Fangelsismálastofnun

Fangelsismálastofnun er undirstofnun dómsmálaráðuneytisins og hefur undir höndum viðkvæmar persónuupplýsingar. Til að tryggja öryggi upplýsinga hjá stofnuninni er reglulega gert áhættumat með Stiki OutGuard.

„Stiki OutGuard kom okkur skemmtilega á óvart, en um er að ræða hugbúnað sem léttir mjög vinnu við gerð áhættumats.

Hugbúnaðurinn er þróaður af fagfólki á þessu sviði og virðist hafa verið hugað vel að þörfum fyrirtækja og stofnana. Það auðveldar aðilum að hafa yfirsýn yfir þessi mál og eftirfylgni við aðgerðir ættu að verða auðveldari.

Orðsporið sem af Stika fer ásamt þeirri kynningu sem stofnunin hefur af fyrirtækinu er að þar fari ábyrgir aðilar sem hafa náð árangri á sínu sviði.

Mjög mikilvægt er að vernda viðkvæmar persónuupplýsingar til að gæta réttar einstaklingsins og enn fremur er mjög mikilvægt að upplýsingar séu meðhöndlaðar rétt og unnið vandlega úr þeim af mikilli nákvæmni.“

Hafdís Guðmundsdóttir
skrifstofustjóri Fangelsismálastofnunar

Velferðarsvið Reykjavíkurborgar (áður Félagsþjónustan í Reykjavík)

Í kjölfar setningar laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga var ákveðið innan Velferðarsviðs Reykjavíkurborgar, áður Félagsþjónustunnar í Reykjavík, að leggja enn frekari áherslu á að tryggja öryggi í meðferð persónuupplýsinga. Innan Velferðarsviðs (Félagsþjónustunnar) er mikið unnið með viðkvæmar upplýsingar um persónuleg málefni fólks og hefur ætíð verið lögð rík áhersla á nauðsyn þess að meðferð slíkra upplýsinga sé með réttum hætti og að öryggi þeirra sé tryggt.

Á árinu 2004 hófst vinna að áhættumati vegna úttektar er Persónuvernd ákvað að gera í tengslum við öryggi upplýsingamála hjá Velferðarsviðinu, í samræmi við lög um persónuvernd. Í tengslum við þá vinnu var ákveðið að leita til Stika, þar sem starfsmenn Velferðarsviðsins höfðu kynnst starfsemi Stika á námskeiði og á þeirri kynningu kom fram að þjónusta Stika náði til þeirra þátta sem Velferðarsviðið var að vinna að.

„Samstarf við Stika hefur verið einstaklega gott og Stiki OutGuard hugbúnaðurinn hefur nýst mjög vel í þessari vinnu. Velferðarsviðið ákvað að leigja hugbúnaðinn og hefur hann verið notaður í áframhaldandi vinnu við áhættumat fyrir fleiri starfseiningar.

Notkun þess hefur verið mikill ávinningur fyrir Velferðarsvið Reykjavíkurborgar þar sem það er aðgengilegt í notkun og mjög yfirgripsmikið, þannig að það hentar einnig annarri starfsemi en opinberri þjónustu. Notkun hugbúnaðarins hafði í för með sér mikinn tímasparnað og tryggði markvissa vinnu. Þjónusta Stika var því mikilvægur þáttur í að tryggja öryggi upplýsinga hjá Velferðarsviði Reykjavíkurborgar.“

Helga Jóna Benediktsdóttir
yfirmaður lögfræðideildar Velferðarsviðs Reyjavíkurborgar

Heilbrigðis- og tryggingamálaráðuneytið - öldrunarsvið

Stiki hefur um árabil unnið að því að hanna og setja upp RAI kerfin og Vistunarmatskerfið til eftirlits og eflingar þjónustu við aldraða. Kerfið er eitt af þremur kerfum frá Stika sem notuð eru í heilbrigðisþjónustu.

