Beskyttelse af danskernes data

Transkript

1 Beskyttelse af danskernes data Per K. Rasmussen, ATP 28. oktober 2015

2 Agenda ATP Udviklingen i anskaffelsen af IT ydelser Sikring af stabil drift IT Sikkerhed Data sikkerhed Spørgsmål 1

3 ATP s to forretningsområder Pension & Investering Blandt Europas største pensionsselskaber Formue på 700+ mia. DKK 4.9 mio. medlemmer Administration Nordens største administrationsforretning Udbetaler 2/3 af de danske velfærdsydelser LG, Feriepenge, Folkepension, etc. 2

4 Fakta om ATP s Administrationsforretning Rammer for Administrationsforretningen Opgaven løses på omkostningsdækket basis Effektiviseringen sendes til kunderne ATP Livslang Pension får andel i stordriftsgevinsten Løbende effektivisering ved: Øget anvendelse af IT Øget digitalisering og selvbetjening Input til lovgivere om forenklinger Centrale tal ATP har 4,9 mio. medlemmer Udbetaling Danmark har 2,2 mio. ydelsesmodtagere Den årlige indbetaling til alle ordninger er 26 mia. kr. Vi udbetaler årligt 230 mia. kr. 3

5 ATP s organisation Governance struktur Bestyrelse Arbejdsgiverrepræsentanter Lønmodtagerrepræsentanter Geografisk placering Frederikshavn Intern revision Aktuariat Holstebro London New York Administration ATP koncernen Pension & investering Haderslev Hillerød Allerød København Vordingborg 4

6 ATP IT s rejse frem til 2015 Et tilbageblik. Outsourcing > It understøttelse via egenudviklede løsninger på Mainframe Outsourcing af kapacitet for at nedbringe cost og risici Ny ATP Business Platform > Ny forretningsstrategi ATP Business Platform (ABP) besluttes for at understøtte forretningsstrategi Yderligere outsourcing for at nedbringe driftsrisici It udfordres på stabilitet og omkostninger > Driftsstabilitet udfordres pga implementering af ABP og skift af driftsleverandør Overgangen fra gammel platform til ABP presser omkostningsniveauet Fokus flyttes fra ABP til fremtiden > De fleste ordninger er implementeret på ABP og fokus rettes mod fremtiden Forretningsstrategien og Koncernens it strategi opdateres Fokus på at realisere Koncernens it strategi > It leverer til Udbetaling Danmark fase I sikker drift Ny it-organisation implementeres Arbejdet med Koncernens it-strategi følges og begynder at vise resultater Fokus på partnerskab og nyt driftssetup > It øger fokus på partnerskabet Nyt driftssetup med flere fællesoffentlige komponenter og kommende sourcede løsninger efter udbud af Udbetaling Danmarks løsninger Fokus på opdatering af Koncernens it strategi > Opdatering af Koncernens it strategi 2020

7 ATP s udvikling ift. tilvejebringelse af IT service ydelser ATP udvikler og drifter selv itløsninger med få eksterne integrationer 2003 ATP anvender outsourcing af kapacitet og senere også vedligehold af fagsystemer (Mainframe 2005) ATP indkøber i højere grad centrale it-ydelser direkte hos 3. parts leverandører ATP anvender offentlige løsninger til centrale opgaver Borger.dk og Virk.dk (indirekte 3.part) ATP kombinerer anvendelsen af offentlige services med andre 3.parts indkøb til mange centrale opgaver - fagsystemer og selvbetjening ATP har bevæget sig fra at ca. 20% af itomkostningerne vedrørte eksterne leverancer til det i 2013 er op imod 80% af itomkostningerne, der tilgår eksterne leverancer. 6

8 ATP s udvikling ift. tilvejebringelse af IT service ydelser ATP udvikler og drifter selv itløsninger med få eksterne integrationer 2003 ATP anvender outsourcing af kapacitet og senere også vedligehold af fagsystemer (Mainframe 2005) ATP indkøber i højere grad centrale it-ydelser direkte hos 3. parts leverandører ATP anvender offentlige løsninger til centrale opgaver Borger.dk og Virk.dk (indirekte 3.part) ATP kombinerer anvendelsen af offentlige services med andre 3.parts indkøb til mange centrale opgaver - fagsystemer og selvbetjening 7

