Referat fra møtet i Standardiseringsrådet september 2011 Tid: 23-24. november 2011, kl 12.00-14.30 Sted: Molde, Seilet hotell Møteleder: Olaf Østensen, Statens kartverk Referent: Standardiseringssekretariatet (Difi) Tilstede: Olaf Østensen, Statens kartverk (leder av Standardiseringsrådet) Morten Brekk, Brønnøysundregistrene Knut Lindelien, Standard Norge Line Richardsen, KS Bent Vangli, Riksarkivet Martin Hauge, Møre og Romsdal fylkeskommune Arild Haraldsen, Norstella Ulf Harry Evensen, Fredrikstad kommune Trygve Falch, SSB Kristian Bergem, Difi Marit Grønntun, Difi Endre Grøtnes, Difi Raja Mehran, Difi Helge Bang, Difi Steinar Skagemo, Difi Forfall: Håkon Styri, Post- og teletilsynet Johan Skutle, Justisdepartementet Thomas Rosenlund, Kith Arne Thorstensen, SKD Per Kjetil Grotnes, Oslo kommune Steinar Carlsen, Bergen kommune Terje Andre Olsen, NAV Agenda Dag 1 1. Godkjenning av agenda 2. Standarder for sikker bruk av VPN (Beslutningssak) 3. Status arbeidet i Difi sin faggruppe for standardisering og interoperabilitet (Informasjonssak) 4. Presentasjon fra Møre og Romsdal fylkeskommune (Informasjonssak) 5. Revisjonsnotatet (beslutningssak) 6. Presentasjon av meldingsboks rapporten Dag 2 7. Status for forslag om åpne data (Informasjonssak) 8. Forprosjektrapport standarder for anvendelse av eid (Informasjon) 9. Standarder for bruk av Krypto (informasjonssak) 10. Prioriteringsnotat (informasjon) 1
11. Prioriteringer 2012 nye utredninger (Diskusjon og beslutning) 12. Prioritering 2012 utbredelse av standarder (Diskusjon og beslutning) 1 Godkjenning av agenda (Beslutningssak) Agenda ble godkjent uten merknader. Ingen innspill til eventuelt. 2 Standarder for sikker bruk av VPN (Beslutningssak) Mehran Raja presenterte utredningen om sikre kommunikasjonskanaler og arbeidsgruppens syn på utredningen. Det ble en diskusjon knyttet til krypteringsalgoritmer. Dette er i grenseland mot kryptorapporten som ble diskutert på forrige møte og som diskuteres videre rundt agendapunktet Standarder for bruk av krypto i tilknytning til prioriteringsdiskusjonen. Dette er nok en gang en sak, fordi det har kommet opp behov for justeringer i konklusjonen fra forrige møte i rådet. En ting som ble diskutert var behovet for å sikre seg mot at de ulike applikasjonene forhandler seg ned til usikre algoritmer. Det ble også etterlyst en standard for hvordan man håndterer situasjonen når en algoritme blir korrumpert. Det ble en diskusjon om sikre kanaler basert på SSH for å overføre filer eller drive med fjernadministrasjon. Ligger dette innen for det som omtales i ISO 18028 eller ikke. Det ble enighet om å gå gjennom teksten som skal gå inn i referansekatalogen og som skal formes og konkluderes i dette møtereferatet, for å sikre en rett omtale av SSH. Det ble påpekt at det kommer en del nye applikasjoner som vi må tenke på fremover, men som kanskje ligger litt på siden av offentlig sektor, men noe vil nok berøre offentlig sektor også. Dette gjelder automatisk rapportering som strømmåling etc. som bør sikres når det sendes over Internett til leverandøren. Det er planer om å gjøre ISO 18028 til ISO 27033, slik at den blir en del av 27000 serien til ISO. I den sammenheng vil det komme flere deler som de jobber med nå, som antagelig bør vurderes. Dette gjelder for eksempel den nye del 6 som vil handle om trådløse nett. Dette vil derimot bli en oppgave for fremtidig revisjon. Det ble også stilt spørsmålstegn om vi burde se på protokoller som RDP og VNC. Dette er protokoller for remote access til andre PC-er. 2.1 Konklusjon Vi ble enig om at VPN standardene burde gjøres anbefalte. Det var også enighet om at vi skulle synliggjøre SSH, som en protokoll. Det ble besluttet å foreslå for Difi at følgende tekst legges inn i referansekreferansekatalogen på anvendelsesområdet: 2.1.1 Sikre kommunikasjonskanaler (VPN) 2
