Rheolaethau Diogelwch

Trosolwg

Mae’r ddogfen hon yn disgrifio’r rheolaethau sydd ar gael ar gyfer ystod y pecynnau digidol ym Mhlatfform Hwb a sut y gellir defnyddio’r pecynnau hyn i alluogi sefydliadau i sicrhau diogelwch yr wybodaeth a ddefnyddir ganddynt.

Dosbarthiadau Diogelwch y Llywodraeth

Mae Dosbarthiadau Diogelwch y Llywodraeth ar dair lefel: SWYDDOGOL, CYFRINACHOL a THRA CHYFRINACHOL.

Diffinnir y lefelau fel a ganlyn:

_______________

Bydd gwybodaeth a brosesir yn amgylchedd yr ysgol ar y lefel SWYDDOGOL. Yn achos data SWYDDOGOL, dylai rheolaethau diogelwch gwybodaeth:

• warchod rhag peryglu bwriadol gan ymosodiad awtomataidd neu fanteisgar; a
• cheisio canfod achos o beryglu gwirioneddol neu ymgais i beryglu ac ymateb iddo

Mae manylion llawn ar gael yn nogfennau cysylltiedig Swyddfa'r Cabinet.

Rheolaethau Diogelwch Hwb

Ar Hwb, cyfeirir at reolaethau diogelwch fel safonol ac uwch, a dim ond ar gyfer rhai agweddau ar Hwb y mae rheolaethau uwch ar gael.

Mae rheolaethau safonol yn addas ar gyfer y rhan fwyaf o ddefnyddwyr Hwb a bydd yn sicrhau diogelwch priodol ar gyfer data personol llai sensitif a gwybodaeth SWYDDOGOL.

Dewis Rheolaethau

Yn achos data personol bydd y penderfyniad ynglŷn â pha reolaethau i’w defnyddio’n cael ei wneud gan y rheolydd data (y pennaeth fydd y rheolydd data mewn ysgolion fel arfer).

Yn ychwanegol at y dull arfaethedig ar gyfer Hwb, mae cyngor ffurfiol ar gael ar wefan yr ICO i helpu rheolyddion data i benderfynu pa lefel rheolaeth sydd ei hangen.

Mae’r tabl canlynol yn dangos defnydd nodweddiadol; fodd bynnag, mae’n debygol y bydd rhesymau dilys dros wyro oddi wrth y model hwn yn ôl amgylchiadau penodol y sefydliad; bydd unrhyw wyriad o’r fath yn benderfyniad rheoli risg lleol.

Diogelwch E-bost 

Nid yw e-bost yn ddiogel yn ddiofyn, yn ddamcaniaethol gall unrhyw un sydd â mynediad at e-bost wrth iddo deithio ar hyd y rhyngrwyd weld ei gynnwys. Mae cynnwys e-bost heb ei ddiogelu’n debyg i gerdyn post tra bydd ar ei ffordd drwy system ddanfon y post.

Mae’r diagram isod yn dangos taith syml e-bost heb ei amgryptio. Nid yw’n debygol y bydd rhywun â mynediad at y llwybr mae’r e-bost yn ei ddilyn ar hyd y rhyngrwyd yn gallu ei ddarllen, ond mae’n bosibl.  

Gellir defnyddio amgryptio i leihau’r perygl y bydd yr e-bost yn cael ei weld ar ei daith rhwng systemau e-bost.

Argymhellir fod unrhyw e-bost sy’n cynnwys data personol yn cael ei amgryptio. Bydd gwneud hynny’n sicrhau na fydd haciwr, boed yn lwcus neu’n glyfar, yn gallu darllen cynnwys yr e-bost ar ei daith ar hyd y rhyngrwyd. 

Mae sawl opsiwn gwahanol ar gyfer amgryptio e-bost, ac mae rhai’n haws i’w defnyddio na’i gilydd, er y dylai’r dewis o ddull amgryptio gael ei seilio’n bennaf ar sensitifrwydd yr e-bost. 

