Mødelokale C hos MedCom, Forskerparken 10, 5230 Odense M

Transkript

1 SDN-BRUGERGRUPPEMØDE TID: Den 20. februar 2018 kl STED: VIDEOMØDERUM: DELTAGERE: AFBUD: Mødelokale C hos MedCom, Forskerparken 10, 5230 Odense M Via videokonferenceudstyr: tgj@rooms.medcom.dk Lars Helsberg, Sundhedsdatastyrelsen Lars Nyemann-Kofod, Region Hovedstaden Allan Vistisen, DXC Lasse Christmann, Netic Peder Illum, MedCom Jens Rahbek Nørgaard, MedCom Jesper S. Knudsen, MedCom Bruno Juel Pedersen, MedCom Tanja Gerner Jusslin, MedCom (referent) Kenneth V. Mogensen, Region Sjælland Kristian Nielsen Foged, Multimed Anders Bjerg Frederiksen, Region Midtjylland Jacob Garde, sundhed.dk Jan Kondrup, Netic Michael Valeur Nielsen, Region Syddanmark Martin Bagger Brandt, PLO Per Abildgaard, MedCom Kasper Viksø Kegel, Region Sjælland Arne Larsen, Region Nordjylland REFERAT 1. Godkendelse af dagsorden v/ Peder Illum (beslutning) Peder bød velkommen. Herefter var der en præsentationsrunde deltagerne imellem. Dagsorden blev godkendt. 2. Opfølgning fra seneste møde v/ Peder Illum (orientering) Status på arbejde med fællesoffentlig databehandleraftale Peder fortalte, at aftalen er blevet forsinket - og da implementering af Persondataforordningen står for døren, er det besluttet, at databehandleraftalen også skal være GDPR-compliant. Region Hovedstaden har påtaget sig opgaven, da de alligevel reviderer den fællesregionale databehandleraftale. Skabelonens anvendelsesområde vil være mellem parterne i det fællesoffentlige. I tillæg hertil vil der også være skabeloner fra KL/Kombit (kommunernes), RSI (regionernes), PLO (lægernes). Endvidere er der netop udkommet en skabelon fra Datatilsynet - og der forventes at komme en fra Moderniseringsstyrelsen (statens). 1

2 3. Meddelelser med relevans for SDN v/ (orientering) Den årlige it-revision for SDN, herunder VDX Peder fortalte, at den årlige it-revision er igangsat. Ud over SDN-leverandørerne er Region Nordjylland og KMD udtrukket til revisionen. 4. Status og opfølgning på drift, servicemål og KPI er herunder evaluering af eventuelle hændelser v/ Peder Illum (orientering) Peder fortalte, at driften af SDN har været stabil den seneste periode uden major incidents. Der har dog været et incident den 21. januar Her slog en opgradering af det centrale udstyr fejl og resulterede i fallback. Som konsekvens var der driftsforstyrrelser i servicevinduet mellem kl. 21:25-21:50 og kl. 22:05-22:20. Brugere af interregionale services, som tilgås direkte på SDN-MPLS, var dog ikke berørte. Både servicevinduet og incident er kommunikeret til de aftalte modtagere af servicemeddelelser om SDN. SDN v3 er yderligere forsinket. De resterende MPLS-forbindelser er planlagt omlagt ved udgangen af februar 2018 med undtagelse af en enkelt lokation. Omlægningen af VPN-forbindelserne forventes først tilendebragt i efteråret Aktuelt er ca. 10 pct. af organisationer omlagte. Tog status på drift og SDNv3-implementering til efterretning 5. Constant deployment og faste servicevinduer v/ Peder Illum (orientering) Peder præsenterede forslag til ændring af eksisterende procedure for change management / patch management. Baggrunden er, at det i den praktiske implementering har det vist sig, at der også kan være behov for faste servicevinduer. Umiddelbart input til ændringer: 1. Netværkskomponenter (versionsopdateringer og centrale opdateringer) + alle funktionalitetsopdateringer: Håndteres i udgangspunktet som normal changes Lægges på i faste servicevinduer 1. og 3. tirsdag i måneden kl (i udgangspunktet 1 gang i kvartalet). Alle redundante / sekundære netværksudstyr opgraderes i dagtimerne dagen forinden. Ifbm. softwareopgradering af core switches testes failover som del af opgraderingen Undersøges og testes forinden før aftale om udrulning Kommunikeres ud forinden 2. Sikkerhedspatches for servere, operativsystemer: Håndteres i udgangspunktet som standard changes Lægges på 1. tirsdag i måneden fra kl tirsdag i måneden på redundante / sekundære systemer 2

