04 DOC-21-340992 - Bijlage: Service Level Agreement
Tekst van het document
Service Level Agreement (SLA) SSC DeSom
Documentnaam
:
SLA SSC DeSom
Versie 1.1 2.0 2.1
Datum verzonden 29 november 2014 17 Februari 2015 19 Februari 2015
2.2
5 Maart 2015
2.3
8 April 2015
2.4 2.5
Mei 2015 Juni 2016
2.5 2.6 2.6A 2.7
Juni 2016 November 2016 April 2017 Juli 2017
2.8
Augustus 2017
3.0
November 2017
3.1
Februari 2019
Status c.q. wijzigingen Definitieve versie 2014 Reviewversie 2015 aangemaakt Review 2015 feedback 19-3-2015 informatiemanagers deel- en afnemers Review 2015 feedback 5 en 18-3-2015 informatiemanagers deel- en afnemers Review 2015 feedback informatie/contractmanagers deel- en afnemers Definitieve versie ter vaststelling Kleine aanpassing aan paragraaf 4.2.4.2 Bewerkersovereenkomst ihkv wet meldplicht datalekken Juridische check v2.5 Review 2016 Piketdienst toegevoegd Kleine aanpassingen n.a.v. review 2016 (opm. Koggenland) Versie 2.6 (uit december 2016) en 2.7 gecombineerd, zodat alle in 2016 door Contract managers afgestemde wijzigingen zijn verwerkt Versie 3.0 afgestemd met de contractmanagers Versie 3.1 Wijziging paragraaf 4.2.4.2 Verwerkersovereenkomst ihkv de AVG 1
Opsteller Paul Gijben Alexandra van Dorland Alexandra van Dorland Alexandra van Dorland Alexandra van Dorland Martijn Schaper Alexandra van Dorland
Martijn Schaper Contractmanagement Eelco Swart Eelco Swart Linda Ursem
Eelco Swart Alexandra van Dorland
Inhoud 1.
Algemeen ....................................................................................................................... 3
2.
Scope van de dienstverlening......................................................................................... 4
3.
Servicevensters .............................................................................................................. 5
4.
3.1
Openstellingstijden .............................................................................................. 5
3.2
Servicetijden ........................................................................................................ 5
Specificatie van de dienstverlening................................................................................. 8 4.1
Systeembeschikbaarheid ..................................................................................... 8
4.2
ICT-Serviceprocessen ......................................................................................... 9
4.2.1
Incidentmanagement ........................................................................................ 9
4.2.1.1
Service levels Incidentmanagement ............................................................10
4.2.2
Problemmanagement ......................................................................................11
4.2.3
Changemanagement .......................................................................................12
4.2.3.1
Standaard wijzigingen..................................................................................12
4.2.3.2
Niet-Standaard wijzigingen ..........................................................................12
4.2.3.3
Service levels Changemanagement ............................................................13
4.2.4
Securitymanagement ......................................................................................14
4.2.4.1
Audits ..........................................................................................................14
4.2.4.2
Verwerkersovereenkomst ............................................................................15
4.2.5
Continuïteitsmanagement................................................................................16
4.2.5.1
Backup en Restore ......................................................................................16
4.2.5.2
Uitwijk ..........................................................................................................16
4.2.6
Projecten .........................................................................................................18
4.2.7
ICT ondersteuning bij Verkiezingen .................................................................18
4.2.8
Inkoop ondersteuning ......................................................................................18
4.2.9
Contractbeheer van SSC DeSom contracten ..................................................18
4.2.10
Configuratie management database beheer (CMDB) ......................................18
4.2.11
Certificaatbeheer .............................................................................................18
5.
Serverruimten................................................................................................................19
6.
Crisisbeheersing............................................................................................................20
7.
Communicatiestructuur..................................................................................................21
8.
7.1.1
Communicatie overzicht ..................................................................................21
7.1.2
Escalatie overzicht**........................................................................................21
Rapportage- en overlegstructuur ...................................................................................22 8.1.1
Overlegstructuur..............................................................................................22
8.1.2
Rapportagestructuur........................................................................................22
2
1.
Algemeen
Dit document beschrijft het Service Level Agreement (hierna SLA te noemen) tussen de aangesloten organisaties(opdrachtgevers) en de Gemeenschappelijke Regeling Shared Service Center DeSom (hierna te noemen SSC DeSom / de opdrachtnemer).In dit document staan de gezamenlijk vastgestelde kwaliteitscriteria en kwaliteitsnormen.Er is dus één gezamenlijk SLA. In deze SLA zijn de kwalitatieve en kwantitatieve aspecten van de dienstverlening vastgelegd. Dit document schept voorwaarden en garanties, zodanig dat de ICT-omgeving van opdrachtnemer voldoet aan het door de opdrachtgever vastgelegde niveau van dienstverlening ten aanzien van de geboden producten en diensten (PDC). Op basis van de hier afgesproken servicelevels vindt monitoring en rapportage plaats van het geleverde dienstenniveau in relatie met het afgesproken niveau. Doel van het SLA is bindende afspraken te maken over het gewenste kwaliteitsniveau (de kwaliteitsparameters) van de dienstverlening van SSC DeSom. De kwaliteitsparameters afgezet tegen de afspraken worden per deelnemer in een rapportage opgenomen en aan de deelnemer verstrekt. Zowel de aangesloten organisaties als het SSC DeSom kan een wijziging voor deze SLA indienen. Het SSC DeSom evalueert jaarlijks met de aangesloten organisaties de SLA in samenwerking met de Contractmanagers van de aangesloten organisaties, waarna eventueel op onderdelen herziening volgt.
Overeengekomen wijzigingen worden door middel van een nieuwe versie vastgelegd. Wijzigingen in één van de bijlagen resulteren niet in een nieuwe versie van de SLA. Gerelateerde documenten 1. Het Dienstverleningshandvest (DVH) GR SSC DeSom; 2. Bijlage 1a Begripsbepalingen SSC DeSom; 3. De Producten en Diensten Catalogus (PDC) GR SSC DeSom; 4. Het Dossier van Afspraken en Procedures (DAP) GR SSC DeSom; 5. Het Beveiligingshandboek DeSom; 6. Regeling mobiele devices DeSom 2014; 7. Het Eindrapport Shared Service Center ICT DeSom: “Het Geheel Is Meer Dan De Som Der Delen”, de Business Case waarop de besluitvorming voor oprichting van SSC DeSom is gebaseerd; 8. Rollen en verantwoordelijkheden DeSom_02, vastgesteld door SG, PT 21-8-13, uitwerking van de rollen en verantwoordelijkheden tussen de gemeenten, het samenwerkingsverband en SSC DeSom. 9. Verwerkersovereenkomst i.h.k.v. de AVG. De documenten DVH, SLA, PDC en DAP en bijbehorende bijlagen maken integraal deel uit van de dienstverleningsovereenkomst. De overige documenten zijn kaderstellend en/of complementair.
