Formålet med Aarhus Universitets politik og regler for Styring af aktiver:
Aktiver i relation til information og informationsbehandlingsfaciliteter skal identificeres, og der skal udarbejdes og vedligeholdes en fortegnelse over disse aktiver. (A.8.1.1)
Der skal udpeges en ejer i organisationen for hvert aktiv. (A.8.1.2)
Enhedsledelsen med ejerskab af kritiske informationsaktiver på Aarhus Universitet skal sikre at disse indgår i en opdateret fortegnelse med anvisning af passende og implementerede sikringsforanstaltninger.
For aktiver med karakter af kritiske it-systemer skal enhedsledelsen udpege en systemejer.
Regler for accepteret brug af information og aktiver i relation til information og informationsbehandlingsfaciliteter skal identificeres, dokumenteres og implementeres. (A.8.1.3)
Universitetsledelsen har defineret et fælles regelsæt for accepteret brug af aktiver i Regler for Informationssikkerhed.
Alle medarbejderes og eksterne brugere skal aflevere alle organisationsaktiver, der er i deres besiddelse, når deres ansættelse, kontrakt eller aftale ophører (A.8.1.4)
Fra centralt hold er der tilrettelagt og etableret en række tiltag for at dække ovenstående krav:
|
Information skal klassificeres efter lovmæssige krav, værdi og efter, hvor følsom og kritisk informationen er i forhold til uautoriseret offentliggørelse eller ændring. (A.8.2.1)
Der skal udarbejdes og implementeres et passende sæt af procedurer til mærkning af information i overensstemmelse med det informationsklassifikationssystem, som organisationen har vedtaget. (A.8.2.2)
Der skal udarbejdes og implementeres procedurer til håndtering af aktiver i overensstemmelse med det informationsklassifikationssystem, som organisationen har vedtaget. (A.8.2.3)
På Aarhus Universitet skal alle klassificere, mærke og håndtere sine informationer i henhold til Aarhus Universitets Informationsklassifikationssystem.
Fra centralt hold er der tilrettelagt og etableret en række tiltag for at dække ovenstående krav:
Det betyder, hvis I kan holde jeres kritiske, fortrolige eller følsomme informationer indenfor disse centrale udbudte løsninger, er dette sikret af Aarhus Universitet. Såfremt I har andre behov baseret på jeres risikovurdering, skal dette sikres lokalt. |
Der skal implementeres procedurer til styring af bærbare medier i overensstemmelse med det klassifikationssystem, som organisationen har vedtaget. (A.8.3.1)
Medier skal bortskaffes på forsvarlig vis, når der ikke længere er brug for dem, i overensstemmelse med formelle procedurer. (A.8.3.2)
Medier, der indeholder information skal beskyttes mod uautoriseret adgang, misbrug eller ødelæggelse under transport. (A.8.3.3)
Enhedsledelsen skal sikre ovenstående procedurer, der kan indfri formålet om at forhindre uautoriseret offentliggørelse, ændring, fjernelse eller destruktion af information lagret på medier i den pågældende enhed.
Fra centralt hold er der tilrettelagt og etableret en række tiltag for at dække ovenstående krav:
Det betyder, hvis I kan holde jeres kritiske, fortrolige eller følsomme informationer indenfor disse centrale udbudte løsninger, er dette sikret af Aarhus Universitet. Såfremt I har andre behov baseret på jeres risikovurdering, skal dette sikres lokalt. |
SPØRGEGUIDE
Spørgeguiden skal anses som et hjælpeværktøj - en metode til at komme omkring kravene i den enkelte politik:
Et aktiv er en værdi for universitetet som ejendom, maskiner, lagre, biler, inventar, computere, servere, enheder, it-systemer goodwill, patenter og lignende.
I forbindelse med informationssikkerhed defineres ’aktiver’ bredt som eksempelvis it-systemer, domæner, lyd- og videooptagelser, vævsprøver samt papirdokumenter eller andet, som indeholder informationer med behov for beskyttelse i henhold til risikovurderingen.
Kritiske aktiver indeholder som minimum it-systemer (eksempelvis med en systemklassifikation A) samt øvrige aktiver, der kan påvirke den enkelte enhed med en uacceptabel risiko for utilsigtet offentliggørelse, kompromitering eller tab.