IT-sikkerhet
Nasjonal satsning informasjonssikkerhet
Vi er sterkt involvert i den nasjonale satsningen. Cybersikkerhetssenter for forskning og utdanning er opprettet, og UiA, BI og UiO deltar inn som pilotvirksomheter. De første etablerte tjenestene er i stor grad basert på løsninger og ideer fra UiO.
E-læring / informasjonsarbeid
IT-sikkerhet deltar også inn i prosjektet for opplæring og kompetanse under den nasjonale satsingen. Vi har også bidratt til utvikling av innhold for sikre side. På grunn av korona-situasjonen har det blitt mindre foredrag og deltakelse i forskjellige fora på UiO, men vi ser at behovet finne, vi planlegger en ny runde med besøk på enhetene, tilsvarende runden som ble gjort etter innføringen av LSIS.
Deltakelse i større aktiviteter
IT-sikkerhet bidrar inn i flere av de store prosjektene i regi av BOTT og UNINETT. Vi har bidratt for å ivareta informasjonssikkerhet i BOTT-IPAS og BOTT-SA. Vi har deltatt i ROS analyse av UH-IAM. IT-sikkerhetssjef er også deltaker i faguvalget for informasjonssikkerhet under digitaliseringsstyret.
Deltakelse i internasjonale og nasjonale fora
Det har vært vesentlig vanskeligere å delta i internasjonale fora det siste året. IT-sikkerhet deltok på Eunis Security SIG meetup og 57th TF-CSIRT Meeting FIRST Regional Symposium Europe i Malaga i februar og det har vært noe digitale møter utover året.
BOTT har fått reetablert faste møter for IT-sikkerhetssjefene i BOTT i år, og det har blitt avhold jevnlige møter gjennom året. Dette er nyttig da vi stort sett deler de fleste problemstillinger.
Oppfølging av ROS-analyser
Punktet i årsplanen om oppfølging av ROS-analyser er igangsatt, men vil ikke bli sluttført før i løpet av T1 2021.
Strukturering og systematisering av IT-sikkerhetsarbeidet
Vi har arbeidet med å få mer struktur på IT-sikkerhetsarbeidet. Oppfølging av saker med underavdelingene ITI og BNT er løst med at IT-sikkerhet deltar regelmessig på møter (ITI-sjefer-møte og BNT-ledelse). For andre større interne aktiviteter som TSD, RPA, Autopilot og Forskerplattformen/VDI er det faste møter.
Vi har også tatt noen interne grep for å lettere følge opp saker, bla. ved å ta i bruk nye verktøy for å holde oversikt over små og store oppgaver. Det er etablert daglige statusmøter og vi har automatisert flere rutineoppgaver.
Internkontroll
Det har blitt mindre kontrollvirksomhet i 2020 enn planlagt. Det har blitt utført stedlig kontroll hos OD, men denne prosessen ble kraftig forsinket på grunn av forsinkelser både hos OD og hos USIT.
Øvelse og kontinuitetsplaner
Det er ikke avholdt noen egen øvelse i 2020, men i starten av koronasituasjonen så benyttet USITs beredskapsledelse det nye planverket som var utarbeidet i 2019, og vi fikk øvd godt på arbeidsformen. Vi har også bistått UNIT i en liten rolle i deres interne øvelse.
Arbeidet mer kontinuitetsplaner ut over USIT er ikke påbegynt. Vi har begynt å jobbe med “digital beredskap”. Dette vil innebære å se på krav til exit-strategier for skytjenester, krav til tilgjengelighet av data behov for lokal sikkerhetskopi med mer.
Deltakelse i sikkerhetsarbeidet i regi av IFI
UiO-CERT deltar i aktivitetene i regi av informasjonssikkerhetsmiljøet hos IFI. Foreløpig har det vært på planstadiet og noe møteaktivitet. Vi håper på sikt å kunne legge til rette for at det kan drives forskning på de sikkerhetsdata USIT samler til drift- og sikkerhetsformål.
SIM3-sertifisering av UiO-CERT
Prosessen rundt SIM3-sertifisering av UiO-CERT er igangsatt, det er avholdt en workshop med en ekstern auditor. Videre arbeid i løpet av 2020 og T1 2021.
Spesifikke tiltak for økt sikring av teknisk drift
Det gjøres kontinuerlige grep for å holde sikkerheten ved UiO på riktig og godt nivå. I 2020 har det blitt foretatt en del rydding av gamle utdaterte systemer og feilkonfigureringer. Windows 7 er avviklet og det er startet et arbeid for å kraftig sikre måten vi drifter på. Målet er å kunne kreve flerfaktor autentisering på all drift som gjøres med privilegerte brukere innen utgangen av 2020.
Oppdatering av LSIS
Det er foretatt mindre endringer til LSIS i 2020. Det er gjort noen justeringer av klassifiseringsguiden og lagringsguiden ifm. Tilrettelegging for mer bruk av digitaleverktøy (bla. RØDE videomøter).
