Standaarden ICT. Gemeente Leiden

Transcriptie

1 Standaarden ICT Gemeente Leiden Opgesteld door : ICT Versie : 1.7, oktober 2009

2 Inhoudsopgave 1 Inleiding Technische infrastructuur Architectuur Platforms Laag I: Werkplek Windows based PC Werkplekprofielen Installatie en beheer Werkplek beveiliging Gebruik van kantoorautomatisering Internettoegang Persoonlijke mobiliteit Externe gebruikers Aanschaf werkplek hardware Laag II: Specifieke services Database Services Services File Services Print Services Web Services Applicatie Services Netwerk Services Internetkoppeling Remote Access Laag III : Data Opslag & Back-up / restore Ethernet Fiber Channel Beheer Beveiliging Eisen aan toepassingen Inleiding Algemeen Resourcegebruik Randapparatuur Beveiliging Testomgeving Overzicht actuele merken, producten en versies Versie: 1.7, oktober 2009 Pagina: 2/16

3 1 Inleiding De exploitatie en het beheer van de Informatie en Communicatie Technologie (ICT)-infrastructuur van de gemeente Leiden zijn van bedrijfskritische aard. De primaire dienstverlening aan de burger en het ondersteunen van de bedrijfsprocessen binnen de gemeente zijn ondenkbaar zonder de beschikbaarheid van ICT- middelen. Daarom dient de beschikbaarheid van deze middelen te zijn gewaarborgd. Het team ICT is hiervoor verantwoordelijk. Om de informatiserings- en automatiseringstaak voor de gemeentelijke organisatie adequaat te kunnen uitvoeren heeft het team ICT standaarden opgesteld voor de gemeentelijke ICT-infrastructuur. Deze omvatten de te hanteren standaarden voor hardware en software. Het doel van de ICT-standaarden is, naast het bereiken van een hoge beschikbaarheid en continuïteit van de ICT-dienstverlening, ook het beter in de hand houden van de kosten die de ICT-infrastructuur met zich meebrengt. Daarnaast kunnen de ICT-standaarden bijdragen aan een snellere afhandeling van de aanbesteding en invoering van nieuwe applicaties. Alle producten en diensten, die het team ICT van de gemeente Leiden aan de eigen organisatie kan aanbieden, zijn vastgelegd in de Producten en Diensten Catalogus. De standaarden, die het team ICT hanteert om de producten en diensten te kunnen realiseren, worden het onderhavige document beschreven. De snelle ontwikkelingen in het ICT-vakgebied en in de eisen en wensen van de organisatie vereisen dat de standaarden mee-evolueren. Het team ICT zal deze dan ook periodiek actualiseren en daar waar nodig opnieuw laten vaststellen. Versie: 1.7, oktober 2009 Pagina: 3/16

4 2 Technische infrastructuur. 2.1 Architectuur De technische infrastructuur van de gemeente Leiden is ingericht met als leidraad een hoge graad van standaardisatie in apparatuur en software om op die wijze een zo hoog mogelijke beschikbaarheid tegen zo laag mogelijke kosten te kunnen bieden. Daarnaast zijn, om een zo hoog mogelijke continuïteit te kunnen garanderen, cruciale componenten uit de infrastructuur dubbel uitgevoerd en op een andere locatie beschikbaar gemaakt. De technische infrastructuur is opgebouwd uit de volgende lagen: 2.2 Platforms De hardware in de lagen I en II is gebaseerd op twee processor typen: X86-64 (Intel en AMD) en IBM Power System met resp. Microsoft Windows, Windows Server, Linux (Redhat) en IBM AIX als besturingssystemen. Het laatste platform wordt in 2010 uitgefaseerd. Waarvoor een bepaald platform wordt ingezet, wordt bepaald door de functionaliteit die ondersteund moet worden. Voor het vergroten van de flexibiliteit en beheersbaarheid van de Windows Server systemen wordt er naar gestreefd om deze zoveel mogelijk te virtualiseren op basis van VMware ESX Server. Versie: 1.7, oktober 2009 Pagina: 4/16

