Heeft u vragen en/of opmerkingen over deze pagina, mailto:postbusear@rijksoverheid.nl
De EAR wordt opgevolgd door de RORA (RijksOverheid Referentie Architectuur), hier vindt u meer informatie over de RORA.
Eigenschap:Toelichting implicaties
Type eigenschap
:
Tekst
Geldige waarden
:
Meerdere waarden toegestaan
:
Nee
Weergave op formulieren
:
Tekstvak
Initiële waarde
:
Verplicht veld
:
Toelichting op formulier
:
Subeigenschap van
:
Geïmporteerd uit
:
Formatteerfunctie externe URI
:
Klik op de button om een nieuwe eigenschap te maken:
I
Kennis op het gebied van hanteerbare kaders, best practices, risicomanagement en begrijpelijk rapporteren wordt centraal gefaciliteerd en ontwikkeld. De kwetsbaarheid van de totale keten neemt toe door processen die de organisatiegrenzen overstijgen. Het lijnmanagement maakt afspraken over beveiligingsnormen waaraan organisaties in de keten van binnen en buiten de Rijksdienst moeten voldoen. Voor het geheel moeten ketenverantwoordelijken aangesteld worden.
Het primaire uitgangspunt voor informatiebeveiliging is en blijft risicomanagement. Een deugdelijke afweging van risico’s blijft het primaire uitgangspunt voor informatiebeveiliging. Hierbij gaat het naast de bepaling van potentiële schade en dreigingen ook om het doel van de opslag en verwerking van informatie. Beveiligingsmaatregelen mogen de toegankelijkheid en verwerking van
informatie binnen het verwerkende proces niet disproportioneel beperken. +
* Per dienst zijn de mate van vertrouwelijkheid en de bijbehorende identificatieeisen vastgesteld
* Voor een intern systeem, besloten gebouw of ruimte, geldt: “niets mag, tenzij toegestaan”. Daarom wordt de gebruiker voor toegangverlening geauthenticeerd. Voor afnemers van vertrouwelijke diensten geldt hetzelfde. Daardoor zijn deze gebruikers en afnemers uniek herleidbaar tot één natuurlijk persoon, organisatie of ICT-voorziening.
* Bij authenticatie met behulp van wachtwoorden dwingt het systeem toepassing van sterke wachtwoordconventies af.
* De instellingen van het aanmeldproces voorkomen dat een gebruiker werkt onder een andere dan de eigen identiteit.
* Om de mogelijkheden van misbruik te beperken, hebben gebruikers van systemen niet méér rechten dan zij voor hun werk nodig hebben (autorisatie). Daarbij zijn maatregelen getroffen om een onbedoeld gebruik van autorisaties te voorkomen.
* Verleende toegangsrechten zijn inzichtelijk en beheersbaar.
* De identificatie-eis voor een samengestelde dienst wordt bepaald door de dienst met de hoogste identificatie-eis.
+
*De zonering en de daarbij geldende uitgangspunten en eisen per zone zijn vastgesteld.
* De fysieke en technische infrastructuur is opgedeeld in zones.
* Deze zones zijn voorzien van de benodigde vormen van beveiliging (de 'filters').
* Informatie-uitwisseling en bewegingen van mensen tussen zones wordt naar vorm en inhoud gecontroleerd en zo nodig geblokkeerd.
+
N
Zorg voor een adequate beschrijving van de dienst. Deze beschrijft o.a.
* begrippenkader of semantisch model
* resultaat van de dienst voor afnemers
* verantwoordelijke organisatie. Zie AP 26
* wettelijke basis
* prijs en leveringsvoorwaarden
* wijze van ontsluiting
** website, Klantcontactcentrum, formulieren
** vereiste authenticatie
* dialoog. De dienst kan alleen geleverd worden na afronding van een dialoog tussen afnemer en dienstverlener. Denk aan: de aanvraag van de dienst door de afnemer, de wedervraag van de dienstverlener om meer informatie en het antwoord daarop. Deze dialoog stelt voorwaarden aan de afnemer. De afnemer moet de beschrijving van deze dialoog begrijpen, wil hij aan de voorwaarden kunnen voldoen.
