Hva kan vi lære av den siste tidens «outsourcings-skandaler»?

Transkript

1 Hva kan vi lære av den siste tidens «outsourcings-skandaler»? Torgeir Waterhouse Direktør Internet & New 1 eller fra GDPR til virkelighet? Torgeir Waterhouse Direktør Internet & New Media 2

2 spørsmålet er vel: hvorfor er vi her? 3 4

3 problemer? 5 opplagt! 6

4 men hvilke? 7 By BjørnN [Public domain], via Wikimedia Commons 8

5 By Koyos (Own work by uploader, made with NASA World Wind.) [Public domain], via Wikimedia Commons 9 By Blank map of Europe.svg: maix? Further European Union Enlargement2.png: JLogan Derivative work: JCRules [CC BY-SA 3.0 ( via Wikimedia Commons 10

6 By Koenb at Dutch Wikipedia (Original text: productie van de afbeelding uit het.shp-bestand: Koenb) [Public domain], via Wikimedia Commons 11 Hva kan vi* lære av den siste tidens «outsourcings-skandaler»? Torgeir Waterhouse Direktør Internet & New *og hvem er vi? 12

7 Photo by UrbanGrammar on Foter.com / CC BY-NC-SA 13 kompetanse vs vurderinger? kan vi lære? 14

8 ledelse vs fag? kan vi lære? 15 regler vs handling? kan vi lære? 16

9 avtale vs handling? kan vi lære? 17 backup vs restore? kan vi lære? 18

10 diskusjonen vi har vs bør ha? kan vi lære? 19 fagforeninger vs agenda? kan vi lære? 20

11 outsourcing vs at home? kan vi lære? 21 rett kompetanse vs nok kompetanse? kan vi lære? 22

12 tolkning: er antagelig ikke noe i veien for at sykehusene setter ut oppdrag slik de ønsker, men det må gjøres riktig, og vi må forstå hvordan risikoene varierer kan vi lære? 23 mediedekning vs agenda? kan vi lære? 24

13 MASSE MEDIEOPPSLAG SOM SKREMMER! 25 tilgang til 2.8 millioner nordmenns helseopplysninger NRK Dagsnytt

14 vs hvis vi leter lenge, virkelig lenge? 27 forstår vi* den tekniske gjelden? *og hvem er vi? 28

15 forstår vi* outsourcing? hva outsourcing egentlig er? *og hvem er vi? 29 forstår vi* teknologien? *og hvem er vi? 30

16 forstår vi* konsekvensene av teknologien? *og hvem er vi? 31 forstår vi* brukerene? *og hvem er vi? 32

17 technology is easy, people and their feelings are hard Patient fjernkontroll 34

18 vs åpningstider/tilgjengelighet 35 vs dataintegritet 36

19 vs kompetanse 37 vs kapasitet som vi bruker til hva? 38

20 vs økonomi som vi bruker til hva? 39 vs mer, mye mer 40

21 41 ikke har etterlevd sitt sikkerhetsansvar, ved å unnlate å gjennomføre og dokumentere sikkerhetsanalyser og sikkerhetstiltak og ved bevisst å ha avveket fra sikkerhetslovgivningen HELHETLIG IKT-RISIKOBILDE : 42

22 European Union 43 Council of Europe 44

23 OSCE 45 UN Security Council 46

24 47 NATO 48

25 Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, the controller and the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk Art. 32 GDPR - Security of processing 49 fordi Bulgaria og Norge er forskjellige! 50

26 heller ikke sikkerhetsloven gir automagi, 51 men påvirker bla hvem som kan bruke data 52

27 Mangelfulle rutiner eller svak oppfølging sikkerhet følges ikke opp systematisk. HELHETLIG IKT-RISIKOBILDE : 53 Få virksomheter synes å registrere og rapportere sikkerhetstruende hendelser, kompromittering av skjermingsverdig informasjon og grove sikkerhetsbrudd. HELHETLIG IKT-RISIKOBILDE : 54

28 hva da sikkerhet? 55 sikre nettverk(?) 56

29 nasjonal sikkerhet? 57 informasjonssikkerhet? 58

30 leveransesikkerhet? 59 sikker tilgang til data? 60

31 sikkert ytre skall? 61 sikkerhet in-house? 62

32 sikker beredskap? 63 sikre brukere? 64

33 sikkerhetskunnskap? etc

34

35

36 Sårbarheter finnes i nær sagt alle virksomheter, systemer og infrastrukturer, både av teknisk, organisatorisk og menneskelig art. HELHETLIG IKT-RISIKOBILDE : 71 NSM ser et økende gap mellom behov for og tilgjengelighet av sikkerhetskompetanse, noe som utgjør en nasjonal sårbarhet. 72

37 Tjenesteutsetting av IKT-tjenester til profesjonelle aktører kan bøte på denne utfordringen og bidra til bedre sikring av virksomheters nettverk og verdier Tjenesteutsetting, inkludert skytjenester, krever gode risikovurderinger og høy bestillerkompetanse innenfor en rekke områder. 74

38 NSM anbefaler likevel bruk av denne typen tjenester, forutsatt at det gjøres en grundig risikovurdering 75 sikkerhet: data 76

39 sikkerhet: database 77 sikkerhet: fagsystem 78

40 sikkerhet: hardware 79 sikkerhet: nettverk 80

41 sikkerhet: drift 81 Prediction: Through 2020, 99% of vulnerabilities exploited will continue to be ones known by security and IT professionals for at least one year. 82

42 Prediction: By 2020, a third of successful attacks experienced by enterprises will be on their shadow IT resources sikkerhet: bruk 84

43 the typical firm has on the order of 15 to 22 times more cloud applications running in the workplace than have been authorized by the IT department når diskuterer vi: følelser? 86

44 når diskuterer vi: politikk? 87 når diskuterer vi: patriotisme? 88

45 når diskuterer vi: arbeidsplasser? 89 når diskuterer vi: kommunikasjon? 90

46 når diskuterer vi: kvalitet? 91 når diskuterer vi: sikkerhet? 92

47 når diskuterer vi: personlige agendaer? 93 når diskuterer vi: liv og helse? 94

48 er å drifte selv lik drift uten eksterne? 95 er anskaffelse lik-ish om drift er intern eller ekstern? 96

49 og hva med utredning, prosjekt, opplæring, drift, oppfølging, kontroll, videre utvikling, etc 97 også om egne ansatte gjør jobben in-house 98

50 aldri helt sikker, alltid en risikoprofil 99 nesten uansett model: er det samme(ish) type risiko & samme(ish) type behov for tiltak? 100

51 Hva kan vi* lære av den siste tidens «outsourcings-skandaler»? *og hvem er vi? 101 ledelsesansvar & vurderinger på rett nivå 102

52 hvilken ledelse & hvilket org.ledd* *feks helseregion vs sykehus 103 dokumentasjon av alle elementer 104

53 oppfølging av alle elementer 105 kontroll på alle elementer 106

54 privacy by design 107 security by design 108

55 påstand: dette er vi* ikke gode nok på, hverken innenfor eller utfor det norske huset, selvfølgelig med noen (altfor få) unntak Torgeir Waterhouse Direktør internett og nye *og hvem er vi? 109