1 WYMAGANE FUNKCJONALNOŚCI USŁUG ZADANIE NR 2 USŁUGI W ZAKRESIE PROJEKTU Koncepcja i model funkcjonowania regionalnych usług elektronicznych Projekt zakłada zbudowanie wdrożenie i utrzymanie dla wszystkich podmiotów (podmioty lecznicze i spółki powstałe z ich przekształcenia, podległe Sejmikowi Województwa Wielkopolskiego oraz Urzędu Marszałkowskiego Województwa Wielkopolskiego) usług elektronicznych: 1) usługa korporacyjnej transmisji danych realizowanej przez dwie współpracujące podsieci transmisji danych: podsieć szerokopasmowa o przepustowości docelowej 1Gb/s dla Urzędu Marszałkowskiego Województwa Wielkopolskiego (dalej UMWW) oraz podmiotów leczniczych eksploatujących światłowodowe łącza zewnętrznej transmisji danych według stanu na dzień 30.06.2014; podsieć dostępowa w trybie wirtualnej sieci prywatnej o przepustowości minimum 10Mb/s do podsieci szerokopasmowej dla podmiotów leczniczych nie objętych podsiecią szerokopasmową, eksploatujących miedziane łącza zewnętrznej transmisji danych według stanu na dzień 30.06.2014; 2) usługa uwierzytelniania i autoryzacji dostępu do infrastruktury transmisji danych objętej zakresem Projektu zarządzanie i kontrola dostępu do infrastruktury transmisji danych (urządzenia transmisji danych) realizowane dla wszystkich podmiotów objętych zasięgiem Projektu; procedury i działania przygotowawcze (audyt ruchu sieciowego, scenariusz profilowania, integracja ze strukturą sieci wirtualnych). Wśród podmiotów leczniczych objętych podsiecią szerokopasmową wyróżnia się dwa wiodące, realizujące dodatkowe funkcjonalności zapewnienia wysokiej dostępności, obsługi łączności z podsiecią dostępową i sieciami zewnętrznymi (w tym Internet). UMWW jest kwalifikowany także jako podmiot wiodący. Korporacyjna transmisja danych W koncepcji usługi planuje się zapewnienie wszystkim podmiotom objętym zasięgiem Projektu możliwości przesyłania danych w dwóch współdzielonych kanałach łączności: 1) kanał wewnętrzny dla przesyłania danych w relacjach między podmiotami; 2) kanał zewnętrzny dla przesyłania danych w relacjach podmiotów z partnerami (podmiotami) nie objętymi zakresem Projektu (Internet). Usługa zapewnia ochronę przesyłanych danych na poziomie fizycznym łączy transmisji danych (kodowanie danych) i na poziomie logicznym protokołów komunikacyjnych (profilowanie ruchu sieciowego). Ochrona przesyłanych danych na obu poziomach jest realizowana przez zapory ogniowe. W koncepcji usługi przyjęto, że minimalna (początkowa) przepustowość w kanale 1) transmisji danych będzie realizowana Projekt z współfinansowany przepustowością przez na Unię poziomie Europejską 100Mb/s, z Europejskiego a docelowo Funduszu Rozwoju będzie Regionalnego to 1Gb/s dla podsieci szerokopasmowej i na poziomie min. 10Mb/s dla sieci dostępowej. Dla tego kanału nie wyróżnia się uprzywilejowanych podmiotów. Zakłada się natomiast, że zmiana typu medium transmisyjnego z łącza miedzianego na światłowodowe jest spełnieniem warunku koniecznego dla zmiany trybu realizacji usługi z dostępowego na szerokopasmowy (podmiot leczniczy może zostać włączony do podsieci szerokopasmowej). 1
