Molnet eller outsourcing??

Transkript

1 Molnet eller outsourcing??

2 Vilka är vi? Lars Söderlund UPPSEC AB Ordförande SIS TK 318 AG 11 Jan Branzell Veriscan Security AB Ordförande SIS TK 318 AG 41

3 Begreppet används inkonsekvent ü Många använder begreppet molntjänst, fast ora menar man outsourcade tjänster som använder vis teknik som är vanligt förekommande i molntjänster, t.ex. virtualisering. ü Ibland används molnbegreppet för au beskriva vilken extern tjänst som helst som använder Internet. T.ex. en outsourcad tjänst hos en leverantör som kopplas upp via en SSL- förbindelse. Innebär deua au deua verkligen är en molntjänst?

4 molnet outsourcing? Är användningen av molnet samma sak som outsourcing?

5 Var började förvirringen? Den började med NIST defini]on från cirka 2012: Cloud compu+ng is a model for enabling ubiquitous, convenient, on- demand network access to a shared pool of configurable compu+ng resources (e.g., networks, servers, storage, applica+ons, and services) that can be rapidly provisioned and released with minimal management effort or service provider interac+on. This cloud model promotes availability and is composed of five essen+al characteris+cs, three service models, and four deployment models

6 Definition utkontraktering TR 50 utkontraktera; outsourca anlita en extern organisa]on för au genomföra en del av en organisa]ons funk]on eller process

7 Definition molntjänst Molntjänst En affärsmodell baserad på en utbredd, automa]serad, läbllgänglig nätverksåtkomst ]ll en pool av konfigurerbara resurser. ISO/IEC 17788:2014 cloud compuang: Paradigm for enabling network access to a scalable and elas]c pool of shareable physical or virtual resources with self- service provisioning and administra]on on- demand.

8 Vad krävs för att vara en molntjänst ü Självbetjäning (On- Demand self- service) ü Generell ]llgänglighet över nätverk (Broad network access) ü Delade resurser med andra (Resource pooling) ü Kan snabbt skala resurser (Rapid elas]city) ü Mätbart tjänstenyujande (Measured service) ALLA dessa behöver vara uppfyllda i en molntjänst!

9 Var ligger skillnaden?? ü ü ü Avtalsmodellen är omvänd vid molntjänst jmf. med utkontraktering. Beställaren kan i regel inte påverka avtalet utan an]ngen acceptera befintligt avtal eller inte ü Innebär au kunden måste noga kontrollera au alla delar i molntjänsten uppfyller organisa]onens krav på informa]onshanteringen. Molntjänsten representerar en affärsmodell där leverantören tagit höjd för alla krav i målgruppen. En grundtjänst kan anpassas ]ll olika målgrupper, t.ex. ü Privatperson ü Hälso- och sjukvård (bl.a. Uppfyllande av HIIPA krav m.m.) Outsourcing innebär au kunden ska genomföra en tradiaonell kravställning som speglas i eu avtal som överenskommits med leverantören. ü Den tekniska lösningen kan i många fall vara väldigt lika molntjänsten, t.ex. användning av virtualisering.

10 Exempel på utdrag ur avtal ü.yyy will make the YYY Online Informa4on Security Policy available to Customer, along with other informa4on reasonably requested by Customer regarding YYY security prac4ces and policies. ü Customer is solely responsible for reviewing the YYY Online Informa4on Security Policy, making an independent determina4on as to whether the YYY Online Informa4on Security Policy meets Customer s requirements.

11 Exempel på utdrag ur avtal ü YYY will audit the security of the computers and compu4ng environment that it uses in processing Customer Data (including personal data) on the ZZZ Services and the physical data centers from which YYY provides the ZZZ Services. This audit will be performed at least annually ü will be performed according to ISO standards ü will be performed by third party security professionals at YYYs selec4on and expense ü will result in the genera4on of an audit report ( YYY Audit Report ), which will be XXX s confiden4al informa4on

12 Vilket val är rätt för er? Utkontraktera ü Val av leverantör sker av kunden, större transparens, kunden kan ställa specifika krav, kräver tradi]onell kravställning och förhandling mellan kund och leverantör Molntjänst ü Val av tjänst via val av färdigt avtal sker av kunden, innehållet i tjänsten styrs normalt av leverantören, mindre transparens, kunden kan normalt inte påverka avtalet, innebär au kunden noga kontrollerar allt i avtalet för au säkerställa au tjänsten uppfyller organisa]onens krav

13 Integrerat i verksamhetens LIS LIS plus moln och privacy specifika säkerhetsåtgärder plus moln specifika säkerhetsåtgärder generella säkerhetsåtgärder del 1-3 om outsourcing och del 4 om molnet som tjänst Stöd för outsourcing och molnet som tjänst LIS

14 Exempel kommande ì Bilaga A Utdrag IaaS

15 ì