KONKURRANSEGRUNNLAG. Bilag 4 Prosedyre A63-V01 Krav til ekstern driftsleverandør

Transkript

1 KONKURRANSEGRUNNLAG Bilag 4 Prosedyre A63-V01 Krav til ekstern driftsleverandør for kjøp av tjenester knyttet til drift av IT-løsninger som maskinvare, infrastruktur og programvare (herunder brukerstøtte) for levering til Statens jernbanetilsyn Saksnr. 14/569

2 Statens jernbanetilsyn Bilag 3 Pristabell og prisbestemmelser Side 2 av 5

3 A63-V01 Krav til ekstern driftsleverandør 1 Spesifikasjoner til krav til ekstern driftsleverandør 4 2 Beskyttelse mot ødeleggende kode og sikkerhetsbarrierer 4 3 Sikkerhetskopiering 4 4 Nettverksadministrasjon 5 5 Systemovervåking og logging 5 6 Katastrofeplaner 5 Statens jernbanetilsyn Bilag 3 Pristabell og prisbestemmelser Side 3 av 5

4 1 Spesifikasjoner til krav til ekstern driftsleverandør Dette vedlegget beskriver detaljene i de viktigste sikkerhetsområdene IT-ansvarlig skal følge opp med driftsleverandøren. 2 Beskyttelse mot ødeleggende kode og sikkerhetsbarrierer Driftsleverandøren skal følge Datatilsynets retningslinjer for datasikkerhet. Det skal være installert antivirusløsninger som beskytter alle servere og arbeidsstasjoner som inngår i vårt ITmiljø. Servere skal skannes for virus i sanntid. Nye virusdefinisjonsfiler skal distribueres umiddelbart. Alle arbeidsstasjoner oppdateres med de siste virusdefinisjonsfiler hver gang maskinen kobles til Internett. Alle aktiverte programmer på arbeidsstasjonen skannes for virus i sanntid. Driftsleverandøren skal ha system for filtrering av uønsket e-post (søppelpost/spam). SJTs data skal være i en sikret sone med en indre sikkerhetsbarriere mot driftsleverandørens driftssenter og en ytre sikkerhetsbarriere mot Internett. Det skal benyttes sertifiserte brannmurer som ytre sikkerhetsbarriere og aksesslister i rutere som indre sikkerhetsbarriere. Dette gir to lags sikkerhet mellom SJT og Internett. Sikkerhetsbarrieren inneholder funksjoner for nettverkskontroll som regulerer informasjonsflyt mellom eksternt nettverk og den sikre sone. I tilfelle hvor SJT kjører systemer på samme server som andre kunder hos driftsleverandøren (som f.eks. Active Directory, Exchange, OCS, sikkerhetskopi, antispam og VPN), skal det iverksettes rutiner/sikkerhetsbarrierer som sikrer at data ikke blir tilgjengelig for andre kunder. Dette skal dokumenteres spesielt. Den ytre sikkerhetssonen mot Internett skal inneholde funksjonalitet for applikasjonskontroll som muliggjør kontroll og begrensning av ødeleggende programmer, som for eksempel datavirus. Den ytre sikkerhetsbarrieren skal sørge for at ingen trafikk tillates mot SJTs interne nettverk. Alle ressurser i vårt nettverk skal være fullstendig skjult fra Internett. 3 Sikkerhetskopiering Det skal utføres sikkerhetskopi av alle våre servere hver natt. Sikkerhetskopi på fysiske taper skal lagres på ekstern sikret lokasjon. Sikkerhetskopieringen skal logges og sjekkes daglig. Sikkerhetskopi av e-post skal også utføres hver natt. I tillegg skal sikkerhetskopi av alle endringer i den enkelte brukers e-postboks utføres hver time mandag til fredag. Leverandøren står fritt til å velge system for sikkerhetskopiering endringsdata og alle data (fullbackup). Det skal ut fra dette systemet dokumenteres hvordan vi skal få lagt tilbake data og hvor lang tid tilbake data kan gjenopprettes. Det skal jevnlig utføres test av tilbakelegging av sikkerhetskopier (recoverytest). Rapport fra slike tester skal legges ved kvartalsrapport til SJT. Statens jernbanetilsyn Bilag 3 Pristabell og prisbestemmelser Side 4 av 5

5 4 Nettverksadministrasjon Vårt nettverk skal ha punkt-til-punkt-forbindelse mellom våre lokaler og driftsleverandørens datasenter. Vi skal ha en hovedlinje og en reservelinje som knytter lokasjonene sammen. Linjene skal være satt opp med automatisk failover. Bortsett fra hastighetsforskjellen mellom hovedlinje og reservelinjen skal kontakten med servere og Internett ikke forstyrres merkbart ved linjebrudd. Driftsleverandør skal ha overvåkning av linjene og iverksette feilretting umiddelbart ved linjebrudd eller andre problemer med linjene. Alt annet nettverksutstyr (switcher/rutere/trådløse sendere) skal overvåkes av driftsleverandør. Hvis noen av disse går ned, har høy latency eller pakketap, så skal driftsleverandøren få en alarm og iverksette feilretting umiddelbart. 5 Systemovervåking og logging SJTs nettverk og servere skal overvåkes av driftsleverandøren. Hendelser skal registreres, og nødvendige tiltak for å korrigere hendelser skal iverksettes. Feilrettingstider skal være definert i en driftsavtale. Hendelser av alvorlig art skal dokumenteres i kvartalsrapporten (beskrivelse av feil/feilretting/feilrettingstid). 6 Katastrofeplaner Driftsleverandøren skal ha en godt dokumentert katastrofeplan. Tiltak ved ulike hendelser skal være grundig beskrevet. Det skal også dokumenteres en plan for katastrofeøvelser. Rapport fra katastrofeøvelser skal dokumenteres og levers SJT i kvartalsrapporten. Statens jernbanetilsyn Bilag 3 Pristabell og prisbestemmelser Side 5 av 5