* Kwaliteitsindicatoren voor aspecten als toegankelijkheid, vindbaarheid, beschikbaarheid, uitwisselbaarheid, betrouwbaarheid, authenticiteit en volledigheid. Deze indicatoren maken sturing op kwaliteit mogelijk. Op basis daarvan kan de dienstverlener verantwoording afleggen aan opdrachtgevers, afnemers en derde partijen (b.v. toezichthouders). Zie AP 29 en 30
* De kwaliteit van de dienst is vastgelegd in algemene leveringsvoorwaarden. Afspraken met afnemers worden vastgelegd in bijvoorbeeld Service Level Agreements (SLA's). De leveringsvoorwaarden en SLA's leggen zowel eisen op aan de leverende partij als aan de afnemer (randvoorwaardelijk voor de levering). +
* De dienstverlener zorgt voor informatie over de dienst en een passende ontsluiting.
* Er is onderzocht welke contactfuncties het meest gebruikt worden door de doelgroep van de dienst (die dus de meeste afnemers zouden kunnen doorverwijzen). Afspraken met de betreffende organisaties borgen de doorverwijzing.
* Deze contactfuncties en hun medewerkers beschikken over de informatie die nodig is om de vraag van de afnemer zodanig te verhelderen, dat gericht naar de dienst kan worden doorverwezen. Deze medewerkers zijn in staat om te werken met alle relevante zoekinstrumenten.
* De dienst is vindbaar en toegankelijk via alle contactfuncties
* De dienst maakt deel uit van overzichten van overheidsdienstverlening (zoals Samenwerkend Catalogi, thematische webportals)
+
Overheidsorganisaties vereenvoudigen regels, procedures, formulieren, etc. zo veel mogelijk, zodat de noodzaak tot het opvragen van informatie wordt beperkt. Daarna wordt onderzocht welke wel noodzakelijke 'need to know' informatie al binnen de overheid bekend is en wie de beheerder daarvan is. Vervolgens leggen dienstverleners expliciet vast welke afspraken zij hebben gemaakt over het delen van de informatie,de inzet van technische voorzieningen, verantwoordelijkheden en rollen in de samenwerking en dienstverlening. Ook kunnen formulieren worden aangepast, zodat reeds bekende informatie over de burger of het bedrijf, al van tevoren is ingevuld. Omgekeerd zal de dienstverlener zijn informatie moeten delen met andere dienstverleners die gebruik mogen en willen maken van die informatie voor de uitvoer van hun taken. Omdat andere partijen in staat te stellen hergebruik te maken van informatie, worden er hoge eisen gesteld aan kwaliteit, beheer en duurzaamheid en worden deze expliciet vastgelegd.
'''Ontwerpeis''': overheden hebben expliciet vastgelegd welke afspraken zij in hun samenwerking gericht op gezamenlijke dienstverlening,hebben gemaakt over het hergebruik van informatie, technische voorzieningen, rollen en verantwoordelijkheden. +
O
* De dienstverlener heeft afgewogen welke ondersteunende processtappen, handelingen en informatie-objecten uit het dienstverleningsproces meerwaarde hebben voor andere organisaties
* Deze handelingen en objecten zijn beschreven en ontsloten als afzonderlijke en herbruikbare diensten
* De resulterende diensten zijn zó beschreven dat de resultaten en voorwaarden ook in een andere context begrepen kunnen worden
* De diensten zijn gepubliceerd in een landelijk serviceregister of dienstencatalogus.
+
Input van afnemers wordt systematisch verzameld en geanalyseerd. Goede indicatoren zijn klachten van gebruikers, verzoeken om correctie van gegevens en suggesties voor het verbeteren van de dienstverlening. De dienstverlener kan ook zelf het initiatief nemen om te achterhalen hoe afnemers de dienst ervaren. Als een vorm van (indirecte) input kunnen bijvoorbeeld systeemmeldingen en gebruiksstatistieken worden gebruikt. Er worden procedures ingericht om tijdig en gepast te reageren op afnemers die input leveren. Besturingsprocessen zijn zodanig ingericht dat bij planning en control rekening wordt gehouden met input van afnemers. +
P
* Voor de start van de ontwikkeling van een nieuwe dienst zijn de vereisten waaraan de dienst moet voldoen schriftelijk vastgelegd.
