Sid 1 April 2018 Säker IT-drift. Säker it-drift för offentliga aktörer Stefan Olowsson CIO Försäkringskassan

Transkript

1 Sid 1 April 2018 Säker IT-drift Säker it-drift för offentliga aktörer Stefan Olowsson CIO Försäkringskassan

2 Säker it-drift Regeringen ger Försäkringskassan i uppdrag att erbjuda samordnad och säker it-drift för vissa myndigheter. Det övergripande syftet är att pröva och utvärdera former för samordnad och säker it-drift för lämpliga myndigheter. Sid 2 April 2018 Säker IT-drift

3 Hur har vi hamnat här? Utredning 2014 om Effektiv IT-drift i Staten Förstudien konstaterade i ett tidigt skede att det finns en betydande effektiviseringspotential inom myndigheternas IT-drift och att det generellt sett finns tre olika sätt att genomföra nödvändiga effektiviseringar: Regeringen ger genom mål- och resultatstyrning myndigheterna i uppdrag att effektivisera ITdriften. Varje myndighet väljer själv hur effektiviseringarna genomförs. Regeringen ålägger myndigheterna att konkurrensutsätta IT-driften. Regeringen beslutar om att IT-driften koncentreras till en myndighetsgemensam aktör som svarar för att effektiviseringen genomförs. Denna åläggs i sin tur att konkurrensutsätta utförandet. IT-driftskostnader (miljarder kr) (2012) Statliga myndigheter 10,5 Antal datorhallar hos statliga myndigheter Stora myndigheter där IT utgör en kritisk del av kärn-verksamheten 24 Mellanstora myndigheter där IT utgör en stödfunktion 422 Mindre myndigheter där IT utgör en stödfunktion 252 Högskolor och universitet 82 Övriga myndigheter (exklusive utlandsmyndigheter) 35 Summa 784 Sid 3 April 2018 Säker IT-drift

4 Molntjänster i Staten 2015 För den enskilda myndigheten, och således även aggregerat för staten, är nyttorna flera. Innovation och möjlighet till snabb förnyelse är vid sidan av flexibilitet och skalbarhet, kostnadseffektivitet, tillgänglighet och ökad säkerhet centrala nyttor som ofta kan nås med molntjänster. Användning av molntjänster kan också minska behovet av egen it-personal, t.ex. där det kan vara svårt för en enskild myndighet att upprätthålla spetskompetens. Förvaltningsgemensam utveckling kan förenklas av att använda molntjänster i gränssnittet mellan myndigheter, till exempel stödtjänster där myndigheternas behov är likartade och vid utveckling av myndighetsgemensamma digitala tjänster till kunder. Sid 4 April 2018 Säker IT-drift

5 En statlig molntjänst bör införas Vintern 2016 Statens servicecenter föreslår att merparten av de statliga myndigheternas it-drift bör samordnas i en statlig molntjänst. Den statliga molntjänst Statens servicecenter föreslår kommer att erbjuda myndigheterna två tjänster: datorkraft och lagring. För anslutna myndigheter kommer tjänsten att vara helt skalbar och flexibel. Beställning av kapacitet kommer att vara fullt automatiserad. När statens molntjänst byggs upp bör statens befintliga bergrum, fibernät m.m. användas. Det är effektivt i kostnads-, resurs- och säkerhetshänseende. Statens molntjänst ska också vara helt leverantörsoberoende. Som utgångspunkt bör all programvara ha öppen källkod. Statens molntjänst kan lämpligen inrättas inom ramen för en befintlig myndighet eller som en ny myndighet. Sid 5 April 2018 Säker IT-drift

