14 mei 2007 RD/ts/ R. Drewes MIM. drs. A.F.J. van der Velden RA

Transcriptie

1 = aéäçáííé=^ååçìåí~åíë=_ksk= hêççåé~êâ=nm= SUPN=ds=^êåÜÉã= mçëíäìë=pmosr= SUMP=^d=^êåÜÉã= = qéäw=emosf=popummm= c~ñw=emosf=popummn= ïïïkçéäçáííékåä= = Rapport Beoordeling Documentair Informatie Systeem Provincie Gelderland Uitgebracht aan: De heer M. Frequin RD/ts/ Uitgebracht door Voorbereid door G.J.B. Beimers RA R. Drewes MIM drs. M.R. Seekles RE drs. A.F.J. van der Velden RA lé=~ääé=åçåíê~åíìéäé=êéä~íáéë=î~å=aéäçáííé=òáàå=çé=~äöéãéåé=îççêï~~êçéå=î~å=aéäçáííéi=ïéäâé=òáàå= = = ÖÉÇÉéçåÉÉêÇ=Äáà=ÇÉ=dêáÑÑáÉ=î~å=ÇÉ=^êêçåÇáëëÉãÉåíëêÉÅÜíÄ~åâ=íÉ=oçííÉêÇ~ã=çåÇÉê=~âíÉåìããÉê=UQLOMMQ=î~å= íçéé~ëëáåök= aéäçáííé=^ååçìåí~åíë=_ksk=áë=áåöéëåüêéîéå=áå=üéí=ü~åçéäëêéöáëíéê=î~å=çé=h~ãéê=î~å=hççéü~åçéä=íé= oçííéêç~ã=çåçéê=åìããéê=oqpsourpk= = jéãäéê=çñ= aéäçáííé=qçìåüé=qçüã~íëì= = = =

2 2 Inhoudsopgave 1 Inleiding 3 2 Opdracht Opdrachtomschrijving Definities kwaliteitsaspecten Scope en afbakening 4 3 Aanpak en werkwijze Fase 1: Opstellen/actualiseren normenkader Fase 2: Beoordelen/actualiseren opzet Fase 3: Vaststellen bestaan Fase 4: Opstellen rapportage 6 4 Managementsamenvatting Oordeel Belangrijkste conclusies, risico s en aanbevelingen 7 5 Tot slot 7 Bijlage 1 Detailbevindingen 8

3 3 1 Inleiding In 2005 heeft een initiële beoordeling plaatsgevonden van het DIS. Uit die beoordeling is een aantal verbeterpunten gekomen die de provincie inmiddels heeft opgepakt. Het huidige onderzoek is dan ook bedoeld om deze verbeteringen te toetsen en mogelijke risico s te signaleren. Onlangs heeft binnen de provincie de archiefinspecteur in haar inspectierapport aangegeven dat er te weinig aandacht is voor de norm NEN-ISO :2001 (waarin eisen gesteld worden aan informatie- en archiefmanagement). De provincie heeft te kennen gegeven dat dit onderzoek naar de opzet en het bestaan van interne beheersmaatregelen rondom de DIS toepassing gebruikt zal worden om het onderdeel betrouwbaarheid van de NEN norm verder uit te werken. 2 Opdracht 2.1 Opdrachtomschrijving Provincie Gelderland heeft Deloitte gevraagd om een onafhankelijk onderzoek (EDP audit) uit te voeren naar de opzet en het bestaan van de interne beheersmaatregelen in en rondom de DIS toepassing. Het onderzoek heeft betrekking op de opzet en het bestaan van de interne controle en informatiebeveiligingsmaatregelen in en rondom de DIS toepassing. De werking van de maatregelen wordt niet door ons getoetst. De beoordeling van DIS levert een uitspraak op in hoeverre deze toepassing voldoet aan de eisen, die Deloitte, in overleg met Provincie Gelderland, daaraan stelt uit hoofde van betrouwbaarheid, controleerbaarheid en vertrouwelijkheid.

4 4 2.2 Definities kwaliteitsaspecten Onder de genoemde kwaliteitsaspecten worden in deze rapportage verstaan: Betrouwbaarheid: de redelijke zekerheid dat de verwerking van de gegevens met DIS juist, volledig en tijdig geschiedt. Controleerbaarheid: de redelijke zekerheid dat de verstrekte informatie vanuit DIS te herleiden is naar de brongegevens (audittrail). Vertrouwelijkheid: de redelijke zekerheid dat het gebruik van DIS slechts door geautoriseerde functionarissen kan plaatsvinden. Bovenstaande kwaliteitsaspecten zijn door ons uitgewerkt naar controledoelstellingen per module/fase. Deze worden gehanteerd als toetsingscriteria (normenkader) en maken integraal deel uit van het eindrapport. Uitgangspunt vormt het normenkader dat tijdens de initiële beoordeling op het DIS systeem in 2005 is gehanteerd. Dit normenkader is in overleg met de opdrachtgever waar nodig geactualiseerd en aangepast en is opgenomen in bijlage 1 bij dit rapport. 2.3 Scope en afbakening Binnen Provincie Gelderland is in het DSP (Documentair Structuur Plan) vastgelegd op welke wijze alle voorkomende documenten worden opgeslagen in het DIS (Documentair Informatie Systeem). Het DIS voor Provincie Gelderland is ingevuld met het softwarepakket DocBase Online van Acanthis Document Solutions en de Metadatamanager van Splitvision. Om het DSP voor alle bij Provincie Gelderland voorkomende documenten vast te kunnen leggen heeft een zeer uitvoerige inventarisatie plaatsgevonden van alle voorkomende processen, hoofdprocessen, producten, programma s, etc. Enerzijds is hierbij gebruik gemaakt van de begroting van Provincie Gelderland en anderzijds is de kennis en ervaring van de afdelingen van groot belang geweest bij de totstandkoming ervan. Uiteindelijk zijn alle documenten per afdeling weergegeven op zogenaamde proceskaarten. Op deze proceskaarten zijn alle vooraf bekende en vaststaande kenmerken (ook wel metagegevens genoemd), voor alle documenten die kunnen voorkomen, bij het betreffende proces vastgelegd. Object van onderzoek is het DIS systeem (standaardpakket DocbaseOnline versie 4.0d5 van Acanthis Information Systems) en specifiek de functionaliteit voor de digitaliseren, opslaan, verwerken en uitvoeren van inkomende en uitgaande post zoals dit medio februari 2007 door Provincie Gelderland is geïmplementeerd.

5 5 Het DIS systeem draait op een HP9000 met HP-UX11.11 en Oracle DB: database server en maakt daarbij gebruik van een applicatie- en documentserver (HP Proliant DL580R02 met Windows server 2003) en nog een applicatieserver (HP Proliant DL360R02 met Windows server 2003 en Virtuele server op HP Proliant DL580R02 met Windows server 2003). De metadata manager toepassing die wordt gebruikt voor de vastlegging van de proceskaarten (procesgang) is in de scope van de beoordeling meegenomen. Het onderzoek heeft betrekking op de opzet en het bestaan van de interne controle en informatiebeveiligingsmaatregelen in en rondom de DIS toepassing. De werking van de maatregelen is niet door ons getoetst. 3 Aanpak en werkwijze Het onderzoek heeft plaatsgevonden in de periode april en mei Het onderzoek is onderverdeeld in vier fasen, namelijk: Opstellen normenkader Beoordelen opzet Vaststellen bestaan Opstellen rapportage 3.1 Fase 1: Opstellen/actualiseren normenkader In de eerste fase worden de kwaliteitsaspecten door ons uitgewerkt naar controledoelstellingen per module/fase. Deze worden gehanteerd als toetsingscriteria (normenkader) en maken integraal deel uit van het eindrapport. Uitgangspunt vormt het normenkader dat tijdens de initiële beoordeling op het DIS systeem in 2005 is gehanteerd. Dit normenkader is in overleg met de opdrachtgever waar nodig geactualiseerd en aangepast en is opgenomen in bijlage 1 bij dit rapport. 3.2 Fase 2: Beoordelen/actualiseren opzet De tweede fase betrof het beoordelen/actualiseren van de interne controlemaatregelen, in opzet, aan de hand van het normenkader dat is opgesteld/geactualiseerd in fase 1. Hierbij heeft Deloitte gebruik gemaakt van beschikbare documentatie en interviews met materiedeskundigen.

6 6 In dit kader is gesproken met hoofd informatiebeheer (de heer M. Frequin), applicatiebeheer (mevrouw T. de Ruyter), medewerkers internecontrole (de heer R. Moolenaar (Eiffel), Metadatamanager/proceskaarten (de heer J. Doornmalen) en medewerker documentbeheer/postregistratie (mevrouw M. Pardijs). De tussentijdse bevindingen zijn afgestemd met vertegenwoordigers van Provincie Gelderland en met de opdrachtgever. 3.3 Fase 3: Vaststellen bestaan Bij de toetsing van het bestaan is de aanwezigheid en de werking (momentopname) van de in opzet aanwezige interne controlemaatregelen beoordeeld. Deze toetsing heeft plaatsgevonden aan de hand van interviews met materiedeskundigen en via eigen waarnemingen in het systeem. Voor een overzicht van deze materiedeskundigen verwijzen wij naar paragraaf 3.2. De bevindingen zijn afgestemd met vertegenwoordigers van Provincie Gelderland. 3.4 Fase 4: Opstellen rapportage Tot slot zijn de bevindingen geanalyseerd en verwerkt in het rapport van bevindingen en heeft Deloitte een conclusie getrokken over de mate waarin de DIS toepassing voldoet aan de eisen die daaraan gesteld moeten worden uit hoofde van betrouwbaarheid, controleerbaarheid en vertrouwelijkheid. 4 Managementsamenvatting 4.1 Oordeel In dit hoofdstuk wordt een overzicht gegeven van de belangrijkste conclusies en aanbevelingen. Een overzicht van alle detailbevindingen en conclusies zijn in bijlage 1 opgenomen. Samengevat zijn wij met redelijke zekerheid van oordeel dat er, in relatie tot het normenkader zoals weergegeven in bijlage 1 van dit rapport, in en rondom DIS voldoende beheersmaatregelen aanwezig zijn om de betrouwbaarheid, controleerbaarheid en vertrouwelijkheid van opslag en verwerking van gegevens te kunnen waarborgen. Het bestaan van de beheersmaatregelen is vastgesteld op. Doordat beheersmaatregelen kunnen wijzigen is ons oordeel niet zonder meer geldig na deze datum.

7 7 In paragraaf 4.2 hebben wij per gebied (controledoelstelling) onze belangrijkste conclusies en aanbevelingen weergegeven. Voor een overzicht van de detailbevindingen, -conclusies en - aanbevelingen verwijzen wij naar bijlage Belangrijkste conclusies, risico s en aanbevelingen Onderstaand vindt u onze belangrijkste conclusie en aanbeveling voor het management van de provincie. Tevens verwijzen wij u naar het overzicht van de detailbevindingen, -conlusies en - aanbevelingen in bijlage Controleerbaarheid Het onderhoud van vaste gegevens (standaard tabellen) en mutaties op kritieke variabele gegevens vindt, voor de gebruiker, op een onvoldoende controleerbare wijze plaats. Wij bevelen aan om binnen de DIS programmatuur te voorzien in een afzonderlijke functionaliteit ten behoeve van mutatieverslaglegging en audittrail. Bovenstaande bevinding heeft geen doorslaggevende invloed op ons eindoordeel aangezien Provincie Gelderland aanvullende maatregelen rondom het systeem heeft getroffen om de volledigheid en juistheid van de vaste- en kritieke variabele gegevens binnen het DIS periodiek te controleren. Toch adviseren wij om bovenstaande aanbeveling binnen de DIS programmatuur te realiseren. 5 Tot slot Wij willen Provincie Gelderland bedanken voor haar constructieve medewerking aan deze beoordeling. Tot een nadere toelichting bij onze bevindingen zijn wij graag bereid. Deloitte Accountants B.V. Met vriendelijke groet, R. Drewes MIM

8 8 Bijlage 1 Detailbevindingen Specifieke doelstellingen 1 Betrouwbaarheid van het scannen 1 Volledige en juiste invoer en opslag van ingescande 1 Alle poststukken (niet zijnde reclamefolders e.d.) dienen in DIS te worden ingescand. poststukken. 2 Alle gescande poststukken dienen een uniek doorlopend identificeerbaar nummer te krijgen in DIS. 3 De scanbatch dient volledig en juist te worden opgeslagen. Alle poststukken komen bij de postkamer. Medewerkers postkamer selecteren op GS-post, reclame en overige stukken per dienst. De bode levert (niet reclame) alle post aan bij de afdeling Informatie Beheer (IB). Een medewerker IB telt alle te registreren poststukken, dit wordt vastgelegd op een tellijst (turflijst per dienst). Alle niet in te scannen poststukken worden doorgestuurd naar de diensten. De DIS-medewerker voorziet het betreffende poststuk van een blokstempel (inclusief documentnummer, uniek doorlopend genummerd). Elk in DIS geregistreerd document krijgt een uniek (in principe doorlopend) documentnummer (niet alleen poststukken, maar ook interne stukken). Poststukken worden afzonderlijk (handmatig) ingescand. Dit betekent dat binnen DIS per poststuk een aparte batch (bestand) wordt aangemaakt. Van de mogelijkheid om bulk te scannen wordt vooralsnog geen gebruik gemaakt. DIS geeft per ingescande batch het aantal pagina's weer. Dit wordt visueel gecontroleerd. De inhoudelijke juistheid wordt niet gecontroleerd bij het scannen. Dit vindt later plaats. Wel wordt gecontroleerd of de scanresolutie optimaal is afgesteld.

9 9 4 Alleen geautoriseerde medewerkers kunnen poststukken scannen. 5 De scanbatch dient alleen toegankelijk te zijn voor geautoriseerde functionarissen. Totaal zijn er 14 (grote) scanners. De medewerkers van de afdeling Informatiebeheer (23) en de medewerkers van personeelszaken (12) hebben autorisatie om te kunnen scannen. Bij tekstverwerking (6 medewerkers) worden verzonden stukken ingescand. Alleen applicatiebeheer en systeembeheer kunnen buiten het systeem om bij de betreffende map komen. Binnen DIS is dit afgeschermd door middel van autorisaties. 6 Er dient een controle op de volledigheid van de ontvangen post in relatie met de gescande post te zijn ingericht. 2 Betrouwbaarheid van het registreren 1 Volledige en juiste registratie van 1 Alle gescande documentnummers dienen te zijn gekoppeld aan een zaak. poststukken 2 Alle zaaknummers zijn uniek doorlopend genummerd. 3 Alleen geautoriseerde medewerkers kunnen documenten koppelen aan zaken. Een medewerker IB telt alle te registreren poststukken, dit wordt vastgelegd op een tellijst (turflijst per dienst). Alle niet in te scannen poststukken worden doorgestuurd naar de diensten. Mocht bij de dienst blijken dat het toch ingescand moet worden dan wordt de post naar IB gestuurd. Zaaknummer is verplicht veld bij het invoeren van een document. (Relatie tussen Document-Zaak komt overeen met een n:1 relatie). DIS genereert een uniek zaaknummer bij het aanmaken van een zaak. Zaaknummer is een kenmerk van een document. Iedereen kan documenten aan zaken koppelen. Afhankelijk van het aan het betreffende document gekoppelde profiel (algemeen of afdelingsspecifiek) kan een gebruiker (met dat betreffende profiel) de documenten benaderen. Afhankelijk van de status van het document (conceptbezet, conceptvrij, definitief, etc.) kan de betreffende medewerker het document alleen inzien of ook wijzigen/ verwijderen. DIS voorziet in de mogelijkheid om het koppelen van documenten aan zaken afzonderlijk te autoriseren. Dit gebeurt met behulp van profielen, persoons- of afdelingsgebonden.

10 10 4 Alle documenten dienen te worden aangevuld met juiste en volledige gegevens (bijvoorbeeld datum post/ poststempel en bewaartermijn). 3 Betrouwbaarheid 1 Volledige en juiste 1 Alle betreffende documenten dienen van de distributie distributie van de aan de juiste proceskaart worden gescande documenten. toegewezen. 2 De status van de distributie dient te worden bewaakt (volledigheid, tijdigheid). Hiervoor bestaat een standaard invoerscherm waarbij de meest kritieke velden verplicht zijn. Zaaknummer, documentnummer (automatisch) en inhoud zijn momenteel verplicht. Voor het overige gaat het om handmatige invoer en controle (visueel). Vier keer per jaar wordt vanuit het VIC (Verbijzonderde Interne Controle) steekproefsgewijs controles uitgevoerd op zaken. Door middel van het toewijzen van documenten aan proceskaarten wordt de route voor distributie bepaald. Toekenning vindt plaats op basis van deskundigheid medewerker, ambtenaar controleert dit en als de zaak is afgedaan wordt opnieuw gecontroleerd of het document in de juiste proceskaart is terecht gekomen. Binnen het DIS vindt geen controle plaats op de koppeling tussen document en proceskaart. Er wordt bijvoorbeeld niet gecontroleerd door DIS of documenten van een bepaalde dienst worden gekoppeld aan de proceskaart van een andere dienst. Achteraf vindt vanuit het VIC (Verbijzonderde Interne Controle) controle plaats op de betreffende dossiers. Het is geen workflow systematiek. De status van de distributie wordt bewaakt in Groupwise door middel van de mail. De documentbeheerders registreren een document en sturen een attendering naar het secretariaat van de betreffende afdeling. Het secretariaat stuurt de mail via Groupwise door naar de betreffende ambtenaar. Bewaking vindt plaats per individuele medewerker en daarnaast wordt wekelijks een totaaloverzicht uitgedraaid (aantal documenten dat is ingevoerd in DIS). De status van de distributie kan niet uit DIS worden gehaald omdat dit traject binnen Groupwise plaatsvindt. Bewaking vindt tevens plaats op basis van de tellijst (turflijst per dienst). Deels effectief Wij adviseren het opnemen van een geprogrammeerde controle binnen DIS om de juiste koppeling van documenten te waarborgen.

11 11 4 Betrouwbaarheid van de ontsluiting 1 Volledigheidscontrole en vrijgave van documenten. 1 Er dient een verbandscontrole aanwezig te zijn op de volledigheid van de ingescande/geregistreerde en gedistribueerde poststukken. 2 Alleen geautoriseerde medewerkers kunnen documenten in proceskaarten benaderen. Documenten (link naar) worden handmatig met Groupwise verzonden aan het betreffende secretariaat (dienst/afdeling). Medewerker IB turft het aantal verzonden documenten. Periodiek controleert afdelinghoofd IB de volledigheid van de ingescande stukken ten opzichte van de gedistribueerde stukken aan de hand van de turflijst. Het wijzigen van proceskaarten (metadata) is beperkt tot een 3-tal medewerkers IB, een proceskaartbeheerder en een back-up (totaal 5). 3 Er dient een mogelijkheid te zijn voor het herrouteren van een document indien deze aan de onjuiste proceskaart is toegewezen met daarin een verwijzing (audit trail). Via een afzonderlijke functie in DIS ( omboeken ) kan dit door alleen door een medewerker IB worden gedaan. Hiervan wordt geen audittrail in DIS bijgehouden. 4 Een controle op de herroutering van documenten dient te zijn ingericht om de kwaliteit van de distributie te verhogen. 5 Betrouwbaarheid proceskaarten 1 Volledige, juiste en tijdige invoer van proceskaarten en overzetting naar DIS. 1 Er dient een controle plaats te vinden op de invoer en mutatie van proceskaarten in de Metadata manager. 2 Alleen geautoriseerde medewerkers kunnen wijzigingen doorvoeren in de proceskaarten in Metadata manager. Vindt niet plaats. Controle achteraf door middel van VIC. Deels effectief De wijziging moet worden geaccordeerd door de proceseigenaar (=afdelinghoofd) voordat die in behandeling wordt genomen. Na aanpassing wordt contact opgenomen met de gebruiker om af te stemmen of de wijziging juist is. Hiervoor zijn 3 medewerkers IB geautoriseerd. Wij adviseren het opnemen van een geprogrammeerde controle in DIS om de juistheid van de herrouteringen te waarborgen.

12 12 3 Alleen geautoriseerde medewerkers kunnen nieuwe/aangepaste proceskaarten overzetten van Metadata manager naar DIS Hiervoor zijn 2 medewerkers IB en een applicatiebeheerder (AS) geautoriseerd. 4 Er dient een versiebeheerprocedure aanwezig te zijn voor het kunnen herleiden van de huidige versie van proceskaarten in DIS. Dit is mogelijk in de nieuwe versie van MDM (MetaDataManager). Op dit moment wordt handmatig het versiebeheer in een excelsheet bijgehouden. Deels effectief Wij adviseren het versiebeheer van de proceskaarten binnen DIS nader in te richten. 6 Betrouwbaarheid 1 Er dienen zodanige 1 DIS dient over zodanige DIS (vertrouwelijkheid en integriteit) beperkingen in het gebruik van programmatuur respectievelijk gegevensverzamelingen te zijn, dat uitsluitend daartoe bevoegde functionarissen erover kunnen beschikken. De gewenste functiescheidingen die in de organisatie gerealiseerd zijn, dienen ook in DIS aangebracht te kunnen worden. toegangsbeveiligingsvoorzieningen (samen met de mogelijkheden in het besturingssystemen) te beschikken dat de gegevens alleen met reguliere functies in de applicatie benaderd worden. (identificatie en authenticatie) 2 Gebruikers dienen alleen toegang te krijgen tot de functies, gegevens, bestanden en bibliotheken, waartoe zij expliciet zijn geautoriseerd. (op welke wijze worden gebruikers geautoriseerd?) DIS kent momenteel ongeveer 1750 gebruikers. Die hebben allen een unieke gebruikersnaam en wachtwoord binnen DIS (single sign on). Hiervoor gelden de standaard afspraken (beperkingen) die binnen de provincie zijn vastgesteld. Een wachtwoord dient de eerste keer verplicht te worden gewijzigd. Het wachtwoord dient één keer per jaar te worden gewijzigd en dient te bestaan uit minimaal 6 karakters. Eerdere wachtwoorden mogen niet opnieuw worden gebruikt. DIS werkt met gebruikersgroepen. Autorisaties zijn gekoppeld aan profielen en de profielen vervolgens aan groepen. Gebruikers worden in groepen ingedeeld op grond van hun functie. De organisatorische functiescheiding is overgenomen in de gebruikersprofielen en autorisaties binnen DIS. DIS kent geen standaard autorisatieoverzicht. Speciaal voor dit doel is daarom een rapportage ontwikkeld om het overzicht van de autorisaties inzichtelijk te maken. Voor alle autorisaties die afwijken van de standaard autorisatie, wordt jaarlijks hernieuwde bevestiging gevraagd aan de betreffende leidinggevende.

13 13 3 Het aanbrengen van mutaties in vaste gegevens en kritieke variabele gegevens (ook autorisaties) dient voorbehouden te worden aan een beperkt aantal personen binnen de organisatie. Dit is voorbehouden aan een 3-tal applicatiebeheerders. Als het om autorisaties gaat is alleen applicatiebeheer bevoegd om die te muteren. 4 Een wijziging in een proceskaart mag niet tot gevolg hebben dat de volledigheid van de data (poststukken) niet meer wordt gewaarborgd. De oude versie van de proceskaart blijft altijd bestaan. De referentiële integriteit wordt daardoor bewaakt. 7 Betrouwbaarheid Metadata manager (vertrouwelijkheid en integriteit) 1 Voor het waarborgen van de betrouwbaarheid dienen zodanige beperkingen in het gebruik van programmatuur respectievelijk gegevensverzamelingen aangebracht te zijn, dat uitsluitend daartoe bevoegde functionarissen erover kunnen beschikken. 1 Metadata manager dient over zodanige toegangsbeveiligingsvoorzieningen (samen met de mogelijkheden in het besturingssystemen) te beschikken dat de gegevens alleen met reguliere functies in de applicatie benaderd worden. (identificatie en authenticatie) De metadatamanager is lokaal geïnstalleerd op ongeveer 5 werkplekken. De toegang tot de metadatamanager wordt afgeschermd op niveau van het netwerkbesturingssysteem (Windows NT). Alleen binnen de Metadata manager gedefinieerde gebruikers, die ook bekend zijn en ingelogd zijn binnen Windows NT (op de betreffende PC) hebben toegang tot de Metadata manager. Het gaat om de medewerkers (3) van de afdeling Informatiebeheer en applicatiebeheer (2 AS). Een aparte inlog met gebruikersnaam en wachtwoord binnen de Metadata manager vindt niet plaats (single sign-on).op Windows NT niveau gelden aanvullende eisen voor het wachtwoord zoals minimaal 6 tekens, verplicht periodiek wijzigen e.d.

14 14 De gewenste functiescheidingen die in de organisatie gerealiseerd zijn, dienen ook in Metadata manager aangebracht te kunnen worden. 2 Gebruikers dienen alleen toegang te krijgen tot de functies, gegevens, bestanden en bibliotheken, waartoe zij expliciet zijn geautoriseerd. 3 Het aanbrengen van mutaties in vaste gegevens en kritieke variabele gegevens dient voorbehouden te worden aan een beperkt aantal personen binnen de organisatie. Voor manager, gebruiker en beheerder zijn aparte rollen geïdentificeerd binnen de metadatamanager. Op dit moment zijn de medewerkers gekoppeld aan de rollen gebruiker of beheerder (van de applicatie). Dit is voorbehouden aan een 3-tal personen binnen de afdeling IB en 2 AS (applicatiebeheer). Als het om autorisaties gaat is alleen applicatiebeheer bevoegd om die te muteren. 4 Alle wijzigingen in de proceskaarten dienen te worden gecontroleerd op juistheid voordat de nieuwe proceskaarten worden overgezet naar DIS. Na invoer dienen proceskaarten eerst worden gevalideerd. In de praktijk is de persoon die invoert, niet de persoon die valideert. Alleen applicatiebeheer kan proceskaarten exporteren. De proceseigenaar controleert de wijzigingen en voorziet deze van een zichtbare controle (paraaf). Wijzigingen zonder zichtbare controle worden niet uitgevoerd. 8 Controleerbaarheid 1 Het onderhoud van vaste gegevens (standaard tabellen) en mutaties op kritieke variabele gegevens dienen op een, voor de gebruiker, controleerbare wijze plaats te vinden. 1 Ter controle van de volledigheid, juistheid, tijdigheid en autorisatie van de aangebrachte mutaties dienen de applicaties te voorzien in een audittrail. Dit kan vertaald worden naar mutatiebestanden en mutatieoverzichten, waarin de oude en de nieuwe situatie, de datum van wijziging en de persoon die gewijzigd heeft, worden weergegeven. In de volgende versie van DIS wordt binnen de programmatuur voorzien in een aparte functionaliteit ten behoeve van het inzichtelijk maken van het audittrail. Alle uitgevoerde handelingen binnen het systeem. Besloten is om periodiek (maandelijks) alle stamgegevens uit te draaien en te vergelijken met de vorige overzichten. De opzet voor deze controle dient nog te worden afgerond. Niet effectief Wij bevelen aan om binnen de DIS programmatuur te voorzien in een afzonderlijke functionaliteit ten behoeve van mutatieverslaglegging en audittrail.

15 15 2 Ter controle van de volledigheid van de mutaties in vaste gegevens en kritieke variabele gegevens dienen de mutaties doorlopend te zijn genummerd. Niet van toepassing. N.v.t. 3 De vaste gegevens dienen op elk moment zichtbaar gemaakt te kunnen worden. Deze zijn visueel op het scherm op te vragen (proceskaarten). De relatietabel kan ook worden ingezien en worden geprint (zeer omvangrijk). Hetzelfde geldt voor de medewerkertabel.

16 16 Algemene doelstellingen 1 Vertrouwelijkheid/autorisatie 1 Er dienen zodanige 1 Invoer en verwerking van beperkingen in het gebruik van programmatuur respectievelijk gegevensverzamelingen te zijn, dat uitsluitend de daartoe bevoegde functionarissen erover kunnen beschikken. De gewenste functiescheidingen, die in de organisatie gerealiseerd zijn, dienen ook in het systeem aangebracht te kunnen worden. autorisatiegegevens dienen juist, volledig en tijdig plaats te vinden. 2 Er zijn zodanige beperkingen in het gebruik van programmatuur, dat uitsluitend de daartoe bevoegde functionarissen erover kunnen beschikken. Het is mogelijk de in de formele administratieve organisatie opgenomen functiescheiding 1 op 1 aan te brengen in de bevoegdhedenstructuur. 3 Adequate rapportage van autorisatiegegevens moet mogelijk zijn. - Mutatieverslag van autorisaties. - Verslag van actuele autorisaties. 4 De toekenning van de autorisaties in DIS en Metamanager dient volgens een vaste procedure plaats te vinden waarin scheiding is aangebracht tussen de persoon die autorisatie nodig heeft en de persoon die de autorisaties goedkeurt. Gebruikers zijn geautoriseerd aan de hand van profielen per afdeling. Invoer en verwerking van autorisatie geschiedt via standaard procedure (VMA Verhuis Mutatie Aanvraag). Servicedesk voert het VMA formulier in het servicedesk systeem in. Terugkoppeling naar de aanvrager via de mail. DIS biedt de mogelijkheid om tot op individueel gebruikersniveau autorisaties aan te brengen. Op dit moment worden gebruikers ingedeeld in een afdelingsprofiel. Autorisaties zijn aan deze afdelingsprofielen gekoppeld. COGNOS is een aparte querytool die ten behoeve van overzichten wordt gebruikt. Momenteel zijn er overzichten om de actuele autorisaties uit te draaien. Er zijn nog geen mutatieverslagen voor de wijzigingen op de autorisaties uit te draaien. Iedereen krijgt standaard autorisaties zonder tussenkomst/goedkeuring van de verantwoordelijke manager. Hiervoor gelden algemene afspraken en hiervoor wordt de VMA procedure gehanteerd. Voor specifieke autorisaties geldt een apart traject dat via de verantwoordelijke manager/het afdelingshoofd loopt. Deels effectief Wij bevelen aan om verslaglegging van de mutaties op autorisaties binnen DIS in te richten.

17 17 2 Documentatie 1 De documentatie dient de gebruiker voldoende ondersteuning te bieden bij het uitvoeren van bepaalde (controle) handelingen. 1 De documentatie moet de gebruiker voldoende inzicht geven. - in de werking van het systeem: algemeen; per module; per functie. - in de door het systeem uitgevoerde controles. - in de door de gebruiker aanvullend te verrichten handelingen. Er is een gebruikershandleiding (hoe werkt de applicatie) van de leverancier (Acanthis). Daarnaast heeft de provincie zelf een handleiding gemaakt toegespitst op de specifieke processen binnen de provincie. Deze handleidingen zijn beschikbaar via intranet. De provincie beschikt (nog) niet over procesbeschrijvingen van haar AO/IC. 2 De onderdelen van de documentatie die bestemd zijn voor de applicatierespectievelijk de systeembeheerder dienen voldoende inzicht te geven in de door hen uit te voeren taken. Hiervoor is documentatie aanwezig. Beschrijving inrichting DocBase Online. Er is ook een beheerdershandleiding vanuit de leverancier aanwezig. 3 De documentatie moet voorzien zijn van identificaties, zodanig dat de overeenstemming met de beschreven versie van het systeem blijkt. De documentatie bevat identificatie waaruit overeenstemming met de beschreven versie van het systeem blijkt. 4 De documentatie moet in overeenstemming zijn met de beschreven versie van het systeem. De documentatie is actueel.

18 18 3 Wijzigingsbeheer 1 Aan alle wijzigingen doorgevoerd in de productieomgeving dient een wijzigingsdocument ten grondslag te liggen. 1 Het aanvragen van wijzigingen dient volgens een vaste procedure te worden afgehandeld. In deze procedure dienen de volgende stappen te worden onderscheiden: - Ondertekenen aanvrager op Wijzigingsdocument; - Impact en risicoanalyse van de wijziging; - Beoordeling en autorisatie door de proceseigenaar. Wijzigingen lopen conform een Changemanagement procedure. Deze procedure is schriftelijk vastgelegd en formeel vastgesteld. 2 Alle wijzigingen dienen te worden voorzien van een unieke doorlopende nummering. 3 Alle wijzigingen dienen te worden getest en geautoriseerd door de systeemeigenaar, conform testplannen, voordat de gewijzigde versie in productie wordt geplaatst. Voorlopig wordt dit handmatig (doorlopend) genummerd. Het hoofd van de afdeling IB (InformatieBeheer) is systeemeigenaar. Wijzigingen worden eerst getest in een afzonderlijke testomgeving alvorens ze in productie worden genomen. Er is een test-, cursus- en productieomgeving. Het testen gebeurd door een daarvoor samengestelde gebruikersgroep. In het projectenoverleg worden de testresultaten voorgelegd aan de systeemeigenaar. De wijzigingen worden geautoriseerd door de systeemeigenaar voordat een gewijzigde versie in productie wordt genomen. Deels effectief Wij adviseren om in het kader van de changemanagement procedure te voorzien in een automatische (unieke) doorlopende nummering.