*monitoring vindt plaats van:
** naleving prestatie normen
** gebruiksstatistieken
** Klanttevredenheid
* feedback door afnemers wordt actief ondersteund met behulp van:
** focusgroepen
** klachtenprocedures
** cliëntenraden
* Een gestructureerd proces voor methodische verwerking van issues en voorstellen voor verandering is ingericht
+
* De dienstverlener slaat klantcontactinformatie op (contactmomenten-, personen, afgenomen diensten en voorkeuren) en bouwt op basis hiervan klantbeelden (zie definitie) op.
* De dienst wordt aangevraagd en geleverd op basis van deze klantbeelden.
* Dit klantbeeld is beschikbaar in alle contactfuncties (zie definitie) wanneer er contact is met de afnemer
* Bij de verzameling van klantcontactinformatie informeert de dienstverlener de betrokkenen over alle verwerkingen.
* De dienstverlener deelt klantcontactinformatie met andere dienstverleners in het kader van persoonsgerichte dienstverlening. Juridische en praktische implicaties hiervan zijn onderzocht.
+
De dienstverlener:
* de vaardigheden, voorkeuren en het (zoek)gedrag van de afnemer en doelgroep zijn vastgesteld
* geeft op basis hiervan de dienst vorm en past deze zo nodig aan
* heeft bepaald welke (aspecten van) diensten binnen de overheid of daar buiten gelden als benchmark
* zoekt zo nodig naar samenwerking over de keten heen +
De dienst wordt in de context van de bredere overheidsdienstverlening beschreven, gecommuniceerd en ontsloten:
* de relevante groep diensten is bepaald (op basis van life event, doelgroep etc.)
* er is onderzocht hoe deze diensten, voor welke doelgroepen ontsloten wordt: via welke organisaties, loketten, websites, formulieren etc.
* de dienst is beschreven in relatie tot de andere diensten in dit domein
* de dienst wordt aangeboden via de in dit domein gebruikelijke contactfuncties. +
Een belangrijke voorwaarde is dat dienstverleners hun afnemers kennen en daarbij informatie van andere organisaties meenemen. Proactiviteit vraagt om het opnieuw doordenken van dienstverleningsprocessen vanuit het perspectief van de afnemer. Het is niet vanzelfsprekend dat dienstverlening altijd start met een aanvraag van een afnemer. Een overheidsorganisatie kan ook zelf het initiatief nemen. Als hiervoor geen input van de afnemer nodig is, kan het proces zelfs eenzijdig worden afgerond. +
Per dienst is bepaald:
* voor welke doelgroepen en in welke situaties een proactief aanbod van de dienst gewenst is
* welke signalen de dienstverlening in gang zetten
* welke andere verwante diensten in dit domein worden aangeboden
* welke dienstverleners in dit domein contact hebben met de doelgroep. Deze dienstverleners krijgen de informatie die nodig is om de relevantie van de dienst voor de doelgroep te kunnen beoordelen.
* welke klantcontactinformatie voor andere dienstverleners als signaal bruikbaar is en wat de juridische en praktische implicaties van dit hergebruik zijn +
R
*Er is vastgesteld of: **de dienst ruimtelijke informatie bevat die op een interactieve kaart kan worden ontsloten **welke kaartinformatie er in het relevante domein van diensten wordt gebruikt om ruimtelijke informatie in te ontsluiten *De geïdentificeerde ruimtelijke informatie is ontsloten via de relevante interactieve kaarten.
+
S
*Business case is nodig voor elke beslissing tot sourcing
*Businesscase regelmatig herijken bij voortgang in het sourcingstraject.
*Generieke ICT voorzieningen gebundeld uitvoeren binnen verzorgingsgebieden door gespecialiseerde interne ICT-dienstverleners.
*Zorg dat de te sourcen dienst of activiteit ook sourcebaar is.
+
*Generieke I-diensten van het Rijk moeten bekend, beschreven en ontkoppelbaar c.q. sourcebaar zijn.
*Generiek i-kerndiensten als shared services uit laten voeren door centraal aangestuurde combinatie van shared service organisaties, die tezamen de mix van I-diensten leveren waarmee ze de behoeften aan generieke I-diensten afdekken.
*I-diensten die worden uitbesteed aan het bedrijfsleven regisseren vanuit de centrale rijksoverheid in rijksbrede partnerschappen en raamcontracten.
