Kontrol med afviste adgangsforsøg og logning. Der skal foretages registrering af alle afviste adgangsforsøg. Hvis der inden for en fastsat periode er registreret højst 3 på hinanden følgende afviste adgangsforsøg med samme brugeridentifikation, skal der blokeres for yderligere forsøg fra denne brugeridentifikation. Adgangen åbnes først, når årsagen til afviste adgangsforsøg er klarlagt. Der skal foretages maskinel registrering (logning) ved al behandling af personoplysninger. Loggen skal mindst indeholde oplysninger om tidspunkt, bruger, type af anvendelse og angivelse af den person, de anvendte oplysninger vedrørte eller det anvendte søgekriterium. Loggen skal opbevares i seks måneder, hvorefter den skal slettes, medmindre der i overensstemmelse med loggens formål fastsættes en længere opbevaringsperiode, af hensyn til at kunne anvende den som værktøj til brug ved efterforskning.
Kontrol med afviste adgangsforsøg og logning. 5.1 Der skal foretages registrering af alle afviste adgangsforsøg. Hvis der inden for en fastsat periode er registreret højst 3-5 på hinanden følgende afviste adgangsforsøg fra samme arbejdsstation eller med samme brugeridentifikation, skal der blokeres for yderligere forsøg. Adgangen åbnes først, når årsagen til de afviste adgangsforsøg er klarlagt.
5.2 Der skal foretages maskinel registrering (logning) af ved al behandling af personhenførbare oplysninger. Loggen skal mindst indeholde oplysninger om tidspunkt, bruger, type af anvendelse og angivelse af den person, de anvendte oplysninger vedrører eller det anvendte søgekriterium. Loggen skal opbevares i 6 måneder, med mindre der i overensstemmelse med loggens formål fastsættes en længere opbevaringsperiode af hensyn til at kunne anvende loggen som værktøj til brug for efterforskning.
5.2.1 Aftales der en længere opbevaringstid for loggen, skal dette fremgå af Databehandleraftalens punkt 17.2.
5.3 Databehandleren skal efter ønske fra den dataansvarlige stille nødvendige loginformationer til rådighed for den Dataansvarlige til brug for gennemførelse af periodisk audit eller til undersøgelse af misbrug eller mistanke om misbrug.
Kontrol med afviste adgangsforsøg og logning. Databehandleren skal iagttage følgende vedrørende kontrol med afviste adgangsforsøg og logning:
Kontrol med afviste adgangsforsøg og logning. Det fremgår af sikkerhedsbekendtgørelsen § 15, at bestemmelserne i kapitel 3 om ”kontrol med afviste adgangsforsøg” og ”logning” ikke finder anvendelse i det omfang, de behandlede oplysninger ikke i sig selv ville være omfattet af anmeldelsespligten til Datatilsynet. Dette medfører, at når den behandling af personoplysninger, der skal finde sted, ikke kræver anmeldelse til Datatilsynet, gælder der ikke et krav om, at der skal foretages kontrol med afviste adgangsforsøg eller logning. Ifølge persondataloven er der kun anmeldelsespligt, når en behandling vedrører fortrolige personoplysninger. Fortrolige oplysninger er f.eks. følsomme oplysninger, som angivet i persondataloven og databeskyttelsesforordningen, men fortrolige oplysninger kan også udstrækkes til andre oplysninger af rent privat karakter. Fortrolige oplysninger vil derfor også kunne være oplysninger om eksamenskarakterer, præstationer og bedømmelser. Det følger imidlertid af bekendtgørelse om undtagelse fra pligten til anmeldelse af visse behandlinger, som foretages for den offentlige forvaltning, at visse behandlinger er undtaget fra anmeldelsespligten. Her fremgår det af § 11, at behandlinger, som foretages i forbindelse med administration og planlægning af undervisning og ikke vedrører andet end eksamenskarakter og bedømmelser, ikke er omfattet af anmeldelsespligten. Da behandlingen i Clio Online udelukkende omfatter behandling af ikke-fortrolige oplysninger eller oplysninger om bedømmelser i forbindelse med administration og planlægning af undervisning, er det ikke et krav at Clio Online foretager kontrol med afviste adgangsforsøg og logning. Clio Onlines behandling af personoplysninger sker delvist ved anvendelse af hjemmearbejdspladser. Hvis interne systemer tilgås fra en hjemmearbejdsplads, foregår det via krypterede VPN-forbindelser og tilgang til vores server-miljøer sker igennem en avanceret kryptografisk keybaseret forbindelse til vores fysiske datamiljø, der er sikret med Amazon web services. Leverandøren gennemfører følgende tekniske og organisatoriske sikkerhedsforanstaltninger for at sikre et sikkerhedsniveau, der passer til de aftalte behandlinger, jf. Instruks (bilag 3), og som dermed opfylder Databeskyttelsesforordningens artikel 32. Foranstaltningerne fastlægges ud fra overvejelser om: