Velkommen til 3. forelesning i emne IN5080 sikkerhets- og risikostyring denne første delen DEL 3A
fokuserer på personopplysningsloven og innebygd personvern neste del 3B fokuserer på vurdering av
personvernkonsekvenser også kalt dpia data protection Impact assessment generelt kan man si at
personvern er noe mer enn bare beskyttelse av informasjon i grunnlovens paragraf 102 står det at
enhver har rett til respekt for sitt privatliv og familieliv sitt hjem og sin kommunikasjon via
personvern Mens personopplysningsvern er noe mere spesifikt Den skal beskytte aspekter ved
informasjon som kan NOTE
relateres til fysiske personer Dette kalles også personinformasjon for eksempel forhindre
urettmessige innsamling og oppbevaring av personinformasjon forhindre urettmessig bruk av denne
informasjon sørge for at også informasjon er korrekt sørge for at de registrerte har innsyn Det vil
si det kan vi skal vite hvilke opplysninger som lagres og behandles og det er viktig at det er god
informasjon sikkerhet rundt lagring og behandling av personifikasjon og det er krav om klare roller
rundt behandling av personinformasjon Dette er bare websiden fra lovdata som viser nettopp
personopplysningsloven eller en kalles offisielt lov om behandling av personopplysninger det er
altså basert på NOTE Treffsikkerhet: 90% (HØY)
gdpr General data protection regulation så på norsk heter personvern forordning personvern
forordningen og fordi det er en forordning så man kan bare oversettes direkte til norsk fra
opprinnelige språk engelsk i EU trotte personvern forordningen i kraften 25 mai i 2018 mens i Norge og
resten av EØS i kraft et par mådneder senere 20.jul 2018 Den sier at brudd på gdpr personopplysningsloven kan medføre bøter på opptil
20 millioner euro eller 4% av omsetningen til det foretaket og for store foretak som Facebook eller
Google så er 4% prosent av omsetningen betydelig mer enn bare 20 millioner NOTE Treffsikkerhet: 89% (HØY)
Euro så strafferammen eller sanksjonsrammen er drakonisk jeg ekstremt høye bøter potensielt
hvert land har direktiv som i Norge heter datatilsynet jeg nevnte at loven er basert på gdpr som er
oversatt til norsk og Den inneholder 99 artikler i denne forelesningen Skal vi spesifikt se på
artikkel 5 prinsipper for behandling av personopplysninger artikkel 25 om innebygd personvern
artikkel 32 om sikkerhet ved behandlingen og artikkel 35 som fokuserer på vurdering av
personvernkonsekvenser også kalt DPIA NOTE Treffsikkerhet: 89% (HØY)
så sier loven at man kan ha den behandlingsansvarlige kan oppnevne personvernombud og ved betydelig
behandling av personopplysninger som må de oppnevne personvernombud NOTE Treffsikkerhet: 90% (HØY)
så kan spørre seg Hva er det personopplysningsloven egentlig skal beskytte og mange tenker kun at det
er sikkerheten rundt selve informasjon men det er altså ikke bare En krenkelse av personvern kan
skje selv om selve sikkerheten og så konfidensialitet integritet og tilgjengelighet er godt
ivaretatt hvis for eksempel informasjon om personer er feil og hvis man ikke har fått samtykke Den
som behandler personopplysninger ikke har innhentet samtykke fra de registrerte så altså
personopplysningsvern er mye mer enn bare informasjonsikkerhet. Og sånn risikopolitisk
risiko politikk som vi snakket med i forrige forelesning NOTE Treffsikkerhet: 91% (HØY)
så er det en grunn til at man har personopplysningsloven fordi brudd på personvern Det kan medføre
personlig belastning uønsket oppmerksomhet forskjellsbehandling og diskriminering identitetstyveri
og bedrageri rett og slett økonomisk tap skade på ditt omdømme tape fortrolighet for konfidensiell
informasjon og uautorisert oppheving av pseudonymisering eller anonymiserte data eller andre
økonomiske og sosiale ulemper Så dette er viktig der en politisk grunn for å ha
personopplysningsloven NOTE Treffsikkerhet: 91% (HØY)
Hva er altså en personopplysning Det er veldig mange ting Det kan være relatert til din fysiske
eller din offisielle identitetsnummer sivil status osv kontakt informasjon som adresse epost og så
videre finans informasjon inntektsskatt og gjelde og kontoutskrifter aktivitet det Hva du driver med
hobbyer studier hva du handler hva du søker på og pseudonymiserte opplysninger som eksempel kvinne
43 år liker å strikke har Sibirkatt og jobber i offentlig etat har to barn hvis dette er for eksempel i En
liten kommune som vil kanskje de fleste kunne gjette med en gang Hvem Dette er så pseudonymisert
opplysninger kan gjøres til identifiserbare opplysninger NOTE Treffsikkerhet: 91% (HØY)
det skal man være klar over kommunikasjonsteknologi personvern adresse ip-adresse SMS så videre Det
er personopplysninger og til slutt særlige kategorier helseopplysninger fagforeningsmedlemskap hva
man mener politisk Hvilken religion man har seksuell orientering osv Det er særskilte kategorier som
har spesiell behandling i gdpr over til artikkel 5 og den er en god oversikt over hva dette dreier
seg om det sier bare at personopplysninger skal behandles med lovelighet rettferdighet og åpenhet
nokså vagt men likevel punkt B formålsbegrensning Det er veldig konkret og det sier NOTE Treffsikkerhet: 92% (HØY)
at man skal kunne samle inn å behandle personopplysninger for spesifikke formål og ikke mer Og da går man inn på punkt
C skal altså minimere innsamling og behandling av data til formålet til det som er nødvendig for
formålet det man samler inn og behandler og naturligvis være riktig Man skal ikke lagre
personopplysninger lengre enn nødvendig for formålet og til slutt F så må personopplysninger
lagres og behandles med informasjonssikkerhet for å sikre konfidensialitet og det er den behandlingsansvarlige som har
ansvaret for alle disse ting nå over til artikkel 25 som fokuserer på såkalt innebygd personvern
og personvern som standard innstilling så begrepet innebygd personvern kan være virke litt vagt NOTE Treffsikkerhet: 92% (HØY)
men det betyr generelt at man skal ta hensyn til prinsippene fra artikkel 5 altså hovedprinsippene i gdpr for all
planlegging design implementering forvaltning drift av Systemer som behandler personopplysninger da
er det innebygd og standard innstilling det betyr at hvis det er frihet til å konfigurere systemer
så skal standardkonfigurasjonen i utgangspunktet være så konservativ som mulig DVS den skal samle
inn minst mulig informasjon for nødvendig formål men det kan da endres ved samtykke av de registrerte for
eksempel men standardinnstillingen skal være så begrenset og konservativ som mulig over til NOTE Treffsikkerhet: 91% (HØY)
til 32 sikkerhet ved behandlingen Det er det vi tenker på ved informasjonsikkerhet der står det for at det skal
gjennomføres egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet i
forhold til risiko Dette er helt klart en tradisjonell risikobasert informasjonsikkerhet og da kan man si man
skal for eksempel pseudonymiserte kryptere person opplysninger han skal sørge for vedvarende
fortrolighet det er da konfidensialitet integritet og tilgjengelighet og robusthet i
behandlingssystemet og tjenestene og evne til å gjenopprette hvis det skjer noe feil og man skal
teste å analysere hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er så man
skal vurdere risikoen og egnetheten av sikkerhetstiltak NOTE Treffsikkerhet: 91% (HØY)
Dette er tradisjonell informasjon sikkert Så over til artikkel 35 som fokuserer på vurdering av
personvernkonsekvenser eller på engelsk data protection Impact assessment så da sier de i
tilfelle behandlingen vil medføre såkalt høy risiko for fysiske personers personvernsrettigheter og
friheter da skal den behandlingsansvarlige foreta en vurdering av Hvilke konsekvenser den planlagte
behandlingen vil ha for personopplysningsvernet dette betyr å foreta en DPIA så den
behandlingsansvarlige skal rådføre seg med personvern ombudet er som jo er ansatt i foretaket til
som er den behandlingsansvarlige for gjennomføring av DPIA og NOTE Treffsikkerhet: 93% (HØY)
er ikke alltid Man må gjennomføre en dpia det er kun hvis man ser det er en betydelig risiko men
det er spesielle tilfeller hvor man må gjennomføre DPIA og det er hvis det er en systematisk og
omfattende behandling av persondata hvis det behandles særlige kategorier det var de kategoriene jeg nevnte
særlige kategorier spesielt sensitive kategorier eller punkt C Hvis det er systematisk overvåkning i
stor skala av et offentlig område altså kamera da Skal gjennomføres DPIA det er mange roller i
forbindelse med gdpr og her er hovedrollene altså Den registrerte Det er personvern, deg og meg personpopplysninger om oss
blir altså samlet inn av den behandlingsansvarlige NOTE Treffsikkerhet: 90% (HØY)
som heter data controller på engelsk men den behandlingsansvarlige kan altså outsorce handlingen selve
behandlingen til en underleverandør som da heter databehandlere engelsk data processor for at det
skal kunne skje så må den behandlingsansvarlige og databehandleren sette opp en databehandleravtale som
setter rammer og ansvar og forpliktelser for utvekslingen og behandlingen av personopplysningene og