5 2.3 Laag I: Werkplek Windows based PC De standaard werkplek is de op Windows gebaseerde PC. Er zijn drie typen standaard werkplek beschikbaar, de Sleutelwerkplek voor normale gebruiker. Sleutelwerkplek Plus voor gebruiker met zware grafische toepassingen of die moet kunnen werken met een extra beeldscherm. Mobiele werkplek voor de gebruiker die zowel op kantoor als ergens anders moet kunnen werken. Standaard software: Besturingssysteem Microsoft Windows Microsoft Office Acrobat Reader Anti-RSI pakket Workpace Beveiliging: Symantec AntiVirus Beheersoftware Standaard hardware: Gebaseerd op X86 64 architectuur (AMD & Intel) Werkplekprofielen Om zoveel mogelijk tegemoet te kunnen komen aan de specifieke eisen en wensen van de gebruikers zijn er vier gebruikersprofielen gedefinieerd: standaard, ontwikkel, notebook en beheer. Het standaard profiel heeft de volgende eigenschappen: Gebruikers beschikken over een eenduidige interface waarmee ze doeltreffend hun applicaties kunnen starten en hun documenten kunnen beheren. Eenmaal door een gebruiker gemaakte instellingen in applicaties en werkomgeving worden automatisch meegenomen naar andere werkplekken. Gebruikers beschikken alleen over de applicaties waarvoor ze geautoriseerd zijn. De gebruiker heeft een gestandaardiseerd bureaublad, alleen de lettergrootte, muis- en toetsenbordinstellingen kunnen gewijzigd worden. De gebruikersinstellingen worden volledig hersteld als de computer defect raakt. Voor het ontwikkelprofiel gelden de volgende afwijkingen: Versie: 1.7, oktober 2009 Pagina: 5/16

6 Gebruikers beschikken naast applicaties waarvoor ze geautoriseerd zijn, ook over de mogelijkheid om zelf applicaties te installeren. De gebruikersinstellingen kunnen, met uitzondering van de zelf geïnstalleerde applicaties, worden hersteld als de computer defect raakt. Instellingen van het Startmenu, Windows Verkenner, Internet Explorer en de beeldschermresolutie kunnen door de gebruiker worden aangepast. Voor het beheerprofiel geldt het volgende: Systeembeheerders hebben geen beperkingen op de werkomgeving; het voor de systeembeheerder geldende profiel zal dan ook alleen voor systeembeheer doeleinden worden ingezet. De basis beveiligingsopties (zoals bijv. het beveiligen van de screensaver met een wachtwoord) gelden ook voor de beheerders. Voor het notebookprofiel gelden de volgende uitzonderingen: De home map is off line (zonder netwerkverbinding) beschikbaar op het notebook; bij aansluiten aan het netwerk wordt deze gesynchroniseerd met de home map van de gebruiker die in het netwerk beschikbaar is. Bestanden die zich buiten de home map bevinden worden niet gesynchroniseerd. Een notebook kan om beveiligingsredenen maximaal 50 maal stand alone gebruikt worden, bij de 51 e keer moet eerst een netwerkverbinding met het Sleutelnet gemaakt worden. De energie instellingen van het Notebook zijn door de gebruiker aan te passen. De gebruikersinstellingen kunnen worden hersteld als het notebook defect raakt, echter uitsluitend die instellingen die voor de laatste synchronisatie gemaakt zijn. De zelf geïnstalleerde applicaties moeten echter handmatig worden toegevoegd. Bestanden die in de lokale home map (dus op de notebook) staan, gaan verloren bij een herinstallatie; dus voordat een herinstallatie wordt uitgevoerd dient er een synchronisatie plaats te vinden Installatie en beheer De werkplekken worden door het team ICT beheerd vanuit een centraal installatie- en beheerpunt. De werkplekken worden geïnstalleerd met Microsoft Remote Installation Services. Met Microsoft System Management Server (SMS) wordt de configuratie geregeld en worden applicaties op de werkplek van de geautoriseerde gebruiker geïnstalleerd. Met Windows Server Update Services (WSUS) worden automatisch de (beveiligings-)patches voor het Windows besturingsysteem geïnstalleerd. Met Wake On LAN (WOL) kunnen werkplekken van afstand worden aan en uitgezet. RIS SMS WSUS WOL Sleutelnet Versie: 1.7, oktober 2009 Pagina: 6/16

