In het Ecosysteem worden gegevens uitgewisseld tussen Leveranciers ten behoeve van Onderwijsorganisaties. De gegevensuitwisselingen vinden tussen systemen (M2M) plaats. Deze gegevensuitwisselingen dienen veilig te zijn en kunnen in sommige gevallen alleen plaatsvinden na een mandaat van een Onderwijsbestuur en het activeren van een uitwisseling van een gegevenssoort voor een Onderwijsaanbieder.

Vijf beveiligingslagen in M2M gegevensuitwisselingen

De beveiliging van M2M gegevensuitwisselingen is op vijf lagen georganiseerd.

De vijf beveiligingslagen worden hieronder nader uitgewerkt. Hierbij is de toepassing van de beveiligingsniveau afhankelijk van de classificatie van de gegevenssoorten. We onderscheiden hierbij vier classificaties.

Classificatie van gegevenssoorten: I, II, III en IV.

Afhankelijk van de eigenschappen van de gegevenssoort dienen Leveranciers de beveiligingslagen in M2M gegevensuitwisselingen toe te passen. Als kader hanteren we de volgende eigenschappen van gegevenssoorten:

• Eigenaar: gegevenssoorten kunnen van een onderwijsorganisatie of een leverancier zijn.

• Vertrouwelijkheid: gegevenssoorten kunnen vertrouwelijke of niet vertrouwelijke gegevens bevatten.

• Verwerkersovereenkomst: gegevenssoorten van een onderwijsorganisatie vallen al dan niet onder een verwerkersovereenkomst. Hier dient de Leverancier al dan niet over een mandaat te beschikken om de gegevens als Verwerker namens de Onderwijsorganisatie uit te wisselen.

Deze eigenschappen hebben geresulteerd in vier classificaties van gegevenssoorten. Deze vier classificaties vragen ieder om een andere toepassing van de beveiligingslagen. De classificatie is uitgewerkt in onderstaand schema.

Laag 1. Registratie – Leveranciers zijn bekend

Alle Leveranciers in het Ecosysteem dienen zich te conformeren aan de afspraken uit het Afsprakenstelsel Edu-V. Op deze manier beheersen we de continuïteit en de veiligheid van het Ecosysteem. Bij de registratie wordt tevens de identiteit van de Leverancier vastgelegd. Op deze manier kan een Leverancier in het Ecosysteem worden geïdentificeerd en kan een Leverancier op een veilige manier deelnemen aan gegevensuitwisselingen. Tevens kan een Onderwijsorganisatie mandaten verstrekken aan Leveranciers voor het uitwisselen van vertrouwelijke gegevens waarvoor de Leverancier optreedt als Verwerker van het Verwerkersverantwoordelijke Onderwijsbestuur van de Onderwijsorganisatie.

Alvorens een Leverancier gegevens kan gaan uitwisselen in het Ecosysteem, dient een Leverancier te beschikken over:

• Organisatie Identificerend Nummer (OIN). Binnen Edu-V hanteren we de richtlijn vanuit Edukoppeling voor het opbouwen van het OIN voor Leveranciers wordt conform de standaard Edukoppeling (Identificatie en authenticatie) het Handelsregisternummer (HRN) gebruikt.

• Een geldige registratie bij Edu-V. De volgende informatie is tenminste bij Edu-V bekend:

  • Organisatie Identificerend Nummer (OIN)

  • Business of Ondersteunende rollen, referentiecomponenten en koppelvlakken

  • Endpoints

  • Contactgegevens

• Technische kwalificatie voor de gekozen business of ondersteunende rollen, referentiecomponenten en koppelvlakken.

De Leverancier is na registratie te herkennen binnen het Ecosysteem op basis van het OIN.

Laag 2. Aansluiting – Deelnemers zijn gekoppeld

Om een gegevensuitwisseling tot stand te brengen tussen Deelnemers dienen de Deelnemers technisch op elkaar aangesloten te zijn. In het Edu-V afsprakenstelsel worden afspraken gemaakt over de specificatie van koppelvlakken voor iedere Business of Ondersteunende rol en referentiecomponent.

Een Deelnemer kan met een andere Deelnemer koppelen vanuit één of meerdere van deze referentiecomponenten. Bilateraal kunnen daarnaast afspraken gemaakt worden welke gegevenssoorten er tussen de Deelnemers uitgewisseld worden.

Deelnemers hebben hun eigen procedure voor het aansluiten van andere Deelnemers. Voor deze procedure gelden de volgende operationele afspraken:

• Deelnemers bepalen welke gegevenssoorten er onderling uitgewisseld gaan worden.

  • De mogelijkheden voor de gegevenssoorten zijn afhankelijk van de Business en Ondersteunende rollen die de Deelnemers vervullen en de door de Deelnemers gekozen en geïmplementeerde referentiecomponenten en koppelvlakken.

  • De Verzender en Ontvanger(s) van de gegevenssoorten, de BIV-clasfiicatie per gegevenssoort en de scopes voor de gegevenssoort zijn beschreven in Verzender, Ontvanger(s) en BIV classificatie per gegegevensoort.

