Kiruna kommuns IT-verksamhet

EXAMENSARBETE

NILS-OSKAR SPETT

Säkerhetsanalys av

Kiruna kommuns IT-verksamhet

HÖGSKOLEINGENJÖRSPROGRAMMET Datateknik

Luleå tekniska universitet

Institutionen för Systemteknik • Avdelningen för Datorkommunikation

Sammanfattning

Denna rapport sammanfattar ett examensarbete som utförts hos Kiruna kommun.

Kommunen arbetar med framtagning av en ny IT-säkerhetspolicy och ville då göra en säkerhetsanalys av sin verksamhet. Denna säkerhetsanalys skulle göras utifrån

Krisberedskapsmyndighetens standard Basnivå för IT-säkerhet (BITS).

Informationsinsamlingen har skett via intervjuer av personal på IT-avdelningen samt

platsinspektioner på skolor och serverhall. Dessutom har en enkät skickats ut till alla anställda inom kommunen.

Kiruna kommun klarar överlag de krav som ställdes men behöver åtgärda nedanstående.

 IT-säkerhetspolicyn samt Systemsäkerhetsplanerna måste beslutas och eventuellt revideras.

 IT-säkerhetsinstruktioner behöver upprättas och användas.

 Rutiner för kontoutdelning och behörighet måste beslutas.

 Mer utbildning behövs gällande korrekt dator-, e-post- och lösenordshantering.

 Den fysiska åtkomsten av utrustning på vissa skolor måste åtgärdas.

Abstract

This report is a summary of a thesis made at Kiruna municipality.

The municipality works with the production of a new IT-security policy and wanted to do a security analysis of its activity. This security analysis was done on the basis of

Krisberedskapsmyndighetens Basnivå för IT-säkerhet (BITS). The information gathering was conducted by interviews of personnel at the IT department and on site inspections at schools and server hall. Moreover a questionnaire was sent out to all the employees within the municipality.

Kiruna municipality passes the majority of the requirements set but needs to correct the following items.

 The IT-security policy and the System-security plans must be decided and possibly revised.

 IT-security instructions need to be established and used.

 The routines for account management and authorization must be decided.

 More education is needed concerning correct computer-, e-mail - and password handling.

 The physical access of equipment at certain schools must be addressed.

Förord

Denna rapport är en del av ett examensarbete vid Luleå Tekniska Universitet under

våren/hösten -05. Målet med detta examensarbete var att utföra en säkerhetsanalys av Kiruna Kommuns IT-verksamhet. Detta skulle ske med Krisberedskapsmyndighetens Basnivå för IT- säkerhet (BITS)[1] som grund. De resultat som säkerhetsanalysen kommer fram till kan sedan användas för att utforma en IT-säkerhetspolicy och IT-instruktioner för kommunen.

Kommunen hade redan påbörjat en IT-säkerhetspolicy innan jag började med mitt arbete och lämnade under mitt arbetes gång ett förslag för beslut. Mina resultat kommer sedan att jämföras med den IT-säkerhetspolicyn.

Jag vill tacka handledaren Lars Fernström samt alla anställda vid Kiruna Kommuns IT-

avdelning som har bidragit med värdefull hjälp och expertis. Dessutom vill jag även tacka alla

anställda i Kiruna Kommun som har svarat på den enkät som skickades ut.

Innehållsförteckning

1. Inledning ...- 9 -

1.1 Bakgrund ...- 9 -

1.2 Syfte ...- 10 -

1.3 Mål ...- 10 -

1.3 Begränsningar...- 10 -

2 Teori...- 11 -

2.1 Allmänt om IT-säkerhet ...- 11 -

2.2 Kiruna kommuns IT-miljö ...- 12 -

3 Metod...- 13 -

3.1 Informationsinsamling ...- 13 -

4. Resultat av arbetet ...- 15 -

4.1 Styrande dokument och Utbildning...- 15 -

4.2 Administration och användning ...- 19 -

4.3 Drift och förvaltning...- 27 -

5. Diskussion och Slutsats ...- 39 -

5.4 Diskussion och reflektion...- 39 -

5.2 Vidareutveckling ...- 40 -

5.3 Slutsats ...- 40 -

6. Referenser ...- 43 -

Bilaga 1 – E-post-inbjudan till enkät...- 45 -

Bilaga 2 - Enkätundersökning...- 46 -

1. Inledning

1.1 Bakgrund

Säkerhet på arbetsplatsen har alltid varit en viktig faktor som företag, kommuner och andra förvaltningar tvingats att se över. Säkerhet spänner över ett brett område och kan innefatta allt från hjälmar i gruvor till anti-virus skydd i datorer. Datorer används numera på så gott som alla arbetsplatser. Detta innebär att säkerheten måste utvidgas till att innefatta även

elektronisk säkerhet.

I december 1996 föreslog Överstyrelsen för Civil Beredskap att alla datasystem skulle klassas med en gemensam grundnivå för säkerhet. Detta förslag vidareutvecklades och blev ett tillägg i beredskapsförordningen som kungjordes den 26 juni 1997. Tilläget är § 22a och lyder

En beredskapsmyndighet som i sin verksamhet under höjd beredskap är i behov av elektronisk informationsbehandling ansvarar för att dator- och kommunikationssystemet uppfyller

sådana säkerhetskrav att myndighetens uppgifter kan utföras på ett tillfredställande sätt.

(SFS 1997:640)

För att man skulle tolka de råd och lagar som stod i Beredskapsförordningen paragraf 22a utvecklade Överstyrelsen för Civil Beredskap en rapport, Föreskrifter och Allmänna råd enligt 22: a paragrafen (FA22)[2] i beredskapsförordningen. Detta dokument utkom första gången i mars månad 1998 och behandlar de pappersmässiga och fysiska krav som ställs för att uppnå denna grundnivå i säkerhet. Man utgår från de säkerhetsplaner och dokumentationer som behövs vid administrationen för att senare i rapporten gå in på de fysiska krav som ställs.

Där ingår bland annat låsta dörrar, elförsörjning och säkerhetskopiering. För Sveriges beredskapsmyndigheter är dessa regler obligatoriska, men dessa regler är endast

rekommendationer för kommuner, landsting samt kris- och krigsviktiga företag (K-företag).

I december 2003 gav Krisberedskapsmyndigheten ut en egen rapport med namnet Basnivå för IT-säkerhet (BITS)[1]. Det som skiljer BITS från FA22 är att BITS ger en enklare förklaring och konkretare exempel på de regler som måste uppfyllas för att nå den basnivå som nämns i paragraf 22a i beredskapsförordningen. BITS vägleder myndigheter och företag från det att man utvecklar de säkerhetsplaner och dokument som krävs, till administration, drift och fysiskt skydd. För att göra genomförandet enklare medföljer mallar och dataprogram där myndigheterna/företagen kan mata in sina uppgifter och på så vis få hjälp med de planer och dokumentationer som behöver göras.

I och med de nya rekommendationerna ville Kiruna Kommun genomföra en säkerhetsanalys

av sitt system för att se om det uppfyller de rekommendationer som ställs i BITS. Det är

således denna publikation som jag har utgått ifrån som grund för mitt examensarbete.

1.2 Syfte

Syftet med detta examensarbete var att undersöka om Kiruna kommuns IT-verksamhet uppfyller de krav som ställs i BITS.

1.3 Mål

Målet med detta projekt var att med BITS som grund gå igenom Kiruna kommuns IT-

säkerhet. Denna genomgång skulle kartlägga vilka områden som är godkända enligt BITS och vilka brister eller fel som behöver åtgärdas.

1.3 Begränsningar

Under planeringen tillsammans med Kiruna kommun framkom det att vi inte hade tillräckligt med tid för att gå igenom hela BITS-häftet. Därför bestämde vi oss för att göra en mer grov bedömning och inrikta oss på vissa specifika delar. Det som intresserade kommunen mest var de hot och brister som skulle kunna komma inifrån. Med andra ord de egna användarnas kunskaper och eventuella brister. Kommunen ansåg att en ökning inom detta skulle ge mest för den totala säkerheten. Därför beslutade vi oss för att arbeta med nedanstående tre delar.

