Eigenschap:Beschrijving
Naar navigatie springen
Naar zoeken springen
Type eigenschap
:
Tekst
Geldige waarden
:
Meerdere waarden toegestaan
:
Nee
Weergave op formulieren
:
Tekstvak
Initiële waarde
:
Verplicht veld
:
Nee
Toelichting op formulier
:
Deze elementeigenschap kan gebruikt worden om een element te voorzien van een beschrijving.
Subeigenschap van
:
Formatteerfunctie externe URI
:
Klik op de button om een nieuwe eigenschap te maken:
&
Sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. +
'
'Mastering Alliances' published, a whitepaper on cross-organizational collaboration +
(
Het -binnen de mogelijkheden van de overheid- op de wensen van burgers en bedrijven aangepast houden van de overheidsdiensten.
(Digitale) Diensten ontstaan niet zomaar. Ze worden bedacht, ontworpen, gebouwd / gerealiseerd en daarna uitgevoerd, aangepast / verbeterd en tenslotte een keer gestopt c.q. ontmanteld. De [[NORA online|Nederlandse Overheid Referentie Architectuur]] is ons Nationale afsprakenstelsel over hoe de dienstverlening van de overheid is geregeld: nu en in de toekomst.
De NORA geeft inzicht in de samenhang van “alles” wat voor de dienstverlening van de overheid nodig is: wet- en regelgeving, processen, mensen, gegevens, systemen e.d.
De NORA bevat ook richtinggevende principes en handvatten voor het ontwerp en het aanpassen van de dienstverlening van de overheid.
Die diensten lijken in eerste instantie alleen gericht op burgers in Nederland, maar het gaat ook om diensten voor Nederlanders in het Buitenland en voor Buitenlanders die met Nederland te maken hebben.
Ook zijn er specifieke ontwerpen voor Europese cross-border-services (diensten binnen de Europese Unie).
Het Kabinet heeft op 2 juli 2008 de afspraken over dienstverlening in de NORA vastgesteld als norm voor alle overheden, zie [https://zoek.officielebekendmakingen.nl/kst-26643-128.html De NORA als norm (Kamerstuk)].
De NORA is gepubliceerd op [[NORA online|www.noraonline.nl]] onder [[NORA licentie|Creative Commons licentie]]. Bestuurders, beleidsmedewerkers en projectmanagers kunnen de NORA daardoor gebruiken om te “Navigeren Op Relevante Afspraken:” om veranderingen door te voeren, waarbij rekening wordt gehouden met bestaande afspraken.
Naast de NORA is nog een grote [[NORA Familie|Familie]] van andere architecturen beschikbaar voor het ontwerp van diensten binnen specifieke domeinen en ketens.
Het her-ontwerp van een dienst kan vanuit twee impulsen worden geïnitieerd:
# Als gevolg van het herstel van (structurele) fouten, zie [[Bieden van correctiemogelijkheden]];
# Vanuit het sturen op kwaliteit of innovatieve verbetering, zie [[Sturen op (verbetering van) de kwaliteit van dienstverlening]];
'''NB.''' Verzoeken van burgers of bedrijven om een dienst aan te passen of nieuwe diensten aan te bieden, worden volgens het Dienstverleningsconcept ingebracht via de tweede impuls, waarin de overheid een pro-actieve rol zal moeten spelen, e.e.a. volgens de stakeholder- en community-gedachte van de NORA en ook wat tegenwoordig via design-thinking wordt gepropageerd.
Het (Her)Ontwerpen van een dienst zal leiden tot een aangepast aanbod van diensten van de overheid, zie [[Bieden van een overzicht van de diensten van de overheid]] en tot het aanpassen van (de afspraken over) de bedrijfsvoering van de overheidsorganisaties die betrokken zijn bij het uitvoeren c.q. leveren van die dienst, zie [[Diensten leveren volgens de afspraken]].
Aanvullend op het (Her)Ontwerpen van een dienst, zal de overheid nog moeten overgaan tot het (laten) “Realiseren van een dienst”: het bouwen en implementeren van de dienst, zo nodig met de inzet van Projectmanagement e.d.
En pas daarna kan (weer) sprake zijn van [[Diensten leveren volgens de afspraken]].
==Objectdefinitie==
Betreft een instandhoudingsproces voor het vastleggen en actueel houden van gegevens van configuratie-items van een computerprogramma.
==Objecttoelichting==
Configuratiebeheer is het beheerproces dat onder andere verantwoordelijk is voor het registreren van de softwareconfiguratie-items (SCI’s) en hun specifieke kenmerken, zodat de SCI’s altijd uniek te identificeren zijn en de volledigheid en de juistheid van de in de Configuration Management Database (CMDB) opgenomen items gewaarborgd is. Configuratiemanagement geeft inzicht in de status van de verschillende SCI’s die binnen het ontwikkeltraject worden gebruikt en geeft de relaties weer tussen deze SCI’s. Hierdoor wordt duidelijk welke gevolgen aanpassingen van het ene SCI heeft voor andere SCI’s. +
(Ver)sterkte authenticatie. Bij het elektronisch communiceren vanuit een niet vertrouwde omgeving (bijvoorbeeld vanuit de externe zone) kan het noodzakelijk zijn extra zekerheden (boven het basisniveau beveiliging) te verkrijgen over de identiteit van derden. De hiervoor te treffen maatregelen worden afgestemd met het in dit gevoerde beleid en de beschikbare generieke oplossingen. +
1
10 lessen van datagedreven werken bij EZK en LNV +
Met een 14+netnummer krijgen gemeenten een herkenbare telefonische ingang. Een 14+netnummer begint met de cijfers 14 en eindigt op het netnummer van de gemeente (zoals 14 010 of 14 0115). Door te bellen met het 14+netnummer komt de burger uit bij zijn gemeente. +
2
22 januari Linked Data en Knowledge Graphs in Beeld en Geluid +
Het doel van de Aanbesteding is het sluiten van een Overeenkomst met één dienstverlener voor het leveren van een Cloud dienstverlening ten behoeve van het 24/7 BZ ContactCenter. +
3
31158093 "Het beheer en onderhoud, actualisatie en verdere ontwikkeling van het tijpoortadviseringssysteem PROTIDE (Probabilistic Tidal Window Determination)" +
De aanbesteding betreft een opdracht voor 'het beheer en onderhoud, actualisatie en verdere ontwikkeling van het tijpoortadviseringssysteem PROTIDE (Probabilistic Tidal Window Determination)' +
4
Verslag en presentaties Symposium Sturen op gegevens beschikbaar +
7
7 November 2018 Congres Linked Data is FAIR voor Iedereen +
@
Sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. +
Sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. +
Sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. +
Tweede sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. Op het programma in ieder geval een kijkje in de keuken van DNB Toezicht, met oog voor de digitale ambitie en voorbeelden van innovatief gebruik van data (science) in het toezicht. Andere onderwerpen kunnen nog worden aangemeld, zeker als ze hier bij aansluiten.
NB: De [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)|community]] heeft een [https://noracommunity.pleio.nl/groups/profile/57979282/tioh besloten Pleio-groep] waarop documenten en verslagen gedeeld worden. Alleen mensen die beschikken over een mailadres van een publieke organisatie in de domeinen Toezicht Inspectie Opsporing en/of Handhaving mogen hiervan lid worden. +
Sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. +
Derde sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. DEZE SESSIE IS AFGELAST I.V.M. CORONA
NB: De [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)|community]] heeft een [https://noracommunity.pleio.nl/groups/profile/57979282/tioh besloten Pleio-groep] waarop documenten en verslagen gedeeld worden. Alleen mensen die beschikken over een mailadres van een publieke organisatie in de domeinen Toezicht Inspectie Opsporing en/of Handhaving mogen hiervan lid worden. +
Vierde sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. +
Derde sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. Onderwerpen kunnen nog worden aangemeld.
NB: De [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)|community]] heeft een [https://noracommunity.pleio.nl/groups/profile/57979282/tioh besloten Pleio-groep] waarop documenten en verslagen gedeeld worden. Alleen mensen die beschikken over een mailadres van een publieke organisatie in de domeinen Toezicht Inspectie Opsporing en/of Handhaving mogen hiervan lid worden. +
Sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. +
A
ADMS (Asset Description Metadata Schema) is een verbindende standaard die in andere standaarden wordt toegepast waaronder o.a. DCAT (ADMS is het toepassingsprofiel van DCAT). ADMS is een gestandaardiseerd metadata woordenboek om beheerders van standaarden te laten documenteren waar de standaarden over gaan en waar ze kunnen worden gevonden op het web. Oftewel, DCAT beschrijft de datasets en ADMS beschrijft de standaarden en waar ze te vinden zijn. Hiermee zijn deze standaarden een aanvulling op elkaar. +
De AES-standaard is een versleutelingstechniek voor de bescherming van de vertrouwelijkheid van opgeslagen en verzonden data en is de vervanger van de verouderde DES standaard.
AES wordt zowel binnen Nederland als wereldwijd zeer veel en op, op zeer veel verschillende wijzen gebruikt. Voorbeelden van het gebruik zijn:
# In programma's zoals WinRAR, WinZip, PowerArchiver, e.d. wordt AES als encryptie aangeboden.
# AES wordt toegepast voor beveiliging (WPA2) in draadloze netwerken (Wifi), zie IEEE 802.11i.
# AES wordt toegepast voor het versleutelen van gegevens voor verzending over het internet, https verkeer etc.
# In hardware voor netwerken wordt veelvuldig gebruikt gemaakt van AES. +
Met deze Europese aanbesteding beoogt de Aanbestedende dienst te komen tot een Overeenkomst met één Opdrachtnemer om de Continuïteit van het AIX-platform, na afloop van de huidige raamovereenkomsten voor dit platform, te kunnen waarborgen. De gevraagde Prestatie bestaat uit het leveren van Onderhoud en Support op de Installed Base van het AIX platform (hierna Installed Base) en / of Additionele Diensten. Het huidige platform met AIX Apparatuur bestaat uit 50 IBM Power Systems en 10 Hardware Management Consoles (HMC's). Op de 50 IBM Power Systems draaien ongeveer 1200 virtuele AIX partities. +
Afkorting van 'application programming interface': een manier om twee of meer computerprogramma's met elkaar te laten communiceren. Het is een soort software-interface die een dienst aanbiedt aan andere stukjes software. +
Verslag eerste bijeenkomst API-community gepubliceerd +
[[Afbeelding:Presentatie API's Youetta 2.jpg|thumb|rigth|350px|Presentatie API's en de samenwerkende overheid|alt=Presentatie in vergaderzaal over het onderwerp API's en de samenwerkende overheid”|link=API’s en de samenwerkende overheid]]
Youetta de Jager (ICTU, senior consultant) neemt de deelnemers mee op reis met de API-strategie van de overheid. Maar wat is eigenlijk zo’n API? Wat kan een API en wat weten we er al over? NORA ondersteunt de community in het ontwikkelen van een strategie en het gebruik van API’s. Waar is behoefte aan bij dit thema?
Door [[API|API’s]] (Application Programming Interfaces) kunnen computerprogramma’s communiceren met een ander programma. Het zijn programmeerbare blokjes waarmee een dienst slim samengesteld kan worden. API’s bieden mogelijkheden voor privacy-by-design. Er zijn bijvoorbeeld API’s die alleen ja/nee antwoorden geven. Daarmee kan het gebruik van Self Sovereign Identity worden gerealiseerd.
“Tot nu toe is er veel technisch werk verricht. Er liggen bijvoorbeeld standaarden voor API’s”, vertelt Youetta. “Dar gaat nog vooral om de vraag: welke data zitten erin? Als gebruiker wil je weten hoe robuust zo’n dienst gebouwd is. Bijvoorbeeld: deze API is 24/7 beschikbaar. Of: deze API is geschikt voor meer dan 10000 gebruikers.”
Ze heeft een [[media:Mindmap API's en de samenwerkende overheid.pdf|Mindmap (PDF, 80 kB)]] gemaakt over API’s en nodigt iedereen uit: “Werk mee, denk mee, vul aan.”
===Waar hebben deelnemers behoefte aan?===
* “Help ons standaarden beter te begrijpen.”
* “Vindbaar maken en bieden van standaarden.”
* “API’s kunnen plotten op alle architectuurlagen. Structuren.”
* “Hoe maken we de transitie naar op API’s gebaseerde diensten?”
* “Omschrijvingen van API’s vanuit de behoefte van de eindgebruiker en eisen aan de dienst.”
* “Behoefte aan organisatie die API’s publiceert en beheert: een soort API Management Platform.”
* “Gemeenten werken samen in de Common Ground. We zijn al met API’s bezig. Eigenlijk wil je dat ook landelijk als overheid. NORA kan een rol hebben in het bij elkaar brengen van die ontwikkelingen.“
==Voorbeelden==
Er zijn voorbeelden beschikbaar, vertelt Youetta. “Uber heeft architectuur met API’s, ook de Belastingdienst heeft voorbeelden. Er zijn mogelijkheden kennis uit te wisselen.” In NORA staan al namen van organisaties die met API’s werken, met contactpersonen erbij.
“Wat verwacht je van NORA?”, vraagt Youetta. “Focus op het gemeenschappelijke niveau. Domeinspecifiek hoort bij de domeinreferentie architecturen.” Youetta vertelt wat er al gebeurt: “We maken een verbinding tussen het Kennisplatform API’s en de NORA. Ontwerpvragen als ‘Hoe ontwerp ik een API?’ pakt developer.overheid.nl op. Op dat platform worden ook de API’s gepubliceerd.”
Het gedachtengoed van API’s wordt verwerkt in de NORA in de themapagina [[API]].
<div class="inspring pijl">[[media:Mindmap API's en de samenwerkende overheid.pdf|Mindmap API's en de samenwerkende overheid (PDF, 80 kB)]]</div>
[[Afbeelding:Presentatie API's Youetta 1.jpg|thumb|none|350px|Presentatie API's en de samenwerkende overheid|alt=Presentatie in vergaderzaal over het onderwerp API's en de samenwerkende overheid”|link=API’s en de samenwerkende overheid]]
ASN is een standaard manier voor het beschrijven van data die binnen een netwerk verzonden of ontvangen worden.
Abstract syntax notation one (ASN.1). ASN.1 wordt veel gebruikt voor het beschrijven van X.509 certificaten en de toepassing ervan. Voorbeeld van een toepassing is RSA public key voor beveiliging van het transactieverkeer in de elektronische handel. Hiernaast beschrijft deze standaard rollen en structuren om data in telecommunicatie en computer netwerken te representeren, te coderen, over te brengen en te decoderen. Hierdoor is het mogelijk grote hoeveelheden gegevens geautomatiseerd te valideren aan de hand van specificaties met behulp van software tools. +
Europese verordening die Nederland heeft verwerkt in [[Uitvoeringswet AVG]]. +
De overeenkomst bestaat uit het werkend opleveren en vervolgens het ter beschikking stellen van een burgerzaken-applicatie, inclusief onderhoud en ondersteuning. De burgerzaken-applicatie draait off-premise, waarbij de verantwoordelijkheid voor de hostering en onderhoud van de burgerzakenapplicatie bij de inschrijver ligt (SAAS). +
Deze aanbesteding betreft het verwerven van software verdeeld over 2 percelen:
<ul>
<li>Perceel 1: Opleveren en ter beschikking stellen van een taxatieapplicatie die als SaaS wordt aangeboden, inclusief hosting, onderhoud en ondersteuning;</li>
<li>Perceel 2: Opleveren en ter beschikking stellen van een applicatie voor (BAG-)objectenbeheer die als SaaS wordt aangeboden, inclusief hosting, onderhoud en ondersteuning.</li>
</ul> +
==Beschrijving==
Diensten zijn vindbaar, eenduidig gedefinieerd; afnemers kunnen ze na het afsluiten van een overeenkomst gaan gebruiken en het gebruik beëindigen.
* Bekendmaken diensten:
** Afnemers moeten bekend zijn met de locaties waar beschikbare diensten zijn te vinden en die gebruiken. Voorbeeld: Een afnemer weet dat developer.overheid.nl diensten worden aangeboden en kijkt hier regelmatig.
** Aanbieders moeten in staat zijn aangeboden diensten begrijpelijk te publiceren op voor afnemers vindbare locaties. Voorbeeld: Een aanbieder publiceert diensten in een catalogus zoals developer.overheid.nl.
* Documenteren diensten:
** Afnemers moeten in staat zijn om op basis van beschikbare documentatie de functionaliteit van een dienst te begrijpen. Voorbeeld: Een afnemer kan OAS-specificaties, gebruikt bij documentatie van API’s volgens de REST-stijl, begrijpen.
** Aanbieders moeten diensten zodanig documenteren dat afnemers ze kunnen begrijpen. Vooorbeeld: Een aanbieder gebruikt de OAS-specificatie om API’s volgens de REST-stijl te beschrijven.
* Testen diensten:
** Afnemers moeten in staat zijn om diensten te testen voordat zij beslissen over al dan niet gebruik ervan. Voorbeeld: Een afnemer gebruikt tooling zoals Postman om aangeboden REST API's te testen.
** Aanbieders moeten testfaciliteiten aanbieden die afnemers kunnen gebruiken. Voorbeeld: Een aanbieder stelt een Postman-collectie beschikbaar waarmee afnemers met de tool Postman beschikbare REST API’s kunnen testen.
* Afsluiten overeenkomst:
** Afnemers moeten in staat zijn om te voldoen aan de aansluitvoorwaarden, diensten in gebruik te nemen en gebruik te beëindigen. Voorbeeld: Een afnemer sluiten een overeenkomst met de KVK om de dienst 'KVK Handelsregister Vestigingsprofiel' te mogen gebruiken, neemt de dienst in gebruik en stuurt een brief of email als hij wil stoppen met gebruik van de dienst.
** Aanbieders moeten aansluitvoorwaarden kunnen bepalen, overeenkomsten met afnemers kunnen afsluiten en controleren op plaatsvindend gebruik. Voorbeeld: De KVK sluit een overeenkomst af met een afnemer die voldoet aan de voorwaarden om van de dienst gebruik te mogen maken, verleent toegang tot de dienst, controleert op correct gebruikt en beëindigt het dienstgebruik na ontvangst van een brief of email met het verzoek daartoe.
Het aspect 'aanpassingsvermogen' staat voor het tijdig en adequaat reageren op onverwachte gebeurtenissen; ofwel juist reageren.
#Regels zijn op verschillende plaatsen gemodelleerd en daardoor kost het aanpassen relatief veel doorlooptijd.
Architectuurprincipe ARB-04: Implementatieonafhankelijk
Onder techniek-onafhankelijk modelleren verstaan we dat regels los van de IT–technologie gemodelleerd dient te worden. Het IT-landschap is gestandaardiseerd d.m.v. een applicatie-architectuur waarbij aansluitvoorwaarden en Quality of Service vooraf zijn geformuleerd.
'''Hoe bevordert techniek-onafhankelijk modelleren de wendbaarheid?'''
Het bouwblok ‘aanpassingsvermogen’ verstevigt de wendbaarheid doordat regels en regelsets los van de technische implementatie worden gemodelleerd. Daardoor is er de vrijheid gecreëerd om de technische architectuur van de oplossing aan te passen over het verloop van tijd zonder de regels daarbij aan te passen: het vergroten van het aanpassingsvermogen.
Architectuurprincipe ARB-02: Hergebruik
Als de wetgeving wordt aangepast, dient de (bron) van de wet opnieuw geïnterpreteerd te worden en de impact voor de omgeving binnen de uitvoeringsorganisatie te worden bepaald.
De wijzigingen worden met behulp van een wijzigingsradar gemonitord en vastgelegd. Indien de kennis van de interpretatie van de wet is vastgelegd in een conceptueel model, dient het model tegen het licht van de nieuwe wetgeving te worden gehouden en zo nodig te worden aangepast.
Een impactanalyse kan plaatsvinden op basis van de verschillen tussen het huidige en het nieuwe conceptueel model: in de impactanalyse komen de consequentie(s) van de gewijzigde normen voor de verschillende vingers terug; zie [[Leidraad Regelbeheer Van wet naar loket#De hand met de vijf vingers|de hand met de vijf vingers]].
De geïmplementeerde regels/regelsets voor verschillende toepassingen dienen los van elkaar te worden geïmplementeerd, zodat conform Service-Oriented-Architecture–standaarden regels/regelsets aangeboden kunnen worden aan verschillende afnemers.
==Doel==
Zorgdragen dat de overheid gegevens kan uitwisselen tussen de eigen overheidsorganisaties onderling en met personen en publieke en private organisaties buiten de overheid.
==Scope==
De overheid wisselt gegevens uit met burgers, bedrijven en instellingen, zowel nationaal als internationaal. Digitale aansluiting helpt, ondersteunt, de overheid bij de diversiteit aan aansluitingen die daarvoor worden gebruikt. Daardoor kunnen zowel de overheid als de partijen waarmee zij gegevens uitwisselt, zich richten op de gegevens i.p.v. op de (technische belemmeringen van) het aansluiten.<br />
Wij zien verschillende ontwikkelingen op dit moment plaatsvinden m.b.t. het digitaal aansluiten van en met de overheid.
Uitwisselstandaarden worden breed ingezet, en met name internationaal zijn nog de nodige ontwikkelingen gaande. Het toepassen van (RESTful) API’s heeft een vlucht genomen.
Daarnaast zien wij een belangrijke ontwikkelingen als SSI opkomen.
Uitwisselstandaarden:
Instituten binnen de overheid hebben te maken met diverse digitale contacten zowel binnen als buiten de overheid, nationaal en internationaal. Het gaat hier om verschillende uitwissel standaarden, denk aan Digikoppeling, eDelivery. Uitwisselstandaarden waarvan de toepassing verplicht is vanuit nationale wetgeving of internationale verordeningen of anderzijds brede toepassingen kennen in de markt.
De verschillende standaarden geven ieder haar eigen beheerlast en daarbij behorende kosten.
Door deze vanuit digitale aansluiting als onderdeel van de GDI aan te bieden wordt het voor de betrokken instituten eenvoudiger om aan te sluiten. Voor de afnemende partijen is het handig dat zij niet met iedere aangesloten (overheids-)instantie apart een aansluiting moeten inregelen.
API:
Bij toepassen van API’s spelen hele andere zaken. Een API is een hele eenvoudige interface, zeker t.o.v. de eerdergenoemde uitwisselstandaarden, met vele toepassingen. Zonder een strategie, een set van afspraken en ondersteuning zal dit tot een wildgroei van API’s leiden.
Figuur API Ecosysteem
Het is van belang dat er voor API’s binnen de GDI, een overheidsbrede omgeving komt die leveranciers en afnemers ondersteunt bij het ontwikkelen en gebruik van de overheids API’s. Hierdoor wordt het bijvoorbeeld voor ontwikkelaars eenvoudiger om de definities van overheids-API’s te vinden en daarop applicaties te bouwen. Bestaande API’s kunnen worden hergebruikt en indien nodig worden gebruikt als basis voor nieuwe API’s.
Bij het toepassen van API’s voor het uitwisselen van gevoelige data, zoals persoonsgegevens, is het van belang dat er een éénduidige beveiligingsstrategie wordt opgesteld en daaraan, vanuit digitale aansluiting, ondersteuning wordt gegeven.
SSI
Een andere ontwikkeling die de komende jaren zijn toepassing binnen en buiten de overheid gaat vinden is Self Sovereign Identity (SSI). Hierbij ligt de nadruk niet langer meer op het halen van data uit een bron maar meer op de herleidbaarheid van de bron van de data. Deze bron zou ook buiten de overheid kunnen liggen. Een belangrijk onderdeel van de SSI infrastructuur is de zogenaamde Identity Trust Fabric (ITF). De laag waarin het publieke deel van digitale identiteiten worden opgeslagen, is in Figuur 3 weergegeven als ‘Layer One: DID Networks’. Tegen deze laag wordt binnen SSI de digitale identiteit van personen, systemen, bronnen, documenten, etc. etc. gecontroleerd.
Figuur Architectuurlagen Self Sovereign Identity
Met een ITF die openbaar, zowel publiek als privaat, beschikbaar is wordt het
ontwikkelen van breed inzetbare SSI applicaties eenvoudiger. Digitale toegang
zou de ontwikkeling en ondersteuning van een dergelijke ITF op zich moeten
nemen.
Implicaties Digitale aansluiting ondersteunt bij het toepassen van de diverse
uitwisselstandaarden waar de overheid mee wordt geconfronteerd. Dit
vereenvoudigt het werk van de betreffende instituten en maakt het ook voor
de afnemers eenvoudiger om met de overheid uit te wisselen.
Verder ondersteunt Digitale aansluiting de uitrol van API’s binnen en buiten de
overheid. Door het leveren van overheidsbrede ondersteunende diensten zal
de ontwikkeling en toepassing van overheids API’s eenvoudiger worden en
daardoor versnellen. Denk hierbij het verder uitbouwen van het overheids API
register tot een volledige Overheidsbrede API Store en het leveren van een
API gateway voor de overheid.
Om de ontwikkeling van SSI gerelateerde applicaties te ondersteunen levert
digitale aansluiting een Identity Trust Fabric in een publiek private
samenwerking om een brede toepassing van deze SSI applicaties mogelijk te
maken.
Om de aansluiting veilig te laten verlopen zijn certificaten vereist. Uitgifte van
en toezicht op certificaten moet goed geregeld zijn.
Standaarden:
* Digikoppeling
* Oauth
* OpenID
* JRC
* ASI²
Voorzieningen:
* eDelivery
* OpenPEPPOL
* SDG
* Digipoort
* X-Road
* Common Ground
* NLX
* uNLock
* Hyperledger Indy
* Hyperledger Aries
==Voorbeelden==
Nog te bepalen.
==Status==
Medio 2020 is via een pressure-cooker versnelling aangebracht in de oplevering van GA. Een vijftal werkgroepen heeft in 2 maanden tijd uitwerking gegeven aan:
* ‘Why’ van de GDI inclusief bijbehorende visual,
* uitgangspunten voor het vastleggen van generieke functies (capability’s),
* visies voor de domeinen Interactie, Gegevensuitwisseling, Identificatie en Authenticatie (Toegang), Machtigen en Infrastructuur.
Resultaten van de pressure cooker zijn overgedragen om mee te nemen in de GDI Architectuur (GA). GA brengt samenhang aan, verwijdert dubbelingen en verdiept visies zodanig dat besluitvorming in de PL en (naar beoordeling door PL) in het OBDO mogelijk is. Voor het domein Interactie geldt dat bovendien nog afstemming met de beleidsomgeving moet plaatsvinden. Gegevensuitwisseling heeft nu nog een bredere scope dan GDI en zal daarom binnen de GDI-context in samenhang met andere domeinen uitgewerkt worden.
==Documentatie==
De visie uit de pressure cooker GA t.a.v. Infrastructuur is opgenomen in het document van de werkgroep: [[media:GO_Pressure_Cooker_Infrastructuur.pdf|GO_Pressure_Cooker_Infrastructuur.pdf (PDF, 1,79 MB)]].
==Naamgeving==
Het visie document uit de pressure cooker gebruikt voor deze capability de naam '''Digitale aansluiting'''
Het doel van deze aanbesteding is te komen tot een overeenkomst met één Opdrachtnemer voor het verlenen van Diensten voor het aanvragen, onderhouden en beheren van (Data)Verbindingen aan Provincie Gelderland. Het betreft op dit moment o.a. ruim 130 verbindingen richting ruim 155 VRI-installaties.
Het beheer van verbindingen richting VRI-installaties werd voorheen verzorgd door de ICT-afdeling van Provincie Gelderland in nauwe samenwerking met afdeling Beheer Onderhoud Wegen (BOW). Bij de afdelingen ICT en BOW is een verschuiving van werkzaamheden gaande: van zelf doen, naar regie. De operationele handelingen worden als dienst belegd.
Provincie Gelderland is op zoek naar een leverancier die de werkzaamheden kan uitvoeren en de provincie kan 'ontzorgen'. De taken die niet meer tot het primaire aandachtsgebied behoren, moeten opnieuw worden ingevuld. Dit voornamelijk op onderstaande punten:
<ol>
<li>Nieuwe verbindingen</li>
<li>Monitoring</li>
<li>Verstoringen</li>
</ol> +
Circulaire van de Minister-President, Aanwijzingen waarbij de wetgevingstechniek en de wetgevingskwaliteit centraal staan. Hoofdstuk 5, paragraaf 8 behandelt de Informatievoorziening en Gegevensverwerking. Bevat de aanwijzigingen:
Aanwijzing 5.31. Aansluiten bij definities basisregistraties
Indien voor de uitvoering van een regeling gegevens van burgers, bedrijven of instellingen nodig zijn, wordt voor de omschrijving van de daaraan ten grondslag liggende begrippen zoveel mogelijk verwezen naar of aangesloten bij de definities uit de wetten inzake de basisregistraties
Aanwijzing 5.32. Informatieparagraaf in toelichting
Indien voor de uitvoering van een regeling de beschikbaarheid of uitwisseling van informatie tussen overheidsorganisaties van betekenis is, wordt in een aparte informatieparagraaf in de toelichting aandacht besteed aan de wijze waarop de informatievoorziening organisatorisch en technisch is ingericht.
Aanwijzing 5.33. Verwerking van persoonsgegevens
Bij het opnemen in een regeling van bepalingen over de verwerking van persoonsgegevens bevat de regeling een welbepaalde en uitdrukkelijke omschrijving van de doeleinden van de gegevensverwerking en bevat de toelichting een expliciete afweging van de belangen van verantwoordelijken en betrokkenen in relatie tot die doeleinden.
Aanwijzing 5.34. Structurele basis verstrekking persoonsgegevens
Indien het noodzakelijk is dat op structurele basis wordt voorzien in de onderlinge verstrekking van persoonsgegevens tussen bestuursorganen of toezichthouders, terwijl geldende geheimhoudingsbepalingen daaraan in de weg staan, wordt op het niveau van de formele wet voorzien in een uitdrukkelijke regeling van de gegevensverstrekking, met inbegrip van de vaststelling van het doel van de gegevensverstrekking. +
Abonnementservice die een automatisch bericht afgeeft wanneer er iets verandert in de registratie van voor de afnemer van belang zijnde WOZobjecten. Alle wijzigingen worden gebeurtenisgedreven aangeleverd.
Een afnemer kan zich abonneren op alle WOZ-objecten of op de gegevens van één of meer waterschappen.
Abonnementservice WOZ loopt via Digilevering. +
In 2007 heeft de Tweede Kamer het Kabinet gevraagd een plan op te stellen voor de bevordering van het gebruik van open standaarden voor overheidstoepassingen. Eind 2007 is het actieplan “Nederland Open in Verbinding” (NOiV) door de Tweede Kamer aangenomen. De doelstellingen van dit actieplan zijn
van toepassing op de rijksoverheid, de mede-overheden en de (semi-)publieke sector. +
Voor de komende periode van 2 jaar moeten voor de rijkswegen in Nederland de monitoringdata voor geluid, luchtkwaliteit en stikstofdepositie worden geactualiseerd en verwerkt. +
De mate waarin gegevens recent genoeg zijn. +
Geeft persoonsgegevens van alle op een adres ingeschreven personen. Bevragen kan met een adres als ingang of met persoonsgegevens als ingang. +
Verstrekking van gegevens van een bepaalde ingeschrevene naar aanleiding van een door afnemer gestelde vraag. +
Elektronische handtekeningen worden gebruikt voor het ondertekenen van digitale berichten. Een elektronische handtekening is voor de ontvanger het bewijs dat een elektronisch bericht inderdaad afkomstig is van de ondertekenaar en dat deze de inhoud van het bericht onderschrijft. Voor het ondertekenen van berichten die een hoger niveau van betrouwbaarheid vereisen, kunnen geavanceerde elektronische handtekeningen of gekwalificeerde elektronische handtekeningen worden gebruikt. De AdES Baseline Profiles zorgen ervoor dat een geavanceerde/gekwalificeerde elektronische handtekening voor de ondertekenaar en ontvanger uitwisselbaar is door eisen te stellen aan de minimale set aan informatie die wordt uitgewisseld.
De AdES Baseline Profiles beschrijven de minimale set aan gegevens die uitgewisseld moeten worden om aan de eisen van een geavanceerde elektronische handtekening te voldoen. Een geavanceerde elektronische handtekening voldoet aan vier eisen:
# De handtekening is op unieke wijze aan de ondertekenaar verbonden;
# De handtekening maakt het mogelijk de ondertekenaar te identificeren;
# De handtekening komt tot stand met middelen die de ondertekenaar onder zijn uitsluitende controle kan houden;
# De handtekening is op zodanige wijze aan het elektronisch bestand waarop zij betrekking heeft verbonden, dat elke wijziging van de gegevens, na ondertekening, kan worden opgespoord. +
Administratieve hygiëne is noodzakelijk om het opstellen, reviewen en valideren van bedrijfsregels met voldoende professionaliteit te kunnen uitvoeren. In dit opzicht is het beheren van bedrijfsregels vergelijkbaar met het beheer van specificaties.
Het versioneren van bedrijfsregels of regelsets is een invulling van dit aspect. Daarnaast moeten juridische en gegevensbronnen onder versiebeheer staan om traceerbaarheidsrelaties zuiver te kunnen leggen.
Ook het zorgvuldig verzamelen en beheren van alle secundaire documentatie is een noodzakelijk kwaad.
Het architectuurprincipe ARB-03 - Traceerbaar kan niet zonder dit aspect worden ingevuld. +
Eenmalige of maandelijkse levering met adresgegevens van een door de gebruiker gespecificeerde set bedrijven. Filtering is mogelijk op diverse criteria, waaronder gemeente, postcode, SBIcode. Het data-formaat van dit product is niet geheel handelsregister-compliant (afwijkende notatie BAG adressen) en levert geen BAG-IDs. Het product wordt naar verwachting uitgefaseerd. +
De persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. +
Overeenkomst binnen de overheid of een deel (domein of sector) over de inrichting en het toepassen van bepaalde voorzieningen of standaarden. +
Ruwe aantekeningen. [[media:Basiswaarden Afstemmingsoverleg 1.pdf|Presentatie (PDF, 1,2 MB)]] is helaas niet toegankelijk aangeleverd. Neem contact op met [mailto:nora@ictu.nl?subject=toegankelijke%20versie%20presentatie%20Basiswaarden%20Afstemmingsoverleg%201.pdf nora@ictu.nl] als dat problemen oplevert, dan zoeken we samen een oplossing.
==Welkom==
Doel van deze opdracht: Het aansluiten van de kernwaarden op beleidsstukken en maatschappelijke beweging.
Op basis van een constatering van NORA: We zien onvoldoende actualisatie terug.
Het aansluiten van de kernwaarden op beleidsstukken en maatschappelijke beweging.
De Kernwaarden concreter maken door de AP’s te koppelen aan het [[Vijflaagsmodel]].
Kernwaarden worden onderdeel van een beschrijving binnen de NORA; Het moet toegankelijk zijn voor breder publiek dan de architecten. Er zal een link worden gelegd tussen de Kernwaarden en de NORA-principes.
Stel dat iets nog niet in de begrippenlijst staat?
Daar waar nodig gaan we zeker begrippen beschrijven in de NORA
Mark Paauwe kwam met de suggestie om het Kernwaarden te noemen: Iedereen is het eens met de kernwaarden :)
==Bespreking eerste resultaten==
Er is een volledige dekking van alle kernwaarden.
Opmerkingen over de toelichting van Aty, Andre en Marco:
Ad: De NORA vat het begrip ‘dienst’ breed op, namelijk alles wat een overheidsorganisatie doet voor een afnemer. Ik vind de brede definitie uit de NORA van dienst prima. Binnen de NORA vind ik het een van de sterke punten dat het (dienst) zo wordt opgepakt. Onderscheid tussen dienstverlening en bestuurlijke besluitvorming, in de originele definitie van de NORA past dat prima. Het hoeft niet, als het ware opnieuw uitgewerkt te worden, hoe dat zich met elkaar verhoudt.
Ralph: Toegankelijk zit als Basisprincipe onder Doelmatig, maar die kan ook goed passen onder Toekomstbestendig. Dat zou een eerste suggestie zijn; er zijn dus overlappen tussen Basis Principes en Basiswaarden Kernwaarden.
Jan: Mooie vorm van uitwerking; een aantal van de gebruikte begrippen vragen om een scherpere duiding. Het wordt van belang om elke uitwerking te gaan eiken aan het uitbreiden van de scope.
Aty’s voorbeeld over dienst; het is een pracht van een voorbeeld dat een afnemer niet alleen iets mag zeggen over een dienst, zoals toezicht en bewaking, maar dat dat refereert aan laag 1 van dit stelsel. (5laagsmodel?)
Waarschuwing: Ik verwacht dat je elke AP kan relateren aan elk van de Kernwaarden. Kernwaarden komen niet uit een geordend systeem. Ze hebben allemaal met elkaar te maken. Het is een stelsel van grootheden die niet onderling exclusief zijn.
Laurens: Wat mij opvalt: dergelijke conclusies in deze teksten gaan best snel. Terminologie is belangrijk. Pas op met causale verbanden.
Doeltreffend: Effectiviteit: De mate waarin het beoogde resultaat bereikt wordt. Efficacy: Vertaald uit het Engels - Werkzaamheid is het vermogen om een taak in voldoende of verwachte mate uit te voeren. Het woord komt van dezelfde oorsprong als effectiviteit en wordt vaak als synoniem gebruikt, hoewel in de farmacologie nu vaak onderscheid wordt gemaakt tussen werkzaamheid en effectiviteit.
==Architectuur van dienstverlening ==
Herziening van NORA’s architectirpincipes na een uitbreiding van de scope
Wat zou USM daaraan kunnen bijdragen?
Zie presentatie van Jan van Bon.
Marco opmerking: Dienstverlening binnen de overheid als begrip is smal. Men is geen klant van de overheid als het gaat om het begrip dienstverlening. Het gaat ook over de kwaliteit van openbaar bestuur.
Marco: Ook bekend als ' Servitization ' volgens mij. Grote trend in de industrie. Zoals een autofabrikant geen auto's meer wil maken, maar een dienstverlener wil zijn in mobiliteit (bv.). QoS (Quality of Service)
* Ad: “De IV-service zie ik als een van de vele diensten” Ik zie het meer als een ondersteunende services
* Mogelijk om de discussie rondom IV-service of andere gesprekken te transcriberen
Ruwe aantekeningen. [[media:Basiswaarden Afstemmingsoverleg 3.pdf|Presentatie (PDF, 847 kB)]] is helaas niet toegankelijk aangeleverd. Neem contact op met [mailto:nora@ictu.nl?subject=toegankelijke%20versie%20presentatie%20Basiswaarden%20Afstemmingsoverleg%201.pdf nora@ictu.nl] als dat problemen oplevert, dan zoeken we samen een oplossing. +
Ruwe aantekeningen. [[media:Basiswaarden Afstemmingsoverleg 2.pdf|Presentatie (PDF, 748 kB)]] is helaas niet toegankelijk aangeleverd. Neem contact op met [mailto:nora@ictu.nl?subject=toegankelijke%20versie%20presentatie%20Basiswaarden%20Afstemmingsoverleg%201.pdf nora@ictu.nl] als dat problemen oplevert, dan zoeken we samen een oplossing.
==Algemeen voor alle uitwerkingen ==
* Werk omzetten naar het vaste template format (indien dat nog niet gebeurd is)
* Bronvermelding aan het einde van de template (verwijzingen naar Beleidskaders ect.)
* AP’s kunnen betrekking hebben op alle lagen van het Vijflaagsmodel en meerdere Kernwaarden.
==Extra opmerkingen==
Jan van Bon: Kernwaarden zijn geen begrippen met een discrete dimensie. Hier lopen minimaal 3 dimensies doorheen (relatie, doel kwaliteit). Het is onmogelijk dat de begrippen niet overlappen.
==Vertrouwen==
* Vraag: Vertrouwen -> Betrouwbaar (consistent met terminologie van de andere Kernwaarden)
* Vraag: Moeten we Veilig en Vertrouwen uit elkaar trekken?
* Alle AP’s hebben eigenlijk een relatie met Kernwaarde vertrouwen.
* Wellicht kan er worden gekeken of sommige AP’s niet anders geformuleerd kunnen worden, zodat ze meer aansluiten.
* Vertrouwen en Veilig zijn uit elkaar getrokken; Veilig is een van de componenten van Vertrouwen.
* Security wilden Robert en Aty terugzien in Vertrouwen.
* Vertrouwen, daar hoort de mens bij.
* Veilig heeft vooral te maken met wat je doet om te maken dat mensen, systemen etc. echt beschermd worden tegen negatieve invloeden. (Dienstverlening)
* Vertrouwen en Veilig zijn minstens twee kanten van dezelfde medaille.
==Veilig==
* Veilig is iets dat je geregeld moet hebben, zodat je de dienst (daarna) kan aanbieden.
* Beschikbaarheid heeft met vertrouwen te maken; je neemt veiligheidsmaatregelen zodat anderen niet de beschikbaarheid van diensten kunnen beschadigen.
* On-beschikbaarheid kan ook leiden tot onveiligheid, omdat de dienst beschikbaar moet zijn om iets veilig te stellen.
* Veilig heeft niet alleen met afnemers te maken maar ook bij de aanbieder.
* Het is ook een ketending; de hele keten moet veilig zijn. Aan de voorkant moet je je ook afvragen, wanneer je over sourcing nadenkt, of je daarmee voldoende rekening hebt gehouden met veiligheidsaspecten als gevolg van outsourcen van kernactiviteiten of kerninformatie, waarvoor je als organisatie verantwoordelijk bent.
* Ralph: We moeten proberen duidelijk te zijn in wie de actoren zijn.
* Reactie Laurens: Veilig als Kernwaarde is iets dat je hoopt dat in de breedte overheid geadopteerd gaat worden. Hier is het geredeneerd vanuit de dienst, de afnemer en de aanbieder.
* Er moet een verschil kunnen worden gemaakt tussen politiek en overheid, maar daardoor veranderd te waarde niet.
== Toekomstbestendig==
Toelichting; Charmante verwoording, omdat het woord ‘we’ wordt gebruikt. Actieve benadering kiezen. Omschrijving verbreden naar andere overheidsorganisaties.
Suggesties:
* Toekomstbestendig betekent ook dat informatie blievend toegankelijk is voor iedereen die hier (een gerechtvaardigd) belang bij heeft en zo lang als noodzakelijk.
* De dienstverlening van de overheid naar burgers en bedrijven is op de toekomst voorbereid.
==Doeltreffend==
Twee versies van de omschrijving:
# De dienstverlening, handhaving en toezicht van de overheid naar burgers en bedrijven is er op gericht om de mate waarin het beoogde doel wordt gerealiseerd te maximaliseren.
# De dienstverlening van de overheid voldoet maximaal aan hetgeen de samenleving, bedrijven en burgers van deze dienst verwachten.
De essentie is dat je het doel bereikt dat je voor ogen hebt.
Vraag: Begrijpelijk en overzichtelijk naar doelmatig i.p.v. doeltreffend? Antwoord: Nee want je kan bij deze (Doeltreffend; dus effectiviteit) meten of het doel is bereikt.
Suggestie: Toevoegen dat het meetbaar is in de omschrijving.
Onderbouwing om ‘handhaving en toezicht’ weg te laten: Beschrijving van dienst is al: Een afgebakende prestatie van een persoon of organisatie (de dienstverlener), die voorziet in een behoefte van haar omgeving (de afnemers).
==Doelmatig==
De dienstverlening is zodanig opgezet dat met minimale middelen het beoogde doel wordt bereikt.
Algemene regels over de verhouding tussen bestuursorganen en belanghebbenden bij het voorbereiden, nemen en toepassen van besluiten. +
Alle BIO Thema-uitwerkingen zijn geactualiseerd +
''''Reinvent Government,'''' dagen Steven Gort en Bas Kaptijn (ICTU, Discipl) ons uit.
[[Afbeelding:Presentatie Bas en Steven NORA Gebruikersdag 19 november 2019 (2).jpg|thumb|left|350px|Discipl - a global Society Architecture|alt=Presentatie in vergaderzaal Discipl - a global Society Architecture”|link=Discipl - a global Society Architecture]]
[[Afbeelding:Impressie sessie Society Architecture.jpg|thumb|right|500px|Impressie van oude en nieuwe werkwijze overheidsdienstverlening (volg link in afbeelding voor uitgeschreven beschrijving)|alt=Twee tekeningen onder elkaar met als titels Reinventing Government en Reinvented Government.]]
Als de bestaande organisaties, silo's en administratieve werkelijkheid er niet zouden zijn en je opnieuw zou beginnen, hoe zou je dan vandaag of morgen publieke dienstverlening inrichten?
Voor hen is dit duidelijk: de mens en de behoeften van die mens moeten centraal staan en de rest organiseer je flexibel genoeg om te veranderen als onze behoeften als burgers en samenleving veranderen. Gegevens die nu in silo's van overheden zitten moeten onder regie van de burger komen, bereikbaar vanuit je eigen devices en deelbaar als dat voor jou nuttig is. Wetten, regels, subsidies en toeslagen dienen de mens en moeten dus begrijpelijk worden in je eigen unieke context. Daar kan de techniek een handje bij helpen, als we wetten en regels als open linked data beschikbaar stellen: een persoonlijke app kan jouw gegevens en de wettelijke mogelijkheden voor je uitzoeken en wat in jouw situatie relevant is in heldere taal uitleggen.
In hun visie komt de techniek niet in de plaats van contact tussen burger en overheid, maar maakt dit contact juist menselijker: je uit je behoeften in je eigen woorden en zonder dat je zelf hoeft uit te zoeken bij welke overheidsorganisatie je moet zijn:
‘''Ik wil een betaalbaar huis''’ in plaats van ‘''ik schrijf mij in voor een sociale huurwoning bij deze woningcorporatie''’ & ‘''ik vraag huurtoeslag aan bij de belastingdienst.''’
Doordat de techniek veel wetsinterpretatie en rondschuiven met gegevens uit handen neemt heeft de ambtenaar de tijd om echt contact te leggen met de mensen die dat nodig hebben, terwijl het gros van de diensten automatisch verstrekt kan worden.
Door de dialoog tussen burger en overheid te versterken en te faciliteren groeit het wederzijds vertrouwen. En de flexibiliteit en ruimte die juristen oorspronkelijk hebben ingebouwd in veel wetten komt weer beschikbaar: niet 'computer says no' maar samen met de burger naar oplossingen zoeken.
Hoe willen ze de bestaande organisatie veranderen die hun visie in de weg staat? We lopen als overheid en samenleving tegen bestaande muren op, maar aangezien we die zelf hebben neergezet kunnen we ze ook zelf weer weghalen.
Een concrete toepassing van deze visie waar het discipl-team al ervaring mee heeft opgedaan is het opvragen van waardepapieren bij je gemeente, oftewel verifiable credentials. Hierbij hebben ze gelijk rekening gehouden met de W3C standaard en EIDAS, zodat het in de toekomst mogelijk moet zijn om een uittreksel uit het geboorteregister te krijgen dat overal geaccepteerd wordt.
Een andere opdracht is de waardewisselaar, waar compliance by design een belangrijke factor is. Lees meer over deze toepassingen op [https://discipl.org discipl.org].
: → [[media:Discipl, a global society architecture.pdf|presentatie (PDF, 6,94 MB)]]
==Objectdefinitie==
Betreft een systematisch onderzoek naar en het vaststellen van informatiebeveiligingseisen voor een applicatie.
==Objecttoelichting==
Het object Analyse en specificatie informatiebeveiligingseisen heeft betrekking op niet-functionele eisen, zoals betrouwbaarheid, gebruiksvriendelijkheid, efficiëntie, onderhoudbaarheid, performance en flexibiliteit in overdraagbaarheid. +
==Objectdefinitie==
Betreft een systematisch onderzoek naar functionele eisen voor een applicatie, bepaald door de business en andere stakeholders.
==Objecttoelichting==
Het analyseren en specificeren van requirements is een proces van het traceren en onderkennen van functionele en niet-functionele requirements waar de te ontwikkelen applicatie aan moet voldoen. Ook worden de constraints geïdentificeerd die zullen gelden in de ontwikkel- en de operatiefases.
Het ontwikkelen van informatiesystemen wordt tegenwoordig veelal uitgevoerd conform de iteratieve ontwikkelmethode (Agile). Onafhankelijk van de methode (traditioneel, Waterval of Agile) is sprake van een aantal ontwikkelstappen waaraan aandacht wordt besteed:
* functionele eisen onder andere: functionaliteiten, gegevens, business rules, presentatie, interactie en foutafhandelingen;
* niet-functionele eisen onder andere: betrouwbaarheid, gebruiksvriendelijkheid, efficiëntie, onderhoudbaarheid, performance en flexibiliteit in overdraagbaarheid.
In de [[ISO 27002 2017|ISO 27002 2017]] wordt rond dit thema alleen focus gelegd op niet-functionele eisen (beveiligingseisen). Daarom is naast het object ‘Analyse en specificatie van informatiebeveiligingseisen’ ook het object ‘Analyse en specificatie van informatiesystemen’ toegevoegd, waarbij de nadruk gelegd wordt op functionele eisen.
Deze BIO Thema-uitwerking is baseline gebaseerd en met lineaire volgens het V-modelaanpak uitgewerkt. Aangezien bij Agile niet op deze wijze wordt gewerkt, verdient dit aspect extra aandacht. +
De website Antwoord voor bedrijven is per 15 september 2014 opgegaan in [[Ondernemersplein]] en maakt ondernemers wegwijs door de grote hoeveelheid informatie van de overheid. +
==Objectdefinitie==
Betreft de instandhouding van apparatuur binnen huisvesting Informatievoorzieningen (IV).
==Objecttoelichting==
Apparaten zoals installaties en machines moeten voor veilige toepassing periodiek en volgens de juiste procedures worden onderhouden door geautoriseerde medewerkers of leveranciers. +
==Objectdefinitie==
Betreft het veilig plaatsen van apparatuur binnen huisvesting Informatievoorzieningen (IV).
==Objecttoelichting==
In huisvesting IV bevindt zich verschillende apparatuur. Deze apparatuur dient zo te zijn gepositioneerd en beschermd dat verlies, diefstal en onderbreking van bedrijfsmiddelen wordt voorkomen. +
==Objectdefinitie==
Betreft het veilig en gecontroleerd verwijderen van apparatuur binnen huisvesting Informatievoorzieningen (IV).
==Objecttoelichting==
Apparaten kunnen cruciale data bevatten. Het verwijderen van apparatuur moet daarom veilig met vastgestelde procedures plaatsvinden. +
Een computerprogramma om een specifieke taak uit te voeren die geen betrekking heeft op de werking van de computer zelf. +
Het doel van deze aanbesteding is het afsluiten van een overeenkomst met één of meerdere opdrachtnemers ten behoeve van de volgende software applicaties/ informatie systemen: Applicatie/ informatie systeem voor het Sociaal Domein. De gemeente Hollands Kroon is verantwoordelijk voor een goede dienstverlening naar haar inwoners en medewerkers. Ons uitgangspunt is om de huidige applicaties voor het Sociaal Domein meer aan te laten sluiten bij de wensen die staan omschreven in ons droombeeld. De huidige applicaties zijn geschikt voor het doel waar deze ooit voor zijn aangeschaft maar sluiten onvoldoende aan de huidige wensen, zoals bijvoorbeeld documenten opslaan in SharePoint en het onttrekken van data uit basisregistraties. +
==Objectdefinitie==
Betreft een modelmatige beschrijving van de samenhang van het applicatielandschap.
==Objecttoelichting==
De applicatie-architectuur beschrijft de samenhang tussen functionele en beveiligingseisen. Ook wordt aandacht besteed aan de integratie-aspecten met de infrastructuur. Vanuit een eenduidig beeld wordt de applicatie met deze architectuur gerealiseerd. Richtlijnen, instructies, architectuur- en beveiligingsvoorschriften en procedures worden zodanig toegepast dat een samenhangend geheel ontstaat. Op deze manier wordt ook zeker gesteld dat de applicatie aan de vereiste functionele en beveiligingseisen voldoet. +
Een beschrijving van de structuur en interactie van de applicaties die belangrijke bedrijfsfuncties ondersteunen en gegevens beheren. +
==Objectdefinitie==
Betreft specificaties vastgelegd in tekst en beeld van een computerprogramma.
==Objecttoelichting==
Tijdens de ontwerpfase worden de (niet-)functionele requirements omgezet naar een uitvoerbaar informatiesysteem. Een high level architectuur wordt ontwikkeld om de software te kunnen bouwen. Hierbij wordt onder andere aandacht besteed aan de gebruikte data door het systeem, de functionaliteit die geboden moeten worden, de toegepaste interfaces tussen componenten binnen het systeem en aan koppelingen met andere systemen. Ook worden constraints die voortvloeien uit specifieke beveiligingseisen verder uitgewerkt. +
==Objectdefinitie==
Betreft het ontwikkelen van een programmacode.
==Objecttoelichting==
Na de eerste twee ontwikkelfasen, waarbij de nadruk ligt op de analyse van requirements en op het ontwerp van het product, volgt de derde fase, de applicatiebouw. In deze derde fase wordt de programmacode gecreëerd met good practices, methoden/technieken en bepaalde beveiligingsuitgangspunten. +
==Objectdefinitie==
Omvat toepassingsfuncties die ondersteuning bieden aan bedrijfsprocessen.
==Objecttoelichting==
De functies kunnen worden onderverdeeld in invoer-, verwerking- en uitvoerfuncties. Binnen de functies worden controles en rekenregels ingebouwd om de gewenste acties te kunnen uitvoeren en gewenste resultaten te kunnen leveren. Het totaal aan functionaliteiten moet aan bepaalde eisen voldoen. Zo moeten functionaliteiten:
* voldoen aan de behoefte van de gebruikers;
* de gebruikerstaken afdekken;
* resultaten leveren die nauwkeurig zijn;
* geschikt zijn om bepaalde taken te kunnen ondersteunen. +
==Objectdefinitie==
Betreft een verbinding tussen twee of meer applicaties waarmee gegevens tussen deze applicaties uitgewisseld kunnen worden.
==Objecttoelichting==
Bij het ontwikkelen van applicaties kunnen mogelijk koppelingen tussen de applicatie die in ontwikkeling is en andere applicaties noodzakelijk zijn. Vanuit beveiligingsoogpunt dienen dit soort koppelingen aan bepaalde eisen te voldoen. +
==Objecten, controls en maatregelen==
Onderstaande afbeelding toont de objecten die specifiek voor dit domein een rol spelen. Het geeft een overzicht en de ordening van objecten. De geel gemarkeerde objecten komen voor in de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]. De wit gemarkeerde objecten zijn betrokken uit andere best practices. Voor de identificatie van de objecten en de ordening is gebruik gemaakt van basiselementen (zie de grijs gemarkeerde tekst). Ze zijn ingedeeld naar de [[Alle invalshoeken|invalshoek: Intentie, Functie, Gedrag of Structuur]].
[[Bestand:APO Overzicht objecten voor applicatieontwikkeling in het beleidsdomein.png|thumb|none|500px|Overzicht objecten voor applicatieontwikkeling in het beleidsdomein|alt=”Onderwerpen die binnen het Beleid domein een rol spelen”]] +
==Objecten, controls en maatregelen==
Onderstaande afbeelding toont de objecten die specifiek voor dit domein een rol spelen. Het blauw gemarkeerde object komt voor in de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]. De wit gemarkeerde objecten zijn betrokken uit andere best practices. De objecten zijn ingedeeld naar de [[Alle invalshoeken|invalshoek: Intentie, Functie, Gedrag of Structuur]].
[[Bestand:APO Overzicht objecten voor applicatieontwikkeling in het control-domein.png|thumb|none|500px|Overzicht objecten voor applicatieontwikkeling in het control-domein|alt=”Overzicht objecten voor applicatieontwikkeling in het control-domein”]] +
==Objecten, controls en maatregelen==
Binnen het uitvoeringsdomein worden specifieke inrichtings- en beveiligingsobjecten voor applicatieontwikkeling beschreven. Per object worden conformiteitsindicatoren en de desbetreffende implementatie-elementen uitgewerkt. De rood gemarkeerde objecten komen voor in de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]. De wit gemarkeerde objecten zijn betrokken uit andere best practices, zie onderstaande afbeelding. De objecten zijn ingedeeld naar [[IFGS Intentie|intentie]], [[IFGS Functie|functie]], [[IFGS Gedrag|gedrag]] en [[IFGS Structuur|structuur]]. In de [[BIO Thema Applicatieontwikkeling/IFGS gekoppeld aan het V-model|pagina Invalshoeken gekoppeld aan het V-model zijn de invalshoeken gekoppeld aan het V-model]].
[[Afbeelding:Thema Applicatieontwikkeling - Onderwerpen die binnen het Uitvoeringsdomein een rol spelen.png|thumb|none|500px|Overzicht objecten voor applicatieontwikkeling in het uitvoeringsdomein|alt=”Onderwerpen die binnen het Uitvoering domein een rol spelen”]] +
De drie gemeenten Deventer, Olst-Wijhe en Raalte werken samen in bedrijfsvoering zaken in DOWR verband. Dit is een samenwerking op basis van gastheerschap. Het gastheerschap van I&A ligt bij de gemeenten Deventer. Het project bestaat uit het leveren van (een) oplossing(en) voor de uitvoeringsondersteuning van de processen in het sociaal domein. De opdracht is om de applicaties in scope te (her)contracteren (incl. realisatie van technische en functionele implementatie, training en nazorg) voor applicaties die voldoen aan het Programma van Eisen en Wensen. +
==Objectdefinitie==
Omvat een verzameling van definities, waarmee programmaonderdeel A kan communiceren met programmaonderdeel B.
==Objecttoelichting==
Een API is te beschouwen als een soort digitale stekkerdoos, die externe diensten of personen gecontroleerde toegang kan verschaffen tot interne diensten, algoritmes, apparaten en/of informatiebronnen.
De eigenschappen van een API maakt een algoritme, dienst, apparaat of data programmeerbaar en daarmee ook gevoelig voor aanvallen. De maatregelen hieronder zijn beperkt tot generieke eisen. Zie voor specifieke eisen over [[JSON|JavaScript Object Notation (JSON)]], [[XML|Extensible Markup Language (XML)]] of Graph Query Language (GraphQL) en de [[OWASP Application Security Verification Standard 4.0.2|Application Security Verification Standard (ASVS)]] van [[OWASP (Open Source Foundation for Application Security)|Open Source Foundation for Application Security (OWASP)]].
Bij cloud-toepassingen speelt de HyperText Markup Language (HTML)-5 ondersteuning van bepaalde browsers en de versie van die browser een belangrijke rol, onder andere voor de ondersteuning van bepaalde office-versies.
==Schaalgrootte==
Elke schaalgrootte.
==Voor wie==
Leverancier. +
Aquo Begrippen is één van de drie pijlers van de Aquo-standaard. Aquo Begrippen is een gegevenswoordenboek voor data met betrekking tot het waterbeheer in Nederland.
Fouten in gegevensuitwisseling treden vaak op door de vele verschillende betekenissen die termen kunnen hebben. Een gegevenswoordenboek voorkomt dit, omdat dit een verzameling is van termen, definities, relaties en contexten, die betekenis geven aan data binnen bijvoorbeeld een bepaald vakgebied, database of informatiesysteem. Dit heeft als doel een eenduidige terminologie vast te stellen en daarmee spraakverwarring tussen mensen en informatiesystemen te voorkomen. Aquo Begrippen bevat daarom eenduidige termen en definities van termen, die gebruikt worden binnen waterbeheer in Nederland. Deze eenduidigheid leidt tot een betere gegevensuitwisseling. +
Uitvoeringsregeling van de Archiefwet (meer gedetailleerde regels). +
Verdere detaillering van de Archiefwet m.n. voor duurzaamheid, ordening & toegang en archiefruimtes & bewaarplaatsen. +
De Archiefwet schrijft voor dat de overheid haar informatie op een goede manier bewaart. +
Architecten gezocht voor het uitwerken van implicaties bij (een deel van) de nieuwe NORA Architectuurprincipes +
Architecten gezocht voor het uitwerken van implicaties bij (een deel van) de nieuwe NORA Architectuurprincipes +
Een beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. +
Architectuur Board stelt doorontwikkeling in op drie katernen +
Architectuur Digitale Overheid 2030 vastgesteld +
Processchema met tussenliggende architectuurproducten en de flow daartussen +
Schema van relaties tussen views en viewspoints met hun omgeving +
Een normatieve uitspraak die richting geeft aan het in samenhang ontwerpen en realiseren van overheidsdiensten voor burgers en bedrijven. +
Normatieve en descriptieve documenten die huidige/toekomstige architectuur van een organisatie/domein schetsen. +
De Artificial Intelligence Act (Verordening Kunstmatige Intelligentie, AI Act, AIA) is een voorstel voor een Europese verordening van de Europese Commissie die tot doel heeft een gemeenschappelijk regelgevend en juridisch kader voor kunstmatige intelligentie in te voeren. +
Een eigenschap, kenmerk of kwaliteit van een natuurlijke of rechtspersoon of een entiteit, in elektronisch formaat. +
De mate waarin bij gegevensobjecten waarden aanwezig zijn voor een attribuut. +
Defensie zoekt een partner die ruime ervaring heeft met leveren, implementeren, beheren en onderhouden van audio en videoapparatuur bedoeld voor opname en terugkijken en –luisteren inclusief software. +
De RvA wil door het digitaliseren van zijn primaire proces 'Beoordelen en rapporteren auditbevindingen' zijn klanten (extern) en medewerkers (intern) beter en efficiënter bedienen. Hiertoe wordt
op de korte termijn een Audit-rapportagetool, een Normentool en bijbehorend Toegangsbeheer (Identity and Access management) ingericht. +
De voorbereiding en inrichting van de uitvoering moet aantoonbaar voldoen aan inhoudelijke en procedurele eisen. Dit geldt in het algemeen, onafhankelijk van of het om het beheer van gegevens, van processen of van regels gaat.
Bij regelbeheer bestaan de inhoudelijke controles uit review, verificatie en validatie; standaard-onderdelen van elk voortbrengingsproces voor regelbeheer.
In het voortbrengingsproces voor regelbeheer zijn de procedurele eisen aan regelbeheer neergelegd. Het gaat dan bijvoorbeeld om spelregels als: ‘Een regel moet gevalideerd zijn voordat deze in productie kan worden genomen’. Controleerbaar moet zijn of het voortbrengingsproces is ingericht conform deze procedurele eisen en of het proces juist is gevolgd. +
Het aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. +
==Objectdefinitie==
Betreft de controle of een gebruiker van een softwarepakket daadwerkelijk is wie hij beweert te zijn.
==Objecttoelichting==
Toegang tot softwarepakketten door gebruikers wordt gereguleerd door het toegangsmechanisme gebruikersidentificatie (zoals een gebruikersaccount) en authenticatie (zoals een wachtwoord). Het softwarepakket stelt specifieke eisen aan de authenticatie van gebruikers. Het authenticatiemechanisme moet voldoen aan vooraf vastgestelde beveiligingseisen. Voor het verlenen van toegang tot softwarepakketten ontvangen gebruikers authenticatie-informatie. De gebruikers behoren hier vertrouwelijk mee om te gaan.
NB Dit object en de set van maatregelen is voor softwarepakketten relevant als de onderliggende infrastructuur geen toereikende set van maatregelen bevat, waarmee aan de control kan worden voldaan.
==Schaalgrootte==
Elke schaalgrootte.
==Voor wie==
Leverancier. +
Partij die op basis van een identificatiemiddel een authenticatieverklaring afgeeft. +
Een factor waarvan is bevestigd dat deze gebonden is aan een bepaalde persoon en die onder een van de drie volgende categorieën valt:
# Op bezit gebaseerde authenticatiefactor: een authenticatiefactor waarvan de betrokkene moet aantonen dat deze in zijn bezit is.
# Op kennis gebaseerde authenticatiefactor: een authenticatiefactor waarvan de betrokkene moet aantonen dat hij ervan kennis draagt.
# Inherente authenticatiefactor: een authenticatiefactor die op een fysiek kenmerk van een natuurlijke persoon is gebaseerd en waarbij de betrokkene moet aantonen dat hij dat fysieke kenmerk bezit. +
Authenticatie namens een persoon zonder diens toestemming. +
Het middel waarmee een persoon zijn of haar identiteit kan aantonen c.q. laten verifiëren. +
Een Verklaring waaruit het bestaan en de juistheid kan worden opgemaakt van een authenticatie die heeft plaatsgevonden in de context van een bepaalde handeling of dienst. +
==Beschrijving==
Het ervoor kunnen zorgen dat personen hun digitale identificatiemiddelen kunnen gebruiken om hun identiteit digitaal op een passend betrouwbaarheidsniveau aan te tonen.
