Ettevõtte IT strateegilised võtmeküsimused

Kui on tahe, on ka võimalus!

Ettevõtte IT strateegilised võtmeküsimused

Erkki Leego – juhtivpartner

(1/39)Ettevõtte IT strateegilised võtmeküsimused / 12.10.10 / Tartu KHK

Erkki LeegojuhtivpartnerHansson, Leego & Partner


Millise kogemuse pealt räägin

• Magistrikraad informaatikas (Tartu Ülikool)

• Üle 14 aasta IT juht– Vabariigi Presidendi Kantselei, infonõunik

– Riigikogu Kantselei, infosüsteemide ja tehnikaosakonna juhataja

– Tartu Ülikooli Kliinikum, IT direktor

– Hansson Leego & Partner, juhtivpartner



– Hansson Leego & Partner, juhtivpartner

• Hansson, Leego & Partner– IT juhtimise ja konsultatsiooniettevõte

– HLP põhiline teenus on ettevõtete esindamine kogemust ja kõrget erialast kompetentsi nõudvates IT projektides

– 10 eksperti


Hansson, Leego & Partner

• IT juhtimine ja konsultatsioon

• Arenduse koordineerimine ja järelevalve


(3/39)

ja järelevalve• Andmeturbe

konsultatsioon

Ettevõtte IT strateegilised võtmeküsimused / 12.10.10 / Tartu KHK


Ettevõtte infosüsteem

INTERNET

WAN ISP- Elion

(4 Mb/s Sync)

Tallinn

Uniper VPN

Tartu

Uniper VPN

Paide

Uniper VPN

Viljandi

Uniper VPN

WAN ISP- Elion

(2 Mb/s)

WAN ISP- Elion

(2 Mb/s)

WAN ISP- Elion

(8Mb/s sync)

Tartu LAN

Domeeni-

kontrollerTOODE

Kokku

35 tööjaama

43 aktiivset kasutajakontot

6 võrguprinterit



Domeeni-

kontroller

Tallinn LAN

Kokku

67 tööjaama

77 aktiivset kasutajakontot

8 võrguprinterit

VmWare

Failiserver

DOKU

Infrastruk-

tuuri serverid

E-post

MS ExchangeLADU TELLIMINE

TOODE 2

Finants

MS Dynamics AX

EMC

andmemassiivTerminali-

server


Teine vaade infosüsteemile

42 U

2 U

1 U

Ladu: Pentium 4 3,2GHz, 1GB RAM, 30GB HDD, Windows

Server 2003

Toode: Pentium 3 800MHz, 384MB RAM, 9GB HDD,

Windows Server 2008 R2 (vasakul)

Võrguseade: HP Procurve switch 2524

Axaptatest: Pentium 4 3,2GHz, 1.5GB RAM, 80GB HDD,

Server 2003 (paremal)

Lindiseade: HP StorageWorks 1/8 G2, 8 x 100GB Ultrium



5 U

2 U

5 U

2 U

3 U

5 U Axapta: Intel Xeon 3,06GHz, 2,5GB RAM, 250GB HDD,

Windows Server 2003

1 TAPE cartridges

Terminalsrv: Intel Xeon 3,06GHz, 1.5GB RAM, 400GB HDD,

Windows Server 2003

DOKU: Server: Intel Xeon 3,06GHz, 1.5GB RAM, 340GB HDD,

Windows Server 2003

Väline kettasahtel: HP Smart Array 6400, 9 x 36,4GB SCSI HDD

UPS: APC SmartUPS 1500VA, Rackmount UPS, 1440VA, 980W,

120V, 6 Outlet


Kolmas vaade infosüsteemile

• Andmed

• Tehnoloogiad andmete hoidmiseks ja edastamiseks


(6/39)

• Inimesed

• Reeglid, korrad, vastutus



Infosüsteemide rõhuasetused

• Riigikogu Kantselei– Hääletussüsteemi töökindlus ja terviklus,

tõestusväärtus

– 15.11.07 Postimees: “Keskerakonna tuntuim poolt- ja vastunuppudega mängija on Tõnu Kauba. 2000. aasta augustis visati ta aastaks fraktsioonist välja, kuna tema poolthääl aitas ametist maha võtta tollase kaitseväe juhataja Johannes Kerdi. Kaks aastat hiljem karistas fraktsioon Kaubat Ja Anti Liivi, sest nende süül õnnestus opositsioonil riigieelarve eelnõu parlamendi menetlusest välja lükata.”


