Bestuurlijke notitie BYOD v1.0

Aan
DGOBR
DIR
Van
Contactpersoon
Datum
12 maart 2014
Kenmerk
BYOD - Uitgangspunten versie 1.0
1. Inleiding
In deze bestuurlijke notitie BYOD1 zijn de uitgangspunten voor de implementatie
van BYOD beschreven en worden ter vaststelling voorgelegd. De uitgangspunten
vormen een tussenstap, omdat het op dit moment nog niet mogelijk is op een
veilige manier volledig apparaatonafhankelijk te werken. Hiermee wordt, deels,
een invulling gegeven aan realisatie van de I-strategie, waarbij rekening
gehouden is met:

ontwikkelingen m.b.t. mobiel werken en “apparaatonafhankelijk werken”;

lopende initiatieven binnen de rijksdienst;

(beveiligings)eisen conform reeds bestaande kaders.
De ICCIO heeft besloten:

De ICCIO stelt de notitie vast en onderschrijft de beslispunten:

Opdracht te geven aan de Supply Board voor het doen van een Uitvoeringstoets (zoals verwoord in hfd5 – Vervolg) voor het leveren van BYOD als
dienst;

Opdracht te geven aan de SGI voor het doen van een Haalbaarheidsonderzoek
(zoals verwoord in hfd5 –Vervolg) naar “apparaatonafhankelijk werken”.
2. Aanleiding en achtergrond
Bring Your Own Device (BYOD) is een logische stap binnen de strategische ontwikkelingen van de rijksdienst met TPAW (Tijd-, Plaats- en Apparaatonafhankelijk
Werken). De invulling ervan wordt in de I-strategie met maatregel 8 (apparaatonafhankelijk werken) beschreven. In samenhang met TPAW en BYOD is het volgende qua beleid voor het gebruik van eigen, in privé aangeschafte middelen, op
papier gezet:

In bijlage I wordt overzicht gegeven van relevante BYOD kaders van de doelarchitecturen Digitale Werkplek Rijksoverheid (DWR), Gesloten Rijkscloud
(GRC), Rijks Application Store (RAS) en Toegang.

In bijlage II is er vanuit het TPAW-beleid een TPAW streefbeeld geformuleerd.

