Strategi for IT-tjenester pa pedagogisk nett i MRFK

Transkript

1 Strategi for IT-tjenester pa pedagogisk nett i MRFK Innhold Innledning... 4 Elementer i policy for MRFK... 4 Informasjonssikkerhet... 5 Forenkling av autentisering... 6 Målrettet informasjonsflyt... 7 Standardisering av applikasjonsportefølje... 8 Standardisering av arbeidsstasjoner... 9 Nettverk på skolene Elevnettet Lærernettet Adminnettet Videokonferanse IP-telefoni «Isolerte» nettverk Behov for IT-tjenester på «pedagogisk nett» Tjeneste for utskrift (print) Tjeneste for lagring Tjeneste for oppsett av arbeidsstasjoner Tjeneste for autentisering og autorisasjon Tjeneste for tilgang til arbeidsstasjoner for test Tjeneste for lisenshåndtering (lisensservere) Tjeneste for trådløst gjestenett Tjeneste for behandling av IOP-er Tjeneste for å kontrollere tilgang til Internett fra fylkesnettet Tiltaksliste

2 2

3 Versjonshistorikk: Versjon Versjon juni 2013 Versjon desember 2013 Forfatter Begreper: Arbeidsstasjon En arbeidsstasjon vil i denne sammenheng bety den datamaskinen med programvare og eventuelt ekstrautstyr som brukeren disponerer i sin virksomhet på sin arbeidsplass. En arbeidsstasjon er ikke begrenset til en type teknologi. Det kan være en PC med Windows eller Linux operativsystem, Mac med MacOS, nettbrett, virtuell maskin osv. Autentisering Bekreftelse av identitet ved hjelp av noe en person vet, har eller er, for eksempel at en IT-bruker bekrefter sin identitet ved hjelp av et personlig password IT-tjeneste Enhver IT-basert tjeneste som brukerne får tilgang til I MRFK FEIDE Felles elektronisk ID ( Federering AD Active Directory MDM En metode for å utveksle autentisering og autorisering mellom sikkerhetsdomener. Et product utviklet av Microsoft for å autentisere og autorisere brukere og datamaskiner. (f.eks. innlogging på PC) Mobile Device Management 3

4 Innledning: Dette dokumentet er et grunnlagsdokument for å klargjøre policy for IT-tjenestene på det pedagogiske nettet i Møre og Romsdal fylkeskommune. Det pedagogiske nettet vil si de ansatte som jobber innenfor den delen av fylkesnettet som i dag benyttes av lærere og elever. Med pedagogisk nett menes både nettverkstjenester og klienttjenester som benyttes av pedagogiske ansatte og lærere. Den administrative delen av skolene er ikke en del av dette grunnlagsdokumentet. IT-sjef ønsker å standardisere IT-tjenestene i MRFK slik at alle ansatte i fylkeskommunen har et sett med basis IT-tjenester som er felles for alle ansatte. Fordelen med en standardisering er at man får en enklere administrasjonen, muliggjøre drift på tvers av enhetene, muliggjøre felles opplæring, forenkle administrasjon av lisenser, sikre effektiv og målrettet informasjonsflyt, bedre informasjonssikkerhet og man får utnyttet kompetansen i organisasjonen bedre. Elementer i policy for MRFK Dette er hovedpunktene for i arbeidet med standardisering av pedagogisk nett på skolene: 1. Informasjonssikkerhet 2. Forenkling av autentisering 3. Målrettet informasjonsflyt 4. Standardisering av applikasjonsportefølje 5. Standardisering av arbeidsstasjoner 6. Nettverk på skolene 7. Behov for IT-tjenester på «pedagogisk nett» 4

