Leverandørkonferanse sikkerhetstjenester og -utstyr 27. november 2013

Transkript

1 Leverandørkonferanse sikkerhetstjenester og -utstyr 27. november 2013

2 Program Tid Tema Innledning og velkommen Skatteetatens visjoner om fysisk sikkerhet v/svein Mobakken, avdelingsdirektør Sikkerhet Presentasjon Skatteetatens lokasjoner og estimert volum på ulike produkter/ tjenester ved Morten Edland, underdirektør Kontorservice Norge Overordnede krav til fysisk sikkerhet og IKT-messige sikkerhetskrav, ved Terje Solhaug, senioringeniør Sikkerhet Spørsmål og diskusjon Veien videre v/pia Ingebretsen, seniorrådgiver Anskaffelser og leverandøroppfølging

3 Ny rammeavtale om sikkerhetsutstyr og sikkerhetstjenester til Skatteetaten Svein Mobakken, avdelingsdirektør Sikkerhet

4 Organiseringen av sikkerhet i etaten Mandatstyrt leveranse med plan og mål for året Skal dekke Skattedirektørens og Skatteetatens behov for styringssystemer, fagkompetanse og oppfølging innen Sikkerhet. Skattedirektøren Rapportering direkte til Skattedirektør ved kritiske hendelser ITdirektøren SITSdirektøren Mandat for Sikkkerhet i Skatteetaten (styring) Mandatsstyrt leveranse/ rapportering Sikkerhetssjef Mandatsstyrt leveranse 4

5 Sikkerhet - viktig for Skatteetaten? Forvalter store mengder informasjon om personer og virksomheter Forvalter informasjon som kan medføre økt risiko for menneskers liv og helse om den kommer på avveie Forvalter store pengebeløp Avhengig av tillit hos skattytere og myndigheter media er svært opptatt av at Skatteetaten forvalter sin informasjon forsvarlig --- fallhøyden er stor! 5

6 Hva er så sikkerhet for Skatteetaten? Informasjonssikkerhet å ivareta konfidensialitet: at informasjonen ikke er tilgjengelig for andre enn de som har jobbmessige behov, og at den ikke brukes til andre formål å ivareta integritet: at vi kan stole på informasjonen, at den oppdatert, og ikke endret uautorisert å sørge for nødvendig tilgjengelighet: at informasjonen er tilgjengelig for de som har jobbmessig behov for den Fysisk sikkerhet Ivareta og beskytte liv og helse Beskytte informasjon og andre verdier Sikkerhetsverdikjede : Forhindre Oppdage Reagere 6

7 Trusselbildet Stadig endringer i det generelle trusselbildet Menneskelige feil og svakheter oppstår oftere og utnyttes aktivt (sosial manipulering) Sikkerhetssvakheter i standard programvare oppstår oftere, kompliserte systemer gjør det krevende å tette hullene Økonomisk motiverte angrep mot IT systemene fra kompetente og velutstyrte miljøer øker Ondsinnet kode blir mer avansert, og mer målrettet Svakheter/sårbarheter i styringssystemer for bygg, strøm, kjøling, brann og sikkerhet. Stor servicevelvilje kan medføre risk for : å utlevere informasjon man ikke skal utlevere til noen man ikke sikkert vet hvem er over kanaler som ikke er egnet til formålet (e-post, telefon,..) Mange har altfor enkle passord som kan gjøre det lett å komme inn i systemene hvis man får fysisk tilgang 7

8 Prinsipper for Risikohåndtering Sikkerhetsarbeidet er basert på risikovurdering akseptabel risiko Konsekvensområder: liv og helse, økonomi, omdømme/ rennomé og kritiske samfunnsfunksjoner Styringssystemet gir basiskrav Skritt i prosessen: Identifisere risikoscenarier; svakheter, motivasjon og angrepspunkter vurdere sannsynlighet og konsekvens vurdere mulige tiltak Sette opp tiltaksplan for å lukke avvik utenfor akseptabel risiko eller ellers sikkerhetsmessig lønnsomme Etatens personell//besøkende, informasjon, IT-systemer, anlegg, bygninger, kontorer og verdier beskyttes slik at konsekvensene ved sikkerhetsbrudd ikke er større enn det ansvarlig ledelse vurderer som akseptabelt risikonivå. 8

