Referat Tjenesteråd for IMD og informasjonssikkerhet Møte 2/2021 Dato Tid 11:00-13:00 Sted

Transkript

1 Referat Møte 2/2021 Dato Tid 11:00-13:00 Sted Videomøte, Zoom Til Berit Schmidt (USN) Håkon Alstad (NTNU) Tore Rydgren (Inn) ve Brusegard (NMBU) Eli Løvaas Kolstø (UiS) Roy Dragseth (UiT) Lars-Erik Aas (Hif) Lars Fredrik Hatlehol (Unit) Bjørn Helge Kopperud (Uninett) Ikke til stede Nina Kaurel (UiB) Uninett Marianne Rønne (referent) Andre Snorre Løvås (Uninett) Sak Tema Sakstype 04/21 Godkjenning av dagsorden og saker til eventuelt Ingen kommentarer til dagsorden og dermed godkjent. V Det ble innmeldt 1 sak til diskusjon under eventuelt: Forrige ukes strukturendringer i kunnskapssektoren. 05/21 Til og fra fagutvalg ve Brusegard, informerte at det ikke ble gitt ytterligere kommentarer som gjelder veikartet i sist avholdte møte i fagutvalget for Informasjonssikkerhet. Neste møte er planlagt 08.april Roy Dragseth, orienterte fra fagutvalgsmøter i IMD, og det er blitt gjennomført 2 stk siden siste tjenesterådsmøte. I møtet avholdt ble veikart med budsjett gjennomgått og diskutert. Kommentarer her er stort sett sammenfallende med tjenesterådets kommentarer, at det oppleves som noe mangelfull dokumentasjon og informasjon ved enkelte produktområder. Fagutvalget tilslutter seg omtrent de samme områdene som i tjenesterådet, bla produktområdene forskningsnett og nettilknytning er satsinger som tilrådes og støttes i tråd med tidligere. 1

2 Det er enighet om at sikkerhetstjenester tilrådes og prioriteres, samt at Feide videreutvikles. Ingen synspunkter rundt sanntidstjenester, dog at gode modeller for innkjøp støttes. Den generelle anbefalingen er at det gis fokus på allerede igangsatte prosjekter. Spesielt viktig at felles tilgangsstyring og IAM skal inn i veikartet, og at pågående prosjekter rundt datadeling fortsetter. Møtet som ble avholdt 10. februar omhandlet pågående prosjekter i sektoren, og i hovedsak Units datadelingsprosjekt. 06/21 Status ved arbeid 3-årig veikart og budsjett Presentasjon av prosessen med revidering av veikartet basert på tilbakemeldinger og tilrådinger i tjenesteråd og fagutvalgsbehandlinger. Uninett v/ Bjørn Kopperud I etterkant av tjenesterådsmøtet 21.01, har veikart med budsjett blitt revidert og justert i tråd med tilrådinger og kommentarer. Jfr referat utsendt tilrådte rådet eduroam og Sikkerhetstjenester, men ikke de øvrige tjenestene. Dette var utgangspunktet for revisjonen av veikartet, før videre underlag blir så gitt til Rådet for Helhetlig prioritering (18.02). Fagrådet for informasjonssikkerhet har behandlet revidert veikart og budsjett elektronisk og har ingen ytterligere påpekninger eller kommentarer til disse. Fagutvalgsmøtet som ble avholdt for IMD var et godt og konstruktivt møte. Fagutvalget stilte seg bak tjenesterådets tilrådinger innenfor Sikkerhetstjenester og eduroam. Arbeid og utvikling innenfor nettilknytning ble anbefalt tilrådt, og for området Campustjenester ble det gitt ingen synspunkter. Feide ble tilkjent et stort bruksområde, men det ble anbefalt å se på forholdet mellom Feide og andre initiativ. I likhet med tjenesterådets kommentarer, ble området for Sanntid gjenstand for uklarheter, og da knyttet til både finansiering samt at produktområdet er knyttet opp til primærvirksomheten for øvrig. I tillegg ønsket fagutvalget at IAM og datadeling ble inkludert i veikartet. Det er - i samarbeid med sektoren - startet et arbeid for å undersøke om det er formålstjenlig å etablere et sektorsamarbeid eller tjenestetilbud innen AV. Resultatet av dette arbeidet vil avgjøre hvorvidt, og eventuelt i hvilken grad, sektoren skal jobbe for fellesløsninger innen AV i 2022 og I korte trekk er veikartet blitt gjenstand for revisjon og et godt stykke arbeid i tiden etter siste møte. «5G operatør» som begrep er fjernet og punktet er nyansert til at man skal utnyttes mulighetene som ligger i 5G-teknologien. Sanntidsområdet er slanket, og Datadeling og felles IAM er tatt inn i veikart og budsjett. Finansieringskildene er også tydeliggjort i versjonen som nå foreligger. 2

