Bilag 6 Vedlegg 9 - Oversikt over dokumentasjon, planer og rapporter

Transkript

1 Bilag 6 Vedlegg 9 - Oversikt over dokumentasjon, planer og rapporter

2 Versjonshåndtering Versjon Dato Initiert av Endringsårsak Difi Dokument distribuert til tilbydere Difi Endret til ny versjon uten endringer i innholdet Saksnummer 13/00203

3 Veiledning til utfylling av vedlegget Bilag 6 vedlegg 9 inneholder en oversikt over dokumentasjon, planer og rapporter som etter avtalen skal utarbeides. Bilag 6 vedlegg 9 har ingen betydning for partenes plikter og rettigheter etter avtalen eller for bestemmelsene i konkurransegrunnlaget, herunder vedlagt utkast til avtale med bilag. Dette innebærer for eksempel at eventuelle feil eller mangler i oversikten ikke har virkning på hva Leverandøren skal dokumentere og levere av rapporter. Formålet med dokumentet er kun å være en oversikt som blant annet kan bidra til å gjøre forvaltningen av avtalen lettere. Saksnummer 13/00203

4 Dokumentasjon og planer om Navn på dokument/dokumentet gjelder Leverandørens driftstest Prosjektplan Dokumentplan Beskrivelse Leverandøren skal gjennomføre driftstest for å verifisere at driftsløsningen fungerer helhetlig som avtalt.. Nærmere spesifikasjon av Leverandørens testing følger av bilag 4 vedlegg 2 Når det skal leveres/ eventuelt når det skal utarbeides Leverandøren skal i tilbudet ha beskrivet sin driftstest under i bilag 4 vedlegg 2. Leverandøren skal i dialog med Kunden utarbeide en Utarbeides under organiseringen av prosjektplan med beskrivelse av formål, organisasjon, migreringsfasen aktiviteter, detaljerte planer for fremdrift mv. Prosjektplanen skal omfatte beskrivelse av roller og ansvar samt fremdriftsplan med milepæler, som skal bygge på den overordnede fremdriftsplanen i bilag 4. Leverandøren skal tidlig i etableringsfasen utarbeide en dokumentplan med oversikt over alle planer og andre viktige styringsdokumenter, når de skal foreligge og med angivelse av hvem som har myndighet til å godkjenne dem hos Kunde og Leverandør. Se utfyllende beskrivelse i SSA-D Utarbeides i planleggingsfasen i Dokumenteres i Regulert i Bilag 4 vedlegg 2 SSA-D nytt punkt Bilag 4 SSA-D punkt Eget dokument SSA-D punkt Detaljplan Sikkerhetsdokumentasjon Leverandøren skal utarbeide en detaljert fremdriftsplan for Utarbeides i planleggingsfasen i etableringsfasen, kalt detaljplan. Kunden skal bistå med informasjon og kompetanse som er nødvendig for at Leverandøren skal kunne utarbeide planen. Kunden skal videre legge til rette for at Leverandøren får tilgang til den informasjon Leverandøren trenger fra eventuelle tredjeparter. Detaljplanen og eventuelle senere endringer av denne skal godkjennes av Kunden. Slik godkjenning reduserer ikke Leverandørens ansvar. Dette er Leverandørens dokumenterte styringssystem for informasjonssikkerhet - ISMS. Dokumentasjonen skal være utarbeidet i samsvar med kapittelpunkt i ISO/IEC og inneholde retningslinjer, rutiner og prosedyrer, inkludert kriseog beredskapsplan for tjenestene. Valgt sikkerhetsnivå bør være harmonisert med Kundens eget styringssystem. Overleveres Kunden i forbindelse med etablering av plattformene Bilag 4 vedlegg 1 SSA-D punkt Eget dokument Bilag 4 Bilag 6 Plan for Kundens akseptansetest Kunden skal i samarbeid med Leverandøren utarbeide og ha ansvar for en plan for Kundens akseptansetest med testprosedyrer som godtgjør at driftstjenesten tilfredsstiller avtalte krav.» Utarbeides i planleggingsfasen i Produksjonssettingsplan Leverandøren skal utarbeide plan for produksjonssettingen Utarbeides i planleggingsfasen i Plan for flytting av data Leverandøren skal utarbeide plan for flytting av data. Utarbeides i planleggingsfasen i Eget dokument SSA-D punkt Eget dokument Bilag 4 Eget dokument Bilag 4 Saksnummer 13/ /9

