Principper for sikkerhedsindretningen

Ledelsen har nedsat et Informationssikkerhedsudvalg/Den Digitale Styregruppe (DDS), der fungerer som besluttende, igangsættende og styrende element for de sikkerhedsmæssige processer, der etableres i organisationen.

Det skal i alle sammenhæng sikres, at der er gennemført den nødvendige funktionsadskillelse ved administration af informationsaktiver (It-platform og det enkelte informationsbehandlingssystem).

Sammenfald af roller på økonomibærende systemer eller informationskritiske systemer, hvor både systemadministratorrollen og brugerrollen varetages af samme person, må ikke forekomme.

Der er via IT-Helpdesk sikret funktionsadskillelse på alle øvrige informationsbehandlingssystemer.

Hvor det ikke er praktisk eller økonomisk hensigtsmæssigt, at foretage funktionsadskillelse, skal kompenserende kontroller indføres.

Data- og systemejerskab, samt ejerskab for fysiske aktiver, der har sammenhæng til informationssikkerheden, skal fastlægges med henblik på ansvars-placering samt udarbejdelse af risikovurderinger.

I sikkerhedsorganiseringen indgår fire sikkerhedsmæssige roller, som er tillagt
lederne i organisationen.

1. Sikkerhedsansvarlig
2. Dataejer
3. Systemejer
4. Ejer af fysiske aktiver.

Rollerne og deres specifikke ansvar og pligter er beskrevet herunder.

Direktørerne har det overordnede ledelsesansvar og har på samme måde overordnet ansvar og pligter forbundet med de fire roller.
Afdelingscheferne har en central rolle i sikkerhedsorganisationen. De har driftsansvar og herunder det praktiske ansvar og medhørende pligter forbundet med de fire roller.
Gruppelederne og institutionslederne delegeres ansvar og pligter lokalt i afdelingen eller institutionen.

En sikkerhedsansvarlig har ansvar for:

• at sikkerhedspolitikker og de regler, der er relevante for vedkommendes ansvarsområde, er kendte og efterleves.
• at medarbejderne gennem uddannelse og udvikling opnår sikkerhedsbevidsthed om nødvendigheden af at overholde de sikkerhedsmæssige retningslinjer.
• at der efter behov, udarbejdes yderligere dokumentation vedr. sikkerhed for forvaltningens område, såfremt eksisterende regler og procedurer ikke er fyldestgørende.
• at deltage i opklaringsarbejdet ved konstateret eller begrundet mistanke om sikkerhedsbrud, og rapportere til "Sikkerhedslederen"
• at retningslinjerne for ansættelse, introduktion, løbende vurdering, funktionsskifte og afvikling af medarbejdere overholdes.
• at der foreligger afprøvede og tilpassede beredskabsplaner for den sikkerhedsansvarliges ansvarsområde, og at vedkommende indgår i arbejdet med dannelse af disse.

En dataejer har ansvar for:

• at deltage i udarbejdelsen af risikovurderinger for systemtilknyttede data.
• at der for data i informationssystemerne foreligger konkrete regler og procedurer for regulering og administration af adgangsforholdene, og at disse er i overensstemmelse med de grundliggende krav her til.
• at autorisere adgangen til data i h.t. retningslinjerne herfor.
• at foretage opfølgning og rapportering af sikkerhedsbrud til sikkerhedslederen.
• at indgå i arbejdet med udarbejdelse af afprøvede og tilpassede beredskabsplaner.

En systemejer har ansvar for:

• at deltage i udarbejdelsen af risikovurderinger for informationssystemet.
• at der ved drift af eksisterende og idriftsætning af nye systemer foreligger konkrete regler og procedurer for regulering og administration af adgangsforholdene, og at disse er i overensstemmelse med de principielle krav her til.
• at autorisere adgangen til systemet i h.t. retningslinjerne herfor.
• at foretage opfølgning og rapportering af sikkerhedsbrud til sikkerhedslederen
• at indgå i arbejdet med udarbejdelse af afprøvede og tilpassede beredskabsplaner.

En ejer af et fysisk aktiv har ansvar for:

• at der udarbejdes en kravspecifikation ved placering, indretning, forandring m.v. som tager eksplicit hensyn til sikkerhedsmæssige forhold.
• at der udarbejdes en risikovurdering i h.t. kravene hertil.
• at der ved ibrugtagning af lokaler/udstyr foreligger konkrete regler og procedurer for regulering og administration af adgangsforholdene – og at disse er i overensstemmelse med de principielle krav hertil.
• at autorisere adgangen til lokaler/udstyret i h.t. retningslinierne herfor.
• at foretage opfølgning og rapportering af sikkerhedsbrud til sikkerhedslederen.
• at indgå i arbejdet med udarbejdelse af afprøvede og tilpassede beredskabsplaner.