Informationssäkerhet

Informationssäkerhet innebär att rätt person har tillgång till rätt information – vid rätt tillfälle.

I praktiken betyder det att informationen:

• finns tillgänglig när du behöver den
  
• inte förändras av misstag eller av obehöriga
  
• inte sprids till fel mottagare
  
• går att följa upp vid incidenter eller fel
  

Som statlig myndighet har varje medarbetare på Stockholms universitet ansvar för att hantera information enligt lagar och regler. Det innebär att alla vi som arbetar på SU behöver arbeta strukturerat och medvetet med hur information skapas, lagras, delas och skyddas.

Varför informationssäkerhet är så viktigt (länk till Youtube, videolängd 3:21 minuter)

 I ditt arbete på universitetet skapar, använder och delar du information varje dag – till exempel i mejl, dokument, system och forskningsmiljöer. För att arbetet ska fungera behöver informationen vara korrekt, tillgänglig och skyddad.

Om informationssäkerheten brister kan det påverka vardagen direkt, till exempel genom:

• förseningar i undervisning, forskning eller administration
  
• felaktig eller förlorad information
  
• avbrott i system som behövs i arbetet
  

Konsekvenserna kan också bli mer omfattande. Brister i informations-säkerheten kan leda till:

• risk för felaktiga forskningsresultat
  
• överträdelser av lagar, exempelvis dataskyddsregler
  
• kränkningar av enskildas personliga integritet
  
• förlorat förtroende för universitetet och dess verksamhet
  

Därför behöver informationssäkerhet vara en naturlig del av både universitetets styrning och det dagliga arbetet hos alla medarbetare.

IT-säkerhet är den tekniska delen av informationssäkerhet och rör de system, tjänster och enheter som används i arbetet.

Det handlar bland annat om att:

• skydda konton, datorer och system mot intrång
  
• förebygga virus, phishing och ransomware
  
• hålla system uppdaterade och stabila
  

IT-säkerhet bidrar till att informationen är skyddad och att universitetets system fungerar som de ska i vardagen.

Om du misstänker eller upptäcker en IT-incident, är det viktigt att du rapporterar det så snart som möjligt.
Hur och när ska en incident rapporteras?
Använd Serviceportalen – Logga in och skapa ett ärende direkt via

Rapportera alltid när du upptäcker

• Obehörig åtkomst till system eller information
  
• Misstänkt skadlig programvara (virus, trojaner etc.)
  
• Fysisk stöld eller förlust av IT-utrustning som bärbar dator eller mobiltelefon
  
• Tjänster eller system som inte fungerar som de ska som kan bero på en säkerhetsincident
  
• Misstanke om att känslig eller sekretessbelagd information har blivit exponerad eller förlorad

En personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av de personuppgifter som behandlas. Vissa personuppgiftsincidenter ska rapporteras till Integritetsskyddsmyndigheten.
Dataskyddsombudet vid Stockholms universitet (dso@su.se) ska hållas informerad om personuppgiftsincidenter vid universitetet och stöttar vid behov med rådgivning.

För mer info om personuppgiftsincidenter och behandling av personuppgifter se personuppgifter och dataskydd

Vad händer efter en rapport?

Efter att du har rapporterat en incident, påbörjar IT-avdelningen en utredning för att identifiera orsaken till incidenten och begränsa dess påverkan. Vid behov involveras även IT- och informationssäkerhetsspecialister för att hantera incidenten enligt gällande säkerhetsrutiner.

Vid frågor om information och IT-säkerhet kan du alltid kontakta IT-avdelningen via informationssakerhet@su.se

Det finns en rad föreskrifter och regelverk kopplade till informationssäkerhet.

MCF:s föreskrifter och vägledningar

Riksarkivets föreskrifter och allmänna råd om elektroniska handlingar

I Riksarkivets föreskrifter och allmänna råd om elektroniska handlingar hänvisas i artikel 6 till ISO 27001:2006 och ISO 27002:2005, notera att det finns nyare versioner av dessa standarder, närmare bestämt ISO 27001:2022 och ISO 27002:2022.

Som en del av det systematiska arbetet med informationssäkerhet på Stockholms universitet behöver information inventeras och klassas. Här kan du läsa mer om syfte och mål med arbetet:

Informationsklassning

Universitetet har ett utbildningsverktyg för säker informationshantering. Utbildningen sker i form av korta kurser som skickas ut kontinuerligt med e-post. Samtliga medarbetare bör genomföra denna utbildning för att minska risken för digitalt intrång, sabotage, skadlig kod och bedrägeri.

Utbildning i säker informationshantering