Eigenschap:Beschrijving
Naar navigatie springen
Naar zoeken springen
Type eigenschap
:
Tekst
Geldige waarden
:
Meerdere waarden toegestaan
:
Nee
Weergave op formulieren
:
Tekstvak
Initiële waarde
:
Verplicht veld
:
Nee
Toelichting op formulier
:
Deze elementeigenschap kan gebruikt worden om een element te voorzien van een beschrijving.
Subeigenschap van
:
Formatteerfunctie externe URI
:
Klik op de button om een nieuwe eigenschap te maken:
E
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
{{{Beschrijving}}} +
'''Verslag:
'''
'''1.''' Uitnodiging expert input voor GO traject onder opdrachtgeverschap van Jaap Uijlenbroek
'''Afspraak''': In principe is de expertgroep IAM bereid om input te leveren, daarbij wil de expertgroep graag weten wat naast de kennis die bij nora online staat verwacht wordt door de opdrachtgever. Eric stuurt een mail om de opdracht helder te krijgen.
'''2''' Rondje langs de velden:
# Kees: Erasmus werkt hard aan autorisaties voor mensen in relatie tot COVID19, maar nu moet ook snel nagedacht worden over de toekomst voor het toestaan van toegang op de applicatie(s). Als de behoefte afneemt moet snel teruggeschaald kunnen worden en als de behoefte (lees nieuwe golf virus) weer toeneemt moet weer opgeschaald kunnen worden. Hierbij gaat federatieve toegang met andere partijen/domeinen ook een rol spelen.
# Bob: De NORA pagina wordt bijgehouden, maar er is op dit moment niet echt nieuws (sorry Bob, vanwege de verwarring met de presentatie heb ik niet gevraagd naar interne ontwikkelingen, kan/wil je nog iets aanvullen)
# Harro en John: V&J is bezig met een nieuwe uitvraag IAM, waar een architectuurmodel aan ten grondslag zal liggen. Harro checkt of dit gedeeld kan worden. Voor de NORA voortgang qua begrippen, zie Excel
# Arjen: Qua NORA gewerkt aan begrippen, zie Excel maar intern Den Haag helaas een IAM project gecanceld.
# Erik: Binnen UWV wordt nagedacht over eigenaarschap voor IAM en daarbij is UWV gestart met richten (in de trits richten, inrichten en verrichten). Hier blijkt ook interesse voor bij de anderen. Kees geeft aan dat dit een hot topic is ook in het buitenland. Erik wil hier wel een presentatie over geven op termijn (half jaar). Voor de NORA een bijdrage geleverd aan de definities (zie Excel)
# Anne: Gewerkt aan het gegevenswoordenboek (zie Excel). Zelf bezig met SSO voor het RIJK, wat de GO raakt.
# Wim: Wat betreft NORA: zie Object en gedragsmodel
# Johann: Is al actief lid van GO. Voor NORA: presentatie SSI/toekomst mapping naar “onze ovalenplaat”.
'''3.''' Presentatie Johann:
# Identiteit = Real me & Digital me
# Interessant uitgangspunt gespiegelde plaat.
# Meerdere identiteiten betrokken bij 1 service
# Meerdere identiteiten per persoon
# Wie vertrouwt wat/wie en waarom (ook de service zou zich moeten identificeren)
# Harro: toevoeging 3rd party trust
# Attributenset is niet altijd op 1 betrouwbaarheidsniveau, v.b. BSN in een registratie kan meer vertrouwen bieden dan een emailadres.
# Kees: het wordt “bring your own ID”
# Anne: Tijdigheid is belangrijk hoelang is je attribuut geldig?
'''4.''' Voorstel object en Gedragsmodel IAM voor NORA
# [[media:Dccf3239-4c87-41d7-b508-738a6bed4ce4-IAM_-_objecten_en_gedrag_v19-05-2020_-_docperview.html_(003).pdf|object en gedragsmodel (PDF, 309 kB)]]
# Beslissing: Model als raamwerk is een goed uitgangspunt
# '''Afspraak:''' Harro, John, Erik en optioneel Kees willen samen met Wim het model verfijnen en de definities invullen in een paar (zeg '''4)''' afspraken van 1 uur in de komende 2 a 3 maanden. Marijke organiseert de bijeenkomsten. Randvoorwaarde: Frans de Kok neemt deel namens Logius. Marijke doet haar best 😉
'''5.''' Vervolg expertgroep IAM en afspraak richting gebruikersraad
# De IAM expertgroep maakt de object en gedragsmodellen af met de bijbehorende definities en redigeert nog 1maal de pagina’s op NORA online. Naast de oplevering van de begrippen zoals deze nu al in de excel staan. Daarmee vragen we een verlenging van 4 maanden tot eind oktober. De opgedane kennis en overzichten wordt dan breed gedeeld en gepromoot door ons allen.
# Volgende bijeenkomst wordt eind deze maand woensdag om 15.00 uur.
Verslag:
Tijdens deze meeting zijn de resultaten van de pressure cooker sessies besproken. De pressure cooker sessie zijn geïnitieerd door BZK voor een visie voor de GO (generieke overheidsarchitectuur). De documenten die in dit verband zijn gemaakt, worden nog gepubliceerd onder de GO pagina op het moment dat ze openbaar zijn.
Daarna is de begrippen pagina doorgelopen met het object-model en de gedragsmodellen per functie. De Review tijd voor de gehele expertgroep is aangekondigd, waarbij de op- en aanmerkingen op de discussie pagina's zijn geplaatst (de overleg pagina's).
[[Begrippen IAM]]
Het eerstvolgende expertoverleg wordt 16 september gepland.
Tot uiterlijk 2 september verwacht ik de reacties.
Voorkeur om de reacties op de overleg pagina te plaatsen zie: https://www.noraonline.nl/wiki/Overleg:Begrippen_IAM Daarmee hebben we alle reactie bij elkaar. +
'''Verslag:'''
Tijdens deze meeting zijn de resultaten is een presentatie gegeven door Steven Gort over de toekomstige ontwikkelingen, zie:
# [[media:Workshop_IAM_Sep_30th_2020.pdf|Presentatie (PDF, 2,66 MB)]]
Daarbij is door Steven achtergrond informatie geleverd:
# [[media:De_soeverein_is_niet_thuis.pdf|Artikel door Mireille Hildebrandt (PDF, 204 kB)]]
BZK heeft haar nieuwe project voor SSO (Single Sign On) toegelicht en expertconsultatie gedaan bij deze expertgroep. De contact zijn gelegd voor verdere verkenning van (on)mogelijkheden.
Daarnaast zijn de review resultaten besproken in verband met de nieuwe pagina [[Begrippen IAM]]. Op basis van de review resultaten zijn de pagina's aangepast en is consensus bereikt over de inhoud. Er waren nog een aantal punten van discussie. Daarmee gaat de werkgroep aan de slag en tijdens de bijeenkomst van November wordt décharge gevraagd voor de nieuwe pagina. +
'''Verslag:'''
Tijdens deze meeting heeft de NS een presentatie gegeven over haar nieuwe architectuur. Geheel volgens de nieuwe ontwikkelingen die Gartner eerder ook presenteerde heeft de NS een combinatie voorzien van IAM voor de medewerkers en voor de reizigers. Reacties zijn gegeven door de expertgroep. De presentatie is gericht gedeeld aan de aanwezigen, maar zal niet op deze pagina getoond worden.
Daarnaast zijn de laatste resultaten besproken in verband met de pagina [[Begrippen IAM]]. De werkgroep heeft de laatste wijzigingen gedeeld en daarmee met virtueel applaus décharge gekregen
De vervolg afspraken hebben vooral te maken met een update van de bestaande pagina's. +
'''Verslag:'''
* Tijdens deze bijeenkomst heeft Frits Bouma van DUO een presentatie gehouden over zijn bevindingen in het GO traject en een bespiegeling gegeven op het strategische advies, plan van aanpak van Theo Hooghiemstra aan het ministerie van BZK. # [[media:Presentatie_NORA_Identity_Management.pdf|Presentatie bevindingen en bespiegeling (PDF, 291 kB)]]. De deelnemers aan de vergadering herkende de bevindingen over het GO proces, daarnaast is het strategische advies een welkom advies, vooral omdat het de nadruk legt op afsprakenstelsels i.p.v. zoemende generieke voorzieningen. De afspraak is gemaakt dat we met Theo een vervolg afspraak maken om te horen wat de status is van het rapport en of wij nog kunnen bijdragen.
* Mededelingen: 15 december geeft Harro een presentatie over de opzet van de begrippen pagina van IAM aan een brede groep. De uitnodiging hiervoor volgt. Eric presenteert IAM bij ID-next tijdens een lunch meeting. https://idnext.eu/event/idnext-lunch-break-does-government-give-us-an-identity-or-do-we-yiel-one-to-the-government
* Rondje langs de velden: Den Haag voert op dit moment een heel interessante pilot uit met SSI. [arjen.monster@denhaag.nl] is hier altijd voor te benaderen om meer informatie te geven. Een tweede punt was dat het Rijksproject SSO nu een planning kent. Deze is op te vragen bij Harro.
* Rondvraag: Tijdens de rondvraag en n.a.v. de melding van Den Haag werd gediscussieerd over de toekomst van IAM. DUO heeft hier een duidelijke visie over. Johann Schreurs zal hiervoor een kort stukje schrijven onder de pagina visie behorend bij IAM.
* Vervolgens zijn een aantal afspraken gemaakt.
** De meetings gaan in 2021 door
** Johann voegt zijn Visie toe aan de pagina visie
** Per pagina is een contactpersoon benoemd
** De aanwezigen zijn akkoord gegaan met de vermelding van hun naam op de pagina van de expertgroep +
Het delen van de kennis over opzet en uitvoering van de nieuwe begrippen en modellen pagina IAM
==Verslag==
Een presentatie over de opzet van de begrippen pagina van IAM aan de brede groep van geïnteresseerden vanuit het gebruikersoverleg NORA. Zodat deze aanpak kan worden hergebruikt voor andere thema's.
[[media:IAM_begrippen_binnen_de_NORA.v10.pdf|Presentatie IAM begrippen binnen de NORA (PDF, 648 kB)]]. +
Het delen van kennis en over IAM
==Verslag==
=mededelingen=
Rob Tardijn gaat deelnemen aan een nieuw thema en heeft zich hier uitgeschreven
Presentatie(s) van Harro waren een succes
=Rondje langs de velden=
Deze eerste bijeenkomst in 2021 was vooral een rondje langs de velden. Dit rondje langs de velden bij de aanwezigen heeft het volgende overzicht over gewenste presentaties opgebracht. Daarnaast heel veel mooie kennisdeling en afspraken tot contact.
De gewenste presentaties zijn (dit is de backlog ;-) )
SSI pilot, door gemeente Den Haag (februari)
Zero trust, door Marcel
Polymorfe crypto, door Logius, Frans de Kok
GO resultaten, namens PL, door Johann Scheurs en/of Frits Bouma
IRMA, door SIDN
Reeds gepland voor februari:
Demo Notaris ID, door de branche van Notarissen, deze gaat niet door. We krijgen waarschijnlijk wel een update van de ontwikkelingen.
Tijdens de volgende meeting overleggen we welke we in april op de agenda zetten.
Via Erasmus kwamen we te weten, dat vanwege de inrichting van IAM via RBAC de extra capaciteit zorgverleners binnen 2 dagen rechtmatig van een account was voorzien terwijl een ander ziekenhuis daar 2 weken voor nodig had.
UWV krijgt steeds meer uitdaging met partners waarbij geen BSN gebruikt mag worden voor uitwisseling van gegevens, is een mouw aan te passen zie ook presentatielijst.
Via Anne hoorde wij dat hij NORA als referentie kader gebruikt!
Van Jan Jelle IL@T hoorde we dat IAM nu een project is, waarbij ze zowel contacten van buiten als binnen de organisatie toegang willen bieden.
René gaf aan de de RvdKB werkt aan vernieuwing en daarbij kijk naar de (on)mogelijkheden die ook via NORA gepubliceerd zijn. Hij heeft contact met o.a. Harro hierover. Specifiek is zijn vraag over de keuze van de standaard SAML of ..
Erwin van Kennisnet gaf aan te werken aan SSO, kijkt daarbij naar oplossingen van het Rijk en wellicht hergebruik van SURF oplossing.
Edwin Strijland van de SVB werkt aan IAM Cloud/sourcing oplossingen. Kijkt ook naar IAM Zero Trust. Erik en Edwin nemen contact met elkaar op
Eric heeft tijdens de meeting nog een aantal links naar kaders en NEN normen gedeeld die voor de Raad van de Kinderbescherming handig kunnen zijn .....
= Beheer=
In februari behandelen we een aantal pagina's waar Logius input op heeft gegeven. De visie pagina zal ondertussen een update krijgen van Johann, deze zullen we dan ook bespreken.
<div style="border: 1px solid rgb(148,210,230); background-color: rgb(231,245,249); padding: 4px;max-width: max-content;}">NB: Deze bijeenkomst is geannuleerd.<br />
De eerstvolgende bijeenkomst is op [[Expertgroep Digitale identificatie en authenticatie/2018-08-21|21 augustus]]</div> +
__NOTOC__
==Locatie:==
'''We ontmoeten elkaar bij Rijkswaterstaat:'''
Derde Werelddreef 1, 2622 HA Delft
Voor meer info en route: [https://www.rijkswaterstaat.nl/over-ons/onze-organisatie/organisatiestructuur/centrale-informatievoorziening/centrale-informatievoorziening.aspx Routebeschrijving]
==Huishoudelijk:==
* Roland Drijver is onze gastheer en bereikbaar via 06-51398253
* Inloop vanaf 13.45 uur, begin 14.00 uur, einde rond 17.00 uur
* Parkeergelegenheid op het eigen terrein (en ook in de buurt, gratis)
* Aanmelden bij receptie met een geldig legitimatiebewijs
* Internet: openbaar wifi (er is géén govroam, wordt wel aan gewerkt)
==Agenda:==
===1. Welkom en voorstelrondje 15 min===
Roland Drijver neemt ons mee in de architectuurwerkelijkheid bij RWS
===2. Korte intro wat we gaan doen 10 min===
Waaronder het verslag van de vorige keer doornemen [[Expertgroep Digitale identificatie en authenticatie/2018-10-23]]
===3. Kort de stand van zaken 20 min===
* Eric Brouwer Kader IAM [[Identity & Acces Management]]
* Bob te Riele Identiteitenbeheer [[Identiteitenbeheer]]
* Erwin Reinhoud Authenticatiebeheer [[Authenticatie in de praktijk]]
* Menno Stigter [[Impact eIDAS voor Nederland]]
* Ben Binnendijk Bevoegdhedenbeheer [[Bevoegdhedenbeheer]] en [[Toegang verlenen]]
===4. IAM-voorzieningen bij JenV 60 min===
Erik Olaf Brinkers en Jaap Scheepstra geven aan hoe de IAM-voorzieningen voor de medewerkers (ambtenaren) van JenV de komende jaren worden uitgerold bij de verschillende onderdelen.
Basis daarvoor is het bijgevoegde stuk [[media:Architectuur perspectief Toegang IAM JenV v. 1.0.pdf|Architectuur perspectief Toegang IAM JenV (PDF, 2,68 MB)]]
===5. SAMEN AAN DE SLAG 60 min===
Wim Geurts vertelt ons kort de kernfuncties van de IAM-voorzieningen en -afsprakenstelsels die bij Logius in beheer c.q. ontwikkeling zijn.
Daarna gaan we in een paar groepjes aan de slag om die te plaatsen binnen het Kader IAM. We gaan dan aangeven bij welke onderwerpen van IAM naar die voorzieningen en stelsels moet worden verwezen om hergebruik optimaal mogelijk te maken. Bijzonderheden daarbij lichten we meteen toe.
===6. Bijeenkomsten in 2019 10 min===
* zetten we de maandelijkse bijeenkomsten voort?
* waar kunnen we dan terecht?
* en welke resultaten bespreken we dan?
=== 7. Wvttk en Afsluiting 5 min ===
Rondvraag
Bijgaand een beknopt overzicht van we met elkaar hebben besproken en afgesproken:
# Met het doel om de toepassing van IAM in onze (architectuur)ontwerpen te verbeteren, gaan we concrete bouwstenen verbinden aan het “theoretische” kader IAM.
# Wim Geurts (Logius) heeft ons het perspectief laten zien van waaruit Logius de bouwstenen bekijkt die bij hen in beheer zijn. Zie [[media:Samenhang der dingen.pdf|de “Samenhang der dingen” (PDF, 278 kB)]].
# Daarna hebben we met elkaar alle onderkende bouwstenen toebedeeld aan de onderwerpen van IAM:
## voor Identiteitenbeheer
## voor Bevoegdhedenbeheer / Machtigen
## voor Authenticatie
## voor overige aspecten, zoals Stelsels
# We hebben in groepjes de functionaliteiten van de bouwstenen besproken en zo goed als mogelijk geduid in relatie tot het (onderdeel van het) kader IAM. De resultaten hiervan zijn op foto gezet en wordt nog zsm uitgewerkt. Een eerste uitwerking van Identiteitenbeheer hebben we reeds ontvangen: [[media:Uitwerking voorzieningen Identiteitenbeheer.pdf|Uitwerking voorzieningen Identiteitenbeheer (PDF, 171 kB)]].
# Samen met Logius gaan we voor alle onderkende bouwstenen de volgende info achterhalen:
## Waar op het internet is de bouwsteen beschreven? (we nemen daar een link voor op)
## Welke functionaliteiten heeft die bouwsteen? (wat hebben we er aan)
## Welke relaties heeft de bouwsteen met andere bouwstenen?
## Is de Solution Architectuur ervan beschikbaar? (zo ja, waar of via wie)
# We gaan de bouwstenen een plekje geven in de beschrijvingen van de onderwerpen van IAM.
## Bob te Riele en Eric Brouwer zullen dat uitproberen met een beschrijving van Identiteitenbeheer volgens het NORA vijflaagsmodel. Over 2 a 3 weken leveren ze die beschrijving op.
## En Ben Binnendijk en Menno Stigter gaan vanuit de beschrijving van een bouwsteen de relatie leggen met het kader IAM. Zij zijn sneller en verwachten daar slechts ca. 2 weken voor nodig te hebben.
# Over ca. 5 a 6 weken komen we weer bijeen om de resultaten te bespreken. We zijn daartoe uitgenodigd bij DNB te Amsterdam
{{{Beschrijving}}} +
Reservering, de leden van de expertgroep bepalen ter zijner tijd zelf de agenda. +
Reservering, de leden van de expertgroep bepalen ter zijner tijd zelf de agenda. +
Bijeenkomst Expertgroep Gegevensmanagement geannuleerd +
Conceptverslag:
==Opening==
[[media:NORA GM Expertgroep mei 2020.pdf|Presentatie agenda (PDF, 232 kB)]]
* [[Gegevensmanagement/workshop 7|verslag vorige keer]]
* Mededelingen
** Wim Stolk is een onlangs in dienst getreden bij Berenschot, naast zijn ZZP rol met Stolk Informatiemanagement. In overleg met de ICTU en de expertgroep zal hij aanblijven als onafhankelijk voorzitter van de expertgroep.
** Reeuward kan wat minder tijd besteden aan de expertgroep, door een wisseling in prioriteit en rol bij de KVK. Ze zijn hard bezig met implementatie van SAFE en Reeuward is daar als architect bij betrokken. Gegevensmanagement blijft zeker relevant, o.a. ook in epics voor doorontwikkeling.
** Marieke Vos (NORA) is van 2 juli tot eind oktober met zwangerschapsverlof. Vanuit NORA wordt in de tussentijd wel de logistieke ondersteuning van de expertgroep voortgezet, door Wendy Pragt, maar omdat zij nog maar een half jaar bij NORA binnen is zal Wim voor de inhoudelijke verbindingen waar nodig contact zoeken met het bredere NORA team. Daar heeft hij inmiddels ook de lijntjes voor liggen, dus dat zou geen probleem moeten vormen.
** Merijn Koster vervangt Wilfried vanuit de Belastingdienst. Hij is ook bezig met [[BRM|Regelbeheer]] (/BRM / Business Rules) inclusief Wendbaar Wetgeven. Op het moment bekijkt hij de eigen Data-definitiearchitectuur, die redelijk overeenkomst met het [[MIM (Metamodel voor informatiemodellen)]]. Er zijn ook wel wat verschillen, dus hij wil graag maar eens kijken hoe beide elkaar aan kunnen vullen.
** Vanuit Logius zijn vandaag twee mensen aanwezig in verband met het agendaonderwerp [[Nationaal Semantisch Vlak]]: Kees Trautwein en Kees-Jan Westmaas. Kees is architect bij de gegevensuitwisselingstrein van Logius. Op dit moment is hij bezig met de Stelselcatalogus - doorlichten en bekijken wat er voor mogelijkheden zijn. Kees heeft ervaring met modellering en met koppelingen bij o.a. UWV en Omgevingsloket en houdt zich bij Logius ook bezig met LinkedData. Kees-Jan werkt ook aan de Stelselcatalogus en heeft contact met het Stelsel van Basisregistraties om de Stelselplaat opnemen in de Stelselcatalgus. Ook houdt hij zich bezig met initiatieven voor het ontwikkelen van clusterbegrippen om interoperabiliteit van data te vergemakkelijken.
** Ook André van Brussel en Eric Brouwer (ICTU) en Toine Schrijvenaars (ArchiXL) schuiven aan in dit overleg voor het agendapunt Nationaal Semantisch Vlak. André is al eerder aangeschoven i.v.m. zijn interesse voor Gegevenskwaliteit. Hij werkt aan de doorontwikkeling van het [[Stelsel van Basisregistraties]], was daar ook al bij betrokken in de tijd van de Digicommissaris en zelfs al tijdens het iNUP. Vanuit die rol ziet hij veel dwarsverbanden met gegevensmanagement, waaronder zeker ook datakwaliteit.
==Nieuwe ontwikkelingen==
* De Europese Digitale Strategie staat open voor consultatie: hoe Europa wil omgaan met ontwikkelingen rondom gegevens en gegevensgebruik. Reactietijd is tot 31 mei (link volgt vanuit de presentatie). Bekijk dit vooral eens goed, op eigen titel.
* Vanuit de Digitale overheid wordt de laatste jaren veel gepubliceerd rondom Datagedreven Werken en datagovernance. Inmiddels heeft Wim contact met de programmamanager hiervan en contacten bij het Leer & Expertisepunt Datagedreven Werken (LED). Als gevolg hiervan is gegevensmanagement inmiddels opgenomen in de DataAgenda 2020. Opgenomen is nu: je zult met gegevensmanagement aan de slag moeten gaan wil je een stap kunnen zetten met datagedreven werken. Bij LED worden ook concreet NORA- en GEMMAlinks opgenomen. Dit lijkt een goede stap om ons werk onder de aandacht te brengen, deze publicaties hebben een breed bereik.
* Er is vorige week een eerste [[Themasessie Raakvlakken in Kaart|bijeenkomst]] geweest van contactpersonen van de verschillende NORA [[Thema's]] met als doel elkaar te leren vinden en de overlap tussen thema's in beeld te krijgen. Links met Gegevensmanagement die nu al zichtbaar zijn, zijn met [[Data op het web]], [[Stelsel van Basisregistraties]], [[Semantiek]] en [[BRM|Regelbeheer]]. Wim heeft inmiddels al een vervolggesprek met de trekkers van enkele van deze thema's over samenwerking. Ook vanuit NORA komt hier een vervolg op.
===NORA/Gegevensmanagement kwaliteit===
Jaap en Wim gaan met datakwaliteit aan de slag samen met Danny Greefhorst (ArchiXL). In het kader van de Omgevingswet heeft Danny al veel over gegevenskwaliteit beschreven, Jaap heeft hem gevraagd om die basis ook terug te brengen in NORA [[Gegevensmanagement]]. Het doel is om een definitie, indicatoren en kenmerken te beschrijven om tot een meetbare gegevenskwaliteit te komen.
De kerngroep zullen zij aanvullen met Kasper Kisjes van Rijkswaterstaat. Zo kunnen ze hergebruiken en slim doorontwikkelen. Verwachting is dat na een doorlooptijd van 1 a 1,5 maand een eerste versie gereed is, die ze terugleggen in de expertgroep als geheel. De vraag en de groep is vervolgens niet alleen directe feedback te geven, maar ook na te denken wat er nodig is om van deze basis door te bouwen aan toepasbare producten als gegevensbeleid et cetera voor de eigen organisatie.
Reacties:
* Wat er is beschreven voor de Omgevingswet is vrij gedegen en uitgebreid. Maar om het tactisch en strategisch bruikbaar te maken moet je het versimpelen.
* André van Brussel kijkt graag mee vanuit het oogpunt hoe je het resultaat bruikbaar kunt maken als stuurinstrument.
* Corine (UWV) is benieuwd naar het product en de keuzes die gemaakt worden, omdat er heel wat dilemma's spelen die je op verschillende manieren kunt aanvliegen. Wat voor de afnemer relevant is, is dat wellicht niet voor het interne proces en andersom, de baten die gehaald worden uit verbeterde kwaliteit liggen buiten de eigen budgetten en soms is er zelfs extra herstelbudget dat wegvalt als de kwaliteit omhoog gaat.
* Vanuit het Stelsel doen ze nu ervaring op met Gebruikersoverleggen. Er zijn binnen het Stelsel geen normen, zodat de afnemer kan aangeven wat hij nodig heeft, maar er is wel ruimte om aan te geven waar hij last van heeft. Ze gaan hierbij nu uit van goed is goed genoeg, het gesprek met je afnemers aan gaan om de cyclus van meten en verbeteren in gang te zetten. Een kwestie van gewoon beginnen, niet eerst een academische discussie aangaan, maar transparant werken. Het moet echter wel behapbaar blijven voor de beheercapaciteit: fte's en budget zijn beperkt.
* Jaap (DUO): Dit zijn goede reacties, vragen als hoe uitgebreid maak je het zijn een belangrijk deel van de puzzel die ze de komende maanden willen leggen. Voorlopig staat hij er zo in: Datakwaliteit is de mate waarin je tegemoet komt aan de behoeven van de afnemer. Als je de betrouwbaarheid (en onderliggende elementen van betrouwbaarheid) weet te raken in de mate waarin ze als afnemer belangrijk zijn heb je al een goede basis. Ze zullen aandacht hebben voor kwaliteit van data zelf, maar ook die van het proces: hoe kun je leveren en ontvangen.