3 Revidert veikart og budsjett bli behandlet i råd for helhetlig prioritering i deres møte Tjenesterådet er samstemte om at endringene som nå er gjort i veikartet er positive, og at de er glade for at majoriteten av deres innspill så langt har blir tatt til følge. I det videre arbeidet peker tjenesterådet på at tjenesten som nylig er lansert knyttet til skyavtaler inkluderes i veikartet i neste iterasjon. I tillegg til veikartet vil tjenesteområdeansvarlig utarbeide leveranseplaner årlig som skal ligge tilgjengelig i ProdPad. Dette skal støtte opp under rådets faglige forståelse og innsikt i de ulike produktområdene hos Uninett. Det oppfordres til å aktivt bruke Prodpad. På bakgrunn av innspill om manglende og for lite kompetanse på fagområdet som skal tilrådes, vil det framover bli gitt bredere presentasjon om de ulike fagområdene i tjenesterådsmøtene. Dette for å skaffe rådet bedre grunnkompetanse for å mene noe om prioriteringer. 07/21 Feide Produkt og strategi/fjellkart Uninett v/ Snorre Løvås Bakgrunn for presentasjonen, er å øke forståelse og kunnskap om produktet Feide i tjenesterådet, for å kunne videre gi tilrådinger til utvikling og drift av tjenesten. Det er tydelig svikt mellom tilgjengelig kommunisert informasjon om Feides produktområde, og da følgelig forståelse for områdets budsjett. Feide har i dag mer funksjonalitet enn det mange i høyere utdanning kjenner til. Både organisasjonene og utviklere i UH benytter Feide i stor grad bare som en enkel innloggingsløsning og har ennå ikke tatt i bruk utvidet funksjonalitet i samme grad som grunnopplæringen. Eksempler på funksjonalitet: * autentisering med andre innloggingsløsninger for de uten Feide-kontoer som ID-porten, eidas og sosiale medieinnlogging * sterk autentisering * tilgangskontroll på brukernivå ved datadeling * studentens grupper/emner Innlogging og datadeling består av mange forskjellige biter der DigDir tilbyr noen tjenester for hele offentlig sektor, Feide tilbyr noen tjenester mer tilpasset kunnskapssektoren og organisasjonene selv noen tjenester tilpasset sin organisasjon. 3

4 Et helhetsbilde for kunnskapssektoren vil bestå av komponenter fra alle disse, og også andre sektorer og internasjonale initiativ for å dekke kunnskapssektorens behov. Feide møter her en stor og vanskelig kommunikasjonsutfordring som ikke har vært godt nok håndtert. Kunnskapssektoren og Kunnskapsdepartementet peker fremover på et behov for å gjøre Feide mer "personsentrisk", det vil si at det må bli mulig å opptre som en person på tvers av organisasjoner samtidig, f.eks. en student som studerer emner ved flere universiteter samtidig, og gjennom hele utdanningsløpet fra grunnskole til høyere utdanning, til etterutdanning. For grunnopplæringen er dette et tiltak i gjeldende handlingsplan for digitalisering av grunnopplæringen. For høyere utdanning er noe lignende tenkt på i IAM-innføringen. Nøyaktig hvilken funksjonalitet som skal tilbys, hvilke konsekvenser det vil ha og juridiske rammer for arbeidet er ennå ikke avklart, men vi ser at dette sannsynligvis vil få store muligheter og konsekvenser for hvordan tjenester benytter Feide, hvordan personer autentiserer seg, knyttes til brukerkontoer og informasjon om seg i sektoren m.m. Det ble stilt spørsmål fra rådet, om hva som ligger i Datadelingsbegrepet i Feide: I 2021 må Uninett i større grad få vist mulighetene med datadeling gjennom Feide, men og datadeling generelt. Det som er klart per nå er at man skal kunne gjøre en innlogging av personer i APIer i tillegg til innlogging i tjenester. Man kan allerede også bruke Feide til å autentisere og logge inn i APIer, og da kan den tilpasse informasjonen som den sender tilbake. Rådets leder gir innspill om styrket personvern, og at personsikkerhetssikkerheten må inn i veikartet og tydeliggjøres grunnleggende risikovurdering som er lagt til grunn, at dette er vi trygg på. Videre ble det diskutert 2 faktorautentisering, og enkelte institusjoners nåværende løsning om å legitimere seg ved personlig frammøte for å få tilgang. Snorre orienterer om de ulike kriteriene, som ligger under kategorien sterk autentisering. Det oppfordres av medlem i rådet at man må klare å utnytte Azure / Microsoft autenicate-appen i Feide. At denne oppleves smidig og at man må nyttiggjøre seg av teknologien som finnes. Dette støttes videre av Snorre, at dette erkjennes og at det skal etter hvert bli en større fleksibilitet for brukerne. Dette er en del av piloten som allerede går, men vi ser at AzureAD ikke forteller Feide om brukeren er autentisert med 2-faktor eller ikke. Vi har måter vi kan jobbe oss rundt dette, og det må på plass før piloten blir satt i produksjon. Som en del av en slik løsning må vi også finne en måte å få utlevert informasjon fra organisasjonene som bruker AzureAD om hvor sikkert kontoen og 2-faktormetoden har blitt utlevert til personen slik det gjøres i autentiserings-løsningen med LDAP i dag. Rådet ga gode tilbakemeldinger på gjennomført presentasjon av Snorre, og at god brukermedvirkning er identifisert. Kommunikasjon er utfordrende og viktig framover. 4

5 08/21 Eventuelt Forrige ukes strukturendringer i kunnskapssektoren. Medlem av rådet uttrykte forrige ukes strukturendringer i kunnskapssektoren som en håpet og ønsket endring. Flere ble overrasket at dette skjedde nå, og enkelte medlemmer var ukjent denne endringen. Nytt direktorat skal være operativt sommeren 2021, mens tjenesteleveranseorganet skal etableres med virkning fra årsskiftet. Det besluttes å fortsatt holde møter med 2 timers varighet 1 gang i måneden. Det blir sendt ut innkallelser til møteplan med placeholdere i første omgang. Møtet ble avsluttet med tilbakemelding fra rådsmedlem om at møteformen i dag med dybdeinnblikk i et fagområde var veldig bra, at det ble lagt opp til en løssluppen spørsmålsrunde og innspill, med kommentarer, råd og innspill til tjenestene som igjen kan tas med tilbake til institusjonene. 5