Cirkulæreskrivelse vedrørende sikkerhedsforanstaltninger for pc- og terminalanvendelse m.v.

§ 1. Lokaler, der benyttes ved opbevaring og førelse af registre, skal være indrettet med henblik på at forhindre uvedkommende adgang.

Stk. 2. Der skal etableres fornøden beskyttelse mod indbrud m.v.

§ 2. Der skal udarbejdes skriftlige instrukser, som fastlægger ansvaret for og beskriver behandling af inddata, anvendelse af edb-anlægget og behandling af uddata.

§ 3. For de enkelte registre skal der udarbejdes skriftlige instrukser om antallet af kopier og generationer af registeret, således at det samlede antal registerversioner er mindst muligt, under hensyntagen til behovet for at kunne rekonstruere registeret.

§ 4. Der skal foretages en maskinel registrering af alle anvendelser af edb-anlægget. Registreringen skal opbevares i mindst seks måneder.

§ 5. Udtagelige lagringsmedier med personoplysninger skal være mærket og skal opbevares under opsyn eller under lås, når de ikke benyttes. Lagringsmedierne må kun udleveres til autoriserede medarbejdere.

Stk. 2. Der skal føres en fortegnelse over alle udtagelige lagringsmedier, der benyttes i forbindelse med registre. Der skal foretages løbende kontrol af beholdningen.

Stk. 3. Der skal udarbejdes skriftlige instrukser for destruktion af udskrifter og sletning af personoplysninger på lagringsmedier.

§ 6. For udvikling og vedligeholdelse af programmer m.v., der behandler personoplysninger, skal der foreligge regler således at der etableres den fornødne dokumentation, kontrol, afprøvning og godkendelse af systemerne. Endvidere skal der etableres den fornødne dokumentation i form af en beskrivelse af systemet og en vejledning i anvendelse af systemet.

Cirkulæreskrivelse vedrørende sikkerhedsforanstaltninger for pc- og terminalanvendelse m.v.

Efter drøftelser med Kommunernes Landsforening, Amtsrådsforeningen i Danmark, Købehavns og Frederiksberg kommuner samt Administrations- og Personaledepartementet om bestemmelserne i registerforskrifterne vedrørende brugeres adgang til registeroplysninger og om sikkerhedsforskrifter for mindre edb-anlæg (pc'er) har Registertilsynet foretaget en revision af tilsynets cirkulæreskrivelse af 7. oktober 1987 om sikkerhedsforanstaltninger for pc-anvendelse. Samtidig er bestemmelserne i Registertilsynets cirkulæreskrivelse af 10. december 1979 om sikkerhedsforanstaltninger i forbindelse med terminalsystemer indarbejdet i regelsættet.

I den anledning fremsendes vedlagt som bilag 1-4 til denne cirkulæreskrivelse de reviderede bestemmelser for sikkerhedsforanstaltninger for pc- og terminalanvendelse m.v.

I bilag 1-3 er anført de enkelte sikkerhedselementer med den dertil hørende bestemmelse i registerforskriften. Bilag 1 vedrører registre med grundoplysninger eller oplysninger af mere almindelig karakter. Bilag 2 vedrører registre med f.eks. skatteoplysninger, mens bilag 3 vedrører registre med f.eks. helbredsoplysninger eller oplysninger om strafbare forhold m.v.

I bilag 4 er anført bestemmelser om sikkerhedsforanstaltninger (sikkerhedsforskrift) for mindre edb-anlæg, som f.eks. en pc.

Registertilsynet skal henstille, at bestemmelserne i et af bilagene 1-3 indarbejdes i de udkast til forskrifter, der forelægges Registertilsynet med henblik på en udtalelse. Såfremt registeret føres på et mindre edb-anlæg, som f.eks. en pc, kan bestemmelserne i bilag 4 indarbejdes som et selvstændigt kapitel i registerforskriften eller som et bilag til registerforskriften.

Registertilsynets cirkulæreskrivelse af 10. december 1979 om sikkerhedsforanstaltninger i forbindelse med terminalsystemer samt Registertilsynets cirkulæreskrivelse af 7. oktober 1987 om sikkerhedsforanstaltninger for pc-anvendelse ophæves hermed.

P.R.V.

