Ettevõtte IT strateegilised võtmeküsimused

Kui on tahe, on ka võimalus!

Erkki Leego – juhtivpartner

(1/40) Ettevõtte IT strateegilised võtmeküsimused / 22.01.14 / Kehtna MTK

Ettevõtte IT strateegilised võtmeküsimused

Erkki Leego

juhtivpartner

Hansson, Leego & Partner




Millise kogemuse pealt räägin

• Magistrikraad informaatikas (Tartu Ülikool)

• Osalenud üle 100 ettevõtte IT arengus

– Vabariigi Presidendi Kantselei, infonõunik

– Riigikogu Kantselei, infosüsteemide ja

tehnikaosakonna juhataja

– Tartu Ülikooli Kliinikum, IT direktor

– Hansson Leego & Partner, juhtivpartner

• Hansson, Leego & Partner

– IT juhtimise- ja konsultatsiooniettevõte

• IT strateegiline juhtimine

• Arenduse juhtimine

• Andmekaitse korraldamine



(3/40)

Tööd - näited

• Infosüsteemi (>60 arvutit) toimimise ja arengu koordineerimine (IT juht ja süsteemiülem)

• Infosüsteemide kaardistamine ja IT strateegia koostamiseks lähteandmete koondamine

• Microsoft Dynamics AX juurutamise koordineerimine tellija esindajana

• Arenduse tellijapoolne juhtimine

• ISKE juurutamine, infovarade turvalisuse ja infoturbepoliitika piisavuse ning tervikluse auditeerimine

Ettevõtte IT strateegilised võtmeküsimused / 22.01.14 / Kehtna MTK



(4/40)

Ettevõtte infosüsteem




(5/40)

Ettevõtte infosüsteem


INTERNET

WAN ISP- Elion

(4 Mb/s Sync)

Tallinn

Uniper VPN

Domeeni-

kontroller

Tallinn LAN

Kokku

67 tööjaama

77 aktiivset kasutajakontot

8 võrguprinterit

VmWare

Failiserver

DOKU

Infrastruk-

tuuri serverid

E-post

MS ExchangeLADU TELLIMINE

TOODE 2

Finants

MS Dynamics AX

EMC

andmemassiiv

Tartu

Uniper VPN

Paide

Uniper VPN

Viljandi

Uniper VPN

WAN ISP- Elion

(2 Mb/s)

WAN ISP- Elion

(2 Mb/s)

WAN ISP- Elion

(8Mb/s sync)

Tartu LAN

Domeeni-

kontrollerTOODE

Terminali-

server

Kokku

35 tööjaama

43 aktiivset kasutajakontot

6 võrguprinterit



(6/40)

Teine vaade infosüsteemile


42 U

5 U

2 U

5 U

1 U

2 U

3 U

5 U

Ladu: Pentium 4 3,2GHz, 1GB RAM, 30GB HDD, Windows

Server 2003

Toode: Pentium 3 800MHz, 384MB RAM, 9GB HDD,

Windows Server 2008 R2 (vasakul)

Võrguseade: HP Procurve switch 2524

Axaptatest: Pentium 4 3,2GHz, 1.5GB RAM, 80GB HDD,

Server 2003 (paremal)

Axapta: Intel Xeon 3,06GHz, 2,5GB RAM, 250GB HDD,

Windows Server 2003

Lindiseade: HP StorageWorks 1/8 G2, 8 x 100GB Ultrium

1 TAPE cartridges

Terminalsrv: Intel Xeon 3,06GHz, 1.5GB RAM, 400GB HDD,

Windows Server 2003

DOKU: Server: Intel Xeon 3,06GHz, 1.5GB RAM, 340GB HDD,

Windows Server 2003

Väline kettasahtel: HP Smart Array 6400, 9 x 36,4GB SCSI HDD

UPS: APC SmartUPS 1500VA, Rackmount UPS, 1440VA, 980W,

120V, 6 Outlet



(7/40)

Kolmas vaade infosüsteemile

• Andmed

• Tehnoloogiad andmete hoidmiseks ja edastamiseks

• Inimesed

• Reeglid, korrad, vastutus




(8/40)

Infosüsteemide rõhuasetused

• Riigikogu Kantselei – Hääletussüsteemi töökindlus ja terviklus,

tõestusväärtus

– 15.11.07 Postimees: “Keskerakonna tuntuim poolt- ja vastunuppudega mängija on Tõnu Kauba. 2000. aasta augustis visati ta aastaks fraktsioonist välja, kuna tema poolthääl aitas ametist maha võtta tollase kaitseväe juhataja Johannes Kerdi. Kaks aastat hiljem karistas fraktsioon Kaubat Ja Anti Liivi, sest nende süül õnnestus opositsioonil riigieelarve eelnõu parlamendi menetlusest välja lükata.”