9 Risikomatrise Overordnet sikkerhetspolicy 9

10 Leverandørkonferanse 27. november 2013 Morten Edland, Kontorservice Norge

11 Vi i SITS opererer mellom kunde og marked Oppdragsgiver/eier Skattedirektoratet Skatteetaten ansatte lokasjoner - ca.5 milliarder i budsjett Leverandør SITS vårt marked/våre kunder Egenproduserte tjenester Kjøpte varer og tjenester/fs Kjøpte varer og tjenester/ kontorlokaler M A R K E D E T

12 SITS SITS direktør Sikkerhet Styring Kvalitet Kunde og arkitektur Utvikling Tjenester Eiendom og administrative tjenester Brukersenter Kunde Utviklingsleveranser Likning Tjenesteleveranser HR Planlegging Kompetansesenter Spesifikasjon og test Innhenting og distribusjon Lønn Fellessystemer Arkitektur Anskaffelser og leverandøroppfølging Organisasjon Prosjektledelse Applikasjon Grimstad Applikasjon Aksjonær og eiendom Innkreving og avgift Innhenting Grunnlag Produksjon Økonomi Eiendom og service Eiendom Regional brukerstøtte Fagsystemer Informasjon og brukerkommunikasjon Applikasjon Oslo Spesifikasjon og test Felleskomponenter Innkreving Spesifikasjon og test Avgift Spesifikasjon og test Applikasjon Grimstad Produksjon og infrastruktur Innkreving og avgift Renhold Kontorservice Oslo Kontorservice Norge Utviklingsplattform Integrasjon og data Applikasjon Oslo Grunndata Likning Systemer Portalløsninger Spesifikasjon og test Nettverk Administrasjonsløsninger Applikasjon Plattform Infrastruktur Skatte- og avgiftsregnskap Infrastruktur Grimstad Regnskapsgruppe 1 Infrastruktur Oslo Regnskapsgruppe 2

13 Eiendom og service Eiendom og service Eiendom Renhold Kontorservice Oslo Kontorservice Norge leiekontrakter - nye - reforhandlinger - exit ombygginger 10 ansatte renholdstjenester ved alle lokasjoner i Skatteetaten (miks av egne ansatte og eksterne leverandører 50 ansatte husdrift, vaktmestertjenester, kontorstøtte, lederstøtte flytting, mindre ombygginger/ tilpasninger, inventar, rekvisita, makulering, sikkerhet/adgang, post, resepsjonstjeneste, kantiner, møteromsservice reiser og konferanser husdrift, vaktmestertjenester, flytting, mindre ombygginger/ tilpasninger, inventar, rekvisita, makulering, sikkerhet/adgang, post, resepsjonstjeneste, kantiner, møteromsservice 27 ansatte 28 ansatte

14 Sikkerhetstjenester i denne anskaffelsen Installasjon/drift av innbruddsalarmer Installasjon/drift av adgangskontroll Linjeovervåking/alarmoverføring Vektertjeneste, alarmutrykninger Voldsalarmer Installasjon/drift av kameraovervåking Verktøy for integrert sikkerhetsstyring, dvs i ft. adgang, innbrudd og ITV Serviceavtaler inkludert på alle områder Utstyr til, og produksjon av adgangskort Produksjon av tjenestebevis, med særskilte sikkerhetskrav. Sikkerhetsrådgivning

15 Situasjon i dag Vi har god sikring på alle kontorer, men sikkerhetstjenestene er organisert på en ressurskrevende og kostbar måte Innenfor området sikkerhet, har vi avtaler med over 20 leverandører over hele landet Det er mange internt ansatte som er involvert i drift av sikkerhets-/adgangskontrollsystemene Det er lite standardisering på de ulike tjenestene og systemene fordi vi har krav ved innflytting og tar tilleggsbestillinger etter hvert Det kommer inn ulike ønsker og krav i forhold til fysisk sikkerhet i publikumsekspedisjonene

16 Ønsket situasjon Vi har god sikring på alle kontorer, og sikkerhetstjenestene er organisert på en enhetlig måte Innenfor området sikkerhet, har vi avtale med én/ et fåtall leverandører for hele landet Leverandøren(e) har ansvar for installasjon, service, oppgraderinger og opplæring av våre ansatte De tekniske løsninger som er valgt, er de mest innovative på markedet, og vi er godt skodd for fremtiden Vi har få internt ansatte som er involvert i drift av sikkerhets- / adgangskontrollsystemene Vi har fjerndrift av alle adgangskortsystemene og er ikke sårbare ved fravær Vi har standardisert alle sikkerhetstjenestene, med ulike sikkerhetsgrader på kontorene ut i fra funksjon, geografi og størrelse De ansatte i publikumsekspedisjonene føler seg trygge.

