FINF Eksamensoppgaven høsten 2013

Presentasjon om: "FINF Eksamensoppgaven høsten 2013"— Utskrift av presentasjonen:

1 FINF 4001 - Eksamensoppgaven høsten 2013
FINF H IKT-styring i offentlig forvaltning Arild Jansen, AFIN Gjør rede for hovedelementene i sikringen av personopplysninger i offentlig forvaltning. Hva ved personopplysninger er det som skal sikres og hvilke virkemidler er aktuelle for å oppnå tilfredsstillende sikkerhet? I hvilke faser i utviklingen av et rettslig beslutningssystem bør ivaretakelse av informasjonssikkerhet skje, og hva bør være hovedelementene i et slikt arbeid? I svaret på denne delen av oppgaven kan det være en fordel å tydeliggjøre sammenhenger med svarene på første del av oppgaven. Problematiser og drøft forholdet mellom et prosjekt og arbeidet i linjen når det gjelder utvikling, drift og videreutvikling av rettslige beslutningssystemer. Trekk blant annet inn arbeidet med å oppnå ønskede gevinster.

2 Generelt om besvarelsen
FINF H IKT-styring i offentlig forvaltning Arild Jansen, AFIN Generelt om besvarelsen Helt Ok å svare på oppgavene i noe annen rekkefølge, men det bør klart framgå hva svarene gjelder. Det er videre naturlig å vise til svar på sp. 1&2 i svar på sp. 3 Bra med figurer eller andre illustrasjoner, men disse må forklares for å gi full uttelling Svar på sp. 1-3 skal spesielt ta utgangspunkt I POL, §§13-14, og POF, Men det er greit å innlede med referanse til §§ 2, 3, 6, 8-9), men dette har begrenset uttelling, dersom det ikke brukes til å begrunne spesifikke svar på spørsmålene. Relevant å nevne forhold mellom beskyttelse/taushetsplikt, opplysningsrett og opplysningsplikt, jf. også Fvl, og Offl, og POL § 18 Et viktig poeng for alle oppgaver er personopplysninger i økende grad utveksles og behandles utenfor den enkelte virksomhets fulle kontroll, for eks. i samhandling med andre forvaltningsorganer, ved outsourcing (ikke minst skytjenester) og i nettbasert interaksjon med innbyggere eller private aktører. Begrepene databehandler og databehandlingsansvarlige bør forklares Viktig med eksempler for å illustrere mer generelle formuleringer – særlig vedr. sp. 3 og 4

3 Sp. 1: hovedelementene i sikringen av personopplysninger
FINF H IKT-styring i offentlig forvaltning Arild Jansen, AFIN Sp. 1: hovedelementene i sikringen av personopplysninger Naturlig innledningsvis å definere Personopplysninger (PO) og hva som ansees som behandling av PO, videre at saksbehandling og (automatiserte) beslutningssystemer nesten alltid inneholder personopplysninger. Særlige krav til beskyttelse av sensitive personoppl. Viktig å påpeke at formålet er å sikre mot misbruk, ulovlig/urettmessig bruk, og samtidig sikre tilstrekkelig tilgang for autorisert bruk, samt å sikre at PO har tilstrekkelig kvalitet. Naturlig å definere begreper som Konfidensialitet, integritet og tilgjengelighet (KIT) og gjøre rede for hvordan disse begreper henger sammen. Tydeliggjøre at Informasjonssikkerhet gjelder alle 3 krav . Videre bør databehandler og databehandlingsansvarlig forklares Få tydelig fram at §13 krever at det skal iverksettes systematiske tiltak, samt at disse blir dokumentert, og videre at det pålegges å ha en avtale mellom behandlingsansvarlig og ev. databehandler som sikrer tilfredsstillende informasjonssikkerhet Begrepene autorisasjon, autentisering og ikke-benekt kan gjerne forklares

