Informasjonssikkerhet

Informasjonssikkerhet i Ålesund kommune

Informasjonssikkerhetsarbeidet i kommunen er organisert gjennom en informasjonssikkerhetsstrategi med fordeling av roller og ansvarsområder som er definert slik:

• Rådmannen har det overordna ansvaret for informasjonssikkerhet i Ålesund kommune.
• IT-sjefen (driftsleder) har ansvaret for sikkerheten ved den tekniske driften.
• Sikkerhetsleder har ansvaret for det forebyggende arbeidet.
• Arkivleder har et overordnet faglig ansvar for kommunens arkivforvaltning
• Virksomhetslederne har ansvaret for informasjonssikkerheten ved sin virksomhet.
• Alle ansatte har eget ansvar som er nærmere definert gjennom ansattretningslinjer, taushetserklæring og et sett av sikkerhetsprosedyrer

Sikkerhetsutvalg

Rådmannen har videre et sikkerhetsutvalg som er ansvarlig for å:

• revidere kommunens policy for informasjonssikkerhet,
• følge opp kommunens eksponering vedr. relevante trusler mot kommunens verdier, både informasjonsverdier og teknisk utstyr,
• følge opp sikkerhetsbrudd og
• sikre at det finnes tilfredsstillende prosedyrer for sikkerhetsarbeidet og at de blir tatt i bruk.

Sikkerhetsarbeidet

Arbeidet med kommunens informasjonssikkerhet inngår som en integrert del av oppgavene til de enkelte virksomheter. Virksomhetsledere skal påse at tilfredsstillende informasjonssikkerhet oppnås ved behandling av personopplysninger innen den enkeltes myndighetsområde.

Kommunen benytter elektronisk verktøy for å dokumentere og vedlikeholde informasjonssikkerheten ved behandling av personopplysninger. Sensitive personopplysninger registreres i egne fagsystem eller egne arkivdeler i saks- arkivsystemet, uten tilkobling til andre informasjonssystem eller eksterne datanett. Utstyr benyttet for behandling av personopplysninger er sikret mot uautorisert adgang. All adgang til elektronisk informasjon foregår via en personlig identifikasjon.

Kommunen har et sett av sikkerhetsprosedyrer som blant annet omfatter beskrivelse av sikkerhetsmål, -strategi, ulike roller og ansvar, dokumentsikring og –publisering, bruk av e-post, datautstyr og adgangskontroll/låserutiner. Til sammen utgjør dette en organisering av sikkerhetsarbeidet som skal sikre at personopplysninger, sensitive personopplysninger og helseopplysninger blir behandlet i samsvar med personvernlovgivningen (personopplysningsloven, personopplysningsforskriften og helseregisterloven).