Brugerkontrol (autorisationskontrol)

Brugerkontrol – også kaldet autorisationskontrol – dækker over periodisk opfølgning på tildelte brugerrettigheder aktualitet i et system.

Brugerkontrol skal sikre, at den/de medarbejdere, som har adgang til et system (eller oplysninger) i et system, har et såkaldt arbejdsbetinget behov for adgang.

Hvis de ikke har arbejdsbetinget behov, så skal medarbejderens adgang til systemet slettes som del af din kontrol.

Du skal udføre brugerkontrol en gang hvert halve år ifm. din rolle som systemadministrator.

Du skal dokumentere, hvordan du udarbejder din brugerkontrol på dit system. Dvs. at du skal beskrive, hvordan du rent lavpraktisk gør, når du laver en brugerkontrol i dit system i et Word-dokument. Word-dokumentet skal ligge på din It-sikkerhedssag. Dette er din procedure for brugerkontrol.

På den måde behøver nuværende og evt. fremtidige systemadministratorer ikke starte forfra hver gang de skal foretage en brugerkontrol. Proceduren for brugerkontrol kan godt ændres.

Du skal forhøre dig ved lederen til den pågældende bruger, om brugeren fortsat har arbejdsbetinget behov for adgang til det system, som du administrer.

Det er lederen, der beder om at få adgang til et system, ikke medarbejderen – også selvom det medarbejderen, som selv spørger om adgang.

Dette kan f.eks. gøre ved at sende en e-mail til lederen:

Emne: Brugerkontrol af [system]

Kære [leder]

Du har en medarbejder ifa. [navn], som har adgang til [system].

Har medarbejderen fortsat arbejdsbetinget behov for adgang? Ja/nej

Specielt for lederes adgang til systemer

Hvis du har en eller flere brugere i dit system, som er ledere, så er det ikke nødvendigt at spørge lederens leder, om denne har arbejdsbetinget behov. I sådanne tilfælde er det tilstrækkeligt at spørge lederen selv. Dette skyldes, at det er lederen, som selv vurderer om behovet for adgang stadig er til stede.

Det er lederen til den pågældende bruger, som skal hjælpe med at afgrænse brugerens rettigheder til dit system.

Jo bredere adgang at rettigheder til et system giver som f.eks. en administratorkonto, jo større er konsekvensen ved brugerfejl eller misbrug. Samtidig skal vi som kommune sørge for, at det kun er medarbejdere med arbejdsbetinget behov, som har adgang til f.eks. personoplysninger. Derfor skal du som systemadministrator sørge for, at brugeren har arbejdsbetinget behov - ikke kun til hele systemet, men også de dele af systemet, som brugeren har rent faktisk har arbejdsbetinget behov for.

Hvis en bruger f.eks. skal have adgang til danne rapporter i et system, men ikke har brug for at se, hvad der ligger til grund for rapporterne, så skal brugeren kun have adgang til rapport-delen af systemet og ikke have adgang til indsamling og registrering af andre oplysninger i systemet – dvs. mindst muligt privilegerede rettigheder.

Dette kan du f.eks. spørge ind til i brugerkontrollen ved at spørge til:

Emne: Brugerkontrol af [system]

Kære [leder]

Du har en medarbejder ifa. [navn], som har adgang til [system].

Har medarbejderen fortsat arbejdsbetinget behov for adgang til systemet? Ja/nej

Har medarbejderen fortsat bruger for adgang til [oplysninger/dele af system]? Ja/nej

Så skal du sende en påmindelse til lederen evt. med brugere på cc og bede dem reagere. Hvis du stadig ikke har hørt noget inden for 3-4 uger, så skal du kontakte den systemansvarlige. Systemansvarlige træffer beslutning om det videre forløb.

Systemadministrator skal ikke redigere brugerens rettigheder før tilbagemelding fra den systemansvarlige.

Når du har foretaget din brugerkontrol, så skal du dokumentere, at denne er foretaget ved at journalisere brugerkontrollen på en sag i kommunens ESDH-system.

Dette gør du ved at oprette en administrativ sag med KLE.nr. 85.15.03.K01 til dine dokumenter, og relatere sagen til systemets IT-sikkerhedssag.

Du skal dokumentere følgende ifm. din brugerkontrol:

1. Tidspunkt for brugerkontrol
2. Svar fra lederen ang. adgang til systemet.

Er du i tvivl eller har du spørgsmål til din brugerkontrol, så kan du skrive til digitalisering@middelfart.dk