IMY tar fram vägledning för molntjänster
Integritetsskyddsmyndigheten (IMY) tar just nu fram en vägledning om säker användning av molntjänster i offentlig sektor, som förvantas vara klar till vintern. Som underlag har myndigheten ställt frågor till kommuner, regioner och statliga myndigheter. Frågorna rör bland annat informationsklassning, leverantörer i tredjeland och exitstrategier.
Förvaltar du ett system för ekonomi, lön eller schema är det ofta du som får frågorna när dataskyddsombudet eller IT-chefen behöver underlag. Här är tre frågor och vad du kan förbereda redan nu.
1. Hur klassas informationen i systemet?
Informationsklassning betyder att verksamheten bedömer hur skyddsvärd informationen är. Ett lönesystem innehåller till exempel personnummer, bankuppgifter och uppgifter om sjukfrånvaro. Därför behöver klassningen göras för olika typer av uppgifter och inte bara för systemet som helhet.
Många klassningar gjordes när systemet infördes. Sedan dess kan systemet ha fått nya moduler, integrationer och användare. Kontrollera att klassningen stämmer med hur ni använder systemet i dag.
Christelle Bourquin, chef för teknikenheten på IMY, lyfter också klassning och behörigheter i vår intervju: Därför är grundläggande säkerhet fortfarande det bästa försvaret.
2. Var finns leverantörer och underleverantörer?
Tredjeland betyder ett land utanför EU och EES. Frågan gäller mer än var servrarna står. Det räknas också som överföring när uppgifterna görs tillgängliga för någon utanför EU och EES, till exempel en leverantör eller underleverantör.
Svaren finns oftast i personuppgiftsbiträdesavtalet och i leverantörens lista över underbiträden. Listan kan ändras över tid. Se till att någon i er organisation har ansvar för att följa ändringarna.
Läs mer om digital suveränitet och säkerhet i vår Guide: så bedömer ni molnleverantörer och digital suveränitet
3. Hur skulle ett avslut eller byte gå till?
En exitstrategi beskriver hur ni får ut er information om avtalet upphör. Verksamhetssystem används ofta länge, och mycket av värdet ligger i historiken. Ta reda på i vilket format data kan lämnas ut och vilka andra system som är beroende av det.
Läs mer om dataportabilitet och migrering, och varför det är olika saker.
Börja förbereda nu
Du behöver inte vänta på vägledningen. Mycket av underlaget finns redan men ligger ofta hos olika personer.
1. Samla dokumenten som klassningar, avtal och listor över underbiträden på ett ställe.
2. Stäm av ansvaret med dataskyddsombudet och informationssäkerhetssamordnaren.
3. Jämför med vägledningen när den kommer, och notera var det finns luckor.
Vill du veta vilka frågor du kan ställa till din leverantör? Läs Vem har kontrollen över kärnuppdraget? Digital suveränitet i praktiken.
