INFORMATIEBEVEILIGING

Transcriptie

1 INFORMATIEBEVEILIGING EN HET NIEUWE WERKEN Afstudeerscriptie IT audit opleiding Postgraduate opleiding Vrije Universiteit Amsterdam April 2011 Adriaan van Nieuwmegen Gerlof Miedema

2 1 VOORWOORD Er is een digitale revolutie aan de gang. Iedere dag worden nieuwe oplossingen bedacht om op een slimmere, efficiëntere wijze het werk te organiseren. Deze ontwikkeling wordt ook wel samengevat met de term Het Nieuwe Werken. Bedrijven willen deze ontwikkeling volgen, maar welke risico s brengt dit met zich mee en wat gaat het opleveren? Gedeeltelijk proberen wij daar een antwoord op te geven. Op het moment dat dit stuk wordt geschreven, worden ongetwijfeld al weer nieuwe apparaten of oplossingen bedacht die het mogelijk maken om het werk anders te organiseren en dus gevolgen hebben voor bestaande procedures en maatregelen. Toch proberen wij vanuit het perspectief van informatiebeveiliging een handreiking te doen om zaken binnen organisaties beheersbaar en veilig te houden tijdens deze explosie aan nieuwe mogelijkheden. Wij willen dan ook iedereen bedanken die ons heeft geholpen om deze scriptie mogelijk te maken. In het bijzonder willen wij onze scriptiebegeleider bedanken; de heer drs. Bart van Staveren RE, beleidsadviseur voor de CIO bij het UWV. Veel dank gaat uit naar Joris Geertman, Product Manager bij Microsoft. Hij was een waardevolle bron van kennis en visie, die veel tijd voor ons vrijgemaakt heeft. Tot slot willen wij onze begeleiders vanuit de organisatie bedanken; de heer Ron Dinmohamed, Security Officer, de heer Rick Quakernaat, Architect Infrastructuur bij Cordares en de heer G. Bolhuis, Manager Shared Service Center bij de Friese Wouden. Amsterdam, 1 april 2011 Adriaan van Nieuwmegen Gerlof Miedema 1

3 2 MANAGEMENTSAMENVATTING Het nieuwe werken is een proces en ontwikkelt zich continu. Door ontwikkelingen op het gebied van consumerization, de drang naar goed werkgeverschap en efficiency, is dit proces niet te stoppen. De wens is dat toepassingen, die vandaag de dag, binnen de muren van een organisatie worden aangeboden, ook buiten de muren van de organisatie aan te bieden ( anywhere at any time on any device ). In tegenstelling tot de traditionele IT-omgeving, waarbij alles netjes wordt afgeschermd, wil men nu ook ketenpartners of klanten rechtstreeks toegang geven tot de backoffice. Zij willen dat klanten inzage krijgen in de polisgegevens of zaken kunnen muteren in hun eigen elektronisch patiënten dossier. Als wij de stelling aannemen dat binnen nu en tien jaar elke vorm van communicatie op papier is verdwenen wat gaat dat dan betekenen voor de huidige beveiligingseisen van onze informatiesystemen? Binnen deze scriptie is getracht daar antwoord op te geven. Middels literatuurstudie en inventarisaties binnen de organisaties, is achterhaald wat kenmerkend is voor Het Nieuwe Werken. Daarbij verschillen de functionaliteiten in beide organisaties. Toch blijft het object in beide situaties hetzelfde; namelijk het beschikbaar stellen van informatie buiten de vertouwde muren. Daarbij is de rol van internettechnologie de grote enabler om deze ontwikkeling mogelijk te maken. Om de vraag te kunnen beantwoorden wat de impact is van Het Nieuwe Werken op deze organisaties, is onderzocht wat de huidige kaders zijn op het gebied van informatiebeveiliging. Als men de voordelen van het nieuwe werken wil gaan benutten (flexibeler werken, minder personeel, minder kantoorruimte, hogere arbeidssatisfactie), dan mag dat niet tot onacceptabele risico s leiden waardoor organisaties mogelijk niet meer compliant zijn. Een grondige risico-analyse op de zaken die kenmerkend zijn voor Het Nieuwe Werken is vervolgens uitgevoerd. Daarbij zijn ook de normen, die genoemd worden in de code voor informatiebeveiliging en relevant waren voor Het Nieuwe Werken, onderzocht. Deze risico s zijn vervolgens vertaald naar mitigerende maatregelen. Wij denken dat het inzicht, dat verkregen is binnen dit onderzoek, de organisaties verder heeft geholpen in het nemen van juiste beslissingen om het Nieuwe Werken mogelijk te maken. 2

4 Inhoudsopgave 1 Voorwoord Managementsamenvatting Inleiding en probleemstelling Aanleiding voor de scriptie Probleemstelling Doelstelling Onderzoeksvragen Resultaat van het onderzoek Onderzoeksmodel Opbouw scriptie Afbakening Wat verstaan we onder Het Nieuwe Werken? Het nieuwe werken bij de APG groep APG IT-Werkplek van de toekomst Het Nieuwe Werken bij de Friese Wouden Toekomstverwachting en relatie met Het Nieuwe Werken Technologieën die kenmerkend zijn voor Het Nieuwe Werken Inleiding Werkplek Social Media Unified Communications Collaboration Bedrijfsveranderingen Virtualisatie Desktop virtualisatie Server Based Computing (SBC) Virtual Desktop Infrastructure (VDI) User state Applicatie virtualisatie de Cloud Consumerization Bring Your Own Device Risicoanalyse en mogelijke maatregelen bij Het Nieuwe Werken Welke huidige kaders zijn van toepassing Kaders die van toepassing zijn bij APG Kaders die van toepassing zijn bij de Friese Wouden Toelichting Code voor Informatiebeveiliging Korte introductie NEN-ISO/IEC NEN Het Nieuwe Werken en bestuurlijke informatievoorziening

5 6.3.1 Controle technische functiescheidingen Het Nieuwe Werken binnen de organisatorische eenheden Risicoanalyse op de wijzigingen bij Het Nieuwe Werken Algemene risico s Algemene maatregelen ICT Architectuur IT-volwassenheid Het IT werkveld Risico s Fysieke laag Maatregelen Fysieke Laag Risico s Netwerklaag Maatregelen Netwerklaag Risico s identity en acces Management Maatregelen Identity en Access Management Risico s Host Maatregelen Host Risico s Applicatielaag Maatregelen Applicatielaag Risico s bij het gebruik van social media Maatregelen bij social media Risico s Datalaag Maatregelen Datalaag Logging en monitoring Conclusie Persoonlijke Reflectie literatuurlijst Bijlage Risico-analyse en confrontatie met de NEN-ISO/IEC Bijlage College bescherming persoongegevens Bijlage Aandachtsgebieden toezicht Inspectie Gezondheidszorg (IGZ)

6 INFORMATIEBEVEILIGING EN HET NIEUWE WERKEN Postgraduate opleiding Vrije Universiteit Amsterdam April INLEIDING EN PROBLEEMSTELLING De ontwikkeling van informatie- en communicatietechnologie heeft het mogelijk gemaakt dat iedereen zonder beperkingen met iedereen kan communiceren. De opkomst van sociale virtuele netwerken, ook bekend als Web 2.0, heeft vergaande gevolgen hoe medewerkers, leidinggevenden en de buitenwereld met elkaar omgaan. Fysieke aanwezigheid is niet meer een vereiste en kan tot grote besparing leiden. De organisaties die zijn gestart met Het Nieuwe Werken, verwachten belangrijke voordelen te behalen met de invoering van Het Nieuwe Werken. Dit zijn voordelen op het gebied van arbeidssatisfactie, prestatieverbetering, samenwerking, benutten van kennis, klanttevredenheid, werkgeversimago en duurzaam ondernemen. Tegelijk voorzien zij een verlaging van de huisvestingskosten, reis- en verblijfkosten en ITkosten. Ook verwachten zij efficiënter te kunnen werken en een lager verzuim en verloop te kunnen realiseren. Uiteraard zijn er aan deze ontwikkelingen risico s verbonden. De informatie die personeel van instanties met elkaar delen is zeer divers. Te denken valt aan informatie die de concurrentiepositie kan beïnvloeden of privacygevoelige informatie. Het toestaan van mobiele werkplekken introduceert nieuwe risico s en dezelfde waarborgen zullen moeten gelden die nu ook van toepassing zijn om risico s op dit gebied te mitigeren. Er zal dus een aangepast beleid op het gebied van informatiebeveiliging moeten worden gevormd om deze risico s te vermijden. De auteurs van de scriptie zijn werkzaam in de financiële sector en de zorgsector. In beide omgevingen is bekeken wat de wensen en plannen zijn t.a.v. Het Nieuwe Werken en welke maatregelen op het gebied van informatiebeveiliging daarbij van toepassing zijn of moeten worden genomen. 3.1 Aanleiding voor de scriptie Veel organisaties worstelen met de vraag of Het Nieuwe Werken moet worden toegestaan vanuit het informatiebeveiligingsperspectief. Wij hopen met dit onderzoek handvatten aan te reiken hoe organisatie hiermee om kunnen gaan. 3.2 Probleemstelling In deze paragraaf wordt aan de hand van de doelstelling de centrale vraag met bijbehorende deelvragen geïntroduceerd. Tevens is schematisch het onderzoeksmodel weergegeven Doelstelling 5

7 Binnen dit onderzoek is bekeken, hoe en of het informatiebeveiligingsbeleid moet worden aangepast als Het Nieuwe Werken wordt toegepast in eerder beschreven organisaties. Daarbij is onder andere gekeken naar het veel gebruikte normenkader NEN-ISO/IEC Onderzoeksvragen Welke andere of aanvullende maatsregelen zijn noodzakelijk om Het Nieuwe Werken veilig te introduceren? Daarbij zijn de volgende deelvragen opgesteld: Wat verstaan wij onder Het Nieuwe Werken binnen deze instellingen? Welke kaders van informatiebeveiliging zijn er bij de instellingen nu van toepassing? Welke eisen worden gesteld aan het beleid en inrichting van Het Nieuwe Werken met betrekking tot beveiliging? Welke specifieke risicogebieden bij de toepassing van Het Nieuwe Werken kunnen worden onderscheiden en in welke mate worden zij afgedekt door de huidige geldende kaders? Welke aanvullende maatregelen, in termen van beheersmaatregelen. zijn noodzakelijk in een omgeving waar Het Nieuwe Werken wordt toegepast? Resultaat van het onderzoek Het nieuwe werken is onderzocht en de essentie van de verandering van Het Nieuwe Werken is beoordeeld op risico s die met Het Nieuwe Werken worden geïntroduceerd. Er heeft een toetsing plaatsgevonden aan de hand van de NEN-ISO/IEC Aanvullende beheersmaatregelen die noodzakelijk zijn bij de nieuwe risico s zullen zijn beschreven. Het gaat om een algemeen instrument met normen uitgewerkt in termen van beheersmaatregelen die door organisaties kunnen worden toegepast, waardoor risico s op het gebied van Het Nieuwe Werken afdoende worden beheerst Onderzoeksmodel Het onderzoek is als volgt uitgevoerd: Relevante literatuur is onderzocht op het gebied van informatiebeveiliging en digitale werkomgevingen. De resultaten van het literatuuronderzoek en de onderzoeksvragen zijn gebruikt voor het opstellen van een vragenlijst ten behoeve van het empirisch onderzoek. Interviews met onder andere deskundigen op het gebied van Het Nieuwe Werken bij de instellingen en relevante IT leveranciers die bezig zijn oplossingen te creëren. Onderzoek naar wet en regelgeving op dit gebied. Resultaten van het literatuuronderzoek en de interviews zijn verwerkt en geanalyseerd en opgeleverd in de vorm van een scriptie. 6

8 3.2.5 Opbouw scriptie Definiëren wat verstaan wordt onder Het Nieuwe Werken. Beschrijven van de wijzigingen in de omgeving en beschrijving van het object dat dient te worden beveiligd. Inventarisatie huidige informatiebeveiligingsbeleid. Risico-analyse betreffende de gewijzigde situatie. Vergelijking risico s Cordares (APG) en De Friese Wouden. Aanvullende maatregelen definiëren in de vorm van aanvullende beheersmaatregelen. Overeenkomstige maatregelen tussen beide instellingen kunnen generiek worden verklaard. Conclusies. Beschrijving van Het Nieuwe Werken (HNW) Beschrijving omgeving Cordares (APG) en HNW Beschrijving omgeving de Friese Wouden en HNW Beschrijving huidig informatiebeleid Beschrijving huidig informatiebeleid Risicoanalyse gewijzigde situatie Risicoanalyse gewijzigde situatie Vergelijken van risico s binnen de instellingen Bepalen van aanvullende maatregelen elen in termen van beheersmaatregelen Conclusie en beantwoording vraagstelling Figuur 1: het onderzoeksmodel. 7

9 3.2.6 Afbakening Het onderzoek richt zich op de beveiligingsmaatregelen die genomen moeten worden binnen een pensioenadministratieomgeving en een zorginstelling. De organisatorische beheersmaatregelen beperken zich tot het beheersen van de informatiestromen. Managementvraagstukken op het gebied van aansturing bij Het Nieuwe Werken worden buiten beschouwing gelaten evenals overige sociaal-culturele factoren. Het literatuuronderzoek is gericht op academische onderzoeken, literatuur en artikelen waar mogelijk. Gezien het onderwerp en de snelle ontwikkelingen op dit gebied zijn ook factsheets van leveranciers erbij betrokken. 8

10 4 WAT VERSTAAN WE ONDER HET NIEUWE WERKEN? Het Nieuwe Werken is de laatste jaren een gevleugeld begrip geworden. Een zoektocht over het Internet laat ons een onbegrensde hoeveelheid gerelateerde artikelen zien. Daarnaast zijn er vele boeken, cursussen, seminars en workshops te vinden die ons proberen uit te leggen hoe Het Nieuwe Werken in de bedrijfsorganisatie is onder te brengen. Het ontstaan van Het Nieuwe Werken valt toe te schrijven aan de onstuimige ontwikkeling die de Informatie Technologie de laatste decennia heeft doorgemaakt. Hierdoor zijn er mogelijkheden ontstaan om het werk anders te organiseren. Toch is Het Nieuwe Werken niet ontwikkeld binnen de muren van het bedrijfsleven. Het is ontstaan in de samenleving. Door de opkomst van het Internet en met name sociale media, konden mensen informatie op ieder gewenste plek snel en gemakkelijk met elkaar delen. 1 Hierdoor ontstonden er platformen waarop gebruikers zich kunnen organiseren, samenwerken, vriendschappen onderhouden, delen, ruilen, handelen en/of creëren. Deze platformen, welk een open en toegankelijk karakter kennen en decentraal zijn georganiseerd, maken een actieve inbreng van gebruikers mogelijk. Het resultaat van deze ontwikkeling is, dat mensen zonder obstakels, altijd en overal, met elkaar kunnen communiceren en samenwerken. Deze flexibiliteit zorgt ervoor, dat mensen individueler en creatiever hun leven kunnen indelen. Internet en indirect sociale media zijn hierdoor een belangrijk onderdeel van onze samenleving geworden die nieuwe concepten en ideeën mogelijk maken. De integratie van Internet in ons leven zal de komende jaren alleen maar toenemen. Dit zorgt ervoor dat bedrijven deze maatschappelijke ontwikkeling moeten gaan volgen en dat zij hun organisatie hierop zullen moeten aanpassen, zodat deze weer een werkplek biedt die bij deze tijd past. Het Nieuwe Werken maakt het mogelijk om het werk effectiever, efficiënter maar vooral plezieriger te maken. Dit zorgt voor een win-winsituatie. Medewerkers krijgen meer vrijheid om hun werk te doen en organisaties kunnen door de verbeterde efficiëntie en effectiviteit hun kosten verlagen. Een ander voordeel van Het Nieuwe Werken is dat door het spreiden van de werkuren en het thuiswerken er minder verkeer op de weg is, wat zorgt voor minder files en een beter milieu. Daarnaast besparen bedrijven flink op de kosten van huisvesting, omdat per werknemer minder kantooroppervlakte noodzakelijk is. 2 1 (Hameeteman, 2010) 2 (Bijl, 2010) 9

11 4.1 Het nieuwe werken bij de APG groep De APG groep bestaat uit drie onderdelen: APG, Cordares en Loyalis. De letters APG staan voor Algemene Pensioen Groep. Wereldwijd opereert APG groep met kantoren in Nederland (Amsterdam en Heerlen) en dochterondernemingen in Hong Kong en New York. APG Groep bestaat uit drie dochterorganisaties: APG Algemene Pensioen Groep N.V. (APG), Cordares Holding N.V. en Loyalis N.V. De uitvoeringsorganisatie de APG Group (naar de buitenwereld APG) is specialist op het gebied van collectieve pensioenen in de publieke sector. APG verzorgt de uitvoering van het pensioen voor circa 2,8 miljoen Nederlanders. Dat betekent dat APG de administratie voert, de communicatie verzorgt en het pensioenvermogen van die sector beheert. Cordares is specialist op het gebied van collectieve pensioenen, aanvullende producten en diensten in de private sector. Cordares verzorgt het pensioen van circa 1,5 miljoen Nederlanders. Het vermogensbeheer van alle opdrachtgevers wordt gezamenlijk door APG uitgevoerd. Loyalis is specialist op het gebied van aanvullende (semi)collectieve en individuele inkomensarrangementen voor werkgevers en werknemers bij overheid, onderwijs en de energie- en nutsbedrijven. Die arrangementen sluiten aan op de collectieve pensioenregeling van deze sectoren. 4.2 APG IT-Werkplek van de toekomst De maatschappelijke ontwikkelingen en zakelijke trends, zoals Het Nieuwe Werken en verantwoord ondernemen, zijn APG niet onopgemerkt gebleven. 3 Net als veel andere bedrijven richt APG zich op een nieuwe werkstijl. Dit heeft er toe geleid dat APG een werkplek definieert die past bij deze ontwikkelingen. Deze initiatieven hebben zich vertaald in een onderzoek naar de nieuwe werkplek, I-Works@APG genoemd. Met het bijbehorende visiestatement: Any time, any place, any device. 3 (APG, 2011) 10

12 De bedrijfsstrategie t.a.v. de nieuwe APG-werkplek laat zich in essentie in een viertal punten samenvatten: 4 Creëer een optimale balans tussen individuele behoeften van APG-medewerkers (keuzevrijheid, personalisatie), standaardisatie en kosten door het slim en pragmatisch inzetten van IT technologie. Organiseer APG-bedrijfsinformatie zo dat deze, daar waar nodig, binnen de grenzen van beheer- en beheersbaarheid, overal (kantoor, thuis en onderweg) en in verschoven tijden, veilig, beschikbaar en bruikbaar is. Open de weg voor de veilige inzet voor privé IT-middelen van APG-medewerkers voor werkdoeleinden. Verbeter de effectiviteit en efficiëntie van de informatievoorziening door standaardisatie, integratie, complexiteit reductie en kostenverlaging. Om deze visie verder vorm te geven, is een solutionarchitectuur voor de Nieuwe Werkplek van APG opgesteld. De solutionarchitectuur is de vertaling van de algemene enterprise architectuurprincipes, enterprise modellen en business en IT requirements naar specifieke en concretere richtlijnen. De algemene architectuur wordt als het ware toegesneden op de specifieke problematiek van het project. Hierdoor wordt de solution architectuur een concreet en doelgericht kader waarbinnen het project moet worden uitgevoerd. APG wil een APG IT-Werkplek van de toekomst. Dit houdt in: Modernisering van de werkplek met moderne communicatie- en samenwerkingshulpmiddelen. Eén APG-werkplek die ongeacht locatie, functie of tijd op een gestandaardiseerde manier flexibel toegang tot bedrijfsinformatie verschaft en applicaties beschikbaar stelt. Kostenefficiëntere fysieke kantoorbezetting. Verlaging van kosten. Effectief inzetten van resources: mens en IT. Aansluiten bij maatschappelijke ontwikkeling op meer eigen verantwoordelijkheid rond het werk. Vrijheid in de keuze van devices. De werkplek van de toekomst moet ondersteunen bij deze uitdagingen waarvoor APG staat: Huidige integratie APG/Loyalis en Cordares en toekomstige integraties. Op meerdere locaties (Heerlen/Basisweg/Symphony) elkaars werkzaamheden kunnen uitvoeren. Het onderling uitbesteden van werk. Meer functionele keuzevrijheid voor medewerkers; keuzevrijheid in de middelen en locatie om werkzaamheden uit te voeren. Groeiende mobiliteit, minder bureauwerk. Meer flexibiliteit en schaalbaarheid. Het snel kunnen inzetten van aanvullende werkplekken of extra functionaliteit/applicaties. Flexibeler kunnen inspelen op pieken en dalen. Employer of choice. APG moet aantrekkelijk zijn en blijven voor huidige en toekomstige werknemers. Actief inspelen op aspecten die medewerkers belangrijk vinden. Een moderne werkplek bijvoorbeeld is daarvoor een essentiële voorwaarde. 4 (APG, 2011) 11

13 Meer nadruk, gedreven door incidenten en toezichthouders, op beschikbaarheid, continuïteit en beheersing. Cost management met behulp van een eigen winst- en verliesrekening en bijbehorende transparantie van kwaliteit en kosten van de interne dienstverlening. 4.3 Het Nieuwe Werken bij de Friese Wouden De Friese Wouden, behorende bij de Kwadrantgroep, vormt de grootste werkgever van Friesland. De Friese Wouden adviseert, begeleidt en geeft praktische hulp aan mensen wanneer hun levensomstandigheden om zorg vragen. Een deel van de Kwadrantgroep wordt ondersteund door een Shared Service Center waar onder andere salarisverwerking en het declaratieproces plaatsvindt. De zorginstelling verzamelt veel gegevens van cliënten die zij bedienen. Een zorginstelling heeft op het gebied van wet en regelgeving een aantal voorwaarden 5 : WBP met als toezichthouder College bescherming persoonsgegevens (CBP.zie ook uitgangspunten CBP in bijlage 2). IGZ, de inspectie voor de gezondheidszorg (zie bijlage 3 doelstellingen IGZ). Medewerkers werken met privacygevoelige gegevens en zijn over het algemeen niet getraind op het gebied van informatiebeveiliging. Dit maakt de kans op datalekkage groter. De eerste prioriteit is het leveren van zorg, is de algemene mening, en iedere vorm van registratie of werkverschaffende regeltjes wordt als onnodig beschouwd. Er vindt ook uitwisseling plaats met derden (ziekenhuizen, gemeenten, zorgkantoren, onderaannemers). Bij de ambulante thuiszorg worden door heel Noord Nederland routes gereden. Registraties en dossiervorming vinden plaats buiten de traditionele kantoren Toekomstverwachting en relatie met Het Nieuwe Werken De kwadrantgroep biedt een breed scala van diensten aan op het gebied van zorg. Men verwacht dat de cliënt steeds selectiever de zorg gaat inkopen bij de beste aanbieder. De cliënt verwacht enerzijds maatwerk op de situatie die bij hem of haar van toepassing is en anderzijds wenst men ook een one stop shop waardoor de zorgverlener alles aan kan bieden wat nodig is. Op strategisch niveau heeft men besloten om efficiënter te gaan communiceren tussen de organisaties binnen en buiten de instellingen die zijn aangesloten bij de kwadrantgroep waardoor voordeel behaald moet worden. Gegevens worden op 1 plek vastgelegd en moeten daarbij inzichtelijk zijn voor verschillende belanghebbenden. Het voordeel moet behaald worden door een verlaging van de overhead en meer handen aan het bed. De grootste bron van inkomsten, welke uit de AWBZ financiering afkomstig zijn, drogen langzaam op. Daar tegenover staat een nieuwe generatie ouderen die bereid zijn om aanvullend zorg in te kopen. Flexibiliteit en tijdig inspelen met nieuwe producten is daarbij dus zeer belangrijk. 5 (Kohnstamm, 2010) 12

14 Computergebruik is bij de nieuwe generatie cliënten ook geen issue meer. Dus E-commerce activiteiten of het gebruik van social media kunnen ook hier worden toegepast. De nieuwe oudere weet zelf heel goed wat hij of zij wil en de zorg moet daar op inspelen. Zorgproducten worden continu aangepast en ontwikkeld. Systemen moeten daar snel op kunnen worden aangepast. De kwadrantgroep is opgebouwd uit diverse stichtingen die elk een deel van de zorgmarkt bedienen. Men wenst door nieuwe media en systeem koppelingen (CRM) klanten te benaderen en aanvullende diensten aan te bieden. In alle organisaties wordt voornamelijk gewerkt met legacy systemen of maatwerk oplossingen om de zorg zo goed mogelijk te ondersteunen of de noodzakelijke informatie aan derden te kunnen verstrekken. Er zijn op het gebied van flexibeler werken initiatieven genomen door bijvoorbeeld de inzet van handhelds bij de planning en registratie van ambulante medewerkers. De registraties worden realtime in de systemen verwerkt en de planning is altijd actueel beschikbaar voor de zorgverlener. Op dit moment staat er weinig privacy gevoelige informatie op deze handhelds en geen indicatie of medicatie gegevens. Dit gaat in de toekomst veranderen. Middels SBC (server based computing) is het mogelijk om medewerkers een (thuis)werkplek aan te bieden. Het is de bedoeling dat de overige medewerkers, en mogelijk ook cliënten, volledige inzage gaan krijgen in dossiers middels onder andere tablet pc s. De kwadrantgroep moet aantrekkelijk zijn en blijven voor huidige en toekomstige werknemers. Actief inspelen op aspecten die medewerkers belangrijk vinden, een moderne flexibele werkplek bijvoorbeeld, is een essentiële voorwaarde. Het onderdeel Shared Service Center bedient instellingen binnen en buiten de kwadrantgroep. Aspecten als beschikbaarheid, continuïteit en integriteit van gegevens en beheersing van processen zijn daarbij zeer belangrijk. Afspraken met zorgkantoren dienen strikt te worden nagekomen en fouten hebben directe financiële gevolgen. Omdat de marges in de zorg zeer klein zijn, kunnen fouten gelijk ernstige financiële gevolgen hebben (en imagoschade). Op dit moment is men bezig de IT strategie op Het Nieuwe Werken aan te passen. Het thuiswerken en ondersteunen van medewerkers op afstand wil men gaan bevorderen. Ook kleinschalige zelfregulerende zorgteams is een ontwikkeling die snel in opmars komt. De huidige systemen zijn niet geschikt om dit proces op adequate wijze te ondersteunen. Daarvoor is het nodig de architectuur drastisch aan te passen. Het Nieuwe Werken betekent bij de Kwadrantgroep vooral, overal met elk apparaat toegang verschaffen tot de bedrijfssystemen en de daarbij behorende bedrijfsinformatie. Het voorstel is dan ook om vooral middels een internet toepassing toegang te verschaffen tot de legacy systemen. Een groot deel van de functionaliteiten die binnen deze systemen werken, hoeven dan niet opnieuw te worden gebouwd. (Facturering, verloning, indicaties (zorgrecht) etc. 13

15 De volgende functionaliteiten zijn daarbij denkbaar: Toegang voor de cliënt: Inzage in eigen dossier en medicatie. Inzage in factuurhistorie voor aanvullende zorg of eigen bijdrage. Inzage in urenregistratie van zorgverleners. Inzage in planning van zorgverleners. Inzage in communicatie tussen zorgverleners onderling. Aanbieden van een gezamenlijk productportfolio voor meerdere stichtingen dus als intermediair gaan fungeren. De klant kan zelf de nieuwe afspraken plannen of producten aanschaffen middels een portal. Gebruik van social media. Toegang voor de medewerker Meer functionele keuzevrijheid voor medewerkers; keuze vrijheid in de middelen en locatie om werkzaamheden uit te voeren. Groeiende mobiliteit, minder bureauwerk. Meer flexibiliteit en schaalbaarheid. Het snel kunnen inzetten van aanvullende werkplekken of extra functionaliteit en applicaties. Flexibeler kunnen inspelen op pieken en dalen. Inzage/mutaties in cliëntendossier die gekoppeld zijn aan zorgverlener Mogelijkheid tot urenregistratie. Inzage salarisstrook. Inzage planning. Communicatie tussen zorgverleners. Communicatie naar derden (verwijzers etc). Taakgestuurd werken middels workflows. Ontwikkeling van een portal waarin middels services verschillende systemen worden gekoppeld. Gebruik van social media. Toegang voor derden: Aanvraag zorg door ziekenhuizen. Aanvraag/communicatie medisch technisch team en terugkoppeling van uren. Urenverwerking van onderaannemers. Urenverwerking en cliëntregistratie en verloning van andere thuiszorginstellingen (als SSC gaan fungeren buiten de organisatie). Inzage facturen door gemeenten inzake WMO. Professionalisering Elektronisch berichtenverkeer met Vecozo (landelijk portal voor elektronische factuuruitwisseling met verzekeraars en zorgkantoren). 14

16 5 TECHNOLOGIEËN DIE KENMERKEND ZIJN VOOR HET NIEUWE WERKEN In dit hoofdstuk wordt beschreven welke invloeden kenmerkend zijn binnen Het Nieuwe Werken. 5.1 Inleiding De IT is de belangrijkste aanjager en katalysator geweest voor Het Nieuwe Werken. Nieuwe en verbeterde technieken stellen ons in staat om tijd- en locatie-onafhankelijk te kunnen werken. De eisen die aan de nieuwe IT-omgeving worden gesteld verschillen in veel opzichten van de traditionele IT-omgeving. De traditionele IT-omgeving kenmerkt zich door een statisch en gesloten karakter, daarentegen onderscheidt de nieuwe IT-omgeving zich door zijn transparantie en flexibiliteit. Het minder afhankelijk worden van de plaats, tijd of middelen vraagt om een aanpassing van de IT-faciliteiten. De veranderingen zullen bestaan uit het moderniseren van bestaande faciliteiten en het introduceren van nieuwe technologieën. 5.2 Werkplek Het Nieuwe Werken vereist een flexibele werkplek, waarbij gebruikers plaats, tijd en platformonafhankelijk kunnen werken, zonder toe te geven op productiviteit en functionaliteit. 6 Het mag niet uitmaken welk apparaat hiervoor wordt gebruikt. Belangrijk hierbij is dat de gebruiker steeds dezelfde gebruikerservaring heeft en altijd beschikt over de juiste instellingen, documenten en applicaties. Daarnaast zal de gebruiker in staat gesteld moeten worden om op een veilige en betrouwbare manier toegang te krijgen tot informatie en te communiceren met collega s. In de markt zijn tal van technologische oplossingen beschikbaar die aan deze randvoorwaarden invulling kunnen geven. 5.3 Social Media Een breed begrip en een fenomeen, dat de laatste jaren sterk in populariteit is gegroeid kunnen we samenvatten als social media. Ondernemingen maken steeds meer gebruik van deze media om reclame te maken of om heel direct met klanten in contact te treden. Ook medewerkers binnen organisaties maken gebruik van deze cloud-functionaliteit. Overige voordelen: Versnelde groei van omzet. Verbetering merkbekendheid. Professionele uitstraling. Bereiken van jongere doelgroep. Direct contact (bi-directioneel) met consumenten. Slechtweer omzet behouden. 6 (Son, 2010) 15

17 Volgens wikipedia kunnen we social media als volgt beschrijven: Social media is de ook in het Nederlandse taalgebied gangbare Engelse benaming voor online platformen waar de gebruikers, met geen of weinig tussenkomst van een professionele redactie, de inhoud verzorgen. Tevens is er sprake van interactie en dialoog tussen de gebruikers onderling. Kaplan en Haenlein bepalen social media zoals "een groep internetapplicaties die gebruikmaken van de ideologie en de technologie van Web 2.0 en de creatieve uitwisseling van User Generated Content". Onder de noemer social media worden onder andere weblogs, fora, sociale netwerken als Hyves, Facebook en LinkedIn en diensten als Twitter geschaard. 5.4 Unified Communications Een goede bereikbaarheid is een voorwaarde om Het Nieuwe Werken mogelijk te maken. Communicatie binnen een organisatie vindt vandaag de dag op vele manieren plaats, zoals , telefoon, voic , videoconferentie, sms en chat. Toch blijkt in de praktijk, ondanks al deze communicatiemiddelen, dat het met de bereikbaarheid droevig is gesteld. 7 Dit wordt veroorzaakt doordat de mogelijkheden niet goed op elkaar zijn afgestemd. Dit uit zich in de praktijk door bijvoorbeeld doorgeschakelde telefoon en onbeantwoorde contactpogingen. De oplossing voor dit probleem ligt in het samenbrengen van al deze communicatiemiddelen, Unified Communications zorgt hiervoor. Zo kan met Unified Communications een medewerker die buiten de deur aan een offerte voor een klant werkt, overleggen met zijn leidinggevende. Hij kan door middel van zijn programma zien of zijn leidinggevende beschikbaar is. Beiden kunnen met behulp van een videoconferentie de presentatie bekijken en overleggen over wijzigingen. Wanneer er behoefte is aan oogcontact dan kan er eenvoudig een videoconferentie worden opgezet. Unified Communiations zorgt ervoor dat spraak, beeld en tekst naadloos in elkaar overgaan. Zo kun je met een antwoorden op een voic , een chat-sessie starten om dan via een telefoongesprek naar een videogesprek te evolueren Collaboration Unified communications wordt vaak in één adem genoemd met collaboration. Naast de klassieke communicatiemiddelen zoals telefonie, chat en video, bevat Unified Communications doorgaans ook samenwerkingsoplossingen zoals het delen van applicaties. Collaboration heeft betrekking op die functionaliteit die het samenwerken mogelijk maakt Bedrijfsveranderingen Momenteel zijn de meeste Unified Communications implementaties bestemd voor het verbeteren van de interne bereikbaarheid. De verwachting is dat de toekomstige 7 (Lemmens, 2009) 8 (ZBC, 2009) 16

18 oplossingen meer naar buiten gericht zullen zijn, om zo ook de communicatie en de samenwerking met klant en partners te verbeteren. De verwachting is dat de organisatiestructuur van veel bedrijven hierdoor gaat veranderen. 9 Het verbinden van het bedrijfsnetwerk met de sociale netwerken maakt het mogelijk om de ontwikkeling van nieuwe producten en diensten te versnellen, nieuwe kanalen te introduceren, het bedrijf te globaliseren of te virtualiseren, of andere soortgelijke transformaties door te voeren. 5.5 Virtualisatie Bij het virtualiseren van IT wordt het meest gedacht aan servers. Maar vandaag de dag is het mogelijk om deze techniek toe te passen op bijna alle lagen van de IT-infrastructuur, zoals opslag, desktops, netwerken, applicaties en hardware. Het virtualiseren van de werkplek is mede door Het Nieuwe Werken, een onderdeel dat steeds meer de aandacht krijgt. Een virtuele werkplek heeft betrekking op de applicaties, desktop en het apparaat zelf dat wordt gebruikt Desktop virtualisatie Desktop virtualisatie valt onder te verdelen in twee typen; Virtual Desktop Infrastructure (VDI) en Server Based Computing (SBC) Server Based Computing (SBC) Service Based Computing is een oplossing voor toegang tot desktops of losse applicaties die op Terminal Servers in een datacenter worden uitgevoerd. Toegang tot de desktop of applicatie is niet gebonden aan een locatie of eindgebruikerapparaat. Programmauitvoering en gegevensverwerking vinden centraal plaats op de Terminal Servers. De informatie verschijnt op het client-scherm via de protocollen RDP of ICA. SBC bestaat uit verschillende infrastructuurcomponenten voor beheer, load balancing, sessiecontrole en ondersteuning. SBC gebruikers hebben toegang tot published desktops of applicaties via Terminal Servers d.m.v. client software. Omdat het gedrag van de gebruiker bij SBC effect kan hebben op de hele Terminal Server host, zullen er zware en strenge restricties doorgevoerd moeten worden op de gebruiker. Wat de gebruiker download of aanpast kan een gevaar zijn voor de gehele shared omgeving Virtual Desktop Infrastructure (VDI) VDI is een van de mogelijkheden die gebruikers voorziet van een elektronische werkplek. Gebruikers krijgen remote toegang tot Windows of Linux desktops die in een computercentrum wordt uitgevoerd. Toegang tot de persoonlijke desktop is niet gebonden aan een locatie of eindgebruikerapparaat, waardoor de flexibiliteit van de werknemers toeneemt. IT-afdelingen kunnen profiteren van alle voordelen van 9 (Overhetnieuwewerken.nl) 10 (Spruijt, 2011) 17

19 centralisatie, waaronder gecentraliseerd beheer van de werkbelasting van desktops en een verbeterde bedrijfscontinuïteit VDI gebruikers krijgen een compleet geïsoleerde desktop met verminderde kans om andere gebruikers te beïnvloedden. De VDI oplossing kent twee scenario s: een persoonsgebonden desktop, die persoonlijk te configureren is en een pool met beschikbaar desktops. Bij het laatste genoemde scenario krijgen gebruikers een willekeurig desktop toegewezen. Bij het uitloggen wordt de virtuele machine weer schoon gemaakt, settings worden dan niet opgeslagen. Aan de VDI technologie kleven een aantal nadelen 11, waardoor de toepasbaarheid voor Het Nieuwe Werken nogal beperkt is. Voor het bieden van een mobiele werkplek is VDI niet geschikt, omdat deze een permanente verbinding vereist met het netwerk. Daarbij voorziet de huidige VDI-technologie niet in een optimale gebruikerservaring voor externe gebruikers, zeker niet als het gaat om toepassingen waarin intensief gebruik wordt gemaakt van multimedia. VDI vraagt om een aanzienlijke investering in de infrastructuur. Het kiezen voor VDI als desktopoplossing betekent dus niet automatisch een vermindering van de totale eigendomskosten (TCO). Microsoft, Citrix, Kaviza, Quest, SUN, Virtual Bridges en VMware zijn belangrijke leveranciers in dit marktsegment User state Bij User State virtualisatie worden de data en de settings van een gebruiker losgekoppeld van het werkstation en centraal opgeslagen op een server. Hierdoor kunnen gebruikers op elk willekeurig werkstation dat aan het netwerk hangt inloggen en hun data en/of settings meenemen. Voorbeelden van User State virtualisatie zijn: Roaming user profile (data en settings zijn centraal opgeslagen op de server, een gebruiker kan op elke geconfigureerde cliënt inloggen en heeft altijd zijn data tot zijn beschikking). Folder redirection (geeft de mogelijkheid om de locatie van de op te slaan data te veranderen) Applicatie virtualisatie Het aanbieden van de toepassingen aan de juiste eindgebruikers is een van de basisfunctionaliteiten van een IT infrastructuur. Daarom is het virtueel kunnen aanbieden van een applicatie één van de belangrijkste oplossingen in de levering van een dynamische werkplek. Vooral bij Het Nieuwe Werken zorgt het virtualiseren van applicaties voor het wegnemen van een aantal barrières en draagt het bij aan een veiligere en stabielere werkplek. 11 (Manuel, 2010) 12 (Kornegoor, 2010) 18

20 Het virtueel aanbieden van applicaties zorgt ervoor dat een applicatie niet meer vooraf op een endpoint aanwezig hoeft te zijn. De applicatie wordt uitgevoerd op het endpoint platform, zonder een aanpassing te maken op dat platform. Dit vermindert de kans dat applicaties onderling met elkaar conflicteren en wordt het mogelijk verschillende programmaversies naast elkaar te gebruiken. Daarnaast wordt de exploitatie van endpoints eenvoudiger, omdat het de noodzaak van regressietesten elimineert en de levering van applicaties wordt versneld. 5.6 de Cloud Gartner definieert cloud computing als een manier om computerkracht te leveren waarbij schaalbare en flexibele IT-capaciteiten als een dienst beschikbaar worden gesteld aan verscheidene externe klanten op basis van internettechnologie. De gebruiker hoeft op deze manier geen eigenaar meer te zijn van de gebruikte hard- en software en is niet verantwoordelijk voor het onderhoud. De details van de informatietechnologische infrastructuur worden aan het oog onttrokken en de gebruiker beschikt over een eigen, in omvang en mogelijkheden schaalbare, virtuele infrastructuur. Aangezien bij cloudcomputing de gebruiker geen eigenaar van de gebruikte software is en de diensten betaalt, kan hij grote kostenbesparen op de aankoop van software en hardware. De cloud is een enabler als het gaat om Het Nieuwe Werken. De risico s en maatregelen zijn echter te omvangrijk om binnen dit onderzoek op te nemen en vallen om die reden dan ook buiten de scope en zullen niet verder worden behandeld. 5.7 Consumerization Consumerization kan beschreven worden als het proces waarbij apparaten of middelen, die gebruikt worden door consumenten, worden overgenomen door de industrie. Een voorbeeld is de opkomst van de personal computer in de jaren 70 die in veel organisaties de mainframes hebben verdrongen. Daarbij is het spanningsveld tussen thuisgebruik en wat op het werk mogelijk is, onderdeel van dit proces Bring Your Own Device In het dagelijks leven is het gebruikelijk dat privé en zakelijke apparaten, zoals een telefoon of laptop, volledig gescheiden gebruikt worden. Dit wordt o.a. veroorzaakt doordat het privé en zakelijk gebruik binnen de apparatuur lastig te scheiden valt. In veel gevallen beschikt men thuis over modernere en uitgebreidere IT apparatuur dan dat de werkgever beschikbaar stelt. Dit is vooral frustrerend voor de nieuwe werknemer, die van jongst af aan gewend is om met de modernste technologie te werken. Daarnaast heeft hij deze tools nodig om zijn werk naar behoren te kunnen doen. Om straks nieuwe werknemers te kunnen binden en omdat het binnen Het Nieuwe Werken lastig is om privé en zakelijk te scheiden wordt gekeken naar het Bring Your Own Device principe (BYOD). 13 (Wikipedia, 2011) 19