==Voorbeelden==
Voorbeelden van bestaande oplossingen voor authenticatie zijn de authenticatievoorzieningen van DigiD, eHerkenning, iDIN, en de UZI-pas.
==Rationale==
De overheid moet voorwaarden scheppen zodat burgers en bedrijven veilig, persoonlijk en gebruiksvriendelijk digitale diensten af kunnen nemen. Een noodzakelijke voorwaarde daarvoor is zorgen dat ze hun digitale identificatiemiddelen kunnen gebruiken om toegang te krijgen tot publieke diensten en ook tot diensten buiten het publieke domein.
Verdere rationale voor deze generieke functie is te vinden in:
* Wettelijk kaders A, B, C, D, E, G, H, K, L, M (paragraaf 4.1)
* Beleidskader N (paragraaf 4.2)
Maatschappelijke en technische ontwikkelingen die van invloed zijn op deze generieke functie zijn: O, P, Q, R, S, T, U (paragraaf 4.3).
==Implicaties==
<ol style="list-style-type:lower-alpha">
<li>De dienstverlener moet de handelend persoon in staat stellen zijn toegelaten identificatiemiddelen te gebruiken en moet deze ook accepteren.</li>
<li>De dienstverlener moet in staat worden gesteld om het identificatiemiddel te (laten) verifiëren. Deze verificatie kent de volgende stappen: verificatie van de echtheid van het middel, de geldigheid van het middel, het betrouwbaarheidsniveau van het middel en de identiteit van de gebruiker. Dit zijn generiek ook de stappen die bij cryptografie gedaan worden.</li>
<li>Dienstverleners moeten het voor hun dienstverlening benodigde betrouwbaarheidsniveau van authenticatie vaststellen en aangeven/toepassen bij het verlenen van toegang. </li>
<li>Authenticatie gaat gepaard met identificatie; er moeten duidelijke afspraken komen welke gegevens -- onder voorwaarden -- voor identificatie beschikbaar (kunnen) worden gesteld bij een authenticatie.</li>
<li>Authenticatie dient als basis geschikt te zijn en gebruikt te worden voor de overige beoordelingen bij het verlenen van toegang, zoals het beoordelen van de bevoegdheden van de handelend persoon.</li>
</ol>
==Documentatie==
* [[Bestand:GA Identificatie en authenticatie.pdf|GA Identificatie en authenticatie]]
==Kaders==
Deze kaders zijn bepalend voor Identificatie en authenticatie.
* [[Algemene_Wet_Bestuursrecht|Algemene wet bestuursrecht]]
* [[EIDAS_verordening|eIDAS-verordening]]
* [[Wet_Digitale_Overheid|Wet digitale overheid]]
* [[AVG_(Algemene_Verordening_Gegevensbescherming)|Algemene verordening gegevensbescherming]]
''(Bovenstaande opsomming is een beperkte selectie uit de kaders genoemd in het document)''
==Toelichting relaties==
De bestaande GDI-voorzieningen die hieronder zijn opgenomen onder ‘Gerealiseerd door' realiseren delen van de generieke functies van het GA-domein. Deze bestaande voorzieningen kunnen afwijken van de keuzes die voor het GA-domein zijn gemaakt.
Een kwaliteitsattribuut van een informatieobject. Het toont aan dat het informatieobject is wat het beweert te zijn, dat het is gemaakt of verzonden door de persoon of organisatie die beweert het te hebben gemaakt of verzonden en dat het is gemaakt en verzonden op het tijdstip als aangegeven bij het informatieobject. +
De mate waarin de identiteit van de bron van de gegevens aantoonbaar is. +
In een basisregistratie opgenomen gegeven dat bij wettelijk voorschrift als authentiek is aangemerkt +
Een register of systeem, onder de verantwoordelijkheid van een publiekrechtelijk orgaan of particuliere entiteit, dat attributen omtrent een natuurlijke of rechtspersoon bevat en als de primaire bron van die informatie wordt beschouwd of krachtens nationaal recht als authentiek wordt erkend. +
In het BRM-referentieproces is veel nadruk gelegd op borging van de interpretatie wet- en regelgeving conform deze wet- en regelgeving . Hiervoor zijn processtappen, overdrachtsmomenten, reviews, verificaties en validaties van alle bedrijfsregels nodig. Een zwaar proces, met als doel om bedrijfsregels de status van authentieke interpretatie te verschaffen. Uit deze status vloeit voort dat geen andere analyses en interpretaties van wet- en regelgeving nodig of wenselijk zijn.
In het model van de arm en [[Leidraad Regelbeheer Van wet naar loket#De_hand_met_de_vijf_vingers|de hand met de vijf vingers]] komt dit uitgangspunt terug: Acties van de hand zijn gebaseerd op de arm waarmee bedrijfsregels en gegevensdefinities met authentieke interpretatie ten uitvoer worden gebracht. +, In het BRM-referentieproces is veel nadruk gelegd op borging van de interpretatie wet- en regelgeving conform deze wet- en regelgeving. Hiervoor zijn processtappen, overdrachtsmomenten, reviews, verificaties en validaties van alle bedrijfsregels nodig. Een zwaar proces, met als doel om bedrijfsregels de status van authentieke interpretatie te verschaffen. Uit deze status vloeit voort dat geen andere analyses en interpretaties van wet- en regelgeving nodig of wenselijk zijn.
In het model van de arm en [[Leidraad Regelbeheer Van wet naar loket#De hand met de vijf vingers|de hand met de vijf vingers]] komt dit uitgangspunt terug: Acties van de hand zijn gebaseerd op de arm waarmee bedrijfsregels en gegevensdefinities met authentieke interpretatie ten uitvoer worden gebracht. +
Het proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen +
==Objectdefinitie==
Betreft het proces voor het toekennen van rechten aan gebruikers.
==Objecttoelichting==
Gekozen is voor het object ‘Autorisatie’, omdat dit object beter aansluit op de toegangsmechanismen (identificatie, authenticatie en autorisatie) dan de BIO-titel ‘Beperking toegang tot informatie’.
Na het identificatie- en authenticatieproces krijgen gebruikers en beheerders (verdere) specifieke toegang tot informatiesystemen voor gebruik respectievelijk beheerdoeleinden. Toegangsbeperking wordt gecreëerd met rollen en toegangsprofielen die voortkomen uit het toegangsbeleid. +
==Objectdefinitie==
Betreft een instandhoudingsproces voor de toegangsverlening tot softwarepakketten.
==Objecttoelichting==
De toegang tot gebruikersfunctionaliteiten worden georganiseerd met autorisatiebeheer en de toewijzing van een gebruikersaccount. Het softwarepakket moet technische invoermogelijkheden bieden om via gebruikersrechten de toegang tot functionaliteiten te kunnen organiseren. Dit houdt in dat toegangsrechten tot functionaliteiten met gebruikersprofielen vanuit autorisatiebeheer toegekend dan wel ingetrokken kunnen worden.
==Schaalgrootte==
Groot.
==Voor wie==
Klant en leverancier. +
==Objectdefinitie==
Betreft een vastgelegde manier van handelen voor het toekennen van toegangsrechten.
==Objecttoelichting==
De [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]-control 9.2.6 ‘Toegangsrechten intrekken of aanpassen’ stelt eisen aan een autorisatieproces, dat bestaat uit enkele sub-processen zoals: toekennen (of verlenen), verwerken, intrekken, blokkeren, archiveren en controleren. Dit autorisatieproces zorgt ervoor dat autorisaties gestructureerd plaatsvinden. Deze sub-processen zijn gerelateerd aan de fasen: instroom, doorstroom en uitstroom en worden verder beschreven in [[BIO Thema Toegangsbeveiliging/Een scenario voor Toegangsbeveiliging|Een scenario voor Toegangsbeveiliging]]. +
Autorisatieproces onwerkbaar, hoge beheerlast en complexiteit door te hoge granulariteit. +
==Objectdefinitie==
Omvat de aanpak en de middelen om gebruikers fysieke en logische toegang te kunnen verlenen.
==Objecttoelichting==
Om autorisatiebeheer efficiënt en effectief te kunnen inrichten, zijn technische autorisatievoorzieningen, zoals een personeelsregistratiesysteem, een autorisatiebeheersysteem en autorisatiefaciliteiten noodzakelijk. +
B
Authentieke bron voor basisgegevens van adressen en gebouwen in Nederland. +
BAG Compact is een XML-bestand met alle BAG-adressen op basis van een vaste peildatum van heel Nederland. Behalve adressen bevat het bestand ook adresgerelateerde elementen uit de LV BAG.
[http://www.kadaster.nl/web/Themas/Registraties/BAG/BAG-product/BAG-Compact.htm BAG Compact] op website Kadaster. +
Abonnementenservice om realtime een bericht te ontvangen bij een wijziging in de LV BAG.
[http://www.kadaster.nl/web/Themas/Registraties/BAG/BAG-product/BAG-Digilevering.htm BAG Digilevering] op website Kadaster. +
Levering van een totaalstand van alle BAG-gegevens voor het gevraagde gebied (volledige levenscyclus of op peildatum). Mogelijk om te selecteren op gemeente, meerder gemeenten of geheel Nederland.
Een bestand van heel Nederland is permanent beschikbaar met een vertraging van maximaal één maand.
Bij een abonnement bestaan twee varianten: óf periodieke (maandelijks/dagelijks) levering van de wijzigingen ten opzichte van de voorgaande levering óf maandelijks een levering van de een totaalstand.
[http://www.kadaster.nl/web/Themas/Registraties/BAG/BAG-product/BAG-Extract.htm BAG Extract] op website Kadaster. +
Bij een abonnement bestaan twee varianten: óf periodieke (maandelijks/dagelijks) levering van de wijzigingen ten opzichte van de voorgaande levering óf maandelijks een levering van de totaalstand. +
Biedt BAG gegevens van een in de vraag gespecificeerde geografische contour, hetzij als ‘plaatje’ (WMS) hetzij als data, welke door de afnemer gevisualiseerd, opgeslagen en bewerkt kunnen worden. De WFS service is vooralsnog gemaximeerd op 15000 objecten.
*[https://www.pdok.nl/nl/service/wms-bag BAG WMS] op website PDOK.
*[https://www.pdok.nl/nl/service/wfs-bag BAG WFS] op website PDOK +
Webservice voor het geautomatiseerd bevragen van de LV-BAG met behulp van software van de afnemer.
BAG Bevragen kan de volledige levenscyclus van een object opvragen.
[http://www.kadaster.nl/web/Themas/Registraties/BAG/BAG-product/BAG-Bevragen.htm BAG bevragen] op website Kadaster. +
Website waar een BAG-kaart getoond wordt. Klikken op panden toont de onderliggende pand- en verblijfsobjectgegevens. Viewer toont actuele en historische gegevens.
[https://bagviewer.kadaster.nl/lvbag/bag-viewer/index.html BAG viewer op website Kadaster]. +
Authentieke bron voor geo-informatie in Nederland: een uniform topografisch basisbestand met objecten (dingen die in het terrein fysiek aanwezig zijn) in heel Nederland, op een schaal van 1:500 tot 1:5.000. +
De BGT vormt de kern (verplichtende deel) van het informatiemodel geografie (IMGeo). De verdiepingsslag van de BGT die in IMGeo is vastgelegd als het optionele deel, is bedoeld voor het opslaan en uitwisselen van beheer- en plustopografie. IMGeo zorgt ervoor dat wie de optionele informatie wil beheren en/of uitwisselen, dit volgens een landelijke standaard kan doen. IMGeo biedt ook voor 3D uitwisseling van grootschalige topografie een optionele standaard en baseert zich hiervoor op de internationale standaard CityGML. +
Gemeenschappelijk normenkader en verplichte maatregelen voor de beveiliging van de informatie(systemen) van de overheid. +
Objecten voor applicatieontwikkeling worden gerelateerd aan de ontwikkelfasen en geïdentificeerd met onderzoeksvragen en risicogebieden. De objecten zijn afgeleid vanuit de optiek van de kwaliteitscriteria: Beschikbaarheid, Integriteit, Vertrouwelijkheid en Controleerbaarheid (BIVC), die vervolgens zijn ingedeeld in het beleids-, uitvoerings- en control-domein.
De vragen die hierbij een rol spelen, zijn:
# Welke randvoorwaardelijke elementen spelen vanuit de optiek van BIVC een rol bij applicatieontwikkeling en wat is de consequentie bij afwezigheid hiervan?
# Welke elementen spelen vanuit de optiek van BIVC een rol bij applicatieontwikkeling en wat is de consequentie bij afwezigheid hiervan?
# Welke elementen spelen vanuit de optiek van BIVC een rol bij de beheersing van applicatieontwikkeling en wat is de consequentie bij afwezigheid hiervan?
==Organisatie van applicatieontwikkelingsobjecten==
Zoals in [[BIO Thema Applicatieontwikkeling/Inleiding#Ontwikkelcyclus van applicatieontwikkeling|Ontwikkelcyclus van applicatieontwikkeling]] is aangegeven, worden de geïdentificeerde applicatieontwikkelingsobjecten met het beleids-, uitvoerings- en control-domein georganiseerd. Hiermee worden deze aspecten in de juiste contextuele samenhang gepositioneerd. De betekenis die aan elk domein wordt toegekend, zijn:
*Beleid, Binnen dit domein bevinden zich conditionele elementen over de applicatieontwikkeling. Hier zijn eisen opgenomen over ‘geboden’ en ‘verboden’, zoals het applicatiebeveiligingsbeleid, de te hanteren wet- en regelgeving en andere vormen van reguleringen en beperkingen.
*Uitvoering, Binnen dit domein bevinden zich:
**elementen die gerelateerd zijn aan operationele activiteiten over het ontwikkelen van applicaties;
**elementen die aangeven hoe deze activiteiten georganiseerd moeten zijn;
**elementen die gerelateerd zijn aan beveiligingsaspecten die bij de activiteiten in acht moeten worden genomen.
*Control, Binnen dit domein bevinden zich elementen die zorgdragen voor de beheersing van het ontwikkelproces en/of het in standhouden van activiteiten die wel naar wens verlopen.
==Observatie bij objectidentificatie==
Er is gebleken dat bij het identificeren van objecten uit de [[BIO (Baseline Informatiebeveiliging Overheid)|BIO (Baseline Informatiebeveiliging Overheid)]] en de [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002]] weinig controls te vinden zijn die direct gerelateerd zijn aan de ontwikkelfases: analyseren, specificeren, ontwerpen en ontwikkelen. Dit komt doordat binnen deze ISO-standaard niet is uitgegaan van de ontwikkelfasen van systeemontwikkeling en wellicht ook doordat de activiteiten binnen deze fasen gerelateerd zijn aan specifieke methoden en/of programmeertalen. In de ISO 27002 zijn wel beveiligingscontrols en bijbehorende maatregelen aangetroffen die indirect te maken hebben met de ontwikkelfasen.
==Objecten geprojecteerd op domein en gesorteerd naar invalshoek==
[[BIO Thema Applicatieontwikkeling/Geïdentificeerde objecten ingedeeld naar IFGS|De pagina Objecten ingedeeld naar invalshoeken]] geeft een overzicht van de applicatieontwikkelingsobjecten die in het [[ISOR:BIO Thema Applicatieontwikkeling Beleid|Beleidsdomein]], [[ISOR:BIO Thema Applicatieontwikkeling Uitvoering|Uitvoeringsdomein]] en [[ISOR:BIO Thema Applicatieontwikkeling Control|Control-domein]] zijn uitgewerkt. Vanuit een baseline-gebaseerde benadering is een lijst gemaakt van relevante objecten uit verschillende baselines. Los van de baselines zijn enkele objecten als relevant voor dit thema aangegeven. Ervan bewust zijnde dat deze zogenaamde baseline-gebaseerde benadering tot selectie van objecten leidt die niet allemaal in de huidig wereld van systeemontwikkelingsaanpak thuishoren. Er is gekozen om een baseline-benadering toe te passen om zo de overgang naar de Agile-benadering beter te kunnen maken.
Uit de inhoudelijke bestudering van de objecten vanuit de baseline-gebaseerde benadering komt naar voren dat er doublures in de objecten zijn. Met andere woorden het aantreffen van twee verschillende objecten die dezelfde inhoud kennen. Sommige objecten zijn vooralsnog bewust achterwege gelaten vanwege het geringe belang van deze objecten in relatie tot de totale scope.
Opgemerkt wordt dat er verschillende termen gehanteerd worden voor hetzelfde, zoals: informatiesysteem, applicatie, systeem en toepassing. Voor de consistentie is gekozen om de term ‘systeem’ in de betiteling van de betreffende controls (dus de objecten) aan te passen naar applicatieontwikkeling.
Het belang en de risico’s die de organisatie aan het bedrijfs- of beheerproces stelt, bepalen inherent de eisen die gesteld moeten worden aan de applicatie(s) die het betreffende proces ondersteunen. De risicobeoordeling van de functionaliteit, gevoeligheid van de gegevens, belang van de applicatie voor de organisatie bepalen of en welke normen van toepassing zijn.
==Context applicatieontwikkeling==
Alle [[BIO Thema Applicatieontwikkeling|pagina's van applicatieontwikkeling]] bevatten de uitwerking van de BIO Thema-uitwerking Applicatieontwikkeling. Een applicatie kan worden verworven door interne ontwikkeling, uitbesteding of inkoop van een commercieel product. Dit kan ook door een combinatie van interne ontwikkeling en uitbesteding (zie onderstaande afbeelding). Hierbij kan het voortraject (het specificeren) door de klant zelf worden verricht, terwijl het technische deel (het ontwikkelen) door de externe partij wordt uitgevoerd. Hierbij zullen extra afspraken over de beveiligingsaspecten gemaakt moeten worden.
[[Afbeelding:Thema Applicatieontwikkeling - Overzicht van type applicaties.png|thumb|none|500px|Overzicht typen applicaties|alt=”Overzicht van typen applicaties”]]
Gedurende de ontwikkelcyclus van de applicatie moet voldaan worden aan functionele en beveiligingseisen. Ook moeten bij de ontwikkeling het informatiebeveiligingsbeleid, wet- en regelgeving (onder andere de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] en de [[AVG (Algemene Verordening Gegevensbescherming)|Algemene Verordening Gegevensbescherming (AVG))]] en eisen van de technische omgeving worden betrokken.
In deze BIO Thema-uitwerking zullen de beveiligingseisen voor applicatieontwikkeling worden samengesteld. Het uitgangspunt hierbij is de noodzakelijke beveiligingseisen, in de vorm van controls en onderliggende maatregelen uit de BIO en [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|NEN-EN-ISO/IEC 27002:2017 (in deze thema-uitwerking genoemd ISO 27002)]], in een samenhangende context te plaatsen en waar nodig deze aan te vullen met controls uit andere ISO-standaarden, [[NIST (National Institute of Standards and Technology)|National Institute of Standards and Technology (NIST)]] en de [[The Standard of Good Practice for Information Security 2018|The Standard of Good Practice (SoGP) 2018]] e.d.
Eerst wordt een algemene ontwikkelcyclus beschreven om een beter beeld te krijgen over de te hanteren fases voordat de controls die gerelateerd zijn aan objecten worden geïdentificeerd. Deze exercitie is ook zinvol om geïdentificeerde objecten uit de BIO en overige best practices beter contextueel in samenhang te plaatsen. De beschrijving van de fases vindt plaats in [[BIO Thema Applicatieontwikkeling/Inleiding#Ontwikkelcyclus van applicatieontwikkeling|Ontwikkelcyclus van applicatieontwikkeling]].
==Doel applicatieontwikkeling==
Deze BIO Thema-uitwerking is opgesteld voor de interne en externe leverancier als instrument gericht op de implementatie van applicaties in de technische omgeving van de leverancier of van de klant zelf.
De thema-uitwerking geeft hiermee inzicht in de kwaliteitszorg die de leverancier dient toe te passen en wat de klant kan verwachten bij het opleveren van nieuwe software. Het geeft tegelijkertijd de verplichte activiteiten weer van de klant. Hiernaast kan het als instrument dienen voor het geven van inzicht in het beveiligings- en beheersingsniveau van de ontwikkel- en onderhoudsorganisatie van de leverancier.
==Scope en begrenzing applicatieontwikkeling==
In deze BIO Thema-uitwerking wordt voornamelijk gericht op conditionele beveiligings- en beheersingsaspecten die gerelateerd zijn aan het ontwikkelen van applicaties. Geen aandacht wordt besteed aan:
* de activiteiten die gerelateerd zijn aan onderhoud van applicaties, webapplicaties en Enterprise Resource Planning (ERP)-pakketten (zie onderstaande afbeelding);
* de typen gebruikers en bedrijfseisen omdat deze eisen organisatieafhankelijk zijn;
* de toegangsbeveiligingsaspecten omdat deze aspecten in het thema ‘Toegangsbeveiliging’ geadresseerd zijn.
De begrenzing van deze BIO Thema-uitwerking is in onderstaande afbeelding weergegeven.
[[Bestand:APO Relatie BIO Thema-uitwerking Applicatieontwikkeling met aanpalende documenten.png|thumb|none|500px|Relatie BIO Thema-uitwerking Applicatieontwikkeling met aanpalende documenten|alt=”Overzicht van type applicaties”]]
==Ontwikkelcyclus applicatieontwikkeling==
Een applicatie (software) wordt ontwikkeld om een (bedrijfs)proces effectief te ondersteunen. Hiervoor dient eerst een contextanalyse te worden gemaakt om de juiste functionele vereisten te identificeren. De applicatie moet voldoen aan de behoeften van gebruikers en stakeholders in de vorm van wet- en regelgeving, eisen en requirements, of te wel een programma van eisen (PvE). Het PvE wordt ontwikkeld in samenwerking met informatieanalisten, softwareontwikkelaars en -gebruikers.
De kwaliteit (succes) van een applicatie wordt onder andere bepaald door:
* hoe goed het PvE de gebruikerseisen en -wensen weerspiegelt;
* hoe goed de gebruikerseisen en -wensen de reële situatie (daadwerkelijke noodzakelijkheden) weerspiegelt;
* hoe goed de applicatie het vastgestelde PvE weerspiegelt.
Slechte kwaliteit van het PvE wordt onder andere veroorzaakt door onjuistheden, verkeerde aannames, inconsistenties, taalgebruik en ontoereikendheid. Bij applicatieontwikkeling is een goede inrichting van projectmanagement en de te hanteren systeem-ontwikkelmethode (System Development Life Cycle) essentieel.
Het applicatieontwikkelingsproces wordt verdeeld in activiteiten die niet noodzakelijk als sequentiële stappen doorlopen worden<sup class="reference smartref" id="cite_ref-Applicatieontwikkelingsstappen_1-0">[[BIO Thema Applicatieontwikkeling/Inleiding#cite_note-Applicatieontwikkelingsstappen-1|1]]</sup> (zie ook [[BIO Thema Applicatieontwikkeling/Inleiding#Ontwikkelmethoden|Ontwikkelmethoden]]). De onderkende activiteiten zijn: analyseren, specificeren, ontwerpen, ontwikkelen, valideren, gebruiken en beheren. Onderstaande afbeelding geeft een schematische weergave van een ontwikkelproces in de vorm van het V-model. De activiteiten uit dit model worden in de volgende paragrafen toegelicht. Ze verschaffen mogelijkheden om de geïdentificeerde operationele objecten uit de BIO en overige best practices te rubriceren.
[[Afbeelding:Thema Applicatieontwikkeling - De ontwikkelactiviteiten van software en indeling van essentiële elementen in drie domeinen.png|thumb|none|500px|Software-ontwikkelactiviteiten en indeling essentiële elementen in domeinen|alt=”De ontwikkelactiviteiten van software en indeling van essentiële elementen in drie domeinen”]]
Hiernaast spelen ook essentiële randvoorwaardelijke en beheersingselementen een rol bij ontwikkel- en onderhoudsactiviteiten. De randvoorwaardelijke, operationele en beheersingselementen voor applicatieontwikkeling zijn daarom ingedeeld in het beleids-, uitvoerings- en control-domein. Ook deze indeling wordt in bovenstaande afbeelding weergegeven.
===Perspectieven===
De linkerkant van het bovenstaande V-model beschrijft het ontwikkelperspectief en de rechterkant het gebruikersperspectief. Als applicatieontwikkeling plaatsvindt bij een externe organisatie of een aparte businessunit zijn deze op perspectieven gescheiden. Afhankelijk van de afspraken tussen de klant en leverancier wordt bij uitbesteding de rechterkant aangeduid als het leveranciersperspectief en de linkerkant als het klantperspectief. Hierover maken de klant en leverancier heldere afspraken. De afspraken zijn gericht op:
* het uitwisselen van kennis, specifiek over de overdracht van proceskennis van de (gebruiks)organisatie naar de ontwikkelorganisatie;
* het tijdens het ontwikkelproces niet verstoren van het primaire proces;
* het toezien op de bescherming van intellectuele eigendommen en van gevoelige informatie.
De verantwoordelijken binnen het ontwikkelproces moeten verantwoording kunnen afleggen over de kwaliteit van het geleverde product. Om een goede beheersing te waarborgen, is het vanuit best practices noodzakelijk de verschillende fases van de levenscyclus te isoleren in een eigen omgeving zodat gegarandeerd kan worden dat het primaire proces niet wordt verstoord. Daarbij vindt een expliciete afsluiting van een fase plaats zodat een gecontroleerde overgang mogelijk wordt. Dit concept wordt een OTAP-straat genoemd. OTAP staat voor Ontwikkel, Test, Acceptatie en Productie.
===Analyseren===
In deze fase wordt de context van het bedrijfsproces, dat door de te ontwikkelen applicatie ondersteund moet worden, geanalyseerd. Hierbij worden de noodzakelijke requirements, waaronder de bedrijfsfuncties, gegevens en veranderwensen vanuit de bedrijfsprocessen geïdentificeerd en vastgelegd. De focus ligt op de ‘waarom’-aspecten. Onder andere de volgende activiteiten worden uitgevoerd:
* onderzoeken en brainstormen over de te ontwikkelen software om duidelijkheid te krijgen wat het doel is van de software;
* analyseren van eisen en wensen van gebruikers, beheerders en partners over functionele en niet-functionele aspecten.
===Specificeren===
Deze activiteit richt zich op de ‘wat’-aspecten. De business-, gebruikers-, stakeholders- (non)functionele en data-requirements worden gespecificeerd. Ook worden de noodzakelijke business rules en de noodzakelijke beperkingen in de vorm van constraints vastgelegd in een functioneel ontwerp.
===Ontwerpen===
Bij deze activiteit vindt de tijdens in de eerdere fase gedetailleerde en vastgestelde uitwerking van informatie en modellen plaats. Deze fase richt zich op de relaties en afhankelijkheden tussen de te bouwen componenten. Hierbij worden de bedrijfs- en procesvereisten gemodelleerd in een ontwerp (architectuur) voor het te bouwen informatie(deel)systeem. Aandacht dient besteed te worden aan de kwaliteitseisen gerelateerd aan gebruikers, functionaliteit en beveiliging.
===Ontwikkelen (implementeren)===
In deze fase worden de softwarecomponenten geconstrueerd (gecodeerd). De relaties en afhankelijkheden van de te automatiseren processen en modules worden vastgelegd in een software-architectuur. Uiteindelijk zullen de programma’s geschreven worden met deze (applicatie-/software-)architectuur. Hierbij moet ook rekening worden gehouden met enkele ontwikkeleisen, zoals:
* Reproduceerbaarheid van code
* Effectieve testbaarheid
* Toepassing van externe programmabibliotheek
* Toepassing van tools en gebruik van licenties
* Toepassing van gestandaardiseerde vocabulaire (zie de [[NEN-ISO/IEC 25010:2011 (Systems and software Quality Requirements and Evaluation (SQuaRE) - System and software quality models)|NEN-ISO/IEC 25010 Systems and software Quality Requirements and Evaluation (SQuaRE) - System and software quality models)]]
* Inzicht in relaties en afhankelijkheden tussen software-objecten
* Software-features (eisen: interfaces, koppelingen en Application Programming Interfaces (API’s))
* Richten op aantoonbaar veilig programmeren
===Valideren===
In deze fase worden de ontwikkelde modules/programma’s getest en uiteindelijk geaccepteerd. Gecontroleerd wordt of de software volgens de ontwerprichtlijnen is gebouwd. Ook kunnen fouten, gemaakt in eerdere stadia, boven water komen. Er wordt aandacht besteed aan eisen, zoals:
* De applicatie biedt slechts die functionaliteit die in de specificaties/het ontwerp zijn opgenomen (anders gezegd, geen functionaliteit buiten de specificaties/het ontwerp).
* Er is conformiteit aan de gespecificeerde functionaliteit (gebruikers)/het ontwerp (security by design) en de AVG).
===Gebruiken===
Als de software voltooid en getest is, zal het in gebruik worden genomen volgens een standaardprocedure van de OTAP-straat.
===Onderhouden en beheren===
Tenslotte wordt de software periodiek onderhouden en (weer) in beheer genomen. Nieuwe functionele eisen zijn uitgewerkt en/of voorkomende fouten worden hersteld.
==Ontwikkelmethoden==
Er zijn verschillende modellen voor het ontwikkelen van applicaties, zoals de:
* Lineaire methode, Het meest bekende voorbeeld is de Watervalmethode (zie [[BIO Thema Applicatieontwikkeling/Inleiding#Ontwikkelcyclus van applicatieontwikkeling|Ontwikkelcyclus van applicatieontwikkeling]]). In deze ontwikkelmethode wordt het eindproduct (software-product) in een aantal fases opgeleverd. In elke fase wordt een concreet gedefinieerd deelproduct uitgevoerd. De requirements zijn duidelijk en vooraf vastgelegd. Kennisoverdracht en monitoring vinden plaats met specifieke documenten en formats.
* Iteratieve methode, De iteratieve ontwikkeling is een methode waarbij het eindproduct niet in één keer wordt opgeleverd, maar gefaseerd tot stand komt, waarbij fases herhaaldelijk worden doorlopen. Na elke zogenaamde iteratie wordt het proces geëvalueerd en zo nodig aangepast. In de praktijk worden de iteratieve en lineaire ontwikkelmethode met elkaar gecombineerd.
* Agile-methode, De Agile-methode wordt gekenmerkt door korte, in tijd gelimiteerde sprints. De inhoud van een sprint wordt bij de start ervan bepaald. De gevolgde werkwijze kan (dagelijks) worden aangepast al naar gelang de wensen van de zelfsturende teams. Er wordt gebruik gemaakt van een geordende lijst van productfeatures die gedurende het gehele project wordt bijgewerkt op basis van de behoefte van de klant. Daarmee worden in feite de productspecificaties opgebouwd. De nadruk ligt op samenwerking en mondelinge kennisoverdracht. De prioriteit ligt bij het opleveren van sprints en producten met de op dat moment hoogste toegevoegde waarde. De sprints worden gedaan door zelfsturende teams met multidisciplinaire teamleden en zonder vastgelegde taken, rollen en verantwoordelijkheden. Onderstaande afbeelding geeft een schematische weergave van een iteratie/Agile-ontwikkelproces met het V-model.
[[Afbeelding:Thema Applicatieontwikkeling - Schematische weergave van een iteratie agile ontwikkelproces in de vorm van het V-Model.png|none|thumb|500px|Schematische weergave iteratie/Agile-ontwikkelproces met het V-model|alt=”Schematische weergave van een iteratie/Agile ontwikkelproces in de vorm van het V-model”]]
==Applicatieobjecten in relatie tot ontwikkelmethode==
Bij de selectie van applicatieobjecten uit de BIO en overige best practices is in eerste instantie uitgegaan van de lineaire/iteratieve aanpak van applicatieontwikkeling. Na de totstandkoming van dit thema kan met de definitieve versie een versie worden gemaakt die gerelateerd is aan applicatieonderhoud en een versie die gerelateerd is aan de Agile-methode. Dit zullen aparte documenten zijn die overeenkomsten zullen hebben met dit document, maar vanuit de optiek van onderhoud of Agile-aanpak kunnen objecten aangepast en/of toegevoegd worden.
In de onderstaande afbeelding zijn de invalshoeken: intentie, functie, gedrag en structuur gekoppeld aan het V-model.
[[Afbeelding:Thema Applicatieontwikkeling - IFGS gekoppeld aan het V-model.png|thumb|600px|none|Invalshoeken gekoppeld aan het V-model|alt=”IFGS gekoppeld aan het V-model”]]
: → [[ISOR:BIO Thema Applicatieontwikkeling Uitvoering|Ga terug naar Applicatieontwikkeling Uitvoering]] +
Onderstaande afbeelding geeft een overzicht van ingedeelde objecten naar de invalshoeken.
[[Afbeelding:Thema Applicatieontwikkeling - Geïdentificeerde objecten ingedeeld naar IFGS.png|thumb|650px|none|Applicatieontwikkelingsobjecten ingedeeld naar invalshoeken|alt=”Geïdentificeerde objecten ingedeeld naar IFGS”]]
: → [[BIO Thema Applicatieontwikkeling/Identificatie applicatieontwikkeling objecten|Ga terug naar Beveiligingsobjecten applicatieontwikkeling]] +
De Beslisboom in afbeelding 'Beslisboom voor risicobeoordeling' ondersteunt stakeholders voor cloud-services bij het nemen van verantwoorde beslissingen voor het onderbrengen van gegevens en/of bedrijfsprocessen in de publieke cloud, private cloud, als uitbestede IT of in het eigen rekencentrum ‘on premise’. De beslisboom is uitgewerkt in relatie tot de risicoafweging.
[[Afbeelding:BIO Thema Clouddiensten - Procesflow voor de risicoanalyse.png|thumb|none|500px|Beslisboom voor risicobeoordeling|alt=”Beslisboom voor risicobeoordeling”]]
Belangrijk daarbij is om de context van de overheid in de overweging mee te nemen. Overheden worden geacht om verantwoord om te gaan met gevoelige gegevens van burgers en bedrijven, maar ook met gegevens van eigen medewerkers. Zie voor de vraag die in stap 1 gesteld wordt over gegevens [[BIO Thema Clouddiensten/Standpunt AIVD en beleidsverkenning BZK]].
De beslisboom wordt gebruikt als zelf-assessment en toetst achtereenvolgens op:
# Afhankelijkheid en kwetsbaarheid, Gaat het om een primair bedrijfsproces met gevoelige gegevens van burgers en/of bedrijven, waarbij (bijzondere) persoonsgegevens vanwege de [[AVG (Algemene Verordening Gegevensbescherming)|Algemene Verordening Gegevensbescherming (AVG)]] extra zwaar wegen, zeker als het de persoonlijke veiligheid/privacy van eigen medewerkers betreft?
# Te Beschermen Belangen, Gaat het om zogenaamde cruciale belangen die van primair belang zijn voor het voortbestaan van de organisatie, waarbij het vertrouwen van de burger en het bedrijf in de betrouwbare overheid op het spel komt te staan indien die bescherming onvoldoende geborgd is?
# Betrouwbaarheid van producten en diensten, De betrouwbaarheid van de levering van producten en diensten is essentieel voor de organisatie. De Cloud Service Provider (CSP) vervuld daarin als belangrijkste actor een cruciale rol. Daarom is een passende dienstverlening nodig, waarbij het karakter van de te verwerken gegevens/processen daarvoor geschikt moet zijn.
Afhankelijk van de situationele context, zal het tevens gaan om bedrijfsgegevens die vallen in één van de hieronder geschetste domeinen uit afbeelding 'Schematische weergave soorten gegevens' en die de daarbij behorende passende maatregelen vergen.
[[Afbeelding:BIO Thema Clouddiensten - Situationele context van gegevens.png|thumb|none|500px|Schematische weergave soorten gegevens|alt=”Situationele context van gegevens”]]
'''Afhankelijkheid en kwetsbaarheid'''
Vraag 1: Gaat het om persoonsgegevens en/of (zeer) vertrouwelijke bedrijfsgegevens?
NB Onder persoonsgegevens verstaat de AVG alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’), die direct of indirect kan worden geïdentificeerd. Bijvoorbeeld aan de hand van naam, identificatienummer (BSN), locatiegegevens of via elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.
* Direct identificeerbaar: Gegevens die naar hun aard rechtstreeks betrekking hebben op een persoon, zoals iemands naam.
* Indirect identificeerbaar: Gegevens die naar hun aard mede bepalend zijn voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld.
Voorbeelden van indirect zijn het type huis of auto van een betrokkene, omdat dit iets zegt over het inkomen en vermogen van de betrokkene. Ook gegevens die in combinatie met andere gegevens tot identificeerbaarheid kunnen leiden worden aangemerkt als persoonsgegeven.
NB Vertrouwelijke bedrijfsgegevens, zoals bijvoorbeeld (nog vertrouwelijke) financiële, technische of juridische informatie, budgetten, beleidsvoornemens, aanbestedingen, beursgevoelige informatie; kortom alle informatie die (nog) niet voor derden is bestemd.
Zo ja, dan is een meer gedetailleerde risicoanalyse noodzakelijk (pre-DPIA, DPIA en/of risicobeoordeling).
NB Die gedetailleerde risicoanalyse zal in het geval van:
* Privacy gevoelige gegevens bestaan uit een zogenaamde pre-DPIA (risico inschatting op basis van 9 vragen), afhankelijk van de uitkomst gevolgd door een formele DPIA.
* vertrouwelijke informatie zal classificatie plaatsvinden door de Betrouwbaarheidseisen te toetsen (= gewenste niveau van beschikbaarheid, integriteit en vertrouwelijkheid).
Zo nee, ga naar vraag 2.
'''Te beschermen belangen'''
Vraag 2: Gaat het om één van de volgende typen processen (is het karakter van de processen)?
2a) Gaat het om de verwerking van gegevens en/of geldstromen in een of meerdere processen van onze organisatie die niet in de handen mogen vallen van de criminaliteit, omdat dat het vertrouwen dat burger en bedrijf stellen in ons als betrouwbare overheid ernstig zou kunnen schaden?
2b) Gaat het om een primair proces of processen van onze organisatie, waarbij geldt dat wanneer deze processen op enig moment worden belemmerd of gestopt, in dit voorbeeld de schade voor onze organisatie groot zal zijn (zowel in financiële zin als ook in termen van imago-schade)?
Zo nee, ga dan naar vraag 3.
Zo ja, dan is een meer gedetailleerde risicoanalyse noodzakelijk (betrouwbaarheidseisen toetsen, en zo nodig meer en/of zwaardere beveiligingsmaatregelen overeenkomen, inclusief risicobeoordeling).
'''Betrouwbaarheid van producten en diensten'''
Vraag 3: Biedt de leverancier een acceptabel niveau van dienstverlening?
3a) Is de leverancier van de toepassing/applicatie [[NEN-ISO/IEC 27001]] gecertificeerd?
3b) Indien er sprake is van opslag van data bij een extern datacenter is dat datacenter ISO 27001 gecertificeerd of anderszins gecertificeerd (ISAE3402 of SOC2)?
3c) Waar worden eventuele (bron)gegevens van de provincie opgeslagen die gebruikt worden bij het werken met de toepassing/applicatie in verband met ongewenste opslag buiten Europa?
3d) Is de leverancier bereid tot een externe (onafhankelijke) audit op compliance met wet- en regelgeving?
Als één van deze 4 sub-vragen uit vraag 3 negatief wordt beantwoord, dan geldt dat er een alternatieve oplossing gezocht moet worden voor public clouddiensten, zoals een private cloud-omgeving, nu of in de toekomst geleverd vanuit de overheid, zoals Rijkscloud, of IT-outsourcing, of on-premise in een eigen rekencentrum.
: → [[BIO Thema Clouddiensten/Inleiding#Context van de relatie tussen de CSC en de CSP|Ga terug naar Context van de relatie tussen de CSC en de CSP]]
Onderstaande lijst met brondocumenten verwijst naar voor clouddiensten relevante documenten. Hiervoor geldt:
* Een deel van de documenten kan via Rijksweb, interne overheidswebsites en/of publieke zoekmachines gevonden worden.
* Op NEN-ISO/IEC documenten rusten licentierechten. Voor de overheid zijn die afgekocht. Log hiervoor in via [https://connect.nen.nl/account/logon/ NEN-connect].
* De [[ISF (Information Security Forum)|ISF]]-documenten, zoals onder andere de [[The Standard of Good Practice for Information Security 2018|SoGP]] zijn beschikbaar voor leden van het Information Security Forum (ISF). De gebruikersorganisatie moet lid zijn van het ISF.
* De [[BSI (Bundesamt für Sicherheit in der Informationstechnik)|Duitse BSI]] IT-Grundschutz-, State of the art in IT security-, NORA-, [[NIST (National Institute of Standards and Technology)|NIST]]- en [[CSA (Cloud Security Alliance)|CSA]]-documenten zijn vrij beschikbaar via internet.
==Nationale kaders en practices==
<table class="wikitable">
<tr>
<th>Eigenaar</th>
<th>Documentnaam</th>
<th>Referentie</th>
<th>Versie</th>
</tr>
<tr>
<td>Algemene Inlichtingen en Veiligheids Dienst</td>
<td>Publieke clouddiensten en gerubriceerde gegevens</td>
<td>9 sep 2019</td>
<td>-</td>
</tr>
<tr>
<td>Ministerie van BzK</td>
<td>Verkenning Cloudbeleid voor de Nederlandse Rijksdienst<br>=Concept voor brede discussie=</td>
<td>16 sep 2019</td>
<td>-</td>
</tr>
<tr>
<td>Informatie Beveiligings Dienst (IBD)</td>
<td>Handreiking Cloudcomputing in Privacy</td>
<td>IBD 2019</td>
<td>2.0</td>
</tr>
<tr>
<td>Informatie Beveiligings Dienst (IBD)</td>
<td>Handreiking Impact Cloudcomputing</td>
<td>IBD 2019</td>
<td>2.0</td>
</tr>
<tr>
<td>Informatie Beveiligings Dienst (IBD)</td>
<td>Handreiking Inkoop Clouddiensten</td>
<td>IBD 2019</td>
<td>2.0</td>
</tr>
<caption align="bottom">Overzicht Nationale kaders en practices</caption></table>
==Nationale standaarden==
<table class="wikitable">
<tr>
<th>Eigenaar</th>
<th>Documentnaam</th>
<th>Referentie</th>
<th>Versie</th>
</tr>
<tr>
<td>NCSC<br>Nationaal Cyber Security Centrum (Ministerie van Justitie en Veiligheid) [https://www.ncsc.nl/ www.ncsc.nl]</td>
<td>Meerdere documenten, zoals de NCSC Webrichtlijnen [https://www.ncsc.nl/documenten/ www.ncsc.nl/documenten]</td>
<td>NCSC</td>
<td></td>
</tr>
<tr>
<td>NEN Normalisatie En Normen [https://www.nen.nl/ www.nen.nl]</td>
<td>NEN-EN-ISO/IEC 27040:2016 en Information technology - Security techniques - Storage security [https://www.nen.nl/NEN-Shop-2/Standard/NENENISOIEC-270402016-en.htm/ www.nen.nl/NEN-Shop-2/Standard/NENENISOIEC-270402016-en.htm]</td>
<td>ISO27040</td>
<td>2016</td>
</tr>
<tr>
<td>ICTU [http://www.ictu.nl/ www.ictu.nl]</td>
<td>NORA Nederlandse Overheids Referentie Architectuur [[NORA online]] NORA beveiligingspatronen [[Beveiliging/index| Beveiligingspatronen]]</td>
<td>NORA</td>
<td> </td>
</tr>
<tr>
<td>W.N.B. Tewarie, M.M.V.E. Ter Meer, E.R. Nieuwland</td>
<td>SIVA, SIVA - Methodiek voor de ontwikkeling van Auditreferentiekaders, VU University Press, ISBN978 90 8659 670 6</td>
<td></td>
<td>2014</td>
</tr>
<tr>
<caption align="bottom">Overzicht nationale standaarden</caption></table>
==Internationale standaarden==
<table class="wikitable">
<tr>
<th>Eigenaar</th>
<th>Documentnaam</th>
<th>Referentie</th>
<th>Versie</th>
</tr>
<tr>
<td rowspan="2">BSI<br>Bundesamt für Sicherheit in der Informationstechnik [https://www.bsi.bund.de/DE/Home/home_node.html/ www.bsi.bund.de/DE/Home/home_node.html]</td>
<td>Cloud ComputingCompliance Controls Catalogue (C5)<br>Criteria to assess the information security of cloud services<br> [https://www.bsi.bund.de/C5/ www.bsi.bund.de/C5]</td>
<td>BSI C5</td>
<td>Feb. 2016</td>
</tr>
<tr>
<td>IT-Grundschutz<br>BSI Standard 200-1 Information Security management System (ISMS)<br>BSI Standard 200-2 IT Grundschutz Methodology<br>BSI-Standard 200-3 Risk Analysis based on IT-Grundschutz<br>BSI Standard 200-4 Business Continuity Management (BCM)<br>[http://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/itgrundschutzkataloge_node.html/ www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/itgrundschutzkataloge_node.html]</td>
<td>BSI ITG</td>
<td>2013</td>
</tr>
<tr>
<td>CSA<br>Cloud Security Alliance<br> [https://cloudsecurityalliance.org/ https://cloudsecurityalliance.org]</td>
<td>Cloud Controls Matrix (CCM)<br>NB: laatste versie is 3.0.1</td>
<td>CSA CCM</td>
<td>1.01<br>Okt. 2010</td>
</tr>
<tr>
<td>ISA<br>International Society of Automation<br> [https://www.isa.org/ www.isa.org]</td>
<td>ISA-62443-2-1-2009<br>Security for Industrial Automation and Control Systems: Establishing anIndustrial Automation and Control Systems Security Program<br> [https://www.isa.org/templates/one-column.aspx?pageid=111294&productId=116731/ www.isa.org/templates/one-column.aspx?pageid=111294&productId=116731]</td>
<td>ISA-62443-2-1</td>
<td>2009</td>
</tr>
<tr>
<td rowspan="11">ISO<br>International Organization for Standardization<br> [http://www.iso.org/home.html/ www.iso.org/home.html]</td>
<td>ISO/IEC 17788:2014<br>Information technology - Cloud computing - Overview and vocabulary<br> [https://www.iso.org/standard/60544.html/ www.iso.org/standard/60544.html]</td>
<td>ISO17788</td>
<td>2014</td>
</tr>
<tr>
<td>ISO/IEC 17789:2014<br>Information technology - Cloud computing - Reference architecture<br> [https://www.iso.org/standard/60545.html/ www.iso.org/standard/60545.html]</td>
<td>ISO17789</td>
<td>2014</td>
</tr>
<tr>
<td>ISO/IEC 17826:2016<br>Information technology - Cloud Data Management Interface (CDMI)<br> [https://www.iso.org/standard/70226.htm/ www.iso.org/standard/70226.html]</td>
<td>ISO17826</td>
<td>2016</td>
</tr>
<tr>
<td>ISO/IEC 18033-1:2015<br>Information technology - Security techniques - Encryption algorithms - Part 1: General<br>[https://www.iso.org/standard/54530.html/ www.iso.org/standard/54530.html]</td>
<td>ISO18033-1</td>
<td>2015</td>
</tr>
<tr>
<td>ISO/IEC 18033-2:2006<br>Information technology - Security techniques - Encryption algorithms - Part 2: Asymmetric ciphers<br> [https://www.iso.org/standard/37971.html/ www.iso.org/standard/37971.html]</td>
<td>ISO18033-2</td>
<td>2006</td>
</tr>
<tr>
<td>ISO/IEC 19941:2017<br>Information technology - Cloud computing - Interoperability and portability<br> [https://www.iso.org/standard/66639.html/ www.iso.org/standard/66639.html]</td>
<td>ISO19941</td>
<td>2017</td>
</tr>
<tr>
<td>ISO/IEC 27003:2017<br>Information technology - Security techniques - Information securitymanagement systems – Guidance<br>[https://www.iso.org/standard/63417.html/ www.iso.org/standard/63417.html]</td>
<td>ISO27003</td>
<td>2017</td>
</tr>
<tr>
<td>ISO/IEC 27005:2018<br>Information technology - Security techniques - Information security riskmanagement<br> [https://www.iso.org/standard/75281.html/ www.iso.org/standard/75281.html]</td>
<td>ISO27005</td>
<td>2011</td>
</tr>
<tr>
<td>ISO/IEC 27017:2015<br>Information technology - Security techniques - Code of practice forinformation security controls based on ISO/IEC 27002 for cloud services<br> [https://www.iso.org/standard/43757.html/ www.iso.org/standard/43757.html]</td>
<td>ISO27017</td>
<td>2015</td>
</tr>
<tr>
<td>ISO/IEC 27018:2019<br>Information technology — Security techniques - Code of practice forprotection of personally identifiable information (PII) in public cloud sacting as PII processors<br> [https://www.iso.org/standard/76559.html/ www.iso.org/standard/76559.html]</td>
<td>ISO27018</td>
<td>2019</td>
</tr>
<tr>
<td>ISO/IEC27036-1:2014<br>Information technology - Security techniques - Information security forsupplier relationships - Part 1: Overview and concepts<br> [https://www.iso.org/standard/59648.html/ www.iso.org/standard/59648.html]</td>
<td>ISO27036-1</td>
<td>2014</td>
</tr>
<tr>
<td>ISF<br>Information Security Forum<br> [http://www.securityforum.org/ www.securityforum.org]</td>
<td>Standard of GoodPractice<br>Standard of Good Practice for Information Security 2018<br> [https://www.securityforum.org/uploads/2016/07/SoGP-2016-Exec-Summary-FINAL-260716.pdf/ www.securityforum.org/uploads/2016/07/SoGP-2016-Exec-Summary-FINAL-260716.pdf]</td>
<td>SoGP</td>
<td>2017</td>
</tr>
<tr>
<td>itSMF<br> [https://itsmfuk.site-ym.com/ https://itsmfuk.site-ym.com]</td>
<td>ITIL 3<br>ITIL 3 Foundation Handbook (print version - pack of 10)<br> [https://itsmfuk.site-ym.com/store/ViewProduct.aspx?id=13263525/ https://itsmfuk.site-ym.com/store/ViewProduct.aspx?id=13263525]</td>
<td>ITIL 3</td>
<td>3</td>
</tr>
<tr>
<td>ITU<br>International Telecommunication Union<br> [https://www.itu.in/ www.itu.in]</td>
<td>ITU-T FG-Cloud TR<br>Focus Group on Cloud Computing (FG Cloud Technical Report)<br>Part 1: Introduction to the cloud ecosystem: definitions, taxonomies, usecases and highlevel requirement<br> [https://www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P1-PDF-E.pdf/ www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P1-PDF-E.pdf]<br>Part 2: Functional requirements and referencearchitecture<br> [https://www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P2-PDF-E.pdf/ www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P2-PDF-E.pdf]<br>Part 3: Requirements and framework architecture ofcloud infrastructure<br> [https://www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P3-PDF-E.pdf/ www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P3-PDF-E.pdf]<br>Part 4: Cloud Resource Management Gap Analysis<br> [https://www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P4-PDF-E.pdf www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P4-PDF-E.pdf]<br>Part 5: Cloud security<br> [https://www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P5-PDF-E.pdf/ www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P5-PDF-E.pdf]<br>Part 6: Overview of SDOs involved in cloud computing<br> [https://www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P6-PDF-E.pdf/ www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P6-PDF-E.pdf]<br>Part 7: Cloud computing benefits fromtelecommunication and ICT perspective<br> [https://www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P7-PDF-E.pdf/ www.itu.int/dms_pub/itu-t/opb/fg/T-FG-CLOUD-2012-P7-PDF-E.pdf]</td>
<td>ITU-T FG Cloud Px</td>
<td>1.0<br>2012</td>
</tr>
<tr>
<td>NIST<br>National Institute of Standards and Technology (U.S. Department of Commerce)<br> [https://www.nist.gov/ www.nist.gov]</td>
<td>Meerdere standards<br> [https://www.nist.gov/services-resources/standards-and-measurements/ www.nist.gov/services-resources/standards-and-measurements]</td>
<td>NIST</td>
<td> </td>
</tr>
<tr>
<td>Teletrust<br>(Bundesverband IT-Sicherheit e.V)<br> [https://www.teletrust.de/ www.teletrust.de]</td>
<td>Richtlijn State of the art in IT Security (Stand der Technik in der IT-Sicherheit)<br> [https://www.teletrust.de/fileadmin/docs/fachgruppen/2019-06_TeleTrusT_Richtlijn_State_of_the_art_in_IT_security_NLD.pdf/ https://www.teletrust.de/fileadmin/docs/fachgruppen/2019-06_TeleTrusT_Richtlijn_State_of_the_art_in_IT_security_NLD.pdf]</td>
<td>SotA</td>
<td>2019</td>
</tr>
<caption align="bottom">Overzicht internationale standaarden</caption></table>
==Toelichting control-domein==
Hieronder volgt per invalshoek een toelichting op het control-domein:
*[[IFGS Intentie|Intentie]], De organisatie heeft haar beleid voor clouddiensten vertaald naar een servicemanagementbeleid en evaluatierichtlijnen voor het inrichten, evalueren en bewaken van het functioneren en van de bescherming van de clouddiensten en activiteiten uitvoeren voor het monitoren en reviewen van de risico’s.
*[[IFGS Functie|Functie]], De organisatie heeft beheersingsprocessen ingericht en verricht voor beveiligingscontroles en kwetsbaarheden van de clouddiensten.
*[[IFGS Gedrag|Gedrag]], De organisatie verricht in haar processen activiteiten voor het monitoren van clouddiensten en technische kwetsbaarheden.
*[[IFGS Structuur|Structuur]], De organisatie heeft voor de clouddiensten een beheersingsorganisatie ingericht.
Afbeelding 'Dreigingen/kwetsbaarheden van control-objecten' toont de dreigingen/kwetsbaarheden van de genoemde [[ISOR:BIO Thema Clouddiensten Control|control-objecten]].
[[Afbeelding:BIO Thema Clouddiensten - De dreigingen en kwetsbaarheden van de benoemde Control objecten.png|thumb|none|650px|Dreigingen/kwetsbaarheden van control-objecten|alt=”De dreigingen en kwetsbaarheden van de control-objecten”]]
==Dreigingen/kwetsbaarheden cloudcontrol-objecten==
Het control-domein is op dezelfde wijze geanalyseerd als vermeld bij het [[BIO Thema Clouddiensten/Cloudbeveiligingsprincipes binnen het beleidsaspect|beleidsdomein]]. Ook hier zijn de vermelde dreigingen/kwetsbaarheden en risico’s zijn niet uitputtend benoemd. De relevante objecten binnen het control-domein worden weergegeven in afbeelding 'Control-objecten gestructureerd met de SIVA-methodiek'.
[[Bestand:CLD Control-objecten gestructureerd met de SIVA-metodiek.png|thumb|none|800px|Control-objecten gestructureerd met de SIVA-methodiek|alt=”De dreigingen en kwetsbaarheden van de control-objecten”]]
: → [[BIO Thema Clouddiensten/Risico's in relatie met clouddiensten#Dreigingen en/of kwetsbaarheden|Ga terug naar Dreigingen en/of kwetsbaarheden]]
De toepassing van cloud-computing<sup class="reference smartref" id="cite_ref-cloud-computing_1-0">[[BIO Thema Clouddiensten/Inleiding#cite_note-cloud-computing-1|1]]</sup>-diensten, kortweg clouddiensten, is een methode voor het leveren van de ICT. Cloud-computing is een term die staat voor de omgeving waarbinnen Cloud Service Providers (CSP’s) functionaliteit of diensten in de vorm van een technologische black-box aanbieden. Dit betekent dat clouddiensten gekozen worden met een vooraf vastgestelde ‘dienstenmenukaart’. De Cloud Service Consumer (CSC) kan als aanvullende eis stellen dat het effectieve beveiligingsniveau voor de betrokken CSC geen invloed ondervindt van onderhoud- en releasewerkzaamheden voor andere CSC's.
In het algemeen zijn er 3 soorten IT-clouds te onderscheiden:
# Private (met een dedicated infrastructuur), De IT-voorzieningen zijn ingericht voor één CSC en opgezet met de standaarden van de CSP.
# Private/shared (met een geheel of gedeeltelijk gedeelde infrastructuur), De IT-voorzieningen zijn toegankelijk voor één CSC en zij delen, om kosten te besparen, de onderliggende infrastructuur met andere CSC’s (bijvoorbeeld de opslag en het netwerk).
# Publiek, De IT-voorzieningen zijn toegankelijk via het Internet. De voorzieningen worden meestal gedeeld met andere CSC’s.
De meest bekende clouddiensten zijn:
* Software as a Service (SaaS), Bij SaaS staat de applicatie volledig onder controle van de dienstverlener.
* Platform as a Service (PaaS), Bij PaaS worden de platformen en de infrastructuur beheerd door de CSP en niet de applicaties.
* Infrastructure as a Service (IaaS), Bij IaaS wordt alleen de infrastructuur beheerd door de CSP en niet de applicaties en de platformen.
De toepassing van clouddiensten past in de verschuiving van maatwerkoplossingen naar standaard oplossingen. Sommige overheidsorganisatie maken al gebruik van bepaalde type clouddiensten. Andere organisaties overwegen nog om gebruik te maken van clouddiensten. Ook hebben sommigen hiervoor een eigen cloud-beleid ontwikkeld. Bij veel overheidsorganisatie heerst er echter onzekerheid over:
* het verwerven van clouddiensten, omdat heel veel activiteiten buiten hun zicht plaatsvinden;
* het opslaan van data bij een derde partij.
Een ander belangrijk aandachtspunt bij de overheidsorganisatie is dat bij een toename van het aantal diensten en dienstverleners (CSP’s) de regie-inspanning voor de afnemer (CSC) verder kan toenemen. Vooral wanneer CSP’s andere CSP’s inschakelen voor de te leveren diensten.
Ondanks het feit dat voor clouddiensten verschillende baselines bestaan, vragen organisaties zich af op welke onderwerpen<sup class="reference smartref" id="cite_ref-Te focussen clouddiensten onderwerpen_2-0">[[BIO Thema Clouddiensten/Inleiding#cite_note-Te focussen clouddiensten onderwerpen-2|2]]</sup> zij zich dienen te focussen.
Overheden die IT-diensten willen aanbesteden, dienen zich vanuit hun bijzondere verantwoordelijkheid de vraag te stellen, welke data van medewerkers, burgers en bedrijven, opgeslagen kan worden in de (publieke) cloud en welke data binnen de bescherming van de rekencentra van de overheid moet blijven. Leidend daarbij zijn de antwoorden<sup class="reference smartref" id="cite_ref-Antwoorden Plasterk_3-0">[[BIO Thema Clouddiensten/Inleiding#cite_note-Antwoorden Plasterk-3|3]]</sup> van minister Plasterk op vragen vanuit de [[Tweede Kamer der Staten-Generaal|Tweede Kamer]], mei 2014. De standpunten van de [[AIVD (Algemene Inlichtingen- en Veiligheidsdienst)|AIVD]] en de verkenning Cloudbeleid Rijksdienst en de [[IBD (Informatiebeveiligingsdienst)|IBD]]-handreikingen voor clouddiensten zijn tevens richtinggevend bij de risicoanalyse, zoals verderop in deze thema-uitwerking is uitgewerkt.
==Doelstelling==
Het doel van deze BIO Thema-uitwerking is overheidsorganisaties een systematisch beeld te geven van de voornaamste objecten van clouddiensten, waarmee zij ondersteund worden bij een goed afgewogen inzet van clouddiensten en het onderkennen van de aspecten die van belang zijn bij het aangaan van een clouddienst. De focus van deze thema-uitwerking ligt op beschikbaarheid, integriteit, vertrouwelijkheid en controleerbaarheid van de data en de betrouwbaarheid van de bedrijfsprocessen.
De uitwerking van de [[BIO Thema Clouddiensten|BIO Thema Clouddiensten]] dient als handreiking bij inkoop van clouddiensten. De keuze van de objecten dient plaats te vinden met de context van de organisatie en risicoanalyse.
==Opzet BIO Thema-uitwerking==
De BIO Thema-uitwerking Clouddiensten wordt uitgewerkt langs twee lijnen: structuur en objecten. De structuur van de BIO Thema-uitwerking Clouddiensten bestaat uit een indeling van [[ISOR:BIO Thema Clouddiensten Beleid|beleid]], [[ISOR:BIO Thema Clouddiensten Uitvoering|uitvoering]] en [[ISOR:BIO Thema Clouddiensten Control|control]]. De beveiligingsobjecten vormen de inhoudelijke onderwerpen die, vanuit de optiek van de CSC, van belang zijn. Door eerst op de objecten te focussen, wordt inzicht verkregen in en de relatie tussen de noodzakelijke objecten. Na het verkregen inzicht worden per object controls en onderliggende criteria voor maatregelen gedefinieerd. De objecten en de bijbehorende criteria voor maatregelen worden gestructureerd via het beleids-, uitvoerings- of controldomein.
Er wordt een standaard opzet voor [[Alle normenkaders|BIO Thema-uitwerkingen]] gevolgd. Vanwege het bijzondere karakter van deze thema-uitwerking zijn voor betere begripsvorming enkele onderwerpen toegevoegd. Deze thema-uitwerking volgt de volgende opzet:
* Context van de relatie tussen de CSC en CSP (zie [[BIO Thema Clouddiensten/Inleiding#Context relatie tussen CSC en CSP|Context relatie tussen CSC en CSP]])
* Context en globale structuur van deze thema-uitwerking (zie [[BIO Thema Clouddiensten/Inleiding#Context en globale structuur clouddiensten|Context en globale structuur clouddiensten]])
* Scope en begrenzing van de thema-uitwerking (zie [[BIO Thema Clouddiensten/Inleiding#Scope en begrenzing clouddiensten|Scope en begrenzing clouddiensten]])
* Aanleiding om gebruik te maken van clouddiensten (zie [[BIO Thema Clouddiensten/Inleiding#Aanleiding om gebruik te maken van clouddiensten|Aanleiding om gebruik te maken van clouddiensten]])
* Dreigingen/kwetsbaarheden (zie [[BIO Thema Clouddiensten/Risico's in relatie met clouddiensten#Dreigingen/kwetsbaarheden|Dreigingen/kwetsbaarheden]])
* CSC-georiënteerde aandachtspunten (zie [[BIO Thema Clouddiensten/Risico's in relatie met clouddiensten#CSC-georiënteerde aandachtspunten|CSC-georiënteerde aandachtspunten]])
* Beveiligingsobjecten voor clouddiensten in het beleids-, uitvoerings- en control-domein (zie [[BIO Thema Clouddiensten/Risico's in relatie met clouddiensten#Beveiligingsobjecten voor clouddiensten|Beveiligingsobjecten voor clouddiensten]]) gerelateerd aan basiselementen (zie [[ISOR:BIO Thema Clouddiensten Beleid|Clouddiensten Beleid]], [[ISOR:BIO Thema Clouddiensten Uitvoering|Clouddiensten Uitvoering]] en [[ISOR:BIO Thema Clouddiensten Control|Clouddiensten Control]])
==Context relatie tussen CSC en CSP==
In de verhouding tussen de CSC en de CSP zijn drie issues waar organisaties steeds op focussen. Vanuit de CSC beredeneerd zijn dit:
# On-going, Krijgt de CSC qua prestaties op dagelijkse basis de juiste diensten geleverd? Anders gezegd, voldoen de geleverde diensten aan prijs, kwaliteit, veiligheid- en continuïteitseisen? Dus hoe het gesteld is met de performance?
# Continuous monitoring (near real time), Krijgt de CSC de zekerheid dat hij regulier, conform contracten, bedrijfseisen en beveiligingseisen, de juiste diensten ontvangt? Dus hoe het gesteld is met de beoogde conformiteit?
# Compliancy (periodieke metingen en evaluaties), Krijgt de CSC de zekerheid dat hij in de afgelopen periode, conform wet- en regelgeving, contracten, bedrijfseisen en beveiligingseisen de juiste diensten heeft ontvangen? Dus hoe het gesteld is met de beoogde de compliance?
Bij de inkoop van clouddiensten levert de CSP niet alleen de gecontracteerde clouddiensten (ICT- servicelevering), maar ook de noodzakelijke continuous monitoring-, compliancy- en assurance-rapportages, zoals dit in afbeelding 'Twee deliverables van een CSP' wordt geschetst.
[[Afbeelding:Thema Clouddiensten - Twee deliverables van een CSP.png|thumb|none|500px|Twee deliverables van een CSP|alt=”Twee deliverables van een CSP”]]
Afbeelding 'Twee deliverables van een CSP' is verder uitgewerkt in afbeelding 'Twee CSP-deliverables en CSC-eisen/wensen'.
