Verslag Forum Standaardisatie 6 mei 2020

Vergadering: Forum Standaardisatie 24 juni 2020

Agendapunt: 1B

Documentnummer: FS-20200624.1B

Download hier de PDF versie van dit vergaderstuk. Wij kunnen de digitale toegankelijkheid van het PDF bestand niet garanderen.

Rechten: CC0 publieke domein verklaring

Versie: 1.0

Aanwezig

Larissa Zegveld (voorzitter),
Rudi Bekkers (Technische Universiteit Eindhoven),
Yvonne van der Brugge (Logius, secretaris),
Thomas Faber (Ministerie van Economische Zaken en Klimaat, DDE),
Cor Franke (Franke Interim Management),
Gerard Hartsink (financiële sector),
Marc van Hilvoorde (namens CIO Rijk),
Floor Jas (Surfnet),
Joop van Lunteren (adviseur),
Wim van Nunspeet (CBS),
Benno Overeinder (NLnet Labs),
Friso Penninga (Geonovum),
Theo Peters (VNG Realisatie),
Ad Reuijl (Manifestgroep/CIP),
Gerard Smits (Waterschapshuis)

Afwezig: 

Gijs Boudewijn (Betaalvereniging),
Hetty Lucassen (Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, DDO),
Harry Roumen (Belastingdienst),
Anneke Spijker (Interprovinciaal Overleg),
Michiel Steltman (DINL),
Rob Verweij (RINIS)

Namens bureau: 

Redouan Ahaloui (adviseur),
Michel Faro (adviseur, gedetacheerd),
Désirée Castillo Gosker (adviseur),
Robin Gelhard (adviseur),
Bart Knubben (adviseur),
Ludwig Oberendorff (hoofd),
Joram Verspaget (secretaris bureau, notulen),
Han Zuidweg (adviseur)

1. Opening, agenda, verslag

Actie: Ter besluitvorming

1A Agenda
1B Verslag + resumé Forum Standaardisatie 4 maart 2020

Larissa Zegveld heet alle aanwezigen welkom op deze eerste online vergadering van het Forum Standaardisatie. Gekozen is voor het platform Jitsi Meet op een server van het ministerie van BZK (v.rijksconnect.nl) vanwege de veiligheid en het ontbreken van externe dienstverlener-voorwaarden.

1A Agenda

1B Verslag + resumé Forum Standaardisatie 4 maart 2020

Het Forum geeft een enkele tekstuele wijziging mee en gaat daarmee akkoord met het verslag.

Voor een volgende Forum-vergadering wordt gevraagd om een nadere toelichting op waar we nu staan naar aanleiding van de kamerbrief over het rapport inventarisatie standaardisatie (=actiepunt).

In een volgende Forum-vergadering volgt een toelichting op de stand van zaken over het traject Data Delen (EZK) (=actiepunt).

2. OBDO en Forum Standaardisatie

Actie: Ter besluitvorming en ter kennisname

2 Oplegnotitie

Ter kennisname:
2A Terugkoppeling OBDO 18 maart 2020: Agendapunt Standaardisatie

Ter bespreking:
2B Verkenning nieuwe leden Forum Standaardisatie

2A Terugkoppeling OBDO 18 maart 2020: Agendapunt Standaardisatie

In de oplegger voor dit agendapunt staat de terugkoppeling over deze vergadering van het OBDO verwoord. Een belangrijk aandachtspunt is dat het OBDO vraagt om een centrale opdracht aan de Shared Service Centers en de zelfstandige bestuursorganen om de anti-phishing e-mailstandaarden te adopteren en streng te configureren (DMARC policy) in plaats van vanuit elk ministerie afzonderlijk.

2B Verkenning nieuwe leden Forum Standaardisatie

In een volgende fysieke vergadering van het Forum worden enkele organisaties voorgesteld waarmee in samenwerking de adoptie van open standaarden kan worden versterkt, evenals het maatschappelijk effect daarvan. Die samenwerking kan bijvoorbeeld vorm krijgen als lidmaatschap in het Forum, op persoonlijke titel. Een update op de verkenning hiervoor volgt de volgende Forum-vergadering (=actiepunt).