* Wim : het uitgangspunt hier is dat we op een relatief hoog abstractieniveau gaan zitten: dat wat voor iedereen in Nederland van toepassing is. Een aantal zaken die meer specifiek van toepassing zijn op types informatie of bepaalde sectoren zal hier dus niet in zitten, bijvoorbeeld Geo-informatie. Ze gaan binnenkort beginnen (over 3 weken), na de zomer ligt er een versie waarop de Expertgroep kan reageren.
==Verbetering Nationaal Semantisch Vlak==
===Aanleiding, achtergrond en uitgangspunten===
Voor dit agendaonderwerp is een mailtje van Eric Brouwer verspreid onder de expertgroepleden. Die mail werd bij de start van dit agendapunt verder toegelicht.
Eric licht toe: We zijn bij en vanuit NORA al jaren bezig met gegevens, gegevensmanagement, opslag, definities. Zodra je aan gegevensgebruik komt is dat in de praktijk moeilijk, want dan spelen juridische issues, AVG, belangen et cetera. Het bleek in het verleden daarom makkelijker om te beginnen met [[gegevenswoordenboeken]]. Ca. 5 jaar geleden zijn we met het [[Nationaal Semantisch Vlak]] (NSV) gestart. Daarin beschreven we de wens en ambitie om van de gegevens die we gebruiken te delen dat we dat doen, de definities te laten zien, ze aan elkaar te linken, en dat langzaam verder uit te bouwen. Je ziet die behoefte steeds meer terugkomen, ook in veel domeinen. Inmiddels is de techniek in staat om hier op een nieuwe manier stappen in te maken, via publicatie in Linked Data, semantische wiki's et cetera. Op dit moment is daar bovendien ook op politiek niveau aandacht voor: laten we dit gebruiken om aan de gang te gaan en op FAIR-wijze uit te werken.
Het NSV is daar een hulpmiddel bij, een manier om elkaar te versterken. Vanuit NORA willen we jullie verbinden, zodat we weten van elkaar waar we mee bezig zijn, kunnen samenwerken, gedeelde inzichten kunnen krijgen.
====Wat zijn de uitgangspunten achter het (doorontwikkelen van het) Nationaal Semantisch Vlak?====
De expertgroep wil graag meedenken, en wil graag worden meegenomen in het proces en de discussie. Doelen, uitgangspunten en denkstappen moeten duidelijk worden.
Het waarom verklaren we al wel in de NORA, kijk bijvoorbeeld het thema [[Semantiek]] in de NORA zelf. Lees dat een keer rustig door, dat helpt waarschijnlijk al een stuk. Hier een poging om achtergrond en uitgangspunt kort uit te leggen:In het begin waren we veel bezig met gegevenswoordenboeken, waarbij het afstemmen met elkaar heel veel werk kost. Bij Justitie is bijvoorbeeld jarenlang gewerkt om gegevenswoordenboeken samen te voegen tot de [[Gegevenswoordenboeken justitie Elektronisch BerichtenVerkeer]]. Maar dan moet je voor samenwerking naar buiten per domein weer weer opnieuw beginnen, net als met de basisgegevens van het Stelsel. Liever dan de verschillen op te lossen en te harmoniseren willen we daarom de verschillen verklaren. Omdat er heel veel te winnen is door duidelijk te maken wat je gebruikt, wat het betekent en in welke context. De urgentie op dit moment is omdat er meer mensen mee bezig zijn en omdat de techniek nu nieuwe mogelijkheden biedt.
====Betrokkenheid vanuit het Stelsel====
André licht vanuit zijn eigen perspectief in de de doorontwikkeling van het Stelsel uit hoe hij hier bij is aangesloten. De doelstelling om het gebruik van de basisregistraties te verhogen is er een apart overleg met gebruikers. In dit overleg bleek veel behoefte aan inzicht in wat er nu eigenlijk in het Stelsel staat en wat de samenhang tussen deze data is. Zij hebben om in die behoefte te voorzien in eerste instantie de [https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/basisregistraties-en-stelselafspraken/stelsel-van-basisregistraties/stelselplaat/ Stelselplaat] (door-)ontwikkeld. Als je op de Stelselplaat doorklikt kom je in de Stelselcatalogus terecht. Maar die is niet compleet: er is bijvoorbeeld geen begrip adres of gebouw gedefinieerd. In februari is de nieuwste Stelselplaat gepubliceerd en Eric vroeg toen direct om een machine-leesbare versie. André dacht dit te kunnen leveren door het vanuit Excel over te zetten in LinkedData, maar liep al snel vast in een gebrek aan laagdrempelige tooling hiervoor. Uiteindelijk kwam hij in contact met Toine en nog een paar anderen om dit op papier te zetten. Gebruikers willen data in context gebruiken, relaties, missende koppelingen et cetera.
===Vragen aan expertgroep en eerste reacties===
Herkennen jullie dit? hebben jullie hier behoefte aan? Willen jullie meedenken aan een eenduidige beschrijving van basisgegeven?
* In de praktijk wisselen we veel een-op-een uit, met losse afspraken per dataset en afnemer. Bij gebrek aan een universele gegevensverkeerswet blijft gegevensuitwisseling een uitdaging. Het is hoe dan ook nuttig om te weten wat er is en hoe je het kunt gebruiken.
* Ook de Belastingdienst wisselt met heel veel partijen gegevens uit, maar dat is nog niet altijd even eenduidig en traceerbaar. Zij zijn nu bezig om het volledig herleidbaar te maken en uit te wisselen op modelniveau. In de afspraken met de afnemer staat beschreven welke gegevens uitgewisseld worden en op welke manier, aan de hand van een logisch datamodel. Daarmee kun je slag maken in kwaliteit op basis van goede afspraken, bevinden en terugmelden. Maar daar zitten nog best veel activiteiten achter verstopt.
* Gegevensuitwisseling tussen sectoren blijft altijd lastig, soms denk je dat je het over hetzelfde hebt maar is het niet hetzelfde. Het begin is om te weten waar je het zelf over hebt en dat modelleren. Maar als je je model aan wilt passen blijf je tegen de praktijk aanlopen dat gegevens nu eenmaal op een bepaalde manier in je systeem staan.
===Demonstratie tooling om semantische producten als begrippenlijsten en thesauri te ontsluiten en te beheren===
Toine demonstreert de tooling die ze vanuit ArchiXL ontwikkeld hebben om verschillende semantische producten te beheren en te ontsluiten. Hij begint met een tabel:
[[Afbeelding:Tabel van begrippenlijst tot fysiek datamodel.png|thumb|none|550px|alt=Tabel met drie kolommen en vijf regels. De eerste kolom bevat vijf producten die gebruikt worden in semantiek, de middelste beschrijft het product en de derde kolom geeft het doel van het product aan. Product 1: Begrippenlijst, Een lijst van begrippen uitgedrukt in termen en hun definitie. Doel: Gemeenschappelijk begrip. Product 2: Thesaurus, Een verzameling begrippen uitgedrukt in termen, definities en globale relaties. Doel: Gemeenschappelijke taal en begrip van samenhang. Product 3: Conceptueel model, Een formele beschrijving van de werkelijkheid uitgedrukt in conceptuele objecttypen, attributen,bedrijfssleutels, relaties en bedrijfsregels. Doel: Begrijpen van de (gewenste) werkelijkheid. Product 4: Logisch datamodel, Een ontwerp van een datastructuur uitgedrukt in logische objecttypen, attributen, datatypes, technische sleutels, relaties en dataregels. Doel: Standaardiseren van representatie in data. Product 5: Fysiek datamodel, Een technologie-specifieke representatie van data uitgedrukt in fysieke data-elementen en de manier waarop ze worden opgeslagen of uitgewisseld. Doel: Standaardiseren van opslag en uitwisseling.]]
Toine: We proberen uiteindelijk met onze oplossingen de hele rij te ondersteunen, van begrippenlijst tot fysiek datamodel. Op het moment zie je vooral de eerste twee rijen: Veel organisaties bezig met begrippenlijsten of thesauri en lopen op tegen issues in het beheer er van. De bestaande beheertools vragen een specialisatie die niet alle organisaties in huis hebben. ArchiXL is daarom uitgegaan van het SKOS-model (Simple Knowledge Organization System, zie [https://en.wikipedia.org/wiki/Simple_Knowledge_Organization_System#Tools lemma wikipedia],) en heeft daar wat dingen voor bedacht om ze voor zowel machines als mensen bruikbaar te maken. En relatief eenvoudig te beheren, bijvoorbeeld in een semantische wiki). Het resultaat is [begrippenxl.nl begrippenxl.nl]. De site is niet opgezet om een begrippenlijst van begrippenlijsten te worden, maar als tool om begrippen uit verschillende bronnen te ontsluiten. Het heeft een standaard-API, maar ook als mens is de site goed te lezen. Achter de website hangt een LinkedDatabase.
Op begrippenxl.nl zijn niet alleen lijsten van klanten ontsloten, maar ook publiek toegankelijke begrippen-sets zoals die van het CBS.Je kunt over alle collecties heen zoeken, niet alleen er binnen. Dat is aardig, als je bijvoorbeeld het begrip Adres opvraagt zie je hoe anderen dat gebruiken en de variaties er in. Dat alleen al biedt inzicht en kan harmonisatie of standaardisatie ondersteunen.
In hoeverre is deze tool al gekoppeld aan een semantische wiki zoals versch partijen die gebruiken? In de Aquo-wiki worden alle begrippen beheerd van de Aquo, je bewerkt de pagina en vult het formuliertje in waarin je de SKOS-achtige termen kunt invoeren en verrijken. De kern daarvan wordt gesynchroniseerd met een publicatieomgeving. Zo kun je het eenvoudig beheren.
Een andere wiki die wel toegankelijk is en waarmee een woordenboek wordt onderhouden is die van Rijksdienst voor Cultureel Erfgoed (RCE). Daarvoor is een site in ontwikkeling die al te bezoeken valt: [https://kennis.cultureelerfgoed.nl/index.php/Categorie:Kennisitems kennis.cultureelerfgoed.nl], waarvan je de weerslag ook al kunt zien in [https://www.begrippenxl.nl/cht/nl/ begrippenxl.nl].
Vraag: Wil je dat iedereen begrippen zo gaat publiceren, of gebeurt dat automatisch? Dit is ons productje, dat hoef je zeker niet te gebruiken (mag wel). Het gaat meer om de waarde als je dingen bij elkaar brengt en inzichtelijk maakt. Of dat via begrippen.nl gaat of via de Stelselcatalogus is uiteindelijk niet relevant, als het maar gebruikt. Ongeacht op welke plek je centraal ontsluit kunnen organisaties die daar al mee werken gewoon hun eigen tools blijven gebruiken om hun begrippenlijsten te beheren.
Terug naar de agenda: wat willen jullie van de Expertgroep horen of weten?
* Vanuit het Stelsel is er behoefte aan samenhang, dus dat gaan we op de een of andere manier beschrijven (goed is goed genoeg). Maar dat is een aanbod, of dat aansluit bij de vraag vanuit de praktijk? Hoeveel moeten wij in de breedte nog beschrijven en in de diepte? Wat zijn de wensen vanuit jullie en jullie organisaties? Dan kunnen wij die vragen meenemen in onze prioriteiten. Dat mixen we dan met de behoeften vanuit de gebruikersgroep. Graag nazenden. Henk: geweldig initiatief, ongelooflijk dat we dat nog ontberen, een simpele viewer waarin je kunt kijen en vergelijken. In het onderwijs zijn we dat wat de Stelselplaat doet ook intern aan het doen. Elk domein moet zichzelf organiseren voor het aan kan sluiten bij het grote geheel.Wat nodig is zijn kaders en handvatten en we hobbelen achter het initiatief aan, kost tijd.
* Eric: Het is moeilijk om bij registraties op te halen welke informatie ze allemaal al hebben. De belangen zijn er niet altijd bij het register, dat gaat via bilaterale contacten. Waarom delen we dat soort dingen niet gewoon makkelijker? Als we een tool hebben om dit te registreren en te gebruiken dan zouden we dat vanuit de NORA best beschikbaar willen stellen: voor degenen die het niet zelf kunnen doen. En dan publiceren via bijvoorbeeld begrippen.nl. Dat sluit aan bij de stelselcatalogus en inzet van Andre. Waar je naar toe gaat is naar een netwerk, waarbij je alles wilt verbinden en makkelijk uitwisselbaar maken. Daar willen we heen, van definitie doorgroeien van begrippen naar de wijze van beschrijving en betkenis. De afspraken over metadatering et cetera liggen al in AP17 vast. Sluit uitstekend aan bij deze tooling.
* NB!: het probleem is niet de tooling, maar de hoeveelheid werk om de data te verzamelen en overzichtelijk in te voeren. Reken jezelf niet te snel rijk met de tooling. Er zit een hoop verschil tussen de aquo-wiki die heel rijk is en hetzelfde begrip op begrippen.nl, omdat het veel werk is om de juiste data toe te voegen. Stop je dat er niet in, dan wordt je tool niet gebruikt. Er worden al wel veel initiatieven ontplooid, maar de uitwisselbaarheid is beperkt. Verwijsindex met rudimentaire gegevens er om heen bewust zodat het minder werk is.
Hebben jullie behoefte aan een tool als deze? Ja, maar het zal wel werk meebrengen.
* Hebben we het nu over de gegevensbeschrijvingen of om de daadwerkelijke gegevens in de databases? Ja, het gaat ook over metagegevens.
* We kunnen via NORA ontsluiten of via andere tool, maar stel dat we zo'n formuliertje in moeten vullen dan kost ons dat tijd en geld. Ook als je je houdt aan principes van NORA, maar je bent daar al jaren mee bezig dus een deel voldoet misschien niet meer - kan dat? Je hebt een groeipad waar je heen werkt, de principes bieden juist ruimte aan waar je zelf bent. Doordat je weet waar anderen staan kom je dichter bij elkaar op termijn. Reactie Toine: Driekwart van begrippen.nl is uit heel diverse tooling overgenomen zonder handwerk, anders heb je er niet zo veel aan. gebruik gewoon de tooling die je hebt en waar je tevreden mee bent. Catalogus van de polisadministratie staat al ontsloten.
* Kees-Jan: lees ook mijn mail als reactie. De beschrijving van de gegevens moet zo laagdrempelig mogelijk zijn, aangezien de beschrijving vooral nodig is voor mensen van buiten. Maar omdat je het voor de ander doet is het vaak moeilijk om hier moeite voor te krijgen. De mail nog even doorsturen naar de hele expertgroep? Ja, dan weet je ook hoe de samenhang is met de Stelselcatalogus. Voel je vrij om Kees-Jan ook per mail te benaderen.
===NORA / gegevensmanagement huidige opzet===
* Eric Brouwer heeft aangegeven dat NORA zich steeds meer via het [[Vijflaagsmodel]] gaat structureren.
* Vraag: als deze tonen en varianten tussen de diverse onderdelen er uit gaan, dan moeten we daar zelf een redactieslag overheen gooien. Bijvoorbeeld 2-4 uur per week de komende maand om alle teksten door te gaan en samenhang / zelfde taal aan te pakken? Henk: stelt voor voor om use cases als voorbeelden per laag op te nemen: wat heb je er aan, hoe ga je er mee om? Met die in je hoofd de relaties leggen tussen de hoofdstukken. De expertgroep stemt in met zijn voorstel.
Henk: draagt er graag een paar aan, John, Ralph en Wim zullen reviewen. Daarnaast staat altijd vrij om collegiale toets te vragen aan anderen van je 'eigen content'.
===Symposium gegevensmanagement===
Vanochtend is de GEMMA expertgroep bijeengekomen, met onder andere de sponsor van het symposium: de VNG. Ook dit jaar wederom de toezegging om weer met hetzelfde budget en organisatie te sponsoren. Maar fysiek gaat niet lukken dit jaar ivm Corona, dus we moeten naar een virtuele opzet gaan: deze vorm is nog flexibel. Tijdens het overleg komt de expertgroep met wensen, ideeën en tips om dit zo goed mogelijk te faciliteren (oa LED betrekken, evaluatie afgelopen keer er op na slaan). Er is bij de VNG een tweetal partijen die hier ervaring mee hebben. ICTU is ervaring aan het opbouwen, dus ligt aan de termijn. Moment? september / oktober op zijn vroegst.
Waar denk je aan qua inhoud? Bij GEMMA-overleg kwamen de volgende agendapunten naar voren:
* Chief Data officer,
* ethiek rondom gegevensgebruik,
* datagedreven werk,
* GEMMA scorecard gegevensmanagement,
* Damhof-model en gegevensmanagement (wellicht aanvullen met wendbaar wetgeven stelt Merijn),
* toekomst van gegevensuitwisseling van Jaap, gegevensverkeerswet?
* Kwaliteit gericht op datagedreven werken. Common ground in relatie tot gegevensmanagement.
* Samenhangende objectregistratie (rijksoverheid wil bgt, bag en nog woz met elkaar in 1 objectenregistratie verbinden).
* Gegevenskwaliteit zoals Jaap c.s. er nu mee bezig zijn.
Jaap en Merijn zullen bij specifieke onderwerpen inhoudelijk meedenken. Reeuward: gaat intern even rondvragen of iemand een goed verhaal heeft voor het symposium.
==Rondvraag==
Dit was waarschijnlijk niet de laatste keer dat digitaal plaats vond, hopelijk is het goed bevallen. Wim dankt de deelnemers voor inhoud, tijd en bijdrage en sluit het overleg af.
Reservering, de leden van de expertgroep bepalen ter zijner tijd zelf de agenda. +
Expertgroep Gegevensmanagement werkt aan een toekomstbestendige visie op gegevensgebruik +
Beknopt verslag +
Agenda +
Agenda +
Voorlopige Agenda +
Agenda +
Verslag +
Agenda +
Agenda +
Agenda +
Agenda +
Agenda +
Agenda +
Agenda +
Agenda +
Het delen van kennis en over IAM
==Verslag==
=Mededelingen=
In deze vergadering zijn 2 mensen van Notaris-Id aangesloten, Piet Bokelaar en Fred Peters. Zij hebben kort geschetst wat dit authenticatiemiddel inhoudt en wat de status is van de ontwikkeling.
=Presentatie Den Haag=
Arjen heeft kort aangegeven waar Den Haag staat met een aantal innovatieve projecten. Waaronder een participatie project voor Scheveningen. Het idee is dat SSI (Self Souvereign Identity) hiervoor gebruikt kan worden. In deze aanloopfase blijkt dat nog een stap te ver, men blijft bij het vertrouwde DigiD. Het gebruik maken van deze faciliteit is uitgesteld. Arjen heeft de groep hierbij de vraag gesteld of zij deze aarzeling herkennen.
De expertgroep herkende het fenomeen "onbekend maakt onbemind" en het feit dat het SSI verhaal moeilijk over te brengen is. Eric adviseerde om Steven Gort te betrekken bij het project, om het wat meer vaart te geven.
Na deze discussie ontstond een interessante discussie over het brede gebruik van bv. IRMA. Er zijn duidelijke voor- en tegenstanders. Eén van de bezwaren is het centralistische karakter van de governance, zo ook het makelaarschap van SIDN en het gevaar dat dadelijk alle attributen van een persoon worden gevraagd voor "simpele" diensten.... omdat het kan en omdat die dan wellicht weer verhandeld kunnen worden door die commerciële diensten. Al met al een onderwerp om nog eens heel goed naar te kijken.
[[media:Collaboratie_SSI.pdf|Presentatie Innovatie Den Haag en SSI (PDF, 242 kB)]].
https://ictubeheer-my.sharepoint.com/:v:/g/personal/marijke_salters_ictu_nl/EYiwp2WMIOpIl1hjyxF8-g4BM7sX6wbZnMfQmTOj0NtZ3w
Hierna is in twee werkgroepen verder gewerkt aan onderwerpen van NORA online
=1. werkgroep visie =
De GO heeft een visie neergelegd en op de pagina bij NORA online staat een visie over IAM deze zullen vergeleken en in lijn gebracht worden door Eric. Nabericht: Ook Johann Schreurs zal deze pagina updaten vanuit de GO visie.
=2. Werkgroep Bevoegdheden beheer inclusief machtigen =
Logius (Wim en Frans) hebben eens goed naar de pagina gekeken en komen tot de conclusie dat de term niet helemaal de lading dekt. Er zijn verschillende aspecten: Vertegenwoordiging en machtiging Waarnaast eigenschappen van een NP of NNP die de bevoegdheid bepalen van een persoon. Harro gaf aan dat deze pagina opgesteld is op basis van een use case. Het voorstel is nu om met een klein werkgroepje (Frans, Harro, Marijke) deze pagina's te reviewen en te verbeteren op basis van meerdere use cases die in complexiteit opbouwen. Ook hierbij kan gebruik gemaakt worden van de GO resultaten.
= Vervolgafspraken/ backlog =
Notaris Id demo, april 2021
Zero trust, door Marcel
Polymorfe crypto, door Logius, Frans de Kok
GO resultaten, namens PL, door Johann Scheurs en/of Frits Bouma
IRMA, door SIDN
Het delen van kennis en over IAM +
Het delen van kennis over IAM +
Het delen van kennis over IAM +
Het delen van kennis over IAM +
Het delen van kennis over IAM +
<h2>Afspraken</h2>
Na een inleiding en afstemming van de aanleiding, de stand van zaken en de doelen van deze sessie, hebben we de volgende afspraken gemaakt
* Jan, Brian en Toine gaan op basis van [https://www.iso.org/standard/79077.html ISO 704:2022] (the basic principles and methods for preparing and compiling terminologies both inside and outside the framework of standardization), de samenvatting daarvan (zie bijlage) en de ervaringen binnen Kennisnet een set van uitgangspunten, spelregels etcetera opstellen voor de beschrijving van begrippen.
* Brian brengt het “spelregel”-document in dat Kennisnet gebruikt voor het in kaart brengen en definiëren van de onderwijsbegrippen.
* Een van de uitgangspunten zal zijn de structuur die gepubliceerd is in de [https://profielstelselcatalogus.pldn.nl/ SBB] (Nederlandse standaard voor het beschrijven van begrippen).
* Tevens willen we kijken welke indeling we kunnen gebruiken voor deze begrippen. Voorstel is om gebruik te maken van het [[Vijflaagsmodel]].
* De eerste set die we gaan oppakken is het NORA [[Begrippenkader]].
** Daarvan kijken we de eerdere uitgangspunten kunnen toepassen
** We bekijken of het in te delen val conform het Vijflaagsmodel en indien niet, hoe dan wel.
** We kijken ook naar de volledigheid en de kwaliteit en bedenken hoe we dit verder gaan oppakken, parallel of anderszins.
* De eerste bijeenkomst is 11 oktober van 10:00 – 12:00 via Teams.
* We hebben een onderscheid gemaakt, tussen architectuurbegrippen (om onze architecturen uit te leggen aan ook niet-architecten) en begrippen die nodig zijn voor de overheidsdienstverlening aan burgers en bedrijven (objecttypen met eventuele attributen).
** t.a.v. het eerste punt zullen we in deze expertgroep verder uitwerken, zie hier de uitwerking in de [[NORA_Gebruikersraad_2023-09-12#17.00-17.30_-_Vaststellen_van_enkele_nieuwe_architectuur-begrippen|NORA gebruikersraad (2023-09-12) - Vaststellen van enkele nieuwe architectuur-begrippen]]
** t.a.v. het tweede punt komen we op het terrein van het [[Nationaal Semantisch Vlak]], zie ook: [[NORA_Gebruikersraad_2023-09-12#15.45-16.30_.E2.80.93_Standaarden_voor_gegevensbeschrijvingen_en_-modellen|NORA gebruikersraad (2023-09-12) - Standaarden voor gegevensbeschrijvingen en -modellen]]
* Welke Domeinbegrippen/[[Gegevenswoordenboeken]] er al zijn, is onder andere al geïnventariseerd in het [[Nationaal Semantisch Vlak]].
* We zullen in deze werkgroep ook kijken naar ondersteunende tooling. Welke functionaliteit heb je nodig om beheer te doen over de begrippen. Naast de standaard (SBB) voor de vastlegging en de ontsluiting (Linked Data), zou op elkaar afgestemde tooling op basis van deze standaarden de verdere ontwikkeling erg helpen.
* Tenslotte zal er ook een Governance structuur moeten komen die het verder beheer beschrijft. Het gaat immers niet alleen over de centrale begrippen (zoals bv Wet- en Regelgeving, Grondslagen)), de domeinbegrippen (Onderwijs, Gemeenten, Waterschappen etc.), maar ook diverse aspectarchitecturen die domeinoverschrijdend zijn, denk bv aan IAM, AI, Geo, Gegevensmanagement etc. Deze groep gaat zeker niet de governance voeren over al deze onderdelen, maar doet wel voorstellen hoe dat in samenhang kan gaan plaatsvinden.
== ISO 704 ==
ISO 704 is een uitgebreide beschrijving van hoe om te gaan met begrippen en definities ervan. De volgende richtlijnen zijn opgesteld en ingebracht door Danny Greefhorst, met name op basis van ISO 704 en zullen als basis worden gebruikt bij het valideren en opstellen van definities.