(7/39)

• Tartu Ülikooli Kliinikum– 22 suurt infosüsteemi 24/7, käideldavus ja terviklus

• Tartu Ülikooli Eesti Geenivaramu– Isikuandmete turvaline haldus, konfidentsiaalsus



Näide infosüsteemist - EGV




Andmekaitse


(9/39)

Andmekaitse



Turbe strateegilised küsimused

• Mida on vaja kaitsta? – Miks on seda vaja kaitsta? Mis juhtub siis kui ei

kaitse?

• Milliseid potentsiaalseid ebasoovitavaid tagajärgi me soovime vältida?


(10/39)

tagajärgi me soovime vältida? – Millise hinnaga? Kui suurt katkestust võime me enne

tegutsemist taluda?

• Kuidas me määratleme ja efektiivselt haldame jääkriski?


The Art of Information Security Governance, Julia H. Allen, 2008, Qatar Information Security Forum


Andmeturbe 3 põhikomponenti

1. Konfidentsiaalsus• Andmete kättesaadavus ainult selleks volitatud

isikule või tehnilisele vahendile

2. Terviklus• Andmete õigsuse, täielikkuse ja ajakohasuse

tagatus ning päritolu autentsus ja volitamatute



tagatus ning päritolu autentsus ja volitamatute muutuste puudumine

3. Käideldavus• Kasutamiskõlblike andmete õigeaegne ja hõlbus

kättesaadavus selleks volitatud tarbijaile (isikutele või tehnilistele vahenditele)


Andmete turvaklass (nt. K2T3S1)

Andmete käideldavus (K):

K0 – töökindlus – pole oluline; jõudlus – pole oluline;K1 – töökindlus – 90% (lubatud summaarne seisak nädalas ~ ööpäev); lubatav nõutava reaktsiooniaja kasv tippkoormusel – tunnid (1÷10);K2 – töökindlus – 99% (lubatud summaarne seisak nädalas ~ 2 tundi); lubatav nõutava reaktsiooniaja kasv tippkoormusel – minutid (1÷10);K3 – töökindlus – 99,9% (lubatud summaarne seisak nädalas ~ 10 minutit); lubatav nõutava reaktsiooniaja kasv tippkoormusel – sekundid (1÷10).

Andmete terviklus (T):

T0 – info allikas, muutmise ega hävitamise tuvastatavus ei ole olulised; info õigsuse, täielikkuse ja ajakohasuse kontroll pole vajalik;T1 – info allikas, selle muutmise ja hävitamise fakt peavad olema tuvastatavad; info õigsuse, täielikkuse ja ajakohasuse kontroll erijuhtudel ja vastavalt vajadusele;T2 – info allikas, selle muutmise ja hävitamise fakt peavad olema tuvastatavad; vajalik on info õigsuse, täielikkuse ja ajakohasuse perioodiline kontroll;T3 – info allikas, selle muutmise ja hävitamise faktil peab olema tõestusväärtus; vajalik on info õigsuse,



(1÷10). peab olema tõestusväärtus; vajalik on info õigsuse, täielikkuse ja ajakohasuse kontroll reaalajas.

