TID: Den 31. maj 2017 kl MedCom, Mødelokale C, Forskerparken 10, 5230 Odense M

Transkript

1 SDN-BRUGERGRUPPEMØDE TID: Den 31. maj 2017 kl STED: MedCom, Mødelokale C, Forskerparken 10, 5230 Odense M VIDEOMØDERUM: tgj@rooms.medcom.dk DELTAGERE: Lars Helsberg, Sundhedsdatastyrelsen Arne Larsen, Region Nordjylland Kasper Viksø Kegel, Region Sjælland Søren Nørgaard-Larsen, Region Hovedstaden Kristian Nielsen Foged, Multimed Jacob Gaarde, Sundhed.dk Lena Walsøe Hjortshøj, DXC Technology Lasse Christmann, Netic Peder Illum, MedCom Per Abildgaard, MedCom Jesper S. Knudsen, MedCom Anders Kristiansen, MedCom Tanja Gerner Jusslin, MedCom (referent) AFBUD Anders Bjerg Frederiksen, Region Midtjylland John Berthelsen, Region Syddanmark Kasper Teglgaard Parbo, CGI Denmark Kenneth V. Mogensen, Region Sjælland Martin Bagger Brandt, PLO REFERAT 1. Godkendelse af dagsorden v/ Peder Illum (beslutning) Dagsordenen blev godkendt. 2. Opfølgning fra seneste møde v/ Peder Illum (orientering) Status på arbejdet med den fællesoffentlige databehandleraftale Peder orienterede om, at Sundhedsdatastyrelsen har udsendt udkast til fællesoffentlig databehandleraftale. Udkastet drøftes på møde den 4. september. Der hersker aktuelt lidt uklarhed om aftalens gyldighedsområde. Ændring på MedComs driftsside angående servicevinduer Peder fortalte, at jf. sidste SDN-brugergruppemøde er der lagt ændring på MedComs hjemmeside om constant deployment. 1

2 3. Meddelelser med relevans for SDN v/ (orientering) SDN/VDX-temadag den 8. november 2017 Peder orienterede kort om temadagen den 8. november 2017, hvor der vil være demo af det nye aftalesystem. Afslutning på MedCom 10 den 13. december Peder foreslog at afholde et ekstraordinært møde sammen med VDX-brugergruppen den 13. december i forbindelse med afslutningen på MedCom 10. Fokus på mødet vil være beredskabsplan og case for test af beredskabsplan. var enig i afholdelsen af mødet. MedCom 11-møderunde i efteråret 2017 Peder orienterede om den igangværende besøgsrunde for planlægning af arbejdsprogrammet for MedCom 11. Peder præsenterede endvidere mulige SDN-aktiviteter i MedCom 11: ISO certificering og IPv6 på overvågning. 4. Status og opfølgning på drift, servicemål og KPI er herunder evaluering af eventuelle hændelser v/ Peder Illum (orientering) Peder orienterede om, at SDN i den sidste periode har været stabil. De aftalte servicemål er indfriet, og der har ikke været major incidents. Peder fortalte om status på den forsinkede SDNv3-implementeringen for MPLS-delen, hvor møder med SDN MPLS-brugere med store accesslister er planlagt for håndtering af udfordring med CPE-udstyr. På længere sigt overvejes udskiftning af CPE-udstyr hos organisationer med store accesslister, hvis egnet udstyr kommer på markedet. I den forbindelse anbefalede Arne at overveje et set up med anvendelse af firewall i stedet for indkøb af nye switche. MedCom tager inputtet med videre til TDC. Peder orienterede slutteligt om, at også VPN-delen er forsinket pga. uforudsete problemer. Der er igangværende tests, hvorefter der køres en pilot. Når piloten er afsluttet tilfredsstillende, igangsættes udrulning. Implementeringen forventes nu tilendebragt ultimo Når SDNv3 er færdigimplementeret, bør nye KPI er drøftes. Tog status på drift og SDNv3-implementering til efterretning 5. Udvikling v/ Peder Illum (beslutning) Peder præsenterede roadmap og release for SDN-Aftalesystemet v3. Målet er release den 13. november - umiddelbart efter SDN/VDX-temadagen. 2

3 Peder præsenterede endvidere de væsentligste ændringer: Nyt layout 2-faktor autentifikation ved login Sporbarhed på alle handlinger bl.a. med henblik på lokal opfølgning SDN-brugerstyring i LDAP Mulighed for at tildele brugere i en anden organisation autorisation til at udføre handlinger i egen organisation Brugertest med involvering af deltagere fra gennemføres primo oktober Peder spurgte, om der var flere ud over Anders, som vil være med til at teste. Jacob meldte sig. Tidspunkt og testprotokol tilgår de interesserede. Peder gennemgik risici og håndtering ved release af det nye aftalesystem, herunder den eventuelle risiko ved at lukke aftalesystemet ned i weekenden november. så ingen risiko, når det bliver kommunikeret, så brugerne kan tage højde for nedlukningen. Peder fortalte, at der er en igangværende drøftelse af licensstrukturen for aftalesystemet, som risikerer at have driftsøkonomiske konsekvenser for SDN. Peder præsenterede forslag til fremadrettet håndtering af udviklingsønsker for SDN. Forslaget angik indsamling, prioritering, udvælgelse samt implementering og release. Der var en en drøftelse af længden på udviklingshjulet. Der var enighed om at inkorporere mere fleksibilitet med mulighed for implementering af mindre ændringsønsker med eksempelvis lille økonomi + lille risiko. Godkendelse af sådanne ændringsønsker kan med fordel kan ske via mail. Tog præsentationen af roadmap og release inkl. kommunikationsplan for Aftalesystem v3 til efterretning Besluttede, at forslaget til den fremadrettede håndtering af udviklingsønsker i SDN skulle tilrettes jf. ovenstående og udsendes på ny 6. Fælles brugerstyring i SDN v/ Arne Larsen (beslutning) Arne præsenterede konklusion på mødet mellem Region Nordjylland, Region Midtjylland og Region Syddanmark om fælles brugerstyring i SDN. Kernespørgsmålet er, om brugervalidering fortsat skal håndteres af den enkelte service - eller om brugervalidering skal ske ved indgangen til SDN eller ved udgangen fra brugerens organisation. Selvom den umiddelbare konklusion på mødet var ikke at gå videre med projektet, ønsker specielt Region Nordjylland at fortsætte drøftelsen, afklaringen af en eventuel løsning samt roller og ansvar. Dette kunne i første omgang med fordel ske i RSI. Bakkede op om en videre afklaring med status på næste ordinære møde 3