2.1.1.1 Avgrensning av bruksområdet Dette gjelder valg av VPN protokoll ved etablering av sikre kommunikasjonskanaler. VPN protokoller brukes primært for å sette opp en sikker kommunikasjonskanal mellom to eller flere endepunkter som kommuniserer over åpne nett. Kryptering og andre sikkerhetsmekanismer brukes for å sikre at kun autoriserte endepunkter får tilgang til data som oversendes i denne kanalen. Bruksområde omfatter design, implementering, konfigurering, sikring, overvåking og vedlikehold av slike løsninger. Meldingskryptering kan i tillegg brukes, men er ikke en del av dette bruksområdet. 2.1.1.2 Bruk av standarder innen dette bruksområdet ISO/IEC 18028-5:2006 anbefales brukt ved planlegging og valg av protokoll for sikring av kommunikasjonskanal. Når VPN-protokoll er valgt anbefales det å benytte seg av følgende standarder for å sikre den enkelte implementasjon: Ved implementasjon av SSL/TLS VPN anbefales å følge NIST Special Publication (SP) 800-113 - Guide to SSL VPNs. Ved implementasjon av SSH VPN for sikker fjernadministrasjon av server, anbefales å følge RFC 4251. Ved implementasjon av IPsec VPN anbefales å følge NIST Special Publication (SP) 800-77 - Guide to IPsec VPNs. Ved implementasjon av L2VPN anbefales å følge RFC 4664 og RFC 4665. Ved bruk av disse protokollene vil sikkerheten være avhengig av krypteringsalgoritmer og nøkkellengder, håndtering av nøkkeladministrasjon og en rekke andre forhold. Hvordan disse tingene organiseres vil være avhengig av sikkerhetsbehov og sikkerhetspolitikk. 3 Status for arbeidet i Difi sin faggruppe for standardisering og interoperabilitet, STI Kristian Bergem presenterte de oppgavene vi jobber med nå om dagen, og som vi vil videreføre og ferdigstille ved siden av de oppgavene som vi prioriterer senere i møtet. Presentasjonen er lagt ved. Det ble også fremhevet at vi er inne i en strategiprosess, som vil få følger for hvilke oppgaver vi vil ha fokus på fremover. I tillegg ble det pekt på felleskomponentrapporten og at vi etter hvert må se Standardiseringsrådets rolle i sammenheng med taktisk nivå og andre grupper som skal etableres i den sammenheng. Det ble påpekt at selv om vårt fokus er offentlig sektor, og spesielt statlig sektor, så må vi huske at næringslivet i mange sammenhenger er en del av verdikjeden og at deres behov også må vurderes i de utredninger som gjennomføres. 3
4 Presentasjon fra Møre og Romsdals fylkeskommune Martin Hauge og Dagfinn Grønvik presenterte de utfordringene de jobber med i fylkeskommunen. Fylkeskommunen har lagt inn bruk av åpne standarder i sin IKT-strategi, og fylkeskommunen har gjennom sin praksis bevisst forsøkt å støtte opp under se samme målene som var utgangspunktet for Referansekatalogen. Et interessant arbeid, og presentasjonen er lagt ved møtereferatet på Standardiseringsportalen. 5 Revisjonsnotatet (beslutningssak) Marit Grønntun presenterte revisjonsnotatet, hvordan revisjonsbehovet er vurdert på de ulike anvendelsesområdene. Det ble stilt spørsmål om vi trengte XHTML når vi snart får HTML 5. Flere rådsmedlemmer mente at det var absolutt nødvendig å peke på XHTML i tillegg, fordi XHTML håndterer strukturerte data på en helt annen måte enn HTML 5. 5.1 Konklusjon Rådet stiller seg bak anbefalingene i revisjonsnotatet. 