Geschäftsführer Matthias Bongarth. 12./ Fachkongress IT-Planungsrat

Transkript

1 12./ Fachkongress IT-Planungsrat Cloud-Strategie in Rheinland-Pfalz zertifizierte Private Cloud und erprobte Public Cloud für die öffentliche Hand empfohlener Kriterienkatalog zur bundesweiten Anwendung Geschäftsführer Matthias Bongarth

2 Agenda I. Der LDI und IT-Sicherheit II. Von der zertifizierten Private Cloud zur erprobten Public Cloud III. Von der rheinland-pfälzischen IT-Strategie zum bundesweiten Vorgehensmodell 12./ IT-PLR - 3. Fachkongress Folie 2

3 DER LDI Geschäftsführer: Matthias Bongarth Gründung: 1. Jan per Landesgesetz Jahresumsatz: ca. 69 Mio. (2014) Anzahl Mitarbeiter: ca. 200 Standorte: Mainz, Bad Ems DER zentrale IT-Dienstleister Rheinland-Pfalz Applikationen Dienstleistungen und Services Green-IT Hochverfügbarkeit Sicherheit Rechenzentrum / Ausweich-Rechenzentrum Consulting / Analyse / Konzeption rlp-netz Beschaffung / Vergabe Prozessmanagement 12./ IT-PLR - 3. Fachkongress Folie 3

4 Private Cloud / Polizei-Cloud Gesamtarchitektur IT-Sicherheit ist oberstes Gebot ITSM durch Standardprozesse Portal-Dienste für Anwender Grundsätzliche Unterscheidung in Software as a Service (SaaS) Platform as a Service (PaaS) Infrastructure as a Service (IaaS) 12./ IT-PLR - 3. Fachkongress Folie 4

5 IT-Sicherheit im Rechenzentrum / Ausweich-RZ Sicherheit und Effizienz auf höchstem Niveau = Ausweich RZ Länderübergreifendes Sicherheitskonzept = neue Qualität der Ausfallsicherheit Redundante Notstromversorgung (USV/Diesel, Klimatisierung, Brandschutz) Inertgas-Löschanlage Zentrale Backup- und Archivierungssysteme Zentraler Storage / SAN (Storage Area Network Speichernetzwerk) Ständige Hochverfügbarkeit im Netzwerkbereich durch RZ-Kopplung (Verbindung über Ringleitungen) Anwendungen können redundant und hochverfügbar betrieben werden 12./ IT-PLR - 3. Fachkongress Folie 5

6 IT-Sicherheit: Wozu? Bedrohungen / Maßnahmen Zahlen mehr als Zugriffe pro Monat!!! mehr als geblockte Versuche pro Monat zeitweise mehr als Angriffe pro Monat (Sep. 2014) ein bis fünf Offenses am Tag mehr als PCs am rlp-netz angeschlossen mehr als Nutzer im rlp-netz mehr als Netzwerkverbindungen mehr als Server im Rechenzentrum Netzersatzanlagen (Dieselaggregate) LDI kva / PS; USVen mit 4 * 300 kva Ausweich-Rechenzentrum kva / PS Penetrationstests bescheinigen dem LDI ein hohes Sicherheitsniveau 12./ IT-PLR - 3. Fachkongress Folie 6

7 Private Cloud / Polizei-Cloud IT-Management für unsere Kunden 12./ IT-PLR - 3. Fachkongress Folie 7

8 Automatisierung Incident-Prozess SCOM HPSD ADMINISTRATION Störung wird festgestellt! Ticket-Erstellung - Störung + Verifikation - Diagnose-Ergebnisse - Service + SLA Qualifizierte Entstörung ohne zeitaufwändige Ursachenforschung beginnt. Workflow + Data Bus Diagnose- Ergebnisse Fehlerdiagnose Verifikations- Ergebnisse Störung wird verifiziert. Service und SLA identifiziert. Ermittlung des Services + SLA MGMT SCVMM CMDB 12./ IT-PLR - 3. Fachkongress Folie 8

9 Self Service Portal - Webbasiertes Kundenportal - HTTP-Schnittstelle - Reverse-Proxy-Anbindung - Ressourcenverwaltung - Einkauf, Konfiguration und Zuweisung von Rechenzentrumsressourcen - Mandantenfähigkeit - Business Units repräsentieren Organisationseinheiten Bedarfsgerecht! Normalzustand Standard-Server 5x 6GB GSL 1x 4GB RAM RAM BAO-E 1x 4GB RAM 3x Ersatz (2GB RAM) Sonderlage Nature One bzw. Großschadenslage Standard-Server 5x 2GB RAM GSL 2x 8GB RAM BAO-E 3x 8GB RAM 12./ IT-PLR - 3. Fachkongress Folie 9

10 Mehrwert: Einsparung von Ressourcen Beispiel: TEMPUS Vorher: Ø CPU-Auslastung = 4,9 % Cloud: Ø CPU-Auslastung = 30,8 % 12./ IT-PLR - 3. Fachkongress Folie 10

11 EFFIZIENZSTEIGERUNG DURCH DIE POLIZEI-CLOUD Deutliche Verbesserung des Antwortzeitverhaltens Halbierung bei Suchanfragen in der Vorgangsbearbeitung Verringerung der Bereitstellungszeiten für benötigte Rechnerressourcen Polizei kann schneller und flexibler auf Anforderungen reagieren Bedarfsgerechte Verwaltung und Zuordnung der bereitgestellten Rechnerressourcen Möglichkeit etwa in Großschadenslagen zusätzliche Rechnerkapazitäten zur Verfügung zu stellen Reduzierung von Administrationsaufwänden Ressourcenfreisetzung für Fachadministration Erhöhung der Verfügbarkeit der polizeilichen Verfahren in der Cloud durch proaktive Überwachung und Möglichkeit, Wartungen im laufenden Betrieb durchzuführen Zentralstelle für Polizeitechnik 12./ Folie 11

12 Ziele und Mehrwerte Reduktion der physikalischen Server um über 40 % Reduktion der Betriebskosten bereits im ersten Jahr über 10 % Reduktion der Stromkosten Einsparung i.h.v p.a. Reduktion des Energieverbrauchs Einsparung i.h.v kwh Entspricht: Energieverbrauch von ca Personen-Haushalten Reduktion der CO 2 -Emission 275 Tonnen Hierin sind lediglich Kosten für Strom & Klimatisierung enthalten, keine weiteren weichen Kostenfaktoren (z.b. optimierter Personaleinsatz). 12./ IT-PLR - 3. Fachkongress Folie 12

