Transcription
ERE:AFBUDDen 30. april 2018 kl. 10.00 – 12.00Mødelokale C hos MedCom, Forskerparken 10, 5230 Odense MVia videokonferenceudstyr: tgj@rooms.medcom.dkVia browser: https://rooms.medcom.dk/webapp/#/?conference tgj@rooms.medcom.dkTest din forbindelse: ktet-vdxArne Larsen, Region NordjyllandTony Hooper, Region SyddanmarkAnders Bjerg Frederiksen, Region MidtjyllandLars Helsberg, SundhedsdatastyrelsenKristian Nielsen Foged, MultimedAllan Vistisen, DXCLasse Christmann, NeticPeder Illum, MedComPer Abildgaard, MedComJesper S. Knudsen, MedComBruno Juel Pedersen, MedComTanja Gerner Jusslin, MedCom (referent)Michael Valeur Nielsen, Region SyddanmarkKasper Viksø Kegel, Region SjællandLars Nyemann-Kofod, Region HovedstadenMartin Bagger Brandt, PLOKenneth V. Mogensen, Region SjællandJacob Garde, sundhed.dkREFERAT1. Godkendelse af dagsorden v/ Peder Illum (beslutning)Peder bød velkommen. Herefter var der en præsentationsrunde deltagerne imellem. Dagsorden blevgodkendt.2. Opfølgning fra seneste møde v/ Peder Illum (orientering)Hvordan skal aftalesystemet understøtte dokumentationskravPeder orienterede om svar fra sikkerhedsfunktionen i Region Hovedstaden om, hvor længeaftalesystemet skal være i stand til at dokumentere organisationen, dens brugere og dereshandlinger. Tilbagemeldingen var her, at data skal opbevares minimum 6 måneder.Brugergruppen anbefalede, at oplysninger opbevares 2 år – og herefter slettes.1
Aftalesystemet indeholder ikke følsomme personoplysninger – men oplysninger som eksempelvis: IP-adresser på services og klienterBeskrivelse af services og klienterBrugeroplysninger – så som navn, rolle, email og telefonOplysning om aftaler og aftaleparterAudit på brugerhandlinger i aftalesystemetHenvendelse fra Region Nordjylland om sikkerhed i brugeradgangPeder orienterede om henvendelse fra Region Nordjylland, som på ny med henblik på nærmerevurdering og prioritering gjorde opmærksom på drøftelsen af brugeradgang og identitetsstyring.Kernespørgsmålet er fortsat, hvor brugeren skal tjekkes: Ved indgangen til systemet i serviceorganisationen, ved indgangen til SDN eller ved udgangen fra klient-organisationen.Emnet er tidligere blevet drøftet på brugergruppemøder. Sidst på møde den 31. august 2017, hvoren nedsat gruppe bestående af Region Nordjylland, Region Syddanmark og Region Midtjyllandpræsenterede resultatet af deres arbejde. Den umiddelbare konklusion i arbejdsgruppen var ikke atgå videre – men brugergruppen bakkede op om en videre afklaring i regi af RSI.Arne orienterede om, at spørgsmålet er blevet rejst i RSI – dog uden nogen konklusion ogforankring af en eventuel videre drøftelse og proces.Der var i brugergruppen enighed om, at konklusionen fra arbejdsgruppen og SDN-brugergruppenfortsat er gældende – bl.a. på baggrund af, at det er vanskeligt at se, hvordan MedCom skal kunnehåndhæve en brugerstyring for organisationernes brugere samt merværdien ift. lokalbrugerstyring.Det blev aftalt, at Peder kontakter Region Nordjylland med SDN-brugergruppens konklusion.3. Meddelelser med relevans for SDN v/ SDN-brugergruppen (orientering)Besøg af Rigsrevision i maj 2018Bruno meddelte, at Rigsrevisionen kommer på genbesøg i maj. Selve revisionen vil foregå den 16. maj2018. Bruno orienterede om, at fokus i besøget forventeligt vil være opfølgning fra sidst samt nyeområder.4. Status og opfølgning på drift, servicemål og KPI’er – herunder evaluering af eventuelle hændelser v/Peder Illum (orientering)Peder fortalte, at driften af SDN har været stabil den seneste periode uden major incidents.SDN v3 er yderligere forsinket. Den sidste SDN-MPLS-switch er planlagt installeret i juni 2018.Omlægningen af VPN-forbindelserne forventes tilendebragt i løbet af 2018. Aktuelt er ca. 20 pct. aforganisationerne omlagte.Peder orienterede om, at der er stor ledelsesmæssige bevågenhed om fremdriften i og færdiggørelsenaf implementeringen – bl.a. jf. it-revision og risikovurdering.Kristian vil søge at bringe vigtigheden af hastigheden i implementeringen ind i leverandørforum,herunder afklare eventuelle udfordringer.2
Der var en snak om threat analysis i netflow. Peder fortalte om, hvordan SIEM-værktøjet, Splunkforventes at kunne anvendes til detektering af anormal brugstrafik. Dette kan dog først afklares ogiværksættes, når implementering af SDNv3 er tilendebragt med bl.a. valid trafikstatistik.Peder orienterede om, at der planlægges en præsentation af Splunk og netflow på næste SDNbrugergruppemøde.SDN-brugergruppen Tog status på drift og SDNv3-implementering til efterretning5. Change management v/ Peder Illum (drøftelse)Peder præsenterede forslag til ændring i procedure for change management, hvor de væsentligsteændringer er: Genindførelse af faste servicevinduer ved både normal- og standard changes. De fasteservicevinduer lægges den 1. og 3. tirsdag om aftenen for ikke at konflikte med regionernesservicevinduer. Servicevinduerne udmeldes i så god tid som muligt – men som minimum 3 dageforinden Ingen varsling ved standard changes Mindre ændring i udsendelsesliste for servicemeddelelserÆndringen er drøftet med SDN-leverandørerne.