Beredskap og katastrofeplan IKT - trenger vi det?

1. Mulighetenes Oppland
Beredskap og katastrofeplan IKT
- trenger vi det?
Petter Kolstad
IKT-leder
KINS konferansen i Kristiansand 27-28. mai 2013

2. Mulighetenes Oppland
Oppland fylke
Nord-Gudbrandsdal
Valdres
Midt-Gudbrandsdal
Sør-Gudbrandsdal
Gjøvik - Land - Toten
Hadeland
Oppland fylke:
Areal: ca 25.000 km2
Innbyggere: ca 180.000
Antall kommuner: 26
Regioner: 6
Byer: 4
Lillehammer
Oppland fylkeskommune har ansvar for:
• Samferdsel og vei
• Videregående opplæring
• Regional utvikling
• Tannhelsetjeneste
• Kultur
• Kulturminne
• Fylkesbibliotek
• Fylkesarkiv
25.192 km2
(kun 5.109 km2 er under 600 meters over havflaten)

3. Mulighetenes Oppland
 Ca 60 lokasjoner i hele fylket
 Fiberkommunikasjon til alle lokasjoner
 200 + 80 servere med felles systemer
 Mer enn 12 000 registrerte brukere
 Ca 9 000 PC’er i nettverket
IKT infrastruktur og løsninger

4. Mulighetenes Oppland
 16 medarbeidere i fagenhet IKT, OFK sentralt
 21 systemansvarlige IKT-ansatte i vg skoler
 Ca 20 superbrukere IKT i organisasjonen
 Sikkerhetsansvarlig for rådmannen
 Årlig brukes minimum kr. 50-60 mill. til IKT
 Fylkeskommunens nettoutgifter ca. 2,4 mrd. i 2013
Organisering IKT

5. Mulighetenes Oppland
Admin
Endrings-
råd
Prosjekt-
råd
DriftsTeam ServiceTeam Prosjekt
Systemer (H)
Plattform Nettverk Kommunika-
sjon
Sikkerhet
Ansvarsmatrisa
Organisering fagenhet IKT
SE
FagTeam
FagAnsvar
D/d/h
Operativt
Administrativt

6. Mulighetenes Oppland
OFK IKT-strategi 2001 - 2012
2001 2002 2003 2004 2005 2006 2007 2008 2009 2010 2011 2012
I-nett
Arkitektur og e-Samhandling
eKommune/Digital forvaltning
Infrastruktur
Fellesløsninger
Bredbånd
IKT er en viktig faktor for utvikling av virksomheten i OFK

7. Mulighetenes Oppland
Kartlegging av sårbarhet innen IKT, risikoanalyse
2004
• Risikoanalyse - fokus på nettverk og kommunikasjon
• Redundans, dublisering, økt kapasitet, backup
2007
• Kartlegging av Sårbarhet og avhengighet av IKT
• Vurdere sårbarhet i forhold til avbrudd
2008
•Risikoanalyse – sårbarhet og katastrofeplan
• ROS analyse med tiltaksplan følges opp
2008/2009
•Datatilsynet gjennomført tilsyn
•Varslingsrutiner i forhold til Arbeidsmiljøloven
•Elektronisk billettsystem, behandling ift. Personopplysningsloven
2011-2013
• Risikoanalyse, beredskaps- og katastrofeplan for IKT
• Beredskapsplan for Oppland fylkeskommune
• Etablere katastrofeberedskap

8. Mulighetenes Oppland
OFK IKT-strategi 2012 - 2017
2012 2013 2014 2015 2016 2017
GIS
eKommune/Fulldigital forvaltning
Felles arkitekturprinsipper
Samhandlingsløsninger
Nye fellessystemer IKT
Visjon: Fulldigitalisert fylkeskommune - "På nett med innbyggerne"
IKT skal bidra til innovasjon og utvikling

