Förslag till SLA (Service Level Agreement) avseende datordrift av Ladok 201x-xx-xx Avser år: 201x Version 1.0 Diarienummer: X
Innehållsförteckning 1. Parter i denna SLA... 3 2. Omfattning av SLA... 3 3. System och program... 3 4. Arbetsplanering... 3 5. Kontaktpersoner... 4 6. Prissättning... 4 7. Säkerhet och sekretess... 4 8. Ansvar... 4 9. Registeransvar... 4 10. Rättsintrång... 5 11. Åtgärd vid fel, brist eller tvist... 5 12. Speciella villkor... 5 13. Giltighet och uppsägning... 5 Bilaga 1: Uppdragsspecifikation gällande drift av Ladok... 1 1. Omfattning... 1 1.1. Mottagning av leverans... 1 2. Löpande drift och underhåll... 1 3. Lokala krav... 2 4. Rutiner för säkerhets- och arkivkopiering... 2 4.1. Omfattning... 2 4.2. Ansvar... 2 5. Utbildning... 2 6. Prissättning mm... 2 Bilaga 2: Kontaktpersonlista... 1 Bilaga 3: Certifieringskriterier för Ladokdrift... 1 Certifieringskriterier för drift av nuvarande Ladoksystem... 1 1 IT-säkerhet... 1 2 Personal... 1 3 Driftmiljö... 1 4 Service Level Agreement, SLA... 2 5 Säkerhetskopiering... 2 2 (5)
1. Parter i denna SLA Denna SLA, Service Level Agreement, avser datordrift av gamla Ladok. Parterna i denna SLA är: (Namn på Beställare) (Namn på Driftleverantör) nedan kallad Beställare nedan kallad Driftleverantör Beställare och Driftleverantör benämns nedan Parterna. Med Beställare avses den person som ansvarar för den lokala förvaltningsorganisationen och äger informationssystemet Ladok, d v s informationen i den egna Ladokdatabasen. Beställaren har det övergripande strategiska, ekonomiska och funktionella ansvaret för systemets användning i den egna organisationen samt för kvalitén på informationen i databasen. Beställaren ansvarar därmed för att: det finns en budget för drift och administration av systemet och att denna följs det finns erforderliga driftavtal med driftcentralen det finns en utsedd lokal kontaktperson för Ladok lagar och förordningar följs nyttjanderättsavtalet med Ladokkonsortiet följs Med Driftleverantör menas en enhet/motsvarande som sköter drift av Ladok åt högskolan. Denna SLA består av detta dokument samt nedan redovisade bilagor. Uppdragsspecifikation gällande drift av Ladok Bilaga 1 Kontaktpersonlista Bilaga 2 Certifieringskriterier för Ladokdrift Bilaga 3 2. Omfattning av SLA Denna SLA avser drift och underhåll av datorsystem enligt Uppdragsspecifikation, se bilaga 1. 3. System och program Parterna skall enas om en Uppdragsspecifikation som möjliggör för Driftleverantören att utföra uppdraget och för Beställaren att nyttja/förvalta applikationen på önskvärt sätt. Förändras kraven skall en ny Uppdragsspecifikation biläggas denna SLA. Vardera parten äger fordra att system och program, innan de tas i drift, kontrolleras i systemtest enligt vid varje tillfälle upprättad specifikation. 4. Arbetsplanering Parterna skall regelbundet ha gemensamma uppföljnings- och planeringsmöten. 3 (5)
5. Kontaktpersoner Parterna skall utse kontaktpersoner, se bilaga 2. Byte av kontaktperson skall skriftligen meddelas den andra parten. Endast kontaktperson kan agera i frågor rörande föreliggande uppdrag. 6. Prissättning Priser för uppdragets genomförande regleras i Uppdragsspecifikationen, se bilaga 1. 7. Säkerhet och sekretess Beställaren ansvarar för att Datainspektionens bestämmelser och övriga avtal följs samt att Driftleverantören har kännedom om dessa. Driftleverantören har sekretessavtal med sina anställda för att skydda Beställarens information enligt Certifieringskriterierna, se bilaga 3. Gällande kravprofil i enlighet med certifieringen av Driftleverantören skall tillämpas. Därutöver skall Parterna tillämpa de eventuella specifika krav på säkerhet som gäller för Beställaren. Svensk och internationell lagstiftning skall tillämpas. 