Infosessie Binc aan ontwikkelaars van de organisaties Bijzondere Jeugdbijstand

Infosessie Binc aan ontwikkelaars van de organisaties Bijzondere Jeugdbijstand 16 oktober 2014

WWW.JONGERENWELZIJN.BE

P

1 Introductie

Stefaan Van Mulders, administrateur-generaal agentschap Jongerenwelzijn


P

2 Demo BINC

Els Meert, agentschap Jongerenwelzijn Wederik De Meersman – Steunpunt Jeugdhulp


P

Toelichting veiligheidsvoorwaarden registratiesystemen Bavo Van den Heuvel, veiligheidsconsulent agentschap Jongerenwelzijn


P

Logisch schema

Voorziening

• connecteert • verstuurt

SW-Lev Hoster

• gebruikersbeheer • logging • ontvangt • verstuurt

Jongerenwelzijn

• Ontvangt • verstuurt


P

Juridisch schema Verwerkersovereenkomst

SW-Lev Hoster

Verwerker persoonsgegevens in opdracht van instelling

(Veiligheidsconsulent van firma adviseert aan)

Voorziening

Verantwoordelijke voor de verwerking: persoonsgegevens van zijn voorziening

Veiligheidsconsulent van de voorziening adviseert aan

Jongerenwelzijn

Overheid is bestemmeling en verantwoordelijke voor de verwerking

Veiligheidsconsulent van JWZ adviseert aan WWW.JONGERENWELZIJN.BE

P

Verwerkersovereenkomst tussen elke voorziening en zijn softwareleverancier(s) • De software leverancier/hoster is verwerker van persoonsgegevens in opdracht van de voorziening. • De voorziening is verantwoordelijke voor de verwerking en verantwoordelijk voor de beveiliging van de verwerkte gegevens. • Voor de overheid is de voorziening het aanspreekpunt bij problemen, niet de softwareleverancier(s). WWW.JONGERENWELZIJN.BE

P

Verwerkersovereenkomst tussen elke voorziening en zijn softwareleverancier(s)

• Bij uitbesteding van een deel van de verwerking kan via een contract de verantwoordelijkheid rond de beveiliging van de verwerkte gegevens bij de software leverancier/hoster geplaatst worden. • Bij dit contract horen een veiligheidsmaatregelen en een lijst met groepen van mensen die rechtstreekse toegang tot de persoonsgegevens kunnen krijgen. • De software leverancier/hoster dient (nog) niet verplicht een veiligheidsconsulent te hebben => de nieuwe Europese Verordening (draft) verplicht dat echter wel voor de verwerker wanneer het over persoonsgegevens van minderjarigenWWW.JONGERENWELZIJN.BE gaat, zoals hier! P

Waarom moet dat?


P

Privacywet : verwerkersovereenkomst Art. 16. § 1. Indien de verwerking wordt toevertrouwd aan een verwerker, moet de verantwoordelijke voor de verwerking, (…): 1°een verwerker kiezen die voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten verwerking; 2°toezien op de naleving van die maatregelen, met name door ze vast te leggen in contractuele bepalingen; WWW.JONGERENWELZIJN.BE

P

Privacywet : verwerkersovereenkomst Art. 16. § 1. vervolg: 3°de aansprakelijkheid van de verwerker ten aanzien van de verantwoordelijke voor de verwerking vaststellen in de overeenkomst; 4°met de verwerker overeenkomen dat de verwerker slechts handelt in opdracht van de verantwoordelijke voor de verwerking en dat de verwerker is gebonden door dezelfde verplichtingen als deze die waartoe de verantwoordelijke in toepassing van paragraaf 3 is gehouden; 5°in een geschrift of op een elektronische drager de elementen van de overeenkomst met betrekking tot de bescherming van de gegevens en de eisen met betrekking tot de maatregelen bedoeld in WWW.JONGERENWELZIJN.BE P paragraaf 3 vaststellen.

