Informationssäkerhetsincidenter
Informationssäkerhetsincidenter hanteras olika beroende på om det rör sig om en IT-incident eller en personuppgiftsincident.
IT-incident
En IT-incident är en oönskad och oplanerad IT-relaterad händelse som kan påverka säkerheten i organisationens eller samhällets informationshantering och som kan innebära en störning i organisationens förmåga att bedriva sin verksamhet.
Identifiering
En IT-incident har till exempel inträffat om information har blivit förstörd, gått förlorade på annat sätt, eller kommit i orätta händer.
Exempel på IT-incidenter är om:
- påverkan skett på riktigheten, tillgängligheten eller konfidentialiteten hos information som bedömts ha behov av utökat skydd.
- informationssystem som behandlar information som bedömts ha behov av utökat skydd inte kunnat upprätthålla avsedd funktionalitet.
- påverkan skett på myndighetens förmåga att utföra sitt uppdrag.
- allvarlig påverkan skett på säkerheten i den informationshantering som myndigheten ansvarar för, eller i tjänster som myndigheten tillhandahåller åt en annan organisation.
Rapportering
Den som upptäcker en IT-incident ansvarar för att sås snart som möjligt anmäla detta till IT-helpdesk (ithelpdesk@bth.se)
IT-helpdesk tar ärendet vidare till IT-chef, objektägare/systemförvaltare utifrån vad som bedöms lämpligt.
Vidarerapportering
Om det finns risk för att incidenten allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar som myndigheten tillhandahåller åt en annan organisation ska den rapporteras till MSB.
Notifiering till MSB ska ske inom 6 timmar.
Dokumentation
Om det är osannolikt att incidenten allvarligt kan påverka risker i säkerheten i informationshanteringen ska den inte anmälas till MSB. En misstänkt incident måste dock alltid dokumenteras där det framgår motivation för att anmälan inte gjorts till MSB. Dokumentation görs av IT-chef tillsammans med berörda avdelningar i verksamheten.
Hantering
IT-chef, objektägare/systemförvaltare, ansvarar för att hantera ärendet vad gäller bedömning, extern rapportering samt uppföljning av vidtagna åtgärder för att avhjälpa problemet.
Ring Cert på Telefonnummer: 010-240 40 40
Personuppgiftsincidenter
En personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av personuppgifter. Den kan också leda till ett obehörigt röjande av eller obehörig åtkomst till personuppgifter.
Identifiering
En personuppgiftsincident har till exempel inträffat om uppgifter om en eller flera registrerade personer har blivit förstörda, gått förlorade på annat sätt, eller kommit i orätta händer.
Exempel på personuppgiftsincidenter är:
- Någon obehörig part har fått tillgång till personuppgifter, till exempel om någon har skickat personuppgifter till mottagare som inte skulle ha uppgifterna.
- Datorer som innehåller personuppgifter har förlorats eller stulits.
- Någon har ändrat personuppgifter utan tillstånd.
- Personuppgifter är inte tillgängliga för den som behöver dem, och det leder till negativa effekter för de registrerade personerna.
Rapportering
Den som upptäcker en personuppgiftsincident ansvarar för att så snart som möjligt anmäla detta till dataskyddsombud (dataskyddsombud@bth.se).
Vidarerapportering
Om det är troligt att personuppgiftsincidenten kommer att medföra en risk för de registrerade kommer anmälan göras till Integritetsskyddsmyndigheten (IMY).
Anmälan till IMY ska göras inom 72 timmar efter det att incidenten har upptäckts.
Dokumentation
Om det är osannolikt att en personuppgiftsincident medför risker kommer den inte att anmälas till Integritetsskyddsmyndigheten. En misstänkt incident måste dock alltid dokumenteras där det framgår motivation för att anmälan inte gjorts till Integritetsskyddsmyndigheten. Dokumentation görs av dataskyddsombud tillsammans med berörda avdelningar i verksamheten
Hantering
Dataskyddsombud tillsammans med berörda avdelningar i verksamheten bedömer incidenten utifrån sannolikheten och allvaret, och den därmed följande risken för de registrerades rättigheter och friheter.
Om det är troligt att personuppgiftsincidenten kommer att medföra en risk för de registrerade ansvarar dataskyddsombud att anmälan görs till IMY.
Om en personuppgiftsincident bedöms som allvarlig så ska BTH utan onödigt dröjsmål även informera de registrerade om personuppgiftsincidenten. Detta gäller alltså om det är sannolikt att personuppgiftsincidenten leder till en hög risk för fysiska personers rättigheter och friheter. Information görs av dataskyddsombud tillsammans med berörda avdelningar i verksamheten
Rapportera incidenter
Rapportera IT-incidenter så snart som möjligt till: ithelpdesk@bth.se
Rapportera personuppgiftsincidenter till: dataskyddsombud@bth.se