Andmete konfidentsiaalsus (S):

S0 – avalik info: juurdepääsu teabele ei piirata (st lugemisõigus on kõigil huvitatutel, muutmise õigus on määratud tervikluse nõuetega);S1 – info asutusesiseseks kasutamiseks: juurdepääs teabele on lubatav juurdepääsu taotleva isiku õigustatud huvi korral;S2 – salajane info: info kasutamine on lubatud ainult teatud kindlatele kasutajate gruppidele, juurdepääs teabele on lubatav juurdepääsu taotleva isiku õigustatud huvi korral;S3 – ülisalajane info: info kasutamine on lubatud ainult teatud kindlatele kasutajatele, juurdepääs teabele on lubatav juurdepääsu taotleva isiku õigustatud huvi korral.

Allikas: VV määrus 20.12.07 nr. 252 „Infosüsteemide turvameetmete süsteem”


100% turvalisust ei ole olemas

• 9/11 terrorirünnak (11.09.01)– Kaks 110-korruselist WTC hoonet ja hulk muid hooneid

hävinenud, 18 000 väikest äri hävinenud või ümber paigutatud

– Börsid (NYSE, ASE, NASDAQ) suletud 6 päeva– Investeerimispank Cantor Fitzgerald L.P. kaotas 658

töötajat• Societe Generale hiigelpettus (01/08)

– Jérôme Kerviel kauplemistehingud põhjustasid pangale 76 miljardit krooni kahju

– Süüdistus volitamata ligipääsus ja usalduse kuritarvitamises

• Lähis-Ida riikide interneti katkestus (01/08)


(13/39)

• Lähis-Ida riikide interneti katkestus (01/08)– Mitme veealuse kaabli katkemine põhjustas paljude

Lähis-Ida riikide Interneti side kadumise 10 päevaks– 80 milj. kasutajat häiritud (70% Egiptusest, 60%

Indiast)• UK MTA andmete kadumise intsident (10/07)

– Kaks Suurbritannia maksu- ja tolliameti arvutiketast kõikide lastetoetust saanud perede andmetega läks teekonnal ühest kontorist teise kaduma

– Intsident puudutab 25 milj. UK elanikku• Küberrünnakud Eestis kevad 2007

– DOS rünnakud Eesti riigiasutustele ja pankadele



Iseloomulikud intsidendid

• Vajalikke andmeid ei saa kasutada– Hävinevad, ei leia enam üles, ei pääse ligi

• Töövahendid on kasutamatud– Arvuti on viiruse poolt aeglaseks muudetud– Arvutid, serverid, programmid ei toimi

• Delikaatne informatsioon võõrastele kättesaadav


(14/39)

kättesaadav– Piinlikud fotod, eravestlused, terviseinfo,

mobiiltelefoni sisu

• Infovargus– Klientide andmebaas jm. ärisaladused

• Arvutikuriteod– Krediitkaardipettused, ahistamine e-keskkondades



Milline info on privaatsem?

4

5

6

7



0

1

2

3

Kopsupõletik Perekond Vanus Sissetulek Isiklik telefon Koduneaadress

Allikas: E. Leego ja Äripäeva küsitlus 2007. a.


Ohud, nõrkused, risk, meetmed

• Oht– Süsteemi või organisatsiooni kahjustada võiva

soovimatu intsidendi potentsiaalne põhjus

• Nõrkused– Vara või vararühma nõrk koht, mida saab ära

kasutada oht



• Risk– Tõenäosus, et vaadeldav oht kasutab ära mingi vara

või vararühma nõrkused, põhjustades varade kaotuse või kahjustuse

• Turvameede– Riski kahandav teoviis, protseduur või mehhanism


Ohutüübid

• Maavärin• Üleujutus• Orkaan• Äike• Tööstustegevus• Pommirünne• Relvade kasutamine• Kahjutuli• Sihilik kahjustamine• Elektritoite katkemine• Veevarustuse katkemine• Õhu konditsioneerimise rike• Riistvara rikked