[[Afbeelding:Thema Clouddiensten - Twee deliverables van een CSP en de eisen en wensen aan de vraag en levering kant.png|thumb|none|500px|Twee CSP-deliverables ven CSC-eisen/wensen|alt=”Twee deliverables van een CSP en de eisen en wensen aan de vraag en levering kant”]]
ICT-servicelevering
Dit betreft de daadwerkelijk door de CSC gevraagde publieke of private clouddiensten, die aan bepaalde functionele en beveiligingseisen moeten voldoen. De levering gaat vergezeld van prestatiemetingen over de geleverde diensten en de noodzakelijke verbetermaatregelen voor leveringen en beveiliging.
Assurance
Dit betreft een jaarlijkse rapportage gebaseerd op een onderzoek uitgevoerd door een derde partij. Met de assurance-rapportage geeft de CSP zekerheid aan de CSC dat de geleverde diensten aan de contractuele eisen hebben voldaan. De assurance-rapportage komt tot stand met een onderzoekstraject waarin een referentiekader als toetsingsmiddel wordt gehanteerd.
Trust
De inkoop van clouddiensten gaat gepaard met een gedragen en haalbaar ICT-servicecontract. Echter er zullen altijd aspecten zijn die bij de contractvorming over het hoofd worden gezien. Voor een duurzame relatie is daarom een vertrouwensrelatie tussen de CSC en de CSP vereist, anders lopen zij steeds het risico in een juridische strijd verwikkeld te raken.
Zowel aan de CSC-kant als aan de kant van de CSP spelen verschillende aspecten een rol. In de relatie tussen de CSC en CSP heeft iedere partij haar eigen rol. De relevante aspecten zijn hieronder beschreven.
CSC (vraagzijde)
Initieel stelt de CSC een Programma van Eisen en Wensen (PvEeW) vast voor de te verwerven clouddiensten en communiceert dit met de potentiële CSP’s. Wanneer de CSC en de gekozen CSP overeenstemming bereiken, worden clouddiensten geleverd. Een belangrijke vraag voor overheidsdienstverlening is hierbij: ‘Is de toepassing van Clouddienst, gelet op de, door de Tweede Kamer geaccepteerde risico’s toegestaan?'<sup class="reference smartref" id="cite_ref-Mail Kuijpers_4-0">[[BIO Thema Clouddiensten/Inleiding#cite_note-Mail Kuijpers-4|4]]</sup> In [[BIO_Thema_Clouddiensten/Beslisbomen_voor_risicobeoordeling_IV-diensten]] zijn instrumenten, in de vorm van beslisbomen, opgenomen waarmee organisaties kunnen besluiten al dan niet gebruik te maken van clouddiensten.
CSP (leveringszijde)
De CSP maakt met het PvEeW een functioneel en technisch ontwerp. Vervolgens wordt de dienst gebouwd, getest en in productie genomen.
Deze geleverde diensten dienen altijd te voldoen aan de, in de vorm van wettelijke en business eisen, gestelde condities. Hiernaast komen de partijen overeen dat de geleverde diensten:
* meetbaar en voorspelbaar moeten zijn;
* compliant moeten zijn aan wet- en regelgeving, business- en beveiligingseisen van de CSC;
* beveiligd en beheerst moeten zijn.
Geleverde diensten
Deze diensten dienen altijd te voldoen aan de, in de vorm van wettelijke en business eisen, gestelde condities. Hiernaast komen de partijen overeen dat de geleverde diensten:
* meetbaar en voorspelbaar moeten zijn;
* compliant moeten zijn aan wet- en regelgeving, business- en beveiligingseisen van de CSC;
* beveiligd en beheerst moeten zijn.
==Context en globale structuur clouddiensten==
Afbeelding 'Twee deliverables van een CSP en de eisen/wensen aan de CSC-kant' kan samengevat worden met het [[ISOR:BIO Thema Clouddiensten Beleid|beleids-]], [[ISOR:BIO Thema Clouddiensten Uitvoering|uitvoerings-]] en [[ISOR:BIO Thema Clouddiensten Control|control-domein]]. Dit wordt in afbeelding 'Context CSC- en CSP-relatie bij clouddienstenverwerving' geïllustreerd.
[[Afbeelding:Thema Clouddiensten - Context CSC en CSP relatie bij verwerven van clouddiensten.png|thumb|none|500px|Context CSC- en CSP-relatie bij clouddienstenverwerving|alt=”Context CSC en CSP relatie bij verwerven van clouddiensten”]]
===Beleidsdomein===
De CSC stelt een PvE(eW) op, dat als randvoorwaarde geldt. Voor zowel de CSC als de CSP is het PvE(eW) een toetsinstrument. Zij kunnen de volgende vragen stellen:
* CSC: heb ik de juiste dienst(en) geleverd gekregen?
* CSP: hoe kan ik aantonen dat ik de juiste diensten heb geleverd?
===Uitvoeringsdomein===
Binnen dit domein gaat het om de operationele levering van clouddiensten. Aan beide zijden moet transparantie zijn over de gevraagde en daadwerkelijke leveringen.
===Control-domein===
Binnen dit domein zijn de beheersingsprocessen ingericht. Voor de beoogde dienstverlening moeten de beheersingsprocessen aan de kant van de CSC en de CSP op elkaar zijn afgestemd.
==Scope en begrenzing clouddiensten==
De scope van de BIO Thema-uitwerking Clouddiensten is de set van specifieke onderwerpen (objecten) waar organisaties aandacht aan moeten besteden bij het inkopen van clouddiensten. Deze thema-uitwerking richt zich hoofdzakelijk op het ‘wat’-aspect.
Het is ook van belang om te weten langs welke route organisaties naar de cloud kunnen. Hieraan liggen migratiestrategieën ten grondslag. De migratiestrategieën zullen niet worden beschreven. Het zogeheten ‘hoe’-aspect wordt in deze thema-uitwerking niet uitgewerkt. In de praktijk zijn daarvoor verschillende baselines beschikbaar.
De algemene eisen uit de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] en [[NEN-ISO/IEC 27001|ISO 27001]] en [[NEN-ISO/IEC 27002|ISO 27002]] blijven onverminderd van kracht. Het gaat in deze thema-uitwerking om specifieke additionele objecten die gerelateerd zijn aan clouddiensten. De maatregelen die gerelateerd zijn aan deze objecten moeten realistisch en implementeerbaar zijn voor een CSP.
Privacy-aspecten: Data Protection Impact Assessments (DPIA’s) worden niet expliciet in dit thema opgenomen, omdat DPIA’s vanuit de [[AVG (Algemene Verordening Gegevensbescherming)|Algemene Verordening Gegevensbescherming (AVG)]] generiek bij elk project uitgevoerd dienen te worden.
De begrenzing van deze BIO Thema-uitwerking is in onderstaande afbeelding weergegeven.
[[Bestand:CLD Relatie BIO Thema-uitwerking met aanpalende documenten.png|thumb|none|500px|Relatie BIO Thema-uitwerking met aanpalende documenten|alt=”Relatie BIO Thema-uitwerking Clouddiensten met aanpalende documenten”]]
==Aanleiding om gebruik te maken van clouddiensten==
Enkele belangrijke argumenten van overheden om gebruik te maken van clouddiensten zijn:
* de focus op kerntaken;
* een efficiënte bedrijfsvoering en het verlagen van de totale kosten;
* het binnen een kort tijdsbestek kunnen beschikken over nieuwe IT-functionaliteit en daarmee de dienstverlening aan burger en bedrijf sneller aan kunnen passen aan de (veranderende) behoefte;
* de zekerheid over gekwalificeerd personeel;
* het verlagen van IT-complexiteit in specifieke situaties;
* het verbeteren van beveiliging/beschikbaarheid;
* een herziene bedrijfsstrategie en vereiste specifieke beveiligingseisen voor processen en data.
Hiernaast kunnen organisaties met externe factoren overwegen om gebruik te maken van clouddiensten, zoals:
* Vigerende wet- en regelgeving voor:
** een betrouwbare dienstverlening en het veilig omgaan met data van burgers en bedrijven;
** het overheidsbeleid inzake data in de cloud en de invloed van internationale verdragen;
** de noodzaak voor een weerbare overheid tegen cybercriminaliteit en statelijke actoren;
* Technologische ontwikkelingen, Hierbij wil de CSC kunnen inspelen op innovaties, die kunnen leiden tot een efficiëntere bedrijfsvoering en verlaging van de totale kosten.
==Toepassing BIO Thema-uitwerking==
Deze BIO Thema-uitwerking is een hulpmiddel bij het kiezen van een aantal te adresseren cloud-objecten bij het verwerven van clouddiensten. Bij de opzet van deze thema-uiterking is het onderwerp cloud functioneel benaderd en niet uitgewerkt op de technische gelaagdheid van SaaS, PaaS en IaaS. Bij het verwerven van clouddiensten kan de [[ISOR (Information Security Object Repository)]] als hulpmiddel dienen. Dit impliceert de volgende stappen:
* Bepaal als eerste de context van de case en het type dienst dat verworven moet worden.
* Identificeer vervolgens de operationele beveiligingsobjecten. Raadpleeg hierbij de objecten in het uitvoeringsdomein (zie [[ISOR:BIO Thema Clouddiensten Uitvoering|Uitvoeringsdomein]]).
* Identificeer daarna de conditionele objecten. Raadpleeg hierbij de objecten in het beleidsdomein (zie [[ISOR:BIO Thema Clouddiensten Beleid|Beleidsdomein]]).
* Identificeer tenslotte de beheersingsobjecten. Raadpleeg hierbij de objecten in het control- domein (zie [[ISOR:BIO Thema Clouddiensten Control|Control-domein]]).
* Neem de beveiligingsobjecten op in het PvEeW voor de clouddienst, zodat deze objecten door de CSP kunnen worden gerelateerd aan de specificaties van bestaande ‘standaard diensten’ of worden vertaald in maatregelen voor de aangeboden specifieke dienstverlening.
Relevante risico’s verbonden aan clouddiensten kunnen ondergebracht worden in 2 risicogroepen:
# Data, Gegevens van de burger of de Cloud Service Consumer (CSC) zijn verloren geraakt of misbruikt.
# IT-dienstverlening, De betrouwbare dienstverlening aan de burger en CSC is in gevaar.
Risico’s worden bepaald door dreigingen en kwetsbaarheden en de kans dat daardoor schade ontstaat. Zowel dreigingen als kwetsbaarheden zijn hieronder concreet gemaakt. De factor ‘kans’ is niet berekenbaar voor clouddiensten, maar kan ingeschat worden door onderzoek vanuit de eigen context van de CSC en de zich ontwikkelende markt van Cloud Service Providers (CSP's).
==Dreigingen/kwetsbaarheden==
NB Aandachtspunten voor consequenties is overgenomen van Weolcan: [https://blog.weolcan.eu/wat-is-een-cloud-exit-strategie-precies-en-hoe-voer-je-het-uit/ https://blog.weolcan.eu/wat-is-een-cloud-exit-strategie-precies-en-hoe-voer-je-het-uit]
De vakliteratuur noemt verschillende dreigingen/kwetsbaarheden waarmee een CSC rekening dient te houden bij het verwerven van clouddiensten. Na de verwerving kan de CSC geconfronteerd worden met issues over contracten en prestaties van de clouddienst en over ondersteuning door en de relatie met de CSP. Bij het identificeren van objecten voor clouddiensten zijn beide hiervoor genoemde risicogroepen als invalshoek gebruikt. Onderstaande tabel en afbeelding geven een overzicht van de belangrijkste kwetsbaarheden en voorkomende consequenties. [[BIO Thema Clouddiensten/Cloudbeveiligingsprincipes binnen het beleidsaspect|Toelichting objecten in het beleidsdomein]], [[BIO Thema Clouddiensten/Cloudbeveiligingsprincipes binnen het uitvoeringsaspect|Toelichting objecten in het uitvoeringsdomein]] en [[BIO Thema Clouddiensten/Cloudbeveiligingsprincipes binnen het control-aspect|Toelichting objecten in het control-domein]] bevatten detailuitwerkingen van de dreigingen. De tabel en afbeelding zijn beperkt tot de set van [[CSA (Cloud Security Alliance)|Cloud Security Alliance (CSA)]] en Greer and Jackson.
<table class="wikitable">
<tr>
<th>Nr.</th>
<th colspan="3">Cloud Computing Vulnerabilities CSA en Greerand Jackson, 2017</th>
</tr>
<tr>
<td>1</td>
<td rowspan="2">Data</td>
<td>Data breaches</td>
<td>Dataverstoringen</td>
</tr>
<tr>
<td>2</td>
<td>Data Loss or data leakage</td>
<td>Dataverlies of datalekken</td>
</tr>
<tr>
<td>3</td>
<td rowspan="13">Clouddiensten</td>
<td>Account or service traffic hijacking</td>
<td>Kapen van account of serviceverkeer</td>
</tr>
<tr>
<td>4</td>
<td>Denial of Service</td>
<td>Denial of Service</td>
</tr>
<tr>
<td>5</td>
<td>Malicious insiders</td>
<td>Kwaadwillende insiders</td>
</tr>
<tr>
<td>6</td>
<td>Abuse of nefarious use of cloud computing</td>
<td>Misbruik of misdadig gebruik van cloudcomputing</td>
</tr>
<tr>
<td>7</td>
<td>Insufficient due diligence</td>
<td>Onvoldoende due diligence</td>
</tr>
<tr>
<td>8</td>
<td>Shared technology vulnerabilities</td>
<td>Gedeelde technologiekwetsbaarheden</td>
</tr>
<tr>
<td>9</td>
<td>Insecure interfaces and API’s</td>
<td>Onveilige interfaces en API’s</td>
</tr>
<tr>
<td>10</td>
<td>Unknown risk profile</td>
<td>Onbekend risicoprofiel</td>
</tr>
<tr>
<td>11</td>
<td>Hardware failure</td>
<td>Hardware falen</td>
</tr>
<tr>
<td>12</td>
<td>Nature disasters</td>
<td>Natuurlijke rampen</td>
</tr>
<tr>
<td>13</td>
<td>Closure of cloud service</td>
<td>Afsluiten van de cloud dienst</td>
</tr>
<tr>
<td>14</td>
<td>Cloud related malware</td>
<td>Cloud gerelateerde malware</td>
</tr>
<tr>
<td>15</td>
<td>Inadequate infrastructure design and planning</td>
<td>Inadequateinfrastructuur ontwerp en planning</td>
</tr>
<caption align="bottom">Cloud Computing Vulnerabilities CSA en Greer and Jackson, 2017</caption></table>
[[Afbeelding:BIO Thema Clouddiensten - Cloud gerelateerde dreigingen en kwetsbaarheden.png|thumb|none|800px|Cloud gerelateerde dreigingen en kwetsbaarheden|alt=”Cloud gerelateerde dreigingen en kwetsbaarheden”]]
==CSC-georiënteerde aandachtspunten==
De schrijfgroep heeft over clouddiensten diverse gesprekken gevoerd met CSC’s en CSP’s. Ook heeft de schrijfgroep verschillende beleidsdocumenten ontvangen van CSC’s. Bij de besprekingen en het bestuderen van de documenten staan 2 vragen centraal:
# Welke issues voor clouddiensten spelen een rol bij de CSC’s?
# Waar maken CSC’s zich de meeste zorgen over bij het verwerven van clouddiensten?
De geïdentificeerde issues zijn globaal onderverdeeld in een aantal generieke onderwerpen: beleid en strategie, processen/functies (technische en organisatorische), interacties, infrastructuur en structuur (architectuur en organisatiestructuur). Onderstaande afbeelding geeft een overzicht van de ingedeelde onderwerpen.
[[Afbeelding:Thema Clouddiensten - CSC georiënteerde aandachtspunten.png|thumb|none|800px|CSC georiënteerde aandachtspunten|alt=”CSC georiënteerde aandachtspunten”]]
==Beveiligingsobjecten voor clouddiensten==
Objecten worden geïdentificeerd met onderzoeksvragen en risicogebieden. De objecten hebben tot doel risico’s te mitigeren en zijn afgeleid van de algemene beveiligingseisen: beschikbaarheid, integriteit, vertrouwelijkheid en controleerbaarheid die vervolgens zijn ingedeeld in het beleids-, uitvoerings- en control-domein. De vragen die vanuit optiek van deze domein hierbij spelen zijn:
* Welke randvoorwaardelijke elementen spelen een rol bij de inrichting van de clouddiensten en wat is de consequentie van het ontbreken van een of meer van deze elementen?
* Welke elementen spelen een rol bij de inrichting van de clouddiensten en wat is de consequentie van het ontbreken van één of meer van deze elementen?
* Welke elementen spelen een rol bij de beheersing van de clouddiensten en wat is de consequentie van het ontbreken van één of meer van deze elementen?
Uit de contextuele analyse blijkt dat verschillende onderwerpen niet in de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] voorkomen. Voor de onderwerpen, waarvoor de BIO geen control heeft geformuleerd, zijn controls uit andere baselines geadopteerd.
In 2019 is de [[AIVD (Algemene Inlichtingen- en Veiligheidsdienst)|Algemene Inlichtingen- en Veiligheidsdienst (AIVD)]] om een standpunt gevraagd over het gebruik van publieke clouddiensten voor gerubriceerde gegevens of vitale overheidsprocessen, waarvoor weerstand tegen statelijke actoren noodzakelijk is. Tevens heeft het [[BZK (Ministerie van Binnenlandse Zaken en Koninkrijksrelaties)|Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (BZK)]] een beleidsverkenning gedaan. De AIVD maakt overigens in haar standpunt geen onderscheid tussen Rijksdiensten en de andere overheden.
Hieronder volgen enkele citaten die de kern van het AIVD-standpunt weergeven, waarop ook de beleidsverkenning van BZK is gebaseerd.
==NBV-standpunt Publieke Clouddiensten (citaten uit de brief AIVD, 09/09/2019)==
Publieke clouddiensten bieden in de huidige situatie, geen controleerbaar afdoende weerstand tegen statelijke actoren omdat er nu nog onvoldoende zekerheid kan worden verkregen:
* dat de overheidsgegevens en -processen technisch en procedureel voldoende zijn afgeschermd tegen de clouddienstverlener, zijn onderaannemers en zijn medewerkers;
* dat de clouddienstverlener spionage-en sabotage-aanvallen van statelijke actoren betrouwbaar preventief kan afweren;
* dat de clouddienstverlener spionage en sabotage aanvallen van statelijke actoren betrouwbaar kan detecteren én hierop adequaat zal reageren;
* dat voldoende controle en toezicht mogelijk is op publieke clouddienstverleners.
Daarbij gebruiken publieke clouddiensten vaak het internet, zodat de toegang en beschikbaarheid extra zorg vragen. Kortom, op dit moment is er onvoldoende zekerheid dat publieke clouddienstverleners kunnen voldoen aan het [[Besluit voorschrift informatiebeveiliging rijksdienst bijzondere informatie 2013 (VIRBI)|Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie (VIR-BI)]] en de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]. Dit [[AIVD (Algemene Inlichtingen- en Veiligheidsdienst)#Businessunit Nationaal Bureau Verbindingsbeveiliging (NBV)|Nationaal Bureau Verbindingsbeveiliging (NBV)]]-standpunt is gebaseerd op de huidige stand van cloudtechnologie, statelijke cyberdreiging, nationale en internationale regelgeving en contractmogelijkheden. De ontwikkelingen op dit gebied gaan snel en het zal nodig zijn om dit standpunt periodiek, bijvoorbeeld jaarlijks, te heroverwegen.
'''Conclusie'''
In de huidige situatie is gebruik van publieke clouddiensten daarom niet geschikt voor gerubriceerde nationale informatie (Dep.V tot en met Stg.ZG), gerubriceerde EU- en [[NAVO (Noord-Atlantische Verdragsorganisatie)|NAVO]]-informatie en voor vitale overheidsprocessen waarvoor betrouwbare weerstand tegen statelijke actoren nodig is. Het gebruik van publieke clouddiensten is daarom ook ongeschikt voor Dep.V gerubriceerde informatie waarvoor betrouwbare detectie van statelijke actoren nodig is.
Als via risicoanalyse is vastgesteld dat geen weerstand tegen en geen detectie van statelijke actoren nodig is, dan kunnen publieke clouddiensten gebruikt worden. (Einde citaten uit de AIVD-brief.)
==Verkenning Cloudbeleid voor Nederlandse Rijksdiensten (citaten uit brief aan CIO-Rijk, 16/09/2019)==
Concept voor brede discussie
Dit document bevat een verkenning voor Cloudbeleid van de Nederlandse Rijksdienst. Doel van deze verkenning is om richting te geven aan het gebruik en verdere ontwikkeling van clouddiensten door departementen, en om ambities te formuleren, waarbij rekening wordt gehouden inzichten van de AIVD voor het omgaan met dreigingen door Advanced Persistent Threats (APT’s) zoals statelijke actoren. Uitgangspunt is dat clouddiensten moeten voldoen aan de voorwaarden van het algemeen beleid. Deze voorwaarden zijn in grote lijnen beschreven in de strategische i‐agenda voor de Rijksdienst 2019 ‐2021.
'''Overwegingen en beleidsvoornemen'''
Het cloudbeleid dient duidelijkheid te scheppen hoe veilig gebruik gemaakt kan worden van Private, Hybride en Public Clouddiensten door overheidspartijen. Omdat de [[BIR (Baseline Informatiebeveiliging Rijksdienst)|Baseline Informatiebeveiliging Rijksdienst (BIR)]] inmiddels, formeel, in de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] is overgegaan, wordt in het vervolg van dit document gesproken over BIO-BBN niveaus terwijl de focus van dit document (thans) de Rijkdienst betreft.
In dit hoofdstuk zijn in het kader van risicomanagement de mogelijke beleidslijnen uitgewerkt rond het toepassen van ‘Basis Beveiligingsniveau’ (BBN) 1, 2 en 3 voor diverse Cloudimplementatie-scenario’s. De BIR/BIO bepaalt op basis van eisen voor vertrouwelijkheid. Het onderscheid in drie BBN’s voorkomt dat voor eenvoudige systemen zonder vertrouwelijke informatie of zonder eigen voor hoge beschikbaarheid teveel administratieve last wordt opgeroepen. Terwijl de BIO zich met name richt op vertrouwelijkheid van gegevens, wordt in Nederland, gedreven door internationale ontwikkelingen, ook meer aandacht gevraagd voor de beschikbaarheid van ‘vitale systemen en processen’. In beide toepassingen is risicomanagement met een proportionele set aan maatregelen een logische aanpak.
Risicomanagement betreft het inzichtelijk en systematisch inventariseren, beoordelen en – door het treffen van maatregelen – beheersbaar maken van risico’s en kansen, die het bereiken van de doelstellingen van de organisatie bedreigen dan wel bevorderen, op een zodanige wijze dat verantwoording kan worden afgelegd over de gemaakte keuzes.
'''Uitgangspunten'''
Voor alle toepassingen geldt, dat zal moeten zijn voldaan aan geldende kaders.
Versie 1 okt 2019, geeft aan dat aanpassingen worden meegenomen, zodra nieuwe inzichten daar aanleiding toe geven. Het streven is om deze jaarlijks te herzien, of zoveel eerder als ontwikkelingen daar aanleiding toe geven.
Met de voorgaande overwegingen en de input van veiligheidsexperts zijn de volgende beleidsvoornemens tot stand gekomen: Voor alle niveaus (zoals in de matrix geschetst) geldt de voorwaarde: er is een samenhangende risicoanalyse uitgevoerd, waarin rekening is gehouden met eisen voor vitale en kritieke processen en gevoelige data, en deze is opgevolgd. De restrisico’s zijn of gemitigeerd of zijn geaccepteerd door de eigenaar.
Conclusie: One Cloud doesn’t fit All.
[[Bestand:CLD Matrix voorgenomen cloudbeleid per classificatie.png|thumb|none|500px|Voorgenomen Cloudbeleid 1 oktober 2019 in matrix-overzicht]]
Betekenis van de nummers 1, 2, 3 en 4 in de matrix:
# Er is voldaan aan:
## Er moet een samenhangende risicoanalyse voor vitale en kritieke processen en gevoelige data zijn uitgevoerd en de resultaten daarvan zijn opgevolgd.
## De uitkomsten zijn vastgelegd en (auditeerbaar) gecommuniceerd.
## De restrisico’s zijn door de systeem‐ of proces‐eigenaar geaccepteerd:
### Voor departementale processen: met input van de Chief Information Security Officer (CISO).
### Voor interdepartementale processen: met input van de CISO‐Rijk
# Er dienen passende voorzieningen beschikbaar te zijn om activiteiten van APT's zoals statelijke actoren te kunnen signaleren en daarop in te grijpen. Dit betreft een set aan detectie voorzieningen en maatregelen, waarvan expert diensten (AIVD, [[MIVD (Militaire Inlichtingen- en Veiligheidsdienst)|Militaire Inlichtingen- en Veiligheidsdienst (MIVD)]] of [[NCSC (Nationaal Cyber Security Centrum)|Nationaal Cyber Security Centrum (NCSC)]]) hebben aangegeven dat deze zinvol zijn te opzicht van het risico dat het departement met de voorziening of proces loopt.
# De verwerking van de (Dep.V) gerubriceerde BIO‐BBN2 gegevens is vóóraf door de Secretaris Generaal (SG) goedgekeurd.
# Voor de goedkeuring van de SG, dient het expert advies van de AIVD over Clouddiensten (zie hierboven) expliciet te worden meegewogen. Daarin staat vermeld (citaat) “Het gebruik van publieke clouddiensten is daarom ook ongeschikt voor Dep.V gerubriceerde informatie waarvoor betrouwbare detectie van statelijke actoren nodig is” (einde citaten)
Er wordt een toelichting gegeven van de [[SIVA-methodiek|Structuur, Inhoud, Vorm, Analysevolgorde (SIVA)]]-basiselementen met behulp van het Management Control System (MCS). Hiermee wordt de validiteit van de basiselementen binnen de IFGS (Intentie, Functie, Gedrag en Structuur) kolommen aangegeven. De basiselementen worden verder binnen de Beleid, Uitvoering en Control (BUC)-aspecten toegepast om de relaties tussen de geïdentificeerde cloud-principes uit te drukken.
De dynamische omgeving van een organisatie kan (volgens Leavitt, 1965 en COBIT) met behulp van vier componenten worden uitgedrukt, te weten: functie/processen, mensen, technologie en structuur. Als input geldt een ontwikkelde strategie en als output de performance, die het resultaat is van de samenwerking van de genoemde vier componenten. In de literatuur wordt het MCS bezien als een ‘Framework voor de implementatie van Strategie’, zoals in onderstaande afbeelding wordt afgebeeld.
[[Afbeelding:BIO Thema Clouddiensten Weergave van de componenten van MCS.png|thumb|none|500px|Weergave van de componenten van MCS|alt=”Weergave van de componenten van het MCS”]]
MCS- en SIVA-basiselementen - Aan de componenten van het MCS-framework kunnen vanuit de invalshoeken: Intentie, Functie, Gedrag en Structuur (IFGS) verschillende basiselementen worden gekoppeld. Deze basiselementen zijn weergegeven in onderstaande afbeelding. De zes componenten en de hieraan gerelateerde basiselementen vormen unieke set elementen om de geïdentificeerde set cloud-principes te labelen. Door het labelen van de geïdentificeerde set cloud-principes met de basiselementen krijgen de cloud-principes een unieke plek in de matrix, hierbij wordt tevens rekening gehouden met de typen functionarissen die actief zijn op de BUC-lagen. Zo kan een samenhangend beeld van de geïdentificeerde cloud-principes worden weergegeven.
[[Afbeelding:BIO Thema Clouddiensten - Weergave van de samenhang van de basiselementen binnen het MCS.png|thumb|none|500px|Weergave van de samenhang van de basiselementen binnen het MCS|alt=”Weergave van de samenhang van de basiselementen binnen het MCS”]]
Hieronder volgt per [[Alle invalshoeken|invalshoek]] een toelichting op het [[ISOR:BIO Thema Clouddiensten Beleid|beleidsdomein]]:
*[[IFGS Intentie|Intentie]], Een organisatie heeft bij het verwerven van clouddiensten doelstellingen geformuleerd, zoals: een efficiënte bedrijfsvoering en een schaalbare en flexibele dienstverlening. Hiervoor ontwikkelt zij beleid en strategie. Omdat dit met onzekere informatie wordt ontwikkeld, laten stakeholders risicoanalyse(s) uitvoeren. Voor het uitvoeren van risicoanalyses is een te hanteren risicoaanpak (methode) vastgesteld (risicomanagement).
*[[IFGS Functie|Functie]], Om aan de doelstellingen te kunnen voldoen, kan de organisatie besluiten functionele eisen vast te stellen. Zij moeten de IT-functionaliteiten en gerelateerde processen en beveiligingsfuncties beschrijven.
*[[IFGS Gedrag|Gedrag]], De IT-functionaliteiten worden gerealiseerd door actoren (human resources) en IT-objecten (technische resources). Human resources refereert aan mensen waaraan eisen worden gesteld, zoals educatie, competentie/vaardigheid. IT-resources zijn ‘Data’ en IT-objecten (applicaties, servers en infrastructuur).
*[[IFGS Structuur|Structuur]], De inzet van de actoren dienen goed georganiseerd te worden door een organisatiestructuur en de benodigde IT-objecten een architectuur.
Afbeelding 'Dreigingen/kwetsbaarheden van beleidsobjecten' toont dreigingen/kwetsbaarheden van de genoemde [[ISOR:BIO Thema Clouddiensten Beleid|beleidsobjecten]].
[[Afbeelding:Kwetsbaarheden_van_de_beleidsprincipes.png|thumb|none|650px|Dreigingen/kwetsbaarheden van beleidsobjecten|alt=”De dreigingen/kwetsbaarheden van de beleidsobjecten”]]
==Dreigingen/kwetsbaarheden cloud-beleidsobjecten==
Afbeelding 'Beleidsobjecten gestructureerd met de SIVA-methodiek' geeft voor het beleidsdomein en dankzijde vermelde dreigingen/kwetsbaarheden en risico’s de geïdentificeerde beveiligingsobjecten voor clouddiensten weer. Deze dreigingen/kwetsbaarheden en risico’s zijn niet uitputtend en illustreert de wijze waarop de schrijfgroep tot relevante beleidsobjecten is gekomen: eerst een longlist en vervolgens een shortlist. De objecten uit de shortlist zijn vervolgens gestructureerd met de [[SIVA-methodiek|SIVA-methodiek]]. SIVA staat voor Structuur, Inhoud, Vorm en Analysevolgorde. Ze zijn ingedeeld in de 3 domeinen: [[Beveiligingsaspect Beleid|beleid]], [[Beveiligingsaspect Uitvoering |uitvoering]] en [[Beveiligingsaspect Control|control]] en [[Alle invalshoeken|4 invalshoeken: intentie, functie, gedrag en structuur]].
[[Afbeelding:BIO Thema Clouddiensten - De Beleid objecten gestructureerd conform het SIVA raamwerk.png|thumb|none|800px|Beleidsobjecten gestructureerd met de SIVA-methodiek|alt=”De Beleidsobjecten gestructureerd met de SIVA-methodiek”]]
: → [[BIO Thema Clouddiensten/Risico's in relatie met clouddiensten#Dreigingen en/of kwetsbaarheden|Ga terug naar Dreigingen en/of kwetsbaarheden]]
Hieronder volgt [[Alle invalshoeken|per invalshoek]] een toelichting op het [[ISOR:BIO Thema Clouddiensten Uitvoering|uitvoeringsdomein]]:
* [[IFGS Intentie|Intentie]], In het uitvoeringsdomein zal de organisatie onder andere haar beleid vertalen naar richtlijnen voor het uitvoeren van een risicoanalyse en de implementatie vertalen naar procedures.
*[[IFGS Functie|Functie]], In dit domein worden voor clouddiensten organisatorische en technisch georiënteerde maatregelen getroffen.
*[[IFGS Gedrag|Gedrag]], De clouddiensten kennen een aantal specifieke elementen, zoals toegang en technisch georiënteerde componenten.
*[[IFGS Structuur|Structuur]], De clouddiensten moeten een goed overzicht bieden via een architectuur.
Afbeelding 'Dreigingen/kwetsbaarheden van uitvoeringsobjecten' toont de dreigingen/kwetsbaarheden van de genoemde [[ISOR:BIO Thema Clouddiensten Uitvoering|uitvoeringsobjecten]].
[[Afbeelding:BIO Thema Clouddiensten - De dreigingen en kwetsbaarheden van de benoemde Uitvoering objecten.png|thumb|none|650px|Dreigingen/kwetsbaarheden van uitvoeringsobjecten|alt=”De dreigingen en kwetsbaarheden van de uitvoeringsprincipes”]]
==Dreigingen/kwetsbaarheden cloud-uitvoeringsobjecten==
Het uitvoeringsdomein is op dezelfde wijze geanalyseerd als vermeld bij het [[BIO Thema Clouddiensten/Cloudbeveiligingsprincipes binnen het beleidsaspect|Cloudbeveiligingsobjecten binnen het beleidsdomein]]. Ook hier zijn de vermelde dreigingen/kwetsbaarheden en risico’s niet uitputtend benoemd. Afbeelding 'Uitvoeringsobjecten gestructureerd met de SIVA-methodiek' geeft voor het uitvoeringdomein en dankzijde vermelde dreigingen/kwetsbaarheden en risico’s de geïdentificeerde beveiligingsobjecten voor clouddiensten weer.
[[Afbeelding:BIO Thema Clouddiensten - De Uitvoering objecten gestructureerd conform het SIVA raamwerk.png|thumb|none|800px|Uitvoeringsobjecten gestructureerd met de SIVA-methodiek|alt=”De Uitvoeringsobjecten gestructureerd conform het SIVA-raamwerk”]]
: → [[BIO Thema Clouddiensten/Risico's in relatie met clouddiensten#Dreigingen en/of kwetsbaarheden|Ga terug naar Dreigingen en/of kwetsbaarheden]]
Hierna volgt een korte verantwoording over de aanpak, de keuzes die gemaakt zijn en de inhoudelijke objecten die gebruikt zijn in deze BIO Thema-uitwerking. Om te komen tot een thema-uitwerking die breed draagvlak heeft en toegevoegde waarde biedt aan overheidsorganisaties zijn de objecten getraceerd langs:
# Cloud Service Consumer (CSC)-eisen
# Bedreigingen/kwetsbaarheden
# Baselines
Overheidsorganisaties die inmiddels over specifieke normenkaders voor clouddiensten beschikken, zijn gevraagd om hun kaders, via deze thema-uitwerking voor een groter publiek open te stellen voor hergebruik.
==CSC-eisen==
Om de specifiek CSC-georiënteerde aandachtspunten te traceren, zijn vragen gesteld aan overheidsorganisaties om te komen tot een set van eisen en wensen. Met de eisen en wensen zijn objecten geïdentificeerd. Hierbij zijn aan doelorganisaties en cloud-groepssessies enkele vragen gesteld, zoals:
* Hoe kan deze thema-uitwerking de organisatie helpen bij het verwerven van clouddiensten?
* Wat moet minimaal uitgewerkt worden in de BIO Thema-uitwerking clouddiensten?
* Welke eisen worden door overheidsorganisaties gesteld bij het verwerven van clouddiensten?
* Zijn vanuit deze thema-uitwerking verbindingen noodzakelijk met functionele eisen voor clouddiensten en normatiek?
==Bedreigingen/kwetsbaarheden==
Om specifieke objecten te identificeren, is ook gericht op de algemene dreigingen en kwetsbaarheden die voortvloeien uit het toepassen van clouddiensten.
==Baselines==
Hiernaast zijn bestaande baselines geraadpleegd, voor zover ze specifiek zijn voor clouddiensten. De specifieke objecten, ook vanuit de eisen en wensen van de CSC-zijde en de dreigingen, uit de baselines zijn geselecteerd voor en toegespitst op de cloud-omgeving. Verder is er een koppeling gelegd met de [[BIO (Baseline Informatiebeveiliging Overheid)|BIO]] en met de [[NEN-ISO/IEC 27017:2015 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services)|ISO 27017]], die specifiek gericht is op clouddiensten. Afbeelding 'Traject totstandkoming BIO Thema-uitwerking Clouddiensten' geeft een overzicht van de beschreven stappen.
[[Afbeelding:BIO Thema Clouddiensten - Het traject van de totstandkoming van het thema cloud document.png|thumb|none|500px|Traject totstandkoming van de BIO Thema-uitwerking Clouddiensten|alt=”Het traject van de totstandkoming van het thema cloud document”]]
Deze BIO Thema-uitwerking bevat een referentiekader voor de BIO Thema-uitwerking Clouddiensten, door het [[Centrum Informatiebeveiliging en Privacybescherming (CIP)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]] opgesteld om overheidsorganisaties een beeld te geven van de meest relevante onderwerpen bij het verwerven van veilige clouddiensten. Deze thema-uitwerking is bedoeld als handreiking, gerelateerd aan de toepassing van de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] en verschaft een overzicht van de uitwerking van clouddienstenobjecten vanuit de optiek van de Cloud Service Consumer (CSC). Voor de beperking van de omvang van deze thema-uitwerking worden de geïdentificeerde objecten gerelateerd aan algemene clouddiensten. Deze thema-uitwerkingt doet geen uitspraken over de vraag of cloud ingezet mag worden. Die keuze is onderworpen aan het vigerend beleid. Bij een keuze voor cloud, kan deze thema-uitwerkingen worden gehanteerd bij de inrichting.
De BIO is verplicht verklaard voor de overheidspartijen. Vanwege de snelle ontwikkelingen van clouddiensten hebben overheidspartijen een grote behoefte aan overzicht en inzicht in de meest cruciale componenten die bij de verwerving van clouddiensten aandacht behoeven. Temeer omdat specifieke op clouddiensten gerichte beveiligingsobjecten ontbreken in de BIO. Dat komt omdat de BIO gebaseerd is op een generieke baseline [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|NEN-EN-ISO/IEC 27002:2017]] (hierna genoemd ISO 27002). Aanvullend op deze ISO-norm zijn door [[NEN (Stichting Koninklijk Nederlands Normalisatie Instituut)|NEN]]-EN-[[ISO (International Organization for Standardization)|ISO]]/[[IEC (International Electrotechnical Commission)|IEC]] een aantal implementatiekaders opgesteld en bestaan er kaders zoals het [[Cybersecurity Framework Version 1.1|Cybersecurity Framework (CSW)]] van [[NIST (National Institute of Standards and Technology)|National Institute of Standards and Technology (NIST)]] en de [[Cloud Controls Matrix (CCM)|Cloud Control Matrix (CCM)]] van [[CSA (Cloud Security Alliance)|Cloud Security Alliance (CSA)]], gericht op de beveiliging van clouddiensten. Ook de [[The Standard of Good Practice for Information Security 2018|The Standard of Good Practice (SoGP) 2018]], standaarden van de [[BSI (Bundesamt für Sicherheit in der Informationstechnik)|Bundesamt für Sicherheit in der Informationstechnik (BSI)]], [[ITU (International Telecommunication Union)|International Telecommunication Union (ITU)]] en de [[ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen|ICT-Beveiligingsrichtlijnen voor Webapplicaties]] van het [[NCSC (Nationaal Cyber Security Centrum)|Nationaal Cyber Security Centrum (NCSC)]] bevatten relevante controls en maatregelen voor clouddiensten. Een probleem voor overheidspartijen is dat een handig overzicht ontbreekt voor een samenvatting van alle relevante zaken over clouddiensten, eenduidig gerelateerd aan de BIO. Een veel gehoorde uitspraak is: ‘We zien door de bomen het bos niet meer.’.
De schrijfgroep heeft diverse workshops georganiseerd waarin verschillende overheidspartijen hebben geparticipeerd. Deze partijen hebben hun beleidsdocumenten ter beschikking gesteld en hun visie, risico’s en problematiek gedeeld waarmee ze in de praktijk geconfronteerd worden. Met deze informatie en risico’s verbonden aan clouddiensten heeft de schijfgroep deze thema-uitwerking opgesteld en ter review aan de overheidspartijen aangeboden. Versie 1.1 bevat een compleet beeld van onderwerpen die voor informatieveiligheid en privacy de aandacht vereisen bij de verwerving van clouddiensten. De privacyaspecten zijn in de [https://www.informatiebeveiligingsdienst.nl/product/handreiking-cloudcomputing-en-privacy/ handreiking Cloudcomputing en Privacy] van de [[IBD (Informatiebeveiligingsdienst)|Informatiebeveiligingsdienst (IBD)]] uitgewerkt.
Voor de structurering van deze thema-uitwerking is dezelfde systematiek gekozen als bij de overige [[Alle normenkaders|BIO Thema-uitwerkingen]]. De beschrijving van de systematiek is in deze thema-uitwerking kort weergegeven.
Deze thema-uitwerking beperkt zich tot die zaken, die vanuit de CSC richting de Cloud Service Provider (CSP) van belang zijn, inclusief de koppelvlakken tussen de CSC en de CSP. Uiteraard speelt de CSC in de informatieketen een belangrijke rol en moet zij haar IT-huishouding op orde hebben. Pas dan kan sprake zijn van een goede samenwerking tussen de CSC en de CSP. Dit gegeven is een belangrijk uitgangspunt voor stakeholders binnen de overheidspartijen.
Er zijn veel inhoudelijke suggesties en reacties ontvangen. De intentie van deze thema-uitwerking is de lezer verder te helpen bij vraagstukken over clouddiensten. Daar waar verbeterd kan worden, kan deze thema-uitwerking verrijkt worden met aangeleverde teksten.
<table class="wikitable">
<tr>
<th> ID </th>
<th> Betekenis van de objecten in relatie tot het thema </th>
<th> Vertaling naar Thema: Serverplatform </th>
</tr>
<tr>
<td> B.01 </td>
<td> Beleid en procedures informatietransport </td>
<td> De waarborging van de bescherming van informatie in netwerken, door inzet van beheerprocedures voor informatietransport en het hanteren van procedures voor bewaking van netwerken. </td>
</tr>
<tr>
<td> B.02 </td>
<td> Overeenkomsten informatietransport </td>
<td> Contracten en afspraken, waarin het dienstverleningsniveau, beveiligingsmechanismen en beheersingseisen voor netwerkdiensten zijn vastgelegd, zowel voor intern geleverde diensten als voor uitbestede diensten. </td>
</tr>
<tr>
<td> B.03 </td>
<td> Cryptografiebeleid </td>
<td> Beleid en afspraken, specifiek gericht op de toepassing van cryptografie binnen netwerken en communicatieservices. </td>
</tr>
<tr>
<td> B.04 </td>
<td> Organisatiestructuur netwerkbeheer </td>
<td> Opzet van de administratieve organisatie van netwerk en communicatiebeheer. </td>
</tr>
<tr>
<td> U.01 </td>
<td> Richtlijnen netwerkbeveiliging </td>
<td> Algemene, operationele beveiligingsrichtlijnen voor ontwerp, implementatie en beheer van communicatievoorzieningen. </td>
</tr>
<tr>
<td> U.02 </td>
<td> Beveiligde inlogprocedures </td>
<td> Is gerelateerd aan twee aspecten: Aanmelden en Procedure. · Aanmelden (inloggen) behelst het leggen van een verbinding- via authenticatie middelen. · De procedure is de samenhangende beschrijving van welke activiteiten moeten plaatsvinden. </td>
</tr>
<tr>
<td> U.03 </td>
<td> Netwerk beveiligingsbeheer </td>
<td> Het beheer van beveiligingsprocedures en -mechanismen. </td>
</tr>
<tr>
<td> U.04 </td>
<td> Vertrouwelijkheid- geheimhoudingsovereenkomst </td>
<td> De eisen die aan dienstverleners en partners gesteld worden in de operatie voor het waarborgen van de vertrouwelijkheid van gegevens en de uitvoering van bedrijfsprocessen. </td>
</tr>
<tr>
<td> U.05 </td>
<td> Beveiliging netwerkdiensten </td>
<td> De eisen die aan dienstverleners gesteld worden t.a.v. te nemen maatregelen voor beveiligingsmechanismen, het dienstverleningsniveau en de kwaliteit van de beheerprocessen. </td>
</tr>
<tr>
<td> U.06 </td>
<td> Zonering en filtering </td>
<td> Gaat over twee aspecten: Scheiding en Gecontroleerde doorgang. · Scheiding is het positioneren van netwerken in afzonderlijke fysieke ruimten of het segmenteren van netwerken in afzonderlijk te beveiligen (logische) domeinen. · Gecontroleerde doorgang is het reguleren van de toegang van personen tot netwerkvoorzieningen en/of het en filteren van informatiestromen op basis van beleidsregels met filters en algoritmen. </td>
</tr>
<tr>
<td> U.07 </td>
<td> Elektronische berichten </td>
<td> Beveiliging van elektronisch berichtenverkeer, zoals b.v. e-mail, web-verkeer, chat-sessies en ‘streaming’ audio en video. Beveiliging omvat maatregelen voor bescherming van het berichtenverkeer, zoals geautoriseerde toegang, correcte adressering en integer datatransport, beschikbaarheid en (wettelijke) bepalingen voor elektronische handtekening en onweerlegbaarheid. </td>
</tr>
<tr>
<td> U.08 </td>
<td> Toepassingen via openbare netwerken </td>
<td> Gebruik van openbare netwerken voor uitwisseling van informatie van uitvoeringsdiensten vereist bescherming tegen inbraak, waarmee frauduleuze praktijken, geschillen over contracten en onbevoegde openbaarmaking of onbevoegde wijziging kunnen worden voorkomen. </td>
</tr>
<tr>
<td> U.09 </td>
<td> Gateway / Firewall </td>
<td> Beveiligingsmechanisme voor zonering en gecontroleerde toegang. </td>
</tr>
<tr>
<td> U.10 </td>
<td> Virtual Private Networks (VPN) </td>
<td> Beveiligingsmechanisme voor het inrichten van een vertrouwd toegangspad tussen 2 of meerdere netwerk-nodes. </td>
</tr>
<tr>
<td> U.11 </td>
<td> Cryptografische services </td>
<td> Versleuteling van netwerkverkeer, met behulp van hardware of software voorzieningen, die kunnen voorkomen op alle zeven lagen van het OSI-model. Cryptografische services voor communicatie met partners en burgers maken gebruik van Public Key Infrastuctuur middelen, zoals de aan certificaten gebonden private en publieke sleutels. </td>
</tr>
<tr>
<td> U.12 </td>
<td> Wireless Access </td>
<td> Toegang tot draadloze netwerken bedoeld voor mobiele communicatie. </td>
</tr>
<tr>
<td> U.13 </td>
<td> Netwerk connecties </td>
<td> Verbindingen netwerk-eindpunten (nodes) worden beheerd en zijn vastgelegd in een netwerktopologie. </td>
</tr>
<tr>
<td> U.14 </td>
<td> Netwerk authenticatie </td>
<td> Voorziening, die controleert of een netwerkdevice geautoriseerd is om op het netwerk te kunnen worden aangesloten. </td>
</tr>
<tr>
<td> U.15 </td>
<td> Netwerkbeheeractiviteit </td>
<td> Activiteiten die uitsluitend door netwerkbeheerders kunnen worden uitgevoerd op communicatievoorzieningen. </td>
</tr>
<tr>
<td> U.16 </td>
<td> Vastleggen netwerkevents </td>
<td> Het uniek en onveranderlijk vastleggen van (beveiligings) gebeurtenissen in een netwerk (in een audit-logfile). </td>
</tr>
<tr>
<td> U.17 </td>
<td> Netwerksecurityarchitectuur </td>
<td> Beschrijving en beelden van de structuur en onderlinge samenhang van de verschillende beveiligingsfuncties in een netwerk. </td>
</tr>
<tr>
<td> C.01 </td>
<td> Naleving richtlijnen netwerkbeheer en evaluatie. </td>
<td> Evaluatie op de naleving van netwerkbeveiligingsbeleid. </td>
</tr>
<tr>
<td> C.02 </td>
<td> Netwerksecurity Compliance checking </td>
<td> Periodieke toetsing en managementrapportage over naleving van het beveiligingsbeleid voor netwerkdiensten. </td>
</tr>
<tr>
<td> C.03 </td>
<td> Evalueren robuustheid netwerkbeveiliging </td>
<td> Toetsing van de robuustheid (resilience) van beveiligingsfuncties in communicatievoorzieningen. </td>
</tr>
<tr>
<td> C.04 </td>
<td> Evalueren gebeurtenissen (monitoring) </td>
<td> Het beoordelen van de (doorlopend) verzamelde security gerelateerde gebeurtenissen in netwerken. </td>
</tr>
<tr>
<td> C.05 </td>
<td> Beheersorganisatie netwerkbeveiliging </td>
<td> De opzet van een toereikende organisatiestructuur voor het beheren van- en rapporteren over netwerken en communicatievoorzieningen. </td>
</tr>
<caption align="bottom">Communicatievoorzieningen, Omschrijving van de geïdentificeerde ISO-27002 objecten</caption></table>
Deze BIO Thema-uitwerking bevat een referentiekader voor de BIO Thema-uitwerking Communicatievoorzieningen. Het is geënt op controls uit de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO) 2019]], [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|NEN-EN-ISO/IEC 27002:2017]] (hierna genoemd ISO 27002), implementatiestandaarden-reeks ISO 27033 en tevens op best practices van de [[BSI (Bundesamt für Sicherheit in der Informationstechnik)|Bundesamt für Sicherheit in der Informationstechnik (BSI)]] en [[The Standard of Good Practice for Information Security 2018|The Standard of Good Practice (SoGP) 2018]].
==Opzet BIO Thema-uitwerking==
De BIO Thema-uitwerking Communicatievoorzieningen brengt de voor communicatiebeveiliging relevante controls uit de BIO overzichtelijk bij elkaar. Vervolgens zijn relevante items die ontbraken, aangevuld uit andere baselines, zoals de BSI en SoGP. De [[patronen|NORA-patronen]] zijn gebruikt voor afbeeldingen en begeleidende teksten. NORA staat voor Nederlandse Overheid Referentie Architectuur De implementatiestandaard ISO 27033 deel 1 t/m 6 biedt, gerelateerd aan de ISO 27002, overzicht en een technische duiding van netwerkbeveiliging.
Deze thema-uitwerking volgt de standaardopzet voor [[Alle normenkaders|BIO Thema-uitwerkingen]]:
# Context en globale structuur van de thema-uitwerking [[BIO Thema Communicatievoorzieningen/Inleiding#Context van communicatievoorzieningen|(zie hoofdstuk Context van communicatievoorzieningen)]]
# Scope en begrenzing van de thema-uitwerking [[BIO Thema Communicatievoorzieningen/Inleiding#Scope en begrenzing|(zie hoofdstuk Scope en begrenzing)]]
# Globale relaties tussen de geïdentificeerde beveiligingsobjecten [[BIO Thema Communicatievoorzieningen/Inleiding#Globale relaties tussen de beveiligingsobjecten|(zie hoofdstuk Globale relaties tussen de beveiligingsobjecten)]]
==Context communicatievoorzieningen==
De basis voor de uitwerking van de BIO Thema-uitwerking Communicatievoorzieningen is de BIO. In hoofdstuk 13 van de BIO worden verschillende typen communicatievoorzieningen genoemd, zoals geïllustreerd in de afbeelding 'Schematische weergave context communicatievoorzieningen', te weten:
* Openbare diensten, Het gebruik van openbare diensten, zoals: instant messaging en sociale media (vehikel).
* Elektronische berichten, Informatie opgenomen in elektronische berichten (inhoud).
* Informatietransport, Het transporteren van informatie via allerlei communicatiefaciliteiten, zoals: e-mail, telefoon, fax en video (inhoud).
* Netwerkdiensten, Het leveren van aansluitingen, zoals: firewalls, gateways, detectiesystemen en technieken voor te beveiligen netwerkdiensten, zoals authenticatie (vehikel).
* Netwerk (infrastructuur), Dit betreft de fysieke en logische verbindingen (vehikel).
[[Afbeelding:Schematische weergave context communicatievoorzieningen feb 2021.png|thumb|none|400px|Schematische weergave context communicatievoorzieningen|alt=”Schematische weergave context communicatievoorzieningen”]]
Iedere organisatie met klantprocessen past deze communicatievoorzieningen toe en heeft een of meer koppelingen met de buitenwereld ingericht. Deze communicatie verloopt altijd via het onderste element: de netwerkinfrastructuur. Het gebruik van netwerkvoorzieningen vindt plaats zowel mobiel als via vaste netwerkvoorzieningen.
In de praktijk bestaan er veel verschillende soorten koppelingen en een verscheidenheid aan netwerkvoorzieningen. Onderstaande afbeelding schetst de belangrijkste soorten van netwerkkoppelingen:
* Tussen organisaties onderling
* Tussen organisaties en publieke netwerken
* Binnen organisaties
[[Afbeelding:Thema Communicatievoorzieningen - Soorten netwerkkoppelingen.png|thumb|none|400px|Overzicht soorten netwerkkoppelingen|alt=”Overzicht soorten netwerkkoppelingen”]]
Het doel van een netwerk is de uitwisseling van data tussen informatiedomeinen. Een informatiedomein bestaat uit een op hard- en softwarematige gebaseerde beveiligde verzameling van informatie.
De beveiligingsmaatregelen binnen de ISO-standaard hebben betrekking op de hiervoor vermelde communicatievoorzieningen. Een van de meest toegepaste beveiligingsmaatregelen van de netwerkinfrastructuur is segmentering en compartimentering, tezamen zonering genoemd.
Naast zonering zijn er andere beveiligingsobjecten van toepassing, zoals: ‘vertrouwd toegangspad’ en beveiliging in ‘koppelvlakken’. Hiervoor bieden de NORA-patronen een praktische invulling.
In deze thema-uitwerking wordt een netwerk beschouwd als een infrastructuur (transportmedium), bestaande uit fysieke en logische verbindingen voorzien van koppelvlakken. Netwerken kunnen daarbij worden opgedeeld in segmenten, waarbij meerdere systemen logisch met elkaar gekoppeld zijn binnen één segment.
==Scope en begrenzing communicatievoorzieningen==
Deze BIO Thema-uitwerking omvat een set communicatie-beveiligingsobjecten en -maatregelen voor netwerkvoorzieningen <sup class="reference smartref" id="cite_ref-ISO27033_1-0">[[BIO Thema Communicatievoorzieningen/Inleiding#cite_note-ISO27033-1|1]]</sup>, zoals weergegeven in de afbeelding 'Schematische weergave context communicatievoorzieningen'. De uitwerking van deze thema-uitwerking beperkt zich tot deze type communicatievoorzieningen.
Er zijn essentiële objecten uit andere best practices dan de BIO gebruikt, die gerelateerd zijn aan dit type communicatievoorzieningen. Bepaalde typen communicatiefaciliteiten, zoals: Voice over IP (VOIP), intranet en extranet zijn in deze BIO Thema-uitwerking niet uitgewerkt. Er wordt niet diepgaand ingegaan op:
* bepaalde typen verbindingen, zoals Virtual Private Network (VPN)- en gateway-verbindingen;
* communicatievoorzieningen, zoals instant messaging en e-mail.
De begrenzing van deze BIO Thema-uitwerking is in onderstaande afbeelding weergegeven.
[[Bestand:CVZ Relatie BIO Thema-uitwerking met aanpalende documenten.png|thumb|none
|500px|Relatie BIO Thema-uitwerking Communicatievoorzieningen met aanpalende documenten|alt=”Relatie BIO Thema-uitwerking met aanpalende documenten”]]
==Globale relaties tussen beveiligingsobjecten==
Onderstaande afbeelding geeft een voorbeeld van de toepassing van enkele beveiligingsobjecten in een informatievoorzieningslandschap waarin een organisatie met een gebruiker communiceert. Daarbij is sprake van netwerkconnecties die de verschillende netwerken en informatievoorzieningen met elkaar verbinden.
[[Afbeelding:Thema Communicatievoorzieningen - Toepassing van beveiligingsobjecten.png|thumb|none|400px|Toepassing van beveiligingsobjecten|alt=”Toepassing beveiligingsobjecten”]]
Veilige koppelingen tussen organisaties en gebruikers kunnen worden opgezet met VPN’s.
Gateways en firewalls zorgen met zonering en filtering voor de beoogde scheiding van de binnen- en buitenwereld en een gecontroleerde doorgang van vertrouwde informatie.
Cryptografische services verzorgen de zonering voor het gegevenstransport via private en publieke netwerken, zodat informatie veilig kan worden uitgewisseld en bedrijfstoepassingen kunnen worden gebruikt.
In de beschermde kantooromgeving van grote organisaties worden mobiele werkplekken met het bedrijfsnetwerk verbonden via draadloze toegang en worden beveiligd met onder andere netwerkauthenticatie.
Een netwerkbeheerorganisatie draagt met richtlijnen zorg voor de instandhouding van netwerkbeveiliging en het actueel houden van beveiligingsmaatregelen.
Via het vastleggen van events, de evaluatie van de netwerkmonitoring en het evalueren van de netwerkbeveiliging worden de actuele werking van de maatregelen getoetst en waar nodig versterkt.
Meer over de technologie van beveiligingsobjecten is te vinden op de [[NORA online]] onder het thema [[Beveiliging]] bij de 'Patronen voor informatiebeveiliging'.
==Inleiding en doel==
Dit document biedt de gebruiker een korte samenvatting van het thema Communicatievoorzieningen en legt daarbij een verbinding tussen de BIO-norm met de uitvoeringspraktijk. Doel van dit document en elk BIO-thema, is organisaties handvatten te bieden en wegwijs te maken in welke beveiligingsnormen van toepassing zijn per aandachtsgebied en welke praktijkhulp daarbij beschikbaar is.
==Context==
De basis voor de uitwerking van het thema Communicatievoorzieningen is de BIO en daarmee in het bijzonder Hoofdstuk 13 van ISO-27002; hierin worden verschillende type communicatievoorzieningen genoemd, zoals geschetst in onderstaande figuur:
* Openbare diensten – het gebruik van openbare diensten, zoals: Instant messaging en sociale media (IV);
* Elektronische berichten – Informatie opgenomen in elektronische berichten (Data);
* Informatietransport - het transporteren van informatie via allerlei communicatiefaciliteiten, zoals: email, telefoon, fax video (Data);
* Netwerkdiensten - het leveren van aansluitingen, zoals: firewalls, gateways, detectiesystemen en technieken voor de beveiligen netwerkdiensten, zoals authenticatie (IV);
* Netwerk (infrastructuur) - het betreft fysieke en logische verbindingen (IV).
[[Bestand:CVZ Schematische weergave context communicatievoorzieningen.png||thumb|none|500px|Schematische weergave context communicatievoorzieningen|alt=”Schematische weergave context communicatievoorzieningen”]]
Iedere organisatie met klantprocessen, gebruikt communicatievoorzieningen en heeft daarvoor één of meer koppelingen met de buitenwereld ingericht. Deze communicatie verloopt altijd via de onderste element: de netwerkinfrastructuur. Het gebruik van netwerkvoorzieningen vindt plaats zowel mobiel als via vaste netwerkvoorzieningen. In de praktijk bestaan er veel verschillende soorten koppelingen en een verscheidenheid aan netwerkvoorzieningen.
De beveiligingsmaatregelen binnen ISO hebben betrekking op de boven vermelde communicatievoorzieningen. Een van de belangrijkste beveiligingsmaatregelen van netwerkinfrastructuur is segmentering. Hierbij zijn beveiligingsobjecten van toepassing, zoals: zonering, filtering, vertrouwd toegangspad en koppelvlakken. Hiervoor bieden de NORA patronen een praktische invulling.
In dit thema beschouwen we een netwerk als een infrastructuur (transportmedium) bestaande uit fysieke en logische verbindingen voorzien van koppelvlakken.
==Beveiligingsobjecten met cross reference naar handreikingen==
Tabel "Beveiligingsobjecten met bronverwijzing" geeft een overzicht van de relevante, voor communicatiebeveiliging toe te passen beveiligingsobjecten, die afgeleid zijn van BIO-controls met een verwijzing naar praktische handreikingen. Daar waar er sprake is van een 1:1 relatie met BIO-controls, is dat hieronder aangegeven.
De handreikingen zijn de door ISO gepubliceerde implementatiegidsen zoals ISO27033, de NIST, de Standard of Good Practice van ISF en NORA patronen. Hieronder is gekozen voor een alfabetische bronverwijzing per document, waarbij na de letter, b.v: a) het hoofdstuk/paragraaf wordt vermeld.
De Bronverwijzing geeft het Documentnaam, Versie, Eigenaar en Toelichting.
Voor dreigingen, aanbevelingen, planning en ontwerp van organisatie en techniek, kan de BSI: IT-Grundschutz catalogues worden geraadpleegd, die vrij toegankelijk is op internet; zie bronverwijzing.
