Cirkulæret til udskrift

 
Cirkulæret omhandler organisatoriske forhold og fysisk sikring, herunder sikkerhedsorganisation, administration af adgangskontrolordninger og autorisationsordninger samt kontrol med autorisationer for brug af edb-udstyr og programmer med adgang til Kirkenettet.

Desuden omhandler cirkulæret Kirkeministeriets godkendelse af øvrige it-systemer.

Cirkulærets bilag findes alene på It-Kontorets intranet ITK under punktet it-sikkerhed.
 
Cirkulærets anvendelsesområde

§ 1. Cirkulæret omfatter alle edb-arbejdspladser (installationssteder), der har adgang til Kirkenettet.

Hjemmearbejdspladser og arbejdspladser i Rigsrevisionen samt hos Kirkeministeriets it-leverandører med adgang til Kirkenettet er også omfattet af bestemmelserne i cirkulæret.

Stk. 2. Alle brugere af Kirkenettet er omfattet af bestemmelserne i nærværende cirkulære. 

Stk. 3. Alle hjemmearbejdspladser er desuden omfattet af de i Bilag 6 nævnte bestemmelser.

Stk. 4. I cirkulærets Bilag 7 er der fastsat bestemmelser vedrørende de it-systemer, Kirkeministeriet godkender.

Definitioner

§ 2. Ved Kirkenettet forstås det edb-netværk med tilhørende edb-arbejdspladser, der er etableret i og mellem myndigheder, institutioner og ansatte. Desuden omfatter Kirkenettet arbejdspladser i Rigsrevisionen og hos Kirkeministeriets it-leverandører.

Ved en bruger forstås en person, som er tildelt et brugernavn og en adgangskode til Kirkenettet.

Ved autorisation forstås kombinationen af et brugernavn og en adgangskode, som giver adgang til Kirkenettet eller et program tilknyttet Kirkenettet.

Ved sikkerhedsansvarlig forstås en person, der har et sikkerhedsmæssigt ansvar for en eller flere brugere og for et eller flere installationssteder. Et instalationssted er en fysisk adresse i institutionen med en datalinje til Kirkenettet og med en eller flere pc’er knyttet til Kirkenettet.

Organisatoriske forhold

§ 3. Afdelingschefen for Kirkeministeriets Personale- og It-Kontor er den øverste sikkerhedsansvarlige for Kirkenettet og tilhørende systemer og herunder for, at der fastsættes retningslinjer for tilsyn med overholdelsen af de sikkerhedsforanstaltninger, der er fastsat.

§ 4. Kirkeministeriets It-Kontor forestår den daglige drift af Kirkenettet og træffer herunder de fornødne tekniske foranstaltninger til opretholdelse og kontrol af sikkerheden i Kirkenettet.

§ 5. Til varetagelse af de sikkerhedsmæssige opgaver i Kirkenettets enkelte dele er udpeget lokale sikkerhedsansvarlige.

Stk.2.  De lokale sikkerhedsansvarlige tildeler, ændrer og fratager brugerne autorisation. De skal desuden sikre, at

- oplysninger ikke misbruges eller kommer til uvedkommendes kendskab   

- lokalerne, hvori der sker behandling af data, er indrettet med henblik på at forhindre uvedkommende adgang til oplysningerne.

Stk. 3. De lokale sikkerhedsansvarlige skal sikre, at brugerne får udleveret dette cirkulære og overholder de heri indeholdte regler og sikkerhedsforskrifter, der gælder for Kirkenettet, og skal påtale, hvis regler og forskrifter ikke overholdes. Hvis en bruger herefter fortsat tilsidesætter de gældende sikkerhedsforanstaltninger, foranlediger den lokale sikkerhedsansvarlige, at Kirkeministeriets It-Kontor straks spærrer den pågældende brugers autorisation.

Stk. 4. En fortegnelse over de lokale sikkerhedsansvarlige fremgår af Bilag 1 til cirkulæret.

Autorisation af brugere

§ 6. Autorisation af nye brugere, ændring af og fratagelse af autorisation for eksisterende brugere iværksættes efter anmodning fra en lokal sikkerhedsansvarlig. Anmodningen fremsendes som angivet i Bilag 2.

Stk. 2. Når en anmodning er ekspederet af autorisationssystemet, sendes det i Bilag 3 indeholdte stamkort til den sikkerhedsansvarlige.

Stk. 3. Brugerens adgangskode udleveres af den sikkerhedsansvarlige sammen med dette cirkulære.