• Tarkvara kasutamine volitamatute poolt• Tarkvara kasutamine volitamata viisil• Kasutaja identsuse teesklus• Tarkvara ebaseaduslik kasutamine• Ründetarkvara• Tarkvara ebaseaduslik import või eksport• Ekspluatatsioonipersonali eksitus• Hoolduseksitus• Volitamata kasutajate võrgupöördus• Võrguaparatuuri kasutamine volitamata

viisil• Võrgukomponentide tehniline rike• Edastusvead



• Riistvara rikked• Toite kõikumine• Äärmuslik temperatuur ja niiskus• Tolm• Elektromagnetiline kiirgus• Elektrostaatilised laengud• Vargus• Salvestuskandjate volitamatu kasutamine• Salvestuskandjate riknemine• Ekspluatatsioonipersonali eksitus• Hoolduseksitus• Tarkvara tõrge

• Edastusvead• Liinide kahjustused• Liikluse ülekoormus• Pealtkuulamine• Sidesse sisseimbumine• Liikluse analüüs• Sõnumite väär marsuutimine• Sõnumite ümbermarsuutimine• Salgamine• Sideteenuste (st võrguteenuste) tõrge• Personalinappus• Kasutajate eksitused• Ressursside väärkasutus

Allikas: EVS-ISO/IEC TR 13335 „Infotehnoloogia. Infoturbe halduse suunised”


Nõrkuste valdkonnad

• Keskkond ja infrastruktuur – nt. hoonete, uste ja akende füüsilise turbe puudumine

• Riistvara – nt. tundlikkus pinge kõikumiste suhtes

• Tarkvara – nt. pääsuõiguste väär jaotamine

• Side



• Side – nt. kaitsmata sideliinid

• Dokumendid – nt. hooletus kõrvaldamisel

• Personal – nt. puudulikud töölevõtmise protseduurid


Andmeturbemeetmed

• Turvameetmed otstarbe järgi:– ennetavad meetmed– avastusmeetmed – taastusmeetmed

• Turvameetmed teostusviisi järgi:



• Turvameetmed teostusviisi järgi:– organisatsioonilised meetmed– füüsilised meetmed– infotehnoloogilised meetmed


10 olulisemat meedet

1. Uksed lukku ka tööpäeva ajal2. Pidage arvet kasutajatunnuste üle3. Tagage turvainfo jõudmine töötajateni4. Tehke regulaarselt tagavarakoopiaid5. Viirustõrje igasse arvutisse



6. Dokumentide hoidmiseks kindel kord7. Tagavaratoide olulistele seadmetele8. Kontrolljäljed kõikidest tegevustest9. Reeglid andmete kasutamiseks10.Koostage ülevaade oma infovaradest


IT valdkonna juhtimine


(21/39)

IT valdkonna juhtimine



Kaks põhialust

1.Infosüsteem peab laitmatult töötama– Tagada olemasoleva infosüsteemi

toimimine ja kasutajatugi


(22/39)

2.Tagada areng– Arendada süsteemi kooskõlas

vajaduste ja tehnoloogiate muutumisega



Ettevõtte juhi võtmeküsimused

1.Milline on minu IT meeskond?– sh. koostööpartnerid

2.Milline on minu ettevõtte IT


(23/39)

2.Milline on minu ettevõtte IT valdkonna 3-5 aasta arenguplaan?

3.Kui asjatundlikult viin ma läbi IT valdkonna arendustegevusi?



IT juhtimise teemad

• IT strateegiline juhtimine

• Infovarade turvalisuse tagamine

• Dokumentatsioon• Finantsjuhtimine• Personali

juhtimine• Õiguslikud alused


(24/39)

tagamine• Infosüsteemide

arendus• Infrastruktuur• Haldus ja tugi

• Õiguslikud alused• Valdkondlikud

eripärad



IT meeskond ja kompetentsid




Võimaluste ja vajaduste ballett

• Strateegiline “muna ja kana”

– Selleks, et pakkuda IT valdkonna võimalustest tulenevaid lahendusi on vaja teada ettevõtte ärivajadus ja arenguvisioone

– Selleks, et leida uusi elegantseid konkurentsieelist


(26/39)

– Selleks, et leida uusi elegantseid konkurentsieelist toovaid IT-poolt toetatud ärilisi lahendusi, on vaja teada IT valdkonna võimalusi