5 Rapport fra Kundens systemtest Leverandøren skal motta rapport fra Kundes systemtest i utviklingsmiljøet senest 2 (to) dager før Leverandørens frist for overlevering av minimumsløsningen til Kundens systemtest hos driftsleverandør (milepæl 2A). Senest 2 (to) dager før Leverandørens frist for overlevering av minimumsløsningen til Kundens systemtest hos driftsleverandør (milepæl 2A). Eget dokument Bilag 4 punkt 6.2 Erklæring om gjennomført installasjon Støttedokumentasjon Leverandør oversender signert erklæring om gjennomført installasjon Leverandøren skal bidra med nødvendig støtte for at Kunden skal få gjennomført og testet alle endringer i Kundens applikasjoner knyttet til, jf beskrivelsen i bilag 3 kapittel 6 og bilag 4 kapittel 2. Støtten skal gis i form av både dokumentasjon og ressurser Som del av Leverandørens driftstest oversender Leverandøren erklæring om at hele driftsplattformen er vellykket installert og klar til Kundens akseptansetest Bilag 4 Vedlegg 4 Bilag 4 Vedlegg 4 I ved behov Eget dokument Bilag 1 krav Saksnummer 13/ /9

6 Dokumentasjon, planer og rapporter om driftsløsningen og driften Type dokument Navn på dokument/dokumentet gjelder Beskrivelse Dokumentasjon på rutiner for lagringstjenester mm Leverandøren skal ha dokumenterete rutiner for å sikre oppbevaring av og hindre uatorisert tilgang til dokumentasjon av løsningen (inkludert papirbasert informasjon) og data/informasjon lagret i løsningen Når det skal leveres/eventuelt når den Regulert i skal utarbeides Leveres med tilbudet Bilag 1 krav Backup Leverandøren skal dokumentere rutiner for oppdatering av bakupscript for å sikre Leveres med tilbudet Bilag 1 krav at sikkerhetskopiering ivaretar endringer som gjøres i løsningen Sjekklister Leverandøren skal ha metoder, verktøy og sjekklister for herding av servere og for Leveres Med tilbudet Bilag 1 krav å sikre serverene mot uatorisert tilgang. Sjekklistene skal dokumenteres Kontaktpunkt og prosedyrer i bilag 6 Leverandøren skal dokumentere kontaktpunkter og prosedyrer i bilag 6 Leveres med tilbudet Bilag 1 krav Hendelseshåndtering Leverandøren skal ha en dokumentert prosess for hendelseshåndtering med klar Leveres med tilbudet Bilag1 krav beskrivelse av hvordan interaksjonen med Kunden skal foregå Konfigurasjonsendringer Leverandøren skal dokumentere omfang og metode for utveksling av informasjon Leveres med tilbudet Bilag 1 krav om konfigurasjonsendringer til Kunden Stryingssystem for informasjonssikkerhet Sertifisering etter ISO/IEC eller tilsvarende vil være tilstrekkelig Leveres med tilbudet Bilag 1 krav dokumentasjon for at kravet er oppfylt Sikkerhetsorganisasjon Leverandøren skal dokumentere sin sikkerhetsorganisasjon Leveres med tilbudet Bilag 1 krav Personellsikkerhet Leverandøren skal gennom ISMS ha et dokumentert regime for personellsikkerhet Leveres med tilbudet Bilag 1 krav D o k u m Informasjonssikkerhet Leverandøren skal dokumentere at det gjennomføres opplæring i Leveres med tilbudet Bilag 1 krav informasjonssikkerhet for alt personell Rettigheter til løsningen Leverandøren skal dokumentere rutinen for tildeling av rettigheter til løsningen Leveres med tilbudet Bilag 1 krav Ekstraordinære sikkerhetstester Leverandøren skal dokumentere og vedlikeholde oversikt over kriterier for Leveres med tilbudet Bilag 1 krav iverksetting av ekstraordinære sikkerhetstester Virtualisering Dersom Leverandøren skal realisere virtualisering av servere og infrastruktur som Leveres med tilbudet Bilag 1 krav understøtter Kundens behov, skal Leverandøren dokumentere hvordan integritet, kofidensialitet og tilgjengelighet er i varetatt Dokumentasjon på prosess for Leverandøren er ansvarlig for å dokumentere prosessen for endringshåndtering. Leveres med tilbudet Bilag 5 Punkt 6.5 endringshåndtering Tilgjengelighet produksjons- og testmiljø Leverandøren skal dokumentere skaleringsfleksibilitet av infrastrukturen, ledetider Leveres med tilbudet for å gjennomføre utvidelser, samt konsekvenser for infrastrukturen ved uforutsett store volumøkninger ved tjenestene. Varsling Leverandøren skal dokumentere roller og ansvar, stedfortredere, hvem som har Leveres med tilbudet Bilag 5 Punkt 5.2 beslutningsmyndighet og prinsipper for eksalering. Rutinene skal i nødvendig grad ivareta hensynet til utvidet beredskap, varsling ved planlegging av feilretting og vedlikehold Leverandørens sikkerhetspolicy Leverandøren skal legge frem sin dokumenterte sikkerhetspolicy Leveres med tilbudet Bilag 6 punkt 8.2 Sikkerhetsdokumentasjon Dette er Leverandørens dokumenterte styringssystem for informasjonssikkerhet - Leveres med tilbudet Bilag 6 punkt 8.2 ISMS. Dokumentasjonen skal være utarbeidet i samsvar med kapittelpunkt i ISO/IEC og inneholde retningslinjer, rutiner og prosedyrer, inkludert krise- og beredskapsplan for tjenestene. Valgt sikkerhetsnivå bør være harmonisert med Kundens eget styringssystem. Sikker sletting Leverandøren skal dokumentere rutiner for sikker sletting Leveres med tilbudet Bilag 6 punkt 8.2 Tilgangsoversikt Leverandøren skal dokumentere og vedlikeholde oversikt over personer med Leveres med tilbudet Bilag 6 punkt 8.2 tilganger til kommunikasjon og driftsadministrasjon SMS-grensesnitt Leverandøren skal levere dokumentasjon av SMS grensesnitt før oppstart av akseptansetestfasen i Leveres før oppstart av akseptanssetestfasen i Bilag 1 krav Saksnummer 13/ /9

