Typiske informationer:

• AAU's hjemmeside, www.aau.dk m.fl.
• Studiebeskrivelse
• Nyhedsartikler
• Bøger
• Forskningsdata (open data)
• Forskningsrapporter

Almindelige personoplysninger, herunder:

• Medarbejder-stamoplysninger
  • Navn
  • Stillingsbetegnelse
  • Telefonnummer
• Tilknytning til institutioner

Almindelige persondata, herunder:

• Stamoplysninger
  • Navn
  • AAU-brugernavn
  • Fødselsdag
• Oplysninger omkring uddannelse, udtalelser, kursusbeviser og arbejdsopgaver
• Oplysninger on løn, skat, pension og lønkontonummer
• Kørekortnummer og -type
• Nationalitet
• Systembrugeroplysninger
• Sygdoms- og fraværsoplysninger
  • Kun fraværet - ikke behandling, diagnose eller baggrund for fravær
• Deltagelse i hold, fag, grupper og fagniveauer 

Typiske informationer:

• Vagtplan
• Systemkonfiguration
• Afdelingsbudget
• Indkøbsaftaler
• Undervisningsmateriale
• Forskningsdata
• Mødereferater og -dagsordener

Informationer skal mærkes, så de ikke bliver offentliggjort ved en fejl.

Dokumenter mærkes som minimum på forsiden.

Hvor mærkning ikke er mulig, skal klassificering fremgå af fil- eller mappenavn.

Elektronisk adgang: 

Adgang til informationer skal være beskyttet af password, pinkode el.lign. (fx fingeraftryk, ansigtsgenkendelse) på enheden og er betinget af et arbejdsrelateret behov.

Systemadgang til enheden låses efter 5 minutters inaktvitet. 

Fysisk adgang: 

Fysisk skal interne informationer opbevares bag lås.

Elektronisk:

På AAU-godkendte løsninger og hardware, såsom netværksdrev m.m. eller godkendt via AAU-godkendt databehandleraftale, AAU Non-disclousure agreement eller tilsvarende.

Se dataopbevaringsmodellen med godkendte systemer her. 

Fysisk:

Opbevares, så uvedkommende ikke har adgang til at se eller få adgang til indholdet. Eksempelvis i aflåst kontor, aflåst skab, box eller lignende.

Elektronisk:

Det anbefales, at interne data sendes krypteret. Desuden skal man som afsender sikre, at modtager er bekendt med regler for behandling af de fremsendte informationer. 

Sådan krypterer du data. 

Fysisk:

Må sendes internt i cirkulationskuvert eller almindelig brevpost (lukket forsendelse).

Husk at sikre at modtageren er bekendt med regler for behandling og bortskaffelse af AAU-informationer.

• Opfindelser og forskning, der kan udnyttes kommercielt med en værdi over 1.000.000 kr.
• Forskningsdata med potentiel skadesvirkning

Personoplysninger, herunder:

• CPR-nr.
• Medarbejderes:
  • Privatadresse
  • Private e-mail
  • Private telefonnummer
  • Andre privatrelaterede informationer
• Kørekort-foto
• Personlighedstest
• Skilsmisse
• Adoptionsforhold
• Alkohol- og narkotikatest
• Registrering af snyd til eksamen
• Karakterer, karaktergivning m.m.
• Væsentlige sociale problemer og familieforhold

Informationer skal mærkes, så de ikke bliver offentliggjort ved en fejl.

Elektronisk:

Informationer, der ikke kan mærkes, må kun opbevares i systemer, hvor systemet tydeliggør klassificeringen. 

I så høj grad som muligt skal elektronisk mærkning ske på metadata-niveau.

Fysisk: 

Fysiske dokumenter skal mærkes på hver enkelte side/synsfelt og skal have en forside (cover-sheet) uden fortrolige informationer.

Elektronisk tilgang kræver autentifikation med AAU-kontooplysninger og skal være betinget af et arbejdsrelateret behov.

Systemadgang låses efter 5 minutters inaktvitet. 

Tilgang til systemet og eksport af data ud af systemet skal logføres. 

Elektronisk:

Opbevaring må kun foregå på AAU-godkendt hardware (f.eks. din AAU-installerede PC eller MAC) eller ved samarbejdspartnere med hvem, der er indgået en AAU-godkendt databehandleraftale til opbevaring af fortrolige data.

Hvis den enhed det fortrolige data lagres på er offentligt tilgængeligt, f.eks. ved bærbare enheder, skal data være krypteret med en stærk kryptering. 

Hvis du har optaget fortrolig data, f.eks. med en diktafon eller videokamera, skal optagelserne overføres til krypterede enheder hurtigst muligt - og senest indenfor 7 arbejdsdage. 

Godkendte krypteringsformer fastsættes af CISO.

Hvor opbevaringsenheden er fysisk beskyttet i f.eks. serverrum, skal administratoradgang og adgang til serverrum logges.

Fysisk:

Fortrolige informationer skal opbevares, så uvedkommende ikke kan se eller få adgang til indholdet, f.eks. på et aflåst kontor, aflåst skab, aflåst boks eller lignende.

Alle materialer, der bortskaffes, skal makuleres.

Benyt 'Follow-You'-print ved udskrivning af dokumenter.

Elektronisk:

Informationer må kun sendes/videregives til samarbejdspartnere, når der foreligger et retsligt grundlag for overførsel (databehandleraftale, videregivelse m.m.).

