Dette dokument beskriver it-sikkerheten i RAMBØLLs it-systemer SurveyXact og Rambøll Results.

Transkript

1 IT SIKKERHET Dato Fra Jesper Balman Gravgaard 1. Innledning Dette dokument beskriver it-sikkerheten i RAMBØLLs it-systemer SurveyXact og Rambøll Results. Dato Underleverandør RAMBØLLs driftmiljø er plassert hos hostingleverandøren Nianet A/S. Nianet A/S Ejby Industrivej Glostrup Rambøll Olof Palmes Allé 20 DK-8200 Aarhus N T F CVR nr Slik forhindres tap av data Tyverisikring - Driftmiljøet står i et SKAFOR 3-sikret serverrom. Røyk-, brann- og vannsikring - Driftmiljøet har en helt automatisk brannvernsanlegg, som oppdager røykutvikling. - Driftmiljøet har en helt automatisk brannslukningsanlegg. - Driftmiljøet har fuktsensorer under gulvet. - Driftmiljøet har døgnovervåkning av strøm-, vann- og brannalarmer. Sikkerhetskopiering - Det tas daglig backup av alle data til off-site backup server samt til tape. 1/5 Rambøll Management Consulting A/S CVR-NR

2 - En gang i timen tas det backup av alle endringer som er gjort i databasen siden den siste daglige backup til off-site backup server. - En gang hver måned tas det en en full backup av alle databaser, som oppbevares i et år på off-site backup server samt på tape. Disaster Recovery Procedure - Det finnes en katastrofeberedskapsplan for hvordan driften gjenetableres innenenfor 24 timer i tilfelle driftmiljøet destrueres totalt. 3. Slik sikres høy tilgjenglighet Målet er at systemet skal være tilgjenglig til bruk minst 99% av tiden. Høy tilgjenglighet sikres via redundans av alle kritiske komponenter. Redundans - Driftmiljøet har dobbeltsikret nødstrømsanlegg med redundant UPS og dieselgenerator. - Driftmiljøet har to separate strømføringer frem til serverskapet og til alle servere. - Driftmiljøet har redundant aircondition. - Alle driftservere har redundant strømforsyning. - Alle data lagres på redundante harddisker. - Data oppbevares på en speilet database server. - Det finnes er en sekundær web-server til rådighet. Servere og systemer blir overvåket av et system, som automatisk varsler driftpersonale umiddelbart, hvis det skulle oppstå hendelser som påvirker tilgjengligheten. 4. Slik sikres det for at uvedkommende ikke får adgang til data Driftmiljøet er adskilt fra utviklings- og testmiljøet. I det følgende avsnittet er sikringen av hver av disse beskrevet. I tillegg beskrives det hvordan systemets data sikres. 4.1 Driftmiljøet Fysisk sikring - Driftansvarlige har kun fysisk adgang til driftmiljøet via et personlig adgangskort og 2 personlige koder. - Hostingleverandøren fører en detaljert logg over hvem som har hatt fysisk adgang til serverne, både hvor og når. - Hostingleverandøren har videoovervåkning av alle inn- og utganger. - Hostingleverandør har ikke fysisk adgang til servere. Serverne står i et innelåst serverskap, som kun RAMBØLLs driftpersonale har tilgang til. Oppbevaring og ødeleggelse av lagringsmedier (HDD og backup-bånd) - Alle lagringsmedier er nummerert og katalogisert. - Alle lagringsmedier som ikke er i drift oppbevares i et låst pengeskap. - Lagringsmedier som kasseres ødelegges fysisk. 2/5

3 Systemsoftware - All systemsoftware oppdateres jevnlig til nye versjoner og sikkerhetsoppdateringer. Sikring av nettverk - Det er installeret firewall på alle servere, som kun aksepterer trafikk til få utvalgte porter. Antivirus - Det er installert antivirus på alle Windows-servere i driftmiljøet. - Virusprogrammet oppdateres automatisk en gang i timen, og minst en gang i døgnet. Driftsarbeidet - All driftarbeide foregår over krypterte SSH forbindelser. - Det er kun mulig for driftansvarlige å foreta driftarbeide fra computere som er plassert i Rambølls nettverk. - Den krypterede forbindelse åpnes kun når en driftansvarlig utfører driftarbeide. - Det føres en detaljert logg over hvilke driftansvarlige som anvender hvilke servere og når. Autorisasjon for å gjennomføre driftarbeid - Driftansvarlige kan kun få adgang til serverne i driftmiljøet via et personlig sertifikat og en personlig kode. Tilgang for å gjennomføre driftarbeide - Kun en liten gruppe av medarbeidere i avdelingen Survey IT i RAMBØLL har adgang til driftmiljøet. - Kun disse medarbeiderne er opprettet som brukere i driftmiljøet. Konfigurasjonsstyring - Det er etablert et konfigurasjonsstyringssystem som nøyaktig dokumenterer hvilke endringer som er foretatt i systemerne, både hvor og når. Inntrengningstest - Med jevne mellomrom gjennomføres det inntreningstest i driftmiljøet for å identifisere eventuelle svakheter. 4.2 Utviklings- og testmiljø Fysisk sikring - Alle servere i utviklings- og testmiljøet er plassert i innlåste serverrom på RAMBØLLs kontorer. Kun utvalgte medarbeidere har tilgang til serverrommet. Data i utviklings- og testmiljøet - Data i utviklings- og testmiljøet er generelt fiktive. - Når feilsøkning eller test av driftmiljøet til utviklings- og testmiljøet gjennomføres blir dataene annonymisert. 3/5

