Hvordan gjennomfører du sikre møter i Teams?

Kirkerådets arbeidsutvalg besluttet 17. mars en midlertidig forskrift om fjernmøter i kirkelige organer:

https://lovdata.no/dokument/SF/forskrift/2020-03-17-334?q=fjernm%C3%B8ter

I grunnen gjelder de samme reglene for fysiske som digitale møter: Det føres en oversikt over hvem som deltar og deltakerne får tilgang til dokumenter som de har tjenstlig behov for.

Sikkerhet og personvern
Teams er en del av Office 365, som er en skyløsning fra Microsoft. Kirkepartner AS har fått i oppdrag av Kirkerådet å tilby deler av Office 365-pakken (OneDrive og SharePoint) for kirkebakkenbrukerne på en måte som tilfredsstiller kravene til informasjonssikkerhet og personvern. Lisenspakken inkluderer også Teams, som tilbys brukere av Kirkebakken (så lenge Kirkepartner AS kan benytte en kostnadsfri Teams-lisens fra Microsoft). Kravene betyr i hovedsak geografisk plassering av serverne i EØS-området og tofaktor autentisering av brukere. Tofaktor blir ofte omtalt som Multi-Factor Authentication (MFA).

Overordnet skal den som arrangerer møter (hvor det behandles personopplysninger) følge personvernforordningens artikkel 25 og 32 og iverksette «egnede tekniske og organisatoriske tiltak». Det vil si a) teknisk sikring og b) instruksjoner til de ansatte/møtedeltakerne om hvordan de skal forholde seg.

Fra 30. mars 2020 må MFA-applikasjonen Authenticator fra Microsoft brukes sammen med brukernavn og passord ved pålogging. Den kan installeres på mobiltelefonen (se veiledning fra Kirkepartner AS på intranettet her). En gang per dag må du godkjenne innlogging i appen etter at du har oppgitt brukernavn og passord. For å øke sikkerheten ytterligere har kirken også aktivert Advanced Threat Protection (ATP). Dersom du flytter til et annet nettverk (med et annet IP-nummer), må du dermed godkjenne innlogging i appen på nytt dersom du blir utlogget. Kirkebakken, Teams, One-Drive og Skype for Business vil få den samme type innlogging fra 30. mars 2020.

Authenticator er en forenkling fordi du slipper å skrive inn en kode fra applikasjonen, slik som tidligere. Du trenger bare godkjenne ved å klikke på app'en.

Kirkepartners plattform vil fortsette å bruke appen RSA Authenticate en stund til, men Kirkepartner har planlagt å erstatte denne med Microsoft Authenticator i nærmeste fremtid.

Dersom fellesråd inngår egne, separate avtaler med Microsoft eller andre leverandører, er det ikke sikkert at kravene til sikkerhet og personvern blir fulgt. Skype for Business er en tjeneste som også er en del av Microsoft-pakken, men som fases ut og blir erstattet av Teams så snart alle medarbeidere har Office 365. Den vanlige forbrukerutgaven av Skype driftes i USA og er ikke like sikker som Teams eller Skype for Business.

Saksdokumenter
Det er ikke sikkert å sende dokumenter via e-post, selv om det er bedre å sende fra en bruker på kirken.no til en annen, altså bruke samme posttjener. Dokumenter som ikke inneholder sensitive personopplysninger deles lettest via Kirkebakken (Sharepoint) eller via din personlige harddisk i skyen, OneDrive. Slike dokumenter kan lett vises til de andre deltakerne i et Teams-møte ved å klikke på "Filer" i menyen til venstre i Teams.

Det er mulig å legge inn dokumenter (under Filer) på et bestemt Team, men dette bør være en dagsorden eller lignende. Konfidensielle dokumenter bør ikke legges inn direkte i ett Team, men vises av den enkelte bruker under møtet.

Hvis dokumenter inneholder sensitive personopplysninger, for eksempel informasjon om en ansatt, kreves ekstra varsomhet. Slike dokumenter skal ligge i et godkjent elektronisk arkivsystem, og med riktig tilgangsstyring. For Kirkerådet, bispedømmerådene og noen kirkelige fellesråd ligger dokumenter lagret i Public 360. Denne løsningen har en egen utvalgsmodul, eMeetings, som gjør at dokumenter kan deles med møtedeltakerne for eksempel på en iPad via en egen app. Det er fortsatt mulig å se dokumentene på vanlig måte i P360.

Hvis møtearrangøren ikke har et elektronisk arkivsystem, må dokumentet ligge i en fellesmappe med korrekt tilgangsstyring og sporing (logg).

I mange arkivsystemer er det mulig å lage en lenke til møtedokumenter, som kan legges inn i møteinnkallingen eller i chat-funksjonen i Teams. Dermed kan bare personer med tilgang få opp dokumentet. Det er også mulig å vise dokumenter på skjermen under et pågående Teams-møte. Da er da nødvendig å sikre at alle deltakerne har tjenstlig tilgang til å se dokumentet. Teams sier i fra når noen lagrer en øyeblikksbilde (skjermdump) under et pågående møte.

Det er ryddig å publisere noen enkle regler ved starten av møtet (for eksempel i møteinnkallingen). Litt avhengig av sammenhengen kan slike punkter være

1. Møtet finner sted på Kirkens Office 365-plattform, i programmet Teams, hvor lenker til møtets dokumenter gjøres tilgjengelig for deltakerne.
2. Deltakerne skal ikke delta i møtet dersom de sitter i offentlige miljøer.
3. Deltakerne skal helst bruke hodetelefoner, slik at uvedkommende ikke kan overhøre samtalen.
4. Deltakerne skal helst delta med kamera påslått, slik at deres identitet/tilstedeværelse kan fastslås.
5. Dersom konfidensielle dokumenter deles på skjerm under møtet, skal alle deltakerne ha tjenstlig tilgang til dokumentet. Det er ikke tillatt å ta skjermbilder av delte dokumenter.
6. Dersom det ikke deles konfidensielle dokumenter under møtet, kan et opptak av møtet gjøres og lagres i Teams-rommet. Opptaket slettes når godkjent skriftlig referat foreligger.

Andre møteplattformer
Dersom det ikke behandles personopplysninger eller konfidensiell informasjon under møtet, er det opp til deltakerne å bruke den digitale møteplattformen som passer best. Her finnes det en rekke alternativer, Zoom, FaceTime, Messenger etc. Det kan være et poeng å benytte Teams så ofte som mulig, slik at medarbeiderne i kirken blir gode på ett digitalt redskap.