7 2.3.4 Werkplek beveiliging Men krijgt toegang tot het werkstation en de functies in het netwerk met een persoonlijke gebruikersnaam en een wachtwoord. De gebruikersnaam wordt door het team ICT verstrekt en is strikt persoonlijk. Het wachtwoord kan door de gebruiker zelf bepaald worden en moet aan de volgende regels voldoen: Eigenschap Lengte van het wachtwoord (*) = Dit betekent dat minimaal 3 van de 4 mogelijke groepen (hoofdletters, kleine letters, leestekens en interpunctie) gebruikt moeten worden en dat het wachtwoord niet mag bestaan uit (een deel van) de gebruikersnaam. Alle werkstations worden met Symantec Client Security software beschermd tegen computer virussen, spyware en hackers. Om te voorkomen dat er via een omweg toch malware (kwaadaardige software zoals virussen, adware, spyware, etc.) op een werkstation geplaatst kan worden, zijn de poorten van elk werkstation met behulp van DriveLock software afgesloten. Op aanvraag kunnen poorten worden opengezet, bijvoorbeeld voor het gebruik van een USB stick. Bij notebooks werkt deze beschermingssoftware ook voor de PCMCIA kaarten. Specifiek voor notebooks geldt: De inhoud van de bestanden op de notebook is versleuteld (encrypted) met SecureDoc. Bij het opstarten kan de gebruiker kiezen: o als node in Sleutelnet is de netwerkkaart geactiveerd (deze kan alleen voor Sleutelnet worden gebruikt) en zijn de overige datacommunicatiefaciliteiten (WLAN, Bluetooth) uitgeschakeld. o in stand alone mode is de netwerkkaart uitgeschakeld. Notebook gebruikers kunnen op aanvraag beschikken over een met beveiligde UMTS verbinding met het netwerk Gebruik van kantoorautomatisering Het team ICT biedt alle kantoorautomatisering, zoals Word, Access, Powerpoint, Excel, etc. aan de organisatie aan. Access is alleen als persoonlijke database bedoeld. Om beheertechnische redenen mag Access niet gebruikt worden voor softwareontwikkeling ten behoeve van andere gebruikers Internettoegang Iedere medewerker heeft toegang tot het Internet. Het downloaden van uitvoerbare bestanden (exe, plug-ins, ActiveX etc.) is om beveiligingsredenen geblokkeerd. Het gebruik van Internet is beveiligd met Websense Web Filter Persoonlijke mobiliteit Regel Tenminste 8 tekens Complexiteit van het wachtwoord Complex (*) Aantal aanlog pogingen voordat login geblokkeerd wordt 3 Aantal minuten voordat deze blokkade wordt opgeheven 30 Maximaal aantal dagen dat een zelfde wachtwoord gebruikt mag worden 90 Wachtwoord geschiedenis (wachtwoorden die niet hergebruikt mogen worden) 24 Persoonlijke mobiliteit wordt ondersteund met PDA s (Personal Digital Assistant) en smartphones met UMTS. De persoonlijke (Outlook) gegevens van de gebruiker op de PDA s worden gesynchroniseerd met ActiveSync van Microsoft. Hiervoor wordt de PDA via de USB poort aangesloten op het werkstation van de gebruiker. Voor smartphones wordt gebruik gemaakt van Microsoft Outlook Mobile Access (OMA) via UMTS. Versie: 1.7, oktober 2009 Pagina: 7/16

