11. Informasjonssikkerhet
Informasjonssikkerheten i søknads- og saksbehandlingssystemet og mot samhandlende systemer og tjenester har høy oppmerksomhet.
Gjennom ulike tekniske og organisatoriske tiltak vurderer vi at søknads- og saksbehandlingssystemet har et tilstrekkelig sikkerhetsnivå i forhold til:
- Konfidensialitet – at informasjonen ikke blir kjent for uvedkommende.
- Integritet – at informasjonen ikke blir endret utilsiktet eller av uvedkommende.
- Tilgjengelighet – at informasjonen er tilgjengelig.
Følgende tekniske og organisatoriske informasjonssikkerhetstiltak er gjennomført:
- Konfidensialitet – at informasjonen ikke blir kjent for uvedkommende.
- Integritet – at informasjonen ikke blir endret utilsiktet eller av uvedkommende.
- Tilgjengelighet – at informasjonen er tilgjengelig.
Følgende tekniske og organisatoriske informasjonssikkerhetstiltak er gjennomført
- Risiko og sårbarhetsanalyse, samt trusselmodellering for identifikasjon og prioritering av tiltak
- Implementert 2-faktor brukerautentisering.
- Implementert API-nøkler mot eksterne tjenester, inkl. rutiner for bytting av nøkler.
- All informasjonsflyt som går over internett, er kryptert (https).
- Kryptert database og kryptering på transportlaget, både mellom nettleser og applikasjon og applikasjon og database.
- Kontroll av verdier i reiser og merking av reiser som ligger utenfor forventede verdier til manuell behandling i saksbehandlingssystemet Agros.
- Avstemming mellom søknads- og saksbehandlingssystemet for å sjekke at alle søknader er hentet fra søknads- til saksbehandlingssystemet Agros.
- Avstemming mellom søknads- og saksbehandlingssystemet Agros for å sjekke at søknader med innhold i søknadssystemet er hentet til saksbehandlingssystemet Agros.
- Diverse valideringer på input fra bruker (lovlige verdier, filtyper etc.).
- Rutiner som sikrer oppdatering av gjeldende satser, tilskuddstak mv. samt endringer i regelverket.
- Monitoreringsverktøy og hendelseslogg som sikrer rask varsling og mulighet for feilsøking ved eventuelle feilsituasjoner.
- Databehandleravtale med Animalia og Norkart som regulerer bruken av dataene (ingen sensitive personopplysninger behandles i løsningen).
- Driftsavtale med Animalia som definerer krav til informasjonssikkerhet.
- Driftsavtale med Norkart som definerer krav til informasjonssikkerhet.
For flere detaljer om informasjonssikkerheten, kan forespørsel om dette rettes til support@landbruksdirektoratet.no.
11.2 Behandling av personopplysninger
Både Landbruksdirektoratet og statsforvalterne har utarbeidet personvern-erklæringer som gir informasjon om hvordan virksomhetene behandler personopplysninger som samles inn i forbindelse med forvaltningen av tilskudd til veterinærreiser:
- Landbruksdirektoratets personvernerklæring
- Personvernerklæringen for Statsforvalteren og Statsforvalterens fellestjenester
11.2 Utlevering av personopplysninger
Statsforvalteren kan få spørsmål om å utlevere personopplysninger fra saker i systemer som Landbruksdirektoratet drifter eller forvalter. Utlevering er en type behandling av personopplysninger etter personvernregelverket. I henhold til dette regelverket er det den behandlingsansvarlige som må vurdere om personopplysninger er unntatt offentlighet eller ikke og dermed om de kan utleveres dersom noen ber om innsyn i dokumenter der opplysningene forekommer.
Med behandlingsansvarlig menes den som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes.
Når statsforvalteren behandler personopplysninger i forbindelse med at de utfører pålagte oppgaver, er det statsforvalteren som er behandlingsansvarlig. Dette gjelder også når Landbruksdirektoratet drifter eller forvalter systemene.
I saker om tilskudd til veterinærreiser så må derfor Statsforvalteren selv vurdere om de kan utlevere de aktuelle personopplysningene eller ikke.