Effektiv styrning av informationssäkerhet och IT-säkerhet i en komplex och samhällsviktig verksamhet



Relevanta dokument
Bilaga 3 Säkerhet. Bilaga 3 Säkerhet. Dnr Fasta och mobila operatörstjänster samt transmission -C

IT-verksamheten, organisation och styrning

Utvärdering av Nynäshamn

Förstudie. Nerikes Brandkår. Diarieföring av allmänna handlingar Ref Roger Wallin

Informationssäkerhet är ett medel som bidrar till att uppnå kommunens övergripande mål.

Hur pendeltågstrafiken fungerar idag och hur SL vill utveckla den i framtiden

Här kan du ta del av presentationen från webbseminariet i pdf-format. Tänk på att materialet är upphovsrättsskyddat och endast till för dig som

Informationssäkerhet i. Torsby kommun

HALVTID I STOCKHOLMS LÄNS LANDSTING. en avstämning från Moderaterna

Riktlinjer för systematiskt säkerhetsarbete och säkerhetsorganisation för Malung-Sälens kommun.

Lathund. Fakturering via fil i Tandvårdsfönster

Torsten Regenholz. Curriculum Vitae. Januari Profil: Torsten Regenholz. Sammanfattning. Kompetens och erfarenhet

ENHETSRAPPORT - SOLHEMS GRUPPBOSTÄDER I O II

EBITS Energibranschens IT-säkerhetsforum

Hur kör vi egentligen en undersökning om trafikanters beteende och nya hastighetsgränser utifrån en bussförares perspektiv?

Ledningen i fokus - starkare styrning krävs för att utveckla statlig verksamhet med bra och säkra IT-/e-tjänster

Trafikförändringar i sommar

Kundportal. Kundportal - Användarhandledning

Avtalsform Ramavtal & enstaka köp Namn Nyckelfri låslösning för hemtjänsten

Om tillgänglighet i SL-trafiken. Alla har sitt sätt att resa

Metodstöd för ISD-processen. Övergripande beskrivning

IT-Systemförvaltningspolicy

Kommungemensam intern kontrollplan 2014 (KSN ).

Trafiken i Stockholms län 2007

Granskningar avseende Upphandling och Personuppgiftslagen

Revisionsrapport Norrtåg AB.

FÖRSVARSMAKTENS INTERNA BESTÄMMELSER

Avropsförfrågan från ramavtal

Eva Leach Elfgren, ehälsomyndigheten

Lokal informationssäkerhetspolicy, lokala informationssäkerhetsriktlinjer och anvisningar

Utbildningsdag om informationssäkerhet

Informationssäkerhet - Instruktion för förvaltning

Aktuell information HSO i Stockholms län Nr 4 juni 2010

Stockholms läns landsting 1 O)

Utbildningskatalog. Mercell. 1: Allmän, grundläggande kurs 2: Fördjupningskurser 3: Branschorienterade specialkurser

Förslag till Myndigheten för samhällsskydd och beredskaps allmänna råd och kommentarer om krav på informationssäkerhet.

Teknik Fastighet 1(8) Datum Handläggare Jenny Elvén, TeFP. Väderskydd. April Björn Bernström

Metodstöd 2

Skärpta krav för informationssäkerhet, IT-verksamhet och insättningssystem. Jonas Edberg och Johan Elmerhag 20 maj, GRC 2015

Strategisk trafikplanering. Lund Oktober 2010 Björn Sundvall Svensk Kollektivtrafik

J Lundh. Kraven riktas mot linjechefer och datoranvändare. Linjechefer ansvarar för att reglerna är kända i organisationen.

Tjänsteavtal för ehälsotjänst

Protokoll. Sida 1 av 6

Revidering av policy och regler för informationssäkerhet i Stockholms stad

Användarmanual Timvärde El o Fjärrvärme

Punktlighet i SL-trafiken. Månadsrapport för oktober 2009

Revisionsrapport. Granskning av intern styrning och kontroll av informationssäkerheten vid Gymnastik- och idrottshögskolan 2010.

Informationsmöte Förskola. Marianne Natéus, Oskar Sevefjord, Magnus Elfström, Ing-Marie Stenström

POLISMYNDIGHETEN I IT-POLICY 1 (5) ÖSTERGÖTLANDS LÄN Förvaltningsavdelningen

Vad gäller för gatan där blomlådorna placeras?