8 2.3.8 Externe gebruikers Zie ook de paragraaf Remote Access. Voor thuiswerkers en gebruikers van andere (semi) overheidsorganisaties of leveranciers is het gemeentelijke netwerk alleen toegankelijk als het organisatieonderdeel waarmee deze externe organisatie een overeenkomst heeft, instaat voor de integriteit van de betreffende gebruikers. Op locaties van andere (semi) overheidsorganisaties wordt het gemeentelijke netwerk alleen toegankelijk gemaakt voor de door het verantwoordelijke organisatieonderdeel aangewezen personen. Hierbij wordt de verbinding alleen via de door remote access beschikbare beveiligingsmechanismen beschikbaar gesteld Aanschaf werkplek hardware Het is van groot belang dat de binnen de gemeentelijke organisatie aanwezige apparatuur goed met elkaar kan communiceren. Daarnaast moet onderhoud tegen redelijke kosten kunnen plaatsvinden. Alleen met vergaande standaardisatie en regelgeving is dit in de hand te houden. Een belangrijke regel is daarom, dat in onze organisatie alle aanschaf van werkplekapparatuur moet plaatsvinden via het team ICT. Het team ICT mag alleen compatibele en vooraf gekwalificeerde componenten inkopen; deze zijn in de Producten en Diensten Catalogus opgenomen. 2.4 Laag II: Specifieke services De services die in deze laag beschikbaar zijn, worden voor een deel via gevirtualiseerde servers aangeboden. Hiermee wordt naast een hoge beschikbaarheid en continuïteit ook een hoge mate van flexibiliteit en schaalbaarheid bereikt. Elke server is voorzien van beveiligings- en beheer tools. De volgende specifieke services zijn beschikbaar Database Services Er zijn drie typen database server systemen in de infrastructuur opgenomen: Oracle op basis van Redhat Linux, Microsoft SQL Server op basis van het Microsoft Windows server en MySQL op basis van Linux. Gebruik van Oracle heeft de voorkeur Services De service is gebaseerd op Microsoft Exchange. Om een hoge beschikbaarheid van de voorziening te kunnen garanderen, is deze dubbel uitgevoerd. Bij uitval van of onderhoud aan een server wordt de applicatie binnen enkele seconden automatisch overgenomen door een andere server. Binnen het Sleutelnet wordt Outlook als client gebruikt. Externe toegang wordt geboden met Outlook Web Access (OWA) en Outlook Mobile Access (OMA). De voorziening is beveiligd met Websense Filter File Services Deze service is opgebouwd rond het Distributed File System (DFS) van Microsoft, dat via een cluster beschikbaar wordt gemaakt. Hiermee kunnen een hoge beschikbaarheid en continuïteit worden gewaarborgd aan de gebruikers. Bij uitval van één van de servers neemt de andere server automatisch over. Datareplicatie tussen de beide servers vindt plaats door middel van DoubleTake software Print Services Printfaciliteiten zijn gestandaardiseerd op multifunctionele apparatuur van Océ, waarmee men kan kopiëren, printen en scannen Web Services De Webservices zijn gebaseerd op verschillende technologieën. De volgende zijn hierin te onderscheiden: IIS op Windows Apache op Linux Oracle IAS op Linux Afhankelijk van de applicatie wordt deze op het desbetreffende platform geïnstalleerd. Er zijn meerdere Web-servers op één server omgeving beschikbaar. Op deze wijze kunnen interne Web services onafhankelijk van elkaar gestopt en gestart worden en kunnen er geen conflicten tussen de Web- Versie: 1.7, oktober 2009 Pagina: 8/16

9 applicaties optreden. Webservers die diensten aanbieden aan het Internet worden ontsloten via de reverse proxy Applicatie Services Per applicatie is een aparte server ingericht die, waar mogelijk, wordt aangeboden als gevirtualiseerde server op basis van VMware ESX Netwerk Services De volgende ondersteunende netwerk services zijn geïmplementeerd: ADS (Active Directory Services) DNS (Domain Name Service) WINS (Windows Internet Naming Services) DHCP (Dynamic Host Configuration Protocol) Omdat deze services maximaal beschikbaar moeten zijn om het netwerk en de applicaties te kunnen gebruiken, zijn de servers waarop ze draaien dubbel uitgevoerd Internetkoppeling Het gemeentelijke netwerk is via een dataverbinding gekoppeld aan Internet. Deze verbinding is beveiligd met een firewall. Toepassingen die verkeer tussen het Internet en het gemeentelijke netwerk veroorzaken, bijvoorbeeld in het kader van e-dienstverlening, worden in het DMZ-deel van het netwerk ontsloten richting het sleutelnet via reverse proxy servers en application gateways. De application gateways zijn nog niet geïmplementeerd. Een standaard proxy server wordt gebruikt voor het ontsluiten van het internet, richting eindgebruikers. Er kan gebruik worden gemaakt van specifieke poorten of web adressen, maar het gebruik van ranges is niet toegestaan. In het sleutelnet worden de applicatie- en web diensten aangeboden. Versie: 1.7, oktober 2009 Pagina: 9/16