„Sú þekking, ráðvendni og virðing, sem starfsmenn Stika hafa sýnt þessum verkefnum er einstök. Tilurð þessara rafrænu hjálpartækja hefur ekki aðeins haft bætt áhrif á umönnun við aldraða heldur breiðist nú út til annarrar þjónustu við þegna landsins. Heilladrjúgt samstarf Stika og ráðuneytisins hefur gengið vel fram. Megi það vaxa og dafna í framtíðinni.“

Hrafn Pálsson
fv. skrifstofustjóri á öldunarsviði heilbrigðis- og tryggingamálaráðuneytisins

Kreditkort

Kreditkort hf. annast útgáfu (e. Issuing) alþjóðalegra MasterCard kreditkorta og Maestro debetkorta og færslusöfnun (e. Acquiring) MasterCard, Maestro, Amex, Diners og JCB korta. Eru upplýsingakerfi (e. Card Management System) félagsins grunnurinn að starfsemi þess. Eðli starfseminnar vegna er mikið magn persónuupplýsinga varðveitt í upplýsingakerfum félagsins. Það er því Kreditkorti hf. afar mikilvægt að tryggja öryggi upplýsingakerfanna og faglega meðferð þeirra upplýsinga sem þar er að finna.

„Við skoðun á því hvernig best væri að tryggja að fyrirkomulag upplýsingatækninnar innan félagins s.s. öryggi upplýsingakerfa og meðferð persónuupplýsinga og að meðferð þeirra mála væri í samræmi við lög og opinberar reglur var tekin sú ákvörðun að innleiða stjórnkerfi upplýsingaöryggis hjá félaginu, sem byggt væri á öryggisstaðlinum ISO/IEC 27001. Var leitað eftir sérfræðiaðstoð nokkurra aðila til verksins og var Stiki ehf. valinn úr þeim hópi.

Kreditkort hf. hefur því notið sérfræðiaðstoðar Stika við innleiðingu öryggisstaðalsins ISO/IEC 27001. Eftir þá vinnu liggur fyrir hjá félaginu öryggishandbók Kreditkorts hf. á veftæku formi, áhættumat upplýsingaeigna félagsins og áætlun um samfelldan rekstur. Allt unnið eftir forsniði og með hugbúnaði Stika ehf. Hefur samstarf Kreditkorts hf. við Stika verið með miklum ágætum.

Hluti af innleiðingu öryggisstaðalsins tekur til áhættumats upplýsingaeigna. Við þá vinnu bauðst félaginu að nýta sér sérsmíðaðan hugbúnað Stika, RM Studio. RM Studio tryggir að samræmi sé á milli þeirra krafna sem settar eru fram í öryggishandbók og þeirra ráðstafana sem innleiddar eru til að stjórna þeirri áhættu sem greind og metin hefur verið, þar sem hvoru tveggja tekur mið af ISO/IEC 27002  staðlinum.

Að mati Kreditkorts hf. er RM Studio afar öflugt hjálpartæki til að vinna jafn flókið verkefni og áhættumat upplýsingaeigna óneitanlega er. RM Studio er aðgengilegt og hélt vel utan um verkefnið og leiddi félagið áfram í gegnum matsgerðina.

Hugbúnaðurinn:

• Leggur notanda til mikið magn gagna.
• Tryggir að sú þekking sem einstakir starfsmenn hafa, er náð fram og hún skráð.
• Skilaði góðri yfirsýn yfir öryggismál félagsins.
• Tryggði að verkið væri unnið með skilvirkum hætti.

Auk þessa skilar RM Studio skýrri niðurstöðu á aðgengilegu formi, sem auðveldar bæði félaginu og eftirlitsaðilum að sjá hver staða félagsins er á þessu sviði, auk þess að falla vel að innra eftirlitskerfi félagsins. Þar sem Kreditkort hf. er bæði í samstarfi við innlenda og erlenda matsaðila er það verulegur kostur að hægt er að velja um hvort áhættumatið sé á íslensku eða ensku.