Rev Dexter Intag Sökande

Inspektion av arkivvården vid Umeå universitet, Institutionen för socialt arbete, den 17 september 2014

Informationssäkerhet i regional samverkan! Nr 11 & 12, 2015 Månadsbrev november & december 2015

Utveckla registratorsrollen En utbildning för dig som vill bredda och fördjupa din kompetens som registrator

Kom med i en gemensam, nationell satsning för att etablera en enkel och effektiv e-tjänst!

Genomförandeavtal gällande Helsingborgsexpressen på linje 1

Kommunal vuxenutbildning: elever, kursdeltagare och utbildningsresultat, första halvåret 2016.

Kommunövergripande riktlinjer för säkerhet och krisberedskap i Östra Göinge kommun mandatperioden

Vad tycker du om sfi?

Frågor och svar kring trafiklösningar inom Fyrklövern

Spårbarhet och daglig partirapportering, vad gäller?

Utbildning av Utrymningsledare för Sporthallen Tibro

Informationsmaterial och manual Nytt körordersystem webb

Motion gällande: Hur kan Stockholms stad förbättra och utveckla kollektivtrafiken?

Söka föreningsbidrag på webben

Yttrande över motion 2011:36 om åtgärdsprogram för en fungerande kollektivtrafik vintertid

Eftervalsundersökning för Stockholms läns landsting Tillväxt, miljö och regionplanering

INFÖR RAPPORTERINGEN AV 2015 ÅRS MILJÖLEDNINGSARBETE OCH ENERGIEFFEKTIVA INKÖP

Införande av elektroniska körjournaler i kommunens bilar

Personuppgiftslagens övergångsbestämmelser upphör; personinformation på webbsidor; m.m.

RAPPORT Bemötandets betydelse i kollektivtrafiken Analys & Strategi

Säkerhet i industriella informations- och styrsystem

STOCKHOLMS STAD PERSONER MED FUNKTIONSNEDSÄTTNING 2014 BARNBOENDE HELA STADEN

Lagring i molnet. Dokumenthantering i högskolans Office365 ur ett offentlighetsperspektiv

FÖREDRAGNINGSLISTA. Beredningen för demokrati, jämställdhet och integration Torsdagen den 29 oktober 2015 kl Landstingets konferenscentrum

Policy för informationssäkerhet

Lastbilstransporter och entreprenadmaskintjänster UH

Förvaltningsplan för Selma

2011 Reningsverk och vatten.

För att anmäla dig till Grästorpsmässan så fyller du i anmälningsformuläret. Det finns möjlighet att önska monterplats. Se monterkartan.

Kliniska prövningar av läkemedel dagens regler och den nya förordningen. Margareta Svensson Team Leader Drug Safety TFS, Sweden

foto: Staffan Löwstedt SvD SCANPIX När vinst går före säkerhet En rapport från SEKO april 2013.

Risk- och sårbarhetsanalys Karlstadsregionen

Revisionsrapport: Informationssäkerheten i den tekniska miljön

Möjlighet för bussar i beställningstrafik och vissa varutransporter att utnyttja kollektivtrafikkörfält. Uppdrag från Kommunfullmäktige m.fl.

Centralupphandling av drift och förvaltning av ITsystem, fast och mobil telefoni samt serverdrift i stadsnätet

Om du vill hitta tillbaka till din sektion klicka på fliken i huvudmenyn som heter organisation.

Flytt av e-post till OCS

STRÖMSTADS KOMMUN SÄKERHETSPOLICY. Antagen av Kommunfullmäktige

Beslut efter tillsyn enligt personuppgiftslagen (1998:204) PuL

Inspektion av arkivvården vid Opus Bilprovning AB, stationen i Härnösand-Saltvik den 13 maj 2013

Återrapport av verksamhetsstöds utförda interna kontroller 2015

Page: 1 of 14 Title: TouchCenter 2 & 4 Revision: 1 Type: User Manual Author: MK. Användarmanual. TouchCenter 2 & 4

Redovisning av säkerhetsarbetet och säkerhetsläget i Västra Götalandsregionens verksamheter 2013

Risk- och sårbarhetsanalys Erfarenheter från tio års forskning ( )

Mobilapplikation htp:/aktjon.argentum.se/activitymobile

Användarmanual Mina sidor Timvärden

Frågor och svar. Beskrivning: IT-konsulttjänster Resurskonsulter Norra regionen och Uppsala-Örebro.