2 Łączność w kanale 2) będzie realizowana z przepustowością na poziomie 100Mb/s, a jej ew. zwiększenie będzie realizowane jeśli taką potrzebę wykaże eksploatacja usługi. Dla tego kanału wyróżnia się podmioty uprzywilejowane, które będą realizować obsługę zewnętrznej transmisji danych (Internet). Wiodące podmioty lecznicze objęte podsiecią szerokopasmową zapewniać będą wysoką dostępność usługi transmisji danych (zdwojone przełączniki) oraz bezpieczeństwa i dostępności dla podmiotów objętych podsiecią dostępową (zdwojone zapory ogniowe realizujące także obsługę zdalnego dostępu w trybie wirtualnej sieci prywatnej dla tych podmiotów). W sytuacji przeciążenia lub awarii kierowanie ruchem sieciowym będzie automatycznie przenoszone między podmiotami wiodącymi (inżynieria ruchu). Warunkiem koniecznym do realizacji takiej automatyzacji jest dysponowanie szerokopasmowym łączem między tymi podmiotami. W tym celu planuje się wykorzystanie światłowodowego łącza fizycznego (tzw. ciemny światłowód, rozwiązanie preferowane) o przepustowości 10Gb/s lub transparentnego łącza logicznego (standard QnQ IEEE 802.1ad) pracującego w trybie L2 (poziom 2 przenoszenia ruchu sieciowego) z przepustowością 2 x 10Gb/s. Zastosowanie takiego łącza (niezależnie od jego technicznej realizacji) umożliwi odseparowania ruchu sieciowego usług elektronicznych od ruchu sieciowego wytwarzanego przez usługi systemowe m.in. przez usługę połączeń iscsi wykorzystywanych do przesyłania danych między zasobami sprzętowej infrastruktury przetwarzania danych (m.in. do synchronizacja macierzy dyskowych). Wszystkie sieci wirtualne lokalnych (VLAN) środowisk informatycznych podmiotów objętych podsiecią szerokopasmową będą zakończone w lokalnych zaporach ogniowych środowisk IT podmiotów leczniczych. Planuje się, że obie podsieci tworzące sieć korporacyjną będą dysponować swoją konfiguracją sieci wirtualnych niezależną od konfiguracji lokalnych środowisk IT. W dalszej perspektywie Projekt zapewnia techniczną możliwość wdrożenia jednolitego schematu adresacji sieci wirtualnych obejmującego sieć korporacyjną i sieci lokalnych środowisk IT podmiotów leczniczych. Dostęp dla podmiotów objętych siecią zasobową będzie realizowany w trybie wirtualnej sieci prywatnej (ang. Virtual Private Network VPN). Obsługa takich połączeń dla wszystkich podmiotów w sieci dostępowej (w tym zespołów ratownictwa medycznego) będzie realizowana przez lokalne zapory ogniowe we współpracy z zaporami podmiotów wiodących. W przypadku braku łączności z podmiotami wiodącymi przewiduje się jednak możliwość obsługi autonomicznej tylko przez lokalne zapory ogniowe według ostatnich poprawnie funkcjonujących parametrów konfiguracji i uwierzytelniania dostępu. Zapory ogniowe będą także realizować obsługę ruchu sieciowego w trybie L3 (poziom 3 przenoszenia ruchu sieciowego), co umożliwi rozdział tego ruchu na produkcyjny, prace rozwojowe i wdrożeniowe (budowa usług elektronicznych), publiczny (pacjenci/goście, Internet), zarządzający (zasoby infrastruktury transmisji i przetwarzania danych), administracyjny (administracja), zdalny dostęp (VPN), itp. Łączność między podmiotami i UMWW nie będzie wykorzystywała trybu L2. W przypadku podmiotów leczniczych realizujących zadania ratownictwa medycznego (2), w Projekcie planuje się wdrożenie rozwiązania zapewniającego zespołom ratownictwa medycznego zautomatyzowane nawiązywanie łączności i transmisję danych z podmiotami leczniczymi (5) obsługującymi te zespoły. W zakresie Projektu dla tego zadania planuje się zakup i instalację w podmiotach leczniczych zestawów łączności bezprzewodowej. Zestawy będą zawierały kontroler łączności bezprzewodowej z 10. punktami dostępowymi i zostaną włączone do lokalnych infrastruktur transmisji danych lokalnych środowiska IT podmiotów leczniczych i rejonowych stacji ratownictwa medycznego bądź punktów wyczekiwania dla karetek. Wyposażenie karetek (zespoły ratownictwa medycznego) w pokładowe stanowiska robocze i łączność bezprzewodową jest jednym z zadań w zakresie innego projektu. 2
3 W koncepcji tego rozwiązania zakłada się, że karetki wyposażone w pokładowe stanowiska robocze (tablety) i zaporę ogniową będą funkcjonowały jako: mobilne punkty dostępowe łączności bezprzewodowej obsługujące transmisję danych lokalizowaną dla miejsca zdarzenia ratownictwa medycznego (przesyłanie danych dla potrzeb zespołu ratownictwa medycznego podejmującego akcję ratowniczą w miejscu zdarzenia); mobilne punkty przekaźnikowe łączności bezprzewodowej obsługujące dynamicznie zestawiane połączenia w trybie wirtualnej sieci prywatnej z punktami dostępowymi łączności bezprzewodowej zainstalowanymi w podmiotach obsługujących zdarzenia ratownictwa medycznego (Szpitalne Oddziały Ratunkowe) dla potrzeb automatycznego przekazywania danych o zdarzeniach ratownictwa medycznego (m.in. karta zdarzenia ratownictwa medycznego) gromadzonych podczas akcji ratowniczych. Uwierzytelnianie i autoryzacja dostępu do infrastruktury transmisji danych objętej zakresem Projektu Zakres Projektu obejmuje także wdrożenie usługi uwierzytelniania i autoryzacji dostępu wyposażenie usługi dla korporacyjnej transmisji danych w postaci funkcje zarządzania i kontroli dostępu (m.in. jednolity mechanizm identyfikacji użytkowników) do zasobów infrastruktury transmisji danych realizowanych przez specjalizowane oprogramowanie (ang. Network Access Control NAC). Funkcje zarządzania i kontroli dostępu będą realizowane dla dostępu do usługi i urządzeń transmisji danych, a ich wdrożenie obejmie także niezbędne procedury i działania przygotowawcze (audyt ruchu sieciowego, scenariusz profilowania, integracja ze strukturą sieci wirtualnych). W zakresie Projektu przewiduje się także opracowanie i wdrożenie odpowiedniego schematu adresacji IP dla potrzeb łączności korporacyjnej, wykorzystującego odpowiednio dobrany zakres i strukturę adresów IP w klasie A adresacji prywatnej (10.0.0.0). Rozwiązanie planowane w zakresie Projektu uzupełnia dotychczas eksploatowany kanał łączności dalekodystansowej wykorzystujący sieci telefonii komórkowej (infrastruktura operatora/dostawcy usługi telekomunikacji komórkowej) o kanał krótkodystansowy transmisji danych wykorzystujący łącze bezpośrednie z podmiotem leczniczym (brak infrastruktury pośredniczącej). 3
4 USŁUGA ŁĄCZNOŚCI KORPORACYJNEJ - ZEWNĘTRZNA TRANSMISJA DANYCH (24 SZT.): Zakresy oczekiwanych funkcjonalności 1. nieuprzywilejowana transmisja danych między podmiotami leczniczymi i UMWW 2. nieuprzywilejowana transmisja danych w relacjach zewnętrznych dla podmiotów leczniczych iumww; 3. ochrona transmisji danych na poziomie fizycznym łączy transmisji danych (kodowanie strumienia bitów); 4. ochrona transmisji danych na poziomie logicznym ruchu sieciowego (profilowanie ruchu); 5. synchronizacja konfiguracji profilowania ruchu zewnętrznego między urządzeniami obsługującymi profilowanie (transmisja korporacyjna, transmisja zewnętrzna); 6. obsługa sieci