Mødelokale C hos MedCom, Forskerparken 10, 5230 Odense M

Transkript

1 SDN-BRUGERGRUPPEMØDE TID: Den 20. februar 2018 kl STED: VIDEOMØDERUM: DELTAGERE: AFBUD: Mødelokale C hos MedCom, Forskerparken 10, 5230 Odense M Via videokonferenceudstyr: tgj@rooms.medcom.dk Via browser: Test din forbindelse: Arne Larsen, Region Nordjylland Lars Helsberg, Sundhedsdatastyrelsen Kenneth V. Mogensen, Region Sjælland Kasper Viksø Kegel, Region Sjælland Lars Nyemann-Kofod, Region Hovedstaden Allan Vistisen, DXC Lasse Christmann, Netic XX, sygehusleverandør Peder Illum, MedCom Jens Rahbek Nørgaard, MedCom Per Abildgaard, MedCom Jesper S. Knudsen, MedCom Bruno Juel Pedersen, MedCom Tanja Gerner Jusslin, MedCom (referent) Kristian Nielsen Foged, Multimed Anders Bjerg Frederiksen, Region Midtjylland Jacob Garde, sundhed.dk Jan Kondrup, Netic Michael Valeur Nielsen, Region Syddanmark Martin Bagger Brandt, PLO DAGSORDEN Kl Kl Kl Kl Kl Kl Kl Kl Kl Kl Kl Kl Godkendelse af dagsorden (beslutning) v/ Peder Illum Opfølgning fra seneste møde (orientering) v/ Peder Illum Meddelelser med relevans for SDN (orientering) v/ SDN-brugergruppen Status og opfølgning på drift, servicemål og KPI er herunder evaluering af eventuelle hændelser (orientering) v/ Peder Illum Constant deployment vs. faste servicevinduer (beslutning) v/ Peder Illum Endepunktskryptering af services (beslutning) v/ Peder Illum Udvikling (beslutning) v/ Peder Illum Udviklingsønske til passwordpolitik i aftalesystem v3 (beslutning) v/ Peder Illum Beredskabstest (orientering) v/ Peder Illum Modenhed og SDN (beslutning) v/ Peder Illum Næste møde (beslutning) v/ Peder Illum Eventuelt 1

2 KOMMENTERET DAGSORDEN 1. Godkendelse af dagsorden v/ Peder Illum (beslutning) Herunder præsentationsrunde deltagerne imellem for at byde velkommen til nye medlemmer af SDNbrugergruppen. 2. Opfølgning fra seneste møde v/ Peder Illum (orientering) Status på arbejdet med fællesoffentlig databehandleraftale v/ Peder Illum 3. Meddelelser med relevans for SDN v/ SDN-brugergruppen (orientering) Deltagere i SDN-brugergruppen orienterer hinanden gensidigt om nyt med relevans for SDN: Den årlige it-revision igangsat. Ud over SDN-leverandørerne er Region Nordjylland og KMD udtrukket til revisionen v/ Peder Illum Andet? 4. Status og opfølgning på drift, servicemål og KPI er herunder evaluering af eventuelle hændelser v/ Peder Illum (orientering) Bilag 4.1: Driftsafrapportering SDN inkl. KPI er Driftsstatus og status på SDNv3-implementering præsenteres. SDN har i den sidste periode været stabil. De aftalte servicemål er indfriet, og der har ikke været major incidents. Driftsrapportering inkl. udviklingen i de systemspecifikke KPI er fremgår af bilag 4.1. Status på den forsinkede SDNv3-implementeringen er, at der mangler installation hos 5 organisationer. Aftaler med og migreringen af VPN-brugerne er i gang. Implementeringen forventes tilendebragt i foråret Tager status på drift og SDNv3-implementering til efterretning 5. Constant deployment og faste servicevinduer v/ Peder Illum (orientering) SDN-brugergruppen inviteres til drøftelse af behovet for faste servicevinduer i kombination med constant deployment. På møde den 3. maj 2017 blev change management behandlet i SDN-brugergruppen. Fokus var primært kommunikationen om changes samt indførelse af øget fleksibilitet uden faste servicevinduer. 2