Mae tair ffordd o amgryptio e-bost ar gael yn Hwb: 

• TLS Gorfodol 
• Message Encryption Office 365 
• S/MIME 

Mae’r tabl canlynol yn crynhoi sefyllfaoedd ac ystyriaethau defnydd posibl ar gyfer defnyddio pob un o’r dewisiadau sydd ar gael yn Hwb. 

Parthau Dibynadwy

Mae Hwb wedi’i ffurfweddu i orfodi TLS ar gyfer pob e-bost sy’n cael eu hanfon a’u derbyn i’r parthau dibynadwy yma;

Dilysu aml-ffactor

Dilysu yw’r term a ddefnyddir i ddisgrifio’r broses o gadarnhau hunaniaeth unigolyn.

Mae'r rhan fwyaf o bobl yn gyfarwydd â defnyddio enw defnyddiwr a chyfrinair neu ôl bys i brofi pwy ydynt, ac am gyfnod hir roedd y rhain yn ddigonol i atal hacwyr rhag cael mynediad at gyfrif rhywun.

Mae’r gwahanol ffyrdd o brofi pwy yw rhywun yn seiliedig ar dair nodwedd neu ffactor:

• Rhywbeth rydych yn ei wybod – dyma’r nodwedd fwyaf cyffredin a ddefnyddir i brofi pwy yw rhywun, a bydd fel arfer ar ffurf cyfrinair neu rif adnabod personol.
  
  
• Rhywbeth sydd yn eich meddiant – e.e. ffôn clyfar, ac yn aml bydd angen darparu cod i gadarnhau bod yr eitem yn eich meddiant ar y pryd.
  
  
• Rhywbeth sy’n bersonol i chi – gan ddefnyddio biometreg sy’n adnabod ôl bys neu wyneb.

Ar eu pen eu hunain mae pob ffactor yn agored i ymosodiad, ond pan fyddant wedi’u cyfuno gall fod yn anodd eu trechu. Yn aml, cyfeirir at gyfuniad o fwy nag un math o ffactor fel proses wirio dau gam, proses ddilysu dau ffactor neu broses ddilysu aml-ffactor.

O ystyried y nifer cynyddol o achosion o we-rwydo ynghyd â’u soffistigeiddrwydd, yn achos systemau ar-lein fel Hwb mae defnyddio ffactor ychwanegol yn ffordd effeithiol o sicrhau nad yw cyfrinair sy’n cael ei ddatgelu yn rhoi mynediad llawn at gyfrif a’r holl wybodaeth sydd ynddo.

Rydym wir yn argymell defnyddio proses ddilysu aml-ffactor am ei fod yn helpu i atal mynediad heb ei awdurdodi at wybodaeth, yn enwedig os yw’n diogelu data personol sensitif. Mae dilysu aml-ffactor yn nodwedd ddiogelwch bwysig ar gyfer sefydliadau  a chyfrifon ar-lein personol defnyddwyr.

Dilysu aml-ffactor ar Hwb (rheolaeth uwch)

Mae dilysu aml-ffactor yn rhywbeth gorfodol ar gyfer hyrwyddwyr digidol ysgolion a gweinyddwyr Hwb. Gellir ei osod hefyd ar bob cyfrif arall nad ydynt yn ddysgwyr. Mae dilysu aml-ffactor yn gofyn am gyfrinair a chod sy’n para am gyfnod penodol wrth fewngofnodi i Hwb y tu allan i ysgol neu rwydwaith dibynadwy arall, h.y. oddi ar y safle. 

Caiff y cod ei greu gan ap Microsoft Authenticator, y bydd angen i unigolion nad ydynt yn ddysgwyr, ac y mae’r opsiwn dilysu aml-ffactor yn weithredol ar eu cyfrif, ei lawrlwytho a’i osod ar ffôn clyfar neu ddyfais symudol arall sydd â mynediad at y rhyngrwyd. Nid oes angen cysylltiad di-dor â’r rhyngrwyd ar ôl ei osod. Bydd yn dal i weithio mewn mannau lle mae’r cysylltiad yn wan neu lle nad oes cysylltiad o gwbl.

