BYOD - Uitgangspunten versie 1.0

Transcriptie

1 Aan Van DGOBR DIR Contactpersoon BYOD - Uitgangspunten versie Inleiding In deze bestuurlijke notitie BYOD 1 zijn de uitgangspunten voor de implementatie van BYOD beschreven en worden ter vaststelling voorgelegd. De uitgangspunten vormen een tussenstap, omdat het op dit moment nog niet mogelijk is op een veilige manier volledig apparaatonafhankelijk te werken. Hiermee wordt, deels, een invulling gegeven aan realisatie van de I-strategie, waarbij rekening gehouden is met: ontwikkelingen m.b.t. mobiel werken en apparaatonafhankelijk werken ; lopende initiatieven binnen de rijksdienst; (beveiligings)eisen conform reeds bestaande kaders. De ICCIO heeft besloten: De ICCIO stelt de notitie vast en onderschrijft de beslispunten: Opdracht te geven aan de Supply Board voor het doen van een Uitvoeringstoets (zoals verwoord in hfd5 Vervolg) voor het leveren van BYOD als dienst; Opdracht te geven aan de SGI voor het doen van een Haalbaarheidsonderzoek (zoals verwoord in hfd5 Vervolg) naar apparaatonafhankelijk werken. 2. Aanleiding en achtergrond Bring Your Own Device (BYOD) is een logische stap binnen de strategische ontwikkelingen van de rijksdienst met TPAW (Tijd-, Plaats- en Apparaatonafhankelijk Werken). De invulling ervan wordt in de I-strategie met maatregel 8 (apparaatonafhankelijk werken) beschreven. In samenhang met TPAW en BYOD is het volgende qua beleid voor het gebruik van eigen, in privé aangeschafte middelen, op papier gezet: In bijlage I wordt overzicht gegeven van relevante BYOD kaders van de doelarchitecturen Digitale Werkplek Rijksoverheid (DWR), Gesloten Rijkscloud (GRC), Rijks Application Store (RAS) en Toegang. In bijlage II is er vanuit het TPAW-beleid een TPAW streefbeeld geformuleerd. In bijlage III wordt een afwegingskader gegeven ter ondersteuning van de manager of het gebruik van een eigen apparaat verstandig is. Ten einde BYOD rijksbreed te realiseren is met deze notitie aanvullend beleid geformuleerd. 1 BYOD: het inzetten van een, in privé aangeschaft, mobiel apparaat voor zakelijk gebruik Pagina 1 van 8

