2017 - provinciale archiefinspectiesprovincialearchiefinspecties.nl/pdf/Rodin_02_def_website.pdf ·...

Referentiekaderopbouw digitaal informatiebeheer

RODINversie 2

2017

InleidingWat is RODIN?Voor wie en waarvoor is RODIN?Hoe werkt RODIN?Verantwoording

Hoofdstuk 1Beleid en organisatie

Hoofdstuk 2Informatiebeheer

Hoofdstuk 3ICT-beheer

Bijlage 1 BronnenBijlage 2 Begrippen

Dit document mag worden gekopieerd, verspreid endoorgegeven als daarbij naam en herkomst wordtvermeld. Het document mag niet bewerkt of voorcommerciële doeleinden gebruikt worden.Bij hergebruik of verspreiding dient de gebruiker dezevoorwaarden kenbaar te maken aan derden door middelvan een link naar https://creativecommons.org/licenses/by-nc-nd/4.0/legalcode

Inhoudsopgave

Referentiekader

RODIN2

3

6

10

17

2526

https://creativecommons.org/licenses/by-nc-nd/4.0/legalcode

https://creativecommons.org/licenses/by-nc-nd/4.0/legalcode

Het Referentiekader Opbouw Digitaal Informatiebeheer,kortweg RODIN, is een handzaam toetsingsinstrument.Het kan gebruikt worden voor het bepalen van, sturen open verantwoording afleggen over de kwaliteit van debeheeromgeving waarin digitale informatie bij organisa-ties ontstaat of wordt ontvangen. Het is gebaseerd op debelangrijkste wet- en regelgeving, normen en standaar-den op het gebied van duurzaam informatiebeheer.RODIN biedt houvast bij de inrichting, het gebruik en debeoordeling van een bestaande of zich nog ontwikkelen-de beheeromgeving waarin digitale informatie conformwettelijke eisen gecontroleerd en duurzaam beheerdmoet worden zodat de betrouwbaarheid en toegankelijk-heid daarvan gegarandeerd is. Toepassing van hetreferentiekader geeft inzicht in de mate waarin deorganisatie op het gebied van digitaal informatiebeheer‘in control’ is. RODIN kan gebruikt worden als onderdeelvan het in de Archiefregeling vereiste kwaliteitssysteemvoor de (digitale) archivering en van andere vormen vankwaliteitsmanagement.

De eerste versie van RODIN verscheen in 2010. Hetinstrument is sindsdien veelvuldig en naar tevredenheidgebruikt. De (inter)nationale wet- en regelgeving, stan-daarden en normen op dit terrein zijn sinds 2010 in volopin ontwikkeling gebleven en sterk toegenomen. Daardooris het voor informatieprofessionals en toezichthoudersmoeilijk om door al die bomen het bos nog te zien.Bovendien is de digitalisering van informatiestromen inde hele maatschappij, dus ook bij de overheid, in deafgelopen jaren in hoog tempo doorgegaan. In veelorganisaties is een groot deel van de bedrijfskritischeinformatie alleen nog in digitale vorm beschikbaar. Hetwordt daarom met de dag belangrijker om te kunnenwaarborgen dat digitale informatie betrouwbaar, vol-ledig, authentiek en toegankelijk is en blijft zolang datnodig is. Gelukkig zijn ook steeds meer organisaties zichbewust van het belang van duurzaam informatiebeheer.De behoefte aan een goed toetsingsinstrument is danook alleen maar toegenomen. Daarom is het hoog tijdvoor deze geactualiseerde en verbeterde versie van hetbeproefde toetsingsinstrument: RODIN 2.0.RODIN 2.0 is een generiek instrument, Daarom bevat hetgeen eisen voor de aansluiting op een e-depot, aangeziendeze niet voor ieder e-depot hetzelfde hoeven te zijn. Welkan toepassing van RODIN 2.0 veel informatie opleverendie van belang is bij het voorbereiden van organisaties enhun digitale informatiebeheer op de aansluiting op eene-depot.

wat is rodin?

Referentiekader

RODIN3

Inleiding

RODIN 2.0 is bedoeld voor informatiemanagers,adviseurs DIV en informatiebeheer, interne auditors,archiefinspecteurs en externe auditors bij organisatiesdie onder de Archiefwet vallen. Ook niet-overheids-organisaties die hun digitale informatie gecontroleerden langdurig toegankelijk willen beheren, kunnen erdesgewenst gebruik van maken.RODIN kan eveneens goede diensten bewijzen in hetgeval van privaat-publieke samenwerking, in samen-werkingsverbanden tussen overheden onderling enketeninformatisering. Het is dan wel nodig dat debetrokken partijen vooraf afspraken hebben vastgelegdover zaken als metadata, formaten, beschikbaarstelling,selectie en waardering. Zie hiervoor ook de HandreikingInrichting informatie- en archiefbeheer bij samenwer-kingsverbanden (Verbonden Partijen) van LOPAI enKVAN/BRAIN uit januari 2017.RODIN is toepasbaar op informatiebeheer in op eengehele architectuur centrale archiefsystemen, alsook opbeheer van zowel te bewaren als op termijn vernietig-bare informatie in (vak)applicaties, decentrale systemenop afdelingen. Artikel 3 van de Archiefwet 1995 bepaaltimmers dat overheidsorganisaties verplicht zijn de onderhen berustende archiefbescheiden in goede, geordendeen toegankelijke staat te brengen en te bewaren. Voordigitale informatie die langer bewaard moet worden daneen periode van circa 6 jaar, zal het nodig zijn om maat-regelen te treffen om ervoor te zorgen dat deze infor-matie tot aan het eind van de bewaartermijn toeganke-lijk en betrouwbaar blijft. Met behulp van RODIN kan debeheeromgeving waarin de digitale informatie ontstaat

of wordt ontvangen, worden getoetst, verbeterd endoorontwikkeld.Het referentiekader heeft betrekking op de geheledigitale beheeromgeving:

Het geheel van organisatie, beleid, processenen procedures, financieel beheer, personeel,databeheer,databeveiligingen aanwezigehard- en software, dat het duurzame beheervan digitale informatie mogelijk maakt.

De digitale beheeromgeving omvat dus meer dan dehardware, software en bestanden. Ook alle randvoor-waardelijke voorzieningen, zoals afgewogen beleid, eendegelijke organisatie, goed opgeleid en voldoendepersoneel, vastgelegde en gecontroleerde procedures enfinanciële soliditeit maken onlosmakelijk deel uit van debeheeromgeving en kunnen met behulp van RODINworden getoetst en bijgestuurd. Daarom kan RODIN ookonderdeel uitmaken van een breder kwaliteitssysteem envan integraal kwaliteitsmanagement.RODIN is niet bedoeld als referentiekader voor e-depots,bestemd voor blijvende bewaring van digitale informatie.Hiervoor gelden zwaardere eisen, zoals beschreven in deISO-norm 16363. Ook is RODIN niet bedoeld als toetsings-kader voor een geïntegreerde oplossing van digitalebeheeromgeving en een e-depotvoorziening.

voor wie en waarvoor is rodin?

Referentiekader

RODIN4

http://kvan.nl/images/BRAIN_KVAN/Handreiking_Inrichting_informatie-_en_archiefbeheer_2017.pdf



RODIN benoemt eisen voor alle aspecten van de digitalebeheeromgeving. Met elkaar vormen deze 19 eisen debelangrijkste voorwaarden voor verantwoord digitaalinformatiebeheer in eerste aanleg.Een korte toelichtende tekst per eis geeft houvast voor detoepassing ervan. Waar mogelijk zijn de eisen verderverduidelijkt door middel van voorbeelden. Per eis zijnverwijzingen opgenomen naar de bron of bronnen waar-uit deze afkomstig zijn en naar de corresponderende eisin RODIN 1.0. Voor een meer gedetailleerde uitwerking vande eisen is het raadzaam om de oorspronkelijke bron teraadplegen. Bijlage 1 bevat de volledige lijst van in RODINverwerkte kaders. Bijlage 2 bevat een begrippenlijst.In sommige eisen worden termen als ‘voldoende’ en‘passend’ gebruikt. Het is van belang dat auditor en deorganisatie die onderwerp van toetsing is voorafgaandaan de audit in samenspraak bepalen wanneer ervoldoende of passend is voldaan aan de eis.De eisen zijn ingedeeld in de volgende hoofdstukken:1. Beleid en organisatie (4 eisen)2. Inhoudelijk informatiebeheer (7 eisen)3. ICT-beheer (8 eisen)Deze drie hoofdstukken corresponderen vaak met ver-schillende onderdelen van de organisatie en sluitenmeestal aan op verschillende niveaus: hoofdstuk 1 op hetmanagement, hoofdstuk 2 op het informatiebeheer ende informatievoorziening, hoofdstuk 3 op ICT-beheer enbeveiliging. Deze onderdelen en/of niveaus kunnenzodoende aan de hand van RODIN apart worden bevraagd.De optelsom van de uitkomsten van de drie sets eisenleidt tot het gewenste organisatiebrede inzicht. Deervaring leert dat deze aanpak in de praktijk goed werkt.

RODIN 2.0 is samengesteld door een werkgroepbestaande uit vertegenwoordigers van het LandelijkOverleg Provinciale Archiefinspecteurs (LOPAI), hetsamenwerkingsverband van de Koninklijke Verenigingvan Archivarissen in Nederland en de BrancheorganisatieArchiefinstellingen in Nederland en (KVAN/BRAIN) en deErfgoedinspectie (EGI), sectie Archieven:Jan Beens (KVAN/BRAIN)Dick Bunskoeke (LOPAI)Stinie Francke (KVAN/BRAIN)Chantal Menting (KVAN/BRAIN)Marianne Loef (LOPAI)Ronald van der Steen (EGI)

hoe werkt rodin? verantwoording

Referentiekader

RODIN5

De organisatie heeft een doorhet bestuur en/of managementvastgesteld informatiebeleid.

Het vastgestelde informatiebeleid kan uit één documentof meerdere documenten bestaan.Onderdelen van het informatiebeleid zijn tenminste:a beschrijving van de manier waarop de organisatie

zorgt dat zij voldoet aan de wettelijke eisen voor hetbewaren van informatie;

b beschrijving van de bewaarstrategie (waaronderpreserveringsmaatregelen);

c beschrijving van het beveiligingsbeleid, waarin takenen verantwoordelijkheden voor informatiebeveiligingzijn belegd.