5 Informasjonssikkerhet Pedagogiske ansatte i MRFK behandler daglig personopplysninger om elever i den videregående skolen. Dette stiller krav til sikring av informasjonen som ligger på arbeidsstasjoner. Det vil være større krav til lærernes arbeidsstasjoner enn elevenes arbeidsstasjoner fordi lærere behandler data om elever. Arbeidsstasjoner som benyttes av ansatte i fylkeskommunen skal sikres med flere tiltak; nettverkssikkerhet, antivirus, klientrettigheter og kryptering: 1. Nettverkssikkerhet Trafikk inn og ut av fylkesnettet blir filtrert i ytre brannmur mot Internett (Palo Alto brannmur). Dette filteret fjerner det meste av skadelig programvare og virus/ormer man kan få via Internett. Filtret blokkerer også i stor grad de nettsidene med skadelig kode eller nettsider som forsøker å svindle brukerne. Alle arbeidsstasjoner skal benytte fylkesnettet i arbeid knyttet til MRFK. 2. Antivirus Programvare for å oppdage og fjerne virus og annen skadelig programvare skal ligge på de arbeidsstasjonene som benyttes i fylkesnettet. Slik programvare er mest brukt på Windows PC-er. Arbeidsstasjoner som nettbrett har andre sikkerhetsmekanismer som gjør dem mindre sårbare for skadelig programvare. 3. Klientrettigheter Brukerne som benytter arbeidsstasjoner i fylkesnettet skal ikke benytte en bruker med administrasjonsrettigheter ved vanlig bruk. Man kan benytte en bruker uten administrative rettigheter der arbeidsstasjonen blir vedlikeholdt gjennom sentrale systemer. Alternativt kan man ha egne brukere som kun skal benyttes til installasjon av programvare, ikke til daglig bruk. Hvilken løsning man velger kommer an på brukerens behov. Enheter som nettbrett o.l. skal ha passord eller andre sikkerhetsmekanismer for å kunne installere programvare på disse. Mål: 4. Kryptering MRFK har ikke kryptering av disker på arbeidsstasjoner i dag (bortsett fra nettbrett med innebygd kryptering). Dette må på plass for å sikre data på arbeidsstasjoner, uavhengig om man konkluderer med at personopplysninger kan lagres lokalt på arbeidsstasjonen eller ikke. Kryptering av disker vil være en forutsetning for f.eks. å tilby trådløst administrasjonsnett Alle arbeidsstasjoner skal ha tilstrekkelig nettverkssikkerhet Alle arbeidsstasjoner skal ha tilstrekkelig antivirus Alle arbeidsstasjoner skal ha tilstrekkelig klientsikkerhet Alle arbeidsstasjoner skal ha kryptering på lokale lagringsmedium 5

6 Forenkling av autentisering Ett brukernavn og passord Det er en overordnet målsetting at alle brukere i MRFK skal kunne benytte ett brukernavn og passord for å autentisere seg mot IT-tjeneste. For at dette skal være mulig er det nødvendig å benytte en felles brukerkatalog med en unik bruker per ansatt i fylkeskommunen. For pedagogiske ansatte skal denne brukeren være FEIDE-brukeren. FEIDE-brukeren FEIDE-brukeren er i dag den primære brukerkontoen for autentisering mot eksterne pedagogiske ITtjenester på Internett. Dette gjelder IT-tjenester der tjenesteleverandør har FEIDE-godkjenning. Det samme brukernavnet og passordet ønskes brukt internt i MRFK for interne IT-tjenester (lokal bruker på arbeidsstasjon, epost, samhandlingsløsninger osv) SingleSignOn - SSO Det er også et mål å oppnå automatisk innlogging (SingleSignOn - SSO) for de IT-tjenestene som ansatte benytter. Unntaket vil være der man av sikkerhetsmessige årsaker ønsker å ha et ekstra brukernavn og passord. Alternativt kan man her tenke et høyere sikkerhetsnivå: Det er et mål at man etablerer en federering mellom lokalt autentiseringsdomene og FEIDE, slik at man oppnår SSO på tvers av disse autentiseringsdomenene. Dette kan bare oppnås gjennom et samarbeid med Uninett, som tilbyr FEIDE-tjenesten. Uninett tilbyr ikke dette i dag. Mål: Felles brukerkatalog og en unik bruker per ansatt SSO for alle relevante IT-tjenester, herunder å vurdere teknologi for SSO mot et større spekter av arbeidsstasjoner. SSO mellom interne IT-tjenester og FEIDE-tjenester 6