Ændringen vil blive lagt på MedComs hjemmeside.SDN-brugergruppen Godkendte ændringen med henblik på implementering6. Endepunktskryptering af services v/ Peder Illum (orientering)Fortroligt punkt.7. Udvikling v/ Peder Illum (orientering)Peder orienterede om status på udviklingsønsker samt opfølgning efter release af aftalesystem v3. Meddenne release er hele mangellisten efter den første release af aftalesystem v3 udbedret.Det vil sige, at det i udgangspunktet var final release, hvorefter prioritering og igangsættelse af udviklingherefter kommer til at følge den aftalte model for håndtering af udviklingsønsker. Planen er prioriteringaf udviklingsønsker på næste møde.SDN-brugergruppen Tog status på udviklingsønsker samt opfølgning på aftalesystem v3 til orientering8. Passwordpolitik i aftalesystemet (drøftelse) v/ Peder IllumPeder orienterede om tilbagemelding fra informationssikkerhedsfunktionen i Region Hovedstaden om2-faktor med henblik på drøftelse og fastsættelse passwordpolitik for aftalesystemet.3
Tilbagemeldingen var, at anvendelse af 2-faktor-autentifikation ikke betyder, at der kan lempes påkompleksitet eller hyppighed for skifte.Med afsæt i denne tilbagemelding var der i brugergruppen enighed om at implementere følgendepasswordpolitik i aftalesystemet: Password skal indeholde mindst 8 tegn Følgende typer af tegn skal anvendes: Store bogstaver, små bogstaver, tal og specialtegn (3 udaf 4) Password ved første log-on skal udskiftes Password skal skiftes periodisk og mindst hver 3. månedHerforuden gælder det: For normale brugerkonti er passwords strengt personlige. En undtagelse er, at en servicedeskkan oprettes som bruger - men kun som readonly Ved mistanke om, at passwordet er blevet kendt af andre, skal MedCom kontaktes viasdn@medcom.dk. Hvis det har akut karakter, skal MedCom kontaktes på 6543 2030 Herudover kan der være yderligere ikke-tekniske krav bundet op til organisationernes egnepolitikker for adgangsstyring – eksempelvis kun anvendelse af usædvanlige passwords.9. It-revision 2017 (orientering) v/ Peder IllumPeder præsenterede resultatet af it-revisionen og forslag til ledelseskommentar inkl. handleplan.SDN-brugergruppen Tog erklæring 2017 samt ledelseskommentar til efterretning10. Risikovurdering 2018 (drøftelse) v/ Peder IllumPeder præsenterede status på risikovurdering 2018 for SDN/VDX med fokus på brugergruppensvurdering af konsekvens ved brud på tilgængelighed, fortrolighed og integritet.4
Peder præsenterede endvidere overvejelser om ændring af politikken og proceduren for risikostyring: Konsekvens og sandsynlighed er aktuelt opdelt i kun tre niveauer. Det gør, at det er vanskeligtat se, når en risiko mitigeres og ’flytter’ sigEndvidere overvejes at lave risikovurderinger på ’system-niveau’ – i stedet for SDN som helhed.Målet vil her være at gøre risici og handleplan mere konkret.Lars orienterede om en gennemført sårbarhedsanalyse af NSP, hvor der fremkom nogle anbefalinger tilSDN. Umiddelbart håndteres disse allerede i SDN. Peder og Lars aftaler opfølgning bilateralt.SDN-brugergruppen Tog orientering til efterretning og godkendte konsekvensvurderingen11. Ændring i MedComs rolle som databehandler (drøftelse) v/ Peder IllumPeder præsenterede overvejelser om ændringen i MedComs rolle som fællesoffentlig systemforvalterfor at sikre en mere entydig og klar rolle- og ansvarsfordeling mellem rollen som henholdsvissystemforvalter, databehandler og dataansvarlig.Ændringen vil skulle afspejles i tilslutningsaftalen og databehandleraftalerne.SDN-brugergruppen Tog orienteringen til efterretning12. SDN på MedComs hjemmeside (drøftelse) v/ Peder IllumPeder inviterede SDN-brugergruppen til at give input til MedComs indhold om SDN på hjemmesiden.Tony savnede en mere direkte vej til Smokeping på hjemmesiden. MedCom kigger på muligheder,herunder etablering af link i aftalesystemet.13. SDN/VDX-temadag 2018 v/ Peder Illum (drøftelse)Peder inviterede brugergruppen til at give input til SDN/VDX-temadag 2018. Der kom følgende forslag: Splunk med fokus på trafik og anvendelse af trafikstatistikMedComs rolle som systemforvalter – samt roller og ansvar for databehandler og dataansvarligHerudover indkom nogle ønsker i evalueringen af temadagen.14. Næste møde v/ Peder Illum (beslutning)Kommende møder afholdes: Den 23. august 2018 kl. 10 – 12Den 7. november 2018 kl. 10 – 12Foreløbige forslag til punkter for næste møde: Præsentation af SDNs SIEM-løsning5
15. EventueltIntet til punktet.6
Peder orienterede om, at der planlægges en præsentation af Splunk og netflow på næste SDN-brugergruppemøde. SDN-brugergruppen Tog status på drift og SDNv3-implementering til efterretning 5. Change management v/ Peder Illum (drøftelse) Peder præsenterede forslag til ændring i procedure for change management, hvor de væsentligste .
