Riktlinjer för systematiskt informationssäkerhetsarbete

1. Inledning

Följande riktlinjer ger en övergripande beskrivning av de säkerhetskrav som ställs på all behandling av information vid universitetet.

Universitetets informationssäkerhetsarbete ska säkerställa att behöriga användare ges åtkomst till fastställd information och data vid föreskriven tidpunkt. Verksamhetens informationstillgångar ska skyddas utifrån följande grundläggande principer:

• Konfidentialitet: Information ska skyddas mot obehörigt röjande så att endast behöriga användare, processer eller enheter ges åtkomst.
• Riktighet: Information ska skyddas mot oavsiktlig eller obehörig förändring för att säkerställa att data är korrekt, komplett och tillförlitlig.
• Tillgänglighet: Information och tillhörande resurser ska vara åtkomliga och användbara för behöriga användare i den omfattning och vid den tidpunkt som verksamheten kräver.

Som ett komplement till konfidentialitet, riktighet och tillgänglighet ska informations­system utformas för att säkerställa spårbarhet, vilket innebär att:

• Information och aktiviteter i systemen ska kunna härledas till en specifik identifierbar källa eller användare, så att händelseförlopp och åtgärder kan verifieras i efterhand.

Syftet med riktlinjerna är att synliggöra universitetets informationssäkerhetsstrategi och utgöra en grund för universitetets ledningssystem för ett systematiskt och riskbaserat informations­säkerhets­arbete.

2. Definitioner

Information
Omfattar all pappersbaserad, elektronisk, muntlig eller på annat sätt lagrad eller kommunicerad information.

Informationssystem
Omfattar applikationer, tjänster, lagrings­lösningar, molntjänster eller andra komponenter som hanterar information. I begreppet ingår nätverk och infrastruktur, samt AI-system och AI-agenter.

Informationssäkerhetsincident
En enskild eller flera oönskade eller oväntade informations- och cybersäkerhets­händelser, som har negativa konsekvenser för verksamheten och dess informationssäkerhet.

Informationsägare
Ansvarar för den information som skapas eller hanteras inom den egna verksamheten. Informationsägarskapet följer det ordinarie verksamhetsansvaret.

SS-EN ISO/IEC 27000
Säkerhetsstandarder som stödjer ett strukturerat och anpassningsbart lednings­system för informationssäkerhet enligt bästa praxis för ökad säkerhet och minskad risk för incidenter.

3. Organisationens mål och förutsättningar

3.1 Mål

Det övergripande målet för informationssäkerhetsarbetet är att upprätthålla en väl avvägd informationssäkerhet med hänsyn till Uppsala universitet, verksamma vid universitetet och allmänhetens behov i enlighet med uppdragen i Högskolelagen (SFS 1992:1434) om undervisning, forskning och samverkan med det omgivande samhället.

Informationssäkerhetsarbetet ska bedrivas systematiskt och riskbaserat med stöd av standarden SS-EN ISO/IEC27000, vilket bland annat innebär:

• Systematik i arbetet
  • Planerat och organiserat arbete med dokumenterade processer som följs över tid.
  • Kontinuerlig förbättring i en cyklisk process med regelbunden utvärdering och anpassning av valda säkerhetsåtgärder.
  • Tydliga roller och ansvar.
• Riskbaserat arbetssätt
  • Identifiering av hot och sårbarheter som finns mot informationen i verksamheten.
  • Riskbedömning för att prioritera insatser.
  • Säkerhetsåtgärder utifrån mest kritiska risker och tillgängliga resurser.
  • Insatser riktas dit de gör störst skillnad för informationens konfidentialitet, riktighet och tillgänglighet.

3.2 Förutsättningar

Organisation av informationssäkerhetsarbetet

Inom Uppsala universitet följer ansvaret inom det systematiska informations­säkerhetsarbetet myndighetens linjeorganisation, och beslutanderätten följer av universitetets delegationsordning.

Det innebär att den som är ansvarig för en verksamhet också är ansvarig för genomförande av dess informationssäkerhet. Ansvaret innebär bland annat att information och säkerhetsarbetet sprids inom den egna verksamheten, att resurser efter behov avsätts för arbetet, att medarbetare ges möjlighet att få tillräcklig kunskap, samt att de arbetsmetoder som används bidrar till god informationssäkerhet.