7 Målrettet informasjonsflyt MRFK har i dag en mengde informasjonskanaler innenfor pedagogisk nett. Lærere benytter epost, Fronter, intranett, epost, skolearena, chat, skolens hjemmesider osv. MRFK ønsker at alle ansatte skal benytte intranettet ( for den primære meldingsutvekslingen slik at alle ansatte har en kanal der informasjon til hver enkelt ansatt blir formidlet. Intranettet er personifisert på en slik måte at informasjonen blir tilpasset den delen av organisasjonen du tilhører. Intranettet skal derfor være relevant for hver enkelt ansatt. I tillegg til meldingsutveksling, skal intranettet gi de ansatte informasjon fra fagsystemene, f.eks. Visma Enterprise, ephorte, avvikssystemet osv. Automatisk innlogging på intranettet krever at arbeidsstasjonen er medlem av MRFK sitt AD domene. Dette krever at man må benytte en Windows PC eller en Apple Mac. Mål: Alle ansatte i fylkeskommunen, herunder pedagogisk ansatte, skal benytte intranett for informasjonsutveksling, både internt på enhetene og mellom enheter. Alle ansatte skal få automatisk innlogging på intranettet (SSO) på sin primære arbeidsstasjon. 7

8 Standardisering av applikasjonsportefølje En applikasjon for hver oppgave MRFK har en lang rekke applikasjoner som er i daglig bruk på arbeidsstasjonene. Det overordnede prinsippet skal være at man ha en klientapplikasjon for hver oppgave. En oppgave kan være «bildebehandling». Man skal ikke ha ulike applikasjoner for samme oppgave. Her vil det være visse unntak i forhold til «enkel bruk» og «avansert bruk». F.eks. vil det være brukere som benytter «Adobe Creative Cloud» for avansert designarbeid, mens en større gruppe vil ha bruk for en applikasjon for enklere bildebehandling. Hvis det er områder der vi benytter flere applikasjoner for den samme jobben, skal det settes ned en gruppe som har kompetanse innenfor området og som vurderer alternativer og finner den applikasjonen som er best egnet for MRFK. Drift av applikasjonsportefølje MRFK benytter i dag «System Center Configuration Manager» (SCCM) for distribusjon og vedlikehold av OS og applikasjoner på tykke klienter. Denne plattformen kan personifisere oppsett av applikasjoner for hver enkelt ansatt. Nye måter å tilby applikasjoner til arbeidsstasjoner MRFK bør vurdere andre plattformer for å tilby applikasjoner til ansatte. Dette kan være applikasjoner via f.eks. nettbrett, tynne klienter eller virtuelle arbeidsstasjoner. Man må også vurdere virtuelle applikasjoner, streaming av applikasjoner osv. IT-sjef anbefaler at det opprettes en arbeidsgruppe for å vurdere framtidsrettede klientstrategier. Denne gruppen bør ha en kjerne i klientdriftsteamet i MRFK. Mål: En klientapplikasjon for hver oppgave Utarbeide en klientstrategi for de neste årene i regi av klientgruppen 8

9 Standardisering av arbeidsstasjoner I MRFK skal man standardisere på arbeidsstasjoner slik at man oppnår en mest mulig rasjonell drift av disse enhetene. Vi ønsker bl.a. å gjøre større innkjøp av arbeidsstasjoner for å oppnå best mulig pris. Det er ikke et mål at man bare skal støtte en type arbeidsstasjon (bare tykke klienter, tynne klienter eller virtuelle klienter), men innenfor hver type arbeidsstasjon bør man så langt det er mulig standardisere på en teknologi. Når man her beskriver standardisering av arbeidsstasjoner, er dette knyttet til den primære arbeidsstasjonen som en ansatte skal benytte i sitt daglige arbeid som ansatt. Noen ansatte har behov for flere arbeidsstasjoner i forbindelse med arbeidet på visse studieretninger, f.eks. musikk, dans og drama, design og håndverk, medium og kommunikasjon, Elektrofag, IKT-servicefag m.fl. MRFK skal tilpasse behovene til disse medarbeiderne. Bring Your Own Device (BOYD)? Utviklingen innenfor arbeidsstasjoner går raskt og i mange organisasjoner går man i retning av mobile enheter og BOYD (Bring Your Own Device). Ved en BOYD-tankegang flyttes standardiseringen av arbeidsstasjonen til standardiserte IT-tjenestene som skal konsumeres av disse arbeidsstasjonene. Uavhengig av valget man gjør på arbeidsstasjonene, vil det være behov for å tenke plattformuavhengige tjenester. Samtidig vil en slik plattformuavhengig infrastruktur gjøre det vanskeligere å tilby sømløse innloggingsløsninger (SSO). Drift av tykke klienter MRFK benytter i dag «System Center Configuration Manager» (SCCM) for distribusjon og vedlikehold av OS på tykke klienter. Denne plattformen kan personifisere oppsett for hver enkelt ansatt. Vi benytter denne plattformen for tykke klienter. En dreining mot andre typer klienter som nettbrett, mobile enheter og virtuelle klienter og applikasjoner, kan kreve et behov for å se på alternative/tilleggsløsninger til SCCM. IT-sjef anbefaler at det opprettes en arbeidsgruppe for å vurdere framtidsrettede klientstrategier. Denne gruppen bør ha en kjerne i klientdriftsteamet i MRFK. Typer arbeidsstasjoner Eksempler på arbeidsstasjoner kan være: Bærbare og stasjonære Windows PC-er Stasjonære og bærbare Mac-er Virtuelle klienter Nettbrett Mobiltelefoner Status juli 2013 for standardisering i MRFK er: For bærbare Windows PC-er standardiserer MRFK på Lenovo ThinkPad (2013/2014) For stasjonære PC-er standardiserer MRFK på tynne klienter med WyseOS. For brukere med større krav til arbeidsstasjoner med lokal prosessorkraft og lagring (CAD og design), standardiserer MRFK på Lenovo ThinkCentre. Apple standardiserer seg selv for Mac 9

