Dkumenthistrik Datum Versin Namn Kmmentar 2011-06-16 0.1 Linda Bsn Dkumentet skapas 2011-06-20 0.2 Linda Bsn Uppdateringar baserat på Intervju med Jan A Svenssn 2011-06-21 0.3 Linda Bsn Uppdateringar baserat på Intervju med Lars Sandin 2011-06-21 0.31 Linda Bsn Uppdateringar gjrda av Jan A Svenssn har accepterats/infgats i dkumentet 2011-06-28 0.4 Linda Bsn Uppdateringar utifrån avstämningsmöte med Anders Nilssn, Jan A Svenssn, Mirsada Hrmic, Lars Sandin, Anna Strindberg 2011-06-30 0.41 Linda Bsn Uppdateringar baserade på knthanteringsmöte med Mirsada Hrmic, Lars Sandin ch Katarina Öryd samt efterföljande review av Jan A Svenssn 2011-07-05 0.42 Linda Bsn Uppdateringar enligt möte med Anders Nilssn 2011-08-26 0.51 Linda Bsn Uppdateringar under ch efter möte med Anders Nilssn, Gustaf Stawåsen, Marcus Strm ch Jan A Svenssn. 2011-09-01 0.6 Linda Bsn Uppdateringar under ch efter möte med Gustaf Stawåsen. Flyttat en del generella stycken till tjänstekatalgens generella villkr 2011-09-07 0.7 Linda Bsn Uppdateringar baserat på granskning av (ch möte med) Jan A Svenssn 2011-10-03 0.75 Linda Bsn Uppdatering med definitin av begreppet Användarknt samt infrmatin m knthantering 2011-11-16 0.9 Linda Bsn Sista översyn internt 2011-11-23 0.91 Linda Bsn Uppdatering med knfiguratinsbeskrivningar på begäran av Anna S. 2011-12-07 0.92 Linda Bsn Uppdateringar kring kstnadshantering (en ttalprislapp)
2011-12-14 0.93 Linda Bsn Tillägg kring funktin för skydd mt önskad kd. 2011-12-23 0.99 Linda Bsn För gdkännande Tjänstebeskrivning Namn på tjänsten: Generell IT-säkerhet Tjänsteägare: N N Tjänsten i ett Livscykelperspektiv Bakgrund*: Tjänsten har tagits fram för att säkerställa en säker (i linje med lagkrav ch villkr i ingångna avtal) hantering av IT-verksamhet ch elektrnisk data/infrmatin inm Götebrgs Stad. Vissa av kmpnenterna i denna tjänst (t ex virusskydd ch spamfilter) har ingått i Stadsnätsbegreppet tidigare. Trts att kmpnenterna härmed istället blir en del av tjänsten Generell IT-säkerhet mfattas de frtfarande av tidigare KS beslut (2009-03-01, Dnr 1001/04). Denna versin av tjänsten skapades under Q3 2011 i syfte att göra mrådet systemberende ch för att samla alla säkerhetslösningar i en ch samma tjänst/tjänstebeskrivning. Tjänstens funktinalitet har dck funnits ch levererats i någn frm alltsedan IT-stöd började användas inm kmmunen. Nuläge: Tjänsten innebär idag att alla Kmmungemensamma IT-stöd ch administrativa tjänster nyttjar generella ch systemberende IT-säkerhetslösningar sm uppfyller Nivå 1 enligt Riktlinjer för infrmatinssäkerhet i Götebrgs Stad (se författningssamlingen). Enligt tjänstens förvaltningsplan kmmer tjänsten att levereras utan förändringar minst under kalenderåret 2013. Framtid**: I tjänstens förvaltningsplan planeras för en utveckling för att kunna stödja Kmmungemensamma IT-stöd ch administrativa tjänster sm har behv av säkerhetslösningar enligt Nivå 2. Detta innebär t ex att IAM kmmer att stödja federatiner ch därmed integratin med extern part. Förvaltningsplanen innehåller ckså planer för införande av funktin för skydd för webb sm förebygger ch kntrllerar att bilagr sm skickas/laddas ned inte innehåller skadlig kd. En uppdatering av webbfiltret planeras ckså så att detta kmmer mfatta webbtrafik baserad både på http ch https. Dessutm planeras framtagande av åtgärdsplan efter penetreringsrapprten samt PwC-arbetet. Definitin av tjänsten
