Þegar hér er komið hefur þarfagreining verið framkvæmd, þjónusta island.is og UMBRA skoðuð og markaður kannaður.

Hægt er að velja tegund hugbúnaðar og setja fram kröfur og þarfir í takt við valið. Einnig er hægt að hafa hugsanlegu kaupin opnari og hafa allar leiðir listaðar upp í tæknilýsingu útboðsgagnana.

Til þess að geta valið á milli er gott að horfa á þarfagreininguna og hafa eftirfarandi spurningar í huga.

Uppfyllir stöðluð lausn allar kröfur og þarfir?

Þörf er að meta hvort að stöðluð lausn geti uppfyllt á ásættanlegan máta þær þarfir, kröfur og virkni sem settar hafa verið fram í þarfagreiningu. Ef ekki, þarf annað hvort að kanna hvort hægt sé að breyta ferlum innan stofnunar og þannig fækka eða breyta kröfum og þörfum svo hægt sé að velja staðlaðan hugbúnað. Ef ekki, gæti sérlausn eða Power Platform verið betri kostur.

Er hægt að skipta þörfunum upp?

Fá þannig lausnir frá mismunandi birgjum þar sem við á og tengja saman?

Hver er kostnaðurinn?

Bera þarf saman kostnað á mögulegum lausnum þar sem allir þættir eru teknir með í reikninginn. T.d. innleiðing, áskriftir, þjónusta, hönnun, þróun, viðhald, hýsing, gjöld o.fl. er tekið inn í reikninginn. Einnig þarf að taka tillit til heildarkostnaðar við eignarhald (TCO) yfir áætlaðan líftíma hugbúnaðarins.

Er gerð krafa um stuttan innleiðingartíma?

Ef svo er þá hafa staðlaðar lausnir oftar en ekki styttri innleiðingartíma samanborið við þróun og innleiðingu á sérlausn, ásamt Power Platform gæti einnig haft sambærilegan innleiðingartíma og stöðluð lausn og hugsanlega styttri innleiðingartíma en sérlausn ef á viðbótum/breytingum/sérsmíði er þörf.

Er þörf á eða gerð krafa um skalan- og sveigjanleika?

Ef slík þörf eða krafa er fyrir hendi þá er sérlausn almennt sveigjanlegri og skalanlegri þar sem hún er smíðuð algjörlega eftir hentisemi stofnunar og getur því þróast og aðlagast breytingum innan og utan fyrirtækis. Sú þróun kallar þó ávallt á aukið fjármagn til verkefnisins. Staðlaðar lausnir geta þó einnig uppfyllt þörfina um skalan – og sveigjanleika, þar sem staðlaðar lausnir eru í stöðugri þróun með áherslu á þarfir markaðarins. Ef um sértækar þarfir eða kröfur er að ræða er hugsanlega farið í þróun undir ákveðnum forsendum t.d. þurfa þær að vera hagkvæmar fyrir lausnina og í samræmi við framtíðarsýn lausnarinnar. Power Platform falla á milli staðlaða lausna og sérlausna þar sem töluverður sveigjanleiki og skalanleiki er í boði.

Eru möguleikar á samþættingu við annan hugbúnað til staðar?

Kanna þarf hvort að staðlaða lausnin geti verið samþætt við núverandi hugbúnað og innviði, helst í gegnum samþættingarlag tengt með API. Ef ekki er hægt að tengja staðlaða lausn við núverandi hugbúnað þarf að meta bæði þörf á núverandi hugbúnaði og þörfina til tengingar. Sérlausn getur þó tryggt samþættingu við núverandi hugbúnað þar sem þróun er sérsniðin að hagsmunum stofnunarinnar. Power Platform lausnir bjóða einnig upp á auðvelda samþættingu við hugbúnað frá sama birgja. T.d. Microsoft Power Platform á mjög auðvelt með að tengjast öllu í Microsoft umhverfinu.

Hver er þörfin á stuðningi og viðhaldi?

Meta þarf hversu mikinn stuðning og viðhald hugbúnaðurinn þarf. Byrgi staðlaðar lausnar sér um viðhald á lausninni og veitir stuðning eftir þjónustusamning (SLA). Power Platform fær allan sinn stuðning frá birgja/þróunaraðila og þarfnast ekki innanborðs þekkingar. Sérlausn gæti veitt betri stjórn á stuðningi og viðhaldi en fer það eftir því hvort að umsjónarteymi sé innanhúss eða útvistað. Í öllum tilfellum þarf að meta viðhalds og stuðnings kostnað hugbúnaðarins ásamt hvort tækniþekking sé til staðar innan húss eða ekki.

Uppfyllir staðlaðar- eða Power Platform lausnir þær öryggis- og lagalegu kröfur í samræmi við þarfagreiningu stofnunarinnar ásamt almennum kröfum?

Ef ekki þá gæti sérlausn verið betri kostur þar sem hægt er að sérsníða hugbúnaðinn til að mæta settum kröfum.