* '''Sluit aan bij algemeen taalgebruik en de taal in de organisatie in termen en definities'''
: “Auto” in plaats van “Automobiel”
* '''Definieer begrippen met een korte naam (term), in enkelvoud en startend met een hoofdletter'''
: “Auto” in plaats van “Auto’s”
* '''Houdt definities zo kort mogelijk; neem alleen onderscheidende kenmerken op'''
: “een gemotoriseerd voertuig met 4 wielen” in plaats van “een gemotoriseerd voertuig met 4 wielen die gebruikt kan worden voor zowel prive als zakelijk vervoer”
* '''Gebruik intensionele definities waar mogelijk; benoem de onderscheidende kenmerken van een begrip'''
: “een gemotoriseerd voertuig met 4 wielen” in plaats van “sedan of stationwagon”
* '''Start met het definiëren van algemenere en bredere woorden'''
: Eerst auto definiëren, dan pas stationwagon definiëren
* '''Definieer een begrip met een smallere betekenis als “Een <breder begrip> dat…”'''
: Een stationwagon is “een auto met een grote laadruimte”
* '''Neem in de definitie van een begrip geen kenmerken op van een breder begrip'''
: Dus niet: een stationwagon is “een auto met 4 wielen en een grote laadruimte”
* '''Neem definities over uit officiële bronnen waar mogelijk en waar consistent met eigen terminologie'''
: Dus geen definitie overnemen van een commerciële bron (zoals een leverancier)
* '''Definieer voor alle niet-gebruikelijke woorden in definities aparte begrippen'''
: Een “wiel” is een gebruikelijk woord en behoeft geen definitie
* '''Definieer niet alleen begrippen die 1-1 leiden tot data-elementen, maar ook de relevante context'''
: Definieer naast auto ook weg en bestuurder
* '''Voorkom circulaire definities; druk een begrip niet uit in termen van zichzelf of vervoegingen ervan en laat definities van begrippen niet naar elkaar verwijzen'''
: Autorijden is “zich verplaatsen met een auto” in plaats van “rijden met een auto”
* '''Voorkom definities die ontkenningen bevatten; definieer wat iets is en niet wat iets niet is (tenzij je tegengestelde begrippen definieert)'''
: Dus niet: een auto is “een voertuig dat geen vrachtwagen is”
<h2>Agenda </h2>
* Uitgangspunten
* Review Nederlandse standaard voor het beschrijven van begrippen (NL-SBB)
* Eerste aanzet tot classificatie NORA-begrippen
== Uitgangspunten ==
Voor deze werkgroep willen we het werken vanuit een aantal uitgangspunten. De eerste die zijn opgesteld zijn:
* We gebruiken de [https://profielstelselcatalogus.pldn.nl/ Nederlandse standaard voor beschrijven van begrippen] (NL-SBB) als kader. De NORA-wiki zal daartoe worden aangepast om deze standaard te ondersteunen (taak: Toine)
* We gebruiken in ieder geval de indeling van het [[Vijflaagsmodel|NORA-Vijflaagsmodel]] voor de categorisering (collecties conform NL-SBB) van begrippen.
* We (her)gebruiken daar waar mogelijk bestaande (ISO-)-standaarden om begrippen te definiëren, echter:
** ISO-standaarden zijn echter nogal divers, definities spreken elkaar tegen en zijn hier en daar verouderd. Deze zullen we gebruiken waar ze nog toepasbaar zijn. Zie ook het [https://www.iso.org/obp/ui#search zoekscherm voor Terms & Definitions]
** Bestaande beleidsdocumenten en wetten zijn eveneens niet altijd up-to-date of goed toepasbaar. Voor de architectuurbegrippen is als voorbeeld van een (deels) bruikbare bron [https://wetten.overheid.nl/BWBR0048156/2023-07-01#Hoofdstuk1 de definities uit artikel 1 van de Wdo] genoemd.
* We beginnen met een beperkte scope: kern- en architectuurbegrippen als proof of concept.
* We geven een invulling aan de [https://www.geonovum.nl/themas/uri-strategie voorlopige URI-strategie van de Nederlandse overheid] voor het publiceren van de begrippen.
== Review NL-SBB ==
In deze werkgroep willen we graag de commentaren bundelen vanuit de afzonderlijke domeinen zodat we met een gezamenlijk voorstel tot verdere ontwikkeling van de standaard kunnen komen. Bij deze een oproep deze commentaren voor de deadline (nog na te gaan wanneer die is) op te stellen en te delen binnen deze werkgroep (Taak: Brian)
== Eerste aanzet tot classificatie NORA-begrippen ==
De eerste slag die we willen maken is de classificatie van begrippen. Deze classificaties gaan we maken aan de hand van zogenaamde collecties. [http://begrippen.nlbegrip.nl/sbb/id/concept/Collection Collectie] is een begrip uit de NL-SBB met als definitie: ''een verzameling van begrippen die voor een bepaalde situatie betekenisvol bij elkaar passen'' en als toelichting: ''Met betekenisvol wordt bedoeld dat de begrippen op een bepaalde manier met elkaar samenhangen. Een collectie betreft vaak een deel van de begrippen uit één begrippenkader, maar kan ook begrippen bevatten die afkomstig zijn uit meerdere begrippenkaders.''. De eerste collecties die we bij het NORA-begrippenkader onderkennen zijn:
* architectuur met daarbinnen ontwerpgebieden
** algemeen
** informatiebeveiliging & privacy (IBP)
** interoperabiliteit
** identificatie, authenticatie en autorisatie (IAA)
** governance
* vijflaagsmodel
** grondslagen
** organisatie
** informatie
** applicatie
** netwerk
* domein-/werkingsgebieden
We starten met de huidige lijst van het [[Begrippenkader|NORA Begrippenkader]] en delen deze in over de bovenstaande collecties. Met deze indeling kunnen we vervolgstappen definiëren voor het aanpassen en uitbreiden van het Begrippenkader, maar ook wat in de huidige lijst redundant kan worden beschouwd. Tevens kunnen we al dan niet passende definities nader gaan aanscherpen in de samenhang van een collectie. In de volgende sessie willen we deze indeling gemaakt hebben voor alle begrippen die in de huidige lijst staan. Daarnaast blijven we ook kijken naar andere begrippenkaders die ingezet kunnen worden, bv:
* [https://www.begrippenxl.nl/archixl/nl/ ArchiXL architectuurbegrippen] met als collecties
** Algemene begrippen
** Architectuur
** Datamanagement
** Informatiebeveiliging & Privacy
** Informatiemanagement
** Informatietechnologie
** Kennismanagement
** Procesmanagement
* [https://www.begrippenxl.nl/archimate/nl/ ArchiMate begrippen] met als collecties
** strategische laag
** bedrijfslaag
** applicatielaag
** technologielaag
** fysieke laag
** implementatie- en migratielaag
** meerdere lagen
[[Bestand:Mirobord_NORA-begrippenkader.png]]
In deze sessie is het volgende besproken.
* Bespreking van de [[review van NL-SBB]] die we namens deze exportgroep gaan inbrengen bij de opstellers van de standaard. Brian zal het document in deze expertgroep rondsturen
* Er komt een noodzaak om de expertgroep uitgebreider te ondersteunen om de begrippen en de definities verder te verbeteren, met name vanuit de verschillende domeinen. Bij de komende NORA Gebruikersraad zal alsnog een oproep worden gedaan.
* Om de begrippen vast te leggen zal dezelfde toolset worden gebruikt als die voor GEMMA en ROSA wordt gebruikt. Dit zijn formulieren, templates en eigenschappen, aangevuld met een RDF-exporter die het begrippenkaders conform NL-SBB kan exporteren voor verder gebruik, of via de wiki-API ter beschikking kan stellen. Deze wiki-extensie willen we ook op de NORA Online gaan gebruiken om het beheer verder mogelijk te maken. Aangezien het een standaard output heeft, kunnen op termijn ook andere tools ingezet worden die deze standaard ondersteunen.
* We hebben inmiddels gekozen om [[Expertgroep_NORA_Begrippenkader_20231003#ISO_704|ISO 704:2022]] te gebruiken als eerste versie van een conventie om begrippen op een eenduidige en goede manier te beschrijven.
* Verder moeten we in de toekomst ook tot een beheerproces komen.
* In de verdere doorontwikkeling van het NORA Begrippenkader moeten we rekening houden met de ontwikkelingen rondom de [https://joinup.ec.europa.eu/collection/semic-support-centre/core-vocabularies Core Vocabularies van de EU] +
<h2>Agenda</h2>
# Bijpraten stand van zaken (Toine)
# Voorstel definitie-structuur (Jan van Bon)
# Beheerproces
# Planning
== Stand van Zaken ==
* Drie bijeenkomsten. Waarvan twee met een “kerngroep”
* Eerst bezig met aanpak en structuur, dan pas inhoud
* Besluiten:
** Volgen van de [https://profielstelselcatalogus.pldn.nl/ Nederlandse Standaard voor het Beschrijven van Begrippen (NL-SBB)] in concept en in review
** Als collecties is gekozen voor het Vijflaagsmodel.
** [https://www.noraonline.nl/wiki/Review_van_NL-SBB Wijzigingsvoorstellen] gedaan voor deze standaard namens de NORA expertgroep (voorstel voor deze gebruikersraad om dat goed te keuren)
** Vaststellen van een conventie voor het opstellen van begrippen conform [https://www.noraonline.nl/wiki/Expertgroep_NORA_Begrippenkader_20231003#ISO_704 ISO 704:2022]
** Verzoek voor ondersteuning redacteuren voor het beschrijven van begrippen vanuit de domeinen
** Voorlopige keuze gemaakt voor toolset voor het vastleggen van begrippen (wiki-technologie zoals ingezet voor ROSA en GEMMA). Deze is gebaseerd op NL-SBB en dus overdraagbaar naar andere ** tools die dit ondersteunen.
** Opzetten van een beheerproces (vgl BOMOS)
** Eerste mapping NORA begrippenkader op Vijflaagsmodel
* Planning volgende expertgroep in november ‘23 en vaststellen jaarkalender 2024
== Ordening en Structuur van Begrippen==
=== VRAAG 1: Welke ordening kunnen we hanteren voor de categorisering van architectuurbegrippen (collecties)?===
Het vijflaagsmodel als uitgangspunt is niet genuanceerd genoeg. Voorstel om te daar een scherpere onderverdeling in te maken:
# Grondslagenlaag
#* Wet en Regelgeving
#* Lokaal beleid
# Organisatorische laag
#* Burgerorganisatie
#* Overheidsorganisatie
* (Dienst) Informatielaag
* (Dienst) Applicatielaag
* (Dienst) Netwerklaag
Extra laag:
* Universele architectuurbegrippen
===VRAAG 2: Welke structuur kunnen we hanteren voor het opstellen van definities?===
ISO704
* Sluit aan bij algemeen taalgebruik en de taal in de organisatie in termen en definities
* Definieer begrippen met een korte naam (term), in enkelvoud en startend met een hoofdletter
* Houdt definities zo kort mogelijk; neem alleen onderscheidende kenmerken op
* Gebruik intentionele definities waar mogelijk; benoem de onderscheidende kenmerken van een begrip
* Start met het definiëren van algemenere en bredere woorden
* Definieer een begrip met een smallere betekenis als “Een <breder begrip> dat…”
* Neem in de definitie van een begrip geen kenmerken op van een breder begrip????
* Neem definities over uit officiële bronnen waar mogelijk en waar consistent met eigen terminologie
* Definieer voor alle niet-gebruikelijke woorden in definities aparte begrippen
* Definieer niet alleen begrippen die 1-1 leiden tot data-elementen, maar ook de relevante context
* Voorkom circulaire definities; druk een begrip niet uit in termen van zichzelf of vervoegingen ervan en laat definities van begrippen niet naar elkaar verwijzen
* Voorkom definities die ontkenningen bevatten; definieer wat iets is en niet wat iets niet is (tenzij je tegengestelde begrippen definieert)
We onderkennen vijf patronen waarop definities kunnen worden vastgelegd
[[Bestand:patronen voor vastleggen definities.png|800px]]
===Nadere afspraken===
* Toevoegen van een eigenschap Context als een begrip een andere definitie kent afhankelijk van een context. Bijvoorbeeld Bank, als zitmeubel of als financiële instelling. Dit wordt niet in de Voorkeursterm toegeogegd, maar in de eigenschap Context.
* Elk begrip of term (voorkeursterm, alternatieve term etc.) wordt met kleine letters geschreven.
* Brian brengt voor het volgend overleg een beheerproces in dat wordt gebruikt binnen Kennisnet, ter inspiratie van een beheerproces binnen NORA
* Het NORA begrippenkader bevat alleen de generieke begrippen die op dat niveau van belang zijn. Begrippen die contextspecifiek zijn, zoals IAM-begrippen, of Gemeentelijke begrippen worden in die domeinen ook beheerd. Wel is van belang dat er op een generieke wijze naar elk jaar verwezen wordt. Daarin zal de NL-SBB worden gevolgd.
* De generieke begrippen en de domeinbegrippen die binnen NORA-teams (zoals IAM, Gegevensmanagement Zaakgericht werken, Dienstverlening etc) worden beheerd, vormen één set maar diverse beheerders.
* Danny levert IAM-begrippen aan
* Eric levert nieuwe begrippen aan
* We maken een onderscheid tussen bronnen waar begrippen en definities vandaan komen en de persoon of groep die een begrip redigeert.
* De uitgebreide werkgroep zal vooral als klankbordgroep fungeren. Het vergaderschema zal een ritme kennen van 1x per 2 maanden. Het 'echte' werk wordt door kleinere subgroepen uitgevoerd
* eric zorgt voor een gezamenlijke teams-omgeving waarin aan documenten kan worden gewerkt en waar deze gedeeld kunnen worden.
<h2>Verslag</h2>Hieronder staat een korte weergave van twee sessies (op 2024-02-08 en 2024-01-24) die door de Kerngroep van de Expertgroep NORA Begrippenkader zijn gehouden. Aanwezig waren Jan van Bon, Brian Dommisse en Toine Schijvenaars. In deze sessies hebben we vooral een begin gemaakt van de selectie van begrippen die wat ons betreft in het hoogste niveau van begrippen moeten worden opgenomen. Het streven is om deze lijst zo kort mogelijk te houden. Al een begrip domeinspecifiek wordt, bv omdat het onderwijsbegrippen of gemeentelijke begrippen betreft nemen we deze niet op in het NORA Begrippenkader. Deze komen dan terug in de diverse begrippenkaders van de domeinen die onderdeel zijn van de NORA familie.
Het doornemen van de ongeveer 2000 begrippen die we nu op de 'long list' hebben staan vordert gestaag. We hebben momenteel (08-02-2024) ongeveer op 30% van de totale lijst afgewerkt. Onderwijl komen we allerlei situaties tegen die leiden tot onderlinge afspraken. Hieronder hebben we een voorlopige lijst van dergelijke afspraken opgesomd. Samen met al eerder opgezetten uitgangspunten uit eerdere sessies zal dit leiden tot een set van richtlijnen voor het opstellen van begrippen.
==Aanvullende uitgangspunten==
* Een [https://onzetaal.nl/taalloket/samenstelling samenstelling] bestaat uit begrippen waar de samenstelling der delen overeenkomt met de optelsom van de definities van de afzonderlijke begrippen. Deze nemen we niet op, want deze definities zijn afleidbaar. Echter, dit gaat niet altijd op. In dat geval is het een zelfstandig begrip. Voorbeelden van samenstellingen zijn:
** Datamanagement: het [managent] van [data].
** Domeinarchitectuur: de [architectuur] van een [domein].
** Persoonsgegeven: een [gegeven] van een [persoon].
* Suggestie: Voor erg algemene termen, maar ook sleutelbegrippen, wellicht conceptueel model maken en daarnaar verwijzen, welke modellen zijn dat?
** AVG
** BAG
** Wettelijke termen
* Indien begrippen voorkomen in verschillende domeinen, gaan we deze duiden met de eigenschap context
* Als het in meerdere domeinen wordt gebruikt, maar met dezelfde betekenis, dan het begrip plaatsen waar de definitie primair wordt opgesteld. Anders verschillende definities in de betreffende domeinen gebruiken
* We nemen geen productnamen en/of organisatienamen op
* We gebruiken een specialisatierelatie als een begrip een aangepaste verbindende definitie heeft in een ander domein. Dan is het domeinbegrip een specialisatie van het generiekere begrip.
* Als er geen URI is om naar te verwijzen (zoals bv naar begrippen die buiten net NORA-begrippenkader worden onderhouden) dan gebruiken we indien beschikbaar een URL bij het veld Bron en nemen we de definitie handmatig over.
* Voorkeur voor het gebruik van begrippen:
** Gegeven ipv Data, geldt ook voor samenstellingen, als databeheerder, wordt dan gegevensbeheerder
* Implementatie van de relatie Collectie met Begrip.
** Conform SBB is dat '''Collectie Omvat Begrip'''
** Voor het beheer in bv de wiki is het beter om de relatie andersom te leggen: '''Begrip Behoort tot Collectie'''. De relatie Collectie Bevat Begrip kan dat worden afgeleid. Dit scheelt 1 actie bj het verwijderen of aanpassen van een begrip in een collectie.
* Collectie heeft extra meta-eigenschappen nodig (NL-SBB benoemt alleen Naam, Uitleg en de relatie Bevat), bijvoorbeeld:
** Definitie
** Bron
** Beheerder
** Verantwoordelijke
** Status
** Datum creatie, laatste wijziging etc
* Mbt spaties en koppeltekens volgen we de Nederlandse taalregels, liefst zoveel mogelijk aan elkaar geschreven behalve als het voor de leesbaarheid beter is om een koppelteken te gebruiken .
<h2>Verslag</h2>
In deze sessie werd een verslag gepresenteerd van de voortgang en opgedane inzichten van de Kerngroep. Dit verslag is als [[Media:20240328 Expertgroep NORA Begrippenkader.pdf|download]] in te zien.
We hebben de criteria en uitgangspunten bekeken en aangevuld, zie ook de pagina [https://nora-begrippen.wikixl.nl/index.php/Uitgangspunten Uitgangspunten]
Deze omgeving wordt ook de uitprobeeromgeving voor het begrippenbeheer. Vraag een account aan bij [mailto:toine@archixl.nl Toine Schijvenaars]. +
Voorlopige agenda:
==1e uur==
* Introductie nieuwkomers aan de hand van het MIRO-bord
* Korte presentatie nieuwkomers over ZGW in hun organisatie 10-15 minuten
* Korte pauze
==2e uur==
* Waarmee ga je in 2020 aan de slag rondom ZGW?
* Hoe kan NORA je daarin helpen?
* Wat kun jij bijdragen aan NORA? +
GEANNULEERD +
Deze bijeenkomst is komen te vervallen +
Verslag toegevoegd in concept 4-4-2024. +
Basisagenda:
# Welkom en mededelingen
# Verslag vorige keer
# Stand van zaken CDO Rijk
# Metadata
# Semantiek
# Gegevenskwaliteitsraamwerk
# MIM
# Gegevensmodellering
# Principes
# Eisen aan een Framework voor Datamanagement
# W.V.T.T.K. +
Agenda in deze vergadering:
# Welkom en mededelingen
# Verslag vorige keer
# Stand van zaken CDO Rijk
# Metadata
# Semantiek
# Gegevenskwaliteitsraamwerk
# MIM
# Gegevensmodellering
# Principes
# Eisen aan een Framework voor Datamanagement
# W.V.T.T.K.
Voorzitter:
Verslaglegging: +
Basisagenda:
# Welkom en mededelingen
# Verslag en actiepunten vorige keer
# Stand van zaken CDO Rijk (Wim)
# Metadata (Boyke)
# Semantiek (Arjen)
# Gegevenskwaliteitsraamwerk
# MIM (Dick)
# Gegevensmodellering (Bas)
# Principes (Merijn)
# Eisen aan een Framework voor Datamanagement
# Planning EGGM
** speelveld EGGM, relatie NORA thema's, voorzieningen en potentiële trekkers EGGM (Arjen)
** wat levert de EGGM op aan onze collega's die overheidsdiensten leveren aan burgers en bedrijven
** per wanneer leveren we dat op
** wie gaat dat beheren
12. W.V.T.T.K. +
Reservering, de leden van de expertgroep bepalen te zijner tijd zelf de agenda. +
Basisagenda:
# Welkom en mededelingen
# Verslag vorige keer
# Stand van zaken CDO Rijk
# Metadata
# Semantiek
# Gegevenskwaliteitsraamwerk
# MIM
# Gegevensmodellering
# Principes
# Eisen aan een Framework voor Datamanagement
# W.V.T.T.K. +
Basisagenda:
# Welkom en mededelingen
# Verslag vorige keer
# Stand van zaken CDO Rijk
# Metadata
# Semantiek
# Gegevenskwaliteitsraamwerk
# MIM
# Gegevensmodellering
# Principes
# Eisen aan een Framework voor Datamanagement
# W.V.T.T.K. +
Reservering, de leden van de expertgroep bepalen te zijner tijd zelf de agenda. +
Reservering, de leden van de expertgroep bepalen te zijner tijd zelf de agenda. +
Basisagenda:
# Welkom en mededelingen
# Verslag vorige keer
# Stand van zaken CDO Rijk
# Metadata
# Semantiek
# Gegevenskwaliteitsraamwerk
# MIM
# Gegevensmodellering
# Principes
# Eisen aan een Framework voor Datamanagement
# W.V.T.T.K. +
Tijdstip eerstvolgende bijeenkomst +
Reservering, de leden van de expertgroep bepalen ter zijner tijd zelf de agenda. +
Basisagenda:
# Welkom en mededelingen
# Verslag vorige keer
# Stand van zaken CDO Rijk
# Metadata
# Semantiek
# Gegevenskwaliteitsraamwerk
# MIM
# Gegevensmodellering
# Principes
# Eisen aan een Framework voor Datamanagement
# W.V.T.T.K. +
Basisagenda:
# Welkom en mededelingen
# Verslag vorige keer
# Stand van zaken CDO Rijk
# Metadata
# Semantiek
# Gegevenskwaliteitsraamwerk
# MIM
# Gegevensmodellering
# Principes
# Eisen aan een Framework voor Datamanagement
# W.V.T.T.K. +
Bijeenkomst Expertgroep Gegevensmanagement +
Met deze aanbesteding wil de gemeente Utrecht een contract sluiten voor de exploitatiedienstverlening van de Utrechtse Zwembaden. Deze dienstverlening bestaat uit het leveren van een entreekassasysteem, reserveringssysteem, horeca-kassa en een leerlingvolgsysteem. Eventueel wil de gemeente Utrecht in de toekomst de toegang vergemakkelijken door het afnemen van tourniquets. +
F
Het project Invest International valt op dit moment nog onder het ministerie van Financiën. Na aanvaarding van het wetsvoorstel tot oprichting wordt Invest International een private instelling (nv). Op het gebied van personeelszaken wil Invest International zoveel mogelijk uitbesteden. De opdracht bestaat uit een HR SaaS-oplossing i.c.m. uitbesteding van de personeels- en salarisadministratie. +
De opdracht heeft betrekking op het leveren van een FMIS Oplossing en/of Additionele diensten aan de Belastingdienst. De FMIS Oplossing betreft de te leveren Programmatuur, het Onderhoud en Support, Gebruiksrechten en opleidingen ten behoeve van het FMIS, alsmede de Realisatie daarvan. +
Levering, implementatie (waaronder tenminste: ontsluiting, integratie, configuratie, migratie, conversie), beheer, onderhoud, doorontwikkeling en hosting van een facilitair managementinformatiesysteem (FMIS), inclusief een gebruiksvriendelijk gebruikersportaal en mobiele app's, geleverd op basis van SaaS dienstverlening. Ter ondersteuning van de facilitaire processen van FMHaaglanden. +
==Doel==
Het faciliteren van eenmalig inloggen beoogt het beperkt houden van het aantal digitale drempels om gemakkelijk zaken te kunnen doen met de overheid.
==Scope==
De overheid zorgt er voor dat burgers en rechtspersonen in contact met de overheid zichzelf zo min mogelijk telkens opnieuw kenbaar hoeven te maken door extra in te loggen c.q. een authenticatie uit te laten voeren.<br />
Het eenmalig inloggen, ook wel Single-Sign-On (SSO) genoemd, zorgt er voor dat een persoon zich minder vaak hoeft te identificeren c.q. dat opnieuw hoeft te worden ingelogd e.d. Daarmee is SSO dus van invloed op de wijze waarop de authenticatie moet worden ingericht om het “gebruiker centraal” te maken (in plaats van te veel techniek gedreven). Dat wringt soms met de noodzaak voor de overheid om zorg te dragen voor veiligheid en privacy. Hierom moet een balans worden gevonden.<br />
In de praktijk blijkt dat extra inloggen een grote ergernis is bij gebruikers.<br />
Voordelen van single sign-on zijn:
* Eenvoud en gemak voor de gebruiker;
* Gebruikers zijn productiever;
* Het biedt de mogelijkheid om de enige overgebleven aanmeldprocedure te verscherpen en het netwerk veiliger te maken.
Afspraak<br />
Overheidsorganisaties moeten (toekomst WDO) burgers laten inloggen met een identificatiemiddel dat past bij het benodigde betrouwbaarheidsniveau van de betreffende dienst(en). In principe niet met een hoger betrouwbaarheidsniveau dan nodig.<br />
NB. Door dit uitgangspunt zal in bepaalde gevallen geen sprake kunnen zijn van een volledige SSO. Het zorgt echter wel voor een redelijke balans tussen informatieveiligheid / privacy en gebruiksgemak.<br />
Voorziening<br />
Als een burger al is ingelogd met een identificatiemiddel, dan kan de burger zonder opnieuw in te hoeven loggen alle diensten afnemen met een gelijkwaardig of lager betrouwbaarheidsniveau dan het betrouwbaarheidsniveau waarmee was ingelogd.
Bij een hoger benodigd betrouwbaarheidsniveau moet wel opnieuw worden ingelogd met een meer betrouwbaar identificatiemiddel.<br />
Afspraak<br />
Vanuit het oogpunt van informatieveiligheid kunnen termijnen worden gesteld aan de duur van een online sessie, waarna wederom een authenticatie mag plaatsvinden.
==Voorbeelden==
Als je bij MijnOverheid bent ingelogd (via DigiD), dan hoef je niet nogmaals in te loggen als je naar jouw eigen pensioenoverzicht wilt gaan. Terwijl je ook afzonderlijk naar jouw pensioenoverzicht kunt gaan, maar dan moet je daar eerst inloggen.<br />
Dit is een mooi voorbeeld van publiek-private samenwerking, waarbij publieke voorzieningen door private partijen worden her-gebruikt en burgers daardoor gemakkelijker de gewenste informatie verkrijgen.
==Status==
Medio 2020 is via een pressure-cooker versnelling aangebracht in de oplevering van GO. Een vijftal werkgroepen heeft in 2 maanden tijd uitwerking gegeven aan:
* ‘Why’ van de GDI inclusief bijbehorende visual,
* uitgangspunten voor het vastleggen van generieke functies (capability’s),
* visies voor de domeinen Interactie, Gegevensuitwisseling, Identificatie en Authenticatie (Toegang), Machtigen en Infrastructuur.