<table class="wikitable"><tr style="background-color:#d9d9d9">
<tr>
<th class="tg-0lax"> Beveiligingsobject </th>
<th class="tg-0lax"> BIO Control </th>
<th class="tg-0lax"> Handreikingen Zie Bronverwijzing voor documentnaam en details. </th>
<th class="tg-0lax"> Toelichting of link </th>
</tr>
<tr>
<td class="tg-0lax"> Beleid en procedures informatietransport </td>
<td class="tg-0lax"> 13.2.1 </td>
<td class="tg-0lax"> a)-6.2 </td>
<td class="tg-0lax"> Overview and Concepts. Het algemene deel van Network Security </td>
</tr>
<tr>
<td class="tg-0lax"> Overeenkomsten informatietransport </td>
<td class="tg-0lax"> 13.2.2 </td>
<td class="tg-0lax"> g)-S.6 </td>
<td class="tg-0lax"> Guidelines for the design and implementation of network security </td>
</tr>
<tr>
<td class="tg-0lax"> Cryptografiebeleid </td>
<td class="tg-0lax"> 10.1.1; 18.1.5.1 </td>
<td class="tg-0lax"> a)- 8.8 </td>
<td class="tg-0lax"> Reference networking scenario’s Threats design techniques and control issues </td>
</tr>
<tr>
<td class="tg-0lax"> Organisatiestructuur Netwerkbeheer </td>
<td class="tg-0lax"> ISO 27001 ISMS </td>
<td class="tg-0lax"> a)-8.2, l) </td>
<td class="tg-0lax"> Securing communications between networks using security gateways </td>
</tr>
<tr>
<td class="tg-0lax"> Richtlijnen netwerkbeveiliging </td>
<td class="tg-0lax"> Niet in BIO </td>
<td class="tg-0lax"> a) -8.2.2.3, b)-6,7,8 </td>
<td class="tg-0lax"> Securing communications across networks using Virtual Private Networks </td>
</tr>
<tr>
<td class="tg-0lax"> Beveiligde inlogprocedure </td>
<td class="tg-0lax"> 9.4.2 </td>
<td class="tg-0lax"> a)-8.4 </td>
<td class="tg-0lax"> Securing wireless IP network access </td>
</tr>
<tr>
<td class="tg-0lax"> Netwerk beveiligingsbeheer </td>
<td class="tg-0lax"> 13.1.1 </td>
<td class="tg-0lax"> a)-8.2 </td>
<td class="tg-0lax"> https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/itgrundschutzkataloge_node.html </td>
</tr>
<tr>
<td class="tg-0lax"> Vertrouwelijkheid/geheimhoudingsovereenkomst </td>
<td class="tg-0lax"> 13.2.4 </td>
<td class="tg-0lax"> j) Roles and Responsibilities NW1.1 </td>
<td class="tg-0lax"> Institute of Standards and Technology: www.nist.gov </td>
</tr>
<tr>
<td class="tg-0lax"> Beveiliging netwerkdiensten </td>
<td class="tg-0lax"> 13.1.2 </td>
<td class="tg-0lax"> a)-10.6 </td>
<td class="tg-0lax"> Patronen: https://www.noraonline.nl/wiki/Beveiliging </td>
</tr>
<tr>
<td class="tg-0lax"> Zonering en filtering </td>
<td class="tg-0lax"> 13.1.3 </td>
<td class="tg-0lax"> a)-10.7, b)-7.2.3, i)-Zoneringsmodel </td>
<td class="tg-0lax"> Information Security Forum: www.securityforum.org </td>
</tr>
<tr>
<td class="tg-0lax"> Elektronische berichten </td>
<td class="tg-0lax"> 13.2.3 </td>
<td class="tg-0lax"> a)-10.3, 10.8 </td>
<td class="tg-0lax"> Nationaal Cyber Security Centrum (NCSC): www.ncsc.nl </td>
</tr>
<tr>
<td class="tg-0lax"> Toepassingen via openbare netwerken </td>
<td class="tg-0lax"> 14.2.1 </td>
<td class="tg-0lax"> </td>
<td class="tg-0lax"> Information Technology Infrastructure Library </td>
</tr>
<tr>
<td class="tg-0lax"> Gateway / Firewall </td>
<td class="tg-0lax"> Niet in BIO </td>
<td class="tg-0lax"> d) geheel, i)-NORA Koppelvlak, j)-NC1.5 </td>
<td class="tg-0lax"> ISO-kader voor: Encryption Algorithms </td>
</tr>
<tr>
<td class="tg-0lax"> Virtual Private Networks (VPN) </td>
<td class="tg-0lax"> Niet in BIO </td>
<td class="tg-0lax"> e) geheel, i)-NORA Vertrouwd toegangspad </td>
<td class="tg-0lax"> ISO-Information Security Management Systems Guidance </td>
</tr>
<tr>
<td class="tg-0lax"> Cryptografische service </td>
<td class="tg-0lax"> Hoofdstuk 10 </td>
<td class="tg-0lax"> a)-8.2.2.5, i)-NORA Encryptie patronen, j) NC1.1 </td>
<td class="tg-0lax"> Encryption algorithms: Asymmetric ciphers </td>
</tr>
<tr>
<td class="tg-0lax"> Wireless Access </td>
<td class="tg-0lax"> Niet in BIO </td>
<td class="tg-0lax"> f) geheel, i)-NORA Draadloos netwerk </td>
<td class="tg-0lax"> Korte beschrijving van het SIVA raamwerk met een uitgewerkte casus van de wijze waarop SIVA toegepast kan worden. </td>
</tr>
<tr>
<td class="tg-0lax"> Netwerk connecties </td>
<td class="tg-0lax"> Niet in BIO </td>
<td class="tg-0lax"> a)-8.2.2.5, i)-NORA Koppelvlak </td>
<td class="tg-0lax"></td>
</tr>
<tr>
<td class="tg-0lax"> Netwerk authenticatie </td>
<td class="tg-0lax"> Niet in BIO </td>
<td class="tg-0lax"> i)-NORA Beschouwingsmodel Netwerk </td>
<td class="tg-0lax"></td>
</tr>
<tr>
<td class="tg-0lax"> Netwerkbeheeractiviteit </td>
<td class="tg-0lax"> 13.1 </td>
<td class="tg-0lax"> a), b)-8.4 </td>
<td class="tg-0lax"></td>
</tr>
<tr>
<td class="tg-0lax"> Vastleggen netwerkevents </td>
<td class="tg-0lax"> 12.4 </td>
<td class="tg-0lax"> a), b)-8.5 </td>
<td class="tg-0lax"></td>
</tr>
<tr>
<td class="tg-0lax"> Netwerk security architectuur </td>
<td class="tg-0lax"> Niet in BIO </td>
<td class="tg-0lax"> a)-9.2, b)-8.6, NORA div. patronen, j) Network design </td>
<td class="tg-0lax"></td>
</tr>
<tr>
<td class="tg-0lax"> Naleving richtlijnen netwerkbeheer en evaluaties </td>
<td class="tg-0lax"> 18.2.2 </td>
<td class="tg-0lax"> j) Corporate Governance: SM1.1.1, SM3.5.2 </td>
<td class="tg-0lax"></td>
</tr>
<tr>
<td class="tg-0lax"> Netwerk security compliancy checking </td>
<td class="tg-0lax"> 18.2.3 </td>
<td class="tg-0lax"> a)-8.2.2.4, b)-7.2.6, 8.7 </td>
<td class="tg-0lax"></td>
</tr>
<tr>
<td class="tg-0lax"> Evalueren robuustheid netwerkbeveiliging </td>
<td class="tg-0lax"> 18.2.1, 18.1.2, ISO 27001 ISMS </td>
<td class="tg-0lax"> a)-8.2.5, j) Network resilience: NW1.3 </td>
<td class="tg-0lax"></td>
</tr>
<tr>
<td class="tg-0lax"> Evalueren gebeurtenissen (monitoring) </td>
<td class="tg-0lax"> 16.1 </td>
<td class="tg-0lax"> a)-8.2.4 </td>
<td class="tg-0lax"></td>
</tr>
<tr>
<td class="tg-0lax"> Beheersorganisatie Netwerkbeveiliging </td>
<td class="tg-0lax"> 13.1 </td>
<td class="tg-0lax"> n), j) Network Documentation: NW 1.4 </td>
<td class="tg-0lax"></td>
<caption align="bottom">Communicatievoorzieningen, ISOR:Communicatievoorzieningen - Beveiligingsobjecten met bronverwijzing</caption></table>
[[Categorie:ISOR]] [[Categorie:BIO Thema Communicatievoorzieningen]]
==Overzicht objecten gepositioneerd in BUC/IFGS matrix==
Hieronder zijn alle onderwerpen voor communicatiebeveiliging samengevat. Vervolgens worden deze onderwerpen (objecten) verbonden aan BIO-‘controls’, of aan controls uit andere relevante standaarden. De figuur 'Voor Communicatievoorzieningen relevante beveiligingsobjecten' is het resultaat van een volledigheidsanalyse, uitgevoerd met de SIVA methode (zie: SIVA toepassingssystematiek).
De wit ingekleurde objecten zijn relevant voor het thema, maar ontbreken als control in de ISO 27002. Ze zijn afkomstig uit andere standaarden en ISO implementatiegidsen (zie: cross-reference).
[[Bestand:CVZ Overzicht beveiligingsobjecten.png|thumb|none|500px|Voor Communicatievoorzieningen relevante beveiligingsobjecten|alt=”Voor Communicatievoorzieningen relevante beveiligingsobjecten”]]
==Bronverwijzing==
Onderstaande lijst van brondocumenten verwijst waar mogelijk naar publiek- toegankelijke documenten.
* Om ‘dode’ verwijzingen te voorkomen is minimaal gebruik gemaakt van links.
* Via Rijksweb of overheids interne websites of Google-search kunnen de documenten gevonden worden.
* Op NEN-ISO/IEC documenten rusten licentierechten; voor de overheid zijn deze afgekocht (log in via NEN-connect).
* Voor raadplegen van ISF documenten, zoals o.a. de SoGP moet de gebruikersorganisatie lid zijn van het ISF.
* IT-Grundschutz, NORA en NIST zijn vrij toegankelijk op internet.
<table class="wikitable"><tr style="background-color:#d9d9d9">
<tr>
<th class="tg-s268"> Nr. </th>
<th class="tg-0lax"> Documentnaam </th>
<th class="tg-0lax"> Versie </th>
<th class="tg-0lax"> Eigenaar </th>
<th class="tg-0lax"> Toelichting of link </th>
</tr>
<tr>
<td class="tg-0lax"> a) </td>
<td class="tg-0lax"> ISO 27033 Deel 1 </td>
<td class="tg-0lax"> Aug 2015 </td>
<td class="tg-0lax"> NEN-ISO/IEC </td>
<td class="tg-0lax"> Overview and Concepts. Het algemene deel van Network Security </td>
</tr>
<tr>
<td class="tg-0lax"> b) </td>
<td class="tg-0lax"> ISO 27033 Deel 2 </td>
<td class="tg-0lax"> Aug 2012 </td>
<td class="tg-0lax"> NEN-ISO/IEC </td>
<td class="tg-0lax"> Guidelines for the design and implementation of network security </td>
</tr>
<tr>
<td class="tg-0lax"> c) </td>
<td class="tg-0lax"> ISO 27033 Deel 3 </td>
<td class="tg-0lax"> Dec 2010 </td>
<td class="tg-0lax"> NEN-ISO/IEC </td>
<td class="tg-0lax"> Reference networking scenario’s Threats design techniques and control issues </td>
</tr>
<tr>
<td class="tg-0lax"> d) </td>
<td class="tg-0lax"> ISO 27033 Deel 4 </td>
<td class="tg-0lax"> Feb 2014 </td>
<td class="tg-0lax"> NEN-ISO/IEC </td>
<td class="tg-0lax"> Securing communications between networks using security gateways </td>
</tr>
<tr>
<td class="tg-0lax"> e) </td>
<td class="tg-0lax"> ISO 27033 Deel 5 </td>
<td class="tg-0lax"> Aug 2013 </td>
<td class="tg-0lax"> NEN-ISO/IEC </td>
<td class="tg-0lax"> Securing communications across networks using Virtual Private Networks </td>
</tr>
<tr>
<td class="tg-0lax"> f) </td>
<td class="tg-0lax"> ISO 27033 Deel 6 </td>
<td class="tg-0lax"> Juni 2016 </td>
<td class="tg-0lax"> NEN-ISO/IEC </td>
<td class="tg-0lax"> Securing wireless IP network access </td>
</tr>
<tr>
<td class="tg-0lax"> g) </td>
<td class="tg-0lax"> BSI: IT-Grundschutz </td>
<td class="tg-0lax"> 2013 </td>
<td class="tg-0lax"> DE gov. </td>
<td class="tg-0lax"> https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/itgrundschutzkataloge_node.html </td>
</tr>
<tr>
<td class="tg-0lax"> h) </td>
<td class="tg-0lax"> NIST </td>
<td class="tg-0lax"> nvt </td>
<td class="tg-0lax"> US gov. </td>
<td class="tg-0lax"> Institute of Standards and Technology: www.nist.gov </td>
</tr>
<tr>
<td class="tg-0lax"> i) </td>
<td class="tg-0lax"> NORA, thema beveiliging </td>
<td class="tg-0lax"> Wiki </td>
<td class="tg-0lax"> NL gov. </td>
<td class="tg-0lax"> Patronen: https://www.noraonline.nl/wiki/Beveiliging </td>
</tr>
<tr>
<td class="tg-0lax"> j) </td>
<td class="tg-0lax"> ISF Standard of Good Practice (SoGP) </td>
<td class="tg-0lax"> 2007 </td>
<td class="tg-0lax"> ISF </td>
<td class="tg-0lax"> Information Security Forum: www.securityforum.org </td>
</tr>
<tr>
<td class="tg-0lax"> k) </td>
<td class="tg-0lax"> NCSC (diverse documenten) </td>
<td class="tg-0lax"> nvt </td>
<td class="tg-0lax"> NCSC </td>
<td class="tg-0lax"> Nationaal Cyber Security Centrum (NCSC): www.ncsc.nl </td>
</tr>
<tr>
<td class="tg-0lax"> l) </td>
<td class="tg-0lax"> ITIL </td>
<td class="tg-0lax"> Versie 3 </td>
<td class="tg-0lax"> ITIL foundation </td>
<td class="tg-0lax"> Information Technology Infrastructure Library </td>
</tr>
<tr>
<td class="tg-0lax"> m) </td>
<td class="tg-0lax"> ISO 18033-1 General </td>
<td class="tg-0lax"> Aug 2015 </td>
<td class="tg-0lax"> NEN-ISO/IEC </td>
<td class="tg-0lax"> ISO-kader voor: Encryption Algorithms </td>
</tr>
<tr>
<td class="tg-0lax"> n) </td>
<td class="tg-0lax"> ISO 27003 ISMS </td>
<td class="tg-0lax"> Apr 2017 </td>
<td class="tg-0lax"> NEN-ISO/IEC </td>
<td class="tg-0lax"> ISO-Information Security Management Systems Guidance </td>
</tr>
<tr>
<td class="tg-0lax"> o) </td>
<td class="tg-0lax"> ISO 18033-2 </td>
<td class="tg-0lax"> Juni 2006 </td>
<td class="tg-0lax"> NEN-ISO/IEC </td>
<td class="tg-0lax"> Encryption algorithms: Asymmetric ciphers </td>
</tr>
<tr>
<td class="tg-0lax"> p) </td>
<td class="tg-0lax"> SIVA toepassingssystematiek </td>
<td class="tg-0lax"> Versie 0.4 </td>
<td class="tg-0lax"> Werkgroep Normatiek </td>
<td class="tg-0lax"> Korte beschrijving van het SIVA raamwerk met een uitgewerkte casus van de wijze waarop SIVA toegepast kan worden. </td>
</tr>
<caption align="bottom">Communicatievoorzieningen, Bronverwijzing</caption></table>
[[Categorie:ISOR]] [[Categorie:BIO Thema Communicatievoorzieningen]]
==Schematische weergave huisvesting IV-objecten==
Huisvesting IV omvat een geheel van objecten voor het leveren van betrouwbare hostingdiensten. De essentiële objecten van huisvesting IV worden in afbeelding 'Schematische weergave huisvesting IV-objecten' weergegeven. De elementen worden toegelicht in het [[ISOR:BIO Thema Huisvesting Informatievoorziening Beleid|beleids-]], [[ISOR:BIO Thema Huisvesting Informatievoorziening Uitvoering|uitvoerings-]] en [[ISOR:BIO Thema Huisvesting Informatievoorziening Control|control-domein]].
[[Bestand:HVI Schematische weergave huisvesting informatievoorzieningsobjecten.png|none|thumb|500px|Schematische weergave huisvesting IV-objecten|alt=” Schematische weergave huisvesting IV-objecten”]]
==Beleidsdomein==
Binnen het beleidsdomein bevat huisvesting IV randvoorwaarden. Objecten die als randvoorwaarden gelden voor de gehele huisvesting IV zijn: beleid, wet- en regelgeving, contracten en organisatiestructuur e.d.
==Uitvoeringsdomein==
Binnen het uitvoeringsdomein bevat huisvesting IV een scala aan componenten die grofweg zijn onder te verdelen in:
* Terrein, Terrein betreft de locaties van huisvesting IV.
* Gebouwen, faciliteiten en werkruimten, Gebouwen, faciliteiten en werkruimten zijn de aan huisvesting IV-georiënteerde objecten. Ze zorgen voor het fysieke bestaan van huisvesting IV. Onder het fysieke bestaan vallen ook de terreinen en de zonering (in ruimten) van gebouwen.
* Voorzieningen, Voorzieningen zijn gerelateerd aan de fysiek georiënteerde objecten voor huisvesting IV. Dit is gericht op bedrijfsmiddelen en nutsvoorzieningen (zoals gas, elektra, water maar ook brandblussers etc.). Er zijn bedrijfsmiddelen en specifieke IT-middelen ingezet waarmee huisvesting IV-diensten worden geleverd. Deze middelen zijn continu onderhevig aan veranderingen en vernieuwingen. Voor een optimale dienstverlening moeten deze middelen onderhouden en/of gecontroleerd worden. Met andere woorden, dit zijn zowel fysieke als elektronisch en informatietechnologie-gerelateerde objecten voor de te leveren huisvesting IV-diensten.
==Control-domein==
Binnen het control-domein bevat huisvesting IV beoordelingsrichtlijnen en procedures. De beoordelingsrichtlijnen zijn vastgesteld voor het evalueren van vastgestelde randvoorwaarden en uitvoeringscomponenten.
==Organisatie huisvesting IV-objecten==
De geïdentificeerde huisvesting IV-objecten zijn met het beleids-, uitvoerings- en control-domein georganiseerd. Hiermee worden deze aspecten in een juiste contextuele samenhang gepositioneerd. De betekenissen van de lagen zijn:
* Beleidsdomein, Binnen dit domein bevinden zich conditionele elementen over huisvesting IV. Hier zijn eisen opgenomen over geboden en verboden, zoals het huisvesting IV-beleid, de te hanteren wet- en regelgeving en andere vormen van reguleringen en beperkingen.
* Uitvoeringsdomein, Binnen dit domein bevinden zich:
** elementen die gerelateerd zijn aan operationele activiteiten van huisvesting IV;
** elementen die aangeven hoe deze activiteiten georganiseerd moeten zijn;
** elementen die gerelateerd zijn aan beveiligingsaspecten die bij de activiteiten in acht moeten worden genomen.
* Control-domein, Binnen dit domein bevinden zich elementen die zorgdragen voor de beheersing en/of het in standhouden van de activiteiten in relatie tot huisvesting IV en of deze wel naar wens verlopen.
Objecten worden inclusief omschrijving opgeslagen in de objectenbibliotheek ISOR. ISOR staat voor Information Security Object Repository. Enkele van de objecten zijn uniek voor de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]. Objecten die aanvullend aan de [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002]] voor de beveiliging van een bepaald toepassingsgebied nodig geacht worden, zijn met de [[SIVA-methodiek|Structuur, Inhoud, Vorm en Analysevolgorde (SIVA)-methodiek]] bepaald. Deze relateren zo mogelijk aan standaarden als de [[The Standard of Good Practice for Information Security 2018|Standard of Good Practice (SoGP)]].
Deze thema-uitwerking bevat een referentiekader voor de BIO Thema-uitwerking Huisvesting Informatievoorzieningen, hierna genoemd Huisvesting IV. Het is gebaseerd op de controls uit de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]. Voor die aspecten, waar de BIO onvoldoende praktische invulling geeft, zijn onder andere de volgende best practices geraadpleegd: [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|NEN-EN-ISO/IEC 27002:2017]] hierna genoemd ISO 27002, [[The Standard of Good Practice for Information Security 2018|The Standard of Good Practice (SoGP) 2018]] en diverse van de [[NIST (National Institute of Standards and Technology)|National Institute of Standards and Technology (NIST)]].
Afbeelding 'Overzicht BIO-thema’s en positie thema Huisvesting IV' geeft de relatie weer tussen het thema Huisvesting IV en de overige [[Alle normenkaders|BIO Thema-uitwerkingen]].
[[Bestand:Thema Huisvesting - Overzicht van thema's en de positie van Huisvesting IT Infrastructuur.png|thumb|none|500px|Overzicht BIO-thema’s en positie thema Huisvesting IV|alt=”Overzicht BIO-the-ma’s en positie thema Huisvesting IV”]]
==Huisvesting IV==
In deze thema-uitwerking is een set beveiligingsmaatregelen voor de BIO Thema-uitwerking Huisvesting IV opgenomen. Deze beveiligingsmaatregelen zijn gerelateerd aan relevante onderwerpen (objecten) uit de BIO. Objecten die ontbreken in de BIO en die uit analyses voortvloeien, worden betrokken uit andere best practices, zoals de ISO 27002 en de SoGP. Voor noodzakelijke details bij specifieke maatregelen wordt verwezen naar operationele practices. De relatie tussen deze documenten wordt in afbeelding 'Relatie BIO Thema-uitwerking Huisvesting IV met aanpalende documenten' weergegeven.
[[Bestand:HVI Relatie BIO Thema-uitwerking met aanpalende documenten.png|thumb|none|500px|Relatie BIO Thema-uitwerking Huisvesting IV met aanpalende documenten|alt=”Relatie BIO Thema-uitwerking met aanpalende documenten”]]
De objecten en de bijbehorende maatregelen gelden zowel voor implementatie- als voor auditdoeleinden. Samenvattend komt het erop neer dat de objecten en de bijbehorende maatregelen georganiseerd zijn in het [[ISOR:BIO Thema Huisvesting Informatievoorziening Beleid|beleids-]], [[ISOR:BIO Thema Huisvesting Informatievoorziening Uitvoering|uitvoerings-]] en [[ISOR:BIO Thema Huisvesting Informatievoorziening Control|control-domein]]. Afbeelding 'Thema Huisvesting Relatie tussen objecten in het beleids-, uitvoerings- en control-domein' schetst de structuur waarin een relatie wordt gelegd tussen de objecten binnen het beleids-, uitvoerings- en control-domein voor huisvesting IV.
[[Bestand:HVI Relatie tussen objecten in het beleids-, uitvoerings- en control-domein.png|thumb|none|500px|Relatie tussen objecten in het beleids-, uitvoerings- en control-domein|alt=”Relatie tussen objecten in het beleids-, uitvoerings- en control-domein”]]
==Scope en begrenzing huisvesting IV==
De te stellen eisen aan huisvesting IV worden vooral bepaald door de fysieke bescherming van de apparatuur, die gebruikt wordt voor verwerking, transport en opslag van data. De opkomst van de IT-clouddiensten betekent veranderingen in de aanschaf van IT-diensten en de daarvoor benodigde huisvesting.
Het management van de doelorganisatie blijft verantwoordelijk voor het gehele bedrijfsproces en onderliggende IT-ondersteuning. Daarom worden er besluiten genomen op basis van: functionaliteit, wet- en regelgeving (beveiliging) en kosten. Dit heeft invloed op de keuze welke type huisvesting IV past bij de organisatie.
De volgende 3 opties zijn mogelijk:
# Fysieke huisvesting, Bij deze traditionele huisvesting is het rekencentrum ondergebracht binnen één fysieke locatie onder beheer van de doelorganisatie.
# Modulaire huisvesting, Bij deze huisvestingsvorm is het rekencentrum ondergebracht in mobiele bouwblokken, die flexibel ‘gestapeld’ kunnen worden tot de benodigde capaciteit bereikt is (vrachtcontainers).
# Virtuele huisvesting, Bij deze vorm is het rekencentrum ondergebracht in een (private of publieke) cloud. Bij deze vorm van huisvesting valt slechts een beperkt deel van de bedrijfsmiddelen onder het technisch beheer en de bestuurlijke invloed van de doelorganisatie. Men neemt een dienst af en stelt eisen. Hoe groot de invloed van de doelorganisatie is, hangt af van inrichtingskeuzes, maar vooral van de te leveren diensten door leveranciers, zoals Infrastructure As A Service (IAAS), Platform as a Service (PAAS) of Software As A Service (SAAS).
Afhankelijk van de gemaakte inrichtingskeuze voor huisvesting IV zijn normen voor de huisvesting in meer of mindere mate van toepassing.
Deze thema-uitwerking beschrijft optie 1 ‘Fysieke huisvesting’ en daarbij de objecten voor huisvesting IV, die gerelateerd zijn aan terreinen, gebouwen, ruimten en middelen, zoals aangegeven in onderstaande afbeelding. Vanuit het huisvestingsbeleid (zie [[ISOR:BIO Thema Huisvesting Informatievoorziening Beleid|het beleidsdomein]]) wordt de inrichting en beveiliging van de resources binnen het uitvoeringsdomein aangestuurd en met beheersing op de uitvoering wordt grip verkregen op de naleving van de gestelde beveiligingseisen (zie [[ISOR:BIO Thema Huisvesting Informatievoorziening Uitvoering|het control-domein]]).
[[Bestand:HVI Overzicht fysieke huisvesting informatievoorzieningen.png|thumb|none|500px|Overzicht fysieke huisvesting IV|alt=”Overzicht fysieke huisvesting IV”]]
==Aanpak BIO Thema-uitwerking huisvesting IV==
Het toelichtingsdocument schetst de standaardmethodiek waarmee [[Alle normenkaders|BIO Thema-uitwerkingen]] worden opgesteld. Een uitgebreide uitwerking van de methodiek is beschreven in het document: ‘SIVA en toepassingssystematiek’.
==Context beveiliging Huisvesting-IV==
[[Afbeelding:Thema Huisvesting - Verbindingsniveau voor huisvesting.png|thumb|none|250px|Verbindingsniveau voor Huisvesting Informatievoorziening|alt=”Verbindingsniveau voor Huisvesting Informatievoorziening”]]
Een gebouw van een willekeurig vrijstaand rekencentrum is doorgaans gepositioneerd op een terrein waarbij de toegang door middel van hekwerk is afgesloten voor publiek. Dit vormt de eerste barrière van fysieke beveiliging.
Personen zoals bezoekers moeten zich melden aan de toegangspoort alvorens ze naar binnen kunnen. Medewerkers kunnen direct naar binnen, gebruik makend hun toegangspas.
Eenmaal op het terrein, kunnen medewerkers alleen de ruimten waarvoor ze bevoegd zijn betreden met hun toegangspas. De informatiesystemen zelf zijn ondergebracht in afgeschermde, klimaat geconditioneerde ruimten, voorzien van een stabiele energievoorziening.
Goederen worden via een seperate laad-en los omgeving van- en naar de gebouwen en ruimten gebracht. Kabels voor nuts- en netwerkvoorzieningen worden extra beschermd en waar nodig dubbel uitgevoerd, zodat de continuïteit van informatievoorziening naar behoefte gegarandeerd is.
Figuur 'Context Huisvesting Informatievoorziening' schetst enkele basiselementen voor de huisvesting van informatievoorzieningen (IV).
[[Afbeelding:Thema Huisvesting - Context Huisvesting-IV.png|thumb|none|600px|Context Huisvesting Informatievoorziening|alt=”Context Huisvesting Informatievoorziening”]]
Figuur 'Essentiële objecten in het uitvoering domein' geeft laat van het uitvoeringsdomein een schematische invulling zien. Het beleidsdomein omvat de randvoorwaarden voor de uitvoering van Huisvesting Informatievoorziening. De beheersing wordt verzorgd door objecten vanuit het control domein, zoals beoordelingsrichtlijnen en Continuïteitsmanagement (BCM).
[[Afbeelding:Thema Huisvesting - Essentiële objecten in het uitvoeringsdomein.png|thumb|none|700px|Essentiële objecten in het uitvoering domein|alt=”Essentiële objecten in het uitvoering domein”]]
Huisvesting Informatievoorziening omvat een geheel van objecten voor het leveren van betrouwbare hosting diensten.
De essentiële objecten van Huisvesting-IV, of groepen daarvan, zijn uitgelicht in onderstaande figuur.
[[Afbeelding:Thema Huisvesting - Objecten in het uitvoeringsdomein.png|none|thumb|500px|Objecten in het uitvoering domein|alt=”Objecten in het uitvoering domein”]]
Het uitvoeringsdomein bevat een scala aan componenten die grofweg onder te verdelen zijn in Terreinen, Gebouwen, Faciliteiten, Werkruimten en Voorzieningen. De gebouwen zijn gevestigd op een locatie.
*'''Terrein''' – de omheinde, beschermde locaties van de Huisvesting IV
*'''Gebouwen''' – Dit zijn aan de huisvesting georiënteerde objecten die zorgen voor het fysieke bestaan van een Huisvesting Informatievoorziening. Hieronder valt ook de fysieke zonering van gebouwen in ruimten.
*'''Voorzieningen''' – Voorzieningen zijn gerelateerd aan de fysiek georiënteerde objecten ten behoeve van de huisvesting. Dit is gericht op: Bedrijfsmiddelen en Nutsvoorzieningen (zoals gas, elektra, water maar ook brandblussers etc.).
*'''Faciliteiten''' - Middelen waarmee beveiligingsfuncties gerealiseerd worden, zoals toegangspoorten, brandmelders/blussers etc.
Er zijn bedrijfsmiddelen en specifieke IT-middelen ingezet waarmee Huisvesting Informatievoorziening diensten worden geleverd. Deze middelen zijn continu onderhevig aan veranderingen en vernieuwingen.
Voor een optimale dienstverlening moeten deze middelen onderhouden en/of gecontroleerd worden. M.a.w. dit zijn zowel fysieke als elektronisch en informatietechnologie gerelateerde objecten ten behoeve van de te leveren huisvesting van IV diensten.
==Generieke objecten==
Onderstaande tabel toont alle relevante items op een rij, die in samenhang de Huisvesting Informatievoorziening kunnen beveiligen.
<table class="wikitable"><tr style="background-color:#d9d9d9"><th> Nr
</th>
<th> Bron: ISO/BIO of alternatief
</th>
<th> Generieke objecten
</th></tr><tr><td>1.
</td>
<td>5.1.1.
</td>
<td style="background-color:#ffcc00">Huisvestingsbeleid
</td></tr><tr><td>2.
</td>
<td>7.2.2.
</td>
<td style="background-color:#ffcc00">Training en Awareness
</td></tr><tr><td>3.
</td>
<td>8.1.2.
</td>
<td style="background-color:#ffcc00">Eigenaarschap
</td></tr><tr><td>4.
</td>
<td>18.1.1.
</td>
<td style="background-color:#ffcc00">Wet en regelgeving
</td></tr><tr><td>5.
</td>
<td>Uit SIVA analyse
</td>
<td style="background-color:#ffcc00">Organisatie
</td></tr><tr><td>6.
</td>
<td>Uit SIVA analyse
</td>
<td style="background-color:#ffcc00">Architectuur
</td></tr><tr><td>7.
</td>
<td>idem -> ITIL
</td>
<td style="background-color:#ffcc00">Contractmanagement
</td></tr><tr><td>8.
</td>
<td>idem -> ITIL
</td>
<td style="background-color:#ffcc00">Servicelevelmanagement
</td></tr><tr><td>9.
</td>
<td>idem -> NIST
</td>
<td style="background-color:#ffcc00">Certificering
</td></tr><tr><td>10.
</td>
<td>8.1.1.
</td>
<td style="background-color:#ff9999">Bedrijfsmiddelen inventaris
</td></tr><tr><td>11.
</td>
<td>11.1.1.
</td>
<td style="background-color:#ff9999">Fysieke zonering
</td></tr><tr><td>12.
</td>
<td>11.1.2.
</td>
<td style="background-color:#ff9999">Fysieke toegangsbeveiliging
</td></tr><tr><td>13.
</td>
<td>11.1.3.
</td>
<td style="background-color:#ff9999">Beveiligingsfaciliteit
</td></tr><tr><td>14.
</td>
<td>11.1.4.
</td>
<td style="background-color:#ff9999">Interne en Externe bedreigingen
</td></tr><tr><td>15.
</td>
<td>11.1.5.
</td>
<td style="background-color:#ff9999">Richtlijnen gebieden en ruimten
</td></tr><tr><td>16.
</td>
<td>11.1.6.
</td>
<td style="background-color:#ff9999">Laad- en loslocatie
</td></tr><tr><td>17.
</td>
<td>11.2.1.
</td>
<td style="background-color:#ff9999">Apparatuur positionering
</td></tr><tr><td>18.
</td>
<td>11.2.2.
</td>
<td style="background-color:#ff9999">Nutsvoorzieningen
</td></tr><tr><td>19.
</td>
<td>11.2.3.
</td>
<td style="background-color:#ff9999">Bekabeling
</td></tr><tr><td>20.
</td>
<td>11.2.4.
</td>
<td style="background-color:#ff9999">Apparatuur onderhoud
</td></tr><tr><td>21.
</td>
<td>11.2.5.
</td>
<td style="background-color:#ff9999">Bedrijfsmiddelen verwijdering
</td></tr><tr><td>22.
</td>
<td>11.2.7.
</td>
<td style="background-color:#ff9999">Apparatuur verwijdering
</td></tr><tr><td>23.
</td>
<td>9.2.1.
</td>
<td style="background-color:#99ccff">Registratieprocedure
</td></tr><tr><td>24.
</td>
<td>9.2.4.
</td>
<td style="background-color:#99ccff">Beoordeling Fysieke toegangsrechten
</td></tr><tr><td>25.
</td>
<td>Uit SIVA analyse
</td>
<td style="background-color:#99ccff">Controle richtlijn Huisvesting-IV
</td></tr><tr><td>26.
</td>
<td>idem
</td>
<td style="background-color:#99ccff">Onderhoudsplan
</td></tr><tr><td>27.
</td>
<td>idem
</td>
<td style="background-color:#99ccff">Huisvestingsbeheerorganisatie
</td></tr><tr><td>28.
</td>
<td>idem -> ITIL
</td>
<td style="background-color:#99ccff">Continuïteitsmanagement
</td></tr>
<caption align="bottom">Tabel 6: Vastgestelde generieke objecten</caption></table>
[[:ISOR:Tabellen BUC legenda]]
Dergelijke items worden in de BIO- thema’s objecten genoemd. De meeste van deze objecten zijn in de vorm van een beheersmaatregel al van kracht in de ISO-27001.
De objecten zijn generiek gemaakt, om ze voor andere thema’s kunnen hergebruiken. Generieke objecten worden inclusief omschrijving opgeslagen in de objectenbibliotheek ISOR. Enkele van de objecten zijn uniek voor de overheid en daarom in de BIO ‘verplicht’ genormeerd zijn. Objecten, die aanvullend aan de ISO norm nodig geacht worden voor de beveiliging van een bepaald toepassingsgebied, zijn met behulp van de SIVA analyse bepaald en relateren daarbij zo mogelijk aan standaarden als ITIL, NIST, BSI of de Standard of Good Practice.
==Positionering van objecten gerelateerd aan SIVA basiselementen==
[[Bestand:HVI Overzicht objecten voor huisvesting informatievoorzieningen in het beleidsdomein.png|thumb|none|500px|Objecten in het Beleidsdomein|alt=”Objecten in het beleids-domein”]]
[[Bestand:HVI Overzicht objecten voor huisvesting informatievoorzieningen in het uitvoeringsdomein.png|thumb|none|500px|Objecten in het Beleidsdomein|alt=”Objecten in het uitvoeringsdomein”]]
[[Bestand:HVI Overzicht objecten voor huisvesting informatievoorzieningen in het control-domein.png|thumb|none|500px|Objecten in het Beleidsdomein|alt=”Objecten in het control-domein”]]
Figuur 'Objecten in hun B-U-C domein' zet de objecten uit de lijst van figuur 4 bij elkaar in de aandachtsgebieden Beleid, Uitvoering en Control, feitelijk een andere view op de inhoud van de vorige pagina. In totaal gaat het om Gebouwen en voorzieningen, wat alles is wat je nodig hebt om ICT te kunnen huisvesten, zoals infrastructuur: kabels, stroomvoorziening, koeling etc. inclusief de nodige procedures en beheervoorzieningen. In cursief-rood zijn de SIVA-basiselementen weergegeven.
De “witte blokken” zijn de objecten die weliswaar niet genormeerd zijn in de ISO-norm, maar waarvan wel geacht wordt dat ze een onmisbare bijdrage leveren aan de weerbaarheid en de integrale beveiliging van de bedrijfsmiddelen, informatievoorzieningen en data.
==Cross Reference naar praktijktoepassingen==
Tenslotte een Cross-Reference van beveiligingsobjecten naar beproefde praktijkvoorbeelden. Doel is de overheden praktische handreikingen aan te bieden, in de vorm van richtlijnen en patronen; bij voorkeur gesorteerd op verschillende schaalgroottes met een bijbehorende uitvoeringscontext.
<table class="wikitable"><caption align="bottom">cross-reference naar praktijktoepassingen</caption>
<tr><td>Nr.
</td>
<td>Bron:ISO…
</td>
<td>
</td>
<td>Onderwerp
</td>
<td>Referentie naar praktijktoepassing(Verwijzing naar brondocumenten)
</td></tr><tr><td>1.
</td>
<td>5.1.1.
</td>
<td style="background-color:#ffd966">B
</td>
<td>Huisvestingsbeleid
</td>
<td>a):H2 en H3, b), c):met focus op “Te beschermen belangen” (TBB), e)
</td></tr><tr><td>2.
</td>
<td>7.2.2.
</td>
<td style="background-color:#ffd966">B
</td>
<td>Training en Awareness
</td>
<td>a):H4, h), j), i
</td></tr><tr><td>3.
</td>
<td>8.1.2.
</td>
<td style="background-color:#ffd966">B
</td>
<td>Eigenaarschap
</td>
<td>a):H2 (voor rijk), j), i)
</td></tr><tr><td>4.
</td>
<td>18.1.1.
</td>
<td style="background-color:#ffd966">B
</td>
<td>Wet en regelgeving
</td>
<td>i)
</td></tr><tr><td>5.
</td>
<td>SIVA
</td>
<td style="background-color:#ffd966">B/U
</td>
<td>Organisatie
</td>
<td>a):H4
</td></tr><tr><td>6.
</td>
<td>SIVA
</td>
<td style="background-color:#ffd966">B/U
</td>
<td>Architectuur
</td>
<td>i), Richtlijnen - Rijks vastgoedbedrijf (RVB)
</td></tr><tr><td>7.
</td>
<td>ITIL
</td>
<td style="background-color:#ffd966">B
</td>
<td>Contractmanagement
</td>
<td>a):H8, f)
</td></tr><tr><td>8.
</td>
<td>ITIL
</td>
<td style="background-color:#ffd966">B
</td>
<td>Servicelevelmanagement
</td>
<td>f)
</td></tr><tr><td>9.
</td>
<td>NIST
</td>
<td style="background-color:#ffd966">B
</td>
<td>Certificering
</td>
<td>g)
</td></tr><tr><td>10.
</td>
<td>8.1.1.
</td>
<td style="background-color:#ff9999">U/VZ
</td>
<td>Bedrijfsmiddelen inventaris
</td>
<td>i)
</td></tr><tr><td>11.
</td>
<td>11.1.1.
</td>
<td style="background-color:#ff9999">U/GB
</td>
<td>Fysieke zonering
</td>
<td>a): H6, c), e), i)
</td></tr><tr><td>12.
</td>
<td>11.1.2.
</td>
<td style="background-color:#ff9999">U/VZ
</td>
<td>Fysieke toegangsbeveiliging
</td>
<td>a): H6, b), c), i)
</td></tr><tr><td>13.
</td>
<td>11.1.3.
</td>
<td style="background-color:#ff9999">U/VZ
</td>
<td>Beveiligingsfaciliteit
</td>
<td>NKBR 5.4 voor sleutelplan
</td></tr><tr><td>14.
</td>
<td>11.1.4.
</td>
<td style="background-color:#ff9999">U
</td>
<td>Interne en Externe bedreigingen
</td>
<td>i), k)
</td></tr><tr><td>15.
</td>
<td>11.1.5.
</td>
<td style="background-color:#ff9999">U/GB
</td>
<td>Richtlijnen gebieden en ruimten
</td>
<td>a):geheel document, j), i), o)
</td></tr><tr><td>16.
</td>
<td>11.1.6.
</td>
<td style="background-color:#ff9999">U/GB
</td>
<td>Laad- en loslocatie
</td>
<td>a):H6
</td></tr><tr><td>17.
</td>
<td>11.2.1.
</td>
<td style="background-color:#ff9999">U/VZ
</td>
<td>Apparatuur positionering
</td>
<td>a):H7 voor beveiligingsvoorzieningen, i), o)
</td></tr><tr><td>18.
</td>
<td>11.2.2.
</td>
<td style="background-color:#ff9999">U/VZ
</td>
<td>Nutsvoorzieningen
</td>
<td>i), Richtlijnen - RVB
</td></tr><tr><td>19.
</td>
<td>11.2.3.
</td>
<td style="background-color:#ff9999">U/VZ
</td>
<td>Bekabeling
</td>
<td>i), o), Richtlijnen - RVB
</td></tr><tr><td>20.
</td>
<td>11.2.4.
</td>
<td style="background-color:#ff9999">U/VZ
</td>
<td>Apparatuur onderhoud
</td>
<td>i), Richtlijnen - RVB
</td></tr><tr><td>21.
</td>
<td>11.2.5.
</td>
<td style="background-color:#ff9999">U/VZ
</td>
<td>Bedrijfsmiddelen verwijdering
</td>
<td>i)
</td></tr><tr><td>22.
</td>
<td>11.2.7.
</td>
<td style="background-color:#ff9999">U/VZ
</td>
<td>Apparatuur verwijdering
</td>
<td>i)
</td></tr><tr><td>23.
</td>
<td>9.2.1.
</td>
<td style="background-color:#99ccff">C
</td>
<td>Registratieprocedure
</td>
<td>i)
</td></tr><tr><td>24.
</td>
<td>9.2.4.
</td>
<td style="background-color:#99ccff">C
</td>
<td>Beo. Fysieke toegangsrechten
</td>
<td>i)
</td></tr><tr><td>25.
</td>
<td>SIVA
</td>
<td style="background-color:#99ccff">C
</td>
<td>Controle richtlijn Huisvesting-IV
</td>
<td>? Richtlijnen - RVB
</td></tr><tr><td>26.
</td>
<td>SIVA
</td>
<td style="background-color:#99ccff">C
</td>
<td>Onderhoudsplan
</td>
<td>? Richtlijnen - RVB
</td></tr><tr><td>27.
</td>
<td>SIVA
</td>
<td style="background-color:#99ccff">C
</td>
<td>Huisvestingsbeheerorganisatie
</td>
<td>a):H4
</td></tr><tr><td>28.
</td>
<td>ITIL
</td>
<td style="background-color:#99ccff">C
</td>
<td>Continuïteitsmanagement
</td>
<td>i), l, m), o), ITIL documentatie
</td></tr></table>
Met deze voorbeelden kunnen overheden hun eigen omgeving toetsen en waar nodig (her)inrichten.
==Brondocumenten==
Onderstaande lijst van brondocumenten verwijst vrijwel grotendeels naar publiek- toegankelijke documenten. Er is minimaal gebruik gemaakt van links, om ‘dode’ verwijzingen te voorkomen. Via Rijksweb of overheids interne websites of Google-search kunnen de documenten gevonden worden.
<table class="wikitable"><caption align="bottom">Bronverwijzing</caption><tr ><td> Nr.
</td>
<td> Documentnaam
</td>
<td> Versie + datum
</td>
<td> Eigenaar
</td>
<td> Toelichting
</td></tr><tr ><td> a)
</td>
<td> Normenkader Beveiliging Rijkskantoren (NKBR)
</td>
<td> 2.02-10-2015
</td>
<td> ICBRBzK
</td>
<td> Normenkader voor beveiliging van rijkskantoren. Standaard voor inrichting van nieuwbouw en wijzigingenContent heeft vooralsnog de status van Departementaal Vertrouwelijk (Dep.V)
</td></tr><tr ><td> b)
</td>
<td> Kader Rijkstoegangs-beleid
</td>
<td> 1.0 van 11/5/10
</td>
<td> ICBR
</td>
<td> Beleidskader, gericht op veiligheid van de in Rijksgebouwen werkzame personen, informatie en eigendommen; als onderdeel van ‘integrale beveiliging’
</td></tr><tr ><td> c)
</td>
<td> Zoneringsmodel rijkskantoren
</td>
<td> 5-jul-11
</td>
<td> BzK
</td>
<td> Modelmatig opdelen van gebouwen in zones, waarvoor verschillende beveiligingsregimes gelden. Bevat tevens huisvestingsbeleid: Te Beschermen Belangen (TBB)
</td></tr><tr ><td> d)
</td>
<td> Richtlijnen Rijks Vastgoedbedrijf (RVB)
</td>
<td> volgt
</td>
<td> RVB
</td>
<td> Nader te bepalen set van eisen in samenspraak met RVB
</td></tr><tr ><td> e)
</td>
<td> NIST PE Physical and Environ-mental Protection (PE)
</td>
<td> jun-10
</td>
<td> NIST
</td>
<td> Ontwerp & toets-criteria voor facilitaire apparatuur voor Huis-vesting-IV en fysieke zonering
</td></tr><tr ><td> f)
</td>
<td> NIST MA System Mainenance Policy and Procedures
</td>
<td> jun-10
</td>
<td> NIST
</td>
<td> Ontwerp & toets-criteria voor beheersingsprocedures
</td></tr><tr ><td> g)
</td>
<td> NIST CA Security Assessment and Authorization Policy and Procedures
</td>
<td> jun-10
</td>
<td> NIST
</td>
<td> Ontwerp & toets-criteria voor Certificering van organisaties
</td></tr><tr ><td> h)
</td>
<td> NIST AT Awaress and Training Policy and Procedures
</td>
<td> jun-10
</td>
<td> NIST
</td>
<td> Ontwerp & toets-criteria voor bewustwording en opleiding van medewerkers
</td></tr><tr ><td> i)
</td>
<td> NIST CM Configuration Management Policy and Procedures
</td>
<td> jun-10
</td>
<td> NIST
</td>
<td> Ontwerp & toets-criteria voor configuratiebeheer, configuratiebeleid en - procedures
</td></tr><tr ><td> j)
</td>
<td> Standard of Good Practice (SoGP)
</td>
<td> Periodiek
</td>
<td> ISF
</td>
<td> Beschrijft zes aspecten van security, ieder daarvan gerelateerd aan bedrijfsmiddelen
</td></tr><tr ><td> k)
</td>
<td> KWAS
</td>
<td> Periodiek
</td>
<td> NCSC
</td>
<td> Beschrijft Kwetsbaarheden van IV, gerelateerd aan bedreigingen van buitenaf of van binnenuit
</td></tr><tr ><td> l)
</td>
<td> NEN-ISO-22323
</td>
<td> 2012
</td>
<td> BzK
</td>
<td> Societal security - Business continuity management systems - Guidance (ISO 22313:2012,IDT) beschrijft Bedrijfscontinuïteitsmanagement normatief
</td></tr><tr ><td> m)
</td>
<td> NORA patronen voor bedrijfs-continuïteit / BCM
</td>
<td> 2014
</td>
<td> BzK
</td>
<td>https://www.noraonline.nl/wiki/Beveiliging/index In deze index van de NORA-wiki voor het thema beveiliging vindt u een reeks van patronen gericht op de Bedrijfscontinuïteit van IV. Daarbij staan ook huisvesting specifieke onderwerpen uitgewerkt
</td></tr><tr ><td> n)
</td>
<td> BIR 1.0
</td>
<td> 2011
</td>
<td> BzK
</td>
<td> BIR TNK, eerste versie, met voor het Rijk aangescherpte ISO-implementatierichtlijnen, die in een aantal gevallen relevant zijn voor Huisvesting-IV en die in sommige gevallen een relevante aanvulling vormen op de huidige set van implementatierichtlijnen van de ISO 2013
</td></tr><tr ><td> o)
</td>
<td> Telecommunication Infrastructure Standard for Data Centers (TIA-942)
</td>
<td> Periodiek
</td>
<td> ieee802.org /ANSI
</td>
<td> Telecommunicatie-standaarden voor infrastructuur van datacenters. Vooral bedoeld voor Netwerken en Hosting, maar geeft ook richtlijnen voor bekabeling en de bescherming daarvanEr zijn diverse whitepapers over TIA-942 te downloaden via Internet
</td></tr></table>
Op NEN-ISO documenten rusten licentierechten.
Deze BIO Thema-uitwerking is door het Centrum Informatiebeveiliging en Privacybescherming (CIP) opgesteld. Het omvat een gestructureerd referentiekader voor het thema middleware.
==Toelichting op middleware==
Middleware is een technologie-laag (soft- en hardware) binnen de technische architectuurstack. Middleware bevindt zich tussen applicaties (toepassingssoftware) en het serverplatform waarop besturingssoftware draait, zie afbeelding 1.
[[Afbeelding:MDW_Afbeelding_1.png|thumb|none|500px|Positie van middleware in de technische architectuurstack|alt=”Positie van middleware in de technische architectuurstack”]]
Vroeger functioneerde middleware als de laag waarin databases werden gepositioneerd. Tegenwoordig heeft middleware een breder bereik. Het kan zowel als data-laag functioneren, maar ook als integratie-laag. Middleware bestaat uit software- en hardwarecomponenten voor databases, storage, gateways en dergelijke waarin functies voor onder andere opslag, archiveren, bewaren en herstellen van data en koppelen met andere platformen en applicaties functioneren. Moderne middleware kan bestaan uit microservices, die allerlei verwerkingstaken uitvoeren of integratieservices. Voor de koppeling met andere IT-platformen is in deze BIO Thema-uitwerking daarom ook aandacht besteed aan integratieservices, zie bijlage 1 tot en met bijlage 7 voor de verschillende toepassingsvoorbeelden. Middleware wordt in deze thema-uitwerking benaderd vanuit functionaliteiten, componenten en integratieservices, zie afbeelding 2.
[[Afbeelding:MDW_Afbeelding_2.png|thumb|none|500px|Benadering van middleware|alt=”Benadering van middleware”]]
===Functionaliteiten===
Middleware maakt het mogelijk applicaties te ontwikkelen voor verschillende platformen zodat gegevens, onafhankelijk van waar deze gegevens zich bevinden, op dezelfde manier kunnen worden opgeslagen en indien nodig kunnen worden hersteld en uitgewisseld.
===Componenten===
Componenten zijn technische objecten zoals databases, hard- en software voor dataopslag en hard- en software voor data-uitwisseling. De eindgebruikers krijgen uitsluitend toegang tot de data via applicaties. Beheerders kunnen via speciale toegangsrechten rechtstreeks toegang krijgen tot systeemdata en componenten, zoals back-up-voorzieningen of integratieservices.
===Integratieservices===
Middleware kan in een complexe gedistribueerde omgevingen een hybriderol vervullen, waarbij sprake is van een ontwikkelomgeving of van instelbare infrastructuur voor interoperabiliteit tussen informatiesystemen onderling. Het instellen vereist speciale toegangsrechten.
==Doel Middleware==
Middleware is een categorie technologieën, ontworpen om de compliciteit en heterogeniteit, inherent aan gedistribueerde systemen te beheersen.
Het doel van de BIO Thema-uitwerking Middleware is een beeld geven van relevante onderwerpen (hierna genoemd objecten) waarmee organisaties worden ondersteund bij het aangaan van contractuele verplichtingen voor toegankelijkheid, integriteit en beschikbaarheid van de geboden functionaliteit en bij de selectie van data-gerelateerde componenten zoals databases, storage en gateways.
Toepassing van dit referentiekader draagt bij aan het bereiken van het BIO-basisbeveiligingsniveau (BBN) 1 en 2. Het bereiken van het noodzakelijke beveiligingsniveau vindt plaats op basis van risico’s, waarbij de focus op een specifiek onderwerp wordt gelegd. BIO-controls worden dus niet per BIO-hoofdstuk geïmplementeerd maar in de context van dat onderwerp. Hierbij worden relevante controls uit verschillende BIO-hoofdstukken in hun samenhang aangeboden.
==Doelgroepen==
Dit document heeft 3 primaire doelgroepen, te weten:
#Functionarissen die verantwoordelijk zijn voor het stellen van beveiligingskaders en voor de controle op en naleving hiervan zoals Beveiligingscoördinatoren, Chief Information Security Officers (CISO’s) en Security managers.
#Functionarissen die betrokken zijn bij het ontwerp, de implementatie en het beheer van middleware.
#Controlerende instanties (IT-auditors) die met dit referentiekader een objectieve ICT-beveiligingscontrole uitvoeren.
==Scope en begrenzing middleware==
De scope van BIO Thema-uitwerking Middleware omvat objecten die relevant zijn voor de beveiliging van middlewarefuncties en de opslag van gestructureerde data.
Elke BIO Thema-uitwerking heeft een relatie met aanpalende documenten zoals genoemd in dit document.
In elke BIO Thema-uitwerking wordt een set beveiligingsobjecten, controls en maatregelen uit de BIO bijeengebracht. De objecten vormen de inhoudelijke onderwerpen van het thema. Eventueel ontbrekende objecten, die blijken uit de toepassing van de SIVA-methodiek (Structuur, Inhoud, Vorm en Analysevolgorde), worden beschreven met andere best practices.
De begrenzing van dit document is in afbeelding 3 weergegeven.
[[Afbeelding:MDW_Afbeelding_3.png|thumb|none|500px|Relatie BIO Thema-uitwerking met aanpalende documenten|alt=”Relatie BIO Thema-uitwerking met aanpalende documenten”]]
===Algemene en specifieke objecten===
Voor middleware zijn een aantal algemene en specifieke objecten uitgewerkt die van belang zijn voor de beveiliging van de middlewarefunctionaliteit. De algemene objecten, zie afbeelding 4 zijn globaal voor alle IT-systemen van toepassing en komen in de meeste BIO Thema-uitwerkingen voor.
[[Afbeelding:MDW_Afbeelding_4.png|thumb|none|500px|Algemene en specifieke objecten van middleware|alt=”Algemene en specifieke objecten van middleware”]]
In deze thema-uitwerking zijn deze algemene objecten toegespitst op middleware. De specifieke objecten voor opslag van data en voor integratieservices zijn apart uitgewerkt in hoofdstuk 3 Uitvoeringsdomein. Enkele specifieke objecten staan in de onderste helft van afbeelding 4. Voor de objecten uit het uitvoeringsdomein, zijn zoals bij elke thema-uitwerking, de nodige beleids- en beheersingsobjecten geformuleerd.
===Scope en begrenzing middleware===
Deze BIO Thema-uitwerking beperkt zich tot gestructureerde data en data die gedurende langere tijd wordt opgeslagen op een bepaald medium. De beveiliging van ongestructureerde data valt buiten de scope van deze thema-uitwerking.
Gestructureerde data zijn gegevens die in databases worden opgeslagen. Voorbeelden van datakenmerken zijn: leeftijd, geslacht en geboorteplaats. Deze gegevens zijn doorgaans gelabeld en eenvoudig toegankelijk.
Ongestructureerde data is zeer uiteenlopend van structuur en is daarom moeilijk te classificeren. Voorbeelden van datatypen zijn: Social media, Facebook, Twitter, LinkedIn, interne bedrijfsdata zoals e-mails, tekstdocumenten, foto’s en video’s en data voor Internet of Things. Adequate beveiliging van ongestructureerde data vereist per datatype een specifieke aanpak.
===Context middleware===
Elke organisatie heeft te maken met zijn eigen unieke omgeving (context). De ene organisatie werkt voornamelijk met uitbesteding van IT in clouddiensten, de andere heeft een eigen rekencentrum en ontwikkelt zelf de nodige maatregelen. Ondanks de verschillen in context blijven gebruikersorganisaties altijd eindverantwoordelijk voor wat er met hun data gebeurt en dus ook verantwoordelijk voor de eisen die gesteld worden aan de beveiliging van die data. In deze BIO Thema-uitwerking richten de eisen voor middleware (hierna controls genoemd) zich op een context, zoals die geschetst is in afbeelding 5.
[[Afbeelding:MDW_Afbeelding_5.png|thumb|none|500px|Data-uitwisseling tussen informatiesystemen|alt=”Data-uitwisseling tussen informatiesystemen”]]
Vanuit deze min of meer universele opzet voor middleware zijn relevante controls en maatregelen uit de BIO en andere best practices te duiden, zie hoofdstuk 2 Beleidsdomein, 3 Uitvoeringsdomein en 4 Control-domein. In de geschetste opzet uit afbeelding 5 vindt naast een uitwisseling van data tussen applicaties en serverplatform, tevens uitwisseling van data plaats via berichtenverkeer tussen onderling gekoppelde informatiesystemen.
==Systeemfuncties van middleware==
Middleware bestaat grotendeels (en soms geheel) uit software. Voor de interne systeemfuncties van middleware, zoals aangegeven in de blauwe vlakken van afbeelding 6, gelden de beveiligingseisen die horen bij softwareontwikkelprocessen. Zie daarvoor de BIO Thema-uitwerking Applicatieontwikkeling en de OWASP-literatuur (Open Web Application Security Project) op internet. In deze BIO Thema-uitwerking zijn objecten uitgewerkt voor de functionaliteiten (links) en de integratieservices (rechts) uit afbeelding 6.
[[Afbeelding:MDW_Afbeelding_6.png|thumb|none|500px|Interne systeemfuncties van middleware|alt=”Interne systeemfuncties van middleware”]]
===Schematische weergave Middleware-objecten===
(...) De essentiële objecten van Middleware worden in afbeelding '''XX''' weergegeven. De elementen worden toegelicht met het beleids-, uitvoerings- en control-domein.
===Beleidsdomein===
Binnen het beleidsdomein bevat Middleware randvoorwaarden. Objecten die als randvoorwaarden gelden voor Middleware zijn: beleid, wet- en regelgeving, contracten en organisatiestructuur e.d.
(...)
===Uitvoeringsdomein===
<volgt nog>
===Control-domein===
<volgt nog>
===De organisatie van Middleware-objecten===
De geïdentificeerde Middleware-objecten zijn met het beleids-, uitvoerings- en control-domein georganiseerd. Hiermee worden deze aspecten in een juiste contextuele samenhang gepositioneerd. De betekenissen van de lagen zijn:<br><br>
'''Beleidsdomein'''<br>
Binnen dit domein bevinden zich conditionele elementen over Middleware. Hier zijn eisen opgenomen over (...).
'''Uitvoeringsdomein'''<br>
Binnen dit domein bevinden zich:
* elementen die gerelateerd zijn aan operationele activiteiten van Middleware;
* elementen die aangeven hoe deze activiteiten georganiseerd moeten zijn;
* elementen die gerelateerd zijn aan beveiligingsaspecten die bij de activiteiten in acht moeten worden genomen.
'''Control-domein'''<br>
Binnen dit domein bevinden zich elementen die zorgdragen voor de beheersing en/of het in standhouden van de activiteiten in relatie tot Middleware en of deze wel naar wens verlopen.
<br><br>
Objecten worden inclusief omschrijving opgeslagen in de objectenbibliotheek ISOR. ISOR staat voor Information Security Object Repository. Enkele van de objecten zijn uniek voor de BIO. Objecten die aanvullend aan de ISO 27002 voor de beveiliging van een bepaald toepassingsgebied nodig geacht worden, zijn met de SIVA-methodiek bepaald. Deze relateren zo mogelijk aan standaarden als de SoGP. +
Om verschillende redenen kan het nodig zijn om meerdere API gateways in te zetten, bijvoorbeeld in verband met complexiteit, performance, latency of het single-point-of-failure-effect, waarbij één defecte gateway een heel bedrijfsproces plat kan leggen.
Afbeelding 16 geeft een voorbeeld van een implementatie, waarbij de API gateways zijn gespecialiseerd en geoptimaliseerd voor een bepaald type berichtenverkeer en voor een specifieke client. De gateways zijn in deze toepassing evenals in de enkelvoudige toepassing van afbeelding 16, op het grensvlak van intern naar extern van organisatie A gepositioneerd (in de DMZ). Om te voorkomen dat bij uitval een hele afnemerketen wordt uitgeschakeld, wordt load-balancing toegepast.
[[Afbeelding:MDW_Afbeelding_16.png|thumb|none|500px|Gespecialiseerde toepassing van API gateways met load-balancing|alt=”Gespecialiseerde toepassing van API gateways met load-balancing”]]
'''Beveiligingsobjecten'''
Relevante objecten voor de implementatie van API gateways, zowel voor de enkelvoudige als de gespecialiseerde toepassing, zijn globaal hetzelfde als de objecten gericht op separate integratiefuncties van het hiervoor besproken integratieplatform. Evenals het geval is voor een apart integratieplatform, kan een API-gateway zowel in soft- als in hardware of als clouddienst zijn uitgevoerd. Ook hierbij geldt dat dergelijke producten intrinsiek veilig moeten zijn ontworpen en in die hoedanigheid als module of als dienst worden geleverd aan organisaties.
NB: De in afbeelding 16 geschetste specialisatie is slechts een voorbeeld. In plaats van gespecialiseerde API-gateways kunnen gateways ook als cluster samenwerken om een hoge beschikbaarheid te garanderen. De overige objecten uit deze thema-uitwerking zijn ook in deze opstelling van toepassing.
Kenmerken zijn:
*Communicatie van gelijkwaardige functies in één richting; van applicatie/service naar de client
*Functionaliteit en performance afgestemd op het type client die de gateway bedient
In deze implementatie zijn alle applicaties van organisatie A voorzien van eigen integratiefuncties. De verschillende applicaties verzorgen vanuit de bedrijfsprocessen P, Q en R zelf het berichtenverkeer, zie afbeelding 11. Voordeel daarvan is de onafhankelijkheid van de platformen voor wat betreft performance en beschikbaarheid. Ook is er geen sprake van een ‘single point of failure’-effect in een centraal platform. Nadelen zijn de dubbeling van het beheer, de beheersingskosten voor de instandhouding van meervoudige functies met hetzelfde doel en de extra kosten voor pentesten etc.
<br>
<br>
Een tweede belangrijk nadeel van deze opstelling is dat alles point-to-point met elkaar verbonden wordt. Als proces Q verhuist, dan moeten P en R meebewegen. Bij het gebruik van centraal opgestelde integratietechnologie hebben processen P en R geen notie van wat er met Q gebeurt.
<br>
<br>
Kenmerken zijn:
* Koppeling met andere platformen is onderdeel van applicatieverantwoordelijkheid
* Meervoudige toepassing van dezelfde functionaliteit
* Geen specialisatievoordeel
<br>
'''Beveiligingsobjecten'''
<br>
Omdat de integratiefuncties hier integraal onderdeel zijn van de applicatie zelf, blijven relevante beveiligingsobjecten voor deze implementatie beperkt tot de beveiliging van berichtenverkeer, wat afhankelijk van de classificatie van de data op verschillende manieren opgelost wordt; van een simpele SSL/TLS-koppeling tot een meer geavanceerde koppeling op basis van Message Level Security.
<br>
Applicatieontwikkelaars dienen over de benodigde specialistische kennis beschikken om deze maatregelen in te kunnen bouwen in hun applicaties.
<br>
[[Afbeelding:MDW_Afbeelding_11.png|thumb|none|500px|Applicaties met hun eigen integratiefuncties|alt=”Applicaties met hun eigen integratiefuncties”]] +
In de wereld, waarbij in toenemende mate functionaliteit wordt aangeboden via webservices voor allerlei verschillende clients (gebruikersapparaten) en de situatie, waarin delen van applicaties worden vervangen door zogenaamde microservices, spelen API’s een steeds belangrijkere rol. De huidige uitwisseling van data via internet zou volgens het Akamai State of the Internet Security Report 2019, voor meer dan 80% via API’s geregeld worden. De centrale vraag daarbij is: ‘Hoe kunnen verschillende soorten clients toegang krijgen tot de functionaliteit die door de microservices (of applicaties) geleverd worden?’.
'''Problematiek'''
De granulariteit van API's die door microservices geleverd wordt, wijkt vaak af van wat een bepaalde client nodig heeft. Microservices bieden doorgaans fijnmazige API's, wat betekent dat clients met meerdere services moeten communiceren. Als een lezer van een webpagina bijvoorbeeld de details van een product nodig heeft, dan deze moet zijn client-gegevens ophalen bij een reeks van services. Verder hebben verschillende clients voor dezelfde pagina verschillende gegevens nodig om pagina’s goed weer te geven op een display. Een desktopversie van een productdetailpagina is bijvoorbeeld uitgebreider dan de mobiele versie. Verder verschillen de netwerkprestaties per client. Ook de netwerkprestaties kunnen per client sterk verschillen. Webapplicaties aan de serverzijde kunnen daardoor meer verzoeken doen aan backend-services zonder de gebruikerservaring te beïnvloeden dan een mobiele client.
'''Oplossing'''
Implementeer een of meerdere API-gateway(s) die het enige toegangspunt vormen voor alle clients, zoals afbeelding 15 of één gateway per specifieke client, zie afbeelding 15. De API-gateway verwerkt verzoeken op twee manieren:
#Sommige verzoeken worden een-op-een geproxyd of gerouteerd naar de juiste service.
#De gateway behandelt andere verzoeken door deze uit te waaien naar meerdere achterliggende services.
Proces A maakt veilig gebruik van de geboden functionaliteit.
Kenmerken zijn:
*Communicatie van gelijkwaardige functies in één richting: van applicatie/service naar de client
*Functionaliteit en performance van gateway afgestemd op de gemiddelde client
[[Afbeelding:MDW_Afbeelding_15.png|thumb|none|500px|Implementatie met één API gateway|alt=”Implementatie met één API gateway”]]
Deze implementatie is geschikt om een aantal bedrijfsprocessen van twee organisaties met elkaar te verbinden. Het betreft dezelfde opzet van de gedelegeerde integratiefuncties van use case 3, maar nu in de infrastructuur van beide organisaties uitgevoerd.
Deze implementatie is als standaard context voor middleware geschetst in paragraaf 1.5 Systeemfuncties van middleware.
Kenmerken zijn:
*Tweeweg-communicatie met gelijkwaardige functies
*Integratie is gedelegeerde applicatieverantwoordelijkheid
*Meervoudig gebruik van enkelvoudige functionaliteit
*Specialisatievoordeel
'''Beveiligingsobjecten'''
Relevante objecten voor deze implementatie zijn dezelfde als die van use case 1 en use case 3, gericht op separate integratiefuncties van het integratieplatform.
[[Afbeelding:MDW_Afbeelding_13.png|thumb|none|500px|End-to-end-integratie met gedelegeerde integratiefuncties|alt=”End-to-end-integratie met gedelegeerde integratiefuncties”]] +
Hoewel API-gateways tegenwoordig steeds meer worden toegepast, vormt de Enterprise Service Bus een Service Oriënted Architecture (SOA)-oplossing, die ontworpen is voor een breed scala aan integratiefuncties. De ESB wordt onder andere gebruikt wordt voor routering, berichttransformatie en protocol-bridging. Dit zijn overigens vergelijkbare integratiefuncties als die besproken zijn in use cases 1 tot en met 4, alleen nu niet bedoeld voor interactie tussen bedrijfsapplicaties, maar voor de interactie tussen applicatieservices.
Services, als onderdeel van SOA, zijn gespecialiseerde softwarecomponenten, bedoeld voor uitvoering van enkele bedrijfsfuncties, zoals informatie verzamelen, uitvoeren van specifieke bewerkingen etc.
