Þegar hér er komið hefur þarfagreining verið framkvæmd, þjónusta island.is og UMBRA skoðuð og markaður kannaður.

Hægt er að velja tegund hugbúnaðar og setja fram kröfur og þarfir í takt við valið. Einnig er hægt að hafa hugsanlegu kaupin opnari og hafa allar leiðir listaðar upp í tæknilýsingu útboðsgagnana.

Til þess að geta valið á milli er gott að horfa á þarfagreininguna og hafa eftirfarandi spurningar í huga.

Uppfyllir stöðluð lausn allar kröfur og þarfir?

Þörf er að meta hvort að stöðluð lausn geti uppfyllt á ásættanlegan máta þær þarfir, kröfur og virkni sem settar hafa verið fram í þarfagreiningu. Ef ekki, þarf annað hvort að kanna hvort hægt sé að breyta ferlum innan stofnunar og þannig fækka eða breyta kröfum og þörfum svo hægt sé að velja staðlaðan hugbúnað. Ef ekki, gæti sérlausn eða Power Platform verið betri kostur.

Er hægt að skipta þörfunum upp?

Fá þannig lausnir frá mismunandi birgjum þar sem við á og tengja saman?

Hver er kostnaðurinn?

Bera þarf saman kostnað á mögulegum lausnum þar sem allir þættir eru teknir með í reikninginn. T.d. innleiðing, áskriftir, þjónusta, hönnun, þróun, viðhald, hýsing, gjöld o.fl. er tekið inn í reikninginn. Einnig þarf að taka tillit til heildarkostnaðar við eignarhald (TCO) yfir áætlaðan líftíma hugbúnaðarins.

Er gerð krafa um stuttan innleiðingartíma?

Ef svo er þá hafa staðlaðar lausnir oftar en ekki styttri innleiðingartíma samanborið við þróun og innleiðingu á sérlausn, ásamt Power Platform gæti einnig haft sambærilegan innleiðingartíma og stöðluð lausn og hugsanlega styttri innleiðingartíma en sérlausn ef á viðbótum/breytingum/sérsmíði er þörf.

Er þörf á eða gerð krafa um skalan- og sveigjanleika?

Ef slík þörf eða krafa er fyrir hendi þá er sérlausn almennt sveigjanlegri og skalanlegri þar sem hún er smíðuð algjörlega eftir hentisemi stofnunar og getur því þróast og aðlagast breytingum innan og utan fyrirtækis. Sú þróun kallar þó ávallt á aukið fjármagn til verkefnisins. Staðlaðar lausnir geta þó einnig uppfyllt þörfina um skalan – og sveigjanleika, þar sem staðlaðar lausnir eru í stöðugri þróun með áherslu á þarfir markaðarins. Ef um sértækar þarfir eða kröfur er að ræða er hugsanlega farið í þróun undir ákveðnum forsendum t.d. þurfa þær að vera hagkvæmar fyrir lausnina og í samræmi við framtíðarsýn lausnarinnar. Power Platform falla á milli staðlaða lausna og sérlausna þar sem töluverður sveigjanleiki og skalanleiki er í boði.

Eru möguleikar á samþættingu við annan hugbúnað til staðar?

Kanna þarf hvort að staðlaða lausnin geti verið samþætt við núverandi hugbúnað og innviði, helst í gegnum samþættingarlag tengt með API. Ef ekki er hægt að tengja staðlaða lausn við núverandi hugbúnað þarf að meta bæði þörf á núverandi hugbúnaði og þörfina til tengingar. Sérlausn getur þó tryggt samþættingu við núverandi hugbúnað þar sem þróun er sérsniðin að hagsmunum stofnunarinnar. Power Platform lausnir bjóða einnig upp á auðvelda samþættingu við hugbúnað frá sama birgja. T.d. Microsoft Power Platform á mjög auðvelt með að tengjast öllu í Microsoft umhverfinu.

Hver er þörfin á stuðningi og viðhaldi?