7 m e n t a s j o n Driftsspesifikasjon Dokumentasjon om oppsett av utstyr eller programvare Dokumentasjon som gjelder bruk av underleverandør Leverandøren skal utarbeide en driftsspesifikasjon. Den skal inneholde dokumentasjon av Kundens driftsløsning og Leverandørens driftstjenester med oversikt over eventuelle elementer i Leverandørens infrastruktur, programmer mv. som inngår som del av driftsløsningen og er en forutsetning for at Kundens driftsløsning skal fungere som et hele. Se nærmere beskrivelse i SSA-D punkt Også for slikt utstyr og/eller programvare som Kunden eier skal Kunden ha rett til dokumentasjon av hvordan dette er satt opp for å fungere i driftssituasjonen, selv om Leverandøren eier hjelpeprogrammene eller infrastrukturen. Leverandørens forpliktelser som nevnt i SSA-D pkt 5.7 skal dokumenteres i bilag 6, dels ved identifikasjon av allmenngjort tariffavtale eller aktuell landsomfattende tariffavtale, òg dels ved en egenerklæring/ tredjepartserklæring om at det er samsvar mellom aktuell tariffavtale og faktiske lønns- og arbeidsvilkår for oppfyllelse av Leverandørens og eventuelle underleverandørers forpliktelser. Leverandøren skal på forespørsel fra Kunden legge frem dokumentasjon om de lønns- og arbeidsvilkår som blir benyttet. Kunden og Leverandøren kan hver for seg kreve at opplysningene skal legges frem for en uavhengig tredjepart som Kunden har gitt i oppdrag å undersøke om kravene i denne bestemmelsen er oppfylt. Leverandøren kan kreve at tredjeparten skal ha undertegnet en erklæring om at opplysningene ikke vil bli benyttet for andre formål enn å sikre oppfyllelse av Leverandørens forpliktelse etter denne bestemmelsen. Dokumentasjonsplikten gjelder også underleverandører.dersom en uavhengig tredjepart kommer til at kravene i denne bestemmelsen ikke er oppfylt, og Leverandøren bestrider dette, kan Kunden kreve at Leverandøren og underleverandører legger frem dokumentasjon for Kunden om de lønns- og arbeidsvilkår som blir benyttet. Driftsspesifikasjonen skal være ferdig før oppstart av Kundens akseptansetest. Den skal ajourføres i løpet av godkjenningsperioden og være en del av den dokumentasjonen som undersøkes og godkjennes av Kunden gjennom ordinær drift i godkjenningsperioden. Driftsspesifikasjonen er utarbeidet for Kunden, som får rettigheter til driftsspesifikasjonen som bestemt i punkt SSA-D punkt Levers på forespørsel SSA-D punkt 10.1 Levers på forespørsel SSA-D punkt 5.7 Forsikringer Ytterligere dokumentasjon Sikkerhetstester og sårbarhetsanalyser Kvalitetssikringssystem Aktiva Leverandøren skal på forespørsel fra Kunden redegjøre for og dokumentere de av Leverandørens forsikringer som er relevante for oppfyllelse av denne bestemmelsen. Dersom Kunden bestiller det, skal Leverandøren levere utredninger av problemstillinger eller ytterligere dokumentasjon av driftsplattformen Leverandøren skal levere dokumentasjon fra sikkerhetstester og fra risiko og sårbarhetsanalyser til Kunden Leverandøren skal til enhver tid ha en oppdatert beskrivelse av kvalitetssikrings- og styringssystemet. Beskrivelsen skal være tilgjengelig for Kunden i Leverandørens webgrensesnitt. Kunden skal få innsyn i de kvalitetsrevisjoner og tiltak som gjøres, jf. bilag 1 punkt X. Leverandøren skal dokumentere og vedlikeholde oversikt over aktiva for Kundens gjennomsyn og godkjenning Leveres på forespørsel SSA-D punkt 15.2 Ved forespørsel Bilag 1 krav Leveres fortløpende Bilag 1 krav Til enhver tid oppdatert Bilag 6 punkt 8.2 Til enhver tid oppdatert Bilag 6 punkt 8.2 Saksnummer 13/ /9