9 ATP er en integreret del af det nye tværoffentlige it-landskab Et eksempel på de nye tværoffentlige it-services, der binder mange leverancer sammen. Ansøgning om refusion af syge- og barselsdagpenge løses i en kæde af it-systemer Det nye it-landskab er præget af: Flere leverandører Mange integrationer til mange interessenter og øget kompleksitet af it-systemlandskabet Løbende tilslutning til offentlige løsninger, hvor kontraktstyring af itleverancen sker udenfor ATP NemLogin ATP UDK fagsystem barselsdagpenge Virk.dk Ansøg NemRefusio n 1. ATP har en tilslutningsaftale med Erhvervsstyrelsen om virk.dk 2. Erhvervsstyrelsen leverer platform og loginløsning gennem sine 3.parts-leverandører 3. KOMBIT leverer selvbetjeningsservice via sin 3.part (KMD) 4. KOMBIT leverer fagsystem via sin 3.part (KMD), som efter udbud erstattes af et fagsystem leveret af ATP s 3.part 8

10 Sikring af stabil drift i nyt it-landskab At sikre stabil drift i det tværoffentlige itlandskab betyder for ATP, at vi udbygger og konsoliderer det, vi allerede gør meget af Gode kontrakter med en stærk governance Kontraktstyring efter kontraktindgåelse med fokus på kommunikation og tværgående samarbejde Opbygning af stærke samarbejdsrelationer med f.eks. kommunernes it-samarbejde (Kombit) og statens styrelser Løbende vurdere risikobilledet og aftale tiltag ATP udbygger sine kompetencer til at agere i det ændrede setup (Service Integration) 9

11 Håndtering af outsourcing En Service Management organisation, der matcher leverandørens organisation Ressourcer, kompetencer,.. Etablering og løbende vedligehold af Driftsaftalehåndbogen Operationalisering af kontrakten, herunder specifikation af de aftale leverancer via ITIL processer, rapportering og mødefora Sikring af tilsyn med leverandøren sker gennem opfølgning og verifikation af den modtagne rapportering, hvilket afsluttes med en formel godkendelse Adgang til leverandørens overvågning af systemerne Adgange til at foretage kontrol ift. leverandørens rapportering, f.x. på servicemål, kapacitet, back up, sikkerhedsniveau, mv. 10

12 Eksempel på IT landskab Erhvervsstyrelsen Digitaliseringsstyrelsen NETS Digitaliseringsstyrelsen SKAT NetDesign KOMBIT-KMD KOMBIT-KMD ATEA (PC) KMD Capevo Tieto -TDC ATEA (LAN) Datascanning (PostDanmark) Virk.dk platform Borger.dk platform NemID, Nemkonto, eboks mfl. NemLogin (fællesoffentlig) EFI (fællesoffentlig inddrivning af skat) CallCenter It-kapacitet og fagsystemer UDK Virk.dk Nem refusion Pc-platform It-kapacitet ATP business platform Kontaktformular (internet) Digital Post - Sikker mail (SEPO) Netværk Posthåndtering (datascanning/dataloader) 11

13 Hvordan arbejder ATP med IT sikkerhed ATP følger og understøtter den offentlige strategi for It sikkerhed, hvor det er muligt, og sammenligner sig derudover med virksomheder i den finansielle sektor ATP arbejder aktivt med risikovurdering og har implementeret de nødvendige sikkerhedsmæssige foranstaltninger for at imødegå cyber-angreb herunder løbende opdatering af sikkerhedsopdateringer af programmer og arbejdsstationer Risikovurdering ATP deltager aktivt i udvalgte sikkerhedsfora, for at følge og præge udviklingen på it-sikkerhedsområdet 12

14 ATP IT Sikkerheds Infrastruktur Fokus Sikkerhed (firewalls) i flere niveauer Løbende sikkerhedsopdateringer Aktiv sårbarhedsscanning Internettrafikscanner Løbende revision af sikkerhedsniveau 13