 Styrande dokument och Utbildning

Från denna del valde vi att inrikta oss på de styrande dokument och den utbildning som måste finnas för att kunna uppnå de krav som ställs i BITS basnivå. Dessa

dokument berör hela organisationen, såväl användare som administration, ledning och drift.

 Administration och användning

Här valde vi att inrikta oss på vad som är korrekt administrering och hantering av administratörskonton och vanliga användare, till exempel vem som har behörighet att göra vad på systemet och hur denna behörighet skyddas. En stor del av skyddet innefattar korrekt lösenordshantering. Med andra ord är det den interna säkerheten som behandlas här. Det vill säga de eventuella brister som en användare eller administratör har.

 Drift och förvaltning

I den avslutande delen var målet att behandla de risker som finns mot själva systemet

och hur eventuella incidenter ska behandlas. Först gäller det angrepp mot mjukvaran

som virus eller e-post attacker och hur dessa bekämpas för att senare gå över till den

fysiska delen av systemet. Den fysiska delen innefattar skydd för infrastrukturen och

då speciellt de servrar som används. Bland dessa fysiska skydd finns skalskydd, det

vill säga hur själva lokalerna är skyddade med till exempel låsning och brandskydd,

strömförsörjning och reservkraft för driften. Det innefattar även säkerhetskopiering i

fall något havererar samt en brandvägg som skyddar det interna nätet från angrepp

utifrån.

2 Teori

2.1 Allmänt om IT-säkerhet

IT-säkerhet definieras enligt BITS som:

De delar av begreppet informationssäkerhet som avser säkerheten i den tekniska hanteringen av information som bearbetas, lagras och kommuniceras elektroniskt samt administrationen kring detta. (BITS)

Generellt finns det tre grundaspekter inom IT-säkerhet.

 Sekretess: Att obehöriga ej kommer åt sekretesskyddad information.

 Riktighet: Att informationen skyddas från oavsiktlig eller obehörig förändring.

 Tillgänglighet: Att informationen/tjänsten finns tillgänglig för behörig part.

Man pratar även om följande punkt

 Spårbarhet/Oavvislighet: Att en del eller alla aktiviteter som utförs på ett system skall kunna spåras till en användare. Detta medför att berörd part omöjligen kan förneka om information har skickats eller tagits emot.

Vad innebär då dessa principer i verkligenheten?

 Väl genomtänkta lösenord som i första hand bidrar till att bibehålla sekretessen men även riktigheten för den aktuella informationen.

 Uppdaterade program och operativsystem bidrar till högre säkerhet inom de tre aspekterna genom att blockera och täppa igen kända säkerhetshål och brister. Då säkerhetshålen blir blockerade kan utomstående inte komma åt din information lika lätt vilket leder till ökad sekretess och riktighet. Även tillgängligheten bevaras då det inte är lika lätt att utestänga dig från den information du behöver.

 Ett fungerande och uppdaterat anti-virus skydd ökar säkerheten på samma sätt som i punkten ovan.

 En rätt konfigurerad brandvägg kan öka säkerheten med avseende på de tre

aspekterna. Sekretess och riktighet uppnås genom att brandväggen skyddar din dator och din information från attacker utifrån. Även tillgänglighet kan till viss del uppnås med en brandvägg då du med rätt inställningar kan välja vilken trafik eller information som kan skickas mellan din dator/nätverk och omvärlden.

Ovanstående förslag är en början vid säkerhetsarbete på företag, förvaltningar eller enskilda användare. Dessa förslag ger inte ett heltäckande skydd, för även om ett system har

högklassig utrustning spelar det ingen roll om användaren inte kan hantera den på rätt sätt.

Ett vanligt system har olika sorters incidenter under sin livstid. Det kan vara allt från en användare som glömt sitt lösenord till en illasinnad person som har upptäckt ett säkerhetshål.

Det sker en konstant utveckling av mjukvara och hårdvara vilket kan medföra nya

säkerhetshål eller virusattacker. Dessa säkerhetsrisker måste åtgärdas för fortsatt bra säkerhet

och drift. Den enda 100 % säkra datorn är en avstängd dator.

2.2 Kiruna kommuns IT-miljö

Kiruna kommun har i dagsläget hand om IT-miljön på kommunens skolor, förvaltningar och dess bolag.

2.2.1 Struktur

Kommunens nät är uppbyggt med fiber inom centrala Kiruna samt till vissa knutpunkter ute i de olika byarna. Ute på de olika arbetsplatserna är det vanlig TP-kabel tillsammans med switchar men det finns även kvar hubbar på vissa platser. De kvarvarande hubbarna är planerade att bytas ut. Nätet är uppdelat i olika domäner beroende på om det är skolor, förvaltningar eller kommunala bolag. All trafik går via några centrala servrar i en serverhall.

Någon enstaka by har fortfarande kvar sin lokala server för snabbare åtkomst.

2.2.2 Datorer

Skolorna har cirka 1100 arbetsstationer och förvaltningen och bolagen har cirka 500. Totala antalet datorer är alltså cirka 1600. Det finns cirka 85 servrar som har hand om dessa

arbetsstationer.

Majoriteten av datorerna är vanliga arbetsstationer men det finns även så kallade tunna

klienter där alla uträkningar och processer körs på de centrala servrarna. Det finns även planer på att byta ut flertalet datorer till tunna klienter för att förenklar administrationen och driften.

Operativsystemet för arbetsstationerna är Windows XP och med några få undantag Windows 2000.

2.2.3 Användare

Alla användare som finns inom kommunens IT-system är antingen anställda eller elever på kommunens skolor. Antalet användare är cirka 1600 anställda och 2000 elever det vill säga totalt cirka 3600 användare. En väldigt stor del av användarna använder datorn dagligen i sitt arbete. Detta kan vi se på figuren nedan som visar svaren på fråga 1 från den enkät som skickades ut. Denna enkät skickades endast ut till de anställda inom kommunen. I avsnitt 3.1.3 behandlas enkätens syfte och utformning.

Fig 1. Resultat från enkätundersökning fråga 1.

3 Metod

3.1 Informationsinsamling

Detta examensarbete har använts sig av flera olika metoder för informationsinsamling och dessa behandlas inom detta kapitel.

3.1.1 Litteratur

Den litteratur som har använts inom detta examensarbete är BITS [1]. De dataprogram och dokumentmallar som följer med BITS har inte använts. Dessa ansågs inte tillföra något konstruktivt på grund av dåligt formulerade frågor.

3.1.2 Intervjuer

För att få information om hur kommunens IT-miljö är uppbyggd och få svar på en del av de krav som ställs i BITS har ett antal intervjuer skett med ansvarig personal på kommunens IT- avdelning. Dessutom har en del frågor ställts till de ansvariga på de skolor som undersökts.

3.1.3 Enkät

Enkäten (bilaga 2) är utformad för att kunna kartlägga de interna hot som systemet kan utsättas för. Frågorna är konstruerade för att kunna mäta användarnas säkerhetskunskap och hur datorerna används.

Enkätens grundutformning gjordes av mig och efter genomgång med IT-avdelningen gjordes några små förändringar. Enkäten består av 11 frågor som kan delas in i fyra delar. De två första frågorna behandlar användning av datorn och eventuell utbildning som användaren anser sig fått. Frågorna 3-7 är den största delen och behandlar lösenordshantering och struktur. Därefter behandlas tillträde till mjukvara och fysisk utrustning i frågorna 8 och 9.

Den sista delen, frågorna 10 och 11 innefattar e-post hantering och oönskad e-post.

För att få den bästa pålitligheten och riktigheten valde vi bort elevanvändarna och skickade endast ut enkäten till de anställda på kommunen. Eleverna valdes bort då vi ansåg att majoriteten av eleverna inte skulle svara seriöst på enkäten. Efter diskussion med IT- avdelningen valde vi att skicka ut ett e-postmeddelande (bilaga 1) med en länk till enkäten.

Valet att använda ett e-postmeddelande och länk var att det passade bäst in på den tid vi hade att tillgå. För enkäten och sammanställningen av svaren användes programmet QuestBack som utför undersökningar av olika slag.

Nackdelen med en enkät kan vara att man ej får tillräckligt många användare att svara.

Intervjuer hade gett ett bättre resultat men tagit alltför lång tid.

3.1.4 Platsinspektion

För att kunna undersöka det fysiska skydd som krävs enligt BITS kom jag och IT-avdelningen överens om att platsinspektioner var nödvändiga. Eftersom kommunen är stor till ytan valdes vissa platser bort då detta skulle innebära onödigt mycket restid. Då större delen av

kommunens användare tillhör de olika skolorna valde vi att platsinspektera de centrala skolorna. En platsinspektion på skolorna gick till på ett sådant sätt att jag först gick runt och kontrollerade om det fanns några synliga fel för att sedan kontakta systemansvarige på den aktuella skolan och be om en rundtur. De frågor som ställdes var hur strukturen såg ut på skolan. Det vill säga var alla switchar eller hubbar inlåsta och välmarkerade för att underlätta felsökning och underhåll.

Det skedde även en platsinspektion på den centrala serverhallen. De frågor som ställdes där

gällde inte bara låsning utan även larm, brandsäkerhet, elförsörjning och klimat.

4. Resultat av arbetet

De resultat som redovisas nedan har generellt delats upp i tre delar.

 Styrande dokument och Utbildning

 Administration och användning

 Drift och förvaltning

Varje del består av två stycken. Det första stycket sammanfattar och redogör för vad som står i BITS och det andra stycket visar en jämförelse med den faktiska situationen inom

kommunen.

4.1 Styrande dokument och Utbildning

För varje organisation, företag eller arbetsplats ska det finnas styrande dokument som

innehåller de regler och förordningar som gäller för systemet. Då jag i detta arbete utgår ifrån BITS standard finns det tre övergripande dokument. Dessa dokument är:

 IT-säkerhetspolicy

 Systemsäkerhetsplan

 IT-säkerhetsinstruktioner

4.1.1 IT-säkerhetspolicy

Detta är det mest övergripande dokumentet som organisationen utgår ifrån när det gäller IT- säkerheten. En policy ska klart och tydligt redogöra för organisationens mål, framtidsplaner, riktlinjer och engagemang gällande IT-säkerhet. Då flertalet av dessa mål eller framtidsplaner kan vara svåra att genomföra under en kortare tid väljer man oftast att skriva för ett längre tidsperspektiv. Om man till exempel har som mål att bli ledande inom säkerhet för

kommunerna under de kommande tre åren är det dumt att skriva en policy som bara sträcker sig över två år.

BASNIVÅ

IT-säkerhetspolicyn ska:

 Fastställas av organisationens ledning och dokumenteras.

 Fastställa fördelningen av ansvaret för IT-säkerheten inom organisationen och beskriva de olika rollerna.

 Fastställa riktlinjer för områden som är av särskild betydelse för organisationen.

Här följer några konkreta exempel kring de övriga delarna i en policy. Framtidsplaner kan

innefatta sådana saker som val av bärbara eller stationära datorer vid nya inköp. När det gäller

riktlinjer är det mer regler för användning som gäller, bland annat när man ska man kunna

logga in eller vad får man göra med en arbetsdator. Om det inte finns ett engagemang som

kan uppehålla de mål eller riktlinjer som har beslutas spelar det ingen roll hur bra system eller

policy man har. En policy är bara en bit papper om den inte efterlevs.

Kiruna Kommun

Eftersom det är en kommun jag har arbetet med har politiken en stor och framträdande roll när det gäller att besluta vid ärenden som påverkar hela organisationen. För närvarande finns det ett förslag till IT-säkerhetspolicy men den är inte politiskt beslutad i skrivande stund.

Förhoppningsvis kommer det ett politiskt beslut under våren 2006. Då detta förslag har tillkommit sent under min undersökning har jag inte haft tid och möjlighet att jämföra den med BITS.

4.1.2 Systemsäkerhetsplan

För att organisationen ska kunna fungera på ett tillfredställande sätt när det gäller IT-säkerhet krävs det att man utformar systemsäkerhetsplaner för alla viktiga system inom verksamheten.

Detta görs genom att man kartlägger hur olika system är beroende av varandra, vilken information som hanteras och kommunikationen både internt och externt till andra system.

BASNIVÅ

En systemsäkerhetsplan ska:

 upprättas för varje IT-system som bedöms viktig för verksamheten.

 fastställas av systemägaren och dokumenteras.

 utpeka vem som är systemägare.



innehålla de samlade kraven på säkerhet som ställs på IT-systemet.

Det är här man stöter på de tre viktiga aspekterna, sekretess, riktighet och tillgänglighet som beskrevs tidigare i rapporten. Man måste kunna lita på att bara behöriga användare kommer åt de olika systemen, att informationen är korrekt samt finns tillgänglig när den behövs. Då man utformar dessa planer skall man kontrollera att man följer gällande lagar. Viktiga i detta sammanhang är till exempel personuppgiftslagen och sekretesslagen. Om man hanterar särskilt känslig information som till exempel inom socialtjänsten måste man även ta hänsyn till dessa speciallagstiftningar och föreskrifter.

När det gäller hot kan man inte bara inrikta sig på hot utifrån utan även angrepp inifrån. Det kan gälla avsiktligt eller hanteringsfel, vid olyckor eller den mänskliga faktorn.

Kiruna kommun

Då systemsäkerhetsplanerna ska utgå ifrån IT-säkerhetspolicyn som inte är beslutad ännu

utgår IT-avdelningen från hur systemet är uppbyggt och används i nuvarande läge. Det finns

systemsäkerhetsplaner och drifthandböcker till alla viktiga system som kommunen handhar, i

dagsläget cirka 25 stycken. Vid förändring i systemet eller vid beslut om IT-säkerhetspolicyn

måste systemsäkerhetsplanerna genomgås och möjligen revideras. Efter införandet av den nya

IT-säkerhetspolicyn kommer endast mindre förändringar i de nuvarande planerna behöva

göras för att möta de nya besluten.

4.1.3 IT-säkerhetsinstruktioner

I dessa instruktioner redovisar man de olika regler som gäller för användare, förvaltning och driften. Exempel på detta kan vara hantering av e-post eller vilka platser eller webbsidor man får besöka.

BASNIVÅ

 Det ska finnas dokumenterade, av ledningen beslutade IT-säkerhetsinstruktioner.

 IT-säkerhetsinstruktion ska finnas för:

- användare - förvaltning - drift Kiruna Kommun

För närvarande finns det inga beslutade regler utan man har berättat om vad man anser att användaren bör veta och hur denne ska agera. Regler och riktlinjer för användande av datorer kommer att tillkännages så snart som IT-säkerhetspolicyn är beslutad av politikerna. Inte heller regler för drift och förvaltning är politiskt beslutade men man har utgått ifrån vad som skall gälla för att det skall fungera i dagsläget.

4.1.4 Utbildning

En organisation måste ha en säkerhetsnivå som alla använder. Det är här utbildning kommer in i bilden. För att kunna tillgodogöra sig den information som finns i de olika dokumenten, IT-säkerhetspolicy och IT-säkerhetsinstruktioner, måste man utbildas. För att man ska få en bra utbildning och kunna bibehålla kunskapen är det viktigt att man redogör för anledningen bakom besluten och inte bara ren fakta.

BASNIVÅ

 Utbildningsinsatser inom IT-säkerhet ska genomföras regelbundet.

 All personal ska få information om innehållet i organisationens IT-säkerhetspolicy samt om IT-säkerhetens betydelse för verksamheten.

Kiruna Kommun

IT-avdelningen har inte någon arrangerad utbildning som de kör med jämna mellanrum för

den gemene användaren. I dagsläget ligger ansvaret hos de olika förvaltningarna att de

anställda utbildas så att de känner till de regler som råder vid användning av de olika

verksamhetssystemen. Även denna utbildning får en genomgång när IT-säkerhetspolicyn

beslutats. För att se om de olika förvaltningarna genomför någon utbildning togs det med en

fråga om utbildning i den enkät som skickades ut. Resultatet ser ni på följande sida

Fig 2. Resultat från enkätundersökning fråga 2.

