Rutin för produktionssättning av IT-system för central användning vid Uppsala universitet

1 Inledning

De riktlinjer som beskrivs i detta dokument utgör ett komplement till de övergripande riktlinjer inom IT-området som fastställts av universitetsdirektören. IT-chefen ansvarar för att dessa uppdateras kontinuerligt samt fastställer riktlinjer på detaljerad nivå. De riktlinjer för produktionssättning som beskrivs i detta dokument ger tillsammans med de övergripande riktlinjerna inom IT-området anvisningar om de regler som gäller för produktionssättning av IT-system för central användning vid Uppsala universitet.

Särskilda aspekter finns att beakta då system produktionssätts för central användning vid universitetet. Frågor som rör säkerhet och begränsningar vad gäller skalbarhet utgör exempel på sådant som alltid bör utredas noggrant innan ett system sätts i produktion, men som av naturliga orsaker blir av särskilt stor vikt då ett system är tänkt för användning i större skala. Förutom det som har med systemets tekniska egenskaper att göra behöver frågor rörande driftmiljö och aspekter som rör bemanning kring systemet och kontinuitetsaspekter utredas noggrant. Erfarenheter visar på att det finns anledning att särskilt beakta nedanstående kompletterande riktlinjer i ett skede då ett system som utvecklats eller upphandlats för lokal användning, exempelvis vid en fakultet eller en institution/motsvarande, görs tillgängligt för central användning vid universitetet.

2 Angående central och lokal användning

De övergripande riktlinjer inom IT-området, som fastställts av universitetsdirektören, inkluderar bl. a. följande formulering: ”För administrativt arbete och myndighetsutövning ska likartade behov i olika delar av organisationen samordnas via gemensam upphandling/utveckling”.

Vid all användning av IT-system utgör användbarhetsaspekter en avgörande faktor, som också den berörs i de övergripande riktlinjerna. En avvägning där möjligheten till samordning vägs mot aspekter som rör användbarhet måste göras i varje enskilt fall. En strävan efter ökad samordning och en strävan efter system där användbarhetsaspekter står i fokus behöver så långt det är möjligt kombineras med varandra.

Riktlinjerna nedan gäller vid all produktionssättning av centrala system, d.v.s. system som är gemensamma för hela organisationen, men bör även användas som vägledning vid produktionssättning av system för lokal användning i en begränsad del av organisationen. Riktlinjerna kan utgöra ett särskilt gott stöd i en process där ett system successivt får en ökad användning vid universitetet.

3 Produktionssättning av system för central användning

För all användning av IT-system vid Uppsala universitet gäller de övergripande riktlinjer som beskrivs i dokumentet Riktlinjer inom IT-området. Utöver de skrivningar som finns under punkten 4.3, Anskaffning, utveckling och förvaltning av IT-system, i de övergripande riktlinjerna ska nedanstående beaktas inför produktionssättning av system för central användning vid universitetet.

• Central användning av systemetet får inte strida mot beslut i övergripande ITstrategiska frågor. Beslut om central användning ska förankras med universitetets IT-chef.
• Centralt använda system ska kunna integrera mot universitets IT-miljö i övrigt. Särskilt viktigt är detta för funktioner som autentisering och auktorisering, eftersom separat användarhantering både är en källa till säkerhetsrisker och stort administrativt merarbete.
• Frågor som rör förvaltning och vidareutveckling av systemet ska noggrant utredas. Underhåll och vidareutveckling ska handhas av en organisatorisk enhet där teknisk kompetens och detaljerad kännedomen om systemet innehas av ett flertal personer.
• Systemet ska integreras som en del i ett förvaltningsobjekt används för systemförvaltning vid Uppsala universitet. enligt den modell som
• En utredning med fokus på systemets skalbarhet ska genomföras.
• En utredning gällande systemets driftmiljö ska genomföras. Frågor som rör riktighet, tillgänglighet och konfidentialitet ska stå i centrum för denna utredning. Konsekvenser till följd av kortare eller längre avbrott i driften ska noggrant bedömas för att skapa förutsättningar för en effektiv och säker driftmiljö.
• En riskanalys som ser till både tekniska och organisatoriska aspekter ska genomföras. De tekniska aspekterna ska omfatta risker kopplade till såväl mjukvarulösning som driftmiljö. En informationsklassificering ska genomföras och utgöra grund för riskanalysen. Säkererhetsenheten bistår med stöd i dessa moment.

Ovanstående gäller även då ett system som utvecklats eller upphandlats för lokal användning, exempelvis vid en fakultet eller en institution/motsvarande, görs tillgängligt för central användning. Systemägaren ansvarar för efterlevnaden av dessa riktlinjer.