Informationssikkerhed

• Principperne i ISO27001 – en international sikkerhedsstandard, som kommunerne i henhold til den fællesoffentlige digitaliseringsstrategi er forpligtede til at følge
• EU´s databeskyttelsesforordning (GDPR) og de afledte nationale lovgivninger på området
• Anden lovgivning hvor det er relevant for informationssikkerheden

• Fortrolighed, så information ikke kommer til uvedkommendes kendskab
• Integritet, så information forbliver pålidelig, korrekt og intakt
• Tilgængelighed, så relevant information kan tilgås og anvendes, når og hvor der er behov for det

• kommunens it-infrastruktur til stadighed er driftssikker og effektivt beskyttet mod interne og eksterne trusler herunder angreb på it-systemer som fx hacker- og virusangreb og misbrug af rettigheder (Fortrolighed, Integritet)
• oplysninger om borgere og virksomheder til enhver tid er beskyttet mod uberettiget videregivelse, hændelige uheld eller forsætlige handlinger (Fortrolighed)
• informationsaktiver til enhver tid er tilgængelige for både interne og eksterne interessenter, med hjemmel til og behov for at få adgang hertil (Tilgængelighed)
• regler for god sikkerhedsskik (best practice), herunder principper og normer for adfærd i omgang med informationsaktiver og anvendelsen af kommunens IT-systemer, er klart formuleret og formidlet til medarbejderne (Fortrolighed, Integritet)
• der er udarbejdet en beredskabsplan, der sikrer, at driften kan genoptages hurtigst muligt efter et nedbrud eller sikkerhedsbrud, og at konsekvenserne heraf reduceres mest muligt (Fortrolighed, Integritet, Tilgængelighed)

• Ansatte, både fastansatte, midlertidigt ansatte, vikarer og lign.
• Medlemmer af kommunalbestyrelsen
• Eksterne samarbejdspartnere, f.eks. personer og virksomheder, der udfører opgaver for kommunen

• Kommunalbestyrelsen – fastlægger de overordnede rammer for informationssikkerheden gennem review og godkendelse af informationssikkerhedspolitikken (dette dokument).
• Kommunaldirektøren - er kommunens øverste administrative sikkerhedsansvarlige og udgør sammen med den øvrige chefgruppe kommunens informationssikkerhedsudvalg. Kommunaldirektøren har det overordnede ansvar for, at opgaverne i kommunens informationssikkerhedsarbejde bliver løst i overensstemmelse med de bestemmelser, der er fastlagt i nærværende informationssikkerhedspolitik og relevant lovgivning i øvrigt. Det er også kommunaldirektøren, der som formand for informationssikkerhedsudvalget rapporterer på informationssikkerhedsudvalgets arbejde overfor kommunalbestyrelsen, når og hvor det er relevant.
• Chefgruppen – udgør sammen med kommunaldirektøren kommunens informationssikkerhedsudvalg, der er ansvarligt for udarbejdelse af (samt opfølgning på) kommunens informationssikkerhedspolitik og hertil understøttende retningslinjer, håndbøger, procedurer og vejledninger. Chefgruppen har også (qua deres rolle som systemejere) ansvaret for udarbejdelse og vedligehold af risikovurderinger for IT-systemer og processer, der omfatter behandling eller lagring af informationsaktiver. Det er også informationssikkerhedsudvalgets ansvar at beslutte og iværksætte initiativer til at håndtere og/eller imødegå kritiske og/eller omfattende sikkerhedshændelser. Informationssikkerhedsudvalget kan beslutte helt eller delvist at uddelegere sine opgaver rent operationelt, men kan ikke uddelegere ansvaret herfor.  
• Den IT-ansvarlige – har gennem varetagelsen af rollen som kommunens tværgående informationssikkerhedskoordinator ansvaret for den daglige operationelle ledelse og facilitering af kommunens informationssikkerhedsarbejde, samt er den IT-ansvarlige informationssikkerhedsudvalgets rådgiver ift. kortlægning af risici og konsekvenser ifm. indkøb og anvendelse af informationsteknologi. 
• Databeskyttelsesrådgiveren (DPO) – har primært en rådgivende funktion i informationssikkerhedsarbejdet. Det er således DPO’ens ansvar at rådgive, vejlede og overvåge, hvordan og om kommunen efterlever GDPR, samt at sikre afrapportering herom til kommunens øverste ledelse (kommunalbestyrelsen samt informationssikkerhedsudvalget). Dertil bistår DPO’en med den lovpligtige indhentning af databehandleraftaler (samt tilsynet hermed), samt varetager DPO’en rollen som kontaktperson for kommunens borgere ift. GDPR relaterede spørgsmål og forespørgsler. 
• Øvrige ledere – har til ansvar at tilse, at kendskabet til den informationssikkerhedsmæssige ramme og konsekvens er kendt blandt eget personale (og hvor det er relevant også eksterne samarbejdspartnere), samt at sikre efterlevelsen af relevante retningslinjer, instrukser og procedurer herunder. Dertil vil ledere også i eventuelt uddelegerede roller som systemejere skulle bidrage til udformning og vedligehold af risikovurderinger herfor.
• Øvrige medarbejdere - har til ansvar at kende og efterleve informationssikkerhedspolitikken og dens udmøntning i relevant omfang, samt løbende at deltage i awareness- og uddannelsesaktiviteter i samme kontekst.

