Tekniska och verksamhetsmässiga åtgärder och möjligheter Värmlands samordnade arbete med personuppgiftshantering med fokus på identitet och åtkomst 7 SEPTEMBER 2016 Presentatör1Presentatör 2Dokumentation - IAM Peter OlssonMats JensenGunnar Kartman Samordnare Drifts- och Servicenämnden Enhetschef Strategisk styrning IT IT-arkitekt Strategisk styrning IT Karlstads kommunKarlstads kommun, IT-avdelningen Karlstads kommun, IT-avdelningen

INNEHÅLL DSF & NIS - informationssäkerhet 2.0 Vad menar vi med IAM? Drivkrafter IAM-resan Utformning IAM 2.0 Kravarbetet Inbyggd integritet och dataskyddsförordningens inverkan Lärdomar att förmedla Rättslig grund för digital samverkan

Dataskyddsförordningen Förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta det nuvarande dataskyddsdirektivet. Dataskyddsdirektivet - den nuvarande EU-regleringen Personuppgiftslagen - den nuvarande svenska regleringen

Dataskyddsförordningen Förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta det nuvarande dataskyddsdirektivet. Dataskyddsdirektivet - den nuvarande EU-regleringen Personuppgiftslagen - den nuvarande svenska regleringen Ersätts Upphör, ny lag formas

NIS - EU-direktiv ”Åtgärder för en hög gemensam nivå av säkerhet i N ätverk och I nformations S ystem” /Regeringen 31/ Direktivet innehåller bl.a. skyldigheter för varje medlemsstat att anta en nationell strategi för säkerhet i nätverk och informationssystem och att utse myndigheter med särskilda uppgifter på detta område – MSB eller specifika branschers myndigheter. Medlemsstaterna blir vidare skyldiga att identifiera operatörer som bedriver samhällsviktig verksamhet inom sju sektorer och som är beroende av nätverk och informationssystem. Sektorerna omfattar energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten och digital infrastruktur. Den aktuella sektorsindelningen innebär att kommunala verksamheter omfattas. För sådana aktörer innebär direktivet bl.a. att verksamheten kan komma att behöva anpassas för att uppnå en hög nivå av säkerhet i nätverk och informationssystem och att IT-incidenter av viss dignitet ska rapporteras till behörig myndighet. Direktivet har trätt i kraft under våren Medlemsstaterna är skyldiga att ha genomfört direktivet senast 21 månader därefter. Sammanfattning Skyldighet att upptäcka och rapportera IT-incidenter Gäller verksamheter inom: Energi Transport Hälso- och sjukvård Dricksvatten Digital infrastruktur

Dataskyddsförordningen Översikt - nyheter Rätten att bli glömd Dataskydd som standard Rätt till dataflytt Rätten att få veta - dataläckage

Kommunens värden Taktisk nivå Strategisk nivå Operativ nivå Information Personal Ärenden/Processer OrganisationStatisk nivå

VADVEMHur/När Teknisk insats Rätten att bli glömd Personuppgifter ska raderas i alla system på begäran. Systemförvaltare i kommunen måste ställa krav I dialog med befintlig systemleverantör & i samband med upphandling. Ställ krav nu. Persondataposter måste klassificeras och metadatataggas med externt system Dataskydd som standard Personuppgifter ska krypteras System- leverantörer i dialog med systemförvaltare Anpassa befintliga system och kravställ på kommande. Börja nu. Krypteringsmetod och lösning måste hanteras. Dels i befintliga system dels som krav. Rätt till dataflytt En person ska kunna flytta sitt data från ett ställe till ett annat. Integrations- och databasexperter Utreda vilka data som finns och var de finns. Ställ rätt frågor. Separata system för snabb utflytt kan behöva etableras. BI-verktyg och datamining måste på plats. Rätten att få veta Fel information har transporteras via mail eller avsiktligt intrång har skett. System/ informationsägare i kommunen. Säkra att larm går. Skapa arbetsrutiner för vad som ska ske när ett larm har utlösts. Avancerad trafikscanning måste på plats. Klassning och tekniska policys som avgör vad som är riktig eller felaktig trafik. Nya verktyg och system behövs!

