OW-compliance-principes

Terug naar inhoudsopgave thema

Terug naar Omgevingswet compliance

Compliance principes

In deze paragraaf worden de richtinggevende principes voor compliance beschreven.

Principes m.b.t. duurzaam toegankelijk

Principes zoals informatiebeheer by design, DUTO als uitgangspunt, standaarden volgen zoals TMLO/MDTO, de inzet van een kwaliteitssysteem. Dit krijgt invulling na bespreking van de uitwerking in de DUTO-vakgroep en na het beschikbaar komen van de handreiking duurzame toegankelijkheid vanuit het project in de regio Utrecht.

De handreiking is inmiddels gepubliceerd.

Principes m.b.t. security en privacy

Allereerst worden algemeen geldende principes uit de NORA weergegeven. Vervolgens volgen meer specifieke principes. Dit is gedaan om hier het complete overzicht van principes te bieden en om bij de principes de implicaties te kunnen duiden.

De volgende principes zijn overgenomen uit NORA. Dit zijn afgeleide principes van NORA en deze zijn hier overeenkomstig genummerd. Het statement en de onderbouwing zijn overgenomen. De implicaties zijn terug te vinden in NORA online.

NORAAP41 Beschikbaarheid: De beschikbaarheid van de dienst voldoet aan de met de afnemer gemaakte continuïteitsafspraken.
Onderbouwing: De continuïteitsafspraken zijn gemaakt op basis van de afbreukrisico's die afnemers lopen bij uitval. De processen van afnemers kunnen spaak lopen met financiële en maatschappelijke schade en het vertrouwen in betrouwbaarheid van de dienst kan afnemen.

NORAAP44 Controleerbaarheid: De dienstverlener zorgt ervoor dat de beoogde toegang tot gegevens en de juiste werking van zijn systemen continu alsook achteraf te controleren is.
Onderbouwing: Het gebruik en gedrag van de dienst moet voldoen aan de gestelde regels. Om te borgen dat dit gebeurt, moet continu worden gemonitord. Om de juistheid van uitkomsten van het systeem aan te kunnen tonen, moet gelogd worden.

NORAP42 Integriteit: De dienstverlener waarborgt de integriteit van gegevens en systeemfuncties.
Onderbouwing: De gebruiker van een gegeven moet erop kunnen vertrouwen dat hij het correcte, complete en actuele gegeven ontvangt.

NORAAP40 Onweerlegbaarheid: De onweerlegbaarheid van berichtenuitwisseling wordt gegarandeerd door wederzijdse authenticatie en door versleuteling van elektronische handtekeningen.
Onderbouwing: Bij diensten met rechtsconsequenties is onweerlegbaarheid van groot belang. Onweerlegbaarheid houdt in dat de afzender of ontvanger van een bericht niet kunnen ontkennen het bericht respectievelijk verstuurd, dan wel ontvangen te hebben. Hiervoor is wederzijdse authenticatie en controle op de integriteit van het bericht nodig.
Gevolg: De niveaus van onweerlegbaarheid zijn:

• Laag - Alleen audit informatie bijhouden;
• Midden - Audit informatie en berichtarchief bijhouden;
• Hoog - Audit informatie, berichtarchief bijhouden en de berichten worden getekend.