• Deelnemers testen de aansluiting. Deelnemers delen hiervoor de noodzakelijke gegevens met elkaar:

  • Acceptatieomgeving (endpoints voor testdoeleinden)

  • Productieomgeving (endpoints)

  • Technische documentatie

  • Certificaten (en client credentials) voor M2M identificatie en authenticatie

• Deelnemers sluiten optioneel een Service Level Agreement

• Deelnemers zijn collegiaal in het aansluiten op elkaar. De hiervoor noodzakelijke gegevens, overeenkomsten en documentatie wordt tijdig verstuurd, behandeld en ondertekend.

De Deelnemers zijn na de aansluiting overeengekomen om gegevenssoorten met elkaar uit te gaan wisselen.

Laag 3. Uitwisseling – Iedere uitwisseling is veilig

Iedere gegevensuitwisseling dient plaats te vinden via een beveiligde connectie en vanuit systemen die voldoen aan de eisen voor informatiebeveiliging. Edu-V benut op dit vlak de door Bureau Edustandaard ontwikkelde en beheerde standaard Edukoppeling.

Om gegevens van de classificatie I, II, III en IV uit te kunnen wisselen dienen Verzender en Ontvanger te voldoen aan de volgende eisen:

• De koppelvlakken voldoen aan het REST/SAAS profiel van Edukoppling [1].

• De identificatie en authenticatie voldoet aan de afspraken zoals beschreven in M2M identificatie en authenticatie [2].

• Verzender en Ontvanger beschikken over een geldig PKIoverheid-certificaat.

• De koppelvlakken zijn in staat om de transactiepatronen voor M2M gegevensuitwisselingen te ondersteunen.

  • Voor de transactiepatronen Abonneren op wijzigingen middels notificaties en Georkestreerde uitwisseling wordt de hiervoor benodigde berichteninfrastructuur voor het versturen en ontvangen van berichten [3] gerealiseerd.

• De koppelvlakken voldoen aan de afspraken over Versiebeheer.

• Verzender en Ontvanger voldoen aan alle technische, operationele en organisatorische eisen die voortkomen uit het kader voor Informatiebeveiliging. In dit kader zijn voorgeschreven:

  • Certificeringsschema informatiebeveiliging en privacy ROSA

  • Uniforme Beveiligingsvoorschriften Veilig en Betrouwbaar e-mailverkeer

  • Uniforme Beveiligingsvoorschriften Security Headers

  • Uniforme Beveiligingsvoorschriften – Transport Layer Security (TLS)

Om gegevens van de classificatie II en IV uit te kunnen wisselen dienen Verzender en Ontvanger te voldoen aan de volgende aanvullende beveiligingseisen:

• Nog te bepalen

Na deze laag kunnen Verzender en Ontvanger via een beveiligde verbinding gegevens met elkaar uitwisselen.

Laag 4. Activering – Uitwisseling gegevenssoort voor Onderwijsaanbieder

De Leveranciers die optreden als Verzender en Ontvanger zijn op elkaar aangesloten (laag 2) en zijn beiden in staat om gegevens veilig uit te wisselen (laag 3). Een ontwerpprincipe is dat ‘gegevens worden uitgewisseld na instemming van de rechthebbende’ en meer in het bijzonder ‘De Onderwijsinstelling heeft zeggenschap over zijn of haar gegevens van en over onderwijsdeelnemers en -medewerkers’. In deze vierde laag geven we iedere Onderwijsorganisatie de flexibiliteit om de uitwisseling van een gegevenssoort te activeren of deactiveren.

Om gegevens van de classificatie III en IV uit te kunnen wisselen dienen Verzender en Ontvanger te voldoen aan de volgende eisen:

• Verzender en Ontvanger zijn gemandateerd door het Onderwijsbestuur (zie laag 4).

• Een hiertoe gemachtigde Applicatiebeheerder van de Onderwijsaanbieder activeert de gegevensuitwisseling tussen Verzender en Ontvanger voor een specifieke:

  • Gegevenssoort (bijvoorbeeld de gegevensoort onderwijsdeelnemers of gebruiksgegevens).

  • Onderwijsaanbieder binnen het Onderwijsbestuur

• De Applicatiebeheerder activeert de gegevensuitwisseling bij de Verzender (de bron) van de gegevenssoort. Hiermee wordt voldaan aan het principe ‘In het Ecosysteem komt data uit de bron’.

  • De Verzender van de gegevenssoort identificeert en authentiseert de Applicatiebeheerder met een beveiligingsvnieau van substantieel.

  • Ontvanger heeft de mogelijkheid om:

    • de activatie automatisch te bevestigen aan Verzender.

    • aan Verzender terug te geven dat de activatie wordt gecontroleerd (pending) en bijvoorbeeld een additionele controle uit te laten voeren door de Applicatiebeheerder van de Ontvanger. Dit is bijvoorbeeld van toepassing op een gegevenssoort waarbij een hoge integriteit van toepassing is bij de Ontvanger. Na deze additionele controle bevestigt de Ontvanger de activatie aan Verzender.

