IT bij Defensie
Het stratego van de IT-auditor bij Defensie
O
Ongeveer 2500 jaar geleden schreef de Chinese generaal Sun Zhu: ‘Het oorlogsbedrijf is geen onafhankelijke, op zichzelf staande gebeurtenis, maar ontplooit zich binnen een breed gebied van unieke, natuurlijke, sociale en politieke voorwaarden.’ Het Chinese leger was destijds al erg groot. Er werden regelmatig grote veldslagen gevoerd. Natuurlijk zou Sun Zhu ook baat hebben gehad bij goed functionerende IT. Toen was die helaas nog niet beschikbaar. San Emmen
Voor velen is Defensie een onbekende wereld. Sommige lezers zijn wellicht in militaire dienst geweest. Sinds midden jaren negentig, toen de dienstplicht werd afgeschaft, is er echter veel veranderd. Dit artikel beoogt een kijkje te geven in de ITondersteuning van het primaire proces van Defensie. De centrale vraag in dit artikel luidt: in hoeverre leiden veranderingen in het primaire proces van Defensie tot veranderingen in de werkzaamheden van ITauditors bij Defensie? Om deze vraag te beantwoorden, kijk ik eerst naar de huidige taken van de IT-auditors bij Defensie. Daarna komen enkele politieke items aan de orde, waarmee IT-auditors bij de rijksoverheid te maken hebben. Vervolgens benoem ik de veranderende eisen als gevolg van de gewijzigde gebruiksomstandigheden, de ver anderingen in en rond de IT van Defensie, met hun oorzaken en gevolgen. De focus ligt op de IT-ondersteuning van het primaire proces van Defensie: het leveren van gevechtskracht. Een voorbeeld hiervan is te vinden in figuur 1. In dit artikel wordt sterk het onderscheid gemaakt tussen bestuurlijke informatiesystemen enerzijds en ITsystemen gericht op het leveren van gevechtskracht anderzijds: sensor-, wapen- en commandosystemen (sewaco-systemen). Dit onderscheid is gebaseerd op de ontstaansgeschiedenis van beide soorten. Bestuurlijke
8
de EDP-Auditor nummer 3 | 2009
Figuur 1 informatiesystemen komen voort uit de automatisering van administratieve processen en kenden oorspronkelijk batchgeoriënteerde verwerking. Sewaco-systemen zijn ontstaan door het toevoegen van IT aan wapen systemen en verwerkten al snel gegevens (near) realtime. Er is sprake van toenemende integratie tussen deze IT-systemen. In het laatste hoofdstuk worden de consequenties van deze toenemende integratie voor de ITauditor bij Defensie besproken. De huidige taken van de IT-auditor bij Defensie Welke rol vervullen IT-auditors bij Defensie? Het antwoord op deze vraag volgt uit de missie van de Audit Dienst Defensie (ADD). Die luidt: ‘vanuit een onafhankelijke positie draagt de ADD bij aan het beheer sen van de processen. Zij verschaft zekerheid over de kwaliteit van de sturings- en verantwoordingsinformatie. De onderzoeken van de ADD
hebben betrekking op bedrijfsvoering, (geautomatiseerde) informatievoorziening, projectbeheersing en contractvorming. Daarnaast voert zij onafhankelijke, multidisciplinaire onderzoeken op vele gebieden uit voor de departementsleiding.’ ITauditors bij Defensie voeren veelal assurance-onderzoeken uit op een breed scala van onderwerpen. De taken van de ADD strekken zich uit over alle bedrijfsprocessen, dus ook over het leveren van gevechtskracht. De meeste aandacht gaat echter uit naar de jaarrekeningcontrole. Dit betekent dat de ADD de rechtmatigheid en de doelmatigheid van uitgaven en de volledigheid van ontvangsten beoordeelt. IT-auditors ondersteunen daarbij de accountants. Ze beoordelen financiële systemen op de betrouwbaarheid, integriteit en exclusiviteit van gegevens. Niet alleen financiële systemen worden onderzocht, ook het belang van doeltreffend en efficiënt beheer van personele en materiële systemen is groot. Bij het beheer van wapens en munitie bijvoorbeeld, is er een afbreukrisico. Als Defensie zijn wapens kwijt zou raken, leidt dat tot grote imagoschade en onrust in de samenleving. De ondersteunende personele en materiële beheersystemen worden dus regelmatig onderworpen aan IT-audits. De doelstelling van IT-audits is het geven van garanties over het correct functioneren van informatiesystemen en het beheersen van IT-projecten. Het onderzoek naar de IT-dienstverlening door Bedrijfsgroep Informatievoorziening en -technologie (BGIVenT, in feite de IT-organisatie van Defensie, waarin de Defensie Telematica Organisatie (DTO) is opgegaan) vormt voor de IT-auditors van de ADD een structurele taak. Vanuit de jaarrekeningcontrole is de aandacht daarbij gericht op general IT-controls. Als gevolg van de invoering van het Voorschrift Informatiebeveiliging Rijksdienst (VIR) is er veel aandacht voor de opzet, het bestaan en de werking van informatiebeveiligings maatregelen. BG-IVenT gaat in de