wirtualnych: własny schemat sieci wirtualnych dla transmisji korporacyjnej; integracja ze schematami lokalnych środowisk IT podmiotów leczniczych. Wymagania funkcjonalne planowanej usługi elektronicznej 1. wykorzystanie zewnętrznych światłowodowych łączy transmisji danych eksploatowanych przez podmioty lecznicze; 2. obsługa połączeń sieci dostępowej w trybie wirtualnej sieci prywatnej; 3. przepustowość transmisji: a. 100Mb/s 1Gb/s dla podsieci szerokopasmowej; b. 10Mb/s dla podsieci dostępowej; 4. min. dwa łącza wymiany danych z sieciami zewnętrznymi z przepustowością min. 100Mb/s; 5. ochrona wewnętrznego ruchu sieciowego na poziomie łączy fizycznych w trybie kodowania/dekodowania kryptograficznego realizowana przez zapory ogniowe; 6. ochrona wewnętrznego ruchu sieciowego łączności korporacyjnej na poziomie łączy logicznych w trybie profilowania realizowana przez zapory ogniowe; 7. ochrona zewnętrznego ruchu sieciowego łączności korporacyjnej na poziomie łączy logicznych w trybie profilowania realizowana przez zapory ogniowe; 8. min. dwa węzły obsługi połączeń w trybie wirtualnej sieci prywatnej obsługiwane przez zapory ogniowe wiodących podmiotów leczniczych. 9. wydzielone wewnętrzne łącze wysokiej dostępności o przepustowości min. 10Gb/s między wiodącymi podmiotami leczniczymi; 10. własny schemat adresacji IP; 11. własny schemat sieci wirtualnych dla łączności korporacyjnej; 4
5 USŁUGA ŚRODOWISKA INFORMATYCZNEGO PODMIOTU UWIERZYTELNIANIE I AUTORYZACJA DOSTĘPU DO ZASOBÓW INFRASTRUKTURY TRANSMISJI DANYCH OBJĘTEJ ZAKRESEM PROJEKTU (24 SZT.): Zakresy oczekiwanych funkcjonalności zarządzanie i kontrola dostępu do infrastruktury transmisji danych (urządzenia transmisji danych) realizowane dla wszystkich podmiotów objętych zasięgiem Projektu: a. zarządzanie i kontrola dostępu; b. wdrożenie procedury i działania przygotowawcze: a. audyt ruchu sieciowego; b. scenariusz profilowania; c. integracja ze strukturą sieci wirtualnych. Wymagania funkcjonalne zarządzania i kontrola dostępu do infrastruktury transmisji danych 1. Zarządzanie i kontrola dostępu (NAC): autoryzacja dostępu do sieci (IEEE 802.1x, Web-based, MAC based, Kerberos AD, MSCHAPv2); zewnętrzna autoryzacja użytkowników (RADIUS, LDAP/AD, DB); obsługa sieci wirtualnych (IEEE 802.1Q); wbudowana obsługa serwera dynamicznego przydziału adresów IP; zarządzanie zasobami (przyłącza, urządzenia transmisji danych, sieci wirtualne, adresacja IP; możliwość rozbudowy funkcjonalności w trybie instalacji modułów/bloków funkcjonalnych; portal rejestracji dostępu dla gości; blokada nieautoryzowanego dostępu; monitorowanie parametrów urządzeń transmisji danych; rejestracja zdarzeń; możliwość pracy w środowisku zwirtualizowanym; architektura modułowa; obsługa skryptów poleceń; integracja z oferowanymi urządzeniami transmisji danych, systemem IPS i zaporami ogniowymi w zakresie: monitorowanie stanu urządzenia; zarządzanie vlanami oraz podsieciami IP; zarządzanie użytkownikami; przypisywanie użytkowników do profili uprawnień. 2. Wdrożenie (Zarządzanie wewnętrzną infrastrukturą transmisji danych): a. audyt bezpieczeństwa transmisji wewnętrznej: identyfikacja składników ruchu sieciowego transmisji danych; identyfikacja zapotrzebowania na pasmo przepustowości dla ruchu sieciowego transmisji danych; identyfikacja źródeł ruchu sieciowego transmisji danych; identyfikacja struktury sieci wirtualnych; identyfikacja środków ochrony i zabezpieczeń ruchu sieciowego transmisji danych; 5