17 Status kontorer og behov 2014 Sommeren 2014 vil vi ha ca. 115 kontorer i Norge. Det er ikke ventet at antall kontorer vil øke, men trenden er at vi vil få færre og større enheter. Budsjettet for disse sikkerhetstjenestene i 2013, er ca. 7 millioner. Vi har avtaler med ulike leverandører, men mange av disse er løpende og kan termineres på kort sikt. På en del kontorer er vi bundet opp av avtaler som gårdeier har med sin leverandør, og på andre kontorer er vi avhengig av å få med andre leietakere på huset, på våre avtaler.

18 Status kontorer og behov 2014 Det som haster mest på kort sikt, er: 1. Få på plass en standard for voldsalarmer og deretter rulle ut løsninger der dette mangler 2. Etablere en ønsket standard og deretter produsere nye ID-kort Deretter er det viktig for oss å få til fjernstyring av eksisterende adgangskortanlegg, der dette er mulig i dag.

19 Status kontorer og behov 2014 De fleste kontorer i etaten er ordinære kontorbygg som ikke har store avvikende behov. I tillegg til disse kontorene har vi lokasjoner som i kraft av sin størrelse, beliggenhet, funksjonsområde, - f.eks. datahaller, - kommer til å kreve andre tjenester-produkter. Disse lokasjonene vil være en del av avtalen. Det vil være fokus på voldsalarmer og produksjon av tjenestebevis med ekstra krav til sikkerhet, samt kameraovervåking på noen lokasjoner.

20 UTFORDRINGER: To utfordringer: 1. Hvordan sikre at nytt utstyr/løsninger samvirker med gammelt utstyr? 2. Hvordan få til en enhetlig løsning også der hvor vi i dag er leietaker og bundet opp av avtaler gårdeier har med sikkerhetsleverandør?

21 Status kontorer 2014 Kontorer med: Publikumsekspedisjoner: 108 kontorer Herav ID kontor ved: 45 kontorer Fordeling på geografi: Øst: 23 kontorer Sør : 24 kontorer Vest : 23 kontorer Midt : 21 kontorer Nord : 24 kontorer Fordeling på kontorstørrelser: 0-20 ansatte: 64 kontorer : 24 kontorer : 10 kontorer : 14 kontorer : 3 kontorer

22 Leverandørkonferanse 27. november 2013 Terje Solhaug, Sikkerhet

23 Fysisk sikring og risikovurdering Etatens lokaler skal fysisk sikres på et basisnivå som er obligatorisk. På grunnlag av lokal risikovurdering skal det i tillegg vurderes iverksatt ytterligere tiltak. Aktuelle parametre: Kontorets størrelse (antall ansatte), Beliggenhet (geografisk), Spesielle funksjoner (publikum, ID-kontroll, osv), Lokale erfaringer i ft hendelser/risiko

24 Basiskrav fysisk sikkerhet Adgangskontroll - soneinndeling: publikum, intern og beskyttet Innbruddsikring etableres med tidsforsinkende barrierer deteksjonsmuligheter reaksjonsapparat. Skallsikring og romsikring FG-godkjent innbruddsalarm Tilknyttet FG-godkjent alarmsentral Via overvåket forbindelse Reaksjonstid (avh. lokale forhold) Vurdere bruk av kameraovervåkingssystem (ITV)

25 Nivå Ytre (Flere soner) Utvikling/Test Produksjon Adminsitrasjon Produksjon Overvåking Visjoner for realisering av fysisk sikkerhet En ansatt ett kort unike tilganger Felles adgangskontrollsystem for hele landet/regionalt via datanettverk Unytte etatens 2-site løsning til å sikre opptid/kontinuitet for admin av adgang Innbruddsalarmer via internt nettverk (IP) Integrert system forenkler administrasjon, overvåking og rapportering Oppgavene kan utføres regionalt/distribuert Nivå: Intern Administrative Nivå intern systemer Printere Video,telefoni Klienter (PC, tynnklient) - 6 regioner (egne nett) - Utviklersone Nivå: Sikker Fagsystemer Datahall 1 Datahall 2 Overordnet struktur etatens nettverk

