Deelproject 5.2 OTAP-straat inrichten
OTAP staat voor Ontwikkel, Test, Acceptatie en Productie. Een zogeheten OTAP-straat wordt gebruikt voor het ontwikkelen van kwalitatief goede software op een veilige manier. Naast de OTAP-straat bestaat ook de AP-straat. Deze wordt vaak gebruikt voor het hosten van applicaties of SAAS-diensten. De A van Acceptatie wordt in dat geval gebruikt voor test en oefening. Door te werken met een OTAP- of AP-straat, bescherm je je productiedata en -systemen. Het is vergelijkbaar met het leerproces: in O leer of maak je de nieuwe stof, in T oefen je de nieuwe stof, in A maak je een oefentoets en P is het proefwerk.
Resultaat van dit deelproject
- OTAP-straat en/of AP-straat is ingericht.
- Rollen, taken en bevoegdheden zijn opgesteld.
Let op
- Bij norm SM.08 uit dit deelproject werk je alleen aan het vijfde en zesde punt van volwassenheidsniveau 3.
Wie doet wat
- De ICT-beheerder of de leverancier is verantwoordelijk voor het beschikbaar stellen en het technische onderhoud van de OTAP-straat.
- De systeemeigenaar zorgt ervoor dat de juiste maatregelen met betrekking tot de OTAP- of AP-omgevingen worden nageleefd voor het betreffende systeem. De systeembeheerder beheert deze omgevingen samen met de technisch ICT-beheerder of leverancier.
Veilig software ontwikkelen en testen
In dit deelproject beschrijven we wat er nodig is om een OTAP- of AP-straat goed in te richten. Hierbij is het essentieel dat je rekening houdt met de methodiek die je gebruikt voor softwareontwikkeling. Het grootste verschil zit vaak in de toegangsrechten. Wanneer je gebruikmaakt van de agile-methode heeft het developmentteam rechten voor de Ontwikkel- en Testomgeving, maar niet voor Acceptatie en Productie. Maak je gebruik van de DevOps-methode? Dan heeft het gehele team rechten voor alle onderdelen van de OTAP-straat. Ontwikkel je zelf geen software, maar neem je alleen producten en diensten van leveranciersAanbieders van ICT- of leermiddelen. af? Dan is het ook verstandig om in elk geval toch een acceptatieomgeving te hebben. Zo kun je nieuwe functies testen zonder dat de productieomgeving in gevaar komt.
In je changemanagementproces zorg je ervoor dat wijzigingen binnen systemen op een veilige en functioneel juiste manier worden doorgevoerd. Met een OTAP- of AP-straat kun je aantonen dat je dat hebt gedaan.
Testen met persoonsgegevens
Bij het ontwikkelen en testen van software en systemen, werk je vaak met data. Het is belangrijk dat die data betrouwbaar en representatief is. Het kan zijn dat de data die je gebruikt persoonsgegevensAlle gegevens waarmee direct of indirect een natuurlijk persoon (mens) kan worden geïdentificeerd. Het kan bijvoorbeeld gaan om een naam, BSN-nummer, geboortedatum, telefoonnummer of IP-adres. bevat. Het verwerkenAlles wat er met persoonsgegevens wordt gedaan, wordt in de wet verwerken genoemd. Verwerken is dus onder meer: online en offline persoonsgegevens verzamelen, kopiëren, opslaan, verspreiden, publiceren, delen én uitwisselen. Het maakt dus niet uit wat je doet met persoonsgegevens: alles noemen we verwerken en valt onder de wettelijke bescherming. van persoonsgegevens valt echt onder de Algemene Verordening Gegevensbescherming (AVG). Dit betekent dat je die gegevens niet zomaar mag gebruiken. Waar moet je op letten?
- Werk bij voorkeur met fictieve of anonieme data. Dit is namelijk niet te herleiden tot personen en valt dus ook niet onder de AVG.
- Is het niet mogelijk om met anonieme data te werken? Dan kan pseudonimiseren een goede optie zijn, maar dan gelden dezelfde strenge beveiligingseisen als in de productieomgeving.
- Alleen in uitzonderlijke gevallen mag met echte productiedata worden getest. Je hebt daarvoor altijd een schriftelijke onderbouwing nodig en moet extra maatregelen nemen. Let op: gevoelige gegevens, zoals burgerservicenummers, mogen niet worden gebruikt en bijzondere persoonsgegevens, zoals medische gegevens, alleen als er een wettelijke ontheffingsgrond is.
