Styring og internkontroll informasjonssikkerhet

Rapport informasjonssikkerhetshendelser i <navn på virksomhet> for perioden <kvartal / tertial / annen periode>

Versjon: Godkjent av: Godkjent dato:

Om malen og bruken av den

Rapporteringen skal være et verktøy for å ha kontinuerlig kontroll med hendelser slik at man kan se om det er områder hvor man må sette i verk korrigerende tiltak. Ved å ha en samlet oversikt blir det også lettere å prioritere hva som er viktigst.

Malen for rapportering ivaretar kravet i kommunens instruks for informasjonssikkerhet (byrådssak 1105/13) punkt 5.6 b)

Det skal være enhetlige rutiner for etterfølgende rapportering av hendelser.

Erfaringer og vurderinger gir informasjon om hva man har lyktes med og hva som fremdeles krever en del oppmerksomhet fremover. Blant annet gis det en omtale av eventuelle korrigerende tiltak i dette avsnittet.

<Virksomheten bestemmer selv hvilke tidsintervaller som er passende, men det anbefales å rapportere på samme tidspunkter som for annen rapportering til virksomhetsledelsen, eks i forbindelse med tertialrapportering.

Rapporten skal gi en totaloversikt og vise antall hendelser og de tiltak som er satt i verk. Den skal ha med både hendelser som er meldt inn via avvikssystem og hendelser man har oppdaget eller blitt kjent med på andre måter. Dersom tiltakene ikke har hatt effekt, må korrigerende tiltak vurderes. I mal for rapportering er det kun lagt inn krav om å ta stilling til om det er nødvendig med korrigerende tiltak. Virksomheten kan evt selv legge inn merknader til slike korrigeringstiltak, evt som en egen tabell. Selv om et tiltak ikke er fullført, betyr ikke det at det er nødvendig med korrigerende tiltak. I en del tilfeller vil det ta tid å gjennomføre tiltakene, f eks dersom et forebyggende tiltak er gjennomføring av informasjons- eller opplæringstiltak

Erfaringer og vurderinger kan variere og være vanskelige å sette inn i en tabelloversikt. Derfor er det mest hensiktsmessig å beskrive disse med ren tekst. Det kan også variere i hvilken grad det er nødvendig å si noe om erfaringer og vurderinger.>

Hendelser – tabelloversikt

Rapporten gjelder for perioden <dato til dato>
Kategori	Antall	Beskrivelse av hendelsestyper	Iverksatte tiltak (skadereduserende / forebyggende)	Tilstand nå	Korrigerende tiltak nødvendig? (ja/nei)
HØY
MIDDELS
LAV

Tabell 1 – rapport

Hendelser – utfyllende tekst

<Her kan man legge inn evt utfyllende tekst hvis det er for lite plass i tabellen og behov for å beskrive nærmere hva som har hendt og hvordan det er håndtert / bør håndteres.>

Erfaringer og vurderinger

<Tekst>

<Evt tabell som kan brukes dersom man ønsker en tabelloversikt>

Område	Erfaring	Vurdering

Tabell 2 – Erfaringer og vurderinger

Ledelsens konklusjon

Rapporten er lagt frem for <navn på ansvarlig instans eller stilling / person> og behandlet den <dato>.

Rapporten tas til orientering.

Ledelsen gir sin tilslutning til de foreslåtte korrigerende tiltakene.

<Hvis det er punkter som må følge opp ytterligere, evt løftes til høyere nivå el l må dette gå frem av konklusjonsdelen. Kan f eks være tilfelle dersom ledelsen er uenig i noen av vurderingene eller har tilleggsmerknader.>

Følgende punkter må følges opp videre:

<punkt>

Hjelpeskjema

Mange skjønnsmessig faktorer kan spille inn når man skal fastsette et nivå for hvor alvorlig en hendelse er. Hjelpeskjemaet nedenfor er veiledende, og skjønnsmessige vurderinger av det enkelte tilfellet kan også spille inn.

Alvorlighetsnivå
Konsekvens	Lavt	Middels	Høyt
Konfidensialitet Fare for at informasjon kan ha blitt / har blitt tilgjengelig for uautoriserte Integritet at informasjon kan ha blitt / har blitt endret av uautoriserte Tilgjengelighet at informasjon har vært utilgjengelig i en periode eller gått helt tapt	Lovbrudd / regelbrudd
Mindre omfang (enkeltdokumenter, enkeltsaker)	Visst omfang (flere dokumenter, flere saker)	Større omfang (mange saker, mange dokumenter). Klare og tydelige (eks bevisste/ forsettlige) brudd fra kommunens egne medarbeidere på taushetspliktregler eller andre konfidensialitetsregler i enkeltsaker med negative skade-virkninger for den det gjelder
Skadevirkning for de som informasjonen gjelder
Ingen konsekvenser av betydning	Negative konsekvenser	Liv / helse eller andre betydelige skadevirkninger
Omdømme for kommunen
Negativ omtale av kommunen	Svekket tillit til kommunen	Betydelig svekket tillit til kommunen
Skadevirkning for kommunen (merarbeid / økonomisk tap)
Ubetydelig eller noe merarbeid	Betydelig merarbeid, visse økonomiske konsekvenser	Omfattende merarbeid med betydelige økonomiske konsekvenser

Tabell 3 - Hjelpeskjema alvorlighetsnivå for hendelser

Hjelpeskjema med noen eksempler på hendelser
Tap av tjenester, utstyr eller funksjoner, f eks vannlekkasje i lokaler med servere Teknisk svikt eller overbelastning i systemer, for eksempel strømbrudd Menneskelige feil, personopplysninger på papir er mistet eller lagt igjen på sted hvor uautoriserte har adgang, f eks på trikken, i en drosje, på kafé eller i et møterom Manglende samsvar med regler, instrukser, retningslinjer og/eller prosedyrer Brudd på fysiske sikkerhetsordninger, for eksempel innbrudd hvor PC’er som inneholder skjermingsverdig informasjon er stjålet Ukontrollerte systemendringer, for eksempel systemendringer som ikke følger på forhånd godkjente endringsrutiner Teknisk svikt i programvare eller maskinvare, for eksempel ødelagt komponent Brudd på tilgangsrettigheter, for eksempel at alle kan lese alle sakspapirer i arkivsystemet Mistanke om utro tjener som stjeler beskyttelsesverdig informasjon fra Oslo kommune eller driver informasjonslekkasje til pressen Internettbasert angrep, f eks en ansatt har klikket på et vedlegg i e-post som inneholder ondsinnet programvare som infiserer nettverket

Tabell 4 – Eksempler hendelser