Bijlage bij Beantwoording Commissievragen VVD

Van een I&A naar een A stip Eindrapportage werkgroep ‘Stip op de horizon’

Werkgroep Stop op de Horizon 14 maart 2023

versie 1.3

1

Inhoud ADVIES_____________________________________________________________3 INLEIDING __________________________________________________________5 ANALYSE STRATEGISCHE EN BELEIDSDOCUMENTEN PER ORGANISATIE _______7 HUIDIGE FORMATIE I- EN A-ROLLEN ____________________________________9 SOURCINGSVOORKEUREN ___________________________________________ 10 EINDCONCLUSIES __________________________________________________ 12 BIJLAGE 1: OVERZICHT HUIDIGE OVERLEGSTRUCTUUR ___________________ 13 BIJLAGE 2: SOURCINGSVOORKEUREN PER GEMEENTE ____________________ 15

2

Advies De werkgroep heeft op basis van diverse inventarisatieronden en gesprekken uiteindelijk vastgesteld dat de DeSom-gemeenten wel degelijk een gezamenlijk stip op de horizon hebben als het gaat om de samenwerking op ICT. En dat deze samenwerking een wezenlijk andere invulling zal moeten krijgen dan de huidige. Augustus 20251 zal door het aflopen van huidige beheer-contracten het eerstkomende ijkmoment zijn. Tijdens de besprekingen is vastgesteld dat onder de volgende voorwaarden publieke samenwerking op Automatisering voortgezet kan worden: De samenwerking moet afzonderlijke gemeenten ruimte bieden hun eigen ontwikkeltempo te kiezen; De samenwerking moet mee kunnen bewegen met trends in de markt (groei SaaS, kwetsbaarheden in formatie of kennis oplossen met andere sourcingskeuzes dan ‘zelf doen’); De samenwerking moet mee kunnen bewegen met veranderende sourcingswensen van afzonderlijke deelnemers; De samenwerking moet een lichter governance model krijgen; De samenwerking moet een vanuit een beter dienstverleningsconcept haar diensten aanbieden. Dat brengt ons tot de volgende aanbevelingen: 1.

Definieer een ontwikkelopdracht voor SSC DeSom (en haar interim-directeur) die het volgende resultaat moet opleveren: o Een organisatievorm en bijbehorend governance model (structuur en juridisch) die makkelijk kan en wil meebewegen met ontwikkelingen in de markt en bij de gemeenten vanuit een dienstverlenende grondhouding; o Die een basisdienstverlening levert die we smaller definiëren dan de huidige situatie (i.c. legacy beheer, aansturen gezamenlijke externe infra-providers (zoals SLTN), basisdienstverlening Servicedesk) en eventueel een uitbreiding van de dienstverlening per gemeente; o De mogelijkheid biedt om tussentijds eenvoudig taken te kunnen op- en afschalen, met een verrekeningsgrondslag die daarbij past (in plaats van op basis van inwoneraantal). Het SSC stemt haar eigen sourcingsmodel hierop af. o Het bovenstaande vertaald in een nieuwe service level overeenkomst met de deelnemers; o Een constructie waarbij de bestuurlijke overhead vermindert (in de rol van Eigenaar), de rol van de gemeentesecretarissen en hoofden bedrijfsvoering belangrijker wordt (in de rol van Opdrachtgever) en de directie van het SSC DeSom in de rol Opdrachtnemer vooral met de hoofden bedrijfsvoering te maken heeft i.p.v. met de bestuurders.

Dat doet meer recht aan het bedrijfsvoeringskarakter van ICT; 1 Het infra/datacenter beheercontract met SLNT loopt augustus 2024 af met de optie om 2x 1 jaar te verlengen. Augustus 2024

biedt de regio te weinig tijd om aanbestedingen te doen en de infrastructuur te ontvlechten en te migreren. Praktisch gezien vormt augustus 2025 het eerste moment waarop ingrijpende wijzigingen zijn door te voeren.

3

Een grotere rol voor de i-functie2 van de gemeenten binnen de operationele servicemanagementprocessen (meer transparantie richting en meer betrokkenheid van gemeenten bij de beheeroperatie van SSC DeSom); o Een constructie die het mogelijk maakt voor gemeenten om qua innovatie hun eigen ambitie en tempo te kunnen gaan volgen. 2. Definieer gelijktijdig een ontwikkelopdracht voor de gemeenten om – al dan niet in samenwerking – hun regieformatie kwalitatief en kwantitatief op orde te brengen ter versterking van hun opdrachtgevende rol; 3. Verhoog de verantwoordelijkheid van de hoofden bedrijfsvoering bij deze bedrijfsvoeringstaak door hen als gedelegeerd opdrachtgever samen met de (interim-)directeur te laten sturen op de inhoud en realisatie van beide ontwikkelopdrachten. o