26 IKT-sikkerhet må ivaretas i leveransen Sikkerhetsmekanismer som finnes i leverandørens produkter for å sikre data (KIT) Ved bruk/tilgang, lagring og transport Generelle IKT-sikkerhetskrav: Regelmessig patching/oppdatering av programvare (Microsoft og 3 djepart) Herding av operativsystem/plattformer (Tjenester, tilganger, pålogging osv) Gjenbruke etatens interne løsninger for antivirus oppdatering/håndtering Sikkerhet ved fjerntilgang til interne systemer Forventninger om at leverandørene tenker igjennom og har kontroll på svakheter/sårbarhet

27 Kort om behovet for ID-kort Etaten ønsker å løfte sikkerheten i sine ID-kort opp slik at forfalskning og misbruk blir betydelig forvansket. Det må utarbeides en spesiell holografisk film som brukes til å dekke ferdigtrykte kort på denne måten sveises hologrammet fast til kortet. Designet blir unikt for Skatteetaten og deres kort. Vi ser det som en betydelig styrke om en fremtidig leverandør av kortproduksjon også kan forvalte prosesser omkring anskaffelser og re-anskaffelser av holografisk film. Behovet for ID-kort anslås til ca 1500 ansatte For disse bør ID-kort kombineres med adgangskortet.

28 Visjoner om avtalen ift sikkerhet I samarbeid med leverandør, avtale standardiserte pakker av tiltak/løsning Standard risikovurdering utløser evt. tillegg. Standariserte tiltak/løsninger skal gi oss tilnærmet lik sikkerhet over hele landet. Sikre enklere ivaretakelse av Datatilsynets krav og andre relevante lover/forskrifter. Sikre at utstyr og løsninger samvirker/virker med nytt/gammelt mht mekanisk/teknisk og programvare Leverandørene koordinerer/bistår slik at totalløsningen virker. Vi skal gjøre det enkelt for ansatte å bruke og drifte løsningene på en sikker måte.

29 Leverandørkonferanse 27. november 2013 Pia Ingebretsen, Anskaffelser og leverandør- oppfølging

30 Motivasjon for dialog med markedet Skatteetaten har valgt å gjennomføre denne prosessen for å oppnå økt forståelse, kompetanse og kunnskap om hvordan man kan oppnå innovative offentlige anskaffelser. Vet vi hva markedet kan tilby? Vet markedet hva vi trenger? Regelverket ikke til hinder for dialog med markedet så lenge kravet til likebehandling og konkurranse ivaretas

31 Videre prosess Dato Aktivitet 29. nov Presentasjoner fra dialogkonferansen legges ut på 3. jan Frist for oversendelse av skriftlig løsningsforslag 14. jan (og. evt. 15. jan. 2014) Ultimo feb Helst ikke mer enn 3 A4-sider - Overordnet og funksjonelt nivå - Sendes til: sikkerhetstjenester2014@skatteetaten.no - Ideer vil kunne bli tatt med i det videre arbeidet med utarbeidelse av kravspesifikasjonen En-til-en dialogmøter for de leverandører som leverer skriftlig løsningsforslag - Omlag 30 minutter pr. leverandør Ferdigstillelse av kravspesifikasjon og kunngjøring i DOFFIN/TED

32 Overordnet løsningsforslag rammer Målbildet til Skatteetaten for avtalen er : En fremtidsrettet, effektiv og enhetlig /helhetlig sikkerhetsløsning for Skatteetaten. Vi ønsker at følgende forhold blir belyst i løsningsbeskrivelsen: Hvordan rigge seg for å kunne være totalleverandør for fysisk sikkerhet til Skatteetaten? Hva er muligheten for å rigge seg innenfor eksisterende løsninger? Hvor standardiserte er produktene/tjenestene som etterspørres på tvers av bransjen (snakker systemene med hverandre), slik at det går an å åpne for flere leverandører? Utover dette ønsker vi at leverandøren, så åpent som mulig, beskriver hvordan Skatteetaten kan nå sitt målbilde. Begrensning : Maks 4 A4-sider Følges opp i 1-1 møter.

33 Tentativ fremdriftsplan anskaffelsesprosess Tid Ultimo februar 2014 Medio april 2014 Ultimo mai 2014 Primo juli 2014 Aktivitet Kunngjøring i DOFFIN/TED Tilbudsfrist Tildeling av kontrakt Oppstart rammeavtale I utgangspunktet ser vi for oss å inngå avtale med én leverandør som ivaretar alle tjenestene, men vi vurderer også muligheten for inngåelse av kontrakt med flere leverandører.

34 Spørsmål? Dersom det er spørsmål, send e-post til: Takk for oppmøtet!