In bijlage III wordt een afwegingskader gegeven ter ondersteuning van de
manager of het gebruik van een eigen apparaat verstandig is.
Ten einde BYOD rijksbreed te realiseren is met deze notitie aanvullend beleid
geformuleerd.
1
BYOD: het inzetten van een, in privé aangeschaft, mobiel apparaat voor zakelijk gebruik
Pagina 1 van 8
3. Uitgangssituatie; BYOD en apparaatonafhankelijk werken
De besturingsystemen van de moderne mobiele apparaten van nu (IoS, Android,
Windows phones en tablets) hebben de controle steeds meer in de handen van de
eindgebruiker gelegd. Dat heeft voordelen, maar ook nadelen. De kans bestaat dat
door de gebruiker zelf geïnstalleerde apps malware bevatten die de bedrijfsinformatie kunnen benaderen, veranderen of doorsturen naar derden. Het is daarom van
belang dat ook op een eigen meegebracht apparaat, vanuit zakelijk oogpunt een
‘unmanaged device’, de bedrijfsgegevens voldoende worden afgeschermd. En daar
zit ook het spanningsveld in het gebruik van BYOD; waarbij enerzijds de medewerker als eigenaar van zijn eigen apparaat streeft naar flexibiliteit en vrijheid in het
gebruik, is anderzijds de werkgever vanuit juridisch oogpunt verplicht het gebruik
van de zakelijke omgeving op een BYOD apparaat zo goed mogelijk te beveiligen.
Er zit een verschil in eigenaarschap van het eigen apparaat en het door de werkgever verstrekte apparaat. Het beheer van door de werkgever verstrekte apparaat is
eenvoudiger in te regelen. De werkgever reguleert de samenstelling van het productaanbod van apparaten en de toepassingen die een medewerker hierop wel en
niet mag gebruiken. Het is hierdoor makkelijker te controleren of een apparaat
voldoet aan alle eisen op het gebied van functionaliteit en beveiliging. Deze vorm
wordt ook de ‘managed device’ genoemd. In tegenstelling tot het ‘managed device’
zijn de benodigde beveiligingsmaatregelen met BYOD alleen technisch af te dwingen door een beheerder, tenzij hiervoor bestemde beveiligingsapplicaties beschikbaar worden gesteld. Zonder dergelijke applicaties, zoals GOOD, JEP, MobileIron of
andere telewerkvoorzieningen, is beveiliging niet mogelijk en is enige relevante
scheiding van zakelijke en privé-informatie niet te maken.
Datum
12 maart 2014
Kenmerk
De hierboven beschreven situatie ligt in lijn met het rapport van de AIVD/NBV uit
2012. Dat rapport geeft een uiteenzetting van de dreigingen in het gebruik van
eigen ‘unmanaged device’, en de organisatorische en technische maatregelen die
men moet treffen om BYOD verantwoord in de organisatie toe te staan. Thans zijn
deze dreigingen en benodigde maatregelen nog steeds opportuun. Mede door de
vaak onveilige situatie die optreedt met het gebruik van een ‘unmanaged device’
raadt de AIVD/NBV daarom nog steeds aan om niet te kiezen voor een unmanaged
BYOD, maar voor het ’managed device’. Vandaar dat het belangrijkste uitgangspunt
bij de BYOD implementatie is dat het eigen apparaat gemanaged moet worden conform de eisen die gesteld worden aan de zakelijk verstrekte apparaten.
Een uitdaging van zowel eigen als zakelijke verstrekte apparaten is dat we met het
apparaatonafhankelijk werken (of te wel het loskoppelen van de functionaliteit van
het apparaat) niet meer afhankelijk willen zijn van de leveranciers van het platform, de hardware en/of software. Een andere ontwikkeling is de verbreding van
perimeter- en apparaat- beveiliging met de beveiliging van de informatie zelf. Ook
dit vraagt, zoals eerder gesteld, tot een verregaande ontkoppeling van functionaliteit van het apparaat. Het huidige aanbod van functionaliteiten en commerciële
dienstverleningsconcepten maakt volwaardig en volledig “apparaatonafhankelijk
veilig werken” nog niet mogelijk. Door de grote verscheidenheid aan telewerkvoorzieningen, smartphones, tablets, laptops is dat een groot punt van aandacht.
Inschatting is dat op de lange termijn een betere beveiliging in combinatie met
apparaatonafhankelijk werken haalbaar is. BYOD geeft daarin een goede impuls aan
de ontwikkeling van apparaatonafhankelijk werken. Echter “apparaatonafhankelijk
werken” is niet alleen van toepassing op BYOD, maar ook op de door de werkgever
verstrekte apparaten.
Pagina 2 van 8
4. Uitgangspunten BYOD
Ondanks dat volledig “apparaatonafhankelijk werken” nog geen feit is, kan BYOD
wel gefaciliteerd worden. De stuurgroep BYOD onderschrijft het rapport van
AIVD/NBV met de voorkeur voor het ‘managed device’, maar is van mening (en na
overleg met het NBV) dat BYOD, voorzien van dezelfde beveiligingsmaatregelen als
van een ‘managed device', gecontroleerd en beheermatig kan worden ingevoerd.
De uitgangspunten voor de implementatie van BYOD zijn:
Datum
12 maart 2014
Kenmerk
a) De Werknemer kan uit het assortiment van de werkgever zijn (mobiele) apparaat kiezen en (daarnaast) gebruik maken van eigen apparaten, indien deze
overeenkomt met het standaard productaanbod van de werkgever.
b) De zakelijke omgeving2 is veilig gescheiden van de privéomgeving:

De oplossing is in de vorm van een applicatie op het apparaat die ervoor
zorgt dat de zakelijke gegevens verwerkt en opgeslagen worden binnen een
beveiligde omgeving op het apparaat. De applicatie heeft de benodigde bescherming, zoals encryptie van gegevens en datacommunicatie met de
backoffice in het datacenter. Op dit moment betekent dit dat het eigen apparaat wordt uitgevoerd met een gecertificeerde Mobile Device Management
(MDM)-oplossing.

Apparaten maken gebruik van telewerkvoorzieningen voor werken-opafstand. Telewerken op de thuiscomputer of elders gebeurt met een token
(G-ON-stick, JEP-stick, Telestick, etc.). Het is hiermee mogelijk om de eigen
virtuele managed/actief beheerder werkplekomgeving te gebruiken.