13 Neue Wege: Private + Public Cloud Fachliche Anforderungen Kategorie 2 (hohe Anforderungen an IT-Sicherheit) - Sicherheitstechnische und funktionale Anforderungen Werden ausschließlich verschlüsselte Protokolle zur Datenübertragung genutzt? B Werden Zugriffsprotokolle revisionssicher aufbewahrt? B Ist für jeden Zugriff eine Authentisierung nötig? B Existiert ein Schutz gegen Bruteforce-Angriffe? A Bietet der CSP verschlüsselte Verbindungen zwischen Cloud-Ressourcen an? B Bietet der CSP eine konfigurierbare Firewall an? B Findet eine kryptografisch geschützte Authentifizierung zwischen den Cloud-Ressourcen statt? B Existiert eine Sicherheitszone für das Management der Cloud? A Existiert einen eigene Sicherheitszone für das Storage-Netz? A Bietet der Provider kundenexklusive Hardwareressourcen an? A Werden Intrusion Detection Systeme zur Abwehr von bekanntem, schadhaftem Netzwerkverkehr eingesetzt? B Werden Firewallsysteme zur Abwehr von bekanntem, schadhaftem Netzwerkverkehr eingesetzt? B Existiert eine Stelle, an der über den Sicherheitsstatus und Fehlfunktionen des Cloud-Managementsystems informiert wird? A Sind die historischen Daten über den Sicherheitsstatus des Cloud- Managementsystems vollständig, über einen ausreichen langen Zeitraum B einsehbar? Ist einsehbar, wie viele Cloud-Ressourcen aktuell in Gebrauch sind? A Existiert ein Backup-Cloud-Management System? A Gibt es einen formalen Security Incidence Response Prozess? Kann dieser an ein CERT des Kunden angebunden werden? B Wird ein gehärtetes Betriebssystem auf den Virtualisierungshosts eingesetzt? A Welche Dienste laufen auf dem Host? Sind diese Dienste notwendig? B Wurden vorinstallierte Standarddienste und Benutzer entfernt? B Ist für jede Cloud-Ressource eine aktuelle Liste mit installierter Software vorhanden? B Sind alle vorhandenen Sicherheitsupdates für die installierte Software installiert (Patchlevel)? A Findet eine regelmäßige Überprüfung über verfügbare Sicherheitspatches der installierten Software statt? B Sind alle Sicherheitsupdates der verwendeten Hypervisor-Software installiert? A Werden alle Operationen (Image-Erzeugung, -Duplizierung, Löschung) protokolliert? B Werden administrative Operationen auf Betriebssystemebene (Anund Abmeldung am System, Installation von Anwendungen, Änderungen von B Berechtigungen, Änderungen im Benutzermanagement, etc.) protokolliert? Werden die Protokolldaten dem Kunden zur Verfügung gestellt und können Sie an das SIEM des LDI weitergeleitet werden? Sind alle Sicherheitsupdates der verwendeten Storagemanagementsoftware installiert? B Findet eine getrennte Speicherung von Provider-Images und Anwender-Images statt? A Ist es möglich, auf Daten anderer Kunden zuzugreifen bspw. über Zugriff auf zufällige Bucket-Adressen oder Verzeichnisnamen, Ansteuern höherer Verzeichnisebenen Werden Daten sicher gelöscht? A Ist das Löschen von beliebig ausgewählten Daten und anschließende Suche nach verfügbaren Replikaten möglich? A Werden verschiedene Versionen des Backups ausreichend lang gespeichert? A Wird der Zugriff auf Backupdaten protokolliert? B Existiert ein formal definiertes Informationssicherheitsmanagementsystem? A Existiert ein Benachrichtigungsmechanismus, ob Sicherheitsmaßnahmen noch aktuell sind (bspw. Ablaufzeiten von Zertifizierungen)? Welche Unterauftragnehmer sind an dem Betrieb und dem Support der Cloud-Ressourcen beteiligt? Erfolgt die Schlüsselerzeugung in sicherer Umgebung z.b. auf Clientseite und unter Einsatz geeigneter Schlüsselgeneratoren (Schlüssellänge und Schlüsselkomplexität definiert)? Dienen kryptographische Schlüssel nur einem Einsatzzweck? Für jedes System / Dienst nur einen dedizierten Schlüssel? Werden Schlüssel redundant gesichert? Sind sie wiederherstellbar, um einen Verlust eines Schlüssels zu vermeiden? Wie werden Schlüssel verteilt? Anforderung: sicher (vertraulich, integer und authentisch) B Haben Administratoren der Cloud Zugriff auf Kundenschlüssel? A Überprüfung der APIs und Serviceschnittstellen zum Datenexport? B Werden alle Mitarbeiterzugriffe auf Cloudinfrastrukturkomponenten protokolliert? Ist diese Protokollierung einsehbar? A Welche Dienste laufen auf der Standard-VM? B Wurden vorinstallierte Standarddienste und Benutzer entfernt? B Wird der Kunde über durchgeführte Sicherheitsupdates informiert? A Können grundsätzlich kundenseitige Richtlinien bezüglich Passwortsicherheit umgesetzt werden? Ist eine Skalierung der VMs vorgesehen? Funktionieren die Skalierungsgrenzen? A Ist eine Integritätsprüfung des Exports der in der Cloud gespeicherten Daten möglich? B Kann man als Kunde Images virtueller Maschinen in die Cloud exportierten und aus ihr importieren? Wenn ja, wie und in welchem Format? 12./ IT-PLR - 3. Fachkongress Folie 13 B A A B A B A A A