Västtrafiks tilldelning av kontrakt för köp av tåg till regiontrafiken

Lisa kortmanual. Version Miljödata AB Ronnebygatan 46 Tel Karlskrona Org. nr

Transkript:

Sida 1 Effektiv styrning av informationssäkerhet och IT-säkerhet i en komplex och samhällsviktig verksamhet 1 Informationssäkerhets- & IT-säkerhetsansvarig Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 2 Effektiv styrning av Informationssäkerhet Agenda 18 November 2015 2 min om oss bl.a. Storstockholms Lokaltrafik Trafikförvaltningens utmaningar runt Informations- & IT-säkerhet Styrning av säkerheten, risker och kravefterlevnad vid IT-upphandlingar Informationssäkerhetsklassning Kravhantering Riskhantering Åtgärdshantering Trafikförvaltningens utbildningar inom Informations- och IT-säkerhetsområdet IT-säkerheten i IT-drift och systemförvaltning. Mätning av IT-säkerheten i verksamheten Elektronisk ärendehantering av IT-säkerhetsärenden 2 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 3 Vår kärnverksamhet är kollektivtrafik i Stockholm 3 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 4 Storstockholms Lokaltrafik De flesta Stockholmare har en relation till SL. 4 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 5 2 minuter om SL SL har 1 miljon resenärer i Tunnelbanan per dag 700.000 resenärer köper månadskort (SL-accesskort). Stockholm har Tunnelbanan har 28 mil spår, varav 9 mil går i tunnlar Tunnelbanan har även 725 trafiksignaler Totalt i vår spårbundna trafik finns ca 45 mil spår SL trafikerar Stockholms kollektivtrafik med: över 500 tunnelbanevagnar mer än 2400 bussar på Stockholms gator. Busslinje nr4 har 60.000 passagerare per dag. 40 spårvagnar (bl.a tvärbanan och Lidingöbanan) 40 pendeltåg 135 tåg på våra lokalbanorna (Bl.a. Roslagsbanan och Saltsjöbanan) 5 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 7 2 minuter om SL Vi omsätter ca 13.3 miljarder kr per år (2013). Resenärerna bidrar med 6.5 miljarder kr (biljettintäkter) Sthlms Läns Landstings bidrag är 6.8 miljarder kr per år Vi har 12.000 personer i vår verksamhet Varav ca 11.000 är entreprenörer (MTR, Nobina, Keolis och Arriva m.fl.) 7 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 8 Vad betyder säkerhet för dig? Förmågan att undgå hot, risk och skada. 8 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Alla tänker inte lika runt säkerhet! Sida 9 På engelska Security? bl.a Informationssäkerhet och IT-säkerhet Safety? Fysisk säkerhet Förmågan att undgå hot, risk och skada. (Cambridge Dictionary) 9 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 10 SÄKERHET på svenska? Fysisk säkerhet (Safety) IT-säkerhet Infosäkerhet (Security) Liv och hälsa Förhindra fysisk skada & olyckor Tillgänglighet Förhindra IT-stopp & -störning Ofta då det pratas om säkerhet i Sverige så menas fysisk säkerhet! 10 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 11 TLC (Manöversyst) Säkerhet (Safety och Security) Fysisk säkerhet IT-säkerhet/Infosäkerhet Signalsäksystem (Styrsystem) Informations- & IT-säkerheten når överallt! Liv och hälsa Förhindra fysisk skada & olyckor Tillgänglighet Förhindra IT-stopp & -störning El-styrning Övervakning 11 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 12 SL:s utmaningar runt Informationssäkerhet och IT-säkerhet 12 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 13 Kollektivtrafiken i Stockholm är extremt IT-beroende IT kanske är det känsligaste och sårbaraste vi har i vår verksamhet! Administrativa system: Ex. Ekonomisystem, kontorssystem (ca 2000 anställda/konsulter) m.m. Trafiknära IT-system: Information till resenärer (t-bana, bussar, pendeltåg, tågplattformar, stationer). Biljettsystemet SL-Access (över 2 miljoner användare) Trygghetssystem (ca. 20.000 övervakningskameror, brandlarm, mm) Internet: www.sl.se Reseplaneraren (300.000 träffar/dag) IT-system i trafiken Signalsäkerhetssystem, styrning av el till tåg, 10 trafikledningar m.fl. SL har ca 170 IT-system. 