En monopolvirksomhets sikkerhetsferd mot den offentlige skyen

Størrelse: px

Begynne med side:

Download "En monopolvirksomhets sikkerhetsferd mot den offentlige skyen"

Nora Lauritzen
5 år siden
Visninger:

1 En monopolvirksomhets sikkerhetsferd mot den offentlige skyen

2 Om Lånekassen Etablert i 1947 Utlånsportefølje 173,8 milliarder Kunder Tildelt studiestøtte 28,7 milliarder Innlogginger Dine Sider Søknader Innlogginger Dine Sider Besøk lanekassen.no Tall fra 2017

3 Lånekassens strategi 2020 VISJON Lånekassen skal bli oppfattet som Norges mest moderne offentlige virksomhet. MÅL I 2020 har vi enklere, raskere og kundetilpasset digital dialog med kundene. STRATEGI Vi skal effektivisere driften for å finansiere utvikling.

4 En kontekst i kraftig endring der suksess avhenger av endringsdyktighet Kundebehov Politiske rammer og føringer Økt fleksibilitet Teknologiske muligheter

5 Alltid ekstern drift av kjerneløsninger Modernisering av kjerneløsninger 2012 Privat sky for kjerneløsninger 2014 Administrative løsninger fortløpende satt ut i skyen SKY FØRST 2015 Ny sourcingstrategi. Sky-først som delstrategi Ny samhandlingsplattform i den offentlige skyen 2017 Utprøving av kunstig intelligens 2018 Nye driftsavtaler

6 Behov for nye driftsavtaler Eksisterende driftsavtaler utløper i slutten av 2018 Drift av kjerneløsninger og støtteløsninger er allerede tjenesteutsatt Lånekassen ønsker å flytte flest mulig tjenester til offentlig sky for å realisere mål om: Innovasjon Effektivisering Fleksibilitet og skalerbarhet Økt grad av sikkerhet gjennom tilgang til tjenester på en rekke nye områder, for eksempel kognitive og analytiske tjenester av utviklingsprosessen gjennom standardisering og industrialisering av underliggende tjenester og prosesser på en mer kostnadseffektiv og sikrere måte enn ved bruk av private skyløsninger gjennom de sikkerhetskapabiliteter som tilbys i offentlige skyplattformer

Rammeavtale for 4 tjenesteområder Rådgivende

dagens driftsmiljøer til offentlig sky og drift av

og tradisjonelle IT-tjenester (MSP) Sikkerhetstjenester

7 Rammeavtale for 4 tjenesteområder Rådgivende konsulenttjenester Transformasjon av tjenester fra dagens driftsmiljøer til offentlig sky og drift av tjenestene (MCSP) Etablering og drift av nettverkstjenester og tradisjonelle IT-tjenester (MSP) Sikkerhetstjenester knyttet til monitorering, deteksjon og håndtering av sikkerhetstruende hendelser (MSSP)

8 Drivere for sikringstiltak Etterlevelse (compliance) Understøtte virksomhetsmål (enabler) Verdi RISIKO Trussel Utnyttelse Sårbarhet

9 Vår prosess for å vurdere sikkerhet i skytjenester Juridiske vurderinger Ekspertvurderinger og utforsking Risikovurderinger Informasjonssikkerhet BP Sikringstiltak Etableringsprosjekter Reviderte risikovurderinger Produksjon

10 Reviderte risikovurderinger Juridiske vurderinger Juridiske vurderinger Ekspert-vurderinger Risikovurderinger Informasjonssikkerhet BP Etableringsprosjekt Sikringstiltak Ekstern juridisk bistand Office 365: Lånekassens ønskede bruk opp mot lovverk Vurdering av MS standardavtale for Office365 Produksjon Ekstern juridisk bistand nye driftsavtaler: Ny vurdering av Lånekassens ønskede bruk opp mot lovverk Kvalitetssikring av strukturen på, og omfanget av risikovurderingene opp mot lovverk

11 Reviderte risikovurderinger Ekspert-vurderinger Juridiske vurderinger Ekspert-vurderinger Risikovurderinger Informasjonssikkerhet BP Etableringsprosjekt Sikringstiltak Modenhet i plattform Produksjon Virksomhetsmål Veiledning Premisser