Kunnskapsdepartementet kom i 2020 med ny Policy for informasjonssikkerhet og personvern i høyere utdanning og forskning. UiO har ingen vesentlige mangler ift. denne, men det vil bli behov for mindre endringer i LSIS for å sikre at de harmonerer.
IT-juridisk
Oppfølging av personvernregelverket på UiO
Høsten 2019 og våren 2020 har IT-juristene i samarbeid med LINK utarbeidet et e-læringskurs i Canvas om personvern for forskere og studenter ved UiO. Kurset er obligatorisk for alle studenter og ansatte ved UV som skal behandle personopplysninger i sine forskningsprosjekter og anbefalt for alle forskningsrådgivere. Det arbeides nå med at flere enheter kan ta kurset i bruk etter en tilpassing i samarbeid med IT-juristene. Det arbeides også for å få på plass et tilsvarende kurs for administrativt ansatte som behandler personopplysninger i sin stilling.
IT-juristene har i samarbeid med FIADM utarbeidet nye maler og ny nettside for avtaleverk knyttet til personvern.
Grunnet koronasitusjonen holdt IT-juristene færre kurs og foredrag i virksomheten om håndtering av personopplysninger i administrasjon og forskning i 2020 enn foregående år. Vi har likevel holdt flere presentasjoner over Zoom, blant annet for personvernkontaktene, naturhistorisk museum, FANE, MATNAT og UV-fakultetet. Vi så også at når all undervisning ble digital oppstod det et stort behov for opplæring og veiledning i sikker bruk av digitale plattformer. Det ble lagt mye arbeid i å raskt produsere informasjonsinnhold og rutiner for ny digital bruk og å avklare sikkerhetsspørsmål i de nye tjenestene. Store deler av dette arbeidet er delt videre i sektoren.
Avtalen med Norsk senter for forskningsdata (NSD) er oppdatert, og fra januar 2020 bistår NSD UiO med å sikre og påvise at all behandling av personopplysninger til forskningsformål skjer i samsvar med personvernregelverket. IT-juristene har utformet nye rutiner for forskning med personopplysninger som er publisert på UiOs nettsider sammen med en oversikt over ansvar og roller ved behandling av personopplysninger i forskningsprosjekter. Kvalitetssystemet for medisinsk og helsefaglig forskning er oppdatert i tråd med de nye rutinene.
Internkontroll
Den årlige internkontrollen av behandlinger av personopplysninger ble gjennomført ved at vi sendte ledelsen ved hver grunnenhet et nettskjema som de besvarte. 76,5 % av respondentene sier at de i stor grad har oversikt over alle behandlinger av personopplysninger ved enheten. Dette er en nedgang på 8 prosentpoeng fra i fjor.
På den annen side ble det ved forrige ledelsens gjennomgang pekt på et stort behov for videre opplæring i informasjonssikkerhet og personvern. Undersøkelsen fra internkontrollen viser at det er 70,6 % som i stor grad har fått informasjon om, eller opplæring i, hvordan disse opplysningene behandles. Dette er en oppgang på 8 prosentpoeng fra i fjor. Disse resultatene sett i sammenheng kan tyde på at når kunnskapsnivået om personvern går opp på enhetene, oppdager man at det er et komplisert område å ha fullstendig kontroll over. Det er likevel positive resultater, som viser at UiO har relativt god kontroll på behandling av personopplysninger.
Avviksppfølging
IT-juristene har håndtert brudd på personopplysningssikkerheten (avvik) i samarbeid med UiO-CERT. Så langt i 2020 er det meldt inn 17 avvik. UiO har i 2020 meldt to tilfeller av brudd på personvernsikkerheten til Datatilsynet i henhold til personvernforordningen artikkel 32. I begge tilfellene ble også de berørte varslet i henhold til artikkel 33. Det ene avviket gjaldt en feilsendt melding i Canvas der helseopplysninger om en student ble sendt til alle på et emne. Det andre avviket skyldtes en feil ved trykkeriet som trykker UiOs lønnsslipper. Lønnsslippene ble trykket dobbelsidig og flere fikk tilsendt andre ansattes lønnsslipper. Begge avvikene ble avsluttet hos Datatilsynet uten videre oppfølging da de var fornøyde med tiltakene UiO hadde iverksatt.
Koordinering av perronvernkontaktene
På forespørsel fra universitetsdirektøren opprettet alle fakulteter i 2018 én eller to personvernkontakter for å fungere som et bindeledd mellom enheten, utøver av behandleransvaret (IT-juristene) og personvernombudet. IT-juristene har holdt flere informasjonsmøter og presentasjoner for personvernkontaktene i 2020, samt etablert interne nettsider for personvernkontaktene der vi legger ut presentasjoner og nyheter innenfor personvernområdet.
Siden opprettelsen i 2018 har noen fakulteter fått en rekke personvernkontakter som har organisert seg i egne arbeidsgrupper. Til nå har IT-juristene organisert fellesmøter som har vært åpne for alle personvernkontaktene, men etter dialog med personvernkontaktene og etter å ha gitt informasjon på dekanmøtet vil det nå etableres faste møter med de primære personvernkontaktene ved fakultetene for å få en mindre møtearena med større mulighet for diskusjon og deling av aktuelle problemstillinger. Ny møtestruktur etableres før utgangen av 2020.