Tjänsten erbjuder generella säkerhetslösningar sm uppfyller Götebrgs Stads krav på ITtjänster för Kmmungemensamma IT-stöd ch Administrativa tjänster. Tjänsten är bligatrisk för alla IT-användare inm Kmmungemensamma IT-stöd ch administrativa tjänster i Götebrgs stad. Ntera att det även finns ett antal specifika säkerhetslösningar sm hanteras endera sm tillval i denna tjänst eller sm separata tjänster. De specifika säkerhetslösningarna är dck inte bligatriska. Användarkntt är nyckeln för att använda både denna ch andra IT-tjänster. Detta knt avser de uppgifter (t ex användarnamn & lösenrd) sm en användare behöver för att kunna kmma åt den IT-miljö inm Staden sm han/hn förväntas kunna/behöva ha åtkmst till. Detta knt behöver ftast kmpletteras med specifika (verksamhets-)system uppgifter/kntn. Att använda ett persnunikt Användarknt är en bligatrisk förutsättning för all användning av Kmmungemensamma IT-stöd ch administrativa tjänster. Målbeskrivning för tjänsten Genm att tjänsten appliceras/används i alla IT-tjänster uppfylls Riktlinjerna för infrmatinssäkerhet i Götebrgs Stad för Kmmungemensamma IT-stöd ch administrativa tjänster avseende dessa säkerhetslösningar. Detta kan exempelvis innebära att endast rätt persner får tillgång ch åtkmst efter behv till viss data/infrmatin/it-tjänster ch att datan skyddas mt avsiktliga eller icke gdkända uppdateringar. Det innebär ckså att infrmatin m händelser (t ex vem sm använt vad ) i IT-miljön lggas ch kan analyseras. Ett ytterligare mål med tjänsten är att säkerställa möjligheten till drift ch tillgänglighet i hela IT-leveransen. Ntera att tjänsten ger de tekniskt krrekta förutsättningarna för att uppfylla Riktlinjerna för infrmatinssäkerhet. Själva användandet av tjänsten måste ske i enlighet med Riktlinjerna för infrmatinssäkerhet, Regler för IT-användare i Götebrgs Stad samt övriga tillämpliga styrdkument för att fullständig efterlevnad mt gällande säkerhetsprinciper ska kunna garanteras. Tjänstens funktinalitet Ur ett användarperspektiv utförs tjänsten varje gång en användare vill använda en ITtjänst/kmma åt viss elektrnisk data/infrmatin. Allt användaren behöver göra för att tjänsten ska utföras är att på begäran ange sitt användarnamn ch lösenrd (ch i förekmmande fall även sitt e-tjänstekrt). Funktinerna i tjänsten utförs i bakgrunden utan att användaren märker annat än resultatet av tjänsten (dvs åtkmst till den aktuella ITtjänsten/datan/infrmatinen kan eller kan inte ske). Ur ett tekniskt perspektiv appliceras tjänsten ckså på all användning av IT-tjänster ch elektrnisk data/infrmatin sm initieras av IT-tekniska resurser (t ex servers) ch sm manifesteras sm tekniska aktiviteter.