13 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 15 Detta är IT-systemet som styr informationen till resenärerna. 15 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 16 Åhléns Ett aktuellt exempel med stor påverkan på IT-säkerheten 2017 Drottning gatan Bryggareg Vasag Vasag vid Vasaplan Nya Citybanan (Centralstationen) Vasagatan Klarabergsgatan Sergels Torg Biljetthall Vasaplan T-röd/grön. Orgelpipan T-röd/grön. T-Blå Blå gången Södra mellanplanet 45 Norra mellanplanet Centrala mellanplanet m Spår 4 Plattform Spår 3 Spår 2 Plattform Spår 1 16 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 17 Nya Citybanan (Centralstationen) 17 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 18 Nya Citybanan (Centralstationen) 18 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 19 Nu går vi över till styrning, riskhantering och kravefterlevnad (även kallat GRC*) Informationssäkerhet & IT-säkerhet * GRC= Governance, Risk and Compliance 19 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 20 Trafikförvaltningens styrande dokument inom Informationssäkerhet & IT-säkerhet 20 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 21 Att Innehåller den politiska ledningens (Trafiknämndens) övergripande avsikt och mål för Informationssäkerhet inom Trafikförvaltningen Vad Policy Riktlinjer Trafikförvaltningens: 1. Riktlinjer för Informationssäkerhet 2. IT-säkerhetskrav för IT-baserade styrsystem (sk. Scada-system) Hur Instruktioner Hur och på vilket sätt 21 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 22 Våra grundprinciper för informationssäkerhet All informationssäkerhet baseras på: Konfidentialitet Riktighet Tillgänglighet Tre grundpelare för säker informationshantering 22 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 23 Bedömning och beslut om informationens skyddsbehov. Den som är informationsägare beslutar vilken skyddsnivå informationen ska uppnå. (exempelvis verksamhetsägare eller systemägare) Detta sker genom säkerhetsklassning av informationen. Våra informationssäkerhetsklasser är: Konfidentialitet = nivå 1 till 4 Riktighet = nivå 1 till 4 Tillgänglighet = nivå 1 till 4 1 = Öppen allmän 2 = Känslig intern 3 = Mycket känslig sekretess 4 = Hemlig enligt säkerhetsskyddslagen Skriven dokumentation behöver endast klassas med Konfidentialitet. Vid IT-tillämpningar används även Riktighet och Tillgänglighet 23 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 24 En viktig förutsättning för att säkerheten ska fungera är att det finns utpekade personer med säkerhetsansvar i verksamheten. 24 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 25 Inom Trafikförvaltningen följer informationssäkerhetsansvaret verksamhetsansvaret Vår Informationssäkerhetspolicy säger: Ansvaret för informationssäkerheten är kopplat till det delegerade verksamhetsansvaret. Varje person som är ansvarig för en verksamhet är också ansvarig för informationssäkerheten inom den verksamheten. Detta innebär t.ex. vid upphandlingsprojekt med IT-påverkan att: Sponsorn i upphandlingsprojekt ansvarar för den Informationssäkerhet som anskaffas, utvecklas och införs. Verksamhetsansvarig i linjen tar över informationssäkerhetsansvaret vid produktionssättning av anskaffad eller utvecklad IT-tjänst/-system. 