2 I-Functie: Informatiemanagers, strategisch i-adviseurs, tactische i-adviseurs

4

Inleiding Aanleiding In 2012 is de samenwerking op ICT binnen de regio gestart. De tijd heeft ondertussen niet stilgestaan: De gemeenten en hun taakpakket zijn veranderd; De techniek is veranderd (geleidelijk aan steeds meer cloud toepassingen); De ICT-afhankelijkheid en ICT-bedreigingen zijn toegenomen; De ICT-inzet is geleidelijk aan steeds strategischer geworden. 11 maart 2022 is tijdens de gezamenlijke AB/AC 3 bijeenkomst van SSC DeSom in Drechterland gesproken over het actiepunt ‘Keuze om wel of niet gezamenlijk een beleid te ontwikkelen voor de langere termijn’. De vergadering ging akkoord met het voorstel van Monique Bonsen (Burgermeester van Koggenland en bestuurlijk opdrachtgever) en Marc Winder (Gemeentesecretaris van Opmeer en ambtelijk opdrachtgever) om het vraagstuk vanuit een individueel strategisch sourcingsperspectief (op zowel de informatisering als de automatiseringstaken) te benaderen. Daarmee maken we er meer een bedrijfsvoeringsvraagstuk van dan een IM-vraagstuk. De werkgroep bestaat uit: Voorzitter: Marcel Koomen (strategisch adviseur regionale samenwerking van SED) en Silva Visser (afdelingshoofd Informatisering van SED) De hoofden bedrijfsvoering van Opmeer (Eduard Kerssemakers), Medemblik (Manja van der Weit, later Marja Schornagel), Koggenland (Tim Koenders) en SED (Petra Tabak); Extern adviseur: Wim Hoekstra.

Opdracht De werkgroep heeft de volgende opdracht gekregen:

Stel vast in welke mate de DeSom-gemeenten gedeelde ambities hebben om voor de lange termijn gezamenlijk visie te ontwikkelen op het gebied van Informatisering en Automatisering. Het antwoord op deze vraag dient tevens een herijking te vormen van de ‘businesscase’ van SSC DeSom: is deze publieke samenwerkingsvorm op het gebied van ICT nog passend voor de deelnemende gemeenten? Aanpak In een aantal ronden hebben we het volgende in kaart gebracht: 1. Analyse van strategische en beleidsdocumenten per organisatie op aspecten als ‘regionale samenwerking’, ‘sourcing’ en ‘informatiseringsambities’; 2. Inventarisatie van de huidige formatie I- en A-rollen/formatie per organisatie. Vooral om in kaart te brengen welke regieformatie aanwezig is; 3. Inventarisatie van per organisatie van sourcingsvoorkeuren ten aanzien van de verschillende (beheer)taken rond de informatisering en automatisering.; 4. Formulering eindconclusies en aanbevelingen.

3 Zie bijlage voor een beschrijving van de huidige overlegstructuur binnen het governance model van SSC DeSom

5

Aansluitend op iedere ronde zijn de tussenresultaten met de werkgroepleden geduid en bediscussieerd. De doorlooptijd van de opdracht is langer geworden dan gepland. Deels door onbekendheid van de werkgroepleden met het vakgebied van I&A, deels door agenda-uitdagingen.

6

Analyse strategische en beleidsdocumenten per organisatie In onderstaande tabel is met trefwoorden de inhoud van de diverse strategische (denken) en tactische documenten (doen) samengevat:

Conclusies: Geen van de gemeenten heeft in beleid/visiedocumenten het onderwerp ‘sourcingstrategie’ opgenomen. Er wordt wel melding gemaakt van de toename van SaaS (onontkoombare trend, niet zozeer een keuze); SED en Opmeer na hebben in beleid/visiedocumenten ambities rond regionale samenwerking op informatisering of anderszins opgenomen; Daar waar gemeenten nu onderling op onderwerpen samenwerken (los van SSC DeSom) zijn die samenwerkingsvormen ad hoc tot stand gekomen; Alle organisaties hebben (los van elkaar) ambities op de volgende terreinen (de grijze regels in de tabel): o Informatiebeveiliging (4 van de 4); o Datagedreven werken (4 van de 4); Daarnaast hebben wisselende duo’s (los van elkaar) ambities op de volgende onderwerpen (de gele vlakken): o Robotisering; o Doorontwikkeling dienstverlening; o Ketenprocessen verbeteren; o Verbetering werkplek; o Wetsimplementaties.

7

Conclusies naar aanleiding van bespreking van deze inventarisatie: Er is geen formele gezamenlijke stip op de horizon als het gaat om informatisering of automatisering; Er is geen drive tot harmonisatie van applicaties (die behoefte neemt nog verder af door toename van SaaS); Haalbaarheid van de geformuleerde ambities zal verder afhankelijk zijn van de kwalitatieve en kwantitatieve formatie (zie volgend hoofdstuk).

8

Huidige formatie I- en A-rollen We hebben de I- en de A-formatie van zowel de deelnemers als het SSC geïnventariseerd en vergeleken met de landelijke ‘ICT benchmark Gemeenten’ van bureau M&I Partners (gemeenten en het SSC hebben in het recente verleden 1x deelgenomen aan deze benchmark). Wat opvalt is de beperkte regieformatie per gemeente. Deze formatie moet vraag en aanbod op elkaar afstemmen binnen de eigen organisatie. Regie voeren op zowel de gemeentelijke applicatieleveranciers als op het SSC. Wat bij de gemeenten verder opvalt is de lage change formatie per organisatie (projectleiding). Zo nu en dan worden ‘functionele’ projectleiders door de gemeenten ingehuurd. Of projecten worden geleid door medewerkers zonder projectleidersvaardigheden. Dit verklaart mede het soms moeizame karakter van projecten waarbij zowel SSC DeSom als de gemeenten betrokken zijn. Conclusies ten aanzien van de gemeentelijke formatie: Kwetsbare regieformatie; Kwetsbare advies formatie; Kwetsbare change formatie; Kwetsbare functioneel beheer formatie; Nauwelijks formatie om invulling te geven aan ambities rond datagedreven werken. De beperkte regie- en changeformatie verklaren waarom de gemeenten er niet in geslaagd zijn om het opdrachtgeverschap richting SSC DeSom goed invulling te geven.

