Reactie op uitkomsten audit Beheervoorziening BSN

Transcriptie

1 Directie Dienstverlening, Regeldruk en infrmatiebeleid Cluster Infrmatiebeleid Basisvrzieningen Overheid Reactie p uitkmsten audit Beheervrziening BSN Bijlage nummer 1 Ons Kenmerk Aanleiding De Rijksauditdienst heeft in 2010 in pdracht van BZK het nderzek verricht naar de inrichting, de werking en de beveiliging van de beheervrziening BSN. Dit nderzek is nu vr de eerste keer uitgeverd. De Rijksauditdienst heeft hiervr in afstemming met BZK een apart nrmenkader ntwikkeld. Met dit nrmenkader is het fundament gelegd vr het (herhaald) uitveren van het 3 jaarlijks nderzek. De ervaringen van dit nderzek zijn weer input vr het verbeteren van het nrmenkader Het nderliggende rapprt Uitkmsten audit beheervrziening BSN is het resultaat van het eerste nderzek. Dit nderzek geeft aan in heverre praktijk vldet aan de eisen die de wet daaraan heeft gesteld. In het algemeen zijn er tijdens de audit geen ernstige afwijkingen vastgesteld. Inhudelijke reactie Bijgaand treft u mijn reactie aan, p de uitkmsten van de audit p de beheervrziening Burgerservicenummer (BvBSN). Per aanbeveling wrdt een inhudelijke reactie gegeven de pvlging ervan Cnvenant DRI agentschap BPR Neem in het cnvenant tussen DRI en het agentschap BPR een afspraak p dat jaarlijks expliciet wrdt gerapprteerd ver de naleving van de Wabb waarbij k rekening dient te wrden gehuden met actuele juridische ntwikkelingen. Draag binnen BPR zrg vr de adequate uitvering van de afspraken in het cnvenant tussen DRI en BPR rndm rapprtage. Uitbreiding van het cnvenant p basis van de vrgaande aanbeveling kan hieraan bijdragen. Ons inziens dient hierbij k aandacht te wrden besteed aan Pagina 1 van 5

2 rganisatieculturele aspecten als penheid en transparantie Naast de al bestaande maatregelen wrden deze aanbevelingen vergenmen en geïmplementeerd. DRI/BPR Vlgrdelijkheid en infrmatielsheid Onderzek de wijze waarp rndm het punt van infrmatielsheid en vlgrdelijkheid van het BSN de wet- en regelgeving en BvBSN met elkaar in vereenstemming kunnen wrden gebracht. Betrek hier k de Belastingdienst bij vr wat betreft de uitgave van sciaal-fiscaalnummers. De Wet algemene bepalingen burgerservicenummer (Wabb) schrijft in artikel 2 vr dat het BSN geen infrmatie ver de persn mag bevatten. In de Memrie van Telichting is dat verder uitgelegd als infrmatiels. De rijksauditdienst heeft gecnstateerd dat het Burgerservicenummer niet vlledig infrmatiels is. Het geeft weliswaar geen directe infrmatie ver de persn, zals naam, geslacht f leeftijd, maar wel geeft echter wel beperkte indirecte infrmatie. Vr kenners is het bijvrbeeld herkenbaar f een BSN vr f na 26 nvember 2007 is uitgegeven. Ok is herkenbaar f een BSN na 26 nvember 2007 eerst dr de Belastingdienst als een sciaal-fiscaalnummer is uitgegeven. Zals de auditers zelf in de rapprtage hebben aangegeven zijn hierdr geen belangrijke scenari s van misbruik dr ntstaan. Enkele verwegingen vanuit BZK: Deze beperkte infrmatie is een direct gevlg van de beleidskeuze m sfinummers die vr 26 nvember 2007 zijn uitgegeven p te waarderen naar een BSN en aan een niet-ingezetene na die datum een sfinummer te verstrekken. Alleen al aan de lengte van de cijferreeks en de 11-pref is af te leiden dat het m een BSN gaat. Krtm, een vlledig infrmatiels burgerservicenummer bestaat niet. Vervanging van de huidige BSN s is een kstbare zaak en intrduceert veel afbreukrisic s die samenhangen met een cnversie. Het blijft echter wel een feit dat de wettekst (in letterlijke zin) niet vereenkmt met de praktijk. Deze hren met elkaar in lijn te zijn. BZK/DRI zal daarm een impactanalyse uitveren, waarin naar de mgelijke plssingen zal wrden gezcht, waarvan vervlgens de impact zal wrden bepaald, met als del de weten regelgeving en de huidige praktijk in lijn met elkaar te brengen. Als nderdeel hiervan zal het CBP m haar zienswijze in Pagina 2 van 5

3 Actiehuder: deze wrden gevraagd. DRI Actiehuder: Verbeter de wijze waarp de tevalsgetallen wrden gegenereerd die de basis vrmen vr de huidige uitgifte van BSN's. Het advies is hierbij gebruik te maken van de expertise van het Natinaal Bureau vr Verbindingsbeveiliging (nderdeel Ministerie van BZK). Een nadere analyse met de NVB zal meten uitwijzen f de bestaande nummergeneratr aanpassing, dan wel vervanging beheft. DRI zal hierte het initiatief nemen. DRI in afstemming met BPR Vastlegging infrmatie genereren BSN s Breng de BvBSN vr wat betreft het gegeven 'datum waarp het nummer is aangemaakt' in vereenstemming met wet- en regelgeving. Het tevegen van de datum waarp het nummer is aangemaakt is in principe herstelbaar, maar lastig realiseerbaar. DRI/BPR zal de mgelijkheden nderzeken m wet- en regelgeving (i.c. het Lgisch Ontwerp BSN) en de inrichting van de BvBSN met elkaar in lijn te brengen. BPR/DRI Aandachtspunten functineel beheervrziening BSN Cncretiseer de eis dat de Bv BSN niet mag wrden aangeslten p internet. Onderzek vervlgens f de IT-infrastructuur vr de BvBSN vldende invulling geeft aan deze eis en nderneem indien ndzakelijk actie. Zet in ieder geval de vrgenmen pheffing van de Virtual Private Netwrk (VPN) kppeling vr beheerdeleinden dr aangezien deze kppeling in ieder geval strijdig is met de nrm. Het Lgisch Ontwerp BSN en het IBP van de BvBSN wrdt hiermee in lijn gebracht. Vr het crrect en efficiënt kunnen uitveren van zwel functineel- als applicatiebeheer, is p nderdelen een internetkppeling nntbeerlijk. BPR heeft mitigerende maatregelen getrffen, welke zijn beschreven in het IBP van de BvBSN, m de risic s die samenhangen met de tegang tt het internet af te vangen. Maak gebruik van kennis en bezit vr authenticatie van beheerders p de BvBSN. Stel verder een wachtwrdbeleid vast vr alle beheerders van de beheervrziening, zals bijvrbeeld de gedwngen peridieke wijziging van Pagina 3 van 5

4 wachtwrden en implementeer dit beleid. Maak hierbij gebruik van de mgelijkheden die standaard in de gebruikte ITinfrastructuur aanwezig zijn en kies redelijke waarden. Er zijn met betrekking tt de tegang tt de beheerterminals andersrtige fysieke maatregelen 1 geïmplementeerd. De nderzekers refereren naar de wet- en regelgeving en nemen het inveren van een securitytken als een mgelijke plssing. Dit zal wrden gewgen tegen de huidige fysieke en rganisatrische maatregelen die vrkmen dat nbevegden tegang kunnen verkrijgen tt de BvBSN. De aanbeveling m het tken- en wachtwrdbeleid aan te scherpen, zal wrden bekeken. De wet- en regelgeving (lees IBP) wrdt desgewenst hiermee in lijn gebracht. Onderzek de wijze waarp de bewaartermijnen vr lgbeken en de langdurige pslag van de gegevens uit de lgbeken in backup's met elkaar in vereenstemming kunnen wrden gebracht. Aanbeveling wrdt vergenmen en er zal een verkenning uitgeverd wrden Infrmatiebeveiligingsplan Stel als BPR een nieuw IBP BvBSN p waarin de Wabb en andere relevante regelgeving expliciet als uitgangspunt wrdt gehanteerd en stel dit IBP frmeel vast. In dit IBP dient een integraal verzicht te wrden gegeven van het stelsel van maatregelen in en rndm de BvBSN. Hiervr kan wrden verwezen naar b.v. het handbek functineel beheer, ntwerpdcumentatie van de BvBSN applicatie, werkinstructies, eventueel het IBP BPR, het huidige IBP BvBSN etc. Ok met expliciet aandacht wrden besteed aan maatregelen die wrden getrffen m de tegang van medewerkers van de leverancier van buiten de EU tt de BvBSN te beperken. Vervlgens kan BPR vaststellen f het stelsel van maatregelen in vldende mate de eisen afdekt De aanbeveling zal vergenmen wrden en er zal een aparte verkenning uitgeverd wrden naar het functineel- en applicatiebeheer. BPR vr 1 ktber Tezicht en verantwrding Evalueer en verbeter de wijze waarp het instrument assurance 1 Er wrdt hier gerefereerd naar de dubbel uitgeverde tegangsschil. Niet alleen de beheerterminals zijn beveiligd, maar k de kamer van de functineel beheerder en het gebuw zelf. Pagina 4 van 5

5 rapprt vr de BvBSN wrdt ingezet in samenhang met de uitvering van de aanbeveling uit paragraaf Wij maken hierbij de vergelijking met de Berichtendienst GBA waarbij jaarlijks een assurance rapprt wrdt verkregen dat zekerheid biedt ver de aanwezigheid van het stelsel van maatregelen gedurende het vlledige jaar en dat een bredere afbakening kent. In dit rapprt wrdt naast een uitgebreidere berdeling van de beveiligingsmaatregelen k een rdeel gegeven ver een aantal belangrijke beheerprcessen. Aanbeveling is reeds vergenmen en geïmplementeerd. In de jaarlijkse externe audit die eind juni wrdt afgernd, is niet alleen gekeken naar pzet en bestaan van de beveiligingsmaatregelen maar tevens k naar de werking van deze beveiligingsmaatregelen. Ga dr met het uitveren van een verbeterprgramma gericht p het wegnemen van de vastgestelde tekrtkmingen. Aanbeveling wrdt vergenmen. BPR zal DRI ver de vrderingen infrmeren. Breng een duidelijke functiescheiding aan tussen de uitverende taken p het gebied van infrmatiebeveiliging (inclusief de aansturing hiervan dr BPR bij Lgica) en de cntrlerende taken p dit gebied zals betrkkenheid van BPR bij de (de pdrachtfrmulering vr) het assurance rapprt bij Lgica. Aanbeveling wrdt vergenmen. BPR kmt met een vrstel Aandachtspunt raadpleegfunctie beheervrziening BSN Breng wet- en regelgeving en het gebruik van het gegeven 'Land vanwaar ingeschreven' met elkaar in vereenstemming. Aanbeveling wrdt vergenmen. Er zal nderzcht wrden f, en z ja he, de raadpleegfunctie kan wrden aangepast. DRI in afstemming met BPR Pagina 5 van 5