Hvordan søknaden vurderes i steg 3A
Søknader vurderes etter visse kriterier og svartid er minimum én uke fra da søker sender inn søknaden til søker får svar. Grunnet det omfattende og tidkrevende arbeidet med å vurdere enkelte tjenester kan det ta lenger tid å få et svar. Det er en målsetning at søknader om tjenester kan behandles raskt og effektivt slik at initiativer ikke dør hen i det som fagmiljøene kan oppleve som treg saksgang. Les mer om saksgangen og saksbehandling.
Hvordan USIT vurderer søknaden i steg 3B
USITs vurdering er neste steg i prosessen med å vurdere en ny tjeneste. Både IT-sikkerhet og IT-jurister ved USIT vurderer om tjenesten er godkjent for bruk ved UiO, og for bruk i undervisning og/eller forskning.
USITs vurdering er basert på krav til skytjenester, it-sikkerhet og personvern, juridiske, tekniske og økonomiske spørsmål, krav til universell utforming og forventet antall brukere. Typiske spørsmål USIT trenger svar på:
- Juridiske krav: Hvilke internasjonale og nasjonale lover gjelder for denne tjenesten? Hva slags avtaler og databehandleravtaler trengs med leverandøren og evt andre? Hvordan bruker leverandøren dataene til UiO? Hvilke underleverandører eller tredjepartstjenester er knyttet til denne tjenesten?
- IT-sikkerhet: Hvilke data overføres? Hvor og hvordan data overføres og lagres, og hva er apparatet rundt overføring og lagring? Hva er rutinene for backup og sletting av data? Hvordan blir personopplysninger behandlet?
- Krav til universell utforming: Er det for store tilgjengelighetsmangler for å kunne ta i bruk tjenesten? Hva er leverandørens planer for utbedring av manglene?
- Se også generelle kriterier for alle tjenester.
Generelle kriterier for alle tjenester
Følgende kriterier må være oppfylt for at en tjeneste kan tas i bruk eller piloteres. Tjenesten må tilfredsstille relevante tekniske og juridiske krav, herunder:
- Tjenesten må ikke ha store mangler i forhold til WCAG 2.0 (retningslinjer for universell utforming).
- Tjenesten må tilfredsstille generelle krav til bruk av skytjenester ved UiO.
- Hvis det sendes personopplysninger til tjenesten så må det fås i stand en databehandleravtale med leverandøren (av tjenesten) og tjenesten må registreres i meldeappen.
- Det må gjennomføres en ROS (risiko- og sårbarhetsanalyse), og resultatet av denne må være at avdekkede risikoer med tilhørende konsekvenser vurderes som akseptable.