*Maak gebruik van preferred suppliers (verdeeld over de sourcingkavels)
*Op rijksniveau zijn de strategische partners preferred suppliers voor de generieke diensten.
*Besteedt bij voorkeur uit aan integrators. Feitelijke uitvoering kan door onder aanneming in meerdere handen liggen. De SSO’s zijn voor de Rijksdienst de integrators.
*Generieke i-diensten niet langdurig bij eenzelfde aanbieder sourcen. Zorg voor de mogelijkheid tot tussentijdse opzegging.
*Besteed generieke diensten bij voorkeur pas uit aan de markt als je ze zelf beheerst.
*Binnen een architectuurdomein worden architectuurstandaarden gehanteerd. Producten en diensten voor zo’n standaard kunnen door meerdere partijen worden geleverd.
+
*Het Rijk hanteert een afwegingskader (zie hoofdstuk 4 van het [[Sourcingsafwegingskader binnen het Rijk | document]]) waarin nieuwe sourcingstrajecten voor generieke ICT binnen het Rijk worden getoetst aan de sourcingsprincipes.
*De Enterprise Architectuur Rijk is leidend bij de keuzen die worden gemaakt.
*Politieke/ bestuurlijke en juridische kaders (wet- en regelgeving) ten aanzien van sourcing zijn leidend. Echter zuiver politieke, bestuurlijke en/of juridische keuzes voor uitbesteding gaan ook altijd vergezeld van een business case, opdat duidelijk blijft welke gevolgen beslissingen hebben.
+
*Er moeten richtinggevende criteria zijn om te kunnen bepalen of een functie een [[Kerntaken | kernfunctie]] of een [[Perifere taken | perifere functie]] is.
*Er moeten richtinggevende criteria zijn om te kunnen bepalen welke vorm van sourcing geschikt is voor een bepaald type voorziening.
*Er moet een actueel overzicht zijn van de kernfuncties en de perifere functies m.b.t. informatievoorziening bij de rijksdienst.
+
Volg de uitgangspunten het ‘[[Regie en Sourcing generieke ICT Rijksdienst - Besturingsmodel | Besturingsmodel Generieke I-diensten Rijk]]’:
*De sturing op de sourcing van generieke I-diensten sluit aan bij de bestaande rijksbrede sturingsgremia en rijksbrede sturingsafspraken.
*Voor elke dienst is één eigenaar bekend. Er zijn drie opties:
*# Eigenaar van specifieke I-diensten is het desbetreffend departement.
*# Eigenaars van gemeenschappelijke diensten is één van de deelnemende departementen, tenzij de verwachting is dat deze gemeenschappelijke dienst generiek wordt. In dat geval ligt het eigenaarschap bij BZK/DGOBR.
*# Eigenaar van generieke ICT-diensten is BZK/DGOBR, tenzij er interdepartementaal afwijkende afspraken zijn gemaakt.
*De eigenaar is eindverantwoordelijk voor een adequate sourcing van de dienst.
*Voor elk sourcingsstraject zijn de randvoorwaarden voor goed opdrachtgeverschap ingevuld:
*# Beheers vanaf de start van de sourcingsstrategie de relatie tussen opdrachtgever en opdrachtnemer.
*# Stuur op resultaat (output) in plaats van op het totstandkomingsproces en maak duidelijke afspraken over functionaliteit, kwaliteit en kosten.
*# Zorg als opdrachtgever te beschikken over adequate deskundigheid om de sourcingsafspraken te kunnen sturen en beheersen.
* Intensivering van regiekwaliteit en -kwantiteit is randvoorwaarde om besturing te borgen, ongeacht welke keuzes in dit traject worden gemaakt. +
*Programma’s van eisen bij aanbestedingen formuleren in eisen en wensen t.a.v. functionaliteit, kwaliteit en kosten.
*Kaders in aanbestedingen t.a.v. architectuur, beveiliging, inkoop etc. rijksbreed standaardiseren.
*Als opdrachtgever onder aanneming bij de opdrachtnemer vooraf toetsen op consequenties voor de gestelde eisen of het gebruik van de dienst.
*Voor de start van de aanbesteding heldere afspraken maken over onder aanneming en vervolg sourcing.