Begripsbepalingen Voor toelichting op de in het dienstverleningshandvest en gerelateerde documenten gebruikte begrippen en afkortingen zie bijlage 1a Begripsbepalingen.
3
2.
Scope van de dienstverlening
De dienstverlening van SSC DeSom omvat: Levering van producten en diensten uit de PDC; ICT ondersteuning op 1e en 2e lijns niveau over de afgenomen producten en diensten uit de PDC; Beheer en onderhoud van de ICT Infrastructuur van SSC DeSom Technisch applicatiebeheer van de applicaties mits geïnstalleerd op de SSC DeSom omgeving; ICT advies (op verzoek van aangesloten organisaties, maar ook proactief); Technische ondersteuning bij ICT Projecten; Beveiligingsbeheer; ICT ondersteuning bij Audits; Uitwijk op de Infrastructuur; ICT ondersteuning bij Crisisbeheersing; ICT ondersteuning bij Verkiezingen; ICT Inkoop ondersteuning; Contractbeheer van SSC DeSom contracten; Configuratie management database beheer (CMDB); Certificaatbeheer. Voor bovengenoemde dienstverlening gelden uiteraard servicevensters en hanteren we zogenaamde ICT serviceprocessen, deze worden nader beschreven in de volgende hoofdstukken. SSC DeSom maakt voor de registratie, afhandeling en rapportage van de dienstverlening gebruik van Topdesk. Dit is een beheersysteem waarin de ICT serviceprocessen van SSC DeSom specifiek zijn ingericht. Voor de eindgebruikers is een Topdesk selfservice portaal beschikbaar, waarin zij zelfstandig 7x24 hun ICT-gerelateerde meldingen kunnen doen en de voortgang daarvan kunnen inzien.
4
3.
Servicevensters
Voor de dienstverlening zijn servicevensters vastgesteld. Het betreft servicevensters voor: Openstellingstijden; Servicetijden; 3.1
Openstellingstijden
Hierbij wordt onderscheid gemaakt tussen beschikbaarheid van systemen en beschikbaarheid van ICT personeel. De openstelling van systemen is 7x24 uur, met uitzondering van het noodzakelijk onderhoud. Het dagelijks onderhoud vindt plaats tijdens het regulier onderhoudsvenster. Tijdens het onderhoudsvenster kunnen systemen herstart worden en hierdoor kortdurend niet gebruikt worden. Specifiek onderhoud wordt ingepland in overleg met de Contract- of Informatiemanager van de betrokken organisaties. De openstellingstijden van SSC DeSom zijn de tijden waarop de 1e en 2e lijns support voor de deelnemers wordt uitgevoerd.Tijdens deze openstellingstijden is er een continue bezetting van de ICT Servicedesk en vindt er afhandeling en voortgangbewaking van de Topdesk meldingen plaats conform de in het volgende hoofdstuk beschreven ICT serviceprocessen. SSC DeSom is gesloten op zon- en feestdagen en hanteert dezelfde verplichte vrije dagen (brugdagen) als gemeente Medemblik. De openstellingstijden en de afwijkingen hierop worden gecommuniceerd in de Topdesk Self Service Portal naar alle gebruikers. 3.2
Servicetijden
Onder servicetijden wordt verstaan de tijden waarin het operationeel functioneren van het systeem, de databases en de programmatuur wordt bewaakt door medewerkers van SSC DeSom (attended operations). Buiten de servicetijden draait het systeem unattended en is er ondersteuning op basis van best-effort. De systemen worden wel 7x24 door monitoringsystemen bewaakt. Problemen welke bij monitoring worden ontdekt worden zo snel mogelijk, beoordeeld op basis van de effecten op de dienstverlening, geanalyseerd en verholpen. Gedurende de servicetijden is de ICT-Servicedesk van SSC DeSom, de ingang voor het melden van storingen en alle overige ICT-gerelateerde meldingen. Deze meldingen kunnen via Topdesk (voorkeur voor niet dringende meldingen) en per telefoon (0229-856666) worden ingediend. Indien noodzakelijk wordt een afspraak via de servicedesk gepland voor het rechtstreekse contact met een medewerker van SSC DeSom en/of support op locatie. Meldingen in verband met personeels- en/of functiewijzigingen (denk aan in- en uitdienst, functie- of naamswijzigingen en aanvraag mobiele devices) kunnen alleen door de, in de DAP aangegeven afdeling/dienst/medewerkers, gemeld worden. Dit geldt uiteraard ook voor tijdelijk personeel. Voor deze P&O gerelateerde wijzigingen zijn in Topdesk aparte workflows ingeregeld.
5
Alle contacten en support worden als servicecall (melding) geregistreerd. De servicecalls worden afhankelijk van het soort melding geclassificeerd als storing, wijzigingsverzoek, serviceverzoek of informatieverzoek. Deze classificatie bepaalt volgens welk ICTbeheerproces de melding wordt afgehandeld. Buiten de servicetijden kunnen ICT meldingen worden gedaan via de Selfservicedesk van Topdesk (gebruikers vinden deze applicatie op hun bureaublad). De afhandeling van deze service calls begint bij aanvang van het geldende servicevenster.De servicevensters zijn in onderstaande figuur 1 ‘Servicevenster-schema’ nader gedefinieerd.