Nanna Huld Aradóttir
fv. yfirmaður innri endurskoðunar hjá Kreditkorti

Landlæknisembættið

Stiki ehf. hefur verið Landlæknisembættinu til ráðgjafar um öryggismál um nokkurt skeið. Samstarfið við Stika fólst í því að móta og setja fram upplýsingaöryggisstefnu og útfæra hana í öryggisreglum. Öryggisreglur voru settar fram í öryggishandbók sem tók formlega gildi 1. júlí 2001. Öryggishandbókin er sett upp með hliðsjón af öryggisstöðlunum ISO/IEC 27002 og ISO/IEC 27001. Þar sem öryggishandbókin er til leiðbeiningar fyrir starfsfólk landlæknis, sérstaklega þá starfsmenn sem bera ábyrgð á upplýsingavernd var lögð mikil áhersla á að gera hana aðgengilega. Handbókin var því sett upp sem vefhandbók á innra neti embættisins þannig að allir starfsmenn hefðu aðgang að henni frá skjáborði á sinni vinnustöð.

„Frá því fyrsta útgáfa öryggishandbókarinnar kom út má segja að hún hafi verið í stöðugri þróun og endurskoðun. Stiki hefur verið okkur til leiðsagnar og ráðgjafar í þeirri þróun.
Í lögum um persónuvernd og vinnslu persónuupplýsinga kemur skýrt fram að öllum fyrirtækjum og stofnunum sem vinna með persónuupplýsingar beri skylda til að tryggja öryggi og gæði upplýsinga og þar á meðal gera reglubundið áhættumat á upplýsingaöryggi. Síðla árs 2004 gerði Landlæknisembættið heildaráhættumat á öllu upplýsingakerfi embættisins með hugbúnaðinum Stika OutGuard.

Það er mat Landlæknisembættisins að Stiki OutGuard hafi skapað heppilegan ramma utan um matið auk þess að veita ýmsar stoðupplýsingar sem auðvelduðu, hröðuðu og samræmdu vinnu við matið. Matið skilaði síðan greinargóðu yfirliti yfir ástand upplýsingaöryggis sem nýtt verður til þess að gera áætlanir um innleiðingu ráðstafana í náinni framtíð.

Ímynd Landlæknisembættisins er tengd fagmennsku í allri starfsemi, trúnaði, trausti og heilindum í samskiptum við einstaklinga og stofnanir. Þar sem gagnasöfnun og úrvinnsla viðkvæmra persónuupplýsinga er eitt af meginhlutverkum embættisins er lykilatriði að öll meðferð þessara upplýsinga sé eins og best verður á kosið. Samvinna við Stika hefur tryggt Landlæknisembættinu aðgang að ávallt nýjustu sérþekkingu og ráðgjöf um öryggismál og gert embættinu kleift að hlíta lögum, reglum og viðurkenndum stöðlum í upplýsingaöryggismálum.“

Sigríður Haraldsdóttir
framkvæmdastjóri heilbrigðistölfræðisviðs Landlæknisembættisins

Landspítali-háskólasjúkrahús-Rannsóknastofa í meinafræði

Hjá Rannsóknastofu LSH í meinafræði er geymt mikið magn lífsýna. Þessar upplýsingar eru eðli málsins samkvæmt gríðarlega viðkvæmar og því var forgangsmál hjá rannsóknastofunni að innleiða stjórnkerfi upplýsingaöryggis, til að tryggja öryggi þeirra gagna sem stofan geymir.

„Í kjölfar ákvörðunar um innleiðingu stjórnkerfis upplýsingaöryggis hjá Rannsóknastofu í meinafræði Landspítala-háskólasjúkrahúsi var gert áhættumat undir handleiðslu Stika. Hugbúnaður frá Stika, Stiki OutGuard, var notaður við gerð áhættumatsins og reyndist hann þægilegt kerfi sem flýtti mjög fyrir matsferlinu. Mikill kostur er að fá samantekt úr matinu í yfirliti og þar með sjá stöðuna á rannsóknastofunni hverju sinni á skýran og einfaldan máta. Mikilvægt er fyrir Rannsóknastofu í meinafræði að hafa skoðað öryggismálin og tekið meðvitaða afstöðu til þeirra mála. Starfsmenn Stika sýndu mikla fagmennsku við innleiðingu öryggisstaðalsins og sú vinna sem Stiki innti af hendi fyrir rannsóknastofuna er fyrirtækinu til mikils sóma.“

