Presentation laddar. Vänta.

Presentation laddar. Vänta.

Upphandlingssystem och IT-säkerhet Upphandlingsstödsdagen 2013-11-08 1.

Liknande presentationer


En presentation över ämnet: "Upphandlingssystem och IT-säkerhet Upphandlingsstödsdagen 2013-11-08 1."— Presentationens avskrift:

1 Upphandlingssystem och IT-säkerhet Upphandlingsstödsdagen

2 Vem vill finnas tre dar i rad på förstasidan i DN? 2

3 2 timmar om IT-säkerhet i upphandlingssystem • Presentera talarna • Magnus Matts, Kammarkollegiet, upphandlingsstöd • Britta Johansson, Sentensia, vägledning • Deltagare presenterar sig för varandra • Myndighet, företag, organisation • Upphandlare, leverantör av upphandlingssystem, övrigt • Erfarenhet av elektronisk upphandling 3

4 Kammarkollegiets upphandlingsstöd • Kammarkollegiet har regeringens uppdrag att utveckla och förvalta ett nationellt upphandlings- stöd samt att driva utvecklingen av elektronisk upphandling • Vägledning: IT-säkerhet i system för elektronisk upphandling, utgiven

5 System för elektronisk upphandling • Visma TendSign • Mercell • Opic Dibus • Primona • EU-supply CTM • E-avrop • Avantra Webbaserade molntjänster, används av upphandlare och anbudsgivare 5

6 Grundläggande säkerhetsfunktioner • Insynsskydd och sekretess • Identifiering och autentisering • Behörighet • Äkthet, undertecknande och förändringsskydd • Spårbarhet 6

7 Upphandlingsprocessen 7

8 Stegen i upphandlingsprocessen • Annonsera • Hämta handlingar • Frågor och svar • Lämna in anbud • Öppna • Utvärdera • Tilldelningsbeslut • Kontrakt 8 I vilka skeden är de grundläggande säkerhetsfunktionerna viktiga? Vilka funktioner är viktigast? I vilka skeden.

9 Vad säger lagen • Anbud skriftligt • Elektroniska medel allmänt tillgängliga • Krav på systemen: säkert, behörighet, spårbarhet • Får kräva elektronisk signatur • Bevara säkert • Öppna inte före tidsfristen • Två personer öppnar • Ingen uppgift lämnas ut innan beslut fattats 9

10 De grundläggande säkerhetsfunktionerna 10

11 Insynsskydd • Vid datalagring • Vid lagring • Identifiering av behörig 11

12 Identifiering och autentisering • Identifiering av företag och myndighet • Behörighet • Tillgång till insynsskyddad information • Behörighet att lämna anbud och teckna kontrakt • Identifiering av personer - vem är behörig 12

13 Identifiering i elektronisk miljö • Elektronisk identitet • Kopplas till verklig person 13

14 Äkthet, undertecknande och förändringsskydd • Förvanskningsskydd - är rätt information överförd och på plats? • Behöver dokumenten vara undertecknade - signerade • Förfrågningsunderlag • Anbud • Öppningsprotokoll • Kontrakt • Finns det spårbarhet • Håll reda på tiden 14

15 Spårbarhet och tid • Om något oförutsett händer är det viktigt att i efterhand kunna kontrollera vem som har gjort vad, och när • Tid är en väsentlig parameter i upphandlings- sammanhang. Ett för sent inkommet anbud förkastas 15

16 Hur mycket säkerhet behövs • Gör en riskanalys! • Vad står på spel? • Vilka erfarenheter finns • Vad händer om en oönskad händelse inträffa, vilka konsekvenser blir det? • Vilken sannolikhet är det att en oönskad händelse inträffar? • Skydd ska stå i proportion till risken 16

17 Riskanalys • Välj ut två exempel på upphandlingar av olika karaktär och gör en riskanalys • Vilka konsekvenser får vi om säkerhetsfunktioner brister? • Hur stor är sannolikheten att säkerhetsfunktioner brister? 17

