Plan van Aanpak beschikbaar stellen broncode Basisregistratie Personen onen (BRP) Datum 10 maart 2015 Kenmerk
Samenvatting De minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) heeft in de Tweede Kamer toegezegd de broncode van de Basisregistratie Personen (BRP) ( beschikbaar te willen stellen voor inzage. Het doel van deze mogelijkheid tot inzage is transparantie over de voortgang van de ontwikkeling en het organiseren van een “gratis kwaliteitscontrole” waarbij externe partijen kwetsbaarheden kunnen melden. Iedereen kan zich als Reviewer aanmelden op de voorwaarde dat de Reviewer bereid is om de overeenkomst in het kader van Responsible Disclosure te sluiten. Deze overeenkomst wordt gesloten met het Programma rogramma Operatie BRP. De mogelijkheid tot inzage zal plaatsvinden in een kantoorruimte in Den Haag, waarbij een PC met daarop geïnstalleerd een kopie van de BRP broncode beschikbaar wordt gesteld. Bevindingen met betrekking tot de kwaliteit van de broncode worden door de Reviewer geregistreerd en na afloop van de inzage door hett Programma Operatie BRP in behandeling genomen. De organisatie van de inzage van de BRP ligt bij het Programma Operatie BRP, onderdeel van het ministerie van BZK.
1. Inleiding In het Algemeen Overleg Overheid en ICT/mGBA op 7 november 2013 heeft de minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) aan de Tweede Kamer toegezegd de broncode van de Basisregistratie Personen (BRP) op verzoek beschikbaar te maken voor inzage. inzage In een brief van 3 maart 2014 aan de Tweede Twe Kamer hierover worden de wijze waarop de code beschikbaar wordt gesteld en de randvoorwaarden die daarbij gelden toegelicht. toegelicht Voorafgaand aan de mogelijkheid tot inzage heeft er al een toets van de broncode aan het normenkader “codekwaliteit” plaatsgevonden plaatsgevonden inclusief een controle op de beveiligingseisen. Ter voorbereiding op de mogelijkheid tot inzage is reeds een overeenkomst in het kader van Responsible Disclosure opgesteld. Dit document beschrijft het plan van aanpak voor de uitvoering van de d mogelijkheid tot inzage van de BRP broncode. Hoofdstuk 2 geeft een korte toelichting op de definitie van de werkzaamheden in verband met het beschikbaar stellen van de broncode van de BRP. BRP. Hoofdstuk 3 beschrijft de activiteiten die plaatsvinden voor, tijdens en na de inzage. Hoofdstuk 4 en 5 gaan in op respectievelijk de risico’s en de planning. Hoofdstuk 6 geeft een toelichting op de organisatie.
Pagina 1 van 6
2. Definitie van de werkzaamheden Dit hoofdstuk gaat in op de achtergrond, doelstelling, betrokken organisaties en scope van de werkzaamheden.
Datum 10 maart 2015 Kenmerk
2.1 Achtergrond Binnen het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) ontwikkelt Operatie BRP de Basisregistratie Personen (BRP). De minister van BZK heeft aan de Tweede Kamer toegezegd de broncode van de BRP binnen kaders beschikbaar te maken voor inzage om zo transparant te zijn over de voortgang van de ontwikkeling en een “gratis kwaliteitscontrole” uit te voeren waarbij externe partijen kwetsbaarheden kunnen melden. Ten aanzien van de voortgang is de mijlpalenplanning in termen van BOP-stappen relevant (BRP OpleverPlan), deze is beschikbaar op de website van Operatie BRP. Operatie BRP definieert een kwetsbaarheid als een zwakke plek in de broncode, ofwel de software, die een bedreiging kan vormen voor het correct en ongestoord functioneren van de BRP dan wel voor de beveiliging van de gegevens in de BRP. Het op een verantwoorde wijze melden van dergelijke kwetsbaarheden door buitenstaanders op basis van een door de betrokken organisatie vastgestelde procedure heet Responsible Disclosure. Dit stelt een organisatie, in dit geval het Programma Operatie BRP, in staat de gesignaleerde kwetsbaarheden gecontroleerd op te lossen. 2.2 Doelstelling Het doel van de mogelijkheid tot inzage van de broncode van de BRP is tweeledig, te weten enerzijds transparant te zijn over de voortgang van de ontwikkeling van de BRP en anderzijds het organiseren van een “gratis kwaliteitscontrole” waarbij externe partijen kwetsbaarheden kunnen melden. 