10 For nettbrett har sentraladministrasjonen standardisert på Apple ipad. Her er det ikke gjort en vurdering av behovet i hele fylkeskommunen. Vi yter begrenset support på andre nettbrett enn ipad for øyeblikket. MRFK har ikke tatt stilling til standardisering av virtuelle klienter. Mål: Opprette en arbeidsgruppe som utarbeider en framtidsrettet klientstrategi 10

11 Nettverk på skolene MRFK ønsker å tilby IT-tjenester til de pedagogiske ansatte og elever på skolene. For å skille tjenester for ansatte og elever, er det nødvendig å splitte elevnett og lærernett på skolene. Det er ulike modeller for dette i dag, der noen har både elever og lærere på elevnettet, mens andre har elever i elevnett og lærere i pedagogisk nett. Andre igjen har elever i elevnett og lærere på adminnettet. Vi ønsker at vi har en standardisert struktur for dette og at IT-tjenestene plasseres på samme sted på alle skolene. Nettverksgruppen i MRFK bør utforme nettverksdesignet på dette, med utgangspunkt i de IT-tjenestene man ønsker å tilby de pedagogiske ansatte. Behovene for sikkerhet og behovet for IT-tjenester for de ulike brukergruppene skal være grunnlaget for dette designet. Elevnettet Det «subnettet» som benyttes for elever er å regne som et «åpent nett». Her benyttes ulike enheter som er styrt fullt og helt av eleven (BYOD). Vi stiller noen krav til antivirus og at arbeidsstasjonen skal være oppdatert, men ellers har vi ingen kontroll på disse enhetene. Det gis stort sett tilgang til «elevnettet» gjennom trådløs forbindelse. Gjestenett Gjester bruker stort sett elevnettverket i dag. Det må vurderes om man skal skille på elevnett og gjestenett. Fylkeskommunene er nå gitt tilgang til å koble seg til «eduroam» (« et nettverk som er laget for å gi trådløs internettaksess til personer innenfor utdanningssektoren. MRFK bør knytte seg til dette nettverket og gi brukere i utdanningssektoren tilgang til dette «gjestenettet». Om man her skal gi tilgang til elevnettet eller et eget gjestenett kommer an på designet man kommer fram til. Lærernettet Alle pedagogisk ansatte skal bruke et annet «subnett» enn elevene i forbindelse med daglig arbeid ute i klasserommet. Grunnen til dette er at man ønsker en høyere sikkerhet på dette nettverket, utvidet tilgang til internettjenester, samt at man ønsker å tilby andre IT-tjenester til denne gruppen ansatte. Et alternativ er å legge stasjonære arbeidsstasjoner på adminnettet og kun bruke mobile arbeidsstasjoner som ikke skal brukes til arbeid med personopplysninger. Adminnettet Alle administrative ansatte benytter adminnettet på skolene. Dette nettverket har tilgang til kritiske IT-tjenester på administrativt nett og skal ikke være tilgjengelig for elever. Det er et behov for å tilby en sikker trådløs tilgang for administrasjonsnettet. Videokonferanse Nettverk for videokonferanse IP-telefoni Nettverk for IP-telefoni «Isolerte» nettverk Noen skoler har studieretninger som har behov for «isolerte nettverk» for å teste ut nettverksutstyr, servere, klienter osv. Dette behovet må inn i nettverksdesignet. 11