Zie ook hoofdstuk 3.

Ad a: Een informatiebeleidsplan of ander plan waarin(onder meer) beschreven staat hoe men voldoetaan de Archiefwet en aanverwante regelgeving.

Ad b: Voorbeelden bewaarstrategie: het vervroegdoverbrengen of uitplaatsen naar een externe-depot; het creëren van een interne omgevingvoor duurzame en permanente bewaring.Voorbeelden preserveringsmaatregelen: hetmonitoren op in onbruik raken van formaten,tijdig migreren en/of converteren van bestanden,emulatie.

Ad c: Voor gemeenten conform de BIG, voor water-schappen de BIWA, voor provincies de IBI en voorhet Rijk de BIR.

Rodin 20101.1

WetgevingAR 25

NEN-ISO 154896.2

ISO 163633.1.1, 3.1.2, 3.3.2 en 5

KIDO 1.0Hoofdstuk 3

EISNR. TOELICHTING VOORBEELDEN VERWIJZINGEN

1.1

Referentiekader

RODIN6

Hoofdstuk 1

Beleid en Organisatie

Voor de continuïteit van dedigitale beheeromgeving zijnstructureel voldoende middelenbeschikbaar gesteld.

Besturen van organisaties die onder de Archiefwetvallen, zijn zorgplichtig. Dat wil onder meer zeggen:verantwoordelijk voor de randvoorwaarden voor goedarchief- en informatiebeheer, zoals voldoende financiën.Voor digitaal informatiebeheer zijn een meerjaren-planning en financiële continuïteit onontbeerlijk. ZieMemorie van Toelichting bij de Archiefwet 1995 (TK 1992-1993, 22866 nr. 3) bij de artikelen 3, 27.2, 30.2, 35.2 en 41.3.

Rodin 20101.6

ISO 163633.4

KIDO 1.0Hoofdstuk 3


1.2

Referentiekader

RODIN7

De organisatie beschikt overvoldoende medewerkers, metvoldoende kennis en competen-ties, om uitvoering te gevenaan al haar taken, bevoegd-heden en verantwoordelijk-heden op het gebied van dedigitale beheeromgeving.

Onderdeel van de zorgplicht uit de Archiefwet is ook, dathet bestuur moet zorgen dat er voldoende en deskundigpersoneel aanwezig is voor de taakuitvoering.Bij uitbesteden van taken die de digitale beheer-omgeving raken moeten uiteraard ook eisen gesteldworden aan de kwalitatieve en kwantitatieve personelecapaciteit bij de beoogde uitvoerder(s). Zie Memorie vanToelichting bij de Archiefwet 1995 (TK 1992-1993, 22866nr. 3) bij artikel 3.

Indicaties voor onvoldoende kwantitatieve enkwalitatieve capaciteit kunnen bijvoorbeeld zijn:achterstanden, incidenten, te hoge werkdruk, taken dieblijven liggen.

Rodin 20101.7

NEN-ISO 154896.5

KIDO 1.0Hoofdstuk 3


Referentiekader

RODIN8

1.3

De organisatie is in staatverantwoording af te leggenover alle activiteiten tenbehoeve van de werking en hetbeheer van de digitalebeheeromgeving, op basis vande toetsbare eisen van een doorhaar toe te passenkwaliteitssysteem.

Het kwaliteitssysteem bevat tenminste de volgendeonderdelen:a een risicoanalyse als basis voor het informatiebeheer;b een beschrijving van de organisatie van het

informatiebeheer die de duurzame toegankelijkheiden betrouwbaarheid van de informatie borgt;

c vastgestelde en belegde bevoegdheden,verantwoordelijkheden en taken op het terrein van hetinformatiebeheer;

d vastgestelde procedures voor het informatiebeheer inde staande organisatie en bij organisatiewijziging, bijhet aangaan van samenwerking en/of overgang vantaken naar een andere overheid;

e periodieke interne monitoring als onderdeel van dePlan-Do-Check-Act-cyclus en externe monitoring,toetsing en/of certificering op het gebied van dedigitale beheeromgeving en het informatiebeheer;

f Een actueel, compleet en logisch samenhangend engeordend overzicht bijhoudt van deinformatieobjecten die de organisatie beheert.

Zie ook hoofdstuk 3.

Zie de Handreiking Kwaliteitssysteem InformatiebeheerDecentrale Overheden (KIDO).Ad b: De samenwerking tussen de disciplines I&A,

archief en lijnafdelingen bij het informatiebeheer.Ad c: In besluiten zoals bijvoorbeeld het Besluit

informatiebeheer, mandaatregelingen eninrichtingsplannen is vastgelegd wie op diverseniveaus verantwoordelijk is voor taken in hetkader van informatiebeheer. Voorbeelden vantaken: registratie en archivering, waardering enselectie, overbrenging naar een e-depot, Iarchitectuur, informatiebeveiliging en changemanagement.

Ad d: Procedures voor bijvoorbeeld registratie enarchivering, scannen etc., zie de taken onder ad c.

Ad e: Systematisch intern monitoren en toetsen ofprocedures correct worden gevolgd en of hetresultaat voldoet (bijvoorbeeld kwaliteit digitaledossiers). Regulier extern (laten) toetsen op zakenals geschiktheid en inrichting van systemen,correcte registratie, gebruik van metadata,compleetheid van dossiers,preserveringsmaatregelen.