10 2.4.9 Remote Access Remote access is beschikbaar op die locaties waar geen directe verbinding via het LAN (Local Area Network) mogelijk is. Applicaties worden via de Applicatie Services (zie Laag II) op de remote werkplek aangeboden. functionaliteit is ook via Outlook Web Access (OWA) en Outlook Mobile Access (OMA) beschikbaar. Voor remote access wordt gebruik gemaakt van Microsoft Windows 2003 Terminalserver met Citrix Metaframe op basis van ICA protocol en RES Powerfuse voor de menu opbouw en gebruikersinstellingen. Toegang tot deze server vindt plaats met een VPN voorziening. Voor toegang dient naast de VPN client software nog een Citrix ICA client geïnstalleerd te worden. De VPN connectie is ongeschikt voor continue unattended processen, omdat daar na een inactieve periode een automatische disconnectie plaatsvindt. Installatie op een Citrix server vindt alleen plaats indien de leverancier van de applicatie gebruik in een dergelijke omgeving ondersteunt. Alleen componenten die via Applicatie Services kunnen worden aangeboden, zijn beschikbaar voor de gebruiker. Om hierbij de veiligheid van toegang en datatransport te kunnen garanderen, wordt naast de normale authenticatie procedure, waarbij met een gebruikersnaam en wachtwoord toegang tot het netwerk en de applicaties gegeven wordt, ook een extra identificatie met een zgn. security token vereist. 2.5 Laag III : Data Opslag & Back-up / restore In deze laag wordt de centrale dataopslag en de beveiliging geregeld. In principe is deze laag alleen maar bereikbaar via de services laag II. De opslag van data is met een dubbel uitgevoerd SAN volledig gecentraliseerd. Gebruikers hebben toegang tot de data via twee fileservers. Alle gebruikersdata wordt met Double-Take gespiegeld. Van alle Oracle, MS SQL Server en MySQL databases worden met tools behorende bij het DBMS dagelijks een backup op schijf gemaakt. Voor tape backup wordt gebruik gemaakt van een tape library en TSM. Van alle bestanden worden de vijf laatste versies bewaard. Uitzondering zijn de database backup bestanden; hiervan worden de laatste dertig versies bewaard. Er wordt een volledige dataset buiten de deur bewaard. Deze wordt dagelijks bijgewerkt. Voor bedrijfskritische toepassingen zijn in verband met uitwijk aparte voorzieningen getroffen. 2.6 Ethernet Het gemeentelijke netwerk is gebaseerd op het Ethernet protocol en verbindt de lagen I en II. Het is beschikbaar op de verschillende gemeentelijke locaties via vier Cisco backbone switches, single mode glas en Cat-5 UTP bekabeling. Opmerking: bij vervanging en uitbreiding van bekabeling is de toegepaste norm altijd minimaal CAT 6. De gemeentelijke locaties zijn aan het LAN gekoppeld met glasvezelverbindingen; VPN over Internet; site to site VPN. 2.7 Fiber Channel De componenten van Laag II en Laag III zijn met 2GB Fiber Channel (glas) via de SAN switches met elkaar verbonden. 2.8 Beheer Ten behoeve van het beheer van de technische infrastructuur worden de volgende hulpmiddelen ingezet: Microsoft Management Console. Dagelijks beheer van de Active Directory en op Microsoft Windows gebaseerde servers. BMC Patrol. Hiermee wordt de gehele infrastructuur bewaakt, mochten er zich onverwachte incidenten voordoen dan waarschuwt het systeem tijdig en kan er ingegrepen worden. IBM Tivoli Storage Manager (ITSM). Back-up en Restore beheer. Windows Server Update Services Console (WSUS). Beheer van patches voor Microsoft Windows gebaseerde servers en Werkstations. Versie: 1.7, oktober 2009 Pagina: 10/16

11 Microsoft System Management Server (SMS). Voor het beheer van wijzigingen en configuratie van de Werkstations. Virtual Center. Beheer van de Virtuele machines. Cisco Works ten behoeve van het beheer van de netwerk componenten Naast de hierboven beschreven beheertools, die gebruikt worden voor het dagelijkse beheer van de technische infrastructuur, zijn er ook hulpmiddelen die voor specifieke doeleinden gebruikt worden. 2.9 Beveiliging Beveiligingsmaatregelen zijn gebaseerd op het gemeentelijke beleid voor informatiebeveiliging. Daar waar relevant zijn specifieke beveiligingsmaatregelen per laag en per onderdeel in dit document beschreven. Versie: 1.7, oktober 2009 Pagina: 11/16

