Revisjonsnotat høsten 2014

Transkript

1 Revisjonsnotat høsten Bakgrunn Referansekatalog for IT-standarder i offentlig sektor er en liste over anbefalte og obligatoriske tverrsektorielle krav til bruk av IT-standarder i offentlig sektor. Den inneholder krav til bruk av tekniske, semantiske og organisasjonelle IT-standarder. Referansekatalogen samler obligatoriske krav om bruk av IT-standarder fra flere forskrifter i tillegg til anbefalinger om bruk av standarder fra Difi. Referansekatalogen er etablert for å sikre god samhandling i offentlig sektor, hindre bindinger til enkelt leverandører og teknologier, sikre tilgang til offentlig informasjon og tjenester uavhengig av programvare og programvareplattform og for å bidra til god konkurranse i IT-markedet. De obligatoriske kravene er vedtatt i forskrifts form av Kongen i statsråd, mens de anbefalte kravene er vedtatt av Difi. Det er ofte lurt å se anbefalinger og obligatoriske krav i sammenheng når man skal lage nye løsninger, og det anbefales derfor å benytte referansekatalogen som kilde (referansekatalogen finner du her). Difi er ansvarlig fagorgan som skal ta frem et tilstrekkelig beslutningsunderlag, forankre underlaget i Standardiseringsrådet og gjennomføre en åpen høring av forslagene til anbefalte og obligatoriske ITstandarder før de eventuelt blir vedtatt. Standardiseringsrådet er et bredt sammensatt råd, bestående av medlemmer fra ulike offentlige virksomheter. Rådet leverer forslag til Difi om justeringer i forskrift/referansekatalog. Justeringene kan være forslag til nytt innhold eller justering av eksisterende innhold i forskrift/referansekatalog. Alle utredninger Difi eller andre gjør på standardiseringsområdet behandles i rådet for å sikre faglig kvalitet, forankring av vurderingene og validering av standardenes relevans i forhold til offentlige virksomheters behov. Et godt fungerende Standardiseringsråd er en forutsetning for at Difi skal kunne ivareta sitt fagansvar på standardiseringsområdet. Når det gjelder forslag til revisjon av anvendelsesområder, kan de komme via forslagsskjema på nettet, som hvem som helst kan fylle ut og sende inn. I tillegg har Difi en årlig gjennomgang av eksisterende krav for å vurdere behovet for revisjon. I revisjonsgjennomgangen vurderes følgende: Har det kommet nye versjoner av standardene som bør vurderes? Har det kommet nye standarder på anvendelsesområdene som bør vurderes? Har det kommet ny teknologi på områdene som fører til behov for alternative standarder? Er det endrede behov i offentlige virksomheter, som får følger for gjeldende anbefalinger? På bakgrunn av revisjonsvurderingen kan mindre justeringer anbefales direkte fordi justeringene er små og uten økonomiske følger for berørte offentlige virksomheter. På noen områder kreves derimot større vurderinger igangsatt, og da blir det åpnet nye saker for vurdering av disse endringene.

2 Det må vurderes for hvert enkelt identifisert revisjonsbehov om behovene er så viktige at de skal prioriteres utredet uavhengig av andre forslag om nytt innhold i hver enkelt standard, eller om de skal vurderes på lik linje som de andre forslagene i prioriteringsprosessen. Revisjonsbehov knyttet til nytt innhold i referansekatalogen blir behandlet i et eget prioriteringsnotat. Mindre viktige revisjonsforslag identifisert i dette notatet, vil gå inn i prioriteringsprosessen. Det er helt avgjørende å holde referansekatalogen og Forskrift om ITstandarder i offentlig sektor oppdatert, og nødvendig arbeid for å gjøre det vil bli prioritert foran alt annet. Dette notatet er den årlige gjennomgangen av de anvendelsesområder som er inkludert i forskrift om IT-standarder eller referansekatalogen per september Revisjonsbehov for standarder og anvendelsesområder Arkiv - venter avklaring arkivverket Alle standardene under anvendelsesområdet er lovhjemlet gjennom arkivloven med forskrifter. Forskrift om offentlege arkiv samt forskrift om utfyllende tekniske og arkivfaglige bestemmelser om behandling av offentlige arkiver (Riksarkivarens forskrift) kapittel IX stiller krav om at offentlig forvaltning skal bruke Noark-baserte løsninger ved elektronisk arkivering av saksdokumenter, mens de andre inngår i Riksarkivarens forskrift kapittel VIII. Riksarkivarens forskrift ble sist endret i 2008, og i 3. versjon av referansekatalogen ble alle standarder fra forskriften inkludert. Forvaltning av anvendelsesområdet Arkiv anses ivaretatt av Arkivverket. Det er behov for revisjon på området, og Arkivverket har startet en revisjonsgjennomgang for å utrede dette nærmere. Begrepsanalyse og definisjonsarbeid Det er ingen nye versjoner eller nye standarder som tilsier et behov for revisjon. Det er heller ikke noen ny teknologi eller nye behov som tilsier behov for revisjon på området. Det er ikke kommet inn revisjonsforslag. Standarden er forholdsvis ny, og den vil nok måtte revideres forholdsvis fort, men det er nødvendig med noe mer erfaringshøsting på dagens versjon før en eventuell justering gjennomføres. Bruk av PKI med og i offentlig sektor (sikkerhet) Siste versjon av kravspesifikasjon for PKI i offentlig sektor, v 2.0 fra 2010, ble tatt inn i referansekatalogens v 3.0. Det har ikke kommet nye versjoner etter denne. I henhold til forvaltningsregime for kravspesifikasjonen skulle den nå gjennomgått en ny revisjon. Forordning for ny eid i Europa ble vedtatt i juli Den slår fast at det skal fastsettes et europeisk interoperabilitetsrammeverk med tre tillitsnivåer. Fristen for dette rammeverket er september Difi deltar i arbeidet med utforming av rammeverket, og revisjon av det norske rammeverket vil måtte ta inn over seg resultatene av det europeiske arbeidet. På bakgrunn av dette avventer Difi revisjon av kravspesifikasjon for PKI i offentlig sektor. Dagens rammeverk for autentisering og uavviselighet, viser til kravspesifikasjonen som en del av sin spesifisering av sikkerhetsnivå 4. Revisjon av kravspesifikasjon for PKI i offentlig sektor vil derfor bli gjennomført i sammenheng med en gjennomgang av rammeverket for autentisering og uavviselighet.

