Bilaga 3 Övergripande beskrivning av Region Skånes IT-infrastruktur

Sidan 1 av 12 Bilaga 3 Övergripande beskrivning av Region Skånes IT-infrastruktur

Sidan 2 av 12 Övergripande beskrivning av Region Skånes IT infrastruktur Innehållsförteckning 1 OMFATTNING OCH SYFTE... 3 2 ANSVAR OCH ORGANISATION... 3 3 SERVERMILJÖ... 3 4 SERVERAPPLIKATIONER... 4 5 ÖVERVAKNING... 4 6 LAGRINGSMILJÖ... 5 7 DATABASHANTERARE... 5 8 INTEGRATIONER... 5 9 KLIENTMILJÖ... 5 10 UTSKRIFTSMILJÖ... 6 11 KATALOGTJÄNSTER OCH DOMÄNSTRUKTUR... 6 METAKATALOG... 7 SKÅNEKATALOGEN... 8 ACTIVE DIRECTORY... 8 EDIRECTORY... 8 IM (IDENTITY MANAGER)... 9 12 REGION SKÅNES WAN... 9 TILLGÄNGLIGHET... 11 TEKNIK 11 KAPACITET... 11 TJÄNSTER... 11 REGION SKÅNES LAN... 12 13 DATORHALLAR... 12

Sidan 3 av 12 1 Omfattning och syfte Detta dokument avser att ge en övergripande beskrivning av Region Skånes ITinfrastruktur. Med syfte att tjäna som bilaga till upphandlingar eller som stöd i kommunikation både internt i Region Skåne och med externa samarbetsparter. 2 Ansvar och organisation Den första januari 2005 bildades en intern förvaltning inom Region Skåne med ansvar för Region Skånes infrastruktur, (InformationsTeknikTjänster ITT). ITT:s uppdrag var att leverera IT-infrastrukturtjänster som arbetsplatser, kommunikation och nätverk, lagring, behörighetssystem och säkerhet till hela Region Skåne. Uppdraget innebär ansvar för drift och samordning av Region Skånes IT-infrastruktur så att information lagras och finns tillgänglig på ett kostnadseffektivt och säkert sätt. När ITT startade var all IT decentraliserad inom Region Skåne vilket innebär att alla sjukhus hade olika IT-miljöer och att nästan ingen samordning fanns, ITT har på Region Skånes uppdrag sedan starten arbetet för att standardisera och samordna ITinfrastrukturen genom standardiserade plattformar och konsolideringar och detta arbete fortsätter även 2008-2013. Sedan 1 januari 2009 övergick ITT i en ny förvaltning (RSIT Region Skånes ITförvaltning) 3 Servermiljö Region Skånes standard serveroperativ baseras på nuvarande och den föregående versionen av Microsoft Windows Server. Det finns även vissa inslag av HP UX och Linux. Vid behov av servertjänster är alltid förstahandsvalet virtuella servrar, om speciella förutsättningar kräver att servertjänsten är fysisk så är dessa endast i undantagsfall annat än bladservrar. Regions Skånes fysiska servermiljö är baserad på C klass bladservrar från HP. Konsolidering och virtualisering av servermiljön och testmiljöer pågår med hjälp av VMware ESX, steg ett i konsolideringsstrategin innebär att de lokala servrarna virtualiseras för att sedan konsolideras till färre antal driftcenter. Ett datacenter geografisk speglat i två serverhallar är etablerat och ett konsolideringsarbete av servertjänster påbörjades i november 2009 och beräknas vara slutfört under 2010.

