Wat voor ieder onderdeel geldt

Ieder onderdeel wordt ingericht vanuit code in het versiebeheer van het platform, in de opslagplaatsen Platform, Beleid, Catalogus, Afnemers en Draaiboeken. De werkelijke inrichting wordt doorlopend met de gewenste vergeleken; afwijkingen worden gemeld en teruggezet. Handmatige stappen zijn een gedocumenteerde uitzondering.

Iedere wijziging van code, beleid of inrichting loopt via een wijzigingsvoorstel op een beschermde hoofdtak met vaste beoordelaars en ondertekende vastleggingen; voor vlootbrede rollen zijn er twee beoordelaars naast de auteur.

Een wijziging in beleid of platformsoftware gaat eerst naar de leeromgeving, dan naar de proefgroep en daarna per uitrolgolf. Nieuw beleid staat eerst op ‘melden’ en pas na een geslaagde proef op ‘afdwingen’. Een afgedwongen regel gaat niet blijvend terug naar ‘melden’: tijdelijk terugzetten kan alleen als terugvaloptie tijdens een uitrol, per golf, of als goedgekeurde uitzondering met einddatum.

Ieder onderdeel gebruikt open standaarden en overdraagbare configuratie waar de lijst van open standaarden een standaard voorschrijft; een leverancierspecifieke uitbreiding wordt vastgelegd als afwijking met reden.

Ieder onderdeel is per cel zelfstandig: het werkt en herstelt zonder de andere cel. Cellen delen tijdens gebruik alleen de vlootbrede voorzieningen (vlootbeheer, versiebeheer, ondertekening, de RWS-bronnen van het identiteitsbeheer, PKI, automatisering, onderliggend netwerk en externe diensten), elk met eigen maatregelen en beproeving; toegangsvoorziening en identiteitsbeheer zelf zijn per cel.

Het rek is het foutdomein binnen een cel: exemplaren van een dienst met meer dan één exemplaar staan in verschillende rekken, en uitval van één server, rek of exemplaar onderbreekt de dienst niet. Wat na uitval overblijft, staat in het ontwerp van het onderdeel, met de hersteltijd.

Ieder onderdeel is uit code en gecontroleerde kopieën opnieuw op te bouwen, met nieuwe geheimen en sleutels. Het heeft een back-up volgens het back-upschema, met een onveranderbare kopie buiten de cel, en zijn herstel wordt periodiek beproefd.

Iedere toegang, van personen en werklasten, volgt uit een gecontroleerde identiteit en een expliciete toestemming, niet uit de plaats in het netwerk. Beheer loopt via de toegangsvoorziening met meerfactoraanmelding en de beheerwerkplek, met opname van iedere bevoorrechte sessie; tijdelijk verhoogde rechten zijn taakgebonden, goedgekeurd door een ander dan de aanvrager en zonder zelfactivering; noodtoegang komt uit de kluis.

Alle geheimen (wachtwoorden, sleutels, tokens, certificaten) komen uit het geheimenbeheer van de cel, zijn kort geldig waar het product dat toelaat en worden automatisch vervangen. Geen geheim staat in code, ticket, chat of e-mail; langlevende geheimen zijn geregistreerd met eigenaar, reden en einddatum.

Alle verbindingen zijn versleuteld met TLS volgens het TLS-profiel van de beveiligingsbaseline. Interne certificaten komen uit de tussen-CA van de cel onder de interne RWS-PKI en worden automatisch uitgegeven en vernieuwd; van buiten bereikbare namen krijgen een certificaat uit de externe PKI. Onversleutelde stromen zijn een uitzondering met einddatum.

Verkeer is standaard dicht: tussen zones alleen via de firewalls volgens de zonematrix, tussen afnemers alleen via gedeclareerde verbindingen met netwerkbeleid. Secundaire interfaces en het hostnetwerk mogen alleen als de dienstbeschrijving ze vermeldt, en ieder onderdeel staat in de zone en het routeringsdomein van het netwerkplan.

