LISA

SISUKORD

1.	Sissejuhatus …

1.1.	Akronüümid ja lühendid …

2.	Üldine ülevaade …

3.	Geograafiline katvus …

4.	Võrguteenused …

4.1.	Võrgu paigutus …

4.2.	CS-SIS põhisüsteemi ja CS-SIS varusüsteemi vahelise ühenduse liik …

4.3.	Ribalaius …

4.4.	Teenuste klassid …

4.5.	Toetavad protokollid …

4.6.	Tehnilised nõuded …

4.6.1.

Internetiaadress …

4.6.2.

IPv6 tugi …

4.6.3.

Staatilise marsruudi sisestamine …

4.6.4.

Püsiva andmevoo määr …

4.6.5.

Muud nõuded …

4.7.	Vastupidavus …

5.	Kontrollimine …

6.	Üldteenused …

7.	Käideldavus …

8.	Turvateenused …

8.1.	Võrgu krüpteerimine …

8.2.	Muud turvaelemendid …

9.	Kasutajatugi ja tugistruktuur …

10.	Suhtlemine teiste süsteemidega …

1.   Sissejuhatus

Käesolevas dokumendis kirjeldatakse nõudeid sidevõrgule ja selles sisalduvatele osadele ning erinõudeid võrgule.

1.1.   Akronüümid ja lühendid

Käesolevas osas kirjeldatakse dokumendis kasutatud akronüüme.

Akronüümid ja lühendid	Selgitus
BLNI	Riikliku kohaliku liidese varuliides
CEP	Keskne kasutajaliides
CNI	Riiklik keskliides
CS	Keskinfosüsteem
CS-SIS	Tehniline tugisüsteem, mis sisaldab SIS II andmebaasi
DNS	Nimeserver
FCIP	Andmete tunneldamine
FTP	Faili edastusprotokoll
HTTP	Hüperteksti edastusprotokoll
IP	Internetiprotokoll
LAN	Kohtvõrk
LNI	Riiklik kohalik liides
Mbps	Megabitti sekundis
MDC	Süsteemi peaarendaja
N.SIS II	Süsteemi riiklik osa liikmesriigis
NI-SIS	Ühtne riiklik liides
NTP	Võrguaja protokoll
SAN	Salvestivõrk
SDH	Sünkroon-andmehierarhia
SIS II	Teise põlvkonna Schengeni infosüsteem
SMTP	Lihtne meiliedastusprotokoll
SNMP	Lihtne võrguhalduse protokoll
s-TESTA	Turvaline üleeuroopaline valitsusasutuste telemaatiliste teenuste süsteem on meede IDABC programmis (programm üleeuroopaliste e-valitsuse teenuste koostalitusvõimelise osutamise kohta riiklikele haldusasutustele, ettevõtetele ja kodanikele. Euroopa Parlamendi ja nõukogu 21. aprilli 2004. aasta otsus 2004/387/EÜ).
TCP	Edastusohje protokoll
VIS	Viisainfosüsteem
VPN	Virtuaalne privaatvõrk
WAN	Laivõrk

2.   Üldine ülevaade

SIS II koosneb järgmistest osadest:

—

Keskinfosüsteem (edaspidi “SIS II kesksüsteem”) koosneb järgmistest osadest: — tehniline tugisüsteem (edaspidi “CS-SIS”), mis sisaldab SIS II andmebaasi. CS-SISi põhisüsteem teostab tehnilist järelevalvet ja haldusfunktsioone ning CS-SIS varusüsteem suudab tagada põhisüsteemi kõik funktsioonid viimase rikke korral; — ühtne riiklik liides (edaspidi “NI-SIS”).

—	Süsteemi riiklik osa (edaspidi “N.SIS II”), mis koosneb SIS II kesksüsteemiga ühenduses olevatest riiklikest andmesüsteemidest. N.SIS II võib sisaldada andmefaili (edaspidi “riiklik koopia”), mis omakorda sisaldab SIS II andmebaasi täielikku või osalist koopiat.

—	Sideinfrastruktuur tugisüsteemi CS-SIS ja liidese NI-SIS vahel (edaspidi “sideinfrastruktuur”), mis on SIS II andmetele ja SIRENE büroode vaheliseks andmevahetuseks ette nähtud krüpteeritud virtuaalne võrk.