6 Sommaren 2017 Hände väl inget? Fokus SÄKERHET Sid 6 April 2018 Säker IT-drift

7 Statligt ägt moln kan säkra svenskarnas data Med ett eget svenskt eller nordiskt publikt moln kan vi hantera vår kritiska data utan att vara beroende av globala storföretag, skriver Carl Lindén och Daniel Byström från företaget SUSE. Visst skulle ett alternativ kunna vara att försöka skriva ännu bättre avtal med de globala privata molnjättarna och att kontinuerligt granska jättarna och deras underleverantörer, men oavsett hur bra avtal som skrivs så går det inte att komma ifrån att molntjänster blir en allt viktigare del av vår nationella infrastruktur, och kanske har vi kommit till ett läge där det börjar bli för riskabelt att lämna ifrån sig detta helt till privata aktörer. Och de globala molnleverantörerna kan faktiskt fortfarande spela en roll i en lösning likt den vi föreslår, exempelvis genom att bidra i olika delar av införandet och hanteringen av infrastrukturen. Men nycklarna till ett statsmoln kommer alltid ägas av staten och medborgarna, och det skulle vara en viktig skillnad från hur det är nu. Sid 7 April 2018 Säker IT-drift

8 Informationshantering The recent revelations around Cambridge Analytica have shocked many, but are they really the 'big bad' when it comes to data collection and its use? Many have argued that it is merely a toddler compared with a far bigger and more practiced organization - Palantir. Sid 8 April 2018 Säker IT-drift

9 Säker it-drift Uppdraget är en del av det åtgärdspaket som regeringen har arbetat med sedan 2014 för att öka säkerheten i it-driften. I juni 2016 fattade regeringen beslut om en ny nationell informations- och cybersäkerhetsstrategi och i juli 2017 fattade regeringen även beslut om att Postoch telestyrelsen ska ta fram en förvaltningsmodell inriktad mot säkra itutrymmen för särskilt säkerhetskritisk verksamhet. Sid 9 April 2018 Säker IT-drift

10 Ett av Sveriges största datacenter Standardiserat automatiserat datacenter 400 anställda 250 leverantörsavtal med underleverantörer Linux-, Windowsservrar 1,3 petabyte lagrad information 3,5 petabyte backup-information Datahallar med geografisk separation Kontinuerlig drift (24/7) för produktionen Sid 10 April 2018 Säker IT-drift

11 Försäkringskassan Hantera ~ 40 olika förmåner Betalar ut mer än 600 miljarder (inkluderat pension) 54 miljoner betalningar Ca anställda (1000 IT) 40 miljoner beslut Sid 11 April 2018 Säker IT-drift

12 Säkra tjänster offentliga aktörer Försäkringskassans myndighetsmolntjänster för att erbjuda samverkansmöjligheter inom offentlig verksamhet med samhällskritisk information. 1 IT-drift Datacentertjänster 2 IT-drift Produktionstjänster 3 Säkerhet Säkerhetsklassade personal, leverantörer och lokaler. Sid 12 April 2018 Säker IT-drift

13 Datacentertjänster Samlingsnamn för de tjänster som levereras ut från det interna molnet 1. Säkra 2. Effektiva 3. Utvecklande Mjukvara som tjänst (SaaS) Mätvärden, MCA Infrastruktur som tjänst Server, OS, Backup, Lagring, Brandvägg, Lastbalansering Datahall Hallyta, Ström, Kyla, Säkra zoner Plattform som tjänst (PaaS) Applikationsserver, Databas, Integrationsserver Container, Applikation, Plattform (CAP) Containerplattform som en driftsplattform eller utvecklingsmiljö Sid 13 April 2018 Säker IT-drift

14 Produktionstjänster Kontinuerlig övervakning och hantering av driftsatta tjänster för att garantera tillgängliga och stabila tjänster Applikationsdrift Problem, incident, driftsättning m.m. Tjänsteövervakning Övervakning och uppföljning av tjänster Säkerhetsövervakning SOC Servicedesk Support via olika kanaler Komponentövervakning Övervakning av driftsatta tjänster Statistik/Analys Kontinuerlig återkoppling kring tjänster och nyttjandegrad Sid 14 April 2018 Säker IT-drift