Een ESB is een middel voor service-to-service-communicatie. Met deze techniek hoeven services niet individueel gekoppeld te worden voor de communicatie, waardoor het aantal koppelingen drastisch wordt verminderd. De ESB biedt op basis van apart in te richten beveiligingsservices, tevens een aantal beveiligingsfuncties en protocollen voor berichtenverkeer, die gegarandeerd integere communicatie tussen de verschillende diensten mogelijk maken.
Kenmerken zijn:
*Tweewegcommunicatie met gelijkwaardige applicatie/servicefuncties
*Applicatiefunctionaliteit is verdeeld over een aantal gespecialiseerde services
*Integratie is gedelegeerde serviceverantwoordelijkheid van de bus
*Meervoudig gebruik van enkelvoudige functionaliteit
*Specialisatievoordeel
'''Beveiligingsobjecten'''
SOA-services en een ESB bevatten zelf nauwelijks beveiligingsfuncties, hoewel de meeste ESB’s wel TLS en MLS ondersteunen. De meeste beveiligingsfuncties worden door speciale securityservices geleverd. Voor de communicatie met grote informatiesystemen of partnerorganisaties worden integere berichtenprotocollen gebruikt. Voor de veilige communicatie met specifieke clients, zoals mobiele devices, desktop apparaten of webservices kunnen zogenaamde API-gateways op de bus worden aangesloten. De overige objecten uit dit thema zijn hier ook van toepassing.
[[Afbeelding:MDW_Afbeelding_14.png|thumb|none|500px|Enterprise Service Bus|alt=”Enterprise Service Bus”]]
In deze implementatie ‘delegeren’ de applicaties van organisatie A de integratiefuncties aan een centraal integratieplatform. Het berichtenverkeer vanuit de bedrijfsprocessen P, Q en R wordt daarbij centraal door het integratieplatform domein A verzorgd, wat gespecialiseerde functies bevat waarmee een scala aan applicaties kan worden bediend.
Kenmerken zijn:
*Integratie is gedelegeerde applicatieverantwoordelijkheid
*Meervoudig gebruik van enkelvoudige functionaliteit
*Specialisatievoordeel
<br>
'''Beveiligingsobjecten'''
<br>
Relevante objecten voor deze implementatie zijn dezelfde als die van use case 1, gericht op separate integratiefuncties van het integratieplatform. Ook de overige beveiligingsobjecten uit dit thema zijn van toepassing, maar zijn voor de omvang daarvan niet allemaal geschetst in de onderstaande afbeelding.
<br>
[[Afbeelding:MDW_Afbeelding_12.png|thumb|none|500px|Applicaties delegeren de integratiefunctie|alt=”Applicaties delegeren de integratiefunctie”]] +
'''Integratieservices'''
<br>
In deze implementatie worden twee bijna gelijkwaardige applicatie-eindpunten binnen een rekencentrum met elkaar verbonden voor berichtenverkeer. Dit kunnen overigens ook volstrekt verschillende informatiesystemen zijn die verschillende formaten van data gebruiken. Het linker bedrijfsproces (rood) kan daarmee communiceren met het rechter bedrijfsproces (blauw), zie applicatie A. In de afbeelding onderaan deze pagina zijn de integratiefuncties (blauw) geschetst in een communicatieketen van applicatie A naar B met daaronder in rode blokken de beveiligingsobjecten.
<br>
<br>
'''Oplossing'''
<br>
Applicatie A stelt een bericht samen en zet die via zijn eindpunt op de lijn. De orkestratiefunctie hakt het bericht in geschikte stukjes en stuurt die in porties achtereenvolgens via het communicatiekanaal naar de router. NB: Orkestratie omvat in de praktijk een vorm van workflow. In onderstaand voorbeeld, met eenvoudige berichtuitwisseling is het voor de volledigheid erbij gezet.
De router zorgt ervoor dat het bericht van A altijd bij de juiste eindpunt terechtkomt. Er kunnen namelijk meerdere systemen achter hangen, zoals onder andere geschetst is in bijlage 4 Use Case End-to-end applicatie-integratie.
De transformator zet het bericht vervolgens om in het gewenste formaat wat het doeleindpunt kan lezen. Daarna wordt het bericht doorgegeven aan applicatie B voor het bedrijfsproces.
De queuing- en caching-functies dienen voor tijdelijke buffering zodat alle elementen in de keten optimaal benut kunnen worden voor een optimale performance en een minimale doorlooptijd. Caching is een taak van het integratieplatform. Queuing kan ook onderdeel zijn van applicatie A of B.
De elementen van de integratieketen dienen te zijn opgebouwd onder een regiem van een soft- of hardware-ontwikkelproces, waarin securitymaatregelen een integraal onderdeel vormen van de systeemarchitectuur en het ontwerp van A, B, van beide, of als afzonderlijke infrastructuur. Het systeembeheer van de integratiefuncties vereisen bijzondere gebruikersrechten. In de volgende bijlagen zijn enkele implementaties van integratieservices geschetst.
[[Afbeelding:MDW_Afbeelding_10.png|thumb|none|500px|Integratiefuncties en beveiligingsobjecten|alt=”Integratiefuncties en beveiligingsobjecten”]]
Objecten worden geïdentificeerd met onderzoeksvragen en risicogebieden. De objecten zijn afgeleid vanuit de optiek van de kwaliteitscriteria: Beschikbaarheid, Integriteit, Vertrouwelijkheid en Controleerbaarheid (BIVC), die vervolgens zijn ingedeeld in drie domein: [[ISOR:BIO Thema Serverplatform Beleid|beleid]], [[ISOR:BIO Thema Serverplatform Uitvoering|uitvoering]] en [[ISOR:BIO Thema Serverplatform Control|control]].
De vragen die hierbij een rol spelen, zijn:
# Welke randvoorwaardelijke elementen spelen een rol bij de inrichting van het serverplatform vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid?
# Welke elementen spelen een rol bij de inrichting van het serverplatform vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid?
# Welke elementen spelen een rol bij de beheersing van het serverplatform vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid?
Onderstaande afbeelding geeft de positionering weer van servers binnen de lagenstructuur binnen het uitvoeringsdomein. Die functieblokken bevatten op hun beurt beveiligingsmaatregelen, die vanuit de normatiek geduid worden als beveiligingsobjecten.
[[Afbeelding:Thema Serverplatform - Gelaagdheid serverplatform met enkele beveiligingsobjecten (Bron- Nora).png|thumb|none|500px|Gelaagdheid serverplatform met enkele beveiligingsobjecten|alt=”Gelaagdheid serverplatform met enkele beveiligingsobjecten”]]
==Vaststellen beveiligingsobjecten voor serverplatform==
De afbeeldingen uit het [[ISOR:BIO Thema Serverplatform Beleid|Beleidsdomein]], [[ISOR:BIO Thema Serverplatform Uitvoering|Uitvoeringsdomein]] en [[ISOR:BIO Thema Serverplatform Control|Control-domein]] geven een overzicht van alle relevante beveiligingsobjecten voor het thema Serverplatform, afkomstig uit de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] die gebaseerd is op de [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002]]. De BIO volgt dezelfde hoofdstukindeling en controlteksten.
Uit de contextuele analyse blijkt dat er enkele onderwerpen bestaan die niet in de BIO voorkomen. Voor deze onderwerpen, waarvoor de BIO geen control heeft geformuleerd, worden controls uit andere baselines geadopteerd, zoals: [[The Standard of Good Practice for Information Security 2018|SoGP]], [[NIST (National Institute of Standards and Technology)|NIST]] en [[ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen]] van het [[NCSC (Nationaal Cyber Security Centrum)|Nationaal Cyber Security Centrum (NCSC)]].
==Globale relaties tussen geïdentificeerde beveiligingsobjecten==
Het thema Serverplatform omvat het geheel van beleid, richtlijnen, procedures, processen, mensen (actoren), middelen en registraties voor het betrouwbaar functioneren van serverplatforms die het fundament vormen voor informatiesystemen. De essentiële objecten voor serverplatforms worden ingedeeld naar de domeinen: beleid, uitvoering en control. Deze objecten worden in [[ISOR:BIO Thema Serverplatform Beleid|Beleidsdomein]], [[ISOR:BIO Thema Serverplatform Uitvoering|Uitvoeringsdomein]] en [[ISOR:BIO Thema Serverplatform Control|Control-domein]] verder toegelicht en uitgewerkt. Moderne, gevirtualiseerde systeemomgevingen zien er mogelijk qua systeemtopologie geheel anders uit, maar de basiselementen die het fundament vormen voor informatiesystemen zijn niet anders.
===Beleiddomein===
Dit domein geeft de randvoorwaarden, conditionele aspecten en contraints waar de inrichting van het serverplatform aan moet voldoen.
===Uitvoeringsdomein===
De keuze van objecten uit de ISO 27002 voor het thema Serverplatform vloeit voort uit enkele uitgangspunten die gerelateerd zijn aan serverplatform:
* Initiële installatie, De initiële installatie wordt uitgevoerd met richtlijnen en procedures, bijvoorbeeld: bedieningsprocedure (ISO 27002-terminologie).
* Beveiligings- en beheerfuncties, De beveiligingsfunctie is gerelateerd aan protectiemechanismen die de beveiliging van de server moeten bevorderen, zoals malwareprotectie en hardenen van features. De beheerfunctie is gerelateerd aan enkele processen, zoals: server-onderhoud en beheer van kwetsbaarheden.
* Feature-configuratie, Servers hebben verschillende features. Deze features moeten adequaat zijn geconfigureerd om het beveiligingsniveau te kunnen garanderen.
* Structuur en ontwerp, De configuraties van servers en de koppelingen en relatie tussen verschillende servers moet in een ontwerpdocument worden vastgelegd.
===Control-domein===
Er zijn beoordelingsrichtlijnen vastgesteld voor het evalueren van de vastgestelde randvoorwaarden en de uitvoeringscomponenten.
.
<table class="wikitable">
<tr>
<th class="tg-s268">ID</th>
<th >Relevante beveiligingsobjecten</th>
<th >Omschrijving</th>
</tr>
<tr>
<td >B.01</td>
<td >Beleid voor(beveiligd) onderhouden van serverplatforms</td>
<td >Het resultaat van de besluitvorming ten aanzien van het onderhoud van serverplatforms die het verantwoordelijk management van een organisatie heeft vastgelegd.</td>
</tr>
<tr>
<td >B.02</td>
<td >Principes serverplatform beveiliging</td>
<td >Principiële uitgangspunten voor het inrichten van serverplatforms, zoals: “Security by design” en “Defense in depth".</td>
</tr>
<tr>
<td >B.03</td>
<td >Serverplatform Architectuur</td>
<td >Raamwerk en/of blauwdrukken waarmee wordt aangegeven op welke wijze serverplatforms zijn ingericht, samenhangen, beveiligd en beheerst.</td>
</tr>
<tr>
<td >U.01</td>
<td >Bedieningsprocedure</td>
<td >Een reeks verbonden taken of activiteiten die noodzakelijk zijn voor het beheren van serverplatforms.</td>
</tr>
<tr>
<td >U.02</td>
<td >Standaarden voor configuratie servers</td>
<td >Documenten waarin afspraken zijn vastgelegd ten aanzien van configuraties en parametrisering serverinstellingen.</td>
</tr>
<tr>
<td >U.03</td>
<td >Malwareprotectie</td>
<td >Beschermingsmechanismen om servers te beschermen tegen schadelijke code en om schadelijke code te detecteren en te neutraliseren.</td>
</tr>
<tr>
<td >U.04</td>
<td >Beheer van server kwetsbaarheden</td>
<td >Proactieve beveiliging van servers door het verwerven van inzicht in de kwetsbaarheden en zwakheden in de software die op de server zijn geïnstalleerd.</td>
</tr>
<tr>
<td >U.05</td>
<td >Patch-management</td>
<td >Het proces dat zorgt voor het verwerven, testen en installeren van patches (wijzigingen ter opheffing van bekende beveiligingsproblemen in de code) op (verschillende softwarecomponenten van) een computersysteem.</td>
</tr>
<tr>
<td >U.06</td>
<td >Beheer op afstand</td>
<td >Het beheer van server door beheerders vanuit een niet-vertrouwde omgeving.</td>
</tr>
<tr>
<td >U.07</td>
<td >Onderhoud apparatuur</td>
<td >Het actualiseren van configuraties van een serverplatform binnen een tijdsinterval.</td>
</tr>
<tr>
<td >U.08</td>
<td >Veilig verwijderen of hergebruiken van apparatuur</td>
<td >Het opschonen van apparatuur en het veilig stellen van data op de apparatuur.</td>
</tr>
<tr>
<td >U.09</td>
<td >Hardenen van servers</td>
<td >Het proces van het uitschakelen of verwijderen van overbodige en/of niet gebruikte functies, services en accounts, waarmee de beveiliging wordt verbeterd.</td>
</tr>
<tr>
<td >U.10</td>
<td >Serverconfiguratie</td>
<td >Het conform de vereisten instellen van de verschillende features van serverplatforms.</td>
</tr>
<tr>
<td >U.11</td>
<td >Virtueel serverplatform</td>
<td >Het beschikbaar stellen van één of meer gescheiden ‘logische’ omgevingen op één fysieke server.</td>
</tr>
<tr>
<td >U.12</td>
<td >Beperking software installatie</td>
<td >Het stellen van regels voor het installeren op servers of serverplatforms.</td>
</tr>
<tr>
<td >U.13</td>
<td >Kloksynchronisatie</td>
<td >Het gelijkrichten van klokken op verschillende servers.</td>
</tr>
<tr>
<td >U.14</td>
<td >Ontwerpdocumentatie</td>
<td >Een document waarin de relatie tussen servers en de instellingen van configuraties zijn vastgelegd.</td>
</tr>
<tr>
<td >C.01</td>
<td >Evaluatierichtlijnen serverplatforms</td>
<td >Richtlijnen die evaluatie activiteiten van servers ondersteunen.</td>
</tr>
<tr>
<td >C.02</td>
<td >Beoordeling technische serveromgeving</td>
<td >Het proces van beoordelen op naleving van de beleidsregels en normen van de organisatie voor serverplatforms.</td>
</tr>
<tr>
<td >C.03</td>
<td >Logbestandenbeheerders</td>
<td >Het vastleggen van activiteiten van beheerders.</td>
</tr>
<tr>
<td >C.04</td>
<td >Registratiegebeurtenissen</td>
<td >Het proces van registreren van gebeurtenissen op een server vanuit beveiligingsoptiek.</td>
</tr>
<tr>
<td >C.05</td>
<td >Monitorenservers en besturingssystemen</td>
<td >Het proces van bewaken, reviewen, analyseren van vastgelegde gebeurtenissen en het rapporteren hierover.</td>
</tr>
<tr>
<td >C.06</td>
<td >Beheerorganisatieservers en besturingssystemen</td>
<td >De adequaat gepositioneerde organisatorische eenheid die verantwoordelijk is voor de beheersing van de serverplatforms.</td>
</tr>
<caption align="bottom">Serverplatform, Definiëring/omschrijving van beveiligingsobjecten</caption></table>
Dit document bevat een referentiekader voor het thema Serverplatform. Het is geënt op de controls uit de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]], die gebaseerd is op de [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|NEN-EN-ISO/IEC 27002: 2017]] (hierna genoemd ISO 27002). Er wordt ook gebruik gemaakt van andere best practices zoals: [[The Standard of Good Practice for Information Security 2018|The Standard of Good Practice for Information Security (SoGP) 2018]] en van de [[NIST (National Institute of Standards and Technology)|National Institute of Standards and Technology (NIST)]].
Dit kader dient evenals andere [[Alle normenkaders|BIO Thema-uitwerkingen]] als een toetsinstrument voor interne en externe leveranciers, om inzicht te geven over het beveiligings- en beheersingsniveau van haar ontwikkel- en onderhoudsorganisatie. Dit thema geeft tevens inzicht in de kwaliteitszorg die de leverancier dient toe te passen bij het opleveren van nieuwe infrastructuur.
==Opzet BIO Thema-uitwerking==
De BIO Thema-uitwerking Serverplatform wordt achtereenvolgens uitgewerkt langs twee onderdelen: structuur en objecten. De structuur van deze BIO Thema-uitwerkingdocument bestaat uit een indeling op basis van [[ISOR:BIO Thema Serverplatform Beleid|Beleid]], [[ISOR:BIO Thema Serverplatform Uitvoering|Uitvoering]] en [[ISOR:BIO Thema Serverplatform Control|Control]] (BUC). De objecten vormen de inhoudelijke onderwerpen die in de vorm van controls en onderliggende maatregelen zullen worden behandeld. De objecten en de bijbehorende maatregelen worden gestructureerd met een (BUC-)lagenstructuur.
Deze thema-uitwerking volgt de standaard opzet voor [[Alle normenkaders|BIO Thema-uitwerkingen]]:
* scope en begrenzing van het thema ([[BIO Thema Serverplatform/Inleiding#Scope en begrenzing serverplatform|zie Scope en begrenzing serverplatform]]);
* context van het thema ([[BIO Thema Serverplatform/Inleiding#Context serverplatform|zie Context Serverplatform]]);
* beveiligingsobjecten en uitwerking van deze objecten op de BUC-lagen ([[BIO Thema Serverplatform/Objecten serverplatform#Vaststellen beveiligingsobjecten voor serverplatform|zie Vaststellen beveiligingsobjecten voor serverplatform]]);
* globale relaties van de geïdentificeerd beveiligingsobjecten ([[BIO Thema Serverplatform/Objecten serverplatform#Globale relaties tussen de geïdentificeerde beveiligingsobjecten|zie Globale relaties tussen de geïdentificeerde beveiligingsobjecten]]).
==Scope en begrenzing serverplatform==
In deze BIO Thema-uitwerking is de scope van het begrip serverplatform beperkt tot de basisfunctionaliteit en algemene onderwerpen die gerelateerd zijn aan serverplatforms. Enkele componenten van dit thema zijn: server-hardware, virtualisatietechnologie en besturingssysteem. Organisaties zullen met deze informatie hun eigen servers in hun omgeving moeten beoordelen en nagaan welke risico’s aanvullend gemitigeerd moeten worden.
De thema-uitwerking beschrijft niet de kenmerken van specifieke typen servers, zoals: bestandserver, applicatieserver, webserver, mailserver of databaseserver.
De objecten voor serverplatform komen direct of indirect uit de BIO of andere best practices. Bijvoorbeeld de vertaling van de BIO-titel Beleid voor beveiligd ontwikkelen (zie [[ISOR:Beleid voor beveiligde inrichting en onderhoud|Beleid voor beveiligde inrichting en onderhoud]]) naar het object voor serverplatforms wordt Beleid voor beveiligde inrichting en onderhoud. De BIO-titel Principes voor engineering van beveiligde systemen wordt het object Inrichtingsprincipes voor serverplatform (zie [[ISOR:Principes voor inrichten van beveiligde servers|Inrichtingsprincipes voor serverplatform]]).
De begrenzing van dit document is in onderstaande afbeelding weergegeven.
[[Bestand:SVP Relatie BIO Thema-uitwerking met aanpalende documenten.png|thumb|none|500px|Relatie BIO Thema-uitwerking met aanpalende documenten|alt=”Relatie BIO Thema-uitwerking met aanpalende documenten”]]
==Context serverplatform==
Servers zijn computers, die via werkstations (clients), een of meerdere diensten aan eindgebruikers of aan andere computersystemen beschikbaar stellen. Voorbeelden van servers zijn: fileserver, database-server, mailserver, webserver en File Transfer Protocol (FTP)-server. Het kan ook gerelateerd zijn aan software die deze dienst mogelijk maakt: accepteert verzoeken van gebruikers en verwerkt deze. Aan een server hangt een of meerdere clients. Onderstaande afbeelding geeft een globale context van enkele typen servers en hoe ze in relatie staan met beleids- en beheersingsaspecten.
[[Afbeelding:Thema Serverplatform - Context thema Serverplatform.png|thumb|none|500px|Context van het thema Serverplatform|alt=”Context thema Serverplatform”]]
Een externe gebruiker logt bijvoorbeeld aan op een webserver vanuit het internet. Dit type server geeft de relevante gebruikersgegevens door aan een portal-toegangsserver, die op zijn beurt applicatieve diensten vanuit backoffice-servers beschikbaar stelt. De onderste gebruiker in de afbeelding is een medewerker van een vertrouwde partij en zoekt via een semi-vertrouwd kanaal informatie op een webserver van de partnerorganisatie. De interne gebruiker logt aan op z’n werkstation via het lokale netwerk. In veel gevallen is er ook sprake van ‘middleware’, oftewel applicatiecode die bepaalde functies vervult tussen de gebruikersapplicatie en het besturingssysteem.
Deze BIO Thema-uitwerking bevat een referentiekader voor de BIO Thema-uitwerking Softwarepakketten. Het is geënt op controls uit de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] die gebaseerd is op [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|NEN-EN-ISO/IEC 27002: 2017]] (hierna genoemd ISO 27002). Er is bij de samenstelling van dit thema tevens gebruik gemaakt van andere normenkaders en internationale standaarden zoals [[OWASP Application Security Verification Standard 4.0.2|Application Security Verification Standard (ASVS)]] van [[OWASP (Open Source Foundation for Application Security)|Open Source Foundation for Application Security (OWASP)]], de [[ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen|ICT-Beveiligingsrichtlijnen voor Webapplicaties]] van het [[NCSC (Nationaal Cyber Security Centrum)|Nationaal Cyber Security Centrum (NCSC)]], [[SIG Evaluation Criteria Security - Guidance for producers|SIG Evaluation Criteria Security: Guidance for producers]] en [[The Standard of Good Practice for Information Security 2018|The Standard of Good Practice (SoGP) 2018]]. Voor het concretiseren van de controls uit de BIO zijn deze eisen tevens gerelateerd aan normen uit de [[Centrum Informatiebeveiliging en Privacybescherming (CIP)]]-[[Grip op Secure Software Development|publicatie Secure Software Development (SSD)]]. Hoewel SSD zich specifiek richt op softwareontwikkeling zijn bepaalde objecten en hieraan gerelateerde controls ook van toepassing op de aanschaf van standaard softwarepakketten.
Het landschap van softwarepakketten is zeer divers qua functionaliteit en schaalgrootte. Daarom is het onmogelijk om daarvoor één dekkende lijst van beveiligingseisen op te stellen. Wel is aan te geven welke onderwerpen tijdens het verwervingsproces van belang zijn en waar beveiligingseisen uit afgeleid kunnen worden. Daarom wordt specifiek gericht op objecten die bij het verwerven van belang zijn. Om de juiste objecten te identificeren, wordt uitgegaan van de fases van het verwervingsproces. Hierbij wordt gericht op de fases plannen en selecteren waarin een business case en het stellen van Programma van Eisen (PvE) een onderdeel zijn. Binnen de business case wordt met name aandacht besteed aan objecten gerelateerd aan informatieveiligheid en privacybescherming.
In deze thema-uitwerking wordt een softwarepakket beschouwd als een bestaand softwarepakket dat op de markt is gebracht door een leverancier en kan in verschillende organisaties worden toegepast. Het betreft standaard softwarepakketten die gebaseerd zijn op best practices binnen een bepaalde sector en op een verzameling van op elkaar afgestemde computerprogramma’s, die bepaalde bedrijfsfunctionaliteiten bieden. Voorbeelden van softwarepakketten zijn Enterprise Resource Planning (ERP)-pakket en Office-suites.
Softwarepakketten kunnen na verwerving in een eigen rekencentrum geïnstalleerd worden, maar ook afgenomen worden als een standaard clouddienst of als een hybride vorm hiervan. Dat wil zeggen: in eigen rekencentrum en in de cloud. Web-gebaseerde toepassingen kunnen ook op een lokale server draaien.
==Levenscyclus softwarepakket==
De [[NEN-ISO/IEC 27034-5:2017 (Protocols and application security controls data structure)|ISO 27034-5 ‘Protocols and application security controls data structure’]] uit 2017 beschrijft een referentiemodel, waarin de levenscyclus van software is gedefinieerd, vanaf de voorbereiding via de verwerving tot en met de uitfasering van het product. Onderstaande afbeelding is daarvan afgeleid en wordt gebruikt bij de uitleg van beveiligingseisen.
[[Bestand:SWP Levenscyclus van een softwarepakket.png|thumb|500px|none|alt=”Dit schema geeft de fases van een softwarepakket aan, waarbij implementeren en gebruiken en onderhouden buiten scope is”|Levenscyclus softwarepakket]]
==Voorbereiding vanuit klantorganisatie==
Voordat de werving en selectie van een softwarepakket start, worden de onderstaande stappen doorlopen, waarmee belangrijke vraagstukken worden ingevuld. De output van deze stappen maakt onderbouwing van keuzes mogelijk en maakt deze transparant en traceerbaar voor bestuurders en de inhoudelijke functies in zowel de business- als de informatievoorzieningsketen.
===Stap 1. Inventariseren===
De uitgangssituatie wordt in kaart gebracht, zowel van de organisatie als de techniek. Onderzocht wordt welke functionele behoeften er precies bestaan binnen de klantorganisatie (hierna genoemd klant) en welke afhankelijkheden verwacht worden tussen de al beschikbare bedrijfsfuncties en de beoogde nieuwe functionaliteit.
===Stap 2. Onderbouwen===
Een business case omschrijft de noodzaak voor een nieuw softwarepakket en de verwachte resultaten en voordelen daarvan. Binnen een business case worden ook de nieuwe IT-functionaliteiten vastgesteld waarin de kosten-baten worden geanalyseerd.
===Stap 2a. en 2b. Contextanalyse en scenario-ontwikkeling===
Na of tijdens de uitwerking van de business case wordt met een risicoanalyse (zie [[NEN-ISO/IEC 27005:2018 (Information security risk management)|ISO 27005 ‘Information security risk management’]] uit 2018) de in- en externe context vastgesteld. Dus in welke omgeving moet het pakket kunnen functioneren? Vanuit de business case en contextanalyse worden doelscenario’s ter besluitvorming uitgewerkt. Enkele vraagstukken daarbij zijn hieronder belicht.
'''Cloud of on-premise''' Voor standaard softwarepakketten wordt door leveranciers steeds meer overgegaan naar clouddiensten. Sommige software is zelfs alleen nog als clouddienst af te nemen. Business drivers als kosten/baten, ‘time-to-market’ en ‘wendbaarheid’ kunnen functionaliteit, geleverd als clouddienst heel aantrekkelijk maken. Organisaties die zijn overgestapt naar clouddiensten hebben ervaren dat die keuze een grote impact heeft op de bedrijfsvoering zoals men die gewend was met een eigen rekencentrum. Die impact geldt zowel voor de afnemende gebruikersorganisatie als voor de vorm van IT-dienstverlening.
'''Inpasbaarheid''' Er bestaat vrijwel altijd een bestaande IT-omgeving waarin het softwarepakket moet passen. Dat geldt tot op zekere hoogte ook voor clouddiensten. Dit zijn technische integratievraagstukken. Daarom is het van belang om voldoende IT-deskundigheid in te zetten bij een context- en risicoanalyse en bij het opstellen van een globaal ontwerp, Programma van Eisen (PvE) en de vaststelling van de technische randvoorwaarden. Raadpleeg daarbij de actuele vakliteratuur voor de te nemen technische maatregelen.
'''Risico’s''' De uit te voeren risicoanalyses zijn onder andere gericht op de vereiste bedrijfscontinuïteit, informatieveiligheid en privacyaspecten van de voorgenomen nieuwe bedrijfsfunctionaliteit. Daarvoor wordt onder andere een Business Impact Assessment (BIA), een risicoanalyse en indien nodig een Data Protection Impact Assessment (DPIA) uitgevoerd. Mede met de uitkomsten van deze analyses kan het meest geschikte implementatiescenario worden gekozen.
'''Continuïteit''' Continuïteitsvraagstukken zijn: wat is de maximaal toelaatbare uitvalduur van het softwarepakket en wat is het maximaal toelaatbare dataverlies? Beide factoren kunnen cruciaal zijn voor het voortbestaan van een bedrijf en maken onderdeel uit van Bedrijfscontinuïteitsmanagement (BCM).
'''Classificatie''' De classificatie van de data die door het pakket verwerkt zal worden, vormt eveneens een belangrijke input, zowel voor de BIA als voor de DPIA, maar ook voor beveiligingseisen gericht op de transport en opslag van gegevens.
====Stap 3. en 4. Ontwerpen en conditioneren====
Als de scenariokeuze is gemaakt, wordt een functioneel ontwerp opgesteld. Hierin worden de bedrijfsfuncties uitgewerkt tot een PvE. Dit PvE dient als basis voor de selectie van IT-diensten zoals een softwarepakket.
Bij het vaststellen van een PvE wordt aandacht besteed aan zowel bedrijfsfuncties als aan informatieveiligheid en privacybescherming, waarvoor een set van functionele en non-functionele eisen wordt opgesteld.
In deze BIO Thema-uitwerking zijn de objecten geïdentificeerd en de hieraan gerelateerde BIO-controls gedefinieerd die voor het ontwerp van bedrijfsfuncties en vanuit de verwervingsoptiek noodzakelijk kunnen zijn. Het gaat hier zowel om de organisatie als de techniek.
De objecten zijn conform de standaard opzet van BIO Thema-uitwerkingen uitgewerkt in twee onderdelen: structuur en objecten. De structuur van elk thema is een indeling van objecten op basis van het beleids-, uitvoerings- en control-domein. De objecten representeren de inhoudelijke informatiebeveiligingsonderwerpen, die bij voorkeur uit de BIO-/ISO 27002-controls en -maatregelen zijn geadopteerd. Zoals bij de [[BIO Thema Softwarepakketten - Inleiding#Inleiding|inleiding]] is aangegeven, zijn sommige controls voor concretisering gerelateerd aan andere baselines zoals SSD-controls en -maatregelen.
==Scope en begrenzing softwarepakketten==
Deze BIO Thema-uitwerking is voornamelijk gericht op conditionele, beveiligings- en beheersingsaspecten en generieke beveiligingseisen die gerelateerd zijn aan de verwerving van softwarepakketten. Buiten scope van deze thema-uitwerking vallen:
#operationele implementatie en configuratie van het verworven softwarepakket;
#activiteiten die specifiek gaan over de infrastructuur van externe hosting en generieke clouddiensten; zie daarvoor de BIO Thema-uitwerkingen Clouddiensten, Serverplatform en Communicatievoorzieningen.
#specifieke gebruikers- en businesseisen omdat deze eisen organisatieafhankelijk zijn.
# applicatieontwikkelingseisen, zie daarvoor de BIO Thema-uitwerking Applicatieontwikkeling.
De begrenzing van dit document is in onderstaande afbeelding weergegeven.
[[Bestand:SWP Relatie BIO Thema-uitwerking met aanpalende documenten.png|thumb|500px|none|alt=”Dit schema geeft aan hoe de relatie is tussen deze en andere BIO Thema-uitwerkingen, documenten op normatief niveau en de ISOR waarin de thema's worden ontsloten.”|Relatie BIO Thema-uitwerkingen met aanpalende documenten]]
De relatie tussen de verschillende BIO Thema-uitwerkingen is in onderstaande afbeelding weergegeven.
[[Bestand:SWP Postionering thema Softwarepakketten in relatie tot andere thema's.png|thumb|500px|none|alt=”Dit schema geeft aan hoe de relatie is tussen deze en alle andere BIO Thema-uitwerkingen.”|Postitionering thema Softwarepakketten in relatie tot andere thema-uitwerkingen]]
==Relaties tussen beveiligingsobjecten==
De objecten in het beleidsdomein, sturen de objecten in het uitvoeringsdomein aan en worden uiteindelijk getoetst via beheersingsobjecten of het beleid in de uitvoering wordt gehanteerd, zie onderstaande afbeelding. De BIO Thema-uitwerking Softwarepakketten omvat het geheel van beleid, richtlijnen, procedures, processen, mensen (actoren), middelen, registraties etc. in de vorm van objecten voor het betrouwbaar functioneren van softwarepakketten. De essentiële objecten voor softwarepakketten, die onder andere betrekking hebben op gebruikers, functionaliteiten en centrale database (zie onderstaande afbeelding) zijn in het [[Softwarepakketten Beleid|beleidsdomein]], [[Softwarepakketten Uitvoering|uitvoeringsdomein]] en [[Softwarepakketten Control|control-domein]] uitgewerkt.
[[Bestand:SWP Softwarepakketten in het beleids-, uitvoerings- en control-domein.png|thumb|500px|none|alt=”Dit schema geeft de relatie tussen deze en alle andere BIO Thema-uitwerkingen weer.”|Softwarepakketten in het beleids-, uitvoerings- en control-domein]]
===Beleidsdomein===
Dit zijn de randvoorwaarden, conditionele aspecten en constraints die bij de verwerving van softwarepakketten in acht moeten worden genomen.
===Uitvoeringsdomein===
De control-keuze uit de BIO voor deze BIO Thema-uitwerking vloeit voort uit enkele uitgangspunten die gerelateerd zijn aan software:
* Beveiligings- en beheerfuncties, Het softwarepakket beschikt over beveiligingsfuncties en beschermingsmechanismen die de beveiliging van softwarepakketten moeten bevorderen, zoals virusprotectie en mogelijkheden om tekortkomingen in de beveiliging achteraf te kunnen corrigeren, zoals patchmanagement.
* Configuratie van features, Het softwarepakket beschikt over features om een adequaat niveau van beveiliging te kunnen bereiken.
* Structuur en ontwerp, De samenhang tussen de modules binnen het softwarepakket, de geboden koppelingsmogelijkheden met een externe applicatie en de faciliteiten voor import en export zijn inzichtelijk gemaakt met een softwarearchitectuur.
===Control-domein===
Voor het evalueren van de effectiviteit van de genomen controls en maatregelen uit het beleids- en uitvoeringsdomein zijn in dit domein de daarvoor benodigde objecten, controls en maatregelen bepaald.
Deze BIO Thema-uitwerking is door het [[CIP (Centrum Informatiebeveiliging en Privacybescherming)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]] opgesteld om overheidsorganisaties een beeld te geven van de meest relevante onderwerpen, met name voor de verwerving van standaard software. Daarmee wordt bestaande software bedoeld, die als product op de markt is gebracht om binnen een groot aantal organisaties te kunnen worden gebruikt. Voor algemene informatie over diverse soorten softwarepakketten zie: [https://www.softwarepakketten.nl/ www.softwarepaketten.nl] <sup class="reference smartref" id="cite_ref-Softwarepaketten.nl_1-0">[[BIO Thema Softwarepakketten - Voorwoord en motivatie#cite_note-Softwarepaketten.nl-1|1]]</sup>.
De belangrijkste aanleiding voor het opstellen van deze BIO Thema-uitwerking is dat de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] de overheden weinig concrete handvatten biedt voor het verwerven van standaard softwarepakketten. Daarnaast is er de visie dat de complexiteit van de IT verschuift van infrastructuur naar applicaties. Daarom behandelt deze thema-uitwerking in samenhang de beveiligingseisen voor de verwerving van softwarepakketten.
Het kiezen van een softwarepakket blijkt in de praktijk vooral een integratievraagstuk. Hoe past de technologie en het gebruik van een softwarepakket (of dienst) veilig binnen de bestaande bedrijfsvoering? Dit is vooral een taak van de klantorganisatie. De verwervingseisen voor een softwarepakket zijn daarom geënt op zowel de noodzakelijke bedrijfs- en beveiligingsfunctionaliteiten als integratie of koppelingsmogelijkheden. +
Objecten worden geïdentificeerd met onderzoeksvragen en risicogebieden. De objecten zijn afgeleid vanuit de optiek van de kwaliteitscriteria: Beschikbaarheid, Integriteit, Vertrouwelijkheid en Controleerbaarheid (BIVC), die vervolgens zijn ingedeeld in het beleids-, uitvoerings- en control-domein.
De vragen die hierbij een rol hebben gespeeld zijn:
# Welke randvoorwaardelijke elementen spelen een rol bij de inrichting van toegangsbeveiliging vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid?
# Welke elementen spelen een rol bij de inrichting van toegangsbeveiliging vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid?
# Welke elementen spelen een rol bij de beheersing van toegangsbeveiliging vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid?
Afbeelding 'Schematische weergave componenten toegangsbeveiliging in drielagenstructuur' geeft de positionering weer van toegangsbeveiligingselementen binnen het uitvoeringsdomein. Deze elementen geven een verband van elementen die binnen de organisatieonderdelen een rol spelen. De elementen kunnen direct of indirect voorkomen als beveiligingsobjecten.
[[Afbeelding:Thema Toegangsbeveiliging - Schematische weergave van de componenten van het logische toegangsbeveiliging systeem in een 3-lagenstructuur.png|thumb|600px|none|alt=” Schematische weergave componenten toegangsbeveiliging in drielagenstructuur”|Schematische weergave componenten logische toegangsbeveiliging in drielagenstructuur]]
==Globale relaties tussen geïdentificeerde beveiligingsobjecten==
De [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] is ingedeeld met de hoofdstukindeling van de [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002]]. Bij het ontwikkelen van een BIO Thema-uitwerking, zoals de toegangsbeveiliging, is het noodzakelijk om na te gaan uit welke onderdelen (objecten) de omgeving van toegangsbeveiliging precies bestaat. Zonder een beeld over de samenhang tussen de objecten is het lastig om de normen in de juiste samenhang uit de BIO te selecteren.
Afbeelding 'Schematische weergave van de componenten van logische toegangsbeveiliging in een drielagenstructuur' geeft een voorbeeld van de betrokken onderdelen uit de business en ICT-omgeving waar een organisatie over het algemeen mee te maken hebben. Deze onderdelen kunnen gerelateerd zijn aan de beveiligingsobjecten in een toegangsbeveiligingsomgeving.
Toegangsbeveiliging omvat het geheel van actoren, beleid, richtlijnen, procedures, processen, registratiesystemen voor een vertrouwd en betrouwbaar gebruik van informatiesystemen. De essentiële onderdelen van toegangsbeveiliging worden in onderstaande figuur weergegeven. De onderdelen zijn hieronder toegelicht met de domeinen (beleid, uitvoering en control) waarin deze voorkomen.
===Beleidsdomein===
Het beleidsdomein bevat algemene conditionele elementen voor de inrichting van de toegangsbeveiliging zoals toegangsbeleid. Het bevat ook andere conditionele en randvoorwaardelijke aspecten die van toepassing zijn op het uitvoeringsdomein en het control-domein. Het bevat over het algemeen de objecten: beleid, cryptografie, organisatiestructuur en architectuur.
===Uitvoeringsdomein===
Het uitvoeringsdomein omvat verschillende organisatieonderdelen die betrokken zijn bij de inrichting van de toegangsbeveiliging. Toegangsbeveiliging is een continu proces die de samenwerking van deze bedrijfsonderdelen nodig heeft. Deze bedrijfsonderdelen zijn gezamenlijk verantwoordelijk voor de juiste inrichting van de beveiligingsobjecten over toegangsbeveiliging. De betrokken organisatieonderdelen zijn onder andere:
*Personeelsafdeling, De personeelsafdeling zorgt ervoor dat medewerkers in het personeelsregistratiesysteem worden opgenomen en zorgt, in samenwerking met business, dat vanuit een organisatorische en procedurele invalshoek elementen worden vastgelegd. De van belang zijnde elementen zijn: gegevens/proceseigenaar, gebruiker, rol, profiel en taak. De relatie tussen deze elementen kan gelezen worden als:
** Een gebruiker heeft een rol.
** Met deze rol wordt zijn profiel bepaald.
** Met zijn profiel worden de rechten bepaald waarmee hij zijn taak kan uitvoeren.
* ICT afdeling, De ICT-afdeling zorgt voor ICT-voorzieningen en de geautoriseerde toegang tot benodigde applicaties en het authenticatiemiddel. Dit wordt vastgelegd in termen van identificatie, authenticatie en autorisatie. Er zijn verschillende typen gebruikers: eindgebruikers (remote-gebruikers) en beheerders. Deze gebruikers moeten aan specifieke toegangseisen voldoen. De gebruikersgegevens, de rollen en profielen worden vastgelegd in registratiesystemen. In dit geval zijn er drie registratiesystemen vermeld. In de praktijk is dit afhankelijk van het type organisatie. Er zijn ook registraties die worden gebruikt voor analysedoeleinden.
*Facilitair Bedrijf, Het Facilitair bedrijf zorgt voor een fysieke toegang tot terreinen, gebouwen en ruimten met een toegangsmiddel. Hierbij ontvangen de medewerkers bijvoorbeeld een toegangspas (is een identificatiemiddel).
===Control-domein===
Het control-domein bevat evaluatie-, meet- en beheersingsaspecten waarmee toegangsbeveiliging wordt beheerst en bijgestuurd. Het vervult hiermee een control-functie die kort en lang cyclisch van aard kunnen zijn. Dit domein bevat beheersprocessen, zoals de Information Technology Infrastructure Library (ITIL)-processen, die noodzakelijk zijn voor de beheersing van de configuraties van IT-componenten en de instandhouding van het beveiligingsniveau. De informatie uit de evaluaties en de beheerprocessen is niet alleen gericht op het bijsturen en/of aanpassen van het eerder geformuleerde beleid maar ook op implementatie van de toegangsbeveiliging. In Afbeelding 'Schematische weergave van de componenten van logische toegangsbeveiliging in een drielagenstructuur' wordt de hiervoor uitgelegde domeinenstructuur geïllustreerd.
De domeinindeling is verder uitgewerkt in de pagina [[ISOR:BIO Thema Toegangsbeveiliging Control|Control-domein]]. Gevirtualiseerde systeemomgevingen zien er qua systeemtopologie geheel anders uit, maar de basiselementen voor de toegang zijn dezelfde.
Deze BIO Thema-uitwerking representeert een referentiekader voor de BIO Thema-uitwerking Toegangsbeveiliging en is geënt op controls uit best practices zoals: [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]], [[NEN-EN-ISO/IEC 27001:2017 (Managementsystemen voor informatiebeveiliging - Eisen)|NEN-EN-ISO/IEC 27001:2017]] (hierna genoemd ISO 27001) en [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|NEN-ISO/IEC 27002: 2017]] (hierna genoemd ISO 27002), [[The Standard of Good Practice for Information Security 2018|the Standard of Good Practice (SoGP) 2018]] en de [[NIST (National Institute of Standards and Technology)|National Institute of Standards and Technology (NIST)]].
==Opzet BIO Thema-uitwerking==
De BIO Thema-uitwerking Toegangsbeveiliging wordt uitgewerkt langs twee onderdelen: structuur en objecten. De structuur van deze thema-uitwerking bestaat uit een indeling op basis van Beleid, Uitvoering en Control (BUC). De objecten vormen de inhoudelijke onderwerpen die in de vorm van controls en onderliggende maatregelen worden behandeld. De objecten en de bijbehorende maatregelen worden gestructureerd door middel van met de (BUC-)lagenstructuur.
Deze thema-uitwerking volgt de standaard opzet voor [[Alle normenkaders|BIO Thema-uitwerkingen]]:
# Scope en begrenzing van de thema-uitwerking (zie [[BIO Thema Toegangsbeveiliging/Inleiding#Scope en begrenzing van toegangsbeveiliging|Scope en begrenzing van toegangsbeveiliging]]);
# Context en globale structuur van de thema-uitwerking (zie [[BIO Thema Toegangsbeveiliging/Inleiding#Context en globale structuur toegangsbeveiliging|Context en globale structuur toegangsbeveiliging]]);
# Globale relaties tussen de geïdentificeerde beveiligingsobjecten (zie [[BIO Thema Toegangsbeveiliging/Objecten voor toegangbeveiliging#Globale relaties tussen de geïdentificeerde beveiligingsobjecten|Globale relaties tussen de geïdentificeerde beveiligingsobjecten]]);
==Scope en begrenzing toegangsbeveiliging==
De uitwerking van logische toegangsbeveiliging is in deze BIO Thema-uitwerking gericht op identificatie, authenticatie en autorisatie van (interne en externe) medewerkers voor systemen die op een bepaalde locatie staan.
De uitwerking van fysieke beveiliging is deze thema-uitwerking gericht op de fysieke toegang tot terreinen, gebouwen en ruimten (bijvoorbeeld rekencentra).
Specifieke apparaat gebonden mechanismen voor toegangsbeveiliging, zoals toegang tot besturingssystemen, netwerken, mobiele computers en telewerken zullen in andere thema-uitwerkingen worden behandeld.
De begrenzing van deze BIO Thema-uitwerking is in afbeelding 'Relatie BIO Thema-uitwerking Toegangsbeveiliging met aanpalende documenten' weergegeven.
[[Bestand:TBV Relatie BIO Thema-uitwerking met aanpalende documenten.png|thumb|500px|none|alt=”Relatie BIO Thema-uitwerking met aanpalende documenten”|Relatie BIO Thema-uitwerking Toegangsbeveiliging met aanpalende documenten]]
==Context en globale structuur toegangsbeveiliging==
Organisaties maken gebruik van informatiesystemen om hun bedrijfsprocessen te ondersteunen en medewerkers zijn gehuisvest in gebouwen en ruimten. De informatiesystemen maken gebruik van cruciale data van de organisatie zelf en van haar klanten. Het is van belang dat deze informatiesystemen worden beveiligd en beheerst, anders loopt de organisatie het risico dat deze data misbruikt wordt, wat kan leiden tot bijvoorbeeld boetes, imagoschade, klantenverlies e.d. In dit kader speelt toegangsbeveiliging een cruciale rol. Toegangsbeveiliging omvat logische en fysieke toegangsbeveiliging, zoals in de afbeelding 'Globale opzet logische en fysieke beveiliging' hieronder wordt weergegeven.
[[Bestand:TBV Globale opzet logische en fysieke toegangsbeveiliging.png|thumb|500px|none|alt=”Globale opzet logische en fysieke toegangsbeveiliging”|Globale opzet logische en fysieke toegangsbeveiliging]]
Logische toegangsbeveiliging omvat het geheel van richtlijnen, procedures en beheersingsprocessen en faciliteiten die noodzakelijk zijn voor het verschaffen van toegang tot informatiesystemen, besturingssystemen, netwerken, mobiele apparaten en telewerken van een organisatie. Fysieke toegangsbeveiliging omvat het geheel van richtlijnen, procedures en beheersingsprocessen en systemen die noodzakelijk zijn voor het verschaffen van fysieke toegang tot terreinen, gebouwen en ruimten.
'''De toegangsbeveiligingsobjecten in de drie domeinen Beleid, Uitvoering en Control in een oogopslag'''
<br>
[[Bestand:TBV Overzicht objecten voor toegangsbeveiliging in het beleidsdomein.png|thumb|500px|none|alt=”Overzicht van objecten gerelateerd aan SIVA basiselementen in het beleidsdomein”|Afbeelding 10: Toegangsbeveiligingsobjecten binnen het beleidsdomein]]
[[Bestand:TBV Overzicht objecten voor toegangsbeveiliging in het uitvoeringsdomein.png|thumb|500px|none|alt=”Overzicht van objecten gerelateerd aan SIVA basiselementen in het uitvoeringsdomein”|Afbeelding 11: Toegangsbeveiligingsobjecten binnen het uitvoeringsdomein]]
[[Bestand:TBV Overzicht objecten voor toegangsbeveiliging in het control-domein.png|thumb|500px|none|alt=”Overzicht van objecten gerelateerd aan SIVA basiselementen in het control-domein”|Afbeelding 12: Toegangsbeveiligingsobjecten binnen het control-domein]] +
Voor zowel interne als externe medewerkers hanteer voor de inrichting en evaluatie van voorzieningen voor toegangsbeveiliging de volgende fasering (zie afbeelding 'Relaties richtlijnen tussen in-, door- en uitstroom):
* Indiensttreding (instroom), In deze fase gelden algemene en specifieke richtlijnen voor de taken en verantwoordelijkheden van de werkgever en de werknemer. De werkgever zal in de fase, na een zorgvuldige selectieprocedure, de noodzakelijke zaken voor de werknemer moeten regelen.
* Tijdens dienstverband (doorstroom), In deze fase worden werknemers, afhankelijk van hun functie, via trainingen en opleidingen bewust gemaakt van het omgaan met bedrijfsmiddelen (onder andere bedrijfsgegevens) en hoe zij moeten omgaan met aspecten van informatiebeveiliging.
* Uitdiensttreding (uitstroom), In deze fase treft de werkgever de noodzakelijke maatregelen voor het beëindigen van het dienstverband. De werknemer zal de aan hem verstrekte bedrijfsmiddelen volgens afgesproken procedure moeten inleveren.
[[Afbeelding:Thema Toegangsbeveiliging - De relaties tussen de drie fases.png|thumb|550px|none|alt=” Relaties tussen de drie fases”|Relaties richtlijnen tussen in-, door- en uitstroom]]
==Indiensttreding nieuwe medewerkers==
Met het verstrekken van de aanstellingsbeschikking komt een medewerker, aangenomen door een manager, in dienst. Bij indiensttreding ontvangt de medewerker een toegangspas waarmee hij toegang krijgt tot het terrein, gebouw en de bij de functie horende ruimtes (fysieke toegangsbeveiliging). Naast de fysieke ruimtes krijgt de medewerker ook toegang tot logische ruimtes, ofwel: de persoonlijk en gemeenschappelijke gegevensverzamelingen en tot de algemene kantoorautomatiseringsomgeving, zoals de KA- of de Front-Office omgeving en specifieke applicaties. Voor de werkzaamheden binnen de specifieke applicaties kan hij weer algemene en specifieke rechten krijgen.
Achter de schermen worden heel wat stappen gezet om deze nieuwe medewerker daadwerkelijk in te voeren als een actieve functionaris. Hierbij zijn verschillende afdelingen betrokken zoals:
* De Personeelsafdeling (of Human Resource Management) zorgt daarbij voor invoering van de nieuwe medewerker in het personeelsbestand.
* De Facilitaire dienst of Facilitair bedrijf zorgt voor een fysieke werkplek (bureau, stoel etc.) en maakt een toegangspas aan (= identificatiemiddel).
* De Gegevens-/Proceseigenaar zorgt voor mandaatregister waaruit blijkt welke personen bevoegd zijn voor uitvoering van welke taken (autorisaties).
* De ICT-afdeling zorgt voor ICT-voorzieningen misschien en de geautoriseerde toegang tot benodigde applicaties evenals het authenticatiemiddel (zoals een toegangspas).
Deze stappen staan niet los van elkaar. Zij dienen namelijk één gemeenschappelijk doel: het bieden van geautoriseerde toegang en daarvoor zijn meerdere gegevens van de medewerker en meerdere acties vanuit de organisatie nodig om de benodigde zaken te regelen om de medewerker in de positie te stellen voor het uitvoeren van zijn taken. Omgekeerd zal de medewerker kennis moeten nemen van de missie/visie van de organisatie en van haar informatiebeveiligingsbeleid. Afbeelding 'Processtappen en acties bij de indiensttreding van een medewerker' geeft een beeld van de processtappen bij de indiensttreding (instroom) van een medewerker.
[[Afbeelding:Thema Toegangbeveiliging - Processtappen en acties bij de indiensttreding (instroom) van een medewerker.png|thumb|750px|none|alt=”Processtappen en acties bij de indiensttreding (instroom) van een medewerker”|Processtappen en acties bij indiensttreding van een medewerker]]
Nadat de processtappen en acties bij de indiensttreding van de medewerker zijn doorlopen, is de medewerker geïdentificeerd. De medewerker (gebruiker) bezit dan de nodige middelen, een fysiek toegangsbewijs voor toegang tot terreinen, gebouwen en ruimtes van de organisatie in de vorm van een toegangspas en een logisch toegangsbewijs in de vorm van een account voor toegang tot Informatievoorzieningen (IV) faciliteiten. Na het met de inloggegevens (identificatie/accountnaam en authenticatie) inloggen, krijgt de gebruiker toegang tot applicaties.
Aan het account, het identificatiebewijs van de gebruiker, zijn toegangsrechten (autorisaties) gekoppeld. Autorisatie (profiel) komt tot stand met de rol van de gebruiker en geeft hem het recht bepaalde taken in de applicatie uit te voeren. Bij doorstroom is er sprake van wijzigingen van de toegangsgegevens (identificatie, authenticatie en autorisatie). Bij uitstroom is er sprake van blokkering van deze gegevens.
De persoonlijke gegevens van de gebruiker zijn opgeslagen in het personeelssysteem, de rol en het profiel zijn opgeslagen in het autorisatiesysteem. De profielen en de taken zijn op hun beurt weer opgeslagen in het informatiesysteem. Afbeelding 'Schematische weergave autorisatieproces in de domeinen' geeft hiervan een overzicht.
[[Afbeelding:Thema Toegangbeveiliging - Het autorisatieproces.png|thumb|750px|none|alt=” Het autorisatieproces”|Schematische weergave autorisatieproces in de domeinen]]
==Tijdens het dienstverband==
Tijdens het dienstverband heeft de medewerker (gebruiker) toegang tot de informatiesystemen door de bij de indiensttreding verkregen middelen en toegangsrechten. Daarvoor moeten fysieke toegangssystemen, authenticatiesystemen en autorisatiesystemen worden ingericht.
Tijdens het dienstverband kunnen werkzaamheden van medewerkers worden gewijzigd en of op een andere functie/project worden geplaatst. Er kan ook sprake zijn van een (tijdelijke) overplaatsing. Dan zullen de nodige wijzigingen in functieprofielen (autorisatie) en taakrollen in het registratiesysteem worden doorgevoerd. De oorspronkelijke functie dient dan te worden gedeactiveerd en de toegangsrechten worden aangepast, geblokkeerd of verwijderd.
==Uitdiensttreding==
Uiteindelijk kan een medewerker door bepaalde redenen uit dienst treden. Dit houdt in dat bepaalde gegevens van de medewerkers dienen te worden geregistreerd en autorisaties voor het gebruik van applicaties moeten worden verwijderd.
<br><br>
: → [[ISOR:Autorisatieproces|Ga terug naar U.04 Autorisatieproces]]
De BIO Thema-uitwerking Applicatieontwikkeling, hierna genoemd normenkader, is opgesteld door Wiekram Tewarie ([[UWV (Uitvoeringsinstituut Werknemersverzekeringen)|Uitvoeringsinstituut Werknemersverzekeringen (UWV)]]) en Jaap van der Veen ([[CIP (Centrum Informatiebeveiliging en Privacybescherming)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]]). De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 gereviewd. Het CIP-kernteam heeft versie 2.0 en 2.1 gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’.
==Considerans==
CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt. Opmerkingen en aanvullingen kun je melden op [https://www.cip-overheid.nl/contact/ cip-overheid.nl/contact].
==Leeswijzer==
Voorafgaand aan het [[ISOR:BIO Thema Applicatieontwikkeling Beleid|Beleidsdomein]], [[ISOR:BIO Thema Applicatieontwikkeling Uitvoering|Uitvoeringsdomein]] en [[ISOR:BIO Thema Applicatieontwikkeling Control|Control-domein]], de kern van dit thema, heeft [[Alle normenkaders|elke BIO Thema-uitwerking]] een [[BIO Thema Applicatieontwikkeling/Inleiding|inleiding]] met een standaard paragraafindeling.
De volgende leeswijzer geldt voor dit normenkader:
*Voor de aanduiding van personen wordt de mannelijke vorm aangehouden (hij/hem/zijn) ongeacht het geslacht.
*De controls, hierna genoemd criteria, en maatregelen, hierna genoemd normen, vermeld in dit normenkader zijn in het beleids-, uitvoerings- en control-domein georganiseerd, waarmee ze bij de overeenkomstige functionarissen kunnen worden geadresseerd. Deze functionarissen zijn niet benoemd omdat dit organisatie-afhankelijk is.
*Van best practices (open standaarden al dan niet toegankelijk met een licentie), zijn de meest actuele versies afgekort vermeld, tenzij de actuele versie niet toereikend is.
*Voor een overzicht van alle gebruikte best practices, afkortingen en begrippen en een generieke toelichting op de opzet van de thema-uitwerkingen, zie de Structuurwijzer BIO Thema-uitwerkingen.
De BIO Thema-uitwerking Clouddiensten, hierna genoemd normenkader, is opgesteld door Wiekram Tewarie ([[UWV (Uitvoeringsinstituut Werknemersverzekeringen)|Uitvoeringsinstituut Werknemersverzekeringen (UWV)]]) en Jaap van der Veen ([[CIP (Centrum Informatiebeveiliging en Privacybescherming)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]]). De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 gereviewd. Het CIP-kernteam heeft versie 2.0 en 2.1 gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’.
==Considerans==
CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt. Opmerkingen en aanvullingen kun je melden op [https://www.cip-overheid.nl/contact/ cip-overheid.nl/contact].
==Leeswijzer==
Voorafgaand aan het [[ISOR:BIO Thema Clouddiensten Beleid|beleidsdomein]], [[ISOR:BIO Thema Clouddiensten Uitvoering|uitvoeringsdomein]] en [[ISOR:BIO Thema Clouddiensten Control|control-domein]], de kern van dit document, heeft [[Alle normenkaders|elke BIO Thema-uitwerking]] een [[BIO Thema Clouddiensten/Inleiding|inleiding]] met een standaard paragraafindeling.
Aanvullend geldt:
* Voor de aanduiding van personen wordt de mannelijke vorm aangehouden (hij/hem/zijn) ongeacht het geslacht.
* De controls en maatregelen vermeld in deze thema-uitwerking zijn in het beleids-, uitvoerings- en control-domein georganiseerd, waarmee ze bij de overeenkomstige functionarissen kunnen worden geadresseerd. Deze functionarissen zijn niet benoemd omdat dit organisatie-afhankelijk is.
* Van best practices (open standaarden al dan niet toegankelijk met een licentie) zijn de meest actuele versies afgekort vermeld, tenzij de actuele versie niet toereikend is.
* Voor een overzicht van alle gebruikte best practices, afkortingen en begrippen en een generieke toelichting op de opzet van de thema-uitwerkingen, zie de Structuurwijzer BIO Thema-uitwerkingen.
De BIO Thema-uitwerking Communicatievoorzieningen, hierna genoemd normenkader, is opgesteld door Wiekram Tewarie ([[UWV (Uitvoeringsinstituut Werknemersverzekeringen)|Uitvoeringsinstituut Werknemersverzekeringen (UWV)]]) en Jaap van der Veen [[Centrum Informatiebeveiliging en Privacybescherming (CIP)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]]. De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 gereviewd. Het CIP-kernteam heeft versie 2.0 en 2.1 van dit normenkader gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’.
==Considerans==
CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt. Opmerkingen en aanvullingen kun je melden op [https://www.cip-overheid.nl/contact/ cip-overheid.nl/contact].
==Leeswijzer==
Voorafgaand aan het [[ISOR:BIO Thema Communicatievoorzieningen Beleid|beleidsdomein]], [[ISOR:BIO Thema Communicatievoorzieningen Uitvoering|uitvoeringsdomein]] en [[ISOR:BIO Thema Communicatievoorzieningen Control|control-domein]], de kern van dit thema, heeft [[Alle normenkaders|elke BIO Thema-uitwerking]] een [[BIO Thema Communicatievoorzieningen/Inleiding|inleiding]] met een standaard paragraafindeling.
De volgende leeswijzer geldt voor dit normenkader:
*Voor de aanduiding van personen wordt de mannelijke vorm aangehouden (hij/hem/zijn) ongeacht het geslacht.
*De controls, hierna genoemd criteria, en maatregelen, hierna genoemd normen, vermeld in dit normenkader zijn in het beleids-, uitvoerings- en control-domein georganiseerd, waarmee ze bij de overeenkomstige functionarissen kunnen worden geadresseerd. Deze functionarissen zijn niet benoemd omdat dit organisatie-afhankelijk is.
*Van best practices (open standaarden al dan niet toegankelijk met een licentie), zijn de meest actuele versies afgekort vermeld, tenzij de actuele versie niet toereikend is.
*Voor een overzicht van alle gebruikte best practices, afkortingen en begrippen en een generieke toelichting op de opzet van de thema-uitwerkingen, zie de Structuurwijzer BIO Thema-uitwerkingen.
De BIO Thema-uitwerking Huisvesting informatievoorzieningen, hierna genoemd normenkader, is opgesteld door Wiekram Tewarie ([[UWV (Uitvoeringsinstituut Werknemersverzekeringen)|Uitvoeringsinstituut Werknemersverzekeringen (UWV)]]) en Jaap van der Veen [[Centrum Informatiebeveiliging en Privacybescherming (CIP)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]]. De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 gereviewd. Het CIP-kernteam heeft versie 2.0 en 2.1 van dit normenkader gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’.
==Considerans==
CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt. Opmerkingen en aanvullingen kun je melden op [https://www.cip-overheid.nl/contact/ cip-overheid.nl/contact].
==Leeswijzer==
Voorafgaand aan het [[ISOR:BIO Thema Huisvesting Informatievoorziening Beleid|beleidsdomein]], [[ISOR:BIO Thema Huisvesting Informatievoorziening Uitvoering|uitvoeringsdomein]] en [[ISOR:BIO Thema Huisvesting Informatievoorziening Control|control-domein]], de kern van dit thema, heeft [[Alle normenkaders|elke BIO Thema-uitwerking]] een [[BIO Thema Huisvesting Informatievoorziening/Inleiding|inleiding]] met een standaard paragraafindeling.
De volgende leeswijzer geldt voor dit normenkader:
*Voor de aanduiding van personen wordt de mannelijke vorm aangehouden (hij/hem/zijn) ongeacht het geslacht.
*De controls, hierna genoemd criteria, en maatregelen, hierna genoemd normen, vermeld in dit normenkader zijn in het beleids-, uitvoerings- en control-domein georganiseerd, waarmee ze bij de overeenkomstige functionarissen kunnen worden geadresseerd. Deze functionarissen zijn niet benoemd omdat dit organisatie-afhankelijk is.
*Van best practices (open standaarden al dan niet toegankelijk met een licentie), zijn de meest actuele versies afgekort vermeld, tenzij de actuele versie niet toereikend is.
*Voor een overzicht van alle gebruikte best practices, afkortingen en begrippen en een generieke toelichting op de opzet van de thema-uitwerkingen, zie de Structuurwijzer BIO Thema-uitwerkingen.
De BIO Thema-uitwerking Serverplatform, hierna genoemd normenkader, is opgesteld door Wiekram Tewarie ([[UWV (Uitvoeringsinstituut Werknemersverzekeringen)|Uitvoeringsinstituut Werknemersverzekeringen (UWV)]]) en Jaap van der Veen ([[CIP (Centrum Informatiebeveiliging en Privacybescherming)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]]). De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 gereviewd. Het CIP-kernteam heeft versie 2.0 en 2.1 gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’.
==Considerans==
CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt. Opmerkingen en aanvullingen kun je melden op [https://www.cip-overheid.nl/contact/ cip-overheid.nl/contact].
==Leeswijzer==
Voorafgaand aan het [[ISOR:BIO Thema Serverplatform Beleid|beleidsdomein]], [[ISOR:BIO Thema Serverplatform Uitvoering|uitvoeringsdomein]] en [[ISOR:BIO Thema Serverplatform Control|control-domein]], de kern van dit thema, heeft [[Alle normenkaders|elke BIO Thema-uitwerking]] een [[BIO Thema Serverplatform/Inleiding|inleiding]] met een standaard hoofdstukindeling.
De volgende leeswijzer geldt voor dit normenkader:
*Voor de aanduiding van personen wordt de mannelijke vorm aangehouden (hij/hem/zijn) ongeacht het geslacht.
*De controls en maatregelen vermeld in deze thema-uitwerking zijn in het beleids-, uitvoerings- en control-domein georganiseerd, waarmee ze bij de overeenkomstige functionarissen kunnen worden geadresseerd. Deze functionarissen zijn niet benoemd omdat dit organisatie-afhankelijk is.
*Van best practices (open standaarden al dan niet toegankelijk met een licentie) zijn de meest actuele versies afgekort vermeld, tenzij de actuele versie niet toereikend is.
*Voor een overzicht van alle gebruikte best practices, afkortingen en begrippen en een generieke toelichting op de opzet van de thema-uitwerkingen, zie de Structuurwijzer BIO Thema-uitwerkingen.
De BIO Thema-uitwerking Softwarepakketten, hierna genoemd normenkader, is opgesteld door Wiekram Tewarie ([[UWV (Uitvoeringsinstituut Werknemersverzekeringen)|Uitvoeringsinstituut Werknemersverzekeringen (UWV)]]) en Jaap van der Veen ([[CIP (Centrum Informatiebeveiliging en Privacybescherming)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]]). De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 gereviewd. Het CIP-kernteam heeft versie 1.0 en 1.2 van dit normenkader gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’.
