Upphandlingssystem och IT-säkerhet. Britta Johansson Sentensia

Transkript

1 Upphandlingssystem och IT-säkerhet Britta Johansson Sentensia 1

2 Säkerhetsfrågor i fokus dagligen 2

3 IT-säkerhet i upphandlingssystem Deltagare presenterar sig för varandra Myndighet Erfarenhet av elektronisk upphandling 3

4 Kammarkollegiets upphandlingsstöd Kammarkollegiet har regeringens uppdrag att utveckla och förvalta ett nationellt upphandlingsstöd samt att driva utvecklingen av elektronisk upphandling Vägledning: IT-säkerhet i system för elektronisk upphandling, utgiven

5 System för elektronisk upphandling Visma TendSign Mercell Opic Dibus Primona EU-supply CTM E-avrop Avantra Webbaserade molntjänster, används av upphandlare och anbudsgivare 5

6 Grundläggande säkerhetsfunktioner Insynsskydd och sekretess Vid lagring Vid datakommunikation Identifiering och autentisering Av företag eller myndighet Av behörig person Elektronisk identitet kopplas till person Behörighet att lämna anbud, att teckna kontrakt, att komma åt systemet Äkthet, undertecknande och förändringsskydd Förvanskningsskydd Undertecknande av FFU, Anbud, Öppningsprotokoll, Kontrakt Spårbarhet Tid Vem har gjort vad Håll reda på tidpunkter 6

7 Upphandlingsprocessen 7

8 Stegen i upphandlingsprocessen Annonsera Hämta handlingar Frågor och svar Lämna in anbud Öppna Utvärdera Tilldelningsbeslut Kontrakt 8

9 Vad säger lagen Anbud skriftligt Elektroniska medel allmänt tillgängliga Krav på systemen: säkert, behörighet, spårbarhet Får kräva elektronisk signatur Bevara säkert Öppna inte före tidsfristen Två personer öppnar Ingen uppgift lämnas ut innan beslut fattats 9

10 Hur mycket säkerhet behövs Gör en riskanalys! Vad står på spel? Vilka erfarenheter finns Vad händer om en oönskad händelse inträffar, vilka konsekvenser blir det? Vilken sannolikhet är det att en oönskad händelse inträffar? Skydd ska stå i proportion till risken 10

11 Dagens säkerhetslösningar Hur går det till att åstadkomma säkerheten? 11

12 Kryptering för insynsskydd Insynsskydd åstadkoms genom kryptering. Krypterat data vid överföring, kryptering vid lagring av data SSL vanligast för webbtjänster Garanterar rätt webbplats Insynsskydd i kommunikation Nyckellängd bör vara 128 eller 256 bitar för säker transport Krypterad e-post 12

13 Elektronisk identifiering Hur vet vi att det är rätt person som uppges ha behörighet Hur vet vi att det krypterade dokumentet kan läsas av tilltänkt mottagare? Elektronisk identitet är centralt begrepp 13

14 Elektronisk identifiering Användarnamn och lösenord skapas ofta av användaren själv visar att samma person återkommer lösenord ska inte lagras klartext komplexiteten står för säkerheten Engångslösenord Tvåfaktorautentisering, t.ex. dosa, sms, papper Certifikat kan ha utgivare som knyter person till certifikat avancerad teknisk lösning, PKI Identitetsintyg Inom en federation där deltagarna litar på varandra 14

15 Elektronisk identifiering Säkerheten i elektronisk identifiering beror på Den tekniska lösningen, hur säker är den Hur går identitetskontrollen till Utfärdarna av identiteter med hög säkerhet använder metoder för utlämning som liknar dem för körkort, pass och id-kort - hög nivå på identitetskontroll. Personligt möte kravs i något skede Standardiserade metoder för att ange säkerhetsnivåer, viktigt för att kunna ha tillit till andra aktörer 15

