aðgangsstýring
Aðgangsstýringar eru gríðarlega mikilvægar fyrir öll tölvukerfi og mynda ákveðinn grunn fyrir því að rekstur kerfisins gangi vel og það sé öruggur vettvangur fyrir fólk.
Reykjavíkurborg fylgir reglum um aðgangsstýringu sem eru viðurkenndar af alþjóðlegum stöðlum sem góð og örugg vinnubrögð og er byggt á reynslu á rekstri tölvukerfa um víða veröld.
Eftirfarandi texti er úr handbók UTR varðandi uppsetningu
Í Google skólaumhverfinu eru aðgangstýringar settar upp á eftirfarandi hátt :
Allsherjar aðgangur
Þessi aðgangur er í höndum tölvudeildar og er mjög víðtækur og nær yfir flest allar mögulegar aðgerðir í kerfinu. Tölvudeild skal alltaf passa að vera með einn slíkan aðgang fyrir deildina þar sem það er tryggt að hægt sé að komast inn í kerfið en ekki notaður að öðru leiti. Annar slíkur aðgangur skal vera fyrir kerfisstjóra sem passar að breytingar og frekari þróun og uppsetning á kerfinu samræmist öryggisreglum og stefnum borgarinnar.
Umsjónamanna aðgangur (e. local admin)
Hver og einn skóli er hvattur til að hafa einhvern í skólanum sem tekur að sér að umsjón með búnaði og hefur aukin réttindi í Google umhverfið til að geta leyst ákveðin mál á fljótlegan hátt. Lagt er til að þessir aðilar séu færir í notkun Google kerfisins og fái líka aðgang að MIM kerfinu sem sér um aðgangstýringar fyrir Reykjavíkurborg.
Kennara aðgangur
Kennarar eru sérstaklega skilgreindir í kerfinu og geta séð bekkina sem þeir eru með í Classroom og haft umsjón með þeim nemendum sem eru skráðir í þá og svo þær þjónustur sem eru í boði og skjöl sem aðrir hafa deilt með þeim.
Nemenda aðgangur
Nemendur er sérstaklega skilgreindir í kerfinu og geta séð bekkina sem þeir eru skráðir í Classroom og svo þær þjónustur sem eru í boði og skjöl sem aðrir hafa deilt með þeim.
Stofnun aðgangs:
Þegar starfsmaður hefur störf er grunnaðgangur stofnaður. Annan aðgang, umfram þann lágmarksaðgang, þarf að óska eftir sérstaklega.
Það er gert í gegnum umsóknarvef sem aðgengilegur er á innri vef Reykjavíkurborgar. Viðkomandi yfirmaður slær inn eigin kennitölu, kennitölu þess starfsmanns sem hefur störf, og fer þannig í gegnum ferlið um skráningu starfsmanns. Þá er sett inn hvaða búnað viðkomandi starfsmaður þarf að hafa. Skráning á umsóknarvef skilar síðan beiðni í beiðnakerfi UTR þar sem áfram er unnið með viðkomandi notanda.
Ef veita á nýjum starfsmanni aðgang að kerfi eða upplýsingum umfram lágmarksaðgang þarf eigandi viðkomandi kerfis/upplýsinga að gefa leyfi fyrir viðkomandi aðgangsveitingu með formlegum hætti, annað hvort með tölvupósti sem hengdur er við viðkomandi beiðni eða með rekjanlegum hætti innan beiðnakerfis.
Mikilvægt er að óska tímanlega eftir aðgangi umfram lágmarksaðgang til að veita UTR nægan tíma til að gera breytingar.
Breyting aðgangs / starfsvettvangs:
Þegar starfsmaður breytir um starfsvettvang innan Reykjavíkurborgar er það á ábyrgð fyrrverandi yfirmanns að óska eftir að sértækum aðgangi starfsmanns sé lokað. Þetta er gert í gegnum Umsóknarvef sem er aðgengilegur á Innri vef RVK. Það er ábyrgð þess yfirmanns sem tekur við viðkomandi starfsmanni að óska eftir sértækum aðgangi samkvæmt nýjum starfsskyldum. Slíkar beiðnir skulu koma með formlegum og rekjanlegum hætti.