Reviderte risikovurderinger Risikovurderinger Juridiske

Informasjonssikkerhet BP Etableringsprosjekt Sikringstiltak

Amsterdam Studert eksisterende litteratur for bedre forståelse av

Azure POC Ekspertvurderinger Evaluert eksisterende interne

12 Reviderte risikovurderinger Risikovurderinger Juridiske vurderinger Ekspert-vurderinger Risikovurderinger Informasjonssikkerhet BP Etableringsprosjekt Sikringstiltak Referansebesøk ved Microsoft sine datasenter i Dublin og Amsterdam Studert eksisterende litteratur for bedre forståelse av risiko assosiert med skyleveranser Utforsket Office365 pilot Azure POC Ekspertvurderinger Evaluert eksisterende interne risikovurderinger og gjennomført nye risikovurderinger i konteksten tjenesteutsetting i offentlig sky Produksjon

Sentrale kilder Cloud Computing Security Risk Assessment Risiko

tilnærming sikkerhetsgevinster Cloud Controls Matrix Kontroller

standarder (eks: ISO 27001/ 27002/ 27017/ 27018, NIST, PCI,

) Skytjenester - Veileder Anskaffelse av skytjenester

13 Sentrale kilder Cloud Computing Security Risk Assessment Risiko innen policy/organisasjon teknisk juridisk Veiledning anbefalt tilnærming sikkerhetsgevinster Cloud Controls Matrix Kontroller 16 sikkerhetsdomener Mappet mot etablerte og aksepterte standarder (eks: ISO 27001/ 27002/ 27017/ 27018, NIST, PCI, COBIT, etc.) Skytjenester - Veileder Anskaffelse av skytjenester Sikkerhetsfaglige anbefalinger ved tjenenesteutsetting + en rekke whitepapers og annen faglitteratur knyttet til de enkelte tjenestene

14 Proof Of Consept Formål Kompetansebygging Konkretisering Azure valgt fremfor AWS i PoC Sikkerhetsmessig fokus: Nettverksmodell - isolasjon Nøkkel og sertifikatforvaltning (KeyVault) Krypteringsalternativer (IaaS og PaaS)

15 Omfanget av risikovurderinger Administrasjonssystemer Kjernesystemer Web-sone Office365 Sikker sone Intern sone Sikker sone Test og utvikling Test og utvikling Test og utvikling Kunder

16 Leverandørkjeden Tjenesteleveransene Skyleverandører Driftsleverandører

sikkerhetsarbeid konkluderer med at sikkerhetstjenestene og sikringsmekanismene som tilbys i og fra de store offentlige

17 Reviderte risikovurderinger Konklusjonen så langt Juridiske vurderinger Ekspert-vurderinger Risikovurderinger Informasjonssikkerhet BP Etableringsprosjekt Sikringstiltak Produksjon «Lånekassens egne risikoanalyser og øvrig sikkerhetsarbeid konkluderer med at sikkerhetstjenestene og sikringsmekanismene som tilbys i og fra de store offentlige sky-tilbydere er svært gode, og at restrisiko ved å velge offentlig sky (hyper scale cloud) er innenfor et nivå av akseptabel risiko.»

18 1. Build Skills, and Assess Applications 2. Select Cloud Providers and Services 3. Architect Cloud Services, and Mitigate Risks 4. Estimate the Bill, and Establish Governance 5. Provision and Automate Cloud Services 6. Operate Cloud Environments at Scale SaaS $ PaaS Create Your Cloud Team IaaS Compare the Cloud Layers ArchitectCloud Services Create a Forecast Order Cloud Services Manage Cloud Deployments? Secure Cloud Implementations Exit Monitor Cloud Consumption YES NO Assess Application Readiness SelectCloud Providers Design for Business Continuity Define Policies and Procedures Orchestrate Cloud Workloads Become the Broker Kilde: Cloud Adoption Framework, Gartner

20 Alltid ekstern drift av kjerneløsninger Modernisering av kjerneløsninger 2012 Privat sky for kjerneløsninger 2014 Administrative løsninger fortløpende satt ut i skyen SKY FØRST 2015 Ny sourcingstrategi. Sky-først som delstrategi Ny samhandlingsplattform 2017 Utprøving av kunstig intelligens 2019 Kjerneløsninger i offentlig sky

Like dokumenter

En monopolvirksomhets ferd mot skyen Hvordan Lånekassen rigger seg for ytterligere effektivisering og innovasjon

En monopolvirksomhets ferd mot skyen Hvordan Lånekassen rigger seg for ytterligere effektivisering og innovasjon Sigurd Eriksson IT-direktør i Lånekassen Twitter: @sigurd_e Severin B. Hanssen Forretningsutvikler