1. Formål
Formålet med reglementet er å sikre ivaretakelse av informasjonssikkerhet og IT-tjenester ved AHO.
2. Virkeområde
IT-reglementet gjelder for enhver bruk av AHOs IT-ressurser. Reglementet gjelder også bruk av tredjeparts IT-ressurser gjennom brukers tilknytning til AHO.
AHOs IT-ressurser omfatter alt av IT-utstyr, programvare, lagrings- og behandlingsressurser, brukertjenester, applikasjoner, systemer, driftstjenester, støttefunksjoner, nett og annet IT-relatert som til enhver tid stilles til disposisjon for brukerne.
Reglementet omfatter også bruk av andre organisasjoners og institusjoners IT-ressurser som brukerne får tilgang til gjennom sin tilknytning til høyskolen.
Vær klar over at reglene i IT-reglementet også gjelder når brukeren anvender privat utstyr på AHOs nett og der høyskolens IT-ressurser benyttes fra steder utenfor høyskolens lokaler og område, eksempelvis hjemmefra eller på reise.
3. Identitet
Med "brukerkonto" mener vi i dette reglementet den personlige konto som AHO tildeler navngitte personer.
Brukerkonto for ansatte opprettes på grunnlag av informasjon om den ansatte i AHOs lønns- og personalsystem SAP-DFØ, mens brukerkonto for studenter opprettes på grunnlag av informasjon om den enkelte student i det studieadministrative systemet Felles studentsystem. Personer som ikke er ansatte eller studenter ved høyskolen, men skal ha tilgang til høyskolens IT-ressurser registreres som tilknyttet bruker i SAP-DFØ. Besøkende kan få begrenset tilgang som gjestebruker.
Brukernavn og passord gir rett til å anvende AHOs IT-ressurser i tråd med til enhver tid gjeldende retningslinjer og regler ved AHO. Hvilke IT-ressurser den enkelte bruker får tilgang til, er avhengig av vedkommendes rolle og tilknytning og hvilke tilganger som følger av denne.
Du kan ikke låne bort eller dele dine innloggingsopplysninger eller adgangskortet med andre, og du kan heller ikke prøve å få tilgang til systemene ved å bruke noen andres passord eller brukernavn. Du må også sørge for at du ikke bruker det samme passordet for AHO-kontoen din og andre tjenester du bruker.
4. Bruk av høyskolens IT-ressurser
AHOs IT-ressurser, skal bare brukes til det de er ment for. AHOs IKT-ressurser er ment å støtte høyskolens aktiviteter, og du har et ansvar for å bruke dem på en måte som er fornuftig og knyttet til AHOs formål. Hvis du behandler taushetsbelagte opplysninger, må du følge retningslinjene om taushetsplikt. Du kan ikke bruke AHOs e-post eller lagringstjenester til næringsvirksomhet eller privat kommunikasjon og lagring. Det er anledning for ansatte til å koble til dine private e-postadresser og lagringsområder på ditt AHO-utstyr.
Bruken av AHOs IKT-ressurser skal være forsvarlig. Det innebærer blant annet at det ikke skal publiseres eller distribueres ærekrenkelser eller diskriminerende uttalelser, ei heller krenke privatlivets fred. Det skal heller ikke spres taushetsbelagte opplysninger, eller utføre, oppfordre eller medvirke til straffbare handlinger. Det er heller ikke lovlig å bruke høyskolens IT-ressurser i kommersielt øyemed.
Bruk som ikke er begrunnet i høyskolens formål er for eksempel privat bruk. Høyskolen tillater normalt denne formen for bruk så lenge den legger beslag på minimalt med ressurser, ikke er til hinder for at andre brukere får utført sine oppgaver eller er i strid andre punkter i IT-reglementet.
Tilgang til og bruk av AHOs IT-ressurser skal være i tråd med AHOs formål. IT-ressurser kan ikke brukes til noe som er uforenlig med AHOs formål og verdigrunnlag.
Vurderingen om den aktuelle bruk er akseptabel vil alltid være basert på en konkret vurdering av hendelser og handlinger i lys høyskolens oppgaver og prioriteringer. Til grunn for vurderingen av om en handling eller hendelse er i tråd med akseptabel bruk eller ikke ligger en vurdering av tre forhold:
- Vurdering av faktisk bruk
- Formålet med denne bruken
- Hvilke ressurser den opptar
IT-ressursene skal ikke brukes på en måte som kan forringe eller krenke deres integritet. Denne bestemmelsen omfatter alle handlinger som medfører endringer i egenskapene, funksjonaliteten eller tilgjengeligheten av en IT-ressurs, og som ikke er begrunnet i tjenestemessige behov eller skjer uten samtykke fra eller uten avtale med tjenesteansvarlig.
