Architectuurprincipes

De dienstverlening is ingericht rond wat een toepassing en haar afnemers in samenhang nodig hebben, over de beheerdomeinen heen. Uitgewerkt in de ontwerpkeuze Eén beschrijving per toepassing, die het platform uitvoert en bijhoudt.

Ketenkoppelingen horen bij de dienst en worden langs het werkelijke pad beproefd. De herstelafspraken gelden voor de volledige keten, ook met bestaande gegevensdiensten; zie de gebruikssituatie Herstel op het juiste niveau.

BIO2, de Cyberbeveiligingswet, het rijksbrede cloudbeleid en de NORA zijn vertaald naar de standaard en de beveiligingsbaseline.

Inrichting, identiteit, netwerk, werkstromen en softwareherkomst volgen open standaarden, en het platform gebruikt gangbare software in plaats van zelfgebouwde platformfuncties. Uitgewerkt in de ontwerpkeuze Open standaarden en overdraagbare configuratie.

Kosten en gebruik zijn per dienst zichtbaar, met reserve, overgang en beëindiging; planning en begroting worden afzonderlijk verantwoord. Uitgewerkt in de ontwerpkeuze Kosten en gebruik per dienst zichtbaar.

Specialisten leggen de toegestane varianten en controles vast; daarbinnen wordt de levering geautomatiseerd. Uitgewerkt in de ontwerpkeuze Zelfservice binnen vooraf afgesproken kaders.

Een bijzondere vraag wordt afzonderlijk afgewogen, en de keuze van het dienstprofiel volgt de gevolgen voor het werk die de proceseigenaar bepaalt; zie de keuze van het profiel.

Het ontwerp beschrijft functies los van de producten die ze invullen; de productinvulling kan wijzigen zonder dat het doelbeeld verandert.

Bestaande RWS-voorzieningen worden hergebruikt, elk met een dienstafspraak met hun eigenaar. Platformfuncties worden als product afgenomen in plaats van zelf gebouwd, en SaaS alleen bij aantoonbaar voordeel; zie de afweging voor SaaS.

Randvoorwaarde. De gegevensarchitectuur valt buiten de reikwijdte van het platform; het platform levert opslag, databases en koppelingen waarop dataknooppunten kunnen draaien.

Classificatie, eigenaar en bewaartermijn staan in de dienstbeschrijving; bij beëindiging volgen gegevens en back-ups hun bewaartermijn.

Gegevens blijven onder verantwoordelijkheid van RWS, en bij uitbesteding wordt versleuteld met sleutels die RWS zelf genereert. Export en herstel elders tonen de toetsen Overdraagbaarheid en afbouw en, bij SaaS, SaaS aansluiten en kunnen beëindigen aan. Uitgewerkt in de ontwerpkeuze Regie over kritieke onderdelen en een bewuste landingsplek.

Configuraties zijn overdraagbaar en volgen open standaarden; export en herstel elders worden beproefd in de toets Overdraagbaarheid en afbouw. Uitgewerkt in de ontwerpkeuze Open standaarden en overdraagbare configuratie.

De platformsoftware is overwegend open source. De uitzonderingen, zoals software voor apparatuurbeheer, netwerkapparatuur en verkeersverdeling, zijn zichtbaar bij de producten die de functies invullen.

Iedere functie heeft een eigenaar, onderhoud en herstel en is toegewezen aan een product of voorziening, met de groeipadstap waarin zij beschikbaar komt.

Missiekritieke processen moeten zonder externe koppelingen doorwerken, zoals het SAK Isolatie vraagt; de toets Doorwerken op locatie zonder centrale verbinding toont dat aan. Het eigen platform is de landingsplek voor toepassingen die niet in de publieke cloud mogen of kunnen draaien. Uitgewerkt in de ontwerpkeuze Regie over kritieke onderdelen en een bewuste landingsplek.

Het aanbod is ontworpen vanuit het applicatieteam: één beschrijving, zichtbare voortgang en diensten die het werk lichter maken. Gebruik en feedback sturen de verbeterplanning.

De leverstatus toont welke stap wacht en wie aan zet is; zie de onvolledige levering.

Portaal, beheerinterfaces en configuratiebestanden leiden tot dezelfde levering, met dezelfde regels voor toegang, capaciteit en gegevensgebruik; zie Ontwikkelaarsportaal en assistentie.

Een team combineert diensten in één dienstbeschrijving; portaal, applicatie-identiteit en softwarelevering horen bij iedere afname.

Verbeteringen aan de standaard worden na beproeving ook voor bestaande afnemers ingepland; verouderde varianten krijgen een vervangingstermijn.

Verwerkt als het gelijknamige principe uit de enterprise-architectuur van RWS, hergebruik vóór kopen, kopen vóór maken; bovendien bouwen alle diensten van het groeipad voort op één gemeenschappelijke basis. Uitgewerkt in de ontwerpkeuze Een beperkt aanbod met een groeipad.

Het aanbod bestaat uit combineerbare standaarddiensten en het platform uit afzonderlijke clusters met elk een eigen kerntaak. Uitgewerkt in de ontwerpkeuzes Afzonderlijke delen met elk een eigen kerntaak en Een beperkt aanbod met een groeipad.

Varianten worden vooraf afgesproken en hun aantal blijft beperkt; een afwijking wordt beoordeeld. Uitgewerkt in de ontwerpkeuze Zelfservice binnen vooraf afgesproken kaders.

Per dienst ligt vast wat de afnemer krijgt en bij wie zij past; de dienstbeschrijving van het team vult dat aan met zijn afnamekeuzes en de acceptatie.

De gegevenseigenaar bepaalt classificatie, gebruik en bewaartermijn; het platform vertaalt dat naar de inrichting.

Toegang geldt per toepassing en per handeling, en gegevens mogen niet vanzelf voor ieder doel worden gebruikt, ook niet bij AI.

Identiteiten en rollen komen uit de bestaande RWS-bronnen; de inventaris registreert de feitelijke toestand.

De beveiligingsbaseline is risicogericht. Uitzonderingen hebben een eigenaar, een termijn en een herbeoordeling, en een risico dat niet direct te verhelpen is, wordt vastgelegd.

Het platform controleert doorlopend of de omgeving aan de beschrijving en de voorgeschreven instellingen voldoet, en proeven volgen het werkelijke gebruikerspad. Uitgewerkt in de ontwerpkeuze Beveiliging en controle in de standaard.

Werkers groeien mee terwijl de besturing gelijk blijft, diensten voor wisselende belasting schalen tot nul, en extra beheercellen worden uit dezelfde code opgebouwd.

Het aanbod en het aantal varianten blijven beperkt, en bij iedere ontwerpkeuze is een eenvoudiger alternatief afgewogen.

Maatstaven voor levertijd, herstel, beveiliging en afbouw worden gevolgd in een voortgangsrapportage, met een verbeterplanning; zie de opbrengst van de invoering.

Het aanbod volgt de behoefte van het werk. AI komt er alleen voor een afgebakende taak met een proceseigenaar en een toets op kwaliteit; zie de gebruikssituatie AI voor een afgebakende taak.

Functies, beloften en toetsen verbinden iedere keuze met het doelbeeld; een afwijking vraagt een ontwerpbesluit.

Vlootbeheer, clusterbeheer, werkers, opslag en basisdiensten zijn gescheiden lagen, en inrichting en koppelingen volgen open standaarden. Uitgewerkt in de ontwerpkeuzes Afzonderlijke delen met elk een eigen kerntaak en Open standaarden en overdraagbare configuratie.

Het aanbod bestaat uit een beperkt aantal standaarddiensten en gemeenschappelijke diensten, en specialistische kennis wordt onderdeel van de standaard. Uitgewerkt in de ontwerpkeuze Een beperkt aanbod met een groeipad.

Eigen datacenters, publieke cloud, SaaS en locaties bestaan naast elkaar. De keuze volgt het belang van de gegevens, continuïteit, bereikbaarheid, kosten, soevereiniteit en overstapmogelijkheden; zie waar een toepassing draait. Uitgewerkt in de ontwerpkeuze Regie over kritieke onderdelen en een bewuste landingsplek.

Kritieke dienstverlening draait op het eigen platform, met regie over identiteits- en toegangsbeheer, sleutels, gegevens en vertrek. Uitgewerkt in de ontwerpkeuze Regie over kritieke onderdelen en een bewuste landingsplek.

