Leveranciers, ontwikkelteam en ketenproducten

De leverancier bevestigt dat hij de combinatie van OpenShift Pipelines 1.24, Trusted Artifact Signer 1.4.2 en Quay 3.18 op OpenShift 4.22 ondersteunt, met de Policy Controller en de ClusterImagePolicy in gehoste clusters en met de tussenliggende upgradecombinaties. Een geslaagde proef in de leeromgeving vervangt die bevestiging niet.

Iedere productfunctie waarop de keten steunt en die niet vastligt, is een voorwaarde bij de acceptatie met een terugvaloptie. Nog te kwalificeren zijn: ondertekenen via de sleutelbeheerkoppeling met de transit-engine, het meetekenen van de onderdelenlijst als attest, RemapIdentity in gehoste clusters en voor operatorbeelden, het weigeren na verval van de vertrouwensbasis, schrijfrecht per voorvoegsel in Quay, Pipelines as Code zonder langlevend token, het SSH-certificaat in Forgejo, twee weigerende exemplaren van de Policy Controller en de kwetsbaarheidsgegevens langs de spiegelroute.

Ketenproducten en andere platformonderdelen blijven binnen hun ondersteuning, volgens de door de leverancier bevestigde ondersteuningsmatrix. De overgang naar een volgende versie wordt ten minste 3 maanden vóór het einde van de ondersteuning gepland en gestart.

Toelatingsbeleid, vertrouwensbasis en ketenproducten volgen de vaste volgorde van platformversies: eerst de leeromgeving, dan per cel het vlootcluster, het basisdienstencluster, het clusterbeheer, de werkervirtualisatie en daarna de gehoste clusters in proefgroep, golf 1 en golf 2. Bij ketenproducten gaan eerst de controleurs over en daarna de ondertekenaars: een nieuwe Policy Controller, ClusterImagePolicy of vertrouwensbasis staat op alle clusters en het nalevingsoverzicht toont ‘voldoet’, voordat Chains, Cosign of de ondertekenvoorziening overgaan.

Alle leden van het ontwikkelteam, intern en extern, zijn vóór de eerste toegang gescreend volgens het RWS-beleid. Zij werken met persoonlijke accounts en meerfactoraanmelding, vanaf de beheerwerkplek; niet vanaf eigen apparatuur en nooit met gedeelde accounts.

Rechten van het ontwikkelteam worden per taak en voor beperkte tijd toegekend; er zijn geen blijvende productierechten. De nazorgperiode duurt drie maanden na de overdracht; uiterlijk 1 uur na afloop daarvan of na vertrek werkt geen recht, sessie of toegangsbewijs van het teamlid meer. Platformbeheer vervangt de geheimen en sleutels die het team kende of kon inzien.

In de leeromgeving komen geen RWS-gegevens, en productiegegevens worden niet gekopieerd om te testen. Testgegevens zijn synthetisch, of na een besluit onomkeerbaar geanonimiseerd; gepseudonimiseerde productiegegevens gelden niet als geanonimiseerd.

Eigen hulpmiddelen, uitbreidingen en externe diensten, waaronder AI-assistenten, worden alleen na goedkeuring gebruikt. De lijst van goedgekeurde hulpmiddelen noemt per hulpmiddel welke gegevens erin mogen; zonder besluit gaan er geen RWS-code of -gegevens naar een externe dienst.

Een vermoeden van een incident of een uitgelekt geheim wordt binnen 1 uur na ontdekking gemeld, ook bij een eigen fout, via een vast meldkanaal naar het SOC dat in contract en werkafspraken staat.

De afspraken met externe leden van het ontwikkelteam bevatten vóór de start beveiligingseisen, meldplicht, geheimhouding, recht op audit en de overdracht van code en kennis. Het ontwikkelteam volgt vóór de eerste toegang en daarna jaarlijks een training over de beveiligingsbaseline en veilig ontwikkelen.

Leveranciers van platformonderdelen en van SaaS worden vóór afname en daarna jaarlijks op beveiliging beoordeeld, ook als zij geen toegang hebben. Ondersteuningstermijn, meldplicht voor kwetsbaarheden en incidenten, exit en recht op audit staan in het contract; ontbreekt een van die afspraken, dan geldt een goedgekeurde uitzondering met einddatum.

Leveranciers voldoen aan beveiligingsafspraken in de ICT-toeleveringsketen.