14 Einbindung Hybride Cloud RLP Cloud-Service- Provider XY Public Cloud Internet DMZ Landesregierung z.b. (rlp.de, polizei.rlp.de) fw-aussen D OI DOI DMZ Das Deutsche Verwaltungsdiensteverzeichnis andere fw-mitte Service24 Transit Bundesländer (z.b. Hessen, Zugriff Verwaltung rlp-netz Private Cloud fw-innen rlp- Netz DMZ Elektronisches Grundbuch, rlp-middleware Bayern) Cloud- Management 12./ IT-PLR - 3. Fachkongress Folie 14

15 Datenzentralen in Deutschland Dataport [Altenholz, Hamburg] DVZ Datenverarbeitungszentrum M-V GmbH [Schwerin] IT.N IT.Niedersachsen Landesbetrieb [Hannover] IT-Dienstleistungszentrum [Berlin] Informatik und Technik Nordrhein-Westfalen [Düsseldorf] ZIT-BB [Potsdam] Landesbetrieb Daten und Information [Mainz] LIZ Landesinformationszentrum Sachsen-Anhalt [Halle] ZDV-Saar Zentrale Datenverarbeitungsstelle für das Saarland [Saarbrücken] SID Staatsbetrieb Sächsische Informatik Dienste [Dresden] Hessische Datenzentrale [Wiesbaden] Thüringer Landesrechenzentrum [Erfurt] Datenzentrale Baden-Württemberg [Stuttgart] Anstalt für kommunale Datenverarbeitung in Bayern [München] Informatikzentrum Landesverwaltung Baden-Württemberg [Stuttgart] Bayerisches Landesamt für Steuern [München] 12./ IT-PLR - 3. Fachkongress Folie 15

16 Austausch - beispielhaft Whitepaper, Eckpunktepapier, Sicherheitsempfehlungen, Thesenpapier, Orientierungshilfe, Fahrplan, Workshop Arbeitskreise Technik und Medien der Konferenz der Datenschutzbeauftragten des Bundes und der Länder 12./ IT-PLR - 3. Fachkongress Folie 16

17 Neue Wege: Private + Public Cloud / Neusortierung der Kriterien Übergreifende Sicherheitsaspekte, die für Kategorien 2 und 3 gelten Fachliche Anforderungen Kategorie 2 (hohe Anforderungen an IT-Sicherheit) - Sicherheitstechnische und funktionale Anforderungen Fachliche Anforderungen Kategorie 3 (eingeschränkte Anforderungen an IT-Sicherheit) - Sicherheitstechnische und funktionale Anforderungen Betriebliche Anforderungen Kategorie 2 (hohe Anforderungen an IT-Sicherheit) Betriebliche Anforderungen Kategorie 3 (eingeschränkte Anforderungen an IT-Sicherheit) 12./ IT-PLR - 3. Fachkongress Folie 17

18 IT-Planungsrat 14. Sitzung: Vorstellung (Werdegang, Inhalt, Ziele) 16. Sitzung: Beschlussfassung 12./ IT-PLR - 3. Fachkongress Folie 18

19 Cloud-Betriebsmodelle / Kategorien Die Cloud-Kategorien im Kontext der Datenzentralen Quelle: Richtlinienempfehlung 12./ IT-PLR - 3. Fachkongress Folie 19

20 Euritas Das Netzwerk wächst weiter 12./ IT-PLR - 3. Fachkongress Folie 20

21 Öffnung der Cloud über VLANs 12./ IT-PLR - 3. Fachkongress Folie 21

22 Trennen von LTNs auf vhost Firewall LTN Justiz LTN Polizei Virtualisierungshost *VMs aus unterschiedlichen LTNs auf einer Physik sofern die betriebenen Verfahren ein vergleichbares Sicherheitsniveau haben 12./ IT-PLR - 3. Fachkongress Folie 22

