Veiligheid

Een gemeente die OpenRegelingen gebruikt, verwerkt er gegevens in over inwoners die tot de gevoeligste van de publieke dienstverlening horen: wie recht heeft op welke regeling, welk bedrag daarbij hoort en waaraan het is besteed. De beveiliging van het platform is op die positie ingericht.

De inrichting volgt drie normenkaders tegelijk: ISO 27001 als internationale norm voor informatiebeveiliging, de Baseline Informatiebeveiliging Overheid (BIO2) waaraan gemeenten zelf gebonden zijn, en de eisen die gelden voor een DigiD-aansluiting, die de richtlijnen van het Nationaal Cyber Security Centrum volgen. Gemeentewinkel is daarnaast als organisatie gecertificeerd voor ISO 27001 en ISO 9001. Zie 'Normen en certificeringen'.

Die inrichting wordt van buitenaf getoetst. Het platform wordt periodiek gepentest, en de DigiD-aansluiting ondergaat jaarlijks een audit. Een bevinding uit zo'n toets leidt tot een aanpassing in het platform, die daarmee bij alle aangesloten gemeenten terechtkomt.

Toegang is het tweede deel van het verhaal. Inwoners identificeren zich met DigiD; medewerkers en aanbieders loggen op een andere manier in, en wat een medewerker mag zien en doen wordt bepaald door de rollen die de gemeente zelf samenstelt. De beheeromgeving kan daarbovenop worden beperkt tot vaste IP-adressen. Zie 'Inloggen met DigiD' en 'Rollen en rechten' in Toegang, rollen en rechten.

Wat er in het platform gebeurt, wordt vastgelegd: handelingen van medewerkers, geautomatiseerde verwerkingen en de gebeurtenissen rond een geldbeweging. Daardoor is achteraf te herleiden hoe een besluit of een bedrag tot stand is gekomen. Zie 'Vastlegging van handelingen' in Toegang, rollen en rechten.

De gegevens staan binnen de Europese Economische Ruimte, bij een dienstverlener die onder Europese jurisdictie valt, en er zijn afspraken over beschikbaarheid, hersteltijd en back-ups. Zie 'Locatie van de gegevens' en 'Beschikbaarheid, herstel en back-ups'.