Informationer må sendes ukrypteteret på AAU-netværk.

Informationer kan sendes via en krypteret kanal, hvor kryptering kan garanteres end-to-end, udenfor AAU's netværk.

Ved forsendelse med bærbare medier skal data være krypteret.

CISO vedligeholder en liste over tilladte kommunikationsformer og fastsætter krav til kryptering.

Fysisk: 

Må sendes internt i lukket konvolut med attentionperson eller overbringes personligt, må dog ikke medbringes i offentlig transport såsom bus og tog.

• Opfindelser og forskning, der kan udnyttes kommercielt med en værdi over 5.000.000 kr
• Forskningsdokumentation med følsomme data

Følsomme persondata:

• Race eller etnisk oprindelse
• Politisk, religiøs eller filosofisk overbevisning
• Helbredsoplysninger
• Seksuelle forhold eller -orientering
• Fagforening

Informationer skal mærkes, så de sikres mod utilsigtet offentliggørelse. 

Fysiske dokumenter skal mærkes på hver enkelt side eller synsfelt og skal have en forside (cover-sheet) uden følsomme informationer.

Informationer, der ikke kan mærkes, må kun opbevares i systemer, hvor systemet tydeligt viser klassificeringen.

Der skal foretages halvårlig kontrol af adgang til informationer. Kontrolrapporter skal arkiveres i ISMS-systemet.

Behandling kræver, at brugeren er særligt betroet og uddannet i behandling af informationerne.

Elektronisk:

Elektronisk adgang kræver autentifikation med AAU-kontooplysninger samt 2-faktor-validering uden for AAU's netværk.

Systemadgang låses efter 5 minutters inaktvitet. 

Konto skal beskyttes mod bruteforce- og passwordgæt-angreb ved at kontoen låses efter 10 fejlede loginforsøg inden for 10 minutter.

Adgang til systemet skal logføres (herunder administratoradgang). Tilgang (visning) til informationer skal logges på feltniveau. Ændring af data skal logføres.

Eksport af data må kun foretages til systemer med en eksplicit integration og et defineret formål med eksporten, godkendt af CISO.

Informationer må ikke være synlige for andre end behandleren, som skal være opmærksom på de fysiske omgivelser, herunder andres mulighed for at se skærmen(e).

Fysisk:

Tilgang (visning) til informationer skal logføres på feltniveau. Ændring af data skal logføres.

Eksport af data må kun foretages til systemer med en eksplicit integration og et defineret formål med eksporten, godkendt af CISO.

Informationer må ikke være synlige for andre end behandleren, som skal være opmærksom på de fysiske omgivelser, herunder andres mulighed for at se dokumenterne. 

Elektronisk:

Opbevaring må kun forgå på AAU-godkendt hardware eller ved samarbejdspartnere med hvem, der er indgået en AAU-godkendt databehandleraftale til opbevaring af fortrolige data.

Følsomme informationer må ikke opbevares på stationære medier (f.eks. fysiske servere), der er offentlige tilgængelige. Adgangen til opbevaringsmediet skal være fysisk begrænset til det godkendte personale. Adgang til området skal logføres f.eks. aktuelt for serverrum.

Ved opbevaring på bærbare medier (f.eks. PC, USB-stik og SD-kort) skal data være krypteret med stærk kryptering. Ved arbejdsgange med eksempelvis optageenheder skal data herfra overføres til krypterede enheder snarest muligt og senest indenfor 7 arbejdsdage. Godkendte krypteringsformer fastsættes af CISO.

Informationer må kun opbevares i fagsystemer specielt designet til håndtering af følsomme informationer.

Her finder du oversigten over godkendte systemer til dataopbevaring. 

Systemet skal være opdateret med de seneste sikkerhedsopdateringer - senest 14 dage efter sikkerhedsopdateringens tilgængelighed.

Systemet skal være supporteret af producent eller leverandør.

Administratoradgang til systemet er underlagt samme krav til logføring som for adgang.

Ved kassering af medier skal der udføres elektronisk ”wipe” og makulering, således at informationer ikke kan genskabes.

Fysisk:

De følsomme informationer skal opbevares i et fysisk omslag, hvor klassifikationsniveauet står på. 

De skal opbevares så uvedkommende ikke har adgang til at se eller få adgang til indholdet i aflåste sikkerhedsskabe og -bokse eller lignende på AAU-lokationer.

Alle materialer, der bortskaffes, skal sikkerhedsmakuleres. Bortskaffelse skal logføres.

Benyt 'Follow-You'-print ved udskrivning af dokumenter.

Elektronisk:

Informationer må kun sendes eller videregives til samarbejdspartnere, når der foreligger et retsligt grundlag for overførsel (databehandleraftale, videregivelse m.m.).

Dataforsendelse skal foregå over krypterede kanaler, hvor fortrolighed garanteres af AAU eller modtager.

Dataforsendelse via åbne kanaler, eller kanaler ejet af tredjepart, kræver kryptering af informationerne.

Ved transport på bærbare medier (f.eks. PC, USB-stik eller SD-kort) skal data være krypteret.

Godkendte krypteringsformer fastsættes af CISO.

Fysisk:

Informationer må kun sendes eller videregives til samarbejdspartnere, når der foreligger et retsligt grundlag for overførsel (databehandleraftale, videregivelse m.m.).

Følsomme dokumenter sendes som lukket forsendelse, enten rekommanderet eller med kurér. Modtagelse og afsendelse skal logføres.