9. Mulighetenes Oppland
Risikovurdering i OFK
Risikovurdering overordnet nivå 2012
I arbeidet med kvalitetssikring/intern kontroll i 2012 ønsker fylkesrådmannen å sette spesiell
fokus på ledelsens oppfølging av at kvalitetssikringen fungerer som forutsatt:
• Alle ledere har ansvar for tilstrekkelig kvalitetssikring/intern kontroll innen sitt
ansvarsområde. Av dette følger også at ledere må påse/følge opp at kvalitetssikringen
fungerer som forutsatt.
• Oppfølgingen må skje med bakgrunn i strukturerte risiko- og vesentlighetsvurderinger.
Fylkesrådmannen vil tilrettelegge en arbeidsform som sikrer at status på kvalitetssikringen innen
vesentlige områder fra alle nivå i organisasjonen blir meldt oppover i organisasjonen.
• En mer strukturert arbeidsform skal bidra til å gi et ennå bedre grunnlag for fylkesrådmannens årlige
overordnede status- og risikovurderinger.
Beredskap: Fylkesrådmannen ønsker å kartlegge og vurdere dagens situasjon for å forsikre seg om at det
er gjort en grundig risiko- og sårbarhetsanalyse på ulike nivå i organisasjonen og at dette følges opp i
praksis.
FR-sak: 201200142-1

10. Mulighetenes Oppland
Mål og rammer
Fagenhet IKT sin beredskaps- og katastrofeplan skal bidra til å sikre
Oppland fylkeskommunes virksomhet ved kriser og ulykker slik at
skadeomfanget minimaliseres, tjenesteproduksjonen opprettholdes så
langt som mulig og fylkeskommunens informasjonsbehov og omdømme
ivaretas.
 Klargjøre hvilke trusler som til enhver tid vurderes som de mest risikofylte samt gi føringer for
beredskapsarbeidet.
 Fagenhet IKT sin beredskaps- og varslingsplan skal forankres i fylkeskommunens overordnet
beredskaps- og varslingsplan og tas i bruk når virksomheten er i en krisesituasjon og ordinære tiltak
ikke fungerer.
 Beredskapsarbeidet skal inkludere skadeforebyggende tiltak som kan bidra til å redusere
sannsynligheten for at en uønsket hendelse oppstår og dermed senke risikoen på området.
 Risikovurdering skal bidra til å avdekke hvilke konsekvenser en uønsket hendelse kan få og hvilke
skadebegrensende tiltak som må iverksettes for å avgrense omfanget av den uønskete hendelsen.
 Hensynet til liv og helse skal gå foran øvrige hensyn og interesser.
Mandat for krise- og beredskap IKT

11. Mulighetenes Oppland
Definisjon: Krise
Krise stammer fra det greske krisis (og latinske crisis), som kan oversettes med
plutselig forandring, avgjørende vending eller skjebnesvanger forstyrrelse.
Krise er mye brukt i blant annet kommunikasjonsfaget, da i forbindelse med en
krisekommunikasjon. Krisekommunikasjon handler om tre ting:
o Før krisen: kommunisere for å forhindre kriser og planlegge for kriser som likevel vil
kunne ramme.
o Under krisen: kommunisere med krisens interessenter og berørte interessenter,
håndtere utfordrende saker.
o Etter krisen: kommunisere for å gjenreise tillit og omdømme, lære av hva som har
skjedd.
o Oppsummert kan man i denne sammenheng si at en krise er en større uheldig
hendelse som bringer med seg problemer som ikke kan løses gjennom ordinær
organisering og handlekraft.
Kilde: Wikipedia
Definisjon

12. Mulighetenes Oppland
Definisjon: Katastrofe
En katastrofe (av gresk κατά (kata), om, mot, ved + στροφή (strofi), omdreining)
er en stor omveltning, ulykke eller ødeleggelse som medfører mange drepte eller
store skader på mennesker, dyr og planteliv. Ordet brukes også om enhver ulykke
hvor det er flere skadde enn det hjelpeapparatet har kapasitet til å ta seg av.
Årsaker
Politiske årsaker som krig, opptøyer eller unntakstilstand.
Endringer i naturen som tørke, kraftig regnvær med etterfølgende flom og
kraftige vinder.
Ulykker som kantringer, flystyrt, ras, buss- eller togulykker.
Voldsomheter som folkeutrydninger eller massemord.
Kilde: Wikipedia
Definisjon

