Riksförsäkringsverkets föreskrifter om ADB-säkerheten hos Riksförsäkringsverket och de allmänna försäkringskassorna

Föreskrifterna i denna författning gäller för samtliga ADB-system hos Riksförsäkringsverket och de allmänna försäkringskassorna.

Föreskrifterna inskränker inte sådana föreskrifter om ADB-säkerhet som Datainspektion har beslutat för ett personregister.

I författningen avses med 1. ADB-system: ett system för automatisk databehandling som består av dels ett tekniskt system dels ett eller flera tillämpningssystem,

2. programprodukt: en samling dataprogram, installations- och användarinstruktioner som tagits fram för ett visst ändamål.

3. tekniskt system: den del av ett ADB-system, som är uppbyggt av tekniska anordningar samt av generella programprodukter för drift av bland annat operativsystem, kommunikationsfunktioner och behörighetskontrollsystem,

4. tillämpningssystem: en eller flera programprodukter, som tillsammans med det tekniska systemet ger en viss, från andra tillämpningssystem avgränsad, funktion för användaren.

ADB-systemen hos Riksförsäkringsverket och försäkringskassorna skall utformas och skyddas på ett sådant sätt att den verksamhet som åligger verket och försäkringskassorna kan bedrivas snabbt, säkert och effektivt.

Hos Riksförsäkringsverket och försäkringskassan skall ADB-säkerheten för varje ADB-system ha en tillfredsställande nivå med hänsyn till systemets innehåll, användning och riskerna för störningar.

Det är av särskild vikt att ADB-säkerheten utformas så att otillbörligt intrång i de registrerades personliga integritet förhindras. Därvid skall uppgifternas kvalitet särskilt beaktas.

Generaldirektören för Riksförsäkringsverket har det övergripande ansvaret för ADB-säkerheten hos verket och försäkringskassorna.

Försäkringskassans direktör har ansvaret för ADB-säkerheten hos försäkringskassan.

Ansvaret för ADB-säkerheten hos Riksförsäkringsverkets och försäkringskassornas gemensamma ADB-system regleras, utöver vad som följer av denna författning, genom beslut av verkets generaldirektör i särskild ordning.

Under ledningen har den som är ansvarig för någon del av verksamheten hos Riksförsäkringsverket eller försäkringskassan också ansvaret för ADBsäkerheten inom sitt arbetsområde.

Hos Riksförsäkringsverket skall det finnas en ADB-säkerhetschef som är direkt underställd verkets generaldirektör.

Det åligger ADB-säkerhetschefen särskilt att bevaka

dels att ADB-säkerheten är betryggande för Riksförsäkringsverkets och försäkringskassornas ADB-system och den information som behandlas där,

dels att ADB-säkerhetsarbetet är tillfredsställande organiserat hos Riksförsäkringsverket och försäkringskassorna.

Hos Riksförsäkringsverket skall chefen för varje avdelning utse en tjänsteman med uppgift att särskilt bevaka ADB-säkerheten inom avdelningen och att fungera som avdelningens kontaktperson i ADB-säkerhetsfrågor (ADBsäkerhetssamordnare).

Chefen för en enhet eller ett sekretariat som är fristående från avdelningsindelningen inom Riksförsäkringsverket skall ha motsvarande uppgifter som en avdelningschef enligt första stycket.

Hos försäkringskassan skall direktören utse en tjänsteman med uppgift att särskilt bevaka ADB-säkerheten inom försäkringskassan och att fungera som försäkringskassans kontaktperson i ADB-säkerhetsfrågor (ADB-säkerhetssamordnare).

Hos försäkringskassan kan direktören utse en särskild tjänsteman till driftansvarig för varje ADB-system på ett central- eller lokalkontor. Om någon driftansvarig inte utsetts är chefen för kontoret driftansvarig för ADB-systemet på kontoret.

För avdelningar med drift av ADB-system hos Riksförsäkringsverket är avdelningschefen driftansvarig. För en avdelning med särskilt omfattande drift av ADB-system kan verkets generaldirektör medge att avdelningschefen får utse en särskild tjänsteman till driftansvarig.

I den driftansvariges åligganden ingår det särskilt att se till att personalen får tillräcklig utbildning om ADB-säkerheten i driftmiljön, att säkerhetsanalyser av riskerna för störningar i driftmiljön görs regelbundet och att föreskrifterna i 20 § första stycket och 21 § iakttas.