6 identyfikacja mechanizmów oraz metod uwierzytelniania dostępu do urządzeń infrastruktury transmisji danych; identyfikacja procedur dostępu do infrastruktury technicznej obsługującej infrastrukturę transmisji danych; raport; b. projekt techniczno-wykonawczy: schemat ideowy i opis podłączenia lokalnej infrastruktury danych do urządzeń transmisji danych objętych zakresem Projektu (połączenia zasobowe i rdzeniowe); schemat adresacji IP dla budowanej infrastruktury (zgodność ze schematem adresacji IP lokalnego środowiska IT); schemat sieci wirtualnych dla infrastruktury transmisji danych budowanej w zakresie Projektu (zgodność ze schematem sieci wirtualnych lokalnego środowiska IT); scenariusz profilowania ruchu sieciowego przez urządzenia transmisji danych objęte zakresem Projektu na styku z lokalną infrastrukturą transmisji danych; schemat wykorzystania węzłów połączeń rdzeniowych i zasobowych; instalacja i wdrożenie (parametryzacja i konfiguracja) NAC dla urządzeń transmisji danych objętych zakresem Projektu; wykaz elementów z parametrami techniczno-ruchowymi; schemat budowlany (na podkładzie rzutu) podłączenia lokalnej infrastruktury danych do urządzeń transmisji danych objętych zakresem Projektu. 6
7 WYMAGANIA FUNKCJONALNE PLANOWANYCH DZIAŁAŃ PRZYGOTOWAWCZYCH (ŚRODOWISKO INFORMATYCZNE) (24 SZT.) 1. Audyt bezpieczeństwa transmisji zewnętrznej: identyfikacja składników ruchu sieciowego transmisji danych; identyfikacja zapotrzebowania na pasmo przepustowości dla ruchu sieciowego transmisji danych; identyfikacja źródeł ruchu sieciowego transmisji danych; identyfikacja środków ochrony i zabezpieczeń ruchu sieciowego transmisji danych; identyfikacja mechanizmów oraz metod uwierzytelniania dostępu do urządzeń infrastruktury transmisji danych; identyfikacja procedur dostępu do infrastruktury technicznej obsługującej infrastrukturę transmisji danych; dokumentacja techniczna: schemat łączności wysokiej dostępności podsieci szerokopasmowej dla połączenia między podmiotami wiodącymi; schemat adresacji IP dla budowanej infrastruktury realizującej usługę łączności korporacyjnej; scenariusz profilowania ruchu sieciowego przez urządzenia transmisji danych objęte zakresem Projektu na styku z lokalną infrastrukturą transmisji danych; wdrożenie (parametryzacja i konfiguracja) NAC dla urządzeń transmisji dany realizujących usługę łączności korporacyjnej; wykaz elementów z parametrami techniczno-ruchowymi; schemat budowlany (na podkładzie rzutu) podłączenia lokalnej infrastruktury danych do urządzeń transmisji danych objętych zakresem Projektu. 2. Opracowanie i wdrożenie scenariusza profilowania: scenariusz profilowania ruchu sieciowego na styku z lokalną infrastrukturą transmisji danych i budowaną infrastrukturą transmisji danych w zakresie Projektu; scenariusz profilowania ruchu sieciowego dla wewnętrznej łączności korporacyjnej w podsieci szerokopasmowej; scenariusz profilowania ruchu sieciowego dla łączności korporacyjnej w podsieci dostępowej. 3. Integracja ze strukturą sieci wirtualnych: schemat sieci wirtualnych dla łączności korporacyjnej budowanej w zakresie Projektu; odwzorowanie sieci wirtualnych łączności korporacyjnej w schematy sieci wirtualnych lokalnych środowisk IT. 7