toekomst een in control statement afgeven. De ADD gaat deze vorm van verantwoording beoordelen. Politieke hot items Defensie is een organisatie die functioneert in de politieke context van de regering en het parlement. Politieke hot items op het IT-vlak hebben dan ook hun weerslag op Defensie. Daardoor ontstaan er aandachtspunten voor de IT-auditor bij Defensie. Het is belangrijk voor IT-auditors bij Defensie en andere overheidsorganisaties om voldoende feeling te hebben voor deze politieke aandachtspunten. Een eerste speerpunt zijn de grote ICT-projecten. De governance daarvan geniet warme politieke belangstelling. De Algemene Rekenkamer heeft onderzoek uitgevoerd naar de oorzaken van het mislukken van ICT-projecten. De minister van BZK stelt richtlijnen op ter beheersing van ICT-projecten. Eén van de maatregelen is het periodiek reviewen van de projectorganisaties. Departementen rapporteren jaarlijks over de voortgang van grote ICT-projecten en auditors controleren of de informatie op een ordelijke, controleerbare en deugdelijke wijze tot stand is gekomen. Ter verbetering van de interne projectvoering heeft de ADD samen met de IT-beleidsdirectie een Evaluatietool Prince2 ontwikkeld. De leiders van grote ICT-projecten voeren op basis van dit hulpmiddel periodiek en gestructureerd zelfevaluaties uit naar de projectbeheersing en informeert de stuurgroep van het project over de bevindingen. Een ander politiek aandachtspunt is de doeltreffendheid en rechtmatigheid van aanbestedingen. In het departementale jaarverslag en bij de beantwoording van Kamervragen komt het belang van aanbestedingen tot uitdrukking. De ADD heeft daarbij een bijzonder taakveld: contractauditing. Contractauditing vindt plaats bij projecten op het gebied van de verwerving van materiaal, zoals sewaco-systemen. Bij aanbestedingen van militair materieel is het vaak niet mogelijk om concurrentie te stellen.
Contractauditors kijken naar de totstandkoming van contracten en de calculatie van de kostprijs. Hierover zijn afspraken gemaakt in het contract met de leverancier. Deze audits hebben een juridisch en financieel karakter, waardoor de rol van de ITauditor minimaal is. Het terugdringen van de inhuur van personeel in het algemeen, en IT‑personeel in het bijzonder, is een volgend politiek aandachtspunt. Dit staat op gespannen voet met de ontwikkelingen van de IT bij Defensie. Voor de ontwikkeling en het beheer van sewaco-systemen is vaak specialistische IT-kennis nodig. Als die kennis niet in de eigen organisatie aanwezig is, moet deze worden opgebouwd of ingekocht. De afgelopen jaren is gebleken dat de kennisopbouw alleen kon worden gerealiseerd door dure externe inhuur. Dit verhaal is gedeeltelijk ook van toepassing op de ADD. Vaak is het niet zozeer specialistische kennis die nodig is, maar gaat het gewoon om ‘extra handjes’. Dit geldt in het bijzonder voor het beoordelen van de general IT-controls en ITinfrastructuur. De veranderende eisen als gevolg van de gewijzigde gebruiksomstandigheden. De huidige taken van Defensie Voordat ik in ga op de veranderingen in de gebruiksomstandigheden, sta ik eerst stil bij de taken van Defensie. Waar staat Defensie voor? De Nederlandse regering levert een actieve bijdrage aan stabiliteit en rechtsorde in de wereld. Defensie levert met de zogenaamde 3-D benadering (diplomacy, defence en development) een essentiële bijdrage aan een geïntegreerd buitenlands beleid. Defensie staat voor vrede en veiligheid. Defensie is de zwaardmacht van de overheid. Samen met de politie heeft Defensie het geweldsmonopolie van de Nederlandse Staat. Haar legitimiteit is ontleend aan artikel 97 van de Grondwet. Defensie kent drie hoofdtaken: • Het beschermen van de integriteit van het eigen en het bondgede EDP-Auditor nummer 3 | 2009
9
nootschappelijke grondgebied, inclusief de Nederlandse Antillen en Aruba; • Het bevorderen van de internationale rechtsorde en stabiliteit; • Het ondersteunen van civiele autoriteiten bij rechtshandhaving, rampenbestrijding en humanitaire hulp, zowel nationaal als internationaal. Deze taken zijn in figuur 2 gevisualiseerd. Naast het leveren van gevechtskracht in vredesmissies, de ondersteuning van de civiele autoriteiten bij rampen en de handhaving van de openbare orde en veiligheid, wordt binnen Defensie vaak het begrip (vredes) bedrijfsvoering gehanteerd. Hieronder valt ook het opleiden en trainen en het ondersteunen van het leveren
van gevechtskracht. Bij de ondersteuning moet men denken aan personeels-, materieel- en financieel beheer, IT, huisvesting en communicatie. Zoals bij elk bedrijf wordt dit ondersteund met IT.