De beheerorganisatie van DSO-LV past voor de processen aanleveren van een verzoek aan een bevoegd gezag; aanleveren van een toepasbare regel door een bevoegd gezag voor onweerlegbaarheid het niveau Midden toe. De beheerorganisatie van LVBB past voor het proces aanleveren van omgevingsdocumenten door een bevoegd gezag voor onweerlegbaarheid het niveau Midden toe. De provincie dient dit niveau van onweerlegbaarheid toe te passen door bijbehorende maatregelen te treffen.
Voor het proces van het uitwisselen van informatie in de SWF voor het samenwerken aan een omgevingsoverleg of voor samenwerken aan het behandelen van een verzoek dient de provincie het niveau van onweerlegbaarheid te bepalen en vervolgens bijbehorende maatregelen te treffen. Voor het proces van het aanleveren van brondata aan een informatiehuis dient de provincie in overleg met de betreffende leverancier van omgevingsinformatie het niveau van onweerlegbaarheid te bepalen en vervolgens bijbehorende maatregelen te treffen.
De provincie dient na te gaan of er nog andere domeinen zijn die onder de verantwoordelijkheid van de provincie vallen en indien dit het geval is dient de provincie voor de betreffende processen ook het niveau van onweerlegbaarheid te bepalen en vervolgens bijbehorende maatregelen te treffen.

NORAAP43 Vertrouwelijkheid: De dienstverlener verschaft alleen geautoriseerde afnemers toegang tot vertrouwelijke gegevens. Onderbouwing: De gebruiker moet erop kunnen vertrouwen dat gegevens niet worden misbruikt.

Hieronder volgen meer specifieke principes.

APDSO18 Risico gebaseerd werken: De beveiliging wordt ingericht op basis van afweging van de risico’s in de keten.
Onderbouwing: Daardoor kan er een goede afweging worden gemaakt in het implementeren van maatregelen (veiligheid, kosten, gebruiksgemak).
Gevolg: Op basis van bedrijfsdoelen vindt afweging tussen risico’s en beveiliging plaats. Deze afweging vindt op ketenniveau plaats. Afwegingen tussen risico’s van bedreigingen en kosten worden geïdentificeerd, inclusief negatieve impact op andere aspecten van de operationele effectiviteit. Maatregelen worden genomen op basis van deze afwegingen. Deze afweging vindt op ketenniveau plaats. Gevolg daarvan is dat een provincie voor haar onderdeel van de keten zelf die afweging moet maken en die moet afstemmen in de keten.

APDSO20: Security en privacy by design: Beveiliging en privacy zijn vanaf het begin onderdeel van de architectuur en het ontwerp van digitale voorzieningen.
Onderbouwing: Hierdoor kunnen garanties worden gegeven over beschikbaarheid, controleerbaarheid, integriteit, onweerlegbaarheid en vertrouwelijkheid.
Gevolg: Bij het opstellen van het programma van eisen door de provincie moeten beveiliging en privacy worden meegenomen. Die eisen moeten vervolgens verwerkt worden in de architectuur en het ontwerp. Bron: Dit is in de grondslagen laag opgenomen. Bron is de doelarchitectuur DSO-LV, zie referentie.

OWAPS01 Fail-safe defaults: Baseer beslissingen om toegang teg even op permissive en niet op exclusive. Zorg dat de standaardsituatie is ‘geen toegang’ en het permissiemodel geeft de condities waaronder toegang toegestaan is.
Onderbouwing: Een conservatief ontwerp zorgt er voor dat argumenten worden gehanteerd waarom functionaliteit en informatie toegankelijk moet zijn, en niet waarom functionaliteit en informatie niet toegankelijk moet zijn. Dit draagt bij aan kwaliteitsattributen Integriteit, vertrouwelijkheid, authenticiteit en transparantie.
Bron: Saltzer & Schroeder, zie referentie [49].

OWAPS02 Least privilege: Elke actor, gebruiker of system, gebruiken functionaliteit en informatie op basis van de kleinste verzameling van permissies om de taak uit te voeren.
Onderbouwing: Dit vermindert het risico van schade als gevolg van fouten. Het minimaliseert de interactie van de actor met het systeem dat de functionaliteit en informatie verschaft. Misbruik van systemen is door de reductie in audits eenvoudiger uit te voeren. Dit draagt bij aan de kwaliteitsattributen integriteit, vertrouwelijkheid, authenticiteit. Bron: Saltzer & Schroeder, zie referentie [49].