Det man kan utläsa från denna graf är att endast hälften av de svarande anser att de har fått en

utbildning i korrekt datorhantering. Detta innebär en säkerhetsrisk då alla användare inte vet

hur man hanterar en dator. Då alla svar från denna enkät är anonyma är det svårt att veta vilka

avdelningar som utbildar sin personal.

4.2 Administration och användning

Detta område berör hur ett system administreras och vilka regler som gäller för användning av systemet för administratörer och användare. Detta innefattar bland annat

behörighetshantering, loggning och lösenordshantering.

4.2.1 Administration och behörighetshantering

Administrationens syfte är att på ett enkelt och genomtänkt sätt bestämma vem som har rättigheter inom systemet samt genomföra det praktiska som krävs för att genomföra besluten.

Det är vanligt att man delar in organisationens system i mindre delar för att göra det enklare att utföra underhåll och administrativa åtgärder.

BASNIVÅ Administration

 Det ska finnas en rutin för tilldelning, uppföljning och uppdatering av behörighet.

 Behörighetsrutinen ska dokumenteras.

 Systemägaren ska fastställa vem som har rätt att besluta om behörighet.

 Beslut om behörighet ska dokumenteras och sparas.

 Borttagning av behörighet som upphört att gälla ska ske inom en vecka.

Administratör

 Endast utsedda administratörer ska kunna registrera, förändra eller ta bort användares åtkomsträttigheter.

 Det ska finnas utsedd personal i reserv och eventuella reservrutiner för hantering av behörighet.

 Behörighetsregister ska endast vara åtkomligt för utsedd administratör.

 Systemadministratörer/-tekniker ska alltid ha individuella användaridentiteter.

Användare

 Före tilldelning av behörighet ska användare ges tillräckliga kunskaper om:

- de IT-säkerhetsinstruktioner som generellt gäller för IT-verksamheten, Däribland korrekt lösenordshantering.

- de instruktioner som gäller för den specifika arbetsuppgiften.

Administratörens vanligaste roll är att ha hand om den praktiska delen av arbetet och överlåta bestämmandet över vem som ska ha tillgång och behörighet till enhetschefen eller

systemägaren. Dock sker det alltför ofta att systemägaren också är administratör. Detta ska man försöka undvika. Om den ordinarie administratören inte går att få tag på är det viktigt att man har en eller flera reserver som kan utföra arbetet.

Det är viktigt att endast behöriga användare finns i system för att på så sätt minimera risker

för intrång. Därför rekommenderar BITS att man ska göra en genomgång av användarregistret

varje år och ta bort gamla eller obehöriga användare. Eftersom man lätt glömmer att logga ut

eller låsa datorn när man lämnar rummet bör man ha en automatisk låsning av datorn efter tio

minuter och den kan bara låsas upp med ett lösenord.

Kiruna Kommun

Det system som kommunen använder är uppbyggt på ett antal olika domäner beroende på vilken del av systemet man arbetar med. Man har planer på att sammanföra de olika

domänerna för att underlätta administrationen och underhållsarbetet. Man håller även på att införa Microsofts Active Directory. I nuvarande uppbyggnad finns det 4-5 administratörer per domän som har rätt att registrera användare och ändra behörigheter. För varje system som kommunen har finns det 2-3 systemadministratörer som har hand om driften. Om ordinarie systemadministratörer inte är tillgängliga finns det reserver som kan hoppa in temporärt och det finns även ett tredje led som har grundläggande kunskap och kan vägledas via telefon om det skulle vara akut. Att ett flertal användare kan agera administratörer kan vara både positivt och negativt då det ger en hög möjlighet om något måste ändras men det ger även en ökad säkerhetsrisk.

När man jämför de rekommendationer som BITS föreslår, som rutin vid användarregistrering och behörighet, med den faktiska situationen hos kommunen är resultatet nedslående. Det har skett att en användare ringer till IT-avdelningen och berättar att han eller hon behöver en användare eller behörighet, vilket i enstaka fall har beviljats. Detta är IT-avdelningen

medveten om och arbetar med att lösa detta problem. Som det har nämnts tidigare i rapporten skall säkerhetsinstruktioner och rutiner tas fram och beslutas så fort IT-säkerhetspolicyn är politiskt beslutad.

Användarregistret gås igenom årligen och konton som har varit flaggade som inaktiva i ett år eller mer raderas. Att inaktivera obehöriga konton ställer krav på att de personer som har rättighet att besluta om användarkonton håller sig ajour om vilka konton som är aktiva och vilken behörighet som krävs. Att denna rapportering ska ske inom en vecka efter avslutat arbete ser bra ut på papperet men är i praktiken svårt att åstadkomma.

4.2.2 Loggning

Loggning är något som sker för att man ska kunna undersöka och säkerhetsställa vad som har hänt eller vem som har gjort vad vid en eventuell incident.

BASNIVÅ

 Det ska finnas en säkerhetslogg som sparar användaridentitet, in- och utloggning med datum och tidpunkt.

 Systemägaren ska bestämma:

- Vad som ska loggas.

- Hur det ska loggas.

- Vem och när analysering av loggarna ska ske.

När det gäller loggar är det upp till systemägaren att bestämma vad som ska loggas och hur de

ska ses över. Det viktigaste är en säkerhetslogg som registrerar en användaridentitets in- och

utloggning med datum och tid. På så sätt kan man se vem som har varit inne vilken tid och

möjligen se vad han/hon har gjort. Även här måste man jämföra hur mycket man vill logga

kontra hur mycket man förväntas få ut av det hela. För att loggarna ska fylla någon sorts

funktion måste man bestämma hur de ska ses över, med ett viss tidsintervall eller endast vid

incidenter.

Kiruna Kommun

Kiruna kommun har tre sorters loggar: System, applikation och säkerhet. System och säkerhetsloggarna innefattar bland annat vem som har loggat in med datum, tid och plats.

Applikationsloggen är vilka applikationer eller program som användaren har kört under den inloggade tiden. Dessa loggar genomgås regelbundet men vid incidenter eller liknande genomsöks de noggrant. Loggarna sparas minst ett år.

4.2.3 Distansarbete

En annan viktig aspekt som man bör tänka på är om man skall tillåta distansarbete. Om detta skall tillåtas måste regler och förordningar dokumenteras om vad som gäller vid användning av organisationens systemresurser utanför det interna nätet.

BASNIVÅ

 Beslut om eventuellt distansarbete ska finnas.

 Vilka regler och utrustning som krävs vid distansarbete.

Kiruna Kommun

För närvarande finns det två sorters distansarbete inom kommunen. Dessa är direktkontakt via

specifik telefonlinje till intranätet och kontakt via en VPN-tunnel. När det gäller direktkontakt

är det endast 4 användare som har tillgång till detta och VPN-tunnel används enbart av 4-5

inom administrationen. I praktiken kan man säga att distansarbete inte finns för den gemene

användaren men man undersöker olika lösning som skulle kunna inbära distansarbete i

framtiden. De lösningar som undersöks för tillfället är PortWise och Microsofts Active

Directory. Det enda som den vanliga användaren kan komma åt utifrån är sin e-post.

4.2.4 Lösenordshantering

Lösenord är en mycket viktig del inom IT-säkerhet då nästan allt skyddas med just lösenord.

Visst finns det system som kräver fingeravtryck, irisavkänning eller liknande men då kostar det också. Vad anser då BITS om lösenord.

BASNIVÅ

 Ett lösenord ska innehålla minst 8 tecken.

 Lösenordet ska vara en blandning av bokstäver, siffror och specialtecken.

 Systemägaren bestämmer inom vilket tidsintervall byte av lösenord ska ske.

