Sikkerhet ved datasystemer hos Skjåk Energi Prosjektoppgave av Tordis Brandsar våren 2006 Veileder Svend Andreas Horgen, Høgskolen i Sør-Trøndelag Avslutning av ViD-studiet ved Høgskolen i Sør-Trøndelag. ViD står for videreutdanning i datateknikk og er et ettårig studium som tilbys spesielt til dem som har fullført en annen høgskoleutdanning tidligere. Bygger på fjernundervisning.

Skjåk Energi Kommunalt everk, 100 % eid av Skjåk kommune Etablert i 1919 32 ansatte og to lærlinger Omsetning på nærmere 50 millioner kroner i året Har konsesjon for å selge kraft og drive med nettoverføring i Skjåk I tillegg til å være everk har bedriften to sideavdelinger Installasjonsavdeling Elektrobutikk Omorganiseringsprosess 2006 Utskillelse av sideavdelingene Omsetningstall fra 2004 var på 40 millioner kroner. Omsetningen vil stige siden everket har fått større tilgang på kraft. Omsetning i 2005 på 49 millioner kroner. I løpet av 2006 skal installasjonsavdeling og elektrobutikk skilles ut fra Skjåk Energi.

Oppgave Kartlegge og vurdere sikkerheten i datasystemene hos Skjåk Energi Finnes det en helhetlig sikkerhetsstrategi Blir denne fulgt?

Bakgrunn for oppgave Sikkerhet er viktig Ønsker med oppgaven at det blir økt fokus på sikkerhet hos Skjåk Energi Interessant tema for en prosjektoppgave For student blir det ekstra interessant å kunne bruke egen arbeidsplass i prosjektoppgaven. Håper også at bedriften vil ha nytte av denne oppgaven.

Påstand Små og mellomstore bedrifter er ikke bevisste på farene ved ikke å ha en helhetlig sikkerhetsstrategi Satser på fysisk sikring av systemene Glemmer å beskytte informasjonen

Kartlegging av systemet Intervju med everksjefen hos Skjåk Energi Spørreundersøkelse gjennomført på et utvalg av de ansatte i bedriften Flere intervju og samtaler med IT-ansvarlig for å samle informasjon Bakgrunnsmateriale Fagstoff Internett og Sikkerhet Fagstoff Informasjonsforvaltning Håndbok i datasikkerhet NVE sine nettsider og samtale med IT- ansvarlig hos NVE Norsis sine nettsider Har vært i kontakt med Jostein Duun, Ottadalen Installasjon AS og Kjell Møllerløkken hos Daldata AS for mer informasjon/kontroll av opplysninger.

Prosjektoversikt Kartlegging av dagens situasjon hos Skjåk Energi vdr. sikkerhet i datasystemene og sikkerhetsstrategi med følgende hovedtemaer Generell informasjon om Skjåk Energi Ledelsen sitt syn på sikkerhet Rutinene Brukerne Datasystemet Beredskapsplan/sikkerhetsstrategi

Resultat (1) Det finnes ingen helhetlig sikkerhetsstrategi hos Skjåk Energi Sikkerhet i datasystemer er ikke inkludert i internkontrollsystemet IT-ansvarlig har ingen retningslinjer å forholde seg til Dette gjør hans arbeid vanskelig Uklare ansvarslinjer i bedriften Avdelingene forholder seg ikke til hva som er best for bedriften Manglende rutiner og tilgangskontroller Ingen bevisst holdning til sikkerhet hos brukerne Varierende kunnskaper innen generell databruk Ingen gruppering av brukerne med ulike rettigheter Ingen rutiner for hvordan sikkerhetsbrudd skal behandles Avdelinger kjøper inn utstyr og programmer uten å ta kontakt med IT-ansvarlig. Manglende samsvar både på oppsett av maskiner og programvare.

Resultat (2) Derimot er det tilrettelagt brukbare tekniske løsninger for å beskytte datasystemene Antiviruskontroller Brannmur og sikring av webserver Sikkerhetskopiering Logging av hendelser Alarmsystem Alt av utstyr og lokaler er forsikret

Anbefaling til videre arbeid I forbindelse med omorganiseringen av Skjåk Energi bør det nå være aktuelt å inkludere sikkerhet i prosessen videre Utarbeide en sikkerhetspolitikk for bedriften Bestemme sikkerhetsnivå Metoder for å oppnå dette Prioritere hva som skal beskyttes Plassering av sikkerhetsmessig ansvar Kartlegging av hva slags risikoer bedriften står overfor (risikoanalyse) Retningslinjer for de ansatte Konsekvenser ved brudd på reglene Bevisstgjøring av egne ansatte Øke kunnskapsnivået Motivere dem til å tenke sikkerhet Dette er anbefaling til videre arbeid for bedriften. Må bestemme seg for hva som skal beskyttes, hvor sikkerhetsnivået skal ligge, deretter foreta en risikoanalyse for å finne ut hvor bedriften er mest sårbar ut ifra dagens system. Bevisstgjøring av de ansatte er meget viktig, uten samarbeid fra dem hjelper det ikke hvor bra sikkerhetsopplegget er.