Implicaties van Architectuurprincipes
Uit NORA Online
Versie door GerbenWulff2 (overleg | bijdragen) op 3 jan 2023 om 03:08 (→Waar gebruik je implicaties voor?: komma toegevoegd, hoofdletter na komma veranderd in kleine letter)
- Onderdeel van
- Bindende Architectuurafspraken
- Contact
- NORA Gebruikersraad
- nora@ictu.nl
- Status
- In werking getreden op 1-1-2023, conform RFC 2022. (zie besluit)
- Inhoud Bindende Architectuurafspraken
- Onderdeel van RFC 2022
- Deze pagina maakte onderdeel uit van RFC 2022
- Alle Overzichten uit RFC 2022
Inhoud
Wat zijn implicaties?[bewerken]
Architectuurprincipes zijn normatieve uitspraken die richting geven aan het in samenhang ontwerpen en realiseren van overheidsdiensten voor burgers en bedrijven. Ze vormen het vierde niveau van de NORA Bindende Architectuurafspraken. Implicaties maken concreet wat die ingeslagen richting betekent in jouw praktijk (eigen context, project, organisatie): Welke keuzes vallen weg, omdat ze een andere richting uitgaan? Welke keuzes moet je wel maken, omdat je anders een andere weg in slaat?
Randvoorwaarden implicaties[bewerken]
- Elk Architectuurprincipe kan verschillende implicaties hebben. Elke implicatie hangt aan één of meer architectuurprincipes.
- Implicaties zijn gekoppeld aan één of meer van de vijf lagen van het Vijflaagsmodel. Met het Vijflaagsmodel is het mogelijk elk project of elk maatschappelijk vraagstuk te analyseren en visualiseren vanuit de aansprekende invalshoeken. Implicaties verbinden aan de vijf lagen maakt het de architect gemakkelijk om het ontwerp van een dienst uit te werken op één of meer lagen.
- Implicaties dwingen tot actie en de formulering is dan ook actief: Zorg hiervoor, Doe dit, Stel het beschikbaar. Eventueel kan dit ook negatief: Doe het niet, Houdt dit tegen, Weiger.
- Implicaties zijn tot op zekere hoogte contextgebonden. De context waarbinnen een implicatie (in ieder geval) van toepassing is, wordt vermeld bij de implicatie. Staat er geen aparte context bij, dan is de implicatie generiek van toepassing binnen de brede context van overheidsdienstverlening.
- Implicaties worden gemodelleerd als ArchiMate element type Requirement.
Alle implicaties per laag van het Vijflaagsmodel[bewerken]
Laag 1: Grondslagenlaag[bewerken]
| ID | Implicatie | Beschrijving | hoort bij Architectuurprincipe(s) |
|---|---|---|---|
| IMP005 | Bied één contactpunt (Single point of contact) | Bied de dienst zo veel mogelijk vanuit één contactpunt aan richting burgers en bedrijven. Zo hoeven burgers en bedrijven niet met verschillende partijen te schakelen om de dienst af te kunnen nemen. | Verplaats je in de gebruiker Bundel diensten Voorkom onnodige complexiteit |
| IMP034 | Gebruik de standaard met het meest specifieke werkingsgebied | Gebruik de standaard met het meest specifieke werkingsgebied. Als deze conflicteert met bredere (internationale) standaarden, zorg dan in de sector voor afstemming daarmee. | Standaardiseer waar mogelijk |
| IMP009 | Geef de afnemer inzage in rechten en voorwaarden en plichten | De bij de dienst horende rechten, voorwaarden en plichten dienen op duidelijke en transparante wijze toegankelijk te worden gemaakt voor burgers en bedrijven die deze dienst af willen of moeten nemen. | Beschrijf de dienst nauwkeurig Geef inzicht in de afhandeling van de dienst |
| IMP044 | Hanteer bewaartermijnen voor informatie | Informatie wordt niet langer bewaard en niet eerder vernietigd dan wettelijk is toegestaan. Dit betekent dat:
| Neem gegevens als fundament |
| IMP006 | Ken je afnemers en stem diensten hierop af | Verdiep je in de achtergronden van je afnemers en de context waarin zij van de dienst gebruik maken en vergewis je van de digitale vaardigheden van je doelgroep. Zorg dat de dienst is afgestemd op de (digi)vaardigheden en mogelijkheden van alle (potentiële) afnemers.
Weet welke informatie afnemers doorgaans zoeken en waar ze deze zoeken. Deze informatie meld je aan op de voor de afnemers bekende vindplaatsen, zoals zoekmachines, portals, catalogi en registers. Ook de dienst zelf voorzie je van de nodige zoekfuncties. Om de afnemer waar dat nodig is door te kunnen verwijzen, zorg je dat je op de hoogte bent van de andere plaatsen waar diensten te vinden zijn. | Verplaats je in de gebruiker |
| IMP045 | Leg de doelbinding vast in de metadata van het gegevensobject | De verwerkingshistorie inclusief doel van verwerking wordt vastgelegd bij het gegegevensobject als metadata. Dit betekent dat de historie van acties waarin een gegevensobject wordt verwerkt (opvragen / vastleggen / wijzigen / verwijderen) inclusief het doel van de actie vastgelegd wordt bij het gegevenobject. | Pas doelbinding toe |
| IMP008 | Maak besluiten traceerbaar en controleerbaar | De overheid zorgt dat besluiten die burgers en bedrijven raken, ook door deze burgers en bedrijven te controleren zijn. Hierbij hebben zij de mogelijkheid om inzicht te krijgen op welke wijze en op basis van welke informatie besluiten tot stand zijn gekomen (traceerbaarheid). | Geef inzicht in de afhandeling van de dienst |
| IMP012 | Maak de dienst toegankelijk voor alle gebruikers | Zorg dat alle gebruikers, ook die met functiebeperking, de volwaardige dienst kunnen afnemen. Het streven is digitale inclusiviteit voor iedereen (digitoegankelijk). | Verplaats je in de gebruiker |
| IMP013 | Maak de dienst toegankelijk voor anderstaligen | Zorg dat een (potentiële) anderstalige gebruiker de dienst ook kan afnemen, door deze ook in een algemeen toegankelijke taal aan te bieden (bv. Engels). | Verplaats je in de gebruiker |
| IMP003 | Maak zoveel mogelijk data beschikbaar als open data | Stel overheidsdata actief beschikbaar voor hergebruik door derden, bijvoorbeeld in de vorm van open data. Beschouw dit aanbod als een dienst. De enige uitzondering zijn overheidsdata waarvoor wet- en regelgeving expliciet beperkingen oplegt, die stel je niet actief beschikbaar.
Vanuit o.a. de WOO richt de overheid zich op transparantie. Daarbij hoort het actief beschikbaar stellen dan wel delen van data. Wel met inachtneming van de beperkingen die daarbij gelden (bijv. vanuit de AVG). Er zijn meerdere redenen om data actief beschikbaar te stellen. Zo kan het meer transparantie en inzicht geven in het overheidshandelen en zo de accountability vergroten. Bijvoorbeeld door begrotingen of inkoopgegevens als open data beschikbaar te stellen. Het kan ook economische en maatschappelijke innovatie stimuleren, zoals de ontwikkeling van apps en informatiediensten op basis van overheidsdata. | Beschrijf de dienst nauwkeurig Neem gegevens als fundament Hergebruik vóór kopen vóór maken |
| IMP004 | Minimaliseer het gebruik van gegevens | Verzamel of vraag alleen die gegevens op die nodig zijn voor het strikte doel van de dienstverlening. En houd de gegevensverwerking die hierop volgt in proportie met het doel. Dit voorkomt dat vertrouwelijke of privacygevoelige gegevens onnodig worden verwerkt. | Pas doelbinding toe |
| IMP022 | Neem oorspronkelijke grondslag mee bij hergebruik diensten | Bij hergebruik van diensten kijken zowel aanbieder als afnemer opnieuw naar de oorspronkelijke grondslag en doelbinding. Als dat nodig blijkt passen zij pseudonimisering dan wel anonimisering van de data toe. Dit houdt in dat bij te ontwikkelen functionaliteit de oorspronkelijke grondslag bepalend is voor de hergebruikmogelijkheden. | Pas doelbinding toe Hergebruik vóór kopen vóór maken |
| IMP011 | Sluit aan op het voorkeurskanaal van de gebruiker | Sluit qua kanaal aan op de voorkeurkeuze van gebruikers. Digitale kanalen zijn hierin leidend, doch er mag niet voorbij worden gegaan aan het belang van burgers die geen of beperkte mogelijkheden hebben om digitaal te communiceren. | Verplaats je in de gebruiker |
| IMP039 | Zorg voor open specificaties | Zorg voor open specificaties. Zodat deze hergebruikt kunnen worden over instellingen heen. Dit voorkomt dat verschillende organisaties hetzelfde wiel moeten uitvinden. Zie ook EIF principle 2: "Openness", aanbeveling 4. EIF-brochure (pdf) | Beschrijf de dienst nauwkeurig Bouw diensten modulair op Hergebruik vóór kopen vóór maken |
Laag 2: Organisatorische laag[bewerken]
| ID | Implicatie | Beschrijving | hoort bij Architectuurprincipe(s) |
|---|---|---|---|
| IMP063 | Bepaal de continuïteitseisen | Continuïteitseisen vormen de input voor het maken van een calamiteitenplan. Voorbeelden van continuïteitseisen zijn Maximum Tolerable Outage (MTO), Recovery Time Objective (RTO), Recovery Point Objective (RPO). | Beheers risico's voortdurend |
| IMP071 | Bepaal taken en verantwoordelijkheden van de gegevensverwerking | Verantwoordelijkheden, bevoegdheden en taken bij gegevensverwerking zijn bepaald en bekend. | Stuur cyclisch op kwaliteit |
| IMP021 | Bevorder hergebruik van gegevens | Maak zo veel mogelijk gebruik van gegevens die reeds beschikbaar zijn in plaats van deze gegevens opnieuw te verzamelen of te creëren. | Informeer bij de bron Bundel diensten Bied de dienst proactief aan Neem gegevens als fundament Hergebruik vóór kopen vóór maken |
| IMP078 | Bewaak de continuïteit en stel een calamiteitenplan op | Bewaak de continuïteit van voorzieningen zodat bij bedreiging van de continuïteit alarm geslagen wordt en er voorzien is in een calamiteitenplan. Test en evalueer dit plan op regelmatige basis. | Beheers risico's voortdurend |
| IMP010 | Bied multi- en omni-channel dienstverlening | Bied diensten aan via meerdere kanalen aan. Bij multichannel kunnen afnemers kiezen tussen enkele kanalen die niet direct op elkaar zijn afgestemd. Bij omnichannel gebruikt de afnemer heel veel verschillende kanalen die goed op elkaar zijn afgestemd. | Lever een kanaal-onafhankelijk resultaat |
| IMP005 | Bied één contactpunt (Single point of contact) | Bied de dienst zo veel mogelijk vanuit één contactpunt aan richting burgers en bedrijven. Zo hoeven burgers en bedrijven niet met verschillende partijen te schakelen om de dienst af te kunnen nemen. | Verplaats je in de gebruiker Bundel diensten Voorkom onnodige complexiteit |
| IMP014 | Elimineer overbodige processtappen (voor de afnemer) | Stel bij iedere processtap de vraag of deze stap waarde toevoegt voor de afnemer of dat de processtap evengoed weggelaten kan worden. | Voorkom onnodige complexiteit |
| IMP062 | Evalueer de risicoanalyse bij veranderingen | Een verandering in het dreigingsprofiel, of in een bedrijfsproces of in de onderliggende voorzieningen kan een mogelijke kwetsbaarheid introduceren of gevolgen hebben voor de veiligheidsbelangen van stakeholders. Een verandering kan de kans of de impact van een dreiging veranderen. | Beheers risico's voortdurend |
| IMP035 | Gebruik een actueel register met standaarden | Maak gebruik van een actueel register met standaarden per toepassingsgebied. Functionele standaarden hebben betrekking op bijvoorbeeld gegevensuitwisseling, beveiliging, taalgebruik, digitale communicatie, etc. Standaarden met een organisatorisch werkingsgebied hebben betrekking op bijvoorbeeld de strafrechtketen, zorgketen, sociale zekerheid, financiën, etc. | Standaardiseer waar mogelijk |
| IMP027 | Gebruik open source | Bij gelijke geschiktheid heeft Open Source software de voorkeur bij het ontwikkelen van een dienst. Zie ook EIF principle 2 "Openness", aanbeveling 3. | Hergebruik vóór kopen vóór maken |
| IMP075 | Gebruik open standaarden voor modellering | Organisaties werken volgens een open standaard voor o.a. architectuur-, data- en procesmodellering die door alle samenwerkende partijen op uniforme wijze wordt toegepast. De gekozen open standaard is bepalend voor de keuze van modelleersystemen die deze standaard ondersteunen.