Noder: Mae ap Microsoft Authenticator yn creu codau. Ar ôl i’r ap gael ei osod, bydd yn creu cod sy’n newid bob 30 eiliad. Bydd angen rhoi’r cod wrth fewngofnodi i Hwb. Dim ond ag un copi o Microsoft Authenticator y gellir cysylltu eich cyfrif Hwb, h.y. dim ond ar un ffôn clyfar neu ddyfais symudol arall sydd â mynediad at y rhyngrwyd y gellir ei ddefnyddio. Mae rhagor o wybodaeth am yr ap ar gael ar wefan Microsoft.

Os yw dilysu aml-ffactor i fod yn effeithiol, cymerir yn ganiataol na fydd y rheini nad ydynt yn ddysgwyr sydd â mynediad at Hwb yn rhannu eu ffôn clyfar neu eu dyfais ag eraill nac yn eu gadael heb eu cloi pan na fyddan nhw yno.

Chyfarwyddiadau ddilysu aml-ffactor ar gael ar Hwb. 

Os oes cwestiynau gennych, neu os oes angen cymorth arnoch, cysylltwch â Desg Wasanaeth Hwb: cymorth@hwbcymru.net / 03000 25 25 25.

Cydweithredu

Mae Hwb wedi diffinio cyfuniadau o reolaethau a argymhellir sy’n berthnasol i feysydd cydweithredu.

Rhagwelir mai’r rheolaethau safonol fydd y ffurfwedd fwyaf addas ar gyfer y rhan fwyaf o gydweithio a wneir gan ddefnyddwyr Hwb. 

Mae Azure Multi-Factor Authentication (MFA) ac Azure Rights Management (RMS), a ddisgrifir yn fwy manwl isod, yn rheolaethau Uwch, ac maent yn cael eu hargymell pan fydd angen cydweithio â data sensitif. 

Dylid dilyn penderfyniadau risg a chanllawiau lleol wrth weithio â data personol, fodd bynnag, y sefyllfaoedd defnydd a ragwelir ar gyfer y gwahanol lefelau yw:  

Uwch – Yn addas ar gyfer gwybodaeth sensitif

• Lefel 1 – argymhellir i sicrhau bod dogfennau’n cael eu cadw’n ddiogel drwy gael rheolaethau sy’n ‘teithio’ gyda’r ddogfen.
  • Gall y lefel hon hefyd fod yn addas pan fydd angen cydweithio â niferoedd mawr o ddefnyddwyr allanol a lle mae cyfrinachedd gwybodaeth â sensitifrwydd isel yn bwysig. 
• Lefel 2 – argymhellir y lefel hon i grwpiau bach o ddefnyddwyr yn unig; mae dibyniaeth ar ymwybyddiaeth a gwyliadwriaeth defnyddwyr o ran diogelwch gwybodaeth.
• Safonol– Yn addas ar gyfer gweithio a chydweithio o ddydd i ddydd, a all gynnwys data sy’n galluogi adnabod unigolion, ond bydd fel arfer yn anaddas ar gyfer data mwy sensitif. Argymhellir fod rhannu’n allanol yn cael ei gyfyngu i grwpiau bach o ddefnyddwyr oherwydd ansicrwydd ynglŷn â sut y bydd trydydd partïon yn rheoli diogelwch gwybodaeth.

Ffeiliau Personol

Dilysu Aml-ffactor (MFA) – Rheolaeth Uwch

Gall gyriannau storio personol yn y cwmwl elwa drwy ddefnyddio MFA gyda chyfrif personol defnyddiwr, yn yr un ffordd â gwasanaethau eraill.

Diogelu Cyfrinair Lefel Ffeil - Rheolaeth Uwch

Gellir defnyddio diogelwch cyfrinair cynhenid Microsoft Office i ddiogelu ffeiliau sy’n cynnwys data personol, er bod hyn yn cyflwyno rhai cyfyngiadau ar y dulliau mynediad at y ddogfen (gweler y crynodeb isod). 

Nid yw rhaglenni ar-lein Google G Suite for Education yn cefnogi diogelwch cyfrineiriau’n uniongyrchol.