3 De almindelige sikkerhedsrettelser vurderes kun i forhold til en evt. fremskyndelse af udrulning, hvis trussel/sårbarhed/sandsynlig/konsekvens-billedet vurderes at være kritisk. Rettelser udrulles i testmiljøer, før udrulning sker i produktionsmiljøer Kommunikeres ikke forinden. Ift. kommunikationsplanen ønskede brugergruppen også at blive sat på udsendelseslisten. Det blev aftalt, at ændringerne i change management drøftes med SDN-leverandørerne på driftsmøde og herefter udsendes til brugergruppen med deadline for eventuelle kommentarer. Punktet tages endvidere op på næste møde. 6. Endepunktskryptering af services v/ Peder Illum (beslutning) Fortroligt punkt. 7. Udvikling v/ Peder Illum (beslutning) Peder præsenterede revideret forslag til årshjul for udvikling og håndtering af udviklingsønsker, herunder behovet for afholdelse af 4 årlige møder. Næste deadline for indsendelse af udviklingsønsker er den 1. maj Jesper præsenterede opsamling på aftalesystemet v3, hvor næste release er under planlægning. Der var en drøftelse af, hvor lang tid registreringer skal gemmes i aftalesystemet. Dette har indflydelse på et par af udbedringspunkter i aftalesystemet. I udgangspunktet har MedCom vurderet, at det skal gemmes i 5 år. Det blev aftalt, at MedCom formulerer nogle spørgsmål desangående, som Lars Nyemann-Kofod vil undersøge med informationssikkerhedsfunktionen i Region Hovedstaden. Godkendte forslag til årshjul med virkning fra foråret 2018, herunder indkaldelse til 4 årlige møder Tog status på udviklingsønsker samt opfølgning på aftalesystem v3 til orientering 8. Udviklingsønske til password-politik i aftalesystem v3: Kan 2-faktor afløse passwordskifte? v/ Peder Illum (beslutning) Peder inviterede brugergruppen til drøftelse af password-politik ved 2-faktor-autentifikation. Baggrunden er, at der ikke som tidligere er implementeret password-skifte hver 3. måned i aftalesystem v3. Med henblik på eventuel justering af passwordpolitikken i aftalesystem v3 blev det besluttet, at Lars Nyemann-Kofod også vil spørge informationssikkerhedsfunktionen om Region Hovedstadens politik på området. Spørgsmålene er, om anvendelse af 2-faktor kan: Forlænge passwordets levetid, så frekvensen af passwordskifte kan sænkes eksempelvis til årligt? Helt overflødiggøre passwordskifte? 3

4 Overflødiggøre anvendelse af kompleksitet i password eksempelvis ift. længde og specialtegn? Passwords vil herudover altid skulle skiftes, hvis der opdages et læk. 9. Beredskabstest v/ Peder Illum (beslutning) Peder præsenterede resultatet af beredskabsøvelsen fra januar 2018: Beredskabsplanen blev fulgt og beredskabsorganisationen kendte roller og ansvar. Der vil dog blive foretaget småjusteringer i bl.a. ansvarsområder. Kommunikationen fungerer, men der var specielt usikkerhed om pressehåndtering Den fysiske test af hvor lang tid det tager at tilvejebringe core routere, opdatere, konfigurere og installere viste, der kan være flere risikofaktorer, der kan forsinke processen. Disse blev drøftet på møde med SDN-leverandørerne den 19. februar Der var enighed om, at omkostningerne for mitigering af denne risiko ikke står mål med sandsynligheden for, at begge core routere skulle gå ned samtidigt. Test af restore med indlæsning af backup på core switchen forløb som planlagt. Hvis switchen skulle have været sat i produktion, skulle der have været gennemført en konfigurationsændring, alt efter om switchen skulle køre som stand alone eller som del af et vss-setup. Dette var ikke en del af testen, da det ville have medført nedetid på SDN. Test af failover blev udført både den 23. januar (på gammel version) og den 15. februar 2018 (som led i opgradering til ny version). Under testen den 23. januar 2018 opstod nogle enkelte udfordringer til videre analyse. Den 15. februar 2018 forløb testen planmæssigt med acceptable 1 2 minutters nedetid pga. reroutning. Det vil være muligt at nedbringe nedetiden, men det vil ikke stå mål med omkostningerne og vil introducere yderligere risici. Tog resultatet af beredskabsøvelsen til efterretning 10. Modenhed og SDN v/ Peder Illum (beslutning) Med udkast til modenhedsvurdering for SDN blev brugergruppen inviteret til at indgive forbedringsforslag for styrkelse af SDNs modenhed inden for change management, incident management og service level management. havde umiddelbart ingen input. 11. Næste møde v/ Peder Illum (beslutning) Forslag til følgende kommende møder blev godkendt: Den 30. april 2018 kl Den 23. august 2018 kl (den 8. oktober 2018 kl : Slettes) 4

5 Den 8. november 2018 kl Foreløbige forslag til punkter for næste møde: It-revision og risikovurdering Hjemmeside SDN/VDX-temadag 2018 den 22. november Eventuelt 5