Het Forum geeft aanvullend de volgende overwegingen mee voor de verkenning:

• Beschouw de (maximale) grootte van het Forum.
• Voorkom doublures in leden met betrekking tot beleids- en uitvoeringsvelden, vul blinde vlekken in (o.a. het onderwerp data gedreven) en overweeg lidmaatschap namens het midden- en kleinbedrijf.
• Neem ook de attendance mee van het huidige Forum.
• Overweeg de mogelijkheid van het agendalidmaatschap of het lidmaatschap van de sectoren onderwijs en zorg, de laatste vanwege de ontwikkelingen op het gebied van identity management, privacy en cybersecurity. Over deze zaken worden afgestemd met de desbetreffende leden van het Forum (=actiepunt).
• Verken de mogelijkheid van lidmaatschap van partijen die standaarden moeten implementeren, al dan niet per standaard en aan aparte tafels en/of in een tweede ring rond het Forum.

3. Open Standaarden, lijsten

Actie: Ter besluitvorming en ter kennisname

Voorzitter: Wim van Nunspeet, namens de Stuurgroep open standaarden

3 Oplegnotitie

Plaatsing op de 'pas toe of leg uit'-lijst:
3A REST API Design Rules (standaard die helpt om met REST API’s eenduidig applicaties en databronnen snel en effectief met elkaar te verbinden en eenvoudig informatie uit te wisselen)
3B NL GOV Assurance profile for Oauth2.0(een autorisatiestandaard voor met name webbased applicaties die gegevens uitwisselen met behulp van API’s, het profiel bevat bindende afspraken over het gebruik van OAuth 2.0)

Plaatsing op de lijst van aanbevolen standaarden:
3C CAA (controleafspraak over uitgifte van digitale certificaten)
3D Vervanging van versie 3.0 van EPUB door versie 3.2 (een standaard voor het publiceren van niet-reviseerbare elektronische documenten in e-book formaat, geoptimaliseerd voor gebruik op - maar niet beperkt tot- draagbare apparaten zoals e-readers, tablets en smartphones)

Wim van Nunspeet voert namens de stuurgroep Open standaarden het woord.

Plaatsing op de 'pas toe of leg uit'-lijst:

3A REST API Design Rules

REST API Design Rules is een standaard die helpt om met REST API’s eenduidig applicaties en databronnen snel en effectief met elkaar te verbinden en eenvoudig informatie uit te wisselen. De standaard wordt aangedragen voor plaatsing op de 'pas toe of leg uit'-lijst.

Het Forum gaat akkoord met het voorstel.

3B NL GOV Assurance profile for Oauth2.0

NL GOV Assurance profile for OAuth 2.0 is een autorisatiestandaard voor met name webbased applicaties die gegevens uitwisselen met behulp van API’s. Het profiel bevat bindende afspraken over het gebruik van OAuth 2.0. De standaard wordt aangedragen voor plaatsing op de ‘pas toe of leg uit’-lijst. De oplegger voor dit agendapunt beschrijft hoe de toetsingsprocedure is uitgevoerd.

De standaard kan een wildgroei voorkomen van standaarden voor beveiliging van dit soort applicaties. Binnen het Forum wordt een plaatsing van deze standaard op de 'pas toe of leg uit'-lijst een mijlpaal genoemd. Wel wordt aandacht gevraagd voor de communicatie over de te zetten stappen in dit soort toetsingsprocedures. Ook wordt gevraagd nader toe te lichten hoe deze standaard (profiel OAuth2.0) en andere (als en i.c.m. REST API Design Rules en aangekondigde profiel OIDC) in de praktijk toegepast kunnen worden en wat de onderlinge samenhang is (=actiepunt).

