Handreiking Mobiele App Ontwikkeling en Beheer voor de Rijksoverheid (v 2.0)

Transcriptie

1 Handreiking Mobiele App Ontwikkeling en Beheer voor de Rijksoverheid (v 2.0) Ronald Heukers Architect Dictu Dennis Brocker Adviseur CIO-Office DJI 1

2 Even Voorstellen Ronald Heukers Ministerie van Economische Zaken Dienst ICT Uitvoering (DICTU) Team architectuur en kwaliteit ICT Architect 2

3 Even Voorstellen Dennis Brocker Ministerie van Justitie en Veiligheid Dienst Justitiële Inrichtingen (DJI) CIO-Office Sr. Adviseur Informatiebeveiliging & Privacy 3

4 Achtergrond en doel Handreiking app ontwikkeling Adviserend, niet voorschrijvend Gebruik maken van elkaars kennis en ervaring Eenduidige uitstraling, beveiliging en werking van Rijks apps Maart 2017 geaccordeerd in CTO Raad Rijk April 2018 versie 2.0 geaccordeerd door CTO Raad 4

5 Co-creatie van Schrijvende partijen Belastingdienst (Ministerie van Financiën) DICTU (Ministerie van Economische Zaken) SSC-ICT (Ministerie van Binnenlandse Zaken en Koninkrijksrelaties) SSC-I DJI (Ministerie van Veiligheid & Justitie) Organisator Reviewers Algemene Zaken (Rijkshuisstijl) Centrum Informatiebeveiliging en Privacybescherming (CIP) ICTU Logius Ministerie van Defensie P-Direkt Rijkswaterstaat VWS Geïnformeerd 2 e kamer (ICT dienst) BZK DGOO DUO Forum Standaardisatie I&M Politie VenJ/ DI&I 5

6 Vragenrondje Hoe staan we er voor? 6

7 Onderwerpen van de Handreiking (1.0) Een app is geen applicatie Voor apps moet je zaken anders doen op het gebied van: Samenvatting op A3 beschikbaar Beleid Bedrijfs architectuur De samenvatting vindt u hier Informatie architectuur User experience Software architectuur Integratie architectuur Beveiliging Infrastructuur Beheer EMM De handreiking vindt u hier 7

8 Nieuwe zaken in versie 2.0 Augmented reality Virtual reality Machine learning AVG App config 8

9 Bedrijfsarchitectuur : Waarom apps? 9

10 Bedrijfsarchitectuur : Burgers & Bedrijven Kanalen Lever toegevoegde waarde aan de bedrijfsstrategie Techniek Informatie Website Content Reizigers Responsive design Tablet first design Web Applicatie Adaptive delivery m. Reizigers App App Laat de app passen in de device strategie tv. Platform optim ized Laat design app aansluiten op doel, doelgroep en eindgebruiker 10

11 Bedrijfsarchitectuur : Medewerkers App ontwikkeling Ondersteuning Standaard apps Beveiliging WiFi/VPN support Platformen Doel: , news, social.. 11

12 Bedrijfsarchitectuur : Transparantie 12

13 Informatiearchitectuur : Classificatie 13

14 Informatiearchitectuur : Invoer, tonen en mashup Camera Adresboek Klein toetsenbord Agenda Klein scherm GPS Social media Push Notificaties 14

15 User Experience : Gebruiker Centraal & Kwaliteit Performance Stabiel Bruikbaarheid Grafisch design Intuitief Responsive 15

16 User Experience : Interaction & Grafisch Design Layout Toegankelijkheid Navigatie Structuur Gedrag Consistentie Informatie 16

17 User Experience : Klein beginnen en leren Requirement 1.2 Requirement 1.1 Requirement 1.0 Requirement Requirement MVP Requirement Requirement Requirement 17

18 Softwarearchitectuur: Frontend Native apps Web apps en responsive webapplicaties Hybride apps 18

19 Softwarearchitectuur: Native, web of hybride Maak voor elke app de afweging 19

20 Kies de platformen op basis van de dekkingsgraad bij de doelgroep Android + IOS = 99% van de markt IOS Android Microsoft!!! Swift Objective C Java Java Kotlin Overweging tablets en hybride laptops: Microsoft nog wel van belang. Nu 11% gaat groeien naar 19% 20

21 Softwarearchitectuur en integratie Gebruik platform richtlijnen en componenten van de platform leveranciers voor het ontwikkelen van native apps Gebruik standaard producten voor integratie tussen apps en backend systemen. Ontwerp diensten en apps voor de toekomst. Valideer de schaalbaarheid en beschikbaarheid van backend systemen. Gebruik moderne protocollen voor de communicatie. 21

22 Push notificatie strategie Gebruik push-notificaties niet meer dan strikt noodzakelijk. Bij overmaat zal de gebruiker er van gaan af zien. Verwerk geen privacygevoelige informatie in een pushnotificatie bericht. Maak optimaal gebruik van de beschikbare platform mogelijkheden. Apple/IOS Android 22