Servicetijden 1 (ma t/m vr) Piketdiensten 4 (ma-wo-do) 5
Onderhoudsvenster *
Legenda:
Reguliere openingstijden SSC DeSom / voldoende bezetting ICT Servicedesk Piketdiensten Onderhoudsvenster: beperkte systeem beschikbaarheid (performance) Standaard systeembeschikbaarheid buiten servicetijden
Indien de opdrachtgever en/of SSC DeSom incidenteel wil afwijken van de servicevensters zal dit in onderling overleg plaatsvinden door de informatiemanager van de opdrachtgever richting contactpersoon binnen SSC DeSom (zie DAP). Piketdiensten De dienstverlening van de gemeenten aan haar burgers betreft vele producten. Voor een aantal producten is het noodzakelijk dat de aanvrager een afspraak maakt bij de gemeente. Om de dienstverlening zo goed mogelijk te vervullen kennen de gemeenten ook een avondopenstelling, één of twee maal per week zijn de balies (op afspraak) geopend in de avonduren. Om de werkzaamheden tijdens de avonduren te ondersteunen maken de gemeenten gebruik van diverse applicaties en hardware. De piketregeling betreft de technische ondersteuning van de applicaties en randapparatuur (remote) tijdens de avondopenstelling op maandag- ,woensdag- en donderdagavond bij de balies van de gemeenten. De piketdienst is bereikbaar tijdens deze werkdagen tussen 17:00 – 20:00 uur.
6
05.00 - 06.00
04.00 - 05.00
03.00 - 04.00
02.00 - 03.00
01.00 - 02.00
24.00 - 01.00
23.00 - 24.00
22.00 - 23.00
21.00 - 22.00
20.00 - 21.00
19.00 - 20.00
18.00 - 19.00
17.00 - 18.00
16.00 - 17.00
15.00 - 16.00
14.00 - 15.00
13.00 - 14.00
12.00 - 13.00
11.00 - 12.00
10.00 - 11.00
09.00 - 10.00
08.00 - 09.00
07:30 – 08:00
06.00 - 07.30
Fig. 1 Servicevenster-schema
Fysieke toegang t.b.v. beheer Medewerkers van SSC DeSom moeten op bepaalde momenten bij apparatuur op de werkplek of MER/SER van de opdrachtgever werkzaamheden kunnen verrichten, hetzij voor specifiek- of regulier onderhoud, hetzij voor storingen, probleemanalyse en/of wijzigingen. Dergelijke werkzaamheden worden zoveel mogelijk ingepland door SSC DeSom tijdens kantooruren. In overleg met de aangesloten organisatie(s) moeten deze werkzaamheden ook buiten de normale openingstijden van de locatie(s) verricht kunnen worden. Hiervoor wordt contact opgenomen met de contractmanager(s) van de aangesloten organisatie(s).
7
4.
Specificatie van de dienstverlening
4.1
Systeembeschikbaarheid
Systeembeschikbaarheid heeft betrekking op de operationele beschikbaarheid van de infrastructuur van SSC DeSom gedurende de servicetijden (Fig. 1 Servicevenster-schema). De beschikbaarheid wordt weergegeven als het percentage van de servicetijden (Fig. 1 Servicevenster-schema) per deelnemer waarin ongestoord van de functionaliteit gebruik kan worden gemaakt, gemeten over een periode van 1 kalendermaand. Service level beschikbaarheid Beschikbaarheid
Minimaal 99,5%* over servicevenster 1
*Aangegeven % is het minimale beschikbaarheidspercentage op onderdelen van de ICT Infrastructuur. Uitval van één onderdeel betekent doorgaans alleen uitval van één dienst of één functionaliteit, dus geen uitval van de complete Infrastructuur omdat er sprake is van redundantie.
De functionaliteit wordt als niet beschikbaar beschouwd wanneer er sprake is van een verstoring met prioriteit 1. Wanneer deze verstoring is opgelost, is de functionaliteit weer beschikbaar. Een prioriteit 1 verstoring heeft altijd een grote impact op de dienstverlening aan de burgers. De functionaliteit is dan volledig onbeschikbaar en er is geen ‘workarround’ (tijdelijke maatregel die de functionaliteit grotendeels beschikbaar kan maken) mogelijk. Bij een prioriteit 1 verstoring wordt altijd direct de Contractmanager of Informatiemanager van de desbetreffende organisatie op de hoogte gesteld. Zodra de functionaliteit weer geheel of gedeeltelijk beschikbaar is, wordt in overleg met de Contractmanager of Informatiemanager óf de prioriteit verlaagd, óf de melding over de verstoring afgesloten (de functionaliteit is immers weer beschikbaar). Na een prioriteit 1 verstoring vindt altijd een evaluatie plaats (op afspraak) met de Contractmanager of Informatiemanager van de desbetreffende organisatie Een prioriteit 2 verstoring betreft een matige impact. Het merendeel van de medewerkers van een deelnemer en/of gebruikers van een bepaalde dienst of functionaliteit kunnen hun werkzaamheden (of belangrijke delen daarvan) niet uitvoeren en er zijn geen workarrounds beschikbaar. Een prioriteit 3 verstoring betreft een lage impact.
Een aantal medewerkers van een deelnemer en/of gebruikers van een bepaalde dienst of functionaliteit kunnen hun werkzaamheden (of belangrijke delen daarvan) niet uitvoeren en er zijn geen workarrounds beschikbaar. De prioriteiten 4 en 5 betreffen een lage impact, waarbij ondanks de verstoring gewoon doorgewerkt kan worden omdat bij de meeste werkzaamheden geen problemen worden ervaren - of een workarround beschikbaar is/kan worden gesteld.
8
4.2
ICT-Serviceprocessen
In het kader van het operationeel beheer en de borging van de dienstverlening hanteert SSC DeSom de volgende ICT-serviceprocessen: Incidentmanagement; Problemmanagement; Changemanagement; Securitymanagement; Continuïteitsmanagement 4.2.1
Incidentmanagement
Onder ‘Incidentmanagement’ wordt verstaan: het beheren en beheersen van verstoringen in de dienstverlening waardoor de te verwachten service in zijn geheel of gedeeltelijk is verdwenen of dreigt te verminderen.Het Incidentmanagementproces is met name gericht op storingen, maar wordt conform best practices ook gebruikt voor andere ICT-gerelateerde meldingen zoals service-, informatie- en wijzigingsverzoeken. Voor deze type meldingen gelden echter doorgaans andere servicelevels.Wijzigingsverzoeken worden na acceptatie afgehandeld binnen het Changemanagement proces. Ten behoeve van ICT-gerelateerde meldingen over de betreffende infrastructuur, zoals beschreven onder hoofdstuk 3, is de ICT-Servicedesk SSC DeSom beschikbaar. De Servicedesk verzorgt de aanname, registratie, classificatie, prioriteitstelling en voortgangsbewaking van de calls. Meldingen die niet direct verholpen kunnen worden door de 1e lijn, worden door de Servicedesk gerouteerd naar de 2e lijns ondersteuning. Zonodig zendt de 2e lijns ondersteuning de melding door naar specifieke 2e lijns specialisten met kennis op het gebied van systeem-, technisch applicatie- en/of databasebeheer en die daarnaast een beroep kunnen doen op de desbetreffende 3e lijns ondersteuning (d.w.z. externe beheerpartijen en/of hardware- /softwareleveranciers).
