Her er DKCERTs 17 anbefalinger til de it-ansvarlige

DKCERTs seneste anbefalinger om informationssikkerhed til it-ansvarlige på uddannelses- og forskningsinstitutioner ser således ud.

DKCERT udsender hvert år en Trendrapport om sikkerhedsåret og med nye anbefalinger til universiteterne.

Rapporten sammenfatter sikkerhedshændelser, scanninger af forskningsnettet og de øvrige aktiviteter som DKCERT har været engageret i vedrørende informationssikkerheden på det danske forskningsnet.

Materialet sættes i perspektiv med information og data fra eksterne sikkerhedsfirmaer og eksterne skribenter.

Informationerne samles i en række anbefalinger til henholdsvis ledelsen og til de it-ansvarlige på uddannelses- og forskningsinstitutioner.

Her er anbefalingerne til de it-ansvarlige:

DKCERT anbefaler, at institutionens informationssikkerhedsansvarlige sammen med ledelsen og repræ-sentanter for forretningen udarbejder en risikovurdering som grundlag for alle sikkerhedstiltag. En risi-kobaseret tilgang er et krav både i ISO 27001 og i GDPR. En risikovurdering kan med fordel udarbejdes ud fra anbefalingerne i ISO 27005 eller et rammeværk som fx Octave Allegro.

1. Opfordr ledelsen til at være aktiv i informationssikkerhedsarbejdet.
2. Ajourfør og vedligehold informationssikkerhedspolitikken med faste mellemrum.
3. Ved implementering af nye systemer skal du overveje brugen af persondata og beskyttelse af disse. Vær opmærksom på princippet om dataminimering jf. GDPR.
4. Hav fokus på sikkerheden ved udvikling af applikationer og tjenester samt tilretninger af eksiste-rende systemer, eksempelvis med udgangspunkt i principperne om security og privacy by design.
5. Tænk sikkerhed ind i relationen til leverandører og samarbejdspartnere.
6. Hold brugernes enheder opdateret. Overvej, hvordan det kan sikres, at brugernes egne enheder er opdateret og sikre, når de anvender dem til arbejds- eller studieformål.
7. Effektiviser og vedligehold patch management – eventuelt ud fra principperne i ITIL.
8. Hav fokus på sikkerheden i institutionens webapplikationer.
9. Begræns brugernes privilegier, fx ved at fjerne lokal administrator i Windows.
10. Etabler whitelisting af tilladte applikationer.
11. Klassificer data for at identificere kritiske data.
12. Begræns adgangen til kritiske data og beskyt dem eventuelt med kryptering.
13. Tag sikkerhedskopi af alle data, der skal beskyttes. Kontroller, at sikkerhedskopier kan indlæses, og husk at slette kopierne i henhold til din backup-politik.
14. Indfør tiltag mod misbrug via gæstenetværk.
15. Anvend single sign-on suppleret med to-faktor-autentifikation.
16. Tilbyd en passwordmanager til brugerne.
17. Undervis brugerne i sikkerhedsrisici og forholdsregler