Enkla och tydliga ”bra exempel”

7 steg till framgång 1.Utse ett dataskyddsombud Personen ska rapportera direkt till ledningen och får inte ha några konkurrerande arbetsuppgifter. 2.Inventera alla era behandlingar* av personuppgifter och upprätta så kallade registerbeskrivningar. Omfattar arbetsprocesserkartor dess informationsposter. 3.Utvärdering och analys av nuläge kontra börläge i.inre signalsystem – eskaleringsvägar ii.riktlinjer och instruktioner iii.gallringsplaner/metoder/tillämpning iv.behörighetstilldelning v.regler för lagring/arkivering

4.Ta fram nya policies, riktlinjer och rutinbeskrivningar 5.Informationsmaterial och metoder för samtyckeshantering måste etableras. 6.Utbilda beslutsfattare och all personal som hanterar personuppgifter 7.Se över alla leverantörsavtal 7 steg till framgång

Behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring Artikel 4 Definitioner Behandling Dvs. normalt kommunalt handläggningsarbete

Ett oändligt stort projekt

Projektplan  Organisation Roller Ansvar Signalvägar Eskaleringskriterier  Juridisk tolkning och tillämpning – praxis saknas  Kartlägga handläggarprocesser m.a.p. känsliga uppgifter/PU Klassa information i verksamhetsprocesserna  Information- och registerklassning Etablera tydliga roller som skiljer på: Informationsansvarig Processansvarig System/registeransvarig  Tekniska åtgärder Reliabilitet Spårbarhet Tillgänglighet Radera Extrahera/Exportera Kryptering DELPROJEKTSTRUKTUR

Grov tidplan Organisation Juridisk tolkning och tillämpning Kartlägga handläggarprocesser Informations- och registerklassning Tekniska åtgärder Maj 2018 Ändra handläggarprocesser Undersök marknaden DELPROJEKTSTRUKTUR

Hur många berörs av projektet?

Omfattning av projektet

VAD MENAR VI MED IAM?

Identity and access management (IAM) is the security discipline that enables the right individuals to access the right resources at the right times for the right reasons. IAM addresses the mission-critical need to ensure appropriate access to resources across increasingly heterogeneous technology environments, and to meet increasingly rigorous compliance requirements. This security practice is a crucial undertaking for any enterprise. It is increasingly business-aligned, and it requires business skills, not just technical expertise. Enterprises that develop mature IAM capabilities can reduce their identity management costs and, more importantly, become significantly more agile in supporting new business initiatives. Gartner maj 2016

VAD MENAR VI MED IAM? Plattformen har följande grundfunktionalitet: Identitetshantering (identifiering, autentisering) livscykelhanterat Behörighetshantering (auktorisation) livscykelhanterat Åtkomstkontroll Loggning, logganalys, stöd för revision m.a.p tillgångar och säkerhet IAM-plattformen är i praktiken en integrationsplattform. Utöver förmågan att integrera system har den också katalog, regelmotor, processmotor samt inbyggd logik för bland annat åtkomstkontroll, vilket gör att den i dessa avseenden skiljer sig från en ordinär integrations- plattform. Den verksamhetsnära kravställningen är avgörande för hur väl detta ska lyckas. Den tekniska lösningen ska på ett naturligt sätt integrera med verksamhetens processer. Exempel på detta kan vara skolans elevadministrativa processer.

VAD MENAR VI MED IAM? Den tekniska delen ska verkligen inte under- skattas, men IAM handlar till största delen om hur verksamheten bäst ska kunna dra nytta av teknikens möjligheter. Den verksamhetsnära kravställningen är avgörande för hur väl detta ska lyckas. Den tekniska lösningen ska på ett naturligt sätt integrera med verksamhetens processer. Exempel på detta kan vara skolans elevadministrativa processer.