Besta leiðin fer eftir því hvaða þarfir eru fyrir hendi. Fyrir einfaldar lausnir sem þurfa ekki mikið sérsnið gætu Power Platforms eða Staðlaðar lausnir verið betri valkostur. Hins vegar, ef þörf er fyrir einstaka lausn með eiginleikum sem ekki eru í boði á almenna markaðnum, gæti Sérsmíðuð lausn verið rétta leiðin.

Eftir að kröfur um virkni hugbúnaðarins hafa verið settar fram í tæknilýsingu er nauðsynlegt að setja fram eftirfarandi tæknilegar kröfur til hugbúnaðarins sjálfs til varnar því að lenda í læstri stöðu hjá birgja.

Kröfur um stöðluð gagnaform

• Notast skal við staðlað gagnaform (data type/ format) þegar kemur að úttaki, vistun og vinnslu.

Kröfur um öryggi hugbúnaðar

• Fylgja þarf viðmiðum um öryggi sem íslensk stjórnvöld hafa sett fram. T.d.

  • gera kröfu um þekking á Open Web Application Security Project (OWASP) þarf að vera til staðar hjá seljanda saman ber tæknistefnu Stafræns Íslands https://docs.devland.is/technical-overview/technical-direction Þegar kemur að öryggi vefþjónusta.

• https://cheatsheetseries.owasp.org/index.html

Ákveða þarf hvernig kerfið á að höndla bilanir og niður tíma (failure).

• Gera þarf áætlun um rekstrarsamfellu (Business continuity) til þess að tryggja lágmarks niður tíma, áframhaldandi traust notanda og framtíðar viðbætur/lagfæringar.

• Kaupandi þarf að vera undirbúin og:

  • framkvæma áhættumat

  • setja upp öryggisstefnu og framkvæma reglulegt áhættumat.

  • gera kröfu um vöktunarkerfi sem greinir óeðlilega hegðun í rauntíma.

  • gera kröfu um að öryggisafrit af gögnum og stillingum sé reglulega tekin.

  • Gera kröfu um að gerð sé aðgerðaáætlun sem lýsir því hvaða skref skal taka ef bilun/mistök verða og samskipti við kaupanda. Hún ætti að vera auðskiljanleg og aðgengileg öllum starfsfólki. Til dæmis mætti áætlunin að innihalda eftirfarandi kaflaÁ meðan bilun/mistök eru til staðar sem framkallar rekstrarstöðvun.

    • Lausn og endurheimt frá viðgerð til atvikaskráningar.

    • Eftir bilun/mistök frá rannsókn, uppfærslum og þjálfun.

    • Tilkynning til netöryggissveitar ef um alvarlegt atvik eða áhættu sem ógnar öryggi að ræða.

Kröfur um aðgangsstýringu og notenda stjórnun

• Aðgangsstýringar þurfa að vera skýrar, útlistaðar og í höndum stofnunar við verklok.

• Skilgreina þarf hlutverk notanda vel og réttindum úthlutað í samræmi við hana.

• Aðgangsstjórnun síðna (User Management)

  • Stýra réttindum niður á

  • Síður

  • Einingar

  • Ákveðna hluta

Krafa varðandi aðgengismál

• Þegar kemur að útfærslu og hönnun notendaviðmóts hugbúnaðarins þarf hann að uppfylla WCAG Level AA staðalinn ef almenningur er endanotandinn þó er kaupandi hvattur til að nýta ávallt þessa kröfu. Hönnun skal vera skýr, einföld og aðgengileg ásamt því að samræmis skal gætt á milli viðmóts og notenda flæðis.

Við innleiðingu hugbúnaðar fyrir opinbera aðila þarf að setja fram kröfur sem endurspegla hvort um er að ræða almenna hugbúnaðarinnleiðingu, stöðluð (SaaS) kerfi, Power Platform (kerfisforrit) eða sérsmíðaða hugbúnaðarlausn.

Kröfur um að standast verkáætlun sem inniheldur:

• Tímalínu verkefnis

• Kostnað

• Áfangaskiptingu

• Ábyrgð

• Skipulagningu auðlinda

• Gæða- og áhættustjórnun.

Öryggis og rekstraröryggis kröfur:

• Kröfur um öryggi, þar með talið áhættumat, reglubundið öryggiseftirlit og öryggisafritun, eiga að vera fyrir hendi.

• Hönnun á hugbúnaðinum þarf að tryggja að hann þoli bilanir og geti tryggt samfelldan rekstur eins mikið og mögulegt er.

• Allar innleiðingar þurfa að uppfylla strangar öryggiskröfur, með áherslu á vernd gagna, aðgengi, og viðeigandi aðgangsstýringar.

• Afturkröfur: Ákveða hvað gera skal ef eitthvað fer úrskeiðis, svo sem með endurheimtunarkerfi eða afturköllun á breytingum.

