IT politik for INS. Dekan. Institut/område leder Institut/område leder

Transkript

1 Dokumentet beskriver regler, forventninger og krav som stilles til IT brugere samt IT driftsgrupper under INS i tillæg til gældende for AAU IT tjenester AAU, Minimumskrav for alle hovedområderne (J.nr.: / ) og IKT sikkerhedsbog. 1. INS fakulteter it organisation Dekan IST styregruppe IT chef INS fakulteter IST Institutter Institut/område leder Institut/område leder Institut/område leder IT driftsgruppe IT driftsgruppe IT driftsgruppe Styregruppens rolle er beskrevet i kommissorium for IST styregruppen (se bilag). 2. IT services opgavefordeling Grundlæggende it behov hos slut brugere defineret i IT tjenester AAU, Minimumskrav for alle hovedområderne (e mail, fil deling etc.) samt kalender service dækkes af fælles INS Information Service Technology afdeling (IST). IT opgaver der kræver en faglig ekspertise og nærhed til forskningsundervisningsmiljøerne varetages på institut/områdeniveau. Support for de services som leveres af IST varetages af IST brugersupport. Øvrig support varetages på institut/områdeniveau. WAP/ Page 1

2 3. Grundlæggende IT services som leveres af IST afdelingen a. Microsoft Active Directory (AD) multidomæne forest hvor hvert enkelt institut vil få oprettet ét domæne (for eksempel dpt.aau.dk). Alle studerende samles i ét domæne student.aau.dk. Institutterne ejer AD objekter i sit domæne (for eksempel brugere eller grupper) og har pligt til at ajourføre disse objekter (lokale, telefonnr, o.l). Institutterne skal opfylde AD retningslinjerne som udarbejdes af IST i samarbejde med de øvrige involverede IT driftsorganisationer. Følgende domæner skal oprettes: Domænenavn civil.aau.dk create.aau.dk es.aau.dk mme.aau.dk learning.aau.dk nano.aau.dk et.aau.dk cs.aau.dk math.aau.dk bio.aau.dk plan.aau.dk hst.aau.dk student.aau.dk staff.aau.dk ist.aau.dk Institut I6 Institut for Byggeri og Anlæg I7 Institut for Arkitektur, Design & Medieteknologi I8 Institut For Elektroniske Systemer I9 Institut for Mekanik & Produktion I10 Institut for Uddannelse, Lærning og Filosofi I13 Institut for Fysik og Nanoteknologi I14 Institut for Energiteknik I16 Institut for datalogi I17 Institut for Matematiske Fag I18 Institut for Kemi, Miljø og Bioteknologi I20 Institut for Samfundsudvikling og Plan. I21 Institut for Sundhedsvidenskab og Teknologi For samtlige studerende under INS og projekter og mail kontaktlister på basis AAU ansatte som ikke hører til under andre domæner IST afdeling Yderligere INS tilhørende domæner kan oprettes i AD efter godkendelse af IST styregruppen. For brugere som ikke kan placeres i ovenstående domæner varetages de basale ITfunktioner (mail/kalendar og hjemmekatalog) af IT afdeling for administration (domæne staff.aau.dk ). Domæne adm.aau.dk forventes at blive fuld integreret del af multidomæne forest. AD domæne bruges bland andet til brugerens login og primære mail adresse. b. MS Exchange (mail + kalendar) til ansatte og studerende. c. MS Distributed File Service (fil deling hjemmekataloger, projektkataloger for de studerende, forskning og administrative relaterede fileshares). d. Backup service (sikkerhedskopiering). e. Printer service som kan benyttes af Windows, Mac og andre Unix klienter. Institutterne skal stille et antal printere til rådighed som tilkobles systemet. f. Web servere til personlige web sites. g. Trådløs infrastruktur (trådløse Access Punkter anskaffes af institutterne/områderne). WAP/ Page 2

3 h. Software licenser for følgende produkter: Produkt AAU ejet PC Privat ejet PC Maple Ja Ja Matlab/Simulink + 50 Ja Ja toolboxes MS Campus (Desktop, Ja Nej SharePoint Designer, Project Pro, Visio Pro, Visual Studio Pro, Enterprise CAL, MDOP) MSDNAA produkter Ja Ja 4. Tillægsservices som leveres af IST IST afdeling kan ud over de grundlæggende IT services levere yderligere services afhængig af efterspørgsel. IST skal opbygge og vedligeholde et servicekatalog på web. 5. Betalingsprincipper Personlige ressourcer (hjemmekatalog, mailboks) samt projektkataloger (studerende) leveres af IST uden betaling så længe de er under følgende grænser: Ressourcer Ansatte Studerende Gæster Hjemmekatalog 10 GB 1 GB 1 GB Mailboks 2 GB 0,5 GB 0,5 GB Projektkatalog studerende 6 GB Institutterne kan, mod betaling, godkende udvidelse af grænser for deres ansatte, gæster samt projektkataloger for de studerende. Udvidelse af grænser samt tilkøb af andre disk baserede services udløser årlig betaling: Ressourcer 1 GB disk plads med backup (mailboks, hjemmekatalog, fileshare, projektkatalog) 1 GB disk plads høj ydeevne uden backup (særlig aftale) 1 GB disk plads normal/lav ydeevne uden backup (særlig aftale) Pris i DKK/år Pris for tillægsservices fastsættes af IT chefen sammen med IST styregruppen. WAP/ Page 3

4 6. Mail system Mail systemet skal sikre at hver mail skannes for vira før den leveres til en mailboks. Mail systemet skal benytte moderne antispam foranstaltninger. Mails som udgøre sikkerhedstrussel kan fjernes fra systemet eller modificeres. Modificerede mails Skal indeholde beskrivelse af alle modifikationer. Mail systemet kan afvise mails som ikke overholder gældende mail sikkerhedspolitik. Mail sikkerhedspolitikken skal beskrives på IST web sider. Størrelse af enkelt mail begrænses til 50 Mbytes. 7. Kalender system Som udgangspunkt har alle adgang til free/busy informationer for andre brugere. Studerende må ikke have adgang til ansattes kalender (ej heller free/busy informationer) med mindre ejeren giver tilladelse dertil. 8. Hjemmekataloger Som udgangspunkt har ingen adgang til andres hjemmekataloger. Den enkelte bruger kan give andre brugere tilladelse til tilgå hans egne filer/kataloger. 9. Backup Der skal foretages automatisk backup af alle hjemmekataloger, projektkataloger og mailbokse. Backup skal foretages dagligt (arbejdsdag) og opbevares i mindst 3 måneder. Der skal foretages periodisk test om backup data rent faktisk kan bruges til restore. 10. Adgang til IT services efter fri bevægelsesprincip Man bør sikre at flest mulige IT services er tilgængelige uanset hvor slutbrugeren befinder sig på Campus (Aalborg, Esbjerg, Ballerup)og Internettet. Fri bevægelsesprincip omfatter: a. Etablering af klient netværk efter principper udarbejdet af infrastrukturgruppen. Klient netværk skal eksistere de steder hvor brugeren forventes at kunne tilslutte sin PC. Dvs. i kontorer, grupperum, mødelokaler og seminarrum. Som udgangspunkt skal klientnetværkene give adgang til alle AAU Campus baserede tjenester (alle sites) og Internet. Som udgangspunkt bør adgang til AAU Campus baserede tjenester kun være muligt efter autentificering. I de tilfælde hvor der i kontorer findes tilslutninger til både klient og ikke klient netværk skal nettilslutninger til klient netværk tydelig markeres. Klientnetværk leveres af AAU infrastrukturgruppen (central routning og filtrering, DHCP, DDNS). Decentrale IT driftsorganisationer anmoder om klient netværk og placerer netstik tilslutninger på disse netværk. Markering af netstikkontakter varetages af institutterne selv. WAP/ Page 4

5 b. Åbning af filtre og firewalls som beskytter servere således at adgang til relevante IT services er muligt fra alle klientnetværk. Ansvarlige: ejere af de enkelte IT services. c. Adgang til printere i forskellige lokationer. Ansvarlige: ejere af printere og IST. d. Adgang til AAU Campus baserede tjenester fra Internettet dog kun efter autentificering og via stærke krypterede kommunikationskanaler. 11. Brugernavne og kodeord Brugernavne for ansatte og gæster oprettes af enkelte institutter/områder (for AD konti skal der bruges et system leveret af IST). Brugernavne for de studerende oprettes automatisk på baggrund af oplysninger i STADS. Hvis muligt skal der benyttes så kaldte domæne brugernavne, for eksempel bruger@dpt.aau.dk. Studerendes brugernavne afsluttes med årstal (2 cifre) for uddannelses start. For eksempel david09@student.aau.dk. Man bør undgå at anvende brugernavne som afsluttes med 2 cifre til andre formål. Skulle man få brug for at oprette brugernavne for de studerende på specifikke systemer på institut niveauer bør man bestræbe sig for at bruge det samme brugernavn som i student.aau.dk domænet. Alle brugere skal underskrive Regler for ansvarlig edb brug ved Aalborg Universitet før oprettelsen finder sted. Dokumentet for de ansatte og gæster opbevares af driftsgrupper på institutniveau. Brugernavne for ansatte og gæste med manglende dokumentation (underskrevet dokument) lukkes senest 14 dage efter oprettelsen. Ansatte (værter) kan anmode om (højst 6 måneder af gangen) oprettelse at gæste brugernavne for deres samarbejdspartnere. Ansatte kan anmode om oprettelse af kortvarige (højst 6 dage af gangen) gæstebrugernavne som kun giver adgang til AAU trådløs infrastruktur. Alle brugernavne knyttet til personer skal være tidsbegrænsede. Studerende skal bevare brugernavnet i student.aau.dk domænet gennem hele studie tiden. Nedlæggelse sker automatisk. Nedlæggelses procedure for de studerende startes med forsinkelse på 30 dage i forhold til oplysninger i STADS Brugere skal modtage en varsel om lukning af deres brugernavne mindst 14 dage før automatisk lukning finder sted. I forbindelse med nedlægning af et brugernavn kan bruger anmode om videresendelse (forwarding) af mails. Forwarding kan etableres højst i 6 måneder. IT ressourcer allokeret til brugernavnet og rettigheder til andre ressourcer fjernes i forbindelse med nedlæggelsen af brugernavnet. WAP/ Page 5

6 Systemer skal sikre at kodeord har tilstrækkelig kompleksitet (tegn fra tre forskellige klasser, mindst 8 tegn). Der stilles ikke krav til periodisk ændring af kodeord. IT driftsgrupper på AAU kan anvende forskellige metoder (for eksempel ordbog baseret forsøg for at gætte kodeord) for at sikre høj kvalitet af kodeord. IT driftsgrupper kan forlange ændring af kodeord eller midlertidig suspendere brugernavnet skulle der opstå en sikkerhedstrussel. Kodeord er strengt personligt og må ikke videregives. Kodeord må ikke oplyses via e mail. Ved begrundet mistanke om at andre personer kunne have fået adgang til ens kodeord skal kodeord ændres omgående. Lokal sikkerhedsansvarlige skal orienteres om hændelsen. 12. Mail aliases/mail distributionslister Mail adressen staff@dpt.aau.dk skal omfatte alle ansatte i pågældende AAU institut/område. Adressen må ikke indeholde andre brugere. Ændring af indhold skal ske automatisk på baggrund af informationer i relevante databaser. 13. Ressourcer knyttet til en persons brugernavn a. Alle ansatte og studerende skal oprettes som brugere under Active Directory. b. Alle ansatte og studerende skal have én mail konto med tilhørende kalender. Domæne brugernavne skal bruges som primær mail adresser. Mail konto og tilhørende kalender leveres af IST som MS Exchange løsning. Der skal implementeres quota på mailen. Private mails skal opbevares i en mail folder med et navn private eller privat. c. Der skal oprettes et hjemmekatalog (netværksdrev) for hver bruger. Hjemmekataloger leveres af IST som MS Distributed File System løsning. Der skal implementeres quota for filsystemer (hjemmekataloger, projektkataloger, ). Private filer skal opbevares i et katalog med et navn private eller privat. For de ansatte kan enkelte institutter i en overgangsperiode efter nærmere aftale supplere med hjemmekataloger baseret på alternative teknologier. d. Printere Ansatte, gæster og studerende skal have adgang til printere. Det skal være muligt at opgøre printforbrug per bruger. Der kan blive introduceret et betalingssystem for alle brugere eller brugere som tilhører enkelte kategorier. Der kan implementeres særlige regler for dyre printere (for eksempel A0 farve plotter). Generelt tilgængelige printere skal implementeres under Active Directory. e. Personlige web sites. Web sites som oprettes af enkelte personer (ansatte eller studerende) med henblik på at præsentere personen og dennes aktiviteter i relation til AAU samt at understøtte personen i sit daglige arbejde på AAU. Det er personen selv som bærer det fulde ansvar i enhver henseende for web sitet og dets indhold. Personlige web sites oprettes på de af IT driftsorganisationen anviste web servere. Web servere som huser personlige web sites må af sikkerhedsmæssige grunde ikke give direkte adgang til personlige hjemmekataloger (netværksdrev). 14. Ressourcer knyttet til en projektgruppe studerende WAP/ Page 6