Kerngegevens
• • • • •
fend en opgetreden in internationaal verband (combined). Nederlandse militairen treden dus steeds minder solitair op. Steeds vaker zijn ze onderdeel van een netwerkorganisatie in wisselende samenstellingen. Het kun nen communiceren met verschillende militaire en civiele partners is van levensbelang. Dit betekent dat de behoefte aan tijdelijke en algemeen bruikbare koppelingen groter wordt. Hiervoor is het zogenaamde Network Enabled/Enhanced Capability (NEC-) concept ontwikkeld. In dit concept zijn verschillende type sensoren, wapensystemen, communicatie en commandovoeringsystemen geïntegreerd in één informatie-infrastructuur. Ook zijn verbindingen mogelijk met civiele communicatiesystemen zoals GSM en C2000. In de praktijk werkt het als volgt. Als meerdere partners samenwerken, heeft iedereen zijn eigen beeld op een bepaalde situatie. Door deze informa-
Bovenstaande taken zijn al jaren onveranderd. De wijze waarop deze worden gerealiseerd is echter aangepast aan de eisen van deze tijd. In de volgende paragrafen wordt hierop ingegaan. In kader 1 zijn wat kerngegevens weergegeven. Samenwerking met andere partijen Tot voor kort traden de krijgsmachtdelen afzonderlijk op en regelden ze zelf hun IT. Nu wordt gezamenlijk deelgenomen aan trainingen en uitzendingen (joined). Vaak wordt geoe-
10
de EDP-Auditor nummer 3 | 2009
Figuur 3
Kader 1
Defensie is één van de grotere werkgevers in Nederland Ongeveer 50.000 militairen 13.500 burgermedewerkers Verspreid over ruim 50 locaties in het Koninkrijk, verspreid over 30.000 ha. De uitgavenbegroting bedraagt circa 8,5 miljard Euro, ongeveer 1,4% van het Bruto Nationaal Product (BNP)
tie via deze koppelingen te delen ontstaat een gemeenschappelijk beeld. Dit beeld bestaat uit informatie over de omgeving, de beschikbare eigen middelen en die van de partners. Op basis van dit gemeenschappelijke beeld wordt bepaald hoe wordt gehandeld en wie welke acties voor zijn rekening neemt. Op deze netwerkomgeving kan iedere deelnemer de informatie betrekken die hij nodig heeft om zijn rol/taak zo goed mogelijk uit te kunnen voeren, op voorwaarde dat hij geautoriseerd is natuurlijk. Oud-staatssecretaris van der Knaap heeft deze min of meer ad hoc-achtige, maar essentiële behoefte om samen te werken, kernachtig samengevat. Hij schreef ooit: ‘Als je niet kunt inpluggen, doe je niet meer mee.’ Het draait om toegang, informatie delen en samenwerken. Het succes staat of valt met het invulling geven aan de nieuwe richtlijn om informatie te delen als het kan en als het mag: duty to share. Natuurlijk staat dit op
gespannen voet met het oude uitgangspunt need to know. Steeds weer wordt de balans gezocht tussen de noodzaak om informatie te delen en de exclusiviteit van de te delen informatie. In figuur 3 is hiervan een voorbeeld te vinden. Opmars van IT bij de moderne soldaat te velde Aan operationele IT bij Defensie worden hoge eisen gesteld. Vooral het uitvoeren van een militaire operatie op relatief grote afstand van de thuisbasis door een logistiek zelfstandige eenheid, zoals in Afghanistan, stelt zware eisen aan militairen en hun IT. Beiden worden in zo’n gebied blootgesteld aan extreme omstandigheden als hitte en kou. Apparatuur krijgt bij het leveren van gevechtskracht meer te maken met schokken. Zand en water vormen een serieuze bedreiging voor het correct functioneren van de apparatuur. De gebruiksomstandigheden bij een uitzending naar Uruzgan zijn totaal anders dan op een kantoorlocatie in Nederland. Dit vertaalt zich in andere eisen aan de IT. Er zijn daarom veel apparatuursoorten waarop de IT-toepassingen moeten werken, zoals in figuur 4 is te zien. Op de lange termijn zal elke Defensiemedewerker worden geautoriseerd om vanaf elke werkplek (any place) te allen tijde (any time), op een veilige wijze toegang te krijgen tot het netwerk. Daarmee krijgt hij de beschik-
Figuur 4
VOSS
Kader 2
Verbeterd Operationeel Soldaat Systeem (VOSS) Het defensiebrede project Verbeterd Operationeel Soldaat Systeem (VOSS) komt voort uit het Soldier Modernisation Programma (SMP) en voorziet in een aantal verbeteringen van de uitrusting van de te voet optredende soldaat. De overlevingskansen van de militair verbeteren hierdoor. Tevens wordt de commandovoering versterkt en nemen de mobiliteit, de effectiviteit en het voortzettingsvermogen toe. VOSS is een ontwikkelingsproject waarbij de ontwikkeling van een nieuwe geïntegreerde hoofdbescherming, draag- en bepakkingsvest, communicatie- en informatiemodule en energievoorzieningssysteem centraal staan. Vanuit diverse andere projecten wordt aangesloten op het project VOSS. Vooralsnog is de invoering van VOSS gericht op ruim 5.000 militairen. Zij behoren tot de categorie die, als gevolg van hun optreden, de zwaarste eisen stellen aan hun uitrusting en in grote mate daarvan afhankelijk zijn. Special Forces maken geen deel van de doelgroep, maar zullen profiteren van de algehele kwaliteitsverbetering van de uitrusting die het gevolg is van VOSS.