Wissel modellen uit tussen organisaties op basis van open standaarden. Voorbeelden van modelleerstandaarden zijn ArchiMate (architectuur), UML (data) en BPMN (processen). | Standaardiseer waar mogelijk |
| IMP089 | Gebruik standaard oplossingen (implicatie) | Ontwikkel geen eigen processen, systemen en technieken wanneer deze ergens anders al beschikbaar zijn. Stel je actief op de hoogte van beschikbare en geplande standaardoplossingen, om daar bij het maken van plannen rekening mee te houden. De bruikbare elementen van beschikbare standaardoplossingen zullen moeten worden ingepast in de eigen organisatie. Geen enkele standaardoplossing past altijd voor de volle honderd procent. Daarom zal de bereidheid tot het sluiten van compromissen aanwezig moeten zijn. | Standaardiseer waar mogelijk |
| IMP025 | Gebruik standaard oplossingen zonder maatwerk | Gebruik een standaardoplossing (zoals bijvoorbeeld een pakketoplossing) zoveel mogelijk ongewijzigd, dus zonder maatwerkaanpassingen. Pas bij de toepassing van een standaardoplossing je werkwijze aan bij de standaarden en de best-practices die aan de oplossing ten grondslag liggen. Volg waar het kan de inrichtingsfilosofie van leveranciers. | Voorkom onnodige complexiteit Standaardiseer waar mogelijk |
| IMP009 | Geef de afnemer inzage in rechten en voorwaarden en plichten | De bij de dienst horende rechten, voorwaarden en plichten dienen op duidelijke en transparante wijze toegankelijk te worden gemaakt voor burgers en bedrijven die deze dienst af willen of moeten nemen. | Beschrijf de dienst nauwkeurig Geef inzicht in de afhandeling van de dienst |
| IMP055 | Gegevens eenmalig uitgevraagd, uniek opgeslagen, meervoudig gebruikt | Gegevens worden eenmalig uitgevraagd of verzameld, uniek opgeslagen, en vervolgens meervoudig gebruikt. Dit impliceert tevens dat de juistheid van de gebruikte informatie-objecten uit een bronregistratie niet voor gebruik opnieuw hoeft te worden gecontroleerd. | Informeer bij de bron |
| IMP074 | Identificeer de voor de dienst relevante standaardoplossingen | Inventariseer de voor de dienst relevante standaardoplossingen voor gebieden zoals:
| Hergebruik vóór kopen vóór maken |
| IMP085 | Kies bij cloudoplossingen SaaS boven PaaS boven IaaS | Bij het kiezen voor een cloud oplossing, geef de voorkeur aan SaaS boven PaaS boven IaaS. Houd hierbij rekening met het definiëren van een goede exit strategie en interoperabiliteit standaarden om de vendor lock-in zo beperkt mogelijk te houden. Een cloud oplossing vergt bovendien een gedegen strategie en plan van aanpak vanuit de eigen organisatie hoe met (publieke, community of private) cloud diensten om te gaan.
Het SaaS (Software as a Service) model richt zich primair op eindgebruikers. Deze zijn (vaak) te prefereren voor oplossingen die niet uniek of onderscheidend zijn voor de organisatie of het werkdomein. Voorbeelden hiervan zijn Customer Relations Management, e-mail & Instant Messaging, Financiën, HRM en Project Management. PaaS (Platform as a Service) richt zich vooral op ontwikkelaars waarmee ze een ontwikkelplatform ter beschikking krijgen waarbij de cloud dienstverlener zorgdraagt voor de infrastructurele aspecten. Bij IaaS (Infrastructure as a Service) neem je infrastructuur componenten uit de cloud af zoals servers, opslag, en netwerken. Opmerking: deze implicatie daagt uit om tot een zo hoog mogelijk niveau ontzorgd te worden. Bij Cloud oplossingen ga je eerst kijken of de functionele eisen met SaaS kunnen worden ingevuld. Als specifiek aan een applicatie-ontwikkelomgeving of infra de behoefte is, dan kies je uiteraard voor PaaS respectievelijk Iaas. | Standaardiseer waar mogelijk Maak diensten schaalbaar Hergebruik vóór kopen vóór maken Beheers risico's voortdurend |
| IMP042 | Leg een Service Level Agreement vast bij de dienst | Leg de inhoud van de dienst en het akkoord hierop schriftelijk vast, in de vorm van een Service Level Agreement (SLA), een Gegevens Leverings Overeenkomst (GLO), of in wet- en regelgeving.
Dit is in elk geval noodzakelijk voor bedrijfskritische diensten of diensten met een zeer vertrouwelijk karakter. Hierbij is het akkoord en de inhoud daarvan schriftelijk vastgelegd. De dienstverlener geeft hierbij ook aan welk betrouwbaarheidsniveau geldt voor de identificatie van de afnemer. | Beschrijf de dienst nauwkeurig |
| IMP041 | Leg per dienst vast aan welke standaarden deze voldoet | Leg per dienst vast aan welke normen en standaarden je moet of wilt voldoen. Deze normen en standaarden moeten op hun beurt voldoen aan wet- en regelgeving. De opzet van de dienst is in overeenstemming met deze normen en standaarden. Afwijkingen van deze norm worden geïdentificeerd. | Beschrijf de dienst nauwkeurig |
| IMP076 | Maak afspraken over nieuwe (en oude) versies van standaarden | De dienstverlener en de afnemers maken afspraken over de periode waarin overgegaan wordt op een nieuwe versie van de standaard. Wanneer een nieuwe versie van een standaard geïmplementeerd wordt, blijft de aanbieder de oude versie ondersteunen zolang als dat volgens afspraak nodig is. | Standaardiseer waar mogelijk |
| IMP008 | Maak besluiten traceerbaar en controleerbaar | De overheid zorgt dat besluiten die burgers en bedrijven raken, ook door deze burgers en bedrijven te controleren zijn. Hierbij hebben zij de mogelijkheid om inzicht te krijgen op welke wijze en op basis van welke informatie besluiten tot stand zijn gekomen (traceerbaarheid). | Geef inzicht in de afhandeling van de dienst |
| IMP028 | Maak diensten herbruikbaar | De dienst is zodanig opgezet, dat andere organisaties deze in eigen diensten kunnen hergebruiken. De opzet van de dienst anticipeert op onvoorziene afnemers en gebruik.
Deze implicatie beoogt de dienst interoperabel en bruikbaar voor een zo groot mogelijke groep afnemers te maken. Dit draagt bij aan een hoger rendement van de dienst. Hiervoor is het nodig dat de dienst:
| Hergebruik vóór kopen vóór maken |
| IMP024 | Maak heldere afspraken over aanbieden en afnemen van diensten | Maak heldere afspraken over aanbieden en afnemen van diensten, waaronder eventueel van toepassing zijnde vergoedingen (afbakening van verantwoordelijkheden). Doe dit zowel vooraf als bij het afsluiten.
| Beschrijf de dienst nauwkeurig Hergebruik vóór kopen vóór maken |
| IMP019 | Maak stelselafspraken over identificatie en authenticatie | Maak stelselafspraken om te komen tot één generiek digitaal stelsel voor identificatie en authenticatie of sluit aan bij een bestaand kanaaloverstijgend stelsel met afspraken over betrouwbaarheidsniveau's. | Verifieer altijd Lever een kanaal-onafhankelijk resultaat |
| IMP018 | Maak één organisatie verantwoordelijk voor de dienst | Eén organisatie is verantwoordelijk en aanspreekbaar voor de geleverde dienst. | Beschrijf de dienst nauwkeurig Geef inzicht in de afhandeling van de dienst |
| IMP043 | Neem diensten op in een producten- en dienstencatalogus (PDC) | Beschrijf diensten in een producten- en dienstencatalogus (PDC) inclusief de daarbij behorende spelregels. Datasets worden beschreven in een datacatalogus (interne afnemers). Open data van de overheid biedt dit inzicht aan externe afnemers. Zie data.overheid.nl | Beschrijf de dienst nauwkeurig |
| IMP026 | Pas je eigen proces en organisatie aan aan de standaard oplossing | Pas je processen en organisatie aan de standaard oplossingen aan, in plaats van het omgekeerde. Zie ook EIF principle 4 "Reusability", aanbeveling 6+7. | Voorkom onnodige complexiteit Standaardiseer waar mogelijk |
| IMP036 | Pas open standaarden toe | Verwerf producten die aan de standaard(en) voldoen. Hierbij geldt: Open standaarden tenzij.