15 Mail sikkerhed Ca. 75% af alle mails, der fremsendes til ATP, frasorteres inden de rammer brugerens indbakke 14

16 Rigsrevisionens anbefalinger vedr. forebyggelse af hackerangreb Begræns download af programmer fra internettet ATPs sikkerhedspolitik indeholder medarbejderinstruks om download Central scanning af internet trafik Det besluttet at fjerne lokaladministratorrettigheder, i videst muligt omfang, på ATP pc er. Begræns brugen af lokaladministratorer Sikkerhedsopdater systematisk programmer Alle ATP s pc ere og servere sikkerhedsopdateres systematisk umiddelbart efter Microsoft har frigivet sikkerhedspatch (2nd tirsdag i måneden). 15

17 Data sikkerhed ATP behandler fortrolige og personfølsomme oplysninger ATP s informationssikkerhedspolitik udstikker klare retningslinjer for, hvordan ATP sikrer, at datahåndteringen foregår efter gældende regler og forskrifter ATP arbejder løbende med områder for at nedbringe risikoen for misbrug Årlig formel compliance undersøgelse ifm. efterlevelse af politikker Kontrolforanstatninger 16

18 Funktionsbestemte adgange Adgange til systemer og data tildeles efter arbejdsfunktion (RBAC) og need to have princip Der er medarbejdere med udvidet adgang til data såkaldte magtfulde brugere. De kan oprette, slette og ændre i data og systemopsætning, hvilket er udover normal sagsbehandling. 1) Al brugeradministration er centraliseret og varetages af ATP selv Egne medarbejdere, samarbejdspartnere, leverandører Kontrolforanstaltninger Ledergodkendelse ved tildeling af adgange Ekstra kontrol på tildeling af kritiske udvalgte adgange Halvårlig gennemgang af alle adgange ved nærmeste leder Stikprøvekontrol på anvendelse og årlig intern revision af roller og adgange 1) RBAC = Role Based Access Control 17

19 Logning ATP foretager logning, når medarbejdere udsøger data i IT-systemer For kunderådgivere logges både opslaget og hvad der er foretaget i den enkelte sag For medarbejdere med udvidet adgange logges opslaget, men det kan ikke ses hvad der er foretaget. Når data trækkes ud af systemerne i fx Excel regneark, logges den videre behandling eller distribution ikke Kontrolforanstaltninger Logmateriale anvendes reaktivt i forbindelse med mistanke om uretmæssig anvendelse af data ATP har påbegyndt implementering af værktøj til proaktiv, systematisk og intelligent opfølgning på logningsmateriale og der pågår overvejelser om yderligere forebyggende kontroller 18

20 Dataudveksling mellem borgere og virksomheder ATP har tilsluttet sig den fællesoffentlige digitaliseringsstrategi (borger.dk, virk.dk, NemID, m.v.) Dataudveksling elektronisk udelukkende via Digital Post ATP anvender ikke i sagsbehandlingen med borgere og virksomheder Kontrolforanstaltninger Stikprøvekontrol efter CPR nr. i 19

21 Dataudveksling mellem myndigheder Dataudveksling mellem myndigheder aftales via dataudvekslingsaftaler ATP skal sikre der er lovhjemmel til at videregive informationer Modtager skal sikre efterlevelse af lovgivningen på området Kontrolforanstaltninger Formel udarbejdelse af dataudvekslingsaftaler såfremt der sendes data til andre myndigheder Denne aftale godkendes af ATP s juridiske afdeling 20

22 Medarbejdersvig Kontrol af medarbejdersvig har til formål at afsløre bevidst tilegnelse af midler fra ordninger administreret af ATP Kontrolforanstaltninger Der udføres kontroller for medarbejdersvig ud fra et risikoperspektiv Kontroller udføres både systematisk og via stikprøver 21

23 Eksterne parters behandling Krav for behandling af persondata gælder også, når ATP overlader behandlingen af personoplysninger til ekstern part Det er ATP s ansvar at følge op på, at databehandleren efterlever de samme persondataretlige krav Kontrolforanstaltninger ATP modtager årlige ATP specifikke revisionserklæringer på at databehandleren efterlever de stillede krav og Persondataloven Kvartalsvis sikkerhedsrapportering fra væsentlige outsourcing partnere Der foreligger en databehandleraftale når eksterne parter behandler personfølsomme data 22

24 Spørgsmål 23