NI-SIS koosneb järgmistest osadest:

—	igas liikmesriigis asuv riiklik kohalik liides (edaspidi “LNI”), mis füüsiliselt ühendab liikmesriigi turvalisse sidevõrku ja mis sisaldab krüpteerivaid seadmeid SIS II ja SIRENE andmeliikluse jaoks. LNI asub liikmesriikide asutustes;

—	vabatahtlik riikliku kohaliku liidese varuliides (edaspidi “BLNI”), millel on täpselt samasugune sisu ja ülesanne nagu liidesel LNI.

Liideseid LNI ja BLNI kasutatakse ainult SIS II süsteemis ja SIRENE süsteemi andmesideks. LNI ja BLNI konkreetne konfiguratsioon täpsustatakse ja lepitakse kokku iga liikmesriigiga eraldi, et võtta arvesse turvanõudeid, füüsilist asukohta ja paigaldamise tingimusi, sealhulgas võrguteenuse pakkuja osutatavaid teenuseid. See tähendab, et s-TESTA ühendus võib sisaldada mitut VPN tunnelit suhtlemiseks teiste süsteemidega (näiteks VIS ja Eurodac).

—	Riiklik keskliides (edaspidi “CNI”) on rakendus, mis kindlustab juurdepääsu tugisüsteemile CS-SIS. Igal liikmesriigil on eraldi loogiline juurdepääsupunkt liidesele CNI keskse tulemüüri kaudu.

Sideinfrastruktuur CS-SISi ja NI-SISi vahel koosneb järgmistest osadest:

—	turvaline üleeuroopaline valitsusasutuste telemaatiliste teenuste süsteem (edaspidi “s-TESTA”), mis pakub krüpteeritud virtuaalset privaatvõrku SIS II andmetele ja SIRENE andmeliiklusele.

3.   Geograafiline katvus

Sideinfrastruktuur peab olema võimeline katma kõiki liikmesriike ja pakkuma neile vajalikke teenuseid.

Kaetud on kõik ELi liikmesriigid (Belgia, Tšehhi Vabariik, Taani, Saksamaa, Eesti, Iirimaa, Kreeka, Hispaania, Prantsusmaa, Itaalia, Küpros, Läti, Leedu, Luksemburg, Ungari, Malta, Madalmaad, Austria, Poola, Portugal, Sloveenia, Slovakkia, Soome, Rootsi, Ühendkuningriik) ning Island, Norra, Šveits.

Lisaks tuleb arvesse võtta äsja ühinenud riikide Rumeenia ja Bulgaaria katmist.

Sideinfrastruktuuri peab saama laiendada mis tahes riiki või üksusesse, kes ühineb SIS II kesksüsteemiga (nt Europol, Eurojust).

4.   Võrguteenused

Protokolli või ülesehituse nimetamisel tuleks arvestada, et neile vastavad tulevased tehnoloogiad, protokollid ja ülesehitus on samuti vastuvõetavad.

4.1.   Võrgu paigutus

SIS II ülesehitus kasutab tsentraliseeritud teenuseid, millele on juurdepääs igast liikmesriigist. Vastupidavuse tagamise eesmärgil asuvad tsentraliseeritud teenused kahes erinevas kohas. CS-SIS põhisüsteem asub nimelt Prantsusmaal Strasbourgis ja CS-SIS varusüsteem Austrias St Johann im Pongaus.

Keskinfosüsteemile, st põhi- ja varusüsteemile, peab olema võimalik juurde pääseda kõigist liikmesriikidest. Osalevatel riikidel võib olla võrgule mitu juurdepääsupunkti (LNI ja BLNI), mis ühendavad riikliku süsteemi tsentraliseeritud teenustega.

Lisaks peamisele ühendusele tsentraliseeritud teenustega peab sideinfrastruktuur toetama ka kahepoolset täiendava teabe vahetust erinevate liikmesriikide SIRENE büroode vahel.