12 Mål: Utarbeide standardisert nettverksdesign som gjelder alle skolene. Dette designet skal gjelde både for ansatte og elever. 12

13 Behov for IT-tjenester på «pedagogisk nett» Det «pedagogiske nettet» består i dag av ansatte og elever på de videregående skolene. Skolene har ulike behov og er organisert forskjellig. Det vil derfor være forskjellige behov blant de ulike skolene og innenfor hver enkelt skole. Gjennom to pilotskoler (Romsdal og Ulstein vgs) har vi fått et godt innblikk i hvilke behov for IT-tjenester som finnes på de videregående skolene. I dette dokumentet er det kun IT-tjenestene for ansatte som er adressert. Vi har i dag en del tjenester som er etablert og som vi fortsatt skal benyttes av de pedagogisk ansatte på de videregående skolene, f.eks. avvikssystem, intranett, elæringsportal, netctrl osv. Disse ITtjenestene skal videreføres. Tjeneste for utskrift (print) Selv om man jobber mot et «papirløst samfunn», vil det også i framtiden være behov for utskriftstjenester på skolene. Både elever og lærere har behov for utskriftstjenester Noen grupper har behov for «spesialutskrift» (stort format, farge osv), spesielt i forbindelse med utdanningsprogram som design og håndverk og medium og kommunikasjon. Noen ansatte har behov for «sikker utskrift», i de tilfeller der papirutskrifter ikke kan komme på avveie. Dette behovet er størst på administrativt nett. Tjeneste for lagring Alle ansatte har behov for å lagre dokumenter og annet arbeid på et område som er sikkert (blir tatt backup av og som har tilgangskontroll). Tradisjonelt sett er det brukt «filservere» som knyttes opp til en arbeidsstasjon ved innlogging. Her har det typisk vært et personlig område (hjemmeområde) og et fellesområde (gruppeområde innenfor sin enhet, seksjon eller avdeling). Stort sett har disse lagringsområdene vært tilgjengelig innenfor et definert nettverk (adminnett eller elevnett). Disse løsningene har også i stor grad vært begrenset til Windows PC-er. Utviklingen går nå mot at ansatte benytter mobile enheter i større grad. Man har derfor behov for å nå disse lagringsområdene fra ulike nettverk, både innenfor og utenfor fylkesnettet, samtidig vil tradisjonelle PC-er være i systemet i lang tid framover. En lagringsløsning for framtiden må derfor ta høyde for utstrakt bruk av mobile enheter som nettbrett og mobiltelefoner, samt ulike plattformer som Windows, Mac, ios, Android, Linux osv. Tjeneste for oppsett av arbeidsstasjoner Det er et behov for tjeneste som administrerer oppsett på arbeidsstasjonene. Dette vil gjelde utrulling av OS og applikasjoner, samt oppsett og av operativsystem med bl.a. skrivebord, nettlesere med bokmerker, sikkerhetsinnstillinger, oppsett av enheter og skrivere osv. Backup av oppsett er også et vesentlig moment. På Windows PC-er gjør man i dag dette via System Center Configuration Manager (SCCM), «group policyer» fra Active Directory. Nettbrett kan administreres med MDMløsninger og Mac har også administrative løsninger for felles oppsett av slike arbeidsstasjoner. BYOD-tankegangen minsker behovet for slike løsninger, men overlater da ansvaret til hver enkelt ansatt. 13

