Hvordan sikrer vi tilgangsstyring?

God tilgangsstyring handler i all hovedsak om tre ting: autorisering, autentisering og kontroll av tilganger.

Autorisering - godkjenning og tillatelse

Autorisering innebærer å tildele rettigheter til å lese, registrere, redigere, rette, slette eller sperre personopplysninger. Dere skal bare gi autorisasjon til dem som har behov for det for å kunne gjøre jobben sin. Når en ansatt ikke lenger har dette behovet, skal dere deaktivere autorisasjonen. Et eksempel på en som ikke lenger trenger rettigheter i et digitalt læremiddel, kan være en lærer som ikke lenger underviser i det samme faget i den samme klassen.

Autentisering - bekrefte identitet

Autentisering er prosessen dere må gjennomføre for å bekrefte hvem en bruker av et læremiddel er. Dere skal tildele autentiseringsfaktorer til elever og ansatte som skal ha tilgang til et digitalt læremiddel (de autoriserte) for å bekrefte at de er rett person før de får tilgangen. FEIDE er hovedløsningen for autentisering i digitale læremidler i Norge, men FEIDE er ikke en nasjonal godkjenningsordning. Ved bruk av FEIDE er det fortsatt skoleeieren som har ansvaret for at det digitale læremiddelet ivaretar personvern og informasjonssikkerhet.

Kontroll av tilganger og logger

Påse at det jevnlig føres kontroll av hvem som har tilgang til det aktuelle læremiddelet og dermed også til elevenes personopplysninger, samt kontroll av faktisk bruk av det digitale læremiddelet gjennom logger. Dere skal kontrollere tilganger og logger:

ved organisasjonsendringer, overflytting av personell til en annen enhet eller endring av arbeidsområde
ved sikkerhetsbrudd
på årlig basis (gjerne i forbindelse med sikkerhetsrevisjon, eller ved oppstart av nytt skoleår)

[udir-task]

Aktivitet

1. Sjekkliste for tilgangsstyring

I verktøykassen nedenfor finner dere et eksempel på en sjekkliste for tilgangsstyring som er hentet fra "Veileder for tilgang til helse- og personopplysninger", som også er relevant for bruk i skolesektoren. Last ned sjekklisten, og bruk den til å gå gjennom det digitale læremiddelet dere bruker som utgangspunkt i arbeidet med denne modulen.

2. Revider eller etabler rutiner for tilgangsstyring - velg mellom oppgave A og B:

A. For eiere og ledere som har etablerte rutiner for tilgangsstyring:

Sørg for å oppdatere disse rutinene slik at dere har riktig tilgangsstyring. Bruk gjerne sjekklisten og eksempelet på en rutine for tilgangsstyring fra verktøykassen nedenfor som utgangspunkt for oppdateringen.

B. For eiere og ledere som ikke har etablerte rutiner for tilgangsstyring:

Sørg for å utforme gode rutiner. Dette er et arbeid som bør gjennomføres i samarbeid med ressurspersoner på skolen eller på skoleeiernivå i egen eller andre kommuner/fylkeskommuner. Bruk gjerne eksempelet som dere finner i verktøykassen nedenfor som utgangspunkt for å utforme egne rutiner.

NB! Husk å ta med konkretiseringer av hva både skoleeier og skolen skal gjøre for å sikre god tilgangsstyring i rutinen dere lager.

[udir-tools]

Verktøykasse - ressurser til bruk i aktiviteten

Sjekkliste for tilgangsstyring (Direktoratet for e-helse)

Eksempel på rutine for tilgangsstyring

[uob-reveal]

Vil dere lære mer om tilgangsstyring?

Veileder for tilgang til helseopplysninger (Direktoratet for e-helse)