Implementaties maken gebruik van de beschrijvingen uit de open standaarden om leveranciersonafhankelijkheid te behouden. Maak met afnemers afspraken over de te gebruiken open standaarden. Anticipeer hierbij op de ontwikkeling van de open standaarden, bijvoorbeeld door nieuws over standaarden te volgen via noraonline.nl of www.forumstandaardisatie.nl/ | Standaardiseer waar mogelijk |
| IMP037 | Pleeg onderhoud op de toegepaste standaarden | Zorg via lifecyclemanagement voor toepassing van voldoende actuele versies van standaarden. Inventariseer de relevante standaarden en neem dat mee in het ontwerp van de dienst/voorziening. | Standaardiseer waar mogelijk |
| IMP061 | Reduceer rest-risico's | Besteed speciale aandacht aan de rest-risico's die overblijven na toepassen van de standaard maatregelen die op basis van de BIO of vanuit de AVG zijn ingericht en weeg de consequenties van de maatregelen af tegen het accepteren van het rest-risico. De verantwoordelijke voor het bedrijfsmiddel moet de rest-risico's accepteren. | Beheers risico's voortdurend |
| IMP023 | Regisseer hergebruik diensten in de keten | Hergebruik van diensten in de keten moet onderling tussen de verschillende overheidsorganisaties georganiseerd en geregisseerd worden. Zorg voor een register van diensten die voor hergebruik geschikt en beschikbaar zijn. | Hergebruik vóór kopen vóór maken |
| IMP056 | Registreer gegevens bij de bron | Registreer gegevens (zo dicht mogelijk) bij de bron, daar waar de gegevens ontstaan. Dit verhoogt de volledigheid, kwaliteit en de actualiteit van de gegevens aanzienlijk en voorkomt fouten. De vastgelegde gegevens kunnen daarna voor verschillende doeleinden worden gebruikt. Een ander belangrijk voordeel is dat het achteraf registreren van gegevens die eerder zijn ontstaan wordt voorkomen hetgeen de registratielast vermindert. Waar mogelijk, leg gegevens geautomatiseerd vast. | Informeer bij de bron |
| IMP072 | Richt data governance in | Data governance staat aan de basis van goed gegevenbeheer. Het betreft alle afspraken (en structuren) waarmee je vastlegt hoe gebruik te maken van de beschikbare gegevens en de gegevenskwaliteit en veiligheid hiervan te waarborgen. Hierbij hoort ook het vastleggen van datastandaarden, visie en strategie. Inclusief wie welke verantwoordelijkheid hierin heeft. Zie ook [1] | Stuur cyclisch op kwaliteit |
| IMP029 | Scheid proces van data | Scheid proces van data en data van software. Zorg dat software hardware-agnostisch is. De afhankelijkheden tussen (proces-)onderdelen moeten bij voorkeur zo klein mogelijk zijn. Hierdoor blijft ontkoppeling op een later moment mogelijk. | Bouw diensten modulair op |
| IMP053 | Stel betrokkenen op de hoogte van het doel waarvoor gegevens verzameld worden | Stel bij het verzamelen en opvragen van persoonsgegevens de betrokkenen op de hoogte van het doel waarvoor de gegevens worden verzameld en van de rechten die zij mogen uitoefenen. | Pas doelbinding toe |
| IMP077 | Stel de juridische aansprakelijkheid per gegevensobject vast | Stel per informatie-object de de bron vast, en daarmee de juridische aansprakelijkheid voor de juistheid van het object. | Informeer bij de bron Pas doelbinding toe |
| IMP040 | Stel een duidelijke Quality of Service (QoS) vast voor de dienst | De dienst heeft een duidelijk beschreven 'Quality of Service'. Niet alleen op het technisch koppelvlak, maar juist ook op die aspecten die door de afnemers begrepen worden. Bijvoorbeeld in termen van beschikbaarheid, performance, supportniveau, etc. | Beschrijf de dienst nauwkeurig |
| IMP046 | Stel één verantwoordelijke vast voor ieder gegeven | Voor ieder gegeven en voor iedere verwerking moet er een verantwoordelijke gegevenseigenaar zijn. Dat vraagt een inventarisatie van alle relevante gegevensobjecten. | Neem gegevens als fundament |
Laag 3: Informatielaag[bewerken]
Er zijn nog geen implicaties beschikbaar voor deze laag.
Laag 4: Applicatielaag[bewerken]
| ID | Implicatie | Beschrijving | hoort bij Architectuurprincipe(s) |
|---|---|---|---|
| IMP060 | Bepaal autorisaties met metadata | Autorisaties voor het verstrekken en gebruik van gegevens kan worden bepaald op basis van metadata. De beheerder die het gegeven beheert en het wil verstrekken voor verdere bewerking, voegt metadata toe aan de hand waarvan de beheerder en de afnemer een autorisatiebeslissing kan nemen. | Informeer bij de bron |
| IMP021 | Bevorder hergebruik van gegevens | Maak zo veel mogelijk gebruik van gegevens die reeds beschikbaar zijn in plaats van deze gegevens opnieuw te verzamelen of te creëren. | Informeer bij de bron Bundel diensten Bied de dienst proactief aan Neem gegevens als fundament Hergebruik vóór kopen vóór maken |
| IMP010 | Bied multi- en omni-channel dienstverlening | Bied diensten aan via meerdere kanalen aan. Bij multichannel kunnen afnemers kiezen tussen enkele kanalen die niet direct op elkaar zijn afgestemd. Bij omnichannel gebruikt de afnemer heel veel verschillende kanalen die goed op elkaar zijn afgestemd. | Lever een kanaal-onafhankelijk resultaat |
| IMP081 | Borg de vertrouwelijkheid van gegevens in maatregelen | De vertrouwelijkheid van gegevens wordt gegarandeerd door scheiding van systeemfuncties, door controle op communicatiegedrag en gegevensuitwisseling, door validatie op toegang tot gegevens en systeemfuncties en door versleuteling van gegevens. | Beheers risico's voortdurend |
| IMP079 | Garandeer de beschikbaarheid van systemen | ICT-voorzieningen voldoen aan het voor de diensten overeengekomen niveau van beschikbaarheid. De beschikbaarheid van gegevens en systeemfuncties wordt gegarandeerd door:
| Beheers risico's voortdurend |
| IMP025 | Gebruik standaard oplossingen zonder maatwerk | Gebruik een standaardoplossing (zoals bijvoorbeeld een pakketoplossing) zoveel mogelijk ongewijzigd, dus zonder maatwerkaanpassingen. Pas bij de toepassing van een standaardoplossing je werkwijze aan bij de standaarden en de best-practices die aan de oplossing ten grondslag liggen. Volg waar het kan de inrichtingsfilosofie van leveranciers. | Voorkom onnodige complexiteit Standaardiseer waar mogelijk |
| IMP085 | Kies bij cloudoplossingen SaaS boven PaaS boven IaaS | Bij het kiezen voor een cloud oplossing, geef de voorkeur aan SaaS boven PaaS boven IaaS. Houd hierbij rekening met het definiëren van een goede exit strategie en interoperabiliteit standaarden om de vendor lock-in zo beperkt mogelijk te houden. Een cloud oplossing vergt bovendien een gedegen strategie en plan van aanpak vanuit de eigen organisatie hoe met (publieke, community of private) cloud diensten om te gaan.
Het SaaS (Software as a Service) model richt zich primair op eindgebruikers. Deze zijn (vaak) te prefereren voor oplossingen die niet uniek of onderscheidend zijn voor de organisatie of het werkdomein. Voorbeelden hiervan zijn Customer Relations Management, e-mail & Instant Messaging, Financiën, HRM en Project Management. PaaS (Platform as a Service) richt zich vooral op ontwikkelaars waarmee ze een ontwikkelplatform ter beschikking krijgen waarbij de cloud dienstverlener zorgdraagt voor de infrastructurele aspecten. Bij IaaS (Infrastructure as a Service) neem je infrastructuur componenten uit de cloud af zoals servers, opslag, en netwerken. Opmerking: deze implicatie daagt uit om tot een zo hoog mogelijk niveau ontzorgd te worden. Bij Cloud oplossingen ga je eerst kijken of de functionele eisen met SaaS kunnen worden ingevuld. Als specifiek aan een applicatie-ontwikkelomgeving of infra de behoefte is, dan kies je uiteraard voor PaaS respectievelijk Iaas. | Standaardiseer waar mogelijk Maak diensten schaalbaar Hergebruik vóór kopen vóór maken Beheers risico's voortdurend |
| IMP033 | Koppel bronsystemen op basis van een passende classificatie | Verwerk als afnemer gegevens uit een bronsysteem met respect voor de classificatie van die gegevens. Geef het geen hogere classificatie voor beschikbaarheid en integriteit dan de bron, en geen lagere classificatie voor vertrouwelijkheid. Maak zonodig afspraken met de aanbieder om hun classificatie aan te passen en in hun dienst bijpassende maatregelen daarvoor te implementeren. | Informeer bij de bron Bouw diensten modulair op |
| IMP015 | Maak beveiligingsmaatregelen zo gebruiksvriendelijk mogelijk | Maak beveilingingsmaatregelen transparant voor de gebruiker en richt deze zo gebruiksvriendelijk mogelijk in. Verleid de gebruiker zo veel mogelijk om veilig te werken: zo leidt het afdwingen van gebruikersonvriendelijke beveiligingsmaatregelen vaak tot onveilige workarounds en ander onveilig gedrag. | Verplaats je in de gebruiker Beheers risico's voortdurend |
| IMP028 | Maak diensten herbruikbaar | De dienst is zodanig opgezet, dat andere organisaties deze in eigen diensten kunnen hergebruiken. De opzet van de dienst anticipeert op onvoorziene afnemers en gebruik.