Rodin 20101.2, 1.3, 1.4, 1.5

WetgevingAW 4 en 5.1.1; Ar 16 en18

NEN-ISO 154896.1, 6.2 en 6.3

ISO 163633.3.4, 3.3.6, 4.3.3 en5.1.1

KIDO 1.0Hoofdstuk 3, 4.1.1,4.1.2

DUTOEis 2


Referentiekader

RODIN9

1.4

Informatieobjecten zijn ge-koppeld aan een ordenings-structuur die is aan te passenzonder de al aanwezige struc-tuur met zijn koppelingen teverstoren.

Alle aanwezige informatieobjecten zijn volgens eenlogische opzet geordend en te presenteren.Voorheen werd hiervoor bijvoorbeeld een DocumentairStructuur Plan (DSP) of Informatie Structuur Plan (ISP)gebruikt.Hierna, zie 2.3, worden gedetailleerde eisen gesteld aanhet metagegevensschema, dat eveneens nodig is om decontext van informatieobjecten te documenteren.Iedere wijziging in de ordeningsstructuur leidt totnieuwe metagegevens over die ordening. Demetadatering zorgt ervoor dat alle informatieobjecten inde tijd zowel naar hun oorspronkelijkeordeningsstructuur als naar eventuele nieuweordeningsstructuren kunnen worden gereconstrueerd.

Veel gebruikte decentrale ordeningsstructuren zijn:• Basisarchiefcode• GEMMA zaaktypecatalogusVolgens het zogenaamde structuurbeginsel (“respectvoor de oude orde”) werd traditioneel bijvoorbeeld meteen concordans de eerdere ordening gedocumenteerd,zodat reconstructie mogelijk was. In de digitale wereldkan dit principe worden toegepast door bijvoorbeeldoorspronkelijke metagegevens uit de administratievefase te behouden bij overbrenging of uitplaatsing naareen e-depotvoorziening.

Rodin 20102.1 en 2.3

WetgevingAr 18

NEN 208225, 26, 140, 141 en 143

NEN-ISO 154898.3 en 9.4

NEN-ISO 30301A 2.1.2 en A 2.1.3

KIDO 1.05.1.1 en 6.5

DUTO 1.01


Referentiekader

RODIN10

2.1

Hoofdstuk 2

Informatiebeheer

http://www.gemmaonline.nl/index.php/GEMMA_Zaaktypecatalogus

Ieder afzonderlijk informatie-object heeft een uniekidentificatiekenmerk.

Doordat het unieke identificatiekenmerk van iederinformatieobject in het beheersysteem slechts één keervoorkomt, zijn alle in een beheersysteem beheerde engeordende informatieobjecten ook afzonderlijk tevinden.

Toekenning van zogenaamde persistent identifiers. Ditkunnen vanwege de duurzaamheid meestal geen zaak- ofdocumentnummers zijn.

Rodin 20102.2

WetgevingAr 23 (afgeleide)

NEN 20822

NEN-ISO 154899.3

ISO 163634.2.4

NEN-ISO 30301A 2.1.1

KIDO 1.06.1 en 6.3


Referentiekader

RODIN11

2.2

Informatieobjecten bevatten devoor het beheer benodigdekenmerken, die zijn ontleendaan een vastgesteld meta-gegevensschema.

Metagegevens waarborgen de authenticiteit, betrouw-baarheid, bruikbaarheid en integriteit van informatie-objecten. De volgende essentiële eigenschappen voor hetbeheer van informatieobjecten worden op het laagsteaggregatieniveau vastgelegd:• inhoud, structuur, verschijningsvorm en gedrag, voor

zover die een rol spelen in het beheer;• wanneer, door wie en waarom de informatieobjecten

zijn opgemaakt en/of werden ontvangen;• samenhang met andere beheerde informatieobjecten

en basisregistraties;• uitgevoerde beheeractiviteiten;• actuele en oorspronkelijke technische aard (hard- en

softwareomgeving);• aard van de digitale handtekening, indien aanwezig;• wijze van versleuteling (algoritme) en decryptie-

sleutel, indien van toepassing.Sommige van deze metagegevens kunnen al op eenhoger aggregatieniveau worden vastgelegd en werkendan via overerving ook door op een lager niveau.

Structuur is bijvoorbeeld een sjabloon of formulier inWord. Bij scannen is TIFF vaak de oorspronkelijke ver-schijningsvorm van een als PDF bewaard informatie-object. Gedrag is o.a. een formule in een Excelsheet ofeen animatie in een Powerpointpresentatie. De tech-nische aard beschrijft hoe en waarmee een informatie-object gebruikt kan worden.Voor de opzet van een metagegevensschema wordt veelgebruik gemaakt van:• NEN-ISO 23081• NEN 2084• Richtlijn Metagegevens Overheidsinformatie.• Toepassingsprofiel Metadatering Rijk• Toepassingsprofiel Metadatering Lokale Overheden

(TMLO)• Overheid.nl Web Metadata Standaard (OWMS)Omwille van uniformiteit kunnen gecontroleerde,standaard woordenlijsten (thesauri) worden gebruikt, dievaak al worden toegepast in de administratie.