B.O. Jespersen Bilag 1

Sikkerhedsforanstaltninger for terminal- og pc-anvendelse, gruppe 1

Autorisationsordning

§ A. Kun de medarbejdere, borgmesteren autoriserer hertil (brugere), må have adgang til registeret.

Stk. 2. Der må kun autoriseres medarbejdere, der er beskæftiget med ....

Behov

§ B. Borgmesteren må kun autorisere medarbejdere som brugere, for hvem det er nødvendigt at benytte edb-anlægget i forbindelse med udførelsen af deres arbejde, og de enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.

Fortrolig eller personlig og fortrolig kode

§ C. Brugere skal tildeles en fortrolig eller en personlig og fortrolig autorisationskode.

Ikke-læsbar indtastning

§ D. Indtastning af autorisationskoder skal ske ikke-læsbart.

Brugerskift

Stk. 2. Autorisationskode skal anvendes ved ethvert brugerskift, og når edb-anlægget forlades, skal der træffes sådanne foranstaltninger (sign-off/log-off), at fornyet opkald vil kræve indtastning af autorisationskode (sign-on/log-on).

Udskiftning af koder

§ E. Autorisationskoder skal udskiftes efter nærmere fastsatte procedurer.

Benyttelsesstatistik

§ F. Der skal mindst hvert halve år udskrives en benyttelsesstatistik. Denne skal for hver enkelt bruger mindst angive antallet af gange, den pågældende har anvendt registeret.

Stk. 2. Statistikken skal sendes til borgmesteren eller en medarbejder i kommunen, som borgmesteren har udpeget hertil. Bilag 2

Sikkerhedsforanstaltninger for terminal- og pc-anvendelse, gruppe 2

Autorisationsordning

§ A. Kun de medarbejdere, borgmesteren autoriserer hertil (brugere), må have adgang til registeret.

Stk. 2. Der må kun autoriseres medarbejdere, der er beskæftiget med ....

Behov

§ B. Borgmesteren må kun autorisere medarbejdere som brugere, for hvem det er nødvendigt at benytte edb-anlægget i forbindelse med udførelsen af deres arbejde, og de enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.

Differentieret adgang

Stk. 2. Autorisationen skal angive, i hvilket omfang brugeren må forespørge, inddatere eller slette oplysninger.

Personlig og fortrolig kode

§ C. Brugere skal tildeles en personlig og fortrolig autorisationskode.

Ikke-læsbar indtastning

§ D. Indtastning af autorisationskoder skal ske ikke-læsbart.

Brugerskift

Stk. 2. Autorisationskode skal anvendes ved ethvert brugerskift, og når edb-anlægget forlades, skal der træffes sådanne foranstaltninger (sign-off/log-off), at fornyet opkald vil kræve indtastning af autorisationskode (sign-on/log-on).

Udskiftning af koder

§ E. Autorisationskoder skal udskiftes mindst en gang årligt.

Sikkerhedsrapport

§ F. Der skal foretages registrering af alle uautoriserede adgangsforsøg. Såfremt der inden for en fastsat periode er registreret et nærmere fastsat antal på hinanden følgende uautoriserede adgangsforsøg fra samme arbejdsstation skal der udskrives meddelelse herom. Der skal umiddelbart herefter foretages kontrol i kommunen.

Benyttelsesstatistik

§ G. Der skal mindst hvert halve år udskrives en benyttelsesstatistik. Denne skal for hver enkelt bruger angive, hvilke transaktioner den pågældende har anvendt eller forsøgt at anvende og antallet af gange, den enkelte transaktion har været anvendt eller forsøgt anvendt.

Stk. 2. Statistikken skal sendes til borgmesteren eller en medarbejder i kommunen, som borgmesteren har udpeget hertil.

Totallogning

§ H. Der skal foretages registrering (logning) af alle transaktioner. Registreringen skal mindst indeholde oplysning om tidspunkt, bruger, transaktionstype og/eller det anvendte søgekriterium. Registreringen (loggen) skal opbevares i seks måneder, hvorefter den skal slettes.

Stk. 2. Udskrift af dele af loggen skal efter anmodning fremsendes til borgmesteren eller en medarbejder i kommunen, som borgmesteren har udpeget hertil. eller

Logning af forespørgsler

§ H. Der skal foretages registrering (logning) af alle forespørgsler på ....-oplysninger. Registreringen skal mindst indeholde oplysning om tidspunkt, bruger, transaktionstype og angivelse af den person, transaktionen vedrørte og/eller det anvendte søgekriterium. Registreringen (loggen) skal opbevares i 6 måneder, hvorefter den skal slettes. Der skal mindst en gang månedligt foretages en stikprøvevis kontrol af formålet med forespørgslerne.