9
4.2.1.1 Service levels Incidentmanagement Prioriteiten SSC DeSom hanteert de volgende standaard prioriteitstabellen per server of service bij het bepalen van de prioriteit van een storing. Service levels IncidentmanagementUrgentie Impact [percentage gebruikers/ Workaround aanwezig deelnemer] Laag Prioriteit 5
Service beperkt beschikbaar Prioriteit 4
Service niet beschikbaar Prioriteit 3
Middel
Prioriteit 4
Prioriteit 3
Prioriteit 2
Hoog
Prioriteit 3
Prioriteit 2
Prioriteit 1
IMPACT
één persoon kan niet werken Kleine bedragen
Een aantal gebruikers kunnen niet werken (2 t/m 10)
Geen imago aspecten
Redelijke bedragen
Grote imagoschade
Gebruikersvraag\verzoek
Beperkte imagoschade
Storing
Alternatief aanwezig
Geen invloed op de productie
Categorieen: Overige Software, Office, Besturingssystemen
Verminderde functionaliteit
Redelijk alternatief
Productie is enigszins verstoord
midden
hoog
laag
Nauwelijks invloed op de functionaliteit
laag
10 dagen
5 dagen
3 dagen
midden
Storing
5 dagen
3 dagen
1 dag
hoog
URGENTIE
Meer dan 10 gebruikers kunnen niet werken Hoge bedragen
1 dag
1 dag
4 uur
Categorieen:Netwerkdiensten, Hardware
Geen functionaliteit
Geen alternatief
Productie is verstoord
Categorieen:Kernapplicatie,Telefonie, Beveiliging, operationeel beh.
10
De prioriteit wordt bij het aanmelden gezamenlijk bepaald aan de hand van de informatie die de aanmelder levert. De prioriteit wordt dus bepaald aan de hand van de impact van de storing (d.w.z. het aantal gebruikers en/of de dienst die hinder ondervindt van de storing) en de urgentie (d.w.z. kan men doorwerken en is er eventueel een tijdelijke oplossing beschikbaar of ligt de gehele dienst plat). SSC DeSom adviseert om prioriteit 1 storingen altijd telefonisch aan te melden en overige prioriteiten zoveel mogelijk via Topdesk. Indien noodzakelijk wordt via de Servicedesk een afspraak gemaakt voor rechtstreeks contact met een SSC DeSom medewerker of op locatie. Van alle aangemelde meldingen wordt een automatisch gegenereerde mail verzonden naar de aanmelder, c.q. is de status te zien in hetTopdesk Selfservicedesk portaal. In de onderstaande tabel ‘Reactietijden’ zijn voor de verschillende prioriteiten de servicetijd en de bijbehorende reactietijd opgenomen. Hieronder wordt verstaan de tijd die SSC DeSom nodig heeft om de melding daadwerkelijk in behandeling te kunnen nemen (dus voor de complete intake, registratie en classificatie) en de melding te koppelen aan een behandelaar.
Reactietijden binnen servicetijden Prioriteit 1* Prioriteit 2 Prioriteit 3 Prioriteit 4 Periode Servicevenster 1 Servicevenster 1 Servicevenster 1 Servicevenster 1 Reactietijd < 0,25 werkuur < 0,5 werkuur < 0,5 werkuur < 1 werkuur * Prioriteit 1 aanmeldingen buiten de standaard servicetijden verlopen via de piketdienst met een afwijkende reactietijd.
Prioriteit 5 Servicevenster 1 < 2 werkuren
Alle genoemde tijden zijn op basis van aaneengesloten werkuren gedurende het servicevenster dat de diensten beschikbaar zijn (Fig. 1 Servicevenster-schema). Hierbij komen 8 werkuren overeen met een werkdag. Voor informatie- en serviceverzoeken worden de volgende service levels gehanteerd: Service levels Informatie- serviceverzoeken Type Informatie- serviceverzoeken
Reactietijd* < 2 uur
*dit is de tijd die het duurt tot de melding aan een behandelaar is gekoppeld, de status wijzigt dan van “geregistreerd” naar “in behandeling”.
De service levels voor wijzigingen staan beschreven in paragraaf 4.2.3.3 4.2.2
Problemmanagement
Een problem is een onbekende oorzaak van één of meer incidenten. Onder ‘problemmanagement’ wordt verstaan: het beheren en beheersen van herhaaldelijke verstoring in de dienstverlening van eerder gemelde incidenten van dezelfde aard, waarbij de oplossing onvoldoende of nog niet is geïmplementeerd binnen de tot dan toe beschikbare mogelijkheden. Problemmanagement wordt door SSC DeSom toegepast indien de Servicedesk veel dezelfde soort meldingen constateert. Deze meldingen worden dan gebundeld en er wordt door de problemmanager een probleemonderzoek gestart om deze storingen nader te analyseren met als doel de oorzaak te achterhalen en een structurele oplossing te vinden. Indien er een oplossing gevonden is, dient deze als wijziging doorgevoerd te worden, zie paragraaf 4.2.3. Rapportages welke inzage verlenen in de gemelde problemen worden nog ontwikkeld, nadat de wijze van invoer binnen Topdesk helder is.