Deze implicatie beoogt de dienst interoperabel en bruikbaar voor een zo groot mogelijke groep afnemers te maken. Dit draagt bij aan een hoger rendement van de dienst. Hiervoor is het nodig dat de dienst:
| Hergebruik vóór kopen vóór maken |
| IMP082 | Maak technische schuld inzichtelijk | Maak technische schuld zichtbaar en stuur op het oplossen van technische schulden. Technische schuld (technical debt) treedt op als er - al dan niet bewust - voor een oplossing wordt gekozen die op de korte termijn voordelig is (of lijkt) en gelijktijdig op de langere termijn extra kosten met zich meebrengt en de algehele complexiteit verhoogt. | Stuur cyclisch op kwaliteit |
| IMP068 | Maak toegang tot applicaties en gegevens afhankelijk van authenticatieniveau | Een gebruiker dient allereerst geautoriseerd te zijn om een applicatie te mogen gebruiken of gegevens te mogen inzien. Hierbij speelt het behaalde niveau van authenticatie een rol. Als bijvoorbeeld informatie met een tweede factor (MFA) moet zijn afgeschermd krijgt de gebruiker geen toegang als hij/zij slechts met een gebruikersnaam/wachtwoord combinatie kan authenticeren. Na succesvolle authenticatie kan bepaald worden of een gebruiker de applicatie mag gebruiken (of informatie mag inzien) aan de hand van autorisatieregels. | Verifieer altijd |
| IMP016 | Pas ontwerprichtlijnen toe bij websites en portalen en apps | Elke overheidsorganisatie is verantwoordelijk voor het goed toegankelijk maken van haar activiteiten voor burgers en bedrijven. Voor websites geldt dat deze moeten voldoen aan de standaarden zoals gedefinieerd in WCAG. Dit geldt met name voor websites die toegankelijk zijn voor het publiek, maar ook voor intern gerichte websites. WCAG staat voor 'Web Content Accessibility Guidelines'. De wetgever heeft bepaald dat alle (semi-)overheids websites per 23 september 2020 aan deze WCAG standaard moeten voldoen. | Verplaats je in de gebruiker |
| IMP036 | Pas open standaarden toe | Verwerf producten die aan de standaard(en) voldoen. Hierbij geldt: Open standaarden tenzij.
Implementaties maken gebruik van de beschrijvingen uit de open standaarden om leveranciersonafhankelijkheid te behouden. Maak met afnemers afspraken over de te gebruiken open standaarden. Anticipeer hierbij op de ontwikkeling van de open standaarden, bijvoorbeeld door nieuws over standaarden te volgen via noraonline.nl of www.forumstandaardisatie.nl/ | Standaardiseer waar mogelijk |
| IMP066 | Richt een sterke logging en audit-trail in | Logging is fundamenteel in applicaties. Richt een sterke logging en audit-trail in, voor elke applicatie en elk systeem. Logbestanden en audit-trails spelen een sleutelrol in het detecteren van aanvallen en het afhandelen van incidenten.
Logberichten moeten zo veel mogelijk informatie bevatten over hetgeen er gebeurd is (wie, wat, waar, wanneer) en moeten op het juiste niveau gelogd worden. Let er op dat logberichten geen persoonlijke kenmerken (AVG) of security kenmerken (zoals wachtwoorden) mogen bevatten. | Verifieer altijd |
| IMP029 | Scheid proces van data | Scheid proces van data en data van software. Zorg dat software hardware-agnostisch is. De afhankelijkheden tussen (proces-)onderdelen moeten bij voorkeur zo klein mogelijk zijn. Hierdoor blijft ontkoppeling op een later moment mogelijk. | Bouw diensten modulair op |
| IMP052 | Sla informatie op in een duurzaam toegankelijk bestandsformaat | Informatie moet toegankelijk zijn voor gebruikers, zowel mens als machine. Hiervoor moeten de gebruikers geen speciale toepassingen of hulpmiddelen nodig hebben. Daarbij moet het formaat waar de informatie in wordt opgeslagen toekomstbestendig zijn, zodat de informatie ook in de toekomst nog toegankelijk is. Dit betekent dat:
| Neem gegevens als fundament |
| IMP064 | Stel onweerlegbaarheid vast | Stel vast voor welke berichtenstromen of transacties onweerlegbaarheid van gegevens vereist is, zodat daarvoor aanvullende maatregelen genomen kunnen worden. | Verifieer altijd Beheers risico's voortdurend |
| IMP067 | Verifieer de werking van algoritmes | Kijk doorlopend hoe applicaties functioneren en of uitkomsten van functies en modellen passen binnen de specificaties en dat er geen sprake is van zaken als model drift, of het ontstaan van bias. | Verifieer altijd |
| IMP088 | Verleen alleen strikt noodzakelijke toegangsrechten | Ken geen rollen en toegangsrechten toe aan accounts van gebruikers en services tenzij dat strikt noodzakelijk is (Least Privilege). | Verifieer altijd |
| IMP084 | Versleutel gegevens in rust en transport | Versleutel alle gegevensdragers waarop niet-publieke informatie staat, inclusief smartphones en laptops, conform de laatst bekende en geldende richtlijnen. Dit reduceert het risico op een gegevenslek bij verlies van een dergelijk apparaat. Neem voor niet-publieke gegevens ook adequate beveiligingsmaatregelen om ze te beschermen in ransit. Dit kan door de verbinding te beveiligen, danwel door encryptie van de informatie zelf. Dit laatste heeft de voorkeur. | Beheers risico's voortdurend |
| IMP087 | Verwerk bericht-interactie persistent | Zorg dat een bericht dat een mutatie tot gevolg heeft, bijvoorbeeld een bericht dat een betalingsopdracht representeert, niet verloren kan gaan. Een dergelijk 'transactioneel' bericht moet een incident als uitwijk of storing kunnen overleven.
Alle onderdelen van een verwerkingsketen nemen verantwoordelijkheid voor het bericht en zorgen ervoor dat het bericht niet verloren gaat. Correcte verwerking heeft prioriteit boven verwerkingssnelheid. Persistentie houdt in dat een (transport-)transactie pas is voltooid als het bericht is opgeslagen in een 'persistent store', zoals een bestand of database. Een opvragingsbericht daarentegen heeft geen mutatie tot gevolg. Responsetijd heeft hier meer prioriteit. Bij verlies van een opvragingsbericht (door bv. een storing) wordt de opvraging opnieuw gedaan. Verwerk een opvragingsbericht daarom niet-persistent verwerkt. | Bouw diensten modulair op |
| IMP083 | Wissel gegevens tussen (web)applicaties uit met API's | Gegevensuitwisseling tussen (web)applicaties gebeurt via Restful API's. De broneigenaar levert API's die voldoen aan de moderne RESTful standaarden. API's dienen centraal te worden beheerd in een API management systeem. | Bouw diensten modulair op |
| IMP017 | Zorg dat overheidsinformatie eenvoudig te raadplegen is | De informatiegebruiker (mens of machine) kan een informatieobject of een verzameling informatieobjecten binnen redelijke tijd en inspanning gebruiken (zoals inzien, exporteren, bewaren en verwerken in de eigen gebruiksomgeving), nu en in de toekomst (gedurende de gehele levenscyclus).
Daardoor is de informatiegebruiker zo min mogelijk afhankelijk van de beheeromgeving voor de toegang tot de informatie. Dit betekent dat:
| Verplaats je in de gebruiker |
| IMP086 | Zorg dat software up-to-date is | Houd alle gebruikte software en software-componenten, van applicatief tot infrastructureel, actueel. Volg de update-cyclus van leveranciers strikt: voer updates, patches en beveiligingsupdates zo snel mogelijk door op alle relevante systemen. | Stuur cyclisch op kwaliteit Beheers risico's voortdurend |
Laag 5: Netwerklaag[bewerken]
| ID | Implicatie | Beschrijving | hoort bij Architectuurprincipe(s) |
|---|---|---|---|
| IMP010 | Bied multi- en omni-channel dienstverlening | Bied diensten aan via meerdere kanalen aan. Bij multichannel kunnen afnemers kiezen tussen enkele kanalen die niet direct op elkaar zijn afgestemd. Bij omnichannel gebruikt de afnemer heel veel verschillende kanalen die goed op elkaar zijn afgestemd. | Lever een kanaal-onafhankelijk resultaat |
| IMP079 | Garandeer de beschikbaarheid van systemen | ICT-voorzieningen voldoen aan het voor de diensten overeengekomen niveau van beschikbaarheid. De beschikbaarheid van gegevens en systeemfuncties wordt gegarandeerd door:
| Beheers risico's voortdurend |
| IMP069 | Hanteer het zero-trust model | Ga nooit uit van het impliciete vertrouwen dat wie op een bepaald netwerk of systeem komt daar ook hoort:
| Verifieer altijd |
| IMP085 | Kies bij cloudoplossingen SaaS boven PaaS boven IaaS | Bij het kiezen voor een cloud oplossing, geef de voorkeur aan SaaS boven PaaS boven IaaS. Houd hierbij rekening met het definiëren van een goede exit strategie en interoperabiliteit standaarden om de vendor lock-in zo beperkt mogelijk te houden. Een cloud oplossing vergt bovendien een gedegen strategie en plan van aanpak vanuit de eigen organisatie hoe met (publieke, community of private) cloud diensten om te gaan.
Het SaaS (Software as a Service) model richt zich primair op eindgebruikers. Deze zijn (vaak) te prefereren voor oplossingen die niet uniek of onderscheidend zijn voor de organisatie of het werkdomein. Voorbeelden hiervan zijn Customer Relations Management, e-mail & Instant Messaging, Financiën, HRM en Project Management. PaaS (Platform as a Service) richt zich vooral op ontwikkelaars waarmee ze een ontwikkelplatform ter beschikking krijgen waarbij de cloud dienstverlener zorgdraagt voor de infrastructurele aspecten. Bij IaaS (Infrastructure as a Service) neem je infrastructuur componenten uit de cloud af zoals servers, opslag, en netwerken. Opmerking: deze implicatie daagt uit om tot een zo hoog mogelijk niveau ontzorgd te worden. Bij Cloud oplossingen ga je eerst kijken of de functionele eisen met SaaS kunnen worden ingevuld. Als specifiek aan een applicatie-ontwikkelomgeving of infra de behoefte is, dan kies je uiteraard voor PaaS respectievelijk Iaas. | Standaardiseer waar mogelijk Maak diensten schaalbaar Hergebruik vóór kopen vóór maken Beheers risico's voortdurend |
| IMP082 | Maak technische schuld inzichtelijk | Maak technische schuld zichtbaar en stuur op het oplossen van technische schulden. Technische schuld (technical debt) treedt op als er - al dan niet bewust - voor een oplossing wordt gekozen die op de korte termijn voordelig is (of lijkt) en gelijktijdig op de langere termijn extra kosten met zich meebrengt en de algehele complexiteit verhoogt. | Stuur cyclisch op kwaliteit |
| IMP016 | Pas ontwerprichtlijnen toe bij websites en portalen en apps | Elke overheidsorganisatie is verantwoordelijk voor het goed toegankelijk maken van haar activiteiten voor burgers en bedrijven. Voor websites geldt dat deze moeten voldoen aan de standaarden zoals gedefinieerd in WCAG. Dit geldt met name voor websites die toegankelijk zijn voor het publiek, maar ook voor intern gerichte websites. WCAG staat voor 'Web Content Accessibility Guidelines'. De wetgever heeft bepaald dat alle (semi-)overheids websites per 23 september 2020 aan deze WCAG standaard moeten voldoen. | Verplaats je in de gebruiker |
| IMP036 | Pas open standaarden toe | Verwerf producten die aan de standaard(en) voldoen. Hierbij geldt: Open standaarden tenzij.
