Logkontrol

Logkontrol skal sikre, at brugernes anvendelse af dit system er arbejdsbetinget ved at kontrollere brugernes adfærd. Men hvordan vurderer man, om et system er underlagt logkontrol, hvordan foretages en logkontrol og hvor ofte?

Logkontrol er en periodisk gennemgang af et systems såkaldte log – også kaldet ”logfil” eller blot ”loggen”.

En log er et program, som løbende gemmer oplysninger om drift og brug af et system. En log kan f.eks. registrere:

  • Tidspunkt for hvornår nogle oplysningerne blev tilgået.
  • Hvilken medarbejder, som tilgik oplysningerne.
  • Hvilke typer af oplysninger, der er tale om.
  • Hvad oplysninger blev brugt til dvs. formålet med tilgangen til oplysningerne.

Om du skal foretage logkontrol på dit system, er en vurdering, som foretages på baggrund af en konkret risikovurdering.

Hvis der er tale om "bred adgang", hvor medarbejdere har adgang til mange fortrolige (CPR-nr. og lovovertrædelser) eller følsomme oplysninger (Helbredsoplysninger, race, religion m.v.) og/eller adgang til oplysninger om "mange personer", vil stikprøvekontrol mindst hvert halve år ofte være et absolut minimum (Datatilsynet).

Et eksempel på "bred adgang" er f.eks. administratoradgang, hvor medarbejdere har adgang til alle oplysninger i et system. Det kan også være medarbejdere med adgang til lidt flere oplysninger end den almindelige standard bruger.

Det er til gengæld svært præcis at definere, hvad "mange personer" dækker over, da dette ofte kommer an på systemet. Hvis antallet af personer kan tælles i tusinder, så skal stikprøvekontrol af loggen overvejes.

Du skal dokumentere, hvordan du udarbejder din logkontrol på dit system. Dvs. at du skal beskrive, hvordan du rent lavpraktisk gør, når du laver en logkontrol i dit system i et Word-dokument. Word-dokumentet skal ligge på din It-sikkerhedssag. Dette er din procedure for logkontrol. Denne procedure skal du og evt. nye systemadministratorer bruge ved fremtidige logkontroller. På den måde behøver nuværende og evt. fremtidige systemadministratorer ikke starte forfra, hver gang de skal foretage en logkontrol. Proceduren for logkontrol kan godt ændres.

En logkontrol er oftest i form af en stikprøve og vil typisk foregå på følgende måde:

  1. Systemadministrator trækker en log ud (eller får leverandøren til det) for en given periode - typisk en arbejdsdag.
  2. Systemadministrator udvælger et vilkårligt antal brugere for det pågældende IT-system. Antallet af brugere afhænger af det pågældende system f.eks. mellem 1-20 brugere.
  3. Systemadministrator beder de udvalgte medarbejdere redegøre for, hvorfor de har tilgået de pågældende oplysninger f.eks. udført opslag på et CPR-nr. eller andre oplysninger.
  4. Systemadministrator beder lederen af den pågældende bruger om at vurdere, om der er tale om et arbejdsbetinget behov ifm. tilgangen.


En supplerende logkontrol

Efter aftale med den systemansvarlige laves et logudtræk af søgninger på kendte borgere eller borger, der for en periode har være i meget i medierne, alternativt et logudtræk på søgninger fortaget uden for arbejdstid eller borgere udenfor kommunen.

Du kan overveje (hvis det er muligt) at etablere alarmer (f.eks. på logdata), som automatisk aktiveres ved mistænkelig aktivitet.

 

Logkontrol skal være uforudsigelig

Logkontrollen må ikke blive forudsigelig for brugerne. Kontrollen må derfor ikke lægge på faste tidspunkter som f.eks. den hver den første i marts og september. Til gengæld så er det en god idé at sørge for, at brugerens adfærd er frisk i hukommelse, når logkontrollen foretages. Brugerne kan ikke nødvendigvis huske, hvad de lavede i et system for 7 dage siden.

Hvis du skal lave logkontrol, men ikke selv kan trække en logfil eller er i tvivl om hvor logfilen hentes i dit system, så skal du kontakte leverandøren af systemet og bede dem om at hjælpe dig. Leverandøren har oftest adgang til logfilen som del af deres sikkerhedsarbejde.

Så skal du sende en påmindelse til lederen. Hvis du stadig ikke har hørt noget inden for 3-4 uger, så skal du kontakte den systemansvarlige. Systemansvarlige træffer beslutning om det videre forløb.

Når du har foretaget din logkontrol, så skal du dokumentere, at denne er foretaget ved at journalisere logkontrollen på en sag i kommunens ESDH-system.

Dette gør du ved at oprette en ny administrativ sag med KLE.nr. 85.10.18.A26 til dine dokumenter, og relatere sagen til systemets IT-sikkerhedssag.

Du skal dokumentere følgende ifm. din logkontrol:

  1. Tidspunkt for logkontrol
  2. Svar fra lederen ang. adgang til systemet.

Er du i tvivl, eller har du spørgsmål til din logkontrol, så kan du skrive til digitalisering@middelfart.dk