11
4.2.3
Changemanagement
Onder ‘changemanagement’ wordt verstaan: Het beheren en beheersen van wijzigingen zodat verstoringen en afwijkingen van het dienstenniveau als gevolg van deze wijzigingen zo min mogelijk voorkomen. Hiertoe wordt erop toegezien dat beproefde methoden en technieken gebruikt worden voor de voorbereiding, bouw, test en implementatie van nieuwe of gewijzigde Configuratie Items (CI's). We onderscheiden standaard en niet-standaard wijzigingen. 4.2.3.1 Standaard wijzigingen Onder standaard wijzigingen worden verstaan alle veranderingen in ICT infrastructuur die eerder gedaan zijn, waarvan bekend is wat de gevolgen zijn, die geen extra investering* vergen of aanzienlijke inzet van (ICT-)medewerkers en waar geen grote risico’s aan vast zitten. Te denken valt aan: Levering mobiele devices; Wachtwoord wijzigingen; Enkelvoudige rechtenaanpassingen (aanmaken, wijzigen, verwijderen);. Levering mobiele devices Levering van mobiele devices hangt vaak samen met personeelswijzigingen denk aan indienst-, uitdienst of functiewijziging. Daarom is in samenwerking met de DeSom personeelszaken afdelingen ook het beleid t.a.v mobiele devices geharmoniseerd. Dit DeSom brede beleid is in 2014 vastgesteld en vastgelegd in “Regeling mobiele devices DeSom 2014”.
Uitgangspunt is dat er alleen devices besteld kunnen worden uit de PDC en dat de gebruiker een bruikleenovereenkomst tekent die bij de opdrachtgevende organisatie wordt bewaard. Wachtwoord wijzigingen Het aanpassen van wachtwoorden kan worden ingediend bij de Servicedesk via Topdesk. Het (de-)blokkeren van een gebruiker of wachtwoord kan enkel door afdelingshoofden worden ingediend en verloopt via P&O. Enkelvoudige rechtenaanpassingen In het kader van de dienstverlening biedt SSC DeSom de mogelijkheid om gebruikers met bijbehorende rechten en wachtwoorden in de rechtendatabase (AD) toe te voegen en of te muteren. Mutaties kunnen ook betrekking hebben op de toegang tot (delen van) het netwerk en de daarop staande mappen. Middels een aanvraag via Topdesk kan deze direct worden afgehandeld. - Rechten worden echter doorgaans niet individueel, maar via gebruikersgroepen gedistribueerd. * Met uitzondering van de in de PDC opgenomen prijs van een dienst/product.
4.2.3.2 Niet-Standaard wijzigingen Wijzigingsverzoeken zoals nieuwe applicaties, nieuwe modules, nieuwe hardware, aanpassingen in de hardware en restore-verzoeken vallen niet onder een standaard wijziging. Upgrades, updates en patches worden ten allen tijde behandeld als een nietstandaard wijziging. Afhankelijk van de indiener, de impact en de afspraken in het DAP met de desbetreffende aangesloten organisatie beoordeelt SSC DeSom het wijzigingsverzoek. Indien nodig neemt SSC DeSom contact op met de contractmanager(s) van de opdrachtgever(s). Gezamenlijk 12
beoordelen zij de aanvraag op wenselijkheid en toetsen zij deze aan de Architectuur. Indien de aanvraag wordt gehonoreerd neemt SSC DeSom de aanvraag in behandeling en maakt een planning voor de uitvoering. Upgrades, updates en patches Onder upgrades wordt verstaan een grote aanpassing binnen bestaande software, waarbij het eerste nummer van het versienummer wordt verhoogd. Er is echter geen sprake van uitbreiding door middel van modules, aanpassingen in hardware of aanpassingen op besturings- en/of middlewareniveau. Er is veelal wel sprake van functionaliteit utbreiding. Onder updates wordt verstaan een middelgrote aanpassing binnen bestaande software, waarbij het tweede deel van het versienummer wordt verhoogd. Er is echter geen sprake van uitbreiding door middel van extra modules, aanpassingen in hardware of aanpassingen op besturings- en/of middlewareniveau. Er is veelal sprake van aanpassingen op gebied van functionaliteit. Onder patches wordt verstaan een kleine aanpassing binnen bestaande software, waarbij het laatste deel van het versienummer wordt verhoogd. Er is echter geen sprake van uitbreiding door middel van modules, aanpassingen in hardware of aanpassingen op besturings- en/of middlewareniveau. Er is veelal sprake van kleine aanpassingen op het gebied van probleemherstel. In sommige gevallen betreft het een noodoplossing (vb.
beveiliging) welke aangeraden wordt deze met spoed te installeren (een zgn. noodpatch). Indien er voor de upgrade, update of patch geen aanpassingen benodigd zijn in de technische infrastructuur, aanpassingen op besturings- en/of middlewareniveau en/of aanpassingen op database niveau, dan valt deze binnen de standaard dienstverlening. Indien het nieuwe software en/of een nieuwe module betreft, valt deze buiten de standaard dienstverlening. 4.2.3.3 Service levels Changemanagement Voor de standaardwijzigingen gelden de volgende prioriteiten en bijbehorende doorlooptijden: Doorlooptijden Prioriteit Omschrijving In dienst melding Functiewijziging Uit dienst melding Autorisatieverzoek Autorisatieverzoek Bestelling 5 Wijzigingsverzoek
Soort Aanmaken nieuw account en toekennen autorisaties Wijzigen bestaand account en autorisaties Verwijderen bestaand account en autorisaties Autorisatie Wijziging wachtwoord Levering mobiel device Overige standaardwijzigingen
Doorlooptijd < 1 week* < 1 week* < 1 week* < 1 werkuur < 0,25 werkuur < 1 week** < 16 werkuren (2 werkdagen)
* Doorlooptijden zijn mede afhankelijk van acties van Functioneel Applicatiebeheer en Derden (bijv. Centric). Doorlooptijden acties SSC DeSom zijn < 3 werkdagen. ** Mits SSC DeSom voor de desbetreffende aangesloten organisaties een voorraad beheerd, zie DAP. Anders is doorlooptijd afhankelijk van levertijd leverancier.