12 3 Eisen aan toepassingen 3.1 Inleiding Binnen het team ICT wordt voortdurend gewerkt aan een groot aantal projecten, die (bijna) altijd leiden tot het in productie nemen van applicaties en de onderliggende infrastructuur of het doorvoeren van wijzigingen daarop. Om dit op een verantwoorde manier te kunnen doen, is het noodzakelijk dat aan een aantal randvoorwaarden wordt voldaan. Iedere invoering van nieuwe (of sterk gewijzigde) functionaliteit van applicaties en infrastructuur, met uitzondering van updates & patches (herstel van fouten in de bestaande software) moet projectmatig plaatsvinden. Afhankelijk van de impact van een wijziging wordt deze als project of als activiteit uitgevoerd. Het team ICT zorgt ervoor dat de toepassing beschikbaar is, zodat gebruikers deze kunnen testen en in productie nemen. De functionaliteit van de toepassing is de verantwoordelijkheid van de applicatie-eigenaar en de functioneel beheerder. Inhoudelijk, functioneel beheer van applicaties is de verantwoordelijkheid van het organisatieonderdeel dat de applicatie aanschaft. Technisch beheer is altijd de verantwoordelijkheid van het team ICT. Alvorens een nieuwe (of sterk gewijzigde) applicatie aan het bedrijfsnetwerk kan worden toegevoegd, dient vastgesteld te worden of de software voldoet aan de eisen die de infrastructuur stelt. Als uitgangspunt daarbij gelden de vastgestelde standaarden ICT. Daarnaast worden er ook eisen vanuit beheer gesteld. Om het voor beheer mogelijk te maken een applicatie of een infrastructurele voorziening op een verantwoorde manier in beheer te nemen is het noodzakelijk dat aan deze eisen wordt voldaan. Bij een voorgenomen besluit tot aanschaf van een nieuwe (of sterk gewijzigde) toepassing dient ICT in de gelegenheid te worden gesteld om vast te stellen dat deze aan alle eisen voldoet. 3.2 Algemeen Er moet gebruik gemaakt worden van binnen de gemeente gebruikte versies van besturingssystemen, database management systemen en middleware componenten. Voor alle software geldt dat deze moet voldoen aan de richtlijnen van de fabrikant van het besturingssysteem waarop de software wordt geïnstalleerd. Als gebruik wordt gemaakt van een applicatieserver, moet deze kunnen worden uitgevoerd als virtuele server onder VMware ESX. De standaard schijfindeling van applicatieservers is C:\ <SYSTEM>, D:\ <APPLICATION>, E:\ <APPLICATION DATA>. Voor zover (nieuwe) applicaties geen server vereisen, maar alleen gebruik maken van file services, geldt dat programmatuur en data gescheiden moeten kunnen worden, waarbij de DFS share P:\ beschikbaar is voor programmatuur en de F:\share voor (applicatie)data. Voor het overige mogen geen vaste driveletters worden gebruikt. Er mag geen gebruik gemaakt worden van vaste paden. Path-instellingen (installatiemap, etc.) moeten met parameters gezet kunnen worden. De leverancier dient aan te geven wat de frequentie is van reguliere updates. Specificaties van hard- en software moeten vroegtijdig worden opgeleverd. Ondersteuning door de leverancier dient gedurende de geplande gebruiksduur gewaarborgd te zijn. Bij oplevering van de toepassing dient er overdracht plaats te vinden aan het team ICT van de handleidingen, installatiebeschrijving, licentiegegevens, etc. Alle te installeren software wordt aangeleverd op dusdanige wijze, bijvoorbeeld op CD, dat deze binnen de gemeente gearchiveerd kan worden en gebruikt kan worden bij herinstallaties. Werkpleksoftware dient te worden aangeleverd in Windows Installer formaat (MSI). Indien dit niet mogelijk is, dan dient de leverancier deel te nemen aan het intakeproces voor het (re-) packagen van de client-software. Uitgangspunt is een locked down environment waarbij gewone gebruikers geen installatie- of schrijfbevoegdheid hebben op de C:\ schijf. Uitzondering van schrijfbeperking is de C:\TEMP map, die echter bij het uitloggen van de gebruiker steeds wordt leeggemaakt. Autorisaties dienen met het package te worden geregeld. MSI files hebben via policy elevated rights op het doelstation. De applicaties worden met SMS gedistribueerd naar de werkplekken. Versie: 1.7, oktober 2009 Pagina: 12/16

