De omgeving beheren en controleren

Na de invoering blijft regelmatig beheer nodig. Deze pagina geeft de controlepunten, legt uit wat de rol van de organisatiebeheerder is bij verzoeken van betrokkenen, en sluit af met een checklist.

Periodieke controle #

Plan een vaste controle in. De frequentie hangt af van de omvang en het risicoprofiel van de organisatie; elk kwartaal is een gebruikelijk begin.

Gebruikers

• Zijn alle gebruikers nog actief en hebben zij nog toegang nodig?
• Zijn de rollen nog juist?
• Is bij vertrek eerst het eigenaarschap overgedragen en zijn groepstoegang en sleutelrotatie afgehandeld?

Groepen

• Zijn de groepen nog actief, of kunnen ze worden gearchiveerd of verwijderd?
• Zijn de juiste personen eigenaar of beheerder?
• Zijn externe medewerkers nog nodig?
• Wordt de afgesproken mappenstructuur per groepstype nog gevolgd?

Informatie

• Worden bewaartermijnen gevolgd? Transfers en requests verlopen vanzelf; Drive-inhoud en logboeken niet.
• Kunnen oude groepen worden gearchiveerd?

Beveiliging

• Zijn de beveiligingsinstellingen nog passend?
• Wordt single sign-on correct gebruikt waar het is ingericht, en zijn wachtende SSO-leden afgehandeld?
• Staan er beveiligingsmeldingen of afwijkingen in het auditlog die opvolging vragen?

Gebruik

• Wordt Databeamer daadwerkelijk gebruikt voor de afgesproken processen?
• Zijn er terugkerende vragen van gebruikers, of functies die onbenut blijven?
• Worden documenttypes, labels en statussen consequent gebruikt, zodat de managementinformatie betrouwbaar blijft?
• Blijft de organisatie binnen haar capaciteit? Zie Organisatie-instellingen › Gebruik.

Persoonsgegevens en rechten van betrokkenen #

Groepen kunnen persoonsgegevens bevatten. De verantwoordelijkheid daarvoor ligt bij de organisatie en, daarbinnen, bij wie verantwoordelijk is voor de betreffende verwerking. Als organisatiebeheerder ben je niet automatisch verantwoordelijk voor de inhoud van alle groepen: de groepseigenaar is verantwoordelijk voor de informatie in de groep en voor het naleven van de afspraken daarover, waaronder bewaartermijnen en verzoeken van betrokkenen.

Betrokkenen kunnen op grond van de privacywetgeving verschillende rechten hebben: inzage, correctie, wissing, beperking van de verwerking en dataportabiliteit. De precieze voorwaarden verschillen per situatie.

De organisatiebeheerder kan zulke verzoeken niet organisatiebreed zelf uitvoeren. De inhoud van groepen is alleen leesbaar voor de leden van die groep en kan dus niet centraal op namen of andere persoonsgegevens worden doorzocht. Databeamer heeft bovendien geen vaste velden voor persoonsgegevens. Een beheerder kan daardoor niet vaststellen in welke groepen gegevens over iemand voorkomen.

Een verzoek wordt daarom opgepakt door de groepseigenaar of een andere inhoudelijk verantwoordelijke, die binnen de groep beoordeelt welke informatie aanwezig is en welke actie nodig is: bij inzage welke gegevens er zijn, bij correctie wat moet worden aangepast, bij wissing wat moet worden verwijderd met inachtneming van wettelijke bewaarplichten, bij beperking welke verwerking tijdelijk stopt, bij portabiliteit welke gegevens in aanmerking komen en hoe ze worden verstrekt.

De organisatiebeheerder ondersteunt vanuit de organisatorische rol: de juiste groepseigenaar traceren, de afhandeling coördineren, het AVG-verzoekenlog bijwerken. De inhoudelijke beoordeling en afhandeling blijven bij de verantwoordelijke binnen de groep.

BeveiligingsdetailsWat is dit?

Dat een beheerder niet centraal kan zoeken is geen beperking van de software maar een gevolg van het ontwerp: bestandsnamen, inhoud, berichten en logboekitems zijn versleuteld met de key set van de groep, die alleen leden hebben. De server kan er niet in zoeken en een organisatiebeheerder evenmin. Wat wél leesbaar is voor beheerders en server, en dus centraal te overzien: groepsnamen, ledenlijsten, documenttypes, statussen en labels, en de metadata in het auditlog. Zie Groepen en Auditlog.

Evalueer en verbeter #

Een Databeamer-omgeving is geen eenmalig project. Na de introductie komen er vragen, veranderen processen en ontstaan nieuwe use cases. Bespreek periodiek wat goed gaat, waar gebruikers tegenaan lopen, welke processen eenvoudiger kunnen, waar beveiligingsrisico's ontstaan, of rollen en toegang nog passen en welke functies beter benut kunnen worden. Verbeter de inrichting stap voor stap.

Een goed ingerichte omgeving is niet de omgeving met de meeste instellingen, maar de omgeving die gebruikers helpt veilig en efficiënt te werken.

Checklist #

Voor de start

• Doel en use cases zijn vastgesteld.
• Vastgesteld is welke informatie via Databeamer wordt verwerkt.
• Gebruikersgroepen en toegangsbehoeften zijn bepaald.
• Rollen en verantwoordelijkheden zijn afgesproken; beheer hangt niet van één persoon af.
• De groepsstructuur is bepaald, met per groepstype een vaste mappenstructuur.

Bij de inrichting

• Organisatiegegevens en huisstijl zijn ingericht.
• Beheerders en leden zijn ingesteld, met een tweede eigenaar.
• Groepen zijn aangemaakt en eigenaren aangewezen.
• Documenttypes, statussen en labels zijn ingericht waar nodig, met afspraken over sluiten en archiveren.
• Vastgesteld is welke managementinformatie uit logboeken nodig is.
• Single sign-on is ingericht waar van toepassing.
• Beveiligings- en privacyafspraken zijn vastgelegd.

Bij de introductie

• Gebruikers weten waarom en wanneer zij Databeamer gebruiken.
• Gebruikers hebben uitleg gekregen over hun account, pincode en herstelzin.
• Het delen en ontvangen van bestanden is geoefend.
• De afspraken over veilig gebruik zijn duidelijk.

Tijdens het gebruik

• Gebruikers en toegangsrechten worden periodiek gecontroleerd.
• Groepen worden periodiek beoordeeld.
• Bewaartermijnen en archivering worden toegepast.
• Het auditlog wordt gebruikt waar nodig.
• Managementinformatie uit logboeken wordt periodiek bekeken.
• Gebruikersvragen en signalen worden opgevolgd.
• De inrichting wordt aangepast als processen veranderen.

Als organisatiebeheerder ben je de schakel tussen technologie, informatiebeveiliging en de dagelijkse praktijk. Maak daarom niet alleen tijd voor het inrichten, maar ook voor het begeleiden van gebruikers, het controleren van de inrichting en het blijven verbeteren van het gebruik.