18 Dagens säkerhetslösningar 18

19 Kryptering för insynsskydd • Insynsskydd åstadkoms genom kryptering. Krypterat data vid överföring, kryptering vid lagring av data • SSL vanligast för webbtjänster • Garanterar rätt webbplats • Insynsskydd i kommunikation • Nyckellängd bör vara 128 eller 256 bitar för säker transport • Krypterad e-post 19

20 Elektronisk identifiering • Hur vet vi att det är rätt person som uppges ha behörighet • Hur vet vi att det krypterade dokumentet kan läsas av tilltänkt mottagare? • Elektronisk identitet är centralt begrepp 20

21 Elektronisk identifiering • Användarnamn och lösenord • skapas ofta av användaren själv • visar att samma person återkommer • lösenord ska inte lagras klartext • komplexiteten står för säkerheten • Engångslösenord • Tvåfaktorautentisering, t.ex. dosa, sms, papper • Certifikat • kan ha utgivare som knyter person till certifikat • avancerad teknisk lösning, PKI • Identitetsintyg • Inom en federation där deltagarna litar på varandra 21

22 Elektronisk identifiering Säkerheten beror på • Den tekniska lösningen, hur säker är den • Hur går identitetskontrollen till • Utfärdarna av identiteter med hög säkerhet använder metoder för utlämning som liknar dem för körkort, pass och id-kort - hög nivå på identitetskontroll. Personligt möte kravs i något skede • Standardiserade metoder för att ange säkerhetsnivåer, viktigt för att kunna ha tillit till andra aktörer 22

23 Säkerheten i den tekniska lösningen för e-identifiering • Den tekniska lösningen • Styrka i lösenord • Att lösenord inte lagras i klartext • Att lösenord är tillräckligt långa och komplexa • Att lösenord byts ut tillräckligt ofta • Att de enheter som ger engångslösenord hanteras som värdehandlingar • Att lösningar som bygger på certifikat och kryptering har tillräckligt långa nycklar och att certifikat inte är spärrat • Att medlemmar i en federation iakttar samma regler 23

24 Säkerhet i identifieringen • Identifieringen när en elektronisk identitet utfärdas står för att ge tillit till sambandet mellan personen och dennes elektroniska identitet • Exempel: • hämta ut dosa på bankkontor • skicka lösenord till folkbokföringsadressen • hämta ut lösenord med rekommenderat brev • använd tidigare person-till-person-identifiering för att få ny elektronisk identitet 24

25 Elektroniska identiteter i Sverige • E-legitimation • SITHS - inom vårdsektorn • Steria tjänstecertifikat • STORK - för europiska medborgare • Svensk e-legitimation 25

26 Identifiering av myndighet och företag • Är det rätt företag som lämnar anbud • Är det verkligen den upphandlande myndigheten som anbudet skickas till? • SSL-protokollet identifierar webbplatser 26

27 Behörighet och åtkomstkontroll • Vem är behörig att lämna anbud • Vem är behörig att teckna kontrakt • Alla upphandlingssystem innehåller behörighetskontroller • Olika behörigheter för olika roller • Olika behörighet vid olika tidpunkter • Behörighetssystem kräver elektronisk identifiering • Hur behörig behöver man vara för att få ut ett förfrågningsunderlag 27

28 Äkthet och förändringsskydd • Checksumma En matematisk metod att verifiera äkthet i en datamängd, t.ex. ett dokument • Förändring av data leder till annan checksumma • Data kan inte återskapas ur checksumman • I praktiken leder olika data alltid till olika checksummor • En bra metod för att upptäcka förändringar, avsiktliga eller oavsiktliga 28

29 Exempel på användning av checksummor • Manuell kontroll av anbud, överför checksumma på överenskommet vis • Lösenord bör lagras som checksummor, inte i klartext • Elektronisk signatur består av krypterad checksumma 29

30 Tid • Tid är en väsentlig faktor i upphandlingssystem • Systemen bör hämta tid från central server på internet • Loggning med tidsangivelser ska göras • Det finns fristående tjänster för tidsstämpling elektroniskt 30