25 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 26 Praktisk kravhantering Styrning av säkerhetskrav vid upphandling, utveckling och införande av IT-tjänster. 26 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 27 Traditionell krav- & säkerhetsstyrning Informationssäkerhetsansvarig (CISO) Riktlinjer/krav för Informationssäkerhet & IT-Säkerhet...? Upphandlare, Leverantörer, Projektledare, Chefer, Systemförvaltare Svårigheter att mäta, granska och följa upp? 27 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 29 Trafikförvaltningen har infört en modern process för hantering av Informationssäkerhets- och IT-säkerhetskrav Upphandlare, Leverantörer, Projektledare, Chefer, Systemförvaltare IT-säkerhetskrav tillvaratagna Complianceprocessen En tydlig process för att ta sig till slutmålet. Process för kravhantering Compliance processen Säkerhetsmässigt startläge 29 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Nytta Konsekvens Sida 30 Trafikförvaltningens Compliance-process 6 steg för kravuppfyllelse Vid detta steg fastställs önskad ITsäkerhetsnivå. Informationssäkerhetsklassning Ej aktuella säkerhetskrav tas automatiskt bort! Följa upp och kontrollera införande av beslutade åtgärder. Uppföljning & kontroll Genomför beslutade åtgärder. Genomförande 6 5 Vilka risker är enklast, billigast och ger mest nytta att åtgärda? Medvetet beslut om prio fattas här. 1 Stödverktyget Compliance Portal 4 Informationssäkerhetklasser: Konfidentialitet 1-4 Riktighet 1-4 Tillgänglighet 1-4 2 3 Åtgärdsanalys Kravuppfyllelse? En webbaserad självdeklaration med kontrollfrågor skapas och skickas till leverantörer ang. deras IT-säkerhet. Svaren GAP-analyseras. Av beslutade krav, vilka uppfylls? Riskanalys Sannolikhet Vilka risker finns med de ej uppfyllda kraven? 1 2 3 4 5 6 7 8 9 10 11 12 13 30 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Konsekvens Nytta Sida 31 Informationssäkerhetsansvarig. (CISO) Trafikförvaltningens complianceprocess för styrning av informationssäkerhet Regelverk/Kravkataloger tas fram Konfidentialitet Riktighet Tillgänglighet 1 till 4 GAP analys 1 2 3 4 5 6 7 8 9 10 11 12 13 Sannolikhet Bra åtgärd Kr OK? Ej åtgärd 1 2 3 4 Upphandlare, Leverantörer, Projektledare, Chefer, Systemförvaltare Start ca 340 baskrav för Info- & IT-säkerhet Säkerhetsklassning av informationen sätter säkerhetsnivå och tar bort ej aktuella säkerhetskrav. Aktuella krav! ex.100 st (resten automatiskt borttagna) Självdeklaration Kontrollfrågor och GAP-analys ger status på. avvikelser från IT-säk-krav. Kravuppfyllelse Klarar: 87 krav klarar ej: 13 krav Riskanalys Vilka är de allvarligaste riskerna.? Risk ex. 8 av 13 krav ger hög risk. Åtgärdsanalys Vilka åtgärder är lämpligast? Åtgärder ex. 3st prio 1 2st prio 2 3st prio 3 Trafikförvaltningen använder stödverktyget Compliance Portal 31 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 32 Hanteringen av IT-säkerhetskrav vid upphandling av IT-tjänster/-system Riktlinjer för Informationssäkerhet 340 krav/regler Vad som gäller! 15 generella baskrav för IT-säkerhet biläggs i anbudsförfrågan. kompletterat med Vår webbaserad självdeklaration för IT-säkerhet som ges till ex. leverantörer. Övergripande IT-säkerhetskrav Webbaserade tekniska frågor baserade på riktlinjerna om leverantörens IT-säkerhet Trafikförvaltningen använder stödverktyget Compliance Portal 32 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 33 Informations- & IT-säkerhetskrav omformas till kontrollfrågor i en självdeklaration 15 baskrav för IT-säkerhet biläggs alltid i anbudsförfrågningar. 