Sidan 4 av 12 4 Serverapplikationer E-postplattformen utgörs av Microsoft Exchange Server. All inkommande och utgående e-post till och från Internet skannas för virus och spam innan leverans till Exchangemiljön. E-post domänen är @skane.se och är den enda tillåtna avsändaredomänen mot Internet. Standardklienter är MS Outlook och Outlook Webb Access. Autentisering av användaren sker genom Active Directory. Region Skånes standardplattform för informationsspridning både internt och extern via intranät och externa webbplatser är för närvarande uppbyggt kring EPiServer. Ett ramverk för ett regiongemensamt Intranet är under uppbyggnad under 2010. Ramverket kommer att vara skiktat och tjänsteorienterat med möjlighet att byta ut eller lägga till komponenter allteftersom nya krav tillkommer. Standardprodukt för virusskydd på servrar är F-Secure Anti-Virus. Som terminalserverlösning använder Region Skåne Citrix Presentation Server på Microsoft Windows servrar. Citrix används i huvudsak för verksamheter med geografisk spridning som ett strategiskt val av plattform. Samt i vissa fall som ett komplement till lokal klientinstallation om specifika skäl föreligger. IT-system som kräver klientinstallation bör därför alltid vara verifierat för publicering med Citrix Presentation Server 4.5 eller senare. 5 Övervakning Region Skåne har standardiserat server- och applikationsövervakning till produkten AppManager från Attachmate NetIQ. Det finns framtaget ett grundövervakningspaket för övervakning av hårdvara och operativsystem som är implementerat på samtliga servrar. Appmanager används också för proaktiv övervakning av applikationer, på så sätt kan man uppnå en optimerad och anpassad applikations övervakning som ger ökad effektivitet. För nätövervakning har Region Skåne valt att standardisera kring produkten HPOpenView, nätövervakningen kontrollerar kontinuerligt att kommunikation är i full funktion. Alla larm som övervakningssystemen genererar samlas in till en funktion i Region Skånes centrala Servicedesk som benämns Central övervakningsfunktion. Den Central övervakningsfunktion äger alla inkomna larm och har till uppgift att gör en första prioritering av larmet och att skapa ett ärende som sedan eskaleras till lämplig tekniker som påbörjar felsökning och åtgärd.

Sidan 5 av 12 6 Lagringsmiljö Inom Region Skåne finns fem separerade lagringsnätverk vilka tillhandahåller lagringstjänster både lokalt och regionalt. Tekniken som används är Brocade resp. Cisco SAN switchar och HP SAN EVA 8000 och MSA1000/1500. Region Skåne har som avsikt att konsolidera sin lagring till det nya datacenter som är speglat i två serverhallar. Här finns etablerat en ny tre skiktad lagringslösning från EMC som även innebär att all information speglas mellan de två datacentren med start under hösten 2009. Legato Networker, IBM Tivoli och Veritas NetBackup används som backupverktyg, även dessa är under konsolidering och samordnas till en gemensam plattform baserad på IBM Tivoli och diskbaserad backup. 7 Databashanterare Standard för databashanterare inom Region Skåne är Microsoft SQL Server. De versioner som används är SQL Server 2000, SQL Server 2005 och SQL Server 2008. En regional konsolidering till en databasmiljö på MS SQL Server 2008 är påbörjad och beräknas vara slutfört 2010. Ett regelverk finns för nya databaser gällande ex databasnamn eller att följa standard för sorteringsordning, instans och instansnamn. Leverantörer bör supportera framtida uppdateringar av SQL Server och ska ta del av Region Skånes regelverk för databaser och databasmiljö. 8 Integrationer Region Skåne strävar efter att uppnå en tjänsteorienterad arkitektur för sina applikationer och plattformar. En följd av detta är att alla integrationer ska ske via tjänstegränssnitt och kontrakt mellan konsument och producent. Region Skåne har etablerat en enhetlig plattform för en tjänsteorienterad arkitektur baserat på ramverket Microsoft.NET med de stödjande produkterna Microsoft BizTalk Server och Office Sharepoint Server. Region Skånes integrationsplattform består för närvarande av Microsoft BizTalk 2009. 9 Klientmiljö Inom Region Skåne finns ca 25 000 PC-klienter. Av dessa ska under 2009, mer än 80% vara grundinstallerade enligt nedan: Windows XP Pro SP2 (inklusive diverse aktuella patchar) F-Secure Anti-Virus 5.44/6.0

Sidan 6 av 12 Novell ZenWorks Desktop Management 6.5 eller senare MDAC 2.8 Acrobat Reader 7 Internet Explorer version 6.0 som lägst Microsoft Office/Open Office. Specifikation av klient-pc vid nyanskaffning 2008-04-01 HP: Intel Core 2 Duo, 2,4 GHz Intel Q35 Express Intel Graphic Media Accelerator 3100 2 GB PC5300 80 GB hårddisk, 7200rpm DVD-läsare; Slim 8X/24X DVD-ROM Drive Integrerat ljudkort AC-97 Integrerat Broadcom eller intel 10/100/1000 SmartcardReader tangentbord Optisk USB-mus med 2 knappar & hjul Windows Vista OEM Resterande 20% av regionens klient-pc erhåller en lägre prestanda: Dell / HP Pentium III på ca 800-1000 MHz 128 MB minne Ca 10 GB hårddisk Management i form av applikationsdistribution, uppdatering och fjärstyrning av klienter sker primärt med Novell ZenWorks Desktop Management 6.5. Novell ZENworks Asset Management används för inventering av hårdvara och applikationer. 10 Utskriftsmiljö Region Skåne använder till stor del laserskrivare från HP, nätverksskrivarna är till stor del utrustade med HPs Jet-directkort. En stor andel skrivare är lokala. På senare år har även nätanslutna kopiatorer och multifunktions maskiner införts. Nätverksutskrifter köas på dedikerade Windows servrar. 11 Katalogtjänster och domänstruktur Aktuella versioner av våra katalogtjänster behandlas inte i detta dokument då dessa är föränderliga. Det åligger leverantören att kontakta ansvarig för katalogtjänster för att få