2.3 Betrokken organisaties De inzage in de BRP broncode is onderdeel van het Programma Operatie BRP en wordt daarmee uitgevoerd onder verantwoordelijkheid van het Ministerie van BZK. Iedereen kan zich aanmelden voor de inzage, met dien verstande dat voorwaarde voor het inzien van de broncode is dat de Reviewer bereid is om de overeenkomst in het kader van Responsible Disclosure te sluiten. 2.4 Scope De scope van de inzage is beperkt tot de broncode die op het moment van de inzageperiode door het programma beschikbaar wordt gesteld. Deze broncode zal voor elke Reviewer gelijk zijn. 3 Aanpak en Activiteiten Dit hoofdstuk gaat in op de voorbereidende activiteiten, de activiteiten tijdens de inzage en de activiteiten na afloop van de inzageperiode. 3.1 Locatie De mogelijkheid tot inzage zal plaatsvinden in een kantoorruimte op locatie Turfmarkt 147 te Den Haag: de Data Room. Dit betreft een (vergader)kamer op deze locatie waarin maximaal twee (samenwerkende) Reviewers per sessie aanwezig zullen zijn.
Pagina 2 van 6
De Reviewer krijgt een PC ter beschikking met een persoonlijk account met ‘gastrechten’ om in te loggen. Op deze PC komt de BRP broncode “read-only” beschikbaar. Op de PC worden tevens die volgende applicaties, die behulpzaam kunnen zijn bij de inzage, ter beschikking gesteld: • MS Excel voor het registeren van bevindingen; • Een source code viewer - bijvoorbeeld Eclipse: een open source Integrated Development Environment.
Datum 10 maart 2015 Kenmerk
Het Programma kan in een later stadium besluiten om applicaties te vervangen en/of toe te voegen. Verzoeken voor installatie van aanvullende software door de Reviewer worden in principe niet gehonoreerd. Eventuele verzoeken van Reviewers voor installatie van specifieke applicaties worden per aanvraag beoordeeld. Deze aanvraag dient minimaal twee weken voorafgaand aan de inzage bij het Programma Operatie BRP te zijn ingediend. Deze applicaties dienen in elk geval aantoonbaar het doel van de inzage te dienen, licentievrij beschikbaar te zijn en het installeren van deze applicaties mag geen beveiligingsrisico’s met zich meebrengen. Operatie BRP besluit over het al dan niet inwilligen van dit verzoek, dit besluit is bindend. 3.2 Beveiligingsmaatregelen De volgende beveiligingsmaatregelen zijn ingericht om te voorkomen dat Reviewers een kopie van de broncode kunnen maken: • De PC is niet verbonden met een netwerk; • Er zijn geen (andere) verbindingen naar buiten mogelijk; • USB- en andere poorten van de PC zijn afgesloten; • De PC bevat geen CD/DVD drive of deze is afgesloten; • Tassen, mobiele apparaten en andere persoonlijke eigendommen van de Reviewer mogen niet in de Data Room worden meegenomen, zullen door een medewerker van Operatie BRP opgeborgen worden in een kluisje en na de inzage teruggegeven worden aan de Reviewer. 3.3 Broncode De scope van de mogelijkheid tot inzage is beperkt tot de broncode die op het moment van de inzageperiode door het programma beschikbaar wordt gesteld. Deze broncode zal voor elke Reviewer gelijk zijn. Het betreft broncode inclusief de bijbehorende documentatie in de code. Na afloop van de inzage worden alle gegevens die de Reviewer heeft gebruikt of gegenereerd van de PC verwijderd. Reviewers kunnen ook de code die betrekking heeft op de beveiliging inzien. De mogelijkheid tot inzage is namelijk mede bedoeld om kwetsbaarheden op dit terrein op het spoor te komen. Zij krijgen echter niet de beschikking over daarbij te gebruiken parameters en sleutels (zoals IP-adressen, poortnummers, wachtwoorden, encryptie-sleutels, etc.). 3.4 Registratiesysteem Bevindingen uit de inzage dienen tijdens de inzage door de Reviewer geregistreerd te worden in het registratiesysteem op locatie. Als registratiesysteem is Excel gekozen. Het voordeel van gebruik van Excel voor registratie is dat iedereen bekend is met deze applicatie en dat het registratiesysteem dat het Programma zelf gebruikt niet afgeschermd hoeft te worden. Er is een "template" in Excel beschikbaar dat de Reviewers moeten gebruiken voor meldingen. Dit "template" bevat in elk geval de volgende kolommen: naam en contactgegevens Reviewer, datum van de inzage, bevinding, toelichting en de
Pagina 3 van 6
locatie(s) in de code waarop de bevinding betrekking heeft. Uitleg met op welke wijze het "template" ingevuld dient te worden is tevens beschikbaar.
