Informatieveiligheid voor lokale besturen binnen het nieuwe VO-raamcontract

ICT-Diensten voor de Vlaamse overheid en de lokale/provinciale besturen

Informatieveiligheid voor lokale besturen binnen het nieuwe VO-raamcontract. Rutger Schenk – 13/11/2014

Naar een veilige integratie en verbinding met centrale administraties en tussen lokale besturen onderling.

13/11/2014

13/11/2014

ICT-diensten voor de Vlaamse overheid en de lokale/provinciale besturen

Agenda

1. Kort overzicht van de diensten binnen het nieuwe raamcontract 2. Informatieveiligheid binnen deze diensten 3. Hoe kunnen we jullie helpen overgaan naar deze diensten? 4. Vragen

2

13/11/2014


1. Kort overzicht van de diensten binnen het nieuwe raamcontract

2. Informatieveiligheid binnen deze diensten

3. Hoe kunnen we jullie helpen overgaan naar deze diensten?

4. Vragen?

Deel 1

Kort overzicht van de diensten binnen het nieuwe raamcontract

3

13/11/2014


Overzicht van het aanbod Werkplekdiensten

Netwerk diensten

Projecten

Datacenter diensten

4

13/11/2014


Overzicht van het aanbod – Werkplek Diensten

Werkplekdiensten

Netwerk diensten

Projecten

Datacenter diensten

Exploitatie van de gebruikersinfrastructuur. Installatie en configuratie van een desktop/laptop, printers, ... Helpdeskondersteuning. Aankoop en levering van standaard Producten voor werkplek. Aankopen van ICTProducten zoals opgenomen in door de ICT-Dienstverlener beheerde Productcatalogus (hardware en software). Datacenterdiensten voor werkplek. Activatie en beschikbaar houden van mail, agenda, instant messaging, chat, aanwezigheidsinformatie, virtuele vergaderfunctionaliteit, persoonlijke datacapaciteit voor een Gebruiker, ... 5

13/11/2014


Overzicht van het aanbod - Projecten

Werkplekdiensten

Netwerk diensten

Projecten

Datacenter diensten

Projecten: • Programma en Projectmanagement. • Analyse, Design, Bouw en Implementatie. HB-plus stelt profielen/teams ter beschikking van de besturen die ingezet kunnen worden om projecten te initiëren en tot een goed einde te brengen.

6

13/11/2014


Overzicht van het aanbod Datacenterdiensten

Werkplekdiensten

Netwerk diensten

Projecten

Datacenter diensten

• Applicatiemanagement. Het beschikbaar houden van een bedrijfstoepassing. • Platformdiensten. Aanvragen van een databaseplatform, een webserver, een applicatieserver, ... • Infrastructuurdiensten. Ter beschikking stellen en opzetten van fysieke en virtuele servers, storage en back-up, .. • Computerzaalfaciliteiten. Aanvraag voor het ter beschikking stellen, wijzigen, opzeggen van computerzaalruimte, ...

7

13/11/2014


Overzicht van het aanbod Netwerkdiensten

Werkplekdiensten

Netwerk diensten

Projecten

• (Voorlopig?) Niet van toepassing voor Lokale Besturen. Lokale Besturen blijven vrij in de keuze van netwerk leverancier, en zullen dus zelf instaan voor de (Internet) koppeling met de HBplus data centers, waar relevant

Datacenter diensten

8

13/11/2014


Onze Oplossing is ‘uniek’

Deze oplossing biedt een geïntegreerde totaal oplossing, uniek voor Vlaamse overheid en Lokale Besturen. 9

13/11/2014





4. Vragen?

Deel 2

Informatieveiligheid binnen deze diensten

10

13/11/2014


Security Vereisten:

ICT contract 2015 exploitatie gebonden ICT-diensten

VO Generiek Veiligheidsbeleid Privacy richtsnoeren

Industrie goede praktijken

11

13/11/2014


De HB+ Security Visie is:

Het bieden van optimale ondersteuning en beveiligingsadvies. Het leveren van flexibele, modulaire en kost efficiënte diensten die eenvoudig te bestellen zijn. Binnen de HB-plus diensten iedere Klant de vrijheid geven om haar veiligheidsniveau en ondersteuning te bepalen. Iedere Klant op elk gewenst ogenblik een duidelijk zicht op haar veiligheidsniveau kunnen bieden.

12

13/11/2014


HB+ Principes en goede praktijken! Adequate security controles inregelen om afgesproken SLA-niveau te kunnen bieden. Advies voor security maatregelen o.b.v. classificatie van informatie. Gelaagde security (‘onion model’). Toegangsbeheer – ‘account life cycle management’ toepassen. Wie heeft op welk moment toegang? Minimale impact op anderen. Risico gebaseerde aanpak. Naleving wet- en regelgeving (‘Privacy richtsnoeren’). Van ‘perimeter security model’ naar ‘information security model’. 13

13/11/2014


Service datacenters

• Beveiligde omgeving met overheidsrelevante compliance certificatie en audit mogelijkheid; • SSAE16/ISAE3402 SOC1 Type II / ISO27001 compliancy • HB-plus datacenterlocaties in BE/NL • Tier3 14

13/11/2014


Service operations

• HB-plus Geheimhoudingsverklaringen en gedragscode actueel • Authenticatie, autorisatie en accounting principes gewaarborgd • Geen HB-plus beheer buiten Europa • Security incident management 15

Vrijheid

Vrijheid

Vrijheid

Vrijheid

AMaaS PaaS IaaS IaaSLight


Granulaire Beveiliging Datacenterdiensten

Eigen veiligheidsniveau bepalen…

Veiligheidsniveau service provider

16


Datacenter ‘architectuur’ VPC INTERNET Network Intrusion Prevention System (NIPS) VPC Virtual Firewall F5 Loadbalancer