DRIVKRAFTER

IT-användarna rör på sig och kan indelas i många målgrupper Olika målgrupper har olika behov av målgruppsanpassat innehåll och man förväntar sig modernt utformade IT-tjänster som anställd i offentlig sektor, precis som i det privata livet. Mobilitet ställer extra höga krav på åtkomstkontroll. Digitalisering och digital samverkan Ett ständigt ökande utbyte mellan myndigheter och privata aktörer kräver en omfattande hantering av identiteter, behörigheter och åtkomstkontroll. Kommunen utför inte längre all verksamhet. Externa utförare kan vara aktörer i kommunens processer som endera ska kunna ta del av kommunens IT-stöd eller kunna ansluta eget. Anslutning, respektive bortkoppling av externa utförare måste kunna ske smidigt och med sådan frekvens som krävs av de upphandlingar som genomförs.

DRIVKRAFTER Kraven på säkerhet i IT-miljön blir allt högre IT-relaterade risker ökar med ökad komplexitet. I dag delar tjänster över nätet information med varandra i en allt snabbare takt. Följsamhet mot regulatoriska eller andra krav med en väl avvägd nivå av säkerhet blir allt viktigare. I detta har IAM en central roll. Kraven på effektivitet blir allt högre Svensk förvaltning behöver effektiviseras. Detta kan bland annat ske genom automation. Karlstads kommun tillämpar riktvärdena 80/15/5 i sitt IAM- arbete.

IAM-RESAN

2000 Automation, för mål- gruppen elever. Statisk arkitektur med ofullständig livscykel- hantering Manuell hantering av målgrupperna externa kontohavare samt vårdnads- havare varav endast externa kontohavare hanteras idag. Statisk arkitektur med ofullständig livscykel- hantering Automation för målgrupperna anställda och förtroendevalda. Statisk arkitektur med ofullständig livscykel- hantering Skalbar och logiskt indelad arkitektur (tenants). Migrerade anslut- ningar och mål- grupper med något förfinad målgrupps- indelning. Livscykelhanterade engagemang/konton. Förnyat stöd för identitetsfederationer och åtkomstkontroll. Självservice, minskad administration av IT- konton. Gemensam tjänst för lösenordshantering. Etablerad proxy för Navet. Implementerade gallringsregler. Verksamhetsnära IAM-förvaltning? 2017 Reviderade tekniska anslutningar, bl.a för infrastrukturkatalogen (AD). Kvalitetssäkrad personinformation för alla målgrupper i katalogen. Ett första gemen- samt implementerat processtöd för introduktion av medarbetare. Enhetlig process för sekretessbedömning och ev. implementation av skyddsåtgärder. Funktion för register- utdrag. Förbättrad/utökad automation och självservice. Påbörjad anslutning av DSN-parter Tydliggjorda informations- mängder och etablerad informationsför- valtning i ”stads- plan” tillsammans med dokumen- terade processer, regler och system. Tydliggjorda och välintegrerade processer ISM, IDM och AM. Attribut- och regelbaserad åtkomstkontroll (ABAC) som en naturlig del i tillämpningen av IAM. IoT-identiteter. IAM-RESAN 16 YEARS AND COUNTING… IAM 1.0 IAM 2.0 IAM 3.0

UTFORMNING IAM 2.0

 En enklare vardag för medborgare  Digitala tjänster ska utformas efter användarnas behov  Digitala tjänster ska vara enkla och säkra att använda  Det ska bli lättare att hitta rätt digital tjänst  Öppnare förvaltning som stödjer innovation och delaktighet  Det ska bli lättare att hitta och använda öppna data  Fler ska kunna tillhandahålla statens digitala tjänster  Möjligheter till insyn och delaktighet i verksamheten ska öka  Högre kvalitet och effektivitet i verksamheten  Statsförvaltningens informationsutbyte ska bygga på gemensamma standarder  Statsförvaltningens informationssäkerhet ska förbättras  Statsförvaltningens verksamhet ska effektiviseras genom ökad digitalisering UTFORMNING IAM 2.0 NATIONELL POLITISK MÅLBILD