3 I den praktiske implementering har det vist sig, at der kan være behov for faste servicevinduer i kombination med constant deployment. På mødet præsenteres eksempler. Tidligere lå de faste servicevinduer for SDN mellem 00:00 og 06:00 første tirsdag i hver måned. De fællesregionale servicevinduer ligger 2. og 4. tirsdag i måneden fra 00:00. Bidrager med erfaringer med constant deployment for SDN Drøfter behovet for faste servicevinduer 6. Endepunktskryptering af services v/ Peder Illum (beslutning) Fortroligt punkt. 7. Udvikling v/ Peder Illum (beslutning) Bilag 7.1: Årshjul for udvikling Bilag 7.2: Opsamling efter release af aftalesystem v3 Bilag 7.3: Liste med udviklingsønsker til fremtidig prioritering Forslag til årshjul for udvikling og håndtering af udviklingsønsker præsenteres med henblik på igangsætning i foråret SDN-brugergruppen præsenteres endvidere for status på udviklingsønsker samt opfølgning efter release af aftalesystem v3. På baggrund af sidste brugergruppemøde er udarbejdet revideret forslag til årshjul for udvikling (bilag 7.1). Forslaget inkluderer 2 rul samt løbende mulighed for implementering af ønsker - og vil som udgangspunkt have som konsekvens, at der skal afholdes 4 årlige møder. Hjulet iværksættes først i foråret 2018 pga. opfølgningen på release af aftalesystem v3. Aftalesystem v3 blev releaset Generelt gik releasen godt, men der var også henvendelser som følge af manglende eller forkert funktionalitet. Liste med opsamling på aftalesystem v3 fremgår af bilag 7.2. Næste release er under planlægning. Status på udviklingsønsker fremgår af bilag 7.3. Godkender forslag til årshjul med virkning fra foråret 2018, herunder indkaldelse til 4 årlige møder Tager status på udviklingsønsker samt opfølgning på aftalesystem v3 til orientering 8. Udviklingsønske til password-politik i aftalesystem v3: Kan 2-faktor afløse passwordskifte? v/ Peder Illum (beslutning) SDN-brugergruppen inviteres til drøftelse af udviklingsønske til password-politik i aftalesystem v3. 3

4 Et af udviklingsønskerne til aftalesystem v3 angår passwordhåndhævelse. Spørgsmålet er, om anvendelsen af den nuværende 2-faktor autentifikation kan: Forlænge passwordets levetid, så frekvensen af passwordskifte kan sænkes eksempelvis til årligt? Helt overflødiggøre passwordskifte? Overflødiggøre anvendelse af kompleksitet i password eksempelvis ift. længde og specialtegn? Passwords vil herudover altid skulle skiftes, hvis der opdages et læk. Drøfter politik for password for kvalificering af udviklingsønske til aftalesystem v3 til senere prioritering 9. Beredskabstest v/ Peder Illum (beslutning) SDN-brugergruppen får præsenteret resultatet af beredskabsøvelsen 16. januar 2018 og inviteres til drøftelse af øvelsen. Som en del af årshjulet for informationssikkerhed testes beredskabsplanen mindst en gang årligt. Målet er træning af medarbejdere og løbende forbedring af beredskabsplanen. Test af beredskab er også indeholdt i bekendtgørelsen om NIS-direktivet (Kapitel 3, Sikkerhedsforanstaltninger i 4, hvor der bl.a. står, at operatører af væsentlige tjenester skal træffe passende tekniske og organisatoriske foranstaltninger, herunder som minimum: Evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af tjenesten Evne til rettidigt at genoprette tilgængeligheden af tjenesten i tilfælde af en hændelse En procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger Endvidere vil en beredskabstest også kunne anvendes lokalt ift. test af håndteringen ved nedbrud af SDN og iværksættelse af egne beredskaber / nødprocedurer. På SDN/VDX-brugergruppemøde den 13. december 2017 blev beredskabsplanen præsenteret og forslag til fremtidige cases udarbejdet. Tager resultatet af beredskabstesten til 10. Modenhed og SDN v/ Peder Illum (beslutning) Bilag 10.1: Udkast til SDN-modenhedsmåling SND-brugergruppen inviteres til at indgive forbedringsforslag for styrkelse af SDNs modenhed. 4

5 Den generelle modenhed for SDN skal behandles i styregruppen for MedCom og FSI. Afsættet er en kvalitativ vurdering inden for tre overordnede kategorier: Change management Incident management Service level management Det er målet, at hvert system opnår det rette niveau, og ikke at systemerne skal være så modne som muligt. Foreløbigt udkast til udfyldelse af FSI-skabelon fremgår af bilag 10.1, hvor det under hver af kategorierne er muligt at indsættes forbedringsforslag. Drøfter og stiller eventuelle forbedringsforslag for styrkelse af modenheden af SDN med henblik på behandling i MedComs styregruppe 11. Næste møde v/ Peder Illum (beslutning) Forslag til kommende møder: Den 30. april 2018 kl Den 23. august 2018 kl (den 8. oktober 2018 kl : Slettes) Den 8. november 2018 kl Foreløbige forslag til punkter for næste møde: It-revision og risikovurdering Hjemmeside SDN/VDX-temadag 2018 den 22. november Eventuelt 5