Það er sérstaklega mikilvægt þegar starfsfólk með aðgang að persónuupplýsingum um börn lætur af störfum að loka fyrir aðgang.
Starfslok
Þegar starfsmaður lætur af störfum hjá Reykjavíkurborg er það á ábyrgð fráfarandi yfirmanns að óska eftir að aðgangi starfsmanns sé lokað. Slíkar beiðnir skulu koma með formlegum og rekjanlegum hætti. Þetta er gert í gegnum Umsóknarvef sem er aðgengilegur á Innri vef RVK. Stjórnandi skal taka við lykli/aðgangskorti viðkomandi starfsmanns og öðrum eigum/verðmætum UTR sem starfsmaður hefur haft í sínum fórum. Ef ekki er óskað eftir að aðgangi fyrrverandi starfsmanns sé lokað geta liðið allt að 5 mánuðir þar til aðgangi er lokað (3 mánuðir á launaskrá + 2 mánuðir).
Það er sérstaklega mikilvægt þegar starfsfólk með aðgang að persónuupplýsingum um börn lætur af störfum að loka fyrir aðgang.
Ef um tímabundið leyfi er að ræða skal viðkomandi yfirmaður meta hvort óvirkja eigi aðgang þar til viðkomandi kemur aftur til starfa. (Viðmiðunarregla er að óvirkja aðgang ef um er að ræða leyfi lengra en þrír mánuðir).
Rýni á aðgangi:
Eigandi viðkomandi upplýsingakerfis / upplýsinga skal með reglulegum hætti fara yfir aðgang að viðkomandi kerfi. Er það gert í samræmi við samþykkta skráningu um eigendur og ábyrgð verðmæta UTR (og viðskiptavina þess). Skal viðkomandi eigandi (eða sá sem falið er það verk) staðfesta með formlegum hætti að yfirferð hafi farið fram. Þessi staðfesting getur verið með tölvupósti eða í gegnum beiðnakerfi UTR.
Rýni á aðgangi er mikilvægt verkfæri til að vernda persónuupplýsingar. Þess vegna er mikilvægt að sú rýni sé framkvæmd reglulega.
Markmið
Stuðla að samræmdu og öryggu ferli við skráningar, breytingar og lokun á aðgangi notenda.
Eftirlit
Farið er yfir aðgang að öllum kerfum að lágmarki einu sinni á ári samkvæmt áætlun.
Frávik
Öll frávik frá þessari reglu skulu skráð í frávikaskráningu UTR.
Staða
Virk
A.9.4 Aðgangstýringar í kerfum og hugbúnaði
Markmið: Að koma í veg fyrir óheimilan aðgang að kerfum og hugbúnaði.
A.9.4.1 - Takmörkun á aðgangi að upplýsingum
Stýring: Aðgang að upplýsingum og aðgerðum hugbúnaðarkerfa skal takmarka í samræmi við stefnuna um aðgangsstýringar.
A.9.4.2 - Verklagsreglur um örugga innskráningu
Stýring: Þar sem stefnan um aðgangsstýringu krefst þess skal aðgangi að kerfum og hugbúnaði stýrt með verklagsreglu um örugga innskráningu.
A.9.4.3 - Stjórnunarkerfi aðgangsorða
Stýring: Stjórnunarkerfi aðgangsorða skulu vera gagnvirk og skulu tryggja vönduð aðgangsorð.
A.9.4.4 - Notkun hjálparforrita með sérréttindi
Stýring: Notkun hjálparforrita sem gætu haft getu til þess að fara fram hjá kerfis- og hugbúnaðarstýringum skal vera takmörkuð og undir nákvæmri stýringu.
A.9.4.5 - Stýring á aðgangi að frumkóta forrita
Stýring: Aðgangur að frumkóta forrita skal vera takmarkaður.