• Tartu Ülikooli Kliinikum – 22 suurt infosüsteemi 24/7, käideldavus ja terviklus

• Tartu Ülikooli Eesti Geenivaramu – Isikuandmete turvaline haldus, konfidentsiaalsus




(9/40)

Näide infosüsteemist - EGV




(10/40)

Andmekaitse




(11/40)

Turbe strateegilised küsimused

• Mida on vaja kaitsta?

– Miks on seda vaja kaitsta? Mis juhtub siis kui ei kaitse?

• Milliseid potentsiaalseid ebasoovitavaid tagajärgi me soovime vältida?

– Millise hinnaga? Kui suurt katkestust võime me enne tegutsemist taluda?

• Kuidas me määratleme ja efektiivselt haldame jääkriski?


The Art of Information Security Governance, Julia H. Allen, 2008, Qatar Information Security Forum




Andmeturbe 3 põhikomponenti

1. Konfidentsiaalsus • Andmete kättesaadavus ainult selleks volitatud

isikule või tehnilisele vahendile

2. Terviklus • Andmete õigsuse, täielikkuse ja ajakohasuse

tagatus ning päritolu autentsus ja volitamatute muutuste puudumine

3. Käideldavus • Kasutamiskõlblike andmete õigeaegne ja hõlbus

kättesaadavus selleks volitatud tarbijaile (isikutele või tehnilistele vahenditele)




Andmete turvaklass (nt. K2T3S1)

Andmete käideldavus (K):

K0 – töökindlus – pole oluline; jõudlus – pole oluline;

K1 – töökindlus – 90% (lubatud summaarne seisak nädalas ~ ööpäev); lubatav nõutava reaktsiooniaja kasv tippkoormusel – tunnid (1÷10);

K2 – töökindlus – 99% (lubatud summaarne seisak nädalas ~ 2 tundi); lubatav nõutava reaktsiooniaja kasv tippkoormusel – minutid (1÷10);

K3 – töökindlus – 99,9% (lubatud summaarne seisak nädalas ~ 10 minutit); lubatav nõutava reaktsiooniaja kasv tippkoormusel – sekundid (1÷10).

Andmete terviklus (T):

T0 – info allikas, muutmise ega hävitamise tuvastatavus ei ole olulised; info õigsuse, täielikkuse ja ajakohasuse kontroll pole vajalik;

T1 – info allikas, selle muutmise ja hävitamise fakt peavad olema tuvastatavad; info õigsuse, täielikkuse ja ajakohasuse kontroll erijuhtudel ja vastavalt vajadusele;

T2 – info allikas, selle muutmise ja hävitamise fakt peavad olema tuvastatavad; vajalik on info õigsuse, täielikkuse ja ajakohasuse perioodiline kontroll;

T3 – info allikas, selle muutmise ja hävitamise faktil peab olema tõestusväärtus; vajalik on info õigsuse, täielikkuse ja ajakohasuse kontroll reaalajas.

Andmete konfidentsiaalsus (S):

S0 – avalik info: juurdepääsu teabele ei piirata (st lugemisõigus on kõigil huvitatutel, muutmise õigus on määratud tervikluse nõuetega);

S1 – info asutusesiseseks kasutamiseks: juurdepääs teabele on lubatav juurdepääsu taotleva isiku õigustatud huvi korral;

S2 – salajane info: info kasutamine on lubatud ainult teatud kindlatele kasutajate gruppidele, juurdepääs teabele on lubatav juurdepääsu taotleva isiku õigustatud huvi korral;

S3 – ülisalajane info: info kasutamine on lubatud ainult teatud kindlatele kasutajatele, juurdepääs teabele on lubatav juurdepääsu taotleva isiku õigustatud huvi korral.

