Anskaffa och utveckla

För att skydda information och säkerställa trygg hantering är det avgörande att informationssäkerhets- och dataskyddskrav ställs innan upphandling, utveckling, digitalisering och införandet av ny teknik. Informationssäkerhetsteamet ger löpande stöd till verksamheterna och hjälper till med kravformulering och bedömningar för att säkerställa att system och IT-tjänster svarar mot interna behov och lagkrav.

För att kunna ge ett klartecken eller avrådan för ett system/IT-tjänst behöver följande frågor besvaras och dokumenteras:

  1. Vilken information ska hanteras i systemet?
  2. Hur är det tänkt att systemet ska användas och av vem/vilka?
  3. Hur klassas informationen utifrån Konfidentialitet, Riktighet och Tillgänlighet (KRT)?
  4. Är systemt samhällsviktigt och/eller verksamhetskritiskt?
  5. Ska skyddsvärd eller känslig information hanteras i systemet?
  6. Är svaret på fråga 4 eller 5 ja? Gör ett riskarbete!
  7. Ska skyddsvärda eller känsliga personuppgifter hanteras i tjänsten? Om ja, gör även en konsekvensbedömning enligt GDPR
  8. Har IT-centrum gett klartecken utifrån ett IT-säkerhetsperspektiv?

Svaren ger informationssäkerhetsteamet underlag till en rekommendation om det utifrån informationssäkerhets- och dataskyddsperspektiv är lämpligt att gå vidare eller ej.

I de fall då kommunen uppdrar åt andra att hantera verksamheternas information ska avtalet omfatta sådana krav att informationen hanteras, skyddas och följs upp i enlighet med kommunens styrdokument samt verksamheternas krav på säkerhet och skydd utifrån klassning. I Stödanvisning för anskaffning och utveckling beskrivs hur.

En riskbedömning ska alltid genomföras innan avtal ingås. Vid ändring av leverantörers tjänster eller avtal ska en förnyad riskbedömning genomföras. För information som bedöms som skyddsvärd och känslig samt för verksamhetskritiska och/eller samhällsviktiga tjänsteleveranser ska det i avtalet framgå att kommunen regelbundet har möjlighet att övervaka, granska och genomföra revision.

Leverantörer av IT-tjänster ska uppdras att klassa sina system och tjänster, och skriftligen deklarera hur väl de svarar mot definierade informationssäkerhetskrav, bilaga Säkerhetsdeklaration. Detta för att ge informationsägarna ett underlag för bedömning av vilken nivå av informationsklass som kan hanteras där. Vidare ska leverantörer säkerställa att säkerhetsåtgärderna motsvarar skyddsbehovet för den information som redan finns i tjänsten och att en skyndsam avvikelse- och incidentrapportering görs när informationssäkerheten påverkas eller riskerar att påverkas.
Leverantörer som kan få tillgång till eller ska använda, behandla eller hantera känslig och skyddsvärd information behöver skriva under kommunens sekretessförbindelse. I de fall det gäller personuppgifter ska det finnas PUB-avtal mellan kommunen och organisationen.  

Stöddokument vid anskaffa och utveckla

Länk

MSB:s Upphandling till samhällsviktig verksamhet – en vägledning