4.2.   CS-SIS põhisüsteemi ja CS-SIS varusüsteemi vahelise ühenduse liik

CS-SIS põhisüsteemi ja CS-SIS varusüsteemi sidumiseks vajalik ühendus peab olema SDH ring või sellega võrdne ühendus, mis peab sobima ka uue ülesehituse ja tehnoloogia kasutuselevõtu korral. SDH infrastruktuuri kasutatakse põhi- ja varusüsteemi kohalike võrkude laiendamiseks, et luua katkematu ühtne kohtvõrk (LAN). Sellist võrku kasutatakse põhi- ja varusüsteemi pideva sünkroniseerimise jaoks.

4.3.   Ribalaius

Sideinfrastruktuuri oluliseks nõudeks on ribalaius, mida on võimalik kasutada omavahel seotud süsteemi osades. Seda ribalaiust peab olema võimalik kasutada ka tuumvõrgus.

Liidese LNI ja vabatahtliku liidese BLNI jaoks vajalik ribalaius on iga liikmesriigi puhul erinev ja sõltub peamiselt sellest, kas soovitakse kasutada riiklikke koopiaid, teostada otsinguid kesksüsteemis ja vahetada biomeetrilisi andmeid.

Tegelik ribalaius, mida sideinfrastruktuuris otsustatakse pakkuda, ei ole oluline seni, kuni see rahuldab iga liikmesriigi minimaalse vajaduse.

Iga eespool nimetatud süsteemi osa võib nii edastada kui ka vastu võtta suurt hulka andmeid (tähtnumbrilised ja biomeetrilised andmed ning tervikdokumendid). Seega peab sideinfrastruktuur tagama kõikides ühendustes piisava minimaalse üles- ja allalaadimise kiiruse.

Sideinfrastruktuur peab pakkuma ühenduse, mille kiirus ulatub 2 megabitist sekundis 155 megabitini sekundis või on veelgi kiirem. Võrk peab tagama kõigis ühendustes minimaalse üles- ja allalaadimise kiiruse, mis on piisav, et toetada võrgu juurdepääsupunktide summaarset ribalaiust.

4.4.   Teenuste klassid

SIS II kesksüsteem peab suutma prioriseerida päringuid/hoiatusteateid. Sellest tuleneva nõudena peab sideinfrastruktuur olema samuti võimeline prioriseerima andmevahetust.

Eeldatakse, et SIS II kesksüsteem määrab vajadusel kõikide andmepakettide puhul võrgu prioriseerimise parameetrid. Selleks kasutatakse kaalutud õiglase järjestamise meetodit. See tähendab, et sideinfrastruktuur peab suutma säilitada kohtvõrgus andmepakettidele määratud prioriteedid ja kohtlema tuumvõrgus andmepakette sellele vastavalt. Lisaks peab sideinfrastruktuur edastama algsed andmepaketid sihtkohta samade prioriteetidega, mis on neile kohtvõrgus määratud.

4.5.   Toetavad protokollid

SIS II kesksüsteem kasutab mitut võrguprotokolli. Sideinfrastruktuur peaks toetama suurt hulka võrguprotokolle. Toetavad standardprotokollid on HTTP, FTP, NTP, SMTP, SNMP ja DNS.

Lisaks standardprotokollidele peab sideinfrastruktuur olema võimeline kasutama erinevaid tunneldusprotokolle, salvestivõrgus olevate andmete tiražeerimise protokolle ja Javat Javaga ühendavaid protokolle, mis on kaitstud BEA WebLogic'u omandiõigusega. Tunneldusprotokolle, näiteks IPsec tunnelrežiimis, kasutatakse krüpteeritud andmeliikluse edastamiseks sihtkohta.

4.6.   Tehnilised nõuded

4.6.1.   Internetiaadress

Sideinfrastruktuuril peab olema hulk reserveeritud internetiaadresse, mida võib kasutada ainult selles võrgus. Reserveeritud internetiaadressidest kasutab SIS II kesksüsteem teatud hulka internetiaadresse, mida mujal ei kasutata.