7 a. Projektgrupperne dannes på institutniveau ved at vælge studerende fra student.aau.dk domænet. b. Projektgrupperne og ressourcer knyttet til dem skal altid have tidsbegrænset levetid som udgangspunkt ét semester. c. Der skal oprettes et projektkatalog (netværksdrev) for hver projektgruppe. Projektkataloger leveres af IST som MS Distributed File System løsning. Der skal implementeres quota for projektkataloger. Enkelte institutter kan supplere med projektkataloger baseret på andre teknologier. d. Der skal oprettes en mail adresse for hver enkelt projektgruppe. 15. Genbrug af brugernavne og mail adresser Nedlagte persons brugernavne må ikke genbruges (knyttes til anden person) i 2 år efter nedlæggelse. Nedlagt mail adresser må ikke genbruges (bruges til andet formål) i 2 år efter nedlæggelse. 16. Forskningsdata Det gælder AAU Politik for forskningsdata af 8. september Netværk Netværk skal opdeles i segmenter. Hvert enkelt netværk skal beskyttes via firewall/filter. Slutbruger netværk hvor brugere kan tilslutte eget udstyr skal separeres fra de øvrige netværk. Slutbruger netværk skal være beskyttet mod uopfordret kommunikation fra omverden inklusiv andre slutbruger netværk. Filtrering for øvrige netværk skal anvendes, hvis muligt efter minimal nødvendig adgang princip. 18. Support (HelpDesk) system Alle IT driftsgrupper under INS skal anvende det samme helpdesk system ifht. grundlæggende IT services. It chefen í samarbejde med IT driftsgrupper beslutter hvilket system skal anvendes. Systemet skal understøtte ITIL procedurer. 19. Kommunikation med brugere IST er ansvarlig for udarbejdelse og vedligeholdelse af IST supportsider på web (på engelsk). IST skal varsle om planlagte IT drift forstyrrelser eller væsentlig ændringer ved at anvende annonceringssystem. Annonceringer skal være tilgængeligt via web og RSS. IST skal annoncere om væsentlige ikke planlagte driftsforstyrrelser efter hændelser har fundet sted. Brugere forventes at holde sig orienteret om IST drift annonceringer. 20. Procedurer i tilfælde af misbrug Man skal følge proceduren beskrevet i IKT sikkerhedshåndbog. I tilfældet af misbrug som generer andre eller påvirker driftsstabilitet af IT tjenester har IST ret til at stoppe misbrug hurtigst muligt (også ved at suspendere brugernavne). 21. Logningspolitik for IST WAP/ Page 7

8 IST beslutter hvilke oplysninger der logges og hvor længe log filerne opbevares. Information om hvilke oplysninger der logges skal være tilgængelig for brugere på IST support sider. Logningsdata benyttes til driftsmæssigt relaterede aktiviteter. Der skal logges hændelser relateret til autentificering og misbrug. Som udgangspunkt bør logfilerne opbevares i 6 måneder. Generelt bør logningsdata ikke være tilgængelig for andre end IST. Logningsdata som kan afsløre adfærdsmønstrer af konkrete personer må ikke gøres tilgængelige for andre. 22. Beredskabsplaner a. IT relaterede problemer IST skal udarbejde beredskabsplaner til egen brug. IST skal sørge for at undgå personafhængigheder. Beredskabsplaner bør være tilgængelige også i tilfælde hvor IT ressourcer ikke er tilgængelige. IST bør vælge (inden for økonomiske rammer) teknologiske løsninger som garanterer en hurtigt reetablering af IT tjenester i tilfældet af nedbrud. b. Brand, eksplosion, ulykke Følg alarmering instruks (se bilag). c. Ikke IT relaterede problemer Andre problemer som el svigt, vandskader, bygningsskader og lignende bør rapporteres til: i arbejdstid bygningsbetjent udenfor arbejdstid ( hele lørdag, søndag og helligedage) Teknisk Forvaltning vagt mobil (der svares ikke på denne telefon indenfor normal arbejdstid) WAP/ Page 8

9 Bilag 1 Oversigt over grænseværdier Hvad automatisk lukning af brugernavne uden EDB erklæring backupdata opbevaringsperiode enkelt mail maksimumsstørrelse genbrug af brugernavne eller mail adresser tilladt gyldighedsperiode for gæstebrugernavne logningsdata opbevaringsperiode varsel om automatisk lukning af et brugernavn Værdi 14 dage efter oprettelsen minimum 3 måneder 50 MBytes 2 år efter nedlæggelsen op til 6 måneder 6 måneder 14 dage Oversigt over planlagte services IST og institut/områdeniveauet infrastruktur Active Directory AD underdomæne via trust anskaffelse af printere anskaffelse af AP anskaffelse af switche anskaffelse af software (Matlab, Maple, MS Campus) bruger support fileshares (alternativ teknologi) forsknings/undervisnings systemer hjemmekatalog særlig aftale Infrastruktur (DNS, DHCP, PKI) mail + kalender personlige web sider SharePoint switch konfiguration efter aftale trådløs infrastruktur særlig aftale Windows installation service WAP/ Page 9