Het ontwerp gaat uit van een inbraak, verifieert ieder verzoek, heeft de beveiliging in de standaard en beproeft een aanval vóór productie. Uitgewerkt in de ontwerpkeuzes Toegang op basis van identiteit, Geen vanzelfsprekend vertrouwen in netwerkverkeer en Beveiliging en controle in de standaard.

Iedere dienst heeft een migratiepad, afbouw hoort bij de verhuizing en de technische basis heeft een eigen levenscyclus. Uitgewerkt in de ontwerpkeuze Overgang in stappen, met afbouw van het oude.

Het kostenbeeld per dienst omvat basis, gebruik, overgang en beëindiging; zie het kostenbeeld per dienst. Uitgewerkt in de ontwerpkeuze Kosten en gebruik per dienst zichtbaar.

Virtuele servers als dienst draaien op het nieuwe platform, en bestaande virtuele machines gaan gefaseerd over, met hun noodzakelijke koppelingen. Uitgewerkt in de ontwerpkeuze Overgang in stappen, met afbouw van het oude.

Het platform breidt uit met extra beheercellen uit dezelfde code, onder één vlootbeheer. Of het platform onderdeel wordt van de Rijkscloud, valt buiten de reikwijdte.

Eén levering vervangt losse aanvragen, en levertijd, wachttijd en overdrachten worden gemeten vanaf een nulmeting. Uitgewerkt in de ontwerpkeuzes Zelfservice binnen vooraf afgesproken kaders, Eén beschrijving per toepassing, die het platform uitvoert en bijhoudt en Een beperkt aanbod met een groeipad.

Minder varianten en gezamenlijk onderhoud verlagen de beheerlast, en de beveiliging zit in de standaard. Een besparing telt pas als de uitgaven werkelijk dalen.

Het ontwikkelaarsportaal hoort bij iedere afname, en datawetenschap en AI komt in groeipadstap 3.

Toepassing, gegevens en koppelingen worden samen hersteld, met onveranderbare kopieën, een herstelomgeving en de herstelkern; een noodmaatregel wordt vastgelegd of teruggedraaid. Uitgewerkt in de ontwerpkeuze Continuïteit naar het belang van het werk, met beproefd herstel.

Gewenste en werkelijke inrichting worden doorlopend vergeleken, met bewaking per dienst en bewijs per maatregel. Uitgewerkt in de ontwerpkeuze Beveiliging en controle in de standaard.

Het platform stuurt levering en beheer vanuit de dienstbeschrijving, die het uitvoert en bijhoudt; dat is declaratief werken. Uitgewerkt in de ontwerpkeuze Eén beschrijving per toepassing, die het platform uitvoert en bijhoudt.

Iedere wijziging loopt via versiebeheer, geautomatiseerde controles, goedkeuring en uitrol, ook bij softwarelevering en platformwijzigingen. Uitgewerkt in de ontwerpkeuze Eén beschrijving per toepassing, die het platform uitvoert en bijhoudt.

Teams werken met zelfservice binnen afgesproken kaders. Een ontwikkelaar vraagt tijdelijk verhoogde rechten binnen de eigen dienst zelf aan, en in productie keurt een ander ze goed; de digitale assistent handelt met dezelfde bevoegdheden als een gewone aanvraag. Uitgewerkt in de ontwerpkeuze Zelfservice binnen vooraf afgesproken kaders.

Het platform bestaat uit zelfstandige beheercellen, in de eerste implementatie één per datacenter. Voor vlootbrede rollen en gedeelde voorzieningen die beide cellen kunnen raken, gelden aparte maatregelen. Uitgewerkt in de ontwerpkeuze Afzonderlijke delen met elk een eigen kerntaak.

Basisdiensten staan per cel. Bedrijfskritische diensten hebben een tweede exemplaar met eigen gegevens en capaciteit in de andere cel, met gecontroleerde overname, en clusters werken door bij uitval van het vlootbeheer, zoals de toets Uitval van het vlootbeheer aantoont.

Per gegevensdienst ligt vast welk exemplaar schrijft en wat er bij verbindingsverlies gebeurt; replicatie vervangt geen afzonderlijke back-up.