4.6.2.   IPv6 tugi

Eeldatakse, et liikmesriikide kohalikus võrgus kasutatav protokoll on TCP/IP. Siiski kasutavad mõned süsteemi osad versiooni 4, samas kui teised kasutavad versiooni 6. Võrgu juurdepääsupunktid peavad olema võimelised toimima lüüsina, olenemata SIS II kesksüsteemis ja N.SIS II kasutatavatest võrguprotokollidest.

4.6.3.   Staatilise marsruudi sisestamine

CS-SIS põhi- ja varusüsteem saavad kasutada liikmesriikidega suhtlemisel sama internetiaadressi. Seega peaks sideinfrastruktuur võimaldama staatilise marsruudi sisestamist.

4.6.4.   Püsiva andmevoo määr

Kui CS-SIS põhi- ja varusüsteemi ühendusel on koormuse määr väiksem kui 90 %, peab vastav liikmesriik olema võimeline pidevalt toetama kogu oma kindlaksmääratud ribalaiust.

4.6.5.   Muud nõuded

CS-SIS toetamiseks peab sideinfrastruktuur vastama vähemalt minimaalsetele tehnilistele nõuetele:

Andmete ülekande viivitus peab olema 95 % andmepakettide puhul (sealhulgas tipptundidel) 150 millisekundit või väiksem ning 100 % andmepakettide puhul väiksem kui 200 millisekundit.

Andmepakettide kaotamise tõenäosus tohib olla 95 % andmepakettide puhul (sealhulgas tipptundidel) 10-4 või väiksem ning 100 % andmepakkide puhul väiksem kui 10-3.

Eespool nimetatud nõudeid kaalutakse iga juurdepääsupunkti puhul eraldi.

CS-SIS põhi- ja varusüsteemi vahelise ühenduse viiteaeg tohib olla 60 ms või väiksem.

4.7.   Vastupidavus

Üks nõue tugisüsteemi CS-SIS kavandamisel oli, et see peab olema laialdaselt kättesaadav. Et süsteem peaks vastu teatavate osade rikke korral, on kõik seadmed dubleeritud.

Sideinfrastruktuur peab vastu pidama teatavate osade rikete korral. Vastupidavad peavad olema järgmised sideinfrastruktuuri osad:

—

tuumvõrk,

—	marsruutimisseadmed,

—	võrgupunktid,

—	kliendiliini ühendused (sealhulgas füüsiliselt dubleeritud kaablid),

—	turvaseadmed (krüpteerimisseadmed, tulemüürid jms),

—	kõik üldteenused (DNS, NTP jms),

—

LNI/BLNI.

Kogu võrguseadmete tõrkesiirde mehhanism peaks toimima automaatselt.

5.   Kontrollimine

Kontrollimise lihtsustamiseks peab olema võimalik ühendada sideinfrastruktuuri kontrollivahendid SIS II kesksüsteemi operatiivjuhtimise eest vastutava organisatsiooni kontrolliseadmetega.

6.   Üldteenused

Lisaks kindlaks määratud võrgule ja turvateenustele peab sideinfrastruktuur pakkuma ka üldteenuseid.

Eriteenuseid tuleb vastupidavuse tagamiseks pakkuda CS-SIS põhi- ja varusüsteemis.

Sideinfrastruktuur peab tagama järgmised vabatahtlikud üldteenused:

Teenus	Täiendav teave
DNS	Tõrkesiirde kord, mille tulemusena võrk lülitub rikke korral CS-SIS põhisüsteemilt ümber CS-SIS varusüsteemile, põhineb praegu internetiaadressi muutmisel DNS serveris.
E-kirjade edasisaatmine	Üldise e-posti edasisaatmine võib olla kasulik erinevate liikmesriikide e-posti standardiseerimiseks ning erinevalt eriserverist ei vaja see CS-SIS põhi- ega varusüsteemi võrguressursse. Üldises e-postis edastatav e-post peab siiski vastama kindlaks määratud turvanõuetele.
NTP	Teenust saab kasutada selleks, et sünkroniseerida võrguseadmete kellad.

7.   Käideldavus

CS-SIS, LNI ja BLNI peavad olema käideldavad 99,99 % ulatuses 28päevase ajavahemiku jooksul, sõltumata võrgu käideldavusest.

Sideinfrastruktuuri käideldavus peab olema 99,99 %.