6 Presentasjon av meldingsboks rapporten Helge Bang presenterte meldingsboksrapporten Difi har levert FAD tidlig på høsten 2011. Det var stor interesse for rapporten og mange spørsmål underveis. Det ble blant annet stilt spørsmål rundt sikkerheten, ved å slippe til private aktører på sikt. Meldingsboksen vil kunne gi behov for ytterligere standardisering, blant annet innenfor lagringssikkerhet, meldings-/ kanalsikkerhet og standard for tilkoblingsgrensesnitt. 7 Status for forslag om åpne data (Informasjonssak) Steinar Skagemo presenterte hva som har skjedd med forslaget siden sist (se vedlagte foiler), samt hva som er status for aktivitetene knyttet til Nasjonal strategi for metadata. Det har vært en prosess videre siden forslaget om standarder for åpne data ble lagt frem ved forrige møte, men vi har ikke hatt tid til å lage et spisset mandat for forslaget, fordi Difi har prioritert å arbeide med forankring av Nasjonal strategi for metadata i Skate. I høringssvarene på felleskomponentrapporten har flere etater påpekt viktigheten av metadata. Standardiseringsgruppen i Difi har etablert et samarbeid med det miljøet i Difi som har fått i oppdrag å være pådriver for Åpne data og forvalte «data.norge.no» (open@difi.no). Gjennom dem kan vi få erfaring med krav som stilles fra etatene til arbeidet med standarder for publisering av åpne data. Steinar viste frem datahotellet, som Difi har gjort tilgjengelig. Der er det mulig å laste opp datasett i CSV-format, som så blir tilgjengelig på en rekke ulike formater. Det er tilrettelagt et forhåndsdefinert API-er for søk og gruppering av dataene. Metadata var på samhandlingsarenaen i regi av Semicolon prosjektet i september med både direktøren for Brønnøysundregistrene, Erik Fossum, og Difi-direktør Hans Christian Holte til stede. Det kom frem at det er viktig både med forankring oppover i organisasjonene, men også nedover. Det er litt ulik prioritering fra Difi og BR. Mens Difi har vært fokusert på å 4
skaffe ytterligere erfaringer og felles standarder på området før man til slutt vurderer behovet for felleskomponenter på området, ønsker BR å gjøre Seres til en nasjonal felleskomponent og utvikle den til å tilfredsstille alles behov over tid. I kommentarene fra rådet ble det også påpekt at Difi er mer opptatt av å tilgjengeliggjøre data uavhengig av om de beskrevet (har gode metadata) eller ei. BR er på sin side mer opptatt av å få på plass beskrivelsene av dataene først. Det er en liten misforståelse. De i Difi som jobber med åpne data har i sitt mandat at data skal ut raskest mulig og at beskrivelser må komme etter hvert som man får det til. Det viktigste er å få dem ut. Mens de som jobber med standardisering og nasjonal strategi for metadata i Difi har vært opptatt av å få på plass strukturerte beskrivelser av data. Dette kommer også tydelig frem i visjonen som er beskrevet i den nasjonale strategien for metadata. Det skal avholdes et nytt møte i samhandlingsarenaen 30. november med fokus på åpne data. Det å frigjøre offentlige data har en egen verdi, men det er mange problemstillinger knyttet til slik frigjøring. Det er viktig at mandatet som skrives tydeliggjør hvorfor dette er viktig, slik at vi kan ta frem de rette standardene for å forenkle dette arbeidet. Viktig at når vi prioriterer så kommer det tydelig frem hva vi skal oppnå. Det ble spilt inn at viktige kriterier måtte være effektivisering, bedre tjenester, økt samordning, økt innovasjon og konkurranse. 