Op een cluster draait alleen software die via de softwarelevering is vrijgegeven, dus gebouwd of toegelaten, gescand, met onderdelenlijst en ondertekend, en die uit de containerregistry van de cel komt. De toelatingscontrole en het knooppunt controleren de handtekening; platformsoftware van de leverancier is de enige uitzondering.

Ieder onderdeel volgt de beveiligingsbaseline en het baselineprofiel; iedere maatregel heeft een norm en bewijs. Een afwijking is een goedgekeurde uitzondering met eigenaar, compenserende maatregel en een einddatum van ten hoogste zes maanden in het uitzonderingsregister.

Versies en productcombinaties zijn de ondersteunde combinaties uit de lijst van productversies. De leverancier bevestigt de ondersteuning bij de acceptatie, en een geslaagde proef in de leeromgeving vervangt die bevestiging niet. Een nieuwe versie wordt langs hetzelfde pad uitgerold als de eerste levering; containers en werkers worden vervangen en niet ter plekke aangepast.

Ieder onderdeel levert zijn audit- en beveiligingslogboeken rechtstreeks aan het SOC, met bevestigde ontvangst en een kopie buiten het bereik van platformbeheer. Beheerlogboeken en metingen gaan naar de bewaking van het cluster en de samengevatte metingen van het vlootbeheer, en vanaf groeipadstap 2 naar de eigen bewakingsvoorziening.

Ieder onderdeel heeft meetwaarden met drempels en een afgesproken actie, een dienstniveau waar een afnemer erop steunt, en een melding naar platformbeheer bij overschrijding; capaciteitsgrenzen hebben een actiedrempel vóór de harde grens.

Alle apparatuur, clusters, diensten, adressen en certificaten staan in de inventaris (NetBox, clusterinventaris en cryptografie-inventaris) met eigenaar, versie en gebruikte cryptografie; wat niet geregistreerd is, wordt niet aangesloten.

Capaciteit, kosten en gebruik zijn per dienst en per afnemer meetbaar en worden gerapporteerd; reserve voor uitval en groei is benoemd en wordt niet uitgegeven.

Ieder onderdeel heeft draaiboeken voor uitrol, upgrade, uitbreiding, vervanging, uitval en herstel, sleutel- en certificaatvervanging, incident en beëindiging, in de opslagplaats Draaiboeken. Ieder draaiboek is beproefd voordat het onderdeel in productie gaat, en daarna periodiek.

Iedere beloofde eigenschap is gekoppeld aan een beproeving met slaagcriterium, eigenaar en bewaard resultaat: een toets, een acceptatieproef of een proef bij de eerste levering. Negatieve proeven tonen aan dat wat verboden is, ook wordt geweigerd.

Ieder onderdeel is beschreven in producten en instellingen, in werkwijzen met stappen en controles, en per locatie in een detailontwerp van het eindverantwoordelijke beheerdomein, geschreven bij de start van de bouw. Hostnamen, adressen, rekposities en VLAN-nummers die het netwerkplan niet noemt, staan alleen in dat detailontwerp en in de inventaris.

Ieder onderdeel heeft één eindverantwoordelijk beheerdomein en een vastgelegde taakverdeling (R/A/C/I) met de andere domeinen, met het ontwikkelteam tot de overdracht en met de leverende RWS-dienst waar een functie is geërfd.

Een productfunctie waarop een onderdeel steunt en die niet in de productlijst vastligt, en de ondersteuning van een productcombinatie, zijn acceptatiecriteria bij de ingebruikname, elk met een terugvaloptie in één zin. Haalt het onderdeel een criterium niet, dan geldt de terugvaloptie zonder nieuw besluit; bij een productcombinatie is dat de laatst ondersteunde combinatie.

Ieder restrisico van een onderdeel is benoemd en aanvaard, met de maatregel die het begrenst.

Een keuze die meer onderdelen raakt, is in ieder geraakt onderdeel dezelfde. Dit zijn de vaste keuzes over de onderdelen heen.