Rodin 20102.4, 2.5 en 2.8

WetgevingAr 17, 19, 21, 22 en 24

NEN 20824, 9, 22, 29, 30 en 89

NEN-ISO 154898.2

ISO 163634.1.2

KIDO 1.05.1.3, 6.3, 6.4 en 6.6

DUTO 1.011


Referentiekader

RODIN12

2.3

Informatieobjecten wordenbeschikbaar gesteld, tenzijanders is bepaald.

Met inachtneming van vastgestelde regels voorbeperkingen van de openbaarheid en/of het gebruik zijninformatieobjecten met een zoekopdracht binnenredelijke tijd en inspanning te vinden, te tonen en te(her)gebruiken.Wanneer er beperkingen zijn, dient wel aangegeven teworden dat er informatieobjecten bestaan, voor zoverdat naar de aard van die objecten mogelijk is.De beperkende regels moeten zijn gebaseerd op zowelwettelijke voorschriften, waaronder de Wbp en Wob, alsinterne regelingen, zoals een vastgesteldautorisatieschema.

Met eerbiediging van beperkingen in verband met deprivacy en veiligheid kunnen openbare gegevens door deoverheid via een website worden aangeboden.Grote hoeveelheden informatieobjecten, zoals alle e-mails, kunnen geautomatiseerd via een algoritmeaangeboden worden.

Rodin 20102.11

WetgevingAw 14, Ar 20

NEN 208242, 46 en 100

NEN-ISO 154898.4 en 9.5

NEN-ISO 30301A 2.2.2

KIDO 1.05.1.11, 5.1.12, 8.1 en 8.2

DUTO 1.02, 4, 5, 6, 7 en 8


2.4

Referentiekader

RODIN13

Informatieobjecten zijn, indiendit redelijkerwijs mogelijk is,opgeslagen in een openstandaardformaat.

Er moet worden vastgelegd welke formaten zijn toe-gestaan in de aanwezige beheeromgeving(en) en voorhergebruik.Als is vastgelegd wat is toegestaan, is het handig om deomzetting naar de toegestane formaten in te bouwen inhet beheerssysteem, bijvoorbeeld automatische over-zetting naar PDF-a.

Zie de lijst van Open Standaarden op de website van hetForum Standaardisatie. Voor veel formaten geldt het“pas-toe-of-leg-uit” principe.

Rodin 20102.7

WetgevingAr 26, Who 5.1

NEN 208220 en 33

NEN-ISO 154899.7

NEN-ISO 30301A 1.3.1, A 2.3.2 enA 2.3.3

ISO 163634.2.5

KIDO 1.05.1.4 en 6.7

DUTO 1.010


2.5

Referentiekader

RODIN14

https://www.forumstandaardisatie.nl/open-standaarden

De betrouwbaarheid vaninformatieobjecten isaantoonbaar en gewaarborgd.

Informatieobjecten zijn authentiek, integer en volledig.Beheeracties, waaronder importeren, bewaren, conver-teren, migreren en exporteren, hebben geen of alleentoegestane gevolgen voor de informatieobjecten enworden regelmatig geëvalueerd op hun werking.Alle beheeracties die leiden tot aantasting van debeheerde informatieobjecten worden gesignaleerd,gedocumenteerd en leiden tot een reactie.Dit alles wordt uitgevoerd conform de in 1.4 bedoeldeprocedures en afspraken.

De Baseline Informatiehuishouding Gemeenten (2011),deel 2a, geeft bijvoorbeeld in par. 6.1.2 en overzicht vanverschillende functionele eisen.Aantasting van de betrouwbaarheid van informatie-objecten kan plaatsvinden door onder andere:• virussen, malware;• bitrot (veroudering);• storingen (stroomuitval, defecten);• calamiteiten (brand, wateroverlast, etc.);• afwijking van procedures, verkeerd gebruik;• ongewenste aanpassingen (ongeautoriseerd, hackers).De controle hierop vindt onder meer plaats aan de handvan loggings of automatische signaleringen en door debeschreven beheermaatregelen.

Rodin 20102.8, 2.9 en 2.10

WetgevingAr 14, 21, 22, 23 en 25

NEN 20829, 12, 16, 32, 36, 76,82 en 108

NEN-ISO 154899.6

NEN-ISO 30301A 2.3.1, A 2.5.4 enA 2.5.6

ISO 163634.2.6, 4.2.7, 4.3.1,4.3.2, 4.3.3 en 4.6.2.1

KIDO 1.06.6, 6.7, 7.2, 7.3, 7.4en 8.2

DUTO 1.09


2.6

Referentiekader

RODIN15

Informatieobjecten zijn van eenbewaartermijn voorzien enworden na het verstrijkendaarvan vernietigd.

Aan de hand van een vigerende selectielijst worden aaninformatieobjecten bewaartermijnen toegekend.Digitale informatieobjecten kunnen brongegevensbevatten, die ook deel kunnen uitmaken van andereinformatieobjecten. Deze brongegevens kunnen in dieverschillende contexten uiteenlopende bewaartermijnenhebben. Het is daarom zaak om brongegevens altijd tewaarderen en selecteren in de context van hetinformatieobject waar ze deel van uitmaken.Bij de vernietiging mogen contextgegevens bewaardblijven, indien die voor het vastleggen van de ver-nietiging nodig zijn en niet tot een inhoudelijkereconstructie kunnen leiden. De vernietiging vaninformatieobjecten wordt in elk geval op het laagsteaggregatieniveau gedocumenteerd.Vernietiging van brongegevens heeft gevolgen voor alleaggregatieniveaus en ook voor het gebruik van back-ups.Beheermaatregelen moeten ervoor zorgen dat devernietiging van brongegevens in de context van eenbepaald informatieobject niet ongedaan gemaakt kanworden.

