Bijlage 3 - Quality Assurance Acceptatiecriteria.pdf

Quality Assurance Acceptatiecriteria Versie

1.2

Maart 2024

1

Wat is Quality Assurance?

Quality Assurance (of ‘kwaliteitsborging’) is het vakgebied dat zorgt dat er wordt voldaan aan een set aan wetten, regels en normen rondom informatievoorziening. Dit zorgt ervoor dat we voldoen aan Europese, landelijke én Amsterdamse wet- & regelgeving. En er wordt zoveel mogelijk voldaan aan eisen en verwachtingen van gebruikers door veilige & verantwoorde inzet van applicaties, systemen, diensten, processen en procedures. Wat? Quality Assurance Acceptatiecriteria geven vooraf inzicht waar een stuk werk (bv. Epic, Feature, project, initiatief, proces, applicatie, …) aan moet voldoen voordat het ‘af’ is en in productie kan worden genomen. Door middel van een aantal Ja / Nee vragen krijg je inzicht welke onderdelen van Quality Assurance voor jouw situatie relevant zijn. En je krijgt antwoord op wat de vervolgstappen zijn. Hoe? Door de acceptatiecriteria zo specifiek mogelijk te beschrijven, weet het team goed aan welke richtlijnen ze moeten voldoen. Voordat het werk opgeleverd kan worden, dient men te voldoen aan de acceptatiecriteria. Een groot deel kun je zelf al bepalen, zodat het verdiepende gesprek met bijvoorbeeld Architecten, Privacy Officers, Information Security Officers of Informatiebeheer experts efficiënter en effectiever verloopt.

Daardoor ben jij eerder geholpen, loopt het proces efficiënter en zijn de gegevens van burger, ondernemer en bezoeker altijd beschikbaar, betrouwbaar en zo veilig mogelijk. Omdat acceptatiecriteria per situatie verschillen, zal voor elk stuk werk bepaald moeten worden welke acceptatiecriteria benodigd zijn.

2

2

Positionering van de Quality Assurance Acceptatiecriteria binnen het OWW proces Onderstaande is een visuele samenvatting van het Opgavegericht en Wendbaar Werken (OWW) proces. De visualisatie laat zien hoe de Quality Assurance Acceptatiecriteria binnen het OWW proces vallen. De acceptatiecriteria helpen bij het vaststellen van de specifieke criteria waaraan het werk moet voldoen voordat het in productie kan worden genomen. En helpen om het werk beter te plannen doordat in de Definition of Ready al bekend is waar aan voldaan moet worden.

3

4

3

Acceptatiecriteria

#

Vraag

Ja / Nee

Acceptatiecriteria1

Korte toelichting op de vraag

Instrumente n

1.

Is één of meerdere van onderstaande statements van toepassing:

Ja

De sessie Ethische Bijsluiter is gedaan door het projectteam.

Toelichting op de statements Het is aan de Epic Owner om te beslissen wanneer een Ethische Bijsluiter als tussentijdse evaluatie gewenst is. Deze vervolgsessies kunnen eventueel onder begeleiding van Digitale Rechten & Ethiek Officers worden gedaan.

Ethische Bijsluiter

-

-

-

Het project heeft effect op de autonomie en vrijheid van burgers of medewerkers. Uit vraag 3 van de QAA blijkt dat sprake is van risicovolle verwerking van persoonsgegevens. Uit vraag 4 van de QAA blijkt dat sprake is van een hoog of beperkt risico algoritme.

Over het algemeen het makkelijkst te beantwoorden door: Epic Owner2

Concrete beheersmaatregelen volgend uit de sessie zijn genomen.

Nee

Geen

Veel van ons werk heeft directe of indirecte impact op bewoners en bezoekers van de stad: als we een boete opleggen of belasting heffen heeft dat natuurlijk impact, maar ook als we camera’s ophangen of een nieuw systeem ontwikkelen. De Ethische Bijsluiter maakt de waarden en dilemma’s van teams expliciet. Hierdoor kan het team rekening houden met de rechten, belangen en wensen van alle betrokkenen, juist ook zij die geen baat hebben bij het project. Dankzij de Ethische Bijsluiter kan een team deze afwegingen transparant maken en uitleggen richting burgers, raadsleden en belanghebbenden. Kijk voor meer achtergrond informatie op De Ethische Bijsluiter – Intranet Amsterdam of

1

Acceptatiecriteria moeten geïmplementeerd zijn voordat een stuk werk (bv. Epic of Feature) in productie genomen mag worden – een beperkt aantal vragen zal gedurende het proces pas beantwoord kunnen worden. 2 Over het algemeen de logische bepaler van het acceptatiecriterium. Let op dat ongeacht wie het acceptatiecriterium bepaald, zowel Business Owner (in accounts vaak: lijn directeur), Epic Owner (vaak: lijn manager) als B-Lead (vaak: IV coördinator of vergelijkbaar) verantwoordelijk zijn voor correcte implementatie van maatregelen. Let op dat als er een acceptatiecriterium voor een Epic is, dit hoogstwaarschijnlijk ook voor de Feature geldt.

5

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n

vraag begeleiding van de Ethische Bijsluiter aan via je Privacy Officer en vraag naar een Digitale Rechten & Ethiek Officer.

2.

Verandert er iets in de Architectuur? De Architectuur verandert in de meeste gevallen niet. Voorbeelden waarbij de architectuur wel wijzigt:  wijzigingen in wet en regelgeving, zoals vernietiging persoonsgegevens volgend uit AVG,  wijziging in hoe we met gegevens moeten omgaan, zoals het archiveringsproces,  herstructureren van functionaliteiten en/of bedrijfsfuncties.

3.

Cockpit Evalueer of er sprake is van persoonsgegevens. Cockpit

Ja

PSA (ook wel Architectuurnotitie) is opgesteld en afgestemd met de Architect.

Nee

Geen

Bij twijfel of het invullen van een Ethische Bijsluiter noodzakelijk is, kun je contact opnemen met de Digitale Rechten & Ethiek Officers. De Project Start Architectuur (PSA) is een projectdocument dat zich richt op kaders die op het project van toepassing zijn en die impact hebben op essentiële structuurkeuzes die in het project gemaakt moeten worden. De PSA beschrijft globaal – in hoofdstructuren – wat de start en de gewenste eindsituatie zijn van het project ten aanzien van organisatie-, proces-, informatie-, applicatieen technologie-inrichting.

Project Start Architectuur (in te vullen door Architect)

Neem bij een nieuwe applicatie de sourcing strategie in acht. Kijk in principe eerst naar (1) hergebruik van applicaties, dan pas naar (2) nieuwe “off-the-shelf” en bij voorkeur Software-as-a-Service applicaties en als beiden niet mogelijk zijn pas naar (3) eigen ontwikkeling. Bij twijfel of sprake is van een wijziging in de Architectuur kun je contact opnemen met de Architect Altijd

De Privacy Quickscan is ingevuld en gevalideerd door de Privacy Officer.

Persoonsgegevens zijn alle gegevens over een (direct of indirect) geïdentificeerde of identificeerbare natuurlijke persoon (zoals een inwoner van de gemeente Amsterdam).

Privacy Quickscan

6

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n

Denk hierbij aan een naam, geboortedatum, adresgegevens of e-mailadres, maar ook gevoeligere informatie als een BSN, kopie paspoort of etnische gegevens (nietuitsluitend).

4.

Wordt in het proces gebruikgemaakt van een algoritme? Definitie algoritme: Een algoritme is een set van regels en instructies die een computer geautomatiseerd volgt bij het maken van berekeningen om een probleem op te lossen of een vraag te beantwoorden. Merk op dat dit een ruimte definitie is, en de meeste Excel berekeningen ook onder deze definitie vallen.

Ja

Nee

De risico classificatie van het algoritme is bepaald en bijbehorende maatregelen zijn geïmplementeerd in afstemming met de Privacy Officer/Algoritme expert. Geen

De Privacy Quickscan is een beknopt onderzoek naar de verwerking van persoonsgegevens die de gemeente wil doen. Het doel ervan is globaal te onderzoeken waar mogelijk risico's en knelpunten zitten en, als dat nodig is, maatregelen te nemen. Ook dient de Privacy Quickscan als check om te achterhalen of vóór de verwerking een DPIA nodig is (zie vraag 7 van deze QAA). Het gebruik van algoritmen biedt de gemeente kansen om de dienstverlening te verbeteren. Daar willen we verantwoord mee omgaan, met oog voor de risico’s die ook kunnen optreden bij het gebruik van algoritmen. We willen algoritmen verantwoord (eerlijk en transparant) inzetten. Dit betekent dat we stil moeten staan bij bijvoorbeeld mensenrechten en privacy rechten van burgers, maar ook hoe we daar transparant over communiceren. Om te bepalen welke maatregelen genomen moeten worden, dient eerst de risico classificaite van het algoritme te worden bepaald (hoog risico, beperkt risico of minimaal risico). Vervolgens zijn diverse instrumenten beschikbaar om de juiste maatregelen te nemen. Voor hulp bij het maken van de analyse en nemen van de

Instrumenten afhankelijk van risico classificatie Alle algoritmen: Risico Classificatie Analyse Beperkt risico algoritmen:

Ethische Bijsluiter Bias Analyse 7

#

Vraag Cockpit

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag juiste maatregelen helpen de Privacy Officer of Algoritme Expert. Neem contact op met team Algoritmen via algoritmen@amsterdam.nl.

Instrumente n Privacy Quickscan DPIA (indien dit blijkt uit Privacy Quickscan) Publicatie in het Algoritmeregis ter Verwijzing naar algoritmeregis ter in communicatie richting burger Informatie over algoritme in interne database Technische analyse & documentatie (o.a. databeheer, logging, etc.) Contractvoorw aarden 8

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n algoritmen (indien ingekocht) Additioneel voor hoog risico algoritmen: Toestemming voor gebruik algoritme van College B&W Hoofdstuk 4 van Impact Assessment Mensenrechte n& Algoritmen (IAMA) CE markering (mits AI oplossing) Toetsing door onafhankelijke partij (bv. CPA of FG) Indien Generatieve AI: Voortbrenging s-proces 9

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

5.

Is sprake van dataverzameling in de openbare ruimte middels een sensor?

Ja

De sensor is opgenomen in het sensorenregister. Burgers moeten tevens worden geïnformeerd over deze sensoren als de uitvoering of de resultaten van projecten ingrijpen in de persoonlijke levenssfeer van burgers.

In de Amsterdamse openbare ruimte wordt steeds meer data verzameld middels verschillende typen sensoren. Er worden bijvoorbeeld druktemetingen gedaan, panoramabeelden gemaakt en eventuele verzakkingen van gebouwen bijgehouden.

Een sensor is ‘een kunstmatig zintuig dat kan worden ingezet om waarnemingen te doen en deze digitaal te verwerken of te laten verwerken.’ Behalve camera’s (optische sensoren) zijn er veel andere soorten sensoren, denk aan wifisensoren, geluidssensoren of sensoren voor luchtkwaliteit. 6.

Cockpit Is sprake van complexe en/of politiek gevoelige vraagstukken waarin de beoogde risicovolle verwerking van persoonsgegevens en/of het gebruik van hoog risico algoritmes een rol speelt? Of volgt uit het advies van de Ethische Bijsluiter dat de CPA

Nee

Geen

Ja

De Commissie Persoonsgegevens Amsterdam (CPA) is via de ambtelijk secretaris om advies gevraagd omtrent het vraagstuk. De adviesaanvraag (‘CPA flap’) is ingediend bij de ambtelijk secretaris. Indien een aanvraag

Instrumente n Generatieve AI Sensorregistra tie

Om de digitale van bewoners en bezoekers van Amsterdam te beschermen hebben we een meldingsplicht van sensoren ingevoerd. Dit betekent dat alle sensoren, van de gemeente en andere eigenaren, moeten worden aangemeld bij het Sensorenregister (amsterdam.nl). Hierdoor weten bewoners en bezoekers welke organisaties op welke plekken data verzamelen middels sensoren. Vul het formulier - Sensorregistratie (amsterdam.nl) in en meldt op die manier de sensor aan bij het register.

Vraagstukken zijn bijvoorbeeld complex, wanneer de te verwerken gegevens uit verschillende bronnen gecombineerd worden. Maar ook wanneer het gaat om zaken die relatief nieuw zijn, zoals wifi-tracking, (biometrisch) cameratoezicht, gezichtsherkenning e.d. Vraagstukken zijn politiek gevoelig wanneer bijvoorbeeld gegevens van grote aantallen burgers worden verwerkt, er bijzonder veel gebruikers van een informatiesysteem zijn op veel plaatsen en/ of

Adviesaanvraa g (‘CPA flap’)

10

#

Vraag

Ja / Nee

geraadpleegd moet worden?

Acceptatiecriteria

Korte toelichting op de vraag

door de CPA is behandeld, wordt advies aantoonbaar opgevolgd.

in veel organisaties, wanneer commerciële partijen toegang tot de gegevens hebben, wanneer bijzondere gegevens (zoals ras en seksuele voorkeur) of strafrechtelijke gegevens worden verwerkt of wanneer het gaat data-ethiek (waaronder maar niet beperkt tot de Tada-waarden), digitale (mensen-)rechten en openbaarmaking van persoonsgegevens.

Epic Owner Nee

Geen

Instrumente n

De CPA is een onafhankelijk adviesorgaan, ingesteld door het College van burgemeester en wethouders. Behalve aan het bestuur, kan de CPA ook advies uitbrengen aan de ambtelijke organisatie. De CPA adviseert over de aan haar voorgelegde of onderzochte kwesties betreffende de verwerking van persoonsgegevens, algoritmen, data-ethiek, digitale (mensen-)rechten en openbaarmaking van persoonsgegevens bij digitale toepassingen. Denk hierbij bijvoorbeeld aan een pilot waarbij een algoritme wordt gebruikt voor het ondersteunen bij een aanvraag voor levensonderhoud, de migratie van gegevens naar een cloudtoepassing en aanschaffing daarvan of de wens om digitale technologieën, waaronder AI in te zetten bij politiek gevoelige onderwerpen. De advisering vindt plaats op basis van drie pijlers: recht, ethiek en techniek. Voor meer informatie over de adviesaanvraagprocedure, werkwijze en 11

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n

gegeven adviezen, kun je terecht op Commissie Persoonsgegevens Amsterdam Gemeente Amsterdam

7.

Is sprake van een verwerking van persoonsgegevens waarvoor een Data Protection Impact Assessment (DPIA) moet worden uitgevoerd?

Ja

NB: Het antwoord op deze vraag volgt uit de Privacy Quickscan (zie vraag 3 van deze QAA). Cockpit Nee

De DPIA is uitgevoerd en eventuele maatregelen volgend uit de DPIA zijn afgestemd met en gevalideerd door de Privacy Officer. Deze risico's en maatregelen zijn opgenomen in Fully in Control. Mogelijke restrisico's worden geaccordeerd door de business verantwoordelijke (de directeur) en gedeeld met de Privacy Officer. Geen

Om een adviesaanvraag in te dienen en/of af te stemmen of een vraagstuk mogelijk raakt aan de taakomschrijving van de CPA, neem contact op met de ambtelijk secretaris via cpa@amsterdam.nl. Een adviesaanvraag dient altijd eerst te worden besproken met de Privacy Officer en/of de Digitale Rechten & Ethiek Officer, alvorens deze wordt ingediend bij de ambtelijk secretaris. Een DPIA is een instrument om de risico’s voor de rechten en vrijheden van individuen in kaart te brengen en te beoordelen in hoeverre de genomen (beveiligings)maatregelen voldoen en of aanvullende maatregelen noodzakelijk zijn om risico’s zoveel mogelijk te mitigeren.

DPIA

Een DPIA is alleen verplicht bij verwerkingen van persoonsgegevens die waarschijnlijk een hoog risico inhouden voor de rechten en vrijheden van individuen. Er bestaat een aantal criteria om te beoordelen of een DPIA verplicht is. De criteria dien je te doorlopen en beargumenteren of deze van toepassing zijn. Deze criteria zijn onderdeel van de DPIA Pre-Scan dat een bijlage is van de Privacy Quickscan. Het is daarom vereist eerst een Privacy Quickscan in te vullen. Aan de hand van de uitkomst kan worden beoordeeld of een DPIA moet worden uitgevoerd. 12

#

8.

Vraag

Is het (openbaarheid) classificatieniveau van de informatie voortkomend uit het proces bepaald?

Ja / Nee

Ja Nee

Epic Owner

9.

Vindt er in het kader van een nieuw proces/taak opslag of registratie van data/documenten plaats? M.a.w. is sprake van een nieuwe informatiestroom/regist ratie? Epic Owner

Ja

Nee

Acceptatiecriteria

Geen Classificatieniveau van informatie is bepaald en afgestemd met de Adviseur Informatiebeheer en Information Security Officer. De (aanvullende) vereisten zijn bepaald en vastgelegd in Fully in Control.

Met de Adviseur Informatiebeheer is de bewaartermijn van informatie vastgesteld. Geen

Korte toelichting op de vraag De Privacy Officer zal bij uitvoering van een DPIA advies inwinnen bij de Functionaris Gegevensbescherming. Classificeren is het proces van toekennen van het classificatieniveau van informatieobjecten, waarin de mate van openbaarheid c.q. vertrouwelijkheid wordt afgewogen. De afweging vindt plaats op basis van het beleidskader ‘classificatie van informatieobjecten’. Het resultaat van dit proces is het classificatieniveau dat in de metadata bij het informatieobject wordt vastgelegd. Informatie kan als openbaar, vertrouwelijk of geheim worden geclassificeerd. Om naar de gemeentelijke openbaarheidsambitie en weten regelgeving te handelen streven we ernaar om zoveel mogelijk informatie als openbaar te classificeren. Het toekennen van de vertrouwelijke of geheime classificatie kan alleen als er een wettelijke grondslag is, moet worden beargumenteerd en is voor een bepaalde termijn. Wanneer een nieuw proces of nieuwe taak uitgevoerd gaat worden, brengt dat opslag en registratie van nieuwe data/documenten (ongeacht de vorm, denk aan nieuwe media) met zich mee. Het proces of de taak moet worden beschreven. Hierbij moet de bewaartermijn vastgesteld worden, mogelijk ook zaaktypes (voor standaardisatie dossiervorming) uitgewerkt worden en de benodigde (technische, beheer en beschrijvende) metadata moeten kunnen

Instrumente n

[Instrument wordt gefinaliseerd en zo spoedig mogelijk gepubliceerd.]

[Instrument wordt gefinaliseerd en zo spoedig mogelijk gepubliceerd.]

13

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n

worden toegekend. Afhankelijk van het soort proces en de bijbehorende bewaartermijn, zijn er meer of minder maatregelen te treffen.

10 .

Wordt er een nieuwe applicatie geïmplementeerd? Of is er een “major release” van een bestaande applicatie? Cockpit

Ja, ik koop een applicatie in van een externe leveranci er

Privacy, Informatiebeheer, Openbaarheid, Informatiebeveiliging, Digitale Toegankelijkheid en Software Test eisen zijn opgenomen in Programma van Eisen. Certificering (bv. ISO27001) is beschikbaar & afgestemd met de Information Security Officer en leverancier. Er is een technische beveiligingsaudit (“pentest”) uitgevoerd. De (aanvullende) vereisten zijn afgestemd met de Keten Informatiemanager en Information Security Officer en vastgelegd in Fully in Control.

Merk op dat indien een DPIA is opgesteld, de bewaartermijn en vervolgacties voor persoonsgegevens ook wordt afgestemd met de Adviseur Informatiebeheer en vastgelegd in de DPIA. Voor het starten van een nieuwe (Europese) aanbesteding moeten de geldende procedures worden gevolgd (zie intranet Lead Buyer ICT, onderdeel van de vakgroep ICLM). Wanneer er een nieuwe applicatie aangeschaft/gebruikt gaat worden, moet privacy, opslag, registratie en beveiliging van data en documenten by design worden ingericht. Afhankelijk van het soort proces zijn er enkele maatregelen te treffen. Wat de vastlegging betreft bij het aangaan van een contract met een leverancier: - Het is mogelijk dat bestaande afspraken met reeds bekende leveranciers ook van toepassing zijn op deze Epic / Feature. Voor nieuwe leveranciers moeten echter nieuwe afspraken worden gemaakt. - Als de vereiste certificering niet beschikbaar is, zal de leverancier uitleg moeten geven waarom dat zo is en kunnen er eventueel maatregelen worden genomen. - De certificering wordt geregistreerd en

Programma van Eisen Richtlijnen voor uitvoeren pentest Richtlijnen voor TMAP methode Richtlijnen voor inbeheername proces Security Control Framework Privacy Control Framework

14

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Software is getest volgens de Test Management Approach (TMAP) methode. De (aanvullende) vereisten zijn afgestemd met Amsterdam Test Competence (ATC) center. Inbeheername proces is uitgevoerd. De (aanvullende) vereisten zijn afgestemd met Functioneel Beheerder. Ja, ik bouw een applicatie in het Cloud Platform

Privacy, Informatiebeheer, Openbaarheid, Informatiebeveiliging, Digitale Toegankelijkheid en Software Test eisen zijn opgenomen in het ontwerp en de inrichting. Software is getest volgens de Test Management Approach (TMAP) methode. De (aanvullende) vereisten zijn afgestemd met Amsterdam Test Competence (ATC) center.

-

Instrumente n

gecontroleerd bij het aangaan van het contract met de leverancier, zoals beschreven in Bijlage 2 van de Verwerkersovereenkomst (sharepoint.com). Niet alleen een ISOcertificering is van belang, maar ook een recente pentest en assurance verklaring. Indien de leverancier niet aan deze vereisten voldoet, moeten er afspraken worden gemaakt over de termijn waarbinnen zij wel gecertificeerd zullen zijn, en zal een risico-acceptatie (afwijking) worden opgesteld. Een verwerkersovereenkomst is alleen van toepassing als persoonsgegevens worden verwerkt. In de contractvoorwaarden van de gemeente (zie vraag 4 van deze QAA) worden deze eisen niet expliciet gesteld.

Een penetratietest of pentest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden ook werkelijk gebruikt worden om in deze systemen in te breken. Dit is een applicatie afhankelijk proces, stem daarom altijd af met de Information Security Officer. Overige vereiste analyses en documentatie (te bespreken met de adviseur informatiebeheer): Functioneel ontwerp, procesbeschrijving(en), vastgestelde bewaartermijnen, metadatering, zaaktypes, 15

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

In beheer name proces is uitgevoerd. De (aanvullende) vereisten zijn afgestemd met Functioneel Beheerder.

bewaring en vernietiging ingericht (on premise) of regelen dat het wordt ingericht (SaaS).

Privacy Control Framework is gevolgd en gevalideerd door de Privacy Officer. Security Control Framework is gevolgd en afgestemd met de risk & compliance afdeling van directie Digitale Voorzieningen. Hieruit volgend is ook een pentest uitgevoerd en zijn vervolgstappen afgestemd met de Keten Informatiemanager en Information Security Officer. Nee

Geen

Instrumente n

Amsterdam Test Competence (ATC) center is onderdeel van de vakgroep Functioneel Beheer en kan ondersteunen bij de Test Management Approach (TMAP) methode. Geadviseerd wordt om nadat de applicatie in productie is gegaan, continue de testvolwassenheid via de Testprocesverbetering (TPI) methode te verbeteren. Kijk voor meer achtergrond informatie op Amsterdam Test Competence (ATC) center – Intranet Amsterdam of neem contact op met het ATC via atc@amsterdam.nl. Let er verder op dat de Gemeente Amsterdam graag een herkenbare en toegankelijke overheid wilt zijn. Onze huisstijl draagt hier aan bij. Zorg dat je deze stijl toepast in alle communicatie en applicaties. Kijk voor meer informatie over de huisstijl (bv. kleur-, taal-, beeldgebruik) en toepassing daarvan op Stijlweb (amsterdam.nl) of neem contact op met de Vakgroep Ontwerp en UX via Vakgroep Ontwerp en UX – Intranet Amsterdam bij behoefte aan ondersteuning. Bij voorkeur al in de fase van het project waarin je nog niet precies weet hoe je dit wilt aanpakken. Indien er sprake is van een ontwikkeling op of een migratie naar het Cloud- en 16

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n

Dataplatform, wordt als belangrijke voorwaarde gesteld dat de verwerkingen compliant zijn met de geldende privacywetgeving, de AVG. Om deze reden heeft het team Cloudplatform een Privacy Control Framework (PCF) opgezet om op een efficiënte manier te kunnen controleren of persoonsgegevens in overeenstemming met privacyregels worden verwerkt. Kijk voor meer informatie op Privacy - Intranet Amsterdam.

11 .

Is er een externe leverancier betrokken?

Ja

Stem af met de betreffende contractmanager van de Vakgroep ICLM.

Nee

Geen.

Epic Owner

Ook heeft het team Cloudplatform een Security Control Framework (SCF) opgezet, gebaseerd op de BIO. Het SCF dient door de teams te worden ingevuld met onderbouwing en bewijs voor de betreffende controls. Kijk voor meer informatie op Security – Intranet Amsterdam. De uitvoering van een pentest is onderdeel van het SCF. Stem dit altijd af met de Information Security Officer. Als er bij deze behoefte/vraag al externe leveranciers betrokken zijn en er dus lopende software-, SaaS- en/of ICT-dienstverlenings(raam)contracten van toepassing zijn dan moeten de gevolgen daarvan nader worden onderzocht: -

De lopende contracten kunnen immers voorwaarden bevatten die impact hebben op de behoefte, bijvoorbeeld als gevolg van de contractuele beperkingen (bv licentie-compliancy of de verplichting dat bepaalde behoeftes via die leverancier moeten worden afgenomen) of de kaders 17

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

-

Instrumente n

uit de Aanbestedingswet (Artikel 2.163ag). De contracten kunnen ook kansen bieden als er bijvoorbeeld opties worden aangeboden die tegemoet komen aan de behoefte.

Conclusie van het onderzoek zou ook kunnen zijn dat een (Europese) aanbesteding moet worden uitgevoerd conform Werkwijze Inkoop ICT - Intranet Amsterdam. Merk op (zie vraag 4 van deze QAA) dat in geval van aankoop van een algoritme er gebruik dient te worden gemaakt van specifieke contractvoorwaarden voor algoritmes: Contractvoorwaarden voor algoritmen - Innovatie (amsterdam.nl).

12 .

Wordt er binnen het proces volledig digitaal gewerkt? Epic Owner

Ja Nee

Geen De papieren stromen zijn gedigitaliseerd. Het proces hieromtrent is in een Handboek Vervanging uitgewerkt en afgestemd met Adviseur Informatiebeheer en er is een Besluit Vervanging

Let op: beperk je bij het behoefteonderzoek niet tot je eigen opgave/directie/afdeling. Wellicht speelt dit ook op andere plekken binnen de gemeente (en zijn daar soortgelijke oplossingen in productie). Advies om hiervoor af te stemmen met de Cluster i-Lead. De gemeente werkt volledig digitaal, maar desondanks blijven er nog papieren documenten in omloop. Dit komt bijvoorbeeld doordat de organisatie post ontvangt en brieven uitprint om handmatig te ondertekenen. Om papieren documenten te vervangen door digitale bestanden, waarbij de digitale kopieën kunnen worden beschouwd als de nieuwe originele documenten, is een Handboek Vervanging (bij

Richtlijnen voor Handboek Vervanging Besluit tot Vervanging (ondertekend door verantwoordelijk 18

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n

genomen door verantwoordelijke directeur.

informatie die meer dan 7 jaar bewaard moet blijven) en een Besluit tot Vervanging nodig.

e directeur)

Voor het digitaliseren van een handtekening, is het belangrijk om vooraf te bepalen of onomstotelijk bewijs noodzakelijk is in het proces (bewijslast), of dat de handtekening enkel dient als bevestiging van ontvangst (bijvoorbeeld mailing van de Belastingdienst). Indien juridisch nodig kan Adobe Sign worden gebruikt, in andere gevallen is een inrichtingsoplossing voldoende. Bij de implementatie van een nieuwe applicatie of andere vervangingen kan het ook nodig zijn om een bestaand Handboek Vervanging te actualiseren. Het Handboek Vervanging omvat onder andere de procedure voor het scannen, het inrichten van het scanproces en de kwaliteitsborging van de gescande documenten.

13 .

Indien er al volledig digitaal gewerkt wordt, is er sprake van een Handboek Vervanging dat geactualiseerd moet worden?

Ja

Het Handboek Vervanging is geactualiseerd en aangepast naar de nieuwe situatie ingevuld en afgestemd met de Adviseur Informatiebeheer.

Nee

Geen

Epic Owner

Meer informatie is te vinden op Toezicht Informatiebeheer 'Vervanging' – Stadsarchief Amsterdam (amsterdam.nl). Een Handboek Vervanging (en een Besluit tot Vervanging) moet worden geactualiseerd wanneer er informatie wordt gedigitaliseerd dat nog niet in het Handboek Vervanging wordt beschreven. Indien deze Epic / Feature bijdraagt aan zulke wijzigingen is het van belang een bestaand handboek met de daarin opgenomen procedures en werkafspraken over digitalisering van papieren informatiestromen te actualiseren.

Richtlijnen voor Handboek Vervanging

19

#

14 .

Vraag

Wordt er digitale informatie gemigreerd en/of geconverteerd?

Ja / Nee

Ja

Epic Owner

15 .

Wordt er informatie vernietigd? Epic Owner

Acceptatiecriteria

Migratieplan & Migratieverslag zijn opgesteld en afgestemd met de Adviseur Informatiebeheer en de Verklaring van Migratie is ondertekend door verantwoordelijke directeur.

Nee

Geen

Ja

Vernietigingsprocedure is opgesteld en afgestemd met de Adviseur Informatiebeheer, door de verantwoordelijke directeur is een Machtiging Vernietiging (incidenteel of doorlopend)

Korte toelichting op de vraag

Meer informatie is te vinden op Toezicht Informatiebeheer 'Vervanging' – Stadsarchief Amsterdam (amsterdam.nl). Het migreren of converteren van digitale informatie komt vaak voor wanneer een bestaande voorziening wordt vervangen door iets anders. Dit kan inhouden dat informatie moet worden verplaatst naar een andere omgeving, of moet worden omgezet naar een ander formaat. Migraties en conversies van informatie moeten worden gedocumenteerd in een Migratieplan en een Migratieverslag. Uit deze documenten moet blijken dat geen onacceptabel verlies van informatie is opgetreden en dat de latende omgeving is opgeruimd. Op basis van deze documentatie ondertekent de verantwoordelijke directeur de Verklaring van Migratie, waarin dit formeel wordt bevestigd conform artikel 25 lid 2 van de Archiefregeling 2014. De directeur stuurt deze Verklaring van Migratie ter informatie aan de gemeentearchivaris. Vernietigen van informatie mag niet zomaar. Vooraf is een machtiging van de gemeentearchivaris nodig. Hiermee voorkomen we dat we informatie van cultuurhistorisch, bedrijfseconomisch of juridisch belang (te vroeg) vernietigen of juist te lang bewaard woord, met het oog op bijvoorbeeld persoonsgegevens.

Instrumente n

Migratieplan Migratieversla g Verklaring van Migratie (ondertekend en doorgestuurd door verantwoordelijk e directeur)

Vernietigingsprocedure Machtiging Vernietiging (aangevraagd door verantwoordelijk e directeur)

Het vernietigen van informatie uit een 20

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n

aangevraagd bij & verleend door het Stadsarchief.

specifieke omgeving kan zowel een eenmalige als een terugkerende gebeurtenis zijn. De wijze waarop de vernietiging plaatsvindt moet procedureel worden beschreven in de Vernietigingsprocedure. De verantwoordelijke directeur stelt de Vernietigingsprocedure vast en vraagt, via een Machtiging Vernietiging, een incidentele respectievelijk doorlopende machtiging aan bij de gemeentearchivaris.

Rapportage van vernietigde informatie

Indien er sprake is van een doorlopende machtiging, worden er periodiek rapportages van vernietigde informatie gemaakt door de Recordmanager, en door de verantwoordelijke directeur naar de gemeentearchivaris verzonden. Nee

Geen

Van de te vernietigen informatie moeten overzichten / rapportages worden gemaakt en als de vernietiging is uitgevoerd moet daar bewijs van worden geleverd in een rapportage. De directeur doet opgave van de uitgevoerde vernietigingen bij de gemeentearchivaris.

Richtlijnen voor bewaartermijn en en vernietigingsprocedure algoritmes

Ook informatie die betrekking heeft op algoritmes moet worden onderworpen aan bewaartermijnen en vervolgens worden vernietigd of overgedragen aan het Stadsarchief. Dit proces voor archivering wordt momenteel nog ontwikkeld. Meer informatie is te vinden op Toezicht Informatiebeheer 'Selectie en vernietiging' – Stadsarchief Amsterdam (amsterdam.nl). 16 .

Wordt er een applicatie uitgefaseerd? Epic Owner

Ja

Uitfaseringsplan hoe met data wordt omgegaan is opgesteld en afgestemd met de Adviseur Informatiebeheer.

Indien een applicatie buiten gebruik wordt gesteld, moet het beheer van informatie worden ingericht. Dit proces wordt gedocumenteerd in het Uitfaseringsplan.

Uitfaseringspl an

21

#

17 .

Vraag

Wordt er informatie overgebracht naar het Stadsarchief Amsterdam?

Ja / Nee

Acceptatiecriteria

Nee

Geen

Ja

Het Protocol van Overbrenging is opgesteld en afgestemd met de Adviseur Informatiebeheer.

Epic Owner Nee

Geen

Korte toelichting op de vraag Informatie waarvan de bewaartermijn is verstreken moet per direct worden vernietigd, overige informatie moet worden gearchiveerd/gemigreerd (zie vraag 14 en 15 van deze QAA). Een deel van de informatie mag nooit worden vernietigd en moet na afloop van de archiefwettelijke termijn (momenteel 20 jaar, wordt 10 jaar) worden overgebracht naar Stadsarchief Amsterdam (E-depot). De informatie moet in goede, geordende en toegankelijke staat zijn. De eisen voor over te brengen archieven staan in de Checklist eisen over te brengen archiefbescheiden (amsterdam.nl).

Instrumente n

Protocol van Overbrenging PSA (in te vullen door Architect)

Voor het overbrengen van digitale informatie gelden aanvullende eisen: - de Toepassingsprofiel Metadatering Lagere Overheden – TMLO (amsterdam.nl). Die wordt op termijn vervangen door de Metagegevens voor Duurzaam Toegankelijke Overheidsinformatie – MDTO. - de Standaard opslagformaten voor duurzame toegankelijkheid (amsterdam.nl). Dit betreft de conversie naar verplichte opslagformaten. De informatie moet daar uiterlijk op het moment van overbrenging aan voldoen. Deze eisen staan omschreven in het Protocol van Overbrenging. Dit Protocol van Overbrenging is momenteel nog in ontwikkeling. 22

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n

Digitaal werken heeft geleerd dat archivering bij overbrenging te laat is. Daarom spreken we over ‘by design’. Belangrijk is dat het proces wordt ingericht bij aanvang, na overleg met Stadsarchief Amsterdam en beschrijving in de Project Start Architectuur (PSA).

18 .

Wordt er informatie overgebracht van of naar een andere organisatie (vervreemding, uitlening, ter beschikking stelling)?

Ja

Epic Owner

19 .

Wordt er informatie gecreëerd en opgeslagen welke valt onder één of meer informatiecategorieën die actief openbaar gemaakt dienen te worden? Of wordt er

Verklaring van vervreemding/uitlening/t er beschikking stelling en documentatie behorend bij migratie en/of vernietiging is opgesteld en afgestemd met de Adviseur Informatiebeheer.

Nee

Geen

Ja

Er is een publicatieproces ingericht conform de handreiking ‘openbaarheid by design’ en afgestemd met het projectteam ‘Open Tenzij’.

Meer informatie is te vinden op Toezicht Informatiebeheer 'Overbrenging' – Stadsarchief Amsterdam (amsterdam.nl). Informatie kan tijdelijk of permanent in of uit beheer worden gegeven, bijvoorbeeld door het overnemen of afstoten van een (wettelijke) taak. Hiervoor worden verklaringen opgesteld en ondertekend door de verantwoordelijke directeuren/diensthoofden. Hier zal vaak ook migratie een rol spelen (zie vraag 14 van deze QAA).

Verklaring van vervreemding/ uitlening/ter beschikking stelling

Bovenstaande geldt binnen Amsterdam. Indien permanente overdracht van informatie aan een andere zorgdrager plaatsvindt, spreken we van Vervreemding. Daar is een procedure voor. De handreiking Openbaarheid By Design – Intranet Amsterdam is bedoeld als hulpmiddel om informatiesystemen zodanig in te richten dat daarvoor in aanmerking komende informatie zoveel mogelijk geautomatiseerd openbaar kan worden gemaakt, zodat wordt voldaan aan wet- en regelgeving op het gebied van openbaarheid met zo min

Sjabloon voor publicatieproc es

Documentatie behorend bij migratie en/of vernietiging

23

#

Vraag met informatie gewerkt waarvan de doelgroep (burger/ondernemer/be zoeker/ journalistiek) de behoefte heeft dat de informatie actief openbaar wordt gemaakt (inspanningsverplichtin g)?

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Nee

Geen

mogelijk structureel handmatige inspanning. Bij deze inrichting wordt gebruik gemaakt van de methodiek Openbaarheid by design.

Instrumente n

Informatie, of een deel van de informatie, komt in aanmerking voor openbaarmaking in de volgende situaties: -

Cockpit

-

Informatiehuishoudingsplicht: Informatie moet openbaar worden gemaakt vanuit de inspanningsverplichting. Bijvoorbeeld vanwege een informatiebehoefte bij burgers of bij informatie over maatschappelijk relevante onderwerpen. Openbaarmakingsplicht op verzoek: Informatie komt in aanmerking voor openbaarmaking door een Woo-verzoek. Actieve openbaarmakingsplicht: Informatie valt binnen één van de in de Woo vastgelegde informatiecategorieën. Voor de gemeente Amsterdam gaat het om 11 verplichte categorieën: i. Wet- en regelgeving ii. Organisatie- en bereikbaarheidsgegevens iii. Raadsstukken iv. Bestuursstukken v. Adviezen vi. Convenanten vii. Jaarplannen en jaarverslagen viii. Informatieverzoeken Woo ix. Onderzoeksrapporten x. Beschikkingen xi. Klachten of klaagschriften 24

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n

(zie Bijlage 4 van de handreiking voor meer informatie).

20 .

Is het proces onderdeel van een bestaand proces waarvoor het basisbeveiligingsniveau (BBN) is vastgesteld en een BIO Quickscan is uitgevoerd?

Ja

Er wordt voldaan aan de vereisten voortvloeiend uit de BIO Quickscan zoals eerder bepaald en afgestemd met de Information Security Officer.

Merk op dat indien het proces substantieel wijzigt en/of de BBN wijzigt van het proces, deze vraag met ‘nee’ moet worden beantwoord.

Nee

BIO Quickscan uitgevoerd en implementatie maatregelen bepaald met de Information Security Officer.

Epic Owner

21 .

Omvat de Epic / Feature een applicatie waarbij koppelingen / APIs met andere (informatie)systemen

Ja

Beveiligde verbindingen met de andere (informatie)systemen zijn bepaald & afgestemd met de Information

Indien de informatie openbaar moet worden gemaakt, dan zal tijdens de Epic / Feature de mogelijkheid tot actieve openbaarmaking via publicatiekanaal gerealiseerd moeten worden. Bijvoorbeeld een koppeling tussen applicatie en publicatiekanaal of een handmatige procesinrichting. Om te bepalen of een proces, informatiesysteem en/of informatie een bepaald basisbeveiligingsniveau heeft binnen de BIO. De uitkomsten kunnen dan worden gebruikt om te bepalen of er meer maatregelen nodig zijn voor een proces en onderliggende informatiesystemen.

BIO Quickscan

Het resultaat van de BIO Quickscan - Intranet Amsterdam kan duiden op een zwaartepunt in het te beschermen belang. Bijvoorbeeld door een hogere score voor Vertrouwelijkheid maar niet op Integriteit en Beschikbaarheid. Zorg dat een nieuwe BIO Quickscan gedaan wordt als de laatste versie ouder is dan 3 jaar of als het proces substantieel veranderd is. Bij twijfel of een BIO Quickscan noodzakelijk is, kun je contact opnemen met de Information Security Officer. Informatie kan gevoelig zijn vanwege de vertrouwelijkheid (zoals inloggegevens) en vanwege de integriteit (zoals een financiële transactie). Het beschermen van communicatie is vooral belangrijk als er

-

25

#

Vraag

Ja / Nee

nodig zijn?

22 .

Korte toelichting op de vraag

Security Officer.

gevoelige informatie via een verbinding wordt verstuurd. De ISO kan adviseren (samen met de Architect en Digitale Voorzieningen) wat de beste maatregelen zijn. Beschikbaarheid en maximale uitval i.r.t. het BBN niveau komt expliciet aan bod in de BIO Quickscan. Denk hier bijvoorbeeld na over de periode dat de applicatie beschikbaar moet zijn.

Cockpit

Nee

Geen

Zijn er beschikbaarheidseisen aan het (informatie)systeem (bijvoorbeeld 24/7 beschikbaarheid)?

Ja

Maatregelen die de noodzakelijke beschikbaarheid garanderen zijn bepaald en afgestemd met de Information Security Officer en Service Management.

Epic Owner 23 .

Acceptatiecriteria

Wordt er gebruikgemaakt van gegevens die in de basis- en kernregistraties beschikbaar zijn? Epic Owner

Nee Ja

Geen Er wordt voldaan aan de aansluitvoorwaarden met basisinformatie die in overleg met de Dataoffice zijn gecontroleerd.

Nee

Geen

Instrumente n

-

Indien maatregelen nog niet bekend zijn, volg dan de stappen in de BIO Quickscan. Als een bestuursorgaan die een gemeentelijke, publieke taak uitvoert, bij het vervullen van zijn publiekrechtelijke taak, een gegeven nodig heeft dat in de basis- en kernregistraties beschikbaar is, mag het dit gegeven niet meer (opnieuw) uitvragen bij burgers en ondernemers (bijvoorbeeld door het vragen naar een uittreksel). Dit gegeven wordt dan direct getrokken uit de basis- en kernregistraties. Voorbeelden zijn de Basisregistratie persoonsgegevens, de Basisregistratie kadaster, het Handelsregister, luchtfoto’s en monumenten.

Sjabloon voor aansluitvoorwaarden met basisinformati e Registratie Intake formulier (in te vullen door de Data-office op basis van databehoefte)

Een overzicht is te vinden via de centrale catalogi van registraties - Stelselpedia (amsterdam.nl). Dit omvat informatie over alle basisregistraties en kernregistraties, de relaties daartussen en de samenhang van het stelsel. Per registratie is informatie te vinden 26

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag

Instrumente n

over de catalogus, relaties met andere registraties, producten, kwaliteit en meer. De Directie Data is gemeentelijke verstrekker van gegevens uit de basis- en kernregistraties (inclusief registraties die persoonsgegevens bevatten) ten behoeve van (uitvoering van) gemeentelijke taken. De I-afdeling Data-office binnen de Directie Data heeft de taak om te adviseren over en toezicht te houden op het (juiste) gebruik van basisgegevens. De Dataoffice geeft inzicht in de van toepassing zijnde aansluitvoorwaarden, de autorisatieprocedure en vult op basis van de databehoefte samen met de afnemer het BenK Registraties Intake formulier in. Om te voldoen aan de aansluitvoorwaarden dienen onderstaande Acceptatiecriteria afgerond te zijn. Als dit het geval is, neem dan contact op met de Data-office via gebruik.basisinformatie@amsterdam.nl: -

Vraag 9. Pen- en Hacktest Vraag 20. BIO Quick Scan

In geval van (geautomatiseerde) verwerkingen van persoonsgegevens dienen ook de volgende Acceptatiecriteria afgerond te zijn: -

Vraag 3. Privacy QuickScan Vraag 4. Vereisten voor algoritmes Vraag 5. Sensorregistraties Vraag 6. CPA Advies 27

#

Vraag

Ja / Nee

Acceptatiecriteria

Korte toelichting op de vraag -

Instrumente n

Vraag 10. Major release (Applicatie in Cloudplatform)

28