Auditdienst Rijk
Ministerie van FinanciënNaleving contractvoorwaarden UWV
Definitief
Colofon
Titel Naleving contractvoorwaarden UWV
Uitgebracht aan Directeur Gegevens van Belastingdienst/CAP.
30 april 2019 Datum
2019-0000110550 Kenmerk
Inlichtingen
Auditdienst Rijk 070-342 7700
Inhoud
1 Aanleiding opdracht 4
2 Bewaartermijn voldoet niet aan contractvoorwaarden 5
2.1 Bewaartermijn 5
3 Bevindingen 6
3.1 Follow-up aanbevelingen 2018 6
3.1.1 Doelbinding 6
3.1.2 Vernietiging 6
3.1.3 Bewaartermijn 6
3.1.4 Autorisatie 7
3.1.5 Documentatie 7
3.2 Bewaartermijn (art. 5) 8
3.3 Gebruik en autorisaties (art. 7) 9
4 Aanbevelingen 10
4.1 Bewaartermijn 10
4.2 Autorisaties 10
5 Verantwoording onderzoek 11
5.1 Werkzaamheden en afbakening 11
5.2 Gehanteerde Standaard 12
5.3 Verspreiding rapport 12
6 Ondertekening 13
Bijlage 1: Geraadpleegde personen
14
Bijlage 2: Managementreactie 15
1 Aanleiding opdracht
Tussen de Uitkeringsinstantie Werknemersverzekeringen (UWV) en de
Belastingdienst is een contractl afgesloten over de wekelijkse levering van een beperkte set gegevens van het UWV-product "55079-Loonaangiftegegevens"2 uit de Polisadministratie, bij de Belastingdienst bekend als de gegevenslevering "g1v2595 - ten behoeve van het leggen van derdenbeslag". Deze gegevens mogen door de Belastingdienst worden opgevraagd ten behoeve van het doen van een
loonvordering, zoals omschreven in artikel 19 van de Invorderingswet 1990. UWV is op grond van de Invorderingswet verplicht deze gegevensset te verstrekken.
In het contract zijn door UWV voorwaarden opgenomen waaronder de Belastingdienst deze gegevens mag gebruiken. De contractvoorwaarden zijn
verschillend van aard. Sommige zijn echte voorwaarden die aan de afnemer worden gesteld, maar anderen hebben meer het karakter van een toelichting of zijn meer verklarend van aard. Voorwaarden uit artikelen 4, 5, 7 en 8 hebben direct
betrekking op de verstrekking en verwerking van de UWV-gegevens en kunnen op naleving getoetst worden3. Verder is in het contract een bepaling opgenomen dat door de Belastingdienst aan de Auditdienst Rijk (ADR) jaarlijks gevraagd zal worden om te toetsen op naleving van deze voorwaarden.
Door de Belastingdienst, organisatieonderdeel Centrale Administratieve Processen (CAP), is in maart 2019 een opdrachtverzoek4 aan de Auditdienst Rijk (ADR) gedaan om de naleving van de contractvoorwaarden UWV te toetsen (de laatste toetsing door de ADR heeft in 2018 plaatsgevonden5). Dit rapport is het resultaat van de toetsing in de periode maart tot en met april 2019. Het uiteindelijke doel van het onderzoek is om de opdrachtgever meer inzicht te verschaffen in de mate waarin het proces van de gegevensverwerking binnen de Belastingdienst voldoet aan de gestelde voorwaarden uit het contract.
In hoofdstuk 2 wordt een samenvatting van de onderzoeksresultaten weergegeven.
De bevindingen van de relevante contractvoorwaarden staan in hoofdstuk 3. Voor het verbeteren van de naleving van de contractvoorwaarden worden in hoofdstuk 4 aanbevelingen gedaan. Tenslotte wordt in hoofdstuk 5 het onderzoek zelf toegelicht.
1 Overeenkomst tussen UVW en Belastingdienst inzake gegevenslevering ten behoeve van het leggen ven derdenbeslag, g1v2595, 17 maart 2017.
2 Product 55079 is vanwege capaciteitsproblemen opgesplitst in 3 deelproducten: 55610, 55611 en 55612.
3 Deze zijn in dit rapport omkaderd.
4 Opdrachtbevestiging Naleving Contractvoorwaarden UWV, 13 maart 2019.
5 Daar de herinrichting van de datagebieden binnen de TeraData omgeving (overgebracht naar SAS-Grid), is de follow-up beperkt bruikbaar gebleken.