Plaatsing op de lijst van aanbevolen standaarden:

3C CAA

CAA (Certification Authority Authorization Resource Record) is een DNS-record dat domeineigenaren extra controle geeft over SSL-certificaten, die worden uitgegeven voor diens domeinen. De standaard wordt aangedragen voor plaatsing op de lijst aanbevolen standaarden. De oplegger voor dit agendapunt beschrijft hoe de toetsingsprocedure is uitgevoerd en hoe men is gekomen tot dit advies.

Het Forum stemt zonder verdere opmerkingen in met het voorstel.

3D Vervanging van versie 3.0 van EPUB door versie 3.2

EPUB is een standaard voor het publiceren van niet-reviseerbare elektronische documenten in e-book-formaat, geoptimaliseerd voor gebruik op - maar niet beperkt tot - draagbare apparaten zoals e-readers, tablets en smartphones. Stichting Dedicon heeft versie 3.2 van EPUB aangemeld ter vervanging van EPUB 3.0 op de lijst aanbevolen standaarden. De oplegger voor dit agendapunt beschrijft hoe de toetsingsprocedure is uitgevoerd en hoe men is gekomen tot dit advies.

Het Forum stemt zonder verdere opmerkingen in met het voorstel. Het bureau zal naar aanleiding hiervan verder aandacht besteden aan de verhouding tussen PDF en EPUB (=actiepunt).

3E Onderzoek naar de aard van de lijst van open standaarden

Het Forum Standaardisatie wordt gevraagd om in te stemmen met het starten van een onderzoek naar het karakter van de lijst aanbevolen standaarden in relatie tot de ‘pas toe of leg uit’-lijst, dit met het oog op de taak van het Forum om de digitale interoperabiliteit van de (semi-)publieke sector te bevorderen.

Kern is dat momenteel de techniek centraal staat op de lijsten en dat er behoefte is aan bredere afspraken rond standaardisatie, onder andere rond architectuur en semantiek. Dit kan de interoperabiliteit bevorderen. De lijst aanbevolen standaarden zelf biedt ruimte voor het verlenen van status aan standaardisatie in bredere zin dan technische berichtstandaarden. Bovendien sluit het ook aan op de eerdere ‘pas toe of leg uit’ next level-discussie.

Het Forum ziet ruimte om het onderzoek breder te trekken, bijvoorbeeld door ook mogelijkheden náást de lijsten te verkennen (een ander formaat) om zo te tegemoet te komen aan de huidige behoeftes rond standaardisatie. Heb oog voor organisatorische processen en communicatie rond de standaarden, omdat de (technische) standaarden zelf vaak al zijn ingebed in een organisatie. Overweeg naast de huidige lijsten een lijst met best practices voor bijvoorbeeld architectuur en beschouw hoe je om moet gaan met standaarden die modulair worden toegepast. Zoek verbinding met het rapport inventarisatie standaardisatie en de doelstellingen uit NL Digibeter en verken de mogelijkheden voor het vastleggen van afspraken over standaarden voor voorzieningen. Neem ook de onderwerpen Cloud en internationaal in beschouwing. Heb daarbij ook oog voor de publieke sector, in plaats van alleen overheidsorganisaties waarvoor de pas-toe-of-leg-uit verplichting geldt.

Met deze opmerkingen stemt het in Forum met uitgesproken steun in met het starten van het onderzoek. Joop van Lunteren, Floor Jas en Benno Overeinder melden zich aan als sponsor voor het onderwerp.

3F Voortgang internetconsultatie

3G Stand van zaken rond lopende procedures

Voor kennisgeving aangenomen. Geen opmerkingen.

