ITA-konferencen Projektchef: Martin Pedersen. Sikkerhed fra vugge til grav

Transkript

1 ITA-konferencen 2009 Projektchef: Martin Pedersen Sikkerhed fra vugge til grav

2 Hvorfor sikkerhed initielt Sund fornuft Bidrager til at etablere overblik Bidrager til en stringent styring af informationssikkerheden Skaber tryghed hos modtagerne af organisationens ydelser og validitet Fremtidssikrer de valgte løsninger og lægger grundstenen til en robust kvalitetssikring

3 Fasemodellen Information Security Management System (ISMS) Udmelding af det valgte basisniveau Etablering af et it-sikkerhedsudvalg Formulering af retningslinier Basis Supplerende (udvides sandsynligvis i takt med at institutioners sikkerhedshåndbøger afdækkes) Formulering af change management Risikovurderinger Revidering og handlingsplaner Implementering i henhold til handlingsplan Kontrol og opfølgning

4 Risikostyring af projekt Statens It Overordnede sikkerhedsvurdering er middel Etablering af Information Security Management system (ISMS) og tilhørende sikkerhedsorganisation Risikovurdering business cases Risikovurdering tekniske løsninger Risikovurdering faseplan Risikohåndtering faser Alignement af de overordnet sikkerhedspolitikker i.f,t. konkrete sikkerhedsudfordringer lokalt Change management i.f.t. konkrete forhold i forbindelse med modtagelse af institutioner og lokale sikkerhedsudfordringer

5 Eksempel på risikoskema Område/risiko Beskrivelse Sandsynlighed Konsekvens Imødegåelse Organisatoriske - Projektorganisation - Organisatoriske ændringer SIT organiseringen er ikke mulig, at tilvejebringe grundet at de nødvendige ressourcer ikke kan findes eller ikke eksistere. Mellem Forsinkelse Manglende gennemførelse af projekt. Fordyrelse Tidlig og massiv søgning af relevante ressourcer. Tidlig reservation i konsulenthuse. Tekniske - Definition af driftsløsning Uklar proces for overdragelse til driftsorganisationen høj Forsinkelse - Erfaring Manglende erfaring med gennemførelse af transitions/transforma tionsopgaver høj Forsinkelse, Fordyrelse og dårlig omtale. Uddannelse af projektdeltagere Recovery Manglende processer eller tekniske problemer for recovery i forbindelse med system nedlukning i modtagelsesfasen Mellem Datatab, Systemnedbrud, fordyrelse Intensiv identifikation og kortlægning af systemafhængighed er og tekniske afhængigheder og muligheder. Fastlæggelse af robuste procedurer.

6 Eksempel på risikolog Titel Ansvarligt projekt Ansvarlig medarbejder Status Risiko beskrivelse Risiko indikator Officielle IP-adresser Infrastrukturprojektet XX Igang PA-adresser kan forsvinde i takt med overgang til SIT De fleste institutioner anvender i dag primært officielle IP-adresser (PA), baseret på udlån fra respektive ISP er. Ved overgang (migrering/fusionering) til Statens It vil institutionerne ikke længere have egen ISP er, hvorfor der er en risiko for, at ISP erne trækker udlån af officielle IP-adresser tilbage. Officielle IP-adresser tildelt/udlånt til institutionerne anvendes ikke alene til borgervendte services (@) men i stort omfang også til kommunikation med og mellem eksterne dataleverandører i forskellige system- / systemflowsammenhæng. Statens It vil kunne ansøge om tildeling af officielle IP-adresser (PI), såfremt Statens It er registreret som virksomhed og såfremt Statens It tillige registreres som AS og får minimum 2 forskellige ISP ere. Opgørelse over det fremtidige behov for officielle IP-adresser er endnu ikke opgjort (analyse fra dataindsamlingen), og processen for ansøgning om AS & officielle PI-adresser er endnu ikke fundet/fastlagt. Risikoen vil være, at udadvendt kommunikation besværliggøres / umuliggøres bl.a. p.g.a. store fw-omlægninger Deadline Rapporteringsniveau Kategori Målgruppe Program Teknik Infrastrukturprojektet

7 Eksempel på risikolog Sandsynlighed Risikofaktor Konsekvens Konsekvens beskrivelse XX ( :04):. XX ( :33): se risiko indikator Løsningstype Løsning/handling Statusbeskrivelse Migreringsplan Ansøgning til RIPE. Igangsat forhandlinger med XXX omkring bistand til ansøgning og registrering mv. pr 5/3-09: Ansøgning om medlemsskab er underskrevet og returneret RIPE. Afventer betaling. Plan arbejde Sandsynlighed efter plan Konsekvens efter plan Migreringsplan 1 1 Relateret risiko

8 Forudsætninger Der eksisterer sikkerhedssetup baseret på DS484 lokalt Der følges op på at sikkerhedspolitikker og retningslinier er opdateret og er tilgængelige Der er gennemført årlige risikovurdering og test af beredskab

9 Sikkerhedsorganisation i modtagelsesprocessen Der etableres et fælles sikkerhedsorgan mellem ministeriernes og Statens It (ministerium for ministerium) Sikkerhedsorganet består af de sikkerhedsansvarlige i ministerierne og i Statens It. De to parter afklarer i fællesskab beslutningsprocesserne i henhold til Statens Its standard change management proces

10 Implementeringsproces Den lokale DS484:2005 gennemgås i fællesskab Den årlige risikovurdering danner udgangspunkt for udvælgelse af de mest forretningskritiske systemer Der identificeres eksisterende systemejere og evt. dataejere Evt. krav til registerdata og procedurer afklares Der gennemføres i fællesskab en revideret risikovurdering i.f.t. det nye setup Der iværksættes evt. handlingsplaner

11 Implementeringsproces (fortsat) Alle ændringer behandles efter change management, herunder En risikovurdering af ændringen Beslutning om hvilke risici minimerende tiltag, der iværksættes Flow og beslutninger logges Internt og eksterne kommunikationsflow iværksættes Efter modtagelse af et ministerium gennemføres revideres sikkerhed og procedurer i Statens It med hensyn til basis og supplerende retningslinier i henhold til loggen.

12 Formidling Statens It etablerer en indgang til ISMS via Statens Its serviceportal, hvor brugerne kan orienteres sig i de forskellige politikker retningslinier m.m., men vil også kunne melde om evt. sikkerhedsbrud eller hændelser

13 Sikkerhed er uendelig proces Sikkerhed går fra vugge til grav i én sammenhæng, men krav til sikkerhed og håndtering forsvinder aldrig.