8 P l a n e r Dokumentasjon på at det er gitt melding om endring Kontinuitets- og beredskapsplan Driftsplan Overvåkningsplan Kapasitetsplan Leverandøren skal informere Kunden om alle endringer og skal kunne dokumentere at slik informasjon ble gitt før endringen ble iverksatt. Leverandøren skal sørge for at endringsloggen er korrekt og komplett.endringer i konfigurasjonen som følge av feilrettinger, oppgraderinger og lignende som ikke endrer det funksjonelle innholdet i tjenesten skal dokumenteres. Dette kan gjøres ved rapporter generert av Leverandørens driftsverktøy, oppdateringer i systemoversikter eller lignende. Beskrivelsene eller referansene skal være referert til i endringsloggen med dato, beskrivelse og signaturer. Leverandøren skal utarbeide beredskaps- og katastrofeplaner for driftstjenesten, supplert og godkjent av Kunden. Det er Leverandørens ansvar å vedlikeholde disse. Hvis ikke annet er bestemt i driftsspesifikasjonen, skal Leverandøren gjennomføre beredskapsøvelse hvert år og katastrofeøvelse annethvert år, med tilhørende evalueringer, kvalitetssikring og forbedringer. Dette skal skje i samarbeid med Kunden. Beredskaps- og katastrofeplanene skal være tilgjengelige for Kunden. Under hensyn til Kundens årsplan skal Leverandøren utarbeide en årlig driftsplan med planlagte vedlikeholdsoppgaver (periodisk vedlikehold) og forestående versjonsoppdateringer Leverandøren skal dokumentere hvordan overvåking skal planlegges og gjennomføres. Leverandøren skal utarbeide en kapasitetsplan som ivaretar Kundens planlagte behov over året. Kapasitetsplanen skal revideres ved varsling av ytterligere høyvolumperioder eller kritiske perioder. Innholdet i kapasitetsplanen skal minimum omfatte: Kapasitetsplanleggingsprosessen. Detaljert oversikt over alle kritiske komponenter for kapasitetsplanleggingen. Denne skal beskrive gjeldende bestykning, aktuelle skaleringsveier per komponent, samt referanse til driftsrutiner for håndtering av overskridelse på definerte terskelverdier. Ytelsesmodell. Applikasjonens kapasitetstall. Denne skal beskrive applikasjonens kapasitet i tall med gjeldende maskinvare/bestykning. Skaleringsmekanismer for applikasjonen. Prosess for avvikshåndtering. Prosess for ytelsestest. Som vedlegg til kapasitetsplanen skal alle kapasitetsendringer dokumenteres. Utarbeides ved endringer SSA-D punkt Til enhver tid tilgjengelig for Kunden SSA-D punkt og Bilag 1 krav Utarbeides årlig Bilag 5 punkt 2.9 Utarbeides under og vedlikeholdes Bilag 6 punkt 3.1 Årlig Bilag 6 punkt 8.2 R a p Driftsrapport Bruks og driftsstatistikk Hendelsesrapport Ordinær sluttrapport Månedlig rapportering av oppnådd tjenestenivå skal skje senest 7 virkedager etter utløp av hver måleperiode. Leverandøren skal løpende gjøre tilgjengelig drifts- og bruksstatistikker for Kunden. Det er beskrevet i avsnittene under hva som ligger i de ulike typer drifts- og bruksstatistikker og hvilke krav som gjelder for tilgjengeliggjøring av statistikkene, samt krav til overføring av rådata/måledata. Ved kritiske eller alvorlige hendelser, skal Leverandøren utarbeide en kort dokumentasjon av hendelsesforløp, mulige konsekvenser og tiltak, og informasjon om berørte parter, jf. krav i bilag 5. Etter at kritiske og alvorlige hendelser er lukket, skal det alltid utarbeides en ordinær sluttrapport om hendelsen. En slik ordinær sluttrapport skal utarbeides uten ugrunnet opphold. Se bilag 6 for hva rapporten minimum skal inneholde. Månedlig SSA-D punkt og Bilag 5 punkt 2.3 og bilag 6 punkt Fortløpende Bilag 6 punkt Ved kritiske eller alvorlige hendelser Ved kritiske eller alvorlige hendelser Bilag 6 punkyt Bilag 6 punkt Saksnummer 13/ /9

