Informasjonssikkerhet - Digital sikkerhetshendelse og avvik - Kunnskapsbasen
Informasjonssikkerhet - Digital sikkerhetshendelse og avvik
English version: Information Security - Digital Security Incidents and Deviations
Her finner du informasjon om hvordan du kan varsle om hendelser og registrere avvik relatert til informasjonssikkerhet og personvern.
Temasider: Informasjonssikkerhet | IT-hjelp | Sider merket digital sikkerhet, informasjonssikkerhet
Meld avvik
Avviksmeldingen skal beskrive avviket og hvor det har skjedd. Meldingen skal ikke inneholde personopplysninger knyttet til navn eller annen type informasjon der det kan være behov for konfidensialitet. Avvik skal aldri rettes mot person, men mot elementet eller handlingen i arbeidsprosessen som forårsaket sikkerhetsbruddet. En avviksmelding skal med andre ord beskrive handlingen, ikke personen som utførte den.
Skal du sende avvik, pass på å ikke ta med sensitiv informasjon i avviksmeldingen. Avviksmeldingen skal også beskrive hva som eventuelt er konsekvensen av bruddet.
Har du spørsmål eller er i tvil om det er ett avvik eller hendelse, ta kontakt med NTNU SOC:
- E-post: soc@ntnu.no (PGP: 0xEFF99109C95AF4BF)
- Telefon: +47 90 66 43 50
Hva er en hendelse?
En digital sikkerhetshendelse kan oppstå som følge av et dataangrep, teknisk svikt, eller feilhandlinger. Digitale sikkerhetshendelser relatert til NTNUs datasystemer og digitale infrastruktur sendes som et varsel til NTNU Sikkerhetsoperasjonssenter (NTNU SOC).
Eksempler på sikkerhetshendelser:
- Du har blitt utsatt for svindelforsøk via e-post/SMS (Rapporter mistenkelig e-post)
- Du har blitt lurt til å gi fra deg informasjon som brukernavn, passord, kredittkort
- Du har mistet eller blitt frastjålet personlig IKT-utstyr
- Du mistenker virus eller skadevare på IKT-utstyr
Hva er et avvik?
Avvik innen informasjonssikkerhet og personvern oppstår når vi ikke følger lover, regler og NTNUs interne dokumenter som regulerer bruken av NTNUs IKT-infrastruktur og behandling av personopplysninger. Avvik er hovedsakelig et informasjonssikkerhetsbrudd i forbindelse med arbeidsutførelse og arbeidspraksis. Et avvik kan ha store, små eller ingen konsekvenser.
Eksempler på avvik informasjonssikkerhet og brudd på personvernet:
- Feilsendt e-post og vedlegg, særlig der det er personopplysninger
- Innsamling av data i skjema som gjør informasjonen søkbar på internett, eller i skjemaverktøy der NTNU ikke har databehandleravtale
- Feilutlevering eller feilpublisering av informasjon
- Feil i tilganger, utstyr eller programvare som gjør at informasjonens tilgjengelighet er svekket, og som igjen kan svekke sikkerheten
- Rutiner som mangler, ikke fungerer, eller som ikke følges
- Informasjon med klassifiseringsnivå som krever tilgangsstyring er åpen og tilgjengelige for uvedkommende
- Manglende grunnlag eller vurdering av grunnlag for å behandle personopplysninger
- Fødselsnummer som er sendt ukryptert per e-post til eksterne (Et enkelt dokument som inneholder et fødselsnummer sendt mellom ansatte er ikke et avvik da det ikke forlater NTNUs datanettverk)
- Er du i tvil om saken du ønsker å si fra om er et avvik eller en sikkerhetshendelse, melder du saken til NTNU SOC for raskere behandling.
Hvorfor skal jeg melde avvik?
Alle med tilgang til NTNUs IKT-infrastruktur har ansvar for å være oppmerksomme på eventuelle brudd, melde inn avvik og gjennom det bidra til god styringsinformasjon. Meldinger om avvik er nødvendig og ønskelig. Avvikshåndtering skaper læring og forbedring som har stor betydning for det systematiske arbeidet med informasjonssikkerhet og personvern. Avviksprosessen er også en viktig del av NTNUs internkontroll.
Hva skjer når jeg melder avvik?
Avvik relatert til informasjonssikkerhet og personvern går til Seksjon for digital sikkerhet. Der vurderes avvikets alvorlighetsgrad og om Datatilsynet må varsles. Ved brudd på personvernet gjøres vurderingen i dialog med Avdeling for virksomhetsstyring og Personvernombudet.
Er det behov for å gjøre strakstiltak utføres dette i samarbeid med de ansvarlige for tjenesten eller funksjonen som er berørt. Linjeleder kobles på og vil få i oppdrag å finne årsak og tiltak for å hindre at tilsvarende skjer igjen. Slik vurdering gjøres ofte i tett samarbeid med Seksjon for digital sikkerhet.
Er det lekket informasjon om personer og det er sannsynlig at dette kan få negative konsekvenser så skal de berørte varsles. Slik varsling linjelederansvar.
Ledere ved NTNU skal ta opp avvik klassifisert som alvorlig eller kritisk i sine ledermøter, og benytte avvikshåndtering som en betydelig faktor i forbedringsarbeidet i sin del av virksomheten.