Samsø Kommune fastlægger på baggrund af konkrete risikovurderinger et sikkerhedsniveau, der indfrier de forventninger til troværdighed og stabilitet, der er til behandling af data i en offentlig myndighed.

Sikringen skal stå mål med risikoen, og derfor skal kommunen ikke sikre sig for enhver pris - men være bevidst om enhver risiko.

Sikkerhedsniveauet og anvendelsen skal til enhver tid tilgodese lov- og myndighedskrav, anerkendte standarder for informationssikkerhed (ISO 27001/27002), anbefalinger på området (”Best practice”) samt udmeldinger og afgørelser fra Datatilsynet.

Der skal kontinuerligt foretages risikovurderinger. Ledelsen skal deltage aktivt i risikovurderingerne, idet de er ansvarlige for at vurdere trusler, konsekvenser og risici af it-systemer og behandlingsaktiviteter. Som minimum gennemføres/revideres risikovurderinger af kritiske it-systemer en gang årligt samt ved større ændringer i systemanvendelsen eller ved leverandørskifte.
Kommunens informationsaktiver og IT-systemer skal identificeres og klassificeres. Dette skal sikre det korrekte sikkerhedsniveau i forhold til systemer og datas fortrolighed, integritet og tilgængelighed.

Alle, som har adgang til, anvender eller behandler informationsaktiver i Samsø Kommune har et medansvar for, at informationsaktiver og IT-systemer beskyttes optimalt mod uautoriseret adgang, ændring, ødelæggelse og tyveri.

For at sikre et kontinuerligt højt bevidsthedsniveau, så skal alle ansatte løbende modtage relevant uddannelse eller træning i databeskyttelse og informationssikkerhed.

I det omfang der er akut behov for at fravige specifikke krav i informationssikkerhedspolitikken, er det alene kommunaldirektøren, der kan bemyndige dette. Det påhviler kommunaldirektøren at informere kommunalbestyrelsen og informationssikkerhedsudvalget herom, samt at tilse at et evt. behov for at tilpasse informationssikkerhedspolitikken behandles senest ved næste revision af informationssikkerhedspolitikken. 

Bevidste eller ubevidste overtrædelser af kommunens informationssikkerhedspolitik kan få den konsekvens, at borgernes personoplysninger bliver kompromitteret. En anden konsekvens kan være, at der opleves ustabilitet/uhensigtsmæssigheder i anvendelse og bearbejdning af kommunens informationsaktiver. Dette kan i værste fald medføre økonomisk tab for kommunen eller en forringelse af den kommunale service eller kommunens omdømme.

Hvis en trussel mod informationssikkerheden eller brud på denne opdages, skal disse hændelser straks meddeles til kommunens sikkerhedsansvarlige i henhold til gældende procedure (typisk kommunens DPO og/eller IT-ansvarlige). 

Sikkerhedsbrud indgår i rapporteringen til informationssikkerhedsudvalget.
Hændelser, der kræver presseomtale, håndteres af informationssikkerhedsudvalget.

Overtrædelser af kommunens informationssikkerhedspolitik eller andre bestemmelser, der er udmøntet heraf, vil blive behandlet af informationssikkerhedsudvalget afhængig af karakteren af overtrædelsen og kan få ansættelsesmæssige konsekvenser.

Denne informationssikkerhedspolitik er senest revideret d. 1/10-2020 og godkendt af kommunalbestyrelsen d. 10/11-2020.