Implementaties maken gebruik van de beschrijvingen uit de open standaarden om leveranciersonafhankelijkheid te behouden. Maak met afnemers afspraken over de te gebruiken open standaarden. Anticipeer hierbij op de ontwikkeling van de open standaarden, bijvoorbeeld door nieuws over standaarden te volgen via noraonline.nl of www.forumstandaardisatie.nl/ | Standaardiseer waar mogelijk |
| IMP070 | Segmenteer het netwerk | Het segmenteren van het netwerk beperkt de gevolgen van een aanval. Segmenteren betekent dat een netwerk in meerdere zones wordt verdeeld, waartussen een inspectiepunt ontstaat. Netwerksegmentatie voorkomt dat een virus of aanvaller zich kan verspreiden in het gehele netwerk. Afhankelijk van de wijze van implementatie is netwerksegmentatie een maatregel die de gevolgen van ransomware-aanvallen of DDoS-aanvallen beperkt. | Verifieer altijd Beheers risico's voortdurend |
| IMP086 | Zorg dat software up-to-date is | Houd alle gebruikte software en software-componenten, van applicatief tot infrastructureel, actueel. Volg de update-cyclus van leveranciers strikt: voer updates, patches en beveiligingsupdates zo snel mogelijk door op alle relevante systemen. | Stuur cyclisch op kwaliteit Beheers risico's voortdurend |
Alle implicaties gerangschikt per architectuurprincipe[bewerken]
| Architectuurprincipe(s) | ID | Implicatie | Lagen | Beschrijving |
|---|---|---|---|---|
| Verplaats je in de gebruiker Beheers risico's voortdurend | IMP015 | Maak beveiligingsmaatregelen zo gebruiksvriendelijk mogelijk | 4 | Maak beveilingingsmaatregelen transparant voor de gebruiker en richt deze zo gebruiksvriendelijk mogelijk in. Verleid de gebruiker zo veel mogelijk om veilig te werken: zo leidt het afdwingen van gebruikersonvriendelijke beveiligingsmaatregelen vaak tot onveilige workarounds en ander onveilig gedrag. |
| Beheers risico's voortdurend | IMP079 | Garandeer de beschikbaarheid van systemen | 3 4 5 | ICT-voorzieningen voldoen aan het voor de diensten overeengekomen niveau van beschikbaarheid. De beschikbaarheid van gegevens en systeemfuncties wordt gegarandeerd door:
|
| Beheers risico's voortdurend | IMP063 | Bepaal de continuïteitseisen | 2 | Continuïteitseisen vormen de input voor het maken van een calamiteitenplan. Voorbeelden van continuïteitseisen zijn Maximum Tolerable Outage (MTO), Recovery Time Objective (RTO), Recovery Point Objective (RPO). |
| Standaardiseer waar mogelijk Maak diensten schaalbaar Hergebruik vóór kopen vóór maken Beheers risico's voortdurend | IMP085 | Kies bij cloudoplossingen SaaS boven PaaS boven IaaS | 2 3 4 5 | Bij het kiezen voor een cloud oplossing, geef de voorkeur aan SaaS boven PaaS boven IaaS. Houd hierbij rekening met het definiëren van een goede exit strategie en interoperabiliteit standaarden om de vendor lock-in zo beperkt mogelijk te houden. Een cloud oplossing vergt bovendien een gedegen strategie en plan van aanpak vanuit de eigen organisatie hoe met (publieke, community of private) cloud diensten om te gaan.
Het SaaS (Software as a Service) model richt zich primair op eindgebruikers. Deze zijn (vaak) te prefereren voor oplossingen die niet uniek of onderscheidend zijn voor de organisatie of het werkdomein. Voorbeelden hiervan zijn Customer Relations Management, e-mail & Instant Messaging, Financiën, HRM en Project Management. PaaS (Platform as a Service) richt zich vooral op ontwikkelaars waarmee ze een ontwikkelplatform ter beschikking krijgen waarbij de cloud dienstverlener zorgdraagt voor de infrastructurele aspecten. Bij IaaS (Infrastructure as a Service) neem je infrastructuur componenten uit de cloud af zoals servers, opslag, en netwerken. Opmerking: deze implicatie daagt uit om tot een zo hoog mogelijk niveau ontzorgd te worden. Bij Cloud oplossingen ga je eerst kijken of de functionele eisen met SaaS kunnen worden ingevuld. Als specifiek aan een applicatie-ontwikkelomgeving of infra de behoefte is, dan kies je uiteraard voor PaaS respectievelijk Iaas. |
| Beheers risico's voortdurend | IMP081 | Borg de vertrouwelijkheid van gegevens in maatregelen | 4 | De vertrouwelijkheid van gegevens wordt gegarandeerd door scheiding van systeemfuncties, door controle op communicatiegedrag en gegevensuitwisseling, door validatie op toegang tot gegevens en systeemfuncties en door versleuteling van gegevens. |
| Beheers risico's voortdurend | IMP080 | Controleer de verwerking van gegevens | 3 | Controleer de verwerking van gegevens:
|
| Beheers risico's voortdurend | IMP078 | Bewaak de continuïteit en stel een calamiteitenplan op | 2 | Bewaak de continuïteit van voorzieningen zodat bij bedreiging van de continuïteit alarm geslagen wordt en er voorzien is in een calamiteitenplan. Test en evalueer dit plan op regelmatige basis. |
| Beheers risico's voortdurend | IMP084 | Versleutel gegevens in rust en transport | 4 | Versleutel alle gegevensdragers waarop niet-publieke informatie staat, inclusief smartphones en laptops, conform de laatst bekende en geldende richtlijnen. Dit reduceert het risico op een gegevenslek bij verlies van een dergelijk apparaat. Neem voor niet-publieke gegevens ook adequate beveiligingsmaatregelen om ze te beschermen in ransit. Dit kan door de verbinding te beveiligen, danwel door encryptie van de informatie zelf. Dit laatste heeft de voorkeur. |
| Stuur cyclisch op kwaliteit Beheers risico's voortdurend | IMP086 | Zorg dat software up-to-date is | 4 5 | Houd alle gebruikte software en software-componenten, van applicatief tot infrastructureel, actueel. Volg de update-cyclus van leveranciers strikt: voer updates, patches en beveiligingsupdates zo snel mogelijk door op alle relevante systemen. |
| Verifieer altijd Beheers risico's voortdurend | IMP070 | Segmenteer het netwerk | 5 | Het segmenteren van het netwerk beperkt de gevolgen van een aanval. Segmenteren betekent dat een netwerk in meerdere zones wordt verdeeld, waartussen een inspectiepunt ontstaat. Netwerksegmentatie voorkomt dat een virus of aanvaller zich kan verspreiden in het gehele netwerk. Afhankelijk van de wijze van implementatie is netwerksegmentatie een maatregel die de gevolgen van ransomware-aanvallen of DDoS-aanvallen beperkt. |
| Beheers risico's voortdurend | IMP061 | Reduceer rest-risico's | 2 | Besteed speciale aandacht aan de rest-risico's die overblijven na toepassen van de standaard maatregelen die op basis van de BIO of vanuit de AVG zijn ingericht en weeg de consequenties van de maatregelen af tegen het accepteren van het rest-risico. De verantwoordelijke voor het bedrijfsmiddel moet de rest-risico's accepteren. |
| Verifieer altijd Beheers risico's voortdurend | IMP064 | Stel onweerlegbaarheid vast | 4 | Stel vast voor welke berichtenstromen of transacties onweerlegbaarheid van gegevens vereist is, zodat daarvoor aanvullende maatregelen genomen kunnen worden. |
| Beheers risico's voortdurend | IMP062 | Evalueer de risicoanalyse bij veranderingen | 2 | Een verandering in het dreigingsprofiel, of in een bedrijfsproces of in de onderliggende voorzieningen kan een mogelijke kwetsbaarheid introduceren of gevolgen hebben voor de veiligheidsbelangen van stakeholders. Een verandering kan de kans of de impact van een dreiging veranderen. |
| Beschrijf de dienst nauwkeurig | IMP042 | Leg een Service Level Agreement vast bij de dienst | 2 | Leg de inhoud van de dienst en het akkoord hierop schriftelijk vast, in de vorm van een Service Level Agreement (SLA), een Gegevens Leverings Overeenkomst (GLO), of in wet- en regelgeving.
Dit is in elk geval noodzakelijk voor bedrijfskritische diensten of diensten met een zeer vertrouwelijk karakter. Hierbij is het akkoord en de inhoud daarvan schriftelijk vastgelegd. De dienstverlener geeft hierbij ook aan welk betrouwbaarheidsniveau geldt voor de identificatie van de afnemer. |
| Beschrijf de dienst nauwkeurig Bouw diensten modulair op Hergebruik vóór kopen vóór maken | IMP039 | Zorg voor open specificaties | 1 | Zorg voor open specificaties. Zodat deze hergebruikt kunnen worden over instellingen heen. Dit voorkomt dat verschillende organisaties hetzelfde wiel moeten uitvinden. Zie ook EIF principle 2: "Openness", aanbeveling 4. EIF-brochure (pdf) |
| Beschrijf de dienst nauwkeurig Hergebruik vóór kopen vóór maken | IMP024 | Maak heldere afspraken over aanbieden en afnemen van diensten | 2 | Maak heldere afspraken over aanbieden en afnemen van diensten, waaronder eventueel van toepassing zijnde vergoedingen (afbakening van verantwoordelijkheden). Doe dit zowel vooraf als bij het afsluiten.
|
| Beschrijf de dienst nauwkeurig Neem gegevens als fundament Hergebruik vóór kopen vóór maken | IMP003 | Maak zoveel mogelijk data beschikbaar als open data | 1 3 | Stel overheidsdata actief beschikbaar voor hergebruik door derden, bijvoorbeeld in de vorm van open data. Beschouw dit aanbod als een dienst. De enige uitzondering zijn overheidsdata waarvoor wet- en regelgeving expliciet beperkingen oplegt, die stel je niet actief beschikbaar.