31 Spårbarhet • Loggning av alla händelser ger möjlighet till spårbarhet • Elektronisk signatur ger också god spårbarhet 31

32 Tillit till upphandlingssystemet • Det upphandlingssystem som en myndighet anlitar måste myndigheten ha tillit till • Ett bra sätt är att begära att leverantören använder ett ledningssystem för informationssäkerhet • Följ standarden ISO • Eventuell certifiering är bra, men inte nödvändig 32

33 Riskbedömning • Vilka krav ska man ställa • På upphandlingssystemet • På anbudsgivarna • Gör en riskbedömning • vilka värden står på spel • hur känslig är marknaden • proportionalitet i kraven • internationell marknad 33

34 Fördjupningsområden 34

35 E-legitimation och federationer 35

36 E-legitimation • En elektronisk identitet i Sverige • Bygger på certifikat som elektronisk identitet • Spärrkontroll görs hos utfärdare för att kontrollera att e-legitimationen inte är spärrad • Utfärdas idag av banker och Telia • Ramavtal har funnits, detta gäller avgifter för att göra spärrkontroller hos utfärdarna 36

37 Ny lagstiftning om e- legitimationer 2013 • Valfrihetssystem införs 1 juli 2013 för elektronisk identifiering för myndigheters e-tjänster • Upphandlingssystem kan betraktas som en e-tjänst • Myndigheter och utfärdare av e-legitimationer kan ansluta sig till en federation där ett regelverk anger säkerhetskraven och rutiner • Identitetsintyg enligt standard med olika typer av bakomliggande elektronisk identifiering utgör Svensk e-legitimation 37

38 Federationer • Federation: en gruppering som erkänner tillit till varandra och tillämpar samma regelverk • Svensk e-legitimation är en federation för svensk offentlig sektor och utfärdare av e-legitimationer. Administreras av E-legitimationsnämnden • Peppol är ett EU-projekt för elektronisk offentlig upphandling, har en federation för validering av certifikat för upphandling inom EU. Nu Open Peppol • Stork är ett EU-projekt som handlar om europeiskt godkännande av elektroniska identiteter 38

39 Elektronisk signatur 39

40 Elektronisk signatur • Knyt ett dokument till en person på ett säkert sätt • Vanligtvis krypteras en checksumma • Metoden skyddar mot avsiktlig och oavsiktlig förvanskning • Metoden identifierar den som signerat • En bra metod för att erhålla spårbarhet 40

41 Elektronisk signatur i upphandling • Anbud kan signeras • Myndigheter får kräva att anbud ska vara elektroniskt signerade • Kräver att både myndighet och alla anbudsgivare har tillgång till elektroniska signaturer • Kontrakt kan signeras elektroniskt 41

42 Elektroniska signaturer på svensk marknad • ChamberSign har tjänst för elektroniska signaturer • Flera typer av elektroniska identiteter kan användas för att skapa signatureren • E-legitimationsnämnden upphandlar tjänst för att skapa elektroniska signaturer baserade på Svensk e- legitimation. Ett avrop på E-förvaltningsstödjande tjänster 2010 • Inte särskilt vanligt ännu i upphandlingssammanhang 42

43 Ledningssystem för informationssäkerhet 43

44 ISO • I myndighetens säkerhetsarbete • I upphandlingssystemets leverantörs säkerhetsarbete 44

45 ISO • Informationssäkerhetspolicy • Organisation av informationssäkerheten • Hantering av tillgångar • Personalresurser och säkerhet • Fysisk och miljörelaterad säkerhet • Styrning av kommunikation och drift • Styrning av åtkomst • Anskaffning, utveckling och underhåll av informationssystem • Hantering av informationssäkerhetsincidenter • Kontinuitetsplan för verksamheten • Efterlevnad 45