Resultaten van de pressure cooker zijn overgedragen om mee te nemen in de Gemeenschappelijke Overheidsarchitectuur (GO). GO brengt samenhang aan, verwijdert dubbelingen en verdiept visies zodanig dat besluitvorming in de PL en (naar beoordeling door PL) in het OBDO mogelijk is. Voor het domein Interactie geldt dat bovendien nog afstemming met de beleidsomgeving moet plaatsvinden. Gegevensuitwisseling heeft nu nog een bredere scope dan GDI en zal daarom binnen de GDI-context in samenhang met andere domeinen uitgewerkt worden.
==Documentatie==
De visie uit de pressure cooker GO t.a.v. Identificatie en Authenticatie is opgenomen in het document van de werkgroep IenA1 - Identificatie en Authenticatie:[[media:GO_Pressure_Cooker_Identficatie_en_Authenticatie_(IenA1).pdf|GO_Pressure_Cooker_Identficatie_en_Authenticatie_(IenA1).pdf (PDF, 417 kB)]]
==Naamgeving==
Het visie document uit de pressure cooker gebruikt voor deze capability de naam '''Single-Sign-On by default'''
leden van de NORA familie in een ovale woordenwolk +
Familienieuws Mei 2020 nu ook online beschikbaar +
Feedback gevraagd over de ontsluiting van de Privacy Baseline via noraonline (reviewperiode) +
Verslag van de feedback-sessie Review NORA Kernwaarden, Kwaliteitsdoelen en Architectuurprincipes +
<br>
==Sfeerimpressie & vervolg==
Marieke Vos [[media:Presentatie Finale NORA Gebruikersweek 2021.pdf|presenteerde (PDF, 1,15 MB)]] niet alleen de wedstrijd Strijd om de Praatbokaal, maar maakte ook de prijswinnaar bekend van de competitie Kijkersvraag en ging met de deelnemers in gesprek over wat ze hebben opgehaald in de afgelopen Gebruikersweek.
===Winnaar Kijkersvraag===
[[Afbeelding:Michiel Nederlof met trofee Kijkersvraag.jpg|thumb|left|300px|Michiel Nederlof met zijn zelfgebouwde (Lego-)trofee van de NORA Kijkersvraag]][[Afbeelding:Trofee Kijkersvraag in elkaar gezet.jpg|right|150px|De trofee met verpakking, resterende stickers en thumbs-up|thumb]]
Als architect is naast praten & luisteren ook observeren en analyseren heel belangrijk. En natuurlijk creatief nadenken! De winnaar van de [[Competities NORA Gebruikersweek|Kijkersvraag]], Michiel Nederlof van de provincie Gelderland, kan het als geen ander.
[[Afbeelding:Trofee Kijkersvraag in stukjes.jpg|thumb|right|150px|Deel van de Legostukjes die samen de trofee van de Kijkersvraag zullen vormen]]
In zijn winnende analyse van de mysterieuze lego-bouwwerken die de Kijkersvraag 2021 uitmaakten zag hij de eeuwige zoektocht naar de Steen der Wijzen, in het bijzonder in de Harry potter-reeks: Van architecten wordt verwacht dat ze iedereen als een allesweter telkens de goede weg wijzen en daarbij komt die Steen goed van pas.
Hij was eerlijk genoeg om toe te geven dat hij hem zelf nog niet had gevonden..
Geheel in stijl met de vraag ontving hij van ons een zelfbouw-Lego trofee. En hij bewees ons dat architecten niet alleen ontwerpen, maar ook best kunnen bouwen ;-)
<div style="clear:left"> </div>
===Winnaars & Opname Strijd om de Praatbokaal===
[[Afbeelding:Strijd om de Praatbokaal.png|thumb|right|200px|Strijd om de Praatbokaal, zie [https://youtu.be/tVlF7K2BG-E youtube]|alt=Logo van de Strijd om de Praatbokaal, het NORA Gebruikersdag logo met een open mond er bij]]Er is een opname beschikbaar van de 'Strijd om de Praatbokaal.' Je vindt deze opname niet op deze pagina maar op Youtube, zodat voldaan kon worden aan toegankelijkheidseisen: [https://youtu.be/tVlF7K2BG-E youtube Strijd om de Praatbokaal].
De Praatbokaal 2021 ging uiteindelijk met slechts een paar punten verschil naar Team @TIOH. Een eervolle vermelding gaat naar team Waterschapshuis, dat de tweede prijs behaalde van zowel jury als publiek. De winnaars hebben als het goed is inmiddels hun award ontvangen per post, voor de tweede prijs zoeken we nog iets passends om naar het kantoor van het Waterschapshuis te versturen.
[[AFbeelding:Winnaars Praatbokaal 2021.png|thumb|left|400px|Winnaars van de Praatbokaal: Ellen van der Steen, Max Boes en Michel de Boorder!|alt=logo van de strijd om de praatbokaal met daaronder de namen van de winnaars]]
De begrippen die uitgelegd zijn in de show:
* Zero trust architecture
* Self Sovereign Identity
* Virtual vs Augmented Reality
* Tijdreizen in je data
* Bedrijfsfunctiemodel
* Capabilities.
In de finale gaven beide teams in slechts 2 minuten tijd overtuigend antwoord op de vraag: Hoe weet ik wanneer ik een architect nodig heb?
<div style="clear:left"> </div>
==Oorspronkelijke beschrijving sessie==
In deze spetterende finale van de [[NORA Gebruikersweek 25 mei tot 4 juni 2021]] komen we nog 1 keer samen om terug- en vooruit te blikken en de drie prijzen uit te reiken: de Praatbokaal, het Luisterend Oor en de Kijkersvraag.
Onderdeel van deze sessie is een spelshow waarin drie teams van architecten strijden om te bewijzen wie er het beste de vertaalslag kan maken naar de taal van bestuurders en projectleiders. Aan een driekoppige jury van bestuurder, afdelingshoofd en projectleider leggen zij in 60 seconden een aantal begrippen uit. Kan het jurylid iets met deze uitleg? Na drie rondes beantwoorden de teams vervolgens de hamvraag: hoe weet je dat je een architect nodig hebt?
Uiteraard is er naast de juryprijs ook een publieksprijs, waar jullie allemaal ter plekke voor mogen meestemmen (via mentimeter). Vanaf x uur kan wie nog puf heeft napraten over de week in kleine groepen (in break-out rooms).
==Beschrijving spelshow==
===De Jury===
* Voorzitter en vertegenwoordiger van de doelgroep bestuurders: Wiepke Maljers, Directeur Advies en Plaatsvervangend Algemeen Directeur van de Stichting ICTU ([https://www.linkedin.com/in/wiepke-maljers/ LinkedIn profiel]).
* Vertegenwoordiger van de doelgroep Afdelingshoofden: Ilse Vegter, hoofd afdeling Communicatie & Marketing van de Stichting ICTU ([https://www.linkedin.com/in/ilsevegter/ LinkedIn profiel])
* Vertegenwoordiger van de doelgroep Projectleiders: Alwin Bodo, project- & programmamanager bij de Stichting ICTU en Accessibility Officer ([https://www.linkedin.com/in/alwin-bodo/ LinkedIn profiel])
===De teams===
Twee teams deden mee:
* Team Waterschapshuis. ([https://www.linkedin.com/company/het-waterschapshuis/ linkedin waterschapshuis] / [https://www.hetwaterschapshuis.nl/ website waterschapshuis]
* Team @TIOH
==De casus==
Iedereen heeft het er over: als we straks van Corona af zijn blijven we hybride werken. Ook bij de Stichting ICTU is er een sterke behoefte om straks op straks samen te kunnen werken op met collega's en gasten in de juiste mix van thuiskantoor, kantoor en evenementen-locatie. Zoals gebruikelijk denkt iedereen in de organisatie mee en wordt in het voortraject gestrooid met goede adviezen, waarschuwingen en trends waar je 'als je toch bezig bent' ook gelijk rekening mee moet houden. In die context onze fictieve casus:
Een directeur, afdelingshoofd of projectleider komt in uit een meeting en is om de oren geslagen met een paar nieuwe of althans minder bekende termen. Bij het koffiezetapparaat ziet hij/zij een architect en klampt die aan: "Ik moet zo weer terug, maar wat betekent in vredesnaam X? En moet ik daar nu echt wat mee in mijn rol?"
De architectenteams krijgen telkens 60 seconden om die vraag te beantwoorden. Doen ze dat goed, dan is er daarna nog 2 minuten over om de belangrijke vervolgvraag van de jury te beantwoorden:
"Hoe herken ik eigenlijk of ik een architect nodig heb?"
Het aspect van het mogelijke financiële gevolg voor de doelgroep heeft betrekking op de verwachtte inkomsten van de staatskas naar aanleiding van nieuwe / aangepaste wetgeving op het statistische model. Als in de toekomst nieuwe technieken worden ingezet kunnen ook andere gevolgen naast financiële worden gesimuleerd. Denk aan de compliance van de burger bij nieuwe wet- en regelgeving. +
Het CBR zoekt een partner voor het correctief-, preventief- en adaptief onderhoud van de IBM stack en overige applicaties die worden ingezet voor het medisch - en het mededelingen proces van de divisie Rijgeschiktheid. +
Het aspect flexibiliteit betekent het kunnen omgaan met verwachte veranderingen (de juiste keuzes maken).
# De regels zijn herleidbaar naar een bron <br />
Architectuurprincipe ARB-03 - Traceerbaar <br />
* De opgestelde regels hebben wet en beleid als uitgangspunt.
* De referentie naar de bron (wet, beleid of jurisprudentie wordt conform standaard vastgelegd (ECLI-standaard)) is altijd aanwezig.
<br />
Hoe bevordert het toepassen traceerbaarheid naar de bron de wendbaarheid?
Doordat de regels altijd te traceren zijn naar wet en beleid, is het enerzijds mogelijk om impact bij wijzigingen van wet en beleid snel inzichtelijk te maken. Anderzijds betekent het ontbreken van traceerbaarheid naar bron dat er vragen kunnen worden gesteld in het kader van validatie van de regels. Bij wijzigingen worden alleen de relevante regels aangepast; maximale flexibiliteit is daardoor geborgd. +
De mate waarin gegevens syntactisch correct zijn. +
==Objectdefinitie==
Betreft het scheiden van taken die een risico vormen voor misbruik of onbedoelde/onbevoegde beschikking over informatie en bedrijfsmiddelen.
==Objecttoelichting==
In het autorisatieproces gaat het om zowel taken van verschillende typen eindgebruikers en beheerders. Het toegangsbeleid dient regels en voorschriften te geven voor de organisatorische en technische inrichting van de toegang tot ICT-voorzieningen, zoals applicatie (gebruikers) en ICT-componenten (beheerders).
Het toegangsvoorzieningsbeleid beschrijft onder andere de manier waarop de organisatie omgaat met identiteit- en toegangsbeheer. De nodige eisen worden gesteld aan functiescheiding om een effectief en consistent gebruikersbeheer, identificatie, authenticatie en toegangscontrolemechanismen voor heel de organisatie te waarborgen. +
Een van de vier typen modellen zoals gedefinieerd in het [[MIM (Metamodel voor informatiemodellen)]]. +
==Objectdefinitie==
Omvat het geheel van processen en middelen om gebruikers veilig en gecontroleerd toegang te verlenen tot terreinen, gebouwen en ruimten.
==Objecttoelichting==
Fysieke beveiliging kan worden bereikt door het opwerpen van allerlei fysieke barrières rond het bedrijfsterrein en rond de IT-voorzieningen. Elke barrière creëert zo een beveiligde zone waarmee de totale beveiliging wordt versterkt.
Binnen de organisatie moeten beveiligingsniveaus en beveiligde zones worden gebruikt om gebieden die IT-voorzieningen bevatten te beschermen. Een beveiligde zone is een gebied binnen een barrière, zoals muren of hekken die alleen met een toegangspas of via een bemande receptiebalie geopend kan worden. De locatie en sterkte van de barrières worden onder andere bepaald door de resultaten van de risicoanalyse.
Zodra toegangsverlening wordt gerealiseerd met een informatiesysteem dat de sloten aanstuurt, wordt het proces volledig analoog aan de toegangsverlening van informatiesystemen ingericht en gelden alle genoemde controls voor toegang tot informatiesystemen onverminderd ook voor het fysieke toegangsbeheer, waarbij een specifiek protocol moet worden opgesteld voor de (fysieke) noodsleutels. +
==Objectdefinitie==
Betreft de fysieke scheiding en gecontroleerde doorgang tussen terreinen, gebouwen en ruimten.
==Objecttoelichting==
Bij het indelen in beveiligde zones (zonering) gaat het enerzijds om het scheiden van verantwoordelijkheidsgebieden en anderzijds het mogelijk maken van gecontroleerde doorgang tussen de gedefinieerde gebieden. Voor huisvesting Informatievoorzieningen (IV) gaat het om fysieke barrières met de verschillende doorgangen daarin. +
G
Architectuurprincipes van de [[GDI-Architectuur (GA)]] geven richting aan doorontwikkeling van de Generieke Digitale Infrastructuur (GDI). Dit document beschrijft de basisprincipes die binnen de GA worden gehanteerd en op alle domeinen van de GA van toepassing zijn. +
Het deel van de overheidsarchitectuur dat de inrichting van de Gemeenschappelijke Digitale Infrastructuur (GDI) betreft en hiervoor richtinggevende afspraken, standaarden en generieke voorzieningen beschrijft. +
De GDI-Architectuur (GA) dient te borgen dat de basisinfrastructuur van de overheid blijvend zal voldoen aan de veranderende behoeften van burgers en bedrijven, technologische ontwikkelingen, nieuwe functionele en niet-functionele eisen en veranderende veiligheidsrisico’s. +
Een generieke voorziening die onderdeel is van de GDI. +
GEMMA softwarecatalogus scoort 6,9 op tevredenheid +
Een portfolio van producten en diensten voor operationele informatiebeveiliging van gemeenten. Het betreft onder andere een actieve monitoring en response dienst voor het bewaken van gedrag en acties op het eigen bedrijfsnetwerk, beveiligingsproducten voor de gemeentelijke ICT-infrastructuur zoals firewalls, anti-DDoS, end-point protection en beveiligingsexpertise-diensten. +
Een Geografisch InformatieSysteem (meestal afgekort tot GIS) is een informatiesysteem waarmee (ruimtelijke) gegevens of informatie over geografische objecten, zogeheten geo-informatie kan worden opgeslagen, beheerd, bewerkt, geanalyseerd, geïntegreerd en gepresenteerd. +
Het GWSW is een ontologie, een speciale datastructuur die assets, systemen en (beheer)processen op het gebied van stedelijk waterbeheer beschrijft. Het is een open datastandaard volgens het linked data principe. Het GWSW is onderdeel van het Semantisch Web en is gemodelleerd in RDF/RDFS/OWL-2. +
==Objectdefinitie==
Omvat beveiligingsmechanismen voor zonering en filtering.
==Objecttoelichting==
Gateways en firewalls realiseren de maatregelen voor zowel zonering als voor filtering en zijn niet expliciet genormeerd in de [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002 2017]]. De implementatiestandaard voor gateways: de ISO 27033-4 2014 bevat hiervoor het principe, dat gateways en firewalls filterfuncties behoren te bevatten, die zodanig geconfigureerd zijn dat alle netwerkverkeer, zowel inkomend als uitgaand, wordt gecontroleerd en dat uitsluitend toegestaan netwerkverkeer wordt doorgelaten. +
==Beschrijving==
Het moet voor de vertegenwoordiger mogelijk zijn om gebruik te maken van de aan hem of haar verstrekte vertegenwoordigingsbevoegdheden bij het handelen namens de vertegenwoordigde.
==Voorbeelden==
==Rationale==
Conform de Awb, moet iedereen door een ander vertegenwoordigd kunnen worden in zijn of
haar relatie met de overheid. Vertegenwoordigers moeten in staat gesteld worden om gebruik te
kunnen maken van de aan hen verstrekte vertegenwoordigingsbevoegdheden en dienstverleners
moeten deze accepteren. De vertegenwoordiger moet aan kunnen tonen bevoegd te zijn en de
dienstverlener moet kennis kunnen nemen van de vertegenwoordigingsbevoegdheid en deze
kunnen beoordelen. Gezien de maatschappelijke ontwikkelingen is het gewenst om ook in het
private domein en landsgrensoverstijgend machtigen en vertegenwoordigen mogelijk te kunnen
maken.
We hebben ervoor gekozen om deze generieke functie te beperken tot het gebruiken van de
vertegenwoordigingsbevoegdheid. Het overzicht en inzicht dat een vertegenwoordiger dient te
hebben, hebben we opgenomen bij de generieke functie (GO-GF-MV03) dat alle betrokkenen
overzicht en inzicht moeten hebben.
Er zijn verschillende implementatievormen voor het kunnen gebruiken van een
vertegenwoordigingsbevoegdheid, bijvoorbeeld het raadplegen van het
vertegenwoordigingsbevoegdhedenregister of het overleggen van een token. We beschrijven de
generieke functie en de implicaties ervan zoveel als mogelijk op een implementatieonafhankelijke
manier.
Een verdere rationale voor deze generieke functie en de implicaties die hieruit voortkomen is te
vinden in:
Algemene kenmerken van machtigen (hoofdstuk 3),
* Specifieke kenmerken van vrijwillige machtiging (paragraaf 3.1),
* Specifieke kenmerken van wettelijke vertegenwoordiging (paragraaf 3.2),
* Wettelijk kader C (paragraaf 4.1.1),
* Beleidskader D (paragraaf 4.1.2),
* Maatschappelijke en technische ontwikkeling G, H (paragraaf 4.1.3).
==Implicaties==
# De vertegenwoordiger kan selecteren van welke vertegenwoordigingsbevoegdheid hij of zij gebruik wil maken bij het afnemen van diensten.
# De dienstverlener kan kennisnemen van de vertegenwoordigingsbevoegdheid of een keten van meerdere vertegenwoordigingsbevoegdheden om vast te kunnen stellen of de vertegenwoordiger bevoegd is om namens de vertegenwoordigde te handelen.
# De dienstverlener moet de vertegenwoordigingsbevoegdheid accepteren en mag er geen aanvullende eisen aan stellen. De dienstverlener blijft zelf verantwoordelijk voor de toegang (autorisatie) tot het eigen domein, en kan een vertegenwoordiger dus weigeren als daar redenen voor zijn. Bij de vertegenwoordigingsbevoegdheid worden gegevens geleverd ter ondersteuning van die beslissing. De dienstverlener kan de vertegenwoordigingsbevoegdheid controleren op o.a. betrouwbaarheidsniveau en geldigheid. Hierbij horen ook afspraken over de geldigheid van vertegenwoordigingsbevoegdheidsverklaringen (tokens) die door de vertegenwoordiger worden overlegd en niet bij de bron geverifieerd worden.
# Het is wenselijk dat machtigingen zowel in het publieke als private domein kunnen worden vastgelegd en gebruikt. Dit geldt alleen voor machtigingen die voldoen aan nog vast te stellen en door de overheid te erkennen domeinoverstijgende afspraken.
# Het is wenselijk dat vertegenwoordigingsbevoegdheden internationaal kunnen worden gebruikt. Vertegenwoordigingsbevoegdheden vastgelegd in Nederland kunnen buiten Nederland worden gebruikt en vertegenwoordigingsbevoegdheden vastgelegd buiten Nederland kunnen in Nederland worden gebruikt. Dit geldt alleen voor vertegenwoordigingsbevoegdheden die voldoen aan nog vast te stellen en door de overheid te erkennen internationale afspraken. Dit vraagt om het kunnen identificeren van niet ingezetenen.
# De dienstverlener moet de verschillende vormen van vertegenwoordiging (vrijwillig, wettelijk, burger-burger, burger-bedrijf, zorgsector, financiële sector enz.) kunnen verwerken.
# Het is mogelijk om een bij wet geregelde vertegenwoordigingsbevoegdheid af te leiden. Bij wet geregelde vertegenwoordigingsbevoegdheden worden niet expliciet vastgelegd, maar afgeleid uit gegevens. Om de vertegenwoordiger in staat te stellen een bij wet geregelde vertegenwoordigingsbevoegdheid te kunnen gebruiken, moet deze kunnen worden afgeleid.
#
==Documentatie==
* [[media:GO_Machtigen_en_vertegenwoordigen.pdf|GO Machtigen en vertegenwoordigen (PDF, 642 kB)]]
==Kaders==
Deze kaders zijn bepalend voor deze generieke functie.
* [[Algemene_Wet_Bestuursrecht | Algemene Wet Bestuursrecht]]
* [https://www.digitaleoverheid.nl/dossiers/wet-digitale-overheid/ Wet digitale overheid]
* [https://www.rijksoverheid.nl/documenten/publicaties/2017/10/10/regeerakkoord-2017-vertrouwen-in-de-toekomst/ Regeerakkoord 2017]
==Toelichting relaties==
De bestaande GDI-voorzieningen die hieronder zijn opgenomen onder ‘Gerealiseerd door' realiseren delen van de generieke functies van het GO-domein. Deze bestaande voorzieningen kunnen afwijken van de keuzes die voor het GO-domein zijn gemaakt.
Iedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem +
Gebruikers / experts van DCAT of SETU gezocht +
Houd jij je bezig met open standaarden, linked data en kennismodellen? En heb je interesse om informatie over standaarden te hergebruiken in je eigen platform?
Het Forum Standaardisatie en NORA online organiseren het (tweede) Gebruikersoverleg Kennismodel Standaarden (standaarden als linked data in architectuur). Met specialisten gaan we aan de slag met de eerste aanzet voor één algemeen kennismodel om beschrijvingen over standaarden te kunnen publiceren in de publieke sector, met daarbij ruimte voor uitbreidingen voor domeinspecifieke eigenschappen.
Programma (in het kort)
* welkom
* introductie kennismodel standaarden voor het beschrijven van standaarden ([[Gebruiker:JDirks|Joris Dirks]] (NORA Beheerteam))
* presentatie SURF en Kennisnet: [https://EduXS.eu EduXS - ‘Mapping Education Ecosystem’] (Evelien Renders (SURF), Henk Nijstad, Melle Offringa (Kennisnet))
* generiek kennismodel standaarden (voor NORA) (Joris Dirks)
* uitbreidingen van het Forum Standaardisatie Kennismodel (Joris Dirks, [[Gebruiker:HLaagland|Hans Laagland]] (Bureau Forum Standaardisatie)):
** levensloop van standaarden
** modelleren van 'sub-standaarden' in geclusterde registraties
* discussie over de oplossingen en vervolgstappen
Gebruikersoverleg Kennismodel Standaarden is de vervolgbijeenkomst op [[Workshop Standaarden in kennismodel Forum Standaardisatie|Workshop 'Kennismodel Forum Standaardisatie' van Forum Standaardisatie en NORA]] van 6 april 2023.
Het Gebruikersoverleg is opgezet om kennis en informatie uit te wisselen over kennismodel voor standaarden in de publieke sector om hergebruik te faciliteren.
== Wat gaan we doen? ==
=== Introductie kennismodel standaarden voor het beschrijven van standaarden ===
Korte introductie over een kennismodel om standaarden te beschrijven en het nut om in Nederland afspraken te maken over een generiek kennismodel voor standaarden.
=== Presentatie SURF en Kennisnet: EduXS ===
Evelien Renders (SURF), Henk Nijstad (Kennisnet) en Melle Offringa (Kennisnet) nemen je mee in deze interessante, internationale aanpak om standaarden te koppelen aan stakeholders en aan projecten.
SURF's 'Mapping Education Ecosystem' project, opgestart in herfst 2022, werkt samen met een internationale groep om Europa's digitale onderwijslandschap in kaart te brengen. De laatste updates, inclusief de uitkomsten van recente demo's en de ontwikkeling van een EduXS-prototype, zijn gepubliceerd op [https://www.eduxs.eu EduXS].
Vanuit de Informatiekamer Onderwijs is aan Bureau Edustandaard gevraagd om te zorgen dat er overzicht en inzicht is over de relevante internationale ontwikkelingen m.b.t. standaardisatie. Uitgaande van een aantal usecases zijn we bezig om standaarden te modelleren. We presenteren enkele voorbeelden en schetsen de dilemma’s waaronder welke inhoudelijke, betekenisvolle relaties wil je kunnen leggen om op een haalbare manier deze internationale kennisdatabase te realiseren.
=== Generiek kennismodel standaarden ===
Toelichting op de stand van zaken voor generiek kennismodel standaarden voor het beschrijven van in de publieke sector, aan de hand van de implementatie voor [https://www.noraonline.nl/wiki/Standaarden NORA Standaarden]. Dit doen we tegenwoordig als linked open data, om hergebruik te faciliteren.
=== Uitbreidingen op het Forum Standaardisatie Kennismodel (FSKM) ===
Het Forum Standaardisatie publiceert sinds dit voorjaar de lijst open [https://forumstandaardisatie.nl/open-data-lijst-open-standaarden standaarden als linked open data] aan de hand van Forum Standaardisatie Kennismodel, i.s.m. NORA.
<div style="border: 1px solid rgb(148,210,230); background-color: rgb(231,245,249); padding: 4px;max-width: max-content;}">Informatie over het FSKM en standaarden in NORA in brede zin is te vinden op de pagina: '''[[Kennismodel Standaarden]]'''</div>
De beschikbaarheid van de open standaarden als linked open data via een kennismodel (FSKM) zet de deur open voor uitbreidingen:
* levensloop van een standaard modelleren:<br />per standaard de veranderende event inzichtelijk maken. Dit noemen we de ‘levensloop’ van een standaard op de Lijst Open Standaarden. Bv. van aanmelding voor status 'pas toe of leg uit’-verplichting, via versiewijziging, naar status 'aanbevolen'.
* sub-standaarden in geclusterde registratie modelleren:<br />standaarden te koppelen op een hoger detailniveau. FS ziet een ontwikkeling van geclusterde registraties van standaarden (bv. Geostandaarden). Een geclusterde registratie is een ‘paraplu’ voor een aantal autonome, afzonderlijke standaarden op de ‘pas toe of leg uit’-lijst. Volgende stap is om de ‘substandaarden’ binnen een cluster op een hoger detailniveau te registreren en te documenteren.
Daarnaast zal het kennismodel gebruikt worden om standaarden in NORA op te nemen.