Vanuit o.a. de WOO richt de overheid zich op transparantie. Daarbij hoort het actief beschikbaar stellen dan wel delen van data. Wel met inachtneming van de beperkingen die daarbij gelden (bijv. vanuit de AVG). Er zijn meerdere redenen om data actief beschikbaar te stellen. Zo kan het meer transparantie en inzicht geven in het overheidshandelen en zo de accountability vergroten. Bijvoorbeeld door begrotingen of inkoopgegevens als open data beschikbaar te stellen. Het kan ook economische en maatschappelijke innovatie stimuleren, zoals de ontwikkeling van apps en informatiediensten op basis van overheidsdata. |
| Beschrijf de dienst nauwkeurig | IMP043 | Neem diensten op in een producten- en dienstencatalogus (PDC) | 2 3 | Beschrijf diensten in een producten- en dienstencatalogus (PDC) inclusief de daarbij behorende spelregels. Datasets worden beschreven in een datacatalogus (interne afnemers). Open data van de overheid biedt dit inzicht aan externe afnemers. Zie data.overheid.nl |
| Beschrijf de dienst nauwkeurig Neem gegevens als fundament | IMP001 | Beschrijf informatieobjecten in een model | 3 | Voor een optimale dienstverlening aan burgers en bedrijven en voor effectieve en efficiënte samenwerking in het leveren van diensten tussen en binnen overheidsorganisaties, is het belangrijk om een gezamenlijk beeld te hebben van de informatie die hierbinnen worden gebruikt en nodig zijn.
Dit is alleen mogelijk door informatieobjecten voor een dienst, systematisch te beschrijven met behulp van een informatiemodel dat de semantiek en syntax van de gegevens vastlegt. Zo kunnen de betrokken gebruikers de relevante informatieobjecten vinden, toepassen, (her)gebruiken en archiveren. Dit betekent dat een informatiemodel minimaal bevat:
|
| Beschrijf de dienst nauwkeurig Geef inzicht in de afhandeling van de dienst | IMP009 | Geef de afnemer inzage in rechten en voorwaarden en plichten | 1 2 | De bij de dienst horende rechten, voorwaarden en plichten dienen op duidelijke en transparante wijze toegankelijk te worden gemaakt voor burgers en bedrijven die deze dienst af willen of moeten nemen. |
| Beschrijf de dienst nauwkeurig | IMP040 | Stel een duidelijke Quality of Service (QoS) vast voor de dienst | 2 | De dienst heeft een duidelijk beschreven 'Quality of Service'. Niet alleen op het technisch koppelvlak, maar juist ook op die aspecten die door de afnemers begrepen worden. Bijvoorbeeld in termen van beschikbaarheid, performance, supportniveau, etc. |
| Beschrijf de dienst nauwkeurig | IMP041 | Leg per dienst vast aan welke standaarden deze voldoet | 2 | Leg per dienst vast aan welke normen en standaarden je moet of wilt voldoen. Deze normen en standaarden moeten op hun beurt voldoen aan wet- en regelgeving. De opzet van de dienst is in overeenstemming met deze normen en standaarden. Afwijkingen van deze norm worden geïdentificeerd. |
| Beschrijf de dienst nauwkeurig Geef inzicht in de afhandeling van de dienst | IMP018 | Maak één organisatie verantwoordelijk voor de dienst | 2 | Eén organisatie is verantwoordelijk en aanspreekbaar voor de geleverde dienst. |
| Informeer bij de bron Bundel diensten Bied de dienst proactief aan Neem gegevens als fundament Hergebruik vóór kopen vóór maken | IMP021 | Bevorder hergebruik van gegevens | 2 3 4 | Maak zo veel mogelijk gebruik van gegevens die reeds beschikbaar zijn in plaats van deze gegevens opnieuw te verzamelen of te creëren. |
| Bouw diensten modulair op | IMP083 | Wissel gegevens tussen (web)applicaties uit met API's | 4 | Gegevensuitwisseling tussen (web)applicaties gebeurt via Restful API's. De broneigenaar levert API's die voldoen aan de moderne RESTful standaarden. API's dienen centraal te worden beheerd in een API management systeem. |
| Bouw diensten modulair op | IMP029 | Scheid proces van data | 2 3 4 | Scheid proces van data en data van software. Zorg dat software hardware-agnostisch is. De afhankelijkheden tussen (proces-)onderdelen moeten bij voorkeur zo klein mogelijk zijn. Hierdoor blijft ontkoppeling op een later moment mogelijk. |
| Bouw diensten modulair op | IMP087 | Verwerk bericht-interactie persistent | 4 | Zorg dat een bericht dat een mutatie tot gevolg heeft, bijvoorbeeld een bericht dat een betalingsopdracht representeert, niet verloren kan gaan. Een dergelijk 'transactioneel' bericht moet een incident als uitwijk of storing kunnen overleven.
Alle onderdelen van een verwerkingsketen nemen verantwoordelijkheid voor het bericht en zorgen ervoor dat het bericht niet verloren gaat. Correcte verwerking heeft prioriteit boven verwerkingssnelheid. Persistentie houdt in dat een (transport-)transactie pas is voltooid als het bericht is opgeslagen in een 'persistent store', zoals een bestand of database. Een opvragingsbericht daarentegen heeft geen mutatie tot gevolg. Responsetijd heeft hier meer prioriteit. Bij verlies van een opvragingsbericht (door bv. een storing) wordt de opvraging opnieuw gedaan. Verwerk een opvragingsbericht daarom niet-persistent verwerkt. |
| Bouw diensten modulair op | IMP030 | Scheiding van datasets | 3 | Verdeel de informatie in afgebakende datasets, die ook elk afzonderlijk getoetst kunnen worden op vhet oldoen aan de AVG. |
| Bouw diensten modulair op | IMP031 | Ontwerp op modulaire wijze | 3 | Realiseer complexe systemen op modulaire wijze. Dit doe je door het systeem zodanig te ontwerpen dat deze opgedeeld kan worden in modules. Elke module moet eigenschappen bevatten die het mogelijk maken om ze (via gestandaardiseerde koppelvlakken) aan elkaar te koppelen. Zodanig vormen ze in het geheel een complex systeem. |
| Informeer bij de bron Bouw diensten modulair op | IMP033 | Koppel bronsystemen op basis van een passende classificatie | 4 | Verwerk als afnemer gegevens uit een bronsysteem met respect voor de classificatie van die gegevens. Geef het geen hogere classificatie voor beschikbaarheid en integriteit dan de bron, en geen lagere classificatie voor vertrouwelijkheid. Maak zonodig afspraken met de aanbieder om hun classificatie aan te passen en in hun dienst bijpassende maatregelen daarvoor te implementeren. |
| Bouw diensten modulair op Pas doelbinding toe | IMP032 | Ontwerp diensten met oog voor doelbinding en grondslag | 3 | Ontwerp en implementeer diensten met oog voor doelbinding, data-minimalisatie en oorspronkelijke grondslag. |
| Verplaats je in de gebruiker Bundel diensten Voorkom onnodige complexiteit | IMP005 | Bied één contactpunt (Single point of contact) | 1 2 | Bied de dienst zo veel mogelijk vanuit één contactpunt aan richting burgers en bedrijven. Zo hoeven burgers en bedrijven niet met verschillende partijen te schakelen om de dienst af te kunnen nemen. |
| Geef inzicht in de afhandeling van de dienst Neem gegevens als fundament | IMP050 | Maak gegevens herleidbaar tot de bron (herkomst) | 3 | Dit betekent dat inzichtelijk gemaakt moet worden hoe gegevens tot stand zijn gekomen, over de gehele verwerking in de keten heen. Dus van bronnen tot eindproduct. Van ieder gegeven zijn de herkomst en verwerkingen beschikbaar tot aan vernietiging |
| Geef inzicht in de afhandeling van de dienst | IMP008 | Maak besluiten traceerbaar en controleerbaar | 1 2 | De overheid zorgt dat besluiten die burgers en bedrijven raken, ook door deze burgers en bedrijven te controleren zijn. Hierbij hebben zij de mogelijkheid om inzicht te krijgen op welke wijze en op basis van welke informatie besluiten tot stand zijn gekomen (traceerbaarheid). |
| Hergebruik vóór kopen vóór maken | IMP074 | Identificeer de voor de dienst relevante standaardoplossingen | 2 | Inventariseer de voor de dienst relevante standaardoplossingen voor gebieden zoals:
|
| Pas doelbinding toe Hergebruik vóór kopen vóór maken | IMP022 | Neem oorspronkelijke grondslag mee bij hergebruik diensten | 1 | Bij hergebruik van diensten kijken zowel aanbieder als afnemer opnieuw naar de oorspronkelijke grondslag en doelbinding. Als dat nodig blijkt passen zij pseudonimisering dan wel anonimisering van de data toe. Dit houdt in dat bij te ontwikkelen functionaliteit de oorspronkelijke grondslag bepalend is voor de hergebruikmogelijkheden. |
| Hergebruik vóór kopen vóór maken | IMP023 | Regisseer hergebruik diensten in de keten | 2 | Hergebruik van diensten in de keten moet onderling tussen de verschillende overheidsorganisaties georganiseerd en geregisseerd worden. Zorg voor een register van diensten die voor hergebruik geschikt en beschikbaar zijn. |
| Hergebruik vóór kopen vóór maken | IMP027 | Gebruik open source | 2 | Bij gelijke geschiktheid heeft Open Source software de voorkeur bij het ontwikkelen van een dienst. Zie ook EIF principle 2 "Openness", aanbeveling 3. |
| Hergebruik vóór kopen vóór maken | IMP028 | Maak diensten herbruikbaar | 2 4 | De dienst is zodanig opgezet, dat andere organisaties deze in eigen diensten kunnen hergebruiken. De opzet van de dienst anticipeert op onvoorziene afnemers en gebruik.