4 FINF H 12 IKT-styring i offentlig forvaltning Arild Jansen, AFIN
Virkemidler Loven krever at det er planlegges og iverksattes systematiske tiltak, samt at disse blir dokumentert. Kort drøfte sikkerhetsledelse, risikovurdering, revisjon/avvik og dokumentasjon Drøfting av tiltak må omfatte hva kravene til Konfidensialitet, integritet og tilgjengelig innebærer (bl. annet mekanismer for autorisasjon og autentisering), samt å drøfte de typer ulike tiltak som er nevnt i forskrift Skille mellom ulike typer av tiltak: Rettslige, organisatoriske, teknologiske, pedagogiske, økonomiske, som bør utdypes . Viktig at de ikke bare drøfter beskyttelse, men også tiltak som sikrer tilstrekkelig tilgjengelighet (f eks. tilgang, krav til oppetid, sikkerhetskopiering,..) og videre rutiner for oppdatering, kvalitetskontroll, osv. ) Nevner noen utfordringer knyttet til samhandling, outsourcing,.., hvor blant avtaler og ansvarsforhold mellom databehandlingsansvarlig og databehandler

5 Faser i utviklingen av et rettslig beslutningssystem….
FINF H IKT-styring i offentlig forvaltning Arild Jansen, AFIN Faser i utviklingen av et rettslig beslutningssystem…. Innledningsvis forklare et rettslig BS (til forskjell fra et rent rettslig IS) og kort beskrive fasene, enten med utgangspunkt i DWS metodikken og ev. Prosjektveiviseren (som også er relevant for svar på sp. 4.) Bra med en figur. Drøftingen bør særlig omfatte i) prosjektetablering (bl.a. Mandat, ledelses- og ansvarsforhold), ii) innrammings- og avgrensningsfasen, her skille mellom rett som ramme og innhold og her avklare hvilke rettsregler som er relevante, iii) interessent- og aktøranalyse hvor vil avklare hvem som skal ha ansvar for behandling av PO, iv)innsamling av rettskilder, hvor de spesifikke rettslig krav inf.sikkerhet klarlegges v) spesifikasjons- og utviklingsfasen hvor konkrete tiltak beskrives og utformes, vi) dokumentasjon av rettslig innhold, og i igangsettingsfasen, hvor også inf. sikkerhetstiltak iverksettes, inkludert endringer i organisering og arbeidsprosesser, ansvarsforhold mm, vii) SU-prosessen kan innebære regelverksendringer.

6 Sp. 4 Forholdet mellom prosjekt og i linjen, gevinstrealisering
FINF H IKT-styring i offentlig forvaltning Arild Jansen, AFIN Sp. 4 Forholdet mellom prosjekt og i linjen, gevinstrealisering Først forklare forskjell mellom prosjektet og ordinære linje-organisasjon (ansvar og myndighet/kompetanse,..). Spesielt vektlegge at fortolkning og transformasjon av rettsregler krever rettslig kompetanse (både formelt og reelt), Videre at planlegging og gjennomføring av rettslige endringer må skje innenfor ordinære myndighetsstruktur (departement , ev. direktorat etter delegasjon). En god struktur på besvarelsen gis ved å beskrive fasene i SU-prosjekt, (eks. PV Gevinstrealisering: Prosjektet skal identifisere/utrede og planlegge mulige gevinster, og videre utvikle løsninger som skaper potensiale for gevinster, mens realiseringen , dvs. iverksettingen av løsningen (teknisk, org., rettslig,..) må stort sett skje i linja som har tilstrekkelig myndighet. Konket vil det være ledelsen i virksomheten som har ansvar for iverksetting. Ved rettslige endringer vil som regel departementet (flere?) måtte involveres. Som støtte i besvarelsen kan både DWS- og PV-figurer nyttes , men det kreves at de ulike aktuelle elementene forklares og at relevansen begrunnes opp mot spørsmålet . Det forventes ikke at besvarelsen referer til spesielle modeller for gevinstrealisering, men viktig å få fram at gevinster må indentifiseres og planlegges tidlig i prosjektet, inkludert å avklare forutsetninger for å oppnå dem

7 Prosjekt-mandat, styringsgruppe Konkrete prosjekt-gruppe
Mulig støttefigur for å forklare prosjekt-linje, spesielt for å ilustrere tverr-sektorielle prosjekter Overordnet styring og prioritering Generelle mål, rammer for prosjekt Departementene Prosjekt-mandat, styringsgruppe Konkrete prosjekt-gruppe - - . Etatsledelse, juss og organisering - Prosjekt-mandat, styringsgruppe . Operativt : IKT ogFag . Konkrete prosjekt-gruppe . 7 SOFTWARE Arild Jansen AFIN , UiO