Metagegevens van informatieobjecten die vernietigdzijn, kunnen worden bewaard om als ‘virtuelevernietigingslijst’ te dienen. Dat kan bijvoorbeeld doorbehoud van een zaaknummer, zaaktype en datering,aangevuld met gegevens over de uitvoering van devernietiging.Bij het terugzetten van informatie uit een back-upkunnen de sinds het maken van een back-up uitgevoerdevernietigingsacties opnieuw worden uitgevoerd. Doorbijvoorbeeld iedere nieuwe back-up de voorgaande back-up te laten overschrijven, wordt voorkomen dat ver-nietigbare gegevens via back-ups langer dan toegestaanbewaard blijven.

Rodin 20102.12, 2.13 en 2.14

WetgevingAb 8

NEN 208262, 73, 74 en 80

NEN-ISO 154899.9

NEN-ISO 30301A 1.1.4, A 2.4.1, A2.4.4 en A 2.4.6

KIDO 1.06.2 en 7.4

Moreq25.3.18, 5.3.19 en5.3.20

DUTO 1.03, 12 en 13


2.7

Referentiekader

RODIN16

De organisatie doet aan eensystematische risicoanalysevoor factoren als data,systemen, personeel, fysiekelocatie en beveiligingseisen.

Het primaire uitgangspunt van digitaal informatiebeheeris risicomanagement. De organisatie voert een syste-matische risicoanalyse uit en stelt periodiek processen bijvia de Plan-Do-Check- Act-cyclus.In het kader van deze cyclus wordt gecontroleerd of degetroffen maatregelen het gewenste effect sorteren.Deze controle kan weer aanleiding geven tot bijsturing.Ook kan blijken dat het totaal van eisen, maatregelen encontrole aan revisie toe is (evaluatie).Het continu doorlopen van deze kwaliteitscirkel zorgt opelk moment voor het adequate beveiligingsniveau.

Rodin 20103.1, 3.3

BIR, BIG, IBI, BIWAHoofdstuk 5

ISO 163635.1.1


3.1

Referentiekader

RODIN17

Hoofdstuk 3

ICT-beheer

De organisatie hanteert eeninformatiebeveiligingsplangebaseerd op de NEN-ISO 27001of vergelijkbare richtlijnen.

Informatiebeveiliging wordt uitgewerkt in een planconform de geldende basisrichtlijnen.Indien uit de risicoanalyse (3.1) naar voren is gekomendat er systemen aanwezig zijn die een zwaarderbeveiligingsregime vergen dan het basisregime, zijnhierin ook de zwaardere richtlijnen opgenomen diedergelijke systemen vereisen.

De BIR, BIG, BIWA en IBI beschrijven de invulling vanNEN-ISO 27001 voor de verschillende overheidslagen.Deze (verplichte) beveiligingsnormen bevattenimplementatierichtlijnen en eisen voor deprocesinrichting.

Rodin 20103.2

BIR, BIG, BIWA, IBIHoofdstuk 6

ISO 163635.2.1


3.2

Referentiekader

RODIN18

De ICT-beheerprocessen zijnuitgewerkt conformstandaarden.

De belangrijkste taak van het functioneel beheer is hetop elkaar afstemmen en uitlijnen van de wensen van deorganisatie en IT.Dat dient op drie niveaus te gebeuren:1. Het strategische niveau; betreft de aansluiting van de

informatievoorziening op de strategische doelen vande organisatie.

2. Het tactische niveau; betreft de aansluiting van deinformatievoorziening op het bedrijfsproces.

3. Het operationele niveau; betreft het ondersteunenvan de eindgebruikers in het dagelijkse gebruik enhet in kaart brengen van de veranderingen diemoeten worden doorgevoerd.

ITIL, BISL en ASL zijn bruikbare en gangbare referentie-kaders voor het inrichten van de ICT-beheerprocessenbinnen een organisatie. Deze kaders kunnen wordengebruikt bij de beoordeling van de kwaliteit van defunctionele beheersing op de drie genoemde niveaus.

Rodin 20103.7


ISO 163635.2.3


3.3

Referentiekader

RODIN19

Operationele aansturing van deinformatievoorziening vindtplaats conform standaarden(toegang, incidenten, change,release etc.).

Het betreft de diensten rondom het beschikbaar stellenen in stand houden van met name de hardware,systeemprogrammatuur en de ontwikkelhulpmiddelen.De toegang tot gegevens binnen de IT-omgeving dientuitsluitend beperkt te zijn tot geautoriseerde gebruikersof beheerders.