8. Ansvar Beställaren är ansvarig för att initiera arbetet med utformning av och innehåll i den Uppdragsspecifikation som ligger till grund för uppdraget. Beställaren svarar för att program, dokumentation, indata samt underlag eller material, som Beställaren tillhandahåller för uppdragets fullgörande, är riktigt och fullständigt och överensstämmer med den Uppdragsspecifikation som överenskommits med Driftleverantören. Beställaren skall tillhandahålla erforderlig information enligt vad som angivits i uppgjord tidplan eller i övrigt bort ske. Driftleverantören är skyldigt att skriftligt underrätta Beställaren om upptäckta felaktigheter. Beställaren skall godkänna att ny version eller motsvarande kan tas i drift. Vid fel eller ofullständighet i program som Beställaren överlämnat till Driftleverantören skall beställaren snarast möjligt skriftligen påkalla rättelse. Om parterna kommer överens om detta får Driftleverantören använda egna program. Driftleverantören svarar ej för fel eller brist som uppkommer vid genomförandet och som beror på omständigheter som Driftleverantören ej råder över. 9. Registeransvar Ladok omfattas av datalagen. Beställaren ansvarar för att gällande lagstiftning beträffande personregister följs. Beställarens material samt information om program, som överlämnats till Driftleverantören, skall av Driftleverantören förvaras i enlighet med certifieringskriterierna för Driftleverantören. 4 (5)
10. Rättsintrång Driftleverantören svarar för att de tjänster man tillhandahåller ej kränker annans rätt till exempelvis upphovsrätt eller patent. 11. Åtgärd vid fel, brist eller tvist Åtgärder föranledda av skriftligt anmälda fel som ej åtgärdats inom skälig tid, övriga brister vad avser åtagande enligt denna SLA samt oenighet (tvist) rörande tolkning och tillämpning av denna SLA skall i första hand avgöras genom förhandling mellan Parterna. I de fall Parterna efter förhandling ej är överens fattas slutgiltigt beslut av en av Parterna gemensamt utsedd person. 12. Speciella villkor Speciella villkor enligt denna SLA anges i Uppdragsspecifikationen, se bilaga 1. 13. Giltighet och uppsägning Denna SLA äger giltighet från 201x-xx-xx till 201x-xx-xx och förlängs med ett år i taget såvida inte uppsägning skett senast x månader före avtalets utgång. Kopia av denna SLA inklusive bilagor har delgivits konsortiechef för Ladokkonsortiet. (Ort) Den (Beställare) (Ort) (Ort) Den (Ansvarig hos Driftleverantören) (Ort) namnförtydligande Beställare namnförtydligande Driftsansvarig 5 (5)
BILAGA 1 Bilaga 1: Uppdragsspecifikation gällande drift av Ladok 1. Omfattning Denna Uppdragsspecifikation gällande drift av Ladok ingår som en del i SLA avseende datordrift av Ladok (diarienr) mellan (beställare) och (driftleverantör). Omfattningen av denna Uppdragsspecifikation gällande drift av Ladok innebär att Beställaren skall ha tillgång till tjänster från Driftleverantören enligt nedanstående. 1.1. Mottagning av leverans Leverans av ny version motsvarande sker till Beställaren om inte annat överenskommits mellan denna och UHR. 2. Löpande drift och underhåll Under denna rubrik bör följande punkter regleras: Personaldimensionering/frånvaroplanering Installation av hårdvara Installation av mjukvara Driftstopp för installation av ny version motsvarande skall ske i överenskommelse med Beställare eller av denna utsedd person. Operativsystem Databashanterare Utilities Applikationer Övervakning av systemfunktioner Ev medverkan vid distribution samt installation av klientprogramvara Felsökning och felrapportering i applikations- och klientprogramvara Samverkansplanering med andra myndigheter Driftunderhållsplanering Planerade driftstopp skall ske i överenskommelse med Beställaren eller av denna utsedd person, samt aviseras i god tid skriftligt till Beställaren. Reglering av kostnadsuppföljning Att behövliga serviceavtal finns och är giltiga Under vilka tidpunkter systemet skall vara tillgängligt Ev möjlighet till utökad tillgänglighet Katastrofhantering Speciella villkor (Här finns möjligheter att specificera lokala villkor.) 1 (2)