15 Säkerhet - Säkerhetsskyddslagen Säkerhetsskyddet skall förebygga att: 1. uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet), 2. obehöriga får tillträde till platser där de kan få tillgång till uppgifter som avses i 1 eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och 3. personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet skall även i övrigt förebygga terrorism Sid 15 April 2018 Säker IT-drift

16 Definitioner 4 I denna förordning avses med Säkerhetsskyddsförordningen 1. hemlig uppgift: uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet, 2. hemlig handling: handling som innehåller hemlig uppgift, samt 3. säkerhetskänslig verksamhet: verksamhet av betydelse för rikets säkerhet. Förordning (2009:1152). 13 Myndigheter och andra som förordningen gäller för skall, innan de sänder hemliga uppgifter i ett datanät utanför deras kontroll, förvissa sig om att det för uppgifterna där finns en fullgod informationssäkerhet. Hemliga uppgifter får krypteras endast med kryptosystem som har godkänts av Försvarsmakten Sid 16 April 2018 Säker IT-drift

17 @ Cybersäkerhet Sid 17 April 2018 Säker IT-drift

18 Överbelastningsattacker - DDos Mellan 23:46 och 00:51 i natt var vi DDoSade, ca 70Gbit och dessutom en av de längsta ihållande attackerna. Attacken var riktad mot vår Självbetjäning, Mail och våra DNSer. Efter klockan 23:58 ser vi inte längre någon dålig trafik komma in till våra brandväggar. Under de första 12 minuter kan vi upplevt störningar men det ser ut som om alla system fungerade nästan oberört enligt vad vi kunnat se i graferna. Efter detta ser vi ingen dålig trafik i brandväggarna längre. Sid 18 April 2018 Säker IT-drift

19 Hur skall det nu fungera? Vad är samverkan? Inte Kund Leverantör Total transparens Självkostnadspris Gemensam utveckling av tjänster Gemensamma forum för styrning av tjänsten Sid 19 April 2018 Säker IT-drift

20 Digitalization-examples from around the world You could say, these shifts are encouraged by the some Government approaches e.g. UK Government The UK government has created a strategy called Digital by Default with the emphasis on delivering a better service for the user and better outcomes for the department. To achieve this, it states that a fundamental redesign of services is needed across the organisation. It requires that an outside-in (customer, market, citizen or worker or partner) perspective is taken when developing new systems Gartner, Inc. and/or its affiliates. All rights reserved. 18 Sid 20 April 2018 Säker IT-drift

21 OECDs 6 punkter 1. From a user-centred to a user-driven administration: 2. From reactive to proactive policymaking and service delivery; 3. From an information-centred government to a data-driven public sector 4. From digitalisation of existing processes to digital by design 5. From government as a service provider to government as a platform for public value cocreation 6. From access to information to open by default Sid 21 April 2018 Säker IT-drift

22 Towards a data-driven public sector (OECD) Data as produced by public institutions, citizens and other societal stakeholders in Sweden has the potential to become a key strategic asset alongside human and financial resources to boost innovation in the public sector. Ultimately, this can lead to a transformation of the design and delivery of policies and services and improvement of overall government performance. A data-driven public sector is not yet a reality in Sweden, despite the availability of several relevant resources such as base data registries, financial means, a digitally mature public sector and a high percentage of ICT professionals among the working population. The big challenge is to create an environment that will fully enable the Swedish government to capture the strategic value of public sector data as a strategic asset for public value creation and a core vector for the digital transformation of the public sector. Sid 22 April 2018 Säker IT-drift

23 Vad vill vi egentligen åstadkomma? Information som är skyddsvärd ska vi självklart ha kontroll på Kompetensnivån inom statliga myndigheter på området informationshantering och digitalisering ska höjas Tekniken skall man lita på som två hål i väggen. Datakraft och infrastruktur skall vara säker och tillgänglig Kostnadseffektiva lösningar för staten Sid 23 April 2018 Säker IT-drift