Datum 10 maart 2015 Kenmerk
3.5 Aanmeldingsprocedure De momenten waarop een mogelijkheid tot inzage plaatsvindt worden door het ministerie van BZK vastgesteld en gecommuniceerd. Communicatie naar buiten toe over de mogelijkheid tot inzage in de broncode vindt plaats ten minste twee maanden voor de start van de inzageperiode. De aanmeldingsprocedure wordt gepubliceerd op de website van het Programma Operatie BRP (www.operatiebrp.nl). Reviewers dienen zich tijdig bij het Programma aan te melden. De aanmelding is steeds per inzageperiode. De sluiting van de datum voor aanmelding is twee weken voor de start van de inzageperiode. Aanmelding vindt plaats door een email te sturen naar
[email protected] met daarin naam, contactgegevens (in elk geval e-mail en telefoonnummer) en een overzicht van de dagdelen waarop de Reviewer niet beschikbaar is. Deze wijze van aanmelden wordt tevens gepubliceerd op de website www.operatiebrp.nl. Bevestiging naar Reviewers over het moment dat zij de broncode kunnen inzien vindt tenminste 1 week voor de feitelijke inzagedatum plaats. Er worden maximaal twee (samenwerkende) personen per inzagesessie toegelaten. 3.6 Draaiboek inzagesessie 3.6.1 Registratie van de Reviewer De Reviewer meldt zich op de dag van inzage bij de receptie van locatie Turfmarkt 147 te Den Haag. Een medewerker vanuit het Operatie BRP team zal de Reviewer ophalen en de identiteit van de Reviewer toetsen a.d.h.v. een geldig ID Document. Daarnaast dient de Responsible Disclosure ondertekend te worden door de Reviewer. Een Reviewer die zich niet kan/wil identificeren en/of de Responsible Disclosure niet ondertekent mag de locatie Turfmarkt 147 en de Data Room niet betreden. De medewerker zal de Reviewer vervolgens begeleiden naar de Data Room, waar de PC klaar staat. Tassen, telefoons en andere persoonlijke spullen van de Reviewer zullen door de medewerker opgeborgen worden en na de inzage worden teruggegeven aan de Reviewer. 3.6.2 Toelichting broncode en registratiesysteem Eventuele toelichting op de broncode komt in de vorm van documentatie in de code. Documentatie over het melden van bevindingen in het registratiesysteem is beschikbaar. Er worden geen medewerkers beschikbaar gesteld om aanvullende uitleg of ondersteuning te geven. 3.6.3 Registratie van bevindingen Tijdens de inzage zal de Reviewer bij het waarnemen van een kwetsbaarheid een melding registreren. Belangrijk bij de invoer is dat alle velden ingevuld worden. Per kwetsbaarheid dienen de volgende punten benoemd te worden: bevinding, toelichting en de locatie(s) in de code. Voor een Reviewer is in beginsel maximaal 1 dagdeel (van 4 uur) beschikbaar voor de inzage. Een Reviewer kan de code per inzageperiode slechts 1 maal inzien. Het heeft de uitdrukkelijke voorkeur dat een Reviewer zijn meldingen registreert gedurende het dagdeel van de inzage, echter in voorkomende gevallen is het ook mogelijk om na afronding van de inzage een melding te doen bij Operatie BRP. Dit kan door een e-mail te sturen naar
[email protected] en te benoemen dat het
Pagina 4 van 6
om een aanvullende melding gaat naar aanleiding van de inzage van de BRP broncode. Bij een melding via e-mail moeten de volgende punten gemeld worden: naam en contactgegevens Reviewer, datum van de inzage, bevinding, toelichting en de locatie(s) in de code.