Overname is een gecontroleerde handeling van platformbeheer, niet automatisch, met terugkeer als aparte stap. Beide worden vóór de vrijgave voor bedrijfskritische productie met de volledige toepassing beproefd. Uitgewerkt in de ontwerpkeuze Continuïteit naar het belang van het werk, met beproefd herstel.

Zones hebben een eigen routeringsdomein, en tussen zones, clusters en toepassingen is alleen gedeclareerd verkeer toegestaan. Uitgewerkt in de ontwerpkeuze Geen vanzelfsprekend vertrouwen in netwerkverkeer.

Iedere cel heeft eigen capaciteit; werkers breiden uit terwijl de besturing gelijk blijft.

Gedekt in groeipadstap 2. In de eerste levering zijn er bewaking en meldingen per cluster en samengevatte metingen in het vlootbeheer. De eigen bewakingsvoorziening buiten het platform volgt direct na de oplevering van bewaking, logging en inventaris; tot dan geldt een uitzondering.

Er is een apart netwerk voor apparatuurbeheer. Noodtoegang, sleutels, installatiebestanden en herstelgegevens staan buiten de getroffen cel, en er is een noodwerkplek buiten het platform, zoals de toets Herstel na een aanval aantoont. Herstel zonder gezonde cel gebeurt vanuit de herstelkern.

Het platform gebruikt vier servertypen en vaste werkwijzen voor uitrol, onderhoud en herstel.

Alles loopt vanuit versiebeheer en automatisering, ook netwerk en apparatuur; buiten de noodroute is er geen handmatige aanpassing. Uitgewerkt in de ontwerpkeuze Eén beschrijving per toepassing, die het platform uitvoert en bijhoudt.

Een tweede cel wordt uit dezelfde code opgebouwd, de overgang verloopt gefaseerd per toepassing, en er is een routekaart voor het datacenternetwerk. Uitgewerkt in de ontwerpkeuze Overgang in stappen, met afbouw van het oude.

Buiten de reikwijdte: het principe betreft de werkplek. Snelle levering binnen afgesproken kaders vermindert wel de aanleiding voor schaduw-IT.

De ontvangende dienst bepaalt welke handelingen zijn toegestaan; toegang geldt per toepassing en per handeling. Uitgewerkt in de ontwerpkeuze Toegang op basis van identiteit.

Randvoorwaarde. Bediening en besturing van objecten vallen buiten het platform; missiekritieke netwerken sluiten alleen via de voorgeschreven koppelvlakken aan. Zie industriële automatisering.

Ieder cluster krijgt een standaardinrichting, en het aantal varianten blijft beperkt. Uitgewerkt in de ontwerpkeuze Een beperkt aanbod met een groeipad.

De beveiliging zit in de standaardinrichting en de beveiligingsbaseline. Uitgewerkt in de ontwerpkeuze Beveiliging en controle in de standaard.

Maatregelen volgen het risico, in lijn met BIO2; dienstprofielen zijn geen beveiligingsniveaus.

Er zijn draaiboeken, een geoefende vroegtijdige waarschuwing bij een meldplichtig incident, zoals de toets Detectie en respons vraagt, en een aanvalsoefening van eerste signaal tot schoon herstel.

Audit- en beveiligingslogboeken gaan naar het SOC, met detectieregels per dienst.

Instellingen worden doorlopend gecontroleerd, er zijn acceptatieproeven, en herstel en aanval worden herhaald beproefd.

Gedekt in groeipadstap 2. Vanaf de eerste levering zijn er de netwerkweergave van de beveiligingsbewaking en de vastlegging van geweigerde verbindingen. De historie van verkeersstromen volgt met de eigen bewakingsvoorziening, de verkeersweergave van het dienstennetwerk zodra dat is ingeschakeld.

Iedere persoonlijke aanmelding bij het platform is een meerfactoraanmelding, en toepassingen melden zich aan met hun applicatie-identiteit. Uitgewerkt in de ontwerpkeuze Toegang op basis van identiteit.

Er zijn niveaus van rechten, tijdelijke verhoging en periodieke herbeoordeling. Uitgewerkt in de ontwerpkeuze Toegang op basis van identiteit.

Er zijn maatregelen per laag: apparatuur, netwerk, cluster, toepassing en gegevens; een aanval blijft per laag begrensd. Uitgewerkt in de ontwerpkeuze Geen vanzelfsprekend vertrouwen in netwerkverkeer.