För det första ska alla användare ha en unik användaridentitet och ett lösenord som bara de känner till. Det ska bestå av minst 8 tecken och vara en blandning av bokstäver, siffror och specialtecken. Varför är då 8 tecken en bra bas? För att ge ett exempel om ett lösenord innehåller bara siffrorna och längden är tre tecken ger det oss en valmöjlighet på 10x10x10=1000 alternativ. Om vi förlänger lösenordet till 8 tecken ger det oss 10^8=100000000 alternativ. Som ni ser ökar alternativen drastiskt om vi förlänger ett

lösenord. Om vi använder alla bokstäver, siffror och specialtecken blir lösenordet i exemplet ovan 94x94x94=830584 och med längden 8 tecken blir det ungefär 94^8=6.095e15. Om vi hade en dator som testar 100 000 lösenordskombinationer i sekunden skulle det ta ca 1931 år att prova alla alternativ.

Det är nu man måste göra en avvägning. Ska man ha ett lösenord som är svårt att komma ihåg vilket innebär en lösen med risk att det skrivs upp eller ska man nöja sig med ett kortare som är enklare att komma ihåg men mindre säkert. Lösenord skall bytas enligt tidsintervall bestämt av systemägaren. Tre felaktiga inloggningsförsök ska accepteras inom en 6- timmarsperiod och därefter låsas. Upplåsning kan endast ske med säker och giltig identifikation.

Kiruna Kommun

Till varje aktivt konto finns det ett lösenord. Det finns dock inga skriftliga regler som redogör för hur ett lösenord måste se ut. Vid skapandet av ett användar- eller administratörskonto används ett unikt användarnamn och ett lösenord. Vid första inloggning skall användaren tvingas att byta lösenord men så sker dock inte för tillfället. Lösenord är personligt därför är det viktigt att användaren själv väljer det. Att så är fallet framgår också av svaren på fråga 3

”Har du valt ditt lösenord själv”.

Fig 3. Resultat från enkätundersökning fråga 3.

Som diagrammet visar är det hela 86,1 % av de svarande som angett att de valt sitt lösenord själv. Detta borde egentligen vara 100 % men de resterande 13,9 % kanske tycker att det är svårt att komma på ett eget lösenord och använder istället det lösenord som administratören angivit vid skapandet av kontot.

Då ett lösenord enligt BITS skall vara minst 8 tecken långt ger svaren på fråga 4 ”Hur långt är ditt lösenord (antal tecken)” ett nedslående resultat.

Fig 4. Resultat från enkätundersökning fråga 4.

Där är det hela 49,3 % av de svarande som endast använder 0-5 tecken i sina lösenord. Om vi tittar på de andra svarsalternativen är det 45,6 % som har 6-8 tecken och endast 5 % som har fler än 8 tecken. Då svarsalternativ 2 innefattar 6-8 tecken är det lite svårt att säga hur många det är som ligger på gränsen av 8 tecken. Tyvärr ger resultatet en nedslående bild då flertalet ligger under den rekommenderade gränsen.

Även när det gäller hur ett lösenord är uppbyggt hamnar vi under den rekommenderade gränsen som fråga 5 ” Innehåller ditt lösenord bokstäver, siffror och/eller specialtecken? (tex

%´&)” visar.

Fig 5. Resultat från enkätundersökning fråga 5.

56,3 % använder endast bokstäver och 41,8 % använder bokstäver och siffror i sina lösenord.

Detta medför att endast 1,9 % uppfyller BITS krav på att ett lösenord skall innehålla en blandning av bokstäver, siffror och tecken.

Efter att enkäten tagit upp längd och uppbyggnad tyckte jag det passade med en fråga om hur länge ett lösenord används innan det byts ut. Detta blev fråga 6 ” Hur ofta byter du ditt lösenord? (Antal dagar)”.

Fig 6. Resultat från enkätundersökning fråga 6.

Resultatet från denna fråga blev ungefär vad jag hade förväntat mig med sina 57,9 % på aldrig alternativet. Dock blev jag förvånad över att det vara hela 14 % som byter lösenord varannan månad. Denna grupp kanske tillhör de arbetsplatser som kräver högre säkerhet till exempel socialtjänsten och sjukvården.

Även fråga 7 ”Har du samma lösenord till inloggning på din dator och till E-post (GroupWise) ?” redovisade ett förvånande resultat.

Fig 7. Resultat från enkätundersökning fråga 7.

Det vill säga att hela 57,9 % har olika lösenord till själva användaren och till sin e-post.

Om man mot förmodan skulle skriva in fel lösenord så är det bara att försöka igen.

Kommunen har bestämt att man har upp till 20 chanser att skriva rätt innan kontot låses.

Denna regel stämmer inte så bra överens med BITS rekommendation om endast tre felaktiga

inloggningar inom ett 6 timmars intervall. Då en stor del av kommunens användare är

skolungdomar kan det ge merarbete för administrationen om denna regel skulle införas men

det finns inget belägg för detta antagande. Om ett konto har låsts kan det endast öppnas av en

administratör vilket också BITS rekommenderar.

För att se om användare låser sin arbetsstation eller loggar ut när användaren lämnar sitt arbetsrum fanns även en sådan fråga med på enkäten. Detta var fråga 8 ”Loggar du ut eller låser datorn varje gång du lämnar ditt rum?”.

Fig 8. Resultat från enkätundersökning fråga 8.

Som vi ser här är det strax under hälften, nämligen 48,5 % som låser eller loggar ut när de lämnar sitt arbetsrum.

Det finns ingen tidsbegränsning när en användare får vara inloggad, men inloggning kan

endast ske på den domän som kontot tillhör, samt att lokaler är låsta och larmade kvällar,

nätter och helger.

4.3 Drift och förvaltning

Varje system måste förvaltas på rätt sätt för att kunna fortsätta vara i drift. Vad behövs för att skydda systemet mot skadlig kod eller direkta fysiska attacker? Detta är några av de hot som behandlas i detta kapitel.

4.3.1 Skydd mot skadlig programkod

När man pratar om skadlig kod menar man en kod- eller programsnutt som kan orsaka skada på IT-systemen. Den vanligaste formen av skadlig kod är olika sorters virus. Detta skydd mot skadlig kod måste stå i relation till hur mycket skada ett angrepp kan göra på IT-systemet.

Beslutet i detta fall måste vara både pengamässigt och resursmässigt försvarbart.

BASNIVÅ

 Systemägaren ska utifrån bedömd risk för angrepp av skadlig programkod vidta nödvändiga åtgärder.

 Det ska finnas skydd mot skadlig programkod som ska:

- minst omfatta detektering av sådan.

- uppdateras minst en gång i veckan.

- startas automatiskt.

 Rätten att installera nya program, programversioner eller att importera externa filer ska regleras och dokumenteras.

Ett korrekt utformat system mot skadlig programkod har fyra stycken huvuduppgifter

 Förebygga mot smitta.

 Upptäcka eventuell skadlig kod.

 Förhindra spridning av smitta.

 Återställa eventuellt smittat system.

Inga program kan garantera ett komplett skydd mot skadlig kod då nya typer av virus och annan kod upptäcks kontinuerligt. Det finns flera olika sorters program som är utformade mot skadlig kod. Vissa program identifierar enbart skadlig kod och lämnar åtgärderna upp till den ansvarige medan andra program både identifierar, tar bort och reparerar smittade filer eller system.

Man kan stoppa eventuell smitta redan innan den har kommit in i system genom att ha kontroll över vilka program som tillåts inom IT-systemet. Om man begränsar rätten att installera program eller importera filer kan man på ett enkelt sätt skydda sig mot eventuella angrepp av skadlig kod. Ett slutet system som inte tillåter kommunikation har därför inte lika stora krav på sig gällande skydd. Denna begränsning kan även ha sina nackdelar då det inte går att arbeta på samma sätt som till exempel skicka och ta emot e-post. Då skadlig

programkod är ett relativt stort problem är det viktigt att man installerar program som skydd

mot detta på flera olika ställen inom IT-miljön.

Programmen som ska skydda kan man dela in i två typer

 Aktivt skydd.

 Passivt Skydd.