3 Det er behov for å revidere bruksområdet, men dette må avvente EU arbeidet. Ebøker Det er ingen nye versjoner eller nye standarder som tilsier et behov for revisjon. Det er heller ikke noen ny teknologi eller nye behov som tilsier behov for revisjon på området. Det er derimot en voksende utbredelse av dagens format. Noe som styrker dagens valg av standard på området, og gjør det aktuelt å vurdere utvidelser av standardens bruksområder over tid. Difi mener det ikke er behov for revisjon på dette bruksområdet. Standarder for kreditnota og e-faktura I 2013 ble det utredet flere nye standarder på området. Utover disse er det ikke identifisert nye versjoner eller nye standarder på området. Det er heller ikke kommet ny teknologi eller nye behov som setter krav til revisjon på området. Det vil bli vurdert om de nye standardene på området skal forbli anbefalte standarder eller om kravene bør styrkes til å være obligatoriske. I tillegg gjennomførte Difi i 2013 en revisjon av Elektronisk handelsformat (EHF), faktura og kreditnota. EHF er en norsk oversettelse og tilpasning av CEN BII CWA 16073:2010 og PEPPOL BIS. EHF ble endret fra versjon 1.6 til 2.0. EHF 2.0 og PEPPOL BIS 2.0 er kompatible med hverandre. EU skal til med et standardiseringsarbeid for å revidere CEN BII CWA og gjøre den til en standard. En slik revisjon vil kreve en oppdatering også av EHF standarden, men dette ligger foreløpig et godt stykke frem i tid. Difi mener det derfor ikke foreligger noe behov for revisjon av EHF standarden for øyeblikket. Grunnleggende datakommunikasjon Grunnleggende datakommunikasjonskravene var de eneste som ble videreført når man hadde en gjennomgang av NOSIP og avviklet den. Det ble fremhevet i Standardiseringsrådet at kravene i NOSIP var mangelfulle og at de med fordel kunne vært gjenstand for en gjennomgang. I tillegg ble det diskutert at FTP ikke kan benyttes uten ytterligere sikkerhetstiltak og at man burde være forsiktig med å peke på den alene. Siden den gang har nå http/2 blitt utviklet og er snart klar for å ta over etter http/1.1. Det har også kommet flere innspill på at et anbefalt krav om dual stack IPv4 og IPv6 ikke er sterkt nok og at dette må styrkes til å bli et obligatorisk krav. Når det gjelder TCP og UDP så har de gjennomgått mindre justeringer, men det har kommet en rekke utvidelser i årenes løp som er viktig å vurdere. Difi mener derfor at det er på tide å ta en nærmere titt på området, og ikke bare gjøre en revisjon av de krav som ligger der, men ta en full gjennomgang. Innbyggerskjema og næringslivsskjema på offentlige nettsider Referansekatalogen peker på Elmer 2.1 for både innbygger og næringslivsskjema. I ettertid har Brønnøysundregistrene utviklet Elmer 3. Denne versjonen skal sørge for å håndtere utfordringer som har kommet på grunn av nye teknologier som nye typer skjermer og nye former for elektronisk dialog som er mindre skjemabasert. En revisjon av Elmer 3 bør gjennomføres.