4 Versjonsstyring - Det finnes et versjonsstyringssystem som nøyaktig dokumenterer hvilke endringer som foretatt i hvilke kildetekstfile, samt hvor og når disse endringene er foretatt. Autorisasjon av utviklere - Kun medarbeidere som er ansatt som utviklere av systemet i avdelingen Survey IT i RAMBØLL har adgang til utviklings- og testmiljøet. Identifisering av utviklere - Utviklere kan kun få adgang til web-serverne i utviklings- og testmiljøet via et personlig sertifikat og en personlig kode. - Utviklere kan kun få adgang til database-servere i utviklings- og testmiljøet hvis de er opprettet som brukere på denne. - Utviklere kan kun få adgang til kildekode-serveren i utviklingsmiljøet, hvis de er opprettet som brukere på denne. 4.3 Systemet Systemet er web-baseret, og brukere anvender systemet over Internettet. Det finnes to typer brukere: - Respondenter som utelukkende mottar og besvarer personlige spørreskjemaer. - Administratorer som kan redigere, administrere, følge status, analysere, motta rapporter o.l. Kommunisjon over Internettet - All kommunikasjon til/fra administratorer til/fra systemet foregår kryptert via SSL. - Hvis respondentens browser godtar det, vil all kommunikasjon fra respondenter til systemet automatisk foregå krypteret via SSL. - Administratoren kan kreve at all kommunikasjon fra respondenter til systemet skal være krypteret. I dette tilfellet vil respondenter som ikke har en browser som godtar kryptering ikke kunne avgi deres svar. Autorisasjon av administratorer - Administratorer har muligheter til å styre hvilken adgang andre administratorer skal ha til målinger i systemet. - Brukere fra forskjellige organisasjoner har aldri adgang til at se hverandres data. - Ved hver sidevisninger i systemet kontrolleres det hvorvidt den aktuelle bruker har tilgang til at se informasjonen som presenteres. - Det føres en detaljert logg over nøyaktig hvilke brukere som tilgang til hvilke sider, samt hvor og når. Identisering av administratorer - Brukere skal oppgi brukernavn og passord for å få tilgang til systemet. - Brukeren velger selv sitt passord, som skal oppfylle systemets minimumskriterier. - Brukerens passord finnes ikke i klartekst i systemets database. 4/5

5 Identifikasjon av respondenter - Respondenter som mottaker spørreskjemaet via eller brevfletning identifiseres ved hjelp av en 12-sifret tilfeldig unik nøkkel. Det er denne nøkkelen som sendes til respondenten via eller i et brev. - Den 12-sifrede nøkkelen identifiserer hver unike respondent, og de innkomne svarene kobles alltid til en unik respondentnøkkel. Det er altså ikke mulig å avgi mer enn en besvarelse per respondentnøkkel. - Så snart en respondent logger inn via sin respondentnøkkel genererer systemet en ny tilfeldig unik 32-sifret (128 bit) sessionsnøkkel, som benyttes til å identifisere under selve besvarelsen. Sessionsnøkkelen deaktiveres 24 timer etter at den er opprettet. Den 12-sifrede respondentnøkkelen er altså ikke tilgjenglig i den HTML respondenten har på sin PC under selve besvarelsen. - Administratoren kan lukke for innsamling av data på en undersøkelse (og dermed for adgang via undersøkelsens respondentnøkler). - Administratoren kan stenge for adgang til gjennomførte besvarelser (dvs. så snart en respondent har gjennomført sin besvarelse stenges det for adgang til vedkommendes nøkkel). - Det føres en detaljert logg over nøyaktig hvilke respondenters nøkler som har tilgang, samt hvor, når og fra hvilke IP-adresser. Kontroll av mislykkede innloggingsforsøk - Hvis systemet opplever gjentagede mislykkede innloggingsforsøk fra samme brukernavn eller fra samme IP-adresse blokkeres for ytterligere innloggingsforsøk. - Blokkeringen foregår ved en tvungen pause mellem innloggingsforsøk som blir lengere og lengere inntil det har gått 30 minutter. - Når antallet av mislykkede innloggingsforsøk fra en gitt IP-adresse eller et gitt brukernavn overstiger 10 sendes en alarm via til de driftansvarlige. Deretter sendes en ny alarm for hvert 10. mislykkede innloggingsforsøk. Logging av anvendelse af personopplysninger - Det føres en detaljert logg over hvilke brukere som finnes i systemet samt hvilke personlig informasjon som er registert. - Hver gang en bruker ser, endrer eller behandler personoplysninger vil dette logges. - Loggen inneholder tidspunkt, brukerens navn og ID samt ID på alle de viste/berørte personer. - Når brukeren viser informasjon på flere personer samtidig, f.eks. ved søkning i en liste, logges ID på alle viste personer. - Når brukeren ser en opptelling av personer, f.eks. i form av en tabell eller graf i en statusvisning eller en analyserapport logges ID på alle de personer som inngår i opptellingen. - Kun personer som vises til brukeren eller inngår i det viste resultat vil bli logget. Personer som ikke matcher det kriterium brukeren anvender i sin søkning logges altså ikke. 5/5