Voor de niet-standaardwijzigingen gelden de volgende prioriteiten en bijbehorende reactietijden: Doorlooptijden Prioriteit Omschrijving 5 Wijzigingsverzoek
Soort Overige niet-standaardwijzigingen
1
Zeer urgente wijzigingen
Noodwijzigingsverzoek
13
Reactietijd Conform planning i.o.m. deelnemers < 2 werkuren
4.2.4
Securitymanagement
Het beleid voor informatiebeveiliging ligt bij de opdrachtgevers. De uitvoering van dit beveiligingsbeleid ligt voor wat betreft ICT maatregelen bij SSC DeSom. De dienstverlening van SSC DeSom richt zich op het uitvoeren van de beleidsrichtlijnen van de deelnemers. Indien er sprake is van conflicterend beleid of ontbrekend beleid bij de deelnemers, dan wordt dit voorgelegd aan het Platform Informatie Management. SSC DeSom is aangesloten bij de IBD (Informatie Beveiligings Dienst) en de coördinerende rol voor het inschatten en verwerken van de meldingen vanuit het IBD ligt bij de security officer van SSC DeSom. Het beveiligingsbeleid en de genomen beveiligingsmaatregelen zijn vastgelegd in het Beveiligingshandboek van SSC DeSom, zie gerelateerd document 5. 4.2.4.1 Audits In het kader van diverse periodieke wettelijke audits verleent SSC DeSom ondersteuning bij deze audits van de aangesloten organisaties. De audits worden uitgevoerd voor september van ieder jaar. Aanvragen daarvoor worden 1 maand van te voren ingediend. De kosten hiervoor worden in principe niet afzonderlijk doorbelast en vallen onder de reguliere dienstverlening. Het audit proces wordt in samenwerking met de Informatiemanagers DeSom breed geharmoniseerd, zodat dit bij elke audit eenduidig en efficient kan plaatsvinden.
Hierbij ligt de nadruk op: Standaardisering Ontzorging Lasten verlichting Tijdens de migraties van de aangesloten organisaties zijn audits in inrichting meegenomen. Hierbij is aandacht voor: Beschrijving procedures Documentatie Wettelijke kaders Harmonisatie De concrete uitwerking hiervan vindt plaats in het Beveiligingshandboek van SSC DeSom, zie gerelateerd document 5.
14
4.2.4.2 Verwerkersovereenkomst In kader van de Wet bescherming persoonsgegevens wordt SSC DeSom aangemerkt als verwerker, daarvoor dient SSC DeSom aan wettelijke eisen te voldoen. Op 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden en dient SSC DeSom een aparte verwerkersovereenkomst te sluiten met alle DeSom organisaties waarin de verwerkersverantwoordelijkheid is geregeld. Deze overeenkomst is opgesteld en zal in het eerste kwartaal van 2019 aan alle colleges, Directie WerkSaam en Directie DeSom ter vaststelling worden aangeboden. De benodigde afspraken in het kader van de AVG tussen de DeSom organisaties (gemeenten en WerkSaam Westfriesland) en SSC DeSom als verwerker van gegevens zijn vastgelegd in deze aparte overeenkomst. Een kopie van deze verwerkersovereenkomst zal bij de eerstvolgende review als gerelateerd document aan de dienstverleningshandvest set worden toegevoegd, zie gerelateerd document 9. De in het kader van de AVG benodigde maatregelen zijn uitgewerkt en opgenomen in het beveiligingsbeleid. Het beveiligingsbeleid en de genomen beveiligingsmaatregelen zijn vastgelegd in het Beveiligingshandboek van SSC DeSom, zie gerelateerd document 5.
15
4.2.5
Continuïteitsmanagement
Continuïteitsmanagement heeft als doel om zoveel mogelijk de aangesloten organisaties te kunnen laten doorwerken, door middel van het operationeel houden van systemen, ten tijde van externe verstoringen (vb. stroom-uitval). SSC DeSom maakt gebruik van een twin datacenter architectuur en heeft vrijwel alle Infrastructuur, verbindingen en diensten dubbel uitgevoerd, met als doel dat de Infrastructuur en/of dienst ook in geval van een calamiteit kan blijven functioneren. De maatregelen die in het kader van continuïteitsmanagement zijn getroffen zijn nader uitgewerkt in het ICT Continuïteitsplan SSC DeSom. 4.2.5.1 Backup en Restore SSC DeSom heeft een uitgebreide Backup en Restore procedure ontwikkeld, deze is te vinden in het Beveiligingshandboek van SSC DeSom, zie gerelateerd document 5. 4.2.5.2 Uitwijk Onder uitwijk(en) verstaan we de wettelijke noodzakelijke verplaatsing van medewerkers en middelen om de (GBA en BAG) dienstverlening te kunnen hervatten zoals wettelijk is bepaald na een verstoring van diezelfde dienstverlening na maximaal 48 uur. De uitwijkprocedure ten behoeve van de DeSom Infrastructuur en de in het kader van uitwijk getroffen maatregelen zijn te vinden in het ICT Continuiteitsplan van SSC DeSom, zie gerelateerd document 5.
Doelstelling: voldoen aan de Audit eisen op gebied van ICT Dat betekent één regionaal antwoord van SSC DeSom op het ICT deel van de Audit vragen, met bijbehorende procedures en toetsing zoals uitwijk- en restoretest inclusief rapportages daar over. Resultaten *) - Eén jaarlijkse uitwijktest die voldoet aan alle audit eisen (BAG, BRP, BGT etc) o Artikelen 53 en 53 van het Besluit gemeentelijke basisadministratie persoonsgegevens; o Artikel 14 en Regeling : artikel 3 van de wet BAG. - In het begin van elk jaar een planning van deze uitwijktest (op te leveren door de deelnemers), zodat technisch- en functioneel beheerders tijdig deze datum kunnen reserveren voor hun deel van de werkzaamheden - Binnen 2 weken na de test een compleet verslag van de uitwijktest, inclusief de resultaten van alle te nemen stappen uit de uitwijkprocedure/uitwijkdraaiboek. Het verslag van de uitwijktest wordt ter beschikking gesteld aan de uitwijkcoördinatoren van de deelnemers - Een jaarlijks bijgewerkt Handboek Beveiliging Desom met daarin opgenomen de diverse benodigde procedures. Dit zijn in elk geval: o Uitwijkprocedure o Procedure voor backup /restore algemeen o Procedure van backup /restore RAAS o Procedure voor toegangsverlening tot de ICT systemen (aanmelding gebruikers) o Procedure voor afvoeren computers o Procedure voor vernietiging van verwijderbare gegevensdragers (zoals tapes) 16
-
o Procedure logging van informatiesystemen o Procedure melding, vastlegging en rapportage beveiligingsincidenten Jaarlijkse risico inventarisatie waarin stapsgewijs de risico’s, de kans er op, de gevolgen en de reeds genomen maatregelen beoordeeld worden.