Problemen en wijzigingen mogen alleen door geautori-seerde personen worden opgelost. Wijzigingen mogenalleen plaatsvinden indien aan de gestelde kwaliteits-criteria is voldaan. Het proces rondom operationeelbeheer moet op de juiste wijze gevolgd worden.Er zijn meerdere logische niveaus waarop de toegang totgegevens wordt beschermd. Denk aan gegevensbestan-den, gegevens in databases, functies en taken inapplicaties, etc.

Rodin 20103.7


ISO 163635.1.1


3.4

Referentiekader

RODIN20

De organisatie beschikt overadequate serverruimtes; desysteembeheerders beschikkenover vastgestelde protocollenvoor de afhandeling vanstoringen, alarmeringen enandere uitzonderlijke situaties.

Een adequate serverruimte is uitgerust met onder meerklimaatbeheersing, alarm- en brandmeldvoorziening,toegangscontrole, ordelijke bekabeling en noodstroom-voorziening (UPS).Door waarneming ter plaatse is de aanwezigheid vanzaken als toegangsbeveiliging, brandblussers enklimaatregeling eenvoudig vast te stellen.Daarnaast dienen de operators met goedgekeurdeinstructies te werk te gaan.

De protocollen voor de systeembeheerders beschrijvenbijvoorbeeld hoe te handelen bij het overschrijden vancapaciteitsgrenzen of signalen van systemen voorintrusion detection en andere uitzonderlijke situaties dietijdens de uitvoering van de taak kunnen optreden.

Rodin 20103.9


ISO 163634.1.2

RichtlijnenHandboek ICThuisvesting enbekabeling (HIB)versie 1.0


3.5

Referentiekader

RODIN21

https://www.rijksvastgoedbedrijf.nl/documenten/richtlijn/2008/07/01/handboek-ict-huisvesting-en-bekabeling-hib-versie-1.0




De organisatie beschikt overeen passende back-upstrategieen een calamiteiten- enherstelplan, zodat informatie ingeval van verstoringen snelweer beschikbaar gemaakt kanworden.

Bedreigingen voor de bedrijfscontinui ̈teit zijn grofweggelegen in het uitvallen of vastlopen van systemen,besmetting met virussen, corrupte schijven, vollopen vanopslagruimte of gebrek aan verwerkingscapaciteit,calamiteiten zoals aanslagen, natuurrampen of eenbrand of het niet tijdig kunnen leveren van productendoor leveranciers.Het testen hiervan moet een onderdeel zijn van desystematische risicoanalyse (zie 3.1).De back-upstrategie en het calamiteiten- en herstelplanis op basis van het informatiebeveiligingsplan uitge-werkt in concrete procedures en maatregelen.Gecontroleerd wordt of er uitwijktesten plaatsvinden.Met loggings zijn de tijdstippen van de back-ups enautomatische signaleringen via RAID te controleren.In het calamiteitenplan moeten maatregelen zijnopgenomen hoe om te gaan met aanvallen van buitenaf.In dit plan staan ook de herstelmaatregelen.Daarnaast wordt nagegaan welke afspraken er bijvoor-beeld gemaakt zijn met leveranciers over vervangendeapparatuur.

Rodin 20103.4, 3.5, 3.6


ISO 163635.1.1.2, 5.1.1.3

Moreq 201012.13


3.6

Referentiekader

RODIN22

De organisatie stelt in eenService Level Agreement (SLA)eisen aan de interne of externeICT-diensten ten aanzien vanbeheerprestaties.

Dienstverleners die worden ingeschakeld voor onderhouden exploitatie van (delen van) de ICT-dienstverlening,moeten zich houden aan de serviceniveaus die in hetcontract zijn overeengekomen.De dienstverlening moet plaatsvinden onder striktgemonitorde en beveiligde condities. Op basis van de inhet contract afgesproken prestatie-indicatoren kan debehaalde kwaliteit worden gemeten.Het contract dient duidelijke afspraken te bevatten overhet eigenaarschap van data, systemen, platforms eninfrastructuren.

Rodin 20103.8



3.7

Referentiekader

RODIN23

De organisatie heeft eenrisicoafweging gemaakt metbetrekking tot privacy,beveiliging en beschikbaarheidvan de informatie bijoutsourcing.

Een organisatie moet zich bewust zijn van de risico’s bijeen cloud implementatie en andere vormen vanoutsourcing. Deze risico’s zijn technisch, organisatorischen juridisch van aard.De organisatorische maatregelen die de geïdentificeerderisico’s dienen af te dekken, zijn onder te verdelen inmaatregelen inzake het beheer van de kwaliteit vaninformatie, maatregelen voor de beveiliging vaninformatie en maatregelen met betrekking tot hetbeheer van informatie op afstand.Het gebruik van duidelijke beschrijvingen van de werkingvan interfaces, Public Key Infrastructure raamwerk,encryptie, monitoring en dergelijke voorkomt risico’s.Tevens moeten er duidelijke afspraken gemaakt wordenover het eigenaarschap van data, systemen, platforms eninfrastructuren. Dit moet worden vastgelegd in de SLA’s(zie 3.7).(Cloud)organisaties dienen aan hun klanten eenverklaring te geven van de kwaliteit van de beheersingvan deze maatregelen over een bepaald tijdvak. Idealiterwordt deze door een externe partij opgesteld.