8.   Turvateenused

8.1.   Võrgu krüpteerimine

SIS II kesksüsteem ei luba kõrge või väga kõrge kaitsenõudega andmeid saata väljapoole LANi krüpteerimata. Tuleks tagada, et võrguteenuse pakkujal ei ole mingil juhul juurdepääsu SIS II operatiivsetele andmetele ega andmevahetusele SIRENE süsteemis.

Turvalisuse kõrge taseme tagamiseks peab sideinfrastruktuur võimaldama hallata sertifikaate/krüpteerimisvõtmeid. Krüpteerimisseadmeid peab olema võimalik hallata ja kontrollida üle võrgu. Krüpteerimisalgoritmid peavad vastama vähemalt järgmistele nõuetele:

—	sümmeetrilised krüpteerimisalgoritmid: — 3DES (128 bitti) või parem, — krüpteerimisvõtme loomine peab sõltuma juhuslikust väärtusest, mis ei võimalda ründe korral võtmeruumi vähenemist, — krüpteerimisvõtmed või teave, mida saab kasutada võtmete tuletamiseks, on alati kaitstud salvestis,

—	asümmeetrilised krüpteerimisalgoritmid: — RSA (1 024 bitti) või parem, — krüpteerimisvõtme loomine peab sõltuma juhuslikust väärtusest, mis ei võimalda ründe korral võtmeruumi vähenemist.

Kasutatakse sõnumi kapselturbe (ESP, RFC2406) protokolli. Seda kasutatakse tunnelrežiimil. Andmepaketi sisu ja IP päis krüpteeritakse.

Seansivõtme vahetamiseks kasutatakse võtmete vahetamist üle Interneti (IKE protokoll).

IKE võtmed kehtivad mitte kauem kui ühe päeva.

Seansivõtmed kehtivad mitte kauem kui ühe tunni.

8.2.   Muud turvaelemendid

Lisaks SIS II juurdepääsupunktidele peab sideinfrastruktuur kaitsma ka vabatahtlikke üldteenuseid. Nende teenuste kaitsemeetmed peavad olema võrreldavad tugisüsteemi CS-SIS kaitsemeetmetega. Kõik üldteenused peavad seetõttu olema kaitstud vähemalt tulemüüri, viirusetõrje ja sissetungi tuvastamise süsteemiga (IDS). Lisaks peaks üldteenuste seadmete ja nende kaitsemeetmete turvalisust pidevalt kontrollima (logimine ja järelmeetmed).

Turvalisuse kõrge taseme saavutamiseks peab SIS II kesksüsteemi operatiivjuhtimise eest vastutav organisatsioon olema teadlik mis tahes turvaintsidentidest, mis toimuvad sideinfrastruktuuris. Seega peab sideinfrastruktuur võimaldama teatada viivitamatult turvaintsidentidest SIS II kesksüsteemi operatiivjuhtimise eest vastutavat organisatsiooni. Kõik turvaintsidendid peavad olema kajastatud korrapäraselt, nt igakuises ja ad hoc aruandluses.

9.   Kasutajatugi ja tugistruktuur

Sideinfrastruktuuri pakkuja peab tagama kasutajatoe, kes suhtleb SIS II kesksüsteemi operatiivjuhtimise eest vastutava organisatsiooniga.

10.   Suhtlemine teiste süsteemidega

Sideinfrastruktuur peab tagama, et teave ei satuks väljapoole kindlaks määratud teabekanaleid. Tehniliselt tähendab see järgmist:

—	igasugune loata ja/või kontrollimata juurdepääs teistele võrkudele on rangelt keelatud. See hõlmab ühendust Internetiga;

—	võrgus ei tohi ilmneda andmete leket teistesse süsteemidesse, nt ei ole lubatud sidusus erinevate IP VPN võrkudega.

Lisaks eespool nimetatud tehnilistele piirangutele mõjutavad võrgule kehtestatud nõuded ka sideinfrastruktuuri kasutajatuge. Kasutajatugi ei tohi avaldada SIS II kesksüsteemiga seotud mis tahes teavet kellelegi peale SIS II kesksüsteemi operatiivjuhtimise eest vastutava organisatsiooni.