Utarbeidet av: Andreas O. Jaunsen, Gard Thomassen Sist oppdatert: 24 jan 2012 Godkjent av: Dato for godkjenning: Fyll ut malens hvite felter og Mjern all grå tekst. Alle felter merket med * må fylles ut. PROSJEKTINFORMASJON * Prosjektnavn Prosjektnummer Nasjonale tjenester for sensitive data Prosjektnavn (med eventuelt kortnavn i parentes). * Tilknytning til andre prosjekt og/eller program <Skriv her> Prosjektnummer fås hos regnskap@uninett.no når prosjektmandatet er godkjent. Dette prosjektet er tilknyttet den nasjonale infrastruktur for vitenskaplige data (NorStore), og å betrakte som et delprosjekt Oppgi navn og prosjektnummer til prosjekter som er tilknyttet dette prosjektet. Oppgi eventuelle program prosjektet er en del av. * Oppdragsgiver Prosjekteier Prosjektleder UNINETT Sigma a/s Oppdragsgiver er den/de organisasjonen(e) som Minansierer prosjektet. En navngitt person bør helst oppgis for hver organisasjon. Oppdragsgiver kan både være intern og ekstern. Se forøvrig begrepsdeminisjon. Andreas O. Jaunsen Prosjekteier er en linjeleder i UNINETT- konsernet. Se forøvrig begrepsdeminisjon. * Seksjon/koststed * Prosjekttype Sigma Oppgi seksjon/koststed for prosjeket. Gard Thomassen (UiO) Fylles ut når prosjektleder er utpekt. Dette skal senest skje ved B1. Se forøvrig begrepsdeminisjon. EKSTERN Fjern det som ikke passer. Eksempler på interne prosjekter er intern drifting for oss selv, f.eks. sentralbord, personal, økonomi, intern IKT (typiske konserntjenester) og generell administrasjon. Eksterne prosjekter er oppgaver/tjenester vi leverer for og til våre kunder. Benytt prosjekttype EKSTERN dersom du er usikker. Se forøvrig begrepsdeminisjon. Utkastnummer mal: 1.03 Mal utarbeidet: 20.12.2011 1
PROSJEKTBESKRIVELSE * Bakgrunn Den nasjonale infrastrukturen for vitenskaplige data skal sikre at kritiske og publiserte data ivaretas for fremtiden på en forsvarlig og profesjonell måte. Data skal kunne oppbevares, vedlikeholdes for fremtidig bruk, prosesseres/analyseres i egnede omgivelser, deles med andre forskere og kunne Minnes i elektroniske søk. En del av dataene er karakterisert som sensitive data, dvs. data som er direkte eller indirekte basert på personer (DNA/genomsekvenser, MRI scans av hjernen, audio/videoopptak av intervju/undersøkelser av personer mm.). Personopplysningsloven og Helseregisterloven krever at slike data skal sikres mot tilgang/innsyn fra uvedkommende da denne informasjonen kan misbrukes og dermed true rettsikkerheten til individet. Slike data må derfor adskilles fra øvrige data og et strengere regime for lagring, håndtering, brukertilgang innføres. Prosjektet må forankres i sentrale aktuelle fagmiljø som representerer brukerne, samt hos de relevante myndigheter (f.eks. Datatilsynet, Folkehelseinstituttet, forvaltere av Helseregisterloven, Regional Etisk Komité, Nasjonal IKT mm.). Prosjektet baserer seg på kompetanse og erfaringer fra pilotprosjektet ved UiO/USIT og kvalitetssikres av UNINETT ved at sikkerhetsgruppen involveres i prosjektet og at beslutningspunktene B2 og B4 foretaes av UNINETTs ledergruppe. Beskriv hva som initierte prosjektet. Hva er årsaken til at prosjektet skal startes opp? * Formål Prosjektet skal etablere nasjonale tjenester for lagring og håndtering (beregninger/analyse) av sensitive data slik at arbeidet med dataene kan forekomme i et trygt og sikkert miljø i tråd med lov og regler. Det etableres nasjonalt tilgjengelige tjenester i hht. en dokumentert og nasjonalt godkjent løsning for sensitive data. Dette skal gjøre det mulig for enhver forsker i Norge som har behov for å jobbe med sensitive data, å benytte seg av tjenestene. Gi en overordnet beskrivelse av hensikten med prosjektet. Hva er ønsket utbytte av prosjektet? Formålet bør knyttes opp mot prosjektets målgruppe(r). Det trenger ikke være målbart, da det i planleggingsfasen skal konkretiseres i et antall (målbare) gevinster. * Prosjektmål - Utarbeide et forslag til teknisk- og administrativ løsning som kan realisere målsetningen om å tilby tjenester for sensitive data som lar seg skalere og implementere på et nasjonalt