king over juiste, volledige en actuele informatie. De informatie moet toegesneden zijn op de gebruiksomstandigheden, werkzaamheden en taken in de organisatie. Daartoe moet hij beschikken over een digitale identiteit. Bovendien mag toegang niet afhankelijk zijn van de gebruikte apparatuur (any device). In kader 2 en figuur 5 is meer informatie te vinden over VOSS. Qua patet orbis (Zo wijd de wereld strekt) Defensie kan waar ook ter wereld vredesoperaties uitvoeren. De afstand tussen inzetgebied en de thuisbasis is sinds het opengaan van het ijzeren gordijn aanzienlijk toegenomen (expeditionair). De grote afstand tussen het uitzendgebied en de thuisbasis heeft gevolgen voor de IT en communicatie. Vaak is de bandbreedte voor communicatie beperkt
Figuur 5
of zelfs niet beschikbaar. Voorheen werd hoofdzakelijk gebruik gemaakt van straalverbindingen en vaste verbindingen. Satellietcommunicatie heeft dit overgenomen. Daarmee is soms minder bandbreedte beschikbaar, maar je bent wel bereikbaar op verschillende locaties. In sommige operationele situaties is radiostilte van levensbelang. De vijand kan dan niet achterhalen waar jij je bevindt. Toch dient de IT te worden gegarandeerd. Om dit op te lossen maakt men gebruik van replicatiemechanismen en virtualisatie. De verbindingen zijn bovendien versleuteld om afluisteren te voorkomen. Defensie hecht grote waarde aan het welzijn van de uitgezonden militairen. Contacten met het thuisfront zijn van groot belang. Daarom zijn in uitzendgebieden internetcafés ingericht om op een beveiligde manier privé-communicatie mogelijk te maken. De veranderde IT doelstellingen De hiervoor beschreven veranderingen hebben hun impact op Defensie. De huidige bedrijfsdoelstellingen van Defensie kunnen als volgt worden samengevat tot enkele kernbegrippen: • Resultaatgericht; • Modern en innovatief; • Expeditionair; • Structureel betaalbaar; • Verantwoording afleggen; • Integrale bedrijfsvoering; • Eenduidig belegde taken; de EDP-Auditor nummer 3 | 2009
11
Gebruiksgemak
x
x
x
Modern en innovatief
x
x
Expantionair
x
x
Structureel betaalbaar
x
Verantwoording afleggen
x
Integrale bedrijfsvoering
x
Innovatie
Business Alignment en Architecture
x
Incrementeel ontwerp
Operatonele proces is leading
Resultaatgericht
Basisadministraties
IV alsproductiefactor
IT-goals
Bedrijfs- en IT doelen
Business goals
x
Kader 3
x
x
x
x
x
x
x
x
x
x
De huidige IT-doelstellingen van Defensie kunnen worden samengevat tot enkele kernbegrippen: • IV is productiefactor; • Het leveren van gevechtskracht is leading bij de inrichting van het IT-landschap; • Business IT-Alignment en IT-Architectuur; • Gebruiksgemak; • Basisadministraties; • Incrementeel ontwerp en ontwikkeling; • Innovatie. Uiteraard zijn de IT-doelstellingen in verband te brengen met de bedrijfsdoelstellingen (zie kader 3). Veranderingen in en rond de IT van Defensie: een krachtiger wordend wapen Van beleid naar uitvoering Het IT-beleid wordt via functioneel beheer vertaald in opdrachten voor de
Figuur 6
12
x
x
Eenduidig belegde taken Effectief gebruik informatief
x
• Effectief gebruik informatie. Deze kernbegrippen hebben hun impact op de IT-doelstellingen.
de EDP-Auditor nummer 3 | 2009
technische beheer- en ontwikkelorganisatie. IT-auditors zullen meer aandacht moeten gaan geven aan beleidsontwikkeling en de functionele beheersprocessen. Een recent uitgevoerd onderzoek van de ADD naar de beheersing van de IT-keten maakte dit duidelijk. Problemen in de governance hebben ook rechtstreekse gevolgen voor de kwaliteit van de ITdienstverlening. Dit uit zich vervolgens weer in een mogelijk ontoereikende ondersteuning van de bedrijfsprocessen. Daarom is het van belang dat de IT-auditor bij Defensie de hele keten van het concipiëren van beleid tot de realisatie in systemen en diensten en evaluatie ervan in ogenschouw neemt. Er komt meer aandacht voor het beleid dat sturing geeft aan de ITketen en het afleggen van verantwoording. In COBIT zijn deze processen terug te vinden in de domeinen Planning and Organization (PO) en Monitor and Evaluate (ME). Het efficiënt, tijdig en juist uitvoeren van projecten volgens vastgestelde specificaties gaat nog meer aandacht krijgen.