Een laag of variant komt er alleen als zij een reëel risico afdekt; zie ook voorkom onnodige complexiteit en de afweging tussen eenvoud en gelaagde beveiliging.

Het platform volgt open standaarden en beschreven maatregelen; de bescherming zit in sleutels en toegang.

De beveiliging zit in de standaardinrichting, en een ontwikkelaar vraagt verhoogde rechten binnen de eigen dienst zelf aan.

De veiligheid van objecten gaat voor; het platform neemt de verantwoordelijkheid voor hun bediening en besturing niet over.

Bij twijfel geen toegang: alleen gedeclareerd verkeer is toegestaan, en bij uitval van de kwetsbaarheidscontrole stopt de normale vrijgave.

Uitgewerkt in de leidende ontwerpkeuze Toegang op basis van identiteit.

Uitgewerkt in de leidende ontwerpkeuze Zelfservice binnen vooraf afgesproken kaders.

Uitgewerkt in de leidende ontwerpkeuze Geen vanzelfsprekend vertrouwen in netwerkverkeer.

Uitgewerkt in de leidende ontwerpkeuze Afzonderlijke delen met elk een eigen kerntaak. De vijf basisclusters van de SOLL-architectuur, voor vlootbeheer, clusterbeheer, werkervirtualisatie, opslag en datacenterdiensten, zijn de platformclusters vlootbeheer, clusterbeheer, werkervirtualisatie, het opslagcluster en het basisdienstencluster.

Uitgewerkt in de ontwerpkeuze Toegang op basis van identiteit.

Rollen en rechten komen uit de RWS-bronnen, en de niveaus van rechten op het platform sluiten daarop aan.

Identiteitsbeheer, toegangsvoorziening, geheimenbeheer en certificaten vormen samenhangende basisdiensten per cel.

Aanmelding loopt via de centrale toegangsvoorziening op basis van open protocollen, en applicatie-identiteit volgt de open standaard SPIFFE.

Het platform sluit aan op de bestaande RWS-bronnen, en wijzigingen werken door in de aangesloten diensten.

Identiteits- en toegangsbeheer draaien op het eigen platform; noodaccounts en herstelsleutels blijven in beheer van RWS. Uitgewerkt in de ontwerpkeuze Regie over kritieke onderdelen en een bewuste landingsplek.

De classificatie hoort bij de dienstbeschrijving; de gegevenseigenaar bepaalt haar.

Toegangsregels volgen classificatie en beveiligingsbaseline; uitzonderingen worden centraal beoordeeld en vastgelegd.

Instroom, functiewijziging en vertrek lopen via het identiteitsbeheer, met periodieke herbeoordeling door eigenaren.

Rechten, verhogingen en het gebruik van noodtoegang worden vastgelegd en periodiek beoordeeld; de teameigenaar beoordeelt de verhogingen van zijn team.

Hier schuren standaardiseer waar mogelijk en verplaats je in de gebruiker. Afgewezen: ieder team volledig vrijlaten, wat uiteenlopende inrichtingen geeft die elk apart onderhouden en beproefd moeten worden, of iedere aanvraag centraal beoordelen, wat de wachttijd in stand houdt. Zie de ontwerpkeuze Zelfservice binnen vooraf afgesproken kaders.

Hier schuren zo eenvoudig als mogelijk en gelaagde beveiliging. Afgewezen: lagen toevoegen zonder aanwijsbaar risico, wat beheer vraagt zonder dat het iets afsluit, en één buitengrens, waarbinnen wie binnen is zich vrij beweegt.

Hier schuren houd kritieke onderdelen onder eigen regie en hergebruik vóór kopen, kopen vóór maken. Afgewezen: alles in de publieke cloud, wat het beheer verplaatst maar niet de verantwoordelijkheid, en voor een deel van de toepassingen niet is toegestaan. Zie de afweging voor SaaS en mensen en kennis.

Hier schuren datacenters zijn autonome storingsgebieden en het gezamenlijke beheer van alle clusters. Afgewezen: een centrale besturing waarvan de cellen tijdens het gebruik afhangen, zodat één storing, fout of aanval alle teams tegelijk raakt. Dat de clusters doorwerken bij uitval van het vlootbeheer, toont de toets Uitval van het vlootbeheer.