16 Säkerheten i den tekniska lösningen för e-identifiering Den tekniska lösningen Styrka i lösenord Att lösenord inte lagras i klartext Att lösenord är tillräckligt långa och komplexa Att lösenord byts ut tillräckligt ofta Ett de enheter som ger engångslösenord hanteras som värdehandlingar Att lösningar som bygger på certifikat och kryptering har tillräckligt långa nycklar och att certifikat inte är spärrat Att medlemmar i en federation iakttar samma regler 16

17 Säkerhet i identifieringen Identifieringen när en elektronisk identitet utfärdas står för att ge tillit till sambandet mellan personen och dennes elektroniska identitet Exempel: hämta ut dosa på bankkontor skicka lösenord till folkbokföringsadressen hämta ut lösenord med rekommenderat brev använd tidigare person-till-person-identifiering för att få ny elektronisk identitet 17

18 Elektroniska identiteter i Sverige E-legitimation SITHS - inom vårdsektorn Steria tjänstecertifikat STORK - för europiska medborgare Svensk e-legitimation - federation för offentlig sektor 18

19 Identifiering av myndighet och företag Är det rätt företag som lämnar anbud Är det verkligen den upphandlande myndigheten som anbudet skickas till? SSL-protokollet identifierar webbplatser 19

20 Behörighet och åtkomstkontroll Vem är behörig att lämna anbud Vem är behörig att teckna kontrakt Alla upphandlingssystem innehåller behörighetskontroller Olika behörigheter för olika roller Olika behörighet vid olika tidpunkter Behörighetssystem kräver elektronisk identifiering Hur behörig behöver man vara för att få ut ett förfrågningsunderlag? 20

21 Äkthet och förändringsskydd Checksumma En matematisk metod att verifiera äkthet i en datamängd, t.ex. ett dokument Förändring av data leder till annan checksumma Data kan inte återskapas ur checksumman I praktiken leder olika data alltid till olika checksummor En bra metod för att upptäcka förändringar, avsiktliga eller oavsiktliga 21

22 Exempel på användning av checksummor Manuell kontroll av anbud, överför checksumma på överenskommet vis Lösenord bör lagras som checksummor, inte i klartext Elektronisk signatur består av krypterad checksumma 22

23 Elektronisk signatur Knyt ett dokument till en person på ett säkert sätt Vanligtvis krypteras en checksumma Metoden skyddar mot avsiktlig och oavsiktlig förvanskning Metoden identifierar den som signerat En bra metod för att erhålla spårbarhet 23

24 Elektronisk signatur i upphandling Anbud kan signeras Myndigheter får kräva att anbud ska vara elektroniskt signerade Kräver att både myndighet och alla anbudsgivare har tillgång till elektroniska signaturer Kontrakt kan signeras elektroniskt 24

25 Elektroniska signaturer på svensk marknad ChamberSign har tjänst för elektroniska signaturer Flera typer av elektroniska identiteter kan användas för att skapa signatureren E-legitimationsnämnden upphandlar tjänst för att skapa elektroniska signaturer baserade på Svensk e- legitimation. Ett avrop på E-förvaltningsstödjande tjänster 2010 Inte särskilt vanligt ännu i upphandlingssammanhang 25

26 Federationer Federation: en gruppering som erkänner tillit till varandra och tillämpar samma regelverk Svensk e-legitimation är en federation för svensk offentlig sektor och utfärdare av e-legitimationer. Administreras av E-legitimationsnämnden Peppol är ett EU-projekt för elektronisk offentlig upphandling, har en federation för validering av certifikat för upphandling inom EU. Nu Open Peppol Stork är ett EU-projekt som handlar om europeiskt godkännande av elektroniska identiteter 26

27 Tid Tid är en väsentlig faktor i upphandlingssystem Systemen bör hämta tid från central server på internet Loggning med tidsangivelser ska göras Det finns fristående tjänster för tidsstämpling elektroniskt 27