Het belangrijkste uitgangspunt is steeds dat het gebruik van persoonsgegevens noodzakelijk en proportioneel moet zijn en de gegevens goed beveiligd moeten worden. Is er een minder ingrijpend alternatief dan het gebruik van persoonsgegevens beschikbaar? Dan gelden de privacyrechten van betrokkenenDe personen van wie persoonsgegevens worden verwerkt. altijd zwaarder.
Scheiding van OTAP-omgevingen
Het is belangrijk – in verband met de data, kwaliteit en beheersbaarheid – om de verschillende omgevingen van een OTAP-straat te scheiden. Alleen zo kun je testen of het overzetten van code van bijvoorbeeld Test naar Acceptatie goed werkt. Het goed scheiden van omgevingen voorkomt ook dat een fout in de ene omgeving hinder veroorzaakt in een andere omgeving. Zo mag bijvoorbeeld het verversen van data op Acceptatie geen invloed hebben op Productie.
Aan de slag
Met het volgen van de onderstaande stappen, richt je een OTAP- en/of AP-straat in voor jouw organisatie.
1 Stel de rollen en verantwoordelijkheden vast
Rechten binnen de OTAP- of AP-straat wil je expliciet vastleggen. Niet alle gebruikers hoeven namelijk toegang te hebben tot alle onderdelen van de OTAP- of AP-straat. In deelproject 3.2 Inrichten van identiteit- en toegangsbeheer leg je vast wie wat mag doen op welke omgeving van de OTAP-straat. Je legt ook vast wie mogelijk extra rechten hebben. Door hier van tevoren over na te denken en dit vast te leggen voorkom je onduidelijkheid.
2 Beschrijf kwaliteitsdrempels
In het applicatie- en systeemontwikkelingsbeleid moeten de kwaliteitsdrempels voor het overzetten van code van de ene naar de andere omgeving en voor het oplossen van incidenten worden beschreven. Zeker bij het overzetten van code naar de productieomgeving is het belangrijk dat de code en dus de software aantoonbaar aan kwaliteitseisen op het gebied van performance, veiligheid en functie voldoet.
3 Opzetten van de OTAP-straat
Je kunt een OTAP-straat pas opzetten als alle rollen en verantwoordelijkheden zijn vastgelegd en er een methodiek voor softwareontwikkeling en -implementatie is gekozen. Je doet dit in de deelprojecten 3.2 Inrichten van identiteit- en toegangsbeheer en 4.5 Changemanagement inrichten. Is dit gedaan? Dan kan de straat worden opgezet. Het is raadzaam om dit zo veel mogelijk te doen op basis van Infrastructure as Code (IaC) die helpt om de nieuwe versie volledig naast de oude versie te zetten, voordat deze opgeruimd wordt (zogeheten blue-green deployment). Acceptatie en Productie zijn vaak identiek, Ontwikkel en Test kunnen afwijken, omdat dit kosten en complexiteit bespaart. Op deze manier wordt bij elke update een compleet nieuwe omgeving geautomatiseerd uitgerold, zodat er geen fouten kunnen worden gemaakt op Productie.
4 Onderhoud van de OTAP-straat
Een OTAP-straat bestaat feitelijk uit 4 (groepjes van) systemen die allemaal eigen onderhoud nodig hebben en allemaal moeten voldoen aan de afspraken die voortvloeien uit het IBP-beleid. Zorg dat de beheertaken zijn ingericht en toegewezen. Vaak wordt een (systeem)patch systeem voor systeem geïnstalleerd. Bijvoorbeeld: patchesPatches zijn kleine stukjes code die worden toegevoegd aan bestaande programma's om fouten (bugs) te corrigeren, beveiligingslekken te dichten of functionaliteit te verbeteren. of updates worden eerst op O uitgerold, daarna op T, dan op A en tot slot op P. Spreek in dit geval af dat patches en updates binnen een bepaalde periode (bijvoorbeeld 2 dagen) worden getest om ongeteste productiepatches te voorkomen.
5 Afnemen van een AP-straat
Een AP-straat zet je meestal niet zelf op, maar wordt vaak afgenomen van je SAAS-leverancier of de bouwer van je systeem. Met een AP-straat heb je naast productie een extra omgeving voor acceptatie- en trainingsdoeleinden. Neem je deze omgeving af van een leverancier? Dan heb je er naast de configuratie ervan en databeheer weinig omkijken naar.