13. Mulighetenes Oppland
Definisjon alvorlig driftsavbrudd, krise/katastrofe
Varslingsplan skal medvirke til å ivareta innledende varsling slik at tiltak
kan iverksettes raskest mulig, samt at alle berørte i en situasjon får
raskest og best mulig informasjon. Varslingsplanen skal sikre korrekt
handling hos både ledere og ansatte når uønskede eller uforutsette
hendelser er i ferd med å skje eller har skjedd.
En krise eller katastrofe er en større uheldig hendelse som bringer med
seg problemer som ikke kan løses gjennom ordinær organisering og
handlekraft.
En uønskede eller uforutsett hendelse er en situasjon som kan
som vil kunne føre til fullstendig bortfall av alle IKT-tjenester til
alle brukere/ kunder i en periode på over 24 timer.
Varslingsrutine iverksettes når en uønskede eller uforutsette hendelser
er i ferd med å skje eller har skjedd.

14. Mulighetenes Oppland
Tiltak
1. Etablere plan som iverksettes dersom IKT-driften ikke kan opprettholdes som følge av en krise eller
katastrofe.
2. Etablere og dokumentere prosess for gjennomføring av risikoanalyser av IKT-virksomheten.
3. Etablere kriterier for akseptabel risiko forbundet med bruk av IKT-systemene.
4. Avklare prioritet og ønsket "tilgjengelighetsgaranti" for virksomhetskritiske fellessystemer.
5. Beskrive ansvar og rollefordeling i fagenhet IKT ved beredskaps- og kriseledelse.
6. Etablere varslingsrutine og informasjonsplan for bruk ved krise eller katastrofe.
7. Beskrive hvilke handlinger som skal tas når krise eller katastrofe oppstår. Alle ansatte i fagenhet IKT
skal kjenne sine oppgaver i en krise- eller katastrofesituasjon.
8. Anskaffe og etablere tekniske løsninger gjør det mulig å reetablere avtalte IKT-systemer innen avtalt
tid.
9. Etablere plan for opplæring og øvelse i beredskapsarbeidet. Gjennomføre periodiske
beredskapsøvelser.
Prosess for beredskaps- og katastrofeplan

15. Mulighetenes Oppland
Beredskaps- og katastrofeplan for fagenhet IKT
P1302 Etablere beredskaps- og katastrofeplan for fagenhet IKT
Mar. Apr. Mai Jun.
Nr. Aktivitet/Uke Ansv Ress. 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26
MP1 Oppstart og forberedelser X
MP1.1 Mandat og prosjektplan PK
MP1.2 Prosjektplan PK X
MP1.3 Workshop kriseledelse og beredskap
MP1.4 Gjennomgang og kartlegging av teknisk infrastruktur KOY X X X X X
MP1.5 Gjennomgang og kartlegging av systemer/eierskap MRN X X X X X
MP1.6 Risikoanalyse og sårbarhetsvurdering PK X X X X X X X X
MP1.7 Dokumentere SLA krav og prioritet PK X X X X X
MP1.8 Gjennomgå organisasjon, ressurser og kompetanse
MP1.9 Gjennomgå eksisterende beredskapsløsninger HOB
MP1.10 Gjennomgå eksisterende driftsdokumentasjon MRN
MP1.11 Kostnad- og nyttevurdering i forhold til risikoanalyse og
sårbarhetsvurdering X X
MP1.12 Bestemme omfang og nivå av beredskap
MP1.13 Bestemme kriseledelse, rollefordeling og ansvar
MP1.14 Bestemme ansvar og roller ift videre arbeid
MP1.15 Fordele oppgaver og planlegge videre fremdrift
Oppstart og forberedelser gjennomført X