=== Discussie over generiek kennismodel standaarden ===
Ruimte voor discussie en gesprek over de gepresenteerde oplossingen en vervolgstappen
== Achtergrondinformatie ==
Bureau Forum Standaardisatie publiceert de lijst open standaarden als linked open data, ter bevordering van de informatievoorziening over standaarden. Bureau Forum Standaardisatie en NORA trekken in dit traject samen op. Op de [[NORA Gebruikersraad/2023-02-07|NORA Gebruikersraad van 7 februari 2023]] heeft het Bureau Forum Standaardisatie een presentatie gegeven van de eerste oplevering.
Het Forum Standaardisatie heeft in samenwerking met NORA Beheerteam een kennismodel opgezet, namelijk Forum Standaardisatie Kennismodel (FSKM). Dit model wordt volgens linked data-principes uitgedrukt. Het FSKM is het hart van het registreren van de standaarden van Forum Standaardisatie. FSKM beschrijft de eigenschappen van de registraties open standaarden. Denk aan eigenschappen als status van de standaard, functioneel toepassingsgebied, nut, werking, of datum van aanmelden. Het FSKM bepaalt ook de transformatie van registraties naar expressie in linked data.
* Het kennismodel is gedocumenteerd als: [[Kennismodel Standaarden]].
* De standaarden zijn te vinden via: [[Standaarden]]. Daar is ook gelinkt naar het Linked data-portaal.
De mate waarin er inzicht is in de gebruikers en hun gebruik. +
Wanneer (deel)diensten vanuit het perspectief van de afnemer nauw verwant zijn aan elkaar, worden deze gebundeld gepresenteerd aan de afnemer. Zo ervaart de afnemer ze als waren ze één dienst. Dienstverleners moeten hiervoor afspraken maken met elkaar. Dit kan betekenen dat de achterliggende processen (gedeeltelijk) zijn geïntegreerd, maar dat hoeft niet. +
Diensten en deeldiensten die bij elkaar horen worden gebundeld aangeboden aan burgers en bedrijven. Zo ervaren zij de dienstverlening als één dienst en worden ze beter bediend. Overheidsdienstverleners en ketenpartners werken samen om dit te bereiken. +
Bedrijfsregels zijn geformuleerd in een gecontroleerde natuurlijke taal. Gecontroleerd betekent dat een strikt afgebakende set afspraken geldt voor het uitdrukken van de regels. Natuurlijk betekent dat de regels in woorden en zinnen worden uitgedrukt, en dus niet (zoals bij softwarecode) in tekens of symbolen . Dit is nodig om de regels eenduidig te houden.
Deze vorm heeft voor- en nadelen voor uitlegbaarheid. Voordeel is de eenduidigheid: Een gebruiker van bedrijfsregels hoeft aanzienlijk minder tijd te besteden aan het doorgronden van de logica en betekenis van bedrijfsregels, waardoor hij tijd over heeft voor de vertaling van de regel voor zijn doelgroepen (extern of intern).
Nadeel van het gebruik van een gecontroleerde natuurlijke taal is dat het geen lopende zinnen zijn. Dit lijkt niet op het verhalend proza dat men nodig heeft voor trainingsmateriaal, websites, folders en brieven. Samenvattingen en herformulering van (groepen) regels zijn dus nodig om de regels uit te leggen aan specifieke doelgroepen. +
Weergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. +
Weergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat.. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd +
Ook wel 'metagegeven': beschrijving van de inhoud van een gegeven. +
==Objectdefinitie==
Betreft het van buitenaf veilig invoeren van gegevens in het softwarepakket.
==Objecttoelichting==
Softwarepakketten maken vrijwel altijd gebruik van upload- of download-mechanismen voor de import en export van (gebruikers)gegevens. In veel gevallen worden die gegevens verkregen vanuit niet vertrouwde clients, al dan niet gepositioneerd in niet vertrouwde<sup class="reference smartref" id="cite_ref-Begrippen (niet)vertrouwde zones_1-0">[[Gegevensimport#cite_note-Begrippen (niet)vertrouwde zones-1|1]]</sup> zones, waarna de gegevens getransporteerd worden via niet vertrouwde netwerken.
Om risico’s voor de bedrijfsvoering te beperken, behoort hiervoor een samenhangende set van maatregelen te worden toegepast.
==Schaalgrootte==
Elke schaalgrootte.
==Voor wie==
Leverancier. +
Gegevensmanagement betreft het integraal en beheerst verwerken van gegevens in een organisatie zowel op strategisch tactisch als operationeel niveau met als doel de gewenste kwaliteit en beschikbaarheid te realiseren. +
Door omstandigheden hebben we deze bijeenkomst telefonisch gehouden in plaats van in eigen persoon. Aan de telefoon zaten: Reeuward, Jaap, Corine, Henk, Wim en Marieke. Hierbij een korte samenvatting voor wie er niet bij kon zijn.
Uit het [[Gegevensmanagement/workshop 6|verslag van vorige keer]] zijn een aantal actiepunten blijven liggen. Jaap had ons een document beloofd over kennismanagement en wetsanalyse en stuurt dit alsnog rond. Zijn actie om begrippen en de betekenissen zoals wij die in de eigen organisaties hanteren uit te vragen en te kijken of er interessante verschillen van mening zij trekt hij in: bij nader inzien is de kans dat dit verwordt tot een semantische discussie over definities te groot.
Om in kaart te brengen wat er allemaal gebeurt op dit vakgebied verzamelt Henk bestaande initiatieven en netwerken is Henk verzamelpunt voor alles wat je op dit gebied tegenkomt. Corine geeft aan dat er 14 maart een [https://www.kvk.nl/evenementen/473079/ Datasummit is van de Kamer van Koophandel], waarbij de Kickoff is van een Taskforce Maatschappelijk Verantwoord Datagebruik. Deze taskforce wordt niet vermeld op de pagina (wel in de samenvatting voor zoekmachines, zie [https://duckduckgo.com/?q=taskforce+maatschappelijk+verantwoord+datagebruik&atb=v96-4__&ia=web zoekresultaten]), maar zou zowel een publieke als een private tak moeten krijgen/hebben. Corine gaat naar de summit en houdt ons op de hoogte.
Op 4 april (binnen het [[Samen het Gegevenslandschap harmoniseren - symposium 4 april|symposium Samen het gegevenslandschap harmoniseren]] organiseert Marieke een sessie waarbij je jezelf kunt mappen ten opzichte van de bestaande initiatieven, hiervoor zoekt ze voor elk van hen een elevator-pitch met wat basisinformatie. Ze stuurt de leden van de Expertgroep binnenkort een mailtje met welke informatie ze zoekt en welke initiatieven al in beeld zijn. De Taskforce zou hier zeker ook één van kunnen zijn.
==Review van de opgeleverde teksten en vervolgacties==
Henk en Robert hebben de meeste teksten gelezen en van feedback voorzien, die je terug kunt zien op de Overleg-pagina van de betreffende pagina's. Henk geeft ter plekke aan vooral de teksten over governance als heel waardevol te ervaren.
Marieke geeft aan dat er dinsdag versterking komt in het NORA-team van iemand die ervaring heeft met redactiewerk, zodat er voor 4 april nog een redactieslag gedaan kan worden. Hiervoor is het wel belangrijk dat de auteurs de inhoudelijke opmerkingen die gemaakt zijn oppakken en aangeven hoe ze die verwerkt willen zien. Marieke stuurt een mailtje aan de auteurs waar ze hun tekst en de reviewopmerkingen er op precies terug kunnen vinden.
Op [[Gegevensmanagement/leeswijzer]] staat een eerste indeling van de pagina's op inhoudelijke thema's. Deze kan naar behoeven worden aangepast en uitgebreid, door per pagina aan te geven in welke categorie deze valt. Daarnaast is het ook mogelijk om een doorlopende leeslijn van begin tot eind aan te geven of een structuur aan te brengen met lagen van subpagina's. De consensus in het telefoongesprek is dat vlotte doorzoekbaarheid belangrijk is, omdat je het online waarschijnlijk niet helemaal achter elkaar gaat lezen maar daar begint waar het voor jou de meeste meerwaarde heeft. We gaan dus gebruik maken van een inhoudelijke indeling, die in de redactieslag nog wat kan wijzigen (splitsen en hernoemen van pagina's kan bijvoorbeeld zinvol zijn om de leesbaarheid en structuur te verbeteren). Hierbij moet wel helder zijn dat bijvoorbeeld toepassing van de MIM op bestaande gegevenswoordenboeken geen voorschrijvende visie is, maar een voorbeeld.
Voor het geheel geldt dat we het de 1.0-versie gaan noemen, die niet pretendeert volledig te zijn en nog verdere integratie en discussie behoeft in de expertgroep zelf en daarbuiten. Geen voorschrijvende visie, maar de bij elkaar gelegde kennis van ons allen, aangevuld met good practices.
Henk en Wilfried maken samen een presentatie voor 4 april waarin ze presenteren wat we hebben opgeleverd. Hierbij vragen we om reacties, zowel om onze witte vlekken in te vullen als om voorbeelden en good practices op te sturen. Wat die lege vlekken betreft: wat tot nu toe leeg is gebleven blijft dat waarschijnlijk tot 4 april. Voor gegevenskwaliteit is daarna wel weer wat te verwachten: de GEMMA expertgroep gaat aan de slag met de informatie zoals die in de Omgevingswet is ontwikkeld. Wilfried is bereid aan de slag te gaan met de het hoofdstuk rond metadata, maar ook dat komt na 4 april.
Praktische acties NORA Beheer & Doorontwikkeling (deel van redactieslag):
* leeswijzer opnemen in sjabloon Gegevensmanagement zodat je er vanaf elke pagina makkelijk terugkomt
* toegepaste MIM-voorbeelden duidelijker markeren als voorbeelden
* MIM zelf toevoegen (samen met Dick, Paul Jansen)
* werkende versie klaar op 4 april, eventueel daarna verder fijnslijpen - 4 april moet als status 1.0 versie tonen en uitleg hebben over de statu en verder verloop (niet voorschrijvend, reacties welkom maar geen grote review tot we een stap verder zijn)
==Agenda 2019==
We hebben even gebrainstormd over de invulling voor de expertgroep-meetings de rest van het jaar. De volgende suggesties zijn genoemd (en kunnen uiteraard worden aangevuld door wie niet aanwezig was):
* De 1.0 versie van 4 april kunnen we verder verbeteren door als groep telkens één tekst of onderwerp goed voor te bereiden en te bediscussiëren in een sessie. De keuze welk onderwerp (eerst) kan bijvoorbeeld gebaseerd zijn op de feedback die we krijgen op 4 april en daarna.
* Het zou mooi zijn eens vooruit te kijken naar de toekomst zoals die er aan lijkt te komen (algoritmes, AI's, profielen, machine learning) en dat breed te bespreken: ethiek & wenselijkheid, mogelijkheden en risico's en hoe we die toekomst beïnvloeden met de keuzes die we vandaag maken in onze eigen organisaties.
* Een verwante vraag is of we de basis inmiddels goed genoeg op orde hebben om die toekomstige mogelijkheden (en die van nu) ook echt aan te kunnen. Als onze eerste ambitie was om de basis van gegevensmanagement neer te zetten, zijn we daar dan al (in onze thema-teksten, in de praktijk van onze eigen organisaties, in onze samenwerking met andere organisaties) of nog niet? Wat moet er nog gebeuren?
* Willen we meer met LinkedData? Zo ja wat dan, gaan we dat voorschrijven in bepaalde situaties?
* Common ground gaat impact hebben op de architectuur van gegevensmanagement, niet alleen bij de gemeenten maar ook bij ketenpartners (KvK is bijvoorbeeld met de 5 grootste gemeenten bezig om te kijken of ze de verschillende registers die gemeenten gebruiken kunnen beschrijven op een manier die past binnen de Common Ground aanpak). Common Ground is nog niet uitgekristalliseerd, met als gevolg verschillende interpretaties en beelden. Op 4 april is er een sessie aan gewijd door Arnoud Quanjer. Reeuward gaat bovendie kijken of hij een presentatie over de architectuur van Common Ground mag delen met ons.
* Welke (types) vragen willen we eigenlijk kunnen beantwoorden vanuit de data in een bronregister, en welke manieren van ontsluiten passen daarbij? Er zijn een hoop verschillende technieken, maar kunnen we helder krijgen welke techniek we waar het beste op los kunnen laten en waarom? Een bronhouder wordt van alle kanten bestookt met (toekomstdromen van) bevragingen, hoe bereid je je daar op voor? Je wilt partijen niet in je hele dataset laten rommelen, zelfs al zou dat ivm AVG et cetera mogen. Het zou mooi zijn het daar eens over te hebben, met ook andere bronhouders aan tafel (Reeuward vraagt via de samenwerking KvK-G5 naar gemeentelijke gegadigden).
* Reacties die binnenkomen op de teksten die we gepubliceerd hebben op en na 4 april en discussie of verdere uitwerming vragen.
==Stand van zaken symposiym==
Het symposium heeft nu zo'n 140 inschrijvingen (max 200), waarbij het [https://www.vngrealisatie.nl/agenda/symposium-gegevensmanagement-op-donderdag-4-april-2019 programma] deze week gepubliceerd is op vngrealisatie.nl (aanleiding voor een tweede publiciteitsronde via NORA omdat de gemeenten wat oververtegenwoordigd zijn). Nog een paar vragen aan jullie:
* Heb jij jezelf al ingeschreven?
* Zou je de uitnodiging (nog een keer) binnen je netwerk willen uizetten, nu het programma bekend is?
* Als je aanwezig bent en geen sessie leidt, zou je dan voor één sessie wat hand en spandiensten willen verrichten zoals het bedanken van de spreker, in de gaten houden van de tijd en het maken van een foto of twee? Wim maakt een roostertje, waarbij ook de leden van de gemeentelijke expertgroep sessies op zich nemen.
* We zoeken nog een of twee partijen die hun Functionaris Gegevensbescherming af willen vaardigen voor een sessie over de AVG een jaar na implementatie. Insteek is een positieve sessie die de continue aandacht voor het onderwerp wil vasthouden. Wim stuurt een beschrijving van wat we zoeken, zodat je je FG gericht kunt benaderen. Graag binnen een week of 10 dagen reageren of het gaat lukken of niet.
==Verdere bijeenkomsten 2019==
Het plan is om voor de rest van 2019 vast enkele bijeenkomsten in te plannen en daar direct een locatie bij te zoeken in het midden van het land. Reeuward geeft aan dat er op bepaalde dagen meer ruimte is bij de KvK in Utrecht dan op maandagmorgen - zijn er mensen die bezwaar hebben tegen de woensdag als moment om samen te komen? Marieke stuurt een mailtje rond waarop je dagdelen kunt afstrepen (vaste vrije dag of juist vaste verplichtingen) en maakt op basis van die antwoorden een datumprikker voor meerdere sessies in 2019.
Tweede bijeenkomst expertgroep Gegevensmanagement +
Derde bijeenkomst expertgroep Gegevensmanagement +
Eerste workshop gegevensmanagement goed bezocht, aanzet voor NORA thema Gegevensmanagement. +
==Objectdefinitie==
Betreft het veilig opslaan van gegeven binnen of buiten het softwarepakket.
==Objecttoelichting==
De door softwarepakketten opgeslagen gegevens worden logisch beschermd tegen ongeoorloofde toegang door deze te versleutelen. Als logische toegang tot de oorspronkelijke gegevens niet vereist is, zoals bij wachtwoorden, dan moet de leesbaarheid onmogelijk worden gemaakt met hashing.
==Schaalgrootte==
Elke schaalgrootte.
==Voor wie==
Leverancier. +
Het verstrekken aan en ontvangen van gegevens tussen (informatiesystemen van) overheidsorganisaties onderling en (informatiesystemen van) andere organisaties of personen. +
==Doel==
Gegevensuitwisseling beoogt dat gegevens die op de ene plaats beschikbaar zijn, ook op een andere plaats beschikbaar komen, en ook andersom.<br />
Als het in zo'n geval niet om gegevens"uitwisseling" gaat, kan je beter spreken van gegevensverstrekking.
==Scope==
Gegevensuitwisseling omvat alle uitwisselingen van gegevens via de digitale basisinfrastructuur tussen informatiesystemen van overheidsorganisaties onderling en met
informatiesystemen van andere organisaties.
De volgende voorzieningen/ontwikkelingen vallen hieronder:
* Beheervoorziening BSN
* Stelselvoorzieningen: Digikoppeling, Digimelding, Digilevering en de Stelselcatalogus
* Digipoort: Standard Business Reporting (SBR), DigiInkoop, eFactureren en Handel&Transport
==Voorbeelden==
Nog te bepalen.
==Status==
Op 2 oktober 2023 heeft de architectuurraad Digitale Overheid [https://www.noraonline.nl/images/noraonline/9/98/GA_domein_Gegevensuitwisseling_v1.0.pdf deel 1 van de domeinarchitectuur gegevensuitwisseling] goedgekeurd. Het document beschrijft generieke functies, principes, afspraken, standaarden en generieke voorzieningen die relevant zijn voor gegevensuitwisseling. Dit document bevat een eerste deel van de uitwerking en is grotendeels beschrijvend van aard en afgebakend op geautomatiseerde uitwisseling van data tussen overheidsorganisaties. Het document is parallel ontwikkeld aan de Architectuur Digitale Overheid 2030 en stemt daar grotendeels mee overeen.
De domeinarchitectuur is opgesteld in een interbestuurlijke architectuurwerkgroep met vertegenwoordigers van verschillende overheidsorganisaties: VNG, Belastingdienst, Kadaster, RvIG, Logius, programma FDS, bureau MIDO. De werkgroep Gegevensuitwisseling is in het najaar van 2022 gestart. Een conceptversie is in mei 2023 afgestemd met de programmeringstafel Gegevensuitwisseling. Vervolgens heeft de werkgroep dit ook afgestemd met het programma Regie op Gegevens en het programma Federatief Datastelsel. Het document heeft ook een brede review doorlopen door een klankbordgroep.
Medio 2020 is via een pressure-cooker versnelling aangebracht in de oplevering van GO. Een vijftal werkgroepen heeft in 2 maanden tijd uitwerking gegeven aan de ‘Why’ van de GDI, uitgangspunten voor het vastleggen van generieke functies (capability’s) en eerste visies voor de domeinen Interactie, Gegevensuitwisseling, Identificatie en Authenticatie (Toegang), Machtigen en Infrastructuur. De opgestelde visie op het domein gegevensuitwisseling is inmiddels achterhaald door het verschijnen van de domeinarchitectuur gegevensuitwisseling.
==Documentatie==
De domeinarchitectuur gegevensuitwisseling is inmiddels beschikbaar: [[media:GA_domein_Gegevensuitwisseling_v1.0.pdf|GA_domein_Gegevensuitwisseling_v1.0.pdf (PDF, 2,01 MB)]].
Op basis van afspraken wordt een bestand geleverd. +
Klanten ontvangen op basis van een abonnement een afgesproken selectie van gegevens. +
Het Gegevenswoordenboek Migratieketen (GMK) wordt beheerd door de redactiecommissie GMK, die bestaat uit vertegenwoordigers van alle ketenpartners.
Het doel van het GMK is het ondersteunen van het op een juiste manier interpreteren van informatie die wordt uitgewisseld in en/of gerapporteerd over de migratieketen. Verschillende interpretaties leiden tot miscommunicatie en dus potentieel tot verkeerd handelen.
De website GMK Online is ontwikkeld om het gebruik van het GMK te vergemakkelijken. Zo kunnen gebruikers bijvoorbeeld snel definities van gegevens opzoeken of naar informatie refereren door te 'linken'. +
Gegevenswoordenboek Strafrechtsketen. +
Eenduidige definities van objecten in stedelijk waterbeheer en riolering (zowel ondergronds als bovengronds), met daaraan toegevoegd de beschikbare informatie (kennis) over hun kenmerken en hun onderlinge relaties. De ontologie is in RDF/RDF/OWL-2 (Turtle) opgebouwd, waarbij een uitwisselformaat oroX is gedefinieerd (een eigen specificatie op basis van RDF-relaties).
De semantische server waarop de GWSW ontologie en ruim 60 daarop gebaseerde gemeentelijke datasets geserveerd worden, is op meerdere manieren benaderbaar:
* [https://data.gwsw.nl data.gwsw.nl] voor bekijken van de ontologie en aanroepen van individuele concepten (bijvoorbeeld [https://data.gwsw.nl/1.5/basis/Rioolput Rioolput] geeft alle informatie van het concept Rioolput)
* [https://apps.gwsw.nl apps.gwsw.nl] biedt meerdere toepassingen voor gebruik van de ontologie en GWSW-datasets (validatie, conversies, GIS-presentatie)
* [https://sparql.gwsw.nl sparql.gwsw.nl], het SPARQL end point voor queries en machine-machine communicatie
* [https://review.gwsw.nl/webprotege review.gwsw.nl/webprotege] voor commentaar via Webprotege
Voor specifieke toepassingen zijn ook enkele RESTful API's beschikbaar. +
Gegevenswoordenboeken voor de migratie- en strafrechtketen. +
==Objectdefinitie==
Betreft geheime informatie waarmee een entiteit, aan de hand van een uniek kenmerk, zijn identiteit kan aantonen.
==Objecttoelichting==
NB Bewust is gekozen voor het begrip entiteit, omdat dit zowel kan gaan over personen als over apparatuur of softwaresystemen.
Toegang tot informatiesystemen door gebruikers en infrastructuurcomponenten worden gereguleerd door de toegangsmechanismen gebruikersidentificatie (zoals een gebruikersaccount) en authenticatie (zoals een wachtwoord). Deze mechanismen moeten voldoen aan vooraf vastgestelde beveiligingseisen. Voor het verlenen van toegang tot informatiesystemen ontvangen gebruikers authenticatie-informatie. De gebruikers behoren hier vertrouwelijk mee om te gaan. Het delen van toegangssleutels tot informatie kan en mag nooit worden afgedwongen. +
Geldigheidsbeheer zorgt ervoor dat een regel wordt toegepast vanaf het moment dat ze geldig is tot het moment dat de regel niet meer geldig is .
Beslissingen om een regel(set) vanaf een bepaald moment in productie te zetten of uit productie te halen moeten auditeerbaar zijn, zodat dit cruciale aspect van rechtmatigheid effectief kan worden gemonitord. +
Gerelateerd aan meer dan 1 entiteit. Waar alle leden van een gemeenschap gebruik van kunnen maken of waar alle leden van een gemeenschap aan meedoen. +
Gegevens worden in beginsel slechts eenmalig verzameld en vervolgens meervoudig bij uitvoering van verschillende wetten gebruikt. +
<br>
==Presentatie en sfeerimpressie==
De sessie was goed bezocht en het was duidelijk te merken dat de gastheren Tom Peelen & Luc Boss hun verhaal de laatste tijd regelmatig hebben gehouden in diverse organisaties en gremia. De [[media:Presentatie GO introductie en overzicht.pdf|presentatie (PDF, 1,99 MB)]] van deze eerste sessie gaf een goed basisbegrip van de Gemeenschappelijke Overheidsarchitectuur (GO) (PS: tegenwoordig [[GDI-Architectuur (GA)]]), maar de meeste deelnemers kwamen na de pauze terug om wat verder de diepte in te kunnen gaan.
NB: De presentatie zoals die nu is gepubliceerd voldoet (nog) niet aan onze [[Documenten op noraonline en toegankelijkheid|toegankelijkheidseisen]] voor documenten. Ondervind je hier hinder van, neem dan even contact op via [mailto:nora@ictu.nl?subject=toegankelijke%20versie%20presentaties%20GO&cc=tom.peelen@rijksoverheid.nl nora@ictu.nl], dan zoeken we alsnog een oplossing.
==Oorspronkelijke sesssiebeschrijving==
===GO: architectuur voor de GDI van de toekomst===
[[DigiD]], [[MijnOverheid]], [[Digipoort]] en gegevensuitwisseling met [[basisregistraties]] zijn belangrijk voor dienstverlening aan burgers en ondernemers. Maar wat is nodig in de toekomst? De digitale overheid is zich voortdurend aan het verbeteren en daarvoor is een betere Generieke Digitale Infrastructuur (GDI) nodig. De Gemeenschappelijke Overheidsarchitectuur (GO) (PS: tegenwoordig [[GDI-Architectuur (GA)]]) is het bestemmingsplan van de GDI. De GO is ook een unieke en brede samenwerking van beleid, uitvoering en beheer. Architecten en bestuurders werken samen aan een nieuwe visie en kiezen welke afspraken, standaarden en voorzieningen daarvoor nodig zijn.
Luc Boss en Tom Peelen (programmabureau PL) geven een overzicht van de GO. Ze presenteren niet alleen waar ze nu staan en wat de vervolgstappen zijn, maar zullen ook duiden hoe en waarom jullie in de toekomst te maken gaan krijgen met de GO.
Voor wie dieper in de materie wil duiken is aansluitend aan deze sessie een meer interactieve [[Deep-Dive in de Gemeenschappelijke Overheidsarchitectuur (GO)|deep-dive in de GO]] van 60 minuten.
===Vorm===
Presentatie in Webex, waarbij de gelegenheid is om in de chat vragen te stellen die plenair of in de chat beantwoord worden. Na afloop wordt de presentatie gedeeld via noraonline.
Heeft een [[Stelselpedia]] opgezet om alle begrippen voor de gegevens van hun informatiehuishouding te ontsluiten voor hergebruik. +
Gemeenten kunnen eigen architectuurmodel downloaden via GEMMA +
De verzameling aan afspraken, standaarden en voorzieningen die overheidsorganisaties en dienstverleners met een publieke taak ondersteunt bij de inrichting van hun digitale dienstverlening aan burgers en bedrijven en ook bij hun onderlinge digitale samenwerking. +
Iets wat meerdere overheidsorganisaties moeten kunnen voor het uitvoeren van hun taken. +
Een voorziening die generiek is en dus breed gebruikt kan worden. +
In Nederland (en ook daarbuiten) zijn veel organisaties betrokken bij het registreren en uitwisselen van informatie met een geografische component. Dat wil zeggen: informatie over objecten die gerelateerd zijn aan een locatie ten opzichte van het aardoppervlakte. Hierbinnen zijn verschillende domeinen te onderkennen, zoals kadastrale informatie en informatie over waterhuishouding. Om te waarborgen dat de geo-informatiehuishouding van deze domeinen goed op elkaar aansluit, en dat informatie tussen domeinen uitgewisseld kan worden, zijn afspraken nodig over de te gebruiken standaarden.