4. Open Standaarden, adoptie

Actie: Ter besluitvorming en ter kennisname

Voorzitter: Wim van Nunspeet, namens de Stuurgroep open standaarden

4 Oplegnotitie

Ter bespreking
4A IV-meting: benoemen organisatie leden Forum
4B Agendering IV-meting en Monitor open standaarden en sponsoring
door Forum-leden + aanwezigheid
4C Recente voorbeelden spoofing

Ter kennisname
4D Monitor Open Standaarden:
4D1 Analyse per organisatie Monitor Open Standaarden 2019
4D2 Gespreksnotities ICTU n.a.v. de onderzochte aanbestedingen en voorzieningen

4E Documentstandaarden
4F API's
4G Internet- en beveiligingsstandaarden
4H Standaarden voor e-facturatie en administratie
4I Overig

Wim van Nunspeet voert namens de stuurgroep Open standaarden het woord.

4A IV-meting: benoemen organisatie leden Forum

Forum Standaardisatie stimuleert de toepassing van moderne internetstandaarden om zo onder meer cybercriminaliteit te beperken. Het Forum Standaardisatie en de Forum-leden zelf dienen bij de toepassing van de verplichte standaarden het goede voorbeeld te geven. Aan ieder Forum-lid wordt daarom gevraagd:

• de eigen organisatie aan te sporen om de verplichte moderne internetstandaarden te implementeren;
• aan te geven wat eventuele knelpunten zijn voor adoptie binnen de eigen organisatie.

De website Internet.nl biedt inzicht in hoeverre een website, e-mail en internetverbinding gebruik maken van moderne, betrouwbare internetstandaarden. Naar aanleiding hiervan wijst Gerard Hartsink op vergelijkbare testwebsites in Zwitserland en Duitsland. In deze landen wordt ook aan de adoptie van de internetstandaarden wordt gewerkt. Zie bijvoorbeeld de informatie van Switch (Zwitserse SIDN) over DNSSEC: https://www.switch.ch/dnssec/. Zie ook de richtlijn van de Duitse overheid over Secure E-Mail Transport: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03108/TR03108-1.pdf

Het bureau kan de organisaties van de Forum-leden adviseren over implementatie van internetstandaarden en de wijze en resultaten van de metingen nader toelichten. Zo heeft het bureau contact met het Waterschapshuis (de regie- en uitvoeringsorganisatie voor de 21 waterschappen op het gebied van informatie- en communicatietechnologie) over de wijze van meten en rapporteren en de resultaten van de waterschappen in relatie tot de afspraken die de beleidsopdrachtgevers in het OBDO hebben gemaakt (zie https://www.forumstandaardisatie.nl/thema/meting-informatieveiligheidstandaarden-en-adoptieafspraken) . Ook de decentrale overheden, vertegenwoordigd in het OBDO, hebben zich hieraan gecommitteerd.

Het overzicht van in hoeverre de organisaties van de OBDO-leden voldoen aan de eigen gemaakte afspraken, waaronder ook adoptie van IPv6, moet blijven worden voorgelegd aan het OBDO, ook buiten de reguliere vergaderingen (=actiepunt). Deze stand van zaken kan breder worden gecommuniceerd. Het helpt organisaties die de veiligheidsstandaarden volledig implementeren te benoemen en te roemen. Dit bleek uit het gesprek dat een afvaardiging van het Forum met de TU Delft had over wat organisaties weerhoudt de veiligheidsstandaarden te implementeren. In te voeren gesprekken met organisaties hierover is het ook belangrijk te benadrukken dat de kwaliteit van de implementatie goed moet zijn en om te achterhalen welke drempels zij kennen die implementatie bij hen bemoeilijken. Organisaties moeten verder ook constructief worden geholpen met best practices en een handelingsperspectief, zoals het opnemen van volledige implementatie in een in control-verklaring. Haak hierbij aan op de actualiteit als er veel persaandacht is voor een groot veiligheidsprobleem bij overheid en/of bedrijfsleven.

4B Agendering IV-meting en Monitor open standaarden en sponsoring door

Forum-leden + aanwezigheid

In de volgende Forum-vergadering worden de Forum-leden vooraf gevraagd een update te geven over hun sponsorschap van de desbetreffende dossiers (=actiepunt).