Aanvullend is het mogelijk een SIM-kaart af te nemen, zodat in geval van
een mobiele data verbinding met het mobiele apparaat (laptop, tablet) gebruik wordt gemaakt van de ‘eigen’ access point naar het rijksweb.
c) De werkgever beslist op basis van risicoafweging of verwerking van informatie
in de zakelijke omgeving op het eigen apparaat is toegestaan.
De werkgever gebruikt hiervoor een afwegingskader waarmee op basis van bedrijfscontinuïteit, functie, verantwoordelijkheid, vertrouwelijkheid van informatievoorziening (conform BIR) en kosten een besluit kan worden genomen.
d) De huidige BYOD initiatieven worden gehandhaafd.
Departementen (zoals MinFin, OCW en EZ) en andere overheidsorganisaties
(zoals Belastingdienst en DUO) hebben het gebruik van BYOD met smartphone
of tablet al ingevoerd voor bedrijfstoepassingen, of ze zijn bezig voorbereidingen te treffen voor een implementatie.
e) Beheer en helpdeskondersteuning van BYOD is alleen van toepassing op de
zakelijke omgeving op het eigen apparaat, en niet van het apparaat zelf.
f) Voor BYOD is er een gebruikersovereenkomst met gebruiksvoorwaarden waarin
de rechten, plichten en aansprakelijkheid van de werkgever en werknemer
staan beschreven3:

fiscale en juridische consequenties die BYOD met zich meebrengt;

de aansprakelijkheid bij verlies, diefstal, beschadiging en buiten dienststelling;

de vertaling van de arbeidsomstandigheden die in de ARBO-wet genoemd
worden naar beleid voor apparaten;

algemene gebruiksvoorwaarden voor TPAW. Wat zijn generieke voorwaarden en welke voorwaarden kunnen departementen specifiek opstellen;

bepalingen voor het zakelijke en privégebruik van het apparaat;