Meta þarf hversu mikinn stuðning og viðhald hugbúnaðurinn þarf. Byrgi staðlaðar lausnar sér um viðhald á lausninni og veitir stuðning eftir þjónustusamning (SLA). Power Platform fær allan sinn stuðning frá birgja/þróunaraðila og þarfnast ekki innanborðs þekkingar. Sérlausn gæti veitt betri stjórn á stuðningi og viðhaldi en fer það eftir því hvort að umsjónarteymi sé innanhúss eða útvistað. Í öllum tilfellum þarf að meta viðhalds og stuðnings kostnað hugbúnaðarins ásamt hvort tækniþekking sé til staðar innan húss eða ekki.

Uppfyllir staðlaðar- eða Power Platform lausnir þær öryggis- og lagalegu kröfur í samræmi við þarfagreiningu stofnunarinnar ásamt almennum kröfum?

Ef ekki þá gæti sérlausn verið betri kostur þar sem hægt er að sérsníða hugbúnaðinn til að mæta settum kröfum.

Besta leiðin fer eftir því hvaða þarfir eru fyrir hendi. Fyrir einfaldar lausnir sem þurfa ekki mikið sérsnið gætu Power Platforms eða Staðlaðar lausnir verið betri valkostur. Hins vegar, ef þörf er fyrir einstaka lausn með eiginleikum sem ekki eru í boði á almenna markaðnum, gæti Sérsmíðuð lausn verið rétta leiðin.

Persónuvernd

• Hugbúnaður þarf að vera byggður upp á þann hátt að stofnun geti framfylgt GDPR löggjöfinni https://gdpr.eu/ er viðkemur persónugreinanlegum upplýsingum.

• Ásamt lögum um persónuvernd og vinnslu persónuupplýsinga.

• Gagnaflokkun skal styðja við að persónuupplýsingar séu unnar í samræmi við lög um persónuvernd og vinnslu persónuupplýsinga nr. 90/2018. Vinnslur sem m.a. eru skráðar í vinnsluskrár ríkisaðila geta tekið til eins eða fleiri gagna og mikilvægt að öll gögn sem innihalda persónuupplýsingar séu flokkaðar

Lög um opinber skjalasöfn nr. 77/2014.

• https://radgjof.skjalasafn.is/

• Varðveisluskylda er á öllum skjölum og gögnum sem hafa orðið til, borist eða verið viðhaldið við starfsemi afhendingarskyldra aðila og er óheimilt að eyða nokkrum upplýsingum nema að heimild liggi fyrir samkvæmt lögum um opinber skjalasöfn.

Reglugerð um vernd trúnaðarupplýsinga (nr. 959/2012)

• Reglugerð um vernd trúnaðarupplýsinga, öryggisvottanir og öryggisviðurkenningar á sviði öryggis- og varnarmála tekur sérstaklega til þeirra trúnaðarupplýsinga sem varnarmálalög, nr. 34/2008 taka til og aðgangs að trúnaðarupplýsingum á grundvelli samninga við Evrópusambandið, aðrar þjóðir og alþjóðlegar stofnanir

Upplýsingalög nr. 140/2012.

• Gagnaflokkun styður við markmið upplýsingalaga um gagnsæi í stjórnsýslu, aðgengi að upplýsingum hins opinbera og að auka traust almennings á stjórnsýslu með því að beita kerfisbundnum aðferðum til að flokka og meðhöndla gögn hins opinbera

Lög um öryggi net- og upplýsingakerfa mikilvægra innviða nr. 78/2019

• Markmið þessara laga er að stuðla að öryggi og viðnámsþrótti net- og upplýsingakerfa mikilvægra innviða eins og þeir eru skilgreindir í lögum þessum.

• https://www.althingi.is/lagas/nuna/2019078.html

Gera þarf vinnslusamning ef um meðferð persónuupplýsinga er að ræða.