In het overzicht zullen ook de afspraken in het OBDO over agendering van monitor en iv-meting in verschillende gremia worden genoemd. (-=actiepunt).

4C Recente voorbeelden spoofing

Aan het Forum wordt gevraagd om:

• kennis te nemen van recente incidenten en nieuws m.b.t. e-mailspoofing;
• te bespreken hoe meer urgentie kan worden gegeven aan het proactief toepassen van anti-spoofingstandaarden (voordat incidenten plaatsvinden);
• te bespreken hoe de herkenbaarheid van de overheid online kan worden vergroot zodat burgers phishing kunnen doorzien.

Twee manieren om schade door phishing te voorkomen zijn:

1. door als organisatie anti-spoofingstandaarden toe te passen om te voorkomen dat de eigen domeinen worden misbruikt, en
2. door bewustwording te creëren onder gebruikers hoe zij phishing kunnen herkennen.

Mogelijk kunnen in een brainstormsessie nieuwe ideeën worden ontwikkeld over hoe spoofing verder kan worden tegen gegaan. Het kan worden gekoppeld aan de jaarlijkse Monitor open standaarden. Een register voor de overheidswebsites zou hierbij kunnen helpen.

Gerard Smits vraagt – als lid van de begeleidingsgroep van het 1-overheidsdomeinnaam extensie –traject. Wat de status is van dat traject, en wat de follow-up wordt. Na de tweede bijeenkomst is het stil geworden. Een terugkoppeling over de stand van zaken volgt in een komende Forum-vergadering (=actiepunt BZK).

4D Monitor Open Standaarden:

4D1 Analyse per organisatie Monitor Open Standaarden 2019

Het gaat hier om een analyse van de onderzoeksresultaten van de Monitor Open Standaarden 2019 met betrekking tot een aantal grote overheidsorganisaties. Deze analyse zal in het Magazine van de Monitor Open Standaarden terugkomen.

In de bijlagen van het Monitor-rapport staat beschreven welke standaarden al dan niet toegepast zijn in de aanbestedingen en de voorzieningen.

4D2 Gespreksnotities ICTU n.a.v. de onderzochte aanbestedingen en voorzieningen

Geen opmerkingen.

4E Documentstandaarden

4F API's

4G Internet- en beveiligingsstandaarden

4H Standaarden voor e-facturatie en administratie

4I Overig

Geen opmerkingen.

5. Voortgang en communicatie

Actie: Ter kennisname en besluitvorming

5A Voortgangsnotitie

5A Voortgangsnotitie

Geen opmerkingen.

6. Rondvraag

Actie: Mondeling

Geen opmerkingen.