8 Forprosjektrapport standarder for anvendelse av eid (Informasjon) Mehran Raja presenterte forprosjektrapporten som identifiserer og prioriterer mellom ulike anvendelsesområder av eid, og forsøker å påpeke hvilke bruksområder man bør standardisere først. Det ble påpekt at man i forprosjektrapporten fokuserte på noen veldig konkrete sikkerhetsutfordringer, uten at det er sett i sammenheng med mange andre områder som er nærliggende. Ser man på hvordan ISO har bygget opp sine standarder, har de noen overordnede og går deretter ned i detaljer på de ulike områdene. Innspillet førte til en lengre diskusjon om man bør utrede områder ovenfra og ned eller nedenfra og opp. Det er alltid en utfordring når man har begrenset ressurser og fokusere på de områdene hvor det er størst behov. Dette forprosjektet har sitt utspring i flere andre rapporter som har pekt på bruk av eid som viktig. Rådet mente derfor ikke at det var galt å gjennomføre utredningen, og få gjennomført ytterligere utredninger på prioriterte områder, slik at eid infrastrukturen vi bygger opp kan tas i bruk effektivt og uniformt. Rådet var derimot enig i at det å ha et overordnet kart, som synliggjør hvordan sikkerhetsområdet henger sammen, og hvilke andre områder som kan være nyttig å ta tak i er viktig. Egentlig er vel dette en svakhet i den første forprosjektrapporten om sikkerhet. Forprosjektrapporter burde kanskje i større utstrekning synliggjøre det helhetlige komplekse på området. 5
9 Standarder for bruk av Krypto (informasjonssak) Kristian Bergem presenterte behovet for endring av retning i arbeidet med krypto. I forrige møte ble rådet enig om å lage en veileder om hvor sikre de ulike krypteringsalgoritmene med ulike nøkkellengder er, samt bygge på NSM sin kompetanse for å få frem en slik veileder. Det har i ettertid kommet frem at NSM normalt sett setter krav i sine veiledere, og at den veilederen de hadde sett for seg var noe annerledes enn det vi hadde tenkt. I tillegg har det kommet frem at det er behov også for å velge algoritmer, fordi det er interoperabilitetsutfordringer knyttet til at ulik programvare støtter ulike algoritmer og nøkkellengder, noe som gjør at det forskjellige utstyret ofte ikke kan samhandle på et høyt nok sikkerhetsnivå. Utstyret blir nødt til å forhandle seg ned til et for lavt nivå, før de finner en felles algoritme og nøkkellengde som de støtter. Det var enighet i rådet om at dette var et behov vi skulle gjøre noe med og at det må håndteres i prioriteringsprosessen. 10 Prioriteringer 2012 nye utredninger (Diskusjon og beslutning) Marit Grønntun presenterte prioriteringsnotatet, som beskriver de ulike anvendelsesområdene og begrunnelsen for hvorfor de ulike områdene bør prioriteres og ikke. Det ble stilt spørsmålstegn rundt prioriteringskriteriene. Det ble gitt innspill om at dagens prioriteringskriterier med fokus på effekt for offentlig sektor selv og effekt for brukere av offentlig sektor ikke var konkret nok. Dette er derimot beskrevet godt i de underliggende kriteriene. Det burde derfor beskrives en tekst under prioriteringskriteriene som påpeker knytningen mot de underliggende kriteriene. De fire kriteriene som nevnt tidligere i referatet ble spilt inn igjen, kostnadseffektiv samhandling, hurtigere tjenesteutvikling, bedre og mer innovativ tjenesteutvikling og større konkurranseintensitet. Arild Haraldsen vil skrive en side om dette som innspill til neste rådsmøte, dvs. innen 1. feb. 2012. 11 Prioriteringer 2012 nye utredninger (Diskusjon og beslutning) I forhold til listen over standarder som ikke hadde kvalifisert seg til de aller viktigste standardene, som skulle inn på en rangert liste var det kun et område rådet ønsket å løfte om mulig. Det var arbeidet med URI-er for å peke på hvor metadatadefinisjonene ligger. Her ble det påpekt at Semicolon kunne ta en rolle i forhold til utredningen. De jobber med å teste ut en mulig standard for dette, og hvis de kan bidra i en eventuell utredning, vil arbeidet bli enklere å prioritere. Det ble også fremhevet at det burde være mulig å vurdere samfinansiering, slik at andre etater som har områder de synes er viktig, kan bidra økonomisk og gjennom støtten/ samarbeidet få Difi til å gjennomføre utredninger som ellers ikke ville vært prioritert. Rådet støttet dette. Et eksempel er utredning av en metodikk for prosjektgjennomføring, der miljøet rundt prosjektveiviseren i Difi er villig til å gjøre hoveddelen av utredningen. 6