De kwetsbare i-formatie zal het voor de gemeenten steeds lastiger maken hun verplichtingen vanuit wet- en regelgeving en hun ambities te realiseren. Ook is opgevallen dat de hoofden bedrijfsvoering tot nu toe nauwelijks een rol hebben gespeeld in het vaststellen van beleid en het monitoren van de performance van DeSom. En dat voor een belangrijk onderdeel van de gemeentelijke bedrijfsvoering.

Conclusies naar aanleiding van bespreking van deze inventarisatie: Er is geen formeel beleid om kwetsbare formatie situaties op te lossen. Een sourcingstrategie kan daaraan invulling geven. Een dergelijke strategie koppelt doelstellingen van de organisatie (bijvoorbeeld ‘definitie kerntaken’, ‘voorkom kwetsbaarheid’ of ‘borg continuïteit’) aan sourcingskeuzes (uitbreiding eigen formatie, inhuur, samenwerking, outsourcing). Gemeenten hebben geen sourcingstrategieën geformuleerd; Er lijken wel samenwerkingsmogelijkheden te zijn op het gebied van Informatiebeveiliging en datagedreven werken (zie tabel in vorig hoofdstuk) Hoofden bedrijfsvoering moeten een prominente rol krijgen in de aansturing van DeSom.

9

Sourcingsvoorkeuren Onderstaande afbeelding geeft een weergave van alle I&A taken met in kleur aangegeven welke organisatie op dit moment verantwoordelijk is voor de uitvoering van de taken. De gemeenten hebben in kaart gebracht hoe zij in de toekomst de sourcing van deze taken zien. Daarbij konden zij kiezen uit de volgende opties: Zelf doen; Inhuur (geen resultaatverplichting); Outsourcing (resultaatverplichting); Publieke samenwerking met vrije partnerkeuze; Publieke samenwerking met DeSom-gemeenten; Combinatie van bovenstaande opties.

Figuur: Huidige situatie

10

De bevindingen: 1. Geen enkele gemeente sluit vormen van publieke samenwerking op het gebied van ICT uit (hetzij met vrije keuze, hetzij in DeSom-verband); 2. Geen enkele gemeente kiest voor 1 sourcingsmodel of een ‘one size fits all’ model als het gaat om ICT beheertaken maar hebben wel een voorkeur voor samenwerken als de kwaliteit van de dienstverlening beter aansluit op de behoefte; 3. Het (netwerk)segmentatie project leidt tot een multi-tenant Microsoft365 omgeving (iedere gemeente haar eigen M365 omgeving), dan is dat het moment waarop gemeenten meer ‘werkplek gerelateerde taken’ anders invulling willen gaan geven (zelf doen, inhuur, outsourcing of in publieke samenwerking met vrije keuze); 4. Voor het Microsoft Azure beheer en alle toepassingen op dat platform (zoals datagedreven werken, innovatieve toepassingen) kan eenzelfde redenatie gaan gelden; 5. Ten aanzien van audits en werkplek gerelateerd functioneel beheer (accountbeheer, M365, telefonie) verschuiven taken van het SSC naar gemeenten die vervolgens zelf bepalen hoe ze de sourcing invulling gaan geven (zelf doen, inhuur of vrije vormen van publieke samenwerking). Conclusies naar aanleiding van bespreking van deze inventarisatie: 1. Het feit is dat de gemeenten gezamenlijk een SSC DeSom hebben. 2.

Einddata van financieel ‘zware’ contracten van SSC DeSom met externe partijen vormen natuurlijke momenten waarop wijzigingen in sourcing doorgevoerd kunnen worden. o De infrastructuur is in eigendom bij SSC DeSom en afgeschreven tegen de tijd dat ook de externe beheercontracten aflopen; o Beheer Datacenter/Infrastructuur contract: aug 2024 afloop, met optie op 2x 1 jaar verlenging (praktisch gesproken kan contract beëindigd worden op aug 2025, aug 2026 loopt het contract per definitie af). o Oracle/SQL beheercontract: feb 2025, met optie op 2x 1 jaar verlenging 3. Een oplossingsrichting die bovenstaande 2 punten als startpunt neemt is gerechtvaardigd omdat geen enkele gemeente publieke samenwerking uitsluit.

11

Eindconclusies De inventarisaties en de gesprekken hebben duidelijk gemaakt dat de deelnemers in principe verder willen met de samenwerking binnen DeSom, maar dat daar wel voorwaarden aan verbonden zijn. Deze samenwerking beperkt zich tot Automatisering (techniek). Op het gebied van Informatisering (toepassingen van die techniek: applicaties) wensen de gemeenten de vrijheid te houden om zowel op inhoud (applicatiekeuze) als op samenwerkingsvorm (sourcing) eigen keuzes te maken. Dat zal dan moeten leiden tot een andere scope en invulling van de DeSom samenwerking. Scope In de kern dient de samenwerking zich te gaan concentreren op technische basisvoorzieningen: Afhankelijk van de keuzes rond segmentering de netwerken op en tussen de locaties (gemeentelocaties, datacenters, internet); De infrastructuur die nodig is om de legacy applicaties te hosten; De security en beheer monitoring; Bijbehorende servicedesk ondersteuning. Ten aanzien van de volgende taken zal de samenwerking moeten kunnen meebewegen met de wensen van de deelnemers: Werkplek-gerelateerde taken: o Microsoft365 beheer (zowel inrichting als functioneel beheer; o Accountbeheer; Microsoft Azure beheer en eventuele toepassingen op dat platform; Audits. Indien de deelnemer dit wenst verschuiven deze taken de komende jaren van het SSC naar de gemeenten.