23 Private Cloud: Organisationsstruktur (neu) VM VM 1 Applikation Betriebssystem VM n Applikation Betriebssystem Team E 1,, E n Virtualisierungsschicht Host Virtuelles Netzwerk Virtuelle Hardware Betriebssystem Physisches Netzwerk Storage Hardware-Schicht Team D (org.) Team C Team B Team A 12./ IT-PLR - 3. Fachkongress Folie 23

24 Cloudisierung eines Rechenzentrums Standardisierung Systemkonsolidierung Virtualisierung IT-Servicemanagement (ITIL) BSI-Zertifizierung ISO Provisionierung & Orchestrierung 7 + Enabling Self Service 8 Automatisierung = Sichere egov-cloud 12./ IT-PLR - 3. Fachkongress Folie 24

25 Meilensteine Aufbau und Betrieb einer BSI-zertifizierten Polizei-Cloud in Rheinland- Pfalz (ISO auf Basis IT- Grundschutz) BSI zertifizierte Polizei-Cloud Erweiterung dieser Cloud um weitere polizeiliche Verfahren (Rheinland- Pfalz und Saarland) Erweiterung Polizei Erweiterung um Verfahren anderer Verwaltungen in Rheinland- Pfalz Erweiterung Verwaltung Public Cloud für geschäftsunkritische Anwendungen Public Cloud Übersetzung des Dokumentes ins Englische Beratung auf europäischer Ebene europäisches Vorgehensbundesweites modell Vorgehensmodell Empfehlung der Handlungsempfehlung Cloud-Services der Landesrechenzentren durch IT-Planungsrat; Beschluss im Portal veröffentlicht und für Nutzung freigegeben; geplante Mitwirkung bei der Erarbeitung einer nationalen Cloud-Strategie 12./ IT-PLR - 3. Fachkongress Folie 25

26 Wir können Cloud aber sicher! Roll out Cloud-Services RP Private Cloud Polizei RP Private Cloud Polizei RP + SL Private Cloud Landesverwaltung RP Private Cloud für andere Bundesländer vergleichbares Sicherheitsniveau! Management und Daten nur im LDI im LDI verfügbare Cloud- Kategorien Public Cloud nach Bedarf des Landes Hybride Cloud Cloud-Services RP Daten außerhalb LDI 12./ IT-PLR - 3. Fachkongress Folie 26

27 Skalierbare IT-Sicherheit kundenspezifisch Sicherheit nach Bedarf Datenschutz und Datensicherheit ohne Kompromisse Flexibilität und Agilität auf höchstem Niveau Public Cloud Private Cloud 12./ IT-PLR - 3. Fachkongress Folie 27

28 egovernment on demand - Beispiel Extrapol Interne Kommunikationsplattform der Polizeien des Bundes und der Länder zum Austausch dienstrelevanter Informationen Nutzer Blitzmarathon Ad hoc Zuordnung von Ressourcen aus der Cloud für wenige Tage und zeitweise über Nutzer pro Stunde Polizei im Dialog Bürgerbeteiligung im Internet Zuordnung von Ressourcen aus der Cloud für moderierte Veranstaltungen zu lastarmen Zeiten 12./ IT-PLR - 3. Fachkongress Folie 28

29 egovernment on demand - Beispiel rlp-service Bürgerportal für Rheinland-Pfalz 12./ IT-PLR - 3. Fachkongress Folie 29

30 IT-Sicherheit der Mensch!!! Sicherheit auf höchstem Niveau - IT-Sicherheitsprozess: geplante, organisierte und gesteuerte Vorgehensweise 12./ IT-PLR - 3. Fachkongress Folie 30

31 DER zentrale IT-Dienstleister des Landes Rheinland-Pfalz! Vielen Dank für Ihre Aufmerksamkeit!