OWAPS03 Informatie is vrij beschikbaar, tenzij…: de wet dit verbiedt; vermelde beleidsopvattingen te herleiden zijn naar de persoon; concurrentieverhoudingen kunnen worden geschaad; het organisatiebelang wordt geschaad. Onderbouwing: Belangrijk voor het bepalen van de beheersmaatregelen m.b.t. informatiebeveiliging is om in te kaderen welke informatie wel of niet vrij beschikbaar is.

OWAPS04 Informatie is geclassificeerd: De informatieobjecten worden geclassificeerd met onderscheid in openbaar, intern/bedrijfsvertrouwelijk, vertrouwelijk en geheim (conform IBD gemeenten).
Onderbouwing: Belangrijk voor het bepalen van de beheersmaatregelen m.b.t. informatiebeveiliging is om de informatie op de juist wijze te classificeren.
Gevolg: De classificatie van gegevens die in een keten door een bevoegd gezag wordt uitgewisseld is de verantwoordelijkheid van de verantwoordelijke in de keten, te weten het Bevoegd Gezag. Dit geldt bij het aanleveren van omgevingsdocumenten, bij het verwerken van verzoeken, bij het uitwisselen van gegevens in de SWF, bij het aanleveren van brondata aan een informatiehuis. Gegevens die geen classificatie hebben worden beschouwd als toegankelijk voor iedereen.
De classificatie van de gegevens is van belang omdat deze classificatie de sterkte van het authenticatiemiddel bepaalt, zie APDSO17.

OWAPS05 Samenwerken in datalek procedures: De provincie werkt samen met de landelijke beheerorganisatie in het doorlopen van procedures bij een geconstateerde datalek in de SWF.
Onderbouwing: Wettelijke eis is dat een aangeslotene als initiator van een samenwerking beschikt over een aanspreekpunt dan wel contactpersoon en deze schriftelijk bekend maakt aan de minister of de door de minister aangewezen beheerorganisatie, ten behoeve van een juiste en adequate naleving van de volgende verplichtingen:
a. uitvoering geven aan de rechten van betrokkene zoals opgenomen in artikel 16.11 van de Omgevingsregeling;
b. verstrekken van informatie over een datalek in verband met de operationele werking van de landelijke voorziening, zoals opgenomen in artikel 16.12 van de Omgevingsregeling;
c. verstrekken van informatie over een datalek als niet duidelijk is of dat verband houdt met de operationele werking of het gebruik van de landelijke voorziening, zoals opgenomen in artikel 16.14 van de Omgevingsregeling.
d. De initiator van de samenwerking zorgt tevens dat deelnemers zich committeren om te informeren over het optreden van een datalek.
Gevolg: De provincie dient een aanspreekpunt hiervoor te benoemen en bekend te maken. Het aanspreekpunt dient te zorgen dat aan de gestelde verplichtingen kan worden voldoen.

OWAPS06 Norm en baseline zijn het toetsingskader: De NEN-ISO 27001 norm en de Baseline Informatiebeveiliging Overheid gelden als toetsingskader. Onderbouwing: De Interprovinciale Baseline Informatiebeveiliging Overheid is gebaseerd op de landelijke standaard NEN-ISO/IEC-27001/27002 (code van informatiebeveiliging). Elke provincie is hieraan gehouden.

OWAPS07 NCSC-richtlijnen zijn het toetsingskader voor applicaties: NCSC richtlijnen gelden als toetsingskader voor cloud-/ webapplicaties. Hiervoor wordt de beoordelingslijst gebruikt. Risico-afweging en uitwerken van beheersmaatregelen loopt via nauwe samenwerking procesverantwoordelijke afdeling met informatieveiligheidsspecialist (CISO). Onderbouwing: Minimaliseren van risico's op het gebied van beveiliging, privacy, volwassenheid cloud aanbieder, volwassenheid klant en leveranciersafhankelijkheid. Gevolg: Software daarop toetsen en BIA uitvoeren.