1. IAM (Identitet ch behörighetshantering) a. Identifiering av persner, tjänster ch funktiner * b. Verifiering av identitet (persner, tjänster ch funktiner )* c. Reglering av systemspecifik resurshantering kpplat till den centrala identiteten (åtkmst till infrmatin, tjänster ch funktiner)* Tjänsten ska innehålla en katalg ( autentiseringskatalgen ) med ständigt uppdaterad identitets- ch behörighetsinfrmatin m anställda, elever ch medbrgare sm har tillgång till stadens IT-tjänster/system. * Knthantering (skapa, underhålla, avsluta knt) sker sm en del av denna funktin ch ska utföras enligt gällande regelverk inm Götebrgs Stad. * 2. Lggar ch övervakning a. Dkumentering av händelser för resurser, persner, tjänster ch funktiner * b. Autmatisk ch manuell analys (teknisk) av lggar* c. Kntinuerlig övervakning ch realtidsbevakning av IT-miljöns säkerhetsstatus såsm bevakning av säkerhetslarm. Inkluderar även bevakning av följsamhet mt regelverk samt sårbarhetsdetektering * Det ska finnas en central övervakningspunkt sm övervakar ch larmar för samtlig aktiv utrustning. Lggarna kan hanteras på lika sätt berende på vilket system det gäller. Lgg- ch larmnivåer stäms av årligen. Viss lggkrrelering förekmmer. * 3. Gränsskydd sm säkerställer grundläggande avgränsning mellan säkerhetszner. Gränsskyddet avser säkerställande av den kmmunikatin sm sker mellan staden ch externa parter samt internt mellan lika kntrllerade interna gränser (säkerhetszner). Skyddet gör att man inte får åtkmst mellan de lika znerna. *Detta sker antingen genm lgisk/fysisk separering alternativt ett regelverk. Inm en zn levereras alltid en grundnivå av åtkmst för att tillgdse funktinalitet såsm ex. övervakning ch AntiVirus. * De centrala säkerhetsznerna är * gemensam zn för ADM + PED Zn för ADM Management-zn Zn för externt nåbara tjänster
Zn för Internet De är bligatriska för alla användare ch är en förutsättning för att Intraservices leverans till Staden ska kunna fungera.* Övriga specifika säkerhetszner riktade till verksamheter beskrivs i tjänstebeskrivningen för Stadsnätet/WAN. 4. Knfiguratinsbeskrivningar (Cnfiguratin Baselines, ITIL) för samtliga hårdvarr sm används i leveransen samt riktlinjer/krav på knfiguratiner hs de enheter sm ska kunna anslutas (t ex av användare) till stadens nätverk / It-miljöer. Knfiguratinsbeskrivningarna säkerställa säkerhetsnivåer ch drift-leveransmöjlighet inm samtliga IT-tjänster. Beskrivningarna ska sm minimum innehålla infrmatin m gdkända / bligatriska a. Operativsystem (prdukt ch versin) b. Säkerhetspatchar (versin) c. Antiviruslösningar (prdukt ch versin) d. Serverprgramvarr / middleware-prdukter (i relevanta fall) Knfiguratinsbeskrivningarna ska årligen gdkännas av tjänsteägare på Beställarfunktinen. De knfiguratinsbeskrivningar sm specificerar krav på användaranslutna enheter ska efter gdkännandet publiceras av leverantören på Supprtprtalen. 5. Tjänst för skydd mt önskad infrmatin/ kd upptäckts- ch skyddsåtgärder mt önskad infrmatin ch kd såsm a. Virusskydd ch Malwareskydd. Skydd mt skadlig kd (för nättrafik, klienter, USB-minnen, NAS ch e-pst) innefattar skydd mt malware (virus, trjaner, maskar, spyware, adware ch övrig önskad mjukvara) ch arbetar dels med fördefinierade uppdateringar av kända ht, samt, på servrar/klienter, ckså heuristisk skanning sm söker på beteendemönster ch filuppbyggnad för att detektera ht sm ännu inte blivit definierade sm malware. b. Spamskydd. Skydd mt önskad e-pst i frm av massutskick av reklam. Filtrering sker på central nivå i ett skräppstfilter (även kallat spamskydd). Kntrll sker på både inkmmande ch utgående e-pst ch arbetar både pr- ch reaktivt c. Webbfiltrering. För webbfiltreringen är standardskyddet lika berende på zntillhörighet. Alla säkerhetszner har dck en basfiltrering av säkerhetsrelaterade ht ch barnprngrafi. Följande skydd gäller per Zn: TEKN/ ADM/ DCORE/DC INTERNET - - inget utöver basfiltrering