plan. Dette målet skal resultere i et såkalt «white paper» som beskriver hvordan etableringen av IKT løsninger for lagring og behandling av sensitive tjenester skal foregå, beskriver og begrunner løsningsvalgene og stadfester eventuelle forutsetninger og ressursbehov. Godkjennes av Datatilsynet og utføres i 1H2012. - Utrede forutsetninger, behov og muligheter knyttet til det nasjonale forskningsnettet (UNINETT) og om nødvendig tilrettelegge for optimal utnyttelse av nettets innebygde egenskaper som redundanse og sikkerhet. Godkjennes av ledergruppen, utføres 1H2012. - Etablere og lansere (for sluttbrukere) lagringstjeneste for sensitive data ved hjelp av NorStore ressurser i henhold til «white paper» og erfaringer fra pilotprosjektet ved UiO/USIT. Godkjennes av prosjekteier og utføres innen utgangen av 1K2013. - Utvikle og lansere tjenester for beregninger av sensitive data ved hjelp av NorStore ressurser og i henhold til «white paper». Godkjennes av prosjekteier og leveres i 2K2012. - Utvikle og lansere nettbasert sikkert system for kommunikasjon mellom forskningsgruppene som produserer sensitive data, sentral sikker lagrings og beregningsressurs, samt for mer Utkastnummer mal: 1.03 Mal utarbeidet: 20.12.2011 2
begrenset aksess til sentral ressurs via «sikker hjemmekontorløsning». Godkjennes av prosjekteier og utføres innen prosjektslutt. Hva er prosjektets mål? List opp prosjektets hovedmål, i tillegg til eventuelle delmål som skal oppnås underveis i prosjektperioden. Alle mål skal formuleres etter SMART- prinspippet: SpesiMikt Målbart Akseptert Realistisk Tidsbestemt * Eventuelle avgrensninger Selv om løsningsforslaget må være skalerbart på en slik måte at det også lar seg implementere ved andre institusjoner, er dette ikke en forutsetning for lanseringen av de nasjonale tjenestene. I betegnelsen 'nasjonale tjenester', menes det at tjenesten skal kunne etableres ved de ulike universitetene (og høyskoler), men ikke at dette skal gjøres i praksis. UiO er i hovedsak utførende part og det vil da være naturlig at tjenestene etableres her, men tilbys alle potensielle forskningsgrupper (løpende kostnader må dekkes av brukermiljøene i henhold til fastsatt kost basert på forbruk el.). Oppgi prosjektets avgrensninger. Oppgi også eventuelt andre antagelser og forutsetninger. Avgrensningene skal bidra til å skape en felles forståelse av prosjektets omfang. * Er prosjektet knyttet opp mot UNINETTs og/eller det enkelte selskaps strategi og/eller handlingsplan? DELVIS * Prosjektets tilknytning, eller mangel på tilknytning, til UNINETTs og/eller det enkelte selskaps strategi og/eller handlingsplan. Prosjektet er en del av strategiplanen for NorStore, og dermed en del av UNINETT Sigma's handlingsplan for Notur/NorStore 2011-2012. Prosjektet er en prioritert aktivitet i NorStore konsortiet og har bred støtte fra nasjonale brukermiljø med tilknytning til forskning på humant datamateriell. Prosjektgruppen må koordinere teknologivalg og sikkerhetsvurderinger med UNINETTs sikkerhetsgruppe og nettgruppe, spesielt av hensyn til å Minne løsninger som lar seg integrere på et nasjonalt nivå. List opp konkrete punkter i selskapets strategi og/eller handlingsplan, som dette prosjektet bygger opp under. Dersom det ikke Minnes noen punkter skal det gis en begrunnelse for hvorfor prosjektet skal gjennomføres, til tross for at det ikke støtter opp under selskapets strategi. * Antatt dato for gjennomført planleggingsfase (B2)? 31.03.2012 Angi når planleggingsfasen skal være gjennomført og prosjektet skal være klart for B2. Se forøvrig prosjektrammeverket. Antatt dato for avslutning av prosjektet (B4)? 31.12.2013 Angi estimert dato for avslutning av prosjektet (B4). Se forøvrig prosjektrammeverket. Utkastnummer mal: 1.03 Mal utarbeidet: 20.12.2011 3