Figuur 7 Het domein van de COBIT-processen Acquisition en Implementation (IA) heeft hierop veel betrekking. Op dit moment richt de aandacht van de IT-auditor bij Defensie vooral op het domein Delivery and Support (DS). In het verleden behaalde resultaten bieden beheergaranties voor de toekomst Net als bij andere bedrijven zijn de IT-ontwikkelingen begonnen op kleine ‘IT-eilandjes’ bij de verschillende krijgsmachtdelen. De Verbindingsdienst (onderdeel van Defensie) heeft een belangrijke bijdrage geleverd aan de ontwikkeling van de IT binnen Defensie. In het verleden werden verbindingsdiensten bemand met koeriers die fysiek berichten overbrachten. Met de komst van radio’s en telex deed de elektronica zijn intrede waarmee gesproken boodschappen en korte
Tactis
Figuur 8 elektronische berichten werden verzonden. Later is aan het radioverkeer het dataverkeer toegevoegd, zodat een IT-infrastructuur ontstond op basis van radioverbindingen, zie figuren 6 en 7. Ook de huidige infrastructuur maakt nog steeds gebruik van radioverbindingen, bijvoorbeeld via satelliet. Hierbij wordt de kans gelopen dat berichten werden afgeluisterd. Om dit tegen te gaan heeft de militaire wereld versleuteling ontwikkeld. Ook internet is van oorsprong ook een militair systeem. De leveranciers van wapensystemen hebben hun bijdrage geleverd aan de ontwikkelingen van de IT in het operationele domein. IT is vaak een belangrijk geïntegreerd onderdeel van een wapensysteem. Wapensyste-
men hebben sensoren gekregen zodat de manschappen die ze bedienen sneller en effectiever kunnen reageren, bijvoorbeeld bij vijandelijk vuur. Het bekendste voorbeeld daarvan is de Goalkeeper op de fregatten van de Koninklijke Marine die na het waarnemen van een aanstormende raket projectielen afvuurt om die raket onschadelijk te maken. IT ondersteunt dit concept (near) realtime. Onveranderd is het streven om het leveren van gevechtskracht te verbeteren. In vredessituatie oefenen de militairen in omstandigheden die een daadwerkelijke inzet zo goed mogelijk benaderen (train as you fight). Bij de opleidingen en voorbereidingen op de uitzendingen wordt steeds vaker
Titaan
Kader 4
TACTIS is een geavanceerd onderwijsleermiddel dat bestaat uit een netwerk van gekoppelde simulatoren. Deze gekoppelde simulatoren kunnen samen een complete virtuele wereld genereren. In die kunstmatige omgeving krijgen de cursisten te maken met onder meer een realistisch optredende tegenstander, realistisch optredende neveneenheden en neutrale elementen zoals individuen, groepen mensen, transportmiddelen en dieren. Door een netwerkkoppeling zijn in onderling verband gesimuleerde gevechtsacties uit te voeren tot op het niveau van eskadron, pantserinfanteriecompagnie en/of team. Deelnemende bemanningen kunnen, zittend in de mock-up van de tank, waarnemen, bewegen en communiceren in een door computers gegenereerde virtuele omgeving. Ook zijn de effecten van indirect vuur, mijnen en hindernissen op een realistische wijze te simuleren. Programma’s op de computer maken het mogelijk het verloop van het gevecht te registreren, te analyseren en te evalueren in een apart daarvoor ingerichte ruimte.
Kader 5
Het Theatre Independent Tactical Army and Air Force Network (TITAAN) is ontwikkeld voor de landmacht en luchtmacht. TITAAN zorgt ervoor dat de militairen gebruik kunnen maken van kantoorbehoeften als internet, printers en servers op locatie. TITAAN is ontworpen voor militaire, mobiele omgevingen met een commandopost als kleinste eenheid. Commandoposten zijn uitgerust met een digitale infrastructuur op basis van een Local Area Network (LAN) met een 100 mbps Ethernet. Binnen dit LAN zijn de volgende kantoorbehoeften ondergebracht: • gebruikersaccounts; • randapparatuur (printers, plotters, scanners); • systeemapparatuur (servers, routers). Onderling zijn commandoposten verbonden door Wide Area Links, bijvoorbeeld satelliet- of radioverbinding. De onderdelen van het TITAAN netwerk zijn als ‘plug-and-play’ ontworpen. Hierdoor is het installeren van apparaten in het veld of tijdens de voorbereidingsfase van een oefening snel geregeld. Alle communicatie (spraak, data, video) verloopt via één netwerk. Valt een netwerkverbinding uit, dan stelt het netwerk zichzelf automatisch opnieuw in en maakt hierbij gebruik van een alternatieve route. TITAAN bestaat uit vervangbare losse modules die samen het netwerk vormen. Deze losse modules kunnen eenvoudig vervangen worden door een nieuwere versie. Op deze manier is TITAAN goed te onderhouden. Het netwerk werkt op basis van de industriestandaard ‘Internet Protocol’ (IP). Deze standaard maakt het mogelijk TITAAN te ondersteunen met de nieuwste technologieën op het gebied van netwerkbeheer.
de EDP-Auditor nummer 3 | 2009
13
en intensiever gebruik gemaakt van IT. Omdat met het daadwerkelijk afvuren van wapens grote kosten en risico’s gemoeid zijn, maakt Defensie veel gebruik van simulatoren. De moderne
De komst van COTS in plaats van maatwerk De van oorsprong zelfstandige ITbeheerorganisaties binnen Defensie zijn erin geslaagd om een archipel van IT-bouwstenen gezamenlijk te beheren. De beheerorganisatie die het leveren van gevechtskracht ondersteunt, werkt nauw samen met de beheerorganisatie in het bestuurlijke domein. Daardoor wordt kennis en kunde uitgewisseld. De systemen kunnen onderling gebruik maken van de aanwezige infrastructuur. In het verleden werd gebruik gemaakt van maatwerkapplicaties. In moderne systemen worden commercieel ver-
Figuur 9
Figuur 10
militair bereidt zich met virtual reality voor op situaties waarin hij terecht kan komen. Voorbeelden zijn de navigatietrainer van de Koninklijke Marine, het landmachtsysteem TACTIS (zie kader 4) en cockpitsimulatoren van de Koninklijke Luchtmacht. Vanuit het veld communiceert de moderne militair met de hogere legerleiding en collega’s. Met op afstand bestuurbare camera’s bekijkt men de situaties ter plekke. Een voorbeeld van een remote sensor is het onbemande, op afstand gestuurde verkenningsvliegtuig Sperwer (zie figuur 8). De commandant te velde gebruikt de informatie van de Sperwer om beslissingen te kunnen nemen over passende vervolgacties.
14
de EDP-Auditor nummer 3 | 2009
krijgbare civiele producten gebruikt, zogenaamde Commercial of the Shelf (COTS) producten. Dit gebeurt echter wel op basis van militaire- en IT-kennis. Een bekend voorbeeld hiervan is TITAAN, een infrastructuur die de Landmacht in het veld gebruikt. Meer informatie over TITAAN is te vinden in kader 5 en figuur 9 (werken met TITAAN). Door gebruik te maken van COTS is het voor IT-auditors gemakkelijker om te onderzoeken in hoeverre is voldaan aan de gestelde kwaliteitseisen. Meer integraal: Bestuurlijke informatievoorziening richting slagveld De introductie van COTS-producten heeft nog een ander voordeel. Het maakt het mogelijk om bestuur-
lijke informatievoorziening door te laten dringen tot in de haarvaten van de organisatie. Het leveren van gevechtskracht door Defensie wordt ondersteund met productiefactoren als personeel, materieel, financiën en informatie. Dit is gevisualiseerd in figuur 10 dat de waardeketen van Defensie weergeeft. De huidige IT is niet meer ingericht op één functionele zuil. De personele, materieellogistieke of financiële IT is steeds vaker geïntegreerd met ERPsystemen. Hierdoor neemt het belang en de afhankelijkheid van IT steeds meer toe. Militairen gebruiken bestuurl ijke informatiesystemen vanuit het veld. Het leveren van gevechtskracht is niet meer mogelijk zonder toereikende IT-ondersteuning. Personeelsgegevens worden geraadpleegd en gemuteerd op de schepen. Binnenkort worden bestellingen van Nederlandse troepen in Afghanistan rechtstreeks verwerkt in de voorraadadministratie in Nederland. ERP-software ondersteunt dit. Overigens heeft Defensie speciale SAP-programmatuur aangeschaft om de krijgsmacht als geheel zo goed m ogelijk te ondersteunen. Zie figuur 11. Om de samenhang tussen personele, financiële, materieellogistieke informatie te kunnen borgen, is besloten om het beheer van gegevens volgens het principe van basisadministraties in te richten. ERP-pakketten maken dit mogelijk. De basisgegevens kunnen worden geraadpleegd of gekopieerd voor eigen gebruik maar mogen alleen in het bronsysteem worden gemuteerd om de consistentie te bewaken. Dit hergebruik van de aanwezige informatie stelt hogere eisen aan de integriteit en beschikbaarheid van de systemen. Bovendien draagt dit ook bij aan het tijdig leveren van betrouwbare management informatie. De kwaliteit van het besluitvormingsproces en het afleggen van verantwoording aan het parlement verbetert hierdoor. Dit heeft tot gevolg dat de afhankelijkheid van IT voor het gehele bedrijfsproces de
laatste jaren (opnieuw) sterk is toegenomen. Voor de IT-auditor bij Defensie betekent dit dat er meer systeemgerichte controles worden uitgevoerd. Samenwerking maakt Defensie IT minder ‘exclusief’ Door de introductie van ERP is de noodzaak toegenomen om het ITbeleid over de functionele zuilen zoals personeel, materieel en financiën nader af te stemmen. Hét instrument dat daarvoor wordt ingezet is IT-architectuur. Uitgangspunt is daarbij business IT-alignment: het afstemmen van de IT op de bedrijfsprocessen (waaronder het leveren van gevechtskracht). Elke nieuwe Figuur 11 behoefte en elke wijziging moet worden getoetst aan de IT-architectuur. De IT-architectuur is echter bone voor C2000. In figuur 12 is een nog volop in ontwikkeling. Defensie- Marechaussee te zien met C2000kennis is beschikbaar gesteld in inter- apparatuur. departementale ontwikkelingen als de Nederlandse Overheid Referentie Klanten van Defensie wensen een Architectuur (NORA) en de Model bepaald niveau van zekerheid over de Architectuur RIJksdienst (MARIJ). kwaliteit van geleverde diensten. ITDe IT-auditors kunnen adviseren auditors leveren een bijdrage aan het over de totstandkoming en kwaliteit verstrekken van die zekerheid. Kennis van de IT-architectuur. van TPM en SAS70 is voor de ITOok op andere vlakken werkt Defen- auditor bij de ADD daartoe van sie samen met andere overheidsorga- groot belang. nisaties. Defensie werkt in het kader van nationale veiligheid nauw samen Gevolgen voor de IT- met Geneeskundige Hulp bij Onge- auditor bij Defensie vallen en Rampen (GHOR), Brand- De IT-auditonderzoeken van de weer, Politie en de Algemene Inlich- ADD zijn tot op heden meestal tingen en Veiligheidsdienst (AIVD). beperkt tot de bestuurlijke informaDeze diensten beschikken vaak over tievoorziening. Dit is te verklaren relevante informatie voor de uitvoe- vanuit de traditionele ondersteuning ring van Defensietaken in het kader bij de jaarrekeningcontrole. Toch is van het handhaven van de openbare dat opmerkelijk, want zoals ik hierorde en veiligheid. Andersom geldt voor heb geschetst, is de IT doorgedat natuurlijk ook. De toepassingen drongen tot in de haarvaten van de worden as a service geraadpleegd en organisatie. En die ontwikkeling heeft gewijzigd door bijvoorbeeld de Mili- dus ook gevolgen voor het aandachtstaire Inlichtingen en Veiligheidsdienst gebied van een IT-auditor bij Defensie. en de Koninklijke Marechaussee. Een recent uitgevoerde risicoanalyse Anderzijds levert Defensie ook IT- door de IT-beleidsdirectie en onder diensten aan andere departementen. meer de ADD maakte duidelijk dat De BG-IVenT beheert en onder- de grens tussen de bestuurlijke IT en steunt de werkplekken van de Immi- de IT ter ondersteuning van het levegratie en Naturalisatiedienst (IND), ren van gevechtskracht onderscheidhet interdepartementale communica- baar, maar niet te scheiden is. Het is tienetwerk Haagse Ring en de back- vooral een kwestie van tijd dat IT-
auditors hun werkgebied verder uitbreiden naar de operationele IT. Deze logische en goede zaak stelt wel specifieke eisen, namelijk inhoudelijke kennis van operationele IT, de wellicht afwijkende wijze van beheer en de toepassing van deze systemen in de praktijk. Ook de Beveiligingsautoriteit van Defensie, die is belast met beleidsvormende, toezichthoudende, handhavende en adviserende taken op het gebied van beveiliging bij Defensie, heeft een groeiende behoefte aan onderzoeken naar de informatievoorziening gericht op de ondersteuning van de gevechtskracht. De gevolgen van de genoemde veranderingen voor IT-auditors bij Defensie zijn in de volgende subparagrafen benoemd. Militaire kennis en jargon?! Veranderingen in de aandachtsgebieden van de IT-auditor bij Defensie hebben ongetwijfeld gevolgen voor de IT-auditor zelf. De code of ethics stelt terecht eisen aan IT-auditors op het gebied van deskundigheid en zorgvuldigheid. IT ondersteunt steeds meer het militaire proces. Kennis en kunde van deze processen en systemen zijn derhalve van groot belang. Daarbij moet ook een communicatieprobleem worden opgelost. Als je bij een militair aankomt met een term als de EDP-Auditor nummer 3 | 2009