IT-juridisk arbeid for USIT
Juristene i IT-direktørens stab bistår egen organisasjon innen det IT-rettslige området. I 2020 har arbeidet særlig bestått i å bistå organisasjonen i avtalehåndtering og juridiske utredninger knyttet til interne prosjekt slik som juridisk bistand og avtalehåndtering for ved utviklingen av Forskerplatformen, prosjektarbeid ved utvikling av Forskpro og juridiske avklaringer ved innføring av nye skytjenester. Det har særlig vært arbeidet med avklaringer og avtaleverk knyttet til Exchange Online eller andre mindre skytjenester som ulike forskermiljøer ved UiO ønsker å ta i bruk.
Sommeren 2020 kom en ny dom fra EU-domstolen som per i dag gjør det vanskelig å lovlig overføre personopplysninger fra Norge til land utenfor EU/EØS (tredjeland), først og fremst USA. Dette berører flere av UiOs viktigste skytjenester, og UNIT anbefaler varsomheter i sektoren ikke å inngå nye avtaler som innebærer overføring av personopplysninger ut av EØS. Det ble igangsatt et arbeid ved USIT for å kartlegge UiOs overføringer til tredjeland og Meldeappen ble oppdatert med nye spørsmål om overføringer. Juristene arbeider fortløpende med avklaringer for USIT og UiO rundt de juridiske og praktiske ringvirkningene av dommen, samt strategi for hvilke avtaler som kan inngås i påvente av nærmere retningslinjer fra EU eller tilsynsmyndighetene.
Læringsanalyse
Juristene har bistått HuLAR og SADM ved UiO med juridiske avklaringer ved bruk av læringsanalyse. En generalisering av det rettslige rammeverket for etablering av rutiner knyttet til læringsanalyse har vist seg utfordrende. I mangel på dekkende nasjonal lovgivning på området må hvert prosjekt som ønsker å benytte seg av læringsanalyse få bistand til en konkret vurdering av de rettslige aspektene knyttet til formål og ønskede datavariabler. Vi har utformet noen generelle betraktninger knyttet til bruk av anonym statistikk som vi vil jobbe med å videreutvikle.
Samarbeid i sektoren
Juristene i IT-direktørens stab bistår og samarbeider med sektoren på det IT-rettslige området. Koronasituasjonen medførte ekstra samarbeid rundt juridiske avklaringer ved digital undervisning og digital eksamen, slik som deling og presentasjon av retningslinjene UiO etablerte for strømming og opptak av forelesninger og felles ROS for digital eksamen. I tillegg er deler av samarbeidet mellom juristene i BOTT gjenetablert med jevnlige møter med juristene ved UiT, og vi har bistått Uninett med vurderinger rundt felles IAM og et felles analysesenter for sektoren. Vi samarbeider nå med FHI, UiB og Kreftregisteret med avklaringer i kjølvannet av dommen fra EU som gjør det utfordrende å dele data, og vi vil sammen rette en henvendelse til Datatilsynet. USIT argumenterer særlig for at bruk av TSD i forskningsprosjekter gir en sikker og lovlig mulighet for å dele data med samarbeidspartnere utenfor EØS.
Juristene i IT-direktørens stab har også bistått i BOTT:ØL prosjektet i forbindelse med kontraktsinngåelse med DFØ om nytt økonomi og lønnssystem for institusjonene.
Generell personvernrettslig og IT-juridisk rådgivning
IT-juristene har rådgitt studenter og ansatte vedrørende personvern, informasjonssikkerhet og IT-rettslige spørsmål. IT-juristene har i 2020 behandlet anslagsvis 700 forespørsler om råd innenfor disse fagområdene gjennom både de offisielle rådgivningskanalene, slik som behandlingsansvarlig@uio.no og usit-jursit@usit.uio.no, og i form av møtevirksomhet på Zoom og telefon.
I 2020 inngikk IT-juristene en avtale med UV-fakultetet om ytterligere bistand i IT-rettslige og personvernrettslige spørsmål. Omfanget har variert avhengig av saksmengde ved fakultetet, men bistanden kan dekke opptil en 20%-stilling. Arbeidet har særlig knyttet seg til kontraktsbistand i forskningssamarbeid, juridisk bistand i tjenester utviklet ved EngageLab, personvernkonsekvensvurdering og prinsipielle avklaringer i dialog med KD rundt lovhjemler ved bruk av ny teknologi i lærerutdanningen, slik som VIVA-appen ved ILS.
IT-juristene har gjort juridiske vurderinger rundt UiOs bruk av sosiale medier. Flere aktører på UiO ønsker tilstedeværelse i og aktiv bruk av slike plattformer. Dette er vurderinger som også har en kommunikasjonsfaglig side, og IT-juristene har derfor hatt dialog med Avdeling for kommunikasjon og samfunnskontakt i vurderingen, som ser på etableringen av generelle retningslinjer med forankring i fagmiljøene for bruk av sosiale medier i organisasjonen.