2 Bewaartermijn voldoet niet aan contractvoorwaarden
2.1 Bewaartermijn
Tijdens het inwinnen van de gegevens van UWV en het vervolgens opwerken daarvan naar informatie(-producten), worden verschillende gegevenslagen doorlopen. Van deze gegevenslagen worden reguliere back-ups gemaakt, met uitzondering voor de [NAAM] omgeving.
Hierdoor worden de UWV-gegevens uit de [BENAMING] voor een periode van 3 maanden bewaard in plaats van de volgens de contractvoorwaarde
toegestane maximale bewaartermijn van 1 week.
5 van 17 1 Naleving contractvoorwaarden UWV
3 Bevindingen
3.1 Follow-up aanbevelingen 2018
3.1.1 Doelbinding
Aanbeveling: Voor het gebruik van de beslagvrije voet ten behoeve van het treffen van een betalingsregeling met belastingschuldigen is aanpassing van de overeenkomst te overwegen of anders het gebruik voor dit doel te beëindigen.
(CAP, DF&A)
O Status: Overgenomen. Voor het gebruik van de gegevens voor de
berekening van de beslagvrije voet is er een aanvullend contract (addenda) opgesteld. Dit voor de uitbreiding van het gebruik binnen het segment invordering om uitstel van betaling voor de belastingplichtige mogelijk te maken.
3.1.2 Vernietiging
Aanbeveling: In het UWV Portaal Mijn Gegevensdiensten (organisatie Belastingdienst) blijven de bestanden langer dan 1 week staan. Geef duidelijk aan wie verantwoordelijk is voor het opschonen daarvan en verleen daarbij de bijbehorende rechten. (UWV, CAP)
o Status: Overgenomen. Het UWV is overgegaan tot het autoriseren van de eigen medewerkers voor verwijdering van de bestanden in het UWV- gegevensportaal. De vastgestelde termijn daarbij is 2 weken i.v.m. de eventuele noodzakelijke uitlevering van herstelleveringen voor de Belastingdienst. Alle leveringen van een eerdere datum zijn inmiddels uit het gegevensportaal verwijderd.
Aanbeveling: De term "vernietiging" is in het verleden geïntroduceerd in relatie tot de fysieke gegevensdrager (DVD). Momenteel betreft het een
geautomatiseerde gegevenslevering. Gebruikelijker is het dan om te spreken van
"wissen" of "verwijderen" van de gegevens. (UWV, CAP) o Status: Nog actueel.
3.1.3 Bewaartermijn
Aanbeveling: Maak geen back-up van de zijdeurserver [NAAM] en de tabellen van de databases [NAMEN]. (DF&A)
o Status: Niet meer relevant door gewijzigde omgeving.
Aanbeveling: Beperk de voorwaarden in een specifieke overeenkomst tot de aanvullende eisen op het basisbeveilingsniveau (de bewaringstermijn van 7 jaar voor een invorderingsdossiers is al een basisvereiste). (CAP)
o Status: Nog actueel.
Aanbeveling: Voor het borgen dat de bestanden die handmatig worden gekopieerd naar de TeraData omgeving worden verwijderd, zijn werkinstructies opgesteld. Voer regulier interne controle uit op naleving van deze
werkinstructies. (DF&A)
o Status: Niet meer relevant: handeling is inmiddels geautomatiseerd.
3.1.4 Autorisatie
Aanbeveling: In de TeraData beheeromgeving worden op databaseniveau rechten van verschillende databases aan elkaar doorgegeven' waardoor theoretisch verschillende andere personen rechten hebben op de UWV brondatabase [NAAM]. Overweeg nader onderzoek naar de personen die onbevoegd toegang hebben tot de bron UWV-database. (DF&A)
o Status:
Overgenomen. De autorisaties zijn in overeenstemming gebracht met de daadwerkelijke toegangsrechten op de database zoals verwoord in de werkinstructie. Er wordt in opzet
maandelijks een interne controle binnen DF&A uitgevoerd op naleving van de werkinstructie en ter handhaving van de juiste geautoriseerde toegang.
3.1.5 Documentatie
Aanbeveling: Breng bijlage 2 van het contract (Gegevensleveringsafspraak (GLA) 2595) in lijn met de huidige wijze van gegevensverstrekking. (CAP)
o Status: Overgenomen.
7 Middels het verlenen van GRANT rechten.
3.2 Bewaartermijn (art. 5)
Bij ontvangst van de (wekelijkse) gegevenslevering worden de gegevens uit de voorgaande levering vernietigd.