Sidan 7 av 12 denna information. Övergripande är att det finns en standard för signatur/användaridentiteter som medför att varje användares signatur är unik. Alla användarna som finns upplagda i katalogerna har ett HSA-id. Detta är baserat på organisations id:et samt en unik siffer kombination i slutet av denna som gör id:et unikt. HSA-id:et används för att utfärda Siths certifikat i HSA katalogen för att möjliggöra stark authentisering Region Skåne har ett antal olika katalogtjänster för olika ändamål dessa är: Metakatalog I Region Skåne finns två uppsättningar av metakataloger som har till uppgift att vara navet i vår infrastruktur gällande hanteringen av identiteter och annan användarbaserad information från identifierade styrande tjänster till mottagare av informationen. Detta görs med hjälp av regelverk som har till uppgift att säkerställa att informationen finns i de tjänster/system på sådant sätt som tjänsten kräver eller enligt de regler och riktlinjer som finns. Tjänster som inte kan använda sig av BIF och dess regelverk eller använda sig av våra andra katalogtjänster för uppslag ska låta sina interna värdemängder hanteras med hjälp av metakatalogen för att undvika manuell dubbelregistrering och dubbeladministration av användare. Nedan följer i punktform de krav som bör/måste uppfyllas av leverantör för varje ny tjänst. Om synkronisering av identiteter ska göras bör/ska målsystemet ha ett unikt attribut eller kolumn för personpost som är detsamma som i metakatalogen (t ex personnummer, HSA-id) för att kunna matcha detta. Leverera och överlämna rätt/tillräcklig åtkomst för att kunna läsa samt göra förändringar i målsystem (t.ex. ldap, odbc, jdbc, webservice) Att en tydlig dokumentation över vilka poster samt beroenden som är aktuella vid integration för att RSIT ska kunna upprätta ett kontrakt (överenskommelse) mot leverantör. Kontraktet som RSIT tillsammans med leverantör tar fram och godkänner innefattar följande: o Bakgrund och mål o Verksamhetsinformation o Ansvariga o Tillgänglighetskrav o Avgränsningar o Loggning o Förvaltningsansvar o Informationsmodell o Entiteter/Begrepp o Organisatorisk struktur o Placeringslogik o Processmodell o Komponentvy o Generell beskrivning av gränssnittet mellan systemet o Funktioner och meddelanden

Sidan 8 av 12 I de tjänster som inte kan nyttja Siths certifikat (alla nya tjänster bör/ska använda sig av Siths authentisering) så ska lösenordspolicyn för dessa följa Region Skånes befintliga. Skånekatalogen Skånekatalogen är en X500 katalog som är organisatoriskt uppbyggd. I denna registreras, flyttas och tas det bort användarobjekt via ett enkelt användargränssnitt som verksamheten själv förfogar över. Varje ny användare får en unik identitet och till denna knyts ett HSA-id. Denna följer sedan användaren i våra övriga katalogtjänster och i ett flertal olika system. Skånekatalogen ska betraktas som en informationskatalog för våra anställda inom Region Skåne. Tjänster som ett visst system är beroende av bör och ska inte knytas mot denna tjänst utan detta ska istället göras mot HSA katalogen eller mot ett Active Directory beroende på tjänstens användningsområde. Detta utreds tillsammans med RSIT och leverantör/beställare. Active Directory I vårt regiongemensamma Microsoft Active Directory finns samtliga huvudförekomster (primär anställning enligt Skånekatalogen) i Region Skåne upplagda med hjälp av metakatalogen. Detta är den primära och styrande katalogen avseende autentisering vid inloggning, behörighetskontroll och tilldelning av rättigheter för till exempel filer och kataloger från klientplattformen. Här knyts även en Exchange e-post adress till varje användare som ska ha en sådan. Miljön består av ett antal domänkontrollanter fördelade i två regionala serverhallar. Varje ny tjänst som införs som kräver integration mot vårt Active Directory bör/ska uppfylla dessa punkter: Leverantören bör/ska "automatiskt" supportera framtida uppdateringar och versioner av vårt Active Directory. Detta innebär att leverantören måste agera proaktivt mot, i detta fall Microsoft, och testa sina tjänster mot nya versioner Om den nya tjänsten måste ha ett systemkonto för att kommunicera med vårt Active Directory får detta inte vara likställt med Domain Admin för att fungera. Dessa konton måste specificeras så att de inte får mer rättigheter än vad som krävs för att tjänsten ska fungera. Den nya tjänsten ska vara anpassad för att kommunicera mot domännamnet med hjälp av ldaps och inte vara hårt knuten mot enskilda domänkontrollanter med dns namn eller ip-adress. Om domännamnet används innebär det en högre tillgänglighet vid eventuella avbrott.. edirectory I vårt regiongemensamma edirectory finns samtliga anställda i Region Skåne upplagda. Identiteterna hämtas från vårt Active Directory med hjälp av en metakatalog. Denna katalogtjänst används i dagsläget för att uppnå funktionalitet gällande programdistributioner med hjälp av Zenworks till vår region gemensamma tekniska grundplattform. Miljön består av ett antal servrar med olika roller gällande Zenworks funktionalitet fördelade i två regionala serverhallar. Varje ny tjänst som införs som kräver integration mot vårt edirectory bör/ska uppfylla dessa punkter:

Sidan 9 av 12 Leverantören bör/ska "automatiskt" supportera framtida uppdateringar och versioner av edirectory. Detta innebär att leverantören måste agera proaktivt mot, i detta fall Novell, och testa sina tjänster mot nya versioner Leverantören ska använda sig av DNS-adress för att nå vår edirectory miljö företrädesvis via ldaps. På det sättet kan vi hantera IP-adresser som vi vill och dessutom styra om servrar vid driftstörningar utan att ta hänsyn till speciallösningar. Om den nya tjänsten måste ha ett systemkonto för att kommunicera med vårt edirectory får detta inte vara likställt med Administrator för att fungera. Dessa konton måste specificeras så att de inte får mer rättigheter än vad som krävs för att tjänsten ska fungera. IM (Identity Manager) Detta är ett administrativt gränssnitt från Nordic Edge som är Javabaserat och används idag för administration mot olika typer av tjänster såsom katalogtjänster samt självadministration i vissa delar av verksamheten. Om nya eller befintliga tjänster kräver ett gränssnitt är detta vårt primära val för användning IM, som står för Identity Manager, fungerar som en webbaserad tjänst. När användaren har bevisat vem man är genom en godkänd authentisering (Siths eller användarnamn och lösenord), så kontrolleras användares behörigheter antingen genom attribut baserad åtkomst eller via grupptilldelning. Baserat på behörigheterna bestämms sedan vilken vy man får se och vilka delar som får administreras. En användare har alltid minst en roll men kan ha flera utefter funktion eller ansvarsområde. Vid administration sparas eventuella förändringar genom webbtjänsten till berört bakomliggande system, exempelvis direkt till en katalogtjänst via ldaps eller genom webservices via vår region gemensamma plattform till aktuell tjänst. 12 Region Skånes WAN SkåNet den gemensamma infrastrukturen för Region Skåne, kopplar samman geografiskt spridda verksamheter i Skåne. Tjänsten levereras idag av Tele2 och tillvaratar dagens möjligheter att tillgodose kraven från olika verksamhetssystem som använder data, tal och bildkommunikation i ett gemensamt IP baserat datanät. Tele2 tar i tjänsten ett totalansvar för installation, drift och övervakning. Tjänsten hanterar mycket höga krav på tillgänglighet, kostnadseffektivitet, skalbarhet och flexibilitet baserade på regionens och verksamheternas krav. Regionens sjukhus är via back-bone sammankopplade i ett SDH-nät med gränssnitt mot Region Skåne i form av Ethernet Gbit. Hastigheten är 1 GB/s mellan sjukhusen. Avtalade tillåtna fördröjningar är i backbone mellan två valfria sjukhusnoder 10 msek vid Frame size 128 och 15 msek vid Frame size 1518. För access till närmaste nod är den tillåtna fördröjningen 18 msek vid Frame size 128 och 23 msek vid Frame size 1518. I båda fallen gäller att värdena garanteras vid en last på max 60% av tillgänglig

