Beleid voor IAA: Rollen

Deze blog is de vijfde in de reeks over beleid, uitgangspunten en principes voor identificatie, authenticatie en autorisatie. De vierde is hier te vinden.

Er zijn meerdere belanghebbenden betrokken bij het IAA proces. Dit kan bekeken worden vanuit drie perspectieven: het proces, het systeem en het team. Daarnaast zijn er ook rollen voor beleid en controle daar op. De uitwerking hieronder verondersteld dat een organisatie werkt met proceseigenaren en -begeleiders (een soort inhoudelijke expert).

Inrichting van het proces

Tijdens het inrichten van het proces wordt er bepaald welke activiteiten uitgevoerd moeten worden. Dit is afhankelijk van het doel van het proces, wet- en regelgeving en praktische aspecten. De volgende twee rollen zijn daar van belang, voor autorisaties.

  • De proces-eigenaar: Deze is verantwoordelijk voor het vaststellen van het proces en daarin te beleggen proces-rollen.
  • De proces-begeleider: Beschrijft de taken, bevoegdheden, verantwoordelijkheden van elke rol. Handelingen in detail worden beschreven in de werkinstructies. Deze dienen later als basis voor het bepalen welke functionaliteiten in een systeem gebruikt moeten kunnen worden.

Inrichten van het systeem

Tijdens het inrichten van het systeem wordt bepaald welke onderdelen geconfigureerd moeten worden. De volgende twee rollen zijn daar van belang, voor autorisaties:

  • De systeem-eigenaar: Deze is verantwoordelijk voor de applicatie inrichting en de bijbehorende autorisaties vereist voor proces-rollen en koppelingen.
  • De functioneel beheerder: Bundelt de rechten in een systeem tot een systeemrol en volgt procedures conform het inrichting- of beheerdocument voor die applicatie. De rechten op functionaliteiten en specifieke data worden vastgelegd in de autorisatiematrix. Op verzoek van leidinggevenden worden deze rollen aan specifieke medewerkers toegekend.

Inrichten van het team

Tijdens het inrichten van het team wordt bepaald wie welke werkzaamheden verricht. Dit is afhankelijk van de samenstelling van het team en de aanwezige competenties. De volgende twee rollen zijn daarbij van belang, voor autorisaties:

  • De lijnmanager: Deze is verantwoordelijk voor het fiatteren van aanvragen voor de toekenning van formele rollen en rechten aan zijn/haar medewerkers. De leidinggevende is goed op de hoogte wat deze autorisaties inhouden en welke risico’s er zijn. De leidinggevende neemt bij het fiatteren de regels in acht die de applicatie-eigenaar heeft gesteld.
  • De medewerker: Weet vanuit zijn rol wat hij/zij moet doen en weet als gebruiker van het systeem welke functionaliteiten ter beschikking staan. Deze is daarom verantwoordelijk voor het juiste en veilige gebruik van de aan hem/haar toegekende autorisaties.

We gebruiken voor het bovenstaande het volgende model:

20181116AutorisatiesPosterLageResolutie

Steeds is aangegeven welke ‘pet’ je op hebt, wie de hamer heeft (dus de besluiten neemt), wie de pen heeft (dus uitvoert, inricht of beschrijft) en in welke documenten dit terugkomt.

Hoge resolutie is hier te vinden.

Inrichten van de controle

Tijdens het controle werk wordt gepeild in hoeverre alle uitgegeven autorisaties voldoen aan het beleid:

  • De Informatiemanager: Is verantwoordelijk voor dit IAA beleid en de jaarlijkse verversing ervan.
  • Coördinator Informatiebeveiliging: Geeft advies voor de applicatie inrichting en toetst deze aan de autorisatie-procedure. Daarnaast voert hij de controles uit.

Mijn volgende blog zal gaan over het borgen van het beleid.

Beleid voor IAA: Principes voor Autorisatie

Deze blog is de vierde in de reeks over beleid, uitgangspunten en principes voor identificatie, authenticatie en autorisatie. De derde is hier te vinden. De specifieke applicaties die hieronder worden vermeld hebben natuurlijk te maken met ons applicatielandschap. Die varieert natuurlijk van organisatie tot organisatie.

Autorisatie beperkt (terecht) de toegang tot informatie, echter soms is dit onwenselijk vanuit het oogpunt van transparantie. We onderscheiden daarom verschillende gebieden met elk hun eigen principes.

Extern publiek informeren: Openbaarheid

De informatie is openbaar en in te zien zonder autorisatie. Het gaat dan om informatie over onze opleidingen ten behoeve van werving, algemene informatie voor ouders en bedrijven, verantwoording over onze publieke taak en webcare. Deze is beschikbaar zonder dat bekend is wanneer een individu deze precies nodig heeft of wil opzoeken. Hij of zij kan deze ten allen tijde ophalen.