Kartverket pekte på norsk profil for web services og URI for definisjoner som to slike områder der de har spesiell interesse. Difi påpekte at slik er det også internt i Difi. Der andre faggrupper i Difi ønsker å prioritere opp noe, og vi i faggruppen for standardisering og interoperabilitet kun trenger å støtte dem på prosess for å få frem en ny utredning, vil det i større grad være mulig å prioritere å utrede områder som i utgangspunktet ikke har blitt prioritert. Det ble påpekt spesielt at det var flere områder der man ikke kun hadde behov for å signere PDF dokumenter, men hadde behov for å få inn strukturert informasjon og dermed også kunne dra nytte av å få signert XML dokumenter. Et eksempel på dette er signering ifm. Tinglysing. Listen over prioriterte standarder som skulle rangeres ble gjennomgått og justert. 11.1 Konklusjon Rådet rangerte de prioriterte områdene for utredning av nye områder som følger: Utredning av et felles sett med krypteringsalgoritmer og nøkkellengder, samt en veileder for dette. Utredning/ utvikling av standard for hvordan man beskriver definisjoner Utredning/ utvikling av standard prosess for hvordan man blir enig om felles begrep Utredning/ utvikling av standard for autoriative begrep (kun 1-3 grunn begreper for å starte opp) Forprosjekt for publisering/ tilgjengeliggjøring av åpne data Utredning standard mal for prosjektgjennomføring Utredning norsk profil for web services Utredning standarder for signering av PDF dokumenter Utredning standard for signering av XML dokumenter Utredning standard for URI-er som peker på semantiske definsjoner 12 Prioriteringer 2012 utbredelse av standarder (Diskusjon og beslutning) Difi vil prioritere sine ressurser på å avslutte de oppgaver vi har, gjennomføre de revisjoner som er satt som nødvendige i revisjonsnotatet, som rådet har støttet, utrede nye områder for standardisering og arbeide med å sikre at standarder som allerede ligger i referansekatalogen blir tatt i bruk. De to føreste områdene vil bli gjennomført uansett. Når det gjelder de to siste områdene er det viktig at vi ikke bare tar i bruk nye standarder, men at vi sikrer at eksisterende standarder blir tatt i bruk. Difi planlegger derfor i 2012 å benytte en stor andel av ressursene nettopp på dette. Rådet diskuterte derfor hvilke områder Difi bør prioritere å jobbe med først, for at offentlig sektor skal ta dem i bruk. Noen områder blir håndtert av andre, mens de resterende områdene ble rangert. 7
12.1 Konklusjon Rådet rangerte dagens anvendelsesområder i forhold til arbeidet med å ta dem i bruk, som følger: - Tegnsett - Lage tilgjengelige dokumenter - Publisering/ utveksling av tekstdokumenter - Publisering av multimediainnhold 13 Fremtidige møter i rådet Det var en kort diskusjon i hvilken grad vi skulle kutte ned til færre møter i rådet. Vi endte opp med å opprettholde antall møter, men begrenset det til ett møte i året som går over to dager. I tillegg ble vi enig om å legge 3 av møtene til Oslo, fordi det er mest praktisk for flertallet. Følgende møtedager er planlagt for 2012: - Tirsdag 13/3 i Oslo - Onsdag 16/5 i Oslo - September 19/9 i Oslo - November 28-29 sted vil bli besluttet senere 8