På veg mot skyene. Office Lånekassens arbeid med risikovurderinger og piloteringer. Jostein Jensen / Sikkerhetsansvarlig Oslo

Transkript

1 På veg mot skyene Office Lånekassens arbeid med risikovurderinger og piloteringer Jostein Jensen / Sikkerhetsansvarlig Oslo

2 Agenda Introduksjon drivere for sky Prosess jus, pilot og risiko Resultater/nøkkelfunn Oppsummering Avsluttende tanker

3 Eksterne drivere for skyløsninger

4 Interne drivere for samhandling i skyen

5 Skyen ideelt fra et sikkerhetsperspektiv? «Utvalget mener at ressurssterke tilbydere av skytjenester i mange tilfeller kan tilby en bedre teknologisk sikkerhet enn mange mindre virksomheter kan klare selv.» «Skytjenester kan gi bedre sikkerhet fordi sikkerhetsfunksjonene og tiltakene profesjonaliseres i større grad enn hva informasjonseier selv kan være i stand til å levere».

6 Et kjapt søk på digi.no

7 Lånekassens prosess for å vurdere Office 365 Juridisk vurdering Office 365 forprosjekt/pilot Risikovurdering info.sikkerhet BP Sikringstiltak Etableringsprosjekt Produksjon

8 Juridiske avklaringer Juridisk vurdering Office 365 forprosjekt Risikovurdering info.sikkerhet Rapport KMD: Sikringstiltak Arkivloven med forskrift Etableringsprosjekt Bokføringsloven med forskrift Produksjon Personopplysningsloven Ekstern juridisk bistand: Vurdering av Lånekassens ønskede bruk opp mot lovverk Vurdering av MS standardavtale for Office365

9 Forprosjekt Office 365 Juridisk vurdering Office 365 forprosjekt Risikovurdering info.sikkerhet Sikringstiltak Målsetningen for forprosjektet er å: vurdere og anbefale ny og tidsriktig plattform for samhandling Etableringsprosjekt Produksjon som dekker funksjonelle behov og tekniske krav. Arbeidet skal utføres ved å: kartlegge behov, muligheter og rammebetingelser internt se til andre organisasjoner og lære av hva de gjør på dette området.

10 Funksjonelle behov: samhandlingstilfeller Side 1 Side 2 Juridisk vurdering Office 365 forprosjekt Risikovurdering info.sikkerhet Sikringstiltak Etableringsprosjekt Produksjon 1. Deling av dokument 2. Faglig avklaring 3. Deling av styredokumenter 4. Nyhetsformidling og kommunikasjon 5. Oppdatering av kompetanseoversikt 6. Etablering av prosjektområde 7. Opprette epostliste 8. Teknisk problem 9. Kunde opprettholder klage 10. Utføre en analyse 12. Modulis brukerstøtte, skrive og distribuere daglig status 13. Forslag til endring (utvikling i kjerneprosessen) 13. KD bestiller analyse fra ADA 14. Korreksjon kundereskontro 15. Styreprotokoll 16. Rapport 17. Bestilling mottas fra KD 18. Utvikling ifm. regelverksendring 19. Juridisk avklaring av endring 20. Budsjett/virksomhetsplan

11 Risikovurdering informasjonssikkerhet Juridisk vurdering Office 365 forprosjekt Risikovurdering info.sikkerhet Sikringstiltak Etableringsprosjekt Produksjon

12 Hvilke områder ble risikovurdert? Juridisk vurdering Office 365 forprosjekt Risikovurdering info.sikkerhet Egenskaper som definerer en sky: Delt driftsmiljø Tjenestekjerder/tjenestekomposisjoner Tjenesteleveranse fra geografiske lokasjoner over landegrenser Redundans, geo-redundans, elastisitet og skalerbarhet Tilgjengelighet, selvbetjening og administrasjon Krav i personopplysningslov med forskrift Fysisk, teknisk og organisatorisk sikkerhet i løsningen Lagring, lokasjon for datasentre Innloggingsmekanisme Kryptering Backuprutiner Tilgangsstyring Segmentering av data SLA Sikkerhetsrevisjon Monitorering/overvåkning av tjenesten Hendelseshåndtering og avvikshåndtering Logging av autorisert og uautorisert tilgang Rutiner for sletting av data Risiko relatert til samhandlingstilfellene Arbeidsprosesser Informasjon Etableringsprosjekt Produksjon Sikringstiltak

13 Nøkkelfunn Tekniske grunnsikring i plattformen er god, men Nye områder krever fokus: Bruk av privat utstyr og utstyr som ikke er administrert av virksomheten Ny løsning, nye muligheter for brukerfeil Tilgangsstyring og kontroll

14 Konklusjon risikovurdering Juridisk vurdering - poplyl Office 365 forprosjekt Risikovurdering info.sikkerhet Sikringstiltak Etableringsprosjekt Produksjon Ikke funnet noen risikoelementer til hinder for å gjennomføre en pilot basert på produksjonsdata. En ny risikovurdering skal gjennomføres før Lånekassen tar i bruk Office 365 på permanent basis.

15 Avsluttende tanker og hjertesukk Hvorfor har ikke norske myndigheter gjort en personvernfokusert evaluering av standardkontraktene til de store skyleverandørene som kan gjenbrukes av alle? Hvorfor har ikke myndighetene gjennomført en evaluering av den tekniske sikkerheten/basissikkerheten i tjenesteleveransene fra de store skyleverandørene som kan gjenbrukes av alle? Lånekassen brukte ca. tre måneder på å gjennomføre risikovurderingene. Skal alle offentlige etater bruke tilsvarende lang tid for noe som kunne vært gjort en gang?

16 Spørsmål?