4.9 KiB
4.9 KiB
Deze tekst is gebaseerd op:
- Eisen aan ICT oplossingen uit de Architectuurprincipes Humankind
- Ubeoo ATS vendor selection Humankind
- Risicoanalyse Humankind
- Checklists Gerardus Blokdyk
Basislijst Eisen en Wensen ICT oplossingen
Beheer De Basislijst Eisen en Wensen ICT oplossingen wordt beheerd door het Architectuurboard. Wijzigingen moeten worden vastgesteld in het Directieteam, op basis van een Risicoanalyse volgens een daarvoor (nog op te stellen) vastgestelde procedure en een DPIA (indien noodzakelijk – te bepalen door het Privacyteam).
De eisen en wensen aan een ICT oplossing zijn afhankelijk van de soorten informatie die met het systeem moeten worden verwerkt. Dit is geclassificeerd in de (nog op te stellen) Data classificatie matrix.
Bepaald moet worden welke punten gelden als knock-out criteria.
Van deze lijst mag alleen afgeweken worden onder de voorwaarden die beschreven zijn in de procedure Specificatie van eisen en wensen.
Algemene eisen en wensen
- Oplossingen moeten bijdragen aan de efficiëntie en effectiviteit van ondersteunende IT processen.
- De gegevens en informatie over klanten moeten beter beveiligd worden.
- Oplossingen moeten bijdragen aan het ondersteunen van de kindontwikkeling.
- Koppelingen tussen systemen worden beperkt tot alleen de noodzakelijke gegevensuitwisselingen.
- Koppelingen tussen gegevensverwerkende systemen verlopen via één contactpunt (dataplatform).
- Onpersoonlijke accounts worden alleen toegestaan indien strikt noodzakelijk en zijn onderwerp van streng beleid (nader te bepalen).
- Leveranciers moeten het gebruik van persoonlijke accounts voor elke gebruiker ondersteunen en strikte beleidsregels implementeren voor niet-persoonlijke accounts.
- Leveranciers moeten ervoor zorgen dat hun oplossingen voldoen aan de Nederlandse wet- en regelgeving, inclusief beveiligings- en privacywetten.
- Persoonsgegevens worden opgeslagen en verwerkt in een gebied dat valt onder jurisdictie van de EU.
- Bij opslag en verwerking wordt het principe van minimalisatie toegepast.
- Voor het functioneel beheer van het systeem is geen programmeerkennis nodig.
- Het systeem beschikt over een online kennisbank (bijvoorbeeld in de vorm van een wiki, instructievideo’s of online handleidingen) zowel voor de inrichting als het gebruik van het systeem. De content is gebruiksvriendelijk samengesteld en vereist weinig kennis van het systeem om te begrijpen door gebruikers.
Technische eisen en wensen
- Alle gegevensverkeer tussen (andere systemen in gebruik bij) Humankind en de systemen van de leverancier wordt versleuteld (methode en key-length nader bepalen).
- De oplossing moet gekoppeld kunnen worden aan Single-Sign-on van Microsoft.
- De oplossing moet Multi-factor autenticatie (MFA) via Microsoft EntraID ondersteunen.
- Logboeken worden bijgehouden voor traceerbaarheid.
- De oplossing zoals geleverd mag geen maatwerk bevatten specifiek voor Humankind.
- De oplossing zoals geleverd moet in gebruik zijn bij meerdere organisaties.
- De oplossing wordt via het web binnen een browser aangeboden en moet toegankelijk zijn van buiten de locaties van Humankind.
- De oplossing moet gebaseerd zijn op schaalbare dienstverlening, waarbij horizontale schaalbaarheid eenvoudig te realiseren moet zijn.
- Beheers- en toegangsrechten moeten geconfigureerd worden op basis van door Humankind te definiëren rollen (RBAC), waarbij het 'least privilege' principe kan worden gevolgd.
- Alle toegangssleutels worden in versleutelde vorm opgeslagen.
- Alle data wordt in versleutelde vorm opgeslagen.
- Het systeem biedt gedocumenteerde API's om additionele koppelingen te kunnen bouwen.
- API's zijn beveiligd met een authenticatie mechanisme, encryptie en data validation.
- Het systeem biedt een standaard sourcing extensie voor de belangrijkste browsers.
- Het systeem voorziet in een testomgeving (sandbox) om nieuwe features te testen en te trainen.
- Het systeem voldoet aan alle Nederlandse wet- en regelgeving op het gebied van gegevensbescherming en -beveiliging.
- Het systeem biedt voorzieningen om persoonsgegevens automatisch te verwijderen of te anonimiseren op basis van een in te stellen retentietermijn.
- Het systeem is beveiligd tegen de meest voorkomende kwetsbaarheden voor web applicaties zoals geïdentificeerd in de courante versie van de OWASP Top 10