Eignarhald gagna:

• Hið opinbera þarf að tryggja að eigið gögnin sem eru vistuð hjá þjónustuveitanda, að þau séu á stöðluðu sniði og auðveldlega flutt á milli kerfa​.

Kostnaðarskipting:

• Kostnaðarliðir og gjaldskrá þurfa að vera skýrir og áætlanir um innleiðingu aðgengilegar. Þetta nær yfir leyfisgjöld, gagnageymslugjöld og notendakostnað​.

Kröfur um þjálfun og stuðning

• Þjálfun starfsmanna: Skilgreina þarf hvers konar þjálfun notendur og tækniteymi þurfa og hvernig henni verður komið á.

• Stuðningsþjónusta: Ákveða hvernig stuðningsþjónusta verður skipulögð í innleiðinggarferlinu.

• Leiðbeiningar og námskeið: Þurfa að vera til staðar/haldin þegar innleiðing hefst til að auðvelda starfsmönnum að setja upp og nota hugbúnaðinn rétt.

Prófanir

• Framkvæma prófanir fyrir innleiðingu, til að tryggja að hugbúnaðurinn virki eins og til er ætlast.

• Staðfestingarkerfi: Setja upp ferli fyrir samþykki viðskiptavina eða notenda, þannig að hugbúnaðurinn sé yfirfarinn og samþykktur á hverju stigi.

• Endurteknar prófanir: Eftir hverja breytingu eða viðbót, framkvæma prófanir til að ganga úr skugga um að allt virki rétt.

Kröfur um skýrslugjöf

• Framvinduskýrslur: Setja upp reglubundnar framvinduskýrslur um stöðu innleiðingarinnar.

• Árangursmælingar: Ákvarða lykilmælikvarða (KPI) fyrir árangur innleiðingarinnar, svo sem notkun, ánægju notenda, og tíma til að ljúka ferlinu.

Almennar kröfur fyrir innleiðingu á hugbúnaðarlausnum eru mikilvægar til að tryggja að ferlið gangi vel, að hugbúnaðurinn uppfylli þörfina og að innleiðingin styðji heildarmarkmið opinbera aðilans.

Við gerð þjónustusamnings vegna kaupa á hugbúnaði, hvort sem það er staðlaður hugbúnaður eða Power Platform lausnir, er mikilvægt að hafa nokkra þætti í huga til að tryggja öryggi, skýr samskipti og viðunandi þjónustustig.

Þegar þjónustusamningur er gerður þarf first að skilgreina hvaða þjónustu er verið að biðja um, þar að segja hvaða kerfishlutar eða hugbúnað samningurinn nær yfir, eftirfylgni og fleira.

Hægt er að nota tæknilýsingu útboðs til að byggja grunn að þjónustusamningnum.

Í mörgum tilfellum hafa fyrirtæki fram að færa staðlaða þjónustusamninga en þarf þá að passa uppá að þessar grunn þarfir komi fram og hver ber ábyrgð á hverju.

Mikilvægt er að þjónustusamningurinn sé kaflaskiptur niður á deild/svið t.d. ef um fleiri þjónustueiningar (deildir) innan birgja þurfa að þjónusta hugbúnaðarlausnina.

Í almennum þjónustusamning þurfa að koma fram kröfur er varða:

• Þjónustustig (SLA - Service Level Agreement) sem inniheldur upplýsingar um:

  • Viðbragðstíma fyrir viðbrögð og úrlausnir uppákoma

  • Áreiðanleiki og ábyrgð á kerfi t.d. með kröfu um “uppitíma”.

  • Virkni kröfur en skilgreina lágmarks frammistöðukröfur hugbúnaðar.

  • Aðgengi að tækniaðstoð og skilmálar hennar (t.d. 24/7 stuðningur eða takmarkaður aðgangur).

  • Hafðu skýran tengilið: Báðir aðilar ættu að hafa tilnefnda tengiliði til að auðvelda samskipti.

  • Reglubundin fundahöld: Skipuleggja reglulega yfirferðir til að tryggja að allt gangi smurt.

• Persónuvernd og öryggi, að allt sé í samræmi við lög, reglur og samninga.

  • Samræmi við lög og reglur, t.d. GDPR.

  • Skýrt hvaða aðili á gögnin og hvernig meðhöndlun þeirra fer fram.

  • Að innbrotsvarnir, og hætta á gagnaþjófnaði sé haldið við.

• Uppfærsla og viðhald, að uppfærslur séu innifaldar og reglubundnu viðhaldi sinnt.

• Greiðsluupplýsingar

  • Gjalddagar og hugsanleg viðurlög við vanskilum.

  • Ófyrirséður kostnaður, skýra vel hvað er ekki innifalið í grunnverði.

• Ábyrgð, hvað ber seljandi ábyrgð á (t.d. villuleiðréttingum, virkni kerfisins)