De gemeenten bepalen zelf hun sourcingskeuzen (zelf doen, inhuur of vrije vormen van publieke samenwerking). Iedere keuze zal in de uitwerking een nieuwe demarcatielijn moeten opleveren tussen taken waarvoor het SSC aan de lat staat en taken waarvoor de gemeente (of hun sourcingspartner) aan de lat staat. Invulling Kernwoord is ‘meebewegen’. De gemeenten willen een SSC DeSom die: Meebeweegt met het ontwikkeltempo van de afzonderlijke gemeenten; Meebeweegt met informatiebeveiligingseisen; Meebeweegt met trends in de markt (groei SaaS, kwetsbaarheden in formatie of kennis oplossen met andere sourcingskeuzes dan ‘zelf doen’); Meebeweegt met veranderende sourcingswensen van afzonderlijke deelnemers. In eerdere onderzoeken is reeds geconstateerd dat een lichter governance model dringend gewenst is. In dit governance model zal de rol van Opdrachtgever voor een belangrijk deel ingevuld moeten worden door de combinatie gemeentesecretaris/ hoofd bedrijfsvoering.

12

Bijlage 1: Overzicht huidige overlegstructuur

Legenda: GS=gemeentesecretaris, MT=management team, F=financiën, IM=informatiemanager, FAB=functioneel applicatiebeheerder, CM=contractmanager, D=directeur en A = adviseur

Uitgangspunt is dat het bestuur stelselverantwoordelijk is voor het samenwerkingsverband als geheel. Dit betekent het kiezen van een passend juridisch kader en governance structuur waarbinnen de ambtenaren en het bestuur hun werk goed kunnen uitvoeren. De gemeentesecretarissen zijn verantwoordelijk voor een goede organisatie en inrichting van de eigen uitvoering binnen de eigen gemeente en het eigen en gezamenlijk opdrachtgeverschap richting SSC DeSom. De uitvoering op dit terrein is in handen van zowel de specialisten binnen de gemeenten (in het bijzonder de informatiemanagers, contractmanagers en functioneel applicatiebeheerders) en SSC DeSom. Het eigenaarschap van de 6 gemeenten van SSC DeSom is thans geregeld in een GR Openbaar Lichaam. Hierin is geregeld dat er een AB wordt geformeerd, bestaande uit 6 bestuursleden, namens elke gemeente 1, waarbij elk van de leden verantwoording aflegt binnen het eigen College. Zij zijn als eigenaren verantwoordelijk voor het waarborgen van zowel de gemeentelijke belangen als dat van het samenwerkingsverband DeSom als geheel (stelselverantwoordelijkheid). Vanuit het AB vormen 3 leden het DB. Het DB is bestuurlijk verantwoordelijk voor het SSC DeSom en daarmee ook uitsluitend gericht op het functioneren van het SSC.

AB en DB worden geadviseerd door een AC, bestaande uit 4 gemeentesecretarissen (van de gemeenten Koggenland, Opmeer, Medemblik en namens de SEDgemeenten door 1 gemeentesecretaris).

13

Binnen de 4 organisaties hebben de informatiemanagers een adviserende rol richting hun AB(/DB) lid, en hun gemeentesecretaris. Naast de informatiemanagers zijn ook financieel specialisten betrokken bij de advisering aan het AB. Zij vormen gezamenlijk, onder voorzitterschap van een financieel specialist de zogenaamde Klankbordgroep Financiën en Informatiemanagement. De informatiemanagers hebben binnen de eigen organisatie naast hun adviserende rol ook een coördinerende rol richting hun eigen team, medewerkers van de vakafdelingen, de Functioneel Applicatie Beheerders en de contractmanagers. De contractmanagers zijn de spil in de uitvoering, en onderhouden het operationeel contact met SSC DeSom. Afstemming vindt plaats binnen het contractmanagers-overleg, aan dit overleg neemt ook WerkSaam deel. Afstemming tussen de informatiemanagers van SSC DeSom vindt plaats in het informatiemanagers-overleg. In Westfries verband (PIMWF) wordt regionaal op informatiemanagement niveau afstemming gezocht. Aan dit overleg nemen Hoorn en het Westfries Archief ook deel. Afhankelijk van de onderwerpen zijn ook anderen uitgenodigd voor dit overleg. Om te zorgen voor een goede aansturing en uitvoering van het informatiebeleid vinden binnen het samenwerkingsverband een aantal overleggen plaats.

Dit betekent dat naast de reguliere interne afstemming ook afstemming plaats vindt tussen de deelnemende gemeenten, en tussen de deelnemende gemeenten en SSC DeSom (zie onderstaande afbeelding). Hieruit blijkt het verschil in complexiteit tussen interne aansturing en het aansturen van een organisatie die gemeenschappelijk eigendom is. Om te zorgen voor een afstemming zijn op alle niveaus overleggen georganiseerd: Wat

Gremium

Leden

Beleid

Algemeen Bestuur

AB-leden + voorzitter Adviescommissie + Directeur SSC DeSom

Dagelijks Bestuur

DB-leden + voorzitter Adviescommissie + Directeur SSC DeSom

Adviescommissie

AC-leden + Directeur SSC DeSom

Financiële toets

Klankbordgroep van de adviescommissie

Financieel specialisten en Informatiemanagers van de 6 gemeenten + controller SSC DeSom, senior adviseur SSC DeSom

I-advies

IM SSC DeSom

4 informatiemanagers (SED voorzitter), adviseur SSC DeSom en informatiemanager van WerkSaam

Uitvoering

Planningsoverleg

4 Contractmanagers, contractmanager WerkSaam en adviseur DeSom / wijzigingsbeheerder SSC DeSom

Contractmanagersoverleg

4 Contractmanagers, contractmanager WerkSaam en adviseur DeSom

Wat hier opvalt is dat strikt genomen het strategisch opdrachtgeverschap niet is belegd binnen de gemeenten. Er is sprake van sturing op het SSC DeSom door het DB, de kaders worden gesteld in het AB, er wordt geadviseerd door de gemeentesecretarissen, informatiemanagers en Financieel deskundigen. Alleen op tactisch operationeel niveau is het opdrachtgeverschap belegd, namelijk bij de contractmanagers.