Vigdís Pétursdóttir MD, PhD
sérfræðingur á Rannsóknastofu LSH í meinafræði

Landspítali-háskólasjúkrahús-upplýsingatæknisvið

Sem þáttur í uppbyggingu íslenska heilbrigðisnetsins, sem felst í því að koma upp öruggum farvegi rafrænna samskipta milli aðila innan heilbrigðisþjónustu á Íslandi, hefur Stiki unnið að innleiðingu á upplýsingaöryggi hjá íslenskum heilbrigðisstofnunum skv. ISO/IEC 27001 og ISO/IEC 27002, m.a. hjá upplýsingatæknisviði Landspítala-háskólasjúkrahúss.

Sú vinna hefur m.a. falist í gerð skipulagshandbóka fyrir sviðið. Bækurnar eru á vef-formi og innihalda stefnur, verkferli, verklagsreglur og ýmis konar leiðbeiningar. Stiki hefur jafnframt leitt gerð áhættumats í vinnslu upplýsinga skv. ISO/IEC 27001og notað til þess hugbúnaðinn RM Studio.

Á upplýsingatæknisviði starfa um 70 starfsmenn og skiptist starfsemin niður í 7 deildir: stoðþjónustu, tækniþjónustu, þjónustuver, símaþjónustu, klínískar lausnir, rekstrar -og skrifstofulausnir og síðan samþættingu.

„Stiki hefur á að skipa vel menntuðu fagfólki sem leggur sig fram um að skilja þarfir heilbrigðisþjónustunnar á sviði upplýsingatækni og öryggismála. Áhættumatskerfi Stika, Stiki OutGuard hefur reynst þægilegt í notkun og virðist uppfylla að öllu leyti kröfur um áhættumat samkvæmt alþjóðlegu stöðlunum ISO/IEC 27001 og ISO/IEC 27002.

Að mati upplýsingatæknisviðs Landspítala-háskólasjúkrahúss hefur Stiki sýnt fagmennsku og þekkingu í störfum sínum. Við hjá upplýsingatæknisviði Landspítala-háskólasjúkrahúss erum ánægð með störf Stika og teljum að ferli við innleiðingu upplýsingaöryggis hafi gengið mjög vel og stefnir sviðið að ISO/IEC 27001 á árinu 2005 fyrir tilstuðlan Stika. “

Ólafur Aðalsteinsson
fv. deildarstjóri stoðdeildar upplýsingatæknisviðs LSH

Skrifstofa tækni og eigna LSH

Bæjarskrifstofur Garðabæjar

Sveitarfélög fara með viðkvæmar persónupplýsingar þar sem velferðarsvið og félagsmál heyra undir sveitarfélög. Bæjarskrifstofur Garðabæjar vildu skrá og greina alla vinnuferla á skrifstofunni og á sama tíma innleiða stjórnskipulag ISO/IEC 27001. Hluti af því er framkvæmd áhættumats í vinnslu upplýsinga.

„Garðabær vann með fyrirtækinu Stika að gerð öryggishandbókar og öryggisstefnu fyrir bæjarskrifstofur Garðabæjar á árinu 2004. Einnig var gert áhættumat fyrir starfsemi bæjarskrifstofanna með sérstökum hugbúnaði Stika, Stika OutGuard. Starf Stika var að öllu leyti mjög faglegt og starfsmenn hans leiddu okkur á einfaldan hátt í gegnum það flókna ferli að meta starfsemina með tilliti til öryggissjónarmiða. Starfið með Stika var mjög gagnlegt fyrir okkur sem störfum á bæjarskrifstofunum og jók þekkingu okkar og skilning á viðfangsefninu auk þess að skila okkur þeim afurðum sem til stóð.“

Guðfinna Kristjánsdóttir
kynningarstjóri Garðabæjar

Bæjarskrifstofur Mosfellsbæjar

Snemma árs 2004 fór Mosfellsbær að huga að innri sem ytri öryggismálum vegna starfssemi bæjarskrifstofanna, þ.e. vegna yfirstjórnar allrar stjórnsýslu á vegum bæjarins.

Fljótlega kom í ljós að innri þekking og reynsla við að kortleggja, skipuleggja og skrá með kerfisbundnum hætti allar þær hættur og öll þau skipulagslegu atriði sem þörf var á að huga að, var ekki til staðar í sjálfri stjórnsýslu Mosfellsbæjar ákvað bæjarstjórnin að leita til utanaðkomandi aðila og fá hjálp til verksins.

Mosfellsbær leitaði ráðgjafar til Stika ehf. í þessu sambandi. Fljótlega eftir að samstarfið við Stika var komið á, sem í fyrstu fólst aðallega í að koma á og kortleggja öryggismál bæjarskrifstofanna, stækkaði samstarfsverkefnið og að endingu var ákveðið að ekki einungis að setja bæjarskrifstofunum öryggisstefnu og öryggishandbók, heldur að innleiða alls herjar skipulagshandbók fyrir alla stjórnsýslu bæjarskrifstofanna.

„Skipulagshandbók sem héldi utan um öryggisstefnu, aðgangsstefnu, gæðastefnu, fjarvinnslustefnu og reglur um meðferð tölvupósts. Að auki héldi skipulagshandbókin utan um öll önnur atriði s.s. starfsmenn og öryggi, aðgangstjórnun, ytra öryggi o.fl.

Til að halda sérstaklega utan um áhættumat fyrir bæjarskrifstofurnar er notað kerfið Stiki OutGuard og hefur það reynst vel í þessu sambandi.

Það er skemmst frá að segja að afar vel gekk að eiga samvinnu við Stika í þessu sambandi og verkefnið, sem fyrr segir óx í meðförum, sökum þess hve ráðleggingar fyrirtækisins voru hnitmiðaðar og auðskildar.

Það er þegar ljóst á þessari stundu að innleiðing skipulagshandbókarinnar fyrir bæjarskrifstofur Mosfellsbæjar er og verður klárlega hornsteinninn í öllu utanumhaldi öryggis- og skipulagsmála fyrir bæjarskrifstofurnar í komandi framtíð.

Undirritaður getur ekki annað en gefið Stika ehf. sín bestu meðmæli í ofangreindu sambandi, fyrir bæði fagmennsku í vinnubrögðum og fyrir það að hafa á að skipa úrvals fagfólki hvert á sínu sviði.“

Stefán Ómar Jónsson
bæjarritari og verkefnisstjóri öryggis- og skipulagsmála á bæjarskrifstofum Mosfellsbæjar

Verðbréfaskráning Íslands

„Þegar Verðbréfaskráning Íslands hóf að innleiða öryggisstaðalinn ISO/IEC 27001 var ákveðið að ganga til samninga við Stika vegna þeirrar reynslu og þekkingar sem fyritækið hefur á þessu sviði.

Upplýsingaöryggi og innleiðing öryggisstaðalsins ISO/IEC 27001 er lykilatriði í starfssemi fyrirtækja eins og Verðbréfaskráningar þar sem örugg meðhöndlun og varsla gagna skiptir öllu máli.

Hugbúnaðurinn Stiki OutGuard gerir stjórnendum Verðbréfaskráningar kleift að meta áhættu í rekstri fyrirtækisins og til hvaða aðgerða sé hægt að grípa til að draga úr þeirri áhættu.

Samstarf okkar við Stika hefur verið ánægjulegt og árangursríkt og vinnan sem Stiki hefur unnið fyrir okkur verið mjög fagmannleg.“

Sigurður Ólafsson
skrifstofustjóri Verðbréfaskráningar Íslands