Ved første indlogning på Kirkenettet skal brugeren erklære sig indforstået med, at anvendelsen af Kirkenettet skal ske i henhold til nærværende cirkulære.

Endvidere skal brugeren ved første indlogning ændre adgangskoden, jf. de i § 9 anførte bestemmelser.

§ 7. Ved tildeling af autorisation(er) er det den sikkerhedsansvarliges ansvar, at brugere ikke autoriseres til anvendelser, som de ikke har behov for.

Stk. 2. Den lokale sikkerhedsansvarlige skal, som angivet i § 6 stk. 1, give besked om fratagelse af en autorisation ved ændret arbejdsfordeling, fravær længere end 6 måneder og ved fratræden.

Adgang til og adgangskontrol i Kirkenettet

§ 8. Autorisationen giver brugeren adgang til Kirkenettets postsystem og til intra- og internettet. I postsystemet er brugeren tildelt en personlig postadresse og tilhørende postkasse. I den udstrækning brugeren er tildelt flere autorisationer, er der også adgang til disse andre systemer.

§ 9. Den enkelte bruger skal overholde følgende regler vedrørende adgangskoden:

1) Adgangskoden skal udskiftes efter højst 90 dages brug.

2) Længden af adgangskoden skal være mindst 8 tegn, heraf:
- mindst 1 stort bogstav
- mindst 1 lille bogstav
- mindst 1 ciffer (tal)

3) Brugerens egne navne må ikke indgå i adgangskoden.

4) Adgangskoden kan ikke genbruges ved de næste tre skift.

5) Adgangskoden skal ændres, hvis den kan være blevet kendt af andre.

Stk. 2. Den enkelte bruger har sin egen autorisation. To eller flere medarbejdere må ikke dele autorisation.

Stk. 3. Autorisationen vil blive spærret efter et antal mislykkede forsøg på at indtaste den rigtige adgangskode. Koder, der er blevet spærret eller glemt, vil først kunne benyttes efter henvendelse til It-Kontorets Pc-Support. Hvis Pc-Supporten ikke ved tilbageringning eller på anden måde kan skabe vished for, at det er den rigtige person, der anmoder om at få genåbnet en autorisationskode, kan genåbning kun ske efter skriftlig henvendelse.

Stk. 4 Fra en bærbar kirkenet-pc kan der etableres adgang til Kirkenettet via ”mobil adgang” og en åben internetforbindelse. Reglerne for anvendelse af ”mobil adgang” fremgår af cirkulærets Bilag 8.

§ 10. Ved arbejdet med systemerne må brugeren ved søgninger og opslag alene skaffe sig adgang til oplysninger, som er nødvendige for at kunne udføre pålagte funktioner og opgaver, dvs. oplysninger, som naturligt indgår i sagsbehandlingen/opgaveløsningen.

Adgang til og anvendelse af internettet er dog ikke underlagt denne begrænsning.

Stk. 2. Det er tilladt at anvende e-post og internet til private, ikke-kommercielle formål.

Stk. 3. Såfremt en bruger bliver opmærksom på, at han/hun eller andre har adgang til systemer og/eller oplysninger, som er mere vidtgående, end vedkommende er autoriseret til, skal han/hun straks underrette den lokale sikkerhedsansvarlige eller It-Kontoret.

§ 11. Enhver anvendelse af Personregistrering/CPR, Den elektroniske Kirkebog og/eller CPR-systemet til privat brug er strengt forbudt.

Stk. 2. Alle forespørgsler og databehandlinger i Personregistrering/CPR, Den elektroniske Kirkebog og/eller CPR-systemerne registreres på den enkelte persons autorisation. Denne registrering danner grundlag for udskrift i tilfælde, hvor der er mistanke om misbrug.

De sikkerhedsansvarliges kontrol af brugen af udstyr og programmer

§ 12. For den daglige brug af udstyr og programmer, herunder hvilket udstyr, der må tilsluttes Kirkenettet, gælder Bilag 4: "Vejledning og retningslinjer for brug af programmer og udstyr i Kirkenettet".

Stk. 2. Det indskærpes særligt, at de sikkerhedsansvarlige skal føre tilsyn med, at der

- ikke sker uautoriseret indgreb i det installerede udstyr

- kun tilkobles udstyr, der er godkendt til brug i Kirkenettet

- ikke tilkobles ekstraudstyr, der kræver fysisk indgriben i installeret udstyr

- kun installeres programmer, hvortil der er erhvervet licens.