Intern publiek informeren: Transparantie

De autorisatie is gebaseerd op het lidmaatschap van een hoofdgroep (leerling, student, medewerker). Het gaat dan om ‘intranet-informatie’, zoals nieuws, evenementen, documenten van algemeen belang, rapportages of besluiten worden gedeeld met alle medewerkers.

Informele samenwerking: Zelf delen

De autorisatie is gebaseerd op het delen van informatie door een naaste collega. Dit kan op eigen initiatief zijn of iemand die hiervoor door zijn leidinggevende is aangewezen. Doorgaans bestaat dit uit Office documenten in een SharePoint Teamsite, een bibliotheek of Yammer (interne social media). De toegang mag laagdrempelig en ad-hoc zijn, en is niet centraal geregeld. Uitzonderingen hierop zijn bijvoorbeeld teamsites voor examens.

Formele samenwerking: Toegang vanuit je rol

De autorisatie is gebaseerd op iemands rol in een proces. Het beheer is centraal geregeld en vastgesteld. Dit geldt voor werken in kernsystemen zoals Afas, EduArte, Proquro, TopDesk en GP Untis. Hier gelden de principes:

Need-to-know, Time-to-know, Place-to-know

Personen krijgen alleen toegang tot functionaliteiten en informatie voor zover dit strikt noodzakelijk is voor het uitvoeren van de aan hen opgedragen werkzaamheden. In de praktijk mogen autorisaties geen belemmering vormen in het kunnen uitvoeren van een functie of procesrol, maar zijn ook geen vanzelfsprekendheid.

Personen krijgen niet langer dan strikt noodzakelijk toegang tot functionaliteiten en informatie voor het uitvoeren van de aan hen opgedragen werkzaamheden, in overeenstemming met hun rol. Autorisaties komen te vervallen bij het wijzigen van functie. Als dit niet automatisch kan, dan dient een kernsysteem hier een beheerproces voor in te richten.

Alle formele rollen worden vastgelegd in een autorisatie-matrix door de functioneel beheerder. In de praktijk is er een autorisatie matrix per applicatie waarin wordt vastgelegd wie (rol en/of context van de identiteit) wat mag (rol/autorisatie). De autorisatiestructuur van een kernsysteem sluit aan bij de goedgekeurde procesbeschrijvingen.

Gebruikers respecteren bij de toegang tot persoonsgegevens de privacy van de betrokkenen conform het IBP beleid en Privacy Reglement. Als toegang tot een ruimte ook toegang tot informatie geeft dan geldt:

  • De toegang tot ruimtes is gebaseerd op je rol en gekoppeld aan een zoneringsplan.
  •  De locatie beheerder ziet toe op de uitgifte en inname van zowel fysieke als digitale sleutels.

Functie-scheiding

Dit geldt zowel voor het beheer van de autorisaties als het gebruik ervan.

  • De aanvrager van autorisaties en de uitgever ervan zijn verschillende functionarissen (vier ogen principe)
  • De samenstelling van rollen/rechten combinaties en de toekenning van autorisaties is dusdanig dat er sprake is van passende functiescheiding voor de eindgebruiker.

BIV classificatie

Een rollen/rechten combinatie is risicovol als een gebruiker (strikt) vertrouwelijke gegevens kan raadplegen of handelingen kan uitvoeren waarmee aanzienlijke schade kan worden oplopen (financieel, tijd, imago, continuïteit). Daarom worden alle informatie houdende applicaties van de onderwijsinstelling aan de BIV classificatie onderworpen (Beschikbaarheid, Integriteit of Vertrouwelijkheid).

Applicaties met een score hoger dan “Midden” op het onderdeel “Vertrouwelijkheid” van de BIV kennen risicovolle rollen, rechten en/of combinaties daarvan. De applicatie-eigenaar stelt in samenwerking met de proceseigenaar vast welke deze zijn. Deze worden schriftelijk vastgelegd voor controle en verantwoording.

Mijn volgende blog zal gaan over de rollen voor IAA.

Beleid voor IAA: Principes voor Authenticatie

Deze blog is de derde in de reeks over beleid, uitgangspunten en principes voor identificatie, authenticatie en autorisatie. De tweede is hier te vinden.

Proportionaliteit

Hoe gevoeliger de gegevens zijn hoe meer we ons er van willen overtuigen dat de persoon werkelijk is wie hij zegt dat hij is. De laagste vorm van authenticatie gebruikt een sterk wachtwoord (conform de richtlijn voor wachtwoorden). Gevoelige (persoons)gegevens worden met een extra maatregel beveiligd (meervoudige authenticatie). Het gebruik van een wachtwoord is dan gecombineerd met bijvoorbeeld een pas, token, sms of een vingerafdruk. Ook bij het gebruik van accounts voor beheer en risicovolle rollen in applicaties met een score “Hoog” op het onderdeel ‘Vertrouwelijkheid’ van de BIV classificatie, wordt gebruikt gemaakt van meervoudige authenticatie.

Voor applicaties in het huidige applicatielandschap die geen meervoudige authenticatie ondersteunen maar dat wel nodig hebben wordt een alternatief gezocht of er worden aanvullende maatregelen getroffen om een gewenst beveiligingsniveau te bereiken.

Gebruiker is de bron

Het wachtwoord is verbonden aan de gebruiker zelf. Wij slaan deze niet zelf op noch mogen onze leveranciers hierover beschikken.

Single sign-on: 1x inloggen

Personen loggen niet apart in op onderdelen van de ICT infrastructuur van de onderwijsinstelling. Na inloggen op de ICT infrastructuur vindt authenticatie op het applicatielandschap verder zoveel mogelijk op de achtergrond plaats ter bevordering van het gebruiksgemak en productiviteit.

Single sign-on brengt een beveiligingsrisico met zich mee, maar weegt niet op tegen het bevorderd gebruiksgemak. Om het beveiligingsrisico te mitigeren worden maatregelen geformuleerd in de “Richtlijn voor wachtwoorden”. Verder worden in het BYOD-beleid en Reglement Verantwoord ICT-gebruik gebruik- en beveiligingsrichtlijnen opgenomen om het risico van gebruikersgedrag te minimaliseren.

Single-Sign-On vereist dat externe systemen koppelbaar zijn. Als dat niet het geval is, geldt het “Comply, or explain” principe. Er wordt dus aan de leverancier gevraagd te voldoen aan onze principes en zijn systeem koppelbaar te maken of anders uitleg te geven. Ons Architectenplatform adviseert in deze, om erna met belanghebbenden een afgewogen besluit mogelijk te maken.

Verantwoord gedrag

Elke gebruiker is verantwoordelijk voor het adequaat afschermen/beveiligen van zijn authenticatiemiddelen (account/wachtwoord, schoolpas, Yubikey). Een goede beveiliging met technische maatregelen vormt natuurlijk een basis, maar het effect ervan gaat grotendeels verloren als men bijvoorbeeld wachtwoorden doorgeeft.

Handhaving van het wachtwoordbeleid

De “Richtlijn voor wachtwoorden” (separaat, tactisch document) voor accounts binnen de ICT infrastructuur van de onderwijsinstelling wordt technisch afgedwongen.

Beheer van de ICT infrastructuur

Authenticatie voor het beheer en services in de ICT infrastructuur vereist strikte beveiligingsmaatregelen. Deze worden continue geactualiseerd conform de standaarden voor beveiliging van de ICT infrastructuur.

Mijn volgende blog zal gaan over de principes voor Autorisatie.

Beleid voor IAA: Principes voor Identificatie

Deze blog is de tweede in de reeks over beleid, uitgangspunten en principes voor identificatie, authenticatie en autorisatie. De eerste is hier te vinden.

We verankeren onze identiteiten.

Het uitgeven van een digitale identiteit is altijd gebaseerd op een externe autoriteit die we vertrouwen:

  • De manieren voor digitale identificatie die wij zelf bieden (account) zijn verankerd in het tonen van een identiteitsbewijs zoals deze is uitgegeven door een overheid. Dit vindt plaats vóór het aanmaken ervan.
  • De middelen voor digitale identificatie die zijn uitgegeven door andere organisaties vertrouwen we indien deze zijn aangesloten bij dezelfde federaties als wijzelf. De eisen voor toegang tot de federatie dienen als waarborg.
  • De middelen voor digitale identificatie van geautomatiseerde processen (het domein van een server) zijn verankerd in het proces van certificering. Partijen die deze certificaten uitreiken kunnen dit alleen als ze voldoen aan de Telecommunicatiewet en aan specifieke eisen. De Autoriteit Consument en Markt ziet hier op toe en vormt zo een waarborg voor ons.

We onderhouden één Identiteit.

Een natuurlijke persoon heeft één identiteit. Het HR systeem (medewerker) of de deelnemersregistratie (cursisten, studenten en leerlingen) geldt als bronsysteem. Uitzonderingen kunnen gemaakt worden voor personen die zowel student als medewerker zijn.

Het aangewezen bronsysteem van een identiteit geldt als bron voor de levenscyclus. Zodra de persoon niet meer actief is bij de onderwijsinstelling wordt zijn/haar identiteit gedeactiveerd (incl. alle autorisaties). De bewaartermijn van (gedeactiveerde) identiteiten, accounts en autorisaties wordt bepaald door de applicatie-eigenaar in samenwerking met de proces-eigenaar. Wetgeving is hierin altijd leidend.

We onderhouden één account.

Een identiteit beschikt over één account voor onze ICT infrastructuur. Een uitzondering wordt gemaakt voor test-, beheer- en service-accounts, die echter wel te herleiden zijn naar een natuurlijk persoon of specifiek systeem.

Accounts voor applicaties worden geautomatiseerd aangemaakt en verwijderd. Voor risicovolle applicaties worden accounts direct gedeactiveerd. Indien dit niet geautomatiseerd kan, dan wordt dit conform een procedure handmatig ingeregeld.
Er worden geen ‘algemene’ accounts gebruikt, die niet gekoppeld zijn aan een persoon.

Context bepaalt autorisatie

De context van een identiteit bepaalt in eerste instantie de autorisatie. Voorbeelden zijn iemands functie en organisatieonderdeel, op basis waarvan basale autorisaties (account uitgifte en autorisaties binnen applicaties) worden toegekend. Naarmate er meer eigenschappen bekend worden (voor strikt organisatorische doeleinden), wordt het verlenen en muteren van autorisaties verder verfijnd en geautomatiseerd.

We gebruiken pseudoniemen in de educatieve contentketen

Om de persoonsgegevens van onze deelnemers te beschermen, als zij gebruik maken van digitaal lesmateriaal of digitale examens bij externe leveranciers, werken we op basis van pseudoniemen. Wij weten bij welke natuurlijke persoon het pseudoniem hoort, de leverancier echter niet.

Mijn volgende blog zal gaan over de principes voor Authenticatie.

 

Beleid voor IAA: Zeker weten wie wat mag

Afgelopen tijd heb ik samengewerkt met onze Functionaris Gegevensbescherming aan het IAA-beleid. Deze formuleert uitgangspunten en principes voor identificatie, authenticatie en autorisatie. Het bleek dat we best nauwkeurig mensen rechten geven binnen applicaties, maar zonder een onderlegger voor onze functioneel beheerders en zonder breed afgesproken standpunten. Komende blogs ga ik hier op in en deze is dus de eerste in de reeks.

Wat verstaan we onder IAA?

Identificatie, Authenticatie en Autorisatie zijn stappen in het proces voor toegangscontrole. Dit is het proces om toegang te krijgen tot ons netwerk, onze applicaties en functionaliteiten daarbinnen. Het ziet er op toe dat de juiste personen toegang hebben tot gegevens.

Identificatie

Identificatie is het kenbaar maken van de identiteit van een persoon of een systeem. Om de identiteit op een zinvolle manier te kunnen gebruiken, is het noodzakelijk dat elke toegepaste identiteit uniek is. In de regel gebeurt dat door aan iedere gebruiker van onze ICT-omgeving en aan elk geautomatiseerd proces een unieke gebruikersnaam toe te kennen.

Authenticatie

Authenticatie is het vaststellen van de juistheid van de opgegeven identiteit. Dat kan een persoon of systeem aannemelijk maken met:

  • Iets wat alleen jij kent (een wachtwoord).
  • Iets wat alleen jij hebt (een certificaat, een sleutel, een mobiel of token voor extra code, een pasje met een chip).
  • Iets wat alleen jij bent (biometrische kenmerken zoals vingerafdruk of iris).

Als een combinatie van bovenstaande manieren gebruikt wordt, dan spreekt men van sterke of meervoudige authenticatie. Idealiter wordt hier pas om gevraagd als er binnen een applicatie gevoelige gegevens opgeroepen worden of waardevolle transacties gedaan worden.

Bijvoorbeeld: het bekijken van een rooster van een student kan al na inloggen met alleen een wachtwoord, maar voor het bekijken van zijn begeleidingsdossier zou een extra code gevraagd worden. Dit wordt ‘step-up’ authenticatie genoemd.

Autorisatie

Autorisatie is het uitdelen van een recht op functionaliteit om met een set gegevens iets te doen: toegang om ze te lezen, te wijzigen of te beheren (het recht om rechten uit te delen). Bij dit proces hoort ook het muteren of intrekken van zo’n recht. In de praktijk worden deze rechten gekoppeld aan rollen en krijgt een individu een rol met de daarbij behorende rechten toegewezen.

Zie onderstaand model aan de hand van het motto: “Je identiteit kenbaar maken, aantonen en gebruiken.”

20181111IAAPosterLageResolutie

In hoge resolutie hier te downloaden.

Wat verwachten we van IAA nu en straks?

We verwachten nu al:

  • Dat IAA de vertrouwelijkheid van de informatie kan borgen en ervoor moet zorgen dat alleen de personen voor wie de informatie bedoeld is er toegang toe hebben. Hiermee wordt tevens het vertrouwen in de ICT-omgeving vergroot en in het geval van persoonsgegevens helpt het privacy realiseren.
  • Dat IAA beleid en de afgeleide richtlijnen gecontroleerde toegang tot applicaties en gegevens daarbinnen waarborgt. Soms impliceert dit ook toegangscontrole tot fysieke locaties (bijvoorbeeld het datacenter, ruimtes met netwerkcomponenten en stroomvoorziening, examenlokalen of de kantoren waar examens opgeslagen zijn).
  • Dat IAA hoge eisen stelt aan de houding en gedrag van onze medewerker.