UTFORMNING IAM 2.0 KONKRETISERADE MÅL Öka enkelheten för användare av kommunens interna och externa tjänster genom att på ett enhetligt och säkert sätt tillgängliggöra och skydda informationsresurser Effektiva verksamhetsprocesser med hög grad av automation och förutsägbarhet Möjliggöra digital samverkan med externa organisationer genom stöd för federationer och tillitsramverk Möjliggöra delegation av intern och extern administration av information så att respektive part ska kunna ta sitt eget ansvar för kvalitet och ”leverans i rätt tid” Möjliggöra följsamhet mot förändringsbehov samtidigt som stabiliteten i leveranserna och förvaltningsbarheten är god Överbryggning av en diversifierad flora av egna system och molntjänster med avseende på identitets- och behörighets- hantering, åtkomstkontroll och regelefterlevnad

UTFORMNING IAM 2.0 DAGENS TEKNISKA PLATTFORM (NÄSTAN DÄR)

UTFORMNING IAM 2.0 NYCKELEGENSKAPER En fysisk person kan ha fler än ett engagemang En fysik person kan ha ett eller flera IT-konton kopplat till ett eller flera engagemang Organisationsinformation kan hanteras i flera dimensioner och kopplas till engagemang/fysisk person Verksamhetsroller kan definieras ner till valfri nivå som grund för åtkomstkontroll. Högsta nivån kopplas till ett engagemang Erbjuder en sammanhållen och koncerngemensam hantering av sekretess för fysiska personer. Delegerad självservice/administration Resurser kan definieras som tillgångar (”tjänstekatalog”) med specifikt satta rättigheter ”entitlements” Lösningen är ”multi tenant” och bygger på en skalbar arkitektur styrbar via ”tenant”-specifika konfigurationskort. Ger stabilitet och följsamhet på samma gång

Engagemangsmodellen visar möjlig relation mellan fysisk person och engagemang Möjliggör gallring allt eftersom engagemang försvinner Möjliggör en effektiv sekretesshantering UTFORMNING IAM 2.0 NYCKELEGENSKAPER

UTFORMNING IAM 2.0 TJÄNSTETYPER Kontinuerlig synkronisering av data, exempelvis Heroma (PersAdm) och Extens (SkolAdm) samt Office 365 Datauppslag, exempelvis intranätet Solsidan samt nätåtkomst (radius och framtida Cisco ISE) Federerad åtkomstkontroll mha SAML 2 och WS-trust Åtkomstmetoder av olika slag Reverse proxy Självservice av olika slag Loggning och spårbarhet på olika nivåer

KRAVARBETET

KRAVARBETET INTRESSENTSITUATION FÖR IAM 2.0

Verksamhetskrav Regulatoriska krav Rättsliga verksamhets- krav IT-krav Funktionella krav Icke-funktionella krav (prestandakrav) (kvalitetskrav) Svensk lag och förordning Övriga regulatoriska krav Övriga regleringar EU- förordning/direktiv Bransch-standarder, avtal etc KRAVARBETET OLIKA TYPER AV KRAV

Regelbundna möten var annan vecka Kommunikation via mejl däremellan Avstämning med KLK ledningsgrupp KRAVARBETET ARBETSSÄTT

TillgängliggöraSkydda KRAVARBETET ARBETSSÄTT

INBYGGD INTEGRITET

Kravområden bygger delvis på DI:s vägledning om inbyggd integritet DI bygger i sin tur på branschöver- gripande principer för Privacy by Design Framtida kravbibliotek förvaltas lämpligen av våra jurister Används lämpligen för: –Kravarbete –Information och utbildning Ger troligen: –En upplyst organisation –Effektivitet genom återanvändning INBYGGD INTEGRITET RÄTTSLIGA VERKSAMHETKRAV (RVK) Under arbete!

Rättslig grund för digital samverkan (IAM 2.0) Rättslig analys vid etablering och förändring Personuppgiftsansvarig anlitar personuppgiftsbiträde Skydda den personliga integriteten Integritetssäkert arbetssätt – att låta systemet styra användaren rätt Transparens – att ge de registrerade insyn INBYGGD INTEGRITET RÄTTSLIGA VERKSAMHETKRAV (RVK) INDELAS I KRAVOMRÅDEN: Under arbete!