46 ISO Bilaga A Mål och åtgärder • Ca 100 konkreta krav på åtgärder 46

47 Fler exempel ur ISO bil A 47

48 Internationella aspekter På gång inom direktiv, förordningar och lagstiftning i EU och i Sverige 48

49 Upphandling över gränserna • Gränsöverskridande upphandling är ännu litet • En myndighet som annonserar över tröskelvärden och använder elektronisk inlämning av anbud måste ange hur utländska anbudsgivare ska lämna anbud • Arbetet i EU siktar på gränsöverskridande upphandlingar 49

50 Vad är på gång inom området? • Valfrihetssystem för e-legitimationer • EU-förordning om gränsöverskridande elektronisk identifiering, elektroniska signaturer m.m. • Nytt upphandlingsdirektiv med krav på elektronisk kommunikation • Standarder för upphandlingsprocessen CEN/BII3 • Standarder för elektroniska signaturer • EU-projekt: STORK, PEPPOL, E-SENS 50

51 Upphandlingsdirektiv • Elektronisk upphandling blir obligatoriskt • Miniminivå, e-kommunikation • Flera moment ska kunna göras elektroniskt: • Annonsering • Tillgång till förfrågningsunderlag • Möjlighet att lämna anbud • Kataloger 51

52 Elektronisk identifiering • Ny reglering av elektronisk identifiering och elektroniska signaturer planeras • Motiveras bland annat med kraven på elektronisk upphandling • Tekniska krav specificeras av EU-kommissionen 52

53 eIDAS State of Play – European Parliament Foreseen adoptions of amendments on (IMCO) 18/ (ITRE) ITRE rapporteur -> Marita Ulvskog (S&D, SE) IMCO Draftswoman -> Marielle Gallo (EPP, FR)

54 54 EU e-signature plan to make electronic deals safer and easier Information society :29 Committee : Industry, Research and Energy Companies, citizens and public authorities wanting to strike cross-border deals should have access to easy and trustworthy ways to sign and certify documents, said Parliament's Industry Committee on Monday. To this end, it endorsed a draft EU law that would require EU member states to recognise each other's electronic identification systems. "If we strike the right balance, this law will stimulate the digital economy and help create jobs while also enhancing the trustworthiness and security of cross-border trade", said Marita Ulvskog (S&D, SE), who leads Parliament's work on the draft law. ”It will also make it easier for citizens to deal with public authorities when working or studying abroad. An electronic ID should be accepted across Europe, just like a passport or national ID card" she added. "The proposed regulation aims to make it easier and safer for parties in different EU countries to identify themselves, sign documents and check the authenticity of online documents. This would be the first EU law to require EU member states to recognise and accept electronic identifications issued in other member states. The proposal would require member states to mutually recognise each other's national electronic identification systems, provided that these systems have been reported to the European Commission. Existing national systems would not have to change, but would be classified according to their level of security. Next steps The committee gave Ms Ulvskog a mandate to start negotiations with the Council, aiming at a first reading agreement. Once the Council has adopted its position for these negotiations (expected in November), the talks can start.

55 Status, förordningen, e- signaturer • Mål • att anta förordningen under EP nuvarande mandatperiod • Förhandlingarna (trilogerna) måste vara avslutade under februari

56 Status, förordningen, e- signaturer • Artiklar 1-19 • Inledande bestämmelser • E-legitimationer • Krav på tillhandahållande av betrodda tjänster • Tillsyn av betrodda tjänster • Övriga artiklar • Regler för e-signaturer och sigill, valideringstjänster, bevarandetjänster, tidsmärkningar, e-delivery, webbsideautentisering • Elektroniska dokument (ej betrodd tjänst) 56

57 Avslutande checklista 57

58 Vad ska man tänka på? • Riskanalys • Ledningssystem • Insynsskydd • Informationsklassning • Tidsangivelser • Identifiering och lösenord • Behörighet hos anbudslämnare • Behörighet hos utvärderare • Elektronisk identifiering • Elektronisk signatur • Spårbarhet och loggning • Allmän IT-säkerhet 58


Ladda ner ppt "Upphandlingssystem och IT-säkerhet Upphandlingsstödsdagen 2013-11-08 1."

Liknande presentationer


Google-annonser