1. Trafikförvaltningens självdeklaration för IT-säkerhet ska besvaras. Genom trafikförvaltningens självdeklaration skall leverantören redovisa den upphandlade produktens informations- och IT-säkerhet. 2. Loggning av systemhändelser Systemet skall/bör erbjuda loggningsfunktionalitet som som ger SL ger möjlighet SL möjlighet att spåra att systems, spåra systems, användares användares och systemadministratörers och systemadministratörers aktiviteter. aktiviteter. 3. Skalskydd för IT-miljöer Driftsutrymmen skall/bör utrustas med fysiskt skalskydd, larm och elektronisk tillträdeskontroll för att säkerställa att endast behörig personal får tillträde till lokaler där utrustning relaterad till SL:s verksamhet finns. 4. Skydd mot miljöhot Driftsutrymmen skall/bör vara utrustade för att förebygga och begränsa driftstörningar beroende på miljöhot (brand, vatten, driftsklimat). 5. Stabila tekniska försörjningssystem Driftsutrymmen skall/bör vara utrustade för att förebygga och begränsa driftstörningar beroende på tekniska försörjningssystem (el, kylning, ) Webbaserad självdeklaration skapas med kompletterande kontrollfrågor om leverantörens IT-säkerhet. Exempel på kompletterande kontrollfrågor (tillstånd inte krav) rörande spårbarhet: 1. Loggar lagras och hanteras i ett centralt loggarkiv 2. Leverantören tar backup på loggarkivet minst en gång per dygn 3. Det finns IT-stöd för att enskilda loggrader eller filer lämnas ut med stöd av offentlighetsprincipen efter sekretessprövning Självdeklarationens svarsmöjligheter Självdeklaration IT-säkerhet 6. Skydd mot skadlig kod Windows-baserade system skall/bör ha ett antivirus-system som är aktivt, uppdaterat och konfigurerat för att larma centralt i händelse av att skadlig kod identifieras. Systemet ska utvecklas och designas för att fungera med antivirusfunktionen aktiv. 7. Korrekt tid Tid och datum-zon skall/bör synkroniseras för alla system och systemkomponenter mot korrekt tidskälla. 8. Styrning av åtkomst och behörigheter System och systemkomponenter skall/bör ha välfungerande behörighetskontroll. System med flera användare ska ha ett åtkomstkontrollsystem som nekar all åtkomst till system, objekt, data och komponenter som inte explicit har tilldelats. Alla användare och administratörer ska ha personliga användarkonton. Ska eller bör? Väljs av sponsor! 9-15 xxxxxx 33 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 34 Självdeklaration (kontrollfrågor) till leverantör om IT-säkerheten 34 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 35 Typexempel: Svar på kontrollfrågor om IT-säkerhet från en leverantör Kontrollfrågor (påståenden) om IT-säkerhet Leverantörens svar 1 2 3 4 5 6 7 35 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 36 Bedömning av leverantörers IT-säkerhet vid upphandling av IT-tjänst eller -system Femton generella baskrav biläggs i alla anbudsförfrågningar. Leverantörer deklarerar sin IT-säkerhet via en webbaserad självdeklaration. Kontroll frågor 1 2 3 4 5 6 7 X Y Z 100 Lev nr 1 Lev nr 2 Lev nr 3 Lev nr 4 4 säkerhetskrav/-punkter till SL:s riskanalys 7 säkerhetskrav/-punkter till utvärdering eller avtalsbilaga 36 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 37 Via stödverktyget CompliancePortal får vi kontroll på IT-säkerhetsstatus i alla IT-upphandlingar, -system och -projekt Kontrollfrågor Exempel: 35 genomförda deklarationer i projekt eller upphandlingar. 37 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