3. Lokala krav Under denna rubrik specificeras eventuella krav utöver certifieringskriterierna för Driftleverantören. 4. Rutiner för säkerhets- och arkivkopiering 4.1. Omfattning Säkerhetskopieringen omfattar dels driftskopior som görs för att hålla hög driftsäkerhet och möjliggöra återläsning, och dels arkivkopior som görs för att kunna återskapa databasens innehåll till det aktuella vid en viss tidigare tidpunkt. (Här anges intervall för kontinuerlig säkerhetskopiering samt krav på motsvarande arkivkopior.) 4.2. Ansvar Driftleverantören ansvarar ej för den informationsförlust och därtill hörande merarbete som kan drabba Beställaren i samband med att säkerhetskopia utnyttjas för att återskapa information. Driftleverantören ansvarar ej för eventuella felaktigheter i den mjuk- eller hårdvara som använts för säkerhetskopiering/återskapandet och som levererats av tredje part. 5. Utbildning Driftleverantörens personal enligt bilaga 2 skall beredas tillfälle att delta i utbildning i den omfattning som krävs för uppdragets genomförande. Driftleverantören ansvarar för erforderlig kompetensplanering. 6. Prissättning mm Under denna rubrik bör följande punkter regleras: Personalkostnader inklusive kompetensutveckling för uppdraget. Ev. hårdvarukostnader beroende på ägarförhållandet av hårdvaran. Licenskostnader exkl. Ladok. Förbrukningsmateriel. Former för fakturering. 2 (3)
BILAGA 2 Bilaga 2: Kontaktpersonlista Denna Kontaktpersonlista ingår som en del i SLA avseende datordrift av Ladok (diarienr) mellan (beställare) och (driftleverantör). Kontaktpersoner hos Beställaren är: Namn Telefonnummer E-postadress Kontaktpersoner hos Driftleverantören är: Namn Telefonnummer E-postadress Endast av Beställaren angivna kontaktpersoner kan begära att arbetsuppgifter utförs i enlighet med denna SLA. 1 (1)
BILAGA 3 Bilaga 3: Certifieringskriterier för Ladokdrift Nedanstående säkerhetskriterier har fastställts av Ladokkonsortiet som mininivå för drift av Ladokprodukter. Ladokprodukter får endast driftas hos driftleverantör som efter godkänd certifiering fastställts av Ladokkonsortiet. Godkänd certifiering innebär att samtliga nedanstående certifieringskriterier har uppfyllts. Certifieringskriterier för drift av nuvarande Ladoksystem Certifieringskriterierna nedan avser de åtaganden driftleverantören har gentemot olika systemägare. Samtlig dokumentation som åberopas för nedanstående certifieringskriterier skall finnas samlad. Alternativt skall en förteckning finnas över var dokumentation som åberopas kan återfinnas. 1 IT-säkerhet 1.1 Det skall finnas krypterad informationsöverföring mellan slutanvändare och driftleverantör. 1.2 Dokumenterade rutiner för certifikatshantering skall kunna redovisas. Dokumentationen skall minst redogöra för hantering när certifikat går ut, byts ut, lagring av privat nyckel samt återkallande. 1.3 Driftleverantörens organisation avseende IT-säkerhet skall finnas dokumenterad. 1.4 Dokumenterad tillgång till specialister avseende rådgivning om IT-säkerhetsfrågor skall finnas. 1.5 Dokumenterade katastrofrutiner skall testas minst en gång per år. 2 Personal 2.1 Dokumenterad bemanningsplan över hur kontinuitet, kompetensutveckling och sårbarhet säkras i personalplaneringen skall finnas. 2.2 Driftleverantören skall kunna redovisa dokumenterad åtgärdsplan vid akut personalbortfall. 2.3 Beredskapsbemanning skall kunna erbjudas 7 x 24. 2.4 Sekretessavtal med all driftspersonal skall finnas inklusive tredjepart. 2.5 Redovisning av resursåtgång skall kunna ske på tillförlitligt sätt (tidsredovisningssystem). 2.6 Utvecklings- och driftspersonal skall organisatoriskt särskiljas. 3 Driftmiljö 3.1 Dokumenterat regelverk för incidenthantering avseende drift av servrar och tillhörande utrustning skall finnas. Hänsyn skall tas till SUNETs krav: http://www.sunet.se/omsunet/policyfragor/it-sakerhet.html. 1 (3)