PED filtreras även spel PUB / GÄSTNÄT filtreras prr ch lämpligt innehåll såsm t ex hatprpaganda, lagliga aktiviteter eller drger, bskyrt ch/eller våldsamt innehåll d. Abuseanmälningar. Samtliga inkmna ärenden (t ex upptäckt av barnprrförekmst) till abuselådan ska hanteras.* Användarhandledning Sm IT-användare i Götebrgs Stad har man ett persnligt ansvar att följa de regler sm är beslutade ch sm finns tydliggjrda i dkumentet Regler för IT-användare i Götebrgs Stad. Ntera att det kan finnas förvaltningsspecifika tillägg till detta dkument. http://www4.gtebrg.se/prd/ginf/ffs.nsf/375623d6d925132cc1256d9600237493/9194e0c65ce2b52ec1257643002b0cd0/$fil E/Regler%20f%C3%B6r%20IT-anv%C3%A4ndare%20ver%201.pdf Tillvalstjänster E-tjänstekrt: För användare av vårdsystem i reginen (VGR) måste e-tjänstekrt beställas sm tillval till Användarkntt. Beställ via Beställningsprtalen. För mer inf m e-tjänstkrt se tjänstebeskrivning IT-arbetsplats. Utökad webbfiltrering* En förvaltning kan beställa filtrering av fler webb-platser än standard. Filtreringen bygger på kategrier, ex spärra humr, spel ch det finns dessutm lika nivåer inm varje kategri. Utökad lggning ch lgganalys* Dessa funktiner kan skräddarsys utifrån specifika behv i verksamhets-system. Förändring av nätverksåtkmst (IPS ch/eller brandvägg)*: Beställs via Servicecentrum. Begäran utvärderas mt gällande säkerhetsplicy. Ibland rekmmenderas andra lösningar än prtöppning för att uppnå önskad verksamhetseffekt. För verksamhetssystem kan analys/rekmmendatin avseende Disaster/Recvery-skydd beställas separat. Målgrupp för tjänsten Tjänsten är bligatrisk för alla användare (inklusive tekniska tjänster/användare) av Kmmungemensamma IT-stöd ch administrativa tjänster. Med användare i detta fall avses förtrendevalda, anställda, entreprenörer, inhyrd persnal, knsulter ch leverantörer samt elever i verksamheter sm bedrivs av Götebrgs Stad
Tjänsten är även bligatrisk för alla kmmungemensamma IT-stöd ch administrativa tjänster även m dessa nyttjas av andra användare än van nämnda. Tjänstens arkitektur/uppbyggnad Grundtjänst från leverantör (tekniskt perspektiv ch tjänsteperspektiv)* Kmmunikatinsmiljön består av ett centralt sk. cre (transprt ch sammanbindningsnät) sm är fördelat över de båda siterna. Mt detta kpplas de lika blcken: VPN - Denna del hanterar L2L ch klient VPN. Redudant över de båda siterna. Datacenter Cre - Detta är den interna datacenter miljön sm hanterar de gemensamma resurserna för ADM/PED samt de gemensamma manageringsmiljöerna. Redundant över de båda siterna. Datacenter Internet - Detta är datacenter miljön sm hanterar miljöer sm är externt nåbara. Redundant över de båda siterna. WAN - Här ansluter stadsnätsanslutna kunder mt de interna miljöerna ch mt de kmmungemensamma systemen. Här ansluter man även indirekt mt de gemensamma internet förbindelserna. Redundant över de båda siterna. Här finns znerna: ADM/PED/PUB ch TEK. Utöver de