Informationshantering

Oavsett vilken typ av logg det är fråga om rör det sig således om behandling av olika typer av data/information, vilket innebär att olika regelverk kring informationshantering kan bli aktuella för loggningen, såsom offentlighets- och sekretesslagen, tryckfrihetsförordningen, dataskyddsförordningen och arkivlagen. Därutöver krävs, för att uppnå effektiv och korrekt informationshantering, informationssäkerhet som även det regleras genom krav i lagstiftning, som bland annat säkerhetsskyddslagen, beredskapsförordningen och NIS-lagstiftningen.

Vilken lagstiftning som blir tillämplig beror på de särskilda omständigheterna i varje enskilt fall. Inom vården kan det exempelvis till följd av särskild lagstiftning finnas skyldighet att logga och möjliggöra spårbarhet för patientuppgifter och annan känslig information, vilket i sin tur också ställer högre krav på skyddsåtgärder och liknande på ett sätt som inte är fallet för en kommun som loggar uppgifter om hur deras IT-utrustning används.

Avsnitt Lagkrav nedan innehåller viss grundläggande vägledning kring vilken lagstiftning som kan komma att aktualiseras. Rekommendationerna i detta Ramverk syftar till att konkretisera hur de allmänna lagkrav som uppställs i Lagkrav, kan efterföljas. Varje myndighet som vill logga uppgifter, har dock olika förutsättningar och ändamål, så varje myndighet måste i slutändan göra sin egen bedömning av de särskilda omständigheterna i det enskilda fallet.

Personuppgifter

En personuppgift är varje upplysning som avser en identifierad eller identifierbar fysisk person (även kallad registrerad), det vill säga en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare (till exempel ett namn eller identifikationsnummer). Med andra ord, all slags information som direkt eller indirekt kan knytas till en person som är i livet.

Även om uppgifterna i en loggfil vid en första anblick kanske inte verkar vara en personuppgift (till exempel en tidsuppgift) så kan det sällan uteslutas, eftersom även indirekta personuppgifter omfattas, vilket innebär att om det med hjälp av någon annan kompletterande information (som till exempel ett arbetsschema) går att identifiera en person, så är uppgiften ifråga en personuppgift. Mot bakgrund av detta utgör loggning ofta personuppgiftsbehandling.

Nedan sammanfattas generella rekommendationer för hur de lagstadgade kraven för personuppgiftsbehandling i samband med loggning som uppställs i avsnitt Lagkrav nedan kan efterföljas.

• Identifiera och hantera de lagkrav för behandlingen av personuppgifter som är tillämpliga för den aktuella loggen, se Lagkrav.

• Säkerställ att loggsystemet möjliggör att olika behörigheter kan sättas per datakälla, så att bara den person som är behörig kan se och hantera loggdata.

• Sätt upp en granskningslogg (audit) där man ser vem som har gjort vad i loggsystemet.

• Var inläst på vilken loggning som faktiskt sker i de olika loggsystem som används av myndigheten och hur den kan förändras/styras. Säkerställ att förinställda loggningsinställningar i färdiga loggsystem ändras för så att de överensstämmer med det faktiska ändamålet med loggningen och myndighetens riktlinjer för personuppgiftbehandling.

• Justera förinställda inställningar för gallring (till exempel ”log retention”/” log rotation”) i färdiga system, så att de stämmer överens med det faktiska ändamålet med loggningen.

• Inför behörighetsstyrning på ett sätt som tillgodoser kraven på ”lämpliga tekniska och organisatoriska åtgärder” för att skydda personuppgifterna.

• För över loggen till ett annat system som är mer svåråtkomligt, till exempel en särskild säkerhetsmiljö, för att försvåra en angripares möjlighet att dölja sina spår efter ett angrepp. Detta är särskilt viktigt för säkerhetsloggar.

• Säkerställ att en personuppgift, som vid första anblick inte verkar vara en känslig personuppgift, inte blir ”känslig” på grund av det sammanhang som den förekommer i (se Personuppgifter)
• Exempelvis kan ett namn som förekommer i en logg för ett system anses vara en uppgift om etniskt ursprung eller en hälsouppgift, om systemet i fråga bara hanterar patienter som genomgår viss behandling.

• Säkerställ även att lagring/sammanställning av flera loggar som sker i ett centralt loggsystem, inte medför ett försämrat skydd för personuppgifterna. Exempelvis när en logg med personnummer och pseudokod (vars syfte är att logga vem som har skapat pseudokoden och när) lagras i samma loggsystem som en annan logg där samma pseudokod används för bokning av tid hos psykiatriker.

• Säkerställ att verksamhetens interna, respektive externa, dataskyddspolicy/informationstexter revideras regelbundet, så att de registrerade får korrekt information.

Sekretessreglerade uppgifter

En uppgift är sekretessreglerad om det är en uppgift som det finns en bestämmelse om sekretess för, som gäller i det enskilda fallet. Sekretess innebär inte bara begränsningar av rätten att ta del av allmänna handlingar utan även ett förbud att röja en uppgift, oavsett om det görs muntligen, genom utlämnande av allmän handling eller på något annat sätt. Ett utlämnande/röjande av sekretessreglerade uppgifter får i regel ske först efter en sekretessprövning eller efter att uppgifterna bedömts omfattas av en sekretessbrytande bestämmelse. En sekretessbrytande bestämmelse avser bestämmelser som innebär att en sekretessbelagd uppgift får lämnas ut under vissa förutsättningar. Detta omfattar även den information som utgör innehållet i en logg. Offentlighets- och sekretesslagen innehåller regler om sekretess för myndigheter och personer inom myndighetens verksamhet, se Sekretessreglerade uppgifter.

