Temarapport 2021 - informasjonssikkerhet og personvern i høyere utdanning og forskning

I pandemiåret 2020 ble hjemmekontor og digital undervisning normen hos statlige universiteter og høgskoler. Den nye normalen førte likevel ikke til mange flere brudd på informasjonssikkerheten eller krenkelser av personvernet enn i 2019. Fremdriften i arbeidet innen disse områdene bremset imidlertid noe opp hos flertallet av institusjonene.

Dette er hovedkonklusjonene i en ny temarapport fra Direktoratet for høyere utdanning og kompetanse. Rapporten presenterer hvordan korona-nedstengingen og pandemihåndteringen påvirket arbeidet med informasjonssikkerhet og personvern hos de 21 statlige universitetene og høgskolene. Kartleggingen ble gjennomført i januar-mars 2021.

Temarapporten omhandler ulike forhold knyttet til effektene av pandemihåndteringen på institusjonenes innsats for å styrke informasjonssikkerheten og personvernet. I tillegg til fremdriften i arbeidet og forekomsten av sikkerhetsbrudd og personvernkrenkelser, drøftes følgende spørsmål:

• I hvor stor utstrekning tok institusjonene i bruk nye digitale systemer eller tjenester som en del av pandemihåndteringen?
• Hvilke særskilte personvernutfordringer ble institusjonene stilt ovenfor når fysisk tilstedeværelse ble erstattet av digital samhandling og kommunikasjon?
• Hvilke ekstraordinære tiltak ble iverksatt for å ivareta informasjonssikkerheten og personvernet til studenter, ansatte og deltakere i forskningsprosjekter?

Rapporten viser at universitetene og høgskolene ikke innførte og tok i bruk av mange nye tekniske løsninger. Avhengighet av digitale systemer og tjenester økte likevel i sektoren som en følge av pandemien.

Den økte avhengigheten førte til at universitetene og høgskolene iverksatte en rekke ekstraordinære tiltak for å styrke informasjonssikkerheten og personvernet. Samtidig måtte enkelte nye personvernutfordringer løses.

Rapporten peker også på at krisehåndteringen kan ha svekket noe av det daglige arbeidet som utføres innenfor ledelsessystemer for informasjonssikkerhet og internkontrollen for personvernforordningen (GDPR). I de deler av sektoren hvor det er tilfelle, er det viktig at oppgaver som er utsatt eller nedskalert tas opp igjen etter hvert som pandemisituasjonen stabiliserer seg.