We verwachten dat in de toekomst:

  • Het gebruik van pseudoniemen voor onze deelnemers toe zal nemen. Dit zijn lange reeksen karakters die uniek zijn per deelnemer en inschrijving. Als school weten wij welk pseudoniem bij welke deelnemer hoort. Externe partijen echter werken alleen met het pseudoniem zonder dat ze weten welke ‘persoon’ er achter zit. Tegelijkertijd hebben ze wel de zekerheid dat het een deelnemer van ons is. Deelnemers kunnen zo digitaal lesmateriaal gebruiken of examens maken zonder dat de leverancier ervan teveel persoonsgegevens krijgt.
  • We steeds strikter toezien op de naleving van het IAA-beleid. De bewustwording dat het onbeperkt gegevens verzamelen en koppelen negatieve gevolgen kan hebben voor een individu en dus de maatschappij, motiveert steeds meer om formeel om te gaan met IAA.
  • Dat we in breder verband meer diensten zullen leveren aan personen met een digitale identiteit van een andere organisatie. Nu doen we dat al voor externe studenten door ze te voorzien van wifi, middels Eduroam of ze in de regio op weg te helpen, middels Route35. Een ander voorbeeld is toegang tot onze publieke taken voor andere EU burgers.
  • Dat sterke authenticatie de standaard inlogmethode zal worden voor netwerktoegang en voor applicaties die geen ‘step-up’ authenticatie ondersteunen.

Scope van IAA

Dit beleid is van toepassing op alle toegang tot informatie. Doorgaans wordt informatie digitaal opgeslagen, maar dit beleid is ook van toepassing op papieren (analoge) informatie. De scope is daarom:

  • Alle applicaties en systemen van de onderwijsinstelling of diensten die informatie bevatten of transporteren. De applicatielijst zoals deze bij ons in TopDesk beheerd wordt middels de softwarekaarten geldt in deze als bron.
  • Alle ruimtes waar informatie bewaard wordt, aangezien soms fysieke toegang tot een ruimte impliciet toegang geeft tot (analoge) informatie.

Mijn volgende blog zal gaan over de principes voor Identificatie.

Peter Joosten op #owd18: Biohacking & de toekomst van het onderwijs

Ik ben vandaag op de Surf Onderwijsdagen in Den Bosch, 1931. Peter Joosten heeft de slotkeynote.

Hij prikkelt met de vraag “Wat is het nut van een activiteit als die niet geregistreerd wordt?”. Nu valt daar veel op af te dingen lijkt me, maar het alles-meten-aan-jezelf is niet meer weg te denken. Peter heeft over de versmelting van mens en technologie geschreven in zijn boek Biohacking.

Hij wil graag menselijk proefkonijn zijn en met zichzelf experimenten uitvoeren. Dus met alle diëten en variaties in persoonlijke gewoontes meer te weten komen over jezelf. Conclusie van hem: Niet alles dat nieuw is, is beter. Open deur maar goed besef lijkt me.

Een directe link tussen zijn verhaal en onderwijs is natuurlijk ‘learning analytics’. Zijn bedenkingen:

  • Wat is het effect dat je wilt bereiken? Niet alles wat je kunt meten is waardevol.
  • Blijf correlatie en causaliteit uit elkaar houden. Niet alles wat ‘tegelijk’ speelt heeft echt een verband met elkaar.
  • Blijf kritisch: wil je alles wel meten?

Hij maakt een sprong naar BlockChain, opzich leuk, maar voor mij even onduidelijk hoe dat verband houdt met biohacking. De ultieme vorm van biohacking is die van bewustzijn. Vandaar dat hij een sprong maakt naar Kunstmatige Intelligentie.

Zijn aanmoediging samengevat: blijf experimenteren terwijl je beseft dat technologie niet zaligmakend is.

Peter spreekt kalm, nodigt uit tot nadenken, geeft daar tijd voor en vraagt deelname van de zaal. Je weet wel, met zo’n kubus-microfoon die je kunt gooien. Hij vraagt expliciet aandacht voor ethiek. Een geluid dat ik, terecht, steeds vaker hoor. Ik denk wel dat ik voor meer diepgang gewoon zijn boek moet lezen. 😉

Vragen uit de zaal:

  • Wat met BlockChain en duurzaamheid?
    Er zijn twee kampen in sustainability: terug naar de natuur versus techno-utopisten. Hij neemt dit voortaan mee in zijn presentatie. Geen echt antwoord hoor.
  • Wat staat er op zijn chip-implantaat?
    Eigenlijk is het een usb-stick en nu staat er zijn DNA data op. Hij was vooral nieuwsgierig naar de reacties uit zijn omgeving. Variëren van “Oh leuk” tot Black-Mirror scenario’s.
  • Kun je studenten een veilige leeromgeving aanbieden als je blijft experimenteren?
    Het één sluit het ander niet uit volgens Peter. Kleine stappen, maar geen excuus om niet te doen dus.

Als je Peter vaker wilt horen spreken over onderwijs dan kun je hem hier boeken.

Stekeblind en Oost-Indisch doof? Digitale toegankelijkheid en media op #owd18

Ik ben vandaag op de Surf Onderwijsdagen in Den Bosch, 1931Martijn Hoeke (Van Hall Larenstein), Arnoud Probst (UvA) en Jantine te Molder (Saxion) geven een workshop over Digitale Toegankelijkheid, namens de SIG Media en Education.

Omdat voor mijn gevoel het onderwerp een ondergeschoven kindje is was ik nieuwsgierig. Ter vergelijking: net als bij AVG zijn er wetten en verordeningen, maar dit krijgt nauwelijks aandacht. We blijven er maar weg mee komen lijkt het wel en mijn laatste blog er over is ruim een jaar oud. Enfin, workshop dus. 😉

De wettelijke achtergrond is te vinden in de Wet Generieke Digitale Infrastructuur nu genoemd “Digitale Overheid” en de WCAG. De Wet Digitale Overheid is van kracht sinds 1 juli 2018, maar geldt niet voor onderwijs, op een directe manier. Wat wel geld is de “Wet Gelijke Behandeling“, daarop is de controle echter reactief. Dus pas na een klacht wordt bekeken of je dit naleeft.

Martijn noemt wel de ‘morele verplichting’ die we als instelling hebben, naar studenten en collega’s met een beperking. Tegelijk ook een kans omdat het iedereen helpt.

Vervolgens moesten we allemaal ‘een handicap’ kiezen, in de vorm van oordopjes, blinddoek of kleurenbrillen. Leuke oefening (niet voor degenen die het echt treft natuurlijk)! Ging als volgt:

  • We bekeken een video ‘met’ handicap. Ik hoorde het dus alleen, want ik had zelf een blinddoek op.
  • Daarna bespraken we wat we dachten te zien en te horen. Erg inzichtelijk omdat blijkt dat relatief kleine zaken zoals muziekjes op de achtergrond je op een verkeerd spoor kunnen zetten.
  • Vervolgens kregen we mogelijke oplossingen mee, zoals voice-over en ondertiteling.

Al met al werkt het ervaren van een handicap erg motiverend. Nodig omdat we in het onderwijs zoveel (digitaal) leermateriaal hebben wat niet zomaar toegankelijk is voor iedereen met een handicap. Overigens zouden leveranciers ervan en uitgeverijen zich wel kunnen onderscheiden als ze meer aandacht geven aan toegankelijkheid.

Arnoud gaf een indruk van de schaal: de UvA heeft ongeveer 70.000 uur aan beeldmateriaal en zochten tooling voor ondertiteling. Dat ga je overigens niet allemaal in 1x toegankelijker maken. De meeste kiezen er voor om alleen nieuw materiaal te ondertitelen of alleen het materiaal voor de student die het echt nodig heeft.

Ze volgden de logische stappen van inkoop, zoals eisen stellen, markoriëntatie etc. Dat leidde tot zo’n 30 applicaties, waarvan ze er 6 gingen testen. De kwaliteit en performance liep enorm uiteen. De beoordeling ervan is best complex, aangezien spraak-naar-tekst snel leidt tot misverstanden.

Qua implementatie: het lijkt me echt een berg werk om hier structureel pro-actief mee om te gaan en het huidige materiaal reactief te upgraden. Voor mij een fijne workshop met een goede mix van actieve werkvorm en inhoudelijke bagage. Het riep ook veel op bij de aanwezigen op een goede manier.

Ze tippen hun site voor meer informatie https://www.media-and-education.nl/

 

Deborah Nas op #owd18: Disruptieve technologieën in het onderwijs

Ik ben vandaag op de Surf Onderwijsdagen in Den Bosch, 1931. Deborah Nas opent met de keynote.

De term “disruptief” werkt enorm polariserend. De ene persoon is gelijk enthousiast en de ander haakt af of nog sterker, is tegen. Want “het gaat toch om mensen”. Dat is niet voor het eerst in de geschiedenis. Of het nu de uitvinding van het schrift, de krant, telefonie of tv is, de reactie was:

  • Het is slecht voor je geheugen.
  • Het leidt tot Informatie-overload.
  • Sociale innovatie is onwenselijk voor sommigen.
  • Het is slecht voor je hersenen en gezondheid.
  • Het leidt tot inbreuk op je privacy.
  • Het is slecht voor taalvaardigheden.

De basis voor deze reactie kent Deborah toe aan:

  1. Angst is een sterke emotie.
    Angsten werken erg motiverend, negatief weliswaar maar gaan gepaard met sterke emoties.
  2. We redeneren vanuit ons eigen referentiekader.
    Bij al die nieuwe technologieën speelt leeftijd ook wel een rol, niet zozeer omdat je op oudere leeftijd niet innovatief meer kan zijn, maar omdat je referentiekader grotendeels bepaalt wordt in je jeugd. Dat is achteraf de ‘normaal’. Alles dat er na komt is anders of verkeerd. Begrijpelijk, maar je moet je er dus wel bewust van zijn.
  3. Als we het niet begrijpen onderschatten we het.