16. Mulighetenes Oppland
Beredskaps- og katastrofeplan for fagenhet IKT
MP2 Utarbeide beredkapsdokumentasjon
MP2.1 Utarbeide overordnet plan for kriseledelsen PK X X X
MP2.2 Utarbeide rutiner og mal for hendelsestyring
MP2.3 Utarbeide mal og rutine for logging og rapportering
MP2.4
Utarbeide varslings- og kontaktliste
(internt/eksternt) PK X X
MP2.5
Utarbeide prioriteringsliste ved alvorlige hendelser,
krise eller katastrofe
MP2.6 Utarbeide scenarie beskrivelse med tiltaksplaner
MP2.7 Utarbeide rutine for varsling til kriseledelse PK X X X X
MP2.8 Utarbeide rutine for SMS varsling og tilkalling
MP2.9 Utarbeide rutiner for beredskapsløsninger
MP2.10 Utarbeide systemdokumentasjons samling
MP2.11 Etablere rutiner for vedlikehold av dokumentasjon
MP2.12 Opplæring og gjennomgang av rutiner
MP2.13 Forankre prosess for å sikre kontinuitet og utvikling
MP2.14 Ledelsesforankring og rapportering
Utarbeide bredskapsdokumentasjon gjennomført

17. Mulighetenes Oppland
Beredskaps- og katastrofeplan for fagenhet IKT
MP3 Etablere rutiner og løsninger for bruk ved krise og
katastrofe
Etablere kriseledelse og beredskapsorganisasjon
Etablere systemdokumentasjon samling
Etablere sikkert nettsted for krisedokumentasjon
Etablere rutine for SMS varsling og varsling til
beredskapsorganisasjon
Etablere beredskapsløsninger, teknisk
Inngå beredskapsavtaler med systemeleverandører og
samarbeidspartnere
Rutiner og løsninger for krise og katastrofe etablert
MP4 Gjennomføre øvelse
Bestemme scenario for øvelsen
Utarbeide manus og detaljplan for øvelsen
Gjennomfør øvelsen
Utarbeide rapport fra kriseteamet
Evaluering
Rapportering til fylkesrådmannen
Øvelse gjennomført
MP5 Gjennomgang av resultat
Utarbeide rapport med forbedringsforslag
Gjennomgang av rapport med kriseteamet
Planlegge videre arbeid med beredskapsløsninger
Planlegge neste kriseøvelse
Sluttrapport til fylkesrådmannen
Kriseberedskap etablert

18. Mulighetenes Oppland
 Etablere og dokumentere prosess for gjennomføring av risikoanalyser av IKT-virksomheten.
 Etablere kriterier for akseptabel risiko forbundet med bruk av IKT-systemene.
 Avklare prioritet og ønsket "tilgjengelighetsgaranti" for virksomhetskritiske fellessystemer.
Risikoanalyse
Bestem/beskriv målene
+ situasjonsbeskrivelse
Hva kan skje?
Vurder konsekvens
og sannsynlighet
Tiltak
(foreslå/implementere)
Er risikoen ok?
Risikovurdering
Kontinuerlig
overvåking
av
risikoen
Løpende
kommunikasjon
med
alle
involverte
Figur: Beskrivelse av risikostyring

19. Mulighetenes Oppland
Tiltak: Risikoanalyse
Risikoanalyse i OFK
UFARLIG EN VISS FARE FARLIG KRISTISK KATASTROFE
Personskade: Ingen Få / små 2+ alvorlige
Døde: 3+
Skadde: 5+ alvorlig
Evakuerte: > 50
Døde: 20+
Skadde: 30+ alvorlig
Evakuerte: > 100
Økonomi: < kr. 0,1 mill < kr. 1 mill. < kr. 10 mill. < kr. 50 mill. > kr 100 mill.
Krit.infr/samf: Ingen Kan skade Driftsstans kortere tid Ute av drift lang tid Permanent
Miljø: Ingen skade Mindre skade Alvorlig skade Omfattende skade Svært alvorlige
Svært sannsynlig
< 1 år
Meget sannsynlig
1 - 5 år
Sannsynlig
5 - 15 år
Mindre sannsynlig
15 - 50 år
Lite sannsynlig
> 50 år
Hendelser med lav risiko Akseptert risiko Normalt ingen tiltak
Hendelser med middels risiko Mindre akseptert Tiltak bør iverksettes (kost/nyttevurdering)
Hendelser med høy risiko Uakseptabel Tiltak MÅ iverksettes
Konskvens
Sannsynlighet
9
16

