Om fem år er hele NAV i skyen 18. juni 2019 // Petter Hafskjold, sjefarkitekt IT
Bakgrunn Innovasjon Sikkerhet Fleksibilitet og skalerbarhet Kostnadseffektivt 2
Bakgrunn Skytjenester har funksjonalitet og innovasjonstakt som langt overgår hva NAV selv kan levere Standardløsninger leveres i større og større grad som skytjenester og leverandørene prioriterer skytjenester foran programvare som installeres hos kundene Plattform- og infrastrukturtjenester leveres som skytjenester i stor skala og til lav kostnad Sikkerhet er kritisk for skyleverandørene og de bruker mye ressurser på dette Strategi for offentlig sektor og i NAV tilsier skytjenester 3
Målbilde Løsninger underlagt sikkerhetslov Egenutviklede løsninger Standard løsning Standard løsning Standard løsning PaaS Nasjonal sky PaaS SaaS SaaS SaaS Allmenn sky Sikkerhetsloven vil stille krav om at noen av NAVs systemer må være plassert i Norge, men det antas at det kun vil gjelde noen få systemer.
Overgangsarkitektur NAV Arena Infotrygd OS/UR Ditt NAV Pesys Nye systemer Nye standardløsninger Aura NAIS SaaS Legacy Skya PaaS Egen infrastruktur IaaS
Sikkerhet og skytjenester NOU 2015:13 Digital sårbarhet sikkert samfunn Nasjonal strategi for bruk av skytenester «Tjenesteutsetting av IKT-tjenester til profesjonelle aktører kan gi bedre sikkerhet og mer stabile og tilgjengelige tjenester. Tilgang til ekspertkompetanse og verktøy man ikke selv besitter kan bedres, kostnader kan bli lavere og mer forutsigbare og det kan i større grad bidra til bedre fokus på virksomhetens kjerneaktivitet. Samtidig må virksomheter være bevisst hvilken risiko en tjenesteutsetting medfører. Tilsvarende eller høyere nivå på Målet både er tjenestekvalitet at dette skal gi: og IKTsikkerhet bør være meir en kostnadseffektiv målsetning ved IKT tjenesteutsetting» auka merksemd på kjerneverksemda auka fleksibilitet betre tryggleik gjennom meir profesjonalisert og standardisert IKT lågare terskel for innovasjon og nyetablering redusert klimaavtrykk frå IKT-drift Sikkerhetsfaglige anbefalinger ved tjenesteutsetting, NSM 2018 Meld.St. 38 IKT-sikkerhet Et felles ansvar Sikkerhet kan også være en driver for tjenesteutsetting, særlig med fremveksten av skytjenester fra store, anerkjente IT-selskaper. Gitt at virksomheten har vurdert risiko og gjennomført tiltak for å bøte på risiko, vil tilgangen til store, profesjonelle sikkerhetsmiljø hos driftsleverandøren erfaringsmessig gi bedre sikkerhet, fordi kompetansen er større, sikringstiltakene er flere, og tjenester og løsninger i bruk er oppdatert til siste versjoner Selv om utkontraktering og bruk av skytjenester kan bidra til økt teknisk IKT-sikkerhet, fritas ikke virksomheten for IKTsikkerhetsansvaret og -arbeidet.
Modell fra NOU 2015:13 Skytjenester er standardiserte Standard avtaler og vilkår «Take it or leave it security»
Personvern, informasjonssikkerhet og IT-sikkerhet Sky er sikkert De store skyleverandørene har betydelig kapasitet og kompetanse innen IT-sikkerhet Skyleverandørene leverer omfattende sikkerhetsfunksjonalitet og har omfattende sikkerhetsovervåkning NAV må ha tilstrekkelig kompetanse og ta i bruk skytjenester kontrollert Kompleksiteten øker og det er stadig nye trusler NAV må forstå (og dokumentere) hvordan sikkerheten ivaretas hos våre skyleverandører, hvordan egenutviklede løsninger kan leveres med nødvendig sikkerhet og hvordan den totale sikkerheten ivaretas Kompetanse og kapasitet hos både fag og IT til å gjøre vurdering av personvern, informasjonssikkerhet og IT-sikkerhet er en kritisk forutsetning 9
Leverandører og sikkerhet How to Evaluate Cloud Service Provider Security, Gartner 2017
Overordnet prosess for anskaffelse Personvernkonsekvensvurdering Beslutningsnotat Risikovurdering sikkerhet Risikovurdering databehandleravtaler Krav til leverandør Krav til sikkerhet Krav til personvern Andre avtalekrav Databehandleravtale Forretningsmessig avtale Behov og hjemmel Anskaffelse Avtaleforvaltning Nye tjenester i bruk Endring av avtale 11
Oppsummering Skytjenester vil bli en viktig del av NAVs systemportefølje Kostnadseffektiv tilgang til standardfunksjonalitet som stadig videreutvikles Nye, innovative løsninger som integreres med løsningene / skytjenestene Omfattende sikkerhetsfunksjonalitet vi ikke kan lage selv Nødvendig sikkerhet kan ivaretas i skytjenester Vi må ha kontroll på informasjonen som behandles, vurdere risiko og dokumentere hvordan sikkerheten ivaretas Vi må gjøre endringer på dagens løsninger før de legges ut i skyen Vi tar i bruk skytjenester kontrollert, stegvis og over tid 12
Spørsmål?
Elementer i Personvernvurderinger Skytjenester Saksbehandler PVK Fagsystem Beh. oversikt DittNAV Arena Print Generell DBA Generell DBA PaaS PaaS Risikoanalyse SaaS Beh. oversikt PVK Generell DBA Risikoanalyse Risikoanalyse Risikoanalyse 15
YTELSE YTELSE KVALITET ENDRINGS- EVNE ENDRINGS- EVNE KVALITET VERDI VERDI HVOR VI KOMMER FRA Effekten er på alle nivåer HVOR VI SKAL IDEELL Brukernes forventninger drives også av andre. Vi slutter å utvikle på det tidspunktet vi vet minst om bruken av systemet. #MENNESKER FAKTISK FAG FORVALTNING UTVIKLING DRIFT PRODUKTOMRÅDE IDEELL Endringsevnen bevares gjennom å utvikle mindre komponenter som kjører i egne containere. Optimalisert for endring #MENNESKER KOORDIN- ERINGSTAP KOORDIN- ERINGSTAP FAKTISK Påslagsfaktoren i IT-prosjekt i NAV var 5-6. McKinsey påpekte at IT-ressurser «koordinerte», «sørget for» etc. FORVENTNINGER DÅRLIG BRUKER- OPPLEVELSE FAKTISK FAKTISK IDEELL TEKNISK GJELD MONOLITTER PESYS, ARENA, INFOTRYGD ETC MIKROTJENESTER SaaS HYLLEVARER DATAPLATTFORM Vi samler ende-til-ende ansvar FAKTISKi tverrfaglige IDEELL produktteam. FAKTISK Vi organiserer disse i forhold til naturlige domener hører sammen. Vi skaper rammebetingelser for autonomi. FORVENTNINGER GOD BRUKER- OPPLEVELSE TID TID TID TID UNDERKAPASITET (DRIFTSHENDELSER) BEHOV KAPASITET Monolitter øker i kompleksitet over tid. FAKTISK Teknologien KAPASITET blir utdatert. Endringsevnen svekkes og forvaltning nedprioriteres. TID OVERKAPASITET (FOR HØY KOST) PLATTFORMTJENESTER DATASENTER PRIVAT SKY ALLMENN SKY NAIS PaaS IaaS BEHOV KAPASITET Løsningene settes i produksjon og utvikles deretter FAKTISK kontinuerlig. Det gjør at vi KAPASITET kan lære kontinuerlig hvordan brukerne jobber med løsningen og tilpasse fortløpende. TID 16