Deborah loopt daarna met ons de technologietrends door, die ze groepeert in “Digitalisering”, “Platforms”, “Artificial Intelligence” en “3D/AR/VR”. Telkens geïllustreerd met voorbeelden.

AI bijvoorbeeld is nu nog vooral chat-based en deze ‘Virtual Assistants’ zitten op het domein plannen en organiseren. Maar er zijn nog veel groeimogelijkheden op andere domeinen dus. Het groeit dan ook naar het inschatten van emoties en interpretatie van taalgebruik.

Één gevolg van alle trends is de zogenaamde “Industrie 4.0” en nieuwe manieren van innovatie en samenwerken. Deze zijn vooral sneller en leunen niet op oudere projectmethodieken.

Vragen uit het publiek:

  • Hoe ga je om met de machtspositie van grote platforms? En de ondergang van bestaande omgevingen (waar mensen tevreden over zijn) door relatief kleine spelers die ineens enorm opschalen?
    Deborah zegt “we moeten aan de bal blijven” maar vindt dat moeilijk te concretiseren.
  • Hoe kun je als docent de bomen in het bos onderscheiden?
    Deborah moedigt aan om dit niet bij elke docent neer te leggen. Wijs een paar mensen aan voor onderzoek en experiment. Lijkt mij dat visie en focus op organisatie-niveau nodig is om ook rust te geven tijdens veranderingen.
  • Zijn er voorbeelden van omgevingen die eerst disruptief waren maar nu normaal?
    Ja, alles wat nu gewoon werkt daarvan vergeet je dat het ooit speciaal was.

Ik vond Deborah haar indeling van trends praktisch en de voorbeelden treffend. De vertaling naar onderwijs bleef voor mij steken in ‘studenten leren leren met ict”. De kans om op de emotie in te gaan en hoe je als organisatie daar mee omgaat tijdens veranderingen bleef eigenlijk liggen tot de laatste slotvraag.

Als je Deborah vaker wilt horen spreken over onderwijs dan kun je haar hier boeken.

Blockchaintechnologie in het onderwijs – Verkenning door Kennisnet

Vandaag heeft Kennisnet de technologieverkenning “Blockchaintechnologie in het onderwijs” gepubliceerd. Kennisnet heeft hiervoor samengewerkt met Innovalor, die eerder ook al een technologieverkenning uitvoerden. Daarover heb ik hier al  geschreven.

Kennisnet vroeg mij in een eerdere fase om feedback op de concepttekst, wat leidde tot naamsvermelding in de publicatie van vandaag. Vandaar dat ik nieuwsgierig was naar het rendement daarvan.

De eerste vijf pagina’s beschrijven de werking van een Blockchain. Logisch, maar interessanter wordt het bij de checklist van algemene principes. Deze kunnen helpen bij de selectie van blockchaintechnologie voor je probleem. Ze zijn niet technisch geformuleerd dus op zich stimuleren ze om kritisch te zijn.

Ik loop ze wel even langs. De vetgedrukte kopjes komen uit de publicatie en ik behandel ze als stelling:

1. Zijn er meerdere deelnemende partijen?

  • Blockchain is alleen zinvol bij meerdere partijen
    De nadruk op zinvolheid voor alleen meerdere organisaties is helder uitgelegd. Zelf zeg ik altijd dat je je eigen systeem vertrouwt. Als je zelf als het ware de lezer bent van je eigen documenten, dan hoef je die ook niet te ondertekenen, om jezelf te geloven.
  • Op de blockchain gegevens opslaan zoals vakken of resultaten is een veelgehoord voorstel.
    Op Blockchain gegevens opslaan (los van het voorbeeld) hoor ik juist heel weinig. Meestal wordt bedoelt dat de handtekening van uitreiker en/of waarmerk van de informatie wordt opgeslagen. Scheiden van inhoud en waarmerk is natuurlijk een algemene cryptografische functionaliteit, maar bij Blockchain cruciaal vanwege privacy.
  • Blockchain is niet de oplossing voor het hele probleem aangezien je ook een gemeenschappelijke taal nodig hebt.
    Dat het niet de oplossing is van het hele probleem klopt natuurlijk. Maar dat is generiek lijkt me: gemeenschappelijke taal is toch altijd nodig? Zodra computers leesbaar voor elkaar moeten uitwisselen althans, dan zijn er standaarden nodig (die er overigens vaak wel zijn).
    Daar helpt Blockchain niet aan mee, maar een ander traditioneel systeem uit zichzelf ook niet. Vermelden als nadeel lijkt me dan ‘Perfect Solution Fallacy‘ (Een oplossing verwerpen omdat een deel van het probleem na implementatie nog steeds bestaat. Overigens een deel waarvoor het niet als oplossing ontworpen is).
    Zelf steek ik het dan in als ‘verwachtingen managen’: door andere randvoorwaarden wel degelijk te vermelden, maar dan te presenteren als separaat probleem wat je daarnaast nog op te lossen hebt. In dit geval los van BlockChain. Dat zou ook nuchter zijn vanwege alle hype.