Vinnslusamningur í hugbúnaðarþróun er samningur sem lýsir því hvernig á að vinna með gögn eða þjónustu sem er verið að þróa eða veita. Í þessu samhengi getur þetta oft verið tengt því hvernig á að meðhöndla persónuupplýsinga eða önnur viðkvæm gögn.

Í vinnslusamningum byggða á GDPR reglugerðinni um persónuvernd, þarf að huga sérstaklega að aðkomu þriðja aðila þar sem hann þarf mögulega að vinna með persónuupplýsingar. Í slíkum samningum er m.a. gert ráð fyrir:

• Hverjum markmiðum vinnslan þjónar.

• Hvernig gögnin eru vernduð og hvernig aðgangur að þeim sé tryggður.

• Hvernig og hvenær gögnum verður eytt eða skilað aftur eða færð á annan stað.

• Hvaða skyldur verða á hugbúnaðarþróunaraðilanum hvað varðar persónuvernd og örugga vinnslu.

• Eftirlit og skilyrði um endurmat.

Vinnslusamningurinn tryggir að bæði viðskiptavinurinn og hugbúnaðarþróunaraðilinn skilji hlutverk sitt og skyldur þegar kemur að gagnanna vinnslu og að þær verði framkvæmdar í samræmi við gildandi lög og reglugerðir. Samningurinn skapar þannig skilyrði fyrir skilvirkni, öruggri og löglegri vinnslu gagna í hugbúnaðarþróunarferlinu.

Eftir að kröfur um virkni hugbúnaðarins hafa verið settar fram í tæknilýsingu er nauðsynlegt að setja fram eftirfarandi tæknilegar kröfur til hugbúnaðarins sjálfs til varnar því að lenda í læstri stöðu hjá birgja.

Kröfur um stöðluð gagnaform

• Notast skal við staðlað gagnaform (data type/ format) þegar kemur að úttaki, vistun og vinnslu.

Kröfur um öryggi hugbúnaðar

• Fylgja þarf viðmiðum um öryggi sem íslensk stjórnvöld hafa sett fram. T.d.

  • gera kröfu um þekking á Open Web Application Security Project (OWASP) þarf að vera til staðar hjá seljanda saman ber tæknistefnu Stafræns Íslands https://docs.devland.is/technical-overview/technical-direction Þegar kemur að öryggi vefþjónusta.

• https://cheatsheetseries.owasp.org/index.html

Ákveða þarf hvernig kerfið á að höndla bilanir og niður tíma (failure).

• Gera þarf áætlun um rekstrarsamfellu (Business continuity) til þess að tryggja lágmarks niður tíma, áframhaldandi traust notanda og framtíðar viðbætur/lagfæringar.

• Kaupandi þarf að vera undirbúin og:

  • framkvæma áhættumat

  • setja upp öryggisstefnu og framkvæma reglulegt áhættumat.

  • gera kröfu um vöktunarkerfi sem greinir óeðlilega hegðun í rauntíma.

  • gera kröfu um að öryggisafrit af gögnum og stillingum sé reglulega tekin.

  • Gera kröfu um að gerð sé aðgerðaáætlun sem lýsir því hvaða skref skal taka ef bilun/mistök verða og samskipti við kaupanda. Hún ætti að vera auðskiljanleg og aðgengileg öllum starfsfólki. Til dæmis mætti áætlunin að innihalda eftirfarandi kaflaÁ meðan bilun/mistök eru til staðar sem framkallar rekstrarstöðvun.

    • Lausn og endurheimt frá viðgerð til atvikaskráningar.

    • Eftir bilun/mistök frá rannsókn, uppfærslum og þjálfun.

    • Tilkynning til netöryggissveitar ef um alvarlegt atvik eða áhættu sem ógnar öryggi að ræða.

Kröfur um aðgangsstýringu og notenda stjórnun

• Aðgangsstýringar þurfa að vera skýrar, útlistaðar og í höndum stofnunar við verklok.

• Skilgreina þarf hlutverk notanda vel og réttindum úthlutað í samræmi við hana.