Stk. 2. Udskrift af dele af loggen skal efter anmodning fremsendes til borgmesteren eller en medarbejder i kommunen, som borgmesteren har udpeget hertil. eller

Logning af opdateringer

§ H. Der skal foretages registrering (logning) af alle forespørgsler på ....-oplysninger. Registreringen skal mindst indeholde oplysning om tidspunkt, bruger, transaktionstype og angivelse af den person, transaktionen vedrørte og/eller det anvendte søgekriterium. Registreringen (loggen) skal opbevares i 6 måneder, hvorefter den skal slettes. Der skal mindst en gang månedligt foretages en stikprøvevis kontrol af formålet med opdateringerne.

Stk. 2. Udskrift af dele af loggen skal efter anmodning fremsendes til borgmesteren eller en medarbejder i kommunen, som borgmesteren har udpeget hertil. Bilag 3

Sikkerhedsforanstaltninger for terminal- og pc-anvendelse, gruppe 3

Autorisationsordning

§ A. Kun de medarbejdere, borgmesteren autoriserer hertil (brugere), må have adgang til registeret.

Stk. 2. Der må kun autoriseres medarbejdere, der er beskæftiget med ....

Behov

§ B. Borgmesteren må kun autorisere medarbejdere som brugere, for hvem det er nødvendigt at benytte edb-anlægget i forbindelse med udførelsen af deres arbejde, og de enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.

Differentieret adgang

Stk. 2. Autorisationen skal angive, i hvilket omfang brugeren må forespørge/inddatere, ændre eller slette oplysninger. Udskrivning af oplysninger om større kredse af personer må kun udføres af særligt autoriserede medarbejdere.

Personlig og fortrolig kode

§ C. Brugere skal tildeles en personlig og fortrolig autorisationskode.

Ikke-læsbar indtastning

§ D. Indtastning af autorisationskoder skal ske ikke-læsbart.

Brugerskift

Stk. 2. Autorisationskode skal anvendes ved ethvert brugerskift, og når edb-anlægget forlades, skal der træffes sådanne foranstaltninger (sign-off/log-off), at fornyet opkald vil kræve indtastning af autorisationskode (sign-on/log-on).

Udskiftning af koder

§ E. Autorisationskoder skal udskiftes mindst en gang årligt.

Sikkerhedsrapport

§ F. Der skal foretages registrering af alle uautoriserede adgangsforsøg. Såfremt der inden for en fastsat periode er registreret et nærmere fastsat antal på hinanden følgende uautoriserede adgangsforsøg fra samme arbejdsstation skal der udskrives meddelelse herom. Der skal umiddelbart herefter foretages kontrol i kommunen.

Benyttelsesstatistik

§ G. Der skal mindst hvert halve år udskrives en benyttelsesstatistik. Denne skal for hver enkelt bruger angive, hvilke transaktioner den pågældende har anvendt eller forsøgt at anvende og antallet af gange, den enkelte transaktion har været anvendt eller forsøgt anvendt.

Stk. 2. Statistikken skal sendes til borgmesteren eller en medarbejder i kommunen, som borgmesteren har udpeget hertil.

Totallogning

§ H. Der skal foretages registrering (logning) af alle transaktioner. Registreringen skal mindst indeholde oplysning om tidspunkt, bruger, transaktionstype og/eller det anvendte søgekriterium. Registreringen (loggen) skal opbevares i seks måneder, hvorefter den skal slettes.

Stikprøvevis kontrol

Stk. 2. Der skal en gang om måneden udskrives meddelelse om de transaktioner, hvorved en bruger har udskrevet oplysninger om et større antal personer (lister), og der skal foretages en stikprøvevis kontrol af formålet med disse transaktioner.

Stk. 3. Udskrift af dele af loggen skal efter anmodning fremsendes til borgmesteren eller en medarbejder i kommunen, som borgmesteren har udpeget hertil. Bilag 4

Sikkerhedsforskrift for mindre edb-anlæg (pc'er)

Ingen