• Igal uuel tehnoloogial ja lahendusel peab olema sisuline vajadus ja finantsiline optimaalsus



Asjatundlik tellija

• IT valdkonna tehnoloogiate ja arendusvahendite kiire areng surub peale spetsialiseerumise

• Oluline on olla asjatundlik tellija• Vajalikud kompetentsid

– Lähteülesande koostamine


(27/39)

– Lähteülesande koostamine– Hanke läbiviimine– Tellijapoolse projektimeeskonna juhtimine– Tellijapoolne arenduse järelevalve ja kvaliteedi

juhtimine– Tellijapoolne vastavustestimine ja tulemi

auditeerimine



Milliseid oskusi on vaja?


(28/39)

Milliseid oskusi on vaja?



Oskused läbi aegade

• Füüsiline osavus ja jõud


(29/39)

• Parem tehnoloogia

• Info kasutamise oskus



Mõned ühiskonna trendid

• Andmeid on väga palju– 2007 – 281 exabyte

(1018)– 45 GB iga inimene


(30/39)

• Sõltuvus infost ja elektroonilistest töövahenditest kasvab




• Õppida ja juurdeõppida on palju

– Teadus on pidevas arengus– Informaatika, biotehnoloogia,

materjaliteadus, ...

– Uued seadmed


(31/39)

– Uued seadmed– Uued suhtlusvõimalused

– E-hääletus, e-suhtlus riigiga, pangaga, ...

– Oskused ja teadmised ei anna eelist, vaid on miinimumnõudeks




• Teadmine on käeulatuses

– Wikipedia (3 092 397 artiklit)– Google


(32/39)

– Google– Foorumid, blogid– ....

– Tasuta!




• Sõber ja nõustaja on käeulatuses

– E-kiri– MSN, Skype vestlused– Facebook– Mobiiltelefon igaühel


(33/39)

– Mobiiltelefon igaühel



Infoühiskonnas vajalikud oskused

• Info leidmise oskus• Olulise eristamine ebaolulisest• Terviku nägemise oskus• Seoste loomise oskus• Arutlemise ja järelduste tegemise oskus


(34/39)

• Eneseväljendamise ja suhtlemise oskus• Visualiseerimise oskus• Õppimise ja ümberõppimise oskus

• Meeskonnatöö oskus



IT spetsialisti teadmised

• IT sõnavara• Üldised baasteadmised

– Arvutid, serverid, lisaseadmed– Andmeside– Infosüsteemi rakendused– Andmeturbe põhialused– ...


(35/39)

– ...

• Valdkondlik spetsialiseerumine– Kasutajatugi– Tehnoloogiaekspert– Analüütik, arhitekt– Arendaja-programmeerija– IT juht– Müügispetsialist



Tee endale teene!

• Pimekiri. 10 sõrmega. Vähemalt 250 lööki/minutis.




Eesti

• Eesti on hea koht– Aktiivseid ID-kaarte 1 082 195– 100 000 osalejat KOV e-valmimistel– Esimese päevaga esitas elektroonilise

tulumaksudeklaratsiooni 150 000 inimest– Skype


(37/39)

– Eestis on NATO küberkaitsekeskus– EL-i sisejulgeolekuvaldkonna IT agentuur?



Kokkuvõte

• Te olete valinud õige elukutse– IT tähtsus ettevõtetes aina tõuseb

• Andmeturbel kolm komponenti– Konfidentsiaalsus, terviklus, käideldavus

• IT strateegiliselt kaks ülesannet


(38/39)

• IT strateegiliselt kaks ülesannet– Tagada süsteemi toimimine ja jätkusuutlik areng

• Infoühiskonnas olulised uued oskused– Info leidmine ja töötlemine– Õppimise ja ümberõppimise oskus– Meeskonnatöö



Tänan!




Erkki Leego, [email protected], www.hlp.ee

Ettevõtte IT strateegilised võtmeküsimused

Technology