Bild - Uppsala universitets organisation¹
Notera: För att se bild/illustration, gå till det nedladdningsbara riktlinjedokumentet nedan.

Nedan beskrivs hur ansvaret fördelar sig inom linjeorganisationen.

Rektor
Har det övergripande ansvaret vid Uppsala universitet för verkställigheten av informationssäkerhets­arbetet, och ett kontrollansvar att utförandet följer det delegerade ansvaret.

Vicerektor
Har det övergripande ansvaret för verkställigheten av informationssäkerhets­arbetet vid respektive vetenskapsområde.

Dekan²
Har det övergripande ansvaret för verkställigheten av informationssäkerhets­arbetet vid respektive fakultet.

Universitetsdirektör
Har det övergripande ansvaret för verkställigheten av informationssäkerhets­arbetet vid universitetsförvaltningen.

Överbibliotekarie
Har det övergripande ansvaret för verkställigheten av informationssäkerhets­arbetet vid universitetsbiblioteket.

Institutschef
Har det övergripande ansvaret för verkställigheten av informationssäkerhets­arbetet vid sitt institut.

Prefekt/motsvarande
Har det övergripande ansvaret för verkställigheten av informations­säkerhetsarbetet vid sin institution/ motsvarande.

Säkerhetschef
Ansvarar för universitetets övergripande systematiska säkerhetsarbete, inklusive informationssäkerhet och cybersäkerhet.

Medarbetare
Ska följa universitetets interna styrdokument och övriga beslut. Avvikelser, brister och risker rapporteras till närmaste chef.

4. Systematiskt informationssäkerhetsarbete

Uppsala universitets informationssäkerhetsarbete ska bedrivas på ett riskbaserat sätt. Det innebär bland annat att resurser och säkerhetsåtgärder ska fokuseras där de ger störst effekt, utgående från riskhanteringsprocessen, och att arbetet så långt som möjligt ska vara proaktivt istället för reaktivt.

Informationssäkerhet ska hanteras som en integrerad del av informationssystem över hela systemets livscykel, från upphandling eller utveckling till avveckling och arkivering.

Uppsala universitet ska planera, införa och styra de processer som krävs för att uppfylla informationssäkerhetskraven och införa åtgärderna som fastställs i riskhanterings­processen. Därtill ska organisationen införa planer för att uppnå fastställda informations­säkerhetsmål.

Planering innebär ett strukturerat sätt att avgöra vilka risker och möjligheter som behöver hanteras för att dels förebygga eller minska oönskade effekter, dels uppnå ständig förbättring.

Universitetets riskhanteringsprocess ska genomföras i nedan beskrivna steg:

1. Informationsklassning,
2. Kravanalys,
3. Riskanalys,
4. Hantering av identifierade säkerhetsrisker.

Alla steg ska dokumenteras. De enskilda stegen kan utföras separat.

Stöd i form av vägledningar och mallar ska finnas på Medarbetaringången. Specifikt stöd ges också vid behov av Säkerhetsavdelningen.

4.1 Informationsklassning

Informationsklassning är basen i informationssäkerhetsarbetet och ska ses som en kontinuerlig process snarare än en engångshändelse. Klassningen ska säkerställa att informationen alltid har ett skydd anpassat efter dess aktuella känslighet avseende konfidentialitet, riktighet och tillgänglighet.

Informationsklassning säkerställer att:

• Information har ett skydd anpassat efter dess känslighet.
• Verksamhetens riskhantering, styrning och prioriteringar underlättas.
• Kravställning för tekniska och organisatoriska säkerhetsåtgärder stöds.
• Relevanta lagar och regler efterlevs.