3.2 Dokumenterade regler för installation och konfiguration av servrar och tillhörande utrustning skall finnas. 3.3 Dokumenterade regler för åtkomst för produktionsmaskin och applikationsprogramvara skall finnas avseende driftspersonal samt tredjepart. 3.4 Separata datorhallar i olika byggnader för redundans skall finnas, med lägst säkerhetsklass SSF 200:3 nivå 2 med avseende på fysiskt intrång. 3.5 In- och utpasseringssystem med loggning skall finnas till datorhallarna. 3.6 Dokumenterad underhållsrutin för fysisk miljö i datorhallarna skall finnas. 3.7 Automatiskt brandsläckningssystem alternativt s.k. early-warning-system skall finnas i datorhallarna. 3.8 Automatiserad klimatanläggning med därtill tillhörande rutin för övervakning skall finnas i datorhallen. 3.9 Reservkraft vid bristande elförsörjning skall finnas och vid externa åtaganden även innefatta lokal anslutning till SUNET. Det skall även finnas en dokumenterad informations- och kommunikationsplan mellan driftleverantören och beställarna för dessa tillfällen. 3.10 Dokumenterade regler för nedtagning och återstart av utrustning vid avbrott skall finnas. 3.11 Vid katastroftillfälle skall driftleverantören påbörja upprättande av drift i alternativ lokal inom 1 timme under ordinarie arbetstid samt avsluta upprättande av drift i alternativ lokal inom 12 timmar under ordinarie arbetstid. Det skall finnas en dokumenterad informations- och kommunikationsplan mellan driftleverantören och beställarna för katastroftillfällen. 3.12 Dokumenterad plan för säker avveckling av utrustning med avseende på informationshantering skall finnas. 3.13 Vid utrangering av utrustning skall gällande miljölagstiftning användas. 4 Service Level Agreement, SLA 4.1 Formaliserad överenskommelse skall tecknas mellan driftleverantör och beställare med utgångspunkt i den av konsortiet rekommenderade SLA-modellen. 4.2 Tillgänglighet i enlighet med SLA skall kunna redovisas. 4.3 PUB-avtal i anslutning till SLA skall kunna redovisas. 5 Säkerhetskopiering 5.1 Driftleverantören skall ha system för säkerhetskopiering och återläsning för såväl inkrementell som fullständig backup utan störningar i reguljär applikationsdrift. 5.2 Säkerhetskopiering skall kunna erbjudas vid alla tidpunkter på dygnet om så önskas av beställaren. Dokumenterade rutiner för säkerhetskopiering (inklusive ansvarsfördelning, medierotering, osv.) skall finnas. 5.3 Den tekniska kvaliteten på säkerhetskopiering med avseende på klocksynkronisering skall kunna garanteras. 2 (3)
5.4 Fullständig återläsning av system skall ske minst en gång per år och återläsningstest skall ske minst en gång per månad. 5.5 Matchande serviceavtal motsvarande säkerhetskopieringens tillgänglighet på såväl hård- som mjukvara skall finnas. 5.6 Utrustning för löpande säkerhetskopiering skall placeras i en annan brandcell än den/de datorhallar som säkerhetskopieringen avser medan mediet är aktivt. Om säkerhetskopior för löpande drift är löstagbara skall de förvaras i säkerhetsskåp av klassning lägst SSEN1047-1 (skåpen kan vara märkta S120DIS). 5.7 När säkerhetskopiering är avslutad skall säkerhetskopiorna och de verifierade arkivkopiorna flyttas till annan byggnad och förvaras i säkerhetsskåp av klassning lägst SSEN1047-1 (skåpen kan vara märkta S120DIS). Arkivkopiorna kan också överlämnas till systemägare för förvaring. 3 (3)