koncernen Karlstads kommun IT-avdelningen kan leverera digitala tjänster inom koncernen Karlstads kommun, dvs kommunens förvaltningar och bolag. Något utlämnande av uppgifter mellan IT-enheten och enskilda förvaltningar/bolag förekommer inte i Tryckfrihets- förordningens mening då IT- enheten betraktas som en integrerad del i koncernens organisation. Detta kan ske så länge som informationsutbytet inte sker via en extern part. /Stadsjuristerna Är en realitet sedan länge INBYGGD INTEGRITET RÄTTSLIG GRUND FÖR DIGITAL SAMVERKAN kommunalförbund som Karlstads kommun ingår i. IT-avdelningen kan leverera digitala tjänster som omfattar bearbetning av personuppgifter till kommunal- förbund som Karlstads kommun ingår i, d.v.s. biträda dem enligt personuppgiftslagens mening. För detta krävs i så fall personuppgiftbiträdesavtal. /Stadsjuristerna Leverans sker sedan länge till Region Värmland och Räddningstjänsten Karlstadsregionen medlemmar i den gemensamma drifts- och servicenämnden i Värmland IT-avdelningen kan leverera digitala tjänster som omfattar bearbetning av personuppgifter till medlemmar i den gemensamma drifts- och servicenämnden, d.v.s. biträda dem enligt personuppgiftslagens mening. För detta krävs i så fall att det finns personuppgiftbiträdesavtal. /Stadsjuristerna Första leverans planeras till några kommuner under 2017, förmodligen inom målgruppen elever Juridisk bedömning av det rättsliga läget för leverans av IAM-tjänster inom/till:

INBYGGD INTEGRITET RÄTTSLIG GRUND FÖR DIGITAL SAMVERKAN Under arbete!

INBYGGD INTEGRITET RÄTTSLIG ANALYS VID ETABLERING OCH FÖRÄNDRING Under arbete! Dock inte längre än nödvändigt

INBYGGD INTEGRITET PERSONUPPGIFTSANSVARIG ANLITAR BITRÄDE Under arbete!

INBYGGD INTEGRITET SKYDDA DEN PERSONLIGA INTEGRITETEN Under arbete! Växlingsfunktion för skyddad identitet – dölja respektive ta fram uppgifter

Navet kan även användas för koncernens bolag så länge PuL:s regler upprätthålls Grundladdning av registret kan göras men… …uppgifter som saknar betydelse ska omedelbart gallras INBYGGD INTEGRITET SKYDDA DEN PERSONLIGA INTEGRITETEN

INBYGGD INTEGRITET ATT LÅTA SYSTEMET STYRA ANVÄNDAREN RÄTT Under arbete!

INBYGGD INTEGRITET ATT GE DE REGISTRERADE INSYN Under arbete!

INBYGGD INTEGRITET KLARLÄGGANDEN (ITK) FÖR IAM 2.0 Under arbete!

Engagemangsmodellen visar möjlig relation mellan fysisk person och engagemang Möjliggör gallring allt eftersom engagemang försvinner Möjliggör en effektiv sekretesshantering INBYGGD INTEGRITET SKYDDA DEN PERSONLIGA INTEGRITETEN

En viss skärpning, men bör kunna hanteras utan större problem med den nu framtagna lösningen Rätten att bli glömd klaras troligen genom ett kommande undantag för myndigheter En entydig hantering av samtycken med tydlighet och lättbegriplighet för den enskilde vad det är man samtycker till kräver ett mer noggrant arbete med rutinerna för hur vi hämtar in samtycke. Det kan också bli fler aktiva samtycken än i dag. Ökad transparens för den registrerade Kontroll på incidenter med påföljande tydliga rapportering och hantering INBYGGD INTEGRITET DATASKYDDSFÖRORDNINGENS INVERKAN

LÄRDOMAR ATT FÖRMEDLA

LÄRDOMAR ATT FÖRMEDLA FRAMGÅNGSFAKTORER Täta kontakter arkitekter-jurister Ledningens engagemang och beslut Fungerande affärsmodell med tydligt definierade tjänster Sök nå välintegrerade verksamhets- processer, tydliggör informationsutbyten Etablera verksamhetsnära förvaltning av IAM samt informationsägarskap i verksamheten De tekniska lösningarna är viktiga, men de levererar inget utan tydliga verksamhetskrav

Credit: Oliver Widder Tack!