Tijdens het inwinnen van de gegevens en het vervolgens opwerken van de UWV gegevens naar de benodigde informatie-"producten" wordt wekelijks een Backup
& Recovery procedure uitgevoerd op het Teradata [NAAM] platform.
o Tijdens de Backup worden van de straten [NAMEN] automatisch alle databases die hiërarchisch onder de desbetreffende straat vallen meegenomen in de Backup (zie schema 1).
o Voor de [NAAM] (Zijdeur bronnen) omgeving wordt geen Backup gemaakt omdat bij eventuele issues de bron in z'n geheel opnieuw geladen wordt op Teradata.
In plaats van de maximale bewaartermijn van 1 week worden door deze Backup
& Recovery procedure de gegevens 3 maanden bewaard. De afzonderlijke fileset in de Backup is echter niet leesbaar. Hiervoor is een Recovery noodzakelijk van de gehele oorspronkelijke Backup. Een opdracht voor een Recovery kan worden gegeven door personen met schrijfrechten voor het betreffende datagebied [NAAM]. Een procedure voor het geven van opdrachten wordt momenteel nader uitgewerkt.
[SCHEMA]
8 van 17 1 Naleving contractvoorwaarden UWV
3.3 Gebruik en autorisaties (art. 7)
De toegang tot de UWV-gegevens is voor een beperkt aantal personen bij de Afnemer noodzakelijk in verband. met het elektronisch beschikbaar kunnen stellen van de gegevens ten behoeve van invorderingsdoeleinden.
o In de TeraData beheeromgeving worden op databaseniveau, door de wijze waarop het datamodel is ingericht, rechten van verschillende databases aan elkaar doorgegeven9. Aldus verkrijgen verschillende andere databases rechten op de [NAAM] en daarmee op [NAAM]. Daardoor wordt het theoretisch mogelijk dat niet hiervoor specifiek geautoriseerde personen uiteindelijk toegang hebben tot de UWV-gegevens.
• Op dit moment is het binnen DF&A de verantwoordelijkheid van de datafundament- en de productteams om ervoor te zorgen dat áls zij via GRANT rechten toegang hebben tot een ander datagebied met UWV-gegevens, zij deze data uitsluitend daadwerkelijk opnemen en gebruiken in 'hun' datagebied als dit functioneel is. Dit wordt organisatorisch geborgd door het benoemen van specifieke rollen (bijvoorbeeld data fundament ontwikkelaars).
• Het beheer van de TeraData omgeving valt binnen het
basisbeveiligingsniveau van de Belastingdienst. Naleving van de eisen uit het basisbeveiligingsniveau valt buiten de scope van dit onderzoek. Inzicht in de kwaliteit van het beveiligingsniveau wordt verschaft door onderzoeken uitgevoerd door de Belastingdienst zelf.
o Voor het procesmatig elektronisch beschikbaar kunnen stellen van de gegevens ten behoeve van invorderingsdoeleinden zijn bij DF&A in totaal 44 personen geautoriseerd om toegang te krijgen tot de UWV-gegevens'°.
(Waarvan 5 personen toegang hebben tot de brongegevens (Zijdeur bron [NAAM]), 27 personen tot datagebied [NAAM] en 42 personen tot [NAAM])
o Voor het beheer en onderhoud van de relevante databases in de TeraData omgeving, zijn aanvullend 3 databasebeheerders geautoriseerd.
9 Middels het verlenen van GRANT rechten. De combinatie van de autorisatie die een rol heeft voor een datagebied, de database objecten (zoals tabellen of views) die in het geautoriseerde datagebied aanwezig zijn en de GRANTS tussen datagebieden bepaalt welke data door iemand kan worden gebruikt.
10 Peildatum januari 2019.
4 Aanbevelingen
4.1 Bewaartermijn
In plaats van de maximale bewaartermijn van 1 week worden de gegevens door de wekelijkse Backup & Recovery procedure 3 maanden bewaard. De
afzonderlijke fileset in de Backup is echter niet leesbaar. Hiervoor is een Recovery noodzakelijk van de gehele oorspronkelijke Backup. Een procedure voor het geven van Recovery opdrachten wordt momenteel nader uitgewerkt.
o Aanbeveling: Neem op basis van een risicoanalyse de beslissing, gelet op de huidige Backup & Recovery werkwijze, of de naleving van de huidige contractvoorwaarden nog doelmatig is. Het opstellen en naleven van een Recovery procedure (bijvoorbeeld: Recovery van deze gegevens is niet toegestaan) als beheersmaatregel is daarbij van belang.