Det som skiljer dessa två åt är att det aktiva skyddet startas automatiskt och kontinuerligt kör sökningar efter skadlig kod eller liknande aktiviteter medan det passiva skyddet måste

aktiveras manuellt eller vid specifika tidpunkter. Det aktiva skyddet läser ofta igenom det filer som används för tillfället eller importeras. Det passiva skyddet går igenom alla de filer som man har bett programmet att läsa. Det är rekommenderat att man kör det passiva skyddet minst en gång i veckan för en fullständig genomgång av de filer man har inom systemet.

Flertalet av de program som finns på marknaden idag innehåller båda sortens skydd. Vanliga arbetsstationer körs oftast med båda typer av skydd. Innan en bärbar eller ny dator kopplas in på nätet är det rekommenderat att en kontroll sker, så att den nya datorn inte har med sig någon oönskad information eller kod.

Kiruna Kommun

I och med att så gott som alla datorer som kommunen har är kopplade till Internet har man valt att installera antivirusprogram på varje enskild dator. Antalet datorer som kräver

uppdatering dagligen med nya virusdefinitioner har gjort att man har lagt själva uppdateringen centralt. Den centrala servern kontrollerar dagligen om nya virusdefinitioner har släppts. En enskild dators antivirusuppdatering sker på följande sätt:

1. Vid inloggning på en dator kontrolleras den virusdefinition som finns på datorn mot en central server.

2. Om den aktuella virusdefinitionen som finns på datorn är gammal skickar den centrala servern ut den nya definitionen.

3. Den nya definitionen installeras och uppdatering är slutförd.

Denna kontroll körs varje gång en användare loggar in på en dator. Om en användare enbart skulle låsa datorn eller inte logga ut vid dagens slut medför detta en säkerhetsrisk. En

automatisk utloggning är under införande vilket motverkar denna risk. Det antivirusprogram som kommunen använder har både ett aktivt skydd och ett passivt skydd. De aktuella

programmen kan identifiera och blockera kända virusangrepp, förhindra att de sprids vidare och om möjligen återställa smittade filer. Om en fil inte kan återställas sätts den infekterade filen i karantän. Det vill säga att all läsning eller skrivning av filen blockeras. På så sätt förhindrar man ytterligare smittspridning.

Om en utomstående dator skulle försöka logga in på nätverket skickar den centrala servern ut en kontroll för att se om den nya datorn har ett antivirusprogram samt den nyaste

virusdefinitionen som finns tillgänglig. Detta sätt har visat sig fungera bra då antalet

virusangrepp har minskat sedan den centrala lösningen har införts.

4.3.2 Incidenter

Varje organisation har ofta en eller flera incidenter under organisationens levnadstid. Dessa incidenter kan bero på ett internt eller externt intrång, intrångsförsök, felaktig användning av resurserna eller helt enkel vanlig otur. För att man sak kunna täppa till de brister som finns inom organisationen är det viktigt att man följer upp de olika incidenter som inträffat för att på så sätt hitta bristerna. Det är därför viktigt att det finns riktlinjer som bestämmer hur en incident ska hanteras.

BASNIVÅ

Rutiner ska finnas fastlagda för hur:

 användare ska agera vid misstanke om intrång.

 incidenter ska hanteras.

 uppföljning av incidenter ska ske.

Kiruna Kommun

Om en användare vet eller tror sig veta att ett intrång eller angrepp har skett kan denne kontakta kommunen via ett telefonnummer eller e-post adress för rapportering om misstanke.

Vid en mottagen rapport behandlar IT-avdelningen angreppet eller intrånget enligt de regler och föreskrifter som har bestämts. I en rapport ska det finnas datum och klockslag samt från vilken plats eller avdelningen rapporten har inkommit.

4.3.3 E-post

E-post är ofta en självklarhet inom ett IT-system. Därför är det viktigt att tänka på hur den ska hanteras.

BASNIVÅ

Det ska finnas dokumenterade regler för:

 vilken information som får skickas med e-post.

 filöverföring via e-post som minst omfattar viruskontroll av meddelanden och bifogade filer.

För att kunna kartlägga vilka säkerhetsåtgärder som behövs bör man analysera vilka hot som finns och vad dessa innebär. De vanligaste hoten mot e-post är

 Avlyssning.

 Hindra meddelandet från att komma fram.

 Modifiering av innehållet.

 Modifiering av avsändaren.

Ett meddelande kan förhindras att komma fram till exempel på grund av Denial of Service attack (DoS) vilket innebär att meddelandet inte kan komma fram för att det kommer för mycket trafik samtidigt. Dessutom kan ett meddelande avlyssnas eller modifieras.

Ovanstående attacker kan leda till felaktig information som i sin tur kan leda till felaktiga beslut och ageranden.

E-post är en mycket stor smittohärd när det gäller spridning av virus eller annan skadlig programkod. Det är därför viktigt att all e-post kontrolleras av de program man har för identifiering och neutralisering av skadlig programkod. I dagsläget finns det ingen helt säker hantering av e-post. Det enda man kan använda är kryptering och digitala signaturer för att motverka de kända hoten mot e-post.

Kiruna Kommun

All e-post som går via kommunens servrar kontrolleras mot virus innan de skickas vidare. Det finns även ett filter som kontrollerar och tar bort vissa kända filer som vanligen är inblandade i virusspridning. Exempel på dessa filer har filändelsen .bat eller .exe. Dessa suspekta filer tas då bort och ett meddelande läggs till som säger att en bifogad fil har tagits bort och om man vill se den får man kontakta IT-avdelningen.

För att se hur användaren sovrar bland sin e-post fanns det en fråga på den utskickade enkäten, nämligen fråga 10 ”Öppnar du all e-post du får?”.

Fig 9. Resultat från enkätundersökning fråga 10.

Enligt resultatet öppnar 37 % all sin e-post vilket kan vara både bra och dåligt. Det som är dåligt med detta beteende är att mycket virus sprids via e-post och på så vis blir dessa

användare en eventuell säkerhetsrisk. Den positiva sidan är att man kan vara relativt säker att

just din e-post öppnas. I och med säkerhetsrisken med e-post valde vi även att fråga hur

mycket okänd eller oönskad post som användarna anser att de får per vecka.

Detta blev fråga 11 på enkäten ”Hur mycket e-post per vecka får du från avsändare du inte känner igen, t.ex. reklam?”

Fig 10. Resultat från enkätundersökning fråga 11.

Som vi ser på resultatet anser 85,2 % att de får 0-14 meddelande per vecka vilket i sig är lågt med tanke på hur hög andel oönskad post som cirkulerar.

Kiruna kommun har valt att inte skicka känslig information via e-post eftersom det är ett

osäkert medium.

4.3.4 Tillträdesskydd

All känslig information eller utrustning som är kritisk för IT-systemets drift och underhåll skall vara inlåst och både in- och utpassering loggas. Detta görs för att på ett enkelt sätt kunna bestämma vem som varit i kontakt med utrustningen i fall en incident eller olycka skulle inträffa.

BASNIVÅ

 Beslut om tillträde till datorrum ska fattas av systemägaren.

 Tillträde ska regleras.

 För utrymme med känslig information eller kritiskt för drift ska gälla - Tillträde registreras och sparas.

- Obemannade utrymme ska låsas.

- Service-, städ- eller annan personal ska ges tillträde då det krävs men skall ske under bevakning.

Kiruna Kommun

Det största fysiska skydd som finns är tillträdesskydd. Det vill säga väggar, låsta dörrar och/eller låsta skåp. Då kommunen har väldigt många datorer och annan

datakommunikationsutrustning har man valt att begränsa tillgången till datorer och utrustning utan att för den delen förhindra för de arbetande att utföra sina uppgifter.

Majoriteten av alla datorer finns antingen i specifika datorsalar på skolorna, på arbetsrum för lärare eller andra arbetande inom kommunen. Denna majoritet har en låst dörr in till sina datorer men det finns även en antal publika datorer som inte har någon form av tillträdesskydd förutom själva byggnaden. Med publika datorer menas att de står uppställda längs en korridor eller en specifik datorhörna till exempel ett skolbibliotek. För att se hur många som anser att de delar sin dator med andra svarade användare på fråga 9 ”Har fler än du tillgång till samma dator?” i enkäten.