De risico’s kunnen betrekking hebben op bijvoorbeeldonveilige interfaces, een gebrek aan focus op beveiliging,een onlogische scheiding van virtualisatietechnieken,kwaadwillende medewerkers, dataverlies en niet ofonvoldoende beschermde persoonsgegevens.Een ISAE 3402 verklaring is een mogelijke vorm vanService Organisation Control die opgelegd kan wordenaan de (cloud)leverancier in geval van outsourcing.

Rodin 20103.7


NoreaStudierapport“Algemenebeheersing van IT-diensten” (2015)


3.8

Referentiekader

RODIN24

https://www.norea.nl/download/?id=2341




WetgevingArchiefwet 1995 (AW)Archiefbesluit 1995 (AB)Archiefregeling (AR)Wet Hergebruik Overheidsinformatie (WHO)

HandreikingKIDO Handreiking Kwaliteitssysteem InformatiebeheerDecentrale Overheden (KIDO)

NormenDUTO versie 1.0

Normenkader Duurzaam ToegankelijkeOverheidsinformatie (2016)

ISO 16363:2012Audit and certification of trustworthy digitalrepositories

Moreq 2010 (Moreq2)Modular requirements for records systems

NEN 2082: 2008 nlEisen voor functionaliteit van informatie- enarchiefmanagement in programmatuur

NEN-ISO 15489-1:2016Eisen voor informatie- en archiefmanagement

NEN-ISO 23081-1:2006 nlProcessen voor informatie- en archiefbeheer -Metagegevens voor archiefbescheiden

NEN-ISO 27001:2005Eisen waar het managementsysteem voorinformatiebeveiliging aan dient te voldoen

OverigTMLO

Toepassingsprofiel Metadatering Lokale OverhedenTMR

Toepassingsprofiel Metagegevens RijksoverheidBIR

Baseline Informatiebeveiliging Rijksdienst (2012)IBI

Interprovinciale Baseline Informatiebeveiliging (2010)BIG

Baseline Informatiebeveiliging Gemeenten (2016)BIWA

Baseline Informatiebeveiliging Waterschappen (2013)NEN-ISO 30301:2011

Eisen voor managementsystemen voor archivering

BIJLAGE 1NR. BRONNEN

Referentiekader

RODIN25

AggregatieniveauNiveau binnen de ordeningsstructuur, bijvoorbeeld:het individuele stuk, het dossier of de zaak, hetzaaktype of het onderwerp.

BewaarstrategieStrategie voor de langetermijnbewaring van (digitale)informatie.

BrongegevensTe onderscheiden oorspronkelijke data, waarop hetbehoud gericht is en waarvan de bitstream leesbaar iste maken.

Digitale beheeromgevingHet geheel van organisatie, beleid, processen enprocedures, financieel beheer, personeel, databeheer,databeveiliging en aanwezige hard- en software, dathet duurzaam beheer van digitale informatie mogelijkmaakt.

Duurzaam informatiebeheerInformatiebeheer waarbij de informatie vindbaar,authentiek en toegankelijk is en blijft gedurende degehele voorgeschreven bewaartermijn.

EmulatieMethode waarbij de technische omgeving die nood-zakelijk is voor het uitvoeren van oude programma`ssoftwarematig wordt nagebootst.

InformatiebeleidBeleid gericht op het beheer van (digitale) informatie.

InformatieobjectTe identificeren geheel van gegevens (op iederaggregatieniveau) waaraan in samenhang betekenisis gegeven.

Intrusion Detection SystemEen geautomatiseerd systeem dat hackpogingen enhet optreden van ongeautoriseerde toegang tot eeninformatiesysteem of netwerk detecteert.

KwaliteitssysteemDe organisatorische structuur, verantwoordelijkheden,procedures, processen en voorzieningen die nodig zijnvoor het ten uitvoer brengen van kwaliteitszorg (ISO8402).

MetagegevensGegevens die context, inhoud en structuur vaninformatieobjecten en hun beheer door de tijd heenbeschrijven.

MetagegevensschemaBeschrijving van de structuur en de betekenis van degebruikte metagegevens.

OrdeningsstructuurLogisch verband tussen informatieobjecten, waardoordie terug te vinden zijn en hun relaties met processenen bewaartermijnen kunnen worden gelegd.

PreserveringsmaatregelenMaatregelen gericht op het behoud en detoegankelijkheid van digitale informatie op langeretermijn.

RAIDRedundant Array of Independent Disks; de benamingvoor een set methodieken voor fysieke dataopslag opharde schijven waarbij de gegevens over meer schijvenverdeeld worden, op meer dan één schijf wordenopgeslagen, of beide, ten behoeve van snelheidswinsten/of beveiliging tegen gegevensverlies.

BIJLAGE 2NR. BEGRIPPEN

Referentiekader

RODIN26

juni 2017 Branchevereniging Archiefinstellingen Nederland (BRAIN)Koninklijke Vereniging van Archivarissen in Nederland (KVAN)Landelijk Overleg van Provinciale Archiefinspecteurs (LOPAI)m.m.v. Erfgoedinspectie (EGI)

Referentiekader

RODIN

2017 - provinciale archiefinspectiesprovincialearchiefinspecties.nl/pdf/Rodin_02_def_website.pdf ·...

Documents

Transcript of 2017 - provinciale archiefinspectiesprovincialearchiefinspecties.nl/pdf/Rodin_02_def_website.pdf ·...