2 3. Uitgangssituatie; BYOD en apparaatonafhankelijk werken De besturingsystemen van de moderne mobiele apparaten van nu (IoS, Android, Windows phones en tablets) hebben de controle steeds meer in de handen van de eindgebruiker gelegd. Dat heeft voordelen, maar ook nadelen. De kans bestaat dat door de gebruiker zelf geïnstalleerde apps malware bevatten die de bedrijfsinformatie kunnen benaderen, veranderen of doorsturen naar derden. Het is daarom van belang dat ook op een eigen meegebracht apparaat, vanuit zakelijk oogpunt een unmanaged device, de bedrijfsgegevens voldoende worden afgeschermd. En daar zit ook het spanningsveld in het gebruik van BYOD; waarbij enerzijds de medewerker als eigenaar van zijn eigen apparaat streeft naar flexibiliteit en vrijheid in het gebruik, is anderzijds de werkgever vanuit juridisch oogpunt verplicht het gebruik van de zakelijke omgeving op een BYOD apparaat zo goed mogelijk te beveiligen. Er zit een verschil in eigenaarschap van het eigen apparaat en het door de werkgever verstrekte apparaat. Het beheer van door de werkgever verstrekte apparaat is eenvoudiger in te regelen. De werkgever reguleert de samenstelling van het productaanbod van apparaten en de toepassingen die een medewerker hierop wel en niet mag gebruiken. Het is hierdoor makkelijker te controleren of een apparaat voldoet aan alle eisen op het gebied van functionaliteit en beveiliging. Deze vorm wordt ook de managed device genoemd. In tegenstelling tot het managed device zijn de benodigde beveiligingsmaatregelen met BYOD alleen technisch af te dwingen door een beheerder, tenzij hiervoor bestemde beveiligingsapplicaties beschikbaar worden gesteld. Zonder dergelijke applicaties, zoals GOOD, JEP, MobileIron of andere telewerkvoorzieningen, is beveiliging niet mogelijk en is enige relevante scheiding van zakelijke en privé-informatie niet te maken. De hierboven beschreven situatie ligt in lijn met het rapport van de AIVD/NBV uit Dat rapport geeft een uiteenzetting van de dreigingen in het gebruik van eigen unmanaged device, en de organisatorische en technische maatregelen die men moet treffen om BYOD verantwoord in de organisatie toe te staan. Thans zijn deze dreigingen en benodigde maatregelen nog steeds opportuun. Mede door de vaak onveilige situatie die optreedt met het gebruik van een unmanaged device raadt de AIVD/NBV daarom nog steeds aan om niet te kiezen voor een unmanaged BYOD, maar voor het managed device. Vandaar dat het belangrijkste uitgangspunt bij de BYOD implementatie is dat het eigen apparaat gemanaged moet worden conform de eisen die gesteld worden aan de zakelijk verstrekte apparaten. Een uitdaging van zowel eigen als zakelijke verstrekte apparaten is dat we met het apparaatonafhankelijk werken (of te wel het loskoppelen van de functionaliteit van het apparaat) niet meer afhankelijk willen zijn van de leveranciers van het platform, de hardware en/of software. Een andere ontwikkeling is de verbreding van perimeter- en apparaat- beveiliging met de beveiliging van de informatie zelf. Ook dit vraagt, zoals eerder gesteld, tot een verregaande ontkoppeling van functionaliteit van het apparaat. Het huidige aanbod van functionaliteiten en commerciële dienstverleningsconcepten maakt volwaardig en volledig apparaatonafhankelijk veilig werken nog niet mogelijk. Door de grote verscheidenheid aan telewerkvoorzieningen, smartphones, tablets, laptops is dat een groot punt van aandacht. Inschatting is dat op de lange termijn een betere beveiliging in combinatie met apparaatonafhankelijk werken haalbaar is. BYOD geeft daarin een goede impuls aan de ontwikkeling van apparaatonafhankelijk werken. Echter apparaatonafhankelijk werken is niet alleen van toepassing op BYOD, maar ook op de door de werkgever verstrekte apparaten. Pagina 2 van 8

3 4. Uitgangspunten BYOD Ondanks dat volledig apparaatonafhankelijk werken nog geen feit is, kan BYOD wel gefaciliteerd worden. De stuurgroep BYOD onderschrijft het rapport van AIVD/NBV met de voorkeur voor het managed device, maar is van mening (en na overleg met het NBV) dat BYOD, voorzien van dezelfde beveiligingsmaatregelen als van een managed device', gecontroleerd en beheermatig kan worden ingevoerd. De uitgangspunten voor de implementatie van BYOD zijn: a) De Werknemer kan uit het assortiment van de werkgever zijn (mobiele) apparaat kiezen en (daarnaast) gebruik maken van eigen apparaten, indien deze overeenkomt met het standaard productaanbod van de werkgever. b) De zakelijke omgeving 2 is veilig gescheiden van de privéomgeving: De oplossing is in de vorm van een applicatie op het apparaat die ervoor zorgt dat de zakelijke gegevens verwerkt en opgeslagen worden binnen een beveiligde omgeving op het apparaat. De applicatie heeft de benodigde bescherming, zoals encryptie van gegevens en datacommunicatie met de backoffice in het datacenter. Op dit moment betekent dit dat het eigen apparaat wordt uitgevoerd met een gecertificeerde Mobile Device Management (MDM)-oplossing. Apparaten maken gebruik van telewerkvoorzieningen voor werken-opafstand. Telewerken op de thuiscomputer of elders gebeurt met een token (G-ON-stick, JEP-stick, Telestick, etc.). Het is hiermee mogelijk om de eigen virtuele managed/actief beheerder werkplekomgeving te gebruiken. Aanvullend is het mogelijk een SIM-kaart af te nemen, zodat in geval van een mobiele data verbinding met het mobiele apparaat (laptop, tablet) gebruik wordt gemaakt van de eigen access point naar het rijksweb. c) De werkgever beslist op basis van risicoafweging of verwerking van informatie in de zakelijke omgeving op het eigen apparaat is toegestaan. De werkgever gebruikt hiervoor een afwegingskader waarmee op basis van bedrijfscontinuïteit, functie, verantwoordelijkheid, vertrouwelijkheid van informatievoorziening (conform BIR) en kosten een besluit kan worden genomen. d) De huidige BYOD initiatieven worden gehandhaafd. Departementen (zoals MinFin, OCW en EZ) en andere overheidsorganisaties (zoals Belastingdienst en DUO) hebben het gebruik van BYOD met smartphone of tablet al ingevoerd voor bedrijfstoepassingen, of ze zijn bezig voorbereidingen te treffen voor een implementatie. e) Beheer en helpdeskondersteuning van BYOD is alleen van toepassing op de zakelijke omgeving op het eigen apparaat, en niet van het apparaat zelf. f) Voor BYOD is er een gebruikersovereenkomst met gebruiksvoorwaarden waarin de rechten, plichten en aansprakelijkheid van de werkgever en werknemer staan beschreven 3 : fiscale en juridische consequenties die BYOD met zich meebrengt; de aansprakelijkheid bij verlies, diefstal, beschadiging en buiten dienststelling; de vertaling van de arbeidsomstandigheden die in de ARBO-wet genoemd worden naar beleid voor apparaten; algemene gebruiksvoorwaarden voor TPAW. Wat zijn generieke voorwaarden en welke voorwaarden kunnen departementen specifiek opstellen; bepalingen voor het zakelijke en privégebruik van het apparaat; evt. vergoedingen (in het kader van WKR). 2 In de zakelijke omgeving wordt de bedrijfsinformatie verwerkt op een door de organisatie conform de BIR beheerde omgeving 3 Uitgangspunt e valt niet binnen het ICCIO-domein. Taskforce TPAW doet hiervan doorgeleiding naar ICOP. De Taskforce TPAW bewaakt actief de voortgang op betreffende punten. Pagina 3 van 8

4 5. Vervolg Voor het vervolg en daarmee de implementatie van BYOD wordt uitgegaan van een 2-tal aspecten: - de Uitvoeringstoets van BYOD op de korte termijn - en aanvullend een Haalbaarheidsonderzoek naar apparaatonafhankelijk werken voor de lange termijn. Uitvoeringstoets Om duidelijkheid te krijgen in de consequenties voor wat betreft invoering van BYOD conform de beschreven uitgangspunten zal de ICCIO opdracht geven aan de Supply Board voor het doen van een Uitvoeringstoets. De Uitvoeringstoets geeft antwoord op in hoeverre Uitvoering in staat is met de beschreven uitgangssituatie BYOD als dienst te leveren; wat is de impact op bestaande ICT voorzieningen, wat zijn de ontwikkel- en exploitatiekosten en mogelijke besparingen, welke maatregelen moeten extra worden getroffen in ICT infrastructuur, de softwarelicenties, beveiliging (BIR), functionaliteit, beheer en service levels, de haalbaarheid en kosten van het beheer en helpdeskondersteuning alleen voor de zakelijke omgeving, wat zijn de risico s voor de dienstverlening, en wat is de doorlooptijd (en roadmap) is voor invoering van BYOD als dienst? Het resultaat van de uitvoeringstoets wordt voorgelegd aan de ICCIO en zal eventueel leiden tot opdracht voor invoering van de BYOD-dienst. Haalbaarheidsonderzoek Zoals eerder in de notitie al werd beschreven is volledig apparaatonafhankelijk werken momenteel nog niet mogelijk. Het streven moet zijn dat er in de toekomst zoveel mogelijk apparaatonafhankelijk gewerkt moet kunnen worden. Het is daarom van belang onderzoek te doen naar de haalbaarheid op de lange termijn van apparaatonafhankelijk werken. ICCIO geeft opdracht aan de SGI voor het uitvoeren van een Haalbaarheidsonderzoek. De toets levert een rapportage met een advies op over de haalbaarheid van betreffende onderwerp en de manier waarop de implementatie van apparaatonafhankelijk werken tot een succes kan leiden. De rapportage met advies wordt voorgelegd aan de ICCIO ter besluitvorming. Pagina 4 van 8

