Bureau Forum Standaardisatie. Overzicht reacties consultatieronde DANE Bijlagen: - Reactie KING - Reactie ministerie van BZK. Forum Standaardisatie

Transcriptie

1 Forum Standaardisatie Wilhelmina v Pruisenweg AN Den Haag Postbus AA Den Haag Aan: Forum Standaardisatie Van: Bureau Forum Standaardisatie : Versie Betreft: Overzicht reacties consultatieronde DANE Bijlagen: - Reactie KING - Reactie ministerie van BZK Pagina 1 van 5

2 Reactie KING Van: "Nico Romijn" < > Aan: "Knubben, B.S.J. (Bart) - Logius" < > CC: "Adrie Spruit" < >, "Kees Duijvelaar" < >, "Nausikaa Efstratiades" < >, "Peter Klaver" < > Onderwerp: Openbare consultatie t/m 12 maart - Forum Standaardisatie : do, feb. 27, :44 Hierbij terugkoppeling vanuit KING op DANE. Indien je nog vragen en/of opmerkingen hebt verneem ik dit graag. Met vriendelijke groet, Nico Romijn Afdelingshoofd E-Diensten Kwaliteitsinstituut Nederlandse Gemeenten (KING) Nassaulaan JS Den Haag Van: Nausikaa Efstratiades Verzonden: dinsdag 25 februari :35 Aan: Nico Romijn CC: Peter Klaver Onderwerp: RE: Openbare consultatie t/m 12 maart - Forum Standaardisatie Beste Nico, Dank voor je mail. Hieronder kort mijn reactie op beide standaarden: Hieronder kort mijn reactie. DANE (beveiliging van internetverkeer) Het advies van de expertgroep is om de standaard DANE nog niet op te nemen op de lijst van pas toe of leg uit. De IBD doet hier dan nu ook niets mee. Pagina 2 van 5

3 Koppel jij dit weer terug? Met vriendelijke groet, Nausikaä Efstratiades Hoofd IBD Heeft uw gemeente zich al officieel aangesloten bij de IBD? Informatiebeveiligingsdienst voor gemeenten (IBD) IBD Helpdesk Nassaulaan JS Den Haag Pagina 3 van 5

4 Reactie ministerie van BZK Van: Heijligers, Frank Verzonden: woensdag 12 maart :26 Aan: Openstandaarden CC: Schellevis, H.L. (Lancelot) - Logius; Adamse, Carl; Geubbels, Leo Onderwerp: FW: Consultatie van standaarden voor internet beveiliging, ebooks en CMS systemen van start Beste Lancelot (en/of mogelijk andere geadresseerde), Hierbij mijn bedenkingen ten aanzien van TLS en DANE, zoals tijdens de expertsessie aangegeven. Dit gaat dus vooraf aan het gesprek dat we (Ludwig, Lancelot en ik) zojuist hadden: de pas-toe-of-leg-uit lijst heeft tot doel open standaarden bij aanbestedingen te bevorderen ter vervanging van gesloten standaarden. In het geval van TLS en DANE is dit niet aan de orde en gaat het enkel om de beveiligingswaarde. Hoe nobel adaptatie van deze beveiligingsstandaarden ook moge zijn, daar is de pas-toe-of-leg-uit lijst niet voor bedoeld; voor beveiliging geldt bij de Rijksdienst het uitgangspunt van risicomanagement. Het is de verantwoordelijkheid van het (lijn)management om risico s te inventariseren en de keuze te maken welke maatregelen worden genomen. Opname van TLS op de lijst doorkruist dat principe, hoe verstandig adaptatie van die standaard ook is. Het lijnmanagement moet uiteraard verantwoording afleggen over gemaakte beveiligingskeuzes, maar dat gaat via een in control verklaring en niet via verantwoording over het gebruik van beveiligingsstandaarden bij aanbestedingen (want daarvoor is de pastoe-of-leg-uit bedoeld); voor de rijksdienst geldt comply or explain (pas-toe-of-leg-uit ) alleen ten aanzien van de BIR. Dat is een tactisch normenkader. Het is een managementbesluit om een BIR te hanteren en bovendien is risicomanagement ook onderdeel van de BIR. Weliswaar is er ook een operationele baseline van de BIR, maar die is niet meer dan een best practice. TLS en DANE zijn operationele standaarden en ik vind het dus principieel niet juist deze het gebruik van deze standaarden via de pas-toe-of-leg-uit lijst wordt afgedwongen. Dat er inmiddels ook andere beveiligingsstandaarden (DNSSEC) op de lijst staan, doet daar niets aan af. (Als je eerder iets verkeerds doet, is dat geen reden om dat nog een keer te doen). Pagina 4 van 5

5 Met vriendelijke groet, mr drs Frank Heijligers senior beleidsmedewerker... Ministerie van BZK Directoraat Generaal Organisatie en Bedrijfsvoering Rijk Directie Informatiseringsbeleid Rijk Turfmarkt DP Den Haag Zuidtoren 23 e verdieping Postbus EA Den Haag Pagina 5 van 5