det kan være et personvernombud som er ansatt hos den behandlingsansvarlige men som også kan være
ansatt hos databehandleren Personvernombudet skal gi råd om behandlingen av personopplysninger NOTE Treffsikkerhet: 91% (HØY)
enten det er til den behandlingsansvarlige eller råd til databehandler øverst i dette diagrammet så står
datatilsynet som er det norske data protection authority deres rolle er å foreta tilsyn hos
behandlingsansvarlige eller databehandlerorganisasjoner og hvis de finner klare brudd på
personopplysningsloven så kan de gi bøter dette er altså hovedrollene i gdpr tilbake til personvernombudet
gir råd til den behandlingsansvarlige eller til databehandleren om forpliktelser som
virksomheten har etter personvernloven så alle virksomheter kan ha personvernombud man skal ha person NOTE Treffsikkerhet: 89% (HØY)
vernombud når behandlingen utføres av en offentlig myndighet så kommuner og stat som behandler persondata skal
ha personvernombud hvis databehandlingen har en art eller omfang eller formål som krever regelmessig og
systematisk monitorering i stor skala eller hvis foretaket som behandler informasjon deres
hovedvirksomhet faktisk er å behandle personinformasjon i stor skala av særlige kategorier i henhold til denne
artikkel om sensitive opplysninger eller opplysninger knyttet til straffedommer da skal de ha
personvernombud Så over til det med innebygd personvern og som han kaller deg inn NOTE Treffsikkerhet: 89% (HØY)
bygd informasjonsikkerhet som Da er paragraf paragraf 25 i gdpr eller personopplysningsloven og der
har datatilsynet gitt ut en veileder for hva det betyr å sørge for innebygd personvern som de kaller
det programvareutvikling med innebygd personvern som har da 7 elementer i seg som vi raskt skal gjennomgå
Det er det viktig at de ansatte har kompetanse så hvis nødvendig så må man sørge for opplæring i
personvern og informasjonssikkerhet NOTE Treffsikkerhet: 91% (HØY)
så målet er altså at de berørte ansatte som jobber med dette De skal ha basiskunnskap forståelse for
personvern informasjonssikkerhet og risikoen for dette Så man må vite hvorfor personvern og informasjonssikkerhet av viktig og at man
har kriterier for personvern og hvordan man skal implementere innebygd personvern og kriterier
for hva som er nødvendig kompetanse så neste punkt når man spesifiserer nye løsninger så skal man sette
krav til systemet og til behandlingen da må man klart definere Hvilke personopplysninger som skal samles inn
og behandles Hva skal man bruke det til DVS Hvilke slutninger som skal man trekke om individer for
eksempel NOTE Treffsikkerhet: 89% (HØY)
Hvem er brukere og eiere av personliginformasjon altså det er databehandleren som forsåvidt
eier informasjon for de samler inn i men den personinformasjonen er også om de registrerte så og hvem
skal bruke informasjonen det kan være databehandleren eller det kan være også tredjeparter hvis man får samtykke
så kan man også sende personopplysninger videre til tredjepart man må klart definere hvem som
er den behandlingsansvarlige og databehandler og disse to rollene kan faktisk blandes og En
skyleverandør som i utgangspunktet skal være en databehandler kan defineres også som en
behandlingsansvarlig hvis de har sine egne formål for behandlingen av informasjonen Da skal de
definere klart NOTE Treffsikkerhet: 89% (HØY)
hvem som er tredjeparts mottakere av personlig informasjon Man skal definere Hvilke opplysninger som
har skal samle inn Hvor mye og hvor lenge det skal lagres og hvem som skal ha tilgang Man skal sørge for
åpnet til de registrerte og man skal sørge for å implementere adekvat informasjonsikkerhet
adekvat sikkerhetstiltak for beskyttelse av personopplysninger så når man designer informasjonssikkerheten så
må man sørge for å bygge systemet slik at man samler inn minde opplysninger enn nødvendig eller så lite som
nødvendig mente jeg for eksempel hvis man leger en webside hvor brukere skal registrere seg så er det ikke Fritt
Fram å bare samling men så mye som mulig da Skal man tenke gjennom Hva trenger vi NOTE Treffsikkerhet: 91% (HØY)
virkelig og be om av opplysninger og når informasjonen skal produseres så kan man bygge applikasjoner og
programmoduler som henter inn fra lagret personopplysninger alt som kanskje lagret selv om
det Kanskje prosesseringen kun trenger en liten del av dette og det vil være feil så må sørge for å
minimere av innhenting av personopplysninger for selve prosesseringen og om mulig så skal man sørge
for at de forskjellige prosessene kun ser et utvalg av personopplysningene så separere behandlingen