Datum 10 maart 2015 Kenmerk
3.6.4 Verbetering broncode Het Excel overzicht met bevindingen wordt door een medewerker van het Programma Operatie BRP na de inzage in ontvangst genomen. Binnen één dag na de inzage wordt een ontvangstbevestiging verstuurd aan de Reviewer. Operatie BRP zal trachten de geconstateerde kwetsbaarheid in de broncode zo snel mogelijk op te lossen. In voorkomende gevallen zal Operatie BRP met de Reviewer in contact treden om nadere toelichting te krijgen over de aard van de melding. Indien het volgens het Programma aannemelijk is dat de kwetsbaarheid ook in andere applicaties aanwezig is, zal Operatie BRP het Nederlands Cyber Security Centrum (NCSC) hierover informeren. Het NCSC zal informatie over de kwetsbaarheid delen met de bredere ICT-community. 3.7 Lessons Learned De (eerste) inzageperiode wordt afgesloten met een evaluatie. De minister van BZK zal deze evaluatie met de Tweede Kamer delen. De aspecten beschreven in hoofdstuk 3 (Aanpak en Activiteiten) komen in ieder geval aan bod tijdens deze evaluatie. Dat zijn: locatie (3.1), beveiligingsmaatregelen (3.2), vrijgegeven broncode (3.3), registratiesysteem voor meldingen (3.4), aanmeldingsprocedure (3.5), draaiboek op de dag van de inzage (3.6).
4 Risico’s Risico’s van de inzage zijn geïdentificeerd en worden door het programma Operatie BRP beheerst.
5 Planning Dit hoofdstuk beschrijft de planning op hoofdlijnen. In grote lijnen ziet de planning er als volgt uit: De mogelijkheid tot inzage in de broncode vindt plaats in de periode van 1 juni 2015 tot en met 1 juli 2015. • Twee maanden van te voren zal het programma de informatie over de inzageprocedure communiceren , dit betekent dat deze informatie uiterlijk 1 april 2015 op de website van Operatie BRP zal verschijnen. De sluitingsdatum voor aanmelding ligt op 15 mei 2015. Een week later, op 22 mei 2015, ontvangen Reviewers informatie over dag, tijd en locatie van de inzage. • In de periode tussen de accordering van dit plan van aanpak en de start van de inzageperiode worden alle voorbereidingen getroffen, waaronder het regelen van een locatie, het inrichten van een PC met de eerder benoemde software en het installeren van een kopie van de broncode.
•
Onderstaande tabel bevat een overzicht met de belangrijkste acties en deadlines:
Pagina 5 van 6
Datum 10 maart 2015 Kenmerk
6 Organisatie Dit hoofdstuk gaat in op het team dat de voorbereidingen treft en op de begeleiding tijdens de inzage. De mogelijkheid tot inzage van de BRP broncode vindt plaats onder auspiciën van het Programma Operatie BRP. Vanuit dit Programma zullen ullen de acties ter voorbereiding van de inzage uitgevoerd worden. Dit komt neer op communicatie over de aanmeldingsprocedure, communicatie naar Reviewers s over locatie, dag en tijd van de inzage,, regelen van de locatie, regelen van een PC met de eerder benoemde software en een kopie van de broncode. broncode De verantwoordelijkheid erantwoordelijkheid voor het een en ander ligt bij de projectleider projectleider Acceptatie, Implementatie en Communicatie (AI&C) van het Programma Operatie BRP. Daarnaast zal één medewerker vanuit Operatie BRP op de dagen van de inzage beschikbaar zijn om de Reviewers s op te halen bij de receptie, de registratieprocedure te doorlopen en de Reviewer naar de data room te brengen. Tijdens de inzage zelf is geen begeleiding vanuit het Programma Operatie BRP aanwezig.
Pagina 6 van 6