14 Tjeneste for autentisering og autorisasjon De pedagogiske ansatte på skole har behov for en felles tjeneste for å autentisere brukeren ved innlogging på arbeidsstasjon og videre behandle autorisasjoner mot andre IT-tjenester. For å tilrettelegge disse IT-tjenestene, vil det være en kritisk faktor at man kan tilby disse IT-tjenestene uten ytterligere innlogging (SSO). Alle ansatte bortsett fra de pedagogiske ansatte tilbyr denne tjenesten via Active Directory (AD) og medlemskap i INTERN-domenet. Denne tjenesten kan tilbys til Windows og Mac arbeidsstasjoner, men ikke nettbrett og mobiltelefoner (per i dag). Tjeneste for tilgang til arbeidsstasjoner for test De pedagogiske ansatte på skole har behov for ekstra arbeidsstasjoner (PC-er) for å teste ut pedagogisk programvare, lage veiledninger for sine elever, prøve ut nye applikasjoner osv. De trenger derfor en eller flere fleksible arbeidsstasjoner som kan brukes til dette formålet. Her er det naturlig å tenke en virtuell infrastruktur. Tjeneste for lisenshåndtering (lisensservere) Selv om flere og flere applikasjoner lisensieres ved å kontakte servere i skyen (servere som driftes av leverandørene av applikasjonen og som nås via Internett), så vil det fortsatt være behov for lisensservere for skoler som bruker slik programvare. Dette vil være spesialiserte programmer som benyttes innenfor visse utdanningsprogram. Her bør MRFK se på behovet for lisenser innenfor hele fylkeskommunen. I en del tilfeller vil det være mulig å dele på slike kostbare lisenser på tvers av skoler. Tjeneste for trådløst gjestenett Skolene har behov for en tjeneste som tilbyr trådløst nett til gjester. Her bør man tilby trådløst nettverk via «eduroam» i tillegg til en tjeneste for gjester som ikke kommer fra utdanningssektoren. Tjeneste for behandling av IOP-er Lærere har behov for å utarbeide individuelle opplæringsplaner (IOP-er) for sine elever. Selv om det ikke alltid er nødvendig at disse inneholder sensitive personopplysninger (f.eks. informasjon om elevens helse), vil det være tilfeller der dette ligger som en del av IOP-en. Slike data må derfor håndteres på en forsvarlig måte ut ifra at de kan inneholde personopplysninger. Behandling av IOP-er vil ha betydning for hvordan man håndterer sikkerheten på arbeidsstasjonene. Det bør derfor etableres en tjeneste som sikrer en tilfredsstillende kombinasjon av brukervennlighet og sikkerhet ved behandling av slike planer. IT-sjef anbefaler at det etableres en arbeidsgruppe som ser på behandling av IOP-er og andre personopplysninger om elever. (Desember 2013: Nytt skoleadministrativt system (SAS) skal ha en modul for behandling av IOP-er. Man må vurdere om det skal gjøres noen tiltak før nytt SAS er på plass) Tjeneste for å kontrollere tilgang til Internett fra fylkesnettet Her har MRFK etablert en tjeneste, NetCtrl som skal benyttes til formålet. Mål: 14

15 Minimere behovet for utskrift på papir. Etablere en arbeidsgruppe som ser på lagringsløsninger for arbeidsstasjoner. Etablere en arbeidsgruppe som ser på behandling av IOP-er og andre personopplysninger på pedagogisk nett. Etablere en løsning for å tilby trådløst nettverk for gjester 15

16 Tiltaksliste Opprette arbeidsgrupper: Arbeidsgruppe for å lage et standardisert nettverksdesign for kablet og trådløst nett for pedagogisk nett (lærere og elever) Arbeidsgruppe for å utarbeide framtidsrettede lagringsløsninger for klient PC-er (etter et gitt mandat og tidsfrist) Arbeidsgruppe for å utarbeide en framtidsrettet klientstrategi (etter et gitt mandat og tidsfrist) Arbeidsgruppe for å finne løsning på behandling av IOP-er og andre personopplysninger på pedagogisk nett. Teknologi: Alle arbeidsstasjoner skal ha kryptering på lokale lagringsmedium SSO for alle relevante IT-tjenester, herunder å vurdere teknologi for SSO mot et større spekter av arbeidsstasjoner. SSO mellom interne IT-tjenester og FEIDE-tjenester Alle ansatte i fylkeskommunen, herunder pedagogisk ansatte, skal benytte intranett for informasjonsutveksling, både internt på enhetene og mellom enheter. Alle ansatte skal få automatisk innlogging på intranettet (SSO) på sin primære arbeidsstasjon. En klientapplikasjon for hver oppgave Minimere behovet for utskrift på papir. Etablere en løsning for å tilby trådløst nettverk for gjester 16