SSL/VPN

IaaS

IaaS AMaaS Rev Proxy

IaaS

PaaS

13/11/2014

PaaS Fw Proxy

AMaaS

AMaaS

HIPS portal

SMTP Relay

AMaaS

Zone lokale besturen

Service Platform

Zone AMaaS O, T&I

Andere zones

Zone DMZ

17 Zone HB+

13/11/2014


Service Specifieke Controles: Datacenterdiensten • VO compartiment • NIPS

• Loadbalancing • Hostbased protection • Backup • SAN zoning/LUN Masking • Hardening (alleen HB+ managed systemen) • Patching (alleen HB+ managed systemen) • Monitoring (alleen HB+ managed systemen) • Conformiteits meting (alleen HB+ managed systemen) • Vulnerability scanning (alleen HB+ managed systemen) • Security incident management • Disk volume/database encryption (optioneel) • DRP (optioneel)

18

13/11/2014


Datacenter diensten ontsluiting en beheer Zone Locale Besturen

Locatiegebonden toegang

Stad

IaaS

PaaS G e m . AMaaS

S t a d

Gemeente

Internet

Persoonsgebonden toegang

3de partij

Datacenterdiensten

19

Security in de service

13/11/2014


Use case: IaaS

Basis bestelling IAAS: • Welk Operating Systeem? • Windows • Linux • Unix • Storage?

Basis beveiligingsopties: • Host protection • Vulnerability scanning • Conformiteits meting • Patching • NIPS • Backup • Monitoring • Security incident management

20

Security in de service

13/11/2014


Use case: IaaS Light

Basis bestelling IAAS: • Welk Operating Systeem? • Windows • Linux • Unix • Storage?

Basis beveiligingsopties: • Host protection • Vulnerability scanning • Conformiteits meting • Patching • NIPS • Backup(optioneel) • Monitoring • Security incident management

21

13/11/2014


Service Specifieke Controles Datacenterdiensten WPaaS • Sterke authenticatie • Remote Wipe • Spamfilter • Anti-malware • Audit en logging toegang • Pentesting infrastructuur • Interconnectiviteit wordt bepaald bij onboarding • Toegangsbeheer mechanismen/policy wordt bepaald bij onboarding (IAM)

22

13/11/2014


Modulaire security in dienst  Optionele EXTRA Security diensten die aangeboden kunnen worden: •

• •

• • • •

Forensics – Security Incident Response (SIRT) Kwetsbaarheidsanalyses Business Continuity Management / Business Impact Analyses ondersteuning Risico assessments (t.b.v. nieuwe systemen of toepassingen in projecten) Penetration testen Disk volume/database encryption Audit support

23

13/11/2014





4. Nog even alles op een rijtje

Deel 3

Hoe kunnen we jullie helpen overgaan naar deze diensten?

24

13/11/2014


Hoe kunnen we jullie helpen?

Adviseren Advies afgestemd op jouw strategie

Transformeren Ontwikkelen As A Service Project werking

Snelheid

Volgens het contract Veilig

Efficiënt

Adviseren over relevante mogelijkheden en strategieën zowel op business als IT gebied

Beheren “As A Service” SLA gebaseerd

End-to-End Kost

Beheren

Jullie huidig landschap uitbreiden en / of ombouwen naar een lagere TCO op basis van nieuwe dienstverlening

Alle componenten inbegrepen

Jullie huidig landschap beheren “as a service”, alles inbegrepen

25

13/11/2014


Adviseren door samen de business case te bouwen Kick Off

•Trends Infosessies •New Style of IT •New Way of Working •As A Service modaliteiten •AS IS informatie baseline vastleggen (Blueprint) • Evaluatie eigen infrastructuur, applicaties en dienstverlening

Principes Werksessie

•Principes voor samenwerking (Business,Applicati es,Infrastructuur, Governance) bepalen

To Be werksessie

•Business visie •Doelstellingen •Hoe ver kan je / wil je gaan naar een “as a service model” – begin van roadmap

IT Roadmap werksessie

•Roadmap naar TO BE model •Lange termijn projecten •Korte termijn projecten •Opties •Overeenstemming ambitie en doelstellingen

Finale Business Case

•OUTPUT = Voorstel business case, inclusief Roadmap,Gaps, Alternatieven,risico’ s en budget aanpak •Basis om offerte fase te starten •GO/NO GO Offerte traject

Modaliteiten: • 5 Werksessies van halve dag • 5 dagen doorlooptijd (korte doorlooptijd) • Vast opleverproduct

26

13/11/2014

Ambitie niveau ? Stap n

Dienstverlening

• Introductie Nieuwe / Andere applicaties

Minimale Initiële Transitiekost


Resultaat: een (veilige) roadmap op jullie maat!

Stap 3

Stap 2 Stap 1 • Contractuele on boarding • Groepsaankopen • Netwerk Aansluiting = transformatie project

• Applicaties – “case by case” aanpak • Verdere uitrol Werkplek diensten

• Infrastructuur / “low hanging fruit” • Data center Diensten • Werkplek Diensten – Eerste fase • Applicatie Diensten (waar relevant)

2015 27

13/11/2014





4. Vragen

Deel 4

Vragen

28

13/11/2014


Volg onze communicatie op: http://www.hb-plus.be

29

ICT-Diensten voor de Vlaamse overheid en de lokale/provinciale besturen

Bedankt voor jullie aandacht

[email protected]

Naar een veilige integratie en verbinding met centrale administraties en tussen lokale besturen onderling.

13/11/2014

Informatieveiligheid voor lokale besturen binnen het nieuwe VO-raamcontract

Recommend Documents