Informationsklassningar ska göras i forskningsprojekt och vid upphandling eller utveckling av informationssystem, samt genomföras eller ses över:

• För att kunna hantera riskerna och ställa rätt krav i avtal innan universitetet låter en annan statlig myndighet eller en extern tjänste­leverantör behandla information.
• Vid betydande verksamhetsförändringar, till exempel omorganisationer, som påverkar hur information hanteras eller vem som ansvarar för den.
• Vid förändrade rättsliga krav, nya lagar eller regleringar som ställer krav på skyddet av viss typ av data.
• När informationens betydelse förändras så att konsekvensnivåerna för konfidentialitet, riktighet eller tillgänglighet påverkas.

Som en del av det systematiska arbetet ska klassningar utvärderas regelbundet för att säkerställa att de är aktuella och motsvarar verksamhetens behov.

Vid incidenter eller upptäckta brister ska befintlig klassning och tillhörande säkerhetsåtgärder utvärderas för att se om skyddsnivån behöver justeras.

Informationsägaren ansvarar för att informationen klassificeras, utvärderas och ses över, samt att anvisningarna för säker hantering följs i enlighet med den fastställda klassningen.

4.2 Kravanalys

Kravanalys ska genomföras för att säkerställa att de informationssäkerhetskrav som gäller för ett upphandlat eller egenutvecklat informationssystem identifieras, dokumenteras och kan följas upp.

Analysen ska utgå från genomförd informationsklassning och syfta till att fastställa vilka organisatoriska, tekniska och administrativa skyddsåtgärder som krävs för att skydda informationen på en relevant nivå under hela systemets livscykel.

I kravanalysen ska relevanta lagar, standarder och interna styrdokument beaktas.

Ansvaret för att genomföra kravanalyser ligger på den verksamhetsägare som ansvarar för systemet, till exempel systemägare, projektägare eller e-förvaltningsansvarig.

4.3 Riskanalys

I riskanalysen ska hot bedömas som universitetet exponeras för på grund av sedan tidigare kända eller misstänkta säkerhetsbrister, de brister som detekterats vid genomförande av kravanalysen, eller andra risker. Riskanalysens syfte är att:

• Identifiera hot, sårbarheter och konsekvenser som kan påverka verksamhetens förmåga,
• Bedöma risker utifrån sannolikhet och konsekvens,
• Ge ett underlag för prioritering av åtgärder och styrning av resurser,
• Säkerställa efterlevnad av lagkrav, standarder och interna styrdokument,
• Stödja ett systematiskt och dokumenterat säkerhetsarbete.

Riskanalys ska göras:

• Innan nya tekniska lösningar tas i bruk, som vid införandet av molntjänster eller AI-modeller.
• När betydande förändringar görs i befintliga system.
• Inför beslut om förändrade säkerhetsåtgärder.
• Vid incidenter eller upptäckta brister.
• Vid upphandling, innan en extern aktör anlitas för att behandla universitetets information.
• När förändringar i verksamhetens struktur, som vid en omorganisation, påverkar hur information hanteras eller vem som bär ansvaret.
• Om nya lagar eller föreskrifter ställer nya krav på verksamheten.
• Som en del av det kontinuerliga, systematiska arbetet för att säkerställa att riskbilden fortfarande är korrekt.
• För att utvärdera förmågan till kontinuitet och identifiera eventuella sårbarheter som framkommit under en krisövning.

Riskanalyser ska, beroende på omfattning, genomföras gemensamt av informations­ägare och verksamhetsägare, eller av den part som kommer att ansvara för riskerna och de tillhörande åtgärderna.

4.4 Utbildning och säkerhetskultur

Stödet för universitetets informationssäkerhetsarbete ska fördela sig på resurser och kompetens, medvetandegörande av verksamma, kommunikationsinsatser och vägledningar.

Alla nyanställda ska genomgå en obligatorisk grundläggande utbildning i informations­säkerhet.

En allmän utbildning i informationssäkerhet ska finnas tillgänglig för samtliga medarbetare via Medarbetaringången.

Målgruppsanpassade kurser och informations­träffar ska erbjudas av Säkerhetsavdelningen, och anpassas utifrån verksamhetens behov och önskemål.

5. Incidenthantering och incidentrapportering

En incident omfattar händelser som negativt påverkar informationens konfidentialitet, riktighet eller tillgänglighet. Tidig rapportering är avgörande för att begränsa skada och uppfylla lagstadgade krav på extern incidentrapportering.