evt. vergoedingen (in het kader van WKR).
2
In de zakelijke omgeving wordt de bedrijfsinformatie verwerkt op een door de organisatie
conform de BIR beheerde omgeving
3
Uitgangspunt e valt niet binnen het ICCIO-domein. Taskforce TPAW doet hiervan doorgeleiding naar ICOP. De Taskforce TPAW bewaakt actief de voortgang op betreffende punten.
Pagina 3 van 8
5. Vervolg
Datum
12 maart 2014
Kenmerk
Voor het vervolg en daarmee de implementatie van BYOD wordt uitgegaan van een
2-tal aspecten:
-
de Uitvoeringstoets van BYOD op de korte termijn
en aanvullend een Haalbaarheidsonderzoek naar “apparaatonafhankelijk
werken” voor de lange termijn.
Uitvoeringstoets
Om duidelijkheid te krijgen in de consequenties voor wat betreft invoering van
BYOD conform de beschreven uitgangspunten zal de ICCIO opdracht geven aan de
Supply Board voor het doen van een Uitvoeringstoets. De Uitvoeringstoets geeft
antwoord op in hoeverre Uitvoering in staat is met de beschreven uitgangssituatie
BYOD als dienst te leveren; wat is de impact op bestaande ICT voorzieningen, wat
zijn de ontwikkel- en exploitatiekosten en mogelijke besparingen, welke
maatregelen moeten extra worden getroffen in ICT infrastructuur, de
softwarelicenties, beveiliging (BIR), functionaliteit, beheer en service levels, de
haalbaarheid en kosten van het beheer en helpdeskondersteuning alleen voor de
zakelijke omgeving, wat zijn de risico’s voor de dienstverlening, en wat is de
doorlooptijd (en roadmap) is voor invoering van BYOD als dienst?
Het resultaat van de uitvoeringstoets wordt voorgelegd aan
de ICCIO en zal eventueel leiden tot opdracht voor invoering van de BYOD-dienst.
Haalbaarheidsonderzoek
Zoals eerder in de notitie al werd beschreven is volledig “apparaatonafhankelijk
werken” momenteel nog niet mogelijk. Het streven moet zijn dat er in de toekomst
zoveel mogelijk apparaatonafhankelijk gewerkt moet kunnen worden. Het is daarom van belang onderzoek te doen naar de haalbaarheid op de lange termijn van
apparaatonafhankelijk werken.
ICCIO geeft opdracht aan de SGI voor het uitvoeren van een Haalbaarheidsonderzoek. De toets levert een rapportage met een advies op over de haalbaarheid van
betreffende onderwerp en de manier waarop de implementatie van “apparaatonafhankelijk werken” tot een succes kan leiden. De rapportage met advies wordt voorgelegd aan de ICCIO ter besluitvorming.
Pagina 4 van 8
Bijlage I - Relevante BYOD kaders ICCIO-domein
Datum
12 maart 2014
Uit de DWR functionele doelarchitectuur (Vastgesteld door ICCIO: december 2012)
Zero-footprint - Om mobiel werken en gastgebruik/interoperabiliteit mogelijk te
maken is het noodzakelijk om een scheiding aan te brengen tussen devices (apparaten zoals pc’s, laptops, tablets en smartphone) en de functionaliteit die via deze
apparaten ter beschikking wordt gesteld.
Apparaatonafhankelijkheid - DWR ondersteunt verschillende type devices en
besturingssystemen. BYOD en CYOD dienen gefaciliteerd te worden.
Connectivity - Hoogwaardige (mobiele) datacommunicatie is nodig voor een succesvolle DWR. Het door DWR gestelde kader hierbij is het toekomstige Rijksoverheidsnetwerk (RON2.0).
Mobiel apparaat gebruiken bij ander departement - Het is voor medewerkers
van andere departementen binnen de Rijksdienst mogelijk om gebruik te maken
van meegebrachte mobiele apparaten. De organisatie biedt aan deze gasten de
mogelijkheid om met hun laptop (bedraad of draadloos) en met tablets en smartphones (draadloos) een verbinding ’naar buiten’ te kunnen gebruiken.
Synchronisatie - De DWR-Client biedt de mogelijkheid om email, agenda, contactpersonen en taken veilig te synchroniseren met in de consumentenmarkt gangbare en populaire (privé) smartphones en tablets (i0S, Android, Blackberry en Windows Mobile).
Kenmerk
Uit de GRC doelarchitectuur (Vastgesteld door ICCIO: juni 2013):
Mobiele platformen en desktops - Cloud diensten uit de GRC worden zoveel
mogelijk platform en apparaat onafhankelijk aangeboden.
Connectivity - Bij de ontwikkeling van het Rijksoverheidsnetwerk moet “continuïteit van verbinding” centraal staan, zodat cloud diensten uit de GRC te gebruiken
zijn.
DWR uit de GRC - De DWR-voorzieningen worden vanuit de GRC aangeboden
zodanig dat voor de eindgebruikers geldt dat deze voorzieningen anyplace, anytime
en op any device beschikbaar zijn.
Uit de RAS doelarchitectuur (Vastgesteld door ICCIO: oktober 2012:
Dienstgericht - De RAS is een Rijksbrede distributiedienst voor software naar “Any
Device”. De dienst richt zich zowel op de eindgebruikers van de software als ook de
aanbieders van software.
Beschikbaar - Inrichting en ontwerp zijn afgestemd op de met afnemers afgesproken norm voor beschikbaarheid. Typisch voor de RAS is dat deze op elk willekeurig
tijdstip moet zijn te gebruiken, ongeacht de locatie van de gebruiker.
Uit de Toegang doelarchitectuur (Vastgesteld door ICCIO: januari 2012)
Federatieve authenticatie - Toegangsbeheer wordt gebaseerd op het principe
van federatieve authenticatie
Logging - Handelingen met voorzieningen van het Rijk zijn te herleiden tot een
verantwoordelijke persoon.
Rijksmedewerker - Een Rijksmedewerker is in dienst van het Rijk (één werkgever), heeft binnen het Rijk een unieke digitale identiteit, heeft één e-mailadres, één
Rijkspas, één of meerdere (eigen) mobiele devices en steeds vaker een flexibele
werkplek.
Rijkspas - De Rijkspas geldt als standaard authenticatiemiddel voor zowel fysieke
als logische toegang. Met de Rijkspas heeft een medewerker toegang tot elk relevant rijkskantoor, logt daarmee ook in (ook thuis of elders) om toegang te krijgen
tot relevante bestanden, systemen en informatiediensten en kan daarmee een elektronische handtekening zetten.
Pagina 5 van 8
Bijlage II - TPAW streefbeeld (ICBR november 2013)
Datum
12 maart 2014
Kenmerk
De elementen uit het streefbeeld TPAW die betrekking hebben op BYOD vanuit
werknemersperspectief zijn:

In 2017 heb ik met mijn (eigen) mobiele apparaat op een veilige manier toegang tot de generieke voorzieningen van het Rijk. (blz. 4)

Wat betreft de middelen waarmee ik werk ... (blz. 5)

Kan ik een (mobiel) apparaat kiezen uit een assortiment van de werkgever.