lika blcken består miljön även av redundanta Internet kpplingar fördelat över de båda siterna. Redundansen är även på peratörsnivå. De lika znerna är lgiskt åtskilda genm hela stadsnätet fram till ch med de båda central siterna. Även vissa lgsiska separeringar finns inm respektive zn. ADM ch PED har viss gemensam nåbarhet, ex. AD. För att nå dessa gemensamma resurser passerar man igenm lika lager av brandväggar samt djupare intrångsdetektin. Znen PUB har ingen möjlighet att nå de interna resurserna. Denna zn passerar igenm en brandvägg med ett granulärt filter innan internet åtkmst ges. Znen Tek har nrmalt sett ingen eller väldigt begränsad åtkmst, ch då endast mt en specifik del inm znen ADM. Packetlgic utrustningen är placerad mt Internetperatörerna ch används primärt för att kunna utföra djupa trafikanalyser ch felsökning. Denna utrustning går även att strypa ch kntrllera hur bandbredden ch trafiken får användas. Webbfilter funktinen är placerad i CORE ch i Internet miljön. CORE hanterar znerna ADM ch PED. Internet hanterar znen PUB. Detta gäller även för Barnprngrafifiltret då denna miljö använder samma tekniska lösning sm webbfiltret. Samtliga delar inm kmmunikatinsmiljön använder dels CS-MARS ch dels syslg NG. Skillnaden är i spartid ch krrelering, dvs. CS-MARS har krtare spartid med krrelering ch
tvärtm med Syslg NG. CS-MARS har ett antal säkerhetsrelaterade larm uppsatta för kmmunikatinsmiljön. Respektive systems lggar ch larm variererar ch revideras löpande efter behv. Verktyget Netadmin är ett verktyg sm driftas ch ägs av nuvarande nätleverantören, Gthnet. Detta verktyg håller kll på samtliga kundförbindelser samt avlämningsutrustning. Micrsft SCOM övervakar på varierande nivå samtliga servrar ch på en enklare nivå avseende nätutrustning. Här finns en mängd larm funktiner uppsatta för att kntrllera så att miljön fungerar sm sig bör. Tjänstekmpnenter/teknik (t ex HW, SW dkumentatin, datafiler) IAM (Identity and Access Management) IBM Tivli Directry Server (TDS) Micrsft ILM Lggar ch övervakning Micrsft SCOM Syslg NG Netadmin Cisc Security Mnitring, Analysis, and Respnse System (CS-MARS) +Respektive systemlgg. Gränsskydd Cisc FWSM Cisc ASA Packetlgic Cisc IPS 4270 Sensr Tjänst för skydd mt önskad infrmatin/ kd upptäckts- ch skyddsåtgärder Virusskydd klienter/server Kaspersky Business Space Security Gvernment 5000+ users Kaspersky BusinessSpace Security Educatin 5000+ users Webbfiltrering Cisc IrnPrt M670 Cisc IrnPrt S670
Cisc IrnPrt Web Reputatin Filters Cisc IrnPrt Web Usage Cntrls Cisc IrnPrt Anti-Malware (McAfee Verdict Engine) Spamskydd Cisc IrnPrt M670 Cisc IrnPrt C670 Virus Outbreak Filters Sphs Anti-Virus Barnprrfilter Cisc IrnPrt M670 Cisc IrnPrt S670 Cisc IrnPrt Web Reputatin Filters Cisc IrnPrt Web Usage Cntrls Cisc IrnPrt Anti-Malware (McAfee Verdict Engine) Antispyware Kaspersky Business Space Security Gvernment 5000+ users Kaspersky BusinessSpace Security Educatin 5000+ users Tjänsteaktiviteter/prcess sm är unika för tjänsten:* Abusehanteringsprcessen. CERT-avtal finns. Tjänsteresurser/ människr **: Anders Nilssn, Operativt tjänsteansvarig Samverkan eller berenden till tjänster inköpt från eventuell annan leverantör*: Denna tjänst samverkar med alla andra kmpnenter i IT-miljön, avsett var dessa prduceras. Publicering Tjänsten är en IT-infrastrukturtjänst ch presenteras ch beskrivs inm ramen för ITinfrastrukturtjänster. Tjänsten ingår Giit.