Stk. 3. De sikkerhedsansvarlige skal sikre, at de rutiner, der er fastsat for sikkerhedskopiering, bliver fulgt, herunder at eksterne lagringsmedier (tapes/bånd, cd-rom m.m.) opbevares under lås.

Stk. 4. Ved mistanke om misbrug kan de sikkerhedsansvarlige hos It-Kontoret rekvirere en benyttelsesstatistik fra Personregistrering/CPR, Den elektroniske Kirkebog og/eller CPR-systemet, der for et brugernavn angiver, hvilke transaktionstyper der har været anvendt, og antallet af gange den enkelte type har været anvendt.

Stk. 5. For edb-installationerne i Kirkeministeriet, stiftsadministrationerne og i It-Kontoret gælder de i Bilag 5 nævnte regler for edb-installationernes udførelse, sikring og sikkerhedskopiering m.m.

Stk. 6.  Det på Kirkenettet godkendte udstyr må ikke tilkobles andre net end Kirkenettet. Dog kan bærbare kirkenet-pc’er tilkobles Kirkenettet via en åben internetforbindelse, når mobil adgang til Kirkenettet er anskaffet, jf. Bilag 8.

Opgaver og regler for It-Kontoret og dets medarbejdere

§ 13. It-Kontoret, der er driftsansvarlig for Kirkenettet, skal have etableret faste arbejdsrutiner til sikring af, at de fornødne sikkerhedsforanstaltninger er implementeret og er virksomme.

Stk. 2. Det skal sikres, at ingen pc kan tilkobles Kirkenettet uden aktivering af programmer, der overvåger og eventuelt installerer nødvendige opdateringer til virusbeskyttelse og andre komponenter, der har betydning for datasikkerheden i Kirkenettet.

Stk. 3. Efter nærmere fastsatte intervaller opsamles tekniske informationer, der bruges til

- kontrol af uautoriserede indlogningsforsøg

- deaktivering af autorisationskoder, der ikke har været brugt i 6 måneder

- overvågning af, at der ikke installeres modemmer

- kontrol af, at pc'er og servere er installeret med de rigtige programversioner.

§ 14. Medarbejderne i It-Kontoret og hos leverandører til Kirkeministeriet har tavshedspligt med hensyn til oplysninger, de i den forbindelse kommer i besiddelse af. Det gælder både i deres opfyldelse af nærværende kontrol- og sikkerhedsforanstaltninger og i deres hjælp til brugerne igennem Brugerservice (P-Support og Pc-Support).

Stk. 2. Det er forbudt at skaffe sig adgang til brugeres arkivområder, dokumenter, postkasser og lignende. Undtaget er dog tilfælde, hvor dette sker efter udtrykkelig aftale med den pågældende bruger, og da alene med det formål at bistå brugeren i tekniske spørgsmål.

Stk. 3. Det er forbudt at registrere brugernes adfærd på internettet, herunder forsøge at skaffe sig oplysning om, hvilke adresser en bruger benytter. Dette gælder også vedrørende en brugers e-post-trafik.

Stk. 4. Såfremt afhjælpning af et teknisk problem afhænger af, at It-Kontoret eller en leverandør får adgang til informationer om, hvilke internet- og/eller e-post-adresser en bruger korresponderer med, skal It-Kontorets chef først give tilladelse hertil. De adresseinformationer, der derved opnås adgang til, skal behandles fortroligt.

§ 15. Der skal regelmæssigt gennemføres kontrol af, at de implementerede sikkerhedsforanstaltninger virker.

Stk. 2. Beredskabsøvelserne skal gennemføres under realistiske forhold. Mindst én gang årligt skal det uvarslet

- af en uvildig instans efterprøves, om Kirkenettet har den fornødne sikkerhed mod uautoriseret indtrængen,

- konstateres, om data og systemer kan genskabes på grundlag af foretagne sikkerhedskopieringer.

§ 16. Mindst én gang årligt skal der foretages en gennemgang af sikkerhedsbestemmelserne med henblik på at sikre, at de er fyldestgørende og afspejler de faktiske forhold i og omkring Kirkenettet.

§ 17. Cirkulæret træder i kraft straks.

Stk. 2. Samtidig ophæves Kirkeministeriets cirkulære af 4. november 2007 om sikkerhedsforanstaltninger i Kirkenettet.
 
Kirkeministeriet den 12. februar 2010

Steffen Brunés
afdelingschef
   
/ Torben Stærgaard
 it-chef