• Verzender en Ontvanger beschikken over de referentiecomponent Consentmanagement en voldoen aan de voor hen geldende functionele, technische en operationele afspraken zoals beschreven in Activeren en deactiveren van een gegevensuitwisseling [4][5].

• Bij iedere uitwisseling van gegevens van de gegevenssoort van de Onderwijsaanbieder controleren Verzender en Ontvanger of de gegevensuitwisseling geactiveerd is.

Gegevens waarvan de Onderwijsorganisatie eigenaar is kunnen na deze laag veilig tussen Verzender en Ontvanger uitgewisseld worden.

Laag 5. Mandaat – Deelnemer is gemandateerd als Verwerker

Gegevens die vallen onder de verwerkersverantwoordelijkheid van een Onderwijsbestuur kunnen alleen uitgewisseld worden door Leveranciers die hiertoe zijn gemandateerd door het Onderwijsbestuur.

Om gegevens van de classificatie IV uit te kunnen wisselen dienen Verzender en Ontvanger te voldoen aan de volgende eisen:

• Verzender en Ontvanger beschikken allebei over een geldige en door het Onderwijsbestuur ondertekende verwerkersovereenkomst.

• De mandaten voortkomend uit de verwerkersovereenkomst zijn door de Onderwijsorganisatie geregistreerd bij één Ondersteunende rol Registerhouder met de referentiecomponent Mandatenregister.

• De door de Onderwijsorganisatie gekozen Registerhouder beschikt over de referentiecomponent Mandatenregister en voldoet aan de van toepassing zijnde functionele, technische en operationele afspraken zoals beschreven in Activeren en deactiveren van een gegevensuitwisseling [4][5].

• Mandaten worden in dit Mandatenregister gespecificeerd op het niveau van Onderwijsbestuur en Leverancier. De Leverancier is Verwerker van het Verwerkersverantwoordelijke Onderwijsbestuur. Het Mandaat geeft hiermee aan of het Onderwijsbestuur een overeenkomst heeft met Leverancier.

• Verzender en Ontvanger zijn met de referentiecomponent Consentmanagement aangesloten op het Mandatenregister van de door de Onderwijsorganisatie gekozen Registerhouder

• De Onderwijsorganisatie heeft de gegevensuitwisseling vanuit het Mandatenregister naar de referentiecomponent Consentmanagement van de Verzender of Ontvanger geactiveerd. Op deze wijze kan bijvoorbeeld:

  • Verzender controleren of een nieuwe Ontvanger een geldig mandaat heeft vanuit het Onderwijsbestuur van de Onderwijsorganisatie.

  • Bij het intrekken van een mandaat door Onderwijsbestuur de Verzender en Ontvanger op de hoogte worden gesteld en alle gegevensuitwisselingen worden gedeactiveerd.

  • Verzender periodiek controleren of een mandaat voor Ontvanger nog actief is.

• Verzender controleert minimaal dagelijks of zijzelf en alle Ontvangers nog beschikken over een geldig mandaat.

• Indien een mandaat een einddatum heeft dan informeren Verzender en Ontvanger hun Applicatiebeheerder(s) hier tijdig over. Dit stelt de Applicatiebeheerder(s) in staat om het mandaat (indien gewenst) te verlengen.

  • Verzender en Ontvanger sturen minimaal 60 dagen, 30 dagen, 14 dagen en 3 dagen voordat een mandaat verloopt een melding naar de Applicatiebeheerder(s).

• Indien een Onderwijsorganisatie fuseert of splitst dan is Onderwijsorganisatie verantwoordelijk voor het tijdig mandateren van Leveranciers die ook in de nieuwe Onderwijsorganisatie een mandaat dienen te hebben.

  • Onderwijsbestuur is verantwoordelijk voor een overgangssituatie van minimaal 30 dagen waarin zowel de mandaten vanuit de nieuwe Onderwijsorganisatie en de oude Onderwijsorganisatie actief zijn.

  • Verzender en Ontvanger zijn verantwoordelijk voor het actualiseren van de mandaten binnen de overgangssituatie zodat gegevensuitwisselingen die geactiveerd zijn blijven werken.

• Indien een Onderwijsorganisatie de intentie heeft om een mandaat in te trekken, en als gevolg hiervan alle gegevensuitwisselingen te deactiveren dan trekt het Onderwijsbestuur het mandaat voor een Leverancier in. Verzender en Ontvanger deactiveren vervolgens alle geactiveerde gegevensuitwisselingen voor de onderliggende Onderwijsaanbieders.

• De Onderwijsorganisatie is verantwoordelijk voor een correcte registratie van het Onderwijsbestuur en al haar Onderwijsaanbieders (inclusief identifiers) bij de Registerhouder met de referentiecomponent Scholenregister.

Vertrouwelijke gegevens waarvoor de Onderwijsorganisatie Verwerkersverantwoordelijke is kunnen na deze laag veilig uitgewisseld worden door Deelnemers die een mandaat hebben gekregen van het Onderwijsbestuur.

Release notes