13 3.3 Resourcegebruik Na afsluiting van een applicatie moeten de gebruikte resources worden vrijgegeven en moeten tijdelijke bestanden worden opgeruimd. Een niet meer gebruikte applicatie moet gedeïnstalleerd kunnen worden. Diskcapaciteit is niet onbeperkt beschikbaar. De benodigde ruimte moet van tevoren worden opgegeven (om er zeker van te zijn minimaal zes weken). Zonder een ruim van te voren afgegeven indicatie kan er geen garantie gegeven worden dat er voldoende diskruimte beschikbaar is. 3.4 Randapparatuur Sommige toepassingen maken gebruik van speciale randapparatuur. Rechtstreekse aansluiting van dergelijke apparatuur aan een (virtuele) server is niet mogelijk. Randapparatuur kan va goedkeuring door ICT worden aangesloten aan een werkstation op basis van USB of rechtstreeks aan ethernet op basis van IP. 3.5 Beveiliging Elke gebruiker dient een toepassing onder een eigen gebruikersnaam te benaderen. Iedere gebruiker dient met een eigen login in te loggen op de database. Wanneer binnen een applicatie gebruik wordt gemaakt van een netwerk-login, dan dient er binnen de applicatie een autorisatiesysteem aanwezig te zijn en moet het mogelijk zijn een gebruiker te koppelen aan processen binnen de database. Als er een eigen autorisatiesysteem binnen de applicatie is en er gebruik wordt gemaakt van één gemeenschappelijke database gebruikersnaam, dan mag deze niet de eigenaar van het schema zijn en of DBA rechten hebben. Alle wachtwoorden die worden opgeslagen in de database dienen versleuteld te zijn. Wachtwoorden mogen niet leesbaar in bestanden, scripts of databases worden opgeslagen. In een toepassing dient een mogelijkheid opgenomen te zijn om het eigen wachtwoord te vernieuwen. In de documentatie dient duidelijk opgenomen te zijn hoe de verschillen in de autorisatie geregeld kunnen worden. Er worden geen wachtwoorden gebruikt in scripts e.d. Er mag geen gebruik worden gemaakt van standaard door leveranciers aangeleverde wachtwoorden. Standaard wachtwoorden van leveranciers worden na installatie gewijzigd. Er mag geen gebruik worden gemaakt van speciale hardware zoals een dongle. In applicaties ingebouwde functionaliteit, of via een applicatie benaderbare functionaliteit, die potentiële beveilingsrisico s met zich mee brengt (bijvoorbeeld toegang tot een command-prompt) kan door het team ICT worden geweigerd of uitgeschakeld. Het gebruik en het functioneel beheer van de applicatie moeten zodanig zijn ingericht, dat hiervoor geen bijzondere rechten (zoals SYS ADMIN) noodzakelijk zijn. Inbel- of remote support is alleen toegestaan via een door de gemeente Leiden ter beschikking gestelde VPN voorziening (RSA Ace server met persoonsgebonden RSA token en client software op basis van Secure IP). De leverancier krijgt de beschikking over een account met de overeengekomen autorisaties. Dit account staat standaard dicht, maar wordt op verzoek en in overleg met de functioneel beheerder en ICT tijdelijk opengezet. Toepassingen die vanuit Internet benaderbaar zijn, worden geplaatst in het Sleutelnet, en ontsloten via een reverse proxy. De leverancier dient aan te geven van welke specifieke poorten gebruik zal worden gemaakt. Het gebruik van ranges van poorten is niet toegestaan. 3.6 Testomgeving Voor elke bedrijfstoepassing moet een testomgeving beschikbaar zijn. Daarbij wordt de OTAP aanpak gehanteerd, waarbij verschillende activiteiten in gescheiden omgevingen worden uitgevoerd om mogelijke verstoringen van productie en andere test processen te voorkomen. Versie: 1.7, oktober 2009 Pagina: 13/16