Nedan sammanfattas generella rekommendationer för hur de lagstadgade kraven för sekretess i samband med loggning som uppställs i Lagkrav nedan kan efterföljas.

• Identifiera och hantera de lagkrav för sekretessreglerade uppgifter som är tillämpliga för den aktuella loggen, se Sekretessreglerade uppgifter nedan.

• Sätt upp rutiner för att filtrera bort sekretessreglerade uppgifter.

• Sätt upp funktioner i loggsystemet som flaggar för sekretessreglerade uppgifter. Till exempel Larmsättning där man med villkor kan trigga på uppgifter som kan vara sekretessreglerade och då kunna agera reaktivt.

• Tänk på risken att uppgifterna i loggen säger mer än vad som omedelbart framgår vid första anblick, till exempel kan en till synes neutral uppgift i vissa fall säga något om en enskilds personliga eller ekonomiska förhållanden som en konsekvens av det sammanhang den förekommer i.

• Säkerställ att sekretessreglerade uppgifter inte delas mellan olika myndigheter, utan att det finns en sekretessbrytande bestämmelse eller något annat tillämpligt undantag.

Informationssäkerhet

Information är värdefullt och behöver skyddas efter behov. För att uppnå effektiv och korrekt informationshantering krävs informationssäkerhet, även i verksamhetens loggmiljö.

Nedan sammanfattas generella rekommendationer för hur de lagstadgade kraven för informationssäkerhet i samband med loggning som uppställs i Lagkrav nedan kan efterföljas.

• Identifiera och hantera de lagkrav för informationssäkerhet som är tillämpliga för myndighetens verksamhet och för den aktuella loggen framgår av avsnitt Fel: Det gick inte att hitta referenskällan.

• Säkerställ att det loggen uppfyller myndighetens informationssäkerhetspolicy och att informationen i loggen riskbedöms och klassas avseende riktighet, konfidentialitet och tillgänglighet utifrån vilka konsekvenser ett bristande skydd kan få.

• Använd MSBFS 2020:7 eller ISO 27000 serien, beroende på vad som passar organisationen bäst och applicera säkerhetsåtgärderna som föreslås inom områden som:

• Användarklienter,
  • Priviligierad åtkomst,
  • Begränsning av åtkomst till information,
  • Tillgång till källkod,
  • Säker autentisering,
  • Kapacitetshantering,
  • Skydd mot skadlig kod,
  • Hantering av tekniska sårbarheter,
  • Konfigurationshantering,
  • Radering av information,
  • Datamaskning (Datamaskering),
  • Förhindra dataläckage,
  • Säkerhetskopiering,
  • Redundans, Loggning,
  • Övervakning,
  • Synkronisering av tid,
  • Användning av priviligierade verktygsprogram,
  • Installation av program i driftsatta system,
  • Nätverkssäkerhet,
  • Säkerhet i nätverkstjänster,
  • Separation av nätverkstjänster,
  • Webbfiltrering,
  • Användning av kryptering,
  • Säker utvecklingscykel,
  • Säkerhetskrav för applikationer,
  • Säker systemarkitektur och tekniska principer,
  • Säker kodning,
  • Säkerhetstestning i utveckling och acceptans,
  • Ut kontrakterad utveckling,
  • Separation av utvecklings-, test- och produktionsmiljöer
  • Ändringshantering
  

Bevarande- och gallringsregler

En logg kan utgöra en allmän handling, vilket innebär att den är en del av det nationella kulturarvet som ska bevaras, hållas ordnade och vårdas för bland annat rätten att ta del av allmänna handlingar (den så kallad offentlighetsprincipen), rättskipning och den offentliga förvaltningen.

Om det inte finns särskilda gallringsföreskrifter i lag eller förordning får statliga myndigheter, enligt arkivförordningen, endast gallra allmänna handlingar om det följer av Riksarkivets föreskrifter eller beslut. Grundregeln är således att en handling ska bevaras och för att gallra en logg krävs en gallringsbestämmelse i lag, förordning eller myndighetsföreskrifter. Kommuner och Regioner har egna gallringsbestämmelser.

En viktig aspekt i sammanhanget är att begreppet gallring är mer omfattande än vad man först kan tro eftersom det, utöver att förstöra allmänna handlingar eller uppgifter i allmänna handlingar, även omfattar ”att vidta andra åtgärder med handlingarna som medför förlust av betydelsebärande data, förlust av möjliga sammanställningar, förlust av sökmöjligheter eller förlust av möjligheter att bedöma handlingarnas autenticitet. Att till exempel förändra en digital handling så att sökmöjligheten förloras/försämras kan således utgöra ett exempel på gallring.

Nedan sammanfattas generella rekommendationer för hur de lagstadgade kraven för bevarande och gallring i samband med loggning som uppställs i avsnitt Lagkrav nedan kan efterföljas.

• Identifiera och hantera de regler för bevarande och gallring som är tillämpliga för den aktuella loggen, se avsnitt Bevarande - och gallringsregler ta hjälp av myndighetens arkivkompetens för att bedöma möjligheten att gallra och fastställa en lämplig gallringsfrist/bevarandetid.

• Konkretisera hur lagkraven samt Riksarkivets allmänna föreskrifter kan efterföljas. Säkerställ att det finns stöd i loggsystemet för att automatiskt följa lagkraven och föreskrifterna om bevarande- och gallringsregler.

• Säkerställ att loggsystemet kan användas under hela bevarandetiden, i annat fall måste loggdata exporteras ut enligt Riksarkivets föreskrifter och allmänna råd RA-FS 2009:2 om Tekniska krav för elektroniska handlingar.