Den åpenbare ikke-tillatte måten å bruke IT-ressurser på i denne sammenhengen er med overlegg å skade dem fysisk eller ødelegge deres innhold eller egenskaper. I tillegg vil bruk som setter en ressurs i en sårbar situasjon eller eksponerer høyskolens IT-ressurser for brudd på sikkerhet og åpner dem for ikke-autorisert bruk. Dette kan for eksempel være å «låne bort» bruker med passord eller åpne vedlegg som åpenbart er sendt for å misbruke AHOs IT-ressurser. Brukere har plikt til å følge pålegg og instrukser om bruk av IT-ressursene.
Forvaltning og oppfølging av interne retningslinjer og regelverk, inkludert IT-reglementet, ved AHO er oppgaver og ansvar som er tillagt linjeledere på alle nivåer. I tillegg er det mange ansatte som er delegert slike oppgaver og slikt ansvar gjennom sin stillingsbeskrivelse eller på andre måter, blant annet ansatte i høyskolens IT-organisasjon. Pålegg og instrukser gitt av disse, med begrunnelse i IT-reglementet eller andre sett med regler, har den enkelte bruker plikt til å etterleve. Uenigheter om tolkingen av bestemmelser skal fremlegges til endelig avklaring for den som har overordnet myndighet knyttet til det aktuelle regelsettet.
Der det er påkrevd, skal brukere identifisere seg på korrekt måte. En rett til å bruke AHOs IT-ressurser er et gode gitt til de som har en bestemt tilknytning til høyskolen. Denne retten er personlig, og kan verken deles eller overføres til andre. Forskjellige brukere har forskjellige rettigheter og tilganger. Det å identifisere seg er en sentral del av det å opptre på en korrekt måte som bruker. Store deler av IT-tjenestene forutsetter korrekt identifikasjon, både med tanke på tilgang og sikkerhet.
5. Informasjonssikkerhet
Ved utøvelse av arbeid skal du kun benytte applikasjoner og tjenester som AHO har gjort tilgjengelig for formålet. Arbeidstaker forplikter seg til å overholde arbeidsgivers pålegg om bruk av - samt forbud mot applikasjoner.
Ansatte som trenger å bruke nye systemer, tjenester eller applikasjoner, må avklare dette med leder og IKT/informasjonssikkerhetsansvarlig, og skal alltid følge rutine for anskaffelse av systemer og tjenester. Studenter må gå via emneansvarlig/veileder.
Bruk av private enheter for studenter følger kravene AHO har satt til student-PCer. Det skal ikke logges inn på AHO-konto på offentlig tilgjengelige enheter, som internettkafeer eller på offentlige biblioteker utenfor AHO.
Alle som bruker AHOs IKT-ressurser må melde fra via AHOs digitale service desk dersom man blir kjent med hendelser og forhold som kan true IKT-sikkerheten eller bryte personvernet. Dette inkluderer også svakheter eller brudd som du oppdager i systemene eller tjenestene. Hvis du mottar mistenkelig e-post, meld ifra om disse til vår digitale service desk. Det samme gjelder hvis du mister enheter.
5.1. Avverge og oppdage informasjonssikkerhetshendelser
IKT-systemene ved AHO er tilrettelagt for registrering av aktiviteter (logging) og sikkerhetskopiering. Logger skal blant annet benyttes til å oppdage angrep eller avvik fra interne regler og rutiner, samt avdekke/oppdage brudd på sikkerheten i IKT-systemene.
6. Utlevering av opplysninger og data
Utlevering av brukerdata, opplysninger, logger og/eller trafikkdata til eksterne, herunder politi og påtalemyndighet, skjer kun ved hjemmel i lov.
7. Innsyn i e-post og filer
Under visse forutsetninger kan AHO gjennomføre innsyn i e-post og personlige områder i AHOs tjenester, jf. arbeidsmiljøloven § 9-5 og forskrift om arbeidsgivers innsyn i e-post og annet elektronisk lagret materiale.
8. Korrespondanse, saksbehandling og arkivering
Som offentlig virksomhet har vi en arkivplikt i henhold til arkivlova §6. Bruk e-post kun til kommunikasjon, og ikke til langvarig oppbevaring og/eller arkivering av informasjon. For langvarig lagring av ikke-arkivverdig informasjon kan ansatte benytte seg av Sharepoint/Onedrive/Box.
9. Særskilt om behandling av personopplysninger
Hvis du skal håndtere personopplysninger på AHO, er det ditt ansvar å sørge for at du kjenner gjeldene personvernregler og AHOs egne retningslinjer for behandling av personopplysninger.
10. Opphør eller endring av brukerforholdet
10.1. Ivaretakelse, utlevering og sletting av data
Når du ikke lenger er tilknyttet AHO, er det brukerens ansvar å sørge for at alle egne data fjernes fra AHOs IKT-ressurser. Informasjon og data som skal tas vare på i virksomheten, overføres til et angitt system og/eller lagringsområde, med rett tilgangsstyring. Dette må gjøres i samråd med nærmeste overordnede. Når tilknytningen til AHO opphører, vil tilgangen til brukerkontoen bli stengt, og dataene vil bli slettet innen 3 måneder etter stenging av brukerkontoen.
