Säkerhet hos SunGard

SunGards ledningssystem för informations­säkerhet (enl. SS ISO/IEC 27002) omfattar följande områden:

• Riskbedömning och riskhantering
• Organisation av informationssäkerheten
• Hantering av tillgångar
• Personalresurser och säkerhet
• Fysisk och miljörelaterad säkerhet
• Styrning av kommunikation och drift
• Styrning av åtkomst
• Anskaffning, utveckling och underhåll av informationssystem
• Hantering av informationssäkerhetsincidenter
• Kontinuitetsplanering i verksamheten
• Efterlevnad

SunGards generella säkerhetsåtgärder i finns dokumenterade i SunGards Säker­hetshandbok och övergripande i bilaga.

För ServerGard gäller särskilt:

Personal och säkerhet

All personal som hanterar ServerGard genomgår löpande produktutbildning och särskild sä­kerhetskontroll.

Fysisk och miljörelaterad säkerhet

ServerGard-utrustningen är placerad i sär­skild säkerhetszon. Kamera som övervakar utrust­ningen är direktkopplad till Securitas larmcentral. Endast ett begränsat antal personer har till­träde till säkerhetszonen.

Där möjlighet finns är all ServerGard-hårdvara utrustad med dubblerade strömförsörjningsen­heter anslutna till separerade säkringar med avbrottsfri kraft.

Kundens data är skyddat genom RAID-teknik.

Till ServerGard-utrustningen finns automa­tiska larmfunktio­ner som larmar vid hårdvaru-, programvaru- samt drift­relaterade incidenter.

Styrning av kommunikation och drift

Operatörskonsol finns tillsammans med utrustningen i säker­hetszonen. Föränd­ringar i operativ­system och viss ServerGard-hantering kan endast ske via operatörs­konsol.

Personal går löpande igenom ServerGards loggar. Uppmärk­sammade säkerhets­problem rap­porteras till teknikchef, säker­hetsansvarig och till kund.

Styrning av åtkomst

Varje kund har, genom ServerGards interna säkerhets­system, endast tillgång till sin egen sä­kerhets­arkiverade data.

ServerGard ligger på eget nätverk avskilt av brandväggar från såväl interna som externa an­vändare.

Avbrottsplanering

Dokumenterade planer, ”Katastrofplan ServerGard”, finns för drift på alternativt driftställe.

Bilaga

Säkerhet hos SunGard

SunGards ledningssystem för informationssäkerhet (enl. svensk standard LIS – SS 62 7799) omfattar följande områden:

• Säkerhetspolicy
• Säkerhetsorganisation
• Klassificering och kontroll av tillgångar
• Personal och säkerhet
• Fysisk och miljörelaterad säkerhet
• Styrning av kommunikation och drift
• Styrning av åtkomst
• Systemutveckling och underhåll
• Avbrottsplanering
• Efterlevnad

Säkerhetspolicy

SunGard har en säkerhetspolicy (se separat utgåva).

Säkerhetsorganisation

SunGard har en organisation för att löpande hantera säkerheten.

Klassificering och kontroll av tillgångar

All utrustning och programvara är dokumenterad. Här ingår datorer, kommunikationsutrust­ning, försörjningsutrustning, ritningar och programvaror.

Särskilda plattformsansvariga finns utsedda med ansvar för dokumentation och säkerhet inom plattformen.

Personal och säkerhet

All personal på SunGard har genomgått säkerhetsutbildning och skrivit på sekretessförbin­delse.

Fysisk och miljörelaterad säkerhet

Utrustningen är placerad inom traditionella datahallar med automatisk släckutrustning. Brand-, vatten-, klimat- och tillträdes­larm finns som är anslutna till Securitas larmcentral. Brandlarmet går också till Räddningstjänsten.

Miljömässigt återanvänds spillvärme från utrustning till uppvärmning.

Ronderande väktare finns utanför ordinarie arbetstid. Lokalerna är zonindelade och försedda med kodlås. Endast behörig har tillträde till driftlokalerna. Externa behöriga måste anmäla sig i SunGards reception eller hos vaktcentral.

Utrustningen är försedd med UPS och reservkraft (dieselaggregat).

Styrning av kommunikation och drift

Uppmärksammade säkerhetsproblem rapporteras till teknikchef, säkerhetsansvarig och till kund enligt fastställd rutin.

Styrning av åtkomst

SunGard har separat brandvägg mot Internet. Policy är att utestänga alla funktioner som inte behövs. Revision görs löpande.

Systemutveckling och underhåll

Systemutveckling görs av leverantörer. Nya releaser och fixar/servicepacks testas normalt först på separat testsystem.

Avbrottsplanering

SunGard har en egen dokumenterad katastrofplan och en mobiliseringsplan för kundkatastro­fer.

Efterlevnad

Säkerhetsansvarig gör säkerhetsrevisioner så att fastställda regler följs. SunGards dotterbolag Security Services utför regelbundet penetra­tionstester av brandväggar och nätverk.