4 Publisering av multimediainnhold Våren 2013 ble det gjennomført en større revisjon av multimediaformater. Det var den gang noen nye video formater på gang, H265 og VP9, for publisering av multimediainnhold. De var derimot for umodne. Nå har det gått ett år og standardene er ferdig og bruken av dem er i gang. Første versjon av H.265 ble ferdig rett etter vår revisjon våren 2013, og har senere kommet i andre del-versjon med blant annet en rekke utvidelser. VP9 har også tatt over etter VP8 og tilbyr veldig god kvalitet blant annet på mobiltelefoner med visse begrensninger. I høringen fikk Difi tilbakemelding om at man burde ta opp igjen vurderingen av formatene H.265 og VP9. Dette blir særs viktig når HTML5 blir ferdigstilt, da disse formatene er støttet av videotaggen i HTML5. Det er behov for å revidere standarder på multimediaområder, men vi kan avgrense det til å gjelde videoformatene. Publisering av tekstdokumenter og utveksling av tekstdokumenter som e- postvedlegg. Det ble i 2013 gjennomført en revisjon av anvendelsesområdene publisering og utveksling av tekstdokumenter. Konklusjonen fra den gang var på høring i sommer. Høringsinstansene var enig i at HTML bør gjøres til en forvaltningstandard, men ikkje før den blir vedtatt. Det er ingen behov for revisjon på området med mindre HTML5 blir vedtatt. Det er ikke behov for ytterligere utredninger når HTML 5 blir vedtatt, da kan den legges inn direkte i neste versjon av forskriften. Det er ikke behov for revisjon på bruksområdet utover å vedta HTML 5 som en forvaltningsstandard, når HTML 5 blir godkjent av W3C. Sikker elektronisk kommunikasjon i helsesektoren EbXML-rammeverket fra KITH ble revidert i Per dags dato er tilbakemeldingen fra Helsedirektoratet at det begynner å komme enkelte alternativer til ebxml, men disse er ikke aktuelle å vurdere som standarder for sikker elektronisk kommunikasjon i helsesektoren nå. Det er ikke behov for revisjon av bruksområdet. Sikre kommunikasjonskanaler Det har ikke kommet noen nye versjoner av eksisterende internasjonale standarder eller nye internasjonale standarder på bruksområdet, det har heller ikke kommet ny teknologi eller nye behov som tilsier at kravene på området må revideres. Det er ikke behov for revisjon av bruksområdet. Standardavtaler i offentlig sektor Statens standardavtaler er anbefalt for offentlig sektor der disse egner seg. Det er ingen andre sett av avtaler eller endrede behov som tilsier at det er nødvendig å revidere kravene på dette området. Standardene i seg selv er under revisjon i Difi. Det nye settet avtaler er forventet å komme i Difi utreder disse iht. offentlige virksomheters og leverandørenes behov, og det er ikke nødvendig med ytterligere utredninger når det nye settet med standarder er ferdig. Der er behov for å revidere bruksområdet.

5 Styringssystem for informasjonssikkerhet ISO og ISO ble i 2013 vedtatt i ny revisjon, og anvendelsesområdet «Styringssystem for informasjonssikkerhet» ble oppdatert med disse standardene i Det er ikke behov for revisjon av anvendelsesområdet. Tegnsett ved utveksling av informasjon og internt i fagsystemer Det har ikke kommet noen nye versjoner eller standarder på området, det har heller ikke kommet ny teknologi eller nye behov som tilsier at kravene på området må revideres. Det ble ved innføring av kravet om bruk av tegnsett ved utveksling sagt at avgrensningen skulle være midlertidig, og at man skulle utvide krave til å gjelde alle tegn over tid. Difi er i ferd med å gjennomføre en utredning som omhandler representasjon av navn og håndtering av tegn. De utredningene som gjennomføres i den sammenheng vil dekke dette behovet. Det er ikke behov for revisjon utover de utredningene som er planlagt i forbindelse med representasjon av navn og håndtering av tegn. Tilgjengelighet på nettsider Det har ikke kommer noen nye versjoner eller standarder på bruksområdet, det har heller ikke kommet ny teknologi eller nye behov som tilsier at kravene på området må revideres. Det er derimot identifisert en del nye standarder, som kan legges til etter hvert som de blir prioritert. Det er ikke behov for revisjon på bruksområdet. Videokonferanser Det har ikke kommet noen nye versjoner eller standarder på området, det har heller ikke kommet ny teknologi eller nye behov som tilsier at kravene på området må revideres. Det er ikke behov for revisjon på bruksområdet. Konklusjon revisjonsbehov Difi har gjort en vurdering av de krav som ligger i dagens referansekatalog og funnet behov for følgende revisjoner: - Det er behov for å revidere de standarder man peker på for arkivering. - Det er behov for å revidere PKI-området, men dette bør avvente EU arbeidet. - Difi mener derfor at det er på tide å ta en nærmere titt på grunnleggende datakommunikasjonsområdet, og ikke bare gjøre en revisjon av de krav som ligger der, men ta en full gjennomgang. - En revisjon av Elmer 3 bør gjennomføres. - Det er ikke behov for revisjon på bruksområdet, publisering på offentlige nettsider. Utover å vedta HTML 5 som en forvaltningsstandard, når HTML 5 blir godkjent av W3C. - Det er behov for å revidere bruksområdet Statens standardavtaler. Difi mener at en revisjonsvurdering av Elmer 3 og HTML bør gjennomføres i Når det gjelder de resterende oppgavene kan disse vente i noe tid fremover og utføres i 2016