+
De hoogst verantwoordelijke binnen de organisatie is verantwoordelijk voor en legt verantwoording af over:
* het voor de dienst relevante kwaliteitsbeleid en de wijze van monitoring van de kwaliteit
* de geleverde prestaties
* naleving van afspraken met afnemers. +
T
* Er zijn procedures en middelen om twijfel aan de juistheid te melden.
* Met bronhouders zijn afspraken gemaakt voor de inname en verwerking van de meldingen.
* Van alle in de dienst gebruikte gegevens is vastgelegd welke acties bij gerede twijfel aan deze gegevens moeten worden uitgevoerd.
+
*gebruik uniforme authenticatiemiddelen (bijvoorbeeld Rijkspas);
*maak rijksbrede afspraken over de inrichting van de authenticatievoorziening;
*minimaliseer aantal benodigde authenticatiemiddelen per medewerker (beperk digitale sleutelbos)
*maak gedeelde inschatting van risico's en neem daar maatregelen tegen;
*maak afspraken over single sign on (standaarden, aansluitvoorwaarden).
+
Bij het wijzigen van autorisaties van een gebruiker dient vermeden te worden dat het authenticatiemiddel voor die gebruiker moet worden vervangen. Voorbeeld: een medewerker personeelszaken krijgt een functie als projectleider. Bij deze rolwisseling passen andere autorisaties maar de authenticatiemiddelen blijven dezelfde als in zijn vorige functie. +
Er dient classificatie plaats te vinden van de informatie/locatie-faciliteiten om te bepalen wat het benodigde authenticatieniveau is. +
Onderzocht moet worden hoe de doelgroep is opgebouwd en hoe de verschillende soorten afnemers van de dienst gebruikmaken (gebruikersonderzoek). Op basis hiervan kan worden bepaald welke communicatiekanalen er worden ingezet en op welke wijze. Dit kan betekenen dat er meerdere communicatiekanalen moeten worden gebruikt (bijvoorbeeld internet en telefoon) via mogelijk meerdere ingangen (bijvoorbeeld verschillende websites voor verschillende doelgroepen). Het is daarbij niet mogelijk alle afnemers naar wens te bedienen. Er zal daarom een afweging moeten worden gemaakt tussen de voorkeuren van de afnemers en het rendement van de verschillende kanalen en ingangen. Voorwaarde daarbij is dat niemand wordt uitgesloten. Waar meerdere kanalen en ingangen worden aangeboden, moet zijn gewaarborgd dat de resultaten van de dienstverlening onafhankelijk zijn van het gekozen kanaal en de gekozen ingang. Zelfs als deze door elkaar heen worden gebruikt. Het moet bijvoorbeeld voor het antwoord niet uitmaken of een vraag binnenkomt per post, e-mail of telefoon. +
Vastgesteld moet worden welke informatie relevant is voor afnemers. Hiervoor wordt betrouwbare informatie vervolgens (duurzaam) beschikbaar gesteld aan degene die inzage wenst. Het betreft bijvoorbeeld:
* beschrijving van de dienst;
* leveringsvoorwaarden;
* welke informatie wordt gebruikt;
* betekenis van gebruikte informatie;
* wat de werkwijze is;
* voortgang van het dienstverleningsproces;
* hoe resultaten (met name: beslissingen) tot stand zijn gekomen. +
* De dienstverleningsprocessen zijn geautomatiseerd.
* De afnemer kan online 24/7 per week, of op elk ander afgesproken moment, de status raadplegen.
* Statusovergangen zijn inzichtelijk gemaakt.
* De voor de afnemer relevante voortgangsinformatie in de totstandkoming van diensten is beschreven (zowel als kwaliteitsattribuut in het metamodel van de dienst, als in de leveringsvoorwaarden (SLA)).
* Voor het bepalen van relevante voortgangsinformatie is de behoefte van de afnemer of doelgroep geïnventariseerd.
* De bijbehorende stadia in het uitvoeringsproces zijn eenduidig vastgelegd en gekoppeld aan het klant- en zaaknummer.
* Aan de voortbrenging van de dienst is een casus of zaak gekoppeld die uniek identificeerbaar is en via alle kanalen beschikbaar en toegankelijk (transparant) blijft gedurende de geldigheidstermijn.
