Velkommen til 3. forelesning hjemme igjen 58 sikkerhets og risikostyring denne første delen l3 av
ser på personopplysning slaven og innebygd personvern neste del B fokuserer på vurdering av
personvernkonsekvenser også kalt dpi Ja data protection Impact assessment generelt kan man si at
personvernet er noe mer enn bare skikkelig av informasjon i grunnlovens paragraf 110 står det at
enhver har rett til respekt for sitt privatliv og familieliv sitt hjem og sin kommunikasjon med er
personvern mens personopplysning Svein er noe mere spesifikt Jeg skal beskytte aspekter ved
informasjon som kan drella
deres til fysiske personer Dette kalles også personinformasjon for eksempel forhindre urettmessig
innsamling og oppbevaring av personinformasjon forhindre urettmessig bruk av denne inflasjon sørge
for at personen i pensjon er korrekt sørge for at de registrerte har innsiden Det vil si det kan vi
skal vite hvilke opplysninger som lagres og behandles og det er viktig at det er god
informasjonssikkerhet rundt lagring og behandling av personlig formasjon og det er krav om klare
roller rundt behandling av personinformasjon dette er bare websiden fra lovdata som viser nettopp
personopplysningsloven eller en kalles offisielt lov om behandling av personopplysninger det er
altså basert på
gdpr General data protection regulation så på norsk heter personvernforordning
personvernforordningen og fordi det er en forordning som man kan bare oversettes direkte til norsk
fra opprinnelig språk engelsk eu28 personvernforordningen i kraft 1 25 i 2018 mens i Norge og resten
av EØS i kraft Den sier at brudd på gdpr personopplysning slaven kan medføre bøter på opptil 20
millioner euro eller 4 prosent av omsetningen til det foretaket og for store foretak som Facebook
eller Google så er 20 prosent av omsetningen betydelig mer enn bare 20
Euro så strafferammen ved eller funksjonshemmet er drakonisk jeg ekstremt høye bøter potensielt
hvert land har et viktig som i Norge heter datatilsynet enn antatt Loven er basert på gdpr som er
oversatt til norsk og Den inneholder 79 artikler i denne forelesningen Skal vi spesifikt se på
artikkel 5 prinsipper for behandling av personopplysninger artikkel 25 og innebygd personvern
artikkel 32 om sikkerhet ved behandlingen og artikkel 35 som fokuserer på vurdering av
personvernkonsekvenser også kalt det Pia
så sier loven at man kan ha den behandlingsansvarlige kan oppnå personvernombud og ved betydelig
behandling av personopplysninger som må de oppgavene personvernombud
Så kan spørre seg Hva er det personopplysning Slå den egentlig skal sitte og mange tenker kun at det
er sikkerheten rundt selve informasjonen men det er altså ikke bare en krenkelse av personvern kan
skje selv om selve sikkerheten og så konfidensialitet integritet og tilgjengelighet er godt
ivaretatt hvis for eksempel informasjonen om personer er feil og hvis man ikke har fått samtykke men
som behandler personopplysning med i Karina kan samtykke fra de registrerte så så personopplysning
søren er i mer enn bare informasjonssikkerhet og sikkerhetspolitikk og politisk risiko politikk som
vi snakket med i fare forelesning
så er det en grunn til at man har personopplysning loven fordi brudd på personvern Det kan medføre
personlig belastning uønsket oppmerksomhet forskjellsbehandling og diskriminering identitetstyveri
og bedrageri rett og slett økonomisk tap skade på ditt omdømme tapet fortrolighet for konfidensiell
informasjon og autorisert opp heving av pseudonymisering eller anonymiserte data eller andre
økonomiske og sosiale ulemper Så dette er viktig Det er en politisk grunn for å ha personopplysning
slåen
Hva er altså en personopplysning Det er veldig mange ting Det kan være relatert til din fysiske
Eller de offisielle identitetsnummer sivil status osv kontaktinformasjon som adresse e-post osv
finans informasjon inntektsskatt og jeg la kontoutskrifter aktivitet det Hva du driver med hobbyer
studier hva du handler hva du søker på og pseudonymiserte opplysninger som eksempel kvinne 43 år
liker å strikke har Sibirkatt og jobber i offentlig etat har to barn hvis det for eksempel En liten
kommune som vil kanskje de fleste kunne gjette en gang Hvem Dette er så pseudonymisert opplysninger
kan gjøres til identifiserbare opplysninger
det skal man være klar over kommunikasjonsteknologi inflasjon mac-adresse ip-adresse SMS så videre
Det er personopplysninger og til slutt særlige kategorier helseopplysninger fagforeningsmedlemskap
hva man mener politisk Hvilken religion man har seksuell orientering osv Det er særskilte kategorier
som har spesiell behandling i gdpr over til artikkel 5 og den er en god oversikt over hva dette
dreier seg om det sier bare at personopplysninger skal behandles med leilighet rettferdighet og
åpenhet Og så var men likevel punkt B formålsbegrensning Det er veldig konkret og det er
at man skal kunne samle inn å behandle for spesifikke formål og ikke mer Og da går man inn på punkt
Se nå skal altså Å minimere innsamling og behandling av data til formålet til det som er nødvendig
for formålet det man samler inn og behandler og naturligvis være riktig Emma skal ikke lagre
personopplysning lengre enn nødvendig for formålet og til slutt punktum Og sånn opplysninger må
lagres og behandles med i for å sikre konfidensialitet og det er den behandlingsansvarlige som har
ansvaret for alle disse ting nå over til artikkel 25 som fokuserer på såkalt innebygd personvern der
som standard innstilling så grepet innebygd personvern kan være virke litt rart
men det betyr generelt at man skal ta hensyn til prinsippene fra artikkel 15 er gdpr for all
planlegging design implementering forvaltning drift av Systemer personopplysning da er det innebygd
og standard innstilling Det betyr at hvis det er frihet til å konfigurere Systemer så skal
standardkonfigurasjonen i utgangspunktet være så konservativ som mulig DVS den skal samle inn minst
mulig informasjon for nødvendig formål men det kan da endre samtykke av de registrerte for eksempel
men standardinnstillingen skal være så begrenset og konservativ som mulig og returrett
til 32 sikkerhet ved behandlingen Det er det vi tenker på ved informasjonssikkerhet så står det at
det skal gjennomføres egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er
egnet i forhold til risiko Dette er helt klart en risikobasert informasjonssikkerhet og da kan man
si man skal for eksempel pseudonymiserte kryptere personopplysninger han skal sørge for vedvarende
fortrolighet det er da konfidensialitet integritet og tilgjengelighet og robusthet i
behandlingssystemet og tjenestene og evne til å gjenopprette hvis det skjer noe feil og man skal
teste å analysere hvor effektive behandlingen tekniske og organisatoriske sikkerhetstiltak er så man
skal vurdere risikoen og egnetheten av si
Dette er tradisjonell informasjonssikkerhet Så over til artikkel 35 som fokuserer på vurdering av
personvernkonsekvenser eller på engelsk dette er protection Impact assessment så da sier de i
tilfelle behandlingen vil medføre såkalt høy risiko for fysiske personer personvern rettigheter og
friheter da skal den behandlingsansvarlige foreta en vurdering av Hvilke konsekvenser og planlagte
behandlingen vil ha for personopplysning svarene dette betyr å foreta også mvpi ja så den
behandlingsansvarlige skal rådføre seg med personvernombudet ved som jo er ansatt i foretaket til
som er den Alex ansvarlig for gjennomføring av dette I am og
er ikke alltid Man må gjennomføre en dpi Ja det er kun hvis man ser det er en betydelig risiko men
det er spesielle tilfeller hvor man må gjennomføre dette Ja og det er visst en systematisk og
omfattende behandling av Trond data hvis det behandles særlige kategori det var de kategoriene
etappe særlige kategorier specific spesielt sensitive punktum Hvis det er systematisk overvåkning i
stor skala av et offentlig område avsatt kamera da Skal gjennomføres en del av det er mange roller i
forbindelse med gdpr og her er hovedrollen også Den registrerte Det er personopplysning Ramos blir
altså samlet inn av den behandlingsansvarlige
som heter beta controller på engelsk men den behandlingsansvarlige kan altså se hva handlingen selve
