8. Cross-cutting Concepten

8.1 Security & Identity Management

Het GIS-platform wordt ingericht conform de uitgangspunten van Security by Design, de Security Architectuur Kaders (SAK's) en de Baseline Informatiebeveiliging Overheid (BIO).

Authenticatie en autorisatie worden centraal afgehandeld via de Rijkswaterstaat Identity & Access Management (IAM) voorzieningen.

Belangrijke uitgangspunten zijn:

• federatieve authenticatie als standaard;
• ondersteuning van Single Sign-On (SSO);
• aansluiting op IAM-bouwstenen van Rijkswaterstaat;
• ondersteuning van externe identiteiten, waaronder eHerkenning;
• rol- en groepsgebaseerde autorisatie;
• toepassing van het least-privilege-principe;
• centrale logging en auditing van beveiligingsrelevante gebeurtenissen;
• federated ArcGIS Enterprise als standaardarchitectuur.

Binnen ArcGIS Enterprise fungeert Portal for ArcGIS als centraal punt voor authenticatie, autorisatie, tokenuitgifte en toegangscontrole. ArcGIS Server vertrouwt op de door Portal uitgegeven tokens en verzorgt de uitvoering van GIS-diensten.

Bewuste afwijkingen van beveiligings- en zoneringsprincipes worden geregistreerd als architectuurafwijking en periodiek herbeoordeeld.

8.2 Publicatie- en DMZ-concept

Voor externe ontsluiting van GIS-diensten wordt gebruikgemaakt van een gelaagde architectuur waarin presentatie-, authenticatie-, applicatie- en datalagen logisch van elkaar zijn gescheiden.

De publicatieketen bestaat uit:

• Web Adaptor als reverse proxy;
• Portal for ArcGIS voor authenticatie en autorisatie;
• ArcGIS Server voor uitvoering van GIS-diensten;
• databases en gegevensbronnen in de vertrouwde zone.

Belangrijke uitgangspunten zijn:

• externe gebruikers benaderen uitsluitend de Web Adaptor in de DMZ;
• interne poorten worden niet rechtstreeks aan internet blootgesteld;
• beveiligde diensten vereisen authenticatie via Portal;
• ArcGIS Online kan onder voorwaarden gebruikmaken van token-based trustrelaties;
• publieke dienstverlening wordt gescheiden van interne dienstverlening.

Door deze architectuur blijven interne systemen beschermd tegen directe toegang vanuit internet.

8.3 Netwerk- en zoneringsconcepten

Het GIS-platform volgt de Rijkswaterstaat-principes voor netwerksegmentatie en zonering.

Hierbij wordt onderscheid gemaakt tussen:

• onvertrouwde zone (internet);
• semi-vertrouwde zone (DMZ);
• vertrouwde zone voor applicaties, databases en gegevensopslag.

Belangrijke uitgangspunten zijn:

• databases bevinden zich primair in de vertrouwde zone;
• netwerkverkeer wordt beperkt tot expliciet toegestane verbindingen;
• firewallregels zijn gebaseerd op het least-privilege-principe;
• alleen noodzakelijke protocollen en poorten worden toegestaan;
• beveiligingsafwijkingen worden expliciet gedocumenteerd.

Onder voorwaarden kan een ArcGIS Server in de DMZ gegevens raadplegen uit een interne geodatabase. Hierbij gelden minimaal de volgende voorwaarden:

• uitsluitend noodzakelijke firewallverbindingen;
• gebruik van minimaal geprivilegieerde databaseaccounts;
• gebruik van kopieën van brongegevens waar mogelijk;
• expliciete beoordeling en goedkeuring van de securityarchitectuur.

8.4 URL- en publicatiestrategie

GIS-diensten worden gepubliceerd via stabiele logische URL's die onafhankelijk zijn van de onderliggende infrastructuur.

Uitgangspunten zijn:

• langdurige beschikbaarheid van publieke URL's;
• scheiding tussen interne en externe URL-structuren;
• ondersteuning van lifecycle management en platformmigraties;
• minimaliseren van impact op afnemers bij technische wijzigingen;
• ondersteuning van parallelle platformversies tijdens migraties;
• routering via reverse proxy- en gatewayvoorzieningen.

Deze strategie maakt het mogelijk om infrastructuur of platformcomponenten te vervangen zonder wijzigingen voor afnemers.

De verdere uitwerking van dit concept wordt beschreven in ADR-GIS-014.

8.5 Monitoring, logging en auditing

Monitoring en logging ondersteunen zowel operationeel beheer als informatiebeveiliging.

Monitoring vindt plaats op meerdere niveaus:

• security-monitoring via het Security Operations Center (SOC);
• SIEM-monitoring via Splunk;
• infrastructuurmonitoring door IV-Infra;
• platform- en applicatiemonitoring via CheckMK;
• dashboards voor beheerders en afnemers.

Logging ondersteunt:

• incidentonderzoek;
• probleemanalyse;
• security-audits;
• compliance-verantwoording;
• capaciteitsmanagement;
• trendanalyse.

Waar mogelijk worden logging- en monitoringgegevens centraal ontsloten.

8.6 Deployment en Lifecycle Management

Het GIS-platform ondersteunt een hoge mate van automatisering gedurende de volledige levenscyclus.

Belangrijke uitgangspunten zijn:

• zoveel mogelijk geautomatiseerde deployments;
• standaardisatie van configuraties;
• geautomatiseerde deployment pipelines;
• reproduceerbare omgevingen;
• minimalisering van handmatige beheertaken;
• ondersteuning van frequente lifecycle-updates.

Om te voldoen aan security- en OTAP-richtlijnen worden gescheiden automation-omgevingen toegepast voor:

• Ontwikkeling, Test en Acceptatie (OTA);
• Productie.

Lifecycle management wordt primair gestuurd door actuele stabiele productreleases in plaats van uitsluitend door End-of-Life- of End-of-Support-momenten.

8.7 Integratieconcepten

Integraties tussen het GIS-platform en andere voorzieningen worden primair gerealiseerd via services en API's.

Hierbij gelden de volgende uitgangspunten:

• services vormen het technische contract tussen systemen;
• directe databasekoppelingen voor afnemers zijn niet toegestaan;
• authenticatie en autorisatie worden centraal afgehandeld;
• integraties zijn los gekoppeld waar mogelijk;
• versieafhankelijkheden worden beperkt;
• monitoring vindt plaats op serviceniveau.

Deze principes gelden eveneens voor integratieoplossingen gebaseerd op FME.

8.8 Data- en metadata-uitwisseling

Geo-informatie wordt uitgewisseld via gestandaardiseerde geo-services en open standaarden.

Belangrijke uitgangspunten zijn:

• ondersteuning van OGC-standaarden;
• publicatie van metadata conform nationale afspraken;
• hergebruik van geo-informatie via centrale voorzieningen;
• ondersteuning van publieke ontsluiting via GDR;
• registratie van metadata in het Nationaal Georegister;
• ondersteuning van INSPIRE-publicaties via PDOK.

Hiermee wordt uitwisseling van geo-informatie tussen Rijkswaterstaat, ketenpartners, overheden en publieke afnemers gefaciliteerd.

8.9 Bestandsuitwisseling

Voor uitwisseling van bestanden tussen interne zones en de DMZ wordt gebruikgemaakt van gecontroleerde synchronisatievoorzieningen.

Belangrijke uitgangspunten zijn:

• bestanden worden uitsluitend gesynchroniseerd van binnen naar buiten;
• DMZ-componenten hebben geen directe toegang tot interne fileshares;
• synchronisatie vindt plaats via beveiligde verbindingen;
• datasets in de DMZ zijn kopieën van interne brongegevens;
• primaire brongegevens blijven binnen de vertrouwde zone.

Hiermee worden risico's voor primaire gegevensbronnen beperkt terwijl externe dienstverlening mogelijk blijft.