För att universitetet ska kunna upptäcka, hantera och lära av säkerhetshändelser krävs en sammanhållen process för rapportering och hantering av incidenter.

5.1 Rapportering

Alla medarbetare och verksamma vid universitetet ska utan dröjsmål rapportera misstänkta eller konstaterade informations- och cybersäkerhetsincidenter till universitetets Säkerhetsavdelning, via security@uu.se eller på telefon 018-471 7560.

5.2 Analys och lärande

Efter att en incident har hanterats ska grundorsaker identifieras för att motverka att liknande händelser inträffar på nytt.

För att utveckla universitetets samlade skydd ska Säkerhetsavdelningen ha åtkomst till information om inträffade incidenter och avvikelser för att kunna genomföra systematiska analyser och föreslå förbättringar i säkerhetsarbetet.

Erfarenheter från incidenter ska användas som ett underlag i den årliga uppföljningen och vid revidering av riskbedömningar.

6. Uppföljning och förbättringar

Uppföljningen av informationssäkerhetsarbetet ska vara en integrerad del av universitetets verksamhetsutveckling. Syftet är att ge verksamhetsansvariga ett proaktivt beslutsunderlag för att prioritera rätt säkerhetsåtgärder och säkerställa att resurser används där de gör störst nytta för forskning och utbildning.

Genom systematisk analys skapas en överblick som minskar reaktiva insatser och administrativ börda över tid.

6.1 Systematisk uppföljning och analys

För att säkerställa att informationssäkerhetsarbetet är ändamålsenligt ska respektive verksamhet årligen följa upp sitt arbete. Denna uppföljning ska inte enbart kontrollera enskilda åtgärder, utan utgöra en sammanställning och analys av:

• Genomförda informationsklassningar och deras aktualitet.
• Resultat från genomförda riskbedömningar och status på beslutade åtgärder.
• Effektiviteten i införda säkerhetsåtgärder i förhållande till verksamhetens behov.
• I vilken utsträckning universitetets interna regler och arbetssätt används och efterlevs i det dagliga arbetet.
• Lärdomar från inträffade incidenter och deras påverkan på riskbilden.

Vägledning, metodstöd och mallar ska finnas i Medarbetaringången, och specifikt stöd tillhandahållas av Säkerhetsavdelningen.

6.2 Roller och ansvar i uppföljningen

För att säkerställa lokalt ägarskap och central samordning ska rollfördelningen vid uppföljning följa universitetets linjeorganisation:

• Verksamhetsansvarig har det slutgiltiga ägarskapet för risker och åtgärder inom sin verksamhet. Ansvarar för att uppföljningen genomförs och att resultat används för att prioritera resurser.
• Informationsägare ansvarar för att följa upp att den specifika informationen hanteras enligt fastställd klassning och att relevanta skyddsåtgärder fungerar.
• Säkerhetschef ansvarar för att hålla samman och koordinera den universitetsövergripande uppföljningen av informations- och cybersäkerhetsarbetet, samt sammanställer en analys av universitetets samlade säkerhetsläge till ledningen.

6.3 Ledningens genomgång

Universitetsledningen ska minst årligen genomföra en genomgång av informations­säkerhetsarbetet baserat på säkerhetschefens föredragning. Denna genomgång ska ligga till grund för beslut om framtida inriktning och resurstilldelning.

Ledningen ska särskilt informera sig om:

• I vilken utsträckning säkerhetsarbetet stödjer universitetets kärnverksamhet.
• Allvarliga risker som inte har åtgärdats på grund av resursbrist eller tekniska hinder.
• Eventuella systematiska hinder, som brister i mandat, befogenheter eller behov av reviderade interna regler, för att nå de uppställda målen.
• Omvärldslägets påverkan på universitetet.

Genom att identifiera dessa hinder ger uppföljningen möjlighet för verksamheten att påkalla ledningens stöd för nödvändiga förbättringar.

Noter
¹Källa: Uppsala universitets organisation - Uppsala universitet (uu.se), 2026-02-04

²Avser dekan som är ordförande i fakultetsnämnd, i enlighet med universitetet delegationsordning.