slik at ikke all behandlingen behandler alle formasjon samtidig og personvern som standard
innstilling DVS konfigureringen skal være konservativ som standard NOTE Treffsikkerhet: 92% (HØY)
Så dette er designkrav og videre når man designer systemet, dette er tradisjonell informasjonssikkerhet så skal man se på angrepsflaten og se på mulige trussler og gjøre en
trusselmodelleringvurdere trusselscenario Og sørge for å implementere adekvate sikkerhetstiltak i
henhold til de truslene og den risiko og man ser altså sikkerhetsrisiko dette er tradisjonell design
sikker design og implementering av systemer og når man koder systemet så er det Også prinsipper for sikker koding hva skal man når man
implementere biblioteker og så videre så skal man vurdere trussel trusler og sårbarheter for NOTE Treffsikkerhet: 89% (HØY)
nettopp bibliotekene og de modellene som henter inn og bruker og implementere og vurdere sårbarheter og
angrepsflater I selve programmet du lager Og der er det applikasjonsikkerhet som gjelder altså sikkerhet på applikasjonsnivå det betyr altså for å hundre SQL injections og
cross side scripting alle disse tingene og sørge for at typiske sårbarheter er fjernet eller redusert i
tilstrekkelig grad også er det testing av systemene man har implementert så skal man teste om man har virkelig
tatt hensyn til mulige trusler og fjernet sårbarheter Så dette er da for eksempel å (inadible) testing gjennomgang av mulige trusselscenarioer og se om det går ann å gjennomføre et trusselscenario NOT Treffsikkerhet: 89% (HØY)
Ja dette var litt av det jeg nevnte nettopp verifisere at de trusselscenarioene som han beskrev i
designfasen virkelig er håndtert og når man koder så kan det hende man har innført nye sårbarheter Og
da kan du være en ny trusselscenarioer og man må revurdere mulige nye trusselscenarioer og om de er tilstrekkelig
forhindret med sikkerhetstiltak og når systemet er ferdig konstruert som en del av testingen så kan man revurdere om disse prinsippene for
begrenset innsamling og begrenset behandling og begrenset lagring Fremdeles er ivaretatt og så til
slutt Når systemet er ferdig testet da kan det settes i produksjon Det vil alltid skje NOTE Treffsikkerhet: 92% (HØY)
hendelser så man må ha plan for håndtering av hendelser som kan oppstå det betyr at man må ha noen som er
øremerket til å håndtere hendelser man må ha kontaktpunkter for når noen oppdager en hendelse og man må
ha rutiner for å håndtere hendelser patching og evaluering av alvorligheten av hendelser og eventuelt plan
for varsling i tilfelle det er alvorlige hendelser og varsling til datatilsynet og varsling til presse
man må ha planer for alt Og før selve produksjonssetningen skjer så skal man gjennomgå alle trusler NOTE Treffsikkerhet: 92% (HØY)
og risiko som man har vurdert og vurdere om at har satt på plass adekvat håndtering av hendelser og alt det der og til slutt så vil systemet da blir
godkjent av på fra ledelsesnivå for produksjonssetting også Det må være dokumentert at systemet er
godkjent og at det kan settes i produksjon og all dokumentasjonen fra av risikovurderingen
trusselvurderingen og analysen og vurdering av personvernkonsekvenser skal arkiveres hvis det blir
tilsyn eller man får et besøk av datatilsynet eller fra revisor så er dokumentasjonen kjempe viktig
og nødvendig å ha så når NOTE Treffsikkerhet: 93% (HØY)
systemet er i drift og det skjer hendelser Så må man da kunne ha god hendelseshåndtering etter planen respons skal fungere på en god
måte og skal kunne håndtere vanlige situasjoner og hvis det skjer i alvorlige situasjoner så skaø man kunne
skalere og eventuelt få støtte fra eksterne aktører eller sikkerhetskonsulenter Og dette gjør seg
ikke selv for at dette virkelig skal fungere godt når hendelsen skjer så må man øve
så øvelse er viktig for å sørge for god håndtering av sikkerhet og programvaren det må jo
vedlikeholdes som all programvare man må patche NOTE Treffsikkerhet: 75% (MEDIUM)
opprette og oppdatere nye versjoner NOTE Treffsikkerhet: 90% (HØY)
for at man skal kunne ivareta og sikkerhet og personvern hele tiden for det vil alltid å oppdages nye
sårbarheter hele tiden og dette er jo egentlig en del av å ha et styringssystem for informasjonssikkerhet og
styringssystem for personvern som gjerne kalles internkontroll som er det store bildet for styring
av informasjonssikkerhet og styring av personvern i bedrifter og foretak så dette var alt jeg hadde
å si i denne forelesningen og lemker til veilederen fra datatilsynet er her