10.2. Tilbakelevering av utstyr
Når en bruker slutter hos AHO skal alt IKT-utstyr som er stilt til disposisjon, returneres til IT før sluttoppgjøret utbetales.
11. Tilgjengelighet og ivaretakelse av daglig drift
AHO kan midlertidig stenge brukerkontoer eller tilgang til systemer og/eller tjenester hvis det er nødvendig for å avverge eller løse driftsforstyrrelser eller informasjonssikkerhetshendelser. Systemer og/eller tjenester kan i perioder være utilgjengelig for mange eller samtlige brukere hvis dette er nødvendig for å gjennomføre nødvendige driftsoppgaver for å sikre stabilitet og sikkerhet. Så langt som mulig skal dette varsles i forkant via driftsmeldinger som gjøres tilgjengelig for brukerne via epost og driftsmeldinger på den digitale servicedesken, eller ved innlogging i den aktuelle tjenesten.
12. Straffbare handlinger
Dersom det foreligger mistanke om at AHOs IT-ressurser brukes til å gjennomføre straffbare handlinger eller forsøk på det, vil AHO vurdere å anmelde på eget initiativ selv om AHO ikke er den fornærmede part.
Handlinger eller hendelser som innebærer brudd på norsk lov, vil bli anmeldt og kan således medføre straffeforfølgelse eller privatrettslig forfølgelse. Dette kan for eksempel skje ved bruk av AHOs IT-ressurser til straffbare handlinger som å gi utenforstående tilgang til AHOs IT-ressurser for ulovlig utnyttelse, eller opphavsrettskrenkelse som ulovlig nedlastning av filmer, programvare og annet.
13. Sanksjoner
Ved brudd på dette reglementet og tilhørende regelverk vil reaksjon bli vurdert. Bruk av AHOs IT-ressurser som resulterer i brudd på norsk lov vil kunne medføre reaksjoner fra politi og påtalemyndigheter, i tillegg til selvstendige sanksjoner fra AHO. Eksempel på slike sanksjoner kan være begrensninger i tilgangen til IT-ressursene.
AHO kan ikke frata brukere rettigheter eller stille dem til ansvar for deres handlinger der disse har sin direkte årsak i svikt i AHOs IKT-tjenester og/eller -ressurser. Dette gjelder imidlertid ikke dersom svikten ble forsettlig utnyttet av brukeren.
Reaksjonsform vurderes blant annet ut fra alvorlighetsgraden av overtredelsen og om det foreligger tidligere overtredelser. Eksempel på reaksjonsformer kan være midlertidig stenging av tilgang til deler av, eller samtlige IKT-ressurser ved AHO.
Andre reaksjonsformer kan være: advarsel, disiplinærreaksjoner etter lov om statsansatte, m.m. Andre reaksjonsformer kan være utestenging fra studier og eksamen etter universitets- og høyskoleloven, m.m. Avgjørelse om midlertidig stenging av studenters brukerkonto og/eller tilganger til tjenester skal behandles etter reglene om enkeltvedtak i forvaltningsloven.
Dersom studenten skal avlegge eksamen i løpet av perioden brukerkontoen og/eller relevante tilganger er stengt, og det er digital eksamensavvikling, skal AHO enten gi alternativ tilgang til eksamensplattformen eller finne en annen hensiktsmessig løsning slik at studenten kan avlegge eksamen. Tilsvarende gjelder for obligatoriske arbeidskrav.
14. Klage
Vedtak om midlertidig stengning av studenters brukerkonto og/eller tilgang til tjenester, kan påklages til AHOs råd for studentsaker innen tre uker etter at vedtaket er kommet frem til vedkommende part, jf universitets- og høyskoleloven § 5-1 (1). Øvrige enkeltvedtak kan påklages innen tre uker fra vedtakdato. Klageinstans er Kunnskapsdepartementet.
15. Referanser
- Lov av 15. juni 2018 nr 38 om behandling av personopplysninger (personopplysningsloven)
- Lov av 10. februar 1967 om behandlingsmåten i forvaltningssaker (forvaltningsloven)
- Lov av 1. april 2005 nr 15 om universiteter og høyskoler (universitets- og høyskoleloven)
- Lov av 16. juni 2017 nr 67 om statens ansatte mv. (statsansatteloven)
- Lov av 1. januar 1999 om arkiv (arkivlova)
- Forskrift av 2. juli 2018 nr 1108 om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale
- Forskrift av 25. juni 2004 nr 988 om elektronisk kommunikasjon med og i forvaltningen (eForvaltningsforskriften)
- Ledelsessystem for informasjonssikkerhet ved AHO
- Lokale forskrifter, reglement, retningslinjer og rutiner m.m. ved AHO