Deze implicatie beoogt de dienst interoperabel en bruikbaar voor een zo groot mogelijke groep afnemers te maken. Dit draagt bij aan een hoger rendement van de dienst. Hiervoor is het nodig dat de dienst:
|
| Informeer bij de bron | IMP056 | Registreer gegevens bij de bron | 2 3 | Registreer gegevens (zo dicht mogelijk) bij de bron, daar waar de gegevens ontstaan. Dit verhoogt de volledigheid, kwaliteit en de actualiteit van de gegevens aanzienlijk en voorkomt fouten. De vastgelegde gegevens kunnen daarna voor verschillende doeleinden worden gebruikt. Een ander belangrijk voordeel is dat het achteraf registreren van gegevens die eerder zijn ontstaan wordt voorkomen hetgeen de registratielast vermindert. Waar mogelijk, leg gegevens geautomatiseerd vast. |
| Informeer bij de bron Pas doelbinding toe | IMP077 | Stel de juridische aansprakelijkheid per gegevensobject vast | 2 | Stel per informatie-object de de bron vast, en daarmee de juridische aansprakelijkheid voor de juistheid van het object. |
| Informeer bij de bron | IMP057 | Weet welke (bron)gegevens in huis zijn | 3 | Weet welke gegevens de overheid of overheidsorganisatie al in huis heeft in de bronadministraties en op welke manier deze gegevens hergebruikt kunnen worden. |
| Informeer bij de bron | IMP007 | Verwijs naar de bron | 3 | Verwijzen naar de bron heeft voorkeur boven een kopie uit die bron. Inzage in de bron heeft de voorkeur boven zelf opslaan. Afspraken daarover worden vastgelegd en bekend gemaakt. Vanuit legitimiteitsperspectief kan het nodig zijn een kopie vast te leggen. |
| Informeer bij de bron Neem gegevens als fundament | IMP058 | Stel voor ieder gegeven de unieke bron vast | 3 | Het niet hebben van een 'single point of truth (SPOT)' kan leiden tot divergerende data en mogelijk tot inconsistente beslissingen die op basis van de verschillende databronnen worden genomen. |
| Informeer bij de bron | IMP059 | Geef de voorkeur aan halen i.p.v. brengen van gegevens | 3 | Geef de voorkeur aan het halen (pull) i.p.v. het brengen van gegevens (push). |
| Informeer bij de bron | IMP060 | Bepaal autorisaties met metadata | 4 | Autorisaties voor het verstrekken en gebruik van gegevens kan worden bepaald op basis van metadata. De beheerder die het gegeven beheert en het wil verstrekken voor verdere bewerking, voegt metadata toe aan de hand waarvan de beheerder en de afnemer een autorisatiebeslissing kan nemen. |
| Informeer bij de bron | IMP055 | Gegevens eenmalig uitgevraagd, uniek opgeslagen, meervoudig gebruikt | 2 | Gegevens worden eenmalig uitgevraagd of verzameld, uniek opgeslagen, en vervolgens meervoudig gebruikt. Dit impliceert tevens dat de juistheid van de gebruikte informatie-objecten uit een bronregistratie niet voor gebruik opnieuw hoeft te worden gecontroleerd. |
| Verifieer altijd Lever een kanaal-onafhankelijk resultaat | IMP019 | Maak stelselafspraken over identificatie en authenticatie | 2 | Maak stelselafspraken om te komen tot één generiek digitaal stelsel voor identificatie en authenticatie of sluit aan bij een bestaand kanaaloverstijgend stelsel met afspraken over betrouwbaarheidsniveau's. |
| Lever een kanaal-onafhankelijk resultaat | IMP010 | Bied multi- en omni-channel dienstverlening | 2 3 4 5 | Bied diensten aan via meerdere kanalen aan. Bij multichannel kunnen afnemers kiezen tussen enkele kanalen die niet direct op elkaar zijn afgestemd. Bij omnichannel gebruikt de afnemer heel veel verschillende kanalen die goed op elkaar zijn afgestemd. |
| Lever een kanaal-onafhankelijk resultaat | IMP020 | Defineer de toegangsregels kanaalonafhankelijk | 3 | Formuleer uniforme regels die gelden voor toegang tot de entiteiten (dienst, informatie, object) onafhankelijk van het kanaal. |
| Neem gegevens als fundament | IMP048 | Leg de context van een informatieobject vast in metadata | 3 | Informatie-objecten moeten goed worden beheerd. Onderdeel hiervan is dat de context van een informatieobject goed moet zijn vastgelegd in metadata.
|
| Neem gegevens als fundament | IMP046 | Stel één verantwoordelijke vast voor ieder gegeven | 2 | Voor ieder gegeven en voor iedere verwerking moet er een verantwoordelijke gegevenseigenaar zijn. Dat vraagt een inventarisatie van alle relevante gegevensobjecten. |
| Neem gegevens als fundament | IMP044 | Hanteer bewaartermijnen voor informatie | 1 | Informatie wordt niet langer bewaard en niet eerder vernietigd dan wettelijk is toegestaan. Dit betekent dat:
|
| Neem gegevens als fundament | IMP049 | Draag zorg voor juiste en actuele en volledige informatie | 3 | Een gebruiker kan er op vertrouwen dat een informatieobject, zoals deze in de bron is vastgelegd, juist, actueel en volledig is. Fouten kunnen worden gemeld en hersteld. Daarbij is het van belang dat herstelwijzigingen worden gelogd, zodat traceerbaar is hoe foutieve gegevens zijn verwerkt en wat het effect daarvan is. Dit betekent dat:
|
| Neem gegevens als fundament | IMP051 | Leg auditlogs vast bij de bronregistratie van het gegeven | 3 | Als eigenaar van de bron wil je inzicht hebben in de toegang en inzage (CRUD) van de gegevens die vanuit de bron worden gebruikt. Voorkom dat auditgegevens verspreid raken over afnemende applicaties. |
| Neem gegevens als fundament | IMP052 | Sla informatie op in een duurzaam toegankelijk bestandsformaat | 4 | Informatie moet toegankelijk zijn voor gebruikers, zowel mens als machine. Hiervoor moeten de gebruikers geen speciale toepassingen of hulpmiddelen nodig hebben. Daarbij moet het formaat waar de informatie in wordt opgeslagen toekomstbestendig zijn, zodat de informatie ook in de toekomst nog toegankelijk is. Dit betekent dat:
|
| Neem gegevens als fundament | IMP047 | Pas de FAIR dataprincipes toe | 3 | Pas de implicaties van de FAIR dataprincipes toe. Zie ook go.fair.org FAIR-principes. |
| Neem gegevens als fundament | IMP002 | Voorkom verlies van informatie | 3 | Veranderingen in techniek, organisatie of gebruikerswensen mogen niet van negatieve invloed zijn op de duurzame toegankelijkheid van informatie. Hetzelfde geldt voor bitrot (verlies van informatie door verval van opslagmedia). Neem vooraf maatregelen om informatie toekomstbestendig te maken, zodat deze toegankelijk blijft voor de van toepassing zijnde vormen van (her)gebruik.
Dit betekent dat:
|
| Stuur cyclisch op kwaliteit Neem gegevens als fundament | IMP073 | Stel van ieder gegeven de kwaliteit vast | 3 | Stel voor ieder gegeven de kwaliteit vast volgens kenmerken van compleetheid, actualiteit en tijdigheid. |
| Pas doelbinding toe | IMP004 | Minimaliseer het gebruik van gegevens | 1 3 | Verzamel of vraag alleen die gegevens op die nodig zijn voor het strikte doel van de dienstverlening. En houd de gegevensverwerking die hierop volgt in proportie met het doel. Dit voorkomt dat vertrouwelijke of privacygevoelige gegevens onnodig worden verwerkt. |
| Pas doelbinding toe | IMP054 | Leg de grondslag en het doel van de gegevensverwerking vast | 3 | Leg de grondslag en het doel vast, waarvoor informatie wordt uitgevraagd bij burgers en bedrijven. Aan het doel gekoppeld worden ook de eisen (kwaliteitscriteria) vastgelegd waaraan deze informatie moet voldoen. Houd er rekening mee dat het doel in de loop der tijd kan wijzigen. |
| Pas doelbinding toe | IMP045 | Leg de doelbinding vast in de metadata van het gegevensobject | 1 | De verwerkingshistorie inclusief doel van verwerking wordt vastgelegd bij het gegegevensobject als metadata. Dit betekent dat de historie van acties waarin een gegevensobject wordt verwerkt (opvragen / vastleggen / wijzigen / verwijderen) inclusief het doel van de actie vastgelegd wordt bij het gegevenobject. |
| Pas doelbinding toe | IMP053 | Stel betrokkenen op de hoogte van het doel waarvoor gegevens verzameld worden | 2 | Stel bij het verzamelen en opvragen van persoonsgegevens de betrokkenen op de hoogte van het doel waarvoor de gegevens worden verzameld en van de rechten die zij mogen uitoefenen. |
| Standaardiseer waar mogelijk | IMP035 | Gebruik een actueel register met standaarden | 2 | Maak gebruik van een actueel register met standaarden per toepassingsgebied. Functionele standaarden hebben betrekking op bijvoorbeeld gegevensuitwisseling, beveiliging, taalgebruik, digitale communicatie, etc. Standaarden met een organisatorisch werkingsgebied hebben betrekking op bijvoorbeeld de strafrechtketen, zorgketen, sociale zekerheid, financiën, etc. |
| Voorkom onnodige complexiteit Standaardiseer waar mogelijk | IMP025 | Gebruik standaard oplossingen zonder maatwerk | 2 4 | Gebruik een standaardoplossing (zoals bijvoorbeeld een pakketoplossing) zoveel mogelijk ongewijzigd, dus zonder maatwerkaanpassingen. Pas bij de toepassing van een standaardoplossing je werkwijze aan bij de standaarden en de best-practices die aan de oplossing ten grondslag liggen. Volg waar het kan de inrichtingsfilosofie van leveranciers. |
| Standaardiseer waar mogelijk | IMP075 | Gebruik open standaarden voor modellering | 2 | Organisaties werken volgens een open standaard voor o.a. architectuur-, data- en procesmodellering die door alle samenwerkende partijen op uniforme wijze wordt toegepast. De gekozen open standaard is bepalend voor de keuze van modelleersystemen die deze standaard ondersteunen.
Wissel modellen uit tussen organisaties op basis van open standaarden. Voorbeelden van modelleerstandaarden zijn ArchiMate (architectuur), UML (data) en BPMN (processen). |
| Standaardiseer waar mogelijk | IMP076 | Maak afspraken over nieuwe (en oude) versies van standaarden | 2 | De dienstverlener en de afnemers maken afspraken over de periode waarin overgegaan wordt op een nieuwe versie van de standaard. Wanneer een nieuwe versie van een standaard geïmplementeerd wordt, blijft de aanbieder de oude versie ondersteunen zolang als dat volgens afspraak nodig is. |
| Standaardiseer waar mogelijk | IMP038 | Gebruik gestandaardiseerde referentiedata | 3 | Gebruik gestandaardiseerde referentiedata. Zie ook CBS referentiedata, of domeinspecifieke bronnen voor referentiedata. |
| Standaardiseer waar mogelijk | IMP089 | Gebruik standaard oplossingen (implicatie) | 2 | Ontwikkel geen eigen processen, systemen en technieken wanneer deze ergens anders al beschikbaar zijn. Stel je actief op de hoogte van beschikbare en geplande standaardoplossingen, om daar bij het maken van plannen rekening mee te houden. De bruikbare elementen van beschikbare standaardoplossingen zullen moeten worden ingepast in de eigen organisatie. Geen enkele standaardoplossing past altijd voor de volle honderd procent. Daarom zal de bereidheid tot het sluiten van compromissen aanwezig moeten zijn. |
| Standaardiseer waar mogelijk | IMP037 | Pleeg onderhoud op de toegepaste standaarden | 2 | Zorg via lifecyclemanagement voor toepassing van voldoende actuele versies van standaarden. Inventariseer de relevante standaarden en neem dat mee in het ontwerp van de dienst/voorziening. |
| Standaardiseer waar mogelijk | IMP034 | Gebruik de standaard met het meest specifieke werkingsgebied | 1 | Gebruik de standaard met het meest specifieke werkingsgebied. Als deze conflicteert met bredere (internationale) standaarden, zorg dan in de sector voor afstemming daarmee. |
| Standaardiseer waar mogelijk | IMP036 | Pas open standaarden toe | 2 3 4 5 | Verwerf producten die aan de standaard(en) voldoen. Hierbij geldt: Open standaarden tenzij.