4.2 Autorisaties
In de TeraData beheeromgeving worden op databaseniveau, door de wijze waarop het datamodel is ingericht, rechten van verschillende databases aan elkaar doorgegeven". Aldus verkrijgen verschillende andere databases rechten op de [NAAM] en daarmee op [NAAM]. Daardoor wordt het theoretisch mogelijk dat niet hiervoor specifiek geautoriseerde personen uiteindelijk toegang hebben tot de UWV-gegevens.
o Aanbeveling: Maak voor de UWV-gegevens een afzonderlijk datagebied aan in [NAAM] en gebruik deze als bron in plaats van [NAAM].
11 Middels het verlenen van GRANT rechten. De combinatie van de autorisatie die een rol heeft voor een datagebied, de database objecten (zoals tabellen of views) die in het geautoriseerde datagebied aanwezig zijn en de GRANTS tussen datagebieden bepaalt welke data door iemand kan worden gebruikt.
Specifieke levering
4
5 Verantwoording onderzoek
5.1
Werkzaamheden en afbakening
Voor het uitvoeren zijn de volgende specifieke werkzaamheden overeengekomen12:
• Bepaal in welke (geautomatiseerde) middelen de door UWV aangeleverde gegevens door de Belastingdienst worden getransporteerd en verwerkt;
■ Aangeven welke beheersmaatregelen ten aanzien van deze middelen getroffen zijn in relatie tot de relevante voorwaarden uit het contract;
■ Bepaal welke informatieproducten met de door UWV aangeleverde gegevens worden opgeleverd en wie de afnemers van deze informatieproducten zijn;
■ Breng deze informatieproducten en/of afnemers in relatie tot het doel van de overeenkomst.
De werkzaamheden die verricht zijn hebben betrekking gehad op de relevante aanvullende contractvoorwaarden van een gegevenslevering, zoals in
onderstaand schema wordt weergegeven. Het basisbeveiligingsniveau van de Belastingdienst valt hierdoor buiten de scope van dit onderzoek. Het onderzoek richt zich op de specifieke overeenkomst tussen de Belastingdienst en UWV
"Gegevenslevering ten behoeve van derdenbeslag, GLV2595", 17 maart, 2017.
Schema 3: Afbakening onderzoek13
Convenant UWV, CBS en BD
Basisbeveiligingsniveau
Overeenkomst GLV2595
(Aanvullende) Leveringsvoorwaarden
3.3 Beheer en informatieveiligheid
Informatieveiligheid speelt een crudale rol in het waarborgen van de betrouwbaarheid van de gegevensverwerking binnen de samenwerking door eisen te stellen aan de kwaliteitsaspecten beschikbaarheid, exclusiviteit (vertrouwelijkheid), integriteit (privacy en datalekken, Wet Bescherming Persoonsgegevens)en controleerbaarheid.
Uitgangspunt hierbij is dat iedere organisatie in eerste instantie uitgaat van de bestaande, eigen infomiatieveiligheidsstructuren, waar nodig en in onderling overleg aangevuld met organisatie-overstijgende keteneisen.
Beveiliging
6. Bij onderlinge gegevensuitwisseling tussen de partijen -indien het gegevens betreft waarvan de afnemende partij niet is aangemerkt als "eigenaar" in de kruisjeslijst behorende bij art.5.2 lid 1 Besluit Suwi- maakt de afnemende partij aannemelijk dat voldaan wordt aan de voorwaarden van
doelbinding, proportionaliteit, gegevensbeveiliging en geheimhouding.
•Voorziening van wijze van levering: versleuteling
•Autorisaties: beperkt aantal personen ten behoeve van het elektronisch beschikbaar stellen van de UWV gegevens; beperkt tot de personen die zich bezighouden met de invordering
•Doelbinding: loonvordering
•Bewaartermijn: niet langer dan noodzakelijk; in invorderingsdossiers: 7 jaar na actualiteitswaarde
•Vernietiging: na ontvangst volgende levering
12 ADR Opdrachtbevestiging Naleving contractvoorwaarden BD UWV gegevensleveringen, 13 maart 2019.
13 Convenant regelende de samenwerking op het terrein van de loonaangifteketen, 16 december 2016.
5.2 Gehanteerde Standaard
Deze opdracht wordt uitgevoerd overeenkomstig Standaard 4400N "Opdrachten tot het verrichten van overeengekomen specifieke werkzaamheden".
In dit rapport wordt geen zekerheid verschaft, omdat er geen assurance-
opdracht is uitgevoerd. Indien aanvullende werkzaamheden zouden zijn verricht of indien er een assuranceopdracht zou zijn uitgevoerd, zouden wellicht andere onderwerpen zijn geconstateerd en gerapporteerd. Verwacht wordt dat beoogde gebruikers zelf op basis van de gerapporteerde bevindingen en eventuele andere beschikbare informatie een eigen afweging maken over het onderhavige object in zijn totaliteit.
