PSA ViNK

Verificatie NormenKader - Ondersteuning voor het Security by Design – IV‑proces 

Status

Concept

Datum  

Afgestemd met stakeholders …
(Nog af te stemmen met …)

(Wordt) Vastgesteld in het overleg van … per datum …

9 8d136c06-eccc-407e-8e1f-146f732026c5 incomplete TODO: invoegen nieuwe infographic wanneer deze klaar is

INHOUD

1. Managementsamenvatting

Binnen Rijkswaterstaat nemen de eisen aan informatiebeveiliging, auditability en aantoonbare BIO-compliance sterk toe. Het huidige Security by Design (SbD)–proces wordt echter ondersteund door versnipperde registraties, wat leidt tot beperkte herleidbaarheid, verhoogde auditrisico’s en inefficiënt gebruik van capaciteit. Dit vormt een groeiende belemmering voor een beheerste en aantoonbare uitvoering van Informatie Voorziening (IV)-trajecten.
Met Verificatie NormenKader (kortweg ViNK) wordt deze situatie structureel verbeterd door de realisatie van één centrale voorziening voor het ondersteunen, structureren en registreren van BIO-toetsingen. ViNK maakt het mogelijk om beveiligingsbesluiten, risicoacceptaties en maatregelen uniform vast te leggen, waardoor compliance, audit readiness en reproduceerbaarheid van besluitvorming significant worden versterkt.
De ontwikkeling sluit aan bij nationale kaders en ontwikkelingen zoals de BIO/BIO2, de Nederlandse Digitaliseringsstrategie en de Agenda Waardengedreven Digitaliseren. Binnen Rijkswaterstaat geeft ViNK invulling aan de RWS Enterprise Architectuur en NORA-principes, waaronder “eenmalig vastleggen, meervoudig gebruiken” en “security by design”.
ViNK raakt de gehele IV-keten en ondersteunt rollen zoals SbD IV-adviseurs, securitycoördinatoren, projectleiders en architecten. De oplossing bouwt voort op bestaande voorzieningen en versterkt de samenhang in het applicatielandschap.
Voorliggende keuzes betreffen met name de positionering van ViNK als centraal proces- en registratiesysteem voor SbD IV-informatie, de ontsluiting van brongegevens uit bestaande bronsystemen (zoals CMDB-data), de inrichting van autorisaties en datamodellen, en de integratie van BIO2 in de oplossing. Deze keuzes zijn bepalend voor de mate waarin standaardisatie, hergebruik en sturing gerealiseerd worden.
Met ViNK wordt een schaalbare en toekomstvaste oplossing gerealiseerd die bijdraagt aan kortere doorlooptijden, lagere administratieve lasten en een aantoonbaar versterkte informatiebeveiligingspositie binnen Rijkswaterstaat.

Deze PSA is tot stand gekomen met ondersteuning van AI (Copilot) met inachtneming van het "human in the loop" principe.

 2. Over de verandering

2.1 Aanleiding en doelstelling

Binnen Rijkswaterstaat is sprake van toenemende eisen op het gebied van informatiebeveiliging, aantoonbare naleving van de Baseline Informatiebeveiliging Overheid (BIO). Deze ontwikkelingen vragen om een meer gestructureerde en uniforme ondersteuning van het Security by Design – IV-proces.
De huidige situatie wordt gekenmerkt door een versnipperde inrichting van dit proces. Registraties vinden plaats in verschillende systemen en vormen, waaronder TOPdesk, losse documenten en e-mail. Dit leidt tot:

• beperkte herleidbaarheid van besluiten en afwegingen
• verhoogde auditrisico’s
• inefficiëntie in het proces door dubbele vastlegging en handmatige verwerking
• gebrek aan uniformiteit in de uitvoering van BIO toetsingen

Tegelijkertijd nemen de eisen toe vanuit:

• BIO (en doorontwikkeling naar BIO2)
• interne audit- en toezichtfuncties
• behoefte aan risicogestuurd werken binnen de IV keten

De doelstelling van ViNK is om te komen tot een structurele, uniforme en centraal ondersteunde inrichting van het Security by Design – IV-proces, waarbij:

• BIO toetsingen consistent en reproduceerbaar worden uitgevoerd
• besluitvorming aantoonbaar wordt vastgelegd
• hergebruik van gegevens wordt gefaciliteerd
• auditability en compliance worden verhoogd

Het management en bestuur sturen hierbij op een oplossing waarbij:

• digitalisering en standaardisatie centraal staan

• de ontwikkeling van ViNK plaatsvindt met ondersteuning van het Mendix-team, waarbij ViNK na oplevering als zelfstandige tool wordt beheerd

• integratie met bestaande systemen (zoals TOPdesk) wordt gerealiseerd

2.2 De opdracht, het resultaat en te bereiken effect

De opdracht betreft het realiseren van een voorziening die het Security by Design – IV-proces ondersteunt door middel van digitalisering, centralisatie en standaardisatie.

De te realiseren oplossing (ViNK) moet voorzien in:

• het uniform ondersteunen van BIO toetsingen
• het faciliteren van taakgerichte workflows
• het centraal vastleggen van besluiten, afwijkingen en risicoacceptaties
• het bieden van inzicht in de status van trajecten en mate van compliance
• het borgen van een volledige en herleidbare audit trail

Beoogd effect

De verandering draagt bij aan:

• versterking van de informatiebeveiliging binnen Rijkswaterstaat
• verbetering van de auditpositie en aantoonbaarheid van compliance
• efficiëntere inzet van IV capaciteit
• verkorting van doorlooptijden van SbD IV trajecten

Resultaat

Het resultaat is een werkende voorziening die:

• BIO toetsingen ondersteunt op een uniforme en controleerbare wijze
• gebruikers begeleidt via een gestructureerd proces
• relevante informatie centraal beschikbaar maakt
• aansluit op bestaande IV ketenprocessen

Tijdpad en kwaliteit

Succes wordt bereikt wanneer:

• de voorziening uiterlijk Q4 2026 structureel wordt toegepast binnen het SbD IV proces

• alle BIO‑trajecten via het systeem worden uitgevoerd en geregistreerd volgens een gestandaardiseerde werkwijze

• besluitvorming is aantoonbaar en herleidbaar vastgelegd

• de oplossing voldoet aan gestelde beveiligings- en architectuurkaders (zie sectie 4.1)

2.3 Stakeholders

NB. Een volledige stakeholderanalyse is geen onderdeel van de PSA maar zal doorgaans in het projectplan of project initiatiedocument (PID) worden opgenomen.

2.4 De relaties met andere (deel)projecten

Er zijn op dit moment geen directe afhankelijkheden met andere projecten of releases geïdentificeerd.

Wel heeft ViNK een functionele relatie met bestaande voorzieningen en ontwikkelingen binnen Rijkswaterstaat, waaronder:

• gebruik van het Mendix-technologie als ontwikkelomgeving
• aansluiting op TOPdesk voor de CMDB via API
• aansluiting op SAS Viya (BI) voor dashboarding

Eventuele toekomstige afhankelijkheden kunnen ontstaan vanuit:

• wijzigingen in wet- en regelgeving en bijbehorende normenkaders voor informatiebeveiliging

• bredere digitaliseringsinitiatieven binnen de IV‑keten
• ontwikkelingen binnen doelgericht digitaliseren en assetmanagement

Deze afhankelijkheden worden gedurende het project gemonitord en waar nodig beheerst.

3. Visualisatie

De IST situatie (huidige situatie) is een handmatig en versnipperd proces waarbij gebruik gemaakt wordt van een combinatie van Topdesk tickets, e-mail en Excel spreadsheets:

De IST situatie wordt gekenmerkt door:

• Veel handmatige stappen
• Versnipperde informatie (Topdesk, Excel, e-mail)
• Geen eenduidige waarheid

Dit leidt ertoe dat het proces foutgevoelig en tijdrovend is, en dat het inzicht beperkt is en de status moeilijk te volgen.

De SOLL situatie (gewenste situatie) is een geautomatiseerd en centraal systeem:

De SOLL situatie wordt getypeerd door:

• Centrale registratie in één systeem
• Geautomatiseerde workflow

• Integratie met TOPdesk CMDB via de TOPdesk CMDB API

• Actueel inzicht en rapportage

4 NORA-Vijflaagsmodel

4.1De invalshoek Grondslagen (Samenleving / Wet- en Regelgeving)

ViNK opereert binnen de context van Rijkswaterstaat en de bredere digitale overheid, waarbij wet- en regelgeving en architectuurkaders richtinggevend zijn voor de inrichting van de oplossing.

Toepasselijke wet- en regelgeving

De volgende wet- en regelgevingskaders zijn relevant:

• Algemene wet bestuursrecht (Awb): Borging van zorgvuldige besluitvorming en herleidbaarheid van besluiten binnen SbD IV trajecten.
• Wet open overheid (Woo): ViNK ondersteunt transparantie door gestructureerde en toegankelijke vastlegging van besluitinformatie.
• Wet digitale overheid (Wdo): Sluit aan bij digitale dienstverlening en standaardisatie van overheidsprocessen.
• Archiefwet (Aw): ViNK faciliteert duurzame en herleidbare vastlegging van dossiers, passend binnen archiveringsvereisten.
• AVG (privacywetgeving): ViNK verwerkt persoonsgegevens in beperkte mate. Deze verwerking betreft met name gebruikersidentiteiten voor autorisatie, taaktoewijzing, logging en auditing. De verwerking van persoonsgegevens is ondersteunend aan de primaire functionaliteit van de applicatie.
• BIO / BIO2: Leidend kader voor informatiebeveiliging; ViNK ondersteunt aantoonbare naleving en risicogestuurd werken.
• Nederlandse Digitaliseringsstrategie (NDS): ViNK draagt bij aan een veilige, betrouwbare en toekomstbestendige digitale overheid.
• Agenda Waardengedreven Digitaliseren: Ondersteuning van transparantie, controleerbaarheid en publieke waarden.
• EU-regelgeving: Met name kaders rondom informatiebeveiliging en digitale interoperabiliteit (bijv. NIS2-richtlijn).
  

Architectuurkaders en standaarden

Voor ViNK gelden de volgende richtinggevende kaders:

• RWS Enterprise Architectuur (REA) en onderliggende domeinarchitecturen
• NORA (Nederlandse Overheidsreferentie Architectuur)

Toepassing NORA-principes

• NAP01 – Verplaats je in de gebruiker: de oplossing is taakgericht ingericht en ondersteunt gebruikers in hun processtappen binnen het SbD IV-proces.
• NAP02 – Ken de gebruiker en zijn context: gebruikers krijgen inzicht in de status van dossiers, openstaande taken en vervolgstappen binnen het proces.
• NAP06 – Hergebruik bestaande oplossingen: ViNK maakt gebruik van bestaande voorzieningen zoals Mendix, CloudFoundry, Active Directory, TOPdesk en Splunk.

• NAP07 – Ontwerp modulair: normenkaders, normenselecties, vragenlijsten, classificaties en workflows zijn als afzonderlijke onderdelen gemodelleerd, waardoor hergebruik en doorontwikkeling worden ondersteund

• NAP08 – Standaardiseer waar mogelijk: ViNK ondersteunt een uniforme en gestandaardiseerde uitvoering en registratie van BIO-toetsingen.
• NAP09 – Beschrijf de dienst nauwkeurig: ViNK ondersteunt een duidelijk gedefinieerde dienst: het uitvoeren, registreren en opvolgen van SbD IV BIO-toetsingen.
• NAP10 – Neem gegevens als fundament: gegevens vormen de basis voor toetsingen, besluitvorming, rapportages, auditing en compliance.
• NAP12 – Informeer bij de bron: brongegevens worden waar mogelijk betrokken uit bestaande systemen, zoals de CMDB en Identity & Access Management-voorzieningen.
• NAP13 – Beheers risico’s voortdurend: ViNK ondersteunt risicogestuurd werken door registratie van bevindingen, maatregelen, risicoacceptaties en auditinformatie.
• NAP14 – Verifieer altijd: authenticatie, autorisatie, workflowcontroles en audit trails waarborgen de controleerbaarheid van processen en besluiten.
• NAP15 – Maak diensten schaalbaar: de oplossing is gebaseerd op schaalbare platformdiensten en kan meegroeien met toekomstige uitbreidingen van het SbD IV-proces.
• NAP16 – Voorkom onnodige complexiteit en dubbele registratie: ViNK centraliseert gegevensvastlegging en vermindert handmatige overdracht tussen systemen.
• NAP17 – Stuur cyclisch op kwaliteit: door rapportages, audit trails, monitoring en gebruikersfeedback wordt continue verbetering mogelijk gemaakt.

Dienstbeschrijving en positionering

ViNK is gepositioneerd als een interne IV voorziening binnen CIV die:

• het SbD IV proces ondersteunt
• zich richt op IV professionals (geen directe burgerdienst)
  

4.2 De invalshoek Organisatie

ViNK raakt meerdere organisatorische rollen en processen binnen Rijkswaterstaat.

Verantwoordelijkheden

• Eindverantwoordelijkheid: CIV-management in combinatie met CIO office en CISO (voor inhoudelijke kaders)
• Procesverantwoordelijkheid: eigenaar van het Security by Design – IV-proces

Dienstverleningsconcept

• Besluitvorming over de dienst: IV board en CIO office bepalen kaders en prioriteiten
• Uitvoering: SbD IV adviseurs, security coördinatoren en IV architecten

• Beheer en ondersteuning: nader te bepalen beheerorganisatie (naar verwachting BOS, onder voorbehoud van besluitvorming in het PID).

• Incidenten en herstel: beheerorganisatie (eerste lijn) met escalatie naar IV keten
• Wijzigingen en doorontwikkeling: georganiseerd via reguliere IV changeprocessen
• Verbetering: op basis van auditbevindingen, gebruikersfeedback en monitoring

Kwaliteitsborging

• Cyclische sturing via:
  • audits
  • rapportages
  • gebruikersfeedback
• Aansluiting op governance-structuren (CISO, CIO-office, IV board)

Onderstaand diagram beschrijft het end-to-end BIO intakeproces, van het starten van een dossier door de aanvrager tot en met de goedgekeurde normenselectie. De applicatie ViNK onderscheidt de volgende rollen (maximaal 1 rol per gebruiker):

• Aanvrager
• Contentbeheerder
• Functioneel beheerder
• SBD Behandelaar
• Security Coördinator

10 e48cbd4b-9d59-4f1d-b2e6-f0114ac7ff9c incomplete TODO: updaten BPMN diagram van Niels wanneer updates verwerkt zijn

4.3 De invalshoek Informatie

Binnen het ViNK wordt de informatiearchitectuur ingericht op basis van een logisch datamodel waarin normatieve kaders, toetsingsmechanismen en classificaties duidelijk van elkaar zijn gescheiden.

Entiteiten

De volgende kernentiteiten worden onderscheiden:

Normatief domein

• Normenkader: Het normenkader is een combinatie van ISO27001/ISO27001 (beheersmaatregelen) en de BIO2 (overheidsmaatregelen) waarin ABB's aan normen zijn gekoppeld. 
• Norm: Een individuele eis of maatregel binnen een normenkader.
• Normenselectie: Een contextafhankelijke selectie van normen die van toepassing zijn op een specifiek domein, organisatieonderdeel of risicoprofiel.

Classificatie

• Hoofdcategorie: Een hoofdindeling van normen conform de categorieën van BIO2, gebruikt voor structurering en rapportage.
• Subcategorie: Een verdere thematische uitsplitsing binnen een hoofdcategorie, overeenkomstig de opbouw van BIO2.

Toetsing

• Vragenlijst: Een samenhangende set van vragen gericht op het toetsen van een normenselectie.
• Vraag: Een concrete operationalisatie van een norm, geschikt voor toetsing.
• Standaardantwoord: Voorgedefinieerde antwoordopties die uniforme beoordeling mogelijk maken (bijv. maturity levels of ja/nee/n.v.t.). De beoordeling kan worden onderbouwd met bewijslast die de daadwerkelijke inrichting en werking van de maatregel aantoont. 

• Bewijslast: Onderbouwing behorende bij een beoordeling, waarmee wordt aangetoond dat een norm of maatregel daadwerkelijk is ingericht, uitgevoerd en effectief werkt.

• Architectuurtoets: op basis van een High Level Design (HLD).

Semantiek

• Glossary item: Definities van gebruikte termen ter borging van eenduidige interpretatie.

Relaties

• Een normenkader bevat meerdere normen.

• Een norm is gekoppeld aan één of meerdere ABB's.

• Een norm behoort tot een subcategorie en daarmee tot een hoofdcategorie.
• Een normenselectie wordt samengesteld op basis van de door de Solution Architect geselecteerde ABB's.
• Een vragenlijst bevat één of meerdere vragen.
• Elke vraag is gekoppeld aan één of meerdere normen.
• Een vraag maakt gebruik van standaardantwoorden.

• Bewijslast kan worden gekoppeld aan antwoorden en toetsingen ter onderbouwing van de daadwerkelijke werking van maatregelen.

• Glossary items zijn van toepassing op alle entiteiten.

Ontwerpprincipes

• Scheiding van norm en toetsing: Normen worden los van vragenlijsten gemodelleerd om hergebruik te faciliteren.
• Herbruikbaarheid: Normenkaders en normen zijn generiek toepasbaar; normenselecties en vragenlijsten zijn contextspecifiek.
• Traceability: Iedere vraag is herleidbaar tot een norm. Normen zijn gekoppeld aan Architecture Building Blocks (ABB's), waardoor toetsingen herleidbaar zijn tot de onderliggende architectuurkeuzes en auditability wordt gewaarborgd.
• Eenduidigheid: Door toepassing van een glossary wordt consistente interpretatie geborgd.

Onderstaand diagram toont de businessobjecten binnen ViNK en de wijze waarop deze worden beheerd door de rol Contentbeheerder. De Contentbeheerder beheert standaardantwoorden, categorieën, normenkaders, normen, vragenlijsten en glossary-items en onderhoudt de onderlinge relaties tussen deze objecten.

Op basis van de door de Solution Architect geselecteerde Architecture Building Blocks (ABB's) wordt automatisch een normenselectie samengesteld. Deze normenselectie bepaalt welke normen en bijbehorende vragen van toepassing zijn op een specifieke oplossing.

De Contentbeheerder borgt de kwaliteit, actualiteit en samenhang van deze content en ondersteunt daarmee het gebruik van ViNK als centraal platform voor BIO-compliance.

2 fcbcc77b-d105-4098-84a2-9aed78ff41a4 incomplete TODO: opnemen Mendix screenshots datamodel

Voorkomen gegevensverlies (IMP002)

• Centrale opslag (vervanging van Excel en e-mail)
• Logging en audittrail op mutaties
• Back-ups conform RWS-beleid
• Retentie conform BIO/audit-eisen

Exit-strategie:
Data is exporteerbaar (CSV/JSON) en kan periodiek worden overgebracht naar centrale opslag (bijv. CTD), waarmee overdraagbaarheid en vendor-onafhankelijkheid geborgd zijn.

Bronregistraties (NAP12)

• TOPdesk CMDB: bronhouder van configuratie-items en gerelateerde CMDB-gegevens. ViNK ontsluit deze gegevens via de TOPdesk CMDB API.
• RWS Identity Provider / Active Directory: bron voor gebruikersauthenticatie. Autorisaties en rollen worden beheerd binnen ViNK en zijn niet afkomstig uit Active Directory.

ViNK gebruikt brondata en fungeert primair als registratie- en procesondersteunend systeem.

4.4 De invalshoek Applicaties

Applicaties / voorzieningen

Voor de ViNK-oplossing worden de volgende applicaties en voorzieningen ingezet:

• ViNK applicatie (Mendix)
  Hoofdapplicatie voor registratie, workflow en rapportage van BIO-trajecten.
• PostgreSQL database
  Centrale dataopslag voor alle BIO-gerelateerde gegevens.
• Topdesk (CMDB)
  Bronvoorziening voor configuratie-items (CI’s), gekoppeld via API
• Identity & Access Management (AD)
  Voor authenticatie en autorisatie van gebruikers.

• SAS Viya / SAS Management Dashboard
  Voor rapportages, dashboards en managementinformatie op basis van gegevens uit ViNK.

Hergebruik van bouwstenen (NAP08)

De oplossing maakt gebruik van bestaande en gestandaardiseerde bouwstenen binnen RWS:

• Mendix platform (standaard ontwikkelstraat binnen RWS)
• PostgreSQL (RIVA-voorkeursdatabase, boven Oracle)
• Topdesk (bestaande voorziening voor CMDB-functionaliteit)
• IAM (AD) voor identity management

Hiermee wordt maximaal aangesloten op bestaande voorzieningen en standaarden.

Algoritmen

Binnen ViNK worden geen complexe of hoog-risico algoritmen toegepast.
Eventuele logica betreft:

• workflowsturing
• statusbepaling
• eenvoudige rapportageberekeningen

Deze vallen buiten de verplichting tot opname in het algoritmeregister.

ViNK wordt niet gepositioneerd als generieke bouwsteen (SBB), maar als een domeinspecifieke applicatie die gebruikmaakt van bestaande enterprise voorzieningen. Nieuwe generieke bouwstenen worden niet geïntroduceerd.

4.5 De invalshoek Infrastructuur

Onderstaand diagram beschrijft de applicatie-, gegevens- en technologiearchitectuur van ViNK. TOPdesk fungeert als bronhouder van CMDB-gegevens. Deze gegevens worden via de TOPdesk CMDB API ontsloten aan ViNK, waar zij worden gebruikt ter ondersteuning van de functionaliteit van de applicatie. De applicatie is gerealiseerd op het Mendix-ontwikkelplatform en maakt gebruik van PostgreSQL voor persistente gegevensopslag.

De architectuur is gebaseerd op een logische scheiding tussen gegevens, applicaties, interfaces en onderliggende platformdiensten. Hierdoor ontstaat een beheersbare en toekomstbestendige inrichting die aansluit bij het API-first principe voor systeemintegraties.

Zowel Mendix als het CloudFoundry-platform zijn op het moment van schrijven BIO-compliant. ViNK moet het BIO traject nog doorlopen.

De koppeling met KCD is komen te vervallen en maakt geen onderdeel uit van deze PSA.

Netwerken en infrastructuur

De ViNK-oplossing wordt gerealiseerd op basis van bestaande RWS-cloudvoorzieningen (PaaS) en netwerken:

• Cloud Foundry platform (RWS): Hostingplatform voor de Mendix runtime en applicatielogica van ViNK
• PostgreSQL database: Gehost binnen de RWS infrastructuur (managed database service)
• RWS intern netwerk (intranet): toegang voor gebruikers en beheerders

De applicatie is uitsluitend beschikbaar via het interne netwerk en niet via het publieke internet. Qua security architectuur zit alles dus in de vertrouwde zone.

Hergebruik van bestaande netwerken (NAP08)

• Gebruik van het RWS cloudplatform (Cloud Foundry) als standaard hostingomgeving
• Gebruik van bestaande RWS-netwerkinfrastructuur en internetkoppelingen
• Geen aparte of dedicated netwerken benodigd

• Integraties verlopen via standaard netwerkprotocollen en API-standaarden (HTTPS/REST).

Hiermee wordt maximaal aangesloten op bestaande voorzieningen en standaardisatie.

Integratiemechanismen

De integratie met externe systemen is beperkt en eenvoudig opgezet:

API voor gegevensuitwisseling met Topdesk CMDB
Uitwisseling vindt plaats binnen het interne netwerk

Er wordt geen gebruik gemaakt van zwaardere integratiemechanismen zoals:

• DSGO
• DIL-DBI
• Catena-X

Netwerkbeveiliging

• Toegang uitsluitend via het RWS intranet
• Authenticatie via IAM (AD)
• Communicatie via beveiligde protocollen (HTTPS)
• Inpassing binnen bestaande RWS security-zones en beleid

Toekomstvastheid en migratie

Het huidige platform (Cloud Foundry) is binnen RWS voorzien van een end-of-life per eind 2027. De ViNK-oplossing zal daarom tijdig worden gemigreerd naar het CloudBoostr platform danwel het OpenShift platform. De keuze voor Mendix als ontwikkelplatform ondersteunt deze migratie. Er wordt geen afhankelijkheid geïntroduceerd van platform-specifieke netwerkcomponenten. Dit borgt continuïteit en toekomstvastheid van de oplossing.

Security architectuur: 

5 Standaarden

Toegepaste open standaarden

Authenticatie en autorisatie

De oplossing maakt gebruik van moderne, open standaarden voor identity en access management:

• OAuth 2.0 (Authorization Code Flow): wordt gebruikt voor veilige autorisatie via een centrale identity provider.
• OpenID Connect (OIDC): wordt toegepast als identity-laag bovenop OAuth 2.0 (herkenbaar aan scope=openid in de authenticatieflow).

De authenticatie verloopt via een autorisatie-endpoint (/oauth/authorize) waarbij:

• de gebruiker wordt doorgestuurd naar de centrale loginvoorziening
• na succesvolle authenticatie een authorization code wordt verstrekt
• deze code wordt ingewisseld voor tokens (ID token en access token)

Deze standaarden:

• zijn open en breed geaccepteerd
• staan op de lijsten van het Forum Standaardisatie (of sluiten daar direct op aan)
• ondersteunen federatieve authenticatie en Single Sign-On (SSO)

Web- en transportstandaarden

Onderliggend worden de volgende standaarden toegepast (via Mendix en de platformomgeving):

• HTTPS met TLS 1.2 of hoger – versleutelde communicatie
• HTTP(S) – transportprotocol voor webverkeer

Toepassing van NAP08 – standaardiseer waar mogelijk

Het principe NAP08 wordt als volgt ingevuld:

Hergebruik van bestaande systemen:

• geen nieuwe registratie buiten ViNK en TOPdesk;
• aansluiting op de bestaande TOPdesk CMDB;
• hergebruik van bestaande RWS authenticatievoorzieningen.

Gebruik van gangbare uitwisselingsstandaarden:

• API-gebaseerde gegevensuitwisseling via de TOPdesk CMDB API;
• toepassing van REST/HTTPS en JSON als breed ondersteunde open standaarden.

6 Privacy en Informatiebeveiliging

6.1 Privacy

Toepasselijkheid AVG

Binnen ViNK worden in beperkte mate persoonsgegevens verwerkt. Deze verwerking heeft betrekking op gebruikersidentiteiten die noodzakelijk zijn voor authenticatie, autorisatie, taaktoewijzing, logging en auditing binnen de applicatie. De primaire functionaliteit van ViNK richt zich op de registratie en het beheer van BIO-gerelateerde gegevens over systemen, processen en configuratie-items. De verwerking van persoonsgegevens is hierbij ondersteunend en niet het hoofddoel van de applicatie.

Er is derhalve:

• sprake van beperkte verwerking van persoonsgegevens in de zin van de AVG;
• geen verwerking van bijzondere categorieën persoonsgegevens;
• geen verwerking van persoonsgegevens als primair doel van de applicatie;
• op basis van de huidige scope geen aanleiding voor een Data Protection Impact Assessment (DPIA), tenzij uit een nadere privacybeoordeling anders blijkt.

Dit oordeel is gebaseerd op de huidige functionaliteit, gegevensverwerking en datastromen binnen ViNK. Wijzigingen in functionaliteit, gegevensgebruik of koppelingen met andere systemen worden opnieuw getoetst op privacy-impact.

Borging privacyprincipes (by design)

Bij de inrichting van ViNK zijn de relevante privacyprincipes uit de AVG en de Rijkswaterstaat-kaders toegepast:

• NAP10 – Neem gegevens als fundament: alleen gegevens die noodzakelijk zijn voor de uitvoering van de BIO-processen worden verwerkt. ViNK gebruikt TOPdesk als bron voor CMDB-gegevens en voorkomt onnodige duplicatie van gegevens.
• NAP11 – Pas doelbinding toe: persoonsgegevens worden uitsluitend verwerkt voor authenticatie, autorisatie, taaktoewijzing, logging en auditing.
• Dataminimalisatie (IMP004): uitsluitend persoonsgegevens die noodzakelijk zijn voor het gebruik en beheer van de applicatie worden verwerkt.
• Need-to-know en role-based access: toegang tot gegevens en functionaliteiten is beperkt op basis van rollen en autorisaties.
• Logging en auditing: gebruikersactiviteiten worden vastgelegd ten behoeve van beveiliging, controleerbaarheid en naleving van BIO-richtlijnen.
• Geen function creep: persoonsgegevens worden niet gebruikt voor andere doeleinden dan het ondersteunen van de werking, beveiliging en beheersing van de applicatie.

Risico en beheersing

Voor de verwerking van persoonsgegevens worden de volgende maatregelen toegepast:

• gebruikersgegevens worden uitsluitend verwerkt voor beheer- en beveiligingsdoeleinden;
• toegang tot persoonsgegevens is beperkt tot geautoriseerde gebruikers;
• logging en auditinformatie worden conform geldende Rijkswaterstaat-richtlijnen beheerd;
• wijzigingen in scope, functionaliteit of gegevensuitwisseling worden opnieuw beoordeeld op AVG-impact;
• bij nieuwe koppelingen of aanvullende verwerkingen wordt beoordeeld of een DPIA noodzakelijk is.

Indien de aard, omvang of risico's van de verwerking wijzigen, zal opnieuw worden beoordeeld welke aanvullende privacymaatregelen noodzakelijk zijn en of een DPIA moet worden uitgevoerd.

6.2 Informatiebeveiliging

Toepasselijk kader

Voor ViNK geldt het BIO-kader (Baseline Informatiebeveiliging Overheid), aangevuld met:

• RWS Security Architectuur
• geldende RWS-beveiligingsrichtlijnen
• standaarden van het Forum Standaardisatie (o.a. veilige internetstandaarden)

De uitgewerkte maatregelen sluiten aan op relevante BIO-controles, met name op het gebied van toegangsbeveiliging (hoofdstuk 9), cryptografie (hoofdstuk 10) en logging & monitoring (hoofdstuk 12).

Beveiligingsmaatregelen

De beveiliging is ingericht langs de relevante architectuurprincipes:
Identiteit en toegang (NAP14 – Verifieer altijd)

• Authenticatie via centrale identity provider (RWS login)
• Toepassing van OpenID Connect / OAuth 2.0
• Ondersteuning van Single Sign-On (SSO)
• Geen lokale opslag van wachtwoorden binnen ViNK

Transportbeveiliging

• Gebruik van HTTPS met TLS voor alle communicatie
• Beveiligde endpoints voor authenticatie en dataverkeer
• Voldoet aan gangbare internetbeveiligingsstandaarden

Applicatiebeveiliging

• Gebruik van de standaard beveiligingsfunctionaliteit van het Mendix-platform, waaronder authenticatie, autorisatie, sessiebeheer en beveiligde communicatie.

• Rolgebaseerde autorisatie (RBAC) voor het toewijzen van toegang tot functionaliteiten en gegevens.

• Toegangsrechten worden beperkt volgens het need-to-know- en least-privilege-principe

• Beveiligingsupdates en patches van het Mendix-platform en de onderliggende platformdiensten worden centraal beheerd en tijdig doorgevoerd.

Gegevensbeveiliging (NAP10)

• Gegevens zijn afkomstig uit een gecontroleerde bron (TOPdesk CMDB).
• Gegevensuitwisseling via de TOPdesk CMDB API omvat validatie van ontvangen gegevens en foutafhandeling bij onvolledige of onjuiste berichten.
• Beperking van dataopslag tot noodzakelijke registraties.

Logging en monitoring (NAP13 – Beheers risico’s voortdurend)

• Logging van:

  • gegevensuitwisseling met externe systemen

  • gebruikersacties: logging ondersteunt auditability van besluitvorming en wijzigingen binnen BIO-trajecten

• Ondersteuning van audittrail voor BIO-verantwoording
• Foutafhandeling en controle op datakwaliteit

• Logging kan via CloudFoundry (Firehose) beschikbaar worden gesteld aan Splunk voor analyse en monitoring

Beschikbaarheid en schaalbaarheid (NAP15)

• Hosting van de ViNK-applicatie op het CloudFoundry-platform, gebruikmakend van de Mendix Runtime voor de uitvoering van de applicatielogica.
• De beschikbaarheid van ViNK is afhankelijk van zowel het Cloud Foundry-platform als de onderliggende Mendix Runtime.
• Integratie met TOPdesk via de TOPdesk CMDB API; uitval van deze koppeling heeft geen directe impact op de beschikbaarheid van de ViNK-applicatie, maar kan gevolgen hebben voor de actualiteit van CMDB-gegevens.
• Het CloudFoundry-platform ondersteunt schaalbaarheid, beheer en monitoring van de applicatie.
• Risico's op verstoringen worden beperkt door de scheiding tussen applicatielaag, gegevensopslag en externe koppelingen.

7 Beheer

Uitgangspunten

Het beheer van ViNK sluit aan op bestaande Rijkswaterstaat-kaders en volgt het principe NAP08 – standaardiseer waar mogelijk. De applicatie is gerealiseerd op het Mendix-platform, draaiend op de intern beheerde Cloud Foundry (CNAP) omgeving. Hiermee wordt maximaal gebruikgemaakt van bestaande platformdiensten voor hosting, beveiliging en monitoring.
Uitgangspunt is scheiding van verantwoordelijkheden tussen platform- en applicatielaag.

Beheerorganisatie

Het beheer is als volgt ingericht:

• CNAP (RWS): verantwoordelijk voor het beheer van het CloudFoundry-platform, waaronder:

  • beschikbaarheid en performance;
  • platform security en patching;
  • logging en monitoring (o.a. via Firehose).

• ViNK applicatiebeheer:

  • de definitieve beheerorganisatie na livegang wordt nog vastgesteld en is afhankelijk van de besluitvorming in het PID;
  • op basis van de huidige inzichten wordt functioneel beheer naar verwachting belegd bij BOS;
  • gedurende de ontwikkelfase ligt het technisch beheer van de applicatie bij het Mendix-team binnen de ontwikkelstraat;
  • na livegang moeten nog nadere afspraken worden gemaakt over de inrichting en overdracht van technisch beheer.

• Applicatiebeheeractiviteiten omvatten onder andere:

  • beheer van autorisaties en configuratie;
  • ondersteuning bij incident-, probleem- en wijzigingsafhandeling;
  • beheer van applicatie-instellingen en functionele inrichting.

• Ketenafhankelijkheden:

  • TOPdesk (CMDB) als bronhouder van configuratiegegevens via de TOPdesk CMDB API;
  • RWS Identity Provider voor authenticatie via OpenID Connect / OAuth 2.0.

Afhankelijkheden van Mendix na ingebruikname

Hoewel ViNK na oplevering als zelfstandige applicatie wordt beheerd, blijven er afhankelijkheden bestaan ten aanzien van het Mendix-platform:

• Runtime: ViNK draait op de Mendix Runtime. Ondersteuning van de applicatie blijft afhankelijk van ondersteunde Mendix-runtimeversies.
• Licenties: Voor gebruik van de runtime en ontwikkelomgeving blijven geldige Mendix-licenties noodzakelijk.
• Doorontwikkeling: Functionele uitbreidingen en wijzigingen worden gerealiseerd binnen het Mendix-platform en vereisen kennis van Mendix-modellering en ontwikkelstandaarden.
• Software- en beveiligingsupdates: Nieuwe Mendix-releases en security-updates worden periodiek beoordeeld en waar nodig doorgevoerd om ondersteuning en beveiliging te borgen.

Hierbij geldt een scheiding tussen infrastructuur-, platform- en applicatiebeheer:

Infrastructuurbeheer (CNAP)

• beheer van de Cloud Foundry-omgeving;
• beschikbaarheid en performance van het platform;
• platformmonitoring;
• infrastructuurpatching en beveiligingsmaatregelen.

Mendix-platformbeheer (Mendix-team)

• beheer van Mendix-licenties;
• beheer van Mendix-runtimeversies;
• beschikbaar stellen van ondersteunde Mendix-versies;
• coördinatie van Mendix-upgrades en security-updates.

Applicatiebeheer (BOS, onder voorbehoud)

• functioneel beheer van de applicatie;
• beheer van configuratie en autorisaties;
• beheer van businesslogica en datamodel;
• incident-, release- en wijzigingsbeheer;
• testen en valideren van applicatie-impact bij Mendix-upgrades.

Beheerkaders

Het beheer volgt de geldende richtlijnen:

• BIO (Baseline Informatiebeveiliging Overheid)
• RWS Security Architectuur
• CNAP- en Mendix-platformstandaarden
• RWS beheer- en exploitatieprocessen (incident-, wijzigingsbeheer

Aandachtspunten

• Gegevensuitwisseling via de TOPdesk CMDB API vereist monitoring, foutafhandeling en validatie van ontvangen gegevens.
• ViNK is voor de ontsluiting van actuele CMDB-gegevens afhankelijk van de beschikbaarheid en stabiliteit van de TOPdesk CMDB API.
• Beschikbaarheid van de oplossing is afhankelijk van het CloudFoundry-platform, de Mendix Runtime en de Identity & Access Management (IAM)-voorzieningen.

Verstoringen kunnen leiden tot:

• onbeschikbaarheid (CNAP)
• geen toegang voor gebruikers (IAM)
• verminderde actualiteit van gegevens (Topdesk)

8 Beslispunten

ADR 01 – Gebruik van Mendix-technologie voor realisatie van ViNK

Besluit

Voor de realisatie van de BIO-intakevoorziening (ViNK) wordt gebruikgemaakt van Mendix-technologie voor de ontwikkeling van de applicatie. Tijdens de projectfase wordt de applicatie ontwikkeld binnen de Mendix-ontwikkelstraat.

Reden

Mendix ondersteunt een snelle realisatie en iteratieve ontwikkeling van proces- en formuliergedreven applicaties. Hierdoor kan ViNK efficiënt worden aangepast aan veranderende functionele en compliance-eisen, met een lagere ontwikkelcomplexiteit dan een volledig maatwerkoplossing.

Voordelen

• Snelle time-to-market.
• Ondersteuning van iteratieve ontwikkeling.
• Visuele modellering.
• Goede aansluiting op proces- en formuliergedreven toepassingen.
• Efficiënte doorontwikkeling gedurende de levenscyclus van de applicatie.

Belangrijkste risico's

• Platformafhankelijkheid (vendor lock-in).
• Afhankelijkheid van beschikbare Mendix-kennis en expertise.
• Mogelijke beperkingen bij complexe integratievraagstukken.

Mitigatie & toekomstbeeld

• Gebruik conform Rijkswaterstaat- en organisatiekaders.
• Periodieke evaluatie van de geschiktheid van de gekozen technologie.
• Indien toekomstige integratie- of schaalbaarheidsvereisten daarom vragen, kunnen aanvullende architectuurcomponenten worden ingezet.
• Het gebruik van Mendix voor ontwikkeling en doorontwikkeling staat los van de inrichting van het functioneel en technisch beheer na livegang. De definitieve beheerorganisatie wordt separaat vastgesteld.

ADR 02 – Koppeling TOPdesk CMDB via API

• Besluit:
  Voor het ontsluiten van CMDB-gegevens uit TOPdesk wordt gebruikgemaakt van de TOPdesk CMDB API. ViNK raadpleegt de benodigde gegevens via deze API. Een CSV-export/import-oplossing wordt niet toegepast.

• Reden:
  De API-koppeling sluit aan op de doelarchitectuur van Rijkswaterstaat en ondersteunt een gestandaardiseerde en toekomstbestendige gegevensuitwisseling. Daarnaast vermindert een API-koppeling de afhankelijkheid van handmatige exportprocessen en bestandsuitwisseling.

• Voordelen:

  • Actuele gegevensbeschikbaarheid (near real-time).
  • Vermindering van handmatige beheeractiviteiten.
  • Geen afhankelijkheid van exportbestanden of bestandsstructuren.
  • Betere aansluiting op API-first architectuurprincipes.
  • Verbeterde robuustheid en onderhoudbaarheid van de integratie.

• Belangrijkste risico's:

  • Afhankelijkheid van de beschikbaarheid van de TOPdesk API.
  • Afhankelijkheid van wijzigingen in de API-specificatie of versiebeheer van TOPdesk.
  • Mogelijke impact op ViNK bij verstoringen van de API-koppeling.
  • Afhankelijkheid van netwerkconnectiviteit tussen ViNK en TOPdesk.

• Mitigatie:

  • Vastleggen van afspraken met de TOPdesk-beheerorganisatie over beschikbaarheid en wijzigingen.
  • Implementeren van foutafhandeling, monitoring en logging van API-aanroepen.
  • Toepassen van versiebeheer en impactanalyse bij wijzigingen in de API.
  • Inrichten van een fallback-procedure voor tijdelijke verstoringen van de koppeling.

• Toekomstbeeld:
  De TOPdesk CMDB API vormt de structurele integratievoorziening voor het ontsluiten van CMDB-gegevens naar ViNK. Toekomstige uitbreidingen kunnen gebruikmaken van dezelfde API-koppeling voor aanvullende gegevensuitwisseling of synchronisatie van relevante configuratiegegevens.

 9 BIJLAGE - Betrokkenen