Verwerkersovereenkomst • Privacywet artikel 16 §1 verplicht de verantwoordelijke voor de verwerking afspraken te maken met elke verwerker • Te gebruiken template: voorbeeld http://drive.google.com/file/d/0B0G1Mbex1 RLGVXhBWUxCeEZpRzg/edit?usp=shari ng • Best uniformisering: elke sw-leverancier zelfde contract, doch apart te sluiten, met elke voorziening WWW.JONGERENWELZIJN.BE

P

Beveiligingsvereisten


P

IT-maturiteit Gradaties

0

1

2

3

4

5

Omschrijving Onbestaand Binnen de organisatie bestaan geen of zeer weinig beheersmaatregelen. Het controlebewustzijn is eerder laag en er worden weinig acties ondernomen om te komen tot een adequaat systeem van organisatiebeheersing (interne controlesysteem). Ad-hoc basis Op ad-hoc basis zijn binnen de organisatie beheersmaatregelen uitgewerkt. Het bewustzijn van de nood aan adequate beheersmaatregelen (interne controlemaatregelen) groeit, maar er is nog geen gestructureerde of gestandaardiseerde aanpak aanwezig. Het systeem van organisatiebeheersing (interne controlesysteem) draait meer rond personen dan rond systemen. Gestructureerde aanzet Een gestructureerde aanzet wordt gegeven tot de ontwikkeling van beheersmaatregelen. De beheersinstrumenten zijn bijgevolg in ontwikkeling, maar worden nog niet toegepast ('Plan') . Gedefinieerd (= niveau 2 +...) Beheersmaatregelen zijn aanwezig. Zij zijn gestandaardiseerd, gedocumenteerd, gecommuniceerd en worden toegepast ('Do') . Beheerst systeem (= niveau 3 + ...) De beheersmaatregelen worden intern periodiek geëvalueerd en bijgestuurd ('Check' & 'Act') . Er kan gesproken worden over een 'levend' adequaat en doeltreffend systeem van organisatiebeheersing. Geoptimaliseerd (= niveau 4 + ...) De beheersmaatregelen worden voortdurend geoptimaliseerd via benchmarking en het behalen van kwaliteitscertificaten of externe evaluaties ('PDCA') .


P

Belangrijk!

Toegang: verplicht gebruik https (minstens server certificaat) voor verbinding via webbrowser naar toepassing Gebruikers krijgen de autorisaties die nodig zijn om hun taken naar behoren uit te voeren: least to know. Opvragingen van persoonsgegevens die via de toepassingen verlopen worden gelogd. Elke gebruiker dient zijn opvragingen te kunnen verantwoorden in het kader van zijn professionele activiteiten. De softwareleverancier/hoster dient ervoor te zorgen dat de cirkels van vertrouwen gegarandeerd zijn:

JWZ kent de verzender (is vaak dus de sw-lev) De sw-lev kent de achterliggende verzender: voorziening x, medewerker y En zorgt ervoor dat er geen informatie van voorziening x als informatie van voorziening z bij JWZ terecht komen


P

Concreet, wat kan en wat kan niet? Lokale opslag / “dossier” => goed voor lokaal gebruik, niet voor rechtstreekse uitwisseling • MS Word documenten • MS Excel werkbladen • MS Access “De publieke cloud” => meestal niet toegelaten voor opslag/verwerking persoonsgegevens over de jongeren of hun context (meer info: Zie faq steunpunt jeugdhulp nr 8: http://www.steunpuntjeugdhulp.be/?action=onderdeel&onderdeel =392&titel=FAQ+en+forum#Garanties_cloud_provider ) • Office 365 • Onedrive • Googledrive • Dropbox • … WWW.JONGERENWELZIJN.BE P

(cloud)hostingpartijen • Moeten conform de wetgeving persoonsgegevens verwerken in opdracht van de verantwoordelijke voor de verwerking: – Elke verwerker (bv softwarefirma) die hosting doet in de cloud voor jou => hiermee kan je allicht punctuele afspraken maken: waar gehost, beveiliging etc – Als je gebruik maakt van “off the shelf” opslag of meer in de publieke cloud (Googledrive, Onedrive, Office365,…) => hiermee kan je geen afspraken maken zoals vereist door wetgeving

• Inspiratie: Vlaamse ict-code verbiedt opslag van vertrouwelijke gegevens in de cloud, incl persoonsgegevens dus: http://www.bestuurszaken.be/cloudtoepassingen WWW.JONGERENWELZIJN.BE

P

4 Toelichting techniciteit Binc Erik Appelmans - HB


P

Automatische overdracht van hulpverlening tussen de private voorziening en BinC

1. Gegevensstructuur hulpverlening in BinC 2. Huidige bedrijfsregels binnen BinC

2.1 Samenhang schakelingen en beslissingen in BinC 2.2 Overige bedrijfsregels

3. Gegevensentiteiten 4. Bestandsformaat (Xml) 5. Methode Gegevensoverdracht 5.1 Via SFTP 5.2 Upload van xml in de Binc toepassing 5.3 Volautomatisch via Webservice WWW.JONGERENWELZIJN.BE

