Stockholms läns landsting Landstingsstyrelsens förvaltning SLL Informationssäkerhet SLL IT Handläggare: Vesna Lucassi Landstingsstyrelsens innovationsberedning Ankom Stockholms läns landsting 2015-08- 1 1 Utredning av central teknisk lösning för att upptäcka avvikelser och potentiella hot i landstingets nätverk och kritiska IT-system Ärendebeskrivning Lanstingsstyrelsen gav i april år 2014 landstingdirektören i uppdrag att utreda en central teknisk lösning för att upptäcka avvikelser och potentiella hot i landstingets nätverk och kritiska IT-system. I detta ärende redovisas resultatet av denna utredning. Beslutsunderlag Tillförordnande landstingsdirektörens tjänsteutlåtande den 3 augusti 2015 Teknisk rapport Förstudie - Central teknisk lösning för att upptäcka avvikelser och potentiella hot i landstingets nätverk och kritiska IT-system - rapporten finns att tillgå hos LSF kansli. Hemlig Dessa handlingar är sekretessbelagda enligt 18 kap 8 punkt 3 i offentlighets- och sekretesslagen (2009:400) Förslag till beslut Innovationsberedningen föreslår arbetsutskottet föreslå landstingsstyrelsen besluta att godkänna utredningen att uppdra åt landstingsdirektören att implementera central teknisk lösning för att upptäcka avvikelser och potentiella hot i landstingets nätverk och kritiska IT-system enligt med tillförordnade landstigsdirektörens tj änsteutlåtande att genomförandet sker inom ramen för fastställd budget. Förvaltningens förslag och motivering Sammanfattning Stockholms läns landsting står inför stora satsningar både inom trafik och vård med höga krav på informations- och IT-säkerhet. För att uppnå satta mål behöver landstinget successivt öka sin IT-säkerhet. Landstingsstyrelsen
Stockholms läns landsting 2(5) TJÄNSTE UTLÅTANDE gav i april år 2014 landstingdirektören i uppdrag att utreda central teknisk och kritiska IT-system. Efter utredning föreslås nu en sådan lösning samt att den implementeras. Bakgrund Stockholms läns landsting står inför stora satsningar inom områdena trafik och vård. För att uppnå satta mål behöver landstinget successivt öka sin IT-säkerhet. Landstingsstyrelsen gav i april år 2014 landstingdirektören flera uppdrag gällande kort- och långsiktiga lösningar för att stärka IT-säkerheten, LS 1311-1456. Ett av dessa var att utreda central teknisk och kritiska IT-system. Överväganden Det finns idag inom landstinget olika slags logg- och larmsystem för IT-system och nätverfeinfrastruktur. Exempel är logganalys-verktyg som skapats för att uppfylla patientdatalagen och kraven på åtkomstkontroll, larmsystem för administrativa åtgärder, anslutningsloggar, viruslarm, intrångsdetektering etcetera. Ett centralt system för insamling och korrelering av olika slags loggar i syfte att ytterligare stärka IT-säkerheten som helhet saknas dock. Ur ett IT-säkerhetsperspektiv är det mest fördelaktigt att på ett automatiskt sätt kunna samla in information från loggar för kritiska IT-system för att vid en senare tidpunkt kunna analysera den. Detta i syfte att i efterhand kunna utreda incidenter men även för att kunna skapa larmnivåer utifrån analyser av insamlad nätverkstrafik. Den överblick som en samlad process skulle kunna ge skapar nya möjligheter till effektiva prioriteringar utifrån verksamheternas behov och stärka IT-säkerheten. I utredningen har nuläget analyserats utifrån olika slags oönskade händelser, såsom exempelvis obehörig åtkomst till IT-system och nätverksmiljöer, skadlig kod, externa angreppsförsök, utnyttjande av sårbarheter i servrar etcetera. Möjligheterna att detektera och i efterhand analysera oönskade händelser i den befintliga loggningen har utretts. Såväl tekniska som juridiska förutsättningar har utretts och förvaltningen konstaterar att en implementering är möjlig att genomföra. I syfte att ytterligare öka säkerheten för i första hand kritiska IT-system och nätverksmiljöer samt öka förutsättningarna att kunna förebygga och hantera oönskade IT-säkerhetsrelaterade händelser på ett effektivt sätt
Stockholms läns landsting 3(5) föreslås att en central teknisk lösning implementeras för att upptäcka avvikelser och potentiella hot i landstingets nätverk och kritiska IT-system. En sådan lösning är inte tänkt att ersätta dagens olika loggsystem, utan snarare komplettera landstingets befintliga lösningar. Det är framför allt aktuellt att samla in information gällande in- och utloggningar i kritiska IT-system. Loggar som exempelvis hanterar vem som har läst vilken patientjournal, kommer även fortsättningsvis behöva hanteras i separata system, till exempel SALA 1. För att få ett bra upplägg på larmhantering kopplat till loggar föreslås att arbetet först inriktas på att samla in loggar i ett centralt logghanteringsverktyg. En central teknisk lösning i tre delar föreslås innehålla: system för central logghantering för centrala säkerhetskomponenter, plattformar och kritiska IT-system i landstingets nätverk system för automatisk sårbarhetsskanning av kritiska IT-system inom landstinget system för att hantera och korrelera larm kring IT-säkerhetshändelser, ett så kallat SIEM-system, security information and event management Den första delen, automatisk logganalys, är tänkt att kunna detektera och larma för incidenter och överträdelser i nätverksmiljön. System som bedömts aktuella att samla in loggar för under kategorin nätverk är säkerhetskomponenter som brandvägg, olika proxy-funktioner, anti-viruslösningar med mera samt statistik över nätverksflöden från komponenter i nätverket. Förslagsvis ansluts centrala säkerhetskomponenter såsom brandväggar och antivirus först, varefter andra kritiska IT-system ansluts efter hand. Den andra delen innebär implementering av system för sårbarhetsanalys/ sårbarhetsskanning. Förvaltningen föreslår att så kallad passiv sårbarhetsskanning används för tillgänglighetskritiska servrar och nätverksenheter. Aktiv sårbarhetsskanning bör användas för andra slags system. Den tredje delen innebär implementering av ett system för att analysera och korrelera larm kring IT-säkerhetshändelser, en så kallad SIEM-lösning, security information and event management. En sådan lösning tillhandahåller realtidsanalys av säkerhetsrelaterade händelser och kan generera högprioriterade larm genom att korrelera lägre prioriterade varningar eller information från olika system. Under ett angrepp behöver 1 SALA, Systematisk automatiserad logganalys, är ett IT-hjälpmedel inom e-hälsa för att granska loggade journalöppningar i journalsystemet TakeCare.
