Presentatie Privacy & Security Slimme Meters Netbeheer Nederland, werkgroep Privacy & Security Johan Rambi 9 september 2010
Agenda Introductie Uitleg Slimme Meter keten Privacy & Security in de media Privacy & Security sectoreisen Netbeheer Nederland Certificering Privacy audit proof Project implementatie WBP en Privacy & Security sectoreisen bij Liander ISPMS cyclus Status audit Afsluiting
Netbeheer Nederland = brancheorganisatie
Rollen in de energiemarkt Consument contract Leverancier meterstanden energie meterstanden Netbeheerder
Uitleg slimme meter keten filmpje
Slimme Meter keten 1 Scope voor Netbeheerder met E- en G- aansluitingen P0 Modules, bijv. display P1 P1 Slimme E-meter P3 * P3 Centraal Systeem P4 P2 P2 Meters (G / W) * P3.1 Data concentrator (DC) P3.2 * P4 Leveran-ciers * De wolkjes symboliseren netwerktechnologieën, zoals GPRS, PLC ( power line communication ), internet, etc. P4 ODA 2 Scope voor netbeheerder met enkel G- aansluitingen Centraal Systeem P4
Privacy in de media
Privacy en wetgeving Met gemaakte keuzes in de wet zijn privacyproblemen geïntroduceerd, terwijl de samenleving steeds meer belang hecht aan privacybescherming Ontwerpkeuzes in de wet zorgen voor privacyproblemen Discussie in (met name) de Eerste Kamer heeft duidelijk gemaakt dat onvoldoende privacybescherming een dealbreaker is Privacy lijkt geen fundamentele Voorbeelden van projecten waar zorgen over privacy tot ontwerpoverweging geweest te zijn maatschappelijke weerstand en (waarschijnlijk) vertraging leiden: bij het opstellen van de wet: Keuze om naast maandstanden Telegraaf, 26 jan 10 ook dag- en kwartierwaarden op Verpletterend NEE te slaan maakt meetdata De kilometerheffing moet van privacygevoelig de baan! Dat is de mening van Integratie van de communicatiemodule in de E-meter maakt dat 196.000 deelnemers aan de 89 procent van de ruim consumenten geen controle Stelling van De Telegraaf. [ ] Velen lopen te hoop tegen hebben over het verzenden van het 'spionagekastje' in de auto, data dat alle ritten registreert. Zij Netbeheerders beheren volledige vinden dit een grote inbreuk slimme-meter-infrastructuur en op de privacy en verwachten bewaren veel informatie, maar dat autoriteiten hiervan misbruik kunnen maken. niet alle klanten zien netbeheerders als te vertrouwen partij Bron: Trouw, Algemeen Dagblad, PrivacyFirst.nl, De Telegraaf
Privacy in de media
Security in de media
Security in de media
Security slimme meter filmpje
Proces totstandkoming P&S sectoreisen 2009 2010 Activiteiten 12 1 2 3 4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 9 10 11 12 Uitvoeren Risico analyse Opstellen Privacy & Security richtlijnen Review richtlijnen door netbeheerders Review richtlijnen door TNO, PWC en RUN Opstellen framework, stakeholderanalyse en vertalen van richtlijnen naar P&S sectoreisen en maatregelen Uitvoeren Impact analyse P&S sectoreisen Review sectoreisen door netbeheerders Opstellen P&S sectoreisen en maatregelen P&S Richtlijnen V1.0 Framework, sectoreisen & maatregelen Impact analysis Definitieve sectoreisen v1.50 Opzetten P&S controle en beheerorganisatie Invoeren sectorbrede Privacy ygedragscodeg Internationale afstemming en draagvlak
Framework Privacy & Security sectoreisen Stakeholderanalyse l en rulebase doelen vanuit netbeheerders verwachtingen van stakeholders formele wet- en regelgeving normen en standaarden Risicoanalyse Doelen Eisen wat te beschermen? Principes bij formulering eisen wat we willen bereiken (op het hoogste niveau) concretisering van te bereiken doelen ( wat ) Maatregelen hoe te realiseren? manier om eis te realiseren ( hoe )
Voorbeelden Privacy & Security sectoreisen Beleidseisen Apparaatspecifieke eisen De netbeheerder dient zorg te dragen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden inzake de verzameling en verwerking van gegevens verzameld middels de slimme meter ('doelbinding'). De netbeheerder draagt zorg voor de melding inzake het verzamelen en verwerken van persoonsgegevens verzameld middels de slimme meter bij het CBP. Toegang tot alle poorten op apparaten dient alleen mogelijk te zijn na authenticatie. Dataconcentrators dienen ongeautoriseerd dataverkeer op te merken en een waarschuwing te genereren voor het centraal systeem. Applicatieve eisen Organisatorische eisen Alle schakelopdrachten dienen te worden gelogd door het centraal systeem (CS), ongeacht waar ze vandaan komen (vanuit de netbeheerder zelf of via de P4-poort van derden). De netbeheerder dient zijn klanten juist, tijdig en volledig te informeren over het verzamelen en verwerken van slimme-metergerelateerde gegevens conform de eisen gesteld in de WBP.