Sidan 10 av 12 bandbredd samt att för thruput garanteras minst 80% av bandbredden på enskild förbindelse. Back-bone består av 12 huvudnoder i Lund, Landskrona, Malmö (UMAS och Knutpunkten), Trelleborg, Helsingborg, Ängelholm, Ystad, Simrishamn, Kristianstad (CSK och Skånehuset). Dessa 12 noder är hopkopplade via två separata ringar, som i sin tur är hopkopplade på två fysiskt skilda ställe, allt för att höja tillgängligheten. Den sk. Knutpunkten finns etablerad i Malmö. Knutpunkten har en egen Back-bone anslutning till Skånet för hög prestanda och till denna ansluts all trafik till och från Internet, Sjunet (det nationella Hälso- och Sjukvårdsnätet), olika leverantörer med avtal, samt till Universitetsnätet. Andra enheter som ansluts direkt till SkåNet back-bone nät, gör detta på två olika sätt. Ett sätt för accesser med hastigheten 2 Mbit/s och ett sätt för accesser med hastigheterna 10 eller 100 Mbit/s. Noderna har två skilda trafikseparerade sk. redundanta vägar till Back-bone enligt följande:

Sidan 11 av 12 Tillgänglighet Teknik Tillgängligheten till infrastrukturen för större enheter (sjukhus och Knutpunkten, samt Skånehuset i Kristianstad) är anpassad för drift dygnet runt om årets alla dagar. Samtliga noder (kommunikationsutrustning) i Back-bone har full redundans. Detta innebär att det alltid finns två oberoende trafik vägar och separata divergerade fiber in till den aktiva utrustningen placerad inne på sjukhuset. Utöver detta finns extra redundans i Back-bone nätet för att eliminera konsekvenserna av ett fiberbrott så att omkoppling sker till redundant väg inom 50 ms. I Spridningsnät finns ingen redundant förbindelse, men utökad tillgänglighet utöver kontorsarbetstid kan fås som utökad option. Det finns i avtalet olika mått på vilken otillgänglig tid som är tillåten. För back-bone gäller 99,96 % tillgänglighet vilket motsvarar max 4 timmars otillgänglighet per år 0-24 årets alla dagar. För accessnätet gäller motsvarande 99,70 % tillgänglighet, dvs max 8 timmars otillgänglighet per år under servicetiden (kl 07.00-18.00). Åtgärdstiderna vid fel är för back-bone max 2 timmar mellan 07.00-21.00 och max 4 timmar övrig tid. För accessnätet är motsvarande 4 timmar mellan 07.00-18.00. Infrastrukturen som knyter samman huvudnoderna i back-bone nätet är baserad på SDH teknik. Back-bone tjänsten överlämnas på respektive nod via dubblerade optiska Gigabit Ethernet interface. Olika typer av logiska trafikflöden transporteras i SkåNet och för framtiden finns många olika möjligheter att prioritera dessa olika trafik typer för att alltid kunna använda den totalt tillgängliga bandbredden på ett optimalt sätt. Kapacitet Samtliga tio sjukhus, samt Knutpunkten i Malmö och Skånehuset ansluts från start med 1 Gbit/s till det gemensamma Back-bone nätet. Denna kapacitet är den som gäller från start och det är denna bandbredd man delar på i ringarna mellan back-bone noderna. Skulle det uppstå behov av mer kapacitet går det att uppgradera hela back-bone nätet till 1 Gbit/s. Mindre enheter som vårdcentraler och tandvårdskliniker ca (260 st) ansluts med olika tjänster beroende på behov av hastighet och tillgänglighet. Tjänster Förvaltningarna kan avropa ett antal olika tjänster för access in till back-bone nätet. Det finns förädlade tjänster som innebär att alla nödvändiga komponenter ingår för att

Sidan 12 av 12 koppla in sig. Dessa kallas Access och finns med hastigheterna 2, 10 och 100 Mbit/s. Dessutom finns xdsl tjänster. Utöver detta finns förbindelsetjänster som Koppar, Smalband och sk. Svart fiber. För dessa tjänster ansvarar Region Skånes egna IT förvaltning RSIT. Region Skånes LAN Huvuddelen av Regionens fastighetsnät och LAN bygger på Fast Ethernet 10/100. I stamnäts delar börjar mer och mer Gigabit Ethernet dock att etablera sig. Även om flertalet nät är switchade finns fortfarande mindre delar som fortfarande är hubbade, RSIT förvaltningen har helt driftansvar för de lokala fastighetsnäten och campusnäten. 13 Datorhallar Sedan september 2009 finns det etablerat två redundanta och katastrofsäkrade datacenter inom Region Skåne, dessa är etablerade i Lund och Helsingborg och alla nya installationer av system och applikationer kommer att förläggas dit. Region Skåne befintliga äldre datorhallar kommer successivt att avvecklas under 2010.