==Considerans==
CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt. Opmerkingen en aanvullingen kun je melden op [https://www.cip-overheid.nl/contact/ cip-overheid.nl/contact].
==Leeswijzer==
Voorafgaand aan het [[Softwarepakketten Beleid|beleidsdomein]], [[Softwarepakketten Uitvoering|uitvoeringsdomein]] en [[Softwarepakketten Control|control-domein]], de kern van dit thema, heeft [[Alle normenkaders|elke BIO Thema-uitwerking]] een [[BIO Thema Softwarepakketten - Inleiding|inleiding]] met een standaard paragraafindeling.
De volgende leeswijzer geldt voor dit normenkader:
*Voor de aanduiding van personen wordt de mannelijke vorm aangehouden (hij/hem/zijn) ongeacht het geslacht.
*De controls, hierna genoemd criteria, en maatregelen, hierna genoemd normen, vermeld in dit normenkader zijn in het beleids-, uitvoerings- en control-domein georganiseerd, waarmee ze bij de overeenkomstige functionarissen kunnen worden geadresseerd. Deze functionarissen zijn niet benoemd omdat dit organisatie-afhankelijk is.
*Van best practices (open standaarden al dan niet toegankelijk met een licentie), zijn de meest actuele versies afgekort vermeld, tenzij de actuele versie niet toereikend is.
*Voor een overzicht van alle gebruikte best practices, afkortingen en begrippen en een generieke toelichting op de opzet van de thema-uitwerkingen, zie de Structuurwijzer BIO Thema-uitwerkingen.
De BIO Thema-uitwerking Toegangsbeveiliging, hierna genoemd normenkader, is opgesteld door Wiekram Tewarie ([[UWV (Uitvoeringsinstituut Werknemersverzekeringen)|Uitvoeringsinstituut Werknemersverzekeringen (UWV)]]) en Jaap van der Veen ([[Centrum Informatiebeveiliging en Privacybescherming (CIP)|Centrum Informatiebeveiliging en Privacybescherming(CIP)]]). De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 gereviewd. Het CIP-kernteam heeft versie 2.0 en 2.1 van dit normenkader gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’.
==Considerans==
CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt. Opmerkingen en aanvullingen kun je melden op [https://www.cip-overheid.nl/contact/ cip-overheid.nl/contact].
==Leeswijzer==
Voorafgaand aan het [[ISOR:BIO Thema Toegangsbeveiliging Beleid|beleidsdomein]], [[ISOR:BIO Thema Toegangsbeveiliging Uitvoering|uitvoeringsdomein]] en [[ISOR:BIO Thema Toegangsbeveiliging Control|control-domein]], de kern van dit thema, heeft [[Alle normenkaders|elke BIO Thema-uitwerking]] een [[BIO Thema Toegangsbeveiliging/Inleiding|inleiding]] met een standaard paragraafindeling.
De volgende leeswijzer geldt voor dit normenkader:
*Voor de aanduiding van personen wordt de mannelijke vorm aangehouden (hij/hem/zijn) ongeacht het geslacht.
*De controls en maatregelen vermeld in deze thema-uitwerking zijn in het beleids-, uitvoerings- en control-domein georganiseerd, waarmee ze bij de overeenkomstige functionarissen kunnen worden geadresseerd. Deze functionarissen zijn niet benoemd omdat dit organisatie-afhankelijk is.
*Van best practices (open standaarden al dan niet toegankelijk met een licentie) zijn de meest actuele versies afgekort vermeld, tenzij de actuele versie niet toereikend is. +
De BIR is een gemeenschappelijk normenkader voor de beveiliging van de informatie(systemen). De BIR 2017 is volledig gebaseerd op de internationale norm [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO/IEC 27002]]. Het concretiseert een aantal eisen tot verplichte operationele afspraken (rijksmaatregelen), om een eenduidig minimumniveau van beveiliging voor gegevens te garanderen. De standaard basisbeveiligingsniveaus (BBN's) met bijbehorende beveiligingseisen maken risicomanagement eenvoudiger. +
Een indeling die binnen de informatiebeveiliging wordt gehanteerd, waarbij de Beschikbaarheid (continuïteit), de Integriteit (betrouwbaarheid) en de Vertrouwelijkheid (exclusiviteit) van informatie en systemen wordt aangegeven. +
BLAU zal bestaan uit een kernset van de gegevens uit de huidige Polisadministratie van het UWV. De polisadministratie is reeds operationeel en gevuld. Zij het niet met de wettelijke status van een basisregistratie (de planning van de Polisadministratie is daarom niet opgenomen in de releasekalender). Gegevens uit de Polisadministratie kunnen echter wel geleverd worden aan overheidsorganisaties (voor zover wetgeving dat toestaat). Wat betreft planning (primo 2018) bevindt BLAU zich nog in een pril stadium. Er is nog geen besluit genomen of de basisregistratie BLAU onwikkeld wordt. +
BLOG Expertgroep Dienstverlening: het spanningsveld en wat doen we fout? +
Een standaard model voor het beheer en ontwikkelen van open standaarden. Dit model is ook toe te passen voor (referentie)architecturen, afsprakenstelsels en voorzieningen. +
Authentieke bron voor inkomensgegevens van personen die met Nederland te maken hebben. +
Authentieke bron voor percelen, eigendom, hypotheken, beperkte rechten (zoals recht van erfpacht, opstal en vruchtgebruik) en leidingnetwerken, alsmede kadastrale kaarten met perceel, perceelnummer, oppervlakte, kadastrale grens en de grenzen van het Rijk, de provincies en gemeenten in Nederland. +
Deze te downloaden koppeltabel biedt de relatie tussen BAG-verblijfsobjecten en het bijbehorende kadastrale perceel.
[http://www.kadaster.nl/web/Themas/Registraties/BAG/BAGartikelen/BRKBAG-koppeling.htm BRK-BAG koppeltabel op website Kadaster] +
Bestandslevering van de BRK. Integreert administratieve en geografische gegevens. Leverbaar als eenmalige standlevering, dagelijkse mutatielevering. Filtering mogelijk op gemeente, gebied en subject. Downloadservice.
* [http://www.kadaster.nl/web/artikel/BRK-Levering-2/BRK-Levering-1.htm BRK Levering op website Kadaster] Verwerkingstermijn: maximaal 15 werkdagen. +
Bestandslevering van de BRK. Integreert administratieve en geografische gegevens. Leverbaar als eenmalige standlevering, periodieke standlevering. Filtering mogelijk op gemeente, gebied en subject. Downloadservice. Verwerkingstermijn: maximaal 15 werkdagen.
* [http://www.kadaster.nl/web/Themas/Registraties/BRK.htm BRK Levering op website Kadaster] +
Authentieke bron voor geo-informatie in Nederland: gegevens en modellen over de ondergrond (bodem, geologie, grondwater, mijnbouw). +
Authentieke bron voor persoonsgegevens van burgers en van buitenlanders die met Nederland te maken hebben. +
Authentieke bron voor geo-informatie in Nederland: topografische gegevens. +
Authentieke bron voor gegevens over voertuigen in Nederland en de eigenaren daarvan. +
Met BSI-Standard 200-2 biedt [[BSI (Bundesamt für Sicherheit in der Informationstechnik)|Bundesamt für Sicherheit in der Informationstechnik (BSI)]] een methodologie voor effectief beheer van informatiebeveiliging. Dit kan worden aangepast aan de eisen van organisaties van verschillende soorten en maten. In BSI-Standard 200-2 wordt dit geïmplementeerd via de drie methodieken:
# Standard Protection
# Basic Protection
# Core Protection +
Het onderwerp bedrijfscontinuïteitsbeheer (BCM) is al jaren stevig verankerd in IT-Grundschutz en biedt met de vorige BSI-standaard 100-4 een gefundeerde ondersteuning voor calamiteitenbeheer. De voortdurende ontwikkelingen en ervaringen op het gebied van BCM, emergency management en (IT) crisismanagement, evenals de gerelateerde BSI-standaarden voor informatiebeveiliging, hebben de noodzaak aangetoond om de BSI Standard 100-4 fundamenteel te moderniseren.
De BSI 200-4 biedt praktische instructies voor het opzetten en opzetten van een Business Continuity Management Systeem (BCMS) in uw eigen organisatie. Op deze manier maakt het vooral onervaren BCM-gebruikers een gemakkelijke introductie tot het onderwerp mogelijk. Voor ervaren BCM-gebruikers wordt een normatieve catalogus van eisen ter beschikking gesteld. Er is momenteel geen certificering voor de standaard gepland.
Na de Community Draft-fase tot 30 juni 2021 zullen alle opmerkingen dienovereenkomstig worden bekeken en verwerkt. +
Burgerlijk wetboek, boek 3: vermogensrecht +
Citeren, vinden en verbinden van wet- en regelgeving gaat door toepassing van de BWB standaard sneller, eenvoudiger en geeft minder kans op fouten. Gebruik van de standaard biedt daardoor verbetering van interoperabiliteit.
De open standaard BWB biedt een eenduidige manier van verwijzen naar (onderdelen van) wet- en regelgeving.
De laatste versie (versie 1.3.1) maakt het mogelijk om in wet- en regelgeving te kunnen verwijzen naar:
* taalversies en onderdelen van internationale verdragen,
* wet- en regelgeving waarvan de indeling niet voldoet aan de gebruikelijke nummering van hoofdstukken en paragrafen, en
* ruime begrippen zoals “enig artikel”.
De drie Juriconnect standaarden BWB, ECLI en JCDR zijn gericht op standaardisatie van identificatie met het doel om de geïdentificeerde inhoud te delen.
De standaard BWB (Basis Wetten Bestand) is gericht op verwijzing naar geconsolideerde wet- en regelgeving. Voor verwijzing naar wet- en regelgeving of onderdelen daarvan in wetten.overheid.nl, is aan elke regeling een uniek identificatienummer (BWBID) toegekend. De Juriconnect standaard voor BWB beschrijft hoe deze verwijzing wordt vormgegeven. Nota bene: op de website van Juriconnect wordt de BWB standaard ook wel aangeduid als de standaard "logische links naar wetgeving".
De standaard JCDR (Juriconnect Decentrale Regelgeving) is gericht op identificatie van en verwijzing naar geconsolideerde decentrale regelgeving. Elke overheid legt een collectie algemeen verbindende voorschriften aan met de teksten van verordeningen en keuren, waarin de later vastgestelde wijzigingen zijn verwerkt (geconsolideerde vorm). Deze collectie is de Centrale Voorziening Decentrale Regelgeving (CVDR). De Juriconnect standaard voor decentrale voorzieningen beschrijft hoe dient te worden verwezen naar documenten die in CVDR zijn opgeslagen.
De ECLI standaard (European Case Law Identifier) is gericht op identificatie voor citatie in het juridische domein. De ECLI is een Europese standaard notatie voor het uniek identificeren van jurisprudentie, met een sterke basis en input vanuit LJN (Landelijk Jurisprudentie Nummer). De standaard beschrijft de wijze waarop, met behulp van een Uniform Resource Identifier (URI), kan worden verwezen naar een European Case Law Identifier.
Vanwege de naderende expiratiedatum van de huidige overeenkomst is deze aanbesteding opgestart. Het doel van de aanbesteding is het sluiten van een Overeenkomst met één dienstverlener op het gebied van afdrukdiensten inclusief dienstverlening. De aanbesteding betreft een "all-in" dienst waaronder naast de fysieke beschikbaarstelling van de hard- en software sprake is van ondersteuning van de afdelingen ICT en Support Office. De intentie is dat de Overeenkomst op 1 oktober 2020 in gaat. +
The purpose of the Tendering Process is to conclude an Agreement with one (1) service provider for services regarding a payment factory, including SWIFT services. The intention is for the Agreement to commence on 1 February 2021. (Het doel van het aanbestedingsproces is om een overeenkomst af te sluiten met één (1) dienstverlener voor diensten met betrekking tot uitvoering van het betalingsverkeer, inclusief SWIFT diensten. Het is de intentie om de overeenkomst op 1 februari 2021 in te laten gaan.) +
Rijksportaal is het Rijksbrede intranet voor Rijksambtenaren bij alle ministeries. Het is dé digitale toegangspoort tot informatie, kennis en dienstverlening die Rijksmedewerkers ondersteunen in hun werkzaamheden. Het is bedoeld voor kerndepartementen en uitvoeringsorganisaties van de Rijksoverheid. Op advies van de Stuurgroep Rijksportaal is besloten een project Vernieuwing Rijksportaal op te starten om het huidige Rijksportaal te vervangen. De stuurgroep Rijksportaal wil de positie, de scope en de rol van het Rijksportaal bij deze vervanging vasthouden, maar met een nieuw Rijksportaal weer de mogelijkheden hebben om functioneel en in bereik te groeien. +
BZK en VNG werken aan een portaal met alle API's van organisaties met een publieke taak +
Een gemeenschappelijk normenstelsel binnen een organisatie, waaruit passende maatregelen kunnen worden afgeleid. Een type baseline is de baseline kwaliteit, dat wil zeggen een organisatiebreed normenkader waarin de organisatie ook alle concrete maatregelen beschrijft die de kwaliteit van de diensten waarborgen. +
Baseline Informatiebeveiliging Overheid (BIO) openbaar gepubliceerd +
Een in een basisregistratie opgenomen gegeven. +
Een bij wet als basisregistratie aangemerkte registratie. +
Batch-gewijs via bestanden: afnemer stuurt een lijst BSN’s en krijgt BSN’s + AIG (authentiek inkomen gegeven) terug. +
Batch-gewijs via bestanden: afnemer stuurt een lijst BSN’s en krijgt BSN’s + AIG (authentiek inkomen gegeven) terug. +
==Objectdefinitie==
Betreft een vastgelegde manier van handelen voor het beheren van serverplatforms.
==Objecttoelichting==
De taken/activiteiten kunnen gerelateerd zijn aan het starten en afsluiten van de computer, back-up en onderhoud van servers. +
==Objectdefinitie==
Omvat eindgebruikersfuncties voor het bedrijfsproces en de functionele ondersteuning van informatiebeveiliging die daarvoor nodig wordt geacht.
==Objecttoelichting==
De eigenschappen van het softwarepakket voldoen aan de businessbehoefte van de klant en ondersteunt daarmee op een veilige manier het bedrijfsproces. Het softwarepakket bevat goed-gedefinieerde mogelijkheden en interfaces.
Integratie en mogelijke koppelingen spelen daarbij een belangrijke rol. Het is zinvol na te gaan welke (open) standaarden een softwarepakket ondersteunt en in hoeverre deze in de toekomst actueel gehouden worden. Denk daarbij aan een standaard als Pan-European Public Procurement OnLine (PEPPOL) voor E-factureren.
Het softwarepakket dient de klant naast businessfuncties ook voldoende ‘digitale behendigheid’ te leveren, waardoor de organisatie componenten kan veranderen, naar behoefte kan uitbreiden en het softwarepakket aan het einde van de levenscyclus kan vervangen onafhankelijk van de belendende systemen.
==Schaalgrootte==
Elke schaalgrootte.
==Voor wie==
Klant. +
==Objectdefinitie==
Omvat maatregelen waarmee de toepassing van softwarepakketten voor bedrijfskritische processen doorgang kan vinden, ondanks incidenten en uitval van leveranciersondersteuning.
==Objecttoelichting==
Omdat de klant voor de continuïteit van haar bedrijfsvoering in hoge mate afhankelijk kan zijn van de beschikbare functionaliteit van softwarepakketten zijn maatregelen voor calamiteiten van essentieel belang. De beoogde continuïteit kan daarbij bepaald worden door externe factoren, zoals het ‘omvallen’ van cloud-leveranciers of de hostingproviders.
Bedrijfscontinuïteit omvat een set van maatregelen, die tijdens calamiteiten, zoals natuurrampen, binnen de overeengekomen maximale uitvalsduur (Recovery Time Objective (RTO)), zorgt voor het herstel van data en de kritische dienstverlening, waarbij dataverlies beperkt blijft tot het maximaal toegestane dataverlies. Bekende continuïteitsmaatregelen zijn: redundantie, disaster recovery en het periodiek aantonen dat herstelfuncties werken.
==Schaalgrootte==
Middel en groot.
==Voor wie==
Klant en leverancier. +
==Objectdefinitie==
Betreft een besturingsproces voor activiteiten die organisaties beschermen tegen ontwrichtende gebeurtenissen.
==Objecttoelichting==
Bedrijfscontinuïteitsmanagement (BCM) beschrijft de eisen voor een managementsysteem om organisaties te beschermen tegen ontwrichtende gebeurtenissen, om de kans op deze gebeurtenissen te verkleinen en om te zorgen dat een organisatie daar volledig van kan herstellen. Hierbij zal de organisatie zich onder andere richten op ontwikkeling, implementatie en onderhoud van beleid, strategieën en programma’s om de effecten van mogelijk ontwrichtende gebeurtenissen de organisatie te kunnen beheersen. In de cloud-omgeving vertrouwt de Cloud Service Consumer (CSC), de Cloud Service Provider (CSP) als derde partij. De CSP zal de CSC zekerheid moeten geven over documentatie over assets en resources, incidentmanagement, bedrijfscontinuïteit, herstelplannen, beleid, beheerprocessen en back-up-management. +
==Objectdefinitie==
Omvat maatregelen, die tijdens normaal bedrijf en bij voorkomende calamiteiten, binnen de overeengekomen maximale uitvalduur, zorgen voor het herstel van de data en de dienstverlening, waarbij dataverlies wordt voorkomen.
==Objecttoelichting==
Omdat de Cloud Service Consumer (CSC) voor haar bedrijfsvoering sterk afhankelijk is van de Cloud Service Provider (CSP) en van externe factoren zijn bedrijfscontinuïteitsservices van essentieel belang. Bedrijfscontinuïteitsservices omvatten het pakket van maatregelen, dat zowel voor normaal bedrijf (met Quality of Service (QoS)) als voor situaties van calamiteiten, zoals natuurrampen, binnen de overeengekomen maximale uitvalsduur Recovery Time Objective (RTO), zorgt voor het herstel van data en de kritische dienstverlening, waarbij dataverlies beperkt blijft tot het overeengekomen maximale dataverlies. Bekende continuïteitsmaatregelen zijn redundantie, disaster recovery en het periodiek aantonen dat herstelfuncties werken. +
Een bedrijfsfunctie beschrijft datgene wat gedaan moet worden om een bedrijfsdoelstelling te behalen, onafhankelijk van de inrichting van de organisatie en haar processen. +
Een bedrijfsfunctiemodel is een model van de bedrijfsfuncties van een organisatie en beschrijft wat een organisatie doet onafhankelijk van hoe het wordt uitgevoerd. +
==Objectdefinitie==
Betreft de registratie van alle, tot het bedrijfsproces behorende middelen.
==Objecttoelichting==
NB De control uit de BIO is ten opzichte van de [[NEN-EN-ISO/IEC 27001:2017 (Managementsystemen voor informatiebeveiliging - Eisen)|ISO 27001]] veranderd.
In de huisvesting van de rekencentra zijn verschillende bedrijfsmiddelen, voorzieningen en hieraan gerelateerde componenten opgenomen, zoals: glasvezel en bekabeling, back-upvoorzieningen, klimaatbeheersing, airconditioning en geavanceerde brandblussystemen. Het is van belang de componenten van deze voorzieningen zelf en/of informatie over deze voorzieningen te inventariseren en te registreren zodat de juiste informatie beschikbaar is, wanneer gebeurtenissen daarom vragen. +
==Objectdefinitie==
Betreft het veilig en gecontroleerd verwijderen van bedrijfsmiddelen.
==Objecttoelichting==
Bedrijfsmiddelen zijn alle objecten waarmee bedrijfsgegevens kunnen worden opgeslagen en/of verwerkt en objecten, waarmee toegang tot gebouwen, ruimten en IT-voorzieningen kan worden verkregen. Verwijdering en afvoer van deze middelen dient nauwkeurig met vastgestelde procedures te worden uitgevoerd. +
De overheidsdienstverlener gebruikt begrijpelijke taal in alle communicatie over haar dienstverlening. Zo is de dienst voor iedereen te begrijpen en kunnen burgers en bedrijven gemakkelijk een aanvraag doen, een benodigde actie uitvoeren, of een vraag stellen. En is ook de communicatie die daar op volgt helder.
Het is voor burgers en bedrijven duidelijk wat de betekenis is van informatie binnen het werkproces, waar het is ontvangen of gemaakt. Het is bijvoorbeeld bekend wanneer de informatie is gemaakt, door wie, waar zij betrekking op heeft en wat de status is.
Ook automatische besluitvorming (door toepassing van algoritmes) vindt altijd plaats op een manier die voor burgers en bedrijven begrijpelijk is. +
De mate waarin gegevens eenvoudig gelezen en geïnterpreteerd kunnen worden door gebruikers. +
Is in de wet/regelgeving/beleid/regel etc. voldoende aandacht besteed aan de volgende zaken: <br />
# Zijn de zinsbouw en schrijfstijl laagdrempelig genoeg?
# Wordt gebruik gemaakt van lange zinnen of bijzinnen?
# Is er een (memorie van) toelichting beschikbaar?
# Welke voorkennis wordt van de lezer verwacht?
# Is bij een wetswijziging een geconsolideerde versie beschikbaar?
# Zijn puur technische (wets)wijzigingen meegenomen en zijn die wijzigingen als zodanig gemarkeerd? +
Het begrip 'Informatiecatalogus' sec wordt nauwelijks gebruikt: wat is een 'informatiecatalogus' exact en waarin dit verschilt van een gegevenswoordenboek, metadata rond gebruik en een dienstbeschrijving moet nader gepreciseerd worden. Of zijn het dezelfde soort dingen? Zie ook issue IKV-006 +
Soms worden begrippen als synoniemen door elkaar gebruikt, of definities gehanteerd die in veel sectoren niet herkend zullen worden +
Op het gebied van beheer en ontwikkeling van het portalen domein websites heeft LVNL de volgende doelstellingen:
<ul>
<li>het beheer en (re)transitie op een betrouwbare en proactieve manier geregeld hebben;</li>
<li>goed kunnen sparren en meedenken over het realiseren van nieuwe voorgestelde functionaliteiten;</li>
<li>de LVNL website verder uit kunnen bouwen, waarbij de inschrijver op een efficiënte manier het Umbraco platform inzet;</li>
<li>de gebruikers van website een betere gebruikerservaring geven, zodat gebruikers (onder andere potentiele sollicitanten voor luchtverkeersleider en luchtvarenden) de website prettig, makkelijk en snel kunnen gebruiken.</li>
</ul> +
==Objectdefinitie==
Betreft een instandhoudingsproces van servers vanuit een externe niet-vertrouwde omgeving.
==Objecttoelichting==
Toegang tot de servers is beperkt tot geautoriseerde personen en informatiesystemen.
Onder bepaalde voorwaarden is het beheerders ‘van buiten’ de door de organisatie beheerde netwerken, toegestaan servers te benaderen. +
==Beschrijving==
Het moet mogelijk zijn om vertegenwoordigingsbevoegdheden te creëren, te wijzigen en te
beëindigen.
==Voorbeelden==
==Rationale==
Het verdient sterk de aanbeveling om een vertegenwoordigingsbevoegdheid expliciet vast te
leggen. Op die manier wordt voorkomen dat er discussie ontstaat over de vraag óf er een
vertegenwoordigingsbevoegdheid is verleend en voor welke diensten.
Het initiatief tot een vrijwillige machtiging kan zowel bij de vertegenwoordigde als de
vertegenwoordiger liggen. De persoon die niet het initiatief heeft genomen moet de machtiging
kunnen bevestigen.
De memorie van toelichting WDO, onder artikel 5 lid 1 onderdeel b, zegt over het vastleggen
van een machtiging het volgende:
“Bij de vastlegging in elektronische vorm wordt de strekking van de vertegenwoordigingsbevoegdheid
uitgedrukt in termen van de elektronische diensten (wat) die de vertegenwoordiger
namens de vertegenwoordigde mag uitvoeren. Hierbij moet bedacht worden, dat registratie
geen voorwaarde is voor het ontstaan van een machtiging; het is een hulpmiddel voor een
bestuursorgaan of aangewezen organisatie om te bepalen of iemand is gemachtigd, oftewel het
vormt een aanwijzing op basis waarvan bestaan, aard en omvang van de machtiging bepaald
kan worden. De machtigingsdienst controleert thans niet of de aan de registratie ten grondslag
liggende volmacht in alle opzichten rechtsgeldig is, dus bijvoorbeeld of de vertegenwoordigde
handelingsbekwaam was op het moment van afgeven van de machtiging en registratie ervan.”
We hebben ervoor gekozen om het kunnen creëren, wijzigen (ook wel: corrigeren) en
beëindigen (ook wel: intrekken) door alle betrokkenen (verstrekker, vertegenwoordigde en
vertegenwoordiger) samen te nemen tot één generieke functie.
Een verdere rationale voor deze generieke functie en de implicaties die hieruit voortkomen is te
vinden in:
* Algemene kenmerken van machtigen (hoofdstuk 3),
* Specifieke kenmerken van vrijwillige machtiging (paragraaf 3.1),
* Specifieke kenmerken van wettelijke vertegenwoordiging (paragraaf 3.2),
* Wettelijk kader A en B (paragraaf 4.1.1),
* Beleidskader D (paragraaf 4.1.2),
* Maatschappelijke en technische ontwikkeling F (paragraaf 4.1.3).
Met ‘beheren’ bedoelen we hieronder steeds ‘creëren, wijzigen en beëindigen’.
==Implicaties==
# Het is mogelijk om machtigingen tussen natuurlijke personen, tussen niet-natuurlijke personen en tussen natuurlijke en niet-natuurlijke personen te beheren.
# Het is mogelijk om een vertegenwoordigingsbevoegdheid met meerdere vertegenwoordigers te beheren.
# Het is mogelijk om een vertegenwoordigingsbevoegdheid voor een dienst, combinatie van diensten of alle diensten te beheren.
# Bij vrijwillig machtigen kunnen vertegenwoordigde en vertegenwoordiger instemmen met de machtiging.
# Het is mogelijk om een bij gerechtelijke uitspraak geregelde vertegenwoordigingsbevoegdheid te beheren.
# Bij een bij gerechtelijke uitspraak geregelde vertegenwoordigingsbevoegdheid is de gerechtelijke uitspraak waarop deze is gebaseerd vermeld.
# Het moet mogelijk zijn om de vertegenwoordigde en de vertegenwoordigers waartussen de vertegenwoordigingsrelatie geldt eenduidig te vermelden in de vertegenwoordigingsbevoegdheid. Dit betekent dat deze personen een unieke aanduiding moeten hebben.
# Het moet mogelijk zijn om diensten waarvoor de vertegenwoordigingsbevoegdheid geldt eenduidig te vermelden in de vertegenwoordigingsbevoegdheid. Dit betekent dat diensten een unieke aanduiding moeten hebben die op gestandaardiseerde wijze opgenomen kan worden in een vertegenwoordigingsbevoegdheid.
# Derde partijen kunnen een voorstel tot intrekking of wijziging van een vertegenwoordigingsbevoegdheid doen. Na controle op de grond van de intrekking wordt de intrekking verwerkt. Hiervoor zijn afspraken nodig over welke partijen voorstellen kunnen doen, wat de gronden zijn en waar deze gevonden kunnen worden.
==Documentatie==
* [[media:GO_Machtigen_en_vertegenwoordigen.pdf|GO Machtigen en vertegenwoordigen (PDF, 642 kB)]]
==Kaders==
Deze kaders zijn bepalend voor deze generieke functie.
* [[Algemene_Wet_Bestuursrecht | Algemene Wet Bestuursrecht]]
* [https://www.digitaleoverheid.nl/dossiers/wet-digitale-overheid/ Wet digitale overheid]
* [https://www.rijksoverheid.nl/documenten/publicaties/2017/10/10/regeerakkoord-2017-vertrouwen-in-de-toekomst/ Regeerakkoord 2017]
==Toelichting relaties==
De bestaande GDI-voorzieningen die hieronder zijn opgenomen onder ‘Gerealiseerd door' realiseren delen van de generieke functies van het GO-domein. Deze bestaande voorzieningen kunnen afwijken van de keuzes die voor het GO-domein zijn gemaakt.
Beheeroverleg overheidsarchitecturen +
==Objectdefinitie==
Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen die verantwoordelijk zijn voor de beheersing van softwareontwikkeling.
==Objecttoelichting==
De projectmanager heeft een (beheers)organisatiestructuur ingericht, waarbij de verantwoordelijkheden voor de beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd. +
==Objectdefinitie==
Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen met taken, verantwoordelijkheden en bevoegdheden voor het functionele en technische beheer van clouddiensten.
==Objecttoelichting==
Voor het adequaat beheersen en beheren van clouddiensten moet de Cloud Service Provider (CSP) een beheersingsorganisatie hebben ingericht, waarin de structuur en verantwoordelijkheden voor beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd.
In de relatie tussen de beheersingsprocessen van de CSP en de Cloud Service Consumer (CSC) zijn ook de taken en verantwoordelijkheden tussen het functioneel en technisch beheer overeengekomen. +
==Objectdefinitie==
Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen met taken, verantwoordelijkheden en bevoegdheden voor het functionele en technische beheer van huisvesting Informatievoorzieningen (IV).
==Objecttoelichting==
De verantwoordelijke stakeholder voor de beheersorganisatie van huisvesting IV behoort een organisatiestructuur vastgesteld te hebben, waarin de verantwoordelijkheden voor de beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd. +
==Objectdefinitie==
Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen met taken, verantwoordelijkheden en bevoegdheden voor het beheersen van en rapporteren over netwerken en communicatievoorzieningen.
==Objecttoelichting==
Het adequaat beheersen en beheren van de communicatievoorzieningen vereist een toereikende organisatiestructuur waarin de procesverantwoordelijkheden en de toereikende bevoegdheden van de functionarissen zijn vastgelegd en op het juiste niveau zijn gepositioneerd. +
==Objectdefinitie==
Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen met taken, verantwoordlijkheden en bevoegdheden voor de beheersing van de serverplatformomgevingen.
==Objectoelichting==
Voor het adequaat beheersen en beheren van servers en serverplatforms zou een beheersorganisatiestructuur moeten zijn vastgesteld, waarin de verantwoordelijkheden voor de beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd. +
==Objectdefinitie==
Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen met taken, verantwoordelijkheden en bevoegdheden voor de beheersing van toegangsbeveiliging en de doorontwikkeling van het afsprakenstelsel.
==Objecttoelichting==
Voor het adequaat beheersen en beheren van het toegangsbeveiligingssysteem dient een beheersorganisatiestructuur te zijn vastgesteld, waarin de verantwoordelijkheden voor de beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd. +
in een omgeving die vooraf gedefinieerd is en volgens wetgeving en referentiearchitectuur is ingericht. Het is een structurele aanpak. +
De overheid levert diensten om de behoeften van burgers in te vullen. Dat kan alleen als we weten wat die behoeften zijn en hoe ze door de tijd heen veranderen.
De inventarisatie moet proactief zijn en niet beperkt zijn tot burgers die zich zelf hebben opgegeven voor het onderzoek, of het opschrijven van spontaan geuite behoeften.
De inventarisatie moet uiteindelijk de behoeften van alle (groepen) burgers in kaart brengen, maar kan ook onder deelgroepen worden uitgevoerd, over een specifiek leefdomein gaan en/of uitgevoerd worden door verschillende organisaties.
De ruwe resultaten van de verschillende inventarisaties worden gepubliceerd, met inachtneming van de privacy van individuele burgers en kleine herkenbare groepen.
Daarnaast is er ook een analyse nodig van de ruwe resultaten, waarbij gezocht wordt naar verbanden, trends en onderliggende basisbehoeften.
De inventarisatie moet politiek-neutraal gebeuren, zodat het een eerlijke basis kan zijn voor het publieke en politieke debat over welke diensten de overheid zou moeten leveren en aan wie.
Inventarisatie moet zowel ad hoc gebeuren, als daar aanleiding toe is, als periodiek om veranderende behoeften op te merken.
De behoeften worden los van de bestaande overheidsdiensten onderzocht, zodat de onderliggende basisbehoeften duidelijk worden: geen behoefte aan een toeslag die het afnemen van kinderopvang betaalbaar maakt, maar behoefte aan een manier om ondanks de zorg voor (jonge) kinderen toe te komen aan zaken als werk, studie, boodschappen, sport et cetera. De eigen ideale invulling van die behoefte wordt ook genoteerd - of dat nu kinderopvang is zoals dat nu gebruikelijk is, of bijvoorbeeld meer flexibiliteit bij de werkgever of andere schooltijden. +
==Objectdefinitie==
Betreft middelen voor transport van energie en signalen.
==Objecttoelichting==
Binnen huisvesting Informatievoorzieningen (IV) is alle apparatuur verbonden met een bekabelingssysteem die in speciale kabelruimten is geïnstalleerd. Deze bekabelingsruimten kunnen doelwit worden van misbruik door bijvoorbeeld speciale afluisterapparatuur aan te sluiten. Het is daarom noodzakelijk om deze bekabelingsruimten te voorzien van specifieke beveiligingsmaatregelen. +
Regeling m.b.t. het uitgeven en publiceren van wetten, regelingen e.d. +
In 2019/2020 is er een start gemaakt om op een andere manier te kijken naar systemen en processen. Belastingen is één van de processen dat onderdeel uitmaakt van deze nieuwe zienswijze en daarvoor zijn we op zoek naar de beste oplossing die ons hierbij kan ondersteunen. Wij willen de huidige belastingapplicatie vervangen voor een nieuwe applicatie (SaaS oplossing). +
Heeft een eerste registratie, de [https://www.belastingdienst.nl/wps/wcm/connect/bldcontentnl/belastingdienst/prive/werk_en_inkomen/geregistreerde_inkomen_en_de_inkomensverklaring/alles_over_geregistreerde_inkomen/alles-over-het-geregistreerde-inkomen BRI], via Linked Data ontsloten en werkt Linked Data voor datamining. +
==Objectdefinitie==
Betreft resultaten van een besluitvorming over en een vastgelegde manier van handelen voor de waarborging van de informatiebeveiliging in netwerken.
==Objecttoelichting==
De [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002 2017]]: 14.2.1 formuleert ‘Beveiligd ontwikkelen’ als een eis voor het opbouwen van een beveiligde dienstverlening, architectuur, software en beveiligd systeem. Dit object richt zich op inrichtings- en onderhoudsaspecten van communicatievoorzieningen. In het te formuleren beleid worden onder andere standaarden en procedures beschreven voor het beveiligd inrichten en onderhouden van communicatievoorzieningen. +
'''Objectdefinitie'''
Betreft het beleid voor toegestane uitwisseling van data via berichtenverkeer.
'''Objecttoelichting'''
Integratiefuncties van middleware maken het mogelijk om data uit te wisselen met andere applicaties, zoals bijvoorbeeld basisregistraties. De technische functies bieden daarbij de mogelijkheid om voorafgaand aan het transport de verschillende data-elementen te rangschikken en bijvoorbeeld via aggregatie nieuwe data te genereren. Als brondata ook persoonsgebonden informatie bevat, dan is speciale aandacht voor de borging van privacy (onder andere Algemene Verordening Gegevensbescherming (AVG)-bepalingen) noodzakelijk. +
==Objectdefinitie==
Betreft het resultaat van besluitvorming over toegestane middlewarefuncties.
==Objecttoelichting==
Voor de beveiliging van middlewarecomponenten en met name voor de toegang tot en de verwerking van data van deze componenten, hebben zowel de gebruikersorganisatie als de IT-leverancier verantwoordelijkheden. De IT-leverancier verleent diensten op basis van beleidsdocumenten voor uitvoerings-, implementatie-, evaluatie- en rapporteringsactiviteiten. De gebruikersorganisatie stelt beleid op en is verantwoordelijk voor de data. De middlewarecomponenten zijn gerelateerd aan functionaliteiten, zoals in afbeelding 2 is aangegeven. +
==Objectdefinitie==
Betreft het resultaat van een besluitvorming over welke regels en protocollen gehanteerd moeten worden om op een veilige wijze beveiligde applicaties te ontwikkelen.
==Objecttoelichting==
De [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002 2017]], artikel 14.2.1 formuleert ‘Beveiligd ontwikkelen’ als een eis voor het opbouwen van een beveiligde dienstverlening, architectuur, software en een beveiligd systeem.
In deze BIO Thema-uitwerking wordt bij het object ‘Beleid voor (beveiligd) ontwikkelen’ aan applicatieontwikkelingsbeleid gerelateerde specifieke aspecten benadrukt. In zo’n beleid worden onder andere methoden en technieken voor requirementsanalyse en -richtlijnen voor beveiliging in de levenscyclus van softwareontwikkeling besproken. +
==Objectdefinitie==
Betreft het resultaat van een besluitvorming over het onderhouden van een serverplatform.
==Objecttoelichting==
De [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002 2017]] formuleert ‘beveiligd ontwikkelen’ in paragraaf 14.2.1 ‘Beleid voor beveiligd ontwikkelen’ als een eis voor het opbouwen van een beveiligde dienstverlening, software, systemen en architectuur.
In deze BIO Thema-uitwerking wordt bij het object ‘Beleid voor beveiligde inrichting en onderhoud’ inrichtings- en onderhoudsaspecten van serverplatform benadrukt. In het beleid worden onder andere standaarden en procedures beschreven voor het beveiligd inrichten en onderhouden van servers. +
In deze brief schetst het kabinet zijn beleidsvoornemens ten aanzien van de regie van burgers op de eigen persoonlijke gegevens en beschrijft het de aanpak op hoofdlijnen om deze te realiseren. <br>
De brief geeft daarmee invulling aan de volgende, in Regeerakkoord en NL DIGIbeter (Agenda Digitale Overheid) geschetste voornemens:
* vergroten van de regie op persoonsgegevens ter bevordering van de privacy en creëren van de mogelijkheid om deze zelf te delen met organisaties buiten de overheid;
* doorontwikkelen van MijnOverheid tot een plek waar burgers hun persoonlijke gegevens kunnen inzien, via welke zij een onjuist gegeven kunnen laten herstellen, en waar zij regie kunnen voeren over hun gegevens;
* verbeteren van de gegevenshuishouding van de overheid, in het bijzonder de basisregistraties (voorzover voor deze beleidsbrief relevant);
* sneller herstellen van de gevolgen van het gebruik van een onjuist gegeven.
Met deze brief (en meer specifiek bijlage 1) geeft het kabinet tevens invulling aan de motie
Koerhuis/Den Boer over een online-identiteit voor iedere Nederlander, ingediend bij het nota-overleg "Online identiteit en regie op persoonlijke gegevens" van 26 november 2018.
De brief sluit verder aan bij recente brieven van het kabinet over Digitale Inclusie en de Data
Agenda Overheid. +
NORA is gebaseerd op bestaand overheidsbeleid (Nationaal en Europees) en op de instrumenten die in het kader van dat beleid zijn ontwikkeld, zoals wetten, regelgeving, Kamerstukken en bestuursakkoorden. +
==Objectdefinitie==
Omvat de evaluatie van de mate waarin de serveromgeving voldoet aan de vooraf gestelde technische eisen.
==Objecttoelichting==
Het is noodzakelijk om de technische omgeving regelmatig te beoordelen om de beveiliging doeltreffend te kunnen beheersen. Hiertoe dienen periodiek zowel de organisatorische als technische aspecten beoordeeld te worden, zoals: de toepassing van het geformuleerd inrichtingsbeleid voor servers, serverplatformarchitectuur, taken en verantwoordelijkheden, gebruik van technische middelen, frequentie, controle aanpak en inschakelen van externe specialisten. Als resultaat dient een rapportage van bevindingen aan het management te worden uitgebracht. +
==Objectdefinitie==
Omvat de evaluatie van de mate waarin de actuele toegangsrechten nog valide zijn.
==Objecttoelichting==
Beoordeling toegangsrechten is gerelateerd aan twee aspecten: beoordelingsproces en toegangsrechten. Het aspect beoordelingsproces behelst het uitvoeren van met elkaar samenhangende activiteiten over het evalueren van toegangsrechten op validiteit of deze nog voldoen aan de actuele situatie. Het aspect toegangsrechten impliceert een recht om toegang te krijgen, zoals tot een locatie of systeem.
Het is nodig om de (logische en fysieke) toegangsrechten van gebruikers regelmatig te beoordelen om de toegang tot gegevens en informatiediensten doeltreffend te kunnen beheersen. De toekenningen en wijzigingen van toegangsrechten dienen daarom periodiek gecontroleerd te worden. Hiertoe dienen maatregelen te worden getroffen in de vorm van:
* het voeren van controle-activiteiten op de registratie van toegangsrechten;
* het uitbrengen van rapportages aan het management. +
==Objectdefinitie==
Betreft een vastgelegde manier van handelen voor de evaluatie van de mate waarin beheeractiviteiten voldoen aan de vooraf gestelde eisen.
==Objecttoelichting==
De inrichting van de toegangsbeveiliging moet beheerst worden. Hiertoe dient periodiek door een bepaalde functionaris met specifieke bevoegdheden controle-activiteiten te worden verricht. Deze activiteiten dienen ondersteund te worden met procedures en instructies, anders bestaat het risico dat de resultaten van de controle-activiteiten niet voldoen aan de verwachte eisen. De structuur van de beheersingsorganisatie geeft de samenhang van de ingerichte processen weer.
Een control en de bijbehorende maatregelen worden hieronder vermeld. +
==Objectdefinitie==
Betreft systematisch ontwikkelde aanbevelingen, bedoeld om het installeren van programmatuur door eindgebruikers te beperken.
==Objecttoelichting==
Het installeren van software kan betrekking hebben op 3 type actoren:
# Gebruikers, om een bepaald type data-analyse in de business-omgeving te kunnen uitvoeren;
# Softwareontwikkelaars, voor requirementsspecificatie, het creëren van datamodellen en het genereren van de programmacode;
# Technische beheerders, voor het beheren van servers en netwerkcomponenten.
Deze BIO Thema-uitwerking is gericht op eisen die gerelateerd zijn aan het installeren van software door ontwikkelaars voor het specificeren van gebruikersrequirements. Hierbij kan gedacht worden aan het toekennen van minimale rechten aan ontwikkelaars om additionele hulpsoftware te installeren of het toekennen van rechten die gerelateerd zijn aan de regels: need-to-use, need-to-know, need-to-modify, need-to-delete. Het doel hiervan is om risico’s die gerelateerd zijn aan het onbedoeld wijzigen van kritische assets (zoals informatie, software, applicaties en system security controls) te beperken. +
==Objectdefinitie==
Betreft systematisch ontwikkelde aanbevelingen, bedoeld om het installeren van programmatuur door eindgebruikers te beperken.
==Objecttoelichting==
Voor het gebruik van software (door een beheerder) op een server zijn regels opgesteld. +
==Objectdefinitie==
Betreft regels voor het inperken van programmacode-wijzigingen aan een softwarepakket die door derden in opdracht van gebruikersorganisaties worden aangebracht.
==Objecttoelichting==
Bij voorkeur dient een geleverd softwarepakket ongewijzigd te worden toegepast. Wijzigingen van de applicatiecode die niet door de leverancier zijn aangebracht, leveren bij actualisaties van het onderliggende serverplatform en interactie met andere platformen vaak technische problemen op. Ze veroorzaken daarbij mogelijk beveiligingsrisico’s. Eventuele wijzigingen dienen onder strikte voorwaarden, met goedkeuring van de leverancier plaats te vinden. Anderzijds worden organisaties die clouddiensten gebruiken soms geconfronteerd met nieuwe versies, die ze nog niet hebben kunnen testen voordat ze in de organisatie worden toegepast.
==Schaalgrootte==
Middel en groot.
==Voor wie==
Klant en leverancier. +
==Doel==
Het bereikbaarheidsprofielbeheer geeft burgers de mogelijkheid voor het eenmalig aangeven en onderhouden van zijn bereikbaarheid en voorkeuren in contact met de overheid.
==Scope==
Bezien vanuit het gemak en herkenbaarheid voor de betrokkene, is het zeer belangrijk dat er één gemeenschappelijke plek is voor het beheren van de (digitale) bereikbaarheid, de voorkeuren en kanaaladressen. Dat voorkomt dat een burger dit op veel verschillende plekken en op telkens andere wijze moet doen. En het voorkomt ook dat dat profiel niet consistent of niet actueel is (waardoor het niet meer betrouwbaar zou zijn voor andere overheidsorganisaties).
==Afspraak==
* Gebruik van deze generieke functie is verplicht voor overheidsorganisaties.
* De verantwoordelijkheid ervoor wordt gedeeld door alle overheidsorganisaties.
* Stelselafspraken zijn nodig om de gedeelde verantwoordelijkheid voor en het gebruik van deze functie te regelen.
==Voorziening==
De overheid heeft een bereikbaarheidsprofielbeheer-voorziening waar burgers (personen die contact hebben met de overheid) gebruik van kunnen maken.
Met deze voorziening is het onder meer mogelijk dat:
# Een betrokkene geeft na authenticatie binnen zijn bereikbaarheidsprofiel aan op welk emailadres hij bepaalde berichten wil ontvangen;
# Een betrokkenen geeft na authenticatie aan via welk telefoonnummer hij bepaalde sms-notificaties wil ontvangen;
# DUO verstuurt een notificatie naar het door een betrokkenen opgegeven telefoonnummer dat er een nieuw bericht in een beveiligde omgeving beschikbaar is.
NB. Nader onderzocht moet worden in welke mate bereikbaarheidsprofielenbeheer ook voor bedrijven van toepassing is.
==GA-principes==
# GA-BP-1 Denken vanuit behoeften van “burgers en bedrijven”
# GA-BP-2 Rekening houden met diversiteit bij “burgers en bedrijven”
# GA-BP-4 Gebruik van ontkoppelde functies
==Voorbeelden==
Bij MijnOverheid.nl kan je jouw e-mail adres instellen voor berichten en notificaties.
==Status==
Medio 2020 is via een pressure-cooker versnelling aangebracht in de oplevering van GO. Een vijftal werkgroepen heeft in 2 maanden tijd uitwerking gegeven aan:
* ‘Why’ van de GDI inclusief bijbehorende visual,
* uitgangspunten voor het vastleggen van generieke functies (capability’s),
* visies voor de domeinen Interactie, Gegevensuitwisseling, Identificatie en Authenticatie (Toegang), Machtigen en Infrastructuur.
Resultaten van de pressure cooker zijn overgedragen om mee te nemen in de Gemeenschappelijke Overheidsarchitectuur (GO). GO brengt samenhang aan, verwijdert dubbelingen en verdiept visies zodanig dat besluitvorming in de PL en (naar beoordeling door PL) in het OBDO mogelijk is. Voor het domein Interactie geldt dat bovendien nog afstemming met de beleidsomgeving moet plaatsvinden. Gegevensuitwisseling heeft nu nog een bredere scope dan GDI en zal daarom binnen de GDI-context in samenhang met andere domeinen uitgewerkt worden.
==Documentatie==
De visie uit de pressure cooker GO t.a.v. Interactie is opgenomen in het document van de werkgroep Interactie: [[media:GO_Pressure_Cooker_Interactie.pdf|GO_Pressure_Cooker_Interactie.pdf (PDF, 2,29 MB)]].
==Naamgeving==
Het visie document uit de pressure cooker gebruikt voor deze capability de naam '''Bereikbaarheidsprofielbeheer voor burgers'''
Een bericht is een afgeronde hoeveelheid informatie (met een begin en een eind), die van een verzender naar een ontvanger verstuurd wordt. +
Een voorziening waar overheidsorganisaties en bedrijven op een veilige en vertrouwelijke manier digitale berichten met elkaar kunnen uitwisselen. +
Een voorziening binnen [[MijnOverheid]] waar overheidsorganisaties op een veilige en vertrouwelijke manier digitale berichten kunnen plaatsen voor burgers die dan per email worden geïnformeerd dat er een bericht voor hen staat. +
==Objectdefinitie==
Betreft het beschermen van gegevens die gebruikt worden om aan te tonen dat een applicatie werkt volgens de vastgestelde eisen en wensen.
==Objecttoelichting==
Voor het testen van informatiesystemen wordt gebruik gemaakt van verschillende soorten gegevens. Het gebruik van operationele databases met persoonsgegevens of enige andere vertrouwelijke informatie moet worden vermeden en aangepast. Testgegevens dienen zorgvuldig te worden gekozen, beschermd en gecontroleerd. +
Diensten en de hiervoor benodigde informatie zijn op het juiste moment klaar voor gebruik. De overheidsdienstverlener zorgt voor de tijdigheid, continuïteit en robuustheid van de dienst, zodanig dat deze:
# geleverd kan worden wanneer deze nodig is;
# ook in de toekomst geleverd blijft worden;
# bestand is tegen verstoringen en aanvallen.
De overheidsdienstverlener legt daarom de vereisten over beschikbaarheid vast en evalueert deze regelmatig. De overheidsdienstverlener zorgt ervoor dat de dienst aan de verwachtingen blijft voldoen, die burgers en bedrijven redelijkerwijs mogen stellen. +
gegevens worden opgeslagen volgens duurzame normen en afhankelijk van de organisatiekeuze beschikbaar gesteld aan verschillende afnemers. Dit kan zich bijvoorbeeld uiten in technische, privacy afgeschermde, digitale, open of gesloten vormen. +
Besluit aansluiten ministeries op Digipoort voor e-factureren +
Besluit van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties van 12 juli 2022, tot wijziging van het Instellingsbesluit Sturing Digitale Overheid in het kader van de introductie van een meerjarenprogrammering op de generieke digitale infrastructuur. +
Besluit verwerking persoonsgegevens Generieke Digitale Infrastructuur +
Bestandsleveringen van de verschillende BRT-datasets.
Via PDOK:
* [http://www.kadaster.nl/web/artikel/productartikel/TOP10NL.htm TOP10NL] (voor schaalniveau’s tussen 1:5.000 en 1:25.000) wordt geleverd in bestandsformaten GML.
* [http://www.kadaster.nl/web/artikel/productartikel/TOPvector.htm TOPvector] (voor schaalniveau’s tussen 1:25.000 en 1:250.000) wordt geleverd in de bestandsformaten DGN, DXF en Shape.
* [http://www.kadaster.nl/web/artikel/productartikel/TOPgrenzen.htm TOPgrenzen] wordt geleverd in de bestandsformaten DGN en Shape.
* [http://www.kadaster.nl/web/artikel/productartikel/TOPnamen.htm TOPnamen] wordt geleverd in de bestandsformaten GDB, Dbase of Excel.
(Datasets alleen voor geheel Nederland of deelgebied) +
Orgaan van een rechtspersoon krachtens publiekrecht ingesteld" (a-orgaan), of "een persoon of college, met enig openbaar gezag bekleed" (b-orgaan). +
De overtuiging dat ‘beter voor de gebruiker en goedkoper voor de organisatie’ samen gaan wanneer het gebruikersperspectief centraal staat, is nog onvoldoende gemeengoed voor zowel veel professionals in het veld als voor bestuurders.<br>
Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) heeft daarom onderzoek laten doen om dit vernieuwde vertrekpunt feitelijk en breed te onderbouwen. Hiertoe zijn 11 cases van publieke organisaties verzameld en bestudeerd. Kenmerk van deze cases is dat vanuit het gebruikersperspectief verbeteringen zijn doorgevoerd in de dienstverleningsprocessen. De cases uit deze studie vormen een bevestiging van de veronderstelling dat meer kostenefficiëntie ontstaat nadat de dienstverlening is verbeterd, op voorwaarde dat het gebruikersperspectief (wensen van gebruikers en hun suggesties voor verbetering) leidend is geweest voor de inrichting van de dienstverleningsprocessen. <br>
Dit is daarom een pleidooi tegen een puur efficiency gedreven aanpak en vóór een aanpak om met inschakeling van gebruikers te streven naar betere dienstverlening. +
De beschikbaarheid en de kwaliteit van diensten voldoen aan vooraf bepaalde normen. Aangeboden informatie dient bijvoorbeeld juist, authentiek, actueel en volledig te zijn. Processen zijn zodanig ingericht dat dit is gegarandeerd en monitoring van het kwaliteitsniveau plaatsvindt. +
In haar dienstverlening zegt de overheid wat ze doet en doet wat ze zegt. Burgers en bedrijven kunnen uitgaan van een betrouwbare en voorspelbare overheid. Zij kunnen vertrouwen dat informatie tijdig wordt verstrekt en dat deze correct, compleet en actueel is.
De kwaliteit van diensten voldoet aan vooraf bepaalde normen. De monitoring en verantwoording hierop, alsmede de verbeteringen die hieruit voortvloeien zijn verankerd in de overheidsprocessen. Deze worden zo continu verbeterd. +
De mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. +
De mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. +
Mate waarin vertrouwen kan worden gesteld in een identificatiemiddel, gebaseerd op de mate van zekerheid waarmee attributen, identiteiten, identificatiemiddelen en/of bevoegdheden zijn vastgesteld. +
==Objectdefinitie==
Betreft de mate waarin de data ononderbroken beschikbaar is voor eindgebruikers.
==Objecttoelichting==
De technische betrouwbaarheid van opslagsystemen bepaalt in hoge mate de beschikbaarheid van de opgeslagen data. Technische betrouwbaarheid is gespecificeerd als: MTBF (Mean Time Between Failures), MTTR (Mean Time To Repair) en MTTF (Mean Time To Failure).
De effectieve beschikbaarheid van opslag bepaalt de toegankelijkheid van data, die kan worden uitgedrukt in de verhouding van de tijd waarin de data beschikbaar is ten opzichte van de niet beschikbare tijd. Voor een zeer hoge beschikbaarheid, bijvoorbeeld 7x24 uur en 99,999% dient kostbare hardware en softwarematige redundantie te worden toegepast. Aanvullend is het belangrijk eisen te stellen aan het maximum aantal onderbrekingen per uur, dag of jaar.
Lange bewaartijd opslag impliceert data integriteit, authenticiteit en privacy-dreigingen die niet of minder van toepassing zijn op systemen met een beperkte bewaartijd. +
==Objectdefinitie==
Betreft een vastgelegde manier van handelen voor het inloggen op informatiesystemen.
==Objecttoelichting==
De toegang tot systemen en toepassingen wordt beheerst met beveiligde inlogprocedures. Daarbij dient de geclaimde identiteit op passende wijze en met een geschikte techniek te worden vastgesteld. De procedure om in te loggen, wordt zo ontworpen, dat de kans op onbevoegde toegang minimaal is. +
==Objectdefinitie==
Betreft een omgeving die uitsluitend wordt gebruikt om applicaties te creëren of aan te passen.
==Objecttoelichting==
Het traject van ontwikkelen van een applicatie en het in productie nemen van de resultaten van dit ontwikkeltraject vindt gefaseerd plaats in specifieke omgevingen. Bij de ontwikkeling worden vier omgevingen onderscheiden:
# Ontwikkelomgeving, Hierin wordt de programmacode ontwikkeld. Om te voorkomen dat ontwikkelingen het productieproces kunnen beïnvloed is deze omgeving gescheiden van de productie omgeving.
# Testomgeving, Hierin worden de uit de ontwikkelomgeving afkomstige producten getest door professionele testteams. Aanwezige, in de testomgeving gesignaleerde, onvolkomenheden in de software worden weer via ontwikkelomgeving aangepast. Dit is een iteratief proces totdat uit de test naar voren komt dat het product geschikt is om in productie te nemen;
# Acceptatieomgeving, Hierin worden de softwareproducten (nog éénmaal grondig) getest en bij positief resultaat door de gebruikers en beheerders geaccepteerd. Bij eventuele onvolkomenheden worden de softwareproducten niet geaccepteerd (no-go) en terug gestuurd naar de testomgeving of ontwikkelomgeving;
# Productieomgeving, Hierin worden de nieuwe softwareproducten uitgerold. De Productie omgeving is de omgeving waarin de nieuwe softwareproducten functioneel en actief moeten zijn. De in de voorgaande omgevingen uitgevoerde stappen moeten zo veel mogelijk garanderen dat nieuw ontwikkelde software geen fouten bevat die de productiegegevens kunnen corrumperen.
In principe zijn alle omgevingen los van elkaar ingericht en vindt behalve via formele overdrachten geen contact plaats tussen de verschillende omgevingen. +
Informatiebeveiliging is het geheel van preventieve, detectieve, repressieve en correctieve maatregelen, alsmede procedures en processen om eventuele gevolgen van beveiligingsincidenten tot een acceptabel (passend), vooraf bepaald niveau te beperken. De maatregelen zijn gebaseerd op een risicoanalyse en wettelijke verplichtingen (waaronder - in het geval van persoonsgegevens - ook de AVG). +
==Objectdefinitie==
Omvat de beveiliging van het berichtenverkeer.
==Objecttoelichting==
De beveiliging van het berichtenverkeer omvat beveiligingsmechanismen die bescherming bieden tegen Cross-Site Scripting (XSS), SQL Injections en andere bedreigingen op de inhoud van berichten, onder andere op basis van schema-validaties. Voor het berichtenverkeer geldt minimaal de OWASP-top 10. Deze criteria worden voortdurend geactualiseerd en zijn vrij toegankelijk op internet op https://OWASP.org.
Voor PKI Overheid de Digikoppeling-standaarden van Logius.nl toepassen. Let op: voor alle Application Programming Interface (API)-initiatieven als alternatief voor webservices (server2server). Qua certificaatgebruik hiervoor digikoppeling richtlijnen blijven volgen.
Op de middlewarelaag wordt vaak Message-level security gebruikt als set van maatregelen. Deze set specificeert in hoeverre de SOAP-berichten tussen een client-applicatie en een webservice, die aangeroepen is door een client, moeten worden versleuteld, digitaal worden ondertekend of beiden. Het specificeert tevens de gedeelde beveiligingscontext tussen een webservice en een client, in het geval dat ze meerdere SOAP-berichten uitwisselen.
Message-level security wordt toegepast voor zekerheid over de vertrouwelijkheid via versleuteling van berichten of onderdelen daarvan; voor de integriteit van berichten via elektronische handtekeningen en voor authenticatie, door te vragen naar een gebruikersnaam of een X.509 token. +
Beveiliging en Gegevensbeschrijvingen in openbare review +
==Objectdefinitie==
Omvat specifieke eisen over de te nemen maatregelen voor de beveiligingsmechanismen, het dienstverleningsniveau en de kwaliteit van beheerprocessen.
==Objecttoelichting==
De eisen voor communicatievoorzieningen betreffen enerzijds de verantwoordelijkheden voor de informatiebeveiliging van het transport en de distributie van informatie en anderzijds de beveiligde toegang tot de transportvoorzieningen zelf. +
==Objectdefinitie==
Betreft een modelmatige beschrijving van de technische en organisatorische samenhang van onderdelen van softwarepakketten.
==Objecttoelichting==
Op het hoogste niveau beschrijft een zogenaamde enterprise-architectuur de context van de organisatie en op hoofdlijnen het geheel aan organisatorische en functionele activiteiten en tot welke bedrijfsoutput dit resulteert.
De beveiligingsarchitectuur beschrijft met het beveiligingsbeleid in samenhang welke organisatorische en technische beveiligingsmaatregelen de beoogde bedrijfsfunctionaliteit en dienstverlening ondersteunen voor eindgebruikers en klanten.
==Schaalgrootte==
Middel en groot.
==Voor wie==
Klant. +
==Objectdefinitie==
Betreft de faciliteiten waarmee bedrijfsmiddelen binnen ruimten beveiligd worden.
==Objecttoelichting==
De rekencentra bevatten verschillende typen ruimten zoals: kantoren, bekabelingsruimten en serverruimten. Deze ruimten moeten conform de beveiligingsgraad van deze ruimten voorzien zijn van beveiligingsfaciliteiten. +
==Objectdefinitie==
Betreft een specialistische adviesfunctie (beveiligingsrollen) voor het management en de organisatie, gericht op het behalen van beveiligingsdoelstellingen.
==Objecttoelichting==
De organisatie beschikt over middelen en informatie die beveiligd moeten worden. Hiervoor moeten de juiste rollen zijn benoemd binnen een centraal orgaan, de beveiligingsfunctie. De functionarissen binnen deze functies hebben specifieke verantwoordelijkheden voor het realiseren van toegangsbeveiliging binnen de gehele organisatie, waaronder het toegangsbeveiligingssysteem. +
==Objectdefinitie==
Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen met taken, verantwoordelijkheden en bevoegdheden voor de relationele samenhang van beveiliging.
==Objecttoelichting==
De beveiligingsfunctie omvat de geformaliseerde taken en verantwoordelijkheden voor clouddiensten. Binnen de beveiligingsfunctie is geregeld dat contact wordt onderhouden met verantwoordelijken binnen de Cloud Service Consumer (CSC)-organisatie wanneer sprake is van beveiligingsincidenten.
De beveiligingsorganisatie van de Cloud Service Provider (CSP) zorgt/ziet toe op het naleven van het informatiebeveiligingsbeleid, clouddienstenbeleid en overig hieraan gerelateerd beleid. Hoewel een ‘Beveiligingsfunctie’ als zelfstandig object beschouwd kan worden, is voor de eenvoud gekozen om deze in deze BIO Thema-uitwerking te integreren met de organisatie.
Waar nodig grijpt de beveiligingsorganisatie in. De taken, verantwoordelijkheden, bevoegdheden en middelen die de beveiligingsorganisatie hiervoor heeft zijn vooraf expliciet, in relatie tot de CSC, benoemd en vastgesteld. Ook moet vooraf vaststaan hoe de rapportagelijnen tussen de beveiligingsverantwoordelijken zijn georganiseerd. +
==Objectdefinitie==
Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen met taken, verantwoordelijkheden en bevoegdheden voor de relationele samenhang van beveiliging.
==Objecttoelichting==
De beveiligingsorganisatie ziet toe op het naleven van het informatiebeveiligingsbeleid. Waar nodig grijpt de beveiligingsorganisatie in. Welke taken, verantwoordelijkheden, bevoegdheden en middelen een beveiligingsorganisatie hierin heeft, wordt vooraf expliciet benoemd en vastgesteld. Ook moet vaststaan hoe de rapportagelijnen zijn uitgestippeld. +
==Doel==
Doel van Bevoegdhedenbeheer is het toekennen van een bevoegdheid aan een entiteit om namens een andere entiteit te mogen handelen.
==Scope==
Bevoegdhedenbeheer betreft de “levenscyclus” van bevoegdheden: vanaf het onderkennen (ontstaan en eventueel aanpassen), naar het toekennen aan digitale identiteiten en het verklaren daarvan, tot aan het intrekken (verwijderen) van bevoegdheden.<br />
==Voorbeelden==
Doorgaans wordt Bevoegdhedenbeheer ook wel Autorisatiebeheer of Access Management genoemd. <br />
Uitgangspunt hierbij is, dat met bepaalde “regels” wordt bepaald wat mag (of wat niet mag) en dat op het moment dat ergens toegang tot wordt gevraagd, wordt gecontroleerd of dat volgens die regels mag.<br />
Zo’n regel kan bijvoorbeeld ook zijn, dat een persoon door iemand anders gemachtigd is om iets te doen. Machtigen wordt daarom gezien als onderdeel van Bevoegdhedenbeheer.
==Status==
Medio 2020 is via een pressure-cooker versnelling aangebracht in de oplevering van GO. Een vijftal werkgroepen heeft in 2 maanden tijd uitwerking gegeven aan:
* ‘Why’ van de GDI inclusief bijbehorende visual,
* uitgangspunten voor het vastleggen van generieke functies (capability’s),
* visies voor de domeinen Interactie, Gegevensuitwisseling, Identificatie en Authenticatie (Toegang), Machtigen en Infrastructuur.
Resultaten van de pressure cooker zijn overgedragen om mee te nemen in de Gemeenschappelijke Overheidsarchitectuur (GO). GO brengt samenhang aan, verwijdert dubbelingen en verdiept visies zodanig dat besluitvorming in de PL en (naar beoordeling door PL) in het OBDO mogelijk is. Voor het domein Interactie geldt dat bovendien nog afstemming met de beleidsomgeving moet plaatsvinden. Gegevensuitwisseling heeft nu nog een bredere scope dan GDI en zal daarom binnen de GDI-context in samenhang met andere domeinen uitgewerkt worden.
==Documentatie==
De visie uit de pressure cooker GO t.a.v. Machtigen is opgenomen in het document van de werkgroep: [[media:GO_Pressure_Cooker_Machtigen.pdf|GO_Pressure_Cooker_Machtigen.pdf (PDF, 419 kB)]].
==Naamgeving==
Deze generieke functie Bevoegdhedenbeheer is nieuw toegevoegd aangezien in diverse beschrijvingen van GO naast Machtigen ook “bevoegdheden” worden genoemd en dat aansluit bij de bevindingen van de NORA expertgroep IAM, waar deze functie reeds was beschreven.
