik balanse mellom de tre sikkerhetsaspektene, og altså dermed også konfidensialitetsaspektet. n Rapporten påpeker og viser at vurderingen er knyttet til konfidensialitet, integritet og tilgjengelighet av personinformasjon. Vi mener dette indikerer at Lånekassen har hatt tilstrekkelig fokus på konfidensialitetsaspektet under risikovurderingen. n Resultatet fra de enkelte delene i risikovurderingen er systematisk presentert i rapporten i form av 18 områder som er kategorisert som trusler. n For 13 av disse 18 områdene er det fortatt en konkret vurdering med tanke på konfidensialitet. n Vi mener med bakgrunn i dette at Lånekassen har hatt en tilstrekkelig grad av fokus på konfidensialitet i sin risikovurdering, og at arbeidet derfor samsvarer med lovverket.

Er i så fall resultatet av risikovurderingen sammenliknet med kriterier for akseptabel risiko? n Etter å ha gått igjennom rapporten mener vi at ”resultatet av risikovurderingen er sammenliknet med kriterier for akseptabel risiko” på en tilfredsstillende måte, og etter vår mening helt i samsvar med lovverket. Dette begrunner vi med følgende: ¨ I rapportens sammendrag står ”Det er gjort en risikovurdering av mulige trusler. Det er vurdert sannsynlighet og konsekvens av disse trusler. Tiltak for å begrense skader er gjennomgått. Det er ikke identifisert mulige trusler som Lånekassen ikke kan akseptere ut i fra definert risikonivå. ” Vi mener dette viser at Lånekassen har gjort en vurdering av resultatet fra risikovurderingen sammenliknet med kriterier for akseptabel risiko. ¨ Resultatet fra de enkelte delene i risikovurderingen er systematisk presentert i rapporten i form av 18 områder som er kategorisert som trusler. ¨ Det er for hvert spesifikke område i rapporten presentert en vurdering av om trusselen er innenfor det man har definert som akseptabel risiko.

Er resultatet av eventuelle gjennomførte risikovurderinger dokumentert? n Et av de dokumentene vi har fått overlevert fra Lånekassen, er dokumentasjon av selve risikovurderingen knyttet til behandling av personopplysninger. Vi mener dette er tilstrekkelig dokumentasjon som samsvarer med kravene i POF § 2 -16. Vi begrunner dette i følgende: ¨ Det finnes ingen formkrav til selve dokumentasjonen i lovverket. ¨ Datatilsynet har utarbeidet en ”rettledning for risikovurdering av informasjonssystem”, datert 15. 02. Rettledningen er benyttet som mal for dokumentasjon av risikovurderingen. ¨ Resultatet fra de enkelte delene i risikovurderingen er systematisk presentert i rapporten i form av 18 områder som er kategorisert som trusler. ¨ Alle disse 18 områdene er vurdert hver for seg, og resultatet er presentert og dokumentert på en oversiktelig og forståelig måte.

Konklusjon Vi mener Lånekassen for dette systemet har foretatt en risikovurdering i forhold til ivaretakelse av konfidensialitet som er i samsvar med kravene i POF § 2 -4

Tiltak for å sikre konfidensialitet (POF § 2 -11) n Er det på bakgrunn av resultater fra arbeidet, med risikovurdering eller andre årsaker, iverksatt tiltak for å sikre konfidensialitetsaspektet?

Planlagte og implementerte tiltak på bakgrunn av tenkt hendelse: Uvedkommende klarer å autentisere seg som en annen person n ¨ Smartkort og PIN kode blir sendt i separate forsendelser. Bruk av feil PIN kode sperrer kort etter 3 forsøk. En autentisert avgiver får tilgang til informasjon om en annen avgiver n ¨ Autoriseringssystemet er basert på et markedsledende standardprodukt med omfattende beskyttelse gjennom flere nivåer av brannvegger. Det er gjennomført omfattende tester for å sikre at autorisasjon fungerer i henhold til krav. En autorisert avgiver planter virus n ¨ Alle skjema med vedlegg blir skannet for virus og informasjon med virus blir kastet. Deteksjon av virus logges

Planlagte og implementerte tiltak forts. n Uvedkommende får direkte databasetilgang ¨ n Beskyttet med tre lag brannmurer, et minimalt antall driftspersoner har nødvendig tilgang gjennom en egen Proxy som kun autorisert driftspersonell må igjennom Uvedkommende får tilgang til foreløpig lagret i klient (Cashing, temporary internet files) ¨ Applikasjon har slått av cashing. PDF filer blir lagret lokalt. Det gis informasjon til brukere om hvordan de skal sette opp sine klienter på en sikker måte. Det er også laget retningslinjer om oppsett av publikumsterminaler.