*) De resultaten zullen worden opgenomen in de PDC (versie 2.6, review 2017), paragraaf Uitwijk. Planning Deze resultaten moeten jaarlijks in het eerste kwartaal aan de deelnemers worden opgeleverd danwel gepland.
17
4.2.6
Projecten
“Niet-standaard dienstverlening” betreft ICT projecten en/of wijzigingen van een organisatie die buiten de reguliere overeengekomen dienstverlening vallen. Van elk niet-standaard dienstverleningsverzoek is van belang dat er vooraf de klantvraag helder is en deze gekwantificeerd wordt in een kostenraming. Hiervoor regelt SSC DeSom een Intake door een ICT Adviseur. Voor niet-standaard dienstverlening ontvangt de opdrachtgever altijd vooraf een offerte van de verwachte werkzaamheden en kosten. Realisatie van het verzoek kan alleen plaatsvinden op basis van een getekende opdracht. Eventueel noodzakelijke bijstellingen van de raming geschiedt alleen onder schriftelijke goedkeuring van de opdrachtgever. Hiervoor ontvangt de opdrachtgever een nieuwe offerte, waarna het proces zich herhaalt. De kosten van de geleverde “niet-standaard dienstverlening” wordt periodiek (kwartaal) doorbelast aan de organisaties. Prioriteiten van de goedgeleurde priojecten op de projectenkalender worden gezamenlijk (alle deelnemers) bepaald. 4.2.7
ICT ondersteuning bij Verkiezingen
SSC DeSom biedt ICT ondersteuning bij Verkiezingen bij de deelnemers. Deze ondersteuning beperkt zich tot de opbouw van het landelijk voorgeschreven netwerk en verkiezingswerkplekken, de installatie van de verkiezingssoftware en het organiseren van een standby dienst op de verkiezingsdag en avond. 4.2.8
Inkoop ondersteuning
SSC DeSom biedt de aangesloten organisaties inkoop ondersteuning bij alle ICTgerelateerde inkoop. SSC DeSom huurt hiervoor een aantal externe ICT Inkoopadviseurs in (zie PDC). SSC DeSom heeft een DeSom inkoopbeleid en inkoopvoorwaarden ontwikkeld. DeSom breed zijn er in 2013 afspraken gemaakt dat alle ICT inkopen in overleg met SSC DeSom plaatsvinden. Zie bijlage 2.2 Afspraken ten aanzien van personeel en investeringen DESOM vastgesteld SG 15-5-13. 4.2.9
Contractbeheer van SSC DeSom contracten
SSC DeSom beheert namens de deelnemers van de GR SSC DeSom alle contracten die betrekking hebben op de ICT-dienstverlening en producten van SSC DeSom. Dit geldt ook voor de licenties benodigd voor de ICT-Infrastructuur van SSC DeSom, de werkplekken en de kantoorautomatisering. SSC DeSom is niet verantwoordelijk voor het beheer van de licenties van de specifieke software van de aangesloten organisaties. Dat ligt bij de aangesloten organisaties zelf. Hetzelfde geldt voor contracten met betrekking tot de oude infrastructuren van de aangesloten organisaties. 4.2.10 Configuratie management database beheer (CMDB) SSC DeSom registreert en beheert alle configuratie items (CI) in Topdesk in de zogenaamde Configuratie management database (CMDB).Indien van toepassing worden CI gekoppeld aan Meldingen, Wijzigingen, Contracten, gebruikers en/of organisaties. 4.2.11 Certificaatbeheer SSC DeSom beheert alle certificaten voor haar eigen Infrastructuur en de certificaten van de aangesloten organisaties, mits hiervoor gemachtigd. Details over het certificaatbeheer voor de aangesloten organisaties wordt vastgelegd in het DAP.
18
5.
Serverruimten
Serverruimten worden verdeeld in MER’s (Main Equipment Room) en SER’s (Sub Equipment Rooms). De MER bevat in de regel de meeste (of alle) computerkracht en is gekoppeld met glasvezel en koper backboneverbindingen met één of meerdere SER’s. In de SER bevinden zich meestal alleen horizontale verdeler(s) en netwerkapparatuur. Vaak wordt dit echter gecombineerd aangetroffen. De serverruimten van SSC DeSom betreffen de MER’s en SER’s op iedere locatie bij DeSom aangesloten organisaties. Op ieder locatie staat apparatuur welke primair bedoeld is voor de communicatie vanuit SSC DeSom naar de decentrale organisaties. In het DAP worden de lokale situatie en afspraken per aangesloten organisatie vastgelegd.
19
6.
Crisisbeheersing
Onder crisisbeheersing wordt verstaan het beheersen van een (vaak) grootschalig incident waarbij mede de gemeentelijke organisatie wordt ingezet. Gemeenten welke aangesloten zijn bij SSC DeSom maken onderdeel uit van de Veiligheidsregio NoordHolland Noord. Binnen deze regio maken we gebruik van een ‘Gecoördineerde Regionale Incidentbestrijdings Procedure’ (GRIP) om de zwaarte van een incident aan te geven. We onderscheiden hierin 7 GRIP fases. Vanaf GRIP 1 wordt de burgemeester op de hoogte gesteld. Vanaf GRIP 2 wordt het Gemeentelijk Beleidsteam (GBT) opgestart. Vanaf GRIP 3 worden de gemeentelijke actieteams opgestart en wordt ook actie vereist van de ICT. Met ingang van 1 januari 2015 zijn de gemeentelijke Brandweer en veiligheidstaken inclusief de gemeentelijke Brandweermedewerkers overgegaan naar de Veiligheidregio Noord Holland Noord Bij een ramp of crisis binnen 1 of meerdere gemeenten, zijn de OOV medewerkers van die gemeenten de contactenpersonen van de gemeente. Het (laten) plaatsen en testen van de apparatuur in de rampenkamer is de verantwoording van de gemeenten (beamer, computer, printer en groot scherm); De gemeenten moeten er voor zorgen dat de OOV medewerkers: kunnen inloggen in de ICT omgeving en bijbehorende programma’s kunnen gebruiken; kunnen printen, scannen en faxen; kunnen bellen middels de NCV-noodcommunicatielijnen.