End-to-end beveiliging slimme meterketen P0 P1 Slimme E-meter P3 P 3.1 Data concentrator P 3.2 P3 Centraal Systeem P4 P 2 P 2 Meters (G / W)
Vervolgstappen werkgroep P&S P&S sectoreisen v1.5 vaststellen als formeel beleid door ledenraad (16/9) P&S sectoreisen v1.5 implementeren voor de wettelijke proefperiode (start medio 2011) en evalueren tijdens de proefperiode In opdracht van DG TREN van Europese Commissie onderzoek doen naar Europese afstemming rondom Privacy & Security van Slimme Meter Aansluiting zoeken bij CEN/CENELEC om een Europese Standaard rondom Privacy & Security eisen Slimme Meter te ontwikkelen Opstarten roadmap in samenwerking met de meterleveranciers om een gezamenlijke visie te bepalen en next generation slimme meter te ontwikkelen Opstellen P&S sectoreisen v2.0 ten behoeve van de grootschalige uitrol
Implementeren communiceren Ronde Tafel Privacy en Security Slimme Meters
Security & Privacy ambitie bij Liander Liander Infostroom neemt een grote stap en wil zich laten certificeren voor invulling privacy. Dit resulteert in een bewijslast aan de zijde van Infostroom en vraagt een versneld volwassenheidsproces binnen de organisatie. Gecertificeerd Compliant Bewijslast bij Liander tie Ambi Compliant Bewijslast bij CPB InCompliant Volwassenheid
Raamwerk Privacy Audit Het Raamwerk Privacy Audit biedt praktische uitwerking van de Wbp. Opgesteld door het Samenwerkingsverband Audit Aanpak. Op basis van 9 verwerkingseisen invulling geven aan compliance V.1 Voornemen en melden V.2 Transparantie V.3 Doelbinding V.4 Grondslagen V.5 Kwaliteit van verwerking V.6 Rechten van betrokkenen V.7 Informatiebeveiliging V.8 Bewerkers V.9 Doorgifte buiten de EU Inrichten van management control cyclus Beheersing van de verwerking (blijvend voldoen aan de Wbp) Zogenaamde E-eisen
Project Security & Privacy Het doel van het project: Liander Infostroom audit-ready te maken teneinde een certificering Privacy audit proof te behalen. Voor het Security & Privacy project betekent audit ready (vanuit PWC): 1. Voldoen aan de eisen uit de Wet Bescherming Persoonsgegevens welke is opgesplitst in twee delen. I. WBP Verwerkingseis 1 t/m 4 absoluut gerealiseerd (juridisch compliant) Voornemen en melding (V1), transparantie (V2), doelbinding (V3), rechtmatige grondslag g (V4) II. WBP Verwerkingseis 5 t/m 9 zoveel mogelijk ingericht (vooral processen) Kwaliteit van de verwerking (V5), rechten van betrokkenen (V6), verwerking door bewerkers binnen (V8) en buiten EU (V9) Beveiliging (V7), inclusief het oplossen van de bevindingen op de WBP normen 2. Voldoen aan sector eisen. Op het moment van audit geldende sector eisen zoveel mogelijk ingericht. 3. Management Control Cyclus. Implementatie van de beheersing van de processen (borging en control) Waar niet voldaan is aan bovenstaande punten 2 en 3 dient risico analyse en plan van aanpak aanwezig te zijn EN het totale risico van openstaande punten niet te groot (naar analyse PWC).