Planlagte og implementerte tiltak forts. n Operatører av systemet får tilgang til informasjon ¨ n Uvedkommende avlytter kommunikasjon mellom Altinn og Lånekassen ¨ n Driftsoperatør har omfattende rutiner for sikkerhetssjekk av operatørene og aksjoner logges. Operatører har signert taushetserklæring. Kommunikasjon foregår i egen kabel i operatørs datarom. Uvedkommende får fysisk tilgang til Altinn system. ¨ Altinns produksjonsanlegg er plassert i fjellhall og reserveanlegg er plassert i dagbygg. Begge anlegg har omfattende fysisk sikring med flersone adgangskort. Sikkerhetsvakter har periodisk kontroll og det er installert overvåkningskamera.

Planlagte og implementerte tiltak forts. n Uvedkommende får fysisk tilgang til Sikkerhetskopier ¨ n En etatsbruker får tilgang til data for annen etat en den han tilhører. ¨ n Oppbevares i sikre lokaler/skap I etatsportalen sjekkes skjemaets etat mot brukerens etat. Systemet har flere nivåer av brannvegger og det benyttes IDS for å detektere innbrudd. Det er gjennomført penetrasjonstest av 3. part for å sikre mot innbruddsteknikker. Personnummer og adresseinformasjon kompromitteres ¨ En avgiver kan delegere rettigheter til en annen person. Man må da kjenne personens personnummer. Man kan se personens navn eller innlegging av fødselsnummer.

Oppsummering av gjennomføring pr 17. 12. 2003 ¨ Den systemtekniske sikkerheten er oppgradert i samsvar med Datatilsynets veilledning, bl. a med to atskilte sikkerhetssoner og kryptert elektronisk kommunikasjon. Dette arbeidet vil være ferdig innen utgangen av 2003. ¨ Sikkerhetsmål/sikkerhetsstrategi er i all hovedsak gjennomført og gjenstående arbeid vil være ferdig innen utgangen av 2003. Risikovurdering av eksisterende adgangskontrollsystem til kontorlokaler gjennomføres i første halvår 2004. ¨ Etablering av internkontroll, overordnet styringsmodell, prinsipper for ledelse og overordnet dokumentstruktur er etablert, samt modell for delegering av behandlingsansvar. Dokumentasjon og etablering av sikkerhetsorganisasjon vil ferdigstilles i januar 2004. ¨ Dokumentasjon av instrukser/rutiner i. h. t. POL, system for avvikshåndtering og prinsipper for revisjon/ledelsens gjennomgang ferdigstilles i begynnelsen av 2004. Systemteknisk beredskapsplan ferdigstilles i løpet av første halvår 2004

Dokumentasjon (POF § 2 -16) n Tiltakene er dokumentert av Lånekassen i en risikoanalyse datert 07. 10. 2003. Det ble foretatt en riskovurdering i forhold til behandling og oppbevaring av personopplysninger etter POL i forbindelse med prosjektet (pilot PKI). n Arbeidsdokument opprettet 31. 01. 2003 om behandling av personopplysninger i forbindelse med tildeling av lån og stipend. n Brev av 17. 12. 2003 fra Lånekassen til Datatilsynet ang. Melding om behandling av personopplysninger n Kopi av meldeskjemaer til Datatilsynet fordelt på tildeling, tilbakebetaling, innkreving og adgangskontroll.

Hvilke rutiner finnes det for lagring, endring og sletting i. h. t. POF § 2 -16? n Lånekassens lagringsrutiner følger reglene i Arkivloven og den medfølgende arkivforskriften. Interne dokumenter blir lagret etter hensiktsmessighet selv om de ikke nødvendigvis blir regnet som formelle dokumenter etter Arkivloven. n I POF § 2 -16 [2] er det et krav til at dokumentasjonen skal lagres i minst 5 år etter dokumentet ble erstattet med ny utgave. ¨ Vi har ikke gjort forsøk på å innhente tidligere utgaver av dokumentasjonen. I brev datert 17. 12. 2003 står det at internkontrollen fullt ut vil bli tilpasset POF i løpet av 2004. Antar at det arbeidet pr dags dato er gjennomført. n I. h. t. POF § 2 -16[3] blir registrering av forsøk på uautorisert bruk og andre hendelser med betydning for informasjonssikkerheten loggført (jmfr risikoanalyse). ¨ Vi har ikke dokumentasjon som sier noe om rutinene for lagring og sletting av denne informasjonen.

Konklusjon n Vi mener at Lånekassen gjennomgående har god dokumentasjon på sikring av konfidensialitet etter POF § 2 -11. n Alt tyder på at Lånekassen har tilfredstillende rutiner for etterlevelse av kravene i POF § 2 -16