De rol van het SSC DeSom is ondersteunend m.b.t. de werking van apparatuur voor en tijdens een crisis of ramp. Ook wordt SSC DeSom altijd op de hoogte gesteld van een calamiteit bij een deelnemende gemeente, ten einde bij eventuele inzet adequaat hierop te kunnen reageren. Mochten er problemen zijn met zowel de apparatuur als de ICT omgeving, dan is een crisisnummer van SSC DeSom voor de OOV medewerkers noodzakelijk. Dit crisisnummer moeten de OOV medewerkers 24/7 kunnen bereiken, zodat ze de problemen z.s.m. opgelost kunnen worden. Crisisnummer SSC DeSom en OOV contactpersonen worden in de PDC opgenomen (versie 2.6, review 2017).
20
7.
Communicatiestructuur
7.1.1
Communicatie overzicht
Deel-/afnemer organisatie*
SSC DeSom
Communicatie scope
Eindgebruikers (medewerkers van deel-/afnemers)
ICT Servicedesk
Communicatie m.b.t. ICT gerelateerde meldingen (storingen, service- , informatie- en/of wijzigingsverzoeken)
Functioneel applicatiebeheerders
Technisch appl icatie beheerders
Inhoudelijke communicatie t.b.v. wijzigingsverzoeken en/of wijzigingen/projecten
Contractmanager
Senior medewerker Servicedesk
Communicatie over operationele dienstverleningszaken (Periodiek overleg m.b.t. status ICT processen, Topdesk meldingen en eventuele knelpunten)
Informatiemanager
Senior ICT adviseur / Service Manager
Communicatie over strategische vraagstukken m.b.t. opbouw en/of dienstverlening van SSC DeSom en Informatiemanagement ontwikkelingen (o.a. wijzigingen DVH, SLA, PDC of DAP)
Directie
Directeur
Besluitvorming, verantwoording en dagelijkse leiding
*Concrete invulling per deel-/afnemer wordt opgenomen in het DAP.
7.1.2
Escalatie overzicht**
Escatie niveau
Deel-/afnemer organisatie
SSC DeSom
1
Contractmanager
Service Manager / Senior Servicedesk medewerker
2
Informatiemanager
Senior ICT adviseur / Service Manager
3
Directie van één organisatie
Directeur
4
Adviescommissie
Directeur
5
College van één organisatie
Dagelijks bestuur
**Een escalaties wordt eerst op een zo laag mogelijk niveau behandeld en nader geanalyseerd. Gezamenlijk wordt getracht een passende oplossing te vinden. Indien dit niet lukt en/of hogere besluitvorming nodig is wordt de escalatie voorgelegd aan hoger niveau.
21
8.
Rapportage- en overlegstructuur
8.1.1
Overlegstructuur
SSC DeSom kent nu reeds de overlegstructuur zoals onderstaand wordt weergegeven. Minimaal één keer per jaar zal overleg worden gepleegd met de informatiemanagers van de opdrachtgevers waarin nader wordt ingegaan op de rapportages en verdere ontwikkelingen. Aan dit overleg nemen de volgende personen deel: Informatiemanagers van de opdrachtgevers; Senior medewerker ServicedeskSSC DeSom; Senior Adviseur / Service Manager SSC DeSom. Partijen informeren elkaar steeds tijdig over wijzigingen in functies en/of personen. De contactgegevens voor onderstaande tabel worden in het DAP vermeld. Verantwoordelijkheid Opdrachtgever SSC DeSom Overeenkomst* B&W (of gemachtigde) Directeur SLA, PDC en DAP Informatiemanager Service Manager Topdesk Contractmanager Senior medewerker Servicedesk Uitwijk** Uitwijkcoördinator Senior medewerker techn. Beheer/SD manager *Gemeenschappelijke regeling SSC DeSom en Dienstverleningsovereenkomst bestaande uit DVH, SLA, PDC en DAP en bijbehorende bijlagen. **zie paragraaf 4.2.5.2 Uitwijk en Beveiligingshandboek SSC DeSom.
Indien overleg op nieuwe gebieden belegd moet worden zal dit separaat worden afgesproken tussen de deelnemers en SSC DeSom. 8.1.2
Rapportagestructuur
Operationele rapportages Er zijn diverse Topdeskrapportages beschikbaar voor de Contractmanager en Informatiemanager van elke aangesloten organisatie. Deze kunnen realtime in Topdesk worden opgeroepen. Het operationele overleg tussen de Contractmanager van een aangesloten organisatie en de senior Servicedesk SSC DeSom vindt minimaal 1x per maand plaats en heeft betrekking op de werkvoorraden (openstaande calls) en de eventuele knelpunten. Daarnaast hebben de contractmanagers een Demandoverleg met de Service (delivery) manager van het SSC DeSom waarin (het niveau van) de dienstverlening wordt besproken.
22
Telefonierapportages Voor de dienst vaste telefonie van SSC DeSom is een standaard set rapportages ontwikkeld. Voor de dienst mobiele telefonie zijn de rapportages nog in ontwikkeling, maar het is de bedoeling dat ook daarvoor een standaard set ontwikkeld wordt. Over het verbruik van zowel vaste als mobiele telefonie wordt gerapporteerd in de kwartaalrapportages aan de organisaties. In het DAP wordt vastgelegd welke Telefonierapportages de aangesloten organisaties, wanneer en hoe zal ontvangen. Printervolume rapportages Voor de dienst Multifunctionals van SSC DeSom is een standaard set rapportages ontwikkeld. Deze worden elk kwartaal door DeSom met Canon besproken, bij afwijkingen wordt gerapporteerd aan de organisatie in kwestie. Over het verbruik van de dienst Printen wordt gerapporteerd in de kwartaalrapportages aan de organisaties. In het DAP wordt vastgelegd welke Printerrapportages de aangesloten organisaties wanneer en hoe zal ontvangen. Financiele rapportages Voor de (periodieke) afrekening van de diensten en producten zijn rapportages ontwikkeld, na afloop van elk kwartaal ontvangt elke organisatie een kwartaalafrekening. De informatie (aantallen en configuraties) uit de zogenaamde configuratie management database (CMDB) uit Topdesk is leidend voor de facturatie van de producten en diensten.
In het DAP wordt vastgelegd welke financiele rapportages de aangesloten organisaties wanneer en hoe zal ontvangen.
23