Implementaties maken gebruik van de beschrijvingen uit de open standaarden om leveranciersonafhankelijkheid te behouden. Maak met afnemers afspraken over de te gebruiken open standaarden. Anticipeer hierbij op de ontwikkeling van de open standaarden, bijvoorbeeld door nieuws over standaarden te volgen via noraonline.nl of www.forumstandaardisatie.nl/ |
| Voorkom onnodige complexiteit Standaardiseer waar mogelijk | IMP026 | Pas je eigen proces en organisatie aan aan de standaard oplossing | 2 | Pas je processen en organisatie aan de standaard oplossingen aan, in plaats van het omgekeerde. Zie ook EIF principle 4 "Reusability", aanbeveling 6+7. |
| Stuur cyclisch op kwaliteit | IMP072 | Richt data governance in | 2 | Data governance staat aan de basis van goed gegevenbeheer. Het betreft alle afspraken (en structuren) waarmee je vastlegt hoe gebruik te maken van de beschikbare gegevens en de gegevenskwaliteit en veiligheid hiervan te waarborgen. Hierbij hoort ook het vastleggen van datastandaarden, visie en strategie. Inclusief wie welke verantwoordelijkheid hierin heeft. Zie ook [2] |
| Stuur cyclisch op kwaliteit | IMP071 | Bepaal taken en verantwoordelijkheden van de gegevensverwerking | 2 | Verantwoordelijkheden, bevoegdheden en taken bij gegevensverwerking zijn bepaald en bekend. |
| Stuur cyclisch op kwaliteit | IMP082 | Maak technische schuld inzichtelijk | 4 5 | Maak technische schuld zichtbaar en stuur op het oplossen van technische schulden. Technische schuld (technical debt) treedt op als er - al dan niet bewust - voor een oplossing wordt gekozen die op de korte termijn voordelig is (of lijkt) en gelijktijdig op de langere termijn extra kosten met zich meebrengt en de algehele complexiteit verhoogt. |
| Verifieer altijd | IMP067 | Verifieer de werking van algoritmes | 4 | Kijk doorlopend hoe applicaties functioneren en of uitkomsten van functies en modellen passen binnen de specificaties en dat er geen sprake is van zaken als model drift, of het ontstaan van bias. |
| Verifieer altijd | IMP066 | Richt een sterke logging en audit-trail in | 4 | Logging is fundamenteel in applicaties. Richt een sterke logging en audit-trail in, voor elke applicatie en elk systeem. Logbestanden en audit-trails spelen een sleutelrol in het detecteren van aanvallen en het afhandelen van incidenten.
Logberichten moeten zo veel mogelijk informatie bevatten over hetgeen er gebeurd is (wie, wat, waar, wanneer) en moeten op het juiste niveau gelogd worden. Let er op dat logberichten geen persoonlijke kenmerken (AVG) of security kenmerken (zoals wachtwoorden) mogen bevatten. |
| Verifieer altijd | IMP069 | Hanteer het zero-trust model | 5 | Ga nooit uit van het impliciete vertrouwen dat wie op een bepaald netwerk of systeem komt daar ook hoort:
|
| Verifieer altijd | IMP088 | Verleen alleen strikt noodzakelijke toegangsrechten | 4 | Ken geen rollen en toegangsrechten toe aan accounts van gebruikers en services tenzij dat strikt noodzakelijk is (Least Privilege). |
| Verifieer altijd | IMP068 | Maak toegang tot applicaties en gegevens afhankelijk van authenticatieniveau | 4 | Een gebruiker dient allereerst geautoriseerd te zijn om een applicatie te mogen gebruiken of gegevens te mogen inzien. Hierbij speelt het behaalde niveau van authenticatie een rol. Als bijvoorbeeld informatie met een tweede factor (MFA) moet zijn afgeschermd krijgt de gebruiker geen toegang als hij/zij slechts met een gebruikersnaam/wachtwoord combinatie kan authenticeren. Na succesvolle authenticatie kan bepaald worden of een gebruiker de applicatie mag gebruiken (of informatie mag inzien) aan de hand van autorisatieregels. |
| Verifieer altijd | IMP065 | Verifieer de kwaliteit van gegevens van het begin tot het einde van het proces | 3 | Controleer de kwaliteit van gegevens vanaf invoer en op ieder koppelvlak aan de hand van de vastgestelde kwaliteitseisen. Eenmaal geverifieerd hoeft een verificatie niet opnieuw plaats te vinden als de eerder uitgevoerde verificatie nog betrouwbaar is. |
| Verplaats je in de gebruiker | IMP006 | Ken je afnemers en stem diensten hierop af | 1 | Verdiep je in de achtergronden van je afnemers en de context waarin zij van de dienst gebruik maken en vergewis je van de digitale vaardigheden van je doelgroep. Zorg dat de dienst is afgestemd op de (digi)vaardigheden en mogelijkheden van alle (potentiële) afnemers.
Weet welke informatie afnemers doorgaans zoeken en waar ze deze zoeken. Deze informatie meld je aan op de voor de afnemers bekende vindplaatsen, zoals zoekmachines, portals, catalogi en registers. Ook de dienst zelf voorzie je van de nodige zoekfuncties. Om de afnemer waar dat nodig is door te kunnen verwijzen, zorg je dat je op de hoogte bent van de andere plaatsen waar diensten te vinden zijn. |
| Verplaats je in de gebruiker | IMP017 | Zorg dat overheidsinformatie eenvoudig te raadplegen is | 4 | De informatiegebruiker (mens of machine) kan een informatieobject of een verzameling informatieobjecten binnen redelijke tijd en inspanning gebruiken (zoals inzien, exporteren, bewaren en verwerken in de eigen gebruiksomgeving), nu en in de toekomst (gedurende de gehele levenscyclus).
Daardoor is de informatiegebruiker zo min mogelijk afhankelijk van de beheeromgeving voor de toegang tot de informatie. Dit betekent dat:
|
| Verplaats je in de gebruiker | IMP013 | Maak de dienst toegankelijk voor anderstaligen | 1 | Zorg dat een (potentiële) anderstalige gebruiker de dienst ook kan afnemen, door deze ook in een algemeen toegankelijke taal aan te bieden (bv. Engels). |
| Verplaats je in de gebruiker | IMP011 | Sluit aan op het voorkeurskanaal van de gebruiker | 1 | Sluit qua kanaal aan op de voorkeurkeuze van gebruikers. Digitale kanalen zijn hierin leidend, doch er mag niet voorbij worden gegaan aan het belang van burgers die geen of beperkte mogelijkheden hebben om digitaal te communiceren. |
| Verplaats je in de gebruiker | IMP012 | Maak de dienst toegankelijk voor alle gebruikers | 1 | Zorg dat alle gebruikers, ook die met functiebeperking, de volwaardige dienst kunnen afnemen. Het streven is digitale inclusiviteit voor iedereen (digitoegankelijk). |
| Verplaats je in de gebruiker | IMP016 | Pas ontwerprichtlijnen toe bij websites en portalen en apps | 4 5 | Elke overheidsorganisatie is verantwoordelijk voor het goed toegankelijk maken van haar activiteiten voor burgers en bedrijven. Voor websites geldt dat deze moeten voldoen aan de standaarden zoals gedefinieerd in WCAG. Dit geldt met name voor websites die toegankelijk zijn voor het publiek, maar ook voor intern gerichte websites. WCAG staat voor 'Web Content Accessibility Guidelines'. De wetgever heeft bepaald dat alle (semi-)overheids websites per 23 september 2020 aan deze WCAG standaard moeten voldoen. |
| Voorkom onnodige complexiteit | IMP014 | Elimineer overbodige processtappen (voor de afnemer) | 2 | Stel bij iedere processtap de vraag of deze stap waarde toevoegt voor de afnemer of dat de processtap evengoed weggelaten kan worden. |
Waar gebruik je implicaties voor?[bewerken]
Architecten gebruiken implicaties als een eerste checklist bij de toepassing van de Architectuurprincipes bij het (her-)ontwerpen van concrete diensten. Of je nu werkt vanuit de lagen van het Vijflaagsmodel, of de architectuurprincipes in volgorde afgaat, de implicaties beperken de ontwerpruimte tot keuzes die het bereiken van de gestelde kwaliteitsdoelen niet in de weg staan.
Je bent er echter nog niet met de generieke implicaties, de unieke omgeving van de dienst of dienstverlening betekent dat er ook nog specifieke implicaties kunnen zijn, die alleen gelden binnen een bepaald domein, een bepaalde organisatie, een bepaald applicatielandschap et cetera.
De lijst met implicaties is dan ook geen alternatief voor het vakmanschap van de architect, maar draagt daar aan bij. Het zorgt dat elke architect meelift op de gedeelde kennis voor wat er overal van toepassing is, zodat deze zich kan concentreren op wat het eigen project uniek maakt.
Voordelen van het gebruiken van Implicaties[bewerken]
- Implicaties zijn een concretere uitwerking van de Architectuurprincipes en helpen je deze toe te passen
- Als je de generieke implicaties meeneemt profiteer je van de gedeelde kennis van anderen
- Door je eigen specifieke implicaties toe te voegen voeg je de eigen unieke kennis van de omgeving toe
- De indeling volgens het vijflaagsmodel maakt het mogelijk om bij een wijziging direct te zien waar deze het huidige ontwerp raakt. Zo kan je bij een wijziging in regelgeving, in processen of organisatie, in semantiek of gegevenshuishouding, in het applicatielandschap, of in de infrastructuur gericht op zoek naar de impact.
De mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid.