UPDATE beveiligingsbeleid en aanpassing tijdslijn uitfasering BSN-scope

[#1]

Naar aanleiding van recente security-incidenten in Nederland — zoals bij Bevolkingsonderzoek Nederland en Odido — zijn wij extra alert op de bescherming van onze data. Hoewel veiligheid al stevig verankerd is in onze processen via firewalls, strikte autorisaties en regelmatige audits, zullen we onze processen waar mogelijk aan blijven scherpen. 

BSN-gebruik onder de loep

Eén van de acties die hieruit voortvloeit, is het kritisch herzien van het gebruik van het Burgerservicenummer (BSN) in onze diverse systemen. Ons doel is om de beschikbaarheid van het BSN waar mogelijk te beperken om ongeoorloofd gebruik te voorkomen. Vanwege de urgentie hadden wij hiervoor een versneld stappenplan opgesteld.

Aangepaste tijdslijn

Uit feedback van onze klanten en partners bleek dat de oorspronkelijke tijdslijn voor aanpalende processen te ambitieus was. Omdat wij de bedrijfsvoering van onze klanten niet willen verstoren, hebben we besloten de recente wijziging tijdelijk terug te draaien. Dit resulteert in de volgende aangepaste planning:

• Vanaf 12 februari: De scope hrmanalytics:nlhrm:exporttaxinformation (benodigd voor het opvragen van BSN’s) wordt niet meer toegekend aan nieuwe klanten. Voor bestaande gebruikers blijft deze scope vooralsnog beschikbaar.
• De BSN’s zullen vanaf 3 maart weer gevuld worden in de API, mits de scope (reeds) geautoriseerd is - deze werd per 20 februari leeg doorgegeven.
• Vanaf vrijdag 10 april: De scope hrmanalytics:nlhrm:exporttaxinformation wordt definitief niet meer standaard ondersteund voor alle gebruikers.
• Datawarehouse: We onderzoeken momenteel aanvullende beveiligingsmaatregelen voor BSN’s die zijn opgeslagen in het datawarehouse.

Advies: Koppel vanuit het bronsysteem

Wij adviseren nadrukkelijk om koppelingen die het BSN vereisen, direct aan te sluiten op het bronsysteem Visma.net HRM. Dit systeem biedt hiervoor veilige en gestandaardiseerde oplossingen, zoals de SIVI-koppeling.

Onze excuses voor de eventuele overlast die deze wijziging met zich meebrengt. Wij danken je voor je begrip en je medewerking aan een veiligere data-omgeving.

Wil je meer weten over privacy and security in Visma, raadpleeg dan Visma Trust Centre.

[Nick Terhorst]

Belangrijk: het gaat hier om een wijziging die mogelijk een aanpassing vereist van het systeem dat koppelt met onze API. Als je niet zelf koppelt met onze API, geef deze informatie dan door aan je softwareleverancier (ISV)

[Nick Terhorst]

Vanaf vandaag levert de API lege BSNs. De kolom BSN blijf nog wel bestaan in de CSV-bestanden, maar krijgt geen waarden meer

[Remy Chambone]

Wel jammer, want dat is helaas het enige kenmerk over de diverse administraties die een persoon uniek maakt. 

Ik heb al een keer aan de belastingdienst voorgelegd om iedereen naast het bsn een uniek administratienummer te geven. Blijkbaar erg lastig...

[Remy Chambone]

Waarom is dit eigenlijk niet rechtsreeks via de accountmanager gecommuniceerd? Dit is zo'n ingrijpende wijziging, dat hoor je niet alleen via een nieuwsitem te communiceren. Dat doe je via een accountmanager.

Is er überhaupt nagedacht over de consequenties? Bijvoorbeeld derde partijen die een bsn verplicht stellen? Verzuim via SIVI, collectieve meldingen naar UWV, etc.?