För varje ADB-system som innehåller personuppgifter eller är av väsentlig betydelse för verksamheten skall den driftansvarige se till att det finns

1. en behörighetsadministratör med uppgift att rapportera in de uppgifter om behörighet för personalen som beslutats enligt 15 §, 2. en systemadministratör med uppgift att handha det tekniska systemet direkt under den driftansvarige och 3. en driftadministratör med uppgift att sköta den löpande driften av ADBsystemet.

En tjänsteman får inte samtidigt inneha mer än en av de funktioner som anges i 10 och 11 §§. Den som är driftansvarig får dock tjänstgöra som driftadministratör, om särskilda skäl föreligger.

De åtgärder som utförs av en systemadministratör skall dokumenteras i en för systemet förd loggbok och signeras av såväl den driftansvarige som systemadministratören. För Riksförsäkringsverkets ADB-avdelning gäller vad som beslutas av generaldirektören i särskild ordning.

De ADB-system som innehåller personuppgifter eller är av väsentlig betydelse för verksamheten skall skyddas av behörighetskontrollsystem, om det inte är uppenbart obehövligt. Den anställde skall inte ges vidare behörighet att ta del av eller påverka innehållet i sådana ADB-system än han behöver för att kunna sköta sina arbetsuppgifter. Behörigheten gäller endast rätt att utnyttja registren för handläggning av tjänsteärenden. Behörigheten är personlig och får inte överlåtas.

Hos försäkringskassan skall direktören eller den han utser bestämma omfattningen av den behörighet som varje anställd skall ha.

Hos Riksförsäkringsverket skall chefen för varje avdelning eller den han utser bestämma omfattningen av den behörighet som varje anställd skall ha. För en enhet eller ett sekretariat som är fristående från avdelningsindelningen åligger denna uppgift chefen för enheten respektive sekretariatet.

Omfattningen av de anställdas behörighet skall vara skriftligen dokumenterad.

Den som är anställd hos Riksförsäkringsverket eller försäkringskassan får inte bestämma omfattningen av sin egen behörighet att ta del av eller påverka innehållet i sådana ADB-register som avses i 14 §. En anställd får inte heller rapportera in uppgifter om sin egen behörighet till registren.

Innan ett tillämpningssystem som är nytt eller ändrat införs, skall det göras en analys av riskerna för störningar i systemet. Därefter skall sådana säkerhetsanalyser göras regelbundet så länge systemet används. Det åligger den systemansvarige att se till att säkerhetsanalyser görs och att resultatet av analyserna beaktas.

För varje programprodukt som utvecklas eller anskaffas av Riksförsäkringsverket eller försäkringskassan för att ingå i ett gemensamt tillämpningssystem eller tekniskt system skall Riksförsäkringsverket utse en produktansvarig tjänsteman. För andra programprodukter som utvecklas eller anskaffas av Riksförsäkringsverket eller en försäkringskassa åligger det verket respektive försäkringskassan att se till att det finns en produktansvarig tjänsteman.

Den produktansvarige skall ansvara för att programprodukten byggs upp och förvaltas så att den uppfyller kravet på en god ADB-säkerhet. Därvid skall han särskilt se till att föreskrifterna i 20 § andra stycket iakttas vid programutvecklingen.

Riksförsäkringsverket fastställer de tekniska normer som skall gälla för den utrustning som får anslutas till verkets och försäkringskassornas gemensamma tekniska system. Genom tester undersöks att den utrustning som ansluts uppfyller fastställda normer. Har en sådan undersökning inte tidigare skett, åligger det den som begär anslutning av utrustningen att ansvara för att erforderliga tester sker och att bekosta dem.

Riksförsäkringsverket fastställer de normer och standarder som skall gälla för ADB-systemen hos Riksförsäkringsverket och försäkringskassan avseende exempelvis systemutvecklingsmodell, hjälpmedel och metoder för programutveckling, system för databashantering och gränssnitt för informationsöverföring.

De ADB-system som används i den löpande verksamheten får inte användas för utveckling, underhåll och testning av teknik och programprodukter. För dessa ändamål skall andra tekniska system användas.

ADB-systemen för den löpande verksamheten får inte användas för sådan utbildning om avser personregister eller förändring av innehållet i övriga register.

Denna författning träder i kraft den 1 april 1994.

Genom författningen upphävs 1. kungörelsen (RFFS 1981:22) om datasäkerhetsarbetet vid de allmänna försäkringskassorna, 2. föreskrifterna (RFFS 1988:4) om behörighet att använda bildskärmsterminaler.

RIKSFÖRSÄKRINGSVERKET

KARL GUSTAF SCHERMAN

Birgitta Norin Sam Söderquist