Møte i nettverk for informasjonssikkerhet - NIFS

Presentasjon om: "Møte i nettverk for informasjonssikkerhet - NIFS"— Utskrift av presentasjonen:

1 Møte i nettverk for informasjonssikkerhet - NIFS
23. November 2016 Informasjonssikkerhet ved anskaffelse av skytjenester

2 Agenda: 10:00 Velkommen og nytt fra Difi Difis arbeid med veiledning på skytjenester Bærum kommunes erfaring med anskaffelse av skytjenester 12:00 Lunsj 12:30 Hvilke utfordringer ser virksomhetene ved anskaffelse av skytjenester og hva er veiledningsbehovet 15:00 Ny versjon av veileder for internkontroll i praksis – informasjonssikkerhet     15:15 Neste NIFS-møte 15:30 Avslutning

3 Nytt fra Difi Ny seksjonssjef Difi strategi
Standarder og referansekatalogen Sikkerhetsmåneden Sivil nasjonal øvelse Prosjektveiviseren

4 Ny seksjonssjef Øyvind Grinde

5 Difi strategi Under mål ligger oppfølging av informasjonssikkerhet i henhold til føringer fra regjeringen. Kommuner skal også være med.

6 Standarder og referansekatalogen
Bruke standardiseringsrådet og referansekatalogen i større grad HTTPS for nettsider StartTLS for epost Avslutter frikjøp av ISO 27001 Husk å laste ned disse før jul

7 Sikkerhetsmåneden Internkontroll informasjonssikkerhet
Heldagskonferanse om informasjonssikkerhet i offentlig sektor Sikkerhetsfrokost med Datatilsynet, Nasjonal sikkerhetsmyndighet og Difi Sikkerhet et hinder for tilgjengelighet? KINS sikkerhetsseminar Normkonferansen Opplæringspakke

8 Sivil nasjonal øvelse IKT16 Gjennomføring til

9 Prosjektveiviseren Informasjonssikkerhet legges inn i konsept- og planleggingsfase. Ligger allerede noe i konseptfasen, men det er vanskelig å finne.

10 Difis veiledningstilbud om skytjenester
Møte i NIFS Bente Hagelien Seksjonssjef Avdeling for offentlige anskaffelser

11 Direktoratet for forvaltning og IKT
Hvorfor sky? Mer kostnadseffektiv IKT Fleksibilitet Økt profesjonalisering og bedre sikkerhet Lavere terskel for innovasjon og nyetablering Bedre ressursutnyttelse - energibruk Direktoratet for forvaltning og IKT

12 Prinsipper for bruk av skytjenester
Fra digitaliseringsrundskrivet: Virksomheter som etablerer nye eller oppgraderer eksisterende fagsystemer eller digitale tjenester, eller endrer eller fornyer avtaler knyttet til drift, skal vurdere skytjenester på linje med andre løsninger. Når det ikke foreligger spesielle hindringer for å ta i bruk skytjenester, og slike tjenester gir den mest hensiktsmessige og kostnadseffektive løsningen, bør en velge slike tjenester. Valgt løsning skal tilfredsstille virksomhetens krav til informasjonssikkerhet. Dette krever at virksomheten kjenner verdien av egne data og systemer, og at det gjennomføres en risikovurdering Direktoratet for forvaltning og IKT

13 Direktoratet for forvaltning og IKT
Noen tema i strategien Juridisk gjennomgang Det er relativt få hindringer for bruk av skytjenester i regelverket Sikkerhet og behandling av personopplysninger Risiko- og sårbarhetsanalyser Behandling av personopplysninger – krav til databehandleravtale Anskaffelser Sammenligning av priser og betingelser Valg av kontrakt Exit-kostnader Dato Direktoratet for forvaltning og IKT

14 Difis veiledningstilbud om sky
Oppdrag fra KMD om å etablere kompetansemiljø og tilby veiledning Offentlig sektor er hovedmålgruppen Veiledning om sky generelt Om anskaffelser av skytjenester Sikkerhets- og risikovurderinger Difi skal samarbeide med andre relevante fagmiljø, som f.eks Datatilsynet og NSM Direktoratet for forvaltning og IKT

15 Difis veiledningstilbud forts.
Temaene skal sees i sammenheng og vil jobber flere avdelinger sammen for at dette skal bli et helhetlig veiledningstilbud. Innspillene deres er viktig i utformingen av vårt veiledningstilbud! Hva er vanskelig? Hva bør vi prioritere? Direktoratet for forvaltning og IKT

16 Bærum kommune 10 minutters beinstrekk mens vi rigger nye foiler

17 Hvilken informasjon behandler vi - Barbro

18 Møtes igjen her etter lunsj (45 min)
Møtes igjen her etter lunsj (45 min). Da skal vi i gang med gruppearbeid. Lunsjen serveres nede i kantina.

19 Gruppearbeid Hvilke skytjenester har dere anskaffet (om noen)
Hvilke områder er utfordringene på (teknisk, juridisk, anskaffelsesfaglig, andre) Er det utfordringer som gjør at dere har latt være å anskaffe tjenester dere tror ville gitt dere et bedre verktøy eller som ville vært kostnadsbesparende? Ser dere noen forskjeller på anskaffelse av skytjenester og annen outsourcing?

20 Kaffepause 15 min pause. Kaffe og frukt står utenfor. Tilbake kvart over.

21 Gruppearbeid Hvilke områder trenger man veiledning på (Hvilke steg i prosessen, hvilke fagområder) Hva er de 10 viktigste punktene man trenger veiledning på? Hvilke kanaler/virkemidler er nyttige for denne typen veiledning Hvordan kan din virksomhet bidra til at anskaffelse av skytjenester i offentlig forvaltning blir bedre

22 Ny versjon av veilederen

23 Nettbasert veiledningsmateriell
Hjelp og støtte Hovedaktiviteter og delaktiviteter Beskrivelser

24 Standard og veiledningsmateriell
ISO/IEC 27001 er den anbefalte anerkjente standarden å basere seg på stiller overordnede krav Difis veiledningsmateriell baserer seg på ISO/IEC 27001 dekker det Difi anser som de viktigste kravene konkretiserer hvordan kravene kan implementeres og etterleves anbefalt å bruke som referanse og støtte ved analyse av status, etablering og forbedring av internkontroll på informasjonssikkerhetsområdet

25 Neste møte Onsdag 15. februar 2017
Universell utforming av IKT og informasjonssikkerhet. Motstridende hensyn eller gode hjelpere? Erfaringsforedrag

26 Avslutning: Møter neste år:
15. februar – Informasjonssikkerhet og universell utforming av IKT. Motstridende hensyn eller gode hjelpere? 5. april – øvelse 31. mai - sikkerhetsmåneden 13. september 29. november Andre innspill: Gjerne om noen har noe de vil presentere!

27 Kontaktinformasjon infosikkerhet.difi.no internkontroll.infosikkerhet.difi.no

28