20. Mulighetenes Oppland
Suksessfaktorer og risikoanalyse, eksempel:
Risikoanalyse 2009
Faktor S K RF Tiltak
1 Manglende kompetanse og dokumentasjon
- Personellsårbarhet, ressurser/kompetanse
- Mangler tilgjengelig og oppdatert
dokumentasjon
- Mangler tilgjengelig og oppdaterte
rutinebeskrivelser
- Mangler kompetanse innen kjerneområder
- Mangler oppdatert ansvarsmatrise for IKT
- Mangler egen kompetanse på drifts- og
overvåkingsverktøy
3
2
4
4
4
5
4
4
4
3
3
2
12
8
16
12
12
10
Løpende vurdering av
bemanningsbehovet i fagenhet IKT.
Inngå avtaler med eksterne
leverandører om servicetjenester
Utarbeide og følge opp vedtatte
rutiner
Sikre kompetanseoppbygging og
kompetanseoverføring, backup
person
Sørge at for organisering og ansvar
er klart, riktig kompetanse og
kapasitet
Sørge for opplæring og
kompetanseheving etter innføring av
verktøy

21. Mulighetenes Oppland
Suksessfaktorer og risikoanalyse, eksempel:
Risikoanalyse 2009
3 Skade eller havari i sentralt maskinrom IKT,
lenger driftsavbrudd på kommunikasjon mot
Eidsiva
- Større skade på maskinrom inntreffer, brann
- Skade på strømkabel/trafo i maskinrom
- Brudd på kommunikasjon mot Eidsiva
bredbånd
- Havari i dagens kjøleanlegg i maskinrom
- Større feilsituasjon eller havari i
maskinrom
- Større feilsituasjon eller havari på viktige
komponenter i maskinparken eller nettverk
1
3
2
4
2
3
5
4
5
5
5
4
5
12
10
20
10
12
God sikring med halonanlegg
Stabil strømsituasjon, nytt inntak
Etablere reserveløsning for
kommunikasjon til Eidsiva
Reserveanlegg må anskaffes
Etablere alternativt driftsted
Kritiske komponenter gjennomgås
mht service/beredskapsavtaler med
leverandør
Etablere rutiner og dokumentasjon
for å reetablere drift
Faktor S K RF Tiltak

22. Mulighetenes Oppland
Risikoanalyse og trusselvurdering IKT
Trusler Påvirkende faktorer
• Spionasje
• Sabotasje
• Terrorhandlinger
• Hacking
• Tyveri
• Informasjonslekk
• Rutinesvikt
• Brudd på infrastruktur
• Brann/brannstifting
• Eksplosjon/gassutslipp
• Flom/ras/storm
• Strømbrudd (påført, eller tilfeldig)
• Vannlekasje
• Omorganisering
• Outsourcing
• Bruk av eksterne konsulenter,
leverandører eller underleverandører
• Iverksetting av nye lover og/eller
forskrifter
• Uklare ansvarsforhold
• Manglende/dårlig oppfølging av rutiner
og instruksverk
• Stor turnover i arbeidsstokken
• Indisponibelt nøkkelpersonell
• Installering av ny teknologi
• Manglende redundans
• Manglede barrierer
Kilde: NSM Veiledning I risiko- og sårbarhetsanalyse

23. Mulighetenes Oppland
Alvorlige sikkerhetshendelser
 Virusangrep
 DDoS Denial-of-service, tjenestenekt
 Innbrudd, hacking, sabotasje, tyveri eller tap av sensitiv informasjon
 Brukerfeil, brudd på sikkerhetspolicy
Alvorlige driftshendelser
 Driftsstans serverfarm, lagringsløsning
 Alvorlig feil på applikasjon-, database eller tjenestenivå
 Telefonsentral ute av funksjon i lenger tid
Krise
 Strømbrudd over lenger tid
 Kjøleanlegg havari
 Nettverksbrudd over lenger tid, lokasjon
 Kommunikasjonsbrudd eksternt WAN
Katastrofe
 Brann eller uopprettelig skade på datarom
 Brann eller uopprettelig skade i telefonsentral
 Eksplosjon eller gassutslipp
 Ulykke eller bortfall av IKT-personell
 Oversvømmelse og vannskade
 Terrorangrep eller sabotasje
Risikoanalyse og trusselvurdering IKT