Fig 11. Resultat från enkätundersökning fråga 9.

På denna fråga svarade 55 % att de delar dator. Detta beror på att många användare är lärare eller andra som arbetar inom samma grupp. Om det finns flera användare per dator kan det bidra till en säkerhetsrisk om inte alla följer de regler som gäller.

Skolorna bidrar med många användare och därför ansåg vi att en platsinspektion var av intresse. Då det finns många skolor inom Kiruna kommun kunde jag inte platsinspektera alla.

De skolor jag besökte hade överlag bra säkerhet. Inträdesskyddet på de skolor jag besökte ser ut enligt följande (beteckningen innanför parenteserna avser vilka årskullar som skolan har):

 Raketskolan (1-6): Huvudswitchen är inlåst i ett rum samt har ett låst dataskåp. Tre andra switchar finns utplacerade på skolan. Dessa finns 3-3,5 meter upp på väggen utan något skåp.

 Bergaskolan (1-9): Har endast en låst dörr till huvudswitchen.

 Bolagsskolan (1-9): Huvudswicthen är inlåst i ett rum och har ett låst dataskåp resterande är endast inlåst bakom dörrar.

 Lombolo skola (1-9): Huvudswitchen har vanligt låst skåp som endast IT-avdelningen har nyckel till. Resterande switchar finns uppsatta oskyddade på väggar.

 Luossavaaraskolan (1-9): Låsta skåp i korridor 3 meter upp. Det finns även ett rum som enbart IT-avdelningen har nyckel till.

 Högalidskolan (1-9): Det finns en switch inlåst. Alla lärare har tillgång till det rummet. Resterande är hubbar som finns i grupprum och liknande.

 Hjalmar Lundbohmsskolan (Gymnasium): Alla switchar har minimum en låst dörr och ett dataskåp som är låst. Vissa skåp finns bakom flera låsta dörrar.

Av dessa skolor behöver kommunen se över Raketskolan och Lomboloskolan då dessa har utrustning utan något skydd.

När det gäller känslig information som servrar eller liknande finns det en stor serverhall för kommunens IT-kommunikation. På några enstaka platser finns det servrar ute på arbetsplatsen men dessa är under avveckling då det medför en enklare och billigare administration och underhåll om man har alla på samma plats. Serverhallens inträdesskydd ser ut på följande sätt.

 Själva byggnaden som serverhallen finns i har låsta dörrar som är larmade under kvällar, nätter och helger. Då behövs det inpasseringskort med personlig kod samt en kod för att stänga av larmet.

 För att sedan komma in i själva serverhallen krävs det inpasseringskort med personlig kod samt kod för deaktivering av larmet som är på dygnet runt. Detta gäller för både in och utpassering.

 All in- och utträde loggas.

 All eventuell städning sker av IT-avdelningen.

Vid ett eventuellt larm finns det flera myndigheter eller organisationer som larmas beroende

på när larmet sker. Dessa är Räddningstjänst, Securitas samt Polis/Beredskap.

4.3.5 Elförsörjning

Varje dator eller elektronisk utrustning kräver någon form av elförsörjning. Viss utrustning kräver avbrottsfri elförsörjning då dessa kan vara vitala för att ett system ska fungera på rätt sätt. Det kan även vara så att en arbetsuppgift inte kan slutföras vilket kan leda till stora förluster eller skador. De större systemen brukar ha olika former av elförsörjning.

BASNIVÅ

 IT-utrustning som kräver avbrottsfri elförsörjning ska identifieras och utrustas.

 UPS-utrustningen ska testat regelbundet enligt leverantörens anvisningar.

Om det finns utrustning som kräver en avbrottsfri elförsörjning utrustas denna med UPS (Uninterruptible Power Supply). Denna utrustnings uppgift är till för att man ska kunna stänga av ett IT-system utan att information går förlorad eller tills det att reservkraften kan startas.

Nätverksservrar och routrar är några exempel som kan kräva avbrottsfri elförsörjning. Då UPS eller annan elförsörjning endast är temporär är det viktigt att dessa inte överbelastas utan endast det mest nödvändiga är inkopplat. Testning av dessa system bör ske regelbundet.

Kiruna Kommun

Då nästan all information går via servrarna i serverhallen är det av yttersta vikt att denna har den ström som krävs. Serverhallen har därför utrustats med en UPS som räcker 5-8 minter om ett strömavbrott skulle inträffa. Det finns även ett dieselaggregat som sätter igång så fort strömmen går men eftersom det tar tid innan den kan producera ström körs UPS:en först. All annan IT-utrustning som finns ute på de olika skolorna eller arbetsplatserna har enbart den vanliga strömmen att tillgå. UPS:en samt dieselaggregatet testas en gång varje kvartal av byggnadsförvaltaren för att se att de fungerar och kan producera ström.

4.3.6 Klimat

Då datorer och elektronisk utrustning utgör en kostsam investering är det viktigt att

utrustningen kan användas under en längre period. För att underlätta och förlänga den tid som en server kan vara operativ är det viktigt att man har en viss sorts klimat som är anpassat för datorer och elektroniks utrustning.

BASNIVÅ

 Datordriftlokalen ska vara eldbeständigt både in- och utvändigt samt fritt från onödigt brännbart material.

 Det ska finnas kolsyresläckare i direkt anslutning till kritisk dator- och kommunikationsutrustning.

 Brandbesiktning ska ske i samråd med brandförsvaret.

 Brandlarm ska kopplas till larmmottagare och testats regelbundet.

 Det ska finnas möjlighet att kontrollera och reglera temperatur och fuktighet.

 Om vatten eller ånga kan infinna sig ska det finnas fuktskydd.

Då datordriftlokalen ofta har hög grad av inbrottsskydd som till exempel betongväggar och ståldörrar är det viktigt att den uttryckande parten är väl insatt i utformningen av lokalen för snabb åtkomst. Om ett larm utlöses är det viktigt att mottagningsplatsen för larmen är under ständig bevakning för snabb uttryckning. Då all elektronik är mycket känslig mot eld och rök bör det finnas någon form av automatiskt släckningsanordning.

Kiruna Kommun

Utöver den vanliga värme och luftkonditioneringen som finns på olika skolor och arbetsplatser har serverhallen följande extrautrustning.

 Eldbeständiga väggar i fall en eldsvåda skulle bryta ut.

 Både automatisk och manuella brandsläckare. Man använder Halon då vanliga släckare inte fungerar när det gäller elektriska apparater.

 Kylaggregat som kontrollerar och reglerar temperatur och luftfuktigheten i serverhallen.

 Slingor i golvet i fall någon form av vätska skulle komma in.

 Larmutrustning som larmar ifall någon av dessa extrautrustningar över- eller understiger det acceptabla gränser som bestämts.

4.3.7 Säkerhetskopiering och lagring

Vid en eventuell olycka är det viktigt att det finns säkerhetskopior på det man arbetar med.

Dessa kopiors uppgift är att minimera förlust och snabbt komma i drift igen.

BASNIVÅ

 Systemägaren ska besluta och dokumentera:

- vilken information som ska omfattas av säkerhetskopiering.

- intervallen för kopiering.

- hur många generationer säkerhetskopior som ska finnas.

- hur säkerhetskopior ska förvaras.

- om vissa säkerhetskopior ska förvaras på plats geografiskt skild från driftstället.

 Systemägaren ska besluta om och när kontroll av säkerhetskopiornas läsbarhet ska genomföras och detta ska dokumenteras.

 Systemägaren ska fastställa vilken information, lagrad på datamedia, som ska omfattas av särskilda förvaringsrutiner så att den inte kan läsas av obehöriga.

 Åtgärder som ska vidtas för att säkra att informationen är läsbar under hela förvaringstiden ska dokumenteras.

 För datamedia ska finnas regler för:

- förvaringstid för datamedia.

- klassning av datamedia.

- hur datamedia ska märkas och förtecknas.

 Datamedia, med för verksamheten väsentlig information, ska förvaras i skåp som är

konstruerade för ändamålet.