2. Bestaat er wantrouwen tussen de partijen?

  • Als partijen elkaar vertrouwen dan kun je gegevensuitwisseling technisch eenvoudiger oplossen.
    Hier speelt voor mij een principiële kwestie. Sterk gezegd, maar het doet er voor mij niet toe dat de partijen in de keten elkaar rechtstreeks vertrouwen. In plaats van dat zij allemaal ‘achter de rug om’ van de persoon alles met alles koppelen, is het beter dat de informatie via de persoon zelf loopt. Zodat hij/zij regie kan voeren over aan wie het doorgegeven wordt. Wil je een persoon en zijn data zelf vertrouwen in het doorgegeven dan kan dat alleen als het door de bron ondertekend en verifieerbaar is.
  • Een Blockchain slaat alleen het eindresultaat op. Of een organisatie goed zijn werk doet weet je nog steeds niet.
    Blockchain doet inderdaad ook niets aan reputatieproblemen. Als ‘vertrouwen’ in gegevens zelf en de ‘reputatie’ van de uitgevende organisatie door elkaar worden gehaald is geen enkel systeem nuttig. Verder is het een ook probleem waar BlockChain niet voor ontworpen is, als oplossing.

3. Zijn er meerdere partijen voor verificatie?

  • Meerdere partijen moeten de geldigheid van een transactie kunnen verifiëren.
    Dat is een belangrijke voorwaarde om ‘double-spend’ te voorkomen. Bij cryptocurrencies erg belangrijk want hoe controleer je anders, zonder bank, dat iemand wel het geld had dat hij zegt uit te kunnen geven? Eigenlijk controleert iedereen elkaars boekhouding. Het is dan ‘waar’ omdat de meerderheid het zegt en overneemt en niet omdat een ‘centrale’ bank zegt dat het klopt. Super nuttig.
    In een onderwijs context zegt het 2x overdragen van hetzelfde diploma niet zoveel of een diploma 2x uitgeven. Het is niet alsof ik een portemonnee heb met meerdere diploma’s waarvan ik moet controleren of ze op zijn. Wel of ze waar zijn, maar dat is net iets anders.
  • De vermelding van ‘gewoon digitaal ondertekende documenten’ lijkt me terecht. Deze zijn echter wel afhankelijk van de langdurige beschikbaarheid van het certificaat van de uitgever. Die op z’n beurt weer afhankelijk zijn van het voortbestaan van de CA’s (Certificate Authorities). Waar we sinds de hack bij Diginotar kritischer op zijn.
    Je zou als school maar een digitaal ondertekend diploma hebben uitgereikt met een certificaat van Diginotar. Die nu niet meer geldig zijn…

4. Ontbreekt een vertrouwde derde partij?

  • We hebben toch DUO, SBB, SURFNet en Kennisnet?
    Dat klopt natuurlijk en ik heb ze ook hoog zitten, althans ik respecteer echt de automatiseringsuitdaging waar ze voor staan in een altijd veranderende maatschappij die steeds complexer wordt.
    Maar net als bij punt twee, het klopt dat we altijd partijen kunnen aanwijzen in wie we allemaal vertrouwen stellen. We vertrouwen er dan echter ook op dat het hebben van één grote opslag bij één grote partij die over alles beschikt goed gaat.
    Daarnaast geef ik er de voorkeur aan dat de data naar derden via de persoon zelf loopt en niet via de school.

5. Is de hoeveelheid data die verwerkt moet worden beperkt?

  • Video’s opslaan als geverifieerd resultaat in je digitale portfolio is dus geen geschikte toepassing.
    Nee natuurlijk niet, dat zou zijn alsof je bij een banktransactie tijdens het internetbankieren een filmpje als bijlage meestuurt. Maar ook hier het punt uit 1. Doorgaans hoor ik oplossingen niet vermelden dat de data zelf op de BlockChain gaat aangezien dit direct tot privacy problemen leidt.
    Maar dat is ook helemaal niet nodig. Het scheiden van waarmerk/ondertekening en de gegevens zelf helpt hierbij. De data blijft bij de eindgebruiker. Als deze getoond moet worden aan anderen heb je reguliere manieren van transport nodig.  De verificatie echter wordt ondersteund met Blockchain.

6. Mogen transacties met een lage snelheid worden verwerkt?

  • Blockchain is niet geschikt om grote hoeveelheden transacties te verwerken
    Mijn tegenvraag zou zijn: ontstaat deze traagheid door Proof-of-Work? Want voor de simpelste vorm ‘proof-of-existence’ verklaart de bron alleen dat er iets uitgereikt is en registreert een tijdstempