Algemene presentatie KSZ - NL
advertisement
KSZ-BCSS Naar een dienstgeoriënteerde architectuur en het gemeenschappelijk gebruik van basisdiensten Kruispuntbank van de Sociale Zekerheid KSZ-BCSS Plan van de uiteenzetting interoperabele ICT op basis van een dienstgeoriënteerde architectuur (service oriented architecture – SOA) overzicht van een aantal aangeboden basisdiensten - gebruikers- en toegangsbeheer ticketing en ontvangstmedling persoonlijke pagina’s logging customer relationship management (CRM) status questionis inzake aanvaarde mandaten om op te treden namens ondernemingen en burgers Kruispuntbank van de Sociale Zekerheid 2 04/07/2006 KSZ-BCSS Interoperabele ICT dienstgeoriënteerde architectuur (SOA – Service Oriented Architecture) gelaagd gebaseerd op open standaarden of minstens open specificaties gebaseerd op componenten modulair flexibel uitbreidbaar veilig Kruispuntbank van de Sociale Zekerheid 3 04/07/2006 KSZ-BCSS Dienstgeoriënteerde architectuur “Service Oriented Architecture (SOA) is a paradigm for organizing and utilizing distributed capabilities that may be under the control of different ownership domains. It provides a uniform means to offer, discover, interact with and use capabilities to produce desired effects consistent with measurable preconditions and expectations. Enterprise architects believe that SOA can help businesses respond more quickly and costeffectively to the changing market conditions. This style of architecture promotes reuse at the macro (service) level rather than micro levels (eg. objects). It also makes interconnection of existing IT assets trivial.” (OASIS Reference Group) Kruispuntbank van de Sociale Zekerheid 4 04/07/2006 KSZ-BCSS Gelaagde architectuur Presentatie Toepassingen Businessdiensten Basisdiensten Gegevens Kruispuntbank van de Sociale Zekerheid 5 04/07/2006 KSZ-BCSS Open specificaties en open standaarden open specificatie: specificatie die voldoende is om een volledig functionerende toepassing te schrijven en vrij is van juridische beperkingen die de verspreiding en het gebruik bemoeilijken open standaard: open specificatie die goedgekeurd is door een onafhankelijke standaardenorganisatie voornaamste internationale, onafhankelijke standaardenorganisaties - International Organization for Standardization (ISO) (http://www.iso.org) - World Wide Web Consortium (W3C) (http://www.w3.org) - OASIS (http://www.oasis-open.org) Kruispuntbank van de Sociale Zekerheid 6 04/07/2006 KSZ-BCSS Open specificaties en open standaarden voorbeelden - karaktersets interconnectie uitwisseling van berichten uitwisseling van documenten opslag van berichten opslag van documenten compressie van documenten beveiliging zie bijvoorbeeld http://www.ksz.fgov.be/documentation/nl/documentation/ Pers/OpenstandaardenNL_FEDICT.pdf Kruispuntbank van de Sociale Zekerheid 7 04/07/2006 KSZ-BCSS Componenten welafgebakende, autonoom functionerende componenten die op basis van een dienstgeoriënteerde architectuur onderling en met externe componenten interopereren via open standaarden zodat een maximale flexibiliteit bestaat - om andere componenten aan te sluiten - om componenten toe te voegen - om componenten te vervangen door andere componenten - om componenten te hergebruiken voor andere doeleinden in functie van - de evoluerende behoeften - de evoluerende technologische mogelijkheden zonder impact op de bestaande componenten met beroep op open concurrentie voor de uitbouw van de aan te sluiten, toe te voegen of te vervangen componenten Kruispuntbank van de Sociale Zekerheid 8 04/07/2006 KSZ-BCSS Gegevens en informatie persoonsgegevens - volgens taakverdeling opgeslagen en beheerd in onderling complementaire authentieke gegevensbanken niet-persoonsgebonden informatie - modulair en up to date opgeslagen in algemeen toegankelijke content management systemen - met gestandaardiseerde metadata, gebaseerd op gestandaardiseerde thesauri - met scheiding van inhoud, metadata en vorm (hergebruiken, niet herschrijven) - onderwerpbaar aan automatische reïndexatie Kruispuntbank van de Sociale Zekerheid 9 04/07/2006 KSZ-BCSS Gegevens en informatie beleids- en onderzoeksondersteunende informatie - door samenbrengen van gegevens uit operationele systemen in datawarehouses - met benaderingsmogelijkheden van gegevens via verschillende dimensies en granulariteitsgraden - met krachtige exploratie-, analyse- en visualisatietools - bij voorkeur in real time (on line analytical processing – OLAP) Kruispuntbank van de Sociale Zekerheid 10 04/07/2006 KSZ-BCSS Basisdiensten componenten die een generieke dienst aanbieden aan elke businessdienst die ze wil gebruiken toegevoegde waarde - besparing op ontwikkelings- en exploitatiekost: develop once, use many - biedt de ontwikkelaars van businessdiensten en toepassingen de mogelijkheid om zich op de businessdiensten te concentreren - coherentie voor de gebruikers over de onderscheiden toepassingen heen - vergemakkelijkt het aanbod en de monitoring van processen en procesketens Kruispuntbank van de Sociale Zekerheid 11 04/07/2006 KSZ-BCSS Basisdiensten gebruikers- en toegangsbeheer voor burgers, ondernemingen en beroepsbeoefenaars elektronische handtekening transformatie van formaten ticketing en ontvangstmelding time stamping routing statusbeheer orchestratie logging persoonlijke pagina’s customer relationship management (CRM) ... Kruispuntbank van de Sociale Zekerheid 12 04/07/2006 KSZ-BCSS Basisdiensten user & access mgt electroni c signature ticketin g/ receipt Kruispuntbank van de Sociale Zekerheid transfor -mation … 13 orchestration logging persona l pages 04/07/2006 KSZ-BCSS Businessdiensten en toepassingen ontwikkeling van businessdiensten door coördinatie van componenten en gebruik van de basisdiensten ontwikkeling van toepassingen afgestemd op de behoeften van de onderscheiden soorten gebruikers door coördinatie van businessdiensten waarbij dezelfde componenten en basisdiensten kunnen worden gebruikt worden voor het ontwikkelen van verschillende businessdiensten, en dezelfde businessdiensten voor het ontwikkelen van verschillende toepassingen Kruispuntbank van de Sociale Zekerheid 14 04/07/2006 KSZ-BCSS Toepassingen Clients Application Application Application Exposed services Enterprise Service Bus Orchestration Orchestration Enterprise Application Integration Consulted services Providers Application Kruispuntbank van de Sociale Zekerheid Application 15 Application 04/07/2006 KSZ-BCSS Toepassingsintegratie via web services Web service: softwarecomponent die een eenduidig zelfbeschreven functionaliteit aanbiedt en gedistribueerd aangeroepen wordt door gebruik te maken van standaard internettechnologie web services repository (WSDL) (opzoeken web service) UDDI UDDI (registratie web service) XML/SOAP web services client Kruispuntbank van de Sociale Zekerheid XML/SOAP XML/SOAP 16 web services provider 04/07/2006 KSZ-BCSS Toepassingsintegratie in federale overheid middlewareomgevingen - Enterprise Application Integration omgeving in sociale sector, beheerd door de Kruispuntbank van de Sociale Zekerheid - Universal Messaging Engine (FEDICT), met evolutie naar Federal Service Bus - CommunicatieCentrum van de Federale Fiscaliteit (CCFF) in uitbouw in de FOD Financiën - Enterprise Application Integration omgeving in uitbouw in de FOD Justitie in het kader van het Fenix-project onderling verbonden netwerken - extranet van de sociale zekerheid tussen instellingen van sociale zekerheid - FEDMAN tussen federale overheidsdiensten - extranets van andere overheidsniveaus - internet en daarop virtuele private netwerken Kruispuntbank van de Sociale Zekerheid 17 04/07/2006 KSZ-BCSS Presentatie-integratie: portaalsites web sites met geïntegreerde presentatie van - informatie, bij voorkeur beheerd in content management systemen - transacties met single log on of single sign on eventueel ondersteund door customer relationship management tools Kruispuntbank van de Sociale Zekerheid 18 04/07/2006 KSZ-BCSS Presentatie-integratie: portaalsites gepersonaliseerd, intentiegericht of doelgroepgericht - gepersonaliseerd • look & feel en interface • inhoud (enkel relevante informatie en transacties) • gepersonaliseerde ondersteuning, bvb. – gebruik van beschikbare persoonsgegevens – contextgevoelige hulp aangepast aan de gebruiker (bvb. tekst, mondelinge uitleg, hulp bij het gebruik van elektronische devices, procesbegeleiding, ...) – eigen taal – aangepast vocabularium – on-line simulaties - intentie- of doelgroepgericht • gebeurtenissen (vb. geboorte, huwelijk, opstart van een bedrijf, ...) • levensdomeinen (vb. cultuur, sport, ...) • sociale status (vb. werknemer, werkloze, gepensioneerde, ...) of bedrijfssector • doelgroepen Kruispuntbank van de Sociale Zekerheid 19 04/07/2006 KSZ-BCSS Portaalsites: niet tussenpersonen personeel leveranciers gebruikers •burgers •ondernemingen partners PORTAL B •single sign on •personalisatie •gebruikersgroepen •multi-channel •aggregatie PORTAL A •single sign on •personalisatie •gebruikersgroepen •multi-channel •aggregatie content management content management transacties back-end systemen, vb. •ERP •groupware •DB’s •toepassingen back-end systemen, vb. •ERP •groupware •DB’s •toepassingen gebruikersbeheer Kruispuntbank van de Sociale Zekerheid transacties 20 gebruikersbeheer 04/07/2006 KSZ-BCSS Portaalsites: wel tussenpersonen personeel leveranciers klanten •burgers •ondernemingen partners PORTAL A •single sign on •personalisatie •gebruikersgroepen •multi-channel •aggregatie transacties back-end systemen, vb. •ERP •groupware •DB’s •toepassingen PORTAL B •single sign on •personalisatie •gebruikersgroepen •multi-channel •aggregatie gebruikersbeheer Kruispuntbank van de Sociale Zekerheid content management 21 content management gebruikersbeheer back-end systemen, vb. •ERP •groupware •DB’s •toepassingen transacties 04/07/2006 KSZ-BCSS Presentatie-integratie: contact center multimodaal bereikbaar: telefoon, e-mail, formulier op portaal, … E-mail Telefoon @ Internet Contactcenter Eranova OISZ Intern FOD ondersteund door customer relationship management tool Kruispuntbank van de Sociale Zekerheid 22 04/07/2006 KSZ-BCSS Netwerk van dienstenintegratoren Dienstenintegrator GOD GOD Dienstencataloog Extranet gewest of gemeenscha p Dienstencataloog Dienstenintegrator (KSZ) ISZ Extranet sociale zekerheid ISZ Internet Gemeente FOD ISZ FOD VPN, Publilink, VERA, … Dienstencataloog Stad FedMAN Dienstenintegrator (FEDICT) Provincie Kruispuntbank van de Sociale Zekerheid FOD 23 Dienstencataloog 04/07/2006 KSZ-BCSS Netwerk van dienstenintegratoren soorten uitgewisselde informatie - gestructureerde gegevens documenten beelden multimedia metadata business processen op basis van web service technologie Kruispuntbank van de Sociale Zekerheid 24 04/07/2006 KSZ-BCSS Netwerk van dienstintegratoren mogelijke taken van een dienstenintegrator (KSZ, FEDICT, …) - organisatie gegevensbeheer, basis- en businessdiensten, toepassingsintegratie en presentatie-integratie - organisatie veilig interoperabiliteitsframework - gebruikers- en toegangsbeheer • lijst van gebruikers (mensen, ondernemingen, toepassingen, …) • bepaling van mogelijke authentiseringsmiddelen voor elke dienst • beheer van autorisaties – welke dienst is toegankelijk voor welke type van gebruiker m.b.t. welke personen/ondernemingen in welke hoedanigheden in welke situatie en m.b.t. welke periode • preventieve controle op naleving van de autorisaties • logging van uitwisseling van persoonsgegevens Kruispuntbank van de Sociale Zekerheid 25 04/07/2006 KSZ-BCSS Netwerk van dienstenintegratoren mogelijke taken van een dienstenintegrator - beheer van een verwijzingsrepertorium • welke personen/ondernemingen hebben een (elektronisch) dossier in welke hoedanigheden bij welke instanties m.b.t. welke periode • welke informatie is beschikbaar bij een bepaalde instantie wanneer zij een dossier beheert m.b.t. een bepaalde persoon/onderneming in een bepaalde hoedanigheid - beheer van een repertorium van de instanties die automatisch (wijzigingen van) gegevens wensen te verkrijgen • welke instanties wensen welke gegevens automatisch te verkrijgen in welke situaties m.b.t. welke personen/ondernemingen in welke hoedanigheden Kruispuntbank van de Sociale Zekerheid 26 04/07/2006 KSZ-BCSS Naar een taakverdeling ? federale overheid, openbare instellingen van sociale zekerheid (OISZ) die stelsels of takken beheren, gewesten en gemeenschappen - klemtoon op gegevens- en dienstenlagen, met als resultaat businessdiensten bruikbaar door lokale besturen, meewerkende instellingen van sociale zekerheid en dienstverleners aan burgers en ondernemingen - desgewenst aanbod aan lokale besturen, meewerkende instellingen van sociale zekerheid en dienstverleners aan burgers en ondernemingen van standaardomgeving voor uitbouw toepassingsen presentatielaag lokale besturen, meewerkende instellingen van sociale zekerheid en dienstverleners aan burgers en ondernemingen - klemtoon op uitbouw toepassings- en presentatielaag - minimale omgeving voor • beheer van eigen persoonsgegevens • beheer van workflow • gebruik van diensten van de federale overheid, de OISZ die stelsels of takken beheren, de gewesten en de gemeenschappen Kruispuntbank van de Sociale Zekerheid 27 04/07/2006 KSZ-BCSS Enkele aangeboden basisdiensten gebruikers- en toegangsbeheer - begrippen opfrissing werking elektronische identiteitskaart (EID) policy enforcement model huidige situatie enkele evoluties ticketing en ontvangstmelding persoonlijke pagina’s customer relationship management (CRM) Kruispuntbank van de Sociale Zekerheid 28 04/07/2006 KSZ-BCSS Gebruikers/toegangsbeheer - begrippen entiteit: iemand die of iets dat moet kunnen worden geïdentificeerd, zoals een natuurlijk persoon, een onderneming, een vestiging van een onderneming, een machine of een toepassing attribuut: een deeltje informatie over een entiteit identiteit: een uniek nummer of een reeks attributen van een entiteit dat toelaat om eenduidig te weten wie de entiteit is; een entiteit heeft één en slechts één identiteit kenmerk: een attribuut van een entiteit, ander dan de attributen die de identiteit van de entiteit bepalen, zoals een hoedanigheid, een functie in een bepaalde organisatie, een beroepskwalificatie, ...; een entiteit kan verschillende kenmerken hebben Kruispuntbank van de Sociale Zekerheid 29 04/07/2006 KSZ-BCSS Gebruikers/toegangsbeheer - begrippen mandaat: een recht verstrekt door een geïdentificeerde entiteit aan een andere geïdentificeerde entiteit om in zijn naam en voor zijn rekening welbepaalde juridische handelingen te stellen registratie: het proces waarbij de identiteit, een kenmerk van een entiteit of een mandaat met een voldoende zekerheid wordt vastgesteld, vooraleer middelen ter beschikking worden gesteld aan de hand waarvan de identiteit, een kenmerk of een mandaat kunnen worden geauthentiseerd of geverifieerd Kruispuntbank van de Sociale Zekerheid 30 04/07/2006 KSZ-BCSS Gebruikers/toegangsbeheer - begrippen authenticatie van de identiteit: het proces waarbij wordt nagegaan of de identiteit die een entiteit beweert te hebben om gebruik te kunnen maken van een elektronische dienst, de juiste identiteit is; authenticatie van een identiteit kan geschieden op basis van een controle - van kennis (vb. een paswoord) - van een bezit (vb. een certificaat op een elektronisch leesbare kaart) - van biometrische eigenschappen - van een combinatie van één of meerdere van deze middelen Kruispuntbank van de Sociale Zekerheid 31 04/07/2006 KSZ-BCSS Gebruikers/toegangsbeheer - begrippen verificatie van een kenmerk of een mandaat: het proces waarbij wordt nagegaan of een kenmerk of een mandaat die een entiteit beweert te hebben om gebruik te kunnen maken van een elektronische dienst, effectief een kenmerk of een mandaat van deze entiteit is; verificatie van een kenmerk of een mandaat kan geschieden op basis van - dezelfde soort middelen als deze gebruikt voor de authenticatie van de identiteit - na authenticatie van de identiteit van een entiteit, door de raadpleging van een gegevensbank waarin kenmerken of mandaten m.b.t. een geïdentificeerde entiteit worden opgeslagen Kruispuntbank van de Sociale Zekerheid 32 04/07/2006 KSZ-BCSS Gebruikers/toegangsbeheer - begrippen autorisatie: een toelating voor een entiteit om een welbepaalde actie te verrichten of een welbepaalde dienst te gebruiken autorisatiegroep: een groep van autorisaties rol: een groep van autorisaties of autorisatiegroepen gerelateerd aan een welbepaalde dienst role based access control (RBAC): een methode waarbij de toewijzing van autorisaties aan entiteiten geschiedt via autorisatiegroepen en rollen, om het beheer van de autorisaties en de toewijzing ervan aan entiteiten administratief te vereenvoudigen Entiteit Kruispuntbank van de Sociale Zekerheid Autorisatie (groep) Rol 33 Dienst 04/07/2006 KSZ-BCSS Elektronische identiteitskaart Kruispuntbank van de Sociale Zekerheid 34 04/07/2006 KSZ-BCSS Elektronische identiteitskaart (EID) weerhouden functies - visuele en elektronische identificatie van de houder - elektronische authenticatie van de identiteit van de houder d.m.v. techniek van digitale handtekening - plaatsen van elektronische handtekening d.m.v. techniek van digitale handtekening geen opslag van andere elektronische gegevens, maar bevorderen van gecontroleerde toegang tot gegevens via netwerken, met elektronische identiteitskaart als toegangsinstrument - vermijden van perceptie van kaart als ‘big brother’ - vermijden van verlies van veel gegevens bij verlies van de kaart - vermijden van nood tot veelvuldige updating van de kaart Kruispuntbank van de Sociale Zekerheid 35 04/07/2006 CA CA publieke sleutel publieke sleutel digitale handtekening Kruispuntbank van de Sociale Zekerheid 36 04/07/2006 KSZ-BCSS EID – enkele begrippen authenticatiecertificaat: authenticatie van identiteit – gebruik vereist ingave van paswoord, eenmaal per sessie handtekeningcertificaat: plaatsen van juridisch geldige elektronische handtekening – gebruik vereist ingave van paswoord telkens een elektronische handtekening wordt geplaatst gemeenten vervullen de functie van registratieautoriteit (RA): ‘loket' waar certificaat wordt aangevraagd en dat nagaat of opgegeven identiteit juist is; zo ja, keurt ze aanvraag goed, en meldt dit aan certificatie-autoriteit Kruispuntbank van de Sociale Zekerheid 37 04/07/2006 KSZ-BCSS EID – enkele begrippen Certipost vervult de functie van certificatie-autoriteit (CA): produceert op basis van de informatie die ze van de RA heeft verkregen een certificaat, dat ze verbindt met een sleutelpaar en dat aangeeft wat dat sleutelpaar voortaan bewijst, en beheert dat certificaat Kruispuntbank van de Sociale Zekerheid 38 04/07/2006 KSZ-BCSS EID 1. Compose message 2. Compute hash 3. Generate signature 4. Collect signature 6 5. Collect certificate 6. Send message 7 1 hash 1 6 hash 2 8 2 5 4 3, 4 3 Alice Bob 5 Matching triplet? 1. Receive message 3. Check CRL/OCSP 5. Fetch public key 7. Compute reference hash 2. Inspect certificate 4. Check certificate 6. Fetch signature 8. Hash, signature, public key match? Kruispuntbank van de Sociale Zekerheid 39 04/07/2006 KSZ-BCSS EID EID - elektronische identificatie en authenticatie van de identiteit van de natuurlijke personen ouder dan 12 jaar die zijn ingeschreven in de bevolkingsregisters - elektronische handtekening van die personen nog nood aan een oplossing voor de elektronische identificatie en de authenticatie van de identiteit van de personen - jonger dan 12 jaar - die niet in de bevolkingsregisters ingeschreven zijn aanvullingen zijn ook nodig voor een volledig, geïntegreerd gebruikersbeheer, bvb. - verificatie van relevante kenmerken (vb. geneesheer, notaris, …) van een natuurlijke persoon - verificatie van een mandaat tussen een rechtspersoon of natuurlijke persoon waarop een elektronische dienst betrekking heeft en de persoon die deze dienst gebruikt - autorisaties tot het gebruik van de diensten Kruispuntbank van de Sociale Zekerheid 40 04/07/2006 KSZ-BCSS Policy Enforcement Model Actie op toepassing GEWEIGERD Gebruiker Actie op toepassing Ophalen Policies Actie op toepassing TOEGESTAAN Policy Toepassing (PEP ) Beslissings aanvraag Toepassing Beslissings antwoord Policy Beslissing (PDP ) Informatie Vraag / Antwoord Informatie Vraag / Antwoord Autorisatie beheer Policy Administratie (PAP ) Policy Informatie (PIP ) Policy Informatie (PIP ) Policy Authentieke bron Authentieke bron Beheerder repository Kruispuntbank van de Sociale Zekerheid 41 04/07/2006 KSZ-BCSS Policy Enforcement Point (PEP) onderscheppen van de autorisatieaanvraag met alle beschikbare informatie inzake de gebruiker, de gevraagde actie, de resources en de omgeving de autorisatieaanvraag doorsturen naar het Policy Decision Point (PDP) en een autorisatiebeslissing afdwingen toegang verlenen tot de toepassing en relevante credentials meegeven Actie op toepassing GEWEIGERD Gebruiker Actie op toepassing Policy Toepassing (PEP) Actie op toepassing TOEGESTAAN Toepassing Beslissings Beslissings aanvraag antwoord Policy Beslissing (PDP) Kruispuntbank van de Sociale Zekerheid 42 04/07/2006 KSZ-BCSS Policy Decision Point (PDP) op basis van de ontvangen autorisatieaanvraag de passende autorisation policy opzoeken in de Policy Administration Point(s) (PAP) de policy evalueren en, zo nodig, de relevante informatie ophalen uit de Policy Information Point(s) (PIP) de autorisatiebeslissing (permit/deny/not applicable) nemen en doorsturen naar het PEP Policy Toepassing (PEP ) Beslissings Beslissings aanvraag antwoord Ophalen Policies Policy Beslissing (PDP ) Informatie Vraag / Antwoord Informatie Vraag / Antwoord Policy Administratie (PAP ) Kruispuntbank van de Sociale Zekerheid Policy Informatie (PIP) 43 Policy Informatie (PIP) 04/07/2006 KSZ-BCSS Policy Administration Point (PAP) omgeving voor het bewaren en beheren van de autorisation policies door de bevoegde perso(o)n(en) aangeduid door de verantwoordelijke voor de toepassing ter beschikking stellen van de autorisation policies aan het PDP Autorisatie beheer PAP Ophalen Policies PDP Beheerder Policy repository Kruispuntbank van de Sociale Zekerheid 44 04/07/2006 KSZ-BCSS Policy Information Point (PIP) ter beschikking stellen aan het PDP van informatie voor het beoordelen van de autorisation policies (authentieke bronnen met kenmerken, mandaten, …) Kruispuntbank van de Sociale Zekerheid Informatie Vraag/ Antwoord PDP Informatie Vraag/ Antwoord 45 PIP 1 PIP 2 Authentieke bron Authentieke bron 04/07/2006 KSZ-BCSS Principe van "cirkels van vertrouwen" doel - vermijden van onnodige centralisatie - vermijden van onnodige bedreigingen voor de bescherming van de persoonlijke levenssfeer - vermijden van meervoudige identieke controles en opslag van loggings methode: taakverdeling tussen de bij elektronische dienstverlening betrokken instanties met duidelijke afspraken inzake - wie welke authenticaties, verificaties en controles verricht aan de hand van welke middelen en daarvoor verantwoordelijk en aansprakelijk is - hoe tussen de betrokken instanties de resultaten van de verrichte authenticaties, verificaties en controles op een veilige wijze elektronisch worden uitgewisseld - wie welke loggings bijhoudt - hoe ervoor wordt gezorgd dat bij onderzoek, op eigen initiatief van een controle-orgaan of n.a.v. klacht, een volledige tracing kan geschieden van welke natuurlijke persoon welke dienst of transactie m.b.t. welke burger of onderneming wanneer, via welk kanaal en voor welke doeleinden heeft gebruikt Kruispuntbank van de Sociale Zekerheid 46 04/07/2006 KSZ-BCSS Huidige situatie – algemene principes er wordt een onderscheid gemaakt tussen 4 doelgroepen - burgers medewerkers van de instellingen van sociale zekerheid (ISZ) ondernemingen andere actoren betrokken bij de sociale sector de beschikbare informatie en transacties zijn ingedeeld op basis van een risico-analyse, en de vereiste procedures van registratie en authenticatie van de identiteit zijn afhankelijk van het vereiste niveau van veiligheid - 5 niveaus voor burgers en medewerkers van de instellingen van sociale zekerheid - 4 niveaus voor ondernemingen (geen apart niveau met gebruik van tokens) Kruispuntbank van de Sociale Zekerheid 47 04/07/2006 KSZ-BCSS Huidige situatie burgers een burger krijgt op heden enkel toegang tot - openbare informatie en transacties - niet-openbare transacties m.b.t. zichzelf dus enkel nood aan - registratie van de identiteit - authenticatie van de identiteit op een niveau aangepast aan de graad van gevoeligheid van de transactie (vooralsnog) geen - verificatie van kenmerken - verificatie van mandaten - beheer van autorisaties Kruispuntbank van de Sociale Zekerheid 48 04/07/2006 KSZ-BCSS Huidige situatie burgers Niv Registratie identiteit Authenticatie identiteit Toepassingen 0 geen geen openbare info/transacties 1 online door ingave Rijksregisternummer, nummer identiteitskaart en nummer SIS-kaart gebruikersnummer en paswoord gekozen door gebruiker info/transacties van lage gevoeligheid logging 2 niveau 1 + verzending e-mail met activerings-url naar door burger opgegeven e-mailadres en verzending papieren token naar hoofdverblijfplaats burger in Rijksregister niveau 1 + ingave van 1 aleatoir gevraagde string vermeld op het token (bevat 24 strings) info/transacties van gemiddelde gevoeligheid logging 3 fysieke aanmelding bij de gemeente voor verwerving EID authenticatie-certificaat op EID + paswoord per sessie info/transacties van hoge gevoeligheid logging 4 fysieke aanmelding bij de gemeente voor verwerving EID authenticatie-certificaat op EID + handtekeningcertificaat op EID + paswoord per transactie transacties die elektronische handtekening vereisen Kruispuntbank van de Sociale Zekerheid 49 04/07/2006 KSZ-BCSS Token Kruispuntbank van de Sociale Zekerheid 50 04/07/2006 KSZ-BCSS Huidige situatie medewerkers ISZ registratie en authenticatie van de identiteit - idem als voor burgers - bij niveau 2 wordt het token evenwel opgestuurd naar de veiligheidsconsulent van de instelling van sociale zekerheid waarvan de betrokkene een medewerker is en door die veiligheidsconsulent aan de medewerker overhandigd registratie kenmerk van medewerker van een instelling van sociale zekerheid - ingave door de veiligheidsconsulent van de betrokken instelling van sociale zekerheid in een PIP bij FEDICT (in de toekomst in de sociale sector) Kruispuntbank van de Sociale Zekerheid 51 04/07/2006 KSZ-BCSS Huidige situatie medewerkers ISZ verificatie kenmerk van medewerker van een instelling van sociale zekerheid - raadpleging PIP bij FEDICT (in de toekomst in de sociale sector) - indien gebruik van token, ook aleatoir gevraagde string vermeld op het token registratie autorisatie - ingave door de veiligheidsconsulent van de betrokken instelling van sociale zekerheid in de PAP bij SmalS-MvM (voor portaal) of bij de KSZ (voor diensten aangeboden door de KSZ) (in de toekomst integratie van beide PAP’s) verificatie autorisatie - raadpleging van autorisatie in PAP bij SmalS-MvM of bij de KSZ op basis van de informatie die na de raadpleging van de PIP wordt doorgegeven Kruispuntbank van de Sociale Zekerheid 52 04/07/2006 KSZ-BCSS Registratie registratie medewerker instelling sociale zekerheid (PIP FEDICT) agency department RJV Sociale zekerheid Min van Financiiën RJV vakantiekas 1 registratie autorisatie (PAP’s SmalS-MvM en KSZ) RJV vakantiekas 2 RJV vakantiekas 3 NIC KSZ NIC RJV vakantiekas 1 Kruispuntbank van de Sociale Zekerheid vakantiekas 2 53 Min van Financiën vakantiekas 3 04/07/2006 KSZ-BCSS Huidige situatie ondernemingen Niv Registratie identiteit Authenticatie identiteit Toepassingen 0 geen geen openbare info/transacties 1 lokale beheerder: brief vanwege de onderneming waarvoor de betrokkene als lokale beheerder optreedt andere medewerkers: validatie door de lokale beheerder gebruikersnummer en paswoord info/transacties van lage gevoeligheid logging 2 fysieke aanmelding bij de gemeente voor verwerving EID authenticatie-certificaat op EID + paswoord per sessie info/transacties van hoge gevoeligheid logging 3 fysieke aanmelding bij de gemeente voor verwerving EID authenticatie-certificaat op EID + handtekeningcertificaat op EID + paswoord per transactie transacties die elektronische handtekening vereisen Kruispuntbank van de Sociale Zekerheid 54 04/07/2006 KSZ-BCSS Huidige situatie ondernemingen registratie mandaat en autorisatie om namens een onderneming/dienstverlener info/transacties te gebruiken - ingave door RSZ in eigen PIP van • mandaat van een lokale beheerder van een onderneming om in naam en voor rekening van een onderneming gebruik te maken van beveiligde info/transacties • mandaat van dienstverlener (erkend sociaal secretariaat of andere dienstverlener) om in naam en voor rekening van een onderneming gebruik te maken van beveiligde info/transacties • mandaat van een lokale beheerder van een dienstverlener om in naam en voor rekening van een dienstverlener gebruik te maken van beveiligde info/transacties - ingave door de lokale beheerder van een onderneming/dienstverlener in PIP van RSZ van • mandaat van andere aangestelden van een onderneming/dienstverlener om in naam of voor rekening van een onderneming/dienstverlener gebruik te maken van alle of bepaalde beveiligde info/transacties Kruispuntbank van de Sociale Zekerheid 55 04/07/2006 KSZ-BCSS Huidige situatie ondernemingen de onderneming wordt vertegenwoordigd door een natuurlijk persoon, de lokale beheerder, waarvan zij de identiteit schriftelijk meedeelt aan de RSZ Onderneming de RSZ kent aan de lokale beheerder een gebruikersnummer en paswoord toe de lokale beheerder - heeft zelf toegang tot alle beveiligde toepassingen, naargelang het beveiligingsniveau, met het gebruikersnummer en paswoord of de EID als middel voor de authenticatie van zijn identiteit - kan gebruikersnummers en paswoorden toekennen aan andere gebruikers binnen de onderneming om hun identiteit te authentiseren bij het gebruik van laag beveiligde info/transacties - kan autorisaties inbrengen voor andere gebruikers binnen de onderneming Lokale beheerder de lokale beheerder moet een persoon zijn waarvoor de onderneming uiteindelijk verantwoordelijk is en die onder het rechtstreeks gezag staat van de onderneming - dus wel: een werknemer, de zaakvoerder, een bestuurder, ... Gebruikers - maar niet: een externe boekhouder, … Alleen eigen gegevens Kruispuntbank van de Sociale Zekerheid 56 04/07/2006 KSZ-BCSS Huidige situatie ondernemingen een onderneming kan via een ondertekend mandaat overgemaakt aan de RSZ een dienstverlener aanduiden, die voor haar rekening de beveiligde toepassingen mag gebruiken de onderneming blijft de verantwoordelijke voor de verwerking in de zin van de Wet Verwerking Persoonsgegevens; de dienstverlener is een verwerker in de zin van die wet tussen de onderneming en de dienstverlener moet dus een overeenkomst bestaan, die voldoet aan de eisen van artikel 16 Wet Verwerking Persoonsgegevens (zorgvuldige keuze, toezicht, bepalen van de voorwaarden en van de aansprakelijkheid, ...) de dienstverlener kan een rechtspersoon (bvb. een sociaal secretariaat) of natuurlijk persoon (bvb. een boekhouder) zijn Kruispuntbank van de Sociale Zekerheid 57 04/07/2006 KSZ-BCSS Dienstverleners van ondernemingen Onderneming Lastgeving (RSZ-repertorium) Sociaal secretariaat Alleen gegevens van ondernemingen aangesloten bij het betrokken sociaal secretariaat Lokale beheerder Gebruikers Kruispuntbank van de Sociale Zekerheid 58 04/07/2006 KSZ-BCSS Dienstverleners van ondernemingen Onderneming Contractuele band (RSZ-repertorium) Dienstverlener Rechtspersoon Natuurlijk persoon = Alleen gegevens van ondernemingen waarvoor de contractuele band geregistreerd werd Lokale beheerder Gebruikers Kruispuntbank van de Sociale Zekerheid 59 04/07/2006 KSZ-BCSS Veiligheidsniveaus ondernemingen zie gebruikersreglement goedgekeurd door Beheerscomité KSZ niveau 0: openbare transacteis, bvb. - niveau 1: enkel toegankelijk mits ingave gebruikersnummer en paswoord of EID, bvb. - DIMONA via het portaal en de vocale server detacheringsaanvragen werkmelding raadpleging werkgeversrepertorium raadpleging inhoudingsplicht en hoofdelijke aansprakelijkheid bouwsector raadpleging van de E-box raadpleging van het personeelsbestand kwartaalaangifte en het doorsturen van voorstellen tot wijziging ervan via het portaal aangifte van sociale risico’s via het portaal niveau 2 enkel toegankelijk mits EID - raadpleging en de wijziging van de kwartaalaangifte via het portaal alle toepassingen via file transfer • • • • DIMONA kwartaalaangifte en (voorstellen tot) wijzigingen ervan aangiften sociale risico’s aanvragen tot detachering (Gotot) Kruispuntbank van de Sociale Zekerheid 60 04/07/2006 KSZ-BCSS Huidige situatie – andere actoren sociale sector bvb. gemeenten, OCMW’s, notarissen, gerechtsdeurwaarders, … toegang via het extranet - gebruik van gebruikers- en toegangsbeheer van de medewerkers van de instellingen van sociale zekerheid toegang via het internet - voorlopig gebruik van het gebruikers- en toegangsbeheer van de ondernemingen - vanaf vierde kwartaal 2006: gebruik van het gebruikers- en toegangsbeheer van de medewerkers van de instellingen van sociale zekerheid, indien mogelijk met externe PIP’s Kruispuntbank van de Sociale Zekerheid 61 04/07/2006 KSZ-BCSS Welk beveiligingsniveau kiezen ? beslissing komt primair toe aan degene die de elektronische dienst of transactie ter beschikking stelt, onder controle van het Beheerscomité van de KSZ (gebruikersreglement) en het sectoraal comité van de sociale zekerheid in aanmerking te nemen criteria - soort verwerking: mededeling, raadpleging, wijziging, … - personeel toepassingsgebied van de transactie: verwerking van de sociale gegevens van enkel de gebruiker of ook van andere personen - vertrouwelijkheidsgraad van de soorten verwerkte gegevens - homogeniteit van het veiligheidsniveau per gebruikerscategorie - impact van de verwerking op het netwerk van de sociale zekerheid bovenop het gewenste beveiligingsniveau kan het gebruik van de elektronische handtekening ook worden vereist om de instelling tegen elke latere betwisting te behoeden Kruispuntbank van de Sociale Zekerheid 62 04/07/2006 KSZ-BCSS Enkele gewenste evoluties systematische toepassing van het policy enforcement model uitbouw van PIP m.b.t. kenmerk van medewerker van een instelling van sociale zekerheid binnen sociale sector mogelijkheid tot gebruik van externe PAP’s en PIP’s voor bvb. - zorgverstrekkers - medewerkers van het gerecht (bvb. notarissen, gerechtsdeurwaarders, …) - medewerkers van gemeenten - … Kruispuntbank van de Sociale Zekerheid 63 04/07/2006 KSZ-BCSS Enkele gewenste evoluties systematisch aanbod van eigen ontwikkelde PAP’s en PIP’s voor gebruik door derden, bvb. - medewerkende instellingen van sociale zekerheid - FOD’s en POD’s goede coördinatie van PAP’s en PIP’s met consequente toepassing van het policy enforcement model tussen - federale overheid sociale sector gewesten en gemeenschappen provinciale en lokale besturen … Kruispuntbank van de Sociale Zekerheid 64 04/07/2006 KSZ-BCSS Ticketing en ontvangstmelding elke transactie krijgt een uniek nummer of ticket de toekenning van het ticket bewijst aan de gebruiker dat de transactie werd geregisteerd het ticket wordt gebruikt om de transactie uniek te identificeren - in de ontvangstmelding naar de gebruiker, bvb. voor verwijzing in geval van problemen - in de logging - bij een eventueel beroep op het contact center Kruispuntbank van de Sociale Zekerheid 65 04/07/2006 KSZ-BCSS E-box en persoonlijke pagina’s wat ? - beveiligde ruimte om documenten elektronisch en veilig ter beschikking te stellen van een gebruiker - gekoppeld aan de mogelijkheid om een mail te versturen naar de gebruikers met de vermelding dat een document ter beschikking is, met een opname van de url in de mail (push) - documenten kunnen worden ter beschikking gesteld • ofwel door een portaaltransactie • ofwel door een instelling van sociale zekerheid, via de KSZ indien nodig hoe toegankelijk ? - wordt automatisch gecreëerd voor elke gebruiker - toegankelijk via het portaal van de sociale zekerheid - met gebruik van systeem van gebruikers- en toegangsbeheer Kruispuntbank van de Sociale Zekerheid 66 04/07/2006 KSZ-BCSS E-box en persoonlijke pagina’s huidige situatie - E-box voor de ondernemingen • één E-box per onderneming • gebruikers- en toegangsbeheer van ondernemingen • lokale beheerder beheert toegangen, met mogelijkheid tot selectiviteit in functie van de toepassing die het document aanmaakt - persoonlijke pagina voor de medewerkers van de sociale zekerheid • één persoonlijke pagina per medewerker van een instelling van sociale zekerheid en één persoonlijke pagina per instelling • gebruikers- en toegangsbeheer van de medewerkers van de instelingen van sociale zekerheid • elke medewerker heeft toegang tot alle documenten op zijn persoonlijke pagina • elke medewerker heeft toegang tot de soorten documenten op de persoonlijke pagina van zijn instelling waartoe de veiligheidsconsulent van de instelling hem toegang verleent Kruispuntbank van de Sociale Zekerheid 67 04/07/2006 KSZ-BCSS E-box en persoonlijke pagina’s huidige situatie - persoonlijke pagina voor de burger • één persoonlijke pagina per burger • gebruikers- en toegangsbeheer van de burgers • elke burger heeft toegang tot alle documenten op zijn persoonlijke pagina • nog niet gebruikt in productie Kruispuntbank van de Sociale Zekerheid 68 04/07/2006 KSZ-BCSS Logging wat ? - bewaren • welke persoon of toepassing, geïdentificeerd aan de hand van een uniek identificatienummer • wanneer (datum en tijd) • over wie, geïdentificeerd aan de hand van het identificatienummer van de sociale zekerheid, het KBO-nummer of het RSZ-nummer • welk bericht of welke transactie geïdentificeerd aan de hand van het uniek ticketnummer heeft gebruikt • welke bewerking werd uitgevoerd (aanmaak, raadpleging, wijziging, lijst, …) • met welk resultaat (OK, NOK) • geen logging van de inhoudelijk uitgewisselde gegevens !!! de relevantie van de inhoud van de loggings behoort steeds tot de verantwoordelijkheid van de eigenaar van de toepassing in overeenstemming met de policy uitgewerkt in het Algemeen Coördinatiecomité Kruispuntbank van de Sociale Zekerheid 69 04/07/2006 KSZ-BCSS Logging en cirkels van vertrouwen LOG LOG B A LOG BEHEER DOOR B LOG BEHEER DOOR A C LOG LOG BEHEER DOOR C D LOG BEHEER DOOR B Vertrouwensinstelling A LOG Vertrouwensinstelling B VOLLEDIGE LOGGIN = A + B + C / D Kruispuntbank van de Sociale Zekerheid LOG BEHEER DOOR D 70 Vertrouwensinstelling C&D 04/07/2006 KSZ-BCSS Logging – stand van implementatie basiscomponent SecurityLog - implementatie in de front-end van de toepassing of van een andere basisdienst op het portaal van de sociale zekerheid - reeds gebruikt voor alle toepassingen op het portaal van de sociale zekerheid die gebruikt worden door de medewerkers van de instellingen van sociale zekerheid IRIS-toepassing - beschikbaar op het portaal van sociale zekerheid - raadpleging van loggings van alle portaaltoepassingen en de GDAUT-transacties die gebruikt worden door de medewerkers van de instellingen van sociale zekerheid door (elk voor de gebruikers waarop zij toezicht uitoefenen) • de veiligheidsconsulenten van de instellingen uit het primaire netwerk van de KSZ • de verantwoordelijken van de sociale inspectiediensten, in het kader van beraadslaging 04/032 van het Sectoraal Comité - met de EID als authenticatiemiddel van de identiteit van de gebruiker Kruispuntbank van de Sociale Zekerheid 71 04/07/2006 KSZ-BCSS IRIS-toepassing Toepassing Web, SEBA. et Webservice Portaal Log NATREG, RIP, WREP, DUC,... Toepassing op Siemens Systeem Toepassing op Stratus Systeem Toepassing C/S Tuxedo Diensten Toepassing SP 11 (Lotus Notes) Diensten Log LATG, DMFA Log toegang DB ATCE et ADABAS) Log RKW, FAO, RIP,... Log Dimona (vragen TP + Lotus notes) Dagelijkse Hergroepering (DMFA wekelijks) Toegang toepassing IRIS via UMAF Samensmelting + verwerking en invoer (SAS) Process voorbereiding Web toepassing. (SAS) Gegevens, gebruikers, toepassingen, instellingen, logging. Process creatie CD-ROM webtoepassing IRIS Kruispuntbank van de Sociale Zekerheid Portail SZ 72 04/07/2006 KSZ-BCSS Customer relationship management geïntegreerd beheer van de relatie met de gebruiker over de kanalen en diensten heen gekoppeld aan gebruikers- en toegangsbeheer, basis voor een personalisatie of doelgroepbenadering en gebruik van push-mechanismen levert feedback voor de permanente verbetering van de dienstverlening Kruispuntbank van de Sociale Zekerheid 73 04/07/2006 KSZ-BCSS Status questionis mandaten mandaten voor de ondernemingen worden geregeld door gebruikersreglement mandaten voor burgers: beraadslaging nr. 95/58 van 24 oktober 1995 van het Toezichtscomité bepaalt onder welke voorwaarden een lasthebber de sociale persoonsgegevens van een natuurlijke persoon– lastgever mag meegedeeld krijgen Kruispuntbank van de Sociale Zekerheid 74 04/07/2006 KSZ-BCSS Beraadslaging nr. 95/58 mededeling is toegelaten aan lasthebber die - beschikt die over een schriftelijke lastgeving die vermeldt • • • • de identificatiegegevens van de lastgever en lasthebber de handtekening van de lastgever de soorten sociale persoonsgegevens die de lasthebber mag verkrijgen de doeleinden waarvoor deze gegevens door de lasthebber mogen worden verwerkt • de duur van de lastgeving - beschikt over een stilzwijgende lastgeving volgens de volgende voorwaarden • de lasthebber is een belangenvereniging waarvan de lastgever lid is of waarbij de lastgever aangesloten is, bvb. een vakbond, een ziekenfonds, een vereniging van gepensioneerden, een organisatie van zelfstandigen, een vereniging van gehandicapte personen, … • de lastgever levert het bewijs van lidmaatschap of aansluiting aan de hand van objectieve feiten, bvb. door vermelding van het aansluitingsnummer van de lastgever of andere elementen Kruispuntbank van de Sociale Zekerheid 75 04/07/2006 KSZ-BCSS Evolutie ? verenigingen die krachtens een stilzwijgende lasthebber willen optreden nemen leden of aangeslotenen op in een PIP PIP van leden of aangeslotenen voldoet aan voorwaarden om aanvaard te worden binnen het systeem van de cirkels van vertrouwen gebruikte transacties worden gelogd er wordt nagegaan of de beraadslaging nr. 95/58 moet worden aangepast Kruispuntbank van de Sociale Zekerheid 76 04/07/2006 KSZ-BCSS Voor meer informatie portaal van de sociale zekerheid - https://www.socialsecurity.be websites over elektronische identiteitskaart - http://eid.belgium.be - http://www.cardreaders.be/en/default.htm website Kruispuntbank van de Sociale Zekerheid - http://www.ksz.fgov.be persoonlijke website Frank Robben - http://www.law.kuleuven.ac.be/icri/frobben Kruispuntbank van de Sociale Zekerheid 77 04/07/2006 D@nk u ! Vragen ? Kruispuntbank van de Sociale Zekerheid 78 04/07/2006