7. Sluiting

Actie: Mondeling

Actiepunten

Nummer	Actiepunt	Wie	Per datum	Status
53	Toelichten hoe profiel OAuth2.0 en andere (als en i.c.m. REST API Design Rules en aangekondigde profiel OIDC) in de praktijk toegepast kunnen worden en wat de onderlinge samenhang is.	BFS (Redouan)	6 mei 2020	Volgt
52	Toelichting stand van zaken n.a.v. onderzoek eendomeinnaamextensie.	BZK DOO i.o.	6 mei 2020	Volgt
51	Toevoegen overzicht agendering IV-meting en Monitor door OBDO-leden in eigen gelederen.	BFS (Joram)	6 mei 2020	Volgt
50	Update over sponsorschap in een volgende Forum-vergadering.	Forum (Joram)	6 mei 2020	Volgt in komende Forum-vergadering
49	Voorleggen voortgang streefbeeldsafspraken OBDO voorleggen aan OBDO.	BFS (Joram)	6 mei 2020	Wordt afgestemd met secretariaat OBDO
48	Toelichting op verhouding tussen PDF en EPUB	BFS (Han)	6 mei 2020
47	Toelichting op hoe NL GOV Assurance profile for Oauth2.0 in de praktijk kan worden toegepast.	BFS	6 mei 2020	Gerelateerd aan PTOLU Next level en afronding OIDC-profiel (najaar 2020)
46	Toelichting op hoe standaard REST API Design Rules in de praktijk kan worden toegepast.	BFS	6 mei 2020
45	Bilaterale afstemming over onderwijs en zorg in Forum.	BFS, Joop van Lunteren (onderwijs) en Friso Penninga (zorg).	6 mei 2020	Volgt
44	Nadere toelichting stand van zaken over traject Data Delen.	BFS (Robin)	6 mei 2020	Volgt in komende Forum-vergadering
43	Nadere toelichting stand van zaken kamerbrief rapport inventarisatie standaardisatie.	BZK DOO i.o.	6 mei 2020	Volgt in komende Forum-vergadering
42	Concrete praktijkvoorbeelden voor bestuurders over risico's niet-implementering en voordelen implementering open standaarden.	BFS (Bertwin)	4 maart 2020	Afstemming vindt plaats.
41	Nadere toelichting op wet DO over artikel 3 lid a en c in een volgende vergadering.	BFS (Désirée)	4 maart 2020	Volgt.
40	Afstemming met Rob Verweij over communicatie rond Monitor en IV-standaarden.	BFS (Robin)	4 maart 2020	Afstemming vindt plaats.
38	Organiseren expertsessie i.h.k.v. Data delen.	EZK, BZK (BFS faciliteert (Robin))	4 maart 2020	Afstemming vindt plaats.
37	Vinger aan de pols houden financiering beheer RIONED.	BFS	4 maart 2020	Doorlopend.
36	Oppakken aanbevelingen analyse IPv4 en IPv6.	BFS (Bart/Robin)	4 maart 2020	Inventarisatie aanpak opgepakt.
34	Inzake het traject Ptolu Next Level een duidelijk onderscheid maken tussen open standaarden die verplicht moeten worden uitgevraagd bij aanbestedingen en open standaarden die verplicht zijn te gebruiken (informatieveiligheidsstandaarden). Duidelijker moet worden gemaakt dat die laatste sowieso moeten worden toegepast (aanbesteding of niet).	BFS (Redouan)	4 maart 2020	loopt
33	Inzetten op een volwaardige aanpak van Internationaal in 2020.	BFS (Larissa, Ludwig)	4 maart 2020	loopt
28	Forumleden geven aanvullingen/correcties door op sponsorschap lijst.	Forum	doorlopend	Doorlopend.
27	Leveranciers (meer) betrekken in procedures intake standaarden en de meerwaarde voor hen duidelijk te maken.	BFS	11 december 2019	Wordt opgepakt.
26	Verkennen lidmaatschap vertegenwoordiger aanverwante organisaties en bedrijfsleven in Forum ter bespreking in een volgende Forum-vergadering.	Larissa+BFS	11 december 2019 4 maart 2020	Loopt.
23	Aandacht wordt gevraagd voor de ontsluiting van wetgeving in PDF-en HTML-formaat in relatie tot Digitoegankelijkheid en hoe de ontwikkeling naar primair HTML moet worden gestimuleerd.	BFS (Han)	9 oktober 2019	Doorlopend.
16	Onderzoeken in hoeverre de steekproeven documentencrawler representatief zijn te maken.	BFS (Han)	12 juni 2019	Loopt.
17	Toelichten voortgang plan van aanpak document-standaarden in een volgende Forum-vergadering.	BFS (Han)	12 juni 2019	Loopt.
18	Overbrengen wensen CTO Raad voor toepassen ptolu- en iv-standaarden bij bezoek aan CIO-raad.	BFS	12 juni 2019	Loopt.
15a	Uitnodigen Tweede Kamer voor toelichting over aanpak sterke verbetering webdomein-naambeheer en toepassing iv-standaarden in een volgende Forum-vergadering.	BFS	24 april 2019	Loopt.