För att få en acceptabel lösning vid ett eventuellt fel är det viktigt att säkerhetskopiering sker regelbundet och att detta beslutas av systemägaren. Hur ofta en kopiering ska ske beror på hur viktigt det är med aktualiteten av den sparade informationen. Då ett komplett kopieringsystem kostar mycket pengar är det väldigt vanligt att man kör en gemensam säkerhetskopiering för flera IT-system. Man måste då utgå ifrån det system som har de högsta kraven.

Det finns flera olika sätt för säkerhetskopiering. De två vanligaste är fullständig kopiering och som namnet antyder kopieras allt vid varje körning. Det andra är förändringskopiering som enbart säkerhetskopierar de ändringar som har gjorts sedan förra körningen. Man brukar även prata om flera olika generationer när det gäller säkerhetskopiering. När man pratar om en generation är det hur mycket tid som har gått sedan föregående kopiering. Vanliga generationer är dags-, vecko-, månads- samt årsvis kopiering. Det är inte alltid alla

generationer behövs men det är upp till systemägaren att bestämma vilka man vill satsa på.

All information som skapas är inte lika viktig. Därför måste man göra något som kallas klassa informationen. Detta innebär att man värderar den information som skapas. Som exempel kan vi jämföra sjukhusjournaler mot en enskild persons privata e-post. Visst kan de privata e- posten vara viktiga men om en sjukhusjournal försvinner kan det innebära liv eller död för en patient.

Återskapning underlättas genom att man har en gemensam och specifik märkning för varje säkerhetskopiering. Om en återskapning av en tidigare säkerhetskopiering inte kan göras kan det spela en stor roll för det aktuella IT-systemet. Det är därför viktigt att man kontrollerar att säkerhetskopiorna går att återställa med bestämda intervall. Vid lagring av säkerhetskopiorna är det viktigt att lagringsplatserna följer de bestämmelser och lagar som gäller vid lagring av media.

Kiruna Kommun

Kiruna kommun använder sig av bandmaskiner för säkerhetskopiering och lagring. Varje natt sker en säkerhetskopiering och varje fredag en fullständig säkerhetskopiering. Man har bestämt inom IT-avdelningen för att använda två olika sorter för olika delar. När det gäller skolorna används differentiell säkerhetskopiering. Denna metod säkerhetskopierar allt som skiljer sig från senaste fullständiga säkerhetskopiering. Resterande delar av kommunen använder inkrementell säkerhetskopiering. En inkrementell säkerhetskopiering lagrar enbart den information som har ändrats sedan en fullständig säkerhetskopiering eller en inkrementell kopiering. Om en säkerhetskopiering sker på onsdag är skillnaden att inkrementell kopiering sparar skillnaden mellan tisdag och onsdag, medan differentiell kopiering sparar skillnaden mellan fredag och onsdag.

Den sista fredagen i varje månad plockar man ur systemets om arkiveras som en månadskopia. Årets sista månadskopiering arkiverar man som en årskopia.

Detta sätt att säkerhetskopiera ger oss alltså fem olika generationer av säkerhetskopiering nämligen dags-, vecko-, månads- och årsvis säkerhetskopiering. Om någon säkerhetskopia skulle haverera eller utsättas för sabotage kan man på så sätt minimera förlusten av

information.

För närvarande är det ingen skillnad på klassning av informationen det vill säga man gör ingen skillnad när det gäller vad som ska kopieras och inte. En klassning som däremot sker är den information som måste hanteras enligt vissa särskilda lagar och förordningar. Märkning av säkerhetskopiering sker på ett sådant sätt att man enkelt ska kunna plocka ut den backup man är intresserad av. När det gäller lagringstiden för säkerhetskopiering av e-post har man bestämt den till ett år.

4.3.8 Brandvägg

Brandväggen styr och kontrollerar vilken datakommunikation som tillåts till och från verksamheten och har därför en mycket viktig och central roll. Allt ska gå igenom

brandväggen för att få bästa möjliga säkerhet. Då brandväggen ofta är gemensam för flera olika system är det viktigt att de olika systemägarna samråder om hur den ska konfigureras och underhållas. En brandvägg tillåter endast trafik enligt de regler som har beslutats..

BASNIVÅ

 Det ska finnas en brandväggsfunktion installerad.

 Brandväggen ska vara den enda kanalen för IP-baserad datakommunikation till och från organisationen.

 Ansvaret för administration av brandväggen ska dokumenteras.

 Brandväggens utformning och konfiguration ska dokumenteras.

 Brandväggen ska vara försedd med skydd mot skadlig programkod.

 Systemägaren ska besluta (IT-säkerhetsinstruktion, förvaltning):

- vad som ska loggas i brandväggen.

- vem som ansvarar för uppföljningen av loggarna.

- hur ofta uppföljning ska ske.

- hur länge loggarna ska sparas.

Kiruna Kommun

En brandvägg kräver mycket underhåll och kunskap och därför har Kiruna kommun valt att anlita ett utomstående företag för underhåll och drift av brandväggen. Den person på IT- avdelningen som har hand om själva datorkommunikationen har med hjälp av sina kollegor satt upp vissa regler som ska gälla för den utrustning som går genom brandväggen. Dessa regler har vidarebefordrats till den utomstående anlitade aktören. Den anlitade aktören kan utforma och lägga till de regler som behövs av säkerhetsskäl. All loggning som sker i brandväggen behandlas av den anlitade aktören som sedan vid speciella tillfällen ger en sammanfattning tillbaka till kommunen. Vid allvarligare incidenter granskar även

kommunens IT-avdelning loggarna från brandväggen för att utröna vad som har skett samt

vem eller vilka som ligger bakom incidenten. Om stora attacker eller säkerhetshål uppdagas

meddelas detta självklart till kommunen.

5. Diskussion och Slutsats

Här redovisar jag mina tankar och reflektioner kring detta arbete samt avslutar med mina slutsatser.

5.1 Diskussion och reflektion

Då detta projekt har varit av undersökande art har det största problemet varit att begränsa sig och komprimera all den information som finns inom ämnet.

Det mest intressanta i detta examensarbete var den enkät som skickades ut. Om vi tittar på figuren nedan som är en sammanställning av enkäten ser vi att antal svar är relativt lågt.

Quest title Enkätundersökning - Datorsäkerhet

Start date 20.04.05 00:00

End date 04.05.05 00:00

Unqiue respondents 380 Email invitations 1634

Email responses 380

Total responses 380

Response rate 23 %

Export date 07.06.05 09:18

Fig 11. Enkätsammanställning

Jag var medveten om att enkäter ofta inte får hög svarsfrekvens, men hade hoppats på en svarsfrekvens på 35 %. I och med att antalet svar blev så lågt vill jag se resultatet mer som en antydan än ett statistiskt resultat. Varför det blev så lågt kan ha flera olika anledningar. Den vanligaste anledningen är att folk inte känner att de har tid att svara på en enkät som inte intresserar dem.

En annan anledning kan vara att en enkät är svår att svara på. Denna anledning försökte jag undvika genom att endast använda få och färdiggjorda svarsalternativ samt att de svarande kunde kontakta mig via telefon eller e-post vid eventuella frågor. Utifrån de frågor jag fick via min e-post var fråga 8 ”Loggar du ut eller låser datorn varje gång du lämnar ditt rum?”

svårast att förstå. Några enstaka frågade även hur de skulle göra vid lösenordsfrågorna om de hade fler än ett lösenord. För att få en bättre bild av vilka institutioner eller förvaltningar som behöver förbättra sin säkerhet eller användas som förebild kan enkäten utökas med fler frågor.

Exempel på en sådan fråga kan vara att användaren får markera på vilken förvaltning eller skola som han eller hon tillhör. Ett problem som kan uppstå om man utökar frågorna på enkäten är att svarsfrekvensen sjunker då det tar längre tid att svara på enkäten. Även frågor som gör att man kan identifiera användaren kan minska svarsfrekvensen då användaren inte längre känner sig anonym.

Inför de platsbesiktningar som jag gjorde trodde jag att det skulle vara mycket mer fel och

brister än det egentligen var.