15 baskrav i anbudsförfrågan Kompletterande självdeklaration via *Compliance Portal: Frågebatteri till leverantörer Ej uppfyllda Uppfyllda Anbudsutvärdering IT-säkerhetslöften läggs in i avtalsbilaga Sida 38 Summering: Leverantörer redovisar i detalj sin IT-säkerhet i föreslagen leverans. 15 baskrav Kontrollfrågor: Svar: Infoklassning K/R/T Leverantörens löften om säkerhet Compl.Processen Leverantör anger rött (icke klarar) TF gör riskanalys (redovisas för styrgrupp) Lämpliga åtgärder beslutas Trafikförvaltningens complianceprocess 38 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 39 Compliance Portal Stödverktyget för kravhantering säljs av CyberCom bl.a. via Kammarkollegiets ramavtal. 39 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 40 IT-säkerhet vid överlämning av IT-projekt till drift och förvaltning 40 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 41 Test & granskning av IT-säkerhet vid leveranstillfället Håller IT-säkerheten? IT-Produktion Produktions- Vi använder projektstyrningsmetoden PROPS sättning 41 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 42 IT-säkerhetstester utförs inför produktionssättning och överlämning till IT-drift och förvaltning. Tester genomförs mot leverantörens angivna gröna svar i självdeklarationen. Bl.a. penetrationstester (för att granska tekniskt skydd innan överlämning till produktion) Simulerad attack mot ett IT-system Validering av teknisk IT-säkerhet Testar allmänt kända sårbarheter Arbetsintensivt det tar lång tid att göra bra 42 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 43 Säkerheten i driftsatta IT-system? IT-drift & Systemförvaltning 43 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 44 Vi kontrollerar och granskar kontinuerligt IT-säkerheten i våra driftsatta IT-miljöer 44 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Riktlinjer för Informationssäkerhet IT-säkerhetsgranskning sker bl.a. m.h.a. självdeklarationer i Compliance Portalen Uppfylls Ej Relevanta svar (IT-säkerhet) Uppfylls Åtgärder planeras och följs upp m.h.a. elektronisk ärendehantering Sida 45 Uppföljning & kontroll av IT-säkerheten i driftsatta system m.h.a. Compliance Portal (om resultat från utförda självdeklarationer finns tillgängliga) Svar Infoklassning OK... K/R/T Risk- och åtgärdsanalys sker via Systemägare Compliance Portalen Systemförvaltare, Leverantörer, som redovisas för systemägaren 45 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 46 Återkommande IT-säkerhetskontroller 1. Sårbarhetsskanning: Automatiserade säkerhetstest i IT-miljöerna. Ca 700 interna IT-servrar och 80 st externa IT-servrar. 2. Penetrationstester: Manuell djup teknisk granskning av IT-säkerhetsskyddet i utpekade & unika system. 3. IT-Säkerhetsinventering: Uppföljning av säkerheten i alla IT-arbetsplatser. 46 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 47 Vi har infört elektronisk ärendehantering av IT-säkerhets- & Infosäkerhetsärenden Nu har vi ordning och reda. 47 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 48 Vi använder elektronisk ärendehantering för alla informations- & IT-säkerhetsärenden. Ärenden och konversation Info-säkerhetsteamet Elektronisk ärendehantering m.h.a. Jira Verksamhetsorganisationen Toppnoteringen är över 2000 samtidiga IT-säkerhetsärenden i flödet bl.a. från IT-säkerhetsskanningar. 2015 har vi en nivå på ca 100 samtidigt pågående IT-säkerhetsärenden. 48 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 49 Modell för hantering av ärendeflödet. 49 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 50 IT-säkerhetsärenden? Vi använder elektronisk ärendehantering m.h.a. JIRA för: Riskanalysresultat Resultat från sårbarhetsskanningar Inkomna ex. via e-post, Info- och IT-säkerhetsbrister Utgående säkerhetsaktiviteter till projekt Avstegshantering och dispenser Riskacceptanser mm 50 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 51 Övergripande statistik på Informationssäkerhetsärenden 51 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 52 Övergripande statistik på Informationssäkerhetsärenden 52 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 53 Statistik runt Compliance Processen 53 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 54 IT-säkerhetsmätning = Säkerhetsskanningar (utestående aktiviteter) OBS! Gammal status 54 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 55 Utbildningar Trafikförvaltningens interna utbildningar inom området Informations- och IT-säkerhet 55 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 56 Trafikförvaltningens internutbildningar inom säker informationshantering 1. DISA, TF:s webbaserade utbildning i informationssäkerhet (Obligatorisk) Lärarleda utbildningar: 2. Grundutbildning säker informationshantering (Obligatorisk) 3. Säkerhet vid upphandling, drift och förvaltning av IT-system 4. IT-säkerhet, varför och vad kan hända (skadlig kod, hackers, mm.) 5. Informationssäkerhet för konsulter inom Trafikförvaltningen 6. Praktisk hantering av stödverktyget, kravprocessen och IT-riskhantering 56 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting

Sida 57 Frågor? Tack för att ni lyssnat, CISO IT-säkerhets- & Informationssäkerhetsansvarig 08-6863976 torsten.regenholz@sll.se 57 Trafikförvaltningen (SL, Färdtjänsten och Skärgårdstrafiken) Stockholms Läns Landsting