• Aðgangsstjórnun síðna (User Management)

  • Stýra réttindum niður á

  • Síður

  • Einingar

  • Ákveðna hluta

Krafa varðandi aðgengismál

• Þegar kemur að útfærslu og hönnun notendaviðmóts hugbúnaðarins þarf hann að uppfylla WCAG Level AA staðalinn ef almenningur er endanotandinn þó er kaupandi hvattur til að nýta ávallt þessa kröfu. Hönnun skal vera skýr, einföld og aðgengileg ásamt því að samræmis skal gætt á milli viðmóts og notenda flæðis.

Við innleiðingu hugbúnaðar fyrir opinbera aðila þarf að setja fram kröfur sem endurspegla hvort um er að ræða almenna hugbúnaðarinnleiðingu, stöðluð (SaaS) kerfi, Power Platform (kerfisforrit) eða sérsmíðaða hugbúnaðarlausn.

Kröfur um að standast verkáætlun sem inniheldur:

• Tímalínu verkefnis

• Kostnað

• Áfangaskiptingu

• Ábyrgð

• Skipulagningu auðlinda

• Gæða- og áhættustjórnun.

Öryggis og rekstraröryggis kröfur:

• Kröfur um öryggi, þar með talið áhættumat, reglubundið öryggiseftirlit og öryggisafritun, eiga að vera fyrir hendi.

• Hönnun á hugbúnaðinum þarf að tryggja að hann þoli bilanir og geti tryggt samfelldan rekstur eins mikið og mögulegt er.

• Allar innleiðingar þurfa að uppfylla strangar öryggiskröfur, með áherslu á vernd gagna, aðgengi, og viðeigandi aðgangsstýringar.

• Afturkröfur: Ákveða hvað gera skal ef eitthvað fer úrskeiðis, svo sem með endurheimtunarkerfi eða afturköllun á breytingum.

Eignarhald gagna:

• Hið opinbera þarf að tryggja að eigið gögnin sem eru vistuð hjá þjónustuveitanda, að þau séu á stöðluðu sniði og auðveldlega flutt á milli kerfa​.

Kostnaðarskipting:

• Kostnaðarliðir og gjaldskrá þurfa að vera skýrir og áætlanir um innleiðingu aðgengilegar. Þetta nær yfir leyfisgjöld, gagnageymslugjöld og notendakostnað​.

Kröfur um þjálfun og stuðning

• Þjálfun starfsmanna: Skilgreina þarf hvers konar þjálfun notendur og tækniteymi þurfa og hvernig henni verður komið á.

• Stuðningsþjónusta: Ákveða hvernig stuðningsþjónusta verður skipulögð í innleiðinggarferlinu.

• Leiðbeiningar og námskeið: Þurfa að vera til staðar/haldin þegar innleiðing hefst til að auðvelda starfsmönnum að setja upp og nota hugbúnaðinn rétt.

Prófanir

• Framkvæma prófanir fyrir innleiðingu, til að tryggja að hugbúnaðurinn virki eins og til er ætlast.

• Staðfestingarkerfi: Setja upp ferli fyrir samþykki viðskiptavina eða notenda, þannig að hugbúnaðurinn sé yfirfarinn og samþykktur á hverju stigi.

• Endurteknar prófanir: Eftir hverja breytingu eða viðbót, framkvæma prófanir til að ganga úr skugga um að allt virki rétt.

Kröfur um skýrslugjöf

• Framvinduskýrslur: Setja upp reglubundnar framvinduskýrslur um stöðu innleiðingarinnar.

• Árangursmælingar: Ákvarða lykilmælikvarða (KPI) fyrir árangur innleiðingarinnar, svo sem notkun, ánægju notenda, og tíma til að ljúka ferlinu.

Almennar kröfur fyrir innleiðingu á hugbúnaðarlausnum eru mikilvægar til að tryggja að ferlið gangi vel, að hugbúnaðurinn uppfylli þörfina og að innleiðingin styðji heildarmarkmið opinbera aðilans.