14

Bijlage 2: Sourcingsvoorkeuren per gemeente • • • •

Sourcingsvoorkeuren SED Sourcingsvoorkeuren Opmeer Sourcingsvoorkeuren Medemblik Sourcingsvoorkeuren Koggenland

15

Koggenland Hoe kijken we aan tegen het takenpakket dat voortvloeit uit de vier top-of-mind onderwerpen?

Taak Zelf doen

Inhuur

Microsoft365/Azure beheer: Technisch beheer van Microsoft365/Azure platform Azure Active Directory beheer Rollen beschrijven/beheren en koppelen aan rechten (Role Based Access Control/Identity Access Management)

Outsourcing

Publieke Publieke samenwerking (vrije samenwerking DeSomkeuze) deelnemers Opmerking

X

X X X

X X X

X X X

X

X

X

X

X

X

X

X

X

X

X

X

X

X X

X

X

X

X

X

X X

X

X

Accounts aanmaken/Accountbeheer IAM/RBAC Beheer Mobile Device Management tooling (Intune/Autopilot) Functioneel beheer Office365 overkoepelend (we zitten allen in 1 Microsoft365 tenant) Functioneel beheer Office365 lokaal (lokale ondersteuning en lokaal doorvoeren functionele wensen)

X

Contractbeheer/management/regie richting applicatieleveranciers Afstemming aanbestedingen/selectietrajecten met andere gemeenten (vaststellen of samen optrekken gewenst is) Inbreng/bewaking technische eisen bij selectietrajecten applicaties (om te voorkomen dat er alsnog technische aanpassingen op de infrastructuur nodig zijn) Functioneel beheer koppelingen/datadistributie/berichtenverkeer Technisch beheer koppelingen/datadistributie/berichtenverkeer Koppelen SaaS aan het centrale authenticatiemechanisme (AD en Multifactorauthenticatie) Publicatie van het start icoon op de werkplek (hetzij in het startmenu, hetzij op een portal/bureaublad) Monitoring beschikbaarheid en performance van de SaaS-applicaties (en ketens) Certificaten beheer

X X

Beschrijven van de rollen en rechten zelf, technische uitvoering door een derde partij Beschrijven van de rollen en rechten zelf, technische uitvoering door een derde partij beleid door de organisatie, beheer door een derde partij Segementeren is geen 1 tenant

X

SaaS:

X X

X X

Afhankelijk keuze beheer AD

Overheidscertificaten, mogen deze buiten overheid beheerd worden?

Security De (applicatie)leveranciers auditen

X

X

X

Regievoering zelf, uitvoering door derde partij.

Werkplek Beheer devices (inrichting, inpoelen, uitleveren) Beheer lokale hardware (multifunctionals, schermen, wifi access points, etc) Integratie van connectiviteit (Wifi), Citrix apps/werkplek, SaaS apps, Print/scan/kopieer op de devices Functioneel beheer telefonie

X

X

X

X

X

X X

X X

X X

X

X

X

X

X

X

X

Technisch beheer telefonie (zolang telefonie nog geen SaaS is)

uitleveren zelf doen, inrichting en inspoelen door derde partij Afhankelijk soort apparatuur

Afhankelijk van segmentatie, eigen centrale

Hoe kijken we aan tegen de rest van het takenpakket van SSC DeSom?

Taak Zelf doen

Inhuur

ICT-beheer Servicedesk (gebruikersondersteuning) System en Security monitoring (inclusief SIEM) en Sec. Opps.Center lokaal 24x7 Sec. Opps.Center Technisch applicatiebeheer/Citrix legacy apps (inclusief ondersteuning bij koppelingen tussen applicaties Oracle/SQL database beheer legacy apps Beheer ICT basis infrastructuur private IaaS (nu door SLTN) Beheer ICT basis infrastructuur public IaaS Azure Beheer ICT netwerk op de gemeentelijke locaties (LAN) Beheer ICT netwerk tussen de locaties en SLTN (WAN) Tactische en strategische ITIL processen Advies & Change

Publieke Publieke samenwerking (vrije samenwerking DeSomOutsourcing keuze) deelnemers Opmerking X X

X X

X X

X

X

X

X X X X X X

X X X X X X

X X X X X X

X

X

X

X

X

X X

X X

X X

X

X

X

X

X

Geen onderdeel takenpakket DeSom

ICT-adviseur Solution architect/infra architect Technische projectleiding

wanneer hier technisch adviseur wordt bedoeld

Regie Contract- en Leveranciermanagement richting ICT-leveranciers Audits Technische audits/ISO27001/ISAE3402 gericht op ICT-leveranciers

X X

Werkplek Technisch beheer vaste telefonie Data toepassingen Technisch beheer dataplatform Azure Technisch koppelen databases applicaties aan Azure DWH (data-engineer)

SaaS zelf, platform andere kruisjes Regievoering zelf, uitvoering door derde partij. Zie regel 31, staat er dubbel in

X X

X X

X X

Welke kwetsbaarheden zie je verder nog binnen je eigen gemeente?

Taak Invulling van de rol van een Enterprise architect

Zelf doen X

Inhuur X

Publieke Publieke samenwerking (vrije samenwerking DeSomOutsourcing keuze) deelnemers Opmerking X X

Medemblik Hoe kijken we aan tegen het takenpakket dat voortvloeit uit de vier top-of-mind onderwerpen?

Taak Zelf doen

Inhuur

Outsourcing

Publieke Publieke samenwerking (vrije samenwerking DeSomkeuze) deelnemers Opmerking

Microsoft365/Azure beheer: X

X

X

X X

X X

X X

Technisch beheer van Microsoft365/Azure platform Azure Active Directory beheer X

Het komende Informatiebeveiligingsbeleid zal sturen op segmenatie van andere klanten bij een dienst verlener. In mijn ogen zal het overkoepelenddeel van Azure verdwijnen en elke organisatie een eigen Tenant krijgen. RBAC kan opgesplitst worden in twee onderdelen; 1) Technisch en 2) Organisitorisch Het technische aspect ligt bij Outsourcing of Publieke samenwerking

Rollen beschrijven/beheren en koppelen aan rechten (Role Based Access Control/Identity Access Management)

Het organisitorische aspect ligt bij elke organisatie individueel. Zelf Doen Accounts aanmaken/Accountbeheer IAM/RBAC Beheer Mobile Device Management tooling (Intune/Autopilot) Functioneel beheer Office365 overkoepelend (we zitten allen in 1 Microsoft365 tenant)

X X

X

X

X

Functioneel beheer Office365 lokaal (lokale ondersteuning en lokaal doorvoeren functionele wensen)

X

Contractbeheer/management/regie richting applicatieleveranciers

X X

Het komende Informatiebeveiligingsbeleid zal sturen op segmenatie van andere klanten bij een dienst verlener. In mijn ogen zal het overkoepelenddeel van Office 365 verdwijnen en elke organisatie een eigen Tenant krijgen.

SaaS: Afstemming aanbestedingen/selectietrajecten met andere gemeenten (vaststellen of samen optrekken gewenst is) Inbreng/bewaking technische eisen bij selectietrajecten applicaties (om te voorkomen dat er alsnog technische aanpassingen op de infrastructuur nodig zijn) Functioneel beheer koppelingen/datadistributie/berichtenverkeer

Dit ligt altijd bij de organisatie zelf. In het verleden is geprobeerd om diverse harmonisatie en rationalisatie projecten op te starten. Dit is niet gelukt. Regionale inkopen zijn vaak langdradig en lopen vast door de uiteenlopende meningen.

X

X

X X

X

Het technisch beheer van koppelingen is een ruim begrip. De beantwoording van deze vraag hangt van de context af. Voorbeeld is dat een koppeling van cloud naar cloud kan gaan en de SaaS-leveranciers dit doen. Een ander voorbeeld is dat een koppeling tussen Cloud diensten ook via DeSom loopt omdat dit een vereiste is.

Technisch beheer koppelingen/datadistributie/berichtenverkeer

Koppelen SaaS aan het centrale authenticatiemechanisme (AD en Multifactorauthenticatie) Publicatie van het start icoon op de werkplek (hetzij in het startmenu, hetzij op een portal/bureaublad)

X

Monitoring beschikbaarheid en performance van de SaaS-applicaties (en ketens) Certificaten beheer

X

X

X

X

X

X X

X

X

X

X

X

X

SaaS-leveranciers zijn zelf verantwoordelijk voor de monitoring van diensten. In een contract, SLA/DVO leg je de beschikbaarheids- en performance eisen vast in KPI's en KSF's. Dit wordt periodiek via de service overleggen terug gerapporteerd. Een organisatie is ook zelf verantwoordelijk voor het vastleggen welke certificaten beheer worden.

Security X

Dit ligt bij iedere organisatie individueel. De AVG en BIO verplichten ons hiertoe. Naar verwachting wordt de BIO per 2024/ 2025 wettelijk verplicht als gevolgens van de nieuwe Europese wetgeving NIS2.

De (applicatie)leveranciers auditen Werkplek Beheer devices (inrichting, inpoelen, uitleveren)

X X

X X

X X

X X

X

X

X

X

X X

X

X

X

Beheer lokale hardware (multifunctionals, schermen, wifi access points, etc) Integratie van connectiviteit (Wifi), Citrix apps/werkplek, SaaS apps, Print/scan/kopieer op de devices Functioneel beheer telefonie Technisch beheer telefonie (zolang telefonie nog geen SaaS is)

Dit punt hangt af van de context. Een presentatiescherm die b.v. zelf door een organisatie is aangeschaft is onder eigen beheer, hier kunnen ook nadere afspraken over gemaakt zijn bij de leverancier. Maar Eentje die via DeSom is aangeschaft is ligt bij DeSom.

Hoe kijken we aan tegen de rest van het takenpakket van SSC DeSom?

Taak Zelf doen

Inhuur

Outsourcing

Publieke Publieke samenwerking (vrije samenwerking DeSomkeuze) deelnemers Opmerking

ICT-beheer X

X

X

X

X

X

X

Servicedesk (gebruikersondersteuning)

Servicedesk is een berde term. Binnen Medemblik is als een servicedesk voor enkele informatiesystemen aanwezig. De scheiding moet daarom gelegd worden wie welke dienst beheerd. Systeem en security monitoring dienen gescheiden te worden. Systeem monitoring gaat over de technische staat van de infrastructuur. Dit is aan een ICT-partner zelf om te monitoren. Publieke Samenwerking

System en Security monitoring (inclusief SIEM) en Sec. Opps.Center lokaal

24x7 Sec. Opps.Center Technisch applicatiebeheer/Citrix legacy apps (inclusief ondersteuning bij koppelingen tussen applicaties Oracle/SQL database beheer legacy apps Beheer ICT basis infrastructuur private IaaS (nu door SLTN) Beheer ICT basis infrastructuur public IaaS Azure Beheer ICT netwerk op de gemeentelijke locaties (LAN) Beheer ICT netwerk tussen de locaties en SLTN (WAN) Tactische en strategische ITIL processen Advies & Change ICT-adviseur Solution architect/infra architect Technische projectleiding Regie Contract- en Leveranciermanagement richting ICT-leveranciers

X X

Security monitoring en Sec. Opps. Center is geen onderdeel van ICT-beheer. Dit vraagt andere expertice. In regionaal verband zijn wij te klein om dit zelf in te richten, onderhouden en kennis op te bouwen. Dit zal bij expertice partijen belegd moeten worden. Outsourcing of publieke samenwerking Zie opmerking hierboven. Regionaal zijn wij te klein om een volwassen security monitoring en sec. opps. Center in te richten.

X

X

X

X

X

X X X X X X

X X X X X X

X X X X X X

ITIL-processen zijn ten alterijden onderdeel van een A-afdeling of leverancier.

X X X

X

De organisatie die contracteigenaar is voert het contract en leveranciersmanagement uit.

Audits Technische audits/ISO27001/ISAE3402 gericht op ICT-leveranciers Werkplek Technisch beheer vaste telefonie Data toepassingen Technisch beheer dataplatform Azure Technisch koppelen databases applicaties aan Azure DWH (data-engineer)

X

X

X

Outsourcing als in een meerjaren overenkomst.

X

X

X

X X

X X

X X

Welke kwetsbaarheden zie je verder nog binnen je eigen gemeente?

Taak BISL-processen ASL-processen Business Continuiteit ICT-Crisisplan Kwetsbaarhedenbeheer

Zelf doen X X X X X

Inhuur

Outsourcing

X X

X

Publieke Publieke samenwerking (vrije samenwerking DeSomkeuze) deelnemers Opmerking

X X

X X

Opmeer Hoe kijken we aan tegen het takenpakket dat voortvloeit uit de vier top-of-mind onderwerpen?

Taak Zelf doen

Inhuur

Outsourcing

Microsoft365/Azure beheer: Technisch beheer van Microsoft365/Azure platform Azure Active Directory beheer Rollen beschrijven/beheren en koppelen aan rechten (Role Based Access Control/Identity Access Management)

x

x x x

x x x

?

x x ?

x x ?

Accounts aanmaken/Accountbeheer IAM/RBAC Beheer Mobile Device Management tooling (Intune/Autopilot) Functioneel beheer Office365 overkoepelend (we zitten allen in 1 Microsoft365 tenant)

Publieke Publieke samenwerking (vrije samenwerking DeSomkeuze) deelnemers Opmerking

Gemeenten beschrijven rollen; koppelen van rechten doet gezamenlijke partij

Zie hieronder, graag per gemeenten Momenteel hebben alle organisaties hun eigen functionee O365 beheerder. Echter ligt er ook nog een deel technisch beheer bij DeSom. Ik weet niet of ik voldoende duidelijk heb wat je met deze en de taak hieronder bedoelt

x Functioneel beheer Office365 lokaal (lokale ondersteuning en lokaal doorvoeren functionele wensen)

SaaS: Contractbeheer/management/regie richting applicatieleveranciers Afstemming aanbestedingen/selectietrajecten met andere gemeenten (vaststellen of samen optrekken gewenst is)

x x x

x

x x

x x

x

x

x x

x x

Inbreng/bewaking technische eisen bij selectietrajecten applicaties (om te voorkomen dat er alsnog technische aanpassingen op de infrastructuur nodig zijn) Functioneel beheer koppelingen/datadistributie/berichtenverkeer Technisch beheer koppelingen/datadistributie/berichtenverkeer Koppelen SaaS aan het centrale authenticatiemechanisme (AD en Multifactorauthenticatie) Publicatie van het start icoon op de werkplek (hetzij in het startmenu, hetzij op een portal/bureaublad) Monitoring beschikbaarheid en performance van de SaaS-applicaties (en ketens) Certificaten beheer

Afhankelijk waar onze infrastructuur zich bevindt wil je wel hiervoor een expert kunnen raadplegen die kennis heeft van onze infra

x

x

gezamenlijke taak Let op, ook steeds meer met Saas door leveranciers

Security x

x

x

Grote wens om aan de ISO 27001 te voldoen voor ons landschap. Auditen van andere partijen houden we vast aan hun certificaten

De (applicatie)leveranciers auditen Werkplek Beheer devices (inrichting, inpoelen, uitleveren) Beheer lokale hardware (multifunctionals, schermen, wifi access points, etc) Integratie van connectiviteit (Wifi), Citrix apps/werkplek, SaaS apps, Print/scan/kopieer op de devices Functioneel beheer telefonie

?

Technisch beheer telefonie (zolang telefonie nog geen SaaS is)

x x x

x x x

?

?

x

x

Onvoldoende inzichtelijk wat deze taak omvat

Hoe kijken we aan tegen de rest van het takenpakket van SSC DeSom?

Taak Zelf doen

Inhuur

Publieke Publieke samenwerking (vrije samenwerking DeSomOutsourcing keuze) deelnemers Opmerking

ICT-beheer Servicedesk (gebruikersondersteuning) System en Security monitoring (inclusief SIEM) en Sec. Opps.Center lokaal 24x7 Sec. Opps.Center Technisch applicatiebeheer/Citrix legacy apps (inclusief ondersteuning bij koppelingen tussen applicaties Oracle/SQL database beheer legacy apps Beheer ICT basis infrastructuur private IaaS (nu door SLTN) Beheer ICT basis infrastructuur public IaaS Azure Beheer ICT netwerk op de gemeentelijke locaties (LAN) Beheer ICT netwerk tussen de locaties en SLTN (WAN) Tactische en strategische ITIL processen Advies & Change ICT-adviseur Solution architect/infra architect Technische projectleiding Regie Contract- en Leveranciermanagement richting ICT-leveranciers Audits Technische audits/ISO27001/ISAE3402 gericht op ICT-leveranciers Werkplek Technisch beheer vaste telefonie Data toepassingen Technisch beheer dataplatform Azure Technisch koppelen databases applicaties aan Azure DWH (data-engineer)

x x

? ?

x x

x

x x x

x x x

x

x

x

x

x x x x x

x x x x x

x x x

x x x

Graag toelichting op rol

x

x

Afhankelijk van het contract

Er zijn geen harde afspraken voor 24x7; het is op basis van best effort

Met versaas steeds meer bij leveranciers

Graag toelichting op rol

x Hebben we niet in opmeer x x

x x

Welke kwetsbaarheden zie je verder nog binnen je eigen gemeente?

Taak Zelf doen

Inhuur

Outsourcing

Publieke Publieke samenwerking (vrije samenwerking DeSomkeuze) deelnemers Opmerking

SED Hoe kijken we aan tegen het takenpakket dat voortvloeit uit de vier top-of-mind onderwerpen?

Taak Zelf doen Microsoft365/Azure beheer: Technisch beheer van Microsoft365/Azure platform Azure Active Directory beheer Rollen beschrijven/beheren en koppelen aan rechten (Role Based Access Control/Identity Access Management) Accounts aanmaken/Accountbeheer IAM/RBAC Beheer Mobile Device Management tooling (Intune/Autopilot) Functioneel beheer Office365 overkoepelend (we zitten allen in 1 Microsoft365 tenant) Functioneel beheer Office365 lokaal (lokale ondersteuning en lokaal doorvoeren functionele wensen) SaaS: Contractbeheer/management/regie richting applicatieleveranciers Afstemming aanbestedingen/selectietrajecten met andere gemeenten (vaststellen of samen optrekken gewenst is) Inbreng/bewaking technische eisen bij selectietrajecten applicaties (om te voorkomen dat er alsnog technische aanpassingen op de infrastructuur nodig zijn) Functioneel beheer koppelingen/datadistributie/berichtenverkeer Technisch beheer koppelingen/datadistributie/berichtenverkeer Koppelen SaaS aan het centrale authenticatiemechanisme (AD en Multifactorauthenticatie) Publicatie van het start icoon op de werkplek (hetzij in het startmenu, hetzij op een portal/bureaublad) Monitoring beschikbaarheid en performance van de SaaS-applicaties (en ketens) Certificaten beheer Security De (applicatie)leveranciers auditen Werkplek Beheer devices (inrichting, inpoelen, uitleveren) Beheer lokale hardware

(multifunctionals, schermen, wifi access points, etc) Integratie van connectiviteit (Wifi), Citrix apps/werkplek, SaaS apps, Print/scan/kopieer op de devices Functioneel beheer telefonie Technisch beheer telefonie (zolang telefonie nog geen SaaS is)

Inhuur

Publieke Publieke samenwerking (vrije samenwerking DeSomOutsourcing keuze) deelnemers Opmerking X X

X X

X

X

X

X X

X X

X X X

X

X X X X

X X X

X

SAAS levanciers SLA SAAS levanciers SLA

X X X X

X

gaat verdwijnen X

Hoe kijken we aan tegen de rest van het takenpakket van SSC DeSom?

Taak Zelf doen ICT-beheer Servicedesk (gebruikersondersteuning) System en Security monitoring (inclusief SIEM) en Sec. Opps.Center lokaal 24x7 Sec. Opps.Center Technisch applicatiebeheer/Citrix legacy apps (inclusief ondersteuning bij koppelingen tussen applicaties Oracle/SQL database beheer legacy apps Beheer ICT basis infrastructuur private IaaS (nu door SLTN) Beheer ICT basis infrastructuur public IaaS Azure Beheer ICT netwerk op de gemeentelijke locaties (LAN) Beheer ICT netwerk tussen de locaties en SLTN (WAN) Tactische en strategische ITIL processen Advies & Change ICT-adviseur Solution architect/infra architect Technische projectleiding Regie Contract- en Leveranciermanagement richting ICT-leveranciers Audits Technische audits/ISO27001/ISAE3402 gericht op ICT-leveranciers Werkplek Technisch beheer vaste telefonie Data toepassingen Technisch beheer dataplatform Azure Technisch koppelen databases applicaties aan Azure DWH (data-engineer)

Inhuur

Outsourcing

X

Publieke Publieke samenwerking (vrije samenwerking DeSomkeuze) deelnemers Opmerking X X X

X X X X X X X

X X X X

totdat alles SAAS is

X X X

X

X x x

x X

x

X

X

SOM voor de Infra licenties

gaat verdwijnen x x

Welke kwetsbaarheden zie je verder nog binnen je eigen gemeente?

Taak Architectuur Applicatielandschap beheren Informatiearchitectuur

Zelf doen x x

Inhuur

Outsourcing

Publieke Publieke samenwerking (vrije samenwerking DeSomkeuze) deelnemers Opmerking x x