* Voortgangsinformatie wordt ontsloten via alle kanalen waarlangs de dienst wordt verleend én via de persoonlijke contactvoorzieningen van voorkeur van de afnemer (ViaMijnBank, MijnOverheid.nl, MijnBerichten, e-mail).
* De afnemer wordt geïnformeerd over statuswijzigingen.
+
U
* Voor alle diensten zijn herstellende maatregelen gedefinieerd voor het geval de levering mislukt.
* Voor iedere dienst is bepaald wie verantwoordelijkheid draagt voor communicatie en herstel richting de afnemer.
* Het volledige proces van voortbrenging van de dienst en de bijdrage van alle partijen daarin, is op elk moment traceerbaar.
* Verwerkingen zijn herstelbaar.
+
* Er is vastgesteld welke berichten onweerlegbaar moeten zijn.
* Bij deze berichten is geborgd dat het ontvangen bericht afkomstig is van de afzender en dat de inhoud niet door derden is beïnvloed.
+
V
* In overleg met afnemers is de wijze van verantwoording en vorm van toetsing vastgesteld.
* PDCA-cycli op strategisch en tactisch niveau zijn ingericht.
* De baseline kwaliteit is vastgesteld.
* De naleving van de baseline en aanvullende kwaliteitsmaatregelen zijn gecontroleerd.
* De directie legt verantwoording af.
* De verantwoording en bijbehorende toetsingsrapportages zijn toegankelijk voor afnemers (voor zover dit geen risico's oplevert voor de informatiebeveiliging).
+
Per dienst is bepaald:
* de informatie-objecten die van belang zijn voor hergebruik, controle en verantwoording van de dienst
* de eisen die aan deze informatie-objecten worden gesteld, (bv. t.a.v. inhoud, structuur, verschijningsvorm (en in bepaalde gevallen ook het gedrag)
* het moment, de wijze van archiveren en de termijn waarop deze informatieobjecten moeten worden bewaard.
* de vragen die de audittrail moet beantwoorden.
* de beheeractiviteiten op de informatie-objecten zijn uitgevoerd
* met welke besturings- of toepassingsprogrammatuur zij worden beheerd +
Er worden maatregelen genomen om te voorkomen dat gegevens ongeautoriseerd worden gebruikt. Gebouwen en systemen worden beveiligd tegen onbevoegden en malafide software. Ook wordt voorkomen dat eigen medewerkers toegang krijgen tot informatie die niet voor hen is bedoeld. Registratie van handelingen maakt het mogelijk om te controleren of er sprake is van schending van vertrouwelijkheid. +
Bekend moet zijn welke informatie afnemers doorgaans zoeken en waar ze deze zoeken. Deze informatie wordt aangemeld op de voor de afnemers bekende vindplaatsen (zoekmachines, portals, catalogi, registers, etc.). Ook de dienst zelf wordt voorzien van de nodige zoekfuncties. Om te kunnen doorverwijzen, moet de dienstverlener op de hoogte zijn van de andere plaatsen waar diensten te vinden zijn en de afnemers hiernaar verwijzen als dat nodig is. +
De organisatie is in staat om communicatie met de afnemer via internet en de andere gekozen kanalen af te wikkelen. +
W
*Medewerkers moet de mogelijkheid worden geboden een eigen "persoonlijke digitale werkruimte" samen te stellen, die ‘any place, any time on any device’ oproepbaar is.
*Medewerkers kunnen de door de Rijksdienst verstrekte digitale functionaliteit flexibel aanvullen naar eigen inzicht.
*Functionaliteit en apparatuur zijn ontworpen en/of ingekocht als onafhankelijke eenheden.
*Medewerkers moeten zelf zonder tussenkomst van IT-afdelingen in staat zijn om software en/of andere digitale diensten eenvoudig af te nemen uit een rijkscloudomgeving en/of applicationstore.
+
*Scheiding aanbrengen tussen functionaliteit en technisch device (apparatuur) is noodzakelijk om mobiel werken en gastgebruik bij andere organisaties mogelijk te maken.
*Functionaliteit moet zodanig worden ontworpen en gemaakt, dat deze any time, any place en on any device kan worden uitgevoerd.
+
Deze pagina is voor het laatst bewerkt op 24 jun 2019 om 15:17.