P

1. Gegevensstructuur hulpverlening in BinC Cliënt Dossier Aanmelding: Aanleiding tot het dossier Beginregistratie: Kenmerken jongere & gezin bij opname Eindregistratie: Reden einde, Vervolghulpverlening Jeugdhulpbeslissing (JHB): Theoretisch hulpverlening met voorstel van één of meerdere RTJ en/of NRTJ modules gedurende een bepaalde periode. Schakeling: Effectieve hulpverlening met één of meerdere RTJ en/of NRTJ modules gedurende een bepaalde periode WWW.JONGERENWELZIJN.BE

P

2. Huidige bedrijfsregels binnen BINC 2.1 Samenhang schakelingen en beslissingen in BinC

Schakelingen mogen mekaar niet overlappen : De startdatum van een nieuwe schakeling >= einddatum vorige schakeling Een schakeling hangt steeds onder één beslissing WWW.JONGERENWELZIJN.BE

P

2. Huidige bedrijfsregels binnen BINC 2.2 Overige toegepaste bedrijfsregels in BinC Een dossier is steeds gekoppeld aan één client. Een dossier in BinC bevat 2 statussen: OPEN: omschrijft de lopende hulpverlening AFGESLOTEN : omschrijft een afgelopen hulpverlening. Maximum één OPEN dossier per client per voorziening. Door een dagelijkse synchronisatie met de moduledatabank zullen nieuwe goedgekeurde modules met één dag vertraging ook in BinC aanwezig zijn.


P

3. Gegevensentiteiten Gebruik van standaarden om gegevens uit te wisselen Een client wordt uniek bepaald door een rijksregister- of BIS nummer. Iedere module in een schakeling of beslissing wordt uniek geïdentificeerd door een Code en versienummer. De unieke identificatie wordt bepaald door de moduledatabank. Parameterlijsten worden beschreven aan de hand van enumeraties


P

4. Technische aanpak gegevensuitwisseling Bestandsformaat XML op basis van XSD: • Goed ondersteund formaat in verschillende technologieën. • Xsd versiebeheer • Standaard die toelaat de gegevensstructuur te bewaken en te valideren • Standaard die toelaat de aangeleverde data te valideren a.h.v. Enumeraties

Uitwisselingsmogelijkheden • Volautomatisch (Webservices) • Semi automatisch (SFTP, File-upload in Binc) Een combinatie van methodes is mogelijk waarbij de business logica en xsd herbruikt worden.


P

5. Methode Gegevensoverdracht 5.1 Via SFTP Voordelen Eenvoudige technische implementatie van de gegevensoverdracht bij de verzender. Nadelen Minder sterk beveiligd dan secure webservice. Offline/batch validatie van gegevensstuctuur en bedrijfsregels Geen volautomatische terugkoppeling naar de verzender Complexere exploitatie (extra sftp server component) Foutgevoeligheid bij bvb. onvolledige bestandsoverdracht Manuele foutafhandeling en oplossing vereist


P

5. Methode Gegevensoverdracht 5.2 Upload van xml in de Binc toepassing Voordelen: Geen technische implementatie voor gegevensoverdracht nodig Realtime validatie van gegevensstuctuur en bedrijfsregels. Realtime terugkoppeling van het resultaat en het tonen ervan aan de gebruiker gebeurt door Binc. Nadelen Minder sterk beveiligd dan secure webservice Manuele handeling vereist.


P

5. Methode Gegevensoverdracht 5.3 Volautomatisch via Webservices Voordelen: Hoge graad van veiligheid door encryptie ahv certificaten. Geen manuele tussenkomst. Real-time validatie van gegevensstuctuur en bedrijfsregels. Real-time teruggekoppeling van het resultaat naar de verzender in door xsd vastgelegd formaat. Lage exploitatiekost (volautomatisch, weinig componenten) Verschillende soorten services zijn mogelijk: Toevoegen nieuw cliënt/dossier Toevoegen nieuwe beslissing aan bestaand dossier Toevoegen nieuwe schakeling aan bestaande beslissing .... Nadelen Nood aan webservice-client implementatie bij verzendende partijen. Tonen van teruggekoppelde mogelijke overtredingen tegen de bestandsstructuur, bedrijfsregels of eventuele fouten gebeurt door WWW.JONGERENWELZIJN.BE de verzender

P

Infosessie Binc aan ontwikkelaars van de organisaties Bijzondere Jeugdbijstand

Recommend Documents