Leveransmdell* Tjänsten levereras av IntraService. Tjänsten knsumeras Inm alla förvaltningar ch blag sm använder Kmmungemensamma ITstöd ch administrativa tjänster Villkr/förutsättningar för leverans För att ta del av denna tjänst krävs ett Användarknt till IT-miljön inm Götebrgs Stad. Detta levereras via tjänsten IT-arbetsplats, se detaljer för beställningsrutin nedan. Servicenivåer Generell IT-säkerhet Typ Öppettid Tillgänglighet Övrigt Standard 0800-1630 Minst i nivå med den högst kravställda tjänsten Ska utföras på all användning av ITtjänster / elektrnisk infrmatin. Avser användning initierad av såväl människa sm IT-tekniska resurser. Katastrfplaneringsnivå Tjänsten uppfyller den generella katastrfplaneringsnivå sm anges för IT-infrastrukturtjänster i Generella Villkr. Beställningsrutin För användare beställs denna tjänst via tjänsten IT-arbetsplats, (standardnivå) i Beställningsprtalen. Då Användarknt beställs/levereras ingår denna tjänst liksm övriga delar av Giit autmatiskt. Beställningsförfarandet är i samklang med dkumentet Regler för infrmatinssäkerhetsansvar för chefer i Götebrgs Stad. Se Tjänstebeskrivning IT-arbetsplats för detaljer m leveranstider mm. För verksamhetssystem är funktinaliteten i denna tjänst autmatiskt inbyggd i alla driftplattfrmar sm erbjuds inm Götebrgs Stad. Pris / kstnadsfördelning Tjänsten erbjuds endast i en Servicenivå. Kstnaden för denna fördelas ut inm ramen för Giit. Tillvalstjänsten webbfiltrering kstar inget.
Beställarfunktinens interna detaljer avseende kstnadshantering** Leverantörens kstnadsspecifikatin ska levereras årligen ch avse den ttala kstnaden för tjänsten. Beställarfunktinen gör ett generellt påslag på ttalkstnaden för tjänsten för att täcka sina persnalkstnader. Mätning ch rapprtering** Nedanstående rapprter/mätetal levereras månatligen till Beställarfunktinen. Endast störningar sm pririterats sm Hög eller Medel ingår i rapprteringen Väsentliga störningar/brister under mätperiden Krt beskrivning över de nya väsentliga störningar sm har uppstått under periden samt infrmatin m dess påverkan ch åtgärder. Väsentliga störningar/brister per systemmråde/tjänstemråde de senaste 12 månaderna Ttalt antal störningar/brister per systemmråde (rullande 12 månader) Löpande uppdaterad lista över årets alla störningar. Presenteras i PwerPint frmat Trender ch mönster Incident analys samt förslag till förbättringar Inf betr. aktiviteter ch åtgärder sm pågår eller planeras ch sm kan kmma att ha påverkan på störningar/brister. Vilka åtgärder kmmer att behöva vidtas? Uppföljning av status från utestående åtgärder Uppföljning av i tidigare möten bestämda aktiviteter & åtgärder. Har vi uppnått det förväntade resultatet? Sammanställning av SLA avvikelser/brtt för alla systemmråden
Infrmatin m genmsnittlig nertid per SLA bjekt under de tre (3) senaste månaderna. Analys per SLA brtt, rsak ch föreslagna åtgärder