PROSJEKTETS OVERORDNEDE PRIORITERING Gi en overordnet prioritering for prosjektet av faktorene listet i tabellen nedenfor. Benytt en skala fra 1 (høyest prioritet) til 4 (lavest prioritet). Ingen av faktorene kan ha samme prioritet. *Ferdigtidspunkt *Kostnad *Omfang *Kvalitet 2 at prosjektet blir fullført innen gitt dato. 3 at prosjektet holder seg innenfor de gitte budsjettrammene. 4 at prosjektets omfang ikke blir større i form av nye oppgaver og aktiviteter. 1 at kvaliteten på det prosjektet skal levere ivaretas. RETNINGSLINJER FOR PROSJEKTARBEIDET Krav til styring av prosjektet Det er avgjørende at tjenestene som etableres for sensitive data på et nasjonalt nivå er i samsvar med de behov brukerne har. Det er derfor krav om at prosjektet oppretter en referansegruppe som gir de mest relevante interessentene adgang til å gi råd og veiledning til prosjektledelsen. Det er dessuten avgjørende at sikkerhetsarkitekturen kvalitetssikres og at de administrative rutinene kvalitetssikres/verimiseres med relevante etater inkl. Datatilsynet, Folkehelseinstituttet, forvaltere av Helseregisterloven mm. Oppgi eventuelle krav til bruk av styringsgruppe og/eller referansegruppe i prosjektet. Eventuelle krav til øvrige utvalg, råd eller fora der interessenter bør være representert skal også dokumenteres. Krav til dokumentasjon Det omtalte «white paper» vil utgjøre en egen leveranse og forventes å bli et referansedokument for gjennomføringen av prosjektet og etablieringen av tjenestene. Dette forventes å gjøres tilgjengelig i form av et PDF dokument og distribueres til alle samarbeidsparter og nasjonale interessenter. Dokumentasjon for drift av tjenestene, administrative rutiner og sluttbruker dokumentasjon må inngå som leveranser og publiseres på prosjektets nettsider, samt gjennom de vanlige kanaler hos USIT (eksempelvis intranett, wiki). Denne systemdokumentasjon må være tilstrekkelig for å beskrive driften av system for en ny tjenestegruppe ved USIT. I tillegg skal det utarbeides dokumentasjon for rutinene omkring oppstart av nye prosjekt, retningslinjer for bruken av systemet samt avslutning av prosjekt (terminering) sett fra brukersiden. Det omtalte «white paper» skal være tilstrekkelig informasjon for at et kompetent IT- senter ved andre universitet eller høyskoler skal kunne etablere tilsvarende system basert på dokumentasjonen i «white- paper». Oppgi eventuelle krav til dokumentasjon. Eksempelvis om det skal utarbeides driftsinstruks, brukerdokumentasjon eller lignende. Utkastnummer mal: 1.03 Mal utarbeidet: 20.12.2011 4
Rapporteringskrav Krav til prosjektmetodikk Krav, kriterier og prinsipper som skal følges ved utarbeidelse av dokumentasjon skal også oppgis. SpesiMiser også hvilke dokumenter, utover de obligatoriske, som skal leveres til senere beslutningspunkt. (B2- B4) Det skal rapporteres per e- post til prosjekteier (sigma@uninett.no) ved hvert forfall av milepæler deminert i prosjektplanen. Dessuten skal det også rapporteres som et ledd i den øvrige statusrapporteringen / årsrapport med spesimikasjon av aktiviteter og timeforbruk Denne rapporteringen foregår i hht et etablert rapporteringssystem medorfall 1 august. Oppgi prosjekteiers krav til hvordan og hvor ofte det skal rapporteres. Se forøvrig mal for statusrapportering. Det forutsettes at prosjektet gjennomføres i henhold til et (formelt) rammeverk (UiO prosjektforum's mal). Dette fordi prosjektet gjennomføres i sin helhet hos USIT med ekstern prosjektleder. Det er da mer praktisk å gjennomføre i hht til egne rutiner og verktøy. Beslutningspunktene B2 og B4 opprettholdes med forankring i UNINETTs ledergruppe. Oppgi eventuelle krav til prosjektmetodikk eller andre metoder. Eksempelvis dersom prosjekteier pålegger prosjektet å benytte Scrum og/eller Agile. ANNEN VIKTIG INFORMASJON NorStore har bevilget 1 FTE (full stilling, tilsvarende 1600 timer) i perioden 1.1.2012 30.6.2013. Lønningssats er fastsatt i budsjett fra Forskningsrådet og er for 2012 stipulert til å utgjøre 885KNOK. Det vil i arbeidet inngå betydelig egenbidrag fra partneren (UiO/USIT) som også inkluderes i faktura med null kost. Dette er i hht til gjeldende praksis for UNINETT Sigma avtaler. Redegjør for eventuell annen viktig informasjon om prosjektet eller dets rammebetingelser. Utkastnummer mal: 1.03 Mal utarbeidet: 20.12.2011 5