5 Bijlage I - Relevante BYOD kaders ICCIO-domein Uit de DWR functionele doelarchitectuur (Vastgesteld door ICCIO: december 2012) Zero-footprint - Om mobiel werken en gastgebruik/interoperabiliteit mogelijk te maken is het noodzakelijk om een scheiding aan te brengen tussen devices (apparaten zoals pc s, laptops, tablets en smartphone) en de functionaliteit die via deze apparaten ter beschikking wordt gesteld. Apparaatonafhankelijkheid - DWR ondersteunt verschillende type devices en besturingssystemen. BYOD en CYOD dienen gefaciliteerd te worden. Connectivity - Hoogwaardige (mobiele) datacommunicatie is nodig voor een succesvolle DWR. Het door DWR gestelde kader hierbij is het toekomstige Rijksoverheidsnetwerk (RON2.0). Mobiel apparaat gebruiken bij ander departement - Het is voor medewerkers van andere departementen binnen de Rijksdienst mogelijk om gebruik te maken van meegebrachte mobiele apparaten. De organisatie biedt aan deze gasten de mogelijkheid om met hun laptop (bedraad of draadloos) en met tablets en smartphones (draadloos) een verbinding naar buiten te kunnen gebruiken. Synchronisatie - De DWR-Client biedt de mogelijkheid om , agenda, contactpersonen en taken veilig te synchroniseren met in de consumentenmarkt gangbare en populaire (privé) smartphones en tablets (i0s, Android, Blackberry en Windows Mobile). Uit de GRC doelarchitectuur (Vastgesteld door ICCIO: juni 2013): Mobiele platformen en desktops - Cloud diensten uit de GRC worden zoveel mogelijk platform en apparaat onafhankelijk aangeboden. Connectivity - Bij de ontwikkeling van het Rijksoverheidsnetwerk moet continuïteit van verbinding centraal staan, zodat cloud diensten uit de GRC te gebruiken zijn. DWR uit de GRC - De DWR-voorzieningen worden vanuit de GRC aangeboden zodanig dat voor de eindgebruikers geldt dat deze voorzieningen anyplace, anytime en op any device beschikbaar zijn. Uit de RAS doelarchitectuur (Vastgesteld door ICCIO: oktober 2012: Dienstgericht - De RAS is een Rijksbrede distributiedienst voor software naar Any Device. De dienst richt zich zowel op de eindgebruikers van de software als ook de aanbieders van software. Beschikbaar - Inrichting en ontwerp zijn afgestemd op de met afnemers afgesproken norm voor beschikbaarheid. Typisch voor de RAS is dat deze op elk willekeurig tijdstip moet zijn te gebruiken, ongeacht de locatie van de gebruiker. Uit de Toegang doelarchitectuur (Vastgesteld door ICCIO: januari 2012) Federatieve authenticatie - Toegangsbeheer wordt gebaseerd op het principe van federatieve authenticatie Logging - Handelingen met voorzieningen van het Rijk zijn te herleiden tot een verantwoordelijke persoon. Rijksmedewerker - Een Rijksmedewerker is in dienst van het Rijk (één werkgever), heeft binnen het Rijk een unieke digitale identiteit, heeft één adres, één Rijkspas, één of meerdere (eigen) mobiele devices en steeds vaker een flexibele werkplek. Rijkspas - De Rijkspas geldt als standaard authenticatiemiddel voor zowel fysieke als logische toegang. Met de Rijkspas heeft een medewerker toegang tot elk relevant rijkskantoor, logt daarmee ook in (ook thuis of elders) om toegang te krijgen tot relevante bestanden, systemen en informatiediensten en kan daarmee een elektronische handtekening zetten. Pagina 5 van 8

6 Bijlage II - TPAW streefbeeld (ICBR november 2013) De elementen uit het streefbeeld TPAW die betrekking hebben op BYOD vanuit werknemersperspectief zijn: In 2017 heb ik met mijn (eigen) mobiele apparaat op een veilige manier toegang tot de generieke voorzieningen van het Rijk. (blz. 4) Wat betreft de middelen waarmee ik werk... (blz. 5) Kan ik een (mobiel) apparaat kiezen uit een assortiment van de werkgever. Kan ik (daarnaast) gebruik maken van eigen apparaten, mits deze voldoen aan gestelde (veiligheids)eisen. Mijn leidinggevende en ik maken goede afspraken over... (blz. 3) Welke apparaten en (aangepaste) faciliteiten ik nodig heb om mijn werk goed te kunnen uitvoeren. Het veilig en effectief gebruiken van mijn verschillende (mobiele) apparaten (conform de eisen van ibewustzijn). De opleiding of training die ik eventueel nodig heb om mijn kennis, bewustzijn en vaardigheden op peil te brengen. Uitgangspunt van het streefbeeld dat het opgaat voor iedere medewerker die in dienst is bij een rijksorganisatie. Het is het meest van toepassing op kantoorfuncties, maar tegelijkertijd zijn onderdelen zeker ook van toepassing op medewerkers met andere werkzaamheden (met name uitvoering en toezicht). In de realisatie wordt rekening gehouden met fasering en differentiatie. Het tempo ligt niet overal gelijk. Pagina 6 van 8

7 Bijlage III Afwegingskader BYOD Het Afwegingskader BYOD is onderdeel van de bestuurlijke nota BYOD, d.d. 12 maart Deze biedt ondersteuning aan de manager om een goed onderbouwde (risico)afweging te doen voor het gebruik van eigen, in privé aangeschafte, apparaten (BYOD) voor zakelijk gebruik. De manager wordt geadviseerd alle onderstaande vragen te doorlopen en met ja of nee te beantwoorden. Indien een van de vragen met een nee wordt beantwoord, wordt afgeraden om BYOD toe te staan. Nr. Afweging Vraag Ja/Nee 1. Beschikbaarheid (bij verlies, diefstal en defecten) Is het acceptabel dat er minimaal support is op BYOD ten opzichte van support op de door de werkgever verstrekte apparaten? Denk hierbij aan: continuïteit van (bedrijfs)processen/afdeling; gebruik van BYOD in verschillende functies zoals beleidsmakers, ondersteunend personeel, inspecteurs, etc.; de mogelijkheid dat BYOD aanvullend is of in plaats van het door de werkgever verstrekte apparaat. 2. Informatiebeveiliging Is het informatiebeveiliging niveau van de BYOD-dienst voldoende voor het noodzakelijk gewenste informatiebeveiliging niveau van deze medewerker? Denk hierbij aan de informatie waarmee de medewerker in zijn functie werkt (hoger gerubriceerd dan departementaal vertrouwelijk 4 ). 3. Overeenkomst Is de medewerker bereid een BYOD gebruikersovereenkomst te ondertekenen en daarbij kennis genomen heeft van: 4. I-Bewustzijn Is de medewerker I-bewust? fiscale en juridische consequenties; de aansprakelijkheid bij verlies, diefstal, beschadiging en buiten dienststelling; bepalingen voor het zakelijke en privégebruik van het apparaat; arbo-wettelijke beperkingen; beheer en (helpdesk)ondersteuning beperkt tot de zakelijke omgeving op het BYOD apparaat. Denk hierbij aan het volgen van een I-Bewustzijn traject. 4 Informatiebeveiliging is een verantwoordelijkheid van de lijnmanager. Gelet op de lijnverantwoordelijkheid van informatiebeveiliging dient de manager zich te laten informeren over het beveiligingsniveau van de aangeboden BYOD dienst/oplossong en dit te reflecteren op het noodzakelijke informatiebeveiliging niveau van de functie van de medewerker. Pagina 7 van 8

8 5. Financiën Zijn de (extra) kosten gedekt voor de inzet van BYOD binnen de organisatie? Denk hierbij aan: de mogelijkheid dat BYOD aanvullend is in plaats van het door de werkgever verstrekte apparaat; afnemen van de BYOD-dienst; eventueel een simkaart. Pagina 8 van 8