De basisset Geo-standaarden voorziet hierin. De set bestaat uit:
<ul class="smw-format ul-format "><li class="smw-row"><span class="smw-field"><span class="smw-value">[[:GeoPackage 1.2|GeoPackage 1.2]]</span></span></li><li class="smw-row"><span class="smw-field"><span class="smw-value">[[:ISO 19136|ISO 19136]]</span></span></li><li class="smw-row"><span class="smw-field"><span class="smw-value">[[:NEN 3610|NEN 3610]]</span></span></li><li class="smw-row"><span class="smw-field"><span class="smw-value">[[:Nederlands metadataprofiel op ISO 19115|Nederlands metadataprofiel op ISO 19115]]</span></span></li><li class="smw-row"><span class="smw-field"><span class="smw-value">[[:Nederlands profiel op ISO 19142|Nederlands profiel op ISO 19142]]</span></span></li></ul> +
Alle informatie-objecten die een plaatsgebonden kenmerk hebben: gegevens met een directe of indirecte referentie naar een plaats op het aardoppervlak. +
De Geografische Thesaurus Zorg en Welzijn bevat de indeling van Nederland in provincies met alle bijbehorende gemeenten en de daarbij behorende plaatsen. De plaatsen zijn te koppelen aan de postcodetabel. Daarnaast bevat de Geografische TZW regionale indelingen zoals GGD-regio’s, veiligheidsregio’s, centrumgemeenten maatschappelijke opvang, AMK-regio’s, arrondissementen enz. Exports kunnen worden ingelezen in informatiesystemen waarin geografische informatie een rol speelt, zoals voor het aangeven van de werkingsgebieden van organisaties in sociale kaarten. +
De mate van detail waarmee ruimtelijke gegevens worden ingewonnen. +
De mate waarin iedere geometrie voldoet aan geometrische regels. +
Geonovum organiseert op 2 oktober de Open Geodag +
Er is sprake van <span class="noglossary">gerede twijfel</span> bij een afnemer over de juistheid van een gegeven als voldaan wordt aan de volgende criteria: er is een sterk vermoeden dat een (authentiek) gegeven onjuist is, dat vermoeden is gebaseerd op kennis en kunde van de eigen processen en doelgroep van de afnemer (een combinatie van kennis, kunde en gezond verstand) en de afnemer kent de definitie van dit (authentiek) gegeven. +
==Doel==
Het bevorderen en borgen van eenvoud en uniformiteit in de wijze waarop machtigingsregisters kunnen worden bevraagd.
==Scope==
Ieder machtigingsregister moet te bevragen zijn. Denk aan een ZZP'er die alle machtigingen die hem betreffen wil zien.<br />
Niet elk register met geregistreerde machtigingen of bevoegdheden moet dan op een eigen manier met eigen standaarden / koppelvlakken bevraagd moeten worden.<br />
<br />
Afspraak<br />
Gemeenschappelijke afspraken zijn gewenst over het bevragen van machtigingen- en/of bevoegdhedenregisters.
Bijvoorbeeld over te gebruiken API’s, non-functional requirements of juridische aspecten.
<br />
<br />
Afspraak<br />
Gemeenschappelijke afspraken zijn gewenst over de gestructureerde gegevens omtrent de (gestructureerde) machtiging of wettelijke bevoegdheid die worden afgegeven door een machtigings-/ bevoegdhedenregister en door de overheidsdienstverlener worden meegenomen in het bepalen van toegang en bevoegdheden.<br />
<br />
Afspraak<br />
Afspraken over de ‘bevoegdheidsverklaring’, verantwoordelijkheid van het register, een kwalificatie van de machtiging is hierbij nodig, omdat de afleiding uit een register altijd interpretaties behoeft.
Denk bijvoorbeeld aan een bewindvoerder, deze is alleen gemachtigd voor financiële zaken, de vertaling is dan nodig naar x representeert Y voor diensten a, b, c, en niet voor e, f, g.
==Voorbeelden==
Zie hier boven.
==Status==
Medio 2020 is via een pressure-cooker versnelling aangebracht in de oplevering van GO. Een vijftal werkgroepen heeft in 2 maanden tijd uitwerking gegeven aan:
* ‘Why’ van de GDI inclusief bijbehorende visual,
* uitgangspunten voor het vastleggen van generieke functies (capability’s),
* visies voor de domeinen Interactie, Gegevensuitwisseling, Identificatie en Authenticatie (Toegang), Machtigen en Infrastructuur.
Resultaten van de pressure cooker zijn overgedragen om mee te nemen in de Gemeenschappelijke Overheidsarchitectuur (GO). GO brengt samenhang aan, verwijdert dubbelingen en verdiept visies zodanig dat besluitvorming in de PL en (naar beoordeling door PL) in het OBDO mogelijk is. Voor het domein Interactie geldt dat bovendien nog afstemming met de beleidsomgeving moet plaatsvinden. Gegevensuitwisseling heeft nu nog een bredere scope dan GDI en zal daarom binnen de GDI-context in samenhang met andere domeinen uitgewerkt worden.
==Documentatie==
De visie uit de pressure cooker GO t.a.v. Machtigen is opgenomen in het document van de werkgroep: [[media:GO_Pressure_Cooker_Machtigen.pdf|GO_Pressure_Cooker_Machtigen.pdf (PDF, 419 kB)]].
==Naamgeving==
Het visie document uit de pressure cooker gebruikt voor deze capability de naam '''Registerbevraging'''
alle aspecten van gegevens die voor de afnemer van belang zijn, bijvoorbeeld actualiteit, juistheid of detail, op het niveau dat de afnemer verwacht. Dat kan leiden tot kwaliteit van het hoogste niveau of kwaliteit van het gegeven dat slechts indicatief is als de afnemer dat wenst. +
Synoniem van Authentieke bron. +
Gegevens worden in beginsel slechts eenmalig verzameld en vervolgens meervoudig bij de uitvoering van verschillende wetten gebruikt. +
Het doel van deze aanbesteding is met één deelnemer (een) overeenkomst te sluiten voor het realiseren, implementeren, beheren en onderhouden van een geïntegreerde softwarematige SAAS oplossing die binnen de organisatie van de opdrachtgever de processen op het gebied van HRM en Financiën, waaronder salarisverwerking, inclusief optionele onderdelen (zie Bijlage B Opties HRM en FIN) en de informatiebehoefte hierbij, ondersteunt. Deze softwarematige oplossing wordt bij de opdrachtgever ook wel aangeduid als 'HRM en FIN systeem'. +
Per 1 januari 2021 wenst het CIZ een geïntegreerd SAAS ERP- systeem gecontracteerd te hebben dat de E-HRM processen, de financiële processen en inkoopprocessen zoveel mogelijk digitaal en geautomatiseerd ondersteunt. Rekening houdend met de verantwoordelijkheden van de verschillende gebruikers. Met de gebruikers worden niet alleen medewerkers van FINAC en HRM bedoelt, maar de gehele organisatie. Aangezien medewerkers uit de gehele organisatie via de self service portal HR gebonden aanvragen kunnen uitvoeren en via de inkoopmodule bestellingen kunnen uitvoeren. Daarnaast zijn een groot deel van de medewerkers in de organisatie betrokken bij het goedkeuren van facturen. +
Governance op NORA in schema zoals uitgelegd op de pagina "Beheer en doorontwikkeling NORA" +
Notitie vanuit BZK die de initiële governance van beheer en doorontwikkeling van de Nederlandse Overheids Referentie Architectuur (NORA) schetst. Eerst worden de uitgangspunten voor governance uiteengezet. Daarna wordt de voorgestelde structuur geschetst inclusief de daar uit volgende opdrachtformulering. Ten slotte worden de vervolgacties geschetst. +
De Thema-uitwerking Grip op Secure Software Development (SSD) Beveiligingseisen voor (web)applicaties, hierna genoemd normenkader, is opgesteld door Marcel Koers ([[CIP (Centrum Informatiebeveiliging en Privacybescherming)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]]) en Rob van der Veer (SIG). De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 en 2.0 gereviewd. Het CIP-kernteam heeft versie 3.0 van dit normenkader gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’.
<br>
==Considerans==
CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt.
Opmerkingen en aanvullingen kun je melden op [https://www.cip-overheid.nl/contact/ cip-overheid.nl/contact]. +
Deze thema-uitwerking beschrijft voor organisaties de belangrijkste beveiligingseisen die van toepassing zijn bij de ontwikkeling en aanschaf van applicaties. Samen met het [https://cip-overheid.nl/productcategorie%C3%ABn-en-worshops/producten/secure-software/#grip-op-ssd-de-methode/ document "Grip op SSD – de methode"], waarin de aanpak "hoe grip erop te krijgen" is beschreven, wordt met de eisen de opdrachtgever een oplossing geboden om tot veilige software te komen. De eisen beperken zich daarvoor tot de applicatielaag van een systeem. Beveiligingseisen die gesteld worden aan bijvoorbeeld de infrastructuur, de werkplek of het personeel zijn niet meegenomen. Hiervoor kunnen bestaande frameworks voor informatiebeveiliging gebruikt worden, zoals [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002]].
<br> Om blijvend de belangrijkste bedreigingen te kunnen afdekken is het van belang dat onderhoud op de lijst plaatsvindt. De lijst is en wordt daarom samen door opdrachtgevers en de leveranciers die software ontwikkelen actueel gehouden.
<br> Door het hanteren van juist een beperkte lijst is voorkomen dat er een overkill aan eisen is ontstaan. Zodoende is een goede governance mogelijk geworden. De wijze waarop governance mogelijk wordt is in de methode 'Grip op SSD' aangegeven.
<br><br>
Verwijzingen naar internetpagina's zijn klikbaar in [[PDF (NEN-ISO)|PDF]] versies van deze thema-uitwerking. Voor afgedrukte versies kan in plaats van klikken worden gezocht op de zoektermen bij de link.
==Scope: web- en backend-applicaties==
Wanneer deze thema-uitwerking spreekt over een applicatie gaat het om een applicatie die bereikbaar is via een webbrowser of via een andere cliënt (bijvoorbeeld een mobiele of desktop applicatie). Kenmerkend is [[HTTPS en HSTS|HTTP]] als communicatie-protocol en de versleutelde variant [[HTTPS en HSTS|HTTPS]]. Applicaties kunnen ook opengesteld worden via een vooraf afgesproken interface ([[API|API]]). Voor mobiele applicaties zijn aparte SSD-mobile normen beschikbaar. Deze publicatie is samen met andere [[CIP (Centrum Informatiebeveiliging en Privacybescherming)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]] publicaties (zoals de SSD-Methode) te vinden op [https://cip-overheid.nl/ www.cip-overheid.nl]
<br><br>
Per eis is weergegeven voor wat voor soort software deze toepasselijk is. Veel van de eisen zijn van toepassing voor software in het algemeen.
==Comply or Explain==
Ten aanzien van de gestelde beveiligingseisen geldt het principe 'pas toe of leg uit'.
Een maatregel behorende bij een beveiligingseis is niet van toepassing, indien kan worden aangetoond dat:
* op basis van een risicoanalyse de maatregel niet in verhouding staat tot de te maken kosten;
* de overige geïmplementeerde maatregelen het aan de eis ten grondslag liggende risico tot een acceptabel niveau hebben beperkt.
Belangrijk is steeds dat de genomen maatregelen en de risico's die geaccepteerd worden steeds inzichtelijk zijn en aansluiten op de "risk appetite" van de opdrachtgever en dus bewaakt wordt in een governance proces.
<br>De in deze thema-uitwerking beschreven beveiligingseisen zijn een handreiking (best practice) en geven aan hoe de maatregel ingevuld zou kunnen worden. Afhankelijk van de situatie kunnen mogelijk alternatieve maatregelen beter op hun plaats zijn. De voorgestelde exacte maatregelen zijn daarom op zichzelf geen harde vereiste. Wel moeten steeds de bij de eisen genoemde risico's zijn afgedekt.
==De betrokken partijen==
Bij de beveiligingseisen zijn de volgende rollen omschreven:
* De opdrachtgever voor een applicatie;
* De softwaremaker: een interne of externe softwareleverancier die het ontwerp, de ontwikkeling, het testen en vaak ook het implementeren verzorgt;
*De hostingpartij, die voor de productie en het technisch beheer zorgt;
*De ontvangende partij, namelijk de gebruikersorganisatie die de applicatie in gebruik neemt en voor het functioneel beheer zorgt. Veelal is dit de opdrachtgever, daarom is bij de normen niet het onderscheid ontvangende partij en opdrachtgever aangehouden.
<br>
Het uitgangspunt is, dat de hostingpartij zorgt voor een omgeving die ''"secure bij default"'' is. Dat betekent dat de installatie van ''operating system'', ''services'', ''security software'' en/of ''appliances'', etc., plaatsvindt volgens de functionele en beveiligingsinstructies van de producenten van die hard- en software. De hostingprovider zorgt er eveneens voor dat patches in de omgeving worden geïnstalleerd.
Om te waarborgen dat de applicatie naar behoren functioneert en daarbij zo veilig mogelijk is, legt de softwaremaker in de ''configuratiebeschrijving'' uit wat nodig is om de applicatie goed en veilig te laten functioneren. De softwaremaker beschrijft welke poorten, protocollen, connecties, diensten, authorisaties etc., door de omgeving ondersteund moeten worden. Ook legt de softwaremaker uit hoe de applicatie gehardend moet worden, zonder dat de functionaliteit van de toepassing in gevaar komt.
[[NEN-ISO/IEC 25010:2011 (Systems and software Quality Requirements and Evaluation (SQuaRE) - System and software quality models)|ISO/IEC 25010:2011]] is dé standaard voor softwarekwaliteit en definieert beveiliging op een technologie-onafhankelijke manier. Het is de basis van het [[SIG (Software Improvement Group)|SIG]] beveiligingsmodel<sup class="reference smartref" id="cite_ref-A practical model for software quality_1-0">[[Grip op Secure Software Development/Structuur beveiligingseisen#cite_note-A practical model for software quality-1|1]]</sup> volgens welke de SSD beveiligingseisen zijn gestructureerd. Dit model harmoniseert bestaande standaarden in een uniform en logisch overzicht van verantwoordelijkheden, zodat duidelijk is wat geregeld moet worden bij het maken van afspraken, bij implementatie en bij toetsing.
<br>
<br>
In ISO/IEC 25010 bestaat beveiliging uit vijf kenmerken:
*'''Vertrouwelijkheid''': gegevens zijn alleen toegankelijk voor geautoriseerden.
*'''Integriteit''': aanpassing van computerprogramma's of gegevens alleen voor geautoriseerden.
*'''Onweerlegbaarheid''': er kan worden bewezen dat acties of gebeurtenissen hebben plaatsgevonden.
*'''Verantwoording''': acties van een entiteit kunnen uniek worden getraceerd.
*'''Authenticiteit''': de identiteit van een onderwerp of bron kan worden aangetoond als degene die wordt geclaimd.
<br>
De vijf kenmerken zijn door middel van onderstaand model elk gerelateerd aan een aantal verantwoordelijkheden voor software-ontwikkeling en -beheer.
<br><br>Merk op dat 'beschikbaarheid' (availability) in twee delen is gesplitst in ISO/IEC 25010:
#een deel dat valt onder de softwarekwaliteit 'betrouwbaarheid' (door maatregelen voornamelijk buiten de software: anti-ddos, dubbele uitvoering, etc.), en
#een deel dat valt onder 'Integriteit' (zoals verificatie van invoer en uitvoer om 'denial of service' te voorkomen).
==Hoe de verantwoordelijkheden een rol spelen in veilige software==
Een applicatie zorgt dat functies en gegevens alleen toegankelijk zijn voor diegenen die daarvoor goedkeuring hebben op de manier dat de applicatie bedoeld is. Voordat het systeem aan de vragen van gebruikers voldoet, voert het eerst '''Toegangscontrole''' uit.
<br>
<br>
Dit bestaat uit:
*'''Authenticatie''': zekerheid dat een identificatie deugt en
*'''Autorisatie''': controle per actie dat die geoorloofd is voor die specifieke gebruiker.
*'''Sessiebeheer''': sessies voorkomen dat een gebruiker zich voor elke actie opnieuw moet identificeren. Sessies vertegenwoordigen de identiteit van de gebruiker en dit moet dan ook deugdelijk verlopen.
<br>
In elk systeem vinden logische stappen plaats van gegevens die in- en uitvloeien. In die logische verwerking hoort het systeem alle invoer en uitvoer te controleren: dit is het domein van '''Invoer- en uitvoer validatie'''. Om uiteindelijk deugdelijke werking te kunnen aantonen (tijdens en achteraf), is '''Logging''' nodig.
<br><br>
Voor en na verwerking van gegevens worden die gegevens getransporteerd en opgeslagen. De communicatie tussen gebruiker en systeem en met andere systemen hoort beschermd te zijn zodat er niet met de communicatie geknoeid kan worden. Het systeem forceert daarvoor veilige '''Datacommunicatie'''. Ook (tijdelijk) bewaarde gegevens horen weerstand te bieden tegen onderschepping of wijziging met veilige '''Dataopslag'''.
<br><br>
Rondom het systeem bestaat een 'operatieschil', grofweg te scheiden in techniek ('''Infrastructuur''') en proces ('''Gebruikersbeheer''', '''Externe componenten''' etc.).
<br><br>
Tot slot is er een aantal '''architectuurprincipes''' die bijdragen aan een veilige applicatie.
<br><br>
De structuur van de verantwoordelijkheden helpt om te bepalen op welk moment een bepaalde eis van toepassing is; afhankelijk van het type ontwikkelwerk of testactiviteit. Op deze manier hoeven alleen de van toepassing zijnde SSD normen per moment worden meegenomen. Hiervoor zijn per SSD-eis zogenaamde '''triggers''' gespecificeerd: een omschrijving van de situatie waarin de eis van toepassing is.
Hieronder volgt een overzicht van de belangrijkste wijzigingen die in deze versie (3.0) van Grip op SSD Beveiligingseisen zijn doorgevoerd. De oude versie (2.0) blijft nog beschikbaar op de site [https://cip-overheid.nl/ www.cip-overheid.nl] voor organisaties die op basis daarvan nog lopende afspraken hebben.
==Overzicht van de wijzigingen==
*Honderden verbeteringen en verduidelijkingen in tekst:
**Verzamelde input van de community is verwerkt.
**Reviews door de werkgroepleden.
**Meer duidelijke teksten. SSD-2 is bijvoorbeeld van titel veranderd naar "Veilige gegevensopslag" omdat het eigenlijk daarover ging. SSD-3 is om dezelfde reden van titel veranderd naar "Veilige externe componenten".
*Meer opgesteld als samenhangende gids:
** De normen waren eerder willekeurig geordend. In v3.0 zijn de normen gestructureerd naar verantwoordelijkheden en ook zo benoemd, zodat het document de lezer meer aan de hand neemt hoe de verschillende verantwoordelijkheden worden ingevuld.
** Per norm is beschreven in welke situaties de norm van toepassing is.
*Per eis zijn een aantal klikbare verwijzingen opgenomen naar praktische handreikingen/details.
*Gapanalyse is uitgevoerd met [[OWASP (Open Source Foundation for Application Security)|OWASP]] [[OWASP Application Security Verification Standard 4.0.2|ASVS]] en enkele zaken zijn aangevuld.
*Up to date gebracht met onder meer nieuwe [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO27002]]- en [[NCSC (Nationaal Cyber Security Centrum)|NCSC]]-richtlijnen. Verwijzingen zijn aangebracht.
*SSD-6 (interne gebruikers) is opgegaan in SSD-5 die nu gaat over alle gebruikers.
*SSD-10 Concurrent Session Control is vervallen.
*SSD-12A Session lock Vervalt als eis (staat geheel los van de applicatie).
*SSD-11: System use notification is verwijderd. Dit is slechts in speciale gevallen een criterium - die dan typisch al onderdeel uitmaakt van de functionele eisen.
*SSD-18 is vervallen vanwege duplicatie in onder meer SSD-22.
*SSD-25 Beperken van te tonen headers is opgenomen in SSD-24 Beperken van te sturen headers.
*SSD-32 is nieuw en bevat alle normen voor het configureren van HTTP response headers. Eerder stond dat overal verspreid.
*SSD-33 (XML injectie) toegevoegd omdat deze ook in de SSD-mobiele eisen staat en in de laatste versie van de OWASP top 10 wordt genoemd omdat het een veel voorkomend issue is.
Grote wijzigingen kern NORA in publieke review tot en met 31 januari +
H
Het hoger onderwijs in Nederland bestaat uit opleidingen aan hogescholen en universiteiten. Een beperkt aantal actoren, maar wel actoren met een behoorlijke mate van vrijheid. Mark de Jong van hogeschool Inholland vertelde ons waarom die partijen er toch voor kozen samen een ketenarchitectuur af te spreken. En hij nam ons mee in het proces van (door-)ontwikkeling: waar ging het snel, waar moeten ze nog aan werken, wat hebben ze er van geleerd voor de toekomst?
: → [[media:Hoger Onderwijs Referentie Architectuur.pdf|Hoger Onderwijs Referentie Architectuur (PDF, 2,04 MB)]]
[[Afbeelding:HORA zaal geblurd.jpg|thumb|300px|left|alt=Foto van de sessie, zichtbaar zijn ca 15 mensen om een grote ovalen vergadertafel, met aan het verste uiteinde een groot televisiescherm met de powerpointpresentatie. Naast het scherm staat Mark de Jong, de overige deelnemers zijn onherkenbaar gemaakt.]]
Reacties uit de zaal:
* HORA plaat: wat zit er in de basis, onderste liggende balk zou service management moeten zijn, “ons product is al klaar en voldoet daar helemaal aan”
* Zou je naast PSA’s ook niet aan het eind moeten toetsen of alles is meegenomen? Identificeren van technical debt. Is heel belangrijk, maar HORA is beperkt tot referentie architectuur, uitwisseling van best practices. Kan nooit voorschrijvend zijn.
* HOSA: Dit gaat veel meer richting beleid, op zich is gezamenlijke inkoop ook al deels belegd in SURF. Dit raakt niet alleen je ICT, ook je onderwijsbeleid.
Er zijn een aantal vraagstukken waar HOSA wat in kan betekenen, zie sheet Actuele onderwerpen. Genoemde voorbeelden:
** Afspraken met leveranciers over eigenaarschap studiedata.
** Voorkomen van schaduw administraties, gaan registreren & automatiseren. Hoe stel je de waarheid vast? Dat wordt nu veel zichtbaarder. Er komen nu veel meer definities van de werkelijkheid naar boven.
** Wordt in modellen gegoten, zijn wel complex maar dan kun je wel verschillende werkelijkheden accommoderen.
** Bij de RIO-dag kwamen er 21 verschillende, officieel erkende varianten naar boven.
<div style="clear:left"> </div>
[[Afbeelding:Mark de Jong.jpg|thumb|left|300px|Spreker Mark de Jong (Inholland)|alt=Foto van Mark de Jong staand naast een scherm met daarop de sheet Overzicht ABHO van de bijgevoegde presentatie. Op de achtergrond een raam dat uitziet op een kantoorgebouw, op de voorgrond een laptop en waterflesje.]]
* Hoe leeft dat buiten de architectenwereld? Binnen de instellingen wordt het vooral gebruikt door informatiespecialisten, sommige leveranciers sluiten er actief op aan. Architecten zijn vooral ook de verbinders, de schakel tussen partijen. Vergt ook andere competenties.
* Datacentric ontwikkelen. Open onderwijs API, de gedachte is dat die voor alles en nog wat ingezet kan worden maar dan moet er nog wel wat mee gebeuren.
* EduCause identificeert internationale trends, die kunnen we op die manier volgen. Zoals Mobile learning en Blockchain.
* Governance: je kunt heel veel zaken niet centraal aansturen vanuit OCW, er zijn 9000 instellingen die daarin actief zijn. In sommige ketens kun je wat harder inzetten op standaarden. Je moet vooral op inhoud overtuigen, zo veel mogelijk mensen meenemen.
* Denk aan de Belastingdienst, je kunt in portfolio management ook architectuur eisen meegeven, dan moet je wel meer gaan (be)sturen.
* Wat is de impact van agile, meer kortcyclische werkwijzen? Die nieuwe methoden kunnen helpen bij meer sneller, flexibeler ontwikkelen. Meer modulair. Architectuur geeft dan nog steeds kaders, ook als je ontwikkelt in scrum teams. Waar ook over nagedacht wordt, is het hoger onderwijs flexibeler te maken (kiezen, zelfsturend)
<div style="clear:left"> </div>
Wat wil je aan het panel meegeven?
* sturing op architectuur vanuit portfolio management, invloed van agile werken.
* Hoe toon je de meerwaarde van architectuur aan? De geheimen van architectuur, hoe breng je dat nu verder.
* Hoe strak moet je de governance regelen om de samenwerking vorm te geven? Als het te strak wordt, raak je partijen kwijt.
<div style="clear:left"> </div>
Authentieke bron voor gegevens van ondernemers, rechtspersonen en gemeenten in Nederland. +
Als een gebeurtenis plaatsvindt, wordt dit automatisch naar de afnemer gestuurd. Het betreft bijvoorbeeld mutaties over inschrijvingen of vestigingen. Er wordt een STUF-bestand geleverd. Zie [http://www.kvk.nl/over-de-kvk/over-het-handelsregister/gebruik-van-het-handelsregister-door-de-overheid/aansluiten-overheid-op-het-handelsregister/producten/hr-dataservice-berichten/ productinformatie HR Dataservice Berichten via Digilevering op KvK.nl]. +
Empatec wil het werken met HR en salarisgegevens veranderen van een centrale administratie (waarmee informatie via papieren formulieren, mails en gesproken communicatie wordt uitgewisseld) naar een decentraal proces (in de gehele organisatie waarbij alle betrokkenen direct inzicht in hun eigen informatie hebben en daarin direct mutaties kunnen doen). Dit vereist een andere dan de huidige oplossing en het doel van deze aanbesteding is dan ook het selecteren van een oplossing (en daarmee de leverancier) waarmee Empatec haar eisen en wensen kan invullen. Empatec zoekt daarbij nadrukkelijk naar de oplossing met de beste prijs-kwaliteit verhouding. +
Gebruiker kan handmatig beperkte set gegevens van bedrijven inzien via internet, waaronder naam, KVK-nummer, vestigingsnummer.