Bevoegdheid is het bezitten van toestemming om een handeling te mogen verrichten, al dan niet in naam van een andere natuurlijke persoon of een rechtspersoon. +
De bevoegdheden die aan de uitvoeringsorganisatie zijn verleend, bakenen de wettelijke taken van de organisatie af. Daarmee is in abstracte zin vastgesteld wat de organisatie wel en wat ze niet mag doen.
Pas wanneer een uitvoeringsorganisatie bevoegd is een wettelijke taak uit te voeren, kan er sprake zijn van rechtmatige uitvoering. +
Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk is om het doel te bereiken waarvoor ze zijn verzameld of niet langer dan de bewaartermijn die sectorspecifieke wetgeving stelt.
De bewaartermijn kan worden beëindigd door actieve verwijdering van de gegevens of door anonimisering van de persoonsgegevens. Bij anonimisering zijn de gegevens niet meer herleidbaar tot de betrokkenen.<br>NB: De AVG is niet van toepassing op de persoonsgegevens van overleden personen<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] overweging 27: "De lidstaten kunnen regels vaststellen betreffende de verwerking van de persoonsgegevens van overleden personen."</sup>. +
==Beschrijving==
Diensten zijn geschikt om gegevens door afnemers zelf te laten bewerken.
* Wijzigen actuele en historische data:
** Afnemers moeten in staat zijn een dienst te gebruiken waarmee actuele en historische data worden gewijzigd. Voorbeeld: Een afnemer voegt via een dienst van het Kadaster een nieuwe publiekrechtelijke beperking toe aan de BRK-PB registratie bij het Kadaster. Voorbeeld: Een afnemer wijzigt de voornaam en het geslacht van een persoon zoals dat in een bestaande geboorteakte staat na een aanvraag tot geslachtsverandering.
**Aanbieders bieden diensten waarmee actuele en historische data wordt vastgelegd. Voorbeeld: Het Kadaster biedt een dienst aan waarmee overheidsorganisaties publiekrechtelijke beperkingen kunnen toevoegen aan de BRK-PB registratie. Voorbeeld: Het Kadaster wijzigt de oppervlakte van een perceel binnen de BRK zoals dat gold op een datum in het verleden.
* Wijzigen data binnen transactie:
** Afnemers moeten in staat zijn een dienst te gebruiken die bij elkaar behorende data wijzigt en zorgt voor compleetheid en consistentie. Voorbeeld: Een afnemer gebruikt een dienst en levert daarbij gelijktijdig data aan over de aanvraag, betaling en levering die moeten leiden tot een complete en consistente vastlegging in een registratie.
** Aanbieders moeten bij elkaar behorende data compleet en consistent als eenheid kunnen verwerken, en indien dat niet lukt de 'gegevenssituatie’ onveranderd laten. Voorbeeld: Een aanbieder verwerkt gelijktijdig aangeleverde aanvraag-, betaling- en levering-data binnen zijn registratie en borgt compleetheid en consistentie. +
De mate waarin de juistheid van een gegeven kan worden aangetoond +
De opdracht heeft betrekking op de levering van een Bezoeker Verwijs Systeem (BVS) Oplossing, Additionele diensten en Product Specifieke diensten. +
Eventueel gemaakte fouten in een geleverde dienst worden tijdig hersteld.
De levering van een dienst kan door allerlei omstandigheden anders verlopen dan was voorzien. Nationaal zijn afspraken gemaakt dat dan herstel plaatsvindt, zie NORA AP29 [[De dienstverlener voldoet aan de norm]].
Doorgaans zal het de burger c.q. een vertegenwoordiger van het bedrijf zijn dat de fout (of vermeende fout) bij de dienstverlener aankaart. Bij verschil van inzicht tussen de burger en de behandelend ambtenaar, kan dat leiden tot een klacht of een eventuele escalatie naar de Ombudsman. Ingeval het verschil van inzicht een besluit van een bevoegd gezag betreft, kan het ook leiden tot een bezwaar- en/of beroepsschrift volgens de [[Algemene Wet Bestuursrecht]].
De fout kan echter ook blijken vanuit de sturing op de kwaliteit van de dienst door de dienstverlener, zie NORA AP31 [[PDCA-cyclus in besturing kwaliteit]]. In dat geval kan de verantwoordelijke overheidsorganisatie het herstel proactief zelf inzetten.
De afhandeling van deze correcties vindt plaats o.b.v. compassie en met de menselijke maat en verloopt uiteindelijk via [[Diensten leveren volgens de afspraken]]. De correctie zal worden verantwoord tot op het hoogste niveau, zoals dat ook is beoogd bij het [https://nl.wikipedia.org/wiki/ISO_9001 ISO 9001 Kwaliteitssysteem].
In geval de oorzaak van de fout structureel van aard is, zal dat worden doorgegeven aan een collega-ambtenaar die kan laten overgaan tot het her-ontwerp van die dienst, zie [[(Her)ontwerpen van een dienst]].
Dit mechanisme om tot tijdig herstel te komen is zeer wezenlijk in de vertrouwensrelatie tussen burgers en de overheid. Het is immers dat je niet in “goede tijden”, maar juist als het “fout gaat” wordt getest op karakter, normen en waarden!
Als overheid (ambtenaar) willen we leren van onze fouten. En toeslagen-debacles moeten voortaan worden voorkómen. De mogelijkheden om tot herstel te komen moeten daarom voor elke dienst klip en klaar zijn.
Als in een dienstlevering iets niet goed is gelopen en een burger een beroep doet op één of meer van de vijf genoemde correctiemogelijkheden, dan moet elke vraag om correctie uiteindelijk altijd leiden tot een actie vanuit de overheid om te [[Sturen op (verbetering van) de kwaliteit van dienstverlening]]. En van daar uit moet altijd een correctieve -en mogelijk ook preventieve- actie ondernomen worden (wat in de praktijk immers nog regelmatig niet goed verloopt).
Het bieden van een democratisch proces om volksvertegenwoordigers te kiezen, zorgt er voor dat de stem van de Nederlandse burgers -die tevens stemmen vanuit hun rol als eigenaar of medewerker van bedrijven- niet alleen wordt gehoord, maar via het Kabinet en Parlement ook feitelijk invloed heeft op de visie en het beleid waarmee de Nederlandse samenleving vorm krijgt.
De trigger voor deze capability komt vanuit de Politiek, waar verkiezingscampagnes kunnen worden gestart.
En de noodzakelijke input daarbij, is de verkiezing van volksvertegenwoordigers door stemgerechtigde burgers.
Zie voor meer details de beschrijving van dit proces: [https://www.rijksoverheid.nl/onderwerpen/democratie/werking-parlementaire-democratie de werking van de parlementaire democratie]. +
De overheid (het ambtelijke apparaat c.q. de uitvoeringsorganisaties) biedt een aanbod van diensten dat past bij de behoeften van [[Wat bedoelen we in het Basisconcept voor Dienstverlening met de 'burger'?|burgers]]. Anno 2021 maakt elke overheidsorganisatie de diensten die zij levert voor burgers toegankelijk via de eigen website.
Die diensten moeten zodanig zijn beschreven, dat burgers vooraf al kunnen weten wat ze mogen verwachten. In principe zal zo’n beschrijving staan op de website(s) van de overheidsorganisatie(s) waar de dienst wordt aangeboden. De ca. 1.400 overheidsorganisaties doen dat ieder op hun eigen manier en met verschillende technische oplossingen. Nationaal zijn afspraken gemaakt welke aspecten van een dienst worden beschreven, zie NORA AP05 [[Nauwkeurige dienstbeschrijving]], maar in de praktijk wordt deze afspraak niet altijd gevolgd. Voor burgers betekent dat een divers palet aan websites van de overheid, waar je geen overzicht op hebt en niet gemakkelijk je weg in kunt vinden.
Als oplossing daarvoor is een [https://www.overheid.nl/producten_en_diensten gemeenschappelijke zoekmachine] gemaakt, waarmee burgers alle aangeboden diensten vanuit die ene plek kunnen vinden, die daardoor dus functioneert als een soort “virtuele” dienstencatalogus van de Nederlandse Overheid.
Gegeven dit aanbod van diensten van de overheid, is van belang na te gaan in hoeverre dat aanbod past bij de behoefte van burgers.
Waar kunnen burgers hun wensen kenbaar maken voor nieuwe diensten en feedback geven op het aanbod? Die wensen worden vanzelfsprekend verwoord door de politieke vertegenwoordiging van de burger in de verschillende lagen van de democratie, maar burgers moeten ook hun individuele wensen kunnen inbrengen. Dat lijkt momenteel alleen mogelijk als de overheid daar zelf proactief in is en die wensen specifiek uitvraagt bij een geleverde dienst of meer algemeen via bijvoorbeeld landelijke onderzoeken.
Een nog openstaande vraag hierbij is: op basis van welke criteria weegt de overheid af in hoeverre het mogelijk is om aan die wensen te voldoen? Dat is een afweging tussen individuele wensen en collectieve belangen, of tussen algemene afspraken en de discretionaire bevoegdheid van overheidsorganisaties, binnen technologische of budgettaire mogelijkheden, et cetera.
Verder kan het ook handig zijn voor de overheid om aan te geven welke diensten (tijdelijk) niet worden geleverd, of welke nieuwe worden voorzien.
Vanuit de NORA bestaan in elk geval twee principes die voor het ontwerp van een dienst rekening houden met feedback van de gebruikers. Zie NORA AP19 [[Perspectief gebruiker]] en NORA AP31 [[PDCA-cyclus in besturing kwaliteit]]. Dat is echter eenmalig bij de opzet en raakt dus niet de reflecties van burgers op het reeds bestaande dienstenaanbod.
Vanuit NORA wordt daarom geadviseerd om dit dienstenaanbod niet los te zien van het [[Sturen op (verbetering van) de kwaliteit van dienstverlening]], waarbij de reflecties van burgers via het [[(Her)ontwerpen van een dienst]] kunnen worden verwerkt in een aangepast Dienstenaanbod.
Voorbeelden van een Dienstenaanbod zijn: de publieke diensten van de [https://www.denhaag.nl gemeente Den Haag] of de [https://www.belastingdienst.nl/ Belastingdienst], en de mogelijkheid om via de gemeenschappelijke zoekmachine alle door de [https://www.overheid.nl/ Nederlandse Overheid] aangeboden publieke diensten te vinden.
Volgens de WRR vraagt het gebruik van Big Data in het veiligheidsdomein om nieuwe kaders. Dat is nodig om de mogelijkheden van Big Data te benutten en tegelijkertijd de fundamentele rechten en vrijheden van burgers te waarborgen. +
{{{Beschrijving}}} +
Boekje met 10 praktijktoepassingen van Linked Data in Nederland +
Het doel van deze aanbesteding is de ontwikkeling van een bouwblok audio welke de huidige Audiosystemen- en toepassingen in de verkeerscentrales (hierna VC) voor wegverkeer en objectbediening, bediencentrales (scheepvaart objectbediening op afstand), verkeersposten (scheepvaart begeleiding) en objecten (tunnels, bruggen, sluizen, keringen enz.) moet gaan vervangen. Het bouwblok audio zal als Commercial Off-The-Self (hierna COTS) producten worden ingekocht en dient te voldoen aan de Baseline Informatiebeveiliging Overheid (BIO). Nadere informatie is te lezen in het Beschrijvend Document. +
Voorziening die deel uitmaakt van de infrastructuur van de e-overheid. +
Een afspraak, standaard, organisatorische of technische voorziening of een combinatie hiervan ten behoeve van de realisatie van de digitale overheid. +
Indeling van bouwstenen zoals gehanteerd in NORA 3.0 Katern strategie. Indeling in Contactfuncties, Identity Management, Basisregistraties, Elektronische informatie-uitwisseling. +
Onderzoek naar effectieve beleids- en uitvoeringsopties en de mogelijke gevolgen daarvan. +
In het rapport "een betere overheid voor burgers en bedrijven" van de Brede Maatschappelijke Heroverwegingen staat de behoefte van burgers en bedrijven voorop. Wat hebben zij nodig in hun contact met de overheid?<br>
Het rapport richt zich op dienstverlening: het individuele contact dat burgers en bedrijven met de overheid hebben. Dit rapport is geschreven als een synthese van de veel al bestaande analyses die de afgelopen jaren zijn gedaan op het thema dienstverlening voor burgers en bedrijven: er is in de afgelopen jaren bijzonder veel aandacht is geweest voor (knelpunten in de) overheidsdienstverlening aan burgers en bedrijven. Het rapport staat daarom in het bijzonder stil bij de vraag hoe het komt dat dit beperkt, of zelfs soms helemaal niet, gelukt is. Ondanks de vele inspanningen die zijn gepleegd om de dienstverlening van de overheid voor burgers en bedrijven te verbeteren. +
<br>
==Verslag sessie==
Meer informatie:
* [[NORA review]]
* [[NORA review kwaliteitskader]]
In deze sessie waren van te voren geen PSA's ingebracht. Met een groep van een man of 14 bekeken Eric Brouwer, Peter Bergman en Robert van Wessel daarom de referentiearchitectuur van Regie op Gegevens, die waarschijnlijk in het najaar in een nieuwere versie in openbare review zal gaan via noraonline.nl.
Dit leidde tot discussies over onder andere:
* Is het verschil tussen een PSA en een referentiearchitectuur altijd duidelijk? Zou een PSA bijvoorbeeld actionable moeten zijn?
* Horen beleidsbrieven bij het juridisch kader, of hoort daar alleen wet- en regelgeving?
* Beoordeel je in een NORA review of het voldoet aan NORA, of het een goede architectuur is, of allebei? Beide, tot op zeker hoogte ;-)
* Moet er (altijd) een IST en SOLL transitie in een PSA voorkomen?
* Hoeveel ruimte moet de huidige situatie in beslag nemen in een PSA?
* Zou op noraonline naast het begrip [[PSA (Project Startarchitectuur)]] niet ook referentiearchitectuur en bijv. productarchitectuur gedefinieerd moeten worden?
* Is de architectuurscope niet vaak groter dan de projectscope?
* De samenhang met andere projecten / programma's hoort ook in een PSA thuis
* Hoe dik of dun je PSA kan zijn is afhankelijk van wat er al als (enterprise) architectuur is beschreven. Idealiter trek je zaken die je in PSA's goed beschrijft naar je enterprise architectuur toe en maakt zo een serie van 'bouwblokken' die je in andere PSA's kunt gebruiken - of er naar verwijzen. Dan heb je uiteindelijk een veel dunner document nodig.
==Oorspronkelijke sessiebeschrijving==
===Hoe NORA-proof is mijn PSA?===
Steeds meer opdrachtgevers weten het al: bij je verandertraject in de eigen organisatie of digitale dienst aan de burger neem je een projectleider in de hand EN een onafhankelijk architect. De projectleider zorgt dat je inderdaad van A naar Beter komt binnen tijd en budget, de architect zorgt dat het eindresultaat ook inderdaad Beter is: ontworpen volgens de laatste inzichten, aansluitend op de omgeving en conform alle relevante wettelijke en kwaliteits-kaders. Het middel daarvoor is de [[PSA (Project Startarchitectuur)]].
Maar hoe zorg je dat dat PSA niet alleen de eigen directe context meeneemt, maar ook de kennis en afspraken op nationaal niveau in de NORA? We laten zien hoe je dat al in 1 uur kunt laten checken.
===Zo stellen we dat vast voor een willekeurige PSA!===
In deze sessie laat een NORA-expert ter plekke zien hoe hij een nog niet eerder door hem bekeken PSA analyseert en waardeert aan de hand van de PSA-instrumenten die de NORA biedt. Denk daarbij aan de [https://www.noraonline.nl/images/noraonline/6/64/ICTU_Handleiding_voor_het_maken_van_een_PSA.pdf PSA handleiding], de [[Principes|Architectuur Principes]], het [[Vijflaagsmodel]] en [[Thema's]].
Een hiertoe aangeleverde PSA wordt van commentaar en adviezen voorzien. Zo concreet, dat je daar in het project direct mee aan de slag kunt!
==Opzet van de sessie==
We beginnen met een korte beschrijving van de ingebrachte PSA's, waarna de aanwezigen ter plekke kiezen welke PSA in deze sessie behandeld gaat worden.
De gekozen PSA brengen we integraal in beeld, waarbij we de expert volgen die het document doorloopt. Hij denkt hardop en geeft zo een kijkje in de keuken van de NORA peer-review. Natuurlijk is er gelegenheid om in de chat vragen te stellen over het hoe en waarom, al zullen die om wille van de tijd mogelijk deels pas na afloop van de sessie kunnen worden beantwoord.
Na de sessie delen we alle commentaren en bevindingen met degene die de PSA heeft aangeleverd. <br />
Vragen en aanvullingen over de methodiek van de NORA review bundelen we en publiceren we na afloop van de NORA Gebruikersweek voor alle deelnemers op noraonline.nl.
===OPROEP - breng zelf een PSA in voor de peer-review===
We dagen jullie uit om zelf een PSA in te brengen, die publiekelijk mag worden gedeeld. Het zou mooi zijn als het gaat om een nog lopend project, zodat de feedback ook echt kan worden gebruikt door de eigen architect om het op een hoger plan te brengen. Maar misschien zijn er andere redenen om een PSA te willen reviewen, bijvoorbeeld wanneer na afloop bleek dat er het een en ander over het hoofd gezien is: had een NORA review dat kunnen voorkomen?
PSA's die niet besproken worden kunnen na afloop van de Gebruikersweek alsnog voor een NORA review worden aangemeld. Maar misschien heeft deelname aan de sessie je belangrijkste vragen al beantwoord - we horen het graag.
Lever je PSA in pdf-format aan via [mailto:nora@ictu.nl?subject=PSA%20voor%20Bring%20Your%20Own%20PSA%20Gebruikersweek&body=Beste%20mensen%20van%20NORA%2C%0AHierbij%20lever%20ik%20een%20PSA%20om%20te%20bespreken%20in%20de%20sessie%20Bring%20Your%20Own%20PSA.%20Ik%20zal%20aanwezig%20zijn%20bij%20de%20sessie%20op%20donderdag%2027%20mei%20%28sessie%201%29%20%2F%20dinsdag%201%20juni%20%2F%20allebei.%0A%0AHet%20PSA%20is%20van%20het%20project%20of%20programma%20.....%2C%20dat%20nog%20van%20start%20gaat%20%2F%20al%20loopt%20%2F%20al%20is%20afgerond.%0AOnze%20belangrijkste%20vragen%20bij%20het%20PSA%20zijn%3A%20%0A%0A%0AMet%20vriendelijke%20groeten%2C%0ANaam%2C%20rol%20t.o.v.%20PSA%2C%20organisatie. nora@ictu.nl], inclusief een korte beschrijving van het project/programma en de belangrijkste vragen die jullie hebben.
NB: Kun je niet deze sessie, maar wil je wel graag meedoen? Deze sessie wordt twee keer aangeboden in de NORA Gebruikersweek, op [[Bring Your Own PSA (sessie 1)|donderdag 27 mei]] en [[Bring Your Own PSA (sessie 2)|dinsdag 1 juni]].
<br>
==Verslag sessie==
Meer informatie:
* [[NORA review]]
* [[NORA review kwaliteitskader]]
In deze intieme sessie konden alle deelnemers (delen van) een eigen PSA laten zien en bespreken. Een aantal inzichten die uit de sessie kwam:
* In een PSA moet veel meer staan als de context nog niet in bijvoorbeeld een enterprise architectuur staat beschreven.
* De betrokkenheid van stakeholders in een PSA is heel belangrijk - niet alleen voor de architect maar als het goed is juist voor de stakeholders zelf.
* PSA's schrijven is een kunst die je door oefenen en reviewen steeds beter onder de knie krijgt. Verschillende reviewers halen verschillende elementen uit een PSA naar voren, waardoor uiteindelijk een completer beeld en document ontstaat.
==Oorspronkelijke sessiebeschrijving==
===Hoe NORA-proof is mijn PSA?===
Steeds meer opdrachtgevers weten het al: bij je verandertraject in de eigen organisatie of digitale dienst aan de burger neem je een projectleider in de hand EN een onafhankelijk architect. De projectleider zorgt dat je inderdaad van A naar Beter komt binnen tijd en budget, de architect zorgt dat het eindresultaat ook inderdaad Beter is: ontworpen volgens de laatste inzichten, aansluitend op de omgeving en conform alle relevante wettelijke en kwaliteits-kaders. Het middel daarvoor is de [[PSA (Project Startarchitectuur)]].
Maar hoe zorg je dat dat PSA niet alleen de eigen directe context meeneemt, maar ook de kennis en afspraken op nationaal niveau in de NORA? We laten zien hoe je dat al in 1 uur kunt laten checken.
===Zo stellen we dat vast voor een willekeurige PSA!===
In deze sessie laat een NORA-expert ter plekke zien hoe hij een nog niet eerder door hem bekeken PSA analyseert en waardeert aan de hand van de PSA-instrumenten die de NORA biedt. Denk daarbij aan de [https://www.noraonline.nl/images/noraonline/6/64/ICTU_Handleiding_voor_het_maken_van_een_PSA.pdf PSA handleiding], de [[Principes|Architectuur Principes]], het [[Vijflaagsmodel]] en [[Thema's]].
Een hiertoe aangeleverde PSA wordt van commentaar en adviezen voorzien. Zo concreet, dat je daar in het project direct mee aan de slag kunt!
===Opzet van de sessie===
We beginnen met een korte beschrijving van de ingebrachte PSA's, waarna de aanwezigen ter plekke kiezen welke PSA in deze sessie behandeld gaat worden.
De gekozen PSA brengen we integraal in beeld, waarbij we de expert volgen die het document doorloopt. Hij denkt hardop en geeft zo een kijkje in de keuken van de NORA peer-review. Natuurlijk is er gelegenheid om in de chat vragen te stellen over het hoe en waarom, al zullen die om wille van de tijd mogelijk deels pas na afloop van de sessie kunnen worden beantwoord.
Na de sessie delen we alle commentaren en bevindingen met degene die de PSA heeft aangeleverd. <br />
Vragen en aanvullingen over de methodiek van de NORA review bundelen we en publiceren we na afloop van de NORA Gebruikersweek voor alle deelnemers op noraonline.nl.
===OPROEP - breng zelf een PSA in voor de peer-review===
We dagen jullie uit om zelf een PSA in te brengen, die publiekelijk mag worden gedeeld. Het zou mooi zijn als het gaat om een nog lopend project, zodat de feedback ook echt kan worden gebruikt door de eigen architect om het op een hoger plan te brengen. Maar misschien zijn er andere redenen om een PSA te willen reviewen, bijvoorbeeld wanneer na afloop bleek dat er het een en ander over het hoofd gezien is: had een NORA review dat kunnen voorkomen?
PSA's die niet besproken worden kunnen na afloop van de Gebruikersweek alsnog voor een NORA review worden aangemeld. Maar misschien heeft deelname aan de sessie je belangrijkste vragen al beantwoord - we horen het graag.
Lever je PSA in pdf-format aan via [mailto:nora@ictu.nl?subject=PSA%20voor%20Bring%20Your%20Own%20PSA%20Gebruikersweek&body=Beste%20mensen%20van%20NORA%2C%0AHierbij%20lever%20ik%20een%20PSA%20om%20te%20bespreken%20in%20de%20sessie%20Bring%20Your%20Own%20PSA.%20Ik%20zal%20aanwezig%20zijn%20bij%20de%20sessie%20op%20donderdag%2027%20mei%20%28sessie%201%29%20%2F%20dinsdag%201%20juni%20%2F%20allebei.%0A%0AHet%20PSA%20is%20van%20het%20project%20of%20programma%20.....%2C%20dat%20nog%20van%20start%20gaat%20%2F%20al%20loopt%20%2F%20al%20is%20afgerond.%0AOnze%20belangrijkste%20vragen%20bij%20het%20PSA%20zijn%3A%20%0A%0A%0AMet%20vriendelijke%20groeten%2C%0ANaam%2C%20rol%20t.o.v.%20PSA%2C%20organisatie. nora@ictu.nl], inclusief een korte beschrijving van het project/programma en de belangrijkste vragen die jullie hebben.
NB: Kun je niet deze sessie, maar wil je wel graag meedoen? Deze sessie wordt twee keer aangeboden in de NORA Gebruikersweek, op [[Bring Your Own PSA (sessie 1)|donderdag 27 mei]] en [[Bring Your Own PSA (sessie 2)|dinsdag 1 juni]].
De plaats waar een gegeven of document voor de eerste keer is vastgelegd +
De BurgerServiceCode is een gedragscode met tien kwaliteitseisen voor de relatie tussen burger en overheid in de moderne (digitale) samenleving. Deze eisen zijn geformuleerd als rechten van burgers en daarbij behorende plichten van overheden. +
Alle belanghebbenden van overheidsdienstverlening in de ruimste zin van het woord. +
Het burgerservicenummer (BSN) is het persoonsnummer voor contacten met de overheid. Dit unieke nummer helpt om bijvoorbeeld persoonsverwisselingen te voorkomen. Iedereen die zich voor het eerst inschrijft bij een gemeente krijgt een BSN. Een pasgeboren kind krijgt bij inschrijving in de BRP pas een BSN. Het BSN staat op het paspoort, rijbewijs en identiteitskaart. +
De gemeente Waddinxveen maakt al jaren gebruik van Cipers/iBurgerzaken van PinkRoccade als applicatie voor burgerzaken. Ook werkt Waddinxveen met de Makelaarsuite van PinkRoccade. De looptijd van deze overeenkomsten gaat eindigen en daarom voert Waddinxveen een aanbestedingsprocedure uit om de komende jaren invulling te geven aan de functionaliteit die deze applicaties momenteel bieden. +
==Objectdefinitie==
Betreft een methode om de mogelijke bedrijfsimpact te bepalen die een organisatie zou kunnen ervaren door een incident, die de functionaliteit van of de informatie in een applicatie in gevaar brengt.
==Objecttoelichting==
Eén van de specifieke activiteiten bij applicatieontwikkeling is het uitvoeren van een BIA. Hierbij wordt vanuit verschillende optieken de doelomgeving geanalyseerd, om op deze manier de juiste requirements voor de te ontwikkelen applicatie te kunnen identificeren en traceren. +
C
A cornerstone of the UN/CEFACT standardisation activities is the Core Component Technical Specification (CCTS). Core Components are the syntax-neutral and technology-independent building blocks that can be used for data modeling. Major benefits of CCTS include improved reuse of existing data artifacts, improved enterprise interoperability, and consistency across vertical industry standards. (bron: wikipedia) +
Binnen de ISOR-pagina’s kom je de term 'CIP-netwerk' tegen als grondslag bij de uitwerking van bepaalde criteria en normen. Deze grondslag wordt gebruikt wanneer voor het betreffende criterium/norm geen onbetwiste aanwijsbare bron uit een best practice als grondslag geadopteerd kan worden. Deze grondslag geeft aan dat de betreffende norm opgesteld is door leden uit de CIP-community die, individueel of in de werkgroepen/schrijfgroepen, hebben bijgedragen aan het opstellen van de betreffende BIO Thema-uitwerking.
Het CIP-netwerk is de community van het [[Centrum Informatiebeveiliging en Privacybescherming (CIP)|Centrum Informatiebeveiliging en Privacybescherming (CIP)]] die kennis deelt en ontwikkelt op het bredere terrein van informatiebeveiliging en privacybescherming. Eén van de kennisproducten van het CIP is de [[ISOR|Information Security Object Repository (ISOR)]], een verzameling van BIO Thema-uitwerkingen ter ondersteuning van organisaties bij de implementatie van de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]].
Meer informatie vind je over de BIO en het CIP op:
* BIO [https://bio-overheid.nl/over-de-bio bio-overheid.nl/over-de-bio]
* CIP [https://cip-overheid.nl/over-cip cip-overheid.nl/over-cip] +
CORA procesmodel uitgebreid met werkprocessen +
CORA update thema applicatiestrategieën +
CSS maakt op een relatief eenvoudige wijze een uniforme opmaak van websites mogelijk.
CSS is een simpel mechanisme om opmaak (bijvoorbeeld lettertypes, kleuren, tussenruimtes) toe te voegen aan web pagina's. Met behulp van één stylesheet kunnen alle pagina's van een website uniform worden opgemaakt. +
CSV-bestanden (Common Format and MIME Type for Comma-Separated Values Files) kunnen in een rekenblad- of een databaseprogramma worden ingelezen en vervolgens op een beeldscherm als tabel worden gepresenteerd.
CSV bestanden bestaan uit regels met informatie waarbij naar ieder los gegeven een komma wordt geplaatst. Het wordt veelgebruikt om gegevens tussen verschillende spreadsheet programma's uit te wisselen en kan ook gebruikt worden op gegevens uit databases over te zetten naar een andere database. +
Synoniem voor '[[Generieke functie (Begrip)]]' +
==Objectdefinitie==
Omvat de bewaking van de belasting van de back-end-implementatie op basis van maximale aantallen en de omvang van berichten per gebruiker per tijdeenheid.
==Objecttoelichting==
Om de continuïteit van de bedrijfsvoering en het voorspelbaar kunnen nakomen van contractuele verplichtingen te garanderen, is een bewaking van de omvang en de aantallen uitgewisselde berichten per afnemer essentieel.
Er zijn veel manieren waarmee de continuïteit van diensten verzekerd kan worden. In alle gevallen geldt dat vooraf gewogen en afgesproken moet worden wat het gewenste serviceniveau is en wat de gevolgen zijn als een afnemer van de diensten geconfronteerd wordt met de melding: ‘Service niet beschikbaar’.
Denial of Service (DoS)- of Distributed Denial of Service (DDoS)-situaties kunnen de continuïteit in hoge mate verstoren. Belangrijk is na te gaan welke maatregelen zijn genomen om deze aanvallen vroegtijdig te signaleren en waar mogelijk af te slaan. +
Met de digitalisering van de Rijksinkoop willen we het voor leveranciers makkelijker maken om zaken met de Rijksoverheid te doen, het voor medewerkers binnen het Rijk eenvoudiger maken om in te kopen en te bestellen, en te beschikken over betere besluitvormings- en verantwoordingsinformatie. Het programma Transitie DigiInkoop is erop gericht het leveranciersportaal en het catalogusplatform binnen de Rijksdienst onder één gemeenschappelijke architectuur te brengen (muv van de wapensysteem gerelateerde inkopen van Defensie) en een aantal uniforme koppelvlakken met de buitenwereld te realiseren zodat er een stevig fundament gelegd wordt voor digitalisering. Hierdoor wordt een betere gegevensuitwisseling tussen Rijksorganisaties onderling en tussen de Rijksoverheid en haar leveranciers mogelijk gemaakt. +
==Objectdefinitie==
Betreft een bewijs, afgegeven door een erkende organisatie, waarmee bevestigd wordt dat huisvesting Informatievoorzieningen (IV) voldoet aan vooraf vastgestelde eisen.
==Objecttoelichting==
Certificering vindt plaats door een certificatie-instelling. Zo bestaan er bijvoorbeeld verschillende [[ISO (International Organization for Standardization)|International Organization for Standardization (ISO)]]-certificaten die door geaccrediteerde certificatie-instellingen worden afgegeven. Klanten eisen steeds vaker dat het certificaat is behaald voordat zij zaken willen doen met de betreffende IV-dienstverlener. Om een ISO-certificaat te kunnen behalen, dient aantoonbaar aan een aantal eisen te zijn voldaan. Om aan een ISO-norm te kunnen voldoen, moeten bijvoorbeeld de werkprocessen in de organisatie inzichtelijk zijn gemaakt en dienen ze beheersbaar en bestuurbaar te zijn. +
De mate waarin gegevensobjecten zijn geïdentificeerd als het juiste objecttype. +
==Objectdefinitie==
Betreft het systematisch indelen in categorieën van de waarde van informatie, om te kunnen bepalen welk niveau van bescherming de te ontwikkelen van applicaties nodig heeft.
==Objecttoelichting==
In [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002 2017]] is gesteld dat een organisatie haar informatie moet classificeren om ervoor te zorgen dat informatie een passend beschermingsniveau krijgt. Hiervoor moet de organisatie een classificatieschema opstellen en dit schema communiceren binnen de organisatie. Een classificatieschema geeft beveiligingsrichtlijnen voor zowel algemene informatiemiddelen als voor informatie in het ontwikkeltraject. Binnen dit thema moet de projectverantwoordelijke dit classificatieschema als input beschikbaar hebben om binnen deze context van de applicatie omgeving te kunnen toepassen. Het classificatieschema beidt specifieke richtlijnen voor het ontwikkeltraject. +
De catalogus met nalevingscriteria voor cloudcomputing (C5) definieert een basisbeveiligingsniveau voor cloudcomputing. Het wordt gebruikt door professionele cloudserviceproviders, auditors en cloudklanten.
Het [[BSI (Bundesamt für Sicherheit in der Informationstechnik)|Bundesamt für Sicherheit in der Informationstechnik (BSI)]] introduceerde C5 voor het eerst in 2016. Sindsdien is de criteriacatalogus snel ontstaan en heeft deze nu een brede marktpenetratie: BSI kent meer dan een dozijn C5-attesten op nationale, Europese en wereldwijde cloudserviceproviders die een breed scala aan cloudservices dekken. Naast grote cloudserviceproviders passen inmiddels ook middelgrote en kleine providers de catalogus toe. De criteriacatalogus ondersteunt klanten bij het selecteren, controleren en monitoren van hun cloudserviceproviders. De bijbehorende rapportages leggen de basis voor een gedegen risicobeoordeling.
In 2019 werd de catalogus grondig herwerkt, aangepast aan nieuwe ontwikkelingen en de kwaliteit verder verhoogd. +
De CCM van [[CSA (Cloud Security Alliance)|Cloud Security Alliance (CSA)]] is samengesteld uit 197 control-doelstellingen die zijn gestructureerd in 17 domeinen die alle belangrijke aspecten van cloudtechnologie omvatten. Het kan worden gebruikt als een hulpmiddel voor de systematische beoordeling van een cloudimplementatie en geeft richtlijnen over welke beveiligingscontroles moeten worden geïmplementeerd door welke actor binnen de cloudtoeleveringsketen. Het controleraamwerk is afgestemd op de CSA-beveiligingsrichtlijnen voor cloudcomputing en wordt beschouwd als een de-facto standaard voor cloudbeveiliging en naleving.
Op 21 januari heeft CSA versie 4 van de Cloud Controls Matrix (CCM) uitgebracht. Dit is een opvolging van CCM V3.0.1. De eerste set toewijzingen van CCM V3.0.1 met [[NEN-EN-ISO/IEC 27001:2017 (Managementsystemen voor informatiebeveiliging - Eisen)|ISO/IEC 27001]] werd uitgebracht in februari 2021. Andere toewijzingen worden later binnen het tijdsbestek van juni tot september vrijgegeven. CSA zal werken aan het creëren van aanvullende mapping naar relevante normen, best practices, wet- en regelgeving (bijvoorbeeld [[NIST SP 800-53 Rev. 5 2020 (Security and Privacy Controls for Information Systems and Organizations)|NIST 800-53 Rev. 5]], ENISA Security Controls for Cloud Services, CIS Controls, PCI-DSS, AICPA TSP). +
Cloud computing is een model voor het mogelijk maken van alomtegenwoordige, handige, on-demand netwerktoegang tot een gedeelde pool van configureerbare computerbronnen (bijvoorbeeld netwerken, servers, opslag, applicaties en diensten) die snel kunnen worden geleverd en vrijgegeven met een minimale beheersinspanning of interactie met de serviceprovider. +
==Objectdefinitie==
Omvat het plan van handelen van de CSP waarmee zijn beveiligingsdoelstellingen voor de clouddienstenlevering kunnen worden gerealiseerd.
==Objecttoelichting==
Organisaties staan voor de vraag, welke clouddiensten ze moeten verwerven en waar en hoe ze deze veilig kunnen inzetten. Hiervoor moeten de IT-stakeholders van Cloud Service Providers (CSC’s) een beslissingsraamwerk ontwikkelen, waarmee systematisch de mogelijke scenario’s kunnen worden onderzocht. Dit raamwerk richt zich met name op typen applicaties en technische karakteristieken. Een strategie omvat uitspraken over de doelstellingen bij de inzet van de clouddiensten die de organisatie wil nastreven en de wegen waarlangs of de wijze waarop dit moet plaatsvinden.
Om CSC’s te kunnen bedienen, heeft de CSP vanuit haar eigen optiek een cloudbeveiligingsstrategie ontwikkeld. Deze strategie geeft de CSC’s voldoende mogelijkheden om hun cloud-strategie te relateren aan de strategie van een specifieke CSP. Dit biedt de CSC de mogelijkheid om haar keuzes bij te stellen dan wel aanvullende eisen aan de CSP te stellen. +
==Objecten, controls en maatregelen==
De onderwerpen die specifiek voor clouddiensten in het beleidsdomein een rol spelen, zijn in afbeelding 'Overzicht objecten voor clouddiensten in het beleidsdomein' vermeld. Is een objectblok geel gekleurd, dan komt de bijbehorende control voor in de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]. Betreft het een wit gemarkeerd objectblok, dan heeft de BIO geen control gedefinieerd, maar is dit object wel noodzakelijk voor deze BIO Thema-uitwerking.
[[Afbeelding:BIO Thema Clouddiensten - Beveiligingsobjecten uitgewerkt voor het Beleidsdomein ingedeeld naar IFGS invalshoeken.png|thumb|none|500px|Overzicht objecten voor clouddiensten in het beleidsdomein|alt=”Beveiligingsobjecten uitgewerkt voor het Beleidsdomein ingedeeld naar IFGS invalshoeken”]]
Per specifiek beveiligingsobject worden de control (hoofdnorm) en maatregelen (sub-normen) beschreven (zie [[ISOR:BIO Thema Clouddiensten Beleid#Principes uit de BIO Thema Clouddiensten binnen dit aspect|Principes uit de BIO Thema Clouddiensten binnen dit aspect]] en [[ISOR:BIO Thema Clouddiensten Beleid#Normen uit de BIO Thema Clouddiensten binnen dit aspect|Normen uit de BIO Thema Clouddiensten binnen dit aspect]]). +
==Objecten, controls en maatregelen==
Afbeelding Overzicht objecten voor clouddiensten in het control-domein geeft de onderwerpen weer die specifiek voor het control-domein een rol spelen. Is een objectblok blauw gekleurd, dan komt de bijbehorende control voor in de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]. Betreft het een wit gemarkeerd objectblok, dan heeft de BIO geen control gedefinieerd, maar is dit object wel noodzakelijk voor deze BIO Thema-uitwerking.
[[Bestand:BIO Thema Clouddiensten - Beveiligingsobjecten uitgewerkt voor het Uitvoeringsdomein ingedeeld naar IFGS invalshoeken.png|thumb|none|500px|Overzicht objecten voor clouddiensten in het control-domein|alt=”Beveiligingsobjecten uitgewerkt voor het Control domein-ingedeeld naar de invalshoeken”]]
De objecten, voor clouddiensten, die specifiek binnen het control-domein een rol spelen, zijn in de overeenkomstige controls uitgewerkt (zie de tabel in [[ISOR:BIO Thema Clouddiensten Control#Principes uit de BIO Thema Clouddiensten binnen dit aspect|Principes uit de BIO Thema Clouddiensten binnen dit aspect]]). +
==Objecten, controls en maatregelen==
Afbeelding 'Overzicht objecten voor clouddiensten in het uitvoeringsdomein' geeft de objecten weer die specifiek voor het uitvoeringsdomein een rol spelen. Is een objectblok oranje gekleurd, dan komt de bijbehorende control voor in de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]. Betreft het een wit gemarkeerd objectblok, dan heeft de BIO geen control gedefinieerd, maar is dit object wel noodzakelijk voor deze BIO Thema-uitwerking.
[[Bestand:CLD Overzicht objecten voor clouddiensten in het uitvoeringsdomein.png|thumb|none|500px|Overzicht objecten voor clouddiensten in het uitvoeringsdomein |alt=”Beveiligingsobjecten uitgewerkt voor het Uitvoeringsdomein ingedeeld naar IFGS invalshoeken”]] +
==Objectdefinitie==
Betreft een modelmatige beschrijving van een technische en organisatorische samenhang, waarin de Cloud Service Provider (CSP) de relaties tussen de onderdelen van de clouddiensten en de ondersteuning van de Cloud Service Consumer (CSC) vastlegt.
==Objecttoelichting==
In de clouddienstenarchitectuur legt de CSP de functionele relaties vast tussen IT-componenten in de gehele keten van de CSC en de CSP. Deze architectuur beschrijft hoe de IT-componenten moeten worden ingericht zodat ze de bedrijfsprocessen van de CSC ondersteunen. +
==Objectdefinitie==
Betreft een modelmatige beschrijving van een technische en organisatorische samenhang, waarin de Cloud Service Provider (CSP) de relaties tussen de onderdelen van de clouddiensten en de ondersteuning van de Cloud Service Cosnumer (CSC) vastlegt.
==Objecttoelichting==
In de clouddienstenarchitectuur legt de CSP vast hoe de IT-functionaliteiten aan elkaar gerelateerd zijn en hoe zij onderling samenhangen. Uit de clouddienstenarchitectuur wordt duidelijk hoe IT-functionaliteiten de bedrijfsprocessen van de CSC ondersteunen. +
==Objectdefinitie==
Omvat beleidsuitgangspunten en de wijze waarop, in welk tijdbestek en met welke middelen, de beveiligingsdoelstellingen voor clouddiensten bereikt moeten worden.
==Objecttoelichting==
Het onderwerp clouddiensten moet een specifiek onderdeel zijn van het informatiebeveiligingsbeleid van de Cloud Service Consumer (CSC). Een CSC kan ook kiezen voor een specifiek clouddienstenbeleid, waarbij in de informatiebeveiligingsparagraaf het algemene informatiebeveiligingsbeleid specifiek voor clouddiensten wordt uitgewerkt of ingevuld. Het beleid zal uitgangspunten moeten bevatten over de wijze waarop, binnen welk tijdsbestek en met welke middelen clouddiensten de doelstellingen moeten bereiken. In dit beleid zal ook aandacht moeten worden besteed aan archiveringsbeleid, cryptografiebeleid, certificering en verklaringen.
Om de CSC te kunnen bedienen, zal de Cloud Service Provider (CSP) vanuit haar eigen optiek een cloud-beveiligingsbeleid hebben ontwikkeld. Dit beleid geeft de CSC mogelijkheden om haar cloud-beleid te relateren aan de strategie van de CSP en biedt de CSC de mogelijkheid om de keuzes bij te stellen dan wel aanvullende eisen aan de CSP te stellen. +
Dit is het Coalitieakkoord van 2021 – 2025, zoals opgesteld door de coalitiepartijen VVD, D66, CDA en ChristenUnie. +
De Code goed openbaar bestuur beschrijft hoe een overheidsbestuur hoort te werken. Zo weten burgers wat zij van de overheid kunnen verwachten. Bijna alle besturen van het Rijk, provincies, gemeenten, waterschappen en politie werken via de code goed openbaar bestuur. +
==Objectdefinitie==
Betreft het transport van gegevens van en naar het softwarepakket.
==Objecttoelichting==
Om getransporteerde gegevens te beschermen, moeten deze worden beveiligd met een voldoende sterke beveiligingsmethode.
==Schaalgrootte==
Elke schaalgrootte.
==Voor wie==
Leverancier. +
==Objecten, controls en maatregelen==
Onderstaande afbeelding is het resultaat van de [[SIVA-methodiek|SIVA-analyse]] op relevante objecten voor het informatievoorzieningsbeleid. SIVA staat voor Structuur, Inhoud, Vorm en Analysevolgorde. Het wit ingekleurde object ontbreekt als control in de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] maar is wel cruciaal voor deze BIO Thema-uitwerking. Het geeft een overzicht en de ordening van objecten. Voor de identificatie van de objecten en de ordening is gebruik gemaakt van basiselementen (zie de grijs gemarkeerde tekst) ingedeeld naar de [[Alle invalshoeken|invalshoek: Intentie, Functie, Gedrag of Structuur]].
[[Bestand:CVZ Overzicht objecten voor communicatievoorzieningen in het beleidsdomein.png|thumb|none|500px|Overzicht objecten voor communicatievoorzieningen in het beleidsdomein|alt=”Overzicht communicatievoorzieningenobjecten in het beleidsdomein”]] +
==Objecten, controls en maatregelen==
Onderstaande afbeelding is het resultaat van de [[SIVA-methodiek|Structuur, Inhoud, Vorm en Analysevolgorde (SIVA)-analyse]] op relevante objecten voor netwerk-control. Beheersing van netwerk(diensten) beoogt de beveiligingsrisico’s te beperken. Hiertoe dienen periodiek door bepaalde functionarissen met specifieke bevoegdheden controleactiviteiten te worden verricht. Deze activiteiten dienen ondersteund te worden met procedures en richtlijnen (instructies). De structuur van de beheersingsorganisatie beschrijft de samenhang van de ingerichte processen.
[[Afbeelding:Thema Communicatievoorzieningen - Onderwerpen die binnen het Controldomein een rol spelen.png|thumb|none|500px|Overzicht objecten voor communicatievoorzieningen in het control-domein|alt=”Onderwerpen die binnen het Control-domein een rol spelen”]] +
==Objecten, controls en maatregelen==
Per object zijn controls en maatregelen opgenomen die risico’s kunnen reduceren (zie [[ISOR:BIO Thema Communicatievoorzieningen Uitvoering#Normen uit de BIO Thema Communicatievoorzieningen binnen dit aspect|Hoofdstuk Normen uit de BIO Thema Communicatievoorzieningen binnen dit aspect]]). Voor de implementatie wordt verwezen naar de zes uitvoeringskaders van de ISO 27033 en het [[Beveiliging|Nederlandse Overheid Referentie Architectuur (NORA)-thema Beveiliging]].
In de onderstaande afbeelding zijn de essentiële beveiligingsobjecten voor communicatievoorzieningen weergegeven in de kolommen: [[Alle invalshoeken|Intentie, Functie, Gedrag en Structuur]]. Voor het wit ingekleurde object heeft de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] geen control gedefinieerd. Deze objecten zijn voor een groot deel afkomstig uit de ISO 27033 deel 1 t/m 6.
[[Afbeelding:Thema Communicatievoorzieningen - Onderwerpen die binnen het Uitvoeringdomein een rol spelen.png|thumb|none|500px|Overzicht objecten voor communicatievoorzieningen in het uitvoeringsdomein|alt=”Onderwerpen die binnen het Uitvoering domein een rol spelen”]] +
Bijeenkomst van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. +
Bijeenkomst van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. +
Bijeenkomst van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. +
Community Beginnend Overheidsarchitecten - Komende bijeenkomst Modellering en terugblik bijeenkomst Storytelling +
Community Beginnend Overheidsarchitecten - Komende bijeenkomst Modellering en terugblik bijeenkomst Storytelling +
Bijeenkomst van de community Beginnend overheidsarchitecten +
Bijeenkomst van de community Beginnend overheidsarchitecten +
Deze sessie is een vervolg op het gesprek van de vorige keer over hoe je als architect het gesprek met niet-architecten voert zodat je werk ook impact heeft. Pleuni Niessing ([https://www.linkedin.com/in/pleuni-niezing-bergsma-4927739/ LinkedIn Profiel]) verzorgt vanuit het Waterschapshuis een interactieve workshop Storytelling, die is afgestemd op de behoeften van overheidsarchitecten. +
Bijeenkomst van de community Beginnend overheidsarchitecten +
Tijdens deze bijeenkomst van de community Beginnend overheidsarchitecten kijken we terug op het afgelopen jaar. Welke onderwerpen zijn de revue gepasseerd en wat is er allemaal bijgebleven. Denk daarbij aan storytelling, tekenen of modelleren en idEA.
Vooruit kijken we ook: welke onderwerpen spelen er momenteel en waar willen we meer over weten. +
Bijeenkomst van de community Beginnend overheidsarchitecten +
Bijeenkomst van de community Beginnend overheidsarchitecten +
Bijeenkomst van de community Beginnend overheidsarchitecten +
Start Software voor data op het web community +
Software voor data op het web community meeting +
Community van beginnend overheidsarchitecten krijgt vervolg +
De mate waarin gegevens aanwezig zijn. +
==Objectdefinitie==
Betreft de besturing op het voldoen aan de geldende wet- en regelgeving, beleid, richtlijnen en procedures en de onafhankelijke toetsing op de naleving hiervan.
==Objecttoelichting==
Met compliance wordt aangeduid dat de Cloud Service Provider (CSP) werkt conform de geldende wet- en regelgeving en het uitgestippeld cloud-beveiligingsbeleid. Aan de Cloud Service Consumer (CSC) wordt zekerheid geboden over het beoogde beveiligingsniveau van de aangeboden clouddienst. Hiervoor zal de CSP een compliance-functie moeten hebben ingericht die het management van de CSP bijstaat bij het in control houden van de CSP-organisatie om te werken volgens de geldende wet- en regelgeving en het overeengekomen beveiligingsbeleid.
Assurance is zekerheid geven over de naleving van wet- en regelgeving door een onafhankelijke toetsing. Daarmee wordt aan de CSC zekerheid geboden van het beoogde beveiligingsniveau van de aangeboden clouddienst. Dit vindt plaats met een assurance-rapportage. +
==Objectdefinitie==
Betreft een besturingsproces voor het voldoen aan de geldende wet- en regelgeving, beleid overeenkomsten en andere verplichtingen in de organisatie voor softwareontwikkeling.
==Objecttoelichting==
Compliance-management richt zich op het naleven van de verplichtingen die voortkomen uit wet- en regelgeving en door de organisatie overeengekomen beleid, richtlijnen, standaarden en architectuur. Vanuit de optiek van de functionele en technische beveiligingseisen voor software is het van belang om met een compliance-managementproces vast te stellen in welke mate de gerealiseerde software voldoet aan de verplichtingen die voorvloeien uit wet- en regelgeving en uit vooraf overeengekomen beleid, architectuur, standaarden en contracten. +
==Objectdefinitie==
Betreft een periodieke toetsing op de naleving van het beveiligingsbeleid voor netwerkdiensten.
==Objecttoelichting==
In de praktijk is het noodzakelijk gebleken om regelmatig te toetsen of de beoogde beveiliging van de netwerkvoorzieningen nog conform het actuele beveiligingsbeleid functioneert. Het accent ligt hier op de naleving van het beleid. Periodiek dienen zowel de organisatorische als technische aspecten van de maatregelen, zoals: de taken en verantwoordelijkheden, de beschikbaarheid van voldoende technische middelen etc., beoordeeld te worden. Als resultaat dient hierover een rapportage van bevindingen aan het management te worden uitgebracht. +
Een van de vier typen modellen zoals gedefinieerd in het [[MIM (Metamodel voor informatiemodellen)]]. +
Eenmalige verstrekking naar aanleiding van een relevante wijziging op de persoonslijst, bijvoorbeeld ‘persoon is geëmigreerd'. +
==Objectdefinitie==
Betreft het voor de gewenste eigenschappen instellen van systeemfuncties.
==Objecttoelichting==
De leverancier is op basis van een overeenkomst en middlewarebeleid verantwoordelijk voor het configureren van middlewarecomponenten, bedoeld voor storage, archivering, back-up, herstel en integratieservices. Leveranciers zullen op dit gebied ook de noodzakelijke trainingen moeten verzorgen. +
Congres Zaakgericht werken voor de Overheid 2018: Connect! +
Congres Zaakgericht werken voor de Overheid op 1 oktober 2019 +
In de dienstverlening aan onze klanten gebruiken we, als overheidsinstellingen, verschillende kanalen. We informeren klanten via de website, verstrekken in persoon informatie aan een balie of via de telefoon, we beslissen op de aanvraag van de klant met een gemotiveerde beschikking en we verstrekken onze ketenpartner informatie of gegevens als hij deze bij ons (als bron) komt halen. Het behoeft eigenlijk geen betoog dat het niet uit mag maken via welk kanaal een vraag wordt gesteld: het antwoord dat wordt gegeven moet in alle gevallen hetzelfde zijn. +
De mate waarin gegevens vrij van tegenspraak zijn en samenhang vertonen met andere gegevens. +
Is in de wet/regelgeving/beleid/regels van het domein hetzelfde begrip steeds met dezelfde betekenis gebruikt? +
Consultaties standaarden voor betere gegevensuitwisseling en veiliger internet +
Contacten gezocht om de toepasbaarheid van de nieuwe NORA Architectuurprincipes te toetsen bij grote overheidsprogramma's of projecten +
Contacten gezocht om de toepasbaarheid van de nieuwe NORA Architectuurprincipes te toetsen bij grote overheidsprogramma's of projecten +
Bij de beschrijving van het begrip uitlegbaar bij het principe [[Uitlegbaar]] werd al duidelijk dat uitlegbaarheid soms betekent de uitleg in één concrete zaak betekent en soms de uitleg in het algemeen.<br />
Deze context is sterk bepalend voor het taalgebruik en het abstractieniveau van de uitleg. De invloed is zo groot dat vrijwel alle gerelateerde aspecten afhankelijk van deze context anders belicht moeten worden. <br />
Deel van de context is uiteraard ook wat er bekend is over de lezer/ontvanger van de uitleg: taalniveau, kanaal waarvan gebruik wordt gemaakt etc. +
==Objectdefinitie==
Betreft een instandhoudingsproces voor alle activiteiten om de continuïteit van de te leveren huisvesting Informatievoorzieningen (IV)-diensten te waarborgen.
==Objecttoelichting==
Bedrijfscontinuïteit is het vermogen van de organisatie, om na een verstorend incident, producten of diensten te blijven leveren op acceptabele, vooraf vastgestelde niveaus. Bedrijfscontinuïteitsmanagement (BCM) is het proces waarmee bedrijfscontinuïteit bereikt wordt en gaat over het voorbereiden van een organisatie op het afhandelen van verstorende incidenten die anders zouden kunnen verhinderen haar doelstellingen te bereiken. Dit om de continuïteit binnen de afgesproken grenzen bij storingen en calamiteiten te waarborgen/het vereiste niveau van beschikbaarheid te kunnen waarborgen.
Continuïteitsbeheer, ook bekend als een Bedrijfscontinuïteitsmanagementsysteem (BCMS), is genormeerd en beschreven in de [[NEN-EN-ISO 22313:2020 (Richtlijnen voor het gebruik van ISO 22301)|NEN-EN-ISO 22313: Managementsystemen voor bedrijfscontinuïteit (business continuity management systems)]].
In de context van huisvesting IV richt BCMS zich onder andere op de beschikbaarheid van data en bedrijfsfuncties vanuit applicaties en de onderliggende infrastructuur en netwerk op de lange termijn. In het control-domein gaat het om de vraag of voldoende maatregelen genomen zijn om te zorgen dat na een calamiteit huisvesting IV-services weer zo snel mogelijk hersteld kunnen worden.
Samengevat, continuïteitsbeheer:
* stelt plannen op, en onderhoudt deze, om voorbereid te zijn om na het zich voordoen van een calamiteit, zo snel mogelijk over te kunnen schakelen op noodvoorzieningen en daarna op een gestructureerde wijze terug te keren naar een (herbouwde) stabiele omgeving.
* heeft noodvoorzieningen achter de hand om de belangrijkste activiteiten zo snel mogelijk weer op te starten (uitwijk).
* is in staat om, na herstel van de oorspronkelijke omgeving, gestructureerd terug te gaan naar een situatie zoals die was voor het uitbreken van de calamiteit (‘business as usual’).
==Objectdefinitie==
Betreft de besturing en het beheer van de overeenkomsten tussen de klant en leverancier.
==Objecttoelichting==
Wanneer de ontwikkeling en/of het beheer over de gehele of een deel van huisvesting Informatievoorzieningen (IV) wordt uitbesteed, moeten de functionele en beveiligingseisen in een overeenkomst tussen beide partijen worden vastgelegd, zoals in een contract en/of Service Level Agreement (SLA). Deze overeenkomst moet garanderen dat er geen misverstanden bestaan tussen de beide partijen. +
==Objectdefinitie==
Betreft systematisch ontwikkelde aanbevelingen voor het periodiek evalueren van het opgelegde beleid van huisvesting IV op de actualiteitswaarde.
==Objecttoelichting==
Binnen huisvesting IV bevinden zich verschillende bedrijfsmiddelen. Periodiek dient een functionaris met specifieke bevoegdheden controle-activiteiten op de bedrijfsmiddelen te verrichten. Hierdoor kunnen eventuele gebreken tijdig worden vastgesteld en de noodzakelijke maatregelen worden getroffen. Deze activiteiten moeten ondersteund worden met richtlijnen, procedures en instructies, anders bestaat het risico dat de resultaten van de controle-activiteiten niet voldoen aan de verwachte eisen. De beheerorganisatiestructuur geeft de samenhang van de ingerichte processen weer. +
Het converteren/omzetten van bij KVK gedeponeerde originele 'papieren' jaarrekeningen, in pdf, volgens een voorgeschreven richtlijn, naar een formaat van standaard jaarrekeningen (CSV bestand). +
==Objectdefinitie==
Betreft een coderingstechniek om informatie te beschermen vanuit het oogpunt van vertrouwelijkheid, authenticiteit, onweerlegbaarheid en authenticatie.
==Objecttoelichting==
Cryptografie is een techniek om informatie te beschermen vanuit het oogpunt van vertrouwelijkheid, authenticiteit, onweerlegbaarheid en authenticatie. Een solide cryptografiebeleid is daarbij een randvoorwaarde om de vertrouwelijkheid van informatie te kunnen garanderen. Met dit beleid geeft de organisatie aan op welke wijze het omgaat met voorzieningen, procedures en certificaten voor versleuteling van gegevens.
==Schaalgrootte==
Groot.
==Voor wie==
Klant. +
==Objectdefinitie==
Betreft een coderingstechniek om informatie te beschermen vanuit het oogpunt van vertrouwelijkheid, authenticiteit, onweerlegbaarheid en authenticatie.
==Objecttoelichting==
Encryptie is een techniek om informatie te beschermen vanuit het oogpunt van vertrouwelijkheid, authenticiteit, onweerlegbaarheid en authenticatie. Voor toegangsbeveiliging is het van cruciaal belang dat de geheime authenticatie-informatie, zoals wachtwoorden en pincodes, worden beschermd tijdens de verwerking, het transport en de opslag. Een solide encryptiebeleid is daarbij een randvoorwaarde om aan geheime authenticatie-informatie het gewenste vertrouwen te ontlenen. Met dit beleid geeft de organisatie aan op welke wijze het omgaat met voorzieningen, procedures en certificaten voor versleuteling van gegevens. +
==Objectdefinitie==
Betreft het resultaat van een besluitvorming over geldende afspraken gericht op de toepassing van cryptografie binnen netwerken en communicatieservices.
==Objecttoelichting==
In de [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002 2017]] worden voor communicatievoorzieningen de volgende principes expliciet genoemd:
* het, met inbegrip van methoden voor het beveiligen van de toegang op afstand, beschikbaar stellen van passende communicatievoorzieningen;
* tijdens hun gehele levenscyclus dient beleid te worden ontwikkeld en geïmplementeerd ter bescherming van informatie en voor de bescherming, het gebruik en de levensduur van cryptografische beheersmaatregelen (zoals cryptosleutels). +
==Objectdefinitie==
Betreft IT-services voor de versleuteling van het netwerkverkeer, die op meerdere lagen van het Open Systems Interconnection (OSI)-model kunnen voorkomen.
==Objecttoelichting==
Cryptografische services van communicatievoorzieningen zijn beheersmaatregelen ter bescherming van de integriteit en vertrouwelijkheid van gegevens. Cryptografie wordt behalve voor de versleuteling van informatie (zonering) ook gebruikt voor de authenticatie en autorisatie van gegevens en netwerkconnecties. Cryptografische services voor de communicatie met partners en burgers maken gebruik van Public-Key-Infrastructure (PKI)-middelen, zoals de aan certificaten gebonden private en publieke sleutels.
De [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002 2017]] normeert het beleid voor cryptografie en sleutelbeheer. De ‘pas-toe-en-leg-uit’-lijst van het [[Forum Standaardisatie|Forum Standaardisatie]] benoemt passende beheersmaatregelen. +
==Objectdefinitie==
Omvat technische functies voor het versleutelen en ontsleutelen van data, het maken van elektronische handtekeningen en het kunnen toepassen van versterkte authenticatie.
==Objecttoelichting==
De technische functies voor versleuteling en ontsleuteling van data, elektronische handtekening en versterkte authenticatie, al dan niet via Public-Key-Infrastructure (PKI)-technologie. Sleutelbeheer is een onderdeel van cryptoservices. Desgewenst kan de Cloud Service Consumer (CSC) in haar Programma van Eisen (PvE), de crypto-eisen van het [[AIVD (Algemene Inlichtingen- en Veiligheidsdienst)#Businessunit Nationaal Bureau Verbindingsbeveiliging (NBV)|Nationaal Bureau Verbindingsbeveiliging (NBV)]] specificeren.
NB: Er volgt een object ‘Cryptobeleid’ waarin beleidsmaatregelen over cryptoservices is opgenomen AP WTJV. +
De Cyber Resilience Act (CRA) is een voorstel voor een verordening betreffende beveiligingsvereisten voor producten met digitale elementen en moet zorgen voor meer veilige hard- en softwareproducten. +
Het Cybersecurity Framework (CSF) Version 1.1 van de [[NIST (National Institute of Standards and Technology)|NIST]] bestaat uit een vijftal documenten:
# Letter to Stakeholders
# Framework V1.1 (PDF)
# Framework V1.1 (PDF) with markup
# Framework V1.1 Core (Excel)
# Framework V1.1 Downloadable Presentation
Het CSF is bedoeld voor de verbetering van de cyberbeveiliging van kritieke infrastructuur (kader). Te midden van andere verfijningen en verbeteringen, biedt het document een meer uitgebreide
behandeling van identiteitsbeheer en aanvullende beschrijving van het beheer van de toeleveringsketen
cyberbeveiliging.
Versie 1.1 van april 2018 vervangt het Cybersecurity Framework Version 1.0 van februari 2014. +
Wet beveiliging netwerk- en informatiesystemen (cybersecuritywet). +
Een proces met een vast en regelmatig terugkerend patroon. +
D
DHCP maakt het mogelijk om automatisch netwerkadressen toe te wijzen aan hosts en maakt het bijvoorbeeld ook mogelijk om de netwerkadressen van DNS server mee te sturen.
Het DHCP protocol specificeert een framework dat het mogelijk maakt om configuratie-informatie door te sturen naar hosts op een TCP/IP netwerk. +
Eind november 2018 was er geen (actuele) beleidsvisie op de wenselijkheid van eenmalig inloggen. DigiD eenmalig inloggen wordt op dit moment ook niet (meer) actief gestimuleerd bij dienstaanbieders en onder de aandacht gebracht bij gebruikers.<br>
Maar ondertussen is daar vanuit GO een Generieke Functie voor beschreven: [[Faciliteren van eenmalig inloggen]] +
DKIM (DomainKeys Identified Mail Signatures) koppelt een e-mail aan een domeinnaam met behulp van een digitale handtekening. Het stelt de ontvanger in staat om te bepalen welke domeinnaam (en daarmee welke achterliggende organisatie) verantwoordelijk is voor het zenden van de e-mail. Daardoor kunnen spam- en phishing-mails beter worden gefilterd. +
DNS is kwetsbaar waardoor een kwaadwillende een domeinnaam kan koppelen aan een ander IP-adres ("DNS spoofing"). Gebruikers kunnen hierdoor bijvoorbeeld worden misleid naar een frauduleuze website. Domain Name System Security Extensions (DNSSEC) lost dit op.