14 Ontwikkel: Test: Acceptatie: Productie: omgeving waar software (maatwerk) en inrichtingsmodellen ontwikkeld worden. omgeving waar vastgesteld wordt of de ontwikkelde software goed functioneert binnen de kaders van de infrastructuur. Specifieke eigenschap van deze omgeving is dat deze zonder verstorende invloeden van andere applicaties en netwerk beschikbaar kan zijn om het technisch testen zo zuiver mogelijk kunnen laten verlopen. omgeving waar de functioneel beheerder eventueel samen met een aantal toekomstige gebruikers de goede werking van de applicatie test. Specifieke eigenschap van deze omgeving is dat deze identiek is aan de productie omgeving om het testen zo natuurgetrouw mogelijk te laten zijn. omgeving waar de bedrijfsapplicatie hoogbeschikbaar is voor de gebruikers. Aangezien er vrijwel uitsluitend standaard applicaties worden aangeschaft, zullen er geen Ontwikkel- en Testomgevingen nodig zijn, maar volstaat het om naast de Productie-omgeving een Acceptatieomgeving in te richten, waarbij geprobeerd wordt de productie-omgeving zo goed mogelijk na te bootsen. Doel van de acceptatie-omgeving is, te verzekeren dat een nieuwe of aangepaste applicatie naar behoren functioneert in de standaard infrastructuur en daarmee goed integreert zonder de operationele omgeving te verstoren. Wijzigingen op applicaties worden daarom eerst aangebracht in de acceptatie-omgeving; de gebruikers in de gelegenheid te stellen de applicatie grondig functioneel te testen zonder de operationele omgeving te verstoren; fouten in de productie-omgeving te kunnen reproduceren en mogelijke oplossingen te kunnen testen. Versie: 1.7, oktober 2009 Pagina: 14/16

15 4 Overzicht actuele merken, producten en versies Onderwerp Merk, product, versie Werkplek Hardware: X86 64 Architectuur (AMD & Intel) minimaal 1 GB intern geheugen Besturingssysteem: Microsoft Windows XP SP3 Software: Microsoft Office 2003 Professional Edition SP2 Microsoft Internet Explorer 7.0 Acrobat Reader versie 9 Oracle Cliënt versie: 9 Workpace versie 3.0 Symantec AntiVirus versie 10 DriveLock versie 5.5 Java RJE versie Database Services DBMS: Oracle versie Oracle Internet Appl. serv. versie Hardware: IBM X86 Blade Server Besturingssysteem: Redhat Linux 5 Advanced Platform Database Services DBMS: Microsoft SQL Server 2005 MS SQL Server Hardware: IBM eserver series Besturingssysteem: Microsoft Windows 2003 Standard Edition SP2 Database Services DBMS: MySQL versie 5.1 MySQL Hardware; IBM X86 Blade Server Besturingssysteem Linux (RedHat) Services systeem: Microsoft Exchange 2003 Hardware: IBM eserver series Besturingssysteem: Microsoft Windows 2003 Enterprise Edition SP2 File Services Hardware: IBM eserver series Besturingssysteem: Microsoft Windows 2003 Standard Edition SP2 Proxy Services Proxy Server: Microsoft ISA 2006 SP1 Hardware: IBM eserver series Besturingssysteem: Microsoft Windows 2003 Standard Edition SP2 Print Services Hardware: IBM eserver series Besturingssysteem: Microsoft Windows 2003 Standard Edition SP2 Multifunctionals: Océ OP- en WP series, 3145E/3155E/3165E Applicatie Services Hardware: IBM eserver series Besturingssysteem: Microsoft Windows 2003 Standard Edition SP2 Middelware: Citrix Metaframe versie 4.02 Powerfuse versie: 7.03 VM ware ESX 3.5 Netwerk Services Hardware: IBM eserver series Web services Besturingssysteem: Microsoft Windows 2003 Standard Edition SP2 Central Storage: Storage Hardware: Backup Hardware: IBM DS4300 Disk arrays IBM 2005-b16 SAN switches IBM pseries Storagetek LTO tape library Besturingssysteem: AIX versie 5.3 Back-up software: TSM versie 5, release 5 Beheer tools Microsoft Management Console versie: 2.0 BMC Patrol versie: Patrol Agent ESX km versie Windows km versie Unix km versie SQL km versie Oracle km versie RT Server versie Distributie server versie Windows Server Update Services Console versie: (3.0 SP1) Versie: 1.7, oktober 2009 Pagina: 15/16

16 Onderwerp Merk, product, versie Microsoft System Management Server versie: 2003 Virtual Center versie: 2.5 Firewall Hardware Firewall: Cisco ASA 5510 Hardware DMZ Servers: IBM eserver series Besturingssysteem: Microsoft Windows 2003 Middleware: NetJava FTP Versie: 1.7, oktober 2009 Pagina: 16/16