Kan ik (daarnaast) gebruik maken van eigen apparaten, mits deze voldoen aan gestelde (veiligheids)eisen.

Mijn leidinggevende en ik maken goede afspraken over ... (blz. 3)

Welke apparaten en (aangepaste) faciliteiten ik nodig heb om mijn werk
goed te kunnen uitvoeren.

Het veilig en effectief gebruiken van mijn verschillende (mobiele) apparaten (conform de eisen van iBewustzijn).

De opleiding of training die ik eventueel nodig heb om mijn kennis, bewustzijn en vaardigheden op peil te brengen.
Uitgangspunt van het streefbeeld dat het opgaat voor iedere medewerker die in
dienst is bij een rijksorganisatie. Het is het meest van toepassing op kantoorfuncties, maar tegelijkertijd zijn onderdelen zeker ook van toepassing op medewerkers
met andere werkzaamheden (met name uitvoering en toezicht). In de realisatie
wordt rekening gehouden met fasering en differentiatie. Het tempo ligt niet overal
gelijk.
Pagina 6 van 8
Bijlage III – Afwegingskader BYOD
Datum
12 maart 2014
Het Afwegingskader BYOD is onderdeel van de bestuurlijke nota BYOD, d.d. 12
maart 2014. Deze biedt ondersteuning aan de manager om een goed onderbouwde
(risico)afweging te doen voor het gebruik van eigen, in privé aangeschafte,
apparaten (BYOD) voor zakelijk gebruik. De manager wordt geadviseerd alle
onderstaande vragen te doorlopen en met “ja” of “nee” te beantwoorden. Indien
een van de vragen met een “nee” wordt beantwoord, wordt afgeraden om BYOD toe
te staan.
Kenmerk
Nr.
1.
Afweging
Beschikbaarheid (bij
verlies, diefstal en
defecten)
Vraag
Is het acceptabel dat er minimaal support is op BYOD ten
opzichte van support op de door de werkgever verstrekte
apparaten?
Denk hierbij aan:



2.
Informatiebeveiliging
continuïteit van (bedrijfs)processen/afdeling;
gebruik van BYOD in verschillende functies zoals beleidsmakers, ondersteunend personeel, inspecteurs,
etc.;
de mogelijkheid dat BYOD aanvullend is of in plaats
van het door de werkgever verstrekte apparaat.
Is het informatiebeveiliging niveau van de BYOD-dienst
voldoende voor het noodzakelijk gewenste
informatiebeveiliging niveau van deze medewerker?
Denk hierbij aan de informatie waarmee de medewerker
in zijn functie werkt (hoger gerubriceerd dan
departementaal vertrouwelijk4).
3.
Overeenkomst
Is de medewerker bereid een BYOD
gebruikersovereenkomst te ondertekenen en
daarbij kennis genomen heeft van:





4.
I-Bewustzijn
fiscale en juridische consequenties;
de aansprakelijkheid bij verlies, diefstal, beschadiging
en buiten dienststelling;
bepalingen voor het zakelijke en privégebruik van het
apparaat;
arbo-wettelijke beperkingen;
beheer en (helpdesk)ondersteuning beperkt tot de
zakelijke omgeving op het BYOD apparaat.
Is de medewerker I-bewust?
Denk hierbij aan het volgen van een I-Bewustzijn traject.
4
Informatiebeveiliging is een verantwoordelijkheid van de lijnmanager. Gelet op de lijnverantwoordelijkheid
van informatiebeveiliging dient de manager zich te laten informeren over het beveiligingsniveau van de
aangeboden BYOD dienst/oplossong en dit te reflecteren op het noodzakelijke informatiebeveiliging niveau
van de functie van de medewerker.
Pagina 7 van 8
Ja/Nee
5.
Financiën
Datum
Zijn de (extra) kosten gedekt voor de inzet van BYOD
12 maart 2014
binnen de organisatie?
Kenmerk
Denk hierbij aan:



de mogelijkheid dat BYOD aanvullend is in plaats van
het door de werkgever verstrekte apparaat;
afnemen van de BYOD-dienst;
eventueel een simkaart.
Pagina 8 van 8

Download Report