4 7. Brugerroller og rettigheder i Aftalesystemet v3 v/ Jesper S. Knudsen og Peder Illum (beslutning) Peder præsenterede fremtidige roller og rettigheder i aftalesystem v3, hvor brugersystemet bliver gradueret i et LDAP AD med nedarvning og grupper som i et normalt AD. Jacob foreslog at samle brugere i grupper, så udpegning af brugere som system-godkendere kan ske på gruppeniveau. I relation til dette blev der drøftet nogle principper for brugerhåndtering i organisationerne: Der bør kun anvendes individuelle logins, når der foretages godkendelser/ændringer i aftalesystemet for at sikre sporbarhed. Servicedesk kan oprettes som bruger - men bør kun være readonly Ved outsourcing var der enighed om, at autorisationsmodellen fungerer dvs., at den organisation, hvori servicen er hjemmehørende, også er ansvarlig for at kunne outsource godkender-rettigheder til andre Kontrol af brugere følger MedComs procedure med kvartalsvis opfølgning, hvor organisationerne har ansvar for at følge op på egne brugere og handlinger i aftalesystemet. Alle handlinger logges. Loggen vil være tilgængelig for alle og kan ikke ændres eller slettes. Tog fremtidige roller, rettigheder og ansvar i SDN-Aftalesystemv3 til efterretning 8. Endepunktskryptering af services v/ Peder Illum (beslutning) Fortroligt punkt. 9. Beredskabsplan for SDN v/ Peder Illum (beslutning) Punktet til udskudt til møde i december. 10. Aftalekompleks for SDN v/ Peder Illum (beslutning) Peder præsenterede forslag til nyt aftalekompleks: Hvor databehandleraftalen ikke længere er en integreret del Hvor den fælles informationssikkerhedspolitik udgår. så ingen negative konsekvenser ved udladelse af en integreret fælles informationspolitik: Sikkerhedsniveauet reguleres uanset i de krav, som de dataansvarlige dvs. serviceaftagere (gennem databehandleraftale og informationssikkerhedspolitik) stiller til databehandlerne dvs. serviceudbyderne og MedCom. Kravene til sikkerhedsniveau til MedCom afspejles i MedComs informationssikkerhedspolitik, som dækker MedComs systemforvaltningsansvar for bl.a. SDN 4

5 MedComs opgave i relation til SDN bliver derved også mere præcist defineret som databehandler og systemforvalter. Peder gennemgik herefter de umiddelbart største ændringer i tilslutningsaftalen ud over ovenstående og som bl.a. er inkorporeret med baggrund i input fra organisationerne fra den løbende dialog om aftalekomplekset: Tilslutningsaftalen: 2.3 og 6.1: Indføjelse af varslinger ift. ændringer, prisstigninger 7.4 og 7.5: Beskrivelse af, at organisationen skal hjælpe MedCom med compliance og give besked ved sikkerhedshændelser Bilag 1: Betingelse for tilslutning: 1.6: Anbefaling om endepunktskryptering jf. punkt 8 2.2: Beskrivelse af, at SDN-MPLS-udstyr skal være omfattet af organisationens politikker + at organisationen i den forbindelse kan udtages stikprøvekontrol (1.5) : Beskrivelse af organisationens ansvar ift. porte, services, aftaler, beskrivelse og opfølgning i aftalesystemet 5: Nyt afsnit om servicevinduer 7: Ekstra kontaktpersoner (servicedesk + SDN-admin) + beskrivelse af kontaktpersoners rolle / funktioner Tilslutningsaftalen vil blive behandlet i MedComs styregruppe i udgangspunkt på møde den 5. oktober. Forinden udsendes aftalen til kommentering i brugergruppen. MedCom vil endvidere få foretaget en juridisk gennemgang. Tilslutningsaftalen udsendes, når den fællesoffentlige databehandleraftale foreligger forventeligt ultimo

6 Var enig i udeladelse af den fælles informationssikkerhedspolitik for SDN Besluttede at indsende kommentarer til tilslutningsaftalen senest den 20. september Besluttede, at organisationsadministratorer også skal modtage servicemeddelelser, hvilket således ændrer beslutning fra sidste SDN-brugergruppemøde vedr. change management 11. Næste møde v/ Peder Illum (beslutning) Følgende forslag til møderække blev godkendt: Onsdag den 13. december 2017 kl Mandag den 22. januar 2018 kl Mandag den 30. april 2018 kl Mandag den 8. oktober 2018 kl Eventuelt v/ Peder Illum Intet til eventuelt. 6