5.3 Verspreiding rapport
De opdrachtgever, de directeur Gegevens van Belastingdienst/CAP, is eigenaar van dit rapport.
De ADR is de interne auditdienst van het Rijk. Dit rapport is primair bestemd voor de opdrachtgever met wie wij deze opdracht zijn overeengekomen. In de ministerraad is besloten dat het opdrachtgevende ministerie waarvoor de ADR een rapport heeft geschreven, het rapport binnen zes weken op de website van de rijksoverheid plaatst, tenzij daarvoor een uitzondering geldt. De minister van Financiën stuurt elk halfjaar een overzicht naar de Tweede Kamer met de titels van door de ADR uitgebrachte rapporten en plaatst dit overzicht op de website.
6 Ondertekening
Apeldoorn, april 2019.
Projectleider Auditdienst Rijk
Bijlage 1: Geraadpleegde personen
Belastingdienst
■ Medewerkers Centrale Administratieve Processen (CAP) (2)
■ Medewerkers Corporate Diensten Datafundamenten&Analyse (CD DF&A) (3)
• Medewerkers Business Generieke Services (IV) (1)
Bijlage 2: Managementreactie
Inleiding
In dit memo staat de reactie van B/CAP op de bevindingen en aanbevelingen van het ADR-rapport "Rapport van bevindingen Naleving contractvoorwaarden UWV"
gedateerd 8 april 2019 versie 0.9.
Het betreft een vraaggestuurde audit vanuit B/CAP gebaseerd op de gemaakte afspraken tussen UWV en Belastingdienst over de uitvoering van een dergelijke audit.
De kern van de audit is te onderzoeken of de door UWV geleverde loongegevens worden vernietigd als blijkt dat deze voor het gebruik ten behoeve van de invordering geen doel dienen. En tevens dat het gebruik van de loongegevens, die wel ten dienste van de invordering staan, beperkt blijft tot het doel van de invordering.
Hierna wordt in meer detail ingegaan op de bevindingen en aanbevelingen.
Tevens worden de acties als uitvloeisel van de aanbevelingen uit het rapport weergegeven.
Algemeen
Conform de opdracht heeft de ADR in april 2019 de onderzoeksresultaten opgeleverd. De scope van de audit is beschreven in Hoofdstuk 5 van de rapportage en sluit aan met de betreffende opdracht.
Aanbevelingen
De in hoofdstuk 2 van het rapport opgenomen conclusie over de bewaartermijn komt ook naar voren in hoofdstuk 3 (Bevindingen) en in hoofdstuk 4
(Aanbevelingen). Hierna zijn de aanbevelingen uit hoofdstuk 4 van een managementreactie voorzien.
1. Bewaartermijn
Als aanbeveling noemt de ADR:
a. Neem op basis van een risicoanalyse de beslissing, gelet op de huidige Backup &
Recovery werkwijze, of de naleving van de huidige contractvoorwaarden nog doelmatig is. Het opstellen en naleven van een Recovery procedure (bijv.:
Recovery van deze gegevens niet toegestaan) als beheersmaatregel is daarbij van belang.
Managementreactie:
Hierover zal overleg gevoerd gaan worden door CAP met het UWV. Bij een eventuele herziening van de overeenkomst zal de (in eerdere rapporten gedane) aanbeveling van de ADR worden meegenomen om te verwijzen naar het
basisbeveiligingsniveau en alleen specifieke aanvullende eisen in de
overeenkomst op te nemen. Daarbij zal tevens worden besproken hoe wordt omgegaan met back-up en recovery. Beide zijn uiteraard van belang uit het oogpunt van betrouwbaarheid van de gegevensverwerking en het veilig stellen van bestanden. (CAP, DF&A, IV/BGS)
2. Autorisatie
De ADR doet hierbij de volgende aanbeveling:
a. Maak voor de UWV-gegevens een afzonderlijk datagebied aan in [NAAM]en gebruik deze als bron in plaats van [NAAM].
Managementreactie:
Zoals de ADR in haar rapport ook beschrijft gaat het hier om de theoretische mogelijkheid dat niet hiervoor specifiek geautoriseerde personen uiteindelijk toegang hebben tot de UWV-gegevens. Dit ontstaat doordat in de TeraData beheeromgeving rechten op databaseniveau van verschillende databases aan elkaar worden doorgegeven, Dit komt door de wijze waarop het datamodel is ingericht.
Met DF&A zal overlegd worden over de mogelijkheid van een afzonderlijk datagebied. (CAP. DF&A, IV/BGS)
Auditdienst Rijk Postbus 20201 2500 EE Den Haag (070) 342 77 00