Allikas: VV määrus 20.12.07 nr. 252 „Infosüsteemide turvameetmete süsteem”



(14/40)

100% turvalisust ei ole olemas

• 9/11 terrorirünnak (11.09.01) – Kaks 110-korruselist WTC hoonet ja hulk muid hooneid

hävinenud, 18 000 väikest äri hävinenud või ümber paigutatud

– Börsid (NYSE, ASE, NASDAQ) suletud 6 päeva – Investeerimispank Cantor Fitzgerald L.P. kaotas 658

töötajat

• Societe Generale hiigelpettus (01/08) – Jérôme Kerviel kauplemistehingud põhjustasid pangale

76 miljardit krooni kahju – Süüdistus volitamata ligipääsus ja usalduse

kuritarvitamises

• Lähis-Ida riikide interneti katkestus (01/08) – Mitme veealuse kaabli katkemine põhjustas paljude

Lähis-Ida riikide Interneti side kadumise 10 päevaks – 80 milj. kasutajat häiritud (70% Egiptusest, 60%

Indiast)

• UK MTA andmete kadumise intsident (10/07) – Kaks Suurbritannia maksu- ja tolliameti arvutiketast

kõikide lastetoetust saanud perede andmetega läks teekonnal ühest kontorist teise kaduma

– Intsident puudutab 25 milj. UK elanikku

• Küberrünnakud Eestis kevad 2007 – DOS rünnakud Eesti riigiasutustele ja pankadele

• NSA ülemaailmne pealtkuulamine (2013)


http://upload.wikimedia.org/wikipedia/commons/f/fd/National_Park_Service_9-11_Statue_of_Liberty_and_WTC_fire.jpg

http://www.sgcib.com/

http://upload.wikimedia.org/wikipedia/en/b/bb/2008_submarine_cable_disruption_map.jpg



(15/40)

Iseloomulikud intsidendid

• Vajalikke andmeid ei saa kasutada – Hävinevad, ei leia enam üles, ei pääse ligi

• Töövahendid on kasutamatud – Arvuti on viiruse poolt aeglaseks muudetud

– Arvutid, serverid, programmid ei toimi

• Delikaatne informatsioon võõrastele kättesaadav – Piinlikud fotod, eravestlused, terviseinfo,

mobiiltelefoni sisu - „kogu elu taskus“

• Infovargus – Klientide andmebaas jm. ärisaladused

• Arvutikuriteod – Krediitkaardipettused, ahistamine e-keskkondades





Milline info on privaatsem?

0

1

2

3

4

5

6

7

Kopsupõletik Perekond Vanus Sissetulek Isiklik telefon Koduneaadress

Allikas: E. Leego ja Äripäeva küsitlus 2007. a.




Ohud, nõrkused, risk, meetmed

• Oht

– Süsteemi või organisatsiooni kahjustada võiva soovimatu intsidendi potentsiaalne põhjus

• Nõrkused

– Vara või vararühma nõrk koht, mida saab ära kasutada oht

• Risk

– Tõenäosus, et vaadeldav oht kasutab ära mingi vara või vararühma nõrkused, põhjustades varade kaotuse või kahjustuse

• Turvameede

– Riski kahandav teoviis, protseduur või mehhanism




Ohutüübid

• Maavärin • Üleujutus • Orkaan • Äike • Tööstustegevus • Pommirünne • Relvade kasutamine • Kahjutuli • Sihilik kahjustamine • Elektritoite katkemine • Veevarustuse katkemine • Õhu konditsioneerimise rike • Riistvara rikked • Toite kõikumine • Äärmuslik temperatuur ja niiskus • Tolm • Elektromagnetiline kiirgus • Elektrostaatilised laengud • Vargus • Salvestuskandjate volitamatu kasutamine • Salvestuskandjate riknemine • Ekspluatatsioonipersonali eksitus • Hoolduseksitus • Tarkvara tõrge

• Tarkvara kasutamine volitamatute poolt • Tarkvara kasutamine volitamata viisil • Kasutaja identsuse teesklus • Tarkvara ebaseaduslik kasutamine • Ründetarkvara • Tarkvara ebaseaduslik import või eksport • Ekspluatatsioonipersonali eksitus • Hoolduseksitus • Volitamata kasutajate võrgupöördus • Võrguaparatuuri kasutamine volitamata

viisil • Võrgukomponentide tehniline rike • Edastusvead • Liinide kahjustused • Liikluse ülekoormus • Pealtkuulamine • Sidesse sisseimbumine • Liikluse analüüs • Sõnumite väär marsuutimine • Sõnumite ümbermarsuutimine • Salgamine • Sideteenuste (st võrguteenuste) tõrge • Personalinappus • Kasutajate eksitused • Ressursside väärkasutus

