Systemejerskab

I Randers Kommune har alle it-systemer en systemejer, dette gælder for såvel ældre som nye systemer.

Principper for udvælgelse af systemejer

En systemejer udpeges som udgangspunkt indenfor det fagområde eller kontraktområde, hvor systemet anvendes. Er der tale om et system, der anvendes på tværs af forvaltninger placeres systemejerskabet som hovedreglen i en stab. Det overordnede systemejerskab kan placeres hos direktører, fag- eller stabschefer eller ledere med direkte reference til fag- og stabschefer. Systemejer kan være den budgetansvarlige.

IT & Digitalisering følger løbende op på, om alle systemer har en systemejer og at de gældende systemejere er korrekt ajourført i Randers Kommunes IT-oversigt. IT & Digitalisering har ikke ansvaret for at udpege systemejere, da dette skal ske ud fra principperne for udvælgelse af systemejer og i forbindelse med indkøb jf. Randers Kommunes vejledning i IT-indkøb.

Rolle-, opgave- og ansvarsfordeling ved systemejerskab

Alle systemer skal som minimum have udpeget en systemejer. Det kan dog flere steder være relevant at arbejde med en overordnet systemejer, en systemforvalter og evt. en daglig kontaktperson.

Det er op til systemejer om de andre roller også skal udpeges. Systemejer har ansvaret for at udpege en systemforvalter og evt. en kontaktperson, hvis dette ønskes.

Ansvar- og opgavefordeling hos systemejer

En systemejer følgende ansvar og opgaver:

• Ansvaret for informationssikkerheden for systemet, herunder ansvar for at der bliver udarbejdet procedure og retningslinjer for anvendelse og behandling af data i systemet
• Sikre at der udarbejdes og vedligeholdes systemdokumentation, herunder systembeskrivelse.
• Beskrive interne kontroller (både elektroniske og manuelle) samt at føre løbende kontrol med, at procedure og retningslinjer overholdes
• Opsætning og gennemgang af specifikke logs
• Ansvar for kontraktlige forhold herunder indgåelse af databehandleraftale
• Godkende anskaffelser og installation af disse
• Give adgang til system og data
• Sikre funktionsadskillelse
• Korrekt journalisering, arkivering og sletning
• Godkende beredskabsplaner
• Følge op på sikkerhedshændelser og brud på persondatasikkerheden
• Sikre at risikovurderinger udarbejdes og godkende dem. Sikre at konsekvensanalyse udarbejdes ved behov.

Sikre at medarbejderne uddannes i korrekt brug af systemet inden ibrugtagelse.

Rollen som systemforvalter

Systemforvalteren er en person, der har indgående indsigt i systemets tekniske opbygning og anvendelse og som på den baggrund kan indgå i arbejdet med udarbejdelse af f.eks. risikovurderinger, beredskabsplaner og databehandleraftaler. Hvis det giver mening indenfor det konkrete system, kan der udpeges flere systemforvaltere med forskellige roller. Systemforvalter kan være den samme person som den overordnede systemejer. En systemforvalter kan både være en chef/leder eller en medarbejder. Den overordnede systemejer kan uddelegere udførelsen af de ovenfor beskrevne opgaver til systemforvalterne. Ansvaret kan dog aldrig uddelegeres.

Daglig kontaktperson

Den daglige kontaktperson kan være den samme person som systemforvalteren og kan evt. bruges som screening, inden henvendelser sendes videre til systemforvalteren, samt løse simple forespørgsler.

Systemejeren har ansvaret for det enkelte it-system og dermed systemets drift, vedligeholdelse og kontraktlige forhold. Systemejeren sikrer således fortløbende, at systemets funktionalitet fungerer effektivt og understøtter dermed arbejdsprocesserne, herunder behandlingen og sikring af informationer og lovkrav.

Det er systemejers ansvar, at udarbejde retningslinjer og procedurer samt at føre løbende kontrol med overholdelsen af retningslinjer og procedurer.

I Randers Kommune, er systemejere som udgangspunkt også dataejere, derfor har systemejer også ansvaret for behandling af data i det pågældende system.

Som systemejer har du ansvar for:

• Informationssikkerheden for systemet, herunder ansvar for at der bliver udarbejdet procedure og retningslinjer for anvendelse og behandling af data i systemet
• Sikre at der udarbejdes og vedligeholdes systemdokumentation, herunder systembeskrivelse.
• At beskrive interne kontroller (både elektroniske og manuelle) samt at føre løbende kontrol med, at procedure og retningslinjer overholdes.
• Opsætning og gennemgang af specifikke logs
• Ansvar for kontraktlige forhold herunder indgåelse af databehandleraftale
• Godkende anskaffelser og installation af disse
• Give adgang til system og data
• Sikre funktionsadskillelse
• Korrekt journalisering, arkivering og sletning
• Godkende beredskabsplaner
• Følge op på sikkerhedshændelser og brud på persondatasikkerheden
• Sikre at risikovurderinger udarbejdes og godkende dem. Sikre at konsekvensanalyse udarbejdes ved behov
• Sikre at medarbejderne uddannes i korrekt brug af systemet inden ibrugtagelse.

OBS: Systemejer kan delegere rutinemæssige opgaver til fx en systemforvalter, men systemejeren har stadig det endelige ansvar for systemets i hele systemets levetid.

Her findes findes en detaljeret gennemgang af opgaverne samt hvor det er muligt at finde vejledning, rådgivning og sparring til opgaverne. Opgaverne kan også løses i samarbejde med IT & Digitalisering.

OBS: Opgaver der følger systemejerskabet kan dog godt uddelegeres, mens ansvaret er pålagt systemejeren.

Kom godt i gang som systemejer

Årshjul (udkast til fordeling af opgaver som skal kræver opfølgning minimum årligt)

PDF: Guide til systemejere

PDF: Kom godt i gang som systemejer

PDF: Introduktion til informationssikkerhed og organisering af sikkerhedsarbejdet

PDF: Notat om systemejerskab

Se videoer om informationssikkerhed og databeskyttelse.

I Randers Kommune er der udarbejdet en række vejledende materiale, som kan hjælpe dig i det praktiske arbejde.

Materialet er udarbejdet til, at kunne give et hurtigt overblik ift. hvordan vi bedst muligt overholder de databeskyttelsesretslige regler.

Se awarenessmateriale.