28 Spårbarhet Loggning av alla händelser ger möjlighet till spårbarhet Elektronisk signatur ger också god spårbarhet 28

29 Tillit till upphandlingssystemet Det upphandlingssystem som en myndighet anlitar måste myndigheten ha tillit till Ett bra sätt är att begära att leverantören använder ett ledningssystem för informationssäkerhet Följ standarden ISO Eventuell certifiering är bra, men inte nödvändig 29

30 ISO I myndighetens säkerhetsarbete I upphandlingssystemets leverantörs säkerhetsarbete 30

31 ISO Informationssäkerhetspolicy Organisation av informationssäkerheten Hantering av tillgångar Personalresurser och säkerhet Fysisk och miljörelaterad säkerhet Styrning av kommunikation och drift Styrning av åtkomst Anskaffning, utveckling och underhåll av informationssystem Hantering av informationssäkerhetsincidenter Kontinuitetsplan för verksamheten Efterlevnad 31

32 ISO Bilaga A Mål och åtgärder Ca 100 konkreta krav på åtgärder 32

33 Fler exempel ur ISO bil A 33

34 Riskbedömning Vilka krav ska man ställa På upphandlingssystemet På anbudsgivarna Gör en riskbedömning vilka värden står på spel hur känslig är marknaden proportionalitet i kraven internationell marknad 34

35 På gång i Sverige och EU Direktiv, förordningar och lagstiftning 35

36 Ny lagstiftning om e- legitimationer 2013 Valfrihetssystem införs 1 juli 2013 för elektronisk identifiering för myndigheters e-tjänster Upphandlingssystem kan betraktas som en e-tjänst Myndigheter och utfärdare av e-legitimationer kan ansluta sig till en federation där ett regelverk anger säkerhetskraven och rutiner Identitetsintyg enligt standard med olika typer av bakomliggande elektronisk identifiering utgör Svensk e-legitimation 36

37 Upphandling över gränserna Gränsöverskridande upphandling är ännu litet En myndighet som annonserar över tröskelvärden och använder elektronisk inlämning av anbud måste ange hur utländska anbudsgivare ska lämna anbud Arbetet i EU siktar på gränsöverskridande upphandlingar 37

38 Vad är på gång inom området? Valfrihetssystem för e-legitimationer EU-förordning om gränsöverskridande elektronisk identifiering, elektroniska signaturer m.m. Nytt upphandlingsdirektiv med krav på elektronisk kommunikation Standarder för upphandlingsprocessen CEN/BII3 Standarder för elektroniska signaturer EU-projekt: STORK, PEPPOL, E-SENS 38

39 Upphandlingsdirektiv Elektronisk upphandling blir obligatoriskt Miniminivå, e-kommunikation Flera moment ska kunna göras elektroniskt: Annonsering Tillgång till förfrågningsunderlag Möjlighet att lämna anbud Kataloger 39

40 Elektronisk identifiering Ny reglering av elektronisk identifiering och elektroniska signaturer planeras Motiveras bland annat med kraven på elektronisk upphandling Tekniska krav specificeras av EU-kommissionen 40

41 Status, förordningen, e-signaturer Mål att anta förordningen under EP nuvarande mandatperiod Förhandlingarna (trilogerna) måste vara avslutade under februari

42 Status, förordningen, e-signaturer Artiklar 1-19 Inledande bestämmelser E-legitimationer Krav på tillhandahållande av betrodda tjänster Tillsyn av betrodda tjänster Övriga artiklar Regler för e-signaturer och sigill, valideringstjänster, bevarandetjänster, tidsmärkningar, e-delivery, webbsideautentisering Elektroniska dokument (ej betrodd tjänst) 42

43 Avslutande checklista 43

44 Vad ska man tänka på? Riskanalys Ledningssystem Insynsskydd Informationsklassning Tidsangivelser Identifiering och lösenord Behörighet hos anbudslämnare Behörighet hos utvärderare Elektronisk identifiering Elektronisk signatur Spårbarhet och loggning Allmän IT-säkerhet 44