24. Mulighetenes Oppland
Risikoanalyse og trusselvurdering IKT
(1-10) (1-10)
(1-
100)
Risiko beskrivelse
Sannsyn
lighet Tap Risiko
Årsaks reduserende
tiltak
Konsekvens
reduserende tiltak Beredskapsplan
Hendelse Konsekvens
Alvorlige driftshendelser
Driftsstans serverfarm,
lagringsløsning
Et system nede 5 2 10 Preventivt vedlikehold
Oppgradere AntiVirus
ofte, Kva. sikr
Backup rutiner
Alvorlig feil på applikasjon-,
database eller tjenestenivå
Datarom ubrukelige 2 21 UPS Test av UPS Responstidsavtale
Telefonsentral ute av funksjon i
lenger tid
Et system nede 2 3 6
Dokumentere
endringer
Lage dokumentasjon Responstidsavtale
Krise
Server død 2 4 8 Preventivt vedlikeholdDelelager Responstidsavtale
Strømbrudd over lenger tid
Server død 1 4 16 Preventivt vedlikeholdBackup, Restore, TestingResponstidsavtale

25. Mulighetenes Oppland
Faser ved kritisk hendelse med bortfall av IKT-systemer:
1. Grovkartlegging av hendelsen.
2. Etablere midlertidig drift gjennom driftsavbrudd eller krise, ref. prioriteringsliste
3. Gjenopprette berørte systemer til normal drift
Enhetsledere/virksomhetsledere skal sammen med enhetens representanter for
systemeier rangere hvor viktig eller kritisk systemer er i forhold til manglene tilgjengelighet.
Foreta en rangering og prioritering av hvor viktig eller kritisk systemer er i forhold til manglene
tilgjengelighet vurdert i forhold til:
 liv og helse
 samfunnsviktige funksjoner, tjenesteproduksjon, økonomi
 omdømme
Dokumentere SLA krav og prioritet

26. Mulighetenes Oppland
Dokumentere SLA krav og prioritet

27. Mulighetenes Oppland
Kartlegge SLA krav
SLA-krav fra systemeier
Fagenhet/enhet: Tannhelsetjenesten Utfylt av: Bjørn Ellingsæther, Paul H. Aas, Petter Kolstad
System type Systemnavn Avhengig av Brukes av / Systemeier PRI 1 (24t) PRI 2 (5 dg.)
Økonomi
Oracle Applications
11i OFK / Økonomileder
eFaktura Approveit / KIBI Økonomi DB OFK / Økonomileder
eFaktura arkiv Onbase Økonomi DB OFK / Økonomileder
Økonomirapportering
Business
Intelligence Økonomi DB OFK / Økonomileder
Lønn og Personal NLP OFK / Økonomileder
Reiseregning Adtravel OFK / Økonomileder
Sak/Arkiv P360 4.1 SP5 OFK / Arkivleder X
E-post MS Exhange 2007 OFK / Fylkesrådmannen
E-post Trend IMSVA OFK /Fylkesrådmannen
OFK Internett tilgang Internett OFK/Fylkesrådmannen
Internett/hjemmesider EPiServer OFK, internett / Leder Info
Internett/ansattportal EPiServer OFK, internett / Leder HR
Telefoni TRIO OFK Servicesenter leder/IKT-leder
System type/Sikker sone Systemnavn Avhengig av Brukes av / Systemeier
Tannhelse
Opus Dental,
journalsystem Tannklinikker / Fylkestannlege X
Tannhelse
Dimaxis,
røntgensystem Tannklinikker / Fylkestannlege X
Kjeveortopedisk Facad Tannklinikker / Fylkestannlege X
Helfo Link
Helsenett
tilknytning Tannklinikker / Fylkestannlege

