Actuele ontwikkelingen in IT en IT-audit

Transcriptie

1 BASISREGISTRATIES Actuele ontwikkelingen in IT en IT-audit Auteurs: Ender Atalay en David Campbell Samenvatting Sinds 2003 werken de rijksoverheid en gemeenten aan het ontwikkelen van basisregistraties 1. Doelstelling van deze basisregistraties is dat gegevens die de overheid nodig heeft voor de uitvoering van haar werkzaamheden, eenmaal landelijk worden vastgelegd, zodat ze vervolgens (binnen de grenzen van de WBP) aan alle relevante overheidsorganisaties ter beschikking kunnen worden gesteld. Er zijn diverse basisregistraties aangewezen in het stelselhandboek (het document waarin de diverse basisregistraties in samenhang zijn gedefinieerd), waaronder Gemeentelijke Basisadministratie Personen (GBA), Nieuw Handelsregister (NHR), Basisregistratie Adressen en Gebouwen (BAG) en de Grootschalige Basiskaart Nederland (GBKN). Het aantal basisregistraties zal in de toekomst zeker worden uitgebreid. Het invoeren van basisregistraties heeft een grote invloed op diverse gebieden, waaronder bestuur en beleid, organisatie (werkprocessen) en ICT (systemen, beheer en beveiliging van infrastructuur, gegevens, architectuur en standaarden). Basisregistraties toegelicht Het doel Om haar werk te kunnen doen heeft de overheid gegevens nodig. Deze gegevens zijn vastgelegd in veel verschillende systemen (en gegevensstandaarden die hiervan onderdeel uitmaken). Hierdoor is de beheersing van de gegevens waarover de overheid beschikt een zeer complexe taak. Bovendien veroorzaakt het problemen tijdens de uitwisseling van de gegevens. Het doel van basisregistraties is gegevensopslag voor de overheid minder versnipperd en eenvoudiger te regelen. Het is van belang om alle informatie die bij elkaar hoort gestructureerd op één plek 2 te verzamelen. Dat is in essentie een basisregistratie. Vervolgens moeten afzonderlijke basisregistraties als één logisch, samenhangend geheel gaan werken. Hierdoor krijgt een overheidsorganisatie voor haar werkzaamheden alle relevante gegevens tot haar beschikking. Tevens kan de overheid meer zicht krijgen op wat zij weet van burgers en bedrijven. Bovendien hoeft de informatie slechts één keer door burgers en bedrijven aan de overheid verstrekt te worden, waardoor een administratieve lastenverlichting bewerkstelligd wordt. E-overheid en basisregistraties In de toekomst dient meer dan de helft van de overheidsdiensten digitaal beschikbaar te zijn. Dit wordt de elektronische overheid (hierna e-overheid) genoemd. Kernprincipes van de elektronische dienstverlening zijn de eenmalige vastlegging van basisgegevens, het hanteren van één uniek registratienummer voor 1 Basisregistraties zijn een architectuurconcept uit de NORA (Nederlandse Overheid Referentie Architectuur). Het zijn abstracte weergaven van gegevensbestanden. 2 Dit hoeft niet één fysieke locatie te zijn. NOREA,

2 personen en bedrijven en het gebruiken van één betrouwbaar en efficiënt identificatiesysteem. Daarnaast zijn er vele praktische toepassingen mogelijk om een betere dienstverlening te bieden. Dit vraagt om een bestuurlijk complex en langdurig ontwikkel-, implementatie- en beheertraject. De NORA (zie voetnoot 1) is een architectuur die richting geeft aan dit traject. Basisregistraties zijn in de NORA gedefinieerd als belangrijk architectuurconcept voor de e-overheid, zij vormen het geheugen van de overheid. Momenteel vallen onder basisregistraties de volgende zeven gemeenschappelijke voorzieningen 3 : Gemeentelijke Basisadministratie Personen (GBA) Registratie Niet Ingezetenen (RNI) Nieuw Handelsregister (NHR) Basisregistratie Adressen en Gebouwen (BAG) Basisregistratie Topografie (BRT) Basisregistratie Kadaster (BRK) Grootschalige Basiskaart Nederland (GBKN) Kwaliteitsaspecten en aandachtsgebieden Het mag duidelijk zijn dat basisregistraties een centrale positie krijgen in de (elektronische) dienstverlening van de overheid aan burgers, bedrijven en overheidsorganisaties onderling. Hierdoor zijn de kwaliteitseisen die aan basisregistraties gesteld worden, zoals betrouwbaarheid, beschikbaarheid, exclusiviteit, integriteit en vertrouwelijkheid, zeer hoog. Risico s en aandachtspunten met betrekking tot basisregistraties zijn vanzelfsprekend nauw verbonden met deze kwaliteitsaspecten. Een betrouwbare registratie is een blijvend kwalitatief hoogwaardige en gegarandeerde gegevensverzameling die 24 uur per dag, 7 dagen in de week beschikbaar is. Bovendien bevatten de basisregistraties veel (privacy)gevoelige informatie. Aan de hand van de onderstaande vragen worden enkele belangrijke risico s inzichtelijk: Wie heeft wanneer vanuit welk doel toegang tot welke gegevens? Wie heeft deze toegang juist niet? Welke gegevens mogen wel, of juist niet gecombineerd worden? Wie is de eigenaar van gegevens en wie de beheerder? Wie betaalt de kosten voor het in stand houden van een basisregistratie? Hoe komt een betrouwbare koppeling met een basisregistratie tot stand? Welke verantwoordelijkheden spelen daarbij een rol en hoe zijn deze belegd? Het voert te ver om deze vragen in dit artikel te beantwoorden. Bovendien zijn voor sommige vragen geen pasklare antwoorden en oplossingen. Daarom is het belangrijk dat onderzoek wordt uitgevoerd om tot een goed begrip te komen van de risico s die een rol spelen bij basisregistraties en van de aandachtsgebieden voor bijvoorbeeld het management van een organisatie dat besluit aan te sluiten op een 3 Volgens: (d.d NOREA,

3 basisregistratie, of voor IT-auditors die een onderzoek doen naar een dergelijk aansluittraject. Beheersing Verschillende Overheidsorganisaties gaan gebruik maken van basisregistraties. Zij hebben basisgegevens nodig voor het uitvoeren van hun wettelijke taak en zijn dus gebaat bij een betrouwbare registratie en aansluiting op die gegevens. Het betreft veel gegevens over diverse basisregistraties, waardoor een complex stelsel van registraties koppelingen en koppelvlakken ontstaat. Om te waarborgen dat het stelsel in goede staat blijft functioneren is een adequate beheersing noodzakelijk. In 2005 is door de 2 e Kamer daarom het stelselhandboek van basisregistraties vastgesteld. Hierin zijn inhoudelijke (welke gegevens bevat een basisadministratie), organisatorische (eigenaarschap, beheerverantwoordelijkheid, etc.) en technische afspraken (ten aanzien van bijvoorbeeld beschikbaarheid en capaciteit) voor de basisregistraties vastgelegd. De onderstaande figuur toont de toepassing van het stelselhandboek. Het stelselhandboek waarborgt in opzet in belangrijke mate de integriteit van het stelsel van basisregistraties. Deze opzet moet echter ook feitelijk worden ingericht en in stand worden gehouden. Daarnaast is een terugmeldplicht ingesteld die de juistheid van de gegevens in de basisregistraties moet waarborgen. De terugmeldplicht bepaalt dat een organisatie die constateert dat een gegeven in een basisregistratie niet overeenkomt met de werkelijkheid, verplicht is deze afwijking te melden bij de beheerder van de basisregistratie. Het stelselhandboek Aandachtspunten voor het management Als het management van een organisatie besluit aan te sluiten op een basisregistratie, dan is het doorlopen van een aantal stappen vereist: Informeren van ketenpartners over nut en noodzaak van basisregistraties. NOREA,

4 Creëren van Draagvlak voor het veranderen van werkprocessen. Planning en besluitvorming over het starten van projecten voor de realisatie van de aansluitingen op de basisregistraties, waarbij ook de benodigde middelen worden vrijgemaakt. Inrichten van de projectorganisatie met aandacht voor organisatie-, personeelsen ICT-aspecten, juridische aspecten en communicatie. Inventariseren van de bestaande situatie (bestanden, beheer, brondocumenten). Vaststellen van oplossingsrichtingen (beheerafspraken). Vaststellen wat de gewenste situatie is. Corrigeren en aanvullen van gegevens en analyseren van verschillen tussen de interne registraties. Formaliseren van gegevens in de basisregistraties en vaststellen van het informatiebeleid. Verankeren van de basisregistraties (beheer inrichten, procedures en processen aanpassen, evalueren, leren en verbeteren). Het is belangrijk dat het management van een organisatie inziet dat de aansluiting op een basisregistratie een gedegen veranderingstraject vergt. Aandachtspunten voor de IT-auditor Eén van de grootste voordelen van een basisregistratie is dat de opslag van gegevens is gecentraliseerd. Dit maakt een basisregistratie tot een duidelijk gedefinieerd object. Een basisregistratie met een adequaat stelsel van beheersmaatregelen die de betrouwbaarheid, beschikbaarheid, exclusiviteit, integriteit en vertrouwelijkheid van de gegevens in de registratie waarborgen draagt bij tot een beheersbare gegevenshuishouding van de overheid. Slechts de basisregistratie en het stelsel van beheersmaatregelen hoeft door de IT-auditor te worden gecontroleerd en niet elke afzonderlijke database die overheidsorganisaties onderhouden. Hierbij dient natuurlijk wel aandacht besteedt te worden aan de koppelvlakken die organisaties met de basisregistratie leggen. Het nadeel van deze concentratie van gegevens is dat de basisregistratie een soort achillespees wordt. De waarde van de gegevens wordt erg groot. Bovendien zorgt de concentratie en de mogelijkheid tot het gecombineerde gebruik van gegevens voor risico s ten aanzien van de privacy van burgers. Uiteraard kan de IT-auditor het management van een organisatie van aanvullende zekerheid voorzien als zij besluit aan te sluiten op een basisregistratie. De eerder genoemde aandachtspunten voor het management zijn in dat geval ook voor de ITauditor van belang. Hij zal in een dergelijk onderzoek vaststellen dat het management voldoende aandacht besteedt aan de genoemde punten. Achtergrondinformatie Internet basisregistratie.startpagina.nl NOREA,

5 Artikelen Met basisregistraties op weg naar de elektronische overheid, Kenniscentrum e-overheid, april 2007 Opweg naar de elektronische overheid, Kenniscentrum e-overheid, oktober 2006 NORA, Samenhang en samenwerking binnen de electronische overheid, ICTU, April 2007 Over de Auteurs: E. (Ender) Atalay MSc Ender Atalay (1981) is als IT-auditor werkzaam bij de Rijksauditdienst (RAD) van het Ministerie van Financiën. Rijksbreed is hij betrokken bij een groot aantal opdrachten voor de verschillende departementale auditdiensten. De afgelopen jaren heeft hij kennis ontwikkeld op het gebied van basisregistraties, business intelligence en de inzet van audittools, zoals CSI-AA en Caseware IDEA. Recentelijk heeft hij voor zijn afstuderen een referaat geschreven over Groene datacenters. Voor dit onderzoek heeft hij een raamwerk ontwikkeld om de mate van groenheid van datacenters vast te kunnen stellen. Daarnaast is hij bij de studievereniging VUrORE van de IT Audit Opleiding aan de Vrije Universiteit Amsterdam actief als secretaris. drs. ing. D.S. (David) Campbell David Campbell (1981) is als IT-auditor werkzaam bij de Rijksauditdienst van het Ministerie van Financiën, voorheen EDP Audit Pool. Zijn specialisme is Enterprise Architectuur. Hij is betrokken bij opdrachten op diverse ministeries. Voorbeelden zijn een adviestraject over het instrumentarium dat wordt ontwikkeld ter ondersteuning van departementen die werken onder de MARIJ (Model Architectuur RIJksdienst) en de beoordeling van een informatiearchitectuur van een inspectiedienst. Een belangrijk architectuurconcept bij de overheid is Basisregistraties. David heeft zich verdiept in de risico s die hierbij bestaan vanuit een architectuur visie. Recentelijk heeft hij een referaat geschreven over de inzet van architectuur tijdens de strategische besluitvorming en de rol die de IT-auditor daarbij heeft. Hij doet tevens onderzoek naar hoe de kwaliteit van architectuur kan worden vastgesteld. NOREA,