23 Mobiele Software Geo Betrek geografische expertise indien nodig. Sluit aan op de gangbare Geostandaarden. Gebruik overheidsbrede bouwstenen van PDOK. 23

24 Nieuw: v 2.0: Virtual Reality Virtual reality for headsets en Mobile VR Education, Gaming,Entertainment, Shopping HS: Oculus Rift, HTC Vive Mobile: Samsung gear VR, Google Daydream Unity 3D, VRML converteren naar IPA (Apple) en APK (Android) 24

25 Nieuw: v 2.0: Augmented Reality Augmented reality for headsets en Mobile AR Map digitale objecten in een 3D space Education, Gaming, Entertainment Shopping Apple AR-Kit, Android AR Core 25

26 Nieuw: v 2.0: Machine learning ML-Kit voor Android en IOS Offline ingetrainde modellen te gebruiken in app 26

27 Onderwerpen van de Handreiking Een app is geen applicatie Voor apps moet je zaken anders doen op het gebied van: Beleid Bedrijfs architectuur Informatie architectuur User experience Software architectuur Integratie architectuur Beveiliging Infrastructuur Beheer EMM 27

28 Infrastructuur 28

29 Infrastructuur 29

30 Wat is Enterprise Mobility Management (EMM)? Enterprise Mobility platform Mobile Device Management Mobile Application Management Mobile Information Management Security, Multi-tenancy, Scalability, Access-Control, Self Service 30

31 Aandachtpunten keuze Compleetheid Beveiligingseisen Volwassenheid Reputatie leverancier Deployment Kosten / Licentiestructuur Usability Schaalbaarheid 31

32 Verschillende distributie kanalen Publieke Appstore EMM Appstore Autonome Appstore 32

33 Volgende fase na EMM? + + Fase 1 Mobile Device Management Fase 2 Enterprise Mobility Management Fase 3 Unified Endpoint Management MDM Device Centric EMM App & Content Centric UEM User Centic 33

34 Waarom Unified Endpoint Management? Gebruiker centraal Uniforme beleving gebruiker Eenvoudig, snel en toekomstbestendig beheer van heterogene omgevingen Verlagen operationele kosten, één beheerconsole 34

35 Beveiliging en Privacy 35

36 Gegevensbescherming <> Informatiebeveiliging AVG/GDPR WJSG / WPG WGBO BIR ISO 2700x NEN 751x VIR VIR/BI 36

37 AVG / GDPR Waarom leg je iets vast? Wat leg je vast? Is dat niet te veel? Kan het ook anders? Hoe ga je er mee om? Wie heeft er toegang toe? Met wie deel je het? Hoe lang bewaar je het? Maak dit aantoonbaar en inzichtelijk. Wees duidelijk m.b.t. welke informatie een app allemaal opslaat en uit andere bronnen/sensoren van het device haalt en wat je er mee doet. Vraag daar toestemming voor. Kies de juiste methoden om de gegevens op een device en tijdens transport te beschermen. 37

38 Beveiliging bij de Rijksoverheid Baseline Informatiebeveiliging Rijk Nu transitie: van BIR:2012 naar BIR:2017 Bron: EAR Online Toekomst: BIO? 38

39 Niet meer alles onder controle Publieke dienstverlening Binnen bedrijfsomgeving Binnen invloedssfeer (BIR) Backoffice 2. Netwerk 3. Apparaat 4. Besturingssysteem 5. App 6. Dataflow 39

40 xxm oplossing of Intrinsiek veilige apps 40

41 Intrinsiek veilige app Intrinsieke veiligheid is een vorm van veiligheid die als eigenschap, van binnenuit, wezenlijk aanwezig is. 41

42 Risco-analyse 1 42

43 Risico-analyse 2 43

44 Dreigingsbeeld veranderd! 44

45 Security: bedreigingen Bluetooth Bluejacking/Bluehubbing etc GPRS/3G/LTE/4G/5G (Samsung) Wifi Connectivity vulnerabilities Wifi attacks NFC GSM NFC attacks SMS attacks Sensor attacks Apps Verschillende OS-en Screenjacking Vulnerable libraries Man in the middle attacks Toetsenbord-extensies Look-alike apps 45

46 Welke aandachtspunten (1) Data at rest Data in transit Data in use? 46

47 Welke aandachtspunten (2) Toegang tot app/data Authenticatie Gebruik publieke infrastructuur Malafide apps 47

48 Beveiliging Voer per app een risicoanalyse uit en kies de juiste mix aan beveiligingsmaatregelen voor de app. Publieke apps dienen intrinsiek veilig te zijn. Voor enterprise apps kan er eventueel gebruik worden gemaakt van EMM-voorzieningen. Bij publieke apps is er een reëel risico op nagemaakt of gemodificeerde varianten (cybercriminaliteit), houd hier rekening mee. 48

49 Meer info over overheid en apps? Handreiking Mobility Handreiking Mobiele App Ontwikkeling en Beheer Grip op SSD Beveiligingseisen voor apps NCSC ICT-beveiligingsrichtlijnen voor mobiele apps 49

50 50