Projectorganisatie Security & Privacy Projectorganisatie S&P 15-11-11 '09 t/m 31-3-20103 Project board Opdrachtgever Senior gebruiker Senior Leverancier QA Programma Management Project Manager 0,5 FTE Projectleider Business 0,2 FTE Projectleider IM&ICT 1 FTE PWC aanbevelingen en Issues Installed Base 0,8 FTE - meewerkend voorman 5,0 FTE Security support * Penetratietesten - 0,6 FTE - Teamleider 0,4 FTE Security Support * Implementatie Security Server** 3FTE(IM-ICT) Support leveren voor PWC aanbevelingen Ntb Technologie (0,7 fte) Beleid & Kader (0,7 fte) Uitrol (0,4 fte) A&CM (0,1 fte) Service & Beheer (1.6 fte) IM&ICT (CISO) Madison Ghurka (fixed price, 110K) Riscure (fixed price, 130K Technologie (0,2 fte) Service & Beheer (0,1 fte) Overige Technologie (0,2 fte) IM&ICT Service & Beheer (o,1 fte) (Datacenter, TAB, Overige DBA, Solutions Architect) *:Inzet betreft het kernteam Privacy & Security en niet de daaronder vallende lijnafdelingen **: Inzet tot 31-05-2010
Security & Privacy framework - borging Voor Privacy & Security geldt voor alle afdelingen dat er veranderingen zijn doorgevoerd op strategisch, tactisch en operationeel niveau om aan de WBP en sectoreisen te voldoen. Dit is o.a. hieronder weergegeven. Kwaliteitsaspecten Privacy Security Strategisch Tactisch Operationeel Privacybeleid AO privacy Bewerkingsovereenkomsten Melding Wbp Disclaimers Dataeigenaren Geheimhouding Procedures contracten Governancemodel en ISPMS Risicoanalyse Incidentafhandeling Blauwdruk Awarenessprogramma Gedragscode Technische aanpassingen Aanpassen autorisaties Aanpassen installed base Informatiebeveiligingsbeleid Continuïteitsbeleid AO security Afvoer persoonsgegevens Back-ups Security server Penetratietesten Procedures ControlsAMI Bed Tec drijfsbureau chnologie Lianderon Alliandero Aanbes nderdelen inza onderdelen inz steding & cont Service& U Uitrol ake slimme me zake slimme m tractmaangem &beheer eter meter ment
ISPMS proces Naast het waarborgen van de samenhang is continue verbetering noodzakelijk om te blijven voldoen aan de eisen. Dit wordt geïnitieerd door o.a. nieuwe technologische ontwikkelingen, maar ook door aanpassingen van wet- en regelgeving. Om deze veranderingen te kunnen omzetten in juiste handelingen is een proces opgezet, dat ISPMS is genoemd. Information Security & Privacy Management Systeem
Planning audit Planning audit Fase Week 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 I. Valideren normenkader II. Vaststellen feitelijke situatie III. Conceptrapportage van bevindingen IV. Vaststellen functioneren V. Uitbrengen van definitieve rapportage, Evaluatie en Afronding VI. Bij positief oordeel aanvraag keurmerk Privacy-Audit-Proof Interviews Aanleveren documentatie 3 maanden functioneren vaststellen
Vragen Johan Rambi: privacy & security officer Liander Infostroom E-mail : johan.rambi@alliander.com