28. Mulighetenes Oppland
Kartlegge teknisk infrastruktur
Kartlegge systemer, servere, databaser, systemeier, dokumentasjon, m.v.
• Generelle systemkomponenter
• Ansattnett
• Elevnett
• Sikker sone
System type Systemnavn Klient Servere OS IP-adresse Database type/ver Database
Fysisk
server/Vmware Avhengig av Brukes av / Systemeier Lenke til dokumentasjon
Økonomi
Oracle
Applications 11i IE 8.0/9.0 okoweb
Linux Red hat Adv.server
2.1 999.999.9.999 Oracle 10.2.0.3.0 Fysisk OFK / Økonomileder
........DokumentasjonAdministrasjonsnettØkonomisystemet
ORACLE 11iDokumentasjon Oracle 11i.doc
okobase
Linux Red hat Adv.server
2.2 999.999.9.999 OAPROD, OATEST Fysisk
printlasernet Windows 2003 Server R2 999.999.9.999 Vmware OFK / Økonomileder
eFaktura Approveit / KIBI IE 8.0/9.0 a-sen-efaktweb Windows 2008 Server 999.999.9.999 Fysisk Økonomi DB OFK / Økonomileder
........DokumentasjonAdministrasjonsnetteFakturaDokumentasjon
eFaktura.doc
a-sen-efaktdb Windows 2008 Server 999.999.9.999 SQL Server 2008 Ehinvoices Fysisk
a-sen-readsoft Windows 2008 Server 999.999.9.999 Vmware
eFaktura arkiv Onbase IE 8.0/9.0 som eFaktura som eFaktura 999.999.9.999 SQL Server 2008 Onbase, Onbase_test som eFaktura Økonomi DB OFK / Økonomileder
........DokumentasjonAdministrasjonsnettOnBaseDokumentasjon
OnBase.doc
Økonomirapportering
Business
Intelligence IE 8.0/9.0 a-sen-bi Windows 2003 Server R2 999.999.9.999 Oracle XE XE Fysisk Økonomi DB OFK / Økonomileder
........DokumentasjonAdministrasjonsnettBI-
løsningenSystemdokumentasjon v8.doc

29. Mulighetenes Oppland
Arbeidsskisse infrastruktur i fagenhet IKT

30. Mulighetenes Oppland
Katastrofe site for fagenhet IKT

31. Mulighetenes Oppland
Etablere plan som iverksettes dersom IKT-driften ikke kan opprettholdes
som følge av en krise eller katastrofe
Beredskap og katastrofeplan for IKT
 Forord
 Definisjon av alvorlig hendelse, krise eller katastrofe innen IKT
 Kriseledelse, organisering og ansvar
 Varslingsrutine for bruk ved alvorlig driftsavbrudd, krise eller katastrofe
 Handlingsplan og hjelpemidler ved alvorlig driftsavbrudd, krise eller katastrofe
 Risiko og sårbarhetsanalyse, trusselvurdering
 Prioriteringsliste ved alvorlig hendelse, krise eller katastrofe innen IKT
 Scenarier beskrivelse med tiltaksplan for bruk ved alvorlig driftsavbrudd, krise
eller katastrofe
 Struktur og tilgang til beredskapsdokumentasjon
 Informasjonsplan for bruk ved alvorlig driftsavbrudd, krise eller katastrofe
 Rapportering av sikkerhetshendelser
 Beredskapsøvelser
 Forebyggende tiltak for systemer og tjenester
 Plan for opplæring
 Rutiner og tiltak for revisjon av krise- og beredskapsplaner

32. Mulighetenes Oppland
Etablere varslingsrutine og
informasjonsplan for bruk
ved krise eller katastrofe.
Når ulykke / uønsket
hendelse registreres
Person
varsler
Fagenhetsleder
Rektor/
virksomhetsleder
Nærmeste
leder
Eksterne aktører
(eks kommune)
Ansatte
Fylkesrådmann
Fylkesordfører
Politisk nivå
POLITI 112
BRANN 110
AMBULANSE 113
Beredskap og katastrofeplan for IKT