15
‘besturing’ denkt hij aan een voertuig, niet aan het leiden van een eenheid. Hij noemt dit commandovoering. De noodzaak voor IT-auditors om kennis op te doen van specifieke karakteristieken en de context die IT‑audits in een militaire omgeving met zich meebrengen, neemt toe. Het opnemen van meer militairen met een afgeronde IT-auditorsopleiding zou dit kennishiaat kunnen opvangen. Om te kunnen communiceren met andere NATO-partners zijn militaire standaarden afgesproken. Als een IT-
Figuur 12
auditor systemen gaat onderzoeken die het primaire proces ondersteunen, moet de IT-auditor rekening houden met en kennis hebben van deze standaarden. Dit betekent dat de gehanteerde normenkaders mogelijk toenemen in complexiteit. Een belangrijk aandachtspunt bij het uitvoeren van IT-audits van sensor-, wapen- en commandosystemen is de timing van de onderzoeken. Het is niet wenselijk om controles uit te voeren als het systeem daadwerkelijk wordt ingezet omdat het dan beschikbaar dient te zijn voor het primaire proces. De consequentie hiervan is dat je systeemtesten gaat uitvoeren tijdens oefeningen. Deze aanpak wordt overigens ook gehanteerd bij de introductie van nieuwe systemen. In feite gaat een IT-auditor dan mee op oefening. Andere general IT-controls en/of andere application controls?! De afbakening tussen de IT die het leveren van gevechtskracht onder-
16
de EDP-Auditor nummer 3 | 2009
steunt en bestuurlijke IT vervaagt. Het is de vraag of de general IT-controls uit het bestuurlijke domein in het operationele domein dezelfde doelstellingen en normen hebben, of juist hergedefinieerd zouden moeten worden. Een complicerende factor daarbij is toepassing van bestuurlijke IT zoals ERP-pakketten op netwerken die worden gebruikt voor de ondersteuning van het leveren van gevechtskracht. Deze vraag is nog onbeantwoord. Vanzelfsprekend kan de IT-auditor hierover vanuit zijn professionele achtergrond adviseren. In sewaco-systemen is veelal embedded software te vinden. Bovendien rusten op deze systemen patenten. Veel systemen verwerken binnenkomende gegevens (near) realtime. Nader onderzoek is nodig om de consequenties hiervan te bepalen voor de general IT-controls en de application controls. Conclusie De scope van de werkzaamheden van IT-auditors bij Defensie gaat veranderen. De bestuurlijke informatievoorziening dringt steeds verder door naar het leveren van gevechtskracht en ondersteuning van de civiele autoriteiten bij de bestrijding van rampen en de handhaving van openbare orde en veiligheid. Het is de vraag of deze verandering leidt tot een aanpassing van de general IT-controls. De scope van IT-audits zal zich meer gaan richten op de gehele IV-keten van ITbeleid tot uitvoering en verantwoording. Deze wijziging in de scope heeft tot gevolg dat er andere eisen zullen worden gesteld aan IT-auditors bij
Defensie. Als de scope zich meer gaat richten op het militaire product, moeten de IT-auditors bij Defensie zich de militaire taal, processen en systemen eigen maken. Deze veranderingen worden veroorzaakt door ontwikkelingen in en rond het leveren van gevechtskracht. Er wordt steeds vaker samengewerkt met internationale en nationale partners zodat de behoefte aan communicatie toeneemt. In het veld krijgen militairen steeds betere IT ter beschikking om hun taken waar ook ter wereld uit te voeren. IT speelt steeds belangrijkere rol in de ondersteuning van de operationele inzet waardoor de afhankelijkheid van IT toeneemt. Bestuurlijke IT en sewaco worden steeds intensiever toegepast en het onderscheid tussen beide type systemen vervaagt. Hierdoor verandert het IT-landschap sterk. De veranderingen mogen niet leiden tot een IT-slagveld maar moeten gecontroleerd worden doorgevoerd. IT-auditors kunnen daaraan een nuttige bijdrage leveren. Wat onveranderd blijft is dat ITauditors bij Defensie steeds paraat staan met hun krachtige wapen: de IT-audit. Op deze manier draagt ook de IT auditor in toenemende mate bij aan wereldwijde vrede en veiligheid. ■ Met dank aan Nico Tempelman voor het beschikbaar stellen van de illustratie over netwerken en transmissie. De overige illustraties zijn beschikbaar gesteld door het Ministerie van Defensie.
Ir. V.J.M. (San) Emmen (1965) werkt sinds 1 mei 2008 als IT-auditor bij de ADD. Hij volgt thans de IT-audit opleiding bij TiasNimbas. Daarvoor werkte hij in diverse beleidsfuncties binnen het Ministerie van Defensie. In 1991 is hij afgestudeerd aan de TU Eindhoven in de studierichting Informatietechniek en werd vervolgens dienstplichtig Marineofficier.
Z