RESSURSPLANLEGGING OG BUDSJETT PROSJEKTMANDAT Det skal videre redegjøres for ressursbruk og kostnadsbudsjett. Dette gjøres i to trinn: 1. Detaljert ressurs- og kostnadsbudsjett for planleggingsfasen av prosjektet 2. Et estimert, overordnet ressurs- og kostnadsbudsjett for gjennomførings- og overleveringsfasen. Dobbelklikk på tabellen nedenfor og bearbeid regnearket. Verdiene i DE GULE cellene beregnes i regnearket, og skal ikke endres. Gjeldende timepriser fås på forespørsel hos regnskap@uninett.no. * RESSURSER FOR PLANLEGGINGSFASEN (B1 B2) Angi hvem som ønskes inkludert i prosjektorganisasjonen i PLANLEGGINGSFASEN og som dermed vil være en del av utarbeidelsen av prosjektplan, gevinstrealiseringsplan og risikoanalyse. For hver ressurs, angi i kolonnen til høyre hvorvidt uttak av ressursen er klarert med dens linjeleder. (PL = prosjektleder, PD = Prosjektdeltager) Rolle PE/PL/PD Navn Avdelings- / selskpstilhørighet Klarert med Timer Timepris linjeleder PE Andreas O Jaunsen UNINETT Sigma 60 700 ( JA / NEI ) Sum 60 * TOTALT BUDSJETT FOR PLANLEGGINGSFASEN Timekostnad Direkte kostnader Total kostnad planleggingsfase: 42000 110625 152625 *ESTIMERT BUDSJETT TOTALT FOR RESTEN AV PROSJEKTET (B2 B4) I tabellen nedenfor skal timekostnader og direktekostnader for hele prosjektet, eksklusive planleggingsfasen, estimeres. Dette gjøres for å signalisere antatt omfang av prosjektet. Total Total kostnad Total kostnad Antall Ca. timepris timekostnad Direkte (ekskl. (inkl. arbeidstimer (hvis relevant) (hvis relevant)kostnader planlegging) planlegging) 2400 553 1327200 0 1327200 1479825 NB! Husk at det aldri er lurt å planlegge et prosjekt alene. Ta gjerne med både prosjekteier og prosjektdeltakere for å sikre en god planleggingsprosess. Utkastnummer mal: 1.03 Mal utarbeidet: 20.12.2011 6
KOMMENTARER TIL ESTIMERT BUDSJETT TOTALT FOR RESTEN AV PROSJEKTET (B2-B4) *Kommenter usikkerheten til estimatene Prosjektet utføres av UiO og det er prosjektert med 1 FTE i to år fra NorStore. I tillegg vil dette suppleres med ca 1 FTE i tillegg (egenbidrag) fra UiO, hvor det dessuten foreligger betydelig kompetanse og erfaring fra pilotprosjektet som ble gjennomført i 2010-2011. Prosjektet vil dessuten involvere et titalls representanter fra brukermiljøene, interessenter og partnere. Gi en kommentar som vurderer usikkerheten til estimatene oppgitt i siste del av regnearket. Kommenter eventuelt personressurser for resten av prosjektet Det er vanskelig å beregne den totale innsatsen over prosjektperioden, delvis pga. varigheten som forventes å være over to år og et betydelig egenbidrag både fra UiO/USIT og brukermiljøene. Et kompliserende element er at USIT vil parallelt utføre tilsvarende prosjektutvikling av sensitive tjenester for Verdikt prosjektet, NorStore, PSI (psykologisk institutt) og en kostholdsundersøkelse (Matgen?). Oppgi prosjekteiers eventuelle føringer angående hvilke ressurser som skal benyttes i prosjektet, etter planleggingsfasen. Dette gjelder spesielt bruk av nøkkelpersoner. * Finansieringskilder NorStores Minansieringskilde er Forskningsrådstildeling, samt egenbidrag fra partnere (her UiO) som et ledd i en varig samarbeidsavtale. Prosjektet skal også sikre egenbidrag fra brukermiljø, delvis i form av Minansiering av innkjøp av dedikert utstyr, delvis som innsats i prosjektgjennomføringen. Redegjør for inntektssiden av det totale prosjektbudsjettet. Oppgi hvem som Minansierer prosjektet, samt hvor mye den enkelte Minansiør bidrar med. *OVERORDNET RISIKOVURDERING Oppgi identimiserte, overordnede risiko. Vurderingen skal være på et svært overordnet nivå, da prosjektleder skal gjennomføre en risikoanalyse i prosjektets planleggingsfase. En potensielt avgjørende risikofaktor er prosjektets avhengighet på eksterne parters bidrag og myndigheters akseptanse av løsningsforslaget (løsningen må være godkjent for bruk til sensitive data). For tidsrammene i prosjektet anses den tiden ulike tilsyn og myndigheter vil kunne måtte benytte før de kommer til avgjørelser omkring mulige løsninger på de sikkerhetsproblemstillingene som prosjektet berører, som en stor risikofaktor. Utkastnummer mal: 1.03 Mal utarbeidet: 20.12.2011 7