33. Mulighetenes Oppland
Tiltak: Organisering
Beskrive hvilke handlinger som
skal tas når krise eller
katastrofe oppstår. Alle
ansatte i fagenhet IKT skal
kjenne sine oppgaver i en
krise- eller katastrofesituasjon.
Beredskap og katastrofeplan for IKT

34. Mulighetenes Oppland
Tiltak:
Anskaffe og etablere tekniske løsninger gjør det mulig
å reetablere avtalte IKT-systemer innen avtalt tid.
Beredskap og katastrofeplan for IKT

35. Mulighetenes Oppland
Hovedmaskinrom

36. Mulighetenes Oppland
Reserve maskinrom - katastrofeløsning

37. Mulighetenes Oppland
Tiltak: Øvrige tiltak og planer for krise- og beredskapsplan IKT
 Plan som iverksettes dersom IKT-driften ikke kan opprettholdes som følge av en alvorlig hendelse, krise eller
katastrofe.
 Planer for krisehåndtering, for å opprettholde drift gjennom krisen og for tilbakestilling av normal drift. For
kritiske prosesser etableres plan for å opprettholde deler av driften.
 Planer for tap av (nøkkel) personell av forskjellig grunn (ulykke, sykdom eller kollektiv oppsigelse), ulykke og
dødsfall (plan for å håndtere pårørende), naturskade (flom, jordskjelv).
 Dokumentere oversikt over systemer og infrastruktur innen IKT.
 Dokumentere sikkerhetstiltak og autorisasjon for systemer og infrastruktur innen IKT.
 Dokumentere rutiner og prosedyrer for å tilbakestille systemer og infrastruktur til normal drift.
 Etablere kriterier for akseptabel risiko forbundet med bruk av IKT-systemene. Analyse og vurdering av hvor
stort tapet er ved avbrudd av en prosess eller ett objekt.
 Avklare prioritet og ønsket "tilgjengelighetsgaranti" for virksomhetskritiske fellessystemer.
 Beskrive ansvar og rollefordeling i fagenhet IKT ved beredskaps- og kriseledelse.
 Beskrive hvilke handlinger som skal tas når krise eller katastrofe oppstår. Alle ansatte i fagenhet IKT skal
kjenne sine oppgaver i en krise- eller katastrofesituasjon.
 Anskaffe og etablere tekniske løsninger gjør det mulig å reetablere avtalte IKT-systemer innen avtalt tid.
 Virksomhetenes beredskap, planer og tiltak ved bortfall av kritiske systemer
Beredskap og katastrofeplan for IKT

38. Mulighetenes Oppland
Diverse nyttig informasjon og kilder
Datatilsynets mal for overordnet beredskapsplan
http://www.datatilsynet.no/Global/04_veiledere/internkontroll/maler_enkeltvis/pdf_filer/2-23_Overordnet_IT_beredskapsplan.pdf
HiST lærehefte om standarder vi må ta hensyn til for å ivareta datasikkerhet
http://aitel.hist.no/fag/sfv/sfv-leksjon02/sfv-ls02-standarder(ITIL).pdf
Difi utredning av standarder for styring av informasjonssikkerhet
http://standard.difi.no/filearchive/rapport-standarder-for-styring-av-informasjonssikkerhet_v08.pdf
ISO 27001 Security: ISO/IEC 27002 Code of practice for information security management
http://www.iso27001security.com/html/27002.html
TISIP/HiST lærestoff om Informasjonssikkerhet og sikkerhetsledelse
http://fagwiki-ish.wikispaces.com/file/view/ISH-policy-ny.pdf
Standarder for informasjonssikkerhet, Rune Ask, IT Risk & Compliance Manager
Det Norske Veritas
http://www.standard.no/Global/PDF/IT/Ask%20-%20ISO%2027000-standarder.pdf
DSB Veileder i kriseplanlegging for kommunens kriseledelse
http://www.dsb.no/Global/Publikasjoner/2003/Tema/veilederkriseplan.pdf