Overslaan naar hoofdinhoud
Pulse

Samen verantwoordelijkheid nemen voor privacy en security

Martin Vliem

Martin Vliem

National Security Officer

Leestijd, 5 min.

Hulp bij privacy- en informatiebeveiliging van Rijksgegevens in de publieke cloud

Burgers, bedrijven en overheden werken steeds vaker samen via de publieke cloud. De Rijksoverheid is overtuigd van de kracht van cloud-technologie en ministeries overwegen nu ook om kernapplicaties ernaartoe te migreren. Onze clouddiensten zijn voorbereid om vertrouwelijke departementale data te beschermen. De Rijksoverheid draagt vervolgens zelf de zorg voor het gedegen inrichten en het veilig in gebruik nemen van deze nieuwe technologie. Het is hiermee een gezamenlijke verantwoordelijkheid waarin we elkaar moeten ondersteunen.

De overheid wil haar burgers beter tot dienst zijn en dat zo efficiënt mogelijk doen. De publieke cloud geeft veel flexibiliteit, waardoor processen binnen de overheid en met burgers verbeteren. De eerdere terughoudendheid van overheidsinstanties ten aanzien van cloud-toepassingen kantelt steeds meer naar omarming ervan. De noodzaak van thuiswerken als gevolg van de lockdown heeft de ingebruikname van cloud-toepassingen als Microsoft 365 en Azure ook bij overheden in een stroomversnelling gebracht.

Overheden experimenteren in de cloud

Een aantal gemeentes hanteert inmiddels een cloud-first strategie en ook de Rijksoverheid is breed gestart met het experimenteren met cloud-toepassingen. Dit kan ook, doordat beleidsontwikkelingen van bijvoorbeeld CIO Rijk en de Nationaal Bureau voor Verbindingsbeveiliging (NBV) steeds meer ruimte bieden voor een risicogebaseerde aanpak. Het spreekt voor zich dat de opslag en verwerking van gegevens moet voldoen aan Baseline Informatiebeveiliging Overheid (BIO) en de Algemene verordening gegevensbescherming (AVG).

Wie is waar precies verantwoordelijk?

De inrichting qua governance in de publieke cloud is voor veel overheidsorganisaties nieuw terrein. Eerder waren álle data en het netwerk in eigen beheer, maar bij cloud-technologie neemt de cloud-leverancier veel werk en verantwoordelijkheid uit handen op het gebied van beveiliging van de gegevens, het netwerk en de toegepaste IT-systemen. Desondanks houden overheidsinstanties de eindverantwoordelijkheid ten aanzien van privacy- en informatiebeveiliging van hun eigen data.

Dit komt onder meer door verplichtingen die voortvloeien uit de BIO en de AVG. De vraag is: hoe zorg je dat alle soorten data op de juiste manier worden beschermd? Het is duidelijk dat publieke data in de publieke cloud mag. Maar hoe zit dat met departementaal vertrouwelijke, tot zeer vertrouwelijke data? Dit zijn gegevens die te allen tijde niet mogen uitlekken of in handen mogen komen van statelijke actoren.

Zelf duidelijkheid scheppen

In gesprekken met overheden komt naar voren dat zij niet precies weten wat ze met hun gerubriceerde data mogen doen. CIO Rijk ontwikkelt mede daarom een nieuwe Verkenning Cloudbeleid voor Nederlandse Rijksdiensten, wat houvast moet bieden voor met name de omgang met meer vertrouwelijke data, zoals bijvoorbeeld Departementaal Vertrouwelijke informatie. De huidige versie van de Verkenning Cloudbeleid biedt nu al inzicht voor ministeries en Rijksdiensten in de voorwaarden voor het migreren van data en applicaties. Zo kunnen zij in een vroeg stadium de voordelen van de cloud ervaren.

Publieke en vertrouwelijke gegevens

Publiek toegankelijke, niet-gerubriceerde gegevens mogen zondermeer naar de publieke cloud. Dit geldt bijvoorbeeld voor data van publieke websites. Wel moet de informatie goed beveiligd zijn, zodat ze niet gemanipuleerd kunnen worden. Departementaal Vertrouwelijke informatie van het niveau BBN2 mag alleen naar de cloud als voldaan is aan hogere eisen en maatregelen zoals versleuteling. Het moet voldoen aan bijvoorbeeld de AVG, de VIRBI (Voorschrift Informatiebeveiliging Rijk Bijzondere Informatie) en diverse normen en standaarden zoals de eerder benoemde BIO.

Vraag naar inrichting binnen de koppelvlakken

De cloud-provider moet via verantwoordingsinformatie waarborgen dat overheidsorganisaties cloud-diensten compliant in kunnen zetten. Microsoft heeft uitgebreide technische mogelijkheden om deze waarborging vorm te geven. Er komen steeds meer vragen over wat de afnemer van die diensten zelf nog moet inrichten binnen de zogenoemde koppelvlakken. Daarbij gaat het veelal om de onderstaande vier aandachtspunten:

  • Data governance: de locatie, rubricering en de bewaartermijn van data
  • Authenticatie en autorisatie: alleen geautoriseerde personen hebben gecontroleerd toegang tot specifieke gegevens
  • Logging en monitoring: controle, loggen en auditeerbaarheid van gebruikersactiviteiten en de beveiligingsstatus van de organisatie
  • Threat management: het monitoren van cyberbeveiligingsproblemen van buitenaf en binnen de organisatie

Ministeries kunnen nu naar de publieke cloud

Data blijven altijd eigendom van de overheid. De eindverantwoordelijkheid voor het borgen van veiligheidsaspecten ligt daarom bij de overheid zelf. Microsoft biedt veel technische, organisatorische en contractuele middelen om aan deze maatregelen te voldoen en daarnaast biedt de huidige Verkenning Cloudbeleid al voldoende ruimte om over te gaan op migratie.

Dek risico’s af met een risico-evaluatie

Een eerste stap is om de beveiligingsmaatregelen van Microsoft te valideren en aan te vullen met eigen maatregelen. Ook moet er een risico-evaluatie worden opgesteld. Deze kan eventueel getoetst worden door de CISO Rijk. Vervolgens moet de secretaris-generaal deze risicoanalyse accepteren en voorzien van een finaal akkoord. De secretaris-generaal neemt deze verantwoordelijkheid pas als er, naast de toetsing van de cloud-leverancier, een goed beeld is van de verantwoordelijkheden (controls) en processen in de eigen organisatie. Hierna kunnen data en kernapplicaties van ministeries naar de publieke cloud gemigreerd worden.

Hulp bij techniek en het proces

Innovatie met Microsoft 365 en Azure helpt de overheid om burgers beter en efficiënter van dienst te zijn. Microsoft helpt bij de technische realisatie en het inrichten van de juiste processen, door de informatiebeveiliging van de publieke cloud conform wet- en regelgeving in te richten. Door duidelijk af te stemmen waar wiens verantwoordelijkheid precies ligt, wordt het voor overheden mogelijk om snel en veilig naar de cloud te migreren.

Hulp bij het inrichten van security- en privacymaatregelen

De verantwoordelijkheden van Microsoft zijn de afgelopen jaren uitgebreid gevalideerd door het Strategische Leveranciersmanagement Rijk, onder het Ministerie van Justitie en Veiligheid. Om overheidsinstanties te ondersteunen bij de inrichting van security- en privacymaatregelen, hebben we Capgemini een whitepaper laten schrijven. Hierin staan handvatten voor afnemers van onze publieke cloud.

Verantwoord, samen innoveren

In deze whitepaper is aandacht voor de verantwoordelijkheid van afnemers bij het inrichten van onze clouddiensten, waarbij zij gebruik kunnen maken van user entity controls. Dit zijn aanvullende maatregelen die afnemers zelf kunnen inrichten bij de adoptie van Microsoft cloud diensten. Met het stappenplan kunnen overheidsinstanties privacy en security borgen binnen hun cloud-adoptie traject. Met dit whitepaper scheppen we duidelijkheid voor alle partijen. Alleen door elkaar te ondersteunen, is het mogelijk om op een verantwoorde manier te innoveren.

 

White paper: richtlijnen privacy en informatiebeveiliging Microsoft Cloud

Deze white paper biedt overheidsinstanties een overzicht van de verantwoordelijkheden en bijbehorende maatregelen die zij kunnen nemen om privacy- en informatiebeveiligingsaspecten van cloudtoepassingen te implementeren binnen Microsoft 365 en Azure.

Ontdek meer gerelateerde artikelen per branche:

Educatie

Financiële dienstverlening

  • 5 tips voor digitale financiële dienstverlening

    5 tips voor digitale financiële dienstverlening

    Van video-overleg en slim plannen tot online samenwerken en veilig werken: graag geven we je 5 tips om het meeste te halen uit de mogelijkheden die ICT biedt voor boekhouders. Digitalisering verandert de wereld, drastisch en in een hoog tempo. Dat heeft ook gevolgen voor het werk van boekhouders: vrijwel alle communicatie verloopt digitaal, databases […]

  • Tips van financiële koplopers over de cloud

    Tips van financiële koplopers over de cloud

    Steeds meer boekhouders en administratiekantoren gaan over naar de cloud om hun werk te doen. 216 Accountants deelt in deze blog een aantal inzichten en tips. Zo kun je een zo groot mogelijk succes maken van de overstap naar de cloud – voor jou én je klanten. E-mails, gezamenlijke spreadsheets, vergaderingen, agenda’s, todo-lijsten, aantekeningen, scans: […]

Government

  • Gemeente Katwijk in een kwartier over op Microsoft Teams Phone

    Gemeente Katwijk in een kwartier over op Microsoft Teams Phone

    Binnen enkele minuten belde de gemeente Katwijk met Microsoft Teams in plaats van de traditionele PBX-centrale. “De overgang was de snelste die ik ooit zag!” Projectleider ICT Gemeente Katwijk Steven Shukrula kijkt tevreden terug hoe soepel de ommekeer verliep en hoe goed het communicatie- en samenwerkingsplatform zijn collega’s nu en in de toekomst ondersteunt.   […]

Overheid

Productie

  • Ook een pan verse mosselen wordt mogelijk gemaakt door slimme techniek

    Ook een pan verse mosselen wordt mogelijk gemaakt door slimme techniek

    Ondernemers ondersteunen in hun business-uitdagingen; dat is waar Microsoft en haar partners graag een rol in spelen. De ambities en passies van ondernemers vormen de basis van verhalen die wij hier graag met jou delen. Hiermee willen wij jou inspireren en laten zien hoe technische oplossingen ondernemers helpen om alle elementen in hun bedrijf te […]

  • Rustig slapen tijdens een verbouwing

    Rustig slapen tijdens een verbouwing

    Ondernemers ondersteunen in hun business-uitdagingen; dat is waar Microsoft en haar partners graag een rol in spelen. De ambities en passies van ondernemers vormen de basis van verhalen die wij hier graag met jou delen. Hiermee willen wij jou inspireren en laten zien hoe technische oplossingen ondernemers helpen om alle elementen in hun bedrijf te […]

Retail

Zorg

  • Een operatieteam in actie

    Maasstad Ziekenhuis: Werken als één medisch team tijdens een crisis

    In tijden van crisis rekent een organisatie erop dat het leiderschap het voortouw neemt. Toen COVID-19 zich begin 2020 door heel Europa verspreidde, maakte de CEO van het Maasstad Ziekenhuis Peter Langenbach zich op om de reactie op de crisis te coördineren zoals hij altijd deed, door aanwezig en zichtbaar te zijn en te vertrouwen […]

  • Veilig mailverkeer in de zorg

    Veilig mailverkeer in de zorg

    Nederlandse zorginstellingen en ziekenhuizen communiceren steeds vaker digitaal met hun patiënten of cliënten. Dat gebeurt op diverse manieren, waaronder via email – en daar komen ook risico’s bij. Denk bijvoorbeeld aan fouten door menselijk handelen. In 2017 zijn zo’n 10.000 datalekken gemeld bij de Autoriteit Persoonsgegevens (AP). Bij bijna de helft van de datalekken die […]

Ontdek meer gerelateerde artikelen per dossier:

Digitale transformatie

  • Iemand die voor een laptopcomputer zit

    Digitale transformatie met een oerknal en hoe je dat voor elkaar krijgt

    Tegenwoordig bestaat een ‘normale gang van zaken’ niet meer. Verandering en innovatie zijn de nieuwe norm. Denk maar aan de veranderingen die je organisatie op dit moment doormaakt met nieuwe technologie en technieken die om nieuwe houdingen en verwachtingen vragen van zowel medewerkers als klanten. Alles verandert. Het enige wat al die veranderingen gemeen hebben, […]

Klantverhalen

  • Rustig slapen tijdens een verbouwing

    Rustig slapen tijdens een verbouwing

    Ondernemers ondersteunen in hun business-uitdagingen; dat is waar Microsoft en haar partners graag een rol in spelen. De ambities en passies van ondernemers vormen de basis van verhalen die wij hier graag met jou delen. Hiermee willen wij jou inspireren en laten zien hoe technische oplossingen ondernemers helpen om alle elementen in hun bedrijf te […]

Partners

  • Office 365 – Partner of Record

    Office 365 – Partner of Record

      In deze blog post leggen we uit hoe je als Microsoft Partner er voor kunt zorgen dat je in de Office 365 omgeving van je klant staat vermeld als Partner of Record en waarom dat handig is.   1) Log in op de Office 365 omgeving van de klant. 2) Klik links op het […]

Pers

  • CEO leading a meeting

    VNG en Microsoft werken samen aan ontwikkeling moderne veilige overheidswerkplek

    De gezamenlijke campagne tussen VNG en Microsoft is van start gegaan, beiden partijen hebben de nieuwe gemeentelijke voorwaarden ondertekend. Goed nieuws vanaf 1 februari kunnen alle Nederlandse gemeenten gebruik maken van de VNG overheidswerkplek. De overheidswerkplek bestaat uit nieuwe juridische gemeentelijke voorwaarden, een op maat gemaakte VNG-Microsoft overheidswerkplek en gunstige commerciële voorwaarden. Het doel van […]

Pers / Nieuws

  • CEO leading a meeting

    VNG en Microsoft werken samen aan ontwikkeling moderne veilige overheidswerkplek

    De gezamenlijke campagne tussen VNG en Microsoft is van start gegaan, beiden partijen hebben de nieuwe gemeentelijke voorwaarden ondertekend. Goed nieuws vanaf 1 februari kunnen alle Nederlandse gemeenten gebruik maken van de VNG overheidswerkplek. De overheidswerkplek bestaat uit nieuwe juridische gemeentelijke voorwaarden, een op maat gemaakte VNG-Microsoft overheidswerkplek en gunstige commerciële voorwaarden. Het doel van […]

Security & Privacy

  • Een AVG-handleiding voor scholen

    Een AVG-handleiding voor scholen

    De nieuwe Europese wet ‘Algemene verordening gegevensbescherming (AVG)’ is sinds 25 mei 2018 van kracht. In onderstaande gratis eBook wordt uitgelegd welke stappen je kan nemen om je school te laten voldoen aan de regelgeving. Ook bevat het andere nuttige informatie. Je school op reis Je school is op reis. Een doorlopende reis met veel […]

Tips

Webinars

  • een mensenzitting bij een lijst die een laptopcomputer met behulp van

    Beter digitaal onderwijs met Surface

    Digitale middelen en les op afstand zijn niet meer weg te denken uit het onderwijs. Maar welk apparaat werkt het best voor docenten, leerlingen, studenten én IT-beheer? Microsoft Surface helpt de verschillende rollen binnen het onderwijs vooruit,  door veiligheid te optimaliseren, het beheer tot een koud kunstje te maken en Surface Pen die de hersenen […]