Stockholms läns landsting 4(5) TJÄNSTE UTLÅTANDE ofta flera olika datakällor kombineras för att kunna ge information om vad angriparen har gjort och vilken skada som skett. Implementering av en central teknisk lösning föreslås ske stegvis. Principen föreslås gälla att central logginsamling först finns på plats och erfarenheter tillvaratas från denna innan SIEM-funktionalitet implementeras. Mot denna bakgrund föreslås följande stegvisa införande: Under år 2015 föreslås att central logginsamling kravställs. Under år 2016 föreslås att central logginsamling implementeras utifrån framtagen kravställning i enlighet med vad som framgår av utredningen. Det föreslås att centrala säkerhetskomponenter såsom brandväggar och antivirus ansluts först. Övriga prioriterade IT-system ansluts sedan efter hand. Vidare förslås även att kravställning utförs gällande system för sårbarhetsskanning samt system för att analysera och korrelera larm kring IT-säkerhetshändelser, SIEM. Kravställning bör utgå från nyckeltal kring loggvolymer och andra detaljer som identifieras under implementation av central logginsamling. Under år 2017 föreslås slutligen att sårbarhetsskanning och SIEM-lösning implementeras utifrån den kravställning som tagits fram under år 2016. Förvaltningen önskar i sammanhanget särskilt belysa svårigheten med att få fram en samlad bild över vilka system som är kritiska och anser att det är nödvändigt och en framgångsfaktor för uppdraget att detta analyseras närmare. Analysen bör kartlägga vilka system som är kritiska med avseende på skyddsmålen konfidentialitet 2, tillgänglighets och riktighet4 avseende informationen som hanteras i IT-systemen. I det föreslagna uppdraget att implementera en central teknisk lösning ingår därför att tillse att bolag och förvaltningar rapporterar vilka IT-system som bedöms vara de mest kritiska med avseende på konfidentialitet, riktighet och tillgänglighet. Eventuella förtydliganden som behöver göras gällande hur loggar följs upp föreslås hanteras inom ramen för uppdraget åt landstingsdirektören att genomföra översyn av roller, ansvar och beslutsmandat så att tydliga beslutskedjor etableras för IT-säkerhetsåtgärder och hantering av IT-säkerhetsrelaterade incidenter, LS 1404-0548. 2 Skyddsmål att innehållet i ett informationsobjekt (eller ibland även dess existens) inte får göras tillgängligt eller avslöjas för obehöriga - SIS HB 550 utgåva 3 3 Skyddsmål där informationstillgångar skall kunna utnyttjas i förväntad utsträckning och inom önskad tid - SIS HB 550 utgåva 3 4 Skyddsmål att information inte förändras, vare sig obehörigen, av misstag eller på grund av funktionsstörning - SIS HB 550 utgåva 3
Stockholms läns landsting 5(5) Ekonomiska konsekvenser av beslutet Det är svårt att i detta utredningsskede estimera kostnaderna för föreslagen lösning. Hur kostnaderna fördelas över tid beror på vilken lösning som slutligen väljs, hur många loggkällor som ansluts och hur mycket loggdata som samlas in, lagras och korreleras. Investeringsbehovet för en central och kritiska IT-system bedöms i nuläget motsvara cirka 5-10 miljoner kronor i sin helhet. Till detta tillkommer en årlig kostnad för drift och förvaltning på cirka 1,5-2 miljoner kronor per år. Omfattning och ekonomiska konsekvenser bör säkerställas före implementering. Årliga kostnader för drift och förvaltning bedöms i nuläget rymmas inom tilldelad budgetram för perioden 2016-2017. Identifierade investeringsbehov bedöms även de inrymmas inom tilldelad budgetram genom omprioriteringar. Det är möjligt att utifrån design- och produktval styra investeringens utfall över åren 2016-2017. Kostnader och investeringsbehov för föreslagen lösning bör ställas i relation till de kostnader som uppstår för IT-säkerhetsincidenter utan en sådan lösning, exempelvis driftavbrott till följd av ett större utbrott av skadlig kod eller dataintrång. Föreslagna lösningar kan förväntas ha en preventiv verkan på verksamhetens budget samt på andra negativa konsekvenser som kan uppstå i samband med allvarliga IT-relaterade incidenter. Miljökonsekvenser av beslutet I enlighet med landstingets Miljöpolitiska program 2012-2016 har hänsyn till miljön beaktats och slutsatsen är att det inte är relevant med en miljökoåsekvensfoedömning i detta ärende.