Bij resultaten worden SBI-code en BAG-ID van het adres (object) niet getoond. +
HTTPS is een uitbreiding op het HTTP-protocol met als doel de veilige uitwisseling van gegevens tussen een (web)server en client. Bij gebruik van HTTPS worden de gegevens tussen een client en server versleuteld, waardoor de gegevens voor een derde -bijvoorbeeld een aanvaller die probeert de gegevens te onderscheppen- niet leesbaar zijn.
De HSTS standaard zorgt ervoor dat een client -doorgaans een browser- weet dat een server met HTTPS bereikbaar is, en voor alle vervolgbezoeken een versleutelde verbinding gebruikt. Dit helpt voorkomen dat een derde -bijvoorbeeld een kwaadaardige WiFi hotspot- een browser kan omleiden naar een valse website. Daarom heeft het veel zin om HTTPS samen met HSTS te gebruiken. +
De haalbaarheid van het implementeren van de inrichting van nieuwe wet(swijziging) is afhankelijk van de beschikbare capaciteit en doorlooptijd.
Is de oplossing haalbaar binnen de voorgestelde ingangsdatum van de wet(swijziging)? +
Natuurlijke persoon die toegang vraagt tot digitale diensten. +
Bij voorgenomen nieuwe of gewijzigde wet- en regelgeving wordt bij het doen van de uitvoeringsanalyse en uitvoeringstoets, naast de uitvoerbaarheid, gekeken naar de handhaafbaarheid en de verwachte handhavingsinspanning.
De handhaafbaarheid omvat ook de "verwachte extra handhavingsinspanning die zal moeten worden geleverd als de regelgeving naar verwachting niet spontaan zal worden nageleefd." (bron)
De verwachte handhavingsinspanning is afhankelijk van de verwachte naleving van de nieuwe of gewijzigde wet- en regelgeving. Een instrument dat kan worden gebruikt om een inschatting te maken van de verwachte naleving is het interventiekompas, waarbij de volgende dimensies kunnen worden onderzocht:
* Kennis (bekendheid/duidelijkheid van de regeling)
* Risicobewustzijn (bij niet-naleving)
* Beweegredenen (intrinsieke motivatie tot navolging)
* Gemak en gewoonte ((im)materiële voor- en nadelen van (niet) navolgen)
* Omgeving (invloed fysieke en sociale omgeving op doelgroep)
* Regel en regelsteller (houding tegenover (het nut van) de regel en de opstellende instantie)
* Toezichthouder (houding tegenover toezichthouder)
* Pakkans (ingeschatte kans op controle of ontdekking van overtreding)
* Straf en beloning (door doelgroep ingeschatte kans op sanctie of beloning)
([https://www.kcwj.nl/sites/default/files/def_handleiding_uitvoerbaarheid_en_handhaafbaarheid_26_juni.pdf bron: Handleiding uitvoerbaarheid en handhaafbaarheid van het Kenniscentrum Wetgeving en Juridische Zaken])
Ten aanzien van (gedeeltelijk) geautomatiseerde handhaving alsmede de ondersteuning van de handmatige handhaving met geautomatiseerde systemen, zal (mede) moeten worden geanalyseerd wat de voorgestelde wijziging voor impact heeft op de regels, gegevens en processen, die horen bij handhaafbaarheid. +
==Objectdefinitie==
Betreft het proces van het uitschakelen van overbodige functies van een server.
==Objecttoelichting==
De standaardconfiguratie van de meeste besturingssystemen is niet ontworpen met beveiliging als de primaire focus. In plaats daarvan zijn standaardinstellingen meer gericht op bruikbaarheid, communicatie en functionaliteit.
Hardening is het proces van het uitschakelen of verwijderen van overbodige en/of niet gebruikte functies, services en accounts, waarmee de beveiliging wordt verbeterd. Ook servers behoren te worden gehardend. Alle overbodige en niet gebruikte functies, services en accounts behoren van de server(s) te worden verwijderd of te worden uitgeschakeld. +
==Objectdefinitie==
Betreft het uitschakelen van niet noodzakelijke functionaliteit.
==Objecttoelichting==
De standaardconfiguratie van de meeste middlewarecomponenten, zoals messaging middleware en databasemanagementserver is niet ontworpen met informatiebeveiliging als de primaire focus. In plaats daarvan zijn standaardinstellingen meer gericht op bruikbaarheid, communicatie en functionaliteit. Hardening is het proces van het uitschakelen of verwijderen van overbodige en/of niet gebruikte functies, services en accounts, waarmee tevens beveiliging wordt verbeterd. Ook middlewarecomponenten behoren te worden gehardend. Alle overbodige en niet gebruikte functies, services en accounts behoren van de server(s) te worden verwijderd of te worden uitgeschakeld.
Dit uitschakelen van functies is voor middleware als Enterprise Service Bussen (ESB) lastig, vooral als een ESB een centrale rol speelt in de infrastructuur. Vooraf is niet te bepalen wanneer een bepaalde functie nodig is. +
Een standaard voor platform-onafhankelijke cloud hosting.<br>
Een applicatie of website die op één Haven omgeving werkt, is herbruikbaar op álle Haven omgevingen.
Zie de GF [[Hosting van infrastructuur en platformen (IAAS en PAAS)]]. +
Help ons om de BIO Thema-uitwerkingen voor jou werkbaar te maken +
De gemeente Moerdijk wil een integraal beheersysteem voor haar openbare ruimten aanschaffen. Het doel van deze aanbesteding is te kunnen beschikken over een beheersysteem voor de openbare ruimten waarmee de gemeente de gehele openbare ruimte integraal kan beheren en waarmee lopende en toekomstige ontwikkelingen kunnen worden ondersteund. Het systeem moet uiterlijk op 1 december 2020 volledig zijn geïmplementeerd. +
De mate waarin is vastgelegd wie of wat het gegeven waar, wanneer en op welke manier heeft ingewonnen of bewerkt. +
==Objectdefinitie==
Betreft het herstellen van Cloud Service Consumer (CSC)-data en de dienstverlening na onderbrekingen of vernietiging van data en IT-middelen.
==Objecttoelichting==
Eén van de belangrijkste eisen voor de betrouwbaarheid van clouddienstverlening is de herstelbaarheid van de data en/of de dienstverlening na onderbreking of vernietiging van de data en bedrijfsmiddelen door storingen of calamiteiten: disaster recovery. +
<br>
==Sfeerimpressie & vervolg==
Na de opening van de bijzondere [[NORA Gebruikersweek 25 mei tot 4 juni 2021|NORA Gebruikersweek]], [[media:NORA Gebruikersweek - Het Nederlandse Dienstverleningsconcept 25mei21.pdf|presenteerde (PDF, 3,5 MB)]] Eric Brouwer als eerste het Dienstverleningsconcept dat enthousiast werd aangevuld met suggesties die via het [https://miro.com/app/board/o9J_lFpk27A=/ MIRO-bord Dienstverleningsconcept] konden worden toegevoegd.
Met alle ideeën die hieruit zijn voortgekomen wordt er vanuit de NORA verder gewerkt aan dit concept.
NB: De presentatie zoals die nu is gepubliceerd voldoet (nog) niet aan onze toegankelijkheidseisen voor documenten. Ondervind je hier hinder van, neem dan even contact op via [mailto:nora@ictu.nl?subject=niet%20toegankelijke%20presentatie%20Dienstverleningsconcept nora@ictu.nl], dan zoeken we alsnog een oplossing. Of bel/sms naar [[NORA Beheer]] als dat handiger is.
==Oorspronkelijke informatie sessie==
===Overzicht voor inzicht===
Een belangrijk deel van de meerwaarde van een architect ligt in diens vermogen om in- of uit te zoomen en een vraagstuk op die manier in een ander perspectief te zetten. Als het gaat om de dienstverlening aan burgers en wat daar zoal fout bij is gegaan de laatste jaren, ligt de focus van de media en politiek op het detailniveau: wat is er misgegaan met deze burger, die deze dienst aanvroeg? In deze sessie willen we architectuur inzetten om juist uit te zoomen naar het ontwerp van dienstverlening: Is er überhaupt al zo'n ontwerp? Zijn er structuurfouten die rechtgezet moeten worden? Waar willen we naar toe?
===Het Dienstverleningsconcept===
Weet jij hoe we in Nederland de dienstverlening van de overheid aan burgers en bedrijven hebben geregeld? Welke mechanismen en structuren achter de dienstverlening schuilgaan? En hoe je als burger daar invloed op kunt uitoefenen? <br />
Hoewel we dagelijks te maken hebben met die dienstverlening, lijkt het alsof niemand goed antwoord hierop kan geven. En we hebben er vrijwel geen publicaties over gevonden. Vandaar dat we vanuit de NORA community een eerste antwoord op deze vragen hebben opgesteld.
In deze interactieve sessie presenteren we het dienstverleningsconcept: de architectuur van de dienstverlening van de overheid op het hoogste abstractie-niveau.
Deze architectuur geeft aan hoe het -naar onze mening- zou horen te zijn en te werken.
We dagen jullie uit om je reflectie hierop te geven: wat je goed vindt, wat je anders ziet, wat je mist.
Als je je vooraf wilt inlezen, dan kan je het [[Dienstverleningsconcept]] alvast bekijken of een pdf ervan opvragen bij eric.brouwer@ictu.nl
===De vorm===
Dat doen we eerst in een MIRO-bord, door sticky notes met opmerkingen te plaatsen bij de onderdelen van het dienstverleningsconcept.
En daarna gaan we jullie reflecties bespreken in een e-meeting en met de chat (via MS teams).
Na deze sessie passen we het Dienstverleningsconcept aan en publiceren we het in de NORA.
We gaan daar Nationaal ruchtbaarheid aan geven, zodat het de basis wordt voor een beter ontwerp van de diensten van de overheid.
Het Programma van de NORA Gebruikersweek is definitief - 3 sessies toegevoegd sinds de uitnodiging +
Het Programma van de NORA Gebruikersweek is definitief - 3 sessies toegevoegd sinds de uitnodiging +
[[Afbeelding:Gerald Groot Roessink.png|200px|right|thumb|spreker Gerald Groot Roessink|alt=Foto van Gerald Groot-Roessink]]In de onderwijsketens zijn enorm veel verschillende partijen betrokken, zowel onderwijsinstellingen van klein tot groot als overheidsorganisaties die een bepaalde taak uitvoeren. Omdat ze voor die taak doorgaans gegevens nodig hebben vanuit de onderwijsinstellingen is het belang van een gedeeld gegevenslandschap voor die laatste groep glashelder. We keken in deze sessie mee met de Dienst Uitvoering Onderwijs en de Samenwerkingsorganisatie Beroepsonderwijs Bedrijfsleven: hoe staan zij in het gegevenslandschap?
Gerald Groot Roessink en Jaap van den Berg (DUO) belichtten de rol van de Dienst Uitvoering Onderwijs binnen het semantisch landschap onderwijs en de stelselcatalogus Sectorregistraties. Zij illustreerden dit met het gegevenswoordenboek DUO register Instellingen en Opleidingen.
: → [[media:Gegevenslandschap vanuit DUO-perspectief.pdf|Gegevenslandschap vanuit DUO-perspectief (PDF, 376 kB)]]
<br /><div style="clear:both"> </div>
[[Afbeelding:Sam Sevens.jpg|thumb|200px|left|Spreker Sam Sevens (SBB)|alt=Foto van Sam Sevens, alleen gezicht]]Daarna liet Sam Sevens (SBB) het semantisch landschap zien vanuit het perspectief van de Samenwerkingsorganisatie Beroepsonderwijs Bedrijfsleven (SBB). SBB is verantwoordelijk voor de totstandkoming van de kwalificatiedossiers en keuzedelen in het mbo.
Dit doet SBB in samenwerking met het onderwijs en het bedrijfsleven. Doordat kwalificatiedossiers op een gestandaardiseerde manier zijn vastgelegd zijn onderdelen van bestaande kwalificatiedossiers geschikt voor hergebruik. Hierdoor is het mbo in staat om maatwerk te leveren. Dit gebeurt ook bij volwassenen die willen bijleren of jongeren die niet in staat zijn om een mbo-diploma te halen.
: → [[media:Gegevenslandschap vanuit SBB-perspectief.pdf|Gegevenslandschap vanuit SBB-perspectief (PDF, 726 kB)]] +
Het verschil in vertrouwensniveau van de zones vervalt bij een rechtstreekse (netwerk)koppeling, waardoor het effectieve vertrouwensniveau gelijk is aan het laagste vertrouwensniveau van alle gekoppelde zones. Daardoor kan de vertrouwelijkheid van de informatie in zones met een oorspronkelijk hoger vertrouwensniveau niet meer worden gewaarborgd. +
<br>
==Sfeerimpressie==
Lees het essay dat Michiel speciaal voor de NORA Gebruikersweek schreef: [[Inzichten op het snijvlak van Architectuur en beleid - over onderhoudshandleidingen, zelf-likkende ijsjes en andere metaforen]].
Er ontspon zich een levendig en humorvol gesprek over Michiels ervaringen in het verleden, de huidige ervaringen van de deelnemers en de hoop en verwachtingen voor de toekomst. Hoe je het gesprek tussen architectuur en beleidsmedewerkers en bestuurders goed aangaat blijft een terugkerend vraagstuk. Deels is dat het vinden van het juiste vocabulaire, het in heldere taal uitleggen van abstracte begrippen zoals Gerdine Keijzer-Baldé al aangaf in haar [[Start NORA Gebruikersweek mei 2021|openingstoespraak]]. En we in de [[Finale NORA Gebruikersweek mei 2021|strijd om de Praatbokaal]] oefenden.
Daaronder ligt de gezamenlijke zoektocht wie nu waar over moet en wil gaan: is architectuur een actief stuurinstrument dat de bestuurder moet kunnen hanteren? Zo ja, dan moet die er ook mee kunnen werken. Is het slechts een 'vertaling' van beleid in concrete principes en keuzes? Dan zal de bestuurder achteruit leunen, terwijl de architect wel aangehaakt moet blijven om die 'vertalingsslag' te maken en actueel te houden.
Praat je naar bestuurders op kleuterniveau, verwacht dan ook geen volwassen keuzes: kun je iets dat ingewikkeld is aansturen op versimpelde wijze? En van de andere kant, kun je een goede schets van de toekomst geven op niveau van maatschappelijke meerwaarde als de visie van je organisatie niet helder is?
Ten slotte nog één metafoor uit het publiek: de T-shaped architect. Een architect moet als verbinder een brede kennis en interesse hebben, zodat hij aansluit bij de werkvloer en de boardroom, de IT en de business, de inhoud en het proces. En op het eigen vak moet de architect juist de diepte ingaan, de contexten niet alleen verbinden maar ook inhoud en inzicht toevoegen.
==Oorspronkelijke beschrijving sessie==
In 15 jaar NORA is één ding nooit veranderd: architectuur kan niet succesvol zijn zonder een goede samenwerking met beleid en bestuur. En dat betekent op zoek gaan naar manieren om te verbinden en te vertalen. Michiel Schoo, voormalig dossierhouder van NORA bij het ministerie van Binnenlandse Zaken, gunt ons een inkijkje in zijn eigen herinneringen aan de begintijd van NORA: wat droeg er bij aan succes, wat stond er in de weg, welke metaforen bleken van toepassing? En hij geeft aan hoe hij nu tegen de dynamiek tussen architectuur en bestuur aankijkt.
De mate waarin historische gegevens aanwezig en temporeel dekkend zijn. +
De mate waarin de gegevens in een dataset gelijksoortig zijn. +
Door middel van deze Europese aanbesteding wilt de Opdrachtgever in een gezamenlijke aanbesteding een overeenkomst sluiten met één Opdrachtnemer voor het leveren, onderhouden en ondersteunen van een zaaksysteem/DMS/RMA o.b.v. SaaS, conform de door de Aanbestedende Dienst gestelde functionele en technische eisen en wensen.
De opdracht omvat het leveren van software inclusief koppelingen en het leveren van verschillende diensten. De Oplossing wordt geleverd als Software as a Service (SaaS). +
Energie Beheer Nederland (EBN B.V.) is a state-owned company that operates under the supervision of the Ministry of Economic Affairs and Climate Policy (EZK). EBN uses its knowledge and experience in the area of the subsurface, the oil and gas sector and long-term, capital-intensive projects for a reliable and future-proof supply of energy. EBN aims to have a leading role in realizing the energy transition and ensuring that the energy demand of the Netherlands can be met in a sustainable, stable and affordable way +
==Doel==
Het kunnen hosten van websites, applicaties en informatiesystemen (registers) en de daarbij relevante gegevens kunnen verwerken.
==Scope==
Op homogene wijze websites, applicaties en registers hosten die gebruikt kunnen worden door burgers, bedrijven en dienstverleners. We maken overheidsbrede afspraken en gebruiken standaarden voor Cloud-agnostische containertechnologie (e.g. docker en kubernetes, zie voorbeelden binnen de overheid). Publicatie vindt plaats op basis van standaarden en code in repositories die daardoor hergebruikt kunnen worden in de GDI. Dit proces noemen we de Cloud Native Overheid.<br />
Zonder verwerking geen digitale dienstverlening. Het huidige heterogene landschap maakt ‘samen organiseren’ complex. Containertechnologie is normerend in de technologische industrie. De keuze is om de verwerking te laten hosten of ook te laten verwerken.<br />
Afspraak<br />
Afspraken die de interoperabiliteit tussen verschillende initiatieven binnen GDI faciliteert zodat gewenste flexibiliteit met behoud van kwaliteit kan worden bereikt zijn:
* Websites en applicaties worden altijd op dezelfde manier verpakt en aangeboden, waardoor er tussen dienstverleners onderling en bij leveranciers geen verwarring kan ontstaan.
* Eenduidige website- en applicatiehosting maakt IT beter beheersbaar, schaalbaar, veiliger en goedkoper.
* Nieuwe ontwikkelingen moeten op containertechnologie gebaseerd zijn.
* De verwerkingsinfrastructuur dient ook te voorzien in de mogelijkheid om legacy implementaties die niet omgezet kunnen worden te hosten, integratie kan plaatsvinden via een hybride oplossing.
* NL API-profiel, incl oAuth, OpenIdConnect e.d.
Voorzieningen<br />
* Een overheid Gitlab / github (voor open source door/voor de overheid)
* Een overheidsserviceregister (waarin de API’s gedocumenteerd zijn)
* Overheids CI/CD-pipelines
==Voorbeelden==
Binnen de overheid zijn al voorzieningen beschikbaar die binnen hun domein invulling geven aan Verwerking en Hosting:
* Common Ground “Haven”
* Logius Private Cloud “LPC”
* Het Standaard Platform
En bij private partijen kan je denken aan:
* Amazon Cloud (AWS)
* Google Cloud
* Microsoft Cloud (Azure)
==Status==
Medio 2020 is via een pressure-cooker versnelling aangebracht in de oplevering van GO. Een vijftal werkgroepen heeft in 2 maanden tijd uitwerking gegeven aan:
* ‘Why’ van de GDI inclusief bijbehorende visual,
* uitgangspunten voor het vastleggen van generieke functies (capability’s),
* visies voor de domeinen Interactie, Gegevensuitwisseling, Identificatie en Authenticatie (Toegang), Machtigen en Infrastructuur.
Resultaten van de pressure cooker zijn overgedragen om mee te nemen in de Gemeenschappelijke Overheidsarchitectuur (GO). GO brengt samenhang aan, verwijdert dubbelingen en verdiept visies zodanig dat besluitvorming in de PL en (naar beoordeling door PL) in het OBDO mogelijk is. Voor het domein Interactie geldt dat bovendien nog afstemming met de beleidsomgeving moet plaatsvinden. Gegevensuitwisseling heeft nu nog een bredere scope dan GDI en zal daarom binnen de GDI-context in samenhang met andere domeinen uitgewerkt worden.
==Documentatie==
De visie uit de pressure cooker GO t.a.v. Infrastructuur is opgenomen in het document van de werkgroep: [[media:GO_Pressure_Cooker_Infrastructuur.pdf|GO_Pressure_Cooker_Infrastructuur.pdf (PDF, 1,79 MB)]].
==Naamgeving==
Het visie document uit de pressure cooker gebruikt voor deze capability de naam '''Verwerking en hosting'''
Hosting, Functioneel en Technisch (Applicatie)beheer, Doorontwikkeling Centraal Register Uitsluiting KansSpelen (CRUKS) +
Na het aannemen van de wet Kansspelen Op Afstand (hierna: KOA) krijgt de Ksa onder andere taken die erop gericht zijn gokverslaving zoveel mogelijk te voorkomen. Om deze nieuwe taken te ondersteunen heeft de Ksa zich in de achterliggende jaren voorbereid door het proces voor vrijwillige en onvrijwillige uitsluiting van kansspelen te beschrijven en een hiervoor ondersteunende applicatie, Centraal Register voor de Uitsluiting van KansSpelen (CRUKS), te ontwikkelen. De Ksa heeft het CRUKS in eigen beheer laten ontwikkelen en testen zodat bij het in werking treden van de Wet KOA per 1 juli 2021 alle vergunninghouders voor een vergunning voor online kansspelen aangesloten zijn bij het CRUKS. CRUKS wordt online ter beschikking gesteld en moet worden beheerd (zowel Functioneel als Technisch (Applicatie)beheer) en in de toekomst aangepast of wel verder ontwikkeld kunnen worden. +
{{{Beschrijving}}} +
==Objectdefinitie==
Betreft een modelmatige beschrijving van de technische en organisatorische samenhang, waarin de relaties tussen de onderdelen van huisvesting Informatievoorzieningen (IV) zijn vastgelegd.
==Objecttoelichting==
De architectuur van huisvesting IV geeft overzicht en inzicht in de wijze waarop de gebieden en objecten zijn of dienen te worden beveiligd. Architectuur geeft ook inzicht in de samenhang en de samenwerking van beveiligingsmaatregelen.<br>
In de architectuur zijn gemaakte ontwerp- en inrichtingskeuzen gedocumenteerd, verantwoord en de gemaakte keuzen zijn onderbouwd. Tegelijkertijd speelt documentatie een (belangrijke) rol bij het bepalen van de impact van wijzigingen en het voorkomen van ontwerpbeslissingen (fouten). Documentatie moet dan ook na elke wijziging worden bijgewerkt en oude documentatie moet worden gearchiveerd. +
==Objecten, controls en maatregelen==
Binnen het beleidsdomein worden maatregelen opgenomen die gerelateerd zijn aan bepaalde beveiligingsobjecten. Per object worden conformiteitindicatoren uitgewerkt. Deze conformiteitindicatoren representeren een vast te stellen set van maatregelen. De objecten die binnen dit domein een rol spelen, zijn in onderstaande afbeelding vermeld. Van de geel gemarkeerde objecten komen de controls uit de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]].
[[Bestand:HVI Overzicht objecten voor huisvesting informatievoorzieningen in het beleidsdomein.png|thumb|none|500px|Overzicht objecten voor huisvesting IV in het beleidsdomein|alt=”Afbeelding: Onderwerpen die binnen het Beleid domein een rol spelen”]] +
==Objecten, controls en maatregelen==
Onderstaande afbeelding toont de objecten die voor huisvesting Informatievoorzieningen (IV) een rol spelen. De objecten die gestreept worden mogelijk in de volgende versie uitgewerkt.
[[Bestand:HVI Overzicht objecten voor huisvesting informatievoorzieningen in het control-domein.png|thumb|none|500px|Overzicht objecten voor huisvesting IV binnen het control-domein|alt=”Afbeelding: Overzicht Huisvesting IV-objecten binnen het control-domein”]] +
==Objecten, controls en maatregelen==
Binnen het uitvoeringsdomein zijn specifieke inrichtings- en beveiligingsobjecten voor huisvesting Informatievoorzieningen (IV) beschreven. Per object zijn de conformiteitsindicatoren en de desbetreffende implementatie-elementen uitgewerkt. De onderwerpen die uit de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] binnen dit domein een rol spelen zijn huisvesting IV, inrichting en dienstverlening. Onderstaande afbeelding toont het resultaat van de [[SIVA-methodiek]] voor relevante objecten voor huisvesting IV. De wit ingekleurde objecten ontbreken als control in de BIO maar zijn van belang voor deze BIO Thema-uitwerking. Om deze reden zijn aanvullende objecten uit andere baselines opgenomen.
[[Bestand:HVI Overzicht objecten voor huisvesting informatievoorzieningen in het uitvoeringsdomein.png|thumb|none|500px|Overzicht objecten voor huisvesting IV in het uitvoeringsdomein|alt=”Afbeelding: Overzicht huisvesting IV-objecten in het uitvoeringsdomein”]] +
==Objectdefinitie==
Betreft het resultaat van een besluitvorming over hoe om te gaan met de aanschaf, inrichting en gebruik van huisvesting Informatievoorzieningen (IV).
==Objecttoelichting==
Net als bij het informatiebeveiligingsbeleid geldt ook voor andere beleidstypen dat deze twee aspecten kennen: proces en inhoud. Deze twee aspecten zijn beschreven bij het generieke object ‘Informatiebeveiligingsbeleid’. Er wordt hier volstaan met een korte samenvatting.
Een huisvesting IV-beleidsdocument beschrijft een specifiek beleid dat het overkoepelende informatiebeveiligingsbeleid ondersteunt. Omdat het huisvestingsbeleid mede bepaald wordt door externe factoren zoals wet- en regelgeving is periodieke review nodig om vast te stellen of het huisvestingsbeleid nog voldoet. Het volstaat dus niet om alleen bij ontwikkelingen binnen de organisatie zelf te kijken of het beleid kan of moet worden aangepast. Door dit proces cyclisch in te richten wordt bereikt dat het huisvestingsbeleid, de ontwikkelingen en de uitvoering steeds op elkaar zijn afgestemd. +
Waternet houdt een Openbare Europese aanbesteding voor de huur van MFP's, software en levering van supplies. De dienstverlening betreft de installatie van 38 MFP's (combinatie van kleurenapparatuur en zwart wit) inclusief configuratie en beheer. +
I
<br>
==Identificeren met attributen in plaats van met persoonlijke data==
[[Afbeelding:Presentatie IRMA Bob Kronenburg (2).jpg|thumb|rigth|350px|Presentatie I Reveal My Attributes-if and when I choose to|alt=Presentatie in vergaderzaal over het onderwerp I Reveal My Attributes-if and when I choose to”|link=I Reveal My Attributes-if and when I choose to]]
[[Afbeelding:Presentatie IRMA Bob Kronenburg NORA Gebruikersdag 19 november 2019 (3).jpg|thumb|rigth|350px|Presentatie I Reveal My Attributes-if and when I choose to|alt=Presentatie in vergaderzaal over het onderwerp I Reveal My Attributes-if and when I choose to”|link=I Reveal My Attributes-if and when I choose to]]
Wie een fles sterke drank koopt, moet kunnen bewijzen dat hij ouder is dan 18. Maar die persoon hoeft weer niet te vertellen hoe hij heet. De persoonlijke eigenschap, ‘ouder dan 18’ is genoeg. Dit is wat IRMA - I Reveal My Attributes- doet. Gebruikers kunnen met IRMA via hun smartphone bepaalde attributen van zichzelf ''(is ouder dan 18)'', laten zien en andere attributen (''naam'') juist niet. En dat biedt kansen om burgers de regie over hun eigen gegevens terug te geven.