behandlingen til en underleverandør som da heter databehandlere engelsk data processor for at det
skal kunne skje så den behandlingsansvarlige og databehandleren sette opp en databehandleravtale som
setter rammer og ansvar og forpliktelser for utviklingen og behandlingen av personopplysningene og
det kan være en personvernombud som er ansatt hos den behandlingsansvarlige men som også kan være
ansatt hos databehandleren er noe du skal gi råd om behandlingen av personopplysninger
til den behandlingsansvarlige eller råd til databehandler øverst i dette diagrammet så står
datatilsynet som er det norske data protection authority deres rolle er å foreta tilsyn hos
meldingsansvarlig eller databehandler organisasjoner og hvis du finner klare brudd på
personopplysningsloven så kan de gi bøter dette er altså hovedrollene i gdpr tilbake til
personvernombudet gir råd til den behandlingsansvarlige eller til databehandleren om forpliktelser
som virksomheten har etter personvernloven så alle virksomheter kan ha personvernombud man skal ha
pass
verneombud for behandlingen utføres av en offentlig myndighet for kommuner og stat behandle data
skal ha personvern hvis databehandlingen har en art til og omfang eller formål som krever
regelmessig og systematisk manipulering i stor skala eller hvis foretaket som behandler informasjon
deres hovedvirksomhet faktisk er å behandle personinformasjon i stor skala av særlige kategorier i
henhold til en artikkel om sensitive opplysninger eller opplysninger knyttet til straffedommer da
skal vi ha personvernombud så over til det med innebygd personvern og som han kaller deg inn
bygde informasjonssikkerhet som Da er paragraf paragraf 25 i gdpr eller personopplysningsloven og
der har datatilsynet gitt ut en veileder for hva det betyr å sørge for innebygd personvern som de
kaller det programvareutvikling med innebygd personvern som har hatt 7 elementer i seg som skal
gjennomgå er det viktig at de ansatte har kompetanse så hvis nødvendig så må man sørge for opplæring
i personvern og informasjonssikkerhet
så målet er altså at de berørte ansatte som jobber med dette De skal ha basiskunnskap forståelse for
personvern og risikoen for dette må vite når personen og informasjonssikkerhet er viktig og at man
har kriterier for personvern og hvordan man skriver imitere person innebygd personvern og kriterier
for hva som er nødvendig kompetanse så bestemt når man spesifiserer nye løsninger så skal man sette
krav til systemet og tilbake da må han klart definere Hvilke personopplysninger som skal samles inn
og behandles Hva skal man bruke det til DVS Hvilke slutninger som skal man trekke om individer for
eksempel
Hvem er brukere på eiere av personinformasjon også det er liksom det databehandleren som så vidt
eier informasjonen for de samler inn i men den personinformasjon er også om de registrerte så og
hvem skal bruke Dersom det kan være databehandleren eller man det kan være også hvis man får sagt
ikke så kan man også sende personopplysning er videre til tredjepart var klart definere hvem som er
den behandlingsansvarlige databehandler og sett hvor alle kan faktisk blandes og En ensom
skyleverandør som i utgangspunktet skal være en databehandler kan defineres også som en
behandlingsansvarlig hvis de har sine egne formål for behandlingen av invasjon Hva skal dere
definerer
hvem som er tredjeparts mottakere personinformasjon Hva skal definere Hvilke opplysninger som har
skal samling Hvor mye og hvor lenge det skal lagres og hvem som skal ha tilgang Hva skal selge får
åpnet til de registrerte og man skal sørge for å implementere adekvat sikkerhetstiltak for
beskyttelse av personopplysninger sonnemann designer i personsikkerheten som han sørge for å bygge
systemet slik at man samler inn opplysninger eller så lite som nødvendig hvis man lager en webside
hvor bruker jeg skal skrive jeg registrere seg så er det ikke Fritt Fram å bare samling men så mye
som mulig da Skal man tenke gjennom Hva trenger vi
og be om av opplysninger og når De forsvunne skal produseres så kan man bygge applikasjoner og
programmet moduler som henter inn av fra lagret personopplysning alt som kanskje lagret selv om det
Kanskje prosesseringen kun trenger en liten del av dette og Bob vil være feil så må sørge for å
minimere NAV innhenting av personopplysninger for selve prosesseringen om mulighet så skal man sørge
for at de forskjellige prosessene kun ser et utvalg av personopplysning var så separere behandlingen
slik at ikke all behandlingen behandler alle formasjon samtidig og personer som standard innstilling
DVS konfigureringen skal være konservativ som standard
Så dette er design krav og videresender systematisere på trussel mulighet til å Vera
trusselmodellering for dere trusselscenario Og sørge for å implementere adekvate sikkerhetstiltak i
henhold til de truslene av en risiko og man ser så sikkerhetsrisiko dette er tradisjonell design
sikrer design og implementering av systemet og når man kodesystemet så er det Også hva skal man
implementere biblioteker og så videre så skal man vurdere trussel trusler og sårbarheter for
vid bibliotek og de modellene som henter inn og bruker å implementere og vurdere sårbarheter og
plater I selve programmet du lager er det applikasjon sikkerhet som gjelder sikkerhet for oss at
Skretting alle disse tingene og sørge for at typiske sårbarheter er fjernet eller redusert i
tilstrekkelig grad testing av systemene man har implementert så skal man teste om man har virkelig
tatt hensyn til mulige trusler og fjernet sårbarheter Så dette er eksempel å gjennomføre
Ja dette var litt av det jeg mente nettopp vi ser at de Trysil scenariene som han beskrev i
designfasen virkelig er og nordmann koder så kan jeg hente maten man har innført nye sårbarheter Og
da kan du være en ny trussel snarer og mamma revurdere mulige nye trusler og det er tilstrekkelig på
hindret med sikkerhetstiltak og når systemet er ferdig konstruert revurdere om disse prinsippene for
begrenset innsamling og begrenset behandling og begrenset lagring Fremdeles er ivaretatt også til
slutt Når systemet er ferdig testet da kan det settes i produksjon Jeg vil alltid skje
helse som har plan for håndtering av hendelser som kan oppstå det betyr at man må ha noen som er
øremerket til å håndtere renser man må ha kontaktpunkter for når noen oppdager en hendelse og må man
ha rutiner for å håndtere hendelser patching og evaluering av alvorligheten av hensyn og teltplasser
forvarsling i tilfelle er alvorlige hendelser og varsling til datatilsynet og varsling til presset
om å ha planer for alt Og før selve produksjonen setningen skjer så skal man gjennomgå alle trusler
vurdere om at har satt på plass av hendelser og alt det der og til slutt så vil systemet da blir
godkjent av på fra ledelsesnivå for produksjonssetting også Det må være dokumentert at systemet er
godkjent at det kan settes i produksjon av dokumentasjonen fra av risikovurderingen
trusselvurderingen og analyse og vurdering av personvernkonsekvenser skal arkiveres hvis det blir
tilsyn eller man får en besøk av datatilsynet eller fra revisor så i dokumentasjonen kjempe viktig
og nødvendig å ha sånn når
systemet er i drift og det skjer heller Så da kunne ha etter planen respons skal fungere på en god
måte og skal kunne håndtere vanlige situasjoner og hvis det skjer i situasjoner som om han kunne
skalering og eventuelt få støtte fra eksterne aktører eller sikkerhetskonsulent Og dette gjør seg
ikke selv for at dette virkelig fungerer godt når du heller eller når helsen skjer så må man prøve
så øvelse er viktig for å ha sykkel for god håndtering av sikkerhet og programvaren det må jo
vedlikeholdes som alltid jobbe
opprette og oppdatere nye versjoner
for at man skal kunne ivareta og god sikkerhet og personvern hele tiden for de vil alltid å oppdage
nye sårbarheter og dette er jo egentlig en del av å ha et styringssystem for informasjonssikkerhet
og styringssystem for personvern som gjerne kalles internkontroll som er det store bildet for
styring av informasjonssikkerhet og styring av personvern i bedrifter og foretak så dette var alt
jeg hadde å si i denne forretningen og lekker til veilederen fra datatilsynet er her