9 p p o r t e r Utvidet sluttrapport Sikkerhetsrapport Risikoanalyserapport Miljøtiltak Rapport om avvik eller fare for avvik Avviksrapport sikkerhetskopiering Sikkerhetspatch Hvis hendelsen går videre til problemprosessen og problemet anses som uavklart, skal det utarbeides en utvidet sluttrapport. Utvidet sluttrapport utarbeides parallelt med analysen av problemet og legges inn som et vedlegg til problemet i Kundens saksflytverktøy Leverandøren skal minimum gjennomføre en årlig sikkerhetsrevisjon. I gjennomgangen skal det dokumenteres at krav til sikkerhet og forebygging av sårbarhet er ivaretatt. Resultatet fra sikkerhetsrevisjonen skal dokumenteres og forelegges Kunden. Leverandøren skal periodisk, men minimum en gang i året, gjennomføre en risikoanalyse som dekker alle deler av leveransen og Leverandørens ansvarsområde. Rapport fra risikoanalysen skal fremlegges for Kunden. Leverandøren skal i hele kontraktsperioden ha fokus på å levere en minst mulig miljøbelastende driftstjeneste, og skal derfor årlig levere en oversikt over de miljøtiltak som har blitt innført, og hvilke miljøtiltak som planlegges gjennomført neste periode. Herunder for eksempel utskifting av hardware til mer energieffektive maskiner, mer effektiv kjøling, resirkulering av restvarme, måling/benchmarking av energiforbruk, styringssystemer for energiforbruk, resirkulering av hardware og andre miljøtiltak. Leverandøren har ansvaret for overvåking av tjenestene og skal rapportere til Kunden om avvik eller hendelser s om indikerer at hele eller deler av tjenestene er utilgjengelig eller står i fare for å bli utilgjengelig. Eventuell avviksrapport med beskrivelse av uregelmessigheter skal være levert innen neste virkedag. Leverandøren skal rapportere kvartalsmessig på gjennomført vurdering og eventuell utrulling av sikkerhetspatcher Ved kritiske eller alvorlige hendelser Bilag 6 punkt Årlig (minimum) Bilag 6 punkt Årlig (minimum) Bilag 6 punkt Årlig Bilag 6 punkt Ved avvik eller fare for avvik Bilag 6 punkt 3.1 Ved avvik ved Bilag 5 punkt sikkerhetskopiering Hvert kvartal Bilag 5 punkt Krise og beredskapsøvelser Øvelse gjennomført. Oppsummeringsrapport skal foreligge innen 10 virkedager. 10 virkedager etter at øvelse er gjennomført SSA-D punkt og bilag 5 punkt Saksnummer 13/ /9