===Privacy-by-design===
Bob Kronenburg is bij IRMA betrokken vanuit het SIDN (de beheerder van het .nl domein). SIDN biedt de technische infrastructuur achter IRMA aan en werkt samen met de stichting IRMA. Hij vertelt: “We vinden het belangrijk dat er een Self Sovereign Identity of SSI geïntroduceerd wordt. Steeds meer digitale diensten vereisen makkelijke en voordelige identificatie. Publiek én privaat. Identificatie die ook bij iOT ontwikkelingen zekerheden – want zelfregie en controle - biedt."
IRMA is een privacy-by-design en open source oplossing voor identificatie: IRMA doet dat met identiteitsattributen en niet met data. Gebruikers krijgen bijvoorbeeld een eigen BRP-attribuut. IRMA ondersteunt daarnaast al attributen uit het BIG-register (bevoegdheden zorg) en de AGB code (identificatiecode zorg). Kronenburg: “We zijn bezig met de Kamer van Koophandel. Er kan meer. Bijvoorbeeld Ziggo kan een attribuut geven waardoor je altijd makkelijk kunt inloggen.”
===Voorbeelden===
* IRMA als machtigingsvoorziening
Verzekeraar VGZ had de vraag: hoe geeft een patiënt een bewindvoerder of mantelzorger toegang tot zijn/haar polis. Zonder dat hij zijn DigiD aan iemand anders hoeft te geven. DigiD machtigen is voor de verzekeraar een (te) dure oplossing. Machtigen kan ook door de mantelzorger of bewindvoerder een attribuut van IRMA te geven. De patiënt logt in met DigiD, stelt toestemming in. “Verifiëren via DigiD geeft vertrouwen”, aldus Kronenburg. De bewindvoerder of mantelzorger laadt die toestemming in zijn eigen IRMA-app en kan doen wat hij gemachtigd is om te doen.
* IRMA als multi-party solution
Bij het Utrechts werk -en inkomensloket duurde het proces van inchecken drie maanden. Het betrekken van de verschillende partijen is complex. In die tijd loopt de schuldenlast verder op; je wilt er zo snel mogelijk bij zijn. Kern van de aanpak met het huishoudboekje is dat de inkomsten van de deelnemers op een aparte rekening worden gestort waar de deelnemer zelf niet bij kan. Hij of zij geeft de gemeente Utrecht toestemming om de vaste lasten van die rekening te betalen. Klanten gaven toestemming via IRMA om alle betrokken partijen (schuldeisers) een stukje van de informatie te laten zien, zodat het rekeningnummer voor de betaling gewijzigd kon worden. De doorlooptijd is nu een kwartier. Dat betekent minder wettelijke trajecten, meer minnelijke trajecten en dus sneller uit de schulden.
===Kansen met IRMA===
Waar zien de deelnemers kansen?
* “IRMA overstijgt publiek en privaat domein.”
* “De klant moet wel een keuze hebben; naast IRMA zijn er andere stelsels voor SSI kansrijk.”
Daar is SIDN het mee eens. “Dat is afhankelijk van de governance”, stelt Kronenburg: “Als het een onafhankelijke stichting zonder belangen is, dus niet gelieerd aan KPN of Google.”
* “Is er nog wel toekomst voor DigiD Machtigen” vraagt een deelnemer zich af? Kronenburg antwoordt: “Dat mag blijven bestaan, maar wij kiezen voor iets anders. DigiD Machtigen is een mooi middel, maar erg duur in het gebruik.”
* Anderen zien het gebruik van DigiD zich verder ontwikkelen tot een federaal platform.
Meer informatie over IRMA en het gedachtengoed daarachter:
: → [https://privacybydesign.foundation/irma-uitleg/ privacybydesign.foundation/irma-uitleg]
: → [[media:SSI & IRMA Hoe SSI helpt onze samenleving slimmer te organiseren.pdf|presentatie (PDF, 4,79 MB)]]
I-NUP Programmaplan +
In deze I-strategie 2021-2025 staan de gezamenlijke prioriteiten van de Chief Information Officers (CIO’s) van het rijk voor de informatievoorziening. Iedere prioriteit is uitgewerkt in een aantal actiepunten.<br>
De I-strategie Rijk is de opvolger van de Strategische I-Agenda 2019-2021. +
Identity and Access Management (IAM) is vrij vertaald het beheer om er voor te zorgen dat de juiste "identiteiten" (denk daarbij vooral aan personen of computers), voor de juiste redenen en op het juiste moment toegang krijgen tot de juiste faciliteiten. +
Op 19 oktober is het weer tijd voor het jaarlijkse Heliview Congres, hét Nederlandse congres over digitale identiteiten en hun toegangsbeheer. Vanuit de NORA [[Expertgroep Digitale identificatie en authenticatie]] zullen KeesJan Kolb (Erasmus MC) en Eric Brouwer (ICTU) als sprekers bijdragen aan het programma. Uit de uitnodiging:
[[IAM]] is een onderwerp waar al lang niet meer alleen IT zich mee bezig houdt, maar dat betrokkenheid vraagt van experts in Risk Management, Audit en HR. Voor de primaire business is IAM steeds vaker een belemmering bij kleine en grote (digitale) transformaties. Toegang is immers essentieel, zodat de juiste persoon op het juiste moment bij de juiste data kan. Te vaak blijkt in de praktijk dat de verbinding tussen business en IT nog niet sterk genoeg is om hier integraal op te kunnen sturen.
Het Heliview congres nodigt de deelnemers uit om die verbinding te zoeken. Als input voor gesprekken in de eigen organisatie over de IAM strategie voert het programma langs de nieuwste en meest relevante onderwerpen op het gebied van informatiebeveiliging en het managen van digitale identiteiten. De uitdaging is om het gesprek aan te gaan met uw omgeving zodat IAM niet langer als belemmering wordt ervaren, maar als een essentiële spilfunctie die digitalisering mogelijk maakt.
==Programma==
De drie kernpunten van het programma zijn ''De basis op orde'', ''Security & Compliance'' en ''Digitale Transformatie.'' Deze drie thema's worden belicht door keynotes, interactieve sessies en break-out sessies van zo'n 10 sprekers. Onder de Basis op Orde presenteert Eric Brouwer in een interactieve sessie het IAM-kader zoals dat door de NORA Expertgroep is ontwikkeld en gaat hij in gesprek met de deelnemers: Spreekt dat kader hen aan? En in hoeverre voldoet de eigen organisatie al aan dat kader?
Alle sprekers vind je op [https://iam.heliview.nl/sprekers/ iam.heliview.nl/sprekers], het programma op [https://iam.heliview.nl/programma/ iam.heliview.nl/programma].
==Deelname en aanmelden==
Deelname aan de Heliview-congressen is kosteloos voor senior medewerkers, managers en directieleden die werkzaam zijn bij eindgebruikersorganisaties. Stagiairs, werving & selectie bureaus, etc. hebben niet de mogelijkheid om kosteloos aan dit congres deel te nemen. [https://iam.heliview.nl/aanmelden/ direct aanmelden via de website]
Provinciale Baseline op het gebied van Informatiebeveiliging. +
De ICT-beveiligingsrichtlijnen voor webapplicaties geven een leidraad voor veiliger ontwikkelen, beheren en aanbieden van webapplicaties en bijbehorende infrastructuur. Deze beveiligingsrichtlijnen zijn breed toepasbaar voor ICT-voorzieningen die gebruikmaken van webapplicaties. Zowel afnemers als leveranciers kunnen deze richtlijnen inzetten bij het bepalen van aan- en uitbestedingen, toezicht en onderlinge afspraken. De herziene beveiligingsrichtlijnen zijn samen met [[UWV (Uitvoeringsinstituut Werknemersverzekeringen)|UWV]] en Inspearit opgesteld.
De ‘Richtlijnen’ bevat een beschrijving van de beveiligingsrichtlijnen op hoofdlijnen. In 'Verdieping' worden de maatregelen verder uitgewerkt met voorstellen voor inrichting, beheer en ontwikkeling. +
Levering en onderhoud van een ICT applicatie ten behoeve van de Vergunningverlening, Toezicht en Handhaving +
ICT oplossing voor de uitvoeringsondersteuning van het Fysiek Domein, specifiek de processen van "Vergunning verlenen", "Toezicht houden"en "Handhaven"(VTH) in verband met het invoeren van de Omgevingswet. +
ICT-oplossing ter ondersteuning van de processen voor het heffen, invorderen, waarderen, bezwaar & beroep en E-loket van de gemeentelijke belastingen +
ICT oplossing ter ondersteuning van de processen voor het heffen, invorderen, waarderen, bezwaar & beroep en E-loket van de gemeentelijke belastingen. +
IMgeo beschrijft informatie over de buitenruimte - wegen, sloten, groenvoorziening, verkeerslichten - in Nederland. het bevat de gegevenscatalogus van de wettelijk verplichte [[BGT (Basisregistratie Grootschalige Topografie)]] en een uitbreiding daarop. +
De Europese richtlijn INSPIRE zorgt ervoor dat we milieugerelateerde geo-informatie van alle Europese lidstaten kunnen zoeken, bekijken en downloaden van achter onze computer. +
Internet Protocol versie 6 (IPv6) maakt communicatie van data tussen ICT-systemen binnen een netwerk, zoals internet, mogelijk. De standaard bepaalt dat ieder ICT-systeem binnen het netwerk een uniek nummer (IP-adres) heeft. De belangrijkste motivatie voor de ontwikkeling van IPv6 was het vergroten van de hoeveelheid beschikbare adressen ten opzichte van de tegenwoordig gangbare voorganger IPv4. +
Internationale Norm voor Archivistische Geautoriseerde Beschrijvingen van Organisaties, Personen en Families. Deze norm verschaft richtlijnen voor het maken van archivistische geautoriseerde beschrijvingen van entiteiten (organisaties, personen en families) betrokken bij de vorming en het beheer van archieven. +
Algemene Internationale Norm voor Archivistisch Beschrijven, uitgegeven door de ICA.Deze norm verschaft algemene richtlijnen voor het maken van archivistische beschrijvingen. Hij dient te worden gebruikt in combinatie met bestaande nationale normen of als basis voor de ontwikkeling van nationale standaarden. +
ISO 14721:2012 Space data and information transfer systems - Open archival information system (OAIS) - Reference model +
Het ISO 14721:2012 referentiemodel voor een Open Archival Information System (OAIS-referentiemodel) is dé standaard voor iedereen die zich met preservering bezighoudt. De versie van 2012 is [https://public.ccsds.org/pubs/650x0m2.pdf online] beschikbaar. +
Geeft aanwijzingen voor het maken en documenteren van applicatieschema's, inclusief principes voor het definieren van eigenschappen. +
Richtlijnen voor het beschrijven van architectuur van systemen en software en de kaders voor die architecturen +
ISO/IEC 15408 (Evaluation criteria for IT security), ook wel 'Common Criteria' genoemd, is bedoeld als basis voor het evalueren van beveiligingseigenschappen van IT-producten en -systemen. De norm is redelijk abstract en wordt in de Nederlandse publieke sector voor zover bij ons bekend niet breed toegepast. Internationaal kan dat anders liggen.
De norm valt uiteen in drie delen:
# NEN-ISO/IEC 15408-1:2010 (Correctie 2014-01) [https://www.nen.nl/NEN-Shop/Norm/NENISOIEC-1540812010-Cor.-201401-en.htm Part 1: Introduction and general model]
# NEN-ISO/IEC 15408-2:2011 [https://www.nen.nl/NEN-Shop/Norm/NENISOIEC-1540822011-en.htm Part 2: Security functional components]
# NEN-ISO/IEC 15408-3:2011 [https://www.nen.nl/NEN-Shop/Norm/NENISOIEC-1540832011-en.htm Part 3: Security assurance components] +
Standaard voor geografische informatie +
De aanbestedende dienst is op zoek naar een leverancier die capaciteit heeft om technische diensten te leveren. De leverancier wordt verantwoordelijk voor engineering support van de communicatie en informatie systemen (CIS Architectuur). +
==Objectdefinitie==
Omvat toepassingsfuncties die door clouddiensten worden geleverd.
==Objecttoelichting==
IT-diensten leveren functionaliteiten met technologie gerelateerd aan het internet. Voorbeelden van zulke diensten zijn: generieke diensten, zoals: applicatiediensten (SaaS), storagediensten, Cloud Virtual Private Server, infrastructuur, Global Positioning System (GPS) informatiedienst, maar ook specifieke diensten, zoals: GPS Douanediensten. Deze clouddiensten kunnen ook aan dreigingen worden blootgesteld. Vandaar dat deze IT-diensten aan de vereiste beveiligingsaspecten moeten voldoen. +
Idensys is een federatief netwerk voor authenticatie van burgers bij publieke en private organisaties. Het is een Nederlandse invulling van eIDAS. Samen met [[eHerkenning]] maakt het onderdeel uit van het [[Stelsel Elektronische Toegangsdiensten]]. +
Het bekend maken van de identiteit van personen, organisaties of IT-voorzieningen. +
==Doel==
Identificatie en Toegang binnen de overheid beoogt het beperkt houden van het aantal digitale drempels om gemakkelijk samen te kunnen werken binnen de overheid.
==Scope==
Identity en Access Management (IAM) voor burgers en bedrijven zorgt voor adequate toegang tot de dienstverlening van de overheid.<br />
Om die diensten te kunnen leveren, zal de overheid zelf ook IAM-functies moeten toepassen binnen de bedrijfsvoering van al haar organisaties. De medewerkers hebben immers eenvoudig en adequate toegang nodig tot alle relevante informatie en voorzieningen.<br />
IAM-functies binnen de overheidsorganisaties zorgt er voor dat de medewerkers van de overheid (ambtenaren, ingehuurden, servicepersoneel e.d.) niet achtergesteld blijven bij de mogelijkheden die ze als burger of ondernemer e.d. kunnen ervaren op basis van de voorgestelde GF’s. Waarom zouden burgers immers op 1 plek diverse diensten kunnen afnemen met een goede toeleiding met SSO e.d. en ambtenaren -die goed met elkaar moeten samenwerken om die diensten aan die burgers te leveren- niet gebruik mogen maken van de GF’s die we daar juist voor hebben ontwikkeld?<br />
De personen die daarbij worden betrokken hebben feitelijk al een bron-identiteit van de overheid verkregen: het zijn personen met een Nederlandse Nationaliteit, dan wel personen met een andere Nationaliteit die in Nederland werken en daartoe in de RNI zijn geregistreerd en een BSN en een VOG e.d. hebben.<br />
Desondanks worden personen in de rol van ambtenaar of ingehuurde medewerkers e.d. door de [[AP (Autoriteit Persoonsgegevens)|Autoriteit Persoonsgegevens (AP)]] als aparte groep beschouwd en mag het BSN niet worden gebruikt voor identificatie en authenticatie van deze personen in deze rol. Dit leidt ertoe dat afzonderlijke voorzieningen moeten worden gebruikt voor het identiteitenbeheer en toegangsbeheer van overheidsmedewerkers.<br />
Afspraak<br />
De overheid maakt afspraken over de toepassing van IAM-functies bij de overheidsorganisaties. Standaard Denk hierbij aan wat de Rijksoverheid heeft opgesteld in het Normenkader IdM (pdf 361 kB), dat tevens de basis is geweest voor de uitrol van de Rijkspas.<br />
Voorzieningen<br />
De overheid stelt voorzieningen beschikbaar voor deze IAM-functies. Denk aan de RidM en het RIN voor de identificatie van medewerkers van de Rijksoverheid, of de Rijkspas voor fysieke- en logische toegang bij de Rijksoverheid. <br />
Deze voorzieningen zijn overigens nog niet dekkend voor de gehele overheid !
==Voorbeelden==
Nog te bepalen.
==Status==
Medio 2020 is via een pressure-cooker versnelling aangebracht in de oplevering van GO. Een vijftal werkgroepen heeft in 2 maanden tijd uitwerking gegeven aan:
* ‘Why’ van de GDI inclusief bijbehorende visual,
* uitgangspunten voor het vastleggen van generieke functies (capability’s),
* visies voor de domeinen Interactie, Gegevensuitwisseling, Identificatie en Authenticatie (Toegang), Machtigen en Infrastructuur.
Resultaten van de pressure cooker zijn overgedragen om mee te nemen in de Gemeenschappelijke Overheidsarchitectuur (GO). GO brengt samenhang aan, verwijdert dubbelingen en verdiept visies zodanig dat besluitvorming in de PL en (naar beoordeling door PL) in het OBDO mogelijk is. Voor het domein Interactie geldt dat bovendien nog afstemming met de beleidsomgeving moet plaatsvinden. Gegevensuitwisseling heeft nu nog een bredere scope dan GDI en zal daarom binnen de GDI-context in samenhang met andere domeinen uitgewerkt worden.
==Documentatie==
De visie uit de pressure cooker GO t.a.v. Identificatie en Authenticatie is opgenomen in het document van de werkgroep IenA1 - Identificatie en Authenticatie: [[media:GO_Pressure_Cooker_Identficatie_en_Authenticatie_(IenA1).pdf|GO_Pressure_Cooker_Identficatie_en_Authenticatie_(IenA1).pdf (PDF, 417 kB)]].
==Naamgeving==
Het visie document uit de pressure cooker gebruikt voor deze capability de naam '''IAM-functies binnen de overheid'''
==Beschrijving==
Het betrouwbaar digitaal kunnen vaststellen van de identiteit van een persoon.
Identificatie is het uniek duiden van een entiteit in een bepaalde context. Het geeft antwoord op de vraag: welke entiteit is het? Authenticatie is het bevestigen van de door de entiteit geclaimde identiteit. Het geeft antwoord op de vraag: is het inderdaad de entiteit die het claimt te zijn?
‘Identificatie en authenticatie’ kent meerdere toepassingen. Hier kijken we naar digitale identificatie en authenticatie van natuurlijke personen voor het verlenen van toegang tot digitale publieke diensten, zowel in het burger- als in het bedrijven- en organisatiedomein.
Bij digitale dienstverlening, waarbij er geen fysiek contact is tussen dienstverlener en handelend persoon, moet identificatie en authenticatie digitaal plaats kunnen vinden. Zowel om te kunnen bepalen of de persoon toegang tot de dienst mag krijgen, als om op de persoon afgestemde dienstverlening te kunnen bieden. Onder digitale identificatie verstaan we het proces van het gebruiken van identificatiegegevens in digitale vorm die op unieke wijze een persoon aanduiden. Onder digitale authenticatie verstaan we een digitaal proces dat de bevestiging van de digitale identificatie van een persoon in digitale vorm mogelijk maakt. Voor identificatie en authenticatie wordt gebruik gemaakt van een identificatiemiddel: een materiële en/of immateriële eenheid die identificatiegegevens bevat waarmee de identiteit van een persoon is aan te tonen.
==Voorbeelden==
Voorbeelden van identificatie en authenticatie bij het verlenen van toegang aan personen tot digitale publieke diensten zijn het inloggen met een DigiD of een eHerkenning-inlogmiddel.
==Rationale==
Dienstverlening wordt steeds digitaler en vraagt om digitale oplossingen. Bij digitale dienstverlening, waarbij er geen fysiek contact is tussen dienstverlener en handelend persoon, moet de identiteit van de handelend persoon betrouwbaar digitaal kunnen worden vastgesteld. Zowel om te kunnen bepalen of deze de bevoegdheden heeft om toegang tot de dienst en de informatie te krijgen, als om op de persoon afgestemde dienstverlening te kunnen bieden. De overheid moet voorwaarden scheppen zodat handelende personen veilig, persoonlijk en gebruiksvriendelijk digitale diensten af kunnen nemen.
==Implicaties==
Zie voor de implicaties de onderliggende generieke functies.
==Documentatie==
* [[Bestand:GA Identificatie en authenticatie.pdf|GA Identificatie en authenticatie]]
==Kaders==
Deze kaders zijn bepalend voor Identificatie en authenticatie.
* [[Algemene_Wet_Bestuursrecht|Algemene wet bestuursrecht]]
* [[EIDAS_verordening|eIDAS-verordening]]
* [[Wet_Digitale_Overheid|Wet digitale overheid]]
* [[AVG_(Algemene_Verordening_Gegevensbescherming)|Algemene verordening gegevensbescherming]]
(Bovenstaande opsomming is een beperkte selectie uit de kaders genoemd in het document)''
==Toelichting relaties==
De bestaande GDI-voorzieningen die hieronder zijn opgenomen onder ‘Gerealiseerd door' realiseren delen van de generieke functies van het GA-domein. Deze bestaande voorzieningen kunnen afwijken van de keuzes die voor het GA-domein zijn gemaakt.
Een verzameling gegevens aan de hand waarvan de identiteit van een persoon kan worden vastgesteld. +
Een materiële en/of immateriële eenheid die identificatiegegevens bevat waarmee de identiteit van een persoon is aan te tonen. +
De mate waarin gegevens zijn voorzien van een unieke en stabiele identificatie die ook buiten de directe gebruikscontext betekenis heeft. +
Identiteit is de eenheid van wezen, volkomen overeenstemming en gelijkheid. Dat wat uniek of eigen is aan iets of iemand. Het kan daarbij gaan om zowel personen als organisaties of landen. +
Voordat een uitvoeringsorganisatie zover is dat er sprake is van gewijzigde, geautomatiseerd uitvoerbare uitvoeringsregels, zal moeten worden bepaald wat de impact is van de wetswijzing. Om de dialoog over de impact van een wetswijziging aan te gaan moet een uitvoeringsorganisatie eerst:
* bepalen welke bedrijfsregels worden “geraakt” door de wijziging: welke bedrijfsregels moeten worden aangepast, toegevoegd of verwijderd.
* bepalen welke uitvoeringsregels en –producten (zoals werkinstructies, correspondentie, teksten op website, formulieren en folders etc.) worden geraakt door de gewijzigde bedrijfsregels.
Om vervolgens te:
* bepalen hoeveel het gaat kosten om de wijziging door te voeren in de bedrijfsregels en aansluitend in de uitvoeringsregels en –producten;
* bepalen of de wetswijziging door de uitvoeringsorganisatie tijdig, juist en volledig uit te voeren is: mensen, middelen (waaronder techniek);
* bepalen wat de impact is op de uitvoerbaarheid;
* bepalen wat de impact is op de handhaafbaarheid. +
Impact WOO op waterschappen uitgewerkt door WILMA +
De opdracht die wordt aanbesteed betreft de aanschaf van een nieuw zaaksysteem inclusief: implementatie, hosting, beheer en onderhoud ten behoeve van de gemeente Maastricht en mogelijk de gemeente Meerssen (optie). Optioneel wil de gemeente Maastricht (en gemeente Meerssen) in de toekomst gebruik maken van het Klant Contact Systeem. Een nadere opdrachtomschrijving staat omschreven in de aanbestedingsleidraad. +
Een verklaring dat de hoogste leiding ‘in control’ is. +
==Objectdefinitie==
Omvat besluitvorming over weerbaarheid tegen potentiële, fysieke schadelijke invloeden van binnenuit of buitenaf.
==Objecttoelichting==
Naast beveiligingsvoorzieningen, ter voorkoming van interne bedreigingen, moet de organisatie ook voorzieningen treffen die huisvesting Informatievoorzieningen (IV) beschermen tegen externe bedreigingen, zoals calamiteiten die veroorzaakt worden door de natuur of door menselijk handelen.
Natuurlijke calamiteiten kunnen onder andere zijn brand veroorzaakt door bliksem en/of schade aan gebouwen als gevolg van een aardbeving. Calamiteiten kunnen ook worden veroorzaakt door foute handelingen van medewerkers, zoals het niet onderbrengen van kopieën van kritische data op verschillende locaties of kunnen ontstaan als gevolg van ontwerpfouten of het nalaten van het treffen van beveiligingsmaatregelen. +
Betekenisvolle gegevens. +
Betekenisvolle gegevens. +
Informatie kan weglekken bij de opening die gemaakt is in de zones en onderweg van de ene naar de andere zone +
Informatie kan weglekken bij de opening die gemaakt is in de zones en onderweg van de ene naar de andere zone. +
Informatie- en communicatietechnologie (ICT); brief regering oktober 2018 - verhogen informatieveiligheid bij de overheid +
De overheid heeft een bijzondere verantwoordelijkheid ten aanzien van de bescherming van persoonsgegevens en de te treffen beveiligingsmaatregelen. Voor deze bescherming is het van belang dat overheden permanent zorgdragen voor de integriteit van hun systemen en processen en dat de
online communicatie met burgers en ondernemers op een veilige manier verloopt. Ook dient de overheid, als publiek orgaan, als launching customer het goede voorbeeld te geven. <br>
Voor de overheid betekent dat vooral: een krachtige regierol, meebewegen met de ontwikkelingen, overheidsbreed samenwerken en voorwaarden scheppen. +
De informatie-architectuur beschrijft de inhoudelijke relaties en samenhang tussen toepassingen (applicaties) en gegevensverzamelingen onderling. +
Een op zichzelf staand geheel van gegevens met een eigen identiteit. Bijvoorbeeld: document, databasegegeven, emailbericht (met bijlagen), (zaak) dossier, internetsite (of een deel ervan),foto/afbeelding, geluidopname, wiki, blog enz. +
Het proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen. +
Beveiligingsmaatregelen zijn op risicoafwegingen gebaseerd: de kans dat een bedreiging optreedt met de mogelijke gevolgen daarvan, in verhouding tot de kosten en de gevolgen van de maatregelen. +