DNSSEC is een cryptografische beveiliging die een digitale handtekening toevoegt aan DNS-informatie. Op die manier wordt de integriteit van deze DNS-informatie beschermd. Aan de hand van de digitale handtekening kan een internetgebruiker (onderwater en volledig automatisch m.b.v. speciale software) controleren of een gegeven DNS-antwoord authentiek is en afkomstig is van de juiste bron. Zodoende is met grote waarschijnlijkheid vast te stellen dat het antwoord onderweg niet is gemanipuleerd. +
Het gegevenswoordenboek van DUO vormt sinds 2008 de semantische kern van wettelijke uitvoeringstaken in het onderwijs. Registraties en uitwisselingen tussen DUO, onderwijsinstellingen en andere uitvoeringsorganisaties kunnen worden geduid aan de hand van dit gegevenswoordenboek. Hergebruik is de regel. Modellen voor registraties en uitwisselingen kunnen gebruik maken van dezelfde elementen uit het gegevenswoordenboek. Het gegevenswoordenboek van DUO is gepubliceerd als linked data api. +
DUTO is een raamwerk waarmee overheidsorganisaties kunnen bepalen welke passende maatregelen ze moeten nemen voor de duurzame toegankelijkheid van hun informatie. DUTO is een norm die is bedoeld voor alle informatieprofessionals die betrokken zijn bij het ontwerpen, kopen, bouwen, inrichten en/of aanpassen van informatiesystemen. +
De Data Act (Dataverordening) regelt eerlijke toegang tot en eerlijk gebruik van gegevens. +
Data bieden enorme kansen. Tegelijkertijd roept het gebruik van data nieuwe vragen op. Deze Data Agenda Overheid gaat over datagebruik in de samenleving en maakt werk van goed en verantwoord datagebruik door de overheid. +
De Data Governance Act (DGA, wet inzake datagovernance) beoogt het vertrouwen in de gegevensuitwisseling te vergroten, mechanismen te versterken om de beschikbaarheid van gegevens te vergroten en technische belemmeringen voor het hergebruik van gegevens uit de weg te ruimen. +
Integratiefuncties van middleware maken het mogelijk om berichten uit brondata samen te stellen en deze berichten met verschillende doelsystemen binnen de eigen organisatie of met andere organisaties uit te wisselen. Daarbij kunnen berichten met middlewarefuncties worden geaggregeerd en getransformeerd tot nieuwe data, bijvoorbeeld als input voor basisregistraties. Belangrijk is dat organisaties zich bewust zijn van deze mogelijkheden voor dataverwerking en daar beleid over formaliseren. Als brondata persoonsgebonden informatie bevat, dan is speciale aandacht voor privacy (waaronder de AVG-bepalingen) noodzakelijk. +
Een dienst die specifiek is gericht op het uitwisselen van gegevens. +
BVEB wil een partij contracteren voor het ontwikkelen, implementeren, beheren, onderhouden en doorontwikkelen van een datadistributiesysteem. +
==Objectdefinitie==
Betreft het herstellen van data na een technische uitval of de vernietiging van opslagsystemen.
==Objecttoelichting==
Tijdens de normale bedrijfsvoering kunnen (opslag)systemen uitvallen en de opgeslagen data kan verminkt worden door een defect of door andere oorzaken. Daarvoor dient een betrouwbare storage-architectuur inherente mogelijkheden te bieden voor herstel van de data. Een bekende methode is back-up en herstel.
Bij grote informatiesystemen is de traditionele back-up en herstel vaak niet meer toepasbaar en wordt de data van uitgevallen elementen hersteld, gebruikmakend van andere methoden zoals mirroring, Redundant Array of Independent Disks (RAID), Journaling-technologie of combinaties daarvan.
Wanneer opslagsystemen uitvallen als gevolg van calamiteiten, waarbij de normale bedrijfsvoering van de leverancier niet meer mogelijk is, zijn zogenaamde Disaster Recovery (DR) methodieken nodig en andere maatregelen, bestuurd vanuit bedrijfscontinuïteitsmanagement. Ook uitwijkscenario’s zijn toegepaste oplossingen voor herstel van data en bedrijfsprocessen nadat een calamiteit is opgetreden.
Bij de uitwijk-oplossing worden systemen en hun dataopslag op een alternatieve fysieke locatie hersteld. Voor bedrijfscontinuïteit hanteren we in de BIO-thema’s de eisen en begrippen zoals die genormeerd zijn in ISO 22301 2019 Security and resilience. +
Gegevenswoordenboek over alle gebouwde objecten. Allereerst wordt een toelichting gegeven op de gebruikte terminologie bij de gegevensspecificaties. Vervolgens wordt het gebouwde object gedefinieerd waarop de DataLand-gegevens betrekking hebben. Daarna wordt elk DataLand-gegeven gespecificeerd. Kenmerkend daarvoor is dat DataLand per gegeven, uitzonderingen daargelaten, een voorkeur-specificatie kent en tevens één of meer alternatieve specificaties onderkent. +
==Objectdefinitie==
Betreft het beschermen van de vertrouwelijkheid en integriteit van (Cloud Service Consumer) CSC-data.
==Objecttoelichting==
Data ‘op transport’ zijn bedrijfsgegevens die via de clouddienst, met de Cloud Service Provider (CSP) worden uitgewisseld. Data ‘in verwerking’ betreft gegevens die worden bewerkt. Data ‘in rust’ betreft gegevens die voor korte of langere tijd zijn opgeslagen (bij de CSP). Aan deze drie situaties stelt de overheid strenge eisen.
Voor het toepassen van publieke clouddiensten geldt voor de Rijkdiensten dat een Secretaris Generaal vooraf toestemming verleent voor het in de publieke cloud verwerken van Basis BeveiligingsNiveau (BBN) 2-gerubriceerde informatie. Deze eis geldt ook voor persoonsgegevens. +
==Objectdefinitie==
Omvat het bewaren en gecontroleerd wissen of vernietigen van Cloud Service Consumer (CSC)-data.
==Objecttoelichting==
Dataretentie betreft het duurzaam en technologieonafhankelijk opslaan en archiveren van data, waarbij de integriteit en leesbaarheid van de data gedurende de gehele bewaartijd niet wordt aangetast. (Persoons)gegevens moeten zodra ze niet meer benodigd zijn of aan het eind van de bewaartermijn worden gewist of vernietigd. Na de bewaarperiode moet de data teruggaan naar de CSC, naar een andere door de CSC te bepalen Cloud Service Provider (CSP) of te worden gewist/vernietigd. +
==Objectdefinitie==
Betreft het duurzaam isoleren van Cloud Service Consumer (CSC)-data van andere CSC’s.
==Objecttoelichting==
Het isoleren van de data (in bewerking of in rust) van de CSC, van alle data van de Cloud Service Provider (CSP) en van de data van andere CSC’s. Duurzame scheiding van CSC-data en van de data van andere bedrijven (secure multi-tenancy), zowel tijdens transport, in bewerking als opslag, is randvoorwaardelijk voor het afnemen van veilige clouddiensten. +
Webservice voor het opvragen van gegevens betreffende de inschrijving van de onderneming, waaronder rechtspersoon, maatschappelijke activiteit, handelsnamen, vestigingen en functionarissen. Twee versies: ‘Inschrijving’ en ‘Inschrijving In het kort’, de laatste bevat een kleinere gegevensset (onder meer geen functionarissen, geen vestigingen).
* [http://www.kvk.nl/producten-bestellen/handelsregister-dataservice/dataservice-inschrijving/ KvK productpagina Dataservice Inschrijving]
* [http://www.kvk.nl/producten-bestellen/handelsregister-dataservice/dataservice-inschrijving-in-het-kort/ KvK productpagina Dataservice Inschrijving In het kort] +
Webservice voor het opvragen van vestigingsgegevens. Twee versies, ‘Vestiging’ en ‘Vestiging in het kort’, de laatste bevat een kleinere gegevensset.
* [http://www.kvk.nl/producten-bestellen/handelsregister-dataservice/dataservice-vestiging/ KvK productpagina Dataservice Vestiging]
* [http://www.kvk.nl/producten-bestellen/handelsregister-dataservice/dataservice-vestiging-in-het-kort/ KvK productpagina Dataservice Vestiging In het Kort] +
De mate waarin objecten waarvan het bestaan bekend is aanwezig zijn. +
De standaard definieert een methode voor het weergeven van de datum en de tijd. De ISO 8601:2004 standaard is van toepassing wanneer data volgens de Gregoriaanse kalender wordt weergegeven, tijden in de het 24-uurs systeem en bij tijdsintervallen, of herhalende tijdsintervallen. Deze ISO standaard zegt niets over data en tijden waarbij woorden worden gebruikt in de representatie en het zegt tevens niets over data en tijden indien bij de representatie geen karakters worden gebruikt. +
De API wordt volwassen - 4 maart Kennisplatform API +
De Monitor Open Standaardenbeleid 2017 als herbruikbare data in NORA ontsloten +
De Nederlandse Loonaangifteketen wint de ASAP Individual Alliance Excellence Award 2017 +
De Ondersteuningsaanpak Zaakgericht Werken die VNG Realisatie in het kader van Agenda 2020 ontwikkeld heeft is op 9 februari live gegaan +
De Ondersteuningsaanpak Zaakgericht Werken die VNG Realisatie in het kader van Agenda 2020 ontwikkeld heeft is op 9 februari live gegaan +
De Privacy Baseline is een product van het [[Centrum Informatiebeveiliging en Privacybescherming (CIP)]] en een onderdeel van de documentenreeks [[De_Privacy_Baseline/Aanvullende_informatie#Grip op privacy|'Grip op privacy']]. De Privacy Baseline is het kerndocument in de reeks 'Grip op Privacy'. De baseline vertaalt de [[AVG (Algemene Verordening Gegevensbescherming)|Algemene Verordening Gegevensbescherming (AVG)]] in 13 rubrieken naar praktische aanwijzingen.
Het doel van deze documentenreeks is praktische handvatten bieden aan organisaties die privacy in beleid en uitvoering controleerbaar willen implementeren en borgen en - indirect - compliancy met de AVG.
Dit [[normenkader]] heeft betrekking op het onderwerp [[Privacy]] en bestaat uit [[privacyprincipes]], onderliggende [[normen]] en begeleidende teksten. Deze wiki-versie is gebaseerd op en bedoeld als opvolger van versie 3.2; de overeenkomstige 'traditionele' publicatie vind je hier: [https://cip-overheid.nl/productcategorie%C3%ABn-en-worshops/producten/privacy-bescherming/#privacy-baseline Privacy Baseline versie 3.3].
===De Privacy Baseline en ISOR===
Voor de Privacy Baseline zijn de privacyprincipes uit de wet [[Algemene Verordening Gegevensbescherming (AVG)|AVG]] gefilterd en vertaald naar normen die gehaald moeten worden om aan de wet te voldoen. Zo komt de Baseline aan het karakter van een ''normenkader'' van het type dat doorgaans gebruikt wordt voor Informatiebeveiliging. Omdat het normenkader tevens is gevormd naar de uitgangspunten van de [[SIVA-methode]], is ervoor gekozen de Privacy Baseline ook in de [[ISOR]] te plaatsen, zoveel mogelijk in hetzelfde format als de normenkaders voor Informatiebeveiliging. Dat gaat aan de oppervlakte goed, maar er is een verschil in ontstaansgeschiedenis en dat betreft de indeling van de principes en onderliggende normen in [[Alle invalshoeken|Invalshoeken]]. Dit is een belangrijk kernonderdeel van de SIVA-methode, voorafgaand aan het opstellen van de principes en normen, om lacunes in de objectenanalyse te ontdekken.<br>Het onderwerp van de Privacy Baseline is echter niet Privacy, maar de Privacy''wetgeving''. De pretentie van de Privacy Baseline niet om de wet op volledigheid en consistentie te toetsen, doch om de gebruiker een handzame en geannoteerde set van toetsbare criteria mee te geven die hem helpen zich aan de wet te houden. In de Privacy Baseline zal daarom bij invalshoek 'Onbekend' staan.
===De aspecten B, U en C binnen de Privacy Baseline===
De aspecten B, U en C clusteren respectievelijk de principes, criteria en normen voor het Beleidsdomein, het Uitvoeringsdomein en het Control- of Beheerdomein.
: → [[ISOR:Privacy Beleid|Het beleidsdomein]]
: → [[ISOR:Privacy Uitvoering|Het uitvoeringsdomein]]
: → [[ISOR:Privacy Control|Het control- of beheerdomein]]
Via deze startpagina's kom je gemakkelijk bij de desbetreffende principes en normen door naar beneden te scrollen.
De identiteit van een subject is niet uniek. Van één bepaald subject zijn vaak meerdere identiteiten binnen een organisatie geregistreerd. +
De lanceringsbijeenkomst voor de DERA 2.0 was een groot succes +
De monitor open standaardenbeleid 2016 verwerkt in NORA-wiki +
Wie een huis wil bouwen, krijgt te maken met verschillende vergunningen en voorschriften. Het gaat om regelingen voor wonen, ruimte en milieu met elk hun eigen criteria en procedures. De vergunningen worden verstrekt door verschillende overheidsinstanties. Dit is voor burgers, bedrijven én de overheid onoverzichtelijk, tijdrovend en kostbaar. Het kan bovendien leiden tot tegenstrijdige beslissingen.
Om in deze situatie verbetering te brengen, regelt de Wet algemene bepalingen omgevingsrecht (Wabo) de bundeling van verschillende vergunningen tot één omgevingsvergunning. Gemeenten fungeren hiervoor als loket. Achter dit loket worden de (deel)aspecten nog steeds beoordeeld door verschillende overheidsorganisaties, maar zij stemmen hun activiteiten af om tot één besluit te komen. +
Het Netherlands Space Office koopt sinds 2012 namens de Nederlandse overheid satellietdata in en stelt deze data gratis beschikbaar aan Nederlandse geregistreerde gebruikers via het Satellietdataportaal. De werkzaamheden binnen deze opdracht omvatten het beschikbaar stellen van de satellietdata via een viewer met download-functie, Restful API, API via OGC-standaarden en via een FTP-toegang tot de fileserver. Het portaal moet gebruiksvriendelijk zijn voor zowel professionele gebruikers als het algemene publiek. Naast satellietdata zullen ook informatieproducten getoond gaan worden in het nieuwe portaal. +
De referentiearchitectuur Regie op Gegevens gaat van 25 april t/m 1 juni in openbare review via noraonline. +
De referentiearchitectuur Regie op Gegevens gaat van 25 april t/m 1 juni in openbare review via noraonline. +
[[Afbeelding:Presentatie Martin en Roland NORA Gebruikersdag 19 november 2019 (2).jpg|thumb|right|350px|De rol van de architect in rijksbrede samenwerking en tactisch beheer van architectuur|alt=Presentatie in vergaderzaal over het onderwerp De rol van de architect in rijksbrede samenwerking en tactisch beheer van architectuur”|link=De rpl van de architect in rijksbrede samenwerking en tactisch beheer van architectuur]]
Roland Drijver trapte de sessie af met een verhaal over Rijkswaterstaat en hun manier van werken. In rap tempo kwamen een heleboel aspecten aan bod, van anekdotes over kennisdeling met leveranciers tot de manier waarop zij inzetten op het opbouwen van de 'capabilities' van hun medewerkers. Martin Lemmen vult Roland aan en tekent ter plekke het verantwoordingsmodel op een flipover. Een aantal onderwerpen dat aan bod kwam:
* We maken in de verschillende overheidsorganisaties gebruik van andere termen, modellen et cetera. Dat levert extra drempels op bij samenwerking: wie gewend is aan een Business Transformatie Plan en praat met iemand die normaal werkt met een Business Information Plan heeft last van een spraakverwarring, terwijl de inhoud behoorlijk overlapt.
* Samenwerken is ook herkennen dat er verschillende types mensen zijn, waarbij je eigen inborst effect heeft op de manier waarop je tegen iets aankijkt: Angstige mensen zien risico's, dappere mensen zien kansen, nauwkeurige mensen kijken naar de details enzovoorts.
* Het nadeel van de gedachte dat we als medewerkers zelf een hoop kunnen doen en regelen, is dat 9 van de 10 mensen die data verwerkt een 'toerist' is en geen professional als het gaat om informatiemanagement. 14 informatiemanagers zijn niet genoeg om te zorgen dat data vindbaar en herbruikbaar zijn en de business case is duidelijk voor wie er een beetje verstand van heeft. Maar is het ook duidelijk voor de mensen die er over gaan?
[[Afbeelding:impressie sessie Rijkswaterstaat 19-11-2019.jpg|thumb|500px|none|Impressie van de sessie|alt=Getekende impressie van de sessie, waarop te zien: Titel Rijkswaterstaat. Brug met daaronder: Beheer p.jaar 0,9 % v.d. nieuwwaarde. Snelweg met daarnaast een baan vol nulletjes en eentjes. Op de snelweg twee paarse tekstwolkjes met een pijl van de eerste naar de tweede: Data? 'Zelf doen.' Pijl, Hoeveel is herbruikbaarheid & vindbaar waard? Blauwe pijl naar de tekst Professionals. Hiernaast een kader dat verbonden is met de databaan van de snelweg: Tien poppetjes, waarvan 9 paars en 1 blauw. Bij het blauwe poppetje staat 14 informatiemanagers. Onder de poppetjes de tekst: 9 van de 10 mensen die met data bezig zijn doen dat als 'toerist.' Rechts op de pagina in blauw de tekst Verantwoordingsmodel. Pijl naar tekst: Effect van sturing helder. Hieronder zijn twee modellen van sturing aangeduid, van Colporterend naar Recursief: Colporterend wordt uitgeduid met een afbeelding van een poppetje met paars-blauw gestippelde tekstwolk Mwa? en daarbij quote 'hangend het seizoen bepalen afdelingshoofden of ze er wel/niet van zijn.' Recursief wordt uitgebeeld met een hiërarchisch geschikte groep mensen die elk ofwel ja ofwel nee zeggen, met de uitleg: opdracht belegd bij personen op elke organisatielaag. Vanaf de snelweg komt een gekromde lijn met de tekst Levenslang Leren. Op deze boog staat een stoet met voertuigen, die steeds complexer worden: van step tot tractor en wegenbouw-wals. De laatste drie voertuigen hebben paarse wolkjes met data als uitlaatgas en/of een antenne met radiogolven. Onder de stoet staat de tekst Medewerkers opbouwen.]]
: → [[media:Presentatie De rol van de architect in rijksbrede samenwerking en tactisch beheer van architectuur.pdf| Presentatie (PDF, 2,09 MB)]]
De tweede druk van Ketens de Baas is nu ook te downloaden als pdf of EPUB +
Voorziening die onderdeel is van een landelijk stelsel (met afspraken, standaarden en voorzieningen) en waar meerdere (decentrale) voorkomens van zijn. Al deze decentrale voorkomens voldoen aan de landelijke afspraken en standaarden van het stelsel. +
Deelname DADD 2023 NORA Familie +
<br>
==Presentatie en sfeerimpressie==
Een behoorlijk groepje deelnemers volgde Tom Peelen in zijn duik de diepte van de [[Gemeenschappelijke Overheidsarchitectuur GDI (introductie en overzicht)]] in. Naast de [[media:Presentatie Deepdive GO.pdf|presentatie (PDF, 3,12 MB)]] die Tom gaf zijn ook de resultaten van de Mentimeter-uitvraag beschikbaar.
NB: De presentatie zoals die nu is gepubliceerd voldoet (nog) niet aan onze [[Documenten op noraonline en toegankelijkheid|toegankelijkheidseisen]] voor documenten. Ondervind je hier hinder van, neem dan even contact op via [mailto:nora@ictu.nl?subject=toegankelijke%20versie%20presentaties%20GO&cc=tom.peelen@rijksoverheid.nl nora@ictu.nl], dan zoeken we alsnog een oplossing.
==GO: architectuur voor de GDI van de toekomst==
Dit is een vervolg op de voorgaande sessie: [[Gemeenschappelijke Overheidsarchitectuur GDI (introductie en overzicht)]].
Heeft de toekomstige digitale overheid voorzieningen zoals [[DigiD]], [[MijnOverheid]], [[Digipoort]] en gegevensuitwisseling met [[basisregistraties]] nodig? De [[Gemeenschappelijke Overheidsarchitectuur (GO)]] is het bestemmingsplan van de GDI dat hier antwoord op geeft.
In deze interactieve sessie leer je wat de architectuurvisie van GO is en welke afspraken, standaarden en voorzieningen er nodig zijn om die te realiseren. Ook leer je hoe NORA en GO samenhangen en welke veranderingen hieruit zijn voortgekomen voor het kennismodel van NORA. Gezamenlijk bespreken we hoe GO bruikbaar is voor jouw organisatie en wat we leren van de manier waarop architecten en bestuurders samenwerken aan GO.
Wil je meer weten over het doel, scope en governance van GO volg dan vooral ook de voorafgaande sessie [[Gemeenschappelijke Overheidsarchitectuur GDI (introductie en overzicht)]]. Daar krijg je ook een globaal overzicht van GO dat we in deze sessie verder verdiepen.
==Vorm==
Presentatie en discussie in Webex, aangevuld met het ophalen van reacties via Mentimeter. +
Het begrip 'Informatiecatalogus' sec wordt nauwelijks gebruikt: wat is een 'informatiecatalogus' exact en waarin dit verschilt van een gegevenswoordenboek, metadata rond gebruik en een dienstbeschrijving moet nader gepreciseerd worden. Of zijn het dezelfde soort dingen? +
Ook wel genoemd de NEN 3610 conceptenbibliotheek. Hier vindt u definities van concepten die gebruikt worden in [[NEN 3610]] informatiemodellen. Op dit moment zijn dit IMGeo, NEN3610 en IMRO beheerd door Geonovum en IMBRT beheerd door het Kadaster. +
Definiëren van toegangsrechten is een moeizaam en langdurig proces. +
Een afgebakende prestatie van een persoon of organisatie (de dienstverlener), die voorziet in een behoefte van haar omgeving (de dienstafnemer(s)). +
De persoon of organisatie die een dienst in ontvangst neemt. +
==Beschrijving==
Dienstverleners moeten in staat zijn gesteld om hun (versies van) diensten te publiceren, zodat bij het creëren van een vertegenwoordigingsbevoegdheid aangegeven kan worden op welke (versie van welke) diensten de vertegenwoordigingsbevoegdheid van toepassing is, voor vertegenwoordigingsbevoegdheden waarvoor dat noodzakelijk is.
==Voorbeelden==
==Rationale==
Het moet mogelijk zijn om aan te geven voor welke specifieke diensten de vertegenwoordigingsbevoegdheid geldt. De verstrekker moet daarvoor de diensten kunnen vermelden in de vertegenwoordigingsbevoegdheid.
We hebben ervoor gekozen om dit als een generieke functie op te nemen, omdat het kunnen aangeven voor welke handelingen een vertegenwoordigingsbevoegdheid geldt een essentieel onderdeel van machtigen is.
Een verdere rationale voor deze generieke functie en de implicaties die hieruit voortkomen is te vinden in:
* Algemene kenmerken van machtigen (hoofdstuk 3),
* Wettelijk kader C.
==Implicaties==
# De dienstverlener kan diensten beschrijven.
# De dienstverlener kan zijn dienstbeschrijvingen beschikbaar maken voor het creëren van vertegenwoordigingsbevoegdheden.
==Documentatie==
* [[media:GO_Machtigen_en_vertegenwoordigen.pdf|GO Machtigen en vertegenwoordigen (PDF, 642 kB)]]
==Kaders==
Deze kaders zijn bepalend voor deze generieke functie.
* [[Algemene_Wet_Bestuursrecht | Algemene Wet Bestuursrecht]]
* [https://www.digitaleoverheid.nl/dossiers/wet-digitale-overheid/ Wet digitale overheid]
==Toelichting relaties==
De bestaande GDI-voorzieningen die hieronder zijn opgenomen onder ‘Gerealiseerd door' realiseren delen van de generieke functies van het GO-domein. Deze bestaande voorzieningen kunnen afwijken van de keuzes die voor het GO-domein zijn gemaakt. +
De overheid levert een dienst volgens de daarbij gemaakte afspraken.
Over welke diensten dit gaat en hoe die zijn beschreven, is reeds bepaald in het dienstenaanbod van de overheid, zie [[Bieden van een overzicht van de diensten van de overheid]].
Nationaal zijn afspraken gemaakt over die dienstlevering, zie NORA AP30 [[Verantwoording dienstlevering mogelijk]].
De bedrijfsvoering -werkwijzen en voorzieningen- van de betrokken (overheids)organisatie(s) moeten daarom zodanig zijn ingericht dat de dienst volgens de afspraken kan worden geleverd en die inrichting en afspraken moeten bij de uitvoering (de dienstlevering) worden gevolgd voor rechtmatigheids- en doelmatigheidseisen.
De betrokken overheidsorganisatie let daarbij op 4 specifieke punten:
# Het bieden van ondersteuning, zeker in het geval dat een burger moeite met digitalisering of andere zaken heeft;
# Het herstellen van eventuele fouten in de geleverde dienst, zie ook [[Bieden van correctiemogelijkheden]];
# Het aanpassen van de bedrijfsvoering zodra wijzigingen in het ontwerp van een dienst worden aangebracht, zie ook [[(Her)ontwerpen van een dienst]];
# Het evalueren van de naleving van de uitvoeringsafspraken, zie ook [[Sturen op (verbetering van) de_kwaliteit van dienstverlening]].
In wet- en regelgeving is voor diverse diensten geregeld dat een betrokken burger of bedrijf de dienst moet aanvragen bij de overheid. Daarmee wordt onder meer voorkomen dat de overheid continu zou moeten nagaan of iemand behoefte heeft aan of recht heeft op een dienst (hetgeen natuurlijk niet efficiënt is en ook niet ten goede zou komen van de privacy van de betrokkenen).
Maar, er zijn ook gevallen waarin de overheid wel proactief zelf diensten kan aanbieden aan burgers en bedrijven. Bijvoorbeeld omdat de combinatie met een andere dienst handig is, zoals bij een werkloosheidsuitkering ook de toeleiding naar werk starten of het volgen van een opleiding of het starten als een zelfstandige.
Zeker in het kader van Toezicht, Inspectie, Opsporing en Handhaving zal de overheid proactief haar dienstverlening uitvoeren. Dat soort dienstverlening is immers vooral gericht op de collectieve belangen en hoeft dus niet door een individuele burger aangevraagd te worden.
Regels ter uitvoering van de Dienstenwet m.b.t. het centraal loket +
Een elektronisch bevraagbare catalogus die de gestructureerde verzameling van alle diensten, inclusief de onderverdeling in subdiensten en eventuele samengestelde diensten bevat. +
Implementatie van EU-regeling m.b.t. het verkeer van diensten op de interne markt. +
De persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers). +
In dit position paper geeft VNG aan wat de belangrijkste principes zijn en hoe die de komende jaren als richtlijn dienen in beïnvloeding van (inter)nationale regelgeving en het verder ontwikkelen van passende dienstverlening die mensgericht, regelarm, duidelijk en snel & zeker is. +
Een voorziening waarmee overheidsorganisaties en publieke dienstverleners online de identiteit van burgers kunnen vaststellen. +
Een voorziening waarmee een burger een andere burger kan machtigen om namens hem zaken met de overheid te regelen. +
DigiInkoop (voorheen Elektronisch Bestellen en Factureren (EBF)) is de nieuwe digitale voorziening voor de Rijksdienst en haar leveranciers om het inkoopproces efficiënter, doelmatiger, rechtmatiger en makkelijker te maken. In 2012 en 2013 wordt DigiInkoop gefaseerd ingevoerd bij de ministeries en agentschappen. DigiInkoop bestaat uit een berichtenverkeervoorziening (BVV via [[Digipoort]]) en een e-purchasingvoorziening (EPV). +
Koppelvlakstandaarden voor veilige en betrouwbare digitale berichten uitwisseling tussen overheidsorganisaties (het gaat over de “enveloppe”, niet de inhoud). +
Digikoppeling bestaat uit een set standaarden voor elektronisch berichtenverkeer tussen overheidsorganisaties.
Digikoppeling onderkent twee hoofdvormen van berichtenverkeer:
* Bevragingen; een vraag waar direct een reactie op wordt verwacht. Hierbij is snelheid van afleveren belangrijk. Als een service niet beschikbaar is, dan hoeft de vraag niet opnieuw worden aangeboden.
* Meldingen; men levert een bericht en pas (veel) later komt eventueel een reactie terug. In dat geval is snelheid van afleveren minder belangrijk. Als een partij even niet beschikbaar is om het bericht aan te nemen, dan is het juist wel gewenst dat het bericht nogmaals wordt aangeboden.
Aan versie 2.0 van Digikoppeling is o.a. de specifiactie voor grote berichten toegevoegd, de mogelijkheid om attachments toe te voegen en om security op berichtniveau toe te passen. Digikoppeling versie 2 en later zijn backward compatible met versie 1.
In 2018 is besloten om geen versienummering meer te gebruiken voor Digikoppeling. De meest actuele versie is nu altijd de verzameling van gepubliceerde documenten. Zo is in 2018 de DK Architectuur naar versie 1.5.1 gegaan terwijl de Koppelvlakstandaard WUS op 3.5 is gebleven. +
Een voorziening waarmee overheidsorganisaties zich kunnen abonneren voor het digitaal verkrijgen van (gewijzigde) gegevens uit Basisregistraties indien bepaalde gebeurtenissen plaatsvinden die voor hun taken relevant zijn. +
Een voorziening waarmee overheidsorganisaties bij de bronhouder(s) kunnen melden dat zij een vermoeden hebben van onjuiste gegeven in de betreffende Basisregistratie(s).
Digimelding bestaat uit 2 onderdelen: [[Digimelding BLT]] en [[Digimelding AS|Digimelding Annotatiespecificatie]] +
Een voorziening voor het laagdrempelig terugmelden door afnemers.
Door één terugmeldvoorziening te ontwikkelen wordt voorkomen dat iedere basisregistratie
deze voorziening apart moet ontwikkelen. Ook hoeft een afnemer niet aan iedere
basisregistratie op een afwijkende manier terug te melden. +
De Digimelding Annotatie Specificatie (Digimelding AS) en de Digimelding Protocol Specificatie (DMPS) zijn specificaties voor het uitwisselen van terugmeldingen. +
Een voorziening waarmee overheidsorganisaties een veilige en betrouwbare digitale verbinding met elkaar kunnen realiseren via besloten netwerken.<br>
Het is gebaseerd op een afsprakenstelsel over connectiviteit, beschikbaarheid, beveiliging en het gebruik van standaarden waardoor iedere aangesloten organisatie kan communiceren met elke andere aangesloten organisatie. +
Een voorziening waarmee bedrijven via 1 aanleverpunt (bulk)gegevens digitaal kunnen aanleveren bij de betreffende overheidsorganisatie(s). En ook andersom. +
==Beschrijving==
Digitaal kunnen transporteren van data tussen informatiesystemen van dienstverleners en informatiesystemen, portalen en applicaties gebruikt door burgers en bedrijven en tussen informatiesystemen van deze dienstverleners onderling.
==Voorbeelden==
Internet, besloten netwerken zoals Diginetwerk,Suwinet en Testa.
==Rationale==
Zie de rationale van de bovenliggende hoofdfunctie Infrastructuur – Kunnen veilig digitaal transporteren van data.
==Implicaties==
# Ondersteuning voor datatransport tussen informatiesystemen van dienstverleners en informatiesystemen, portalen en applicaties gebruikt door burgers en bedrijven, ook burgers en bedrijven buiten Nederland.
# Ondersteuning voor datatransport tussen informatiesystemen van dienstverleners onderling, ook van dienstverleners in andere Europese landen.
==Documentatie==
* [[media:GO Infrastructuur.pdf|GO Infrastructuur (PDF, 597 kB)]]
==Kaders==
Deze kaders zijn bepalend voor domein Infrastructuur.
* [https://www.digitaleoverheid.nl/dossiers/wet-digitale-overheid/ Wet digitale overheid]
* [[media:Beleidskader_digitale_basisinfrastructuur.pdf|Beleidskader digitale basisinfrastructuur (PDF, 34 kB)]]
* [[media:De WHY van de GDI - visual.pdf|Why van de GDI (PDF, 295 kB)]]
==Toelichting relaties==
De bestaande GDI-voorzieningen die hieronder zijn opgenomen onder ‘Gerealiseerd door' realiseren delen van de generieke functies van het GO-domein. Deze bestaande voorzieningen kunnen afwijken van de keuzes die voor het GO-domein zijn gemaakt. +
Een materiële en/of immateriële eenheid die persoonsidentificatiegegevens bevat en die gebruikt wordt voor authenticatie bij een online dienst. +
De Digital Markets Act (DMA, Verordening digitale markten) is de EU verordening om de markten in de digitale sector eerlijker en meer betwistbaar te maken. +
De Digital Services Act (DSA, Wet inzake digitale diensten) richt zich op verleners van digitale diensten. +
Uitgangspunten voor de inrichting van de publieke dienstverlening aan burgers en bedrijven en onderlinge samenwerking van overheidsorganisaties. +
Bestandslevering van de Geautomatiseerde Kadastrale Registratie. Voor bestaande afnemers mutaties af te nemen via downloadservice.
Product wordt uitgefaseerd per 1 januari 2017 en is beschikbaar als webservice en download via PDOK. +
De gemeente Rotterdam is op zoek naar een leverancier die software ter beschikking stelt waarmee meerdere nieuwsoverzichten (op verschillende onderwerpen / thema's / gebieden) kunnen worden opgezet en geredigeerd. De beoogde partij moet digitale content kunnen leveren uit voor de gemeente relevante bronnen en regelt de auteursrechten die daaraan zijn verbonden. +
Een verzameling van betrouwbare gegevens die een entiteit (persoon, organisatie, object of apparaat) representeren in het digitale domein. +
Mede op basis van historische gegevens bedraagt het te verwachten volume voor mobiele Digitale handhaving openbare ruimte circa € 130.000 exclusief BTW per jaar (dit is exclusief implementatie). +
Een identiteit die een digitale representatie is van een persoon. +
Webservice voor het opvragen van de kadastrale kaart binnen een zelf te specificeren uitsnede. Wordt geleverd door PDOK volgens WMS en WMTS standaard.
[https://www.pdok.nl/nl/producten/pdok-services/overzicht-urls/k Digitale Kadastrale Kaart op website PDOK] +
Waternet wil een planning&control systeem voor het digitaliseren van de P&C-producten/processen. Binnen deze P&C-tool werken zowel medewerkers van Waternet als bestuurders van AGV en de gemeente Amsterdam samen aan de realisatie van de P&C-producten. De workflow volledig ondersteund door de P&C-tool. +
De wettelijke afspraak om websites en mobiele apps toegankelijk te maken voor mensen met een functiebeperking (zoals dyslectici, kleurenblinden, slechtzienden en blinden), door de standaard EN 301 549 (WAGC 2.1) toe te passen en daar een toegankelijkheidsverklaring over te publiceren. +
Interactieve gegevensverstrekking en –aanlevering via onlineverbindingen +
[[Afbeelding:Discipl-xl-300x300.png|thumb|300px|right|alt=Logo van discipl, een rondje met daarin een netwerk van ovalen, waarvan een aantal gekleurd zijn in roze en licht of donkerblauw.]]Privacy-by-design, Self Sovereign Identity, Conformity-by-design, gerichtheid op de eindgebruiker én een betere maatschappij: Discipl wil het in de praktijk brengen. De eerste demo is gereed.
[[Afbeelding:Steven Discpl presentatie.jpg|thumb|300px|right|alt=Lange man met blauwe trui staat met telefoon in zijn hand voor een zaal te presenteren|link=https://www.noraonline.nl/wiki/Discipl_-_a_global_Society_Architecture]]
Wat als we gewoon opnieuw konden beginnen? Met de Grondwet, de Algemene Wet Bestuursrecht én de ‘needs’ (behoeften) van burgers en bedrijven als uitgangspunt. En dan kijken: hoe zouden we digitalisering met de huidige technische mogelijkheden kunnen invullen? Discipl beschrijft een visie op de toekomstige samenleving en de manier waarop we die digitaal kunnen ondersteunen. Discipl staat voor "geDIStribueerd Collaboratief Informatie PLatform", het is een innovatieproject binnen ICTU. Disicpl werkt toe naar een set van bouwblokken. “Blokken die in andere projecten niet lukken. Wij kijken niet per domein, maar naar maatschappij als geheel.” Discipl is zowel open source als open knowledge; alles wordt gedeeld.
===Demo===
De eerste concrete resultaten zijn er. Op deze gebruikersdag zien we alvast een demo van hoe SSI er in de Disicpl praktijk uit zou kunnen zien. Februari 2020 moet de oplossing in gebruik worden genomen door vier gemeenten, waaronder de gemeente Haarlemmermeer. Gort licht toe: “Ik kom aan het gemeente loket en laat mijn paspoort zien. De ambtenaar identificeert mij en typt mijn BSN-nummer over. Dan krijg ik een papiertje met een QR-code, waarmee de woningbouwcorporatie mijn gegevens kan scannen. Ik kan dat record ook in IRMA downloaden.”
===Needs centraal===
Centraal in Discipl staan de needs (behoeften) van burgers en bedrijven, vertelt Kaptijn. Die kunnen ze onderling invullen, en wellicht hebben ze volgens wetten recht op ondersteuning van de overheid. “Aan de ene kant automatiseren we transacties als gevolg van wetten, en tegelijkertijd faciliteren we de dialoog om de wet aan te passen op basis van de needs.” Dat betekent een fundamenteel andere manier van denken uitgangspunt dan in het huidige systeem. Kaptijn licht toe: “We bewegen weg van de GDI - waar het technische aanbod centraal staat - naar een systeem waar je vanuit jouw eigen unieke ‘attributen’ je behoeften conform wet- en regelgeving kunt invullen.” Dat geeft veel meer ruimte voor mensen om hun eigen leven zo vorm te geven als ze willen, dan de huidige vorm, waar mensen soms niet in een hokje blijken te passen. Technisch gezien wordt het mogelijk te linken naar specifieke stukjes informatie voor een bepaald doel op een bepaald moment, vult Kaptijn aan. “Eigenlijk is het een heel specifieke link naar persoonlijke informatie of een stukje wetgeving; een vorm van linked data.” Dit gedachtengoed sluit goed aan op de API-strategie van de overheid.
===Pionieren===
Nederland is vol op aan het pionieren op dit gebied. We zij niet het enige land dat bezig is met dit type architectuur. Canada en de Scandinavische landen zijn ook ver. Er is internationaal veel interesse in deze ontwikkelingen. Ook uit Singapore waar Discipl gepresenteerd is op een fintech conferentie tijdens het Nederlandse werkbezoek onder leiding van minister Knops (#digimissie).
In de NORA wordt het gedachtegoed van Discipl uitgewerkt in een themapagina: [[Discipl]].
: → [[media:Discipl, a global society architecture.pdf|presentatie (PDF, 6,94 MB)]]
Electronic Records Management Software applications design criteria Standard DoD 5015.2-STD definieert functionele eisen voor recordsmanagement software en is goedgekeurd door het Nationale archief van de VS. De standaard is ontwikkeld en wordt onderhouden door het Amerikaanse ministerie van Defensie en wordt gebruikt door vele staten en lagere overheden in de VS. Onder de standaard functioneert een uitgebreid certificatieprogramma voor recordsmanagement software en vele (internationale) pakketten zijn inmiddels gecertificeerd. Van de standaard is ook een Nederlandse bewerkte vertaling beschikbaar. +
VGGM is op zoek naar een partij die een oplossing kan leveren ter ondersteuning van ons documentmanagement (DMS) volgens de Archiefwet en van onze werkprocessen. +
Beschrijving van de gewenste situatie in architectuur ("Soll"). Kan van toepassing zijn op een domein of organisatie en is de tegenhanger van de beschrijving van "gestolde" architectuur ("Ist"-situatie). +
Het uitgangspunt van doelbinding is, dat gegevens worden verwerkt en verzameld voor een welbepaald, uitdrukkelijk omschreven en gerechtvaardigde doel. 'Welbepaald en uitdrukkelijk omschreven' houdt in dat men geen gegevens mag verzamelen zonder een precieze doelomschrijving. Het doel moet zijn bepaald alvorens men tot verzamelen overgaat.
'Welbepaald' houdt in dat deze doelomschrijving duidelijk moet zijn, niet zo vaag of ruim dat zij tijdens het verzamelproces geen kader kan bieden waaraan getoetst kan worden of de gegevens nodig zijn voor dat doel of niet. Het doel mag ook niet in de loop van het verzamelproces geformuleerd worden. 'Uitdrukkelijk omschreven' houdt in dat de verantwoordelijke het doel waarvoor hij verwerkt moet hebben omschreven. +
Een inhoudelijk verwante verzameling van publieke dienstverlening. +
De mate waarin de inhoud van waarden consistent zijn met hun domein. +
Doorgifte kan plaatsvinden aan verwerker(s) en aan andere verwerkingsverantwoordelijke(n). Een verwerker verricht de verwerking namens een verwerkingsverantwoordelijke<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 28 lid 1</sup>.<br>
''NB: indien een verwerker in strijd met de Avg handelt, wordt die verwerker als verwerkingsverantwoordelijke beschouwd''<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 28 lid 10</sup>.<br>
Waar sprake is van meerdere verwerkingsverantwoordelijken, bepalen zij gezamenlijk de doelstellingen en middelen voor de verwerking en zijn zij gezamenlijke verwerkingsverantwoordelijken<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] art. 27 lid 1</sup>.<br>
Bij de doorgifte wordt onderscheid gemaakt tussen doorgifte binnen de EU, waar de AVG geldt, en doorgifte naar buiten de EU. Als doorgifte naar buiten de EU plaatsvindt, dan spreekt de AVG van doorgifte aan derde landen en internationale organisaties. +
==Objectdefinitie==
Betreft de toegang tot een computernetwerk waarbij de aangesloten apparaten via elektromagnetische straling communiceren.
==Objecttoelichting==
Draadloze toegang (wireless access), bedoeld voor mobiele communicatie, is niet expliciet genormeerd in de [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002 2017]]. De implementatiestandaard ISO 27033-6 2016 beschrijft de operationele maatregelen voor de relatief kwetsbare draadloze netwerken. +
Wereldwijde set algemene standaarden en richtlijnen voor metadatering van content op internet, ontwikkeld en beheerd door het Dublin Core Metadata Initiative. Het DCMI is een internationale open community van experts en geïnteresseerden in metadata. +
De mate waarin teksten voor de doelgroep begrijpelijk zijn geformuleerd. +
Overheidsdienstverlening levert zo min mogelijk belasting op het milieu en onze leefomgeving. Dit leidt tot lagere emissies, minder verbruik van grondstoffen, energie en een positieve bijdrage aan de leefomgeving. +
Overheidsdienstverlening en de hierbij behorende informatie is duurzaam toegankelijk, voor iedereen die daar belang bij heeft en voor zo lang als noodzakelijk.
Onder toegankelijk verstaan we dat overheidsinformatie vindbaar, beschikbaar, leesbaar, interpreteerbaar en betrouwbaar is.
Duurzaam betekent dat de toegankelijkheid bestand is tegen veranderingen van welke aard dan ook. Het gaat hier bijvoorbeeld over de toegankelijkheid van informatie over genomen besluiten, de herleidbaarheid naar de bronnen en overwegingen die hebben geleid tot deze besluitvorming, informatie over de dienstverlening van de overheid, wet- en regelgeving, rechten en plichten, correspondentie door en met de overheid en persoonlijke (zaak)gegevens.
Omdat dit een wezenlijk ander doel betreft dan is beschreven onder [[Duurzaam (Doel)]] en [[Toegankelijk (Doel)]], is Duurzaam Toegankelijk als apart Doel benoemd. +
Gemeente Venlo kondigt namens de 8 gemeenten in Noord-Limburg (RMO Noord-Limburg/ Trendsportal) een Europese aanbesteding aan voor het verduurzamen van zakelijke kilometers van haar medewerkers. De uitvraag betreft een pakket aan diensten waaronder: openbaar vervoer mogelijkheden, elektrische deelauto's en - fietsen plus de laadinfra, de applicaties om dit alles te bedienen, service en onderhoud. Kortom een compleet pakket wat ook wel Mobility as a Service wordt genoemd. +
E
NTA 2035 E-portfolio NL is een toepassingsprofiel voor studenten en werknemers bij Nederlandse organisaties, van de internationale IMS ePortfolio specificatie. Hiermee kunnen de competenties van een individu worden bijgehouden. Het voordeel van deze standaard is dat de student/lerende medewerker zijn profiel mee kan nemen naar verschillende organisaties. +
Een voorziening van de overheid waarmee facturen digitaal worden verzonden, ontvangen en verwerkt (in plaats van per brief en op papier). +
Schatkistbankieren is een dienst die wordt gebruikt door ministeries en agentschappen van het Rijk en instellingen die een wettelijke of publieke taak uitvoeren. Het ministerie wil een informatiesysteem aanbesteden dat het achterliggende proces van schatkistbankieren ondersteunt. De belangrijkste onderdelen van dat informatiesysteem zijn de schatkistadministratie, de procesondersteuning en de portalen voor de Deelnemers en de medewerkers die met het informatiesysteem werken. +
EAC is een datamodel in XML, voor de toepassing van ISAAR(CPF)en voorziet in een grammatica voor het coderen van de namen van de makers van archiefmateriaal en gerelateerde informatie. +
EAD is een datamodel in XML, voor de toepassing van ISAD(G), dat is ontwikkeld voor het maken, opslaan, publiceren, koppelen en uitwisselen van archiefbeschrijvingen. +
Begrippen gebruikt in de [[EAR (EnterpriseArchitectuur Rijksdienst)]]. +
Met de ECLI standaard kunnen:
#alle rechterlijke uitspraken in de Europese Unie (zowel van nationale als van Europese gerechten) worden voorzien van een gelijkaardige, unieke en persistente identifier. Deze identifier kan worden gebruikt voor identificatie en citatie van rechterlijke uitspraken en derhalve om deze te vinden in binnenlandse of, buitenlandse, Europese of internationale jurisprudentiedatabanken.
#alle rechterlijke uitspraken worden voorzien van uniforme metadata, gebaseerd op de Dublin Core standaard. Het zoeken van uitspraken in allerlei databanken worden daardoor gefaciliteerd. +
Het inhuren van een diensten tbv het E-HRM en de bijhorende salarisdienstverlening (middels SaaS). +
Een voorziening waarmee (medewerkers van) bedrijven zich veilig en betrouwbaar kunnen laten identificeren bij overheidsorganisaties. +
The European Interoperability Framework (EIF) is a commonly agreed approach to the delivery of European public services in an interoperable manner. It defines basic interoperability guidelines in the form of common principles, models and recommendations. +
Schema van de vier architectuurlagen in de EIRA: Legal view, Organisational view, Semantic view, Technical view (Application and infrastructure). De lagen zijn elk gemodeleerd in ArchiMate en een strippellijn toont dat er relaties tussen elementen in de verschillende lagen bestaan. +
Nederlands toepassingsprofiel op de Election Markup Language. De EML_NL standaard versie 1.0 definieert de gegevens en de uitwisseling van gegevens bij verkiezingen die vallen onder de Nederlandse Kieswet. Het gaat daarbij om de uitwisseling van kandidaatgegevens en uitslaggegevens. +
EU-richtlijn inzake elektronische facturering bij overheidsopdrachten +
EU-regeling inzake de toegankelijkheid van de websites en mobiele applicaties van overheidsinstanties +
Examensoftware voor inburgeraars en bijbehorende dienstverlening +
Een gebruikerssurvey over de NORA wiki is uitgestuurd +
Een herziening van de ISO 27002, een herziening van de BIO +
Een koppelvlak is een Single Point of Failure. Wanneer er onverhoopt een storing optreedt in één koppelvlak, dan wordt de hele communicatieketen van zones daardoor negatief beïnvloed. +
Is in de wet/regelgeving/beleid/regel etc. voldoende aandacht besteed aan de volgende zaken:
* Zijn de gebruikte begrippen voor één uitleg vatbaar, vanuit verschillende perspectieven bekeken?
* Is de context waarin begrippen zijn gebruikt, expliciet genoeg?
* Soms wordt bewust een meerduidig begrip gebruikt (open norm). Is dat bewust gedaan en expliciet gemaakt?
* Zijn gebruikte begrippen gedefinieerd? +, Consequent dezelfde betekenis toekennen aan begrippen en consequent dezelfde interpretatie hanteren zijn kernaspecten van rechtmatigheid. Daarvoor moet de betekenis van in ieder geval de begrippen uit de beslisregels zijn gedefinieerd. Bovendien is er beheer op dit vocabulaire nodig evenals versiebeheer.
Denk ook aan de -nog steeds actuele- vindingen uit de bibliotheekwereld, zoals de thesaurus en de taxonomie waarmee de verbanden tussen begrippen in kaart worden gebracht. Deze verbanden tussen begrippen bepalen mede de betekenis van die begrippen. Het begrip ‘verzoek’ wordt bijvoorbeeld in de algemene wet bestuursrecht naast het begrip ‘aanvraag’ gebruikt. Pas als eenduidig vastgelegd is dat elke aanvraag een verzoek is, wordt duidelijk dat regels waarin over verzoek wordt gesproken dus ook van toepassing zijn op een aanvraag. +
Eerste bijeenkomsten NORA Gebruikersraad +
Eerste versie van het thema Gegevensmanagement +
Okt 2019: Dit deel is wegens gebrek aan input voorlopig niet verder uitgewerkt.
Hier moet in de toekomst informatie en discussie komen over feedback m.b.t. het effect dat wet-en regelgeving en alle daarop gebaseerde artefacten hebben op de doelgroep. +
==Objectdefinitie==
Betreft het toewijzen van de verantwoordelijkheid voor bedrijfsmiddelen voor huisvesting Informatievoorzieningen (IV).
==Objecttoelichting==
Binnen huisvesting informatievoorzieningen (IV) worden verschillende bedrijfsmiddelen toegepast. Voor een betrouwbare dienstverlening door huisvesting IV aan de klanten moeten deze bedrijfsmiddelen continu onderhouden of vernieuwd worden. Ook moeten deze middelen blijvend aan de actuele beveiligingseisen voldoen. Om te borgen dat de juiste acties voor de bedrijfsmiddelen worden ondernomen, moet de organisatie de bedrijfsmiddelen toewijzen aan eigenaren en daarbij de taken en verantwoordelijkheden vastleggen. +
==Objectdefinitie==
Betreft het toewijzen van de verantwoordelijkheid voor het toegangsbeveiligingssysteem.
==Objecttoelichting==
Om de toegang tot bedrijfsmiddelen, zoals het toegangsbeveiligingssysteem en overige fysieke bedrijfsmiddelen, betrouwbaar in te richten, is het van belang het eigenaarschap van bedrijfsmiddelen goed te beleggen, zodat de verantwoordelijke functionaris vanuit aan hem toegekende verantwoordelijkheid het toegangsbeveiligingssysteem conform de hieraan gestelde eisen kan inrichten.
De coördinatie en beslissingen over specifieke acties (wie mag wat zien, raadplegen, muteren) vinden plaats onder de verantwoordelijkheid van de eigenaar en in samenwerking met andere functionarissen (Responsible, Accountable, Consulting en Informed (RACI). +
==Objectdefinitie==
Betreft het geautomatiseerd of via een gebruikersinteractie elektronisch uitwisselen van informatie.
==Objecttoelichting==
Beveiliging van elektronisch berichtenverkeer omvat bijvoorbeeld e-mail, web-verkeer, chatsessies en ‘streaming’ van audio en video. Maatregelen ter bescherming van het berichtenverkeer betreffen:
* een correcte adressering;
* een geautoriseerde toegang;
* een integer datatransport;
* het toereikend zijn van de beschikbaarheid;
* het voldoen aan (wettelijke) bepalingen voor de elektronische handtekening en onweerlegbaarheid. +
UWV zal vanaf januari 2022 uitvoering geven aan de Subsidieregeling leer- en ontwikkelbudget voor de Stimulering van de Arbeidsmarkt Positie (ook bekend als STAP-budget). Deze subsidieregeling houdt in dat burgers van Nederland subsidie kunnen aanvragen voor het volgen van opleidingen aan opleidingsinstituten die meedoen in het STAP budget. Onderdeel van de uitvoering van de subsidieregeling is dat de aangevraagde subsidie door UWV zal worden uitbetaald aan het opleidingsinstituut. Om dit te realiseren wil UWV alle facturen elektronisch ontvangen en verwerken van de opleidingsinstituten met behulp van een STAP-broker als tussenliggende dienstverlener. +
==Objectdefinitie==
Betreft een regel, norm of beginsel voor ‘goed gedrag’, specifiek voor het ontwikkelen van applicaties die beveiligd moeten worden.
==Objecttoelichting==
Bij het ontwikkelen van applicaties worden engineeringsprincipes in acht genomen. In de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]] is het principe security by design expliciet genoemd. In de ISO 27033-2 2012 is het principe defence in depth expliciet genoemd. Hiernaast bestaan nog verschillende andere van belang zijnde (engineerings)principes die in andere baselines zijn opgenomen. +
Enquête verbeterde samenhang tussen referentiearchitecturen +
Architectuur die de huidige en toekomstige organisatiehuishouding en het transformatiepad daartussen beschrijft (“van Ist naar Soll”). +
Er staat een technische update van noraonline gepland in de laatste week van augustus 2019 +
<br>
==Verslag & vervolg==
Marieke Vos en Joris Dirks gaven namens NORA kort aan hoe je content op noraonline.nl kunt toevoegen. Belangrijkste boodschap: Gewoon doen! Alleen voor de [[principes]] geldt een relatief zware wijzigingsprocedure, voor alle andere content is een kort overleg met de inhoudelijk eigenaar en/of NORA Beheer meestal genoeg om direct aan te slag te mogen. Zie ook het [[Wijzigingsproces NORA]].
Peter Makkes en André Plat van de [[GEMMA (Gemeentelijke ModelArchitectuur)]] gingen de deelnemers vervolgens voor in een Miro-bord, om kennis met elkaar te maken en vooral ook om aan te dragen welke content en architectuurkennis van de verschillende architecturen in de publieke sector zo waardevol is dat het de moeite waard is om ze verder te delen: via noraonline.nl of in de eigen architectuur. Op die manier vullen NORA en haar dochters - en de dochters onderling - elkaar straks nóg meer aan. En is de juiste info op de juiste plek(ken) te vinden.
We sloten de sessie af met concrete afspraken: wie gaat waarmee aan de slag? Er is voor de volgende onderwerpen afgesproken vervolgstappen te zetten:
* [[Zaakgericht Werken]]: meer samenhang en verwijzingen tussen GEMMA en NORA
* [[Duurzame Toegankelijkheid]]: Architecten vanuit de GEMMA gaan met de nieuwe architect van het Nationaal Archief aan de slag om dit thema in NORA te verbeteren
* Common Ground / NLX: dit onderwerp moet vanuit GEMMA ook op noraonline.nl een plekje krijgen
* De aanpak van de CORA rond [https://cora.wikixl.nl/index.php/CORA_Prestatie-indicatoren Prestatie-indicatoren] verdient bredere aandacht, op noraonline.nl of via een kennissessie
* Het concept-thema [[Cloud]] in de NORA kan worden aangevuld vanuit de [[HORA (Hoger Onderwijs Referentie Architectuur)]]: [https://hora.surf.nl/index.php/De_inzet_van_cloud_computing hora.surf.nl/inzet cloud computing]
===Presentatie & export Miro-bord===
* [[media:export Miro-bord Erven bij Leven.pdf|export Miro-bord (PDF, 472 kB)]]
* [[media:Presentatie Hoe krijg ik content op noraonline?.pdf|Presentatie Hoe krijg ik content op noraonline.nl? (PDF, 569 kB)]]
==Oorspronkelijke info sessie==
Krankzinnigheid is erfelijk, zo gaat de tegelwijsheid: je krijgt het van je kinderen. Gelukkig worden er in families ook veel positieve dingen juist al bij leven geërfd: dat schilderij waar geen ruimte meer voor is, de babykleren die telkens een deurtje verder gaan, die comfortabele stoel die al drie studentenkamers heeft opgevrolijkt - pareltjes die de oorspronkelijke eigenaar zonder pijn in het hart kan missen.
Als familie van architecturen hebben we elk ook zo onze pareltjes van kennis verzameld door de jaren heen: zelf opgebouwd, slim ingekocht, of uit andere bron overgenomen en op maat gemaakt voor de eigen context. Soms zien we de waarde zelf niet meer zo, omdat we er aan gewend zijn. Soms, maar lang niet zo vaak als we zouden willen, komt er toevallig een familielid op bezoek die haar waardering er over uit spreekt. En heel soms kijken we er naar en denken: dat zou een stuk meer tot z'n recht komen in een ander huis.
Deze sessie is bedoeld om te kijken wat de 'dochter' architecturen in huis hebben dat ook, of misschien zelfs beter, tot z'n recht zou komen bij NORA of bij een andere dochter. De deelnemers dragen vanuit hun eigen kennis kandidaten aan en vanuit NORA kijken we wat de snelste route kan zijn om de 'overerving' naar NORA te realiseren.
Denk je met ons mee?
===Opzet sessie===
* presentatie hoe krijg ik iets in NORA
* inventariserende & oriënterende bijeenkomst waarin je je pareltjes inbrengt via Miro
* we bekijken elkaars inbreng en melden ons aan om bij te dragen aan initiatieven waar we achter staan
* laatste kwartier afspraken maken met de inbrenger over een vervolgtraject op maat inclusief tijdspad
Het European Interoperability Framework (EIF) is een set met aanbevelingen voor nationale overheden, gericht op het interoperabel maken en houden van digitale publieke diensten binnen de EU. De nieuwste versie is van 23 maart 2017, de eerste versie is uit 2010.
De 47 aanbevelingen komen voort uit een conceptueel model, met o.a. 12 principes en 4 lagen (de lagen van het [[Vijflaagsmodel]] waarbij de [[netwerklaag]] en de [[applicatielaag]] zijn samengevoegd).
Het European Interoperability Framework is bedoeld als gemeenschappelijke kern van de Nationale Interoperability Frameworks (NIF's) en Domain Interoperability Frameworks (DIF's). Voor Nederland is de NORA het NIF. De [[Alignment NORA en EIF|mate van alignment tussen NORA en EIF]] is sterk en wordt jaarlijks gemonitord. Zie ook de actuele versie waar de [[media:Xref EIF and NORA 20230531.pdf|alignment EIF vs NORA (PDF, 2,28 MB)]] in detail is geanalyseerd.
De DIF's zijn niet als specifieke organisatie of framework benoemd, maar moet je zien als de (internationale) afspraken binnen de inhoudelijke [[Domeinen]]. In feite is de EIF hier de gedeelde kern tussen de diverse nationale overheden en de grensoverschrijdende domeinen, zoals NORA dat is tussen de diverse bestuurslagen en domeinen in Nederland. +
Europees Openbare aanbesteding voor de aanschaf, implementatie en onderhoud van een leerlingvolgsysteem ten behoeve van het Regionaal Bureau Leerplicht en voortijdig schoolverlaten Brabant Noordoost (RBL BNO) en de aanschaf, implementatie en onderhoud van een module leerlingenvervoer (als onderdeel van het leerlingvolgsysteem) voor de gemeente Oss en de Werkorganisatie gemeenten Cuijk Grave Mill en Sint Hubert (CGM). +
De opdracht houdt in de herverwerving of vervanging van de applicatie CiVision Samenlevingszaken van Pinkroccade, een all-in-one oplossing voor het sociaal domein. +
Aanbestedende dienst wenst haar organisatieprocessen met betrekking tot Personeelsalaris en HRM te verbeteren. Hiervoor selecteert zij een leverancier die een PSA/HRM-systeem en aanverwante dienstverlening aanbiedt. +
Het doel van deze aanbesteding is het sluiten van een overeenkomst tussen gemeente Eemsdelta i.o. (tot 1-1-2021 vertegenwoordigd door de penvoerder gemeente Delfzijl) en één Opdrachtnemer voor het gebruiksklaar ingericht te hebben van een Human Resource Management pakket per 1 oktober 2020, zodanig dat per 4 januari 2021 het systeem in gebruik genomen kan worden. Het Human Resource Management pakket voldoet aan de wensen en eisen van de nieuwe gemeente Eemsdelta zoals gesteld in de aanbestedingsstukken. +
KVK is op zoek naar nieuwe HRM applicatie, die helpt bij het realiseren van de ambitie om het leven van ondernemers makkelijker te maken door informatie en advies. KVK is ervan overtuigd dat optimale ondersteuning van een HRM systeem bijdraagt aan het behalen van die ambitie. +
Europese openbare aanbesteding van de aanschaf, implementatie en onderhoud van een burgerzaken-oplossing +
De opdracht betreft de levering, implementatie, hosting en het onderhoud van een burgerzaken oplossing voor alle vier de gemeenten die onderdeel uitmaken van de werkorganisatie BUCH. Het gaat hierbij om de gemeente Bergen (NH), Uitgeest, Castricum en Heiloo. +
==Objectdefinitie==
Betreft een beoordeling van de levering van de overeengekomen kwaliteit van dienstverlening.
==Objecttoelichting==
Het overeengekomen niveau van de informatiebeveiliging en dienstverlening met de leverancier dient te worden gehandhaafd. De operationele beheersing daarvan wordt met leveranciersovereenkomsten geregeld via het proces ‘Levenscyclusmanagement voor softwarepakketten’. Monitoring en beoordeling van prestaties en auditing is nodig om de naleving van overeenkomsten vast te stellen en om vastgestelde problemen in de operationele lijn op te lossen en te beheren.
==Schaalgrootte==
Elke schaalgrootte.
==Voor wie==
Klant. +
==Objectdefinitie==
Betreft een beoordeling van de (doorlopend) verzamelde beveiliging gerelateerde gebeurtenissen in netwerken.
==Objecttoelichting==
Het beveiligen van de beveiligingsfuncties is cruciaal voor zekerheid over het bereiken van het beoogde beveiligingsniveau. Daarvoor moet het beheer van de beveiligingsfuncties worden vastgelegd in auditlogs en worden beoordeeld. De auditlogs dienen zodanig te worden ingericht dat netwerkbeheerders geen toegang kunnen hebben tot de vastgelegde beheerhandelingen. +
==Objectdefinitie==
Betreft een beoordeling van de relatieve sterkte (resilience) van beveiligingsfuncties in communicatievoorzieningen.
==Objecttoelichting==
Binnen de infrastructuur bevinden zich diverse netwerkvoorzieningen die het fundament vormen voor de gegevensuitwisseling. Het is noodzakelijk om regelmatig te toetsen of de robuustheid van de beveiliging van de netwerkvoorzieningen voldoet aan de gestelde eisen. Het accent ligt hier op de vraag of de sterkte van de beveiliging voldoet aan de actuele eisen. Periodiek dienen zowel de organisatorische als de technische aspecten van beveiligingsmaatregelen beoordeeld te worden, die vervolgens worden gerapporteerd aan het verantwoordelijke management. +
Het onderdeel Financiële Dienstverlening (FD) van Uitvoeringsorganisatie Bedrijfsvoering Rijk (UBR) is voornemens om haar Exact landschap uit te besteden aan een marktpartij die komende jaren als integrale partner fungeert. +
==Objectdefinitie==
Omvat het plan van handelen, inclusief voorwaarden voor de beëindiging van de dienstverlening bij een bestaande Cloud Service Provider (CSP), plus het kunnen overzetten van data en IT-diensten naar een nieuwe CSP.
==Objecttoelichting==
Omdat geen enkel contract voor eeuwig is, moet een Cloud Service Consumer (CSC) op een zeker moment afscheid kunnen nemen van de CSP. Als bij het afsluiten van de clouddienst geen bindende afspraken zijn gemaakt over het afscheid nemen, kan het heel lastig of kostbaar worden om data te migreren naar een andere CSP.
De organisatie moet rekening houden met een ‘vendor lock-in’. Het is daarom van belang, nog voor het aangaan van een overeenkomst met een CSP, een exit-strategie te ontwikkelen. De exit-strategie dient de voorwaarden voor mutaties van data te bevatten. Het is ook mogelijk de praktische uitwerking van de exit-strategie op te nemen in een Service Level Agreement (SLA).
Om verschillende redenen kan een CSC de dienstverlening van de CSP willen beëindigen. Enerzijds planmatig, zoals bij het einde van de contracttermijn, anderszins vanwege moverende redenen, zoals niet voldoen aan de afspraken, overname van de CSP door een andere organisatie. Het niet planmatig beëindigen is gerelateerd aan de exit-strategie, dat onderdeel is van bedrijfscontinuïteitsmanagement (BCM). Het planmatig beëindigen van de dienstverlening raakt de transitie en is onderdeel van Service Level Management (SLM). +
==Objectdefinitie==
Omvat het plan van handelen, inclusief voorwaarden voor de beëindiging van de dienstverlening bij een bestaande leverancier en het kunnen overzetten van data naar een nieuwe leverancier van softwarepakketten.
==Objecttoelichting==
Aan het einde van de levenscyclus van een softwarepakket (met name software in de cloud) moeten er mogelijkheden bestaan om bestaande contracten te ontbinden en een nieuwe leverancier te kiezen. Vendor lock-in moet worden voorkomen. Voor de transitiefase en een probleemloze overdracht van bedrijfsgegevens moeten vooraf bindende afspraken worden gemaakt tussen de klant en de leverancier.
==Schaalgrootte==
Middel of groot.
==Voor wie==
Klant. +