Allikas: EVS-ISO/IEC TR 13335 „Infotehnoloogia. Infoturbe halduse suunised”




Nõrkuste valdkonnad

• Keskkond ja infrastruktuur

– nt. hoonete, uste ja akende füüsilise turbe puudumine

• Riistvara

– nt. tundlikkus pinge kõikumiste suhtes

• Tarkvara

– nt. pääsuõiguste väär jaotamine

• Side

– nt. kaitsmata sideliinid

• Dokumendid

– nt. hooletus kõrvaldamisel

• Personal

– nt. puudulikud töölevõtmise protseduurid




Andmeturbemeetmed

• Turvameetmed otstarbe järgi:

– ennetavad meetmed

– avastusmeetmed

– taastusmeetmed

• Turvameetmed teostusviisi järgi:

– organisatsioonilised meetmed

– füüsilised meetmed

– infotehnoloogilised meetmed




10 olulisemat meedet

1. Uksed lukku ka tööpäeva ajal

2. Pidage arvet kasutajatunnuste üle

3. Tagage turvainfo jõudmine töötajateni

4. Tehke regulaarselt tagavarakoopiaid

5. Viirustõrje igasse arvutisse

6. Dokumentide hoidmiseks kindel kord

7. Tagavaratoide olulistele seadmetele

8. Kontrolljäljed kõikidest tegevustest

9. Reeglid andmete kasutamiseks

10.Koostage ülevaade oma infovaradest



(22/40)

IT valdkonna juhtimine




(23/40)

Kaks põhialust

1.Infosüsteem peab laitmatult töötama – Tagada olemasoleva infosüsteemi

toimimine ja kasutajatugi

2.Tagada areng – Arendada süsteemi kooskõlas

vajaduste ja tehnoloogiate muutumisega




(24/40)

Ettevõtte juhi võtmeküsimused

1.Milline on minu IT meeskond?

– sh. koostööpartnerid

2.Milline on minu ettevõtte IT valdkonna 3-5 aasta arenguplaan?

3.Kui asjatundlikult viin ma läbi IT valdkonna arendustegevusi?




(25/40)

IT juhtimise teemad

• IT strateegiline juhtimine

• Infovarade turvalisuse tagamine

• Infosüsteemide arendus

• Infrastruktuur

• Haldus ja tugi

• Dokumentatsioon

• Finantsjuhtimine

• Personali juhtimine

• Õiguslikud alused

• Valdkondlikud eripärad




(26/40)

IT meeskond ja kompetentsid


IT meeskonna ülesehitus

KasutajatugiKasutajate abistamine

Tööde registri haldamineRakenduste dokumentatsiooni haldamine

Tööjaamade riist- ja tarkvara haldamine

IT juhtIT strateegia ja tegevuskava elluviimine

Juhtkonna nõustamineArendustööde juhtimineIT meeskonna juhtimineAndmeturbe juhtimine

Arendusprojekt

Tellija esindajadProjektijuht, analüütik,järelevalve, eksperdidSisseostetud teenus

ArenduspartnerTarnija, arendaja,teenusepakkuja

Töötaja

Legend

Tellija esindaja Koostööpartner

IT audiitorNõuete vastavuse kontroll

SüsteemiülemadServerite ja serverlahenduste haldamine

Keskse viirusetõrje haldamine Tagavarakoopiate süsteemi haldamine

Arvutivõrgu haldamine

Rakenduste tugiErirakenduse tugi, hooldus ja arendus

SyBase, MS Axapta, e-post, ...



(27/40)

Võimaluste ja vajaduste ballett

• Strateegiline “muna ja kana”

– Selleks, et pakkuda IT valdkonna võimalustest tulenevaid lahendusi on vaja teada ettevõtte ärivajadusi ja arenguvisioone

– Selleks, et leida uusi elegantseid konkurentsieelist toovaid IT-poolt toetatud ärilisi lahendusi, on vaja teada IT valdkonna võimalusi

• Igal uuel tehnoloogial ja lahendusel peab olema sisuline vajadus ja finantsiline optimaalsus

• Baasvajadused peavad olema rahuldatud

• Rakenduse funktsionaalsus peab vastama kasutaja vajadustele – muidu ta kasutab sellest ainult väikest osa või ei kasuta seda üldse





Erinevad vaated lahendusele



(29/40)

Asjatundlik tellija

• IT valdkonna tehnoloogiate ja arendusvahendite kiire areng surub peale spetsialiseerumise

• Oluline on olla asjatundlik tellija

• Vajalikud kompetentsid

– Lähteülesande koostamine

– Hanke läbiviimine

– Tellijapoolse projektimeeskonna juhtimine

– Tellijapoolne arenduse järelevalve ja kvaliteedi juhtimine

– Tellijapoolne vastavustestimine ja tulemi auditeerimine




(30/40)

Digiajastul vajalikud oskused




(31/40)

Oskused läbi aegade

– Füüsiline jõud ja osavus

– Tehnoloogia rakendamise oskus

– Info kasutamise oskus




(32/40)

Üldised tehnoloogia trendid

• Andmeid on väga palju

• Pilvetehnoloogiate kasutamine

• Sotsiaalsed võrgustikud

• Loomulikumad kasutajaliidesed

• Seadmete paljusus ja sünkroniseerimine

• Alatine ühendus

• Anonüümsuse ja privaatsuse vähenemine

• Teadmised ja nõu on käeulatuses




(33/40)

Digiajastu olulised oskused

• Info leidmise oskus

• Olulise eristamine ebaolulisest

• Terviku nägemise oskus

• Seoste loomise oskus

• Arutlemise ja järelduste tegemise oskus

• Suhtlemise ja eneseväljendamise oskus, sh. visualiseerimise oskus

• Meeskonnatöö oskus

• Õppimise ja ümberõppimise oskus

• Enesekaitse oskus digikeskkonnas




(34/40)

IT spetsialisti teadmised

• IT sõnavara

• Üldised baasteadmised – Arvutid, serverid, lisaseadmed

– Andmeside

– Infosüsteemi rakendused

– Andmeturbe põhialused

– ...

• Valdkondlik spetsialiseerumine – Kasutajatugi

– Tehnoloogiaekspert

– Analüütik, arhitekt

– Arendaja-programmeerija

– IT juht

– Müügispetsialist




(35/40)

Tee endale teene!

• Pimekiri. 10 sõrmega. Vähemalt 250 lööki/minutis.




(36/40)

Eesti unikaalne stardipositsioon




(37/40)

Eesti digilahenduste areng

• 99% pangaülekandeid elektroonilised

• 94% tulumaksu deklaratsioonidest esitatud e-Maksuameti kaudu

• 24% valijatest 2011. a. valimistel kasutasid e-hääletust

• 62% inimestest kasutas 2012. a. e-rahvaloendust

• 2000: e-maksuamet • 2000: m-parkimine • 2002 : ID-kaardi

kasutuselevõtt • 2005: e-hääletuse

kasutuselevõtt • 2007: m-ID kasutuselevõtt • 2007: e-politsei

kasutuselevõtt • 2008: e-Tervise süsteemide

kasutuselevõtt • 2010: Digiretsepti

kasutuselevõtt • 2012: e-rahvaloendus • ID-kaarte 1 214 520

(18.11.2013) – Rahvaarv 1 286 540

(01.01.2013)




(38/40)

Eesti hea koht

• Hea maine riiklike e-lahenduste loojana ja kasutajana

• Hea maine idufirmade kasvulavana – Skype, GrabCAD, Erply, Toggl, Pipedrive, Weekdone

• NATO küberkaitsekeskus

• Euroopa Liidu sisejulgeolekuvaldkonna IT agentuur




(39/40)

Kokkuvõte

• Te olete valinud õige elukutse – IT tähtsus ettevõtetes aina tõuseb

• Andmeturbel kolm komponenti

– Konfidentsiaalsus, terviklus, käideldavus

• IT strateegiliselt kaks ülesannet – Tagada süsteemi toimimine ja jätkusuutlik areng

• Infoühiskonnas olulised uued oskused – Info leidmine ja töötlemine – Õppimise ja ümberõppimise oskus – Meeskonnatöö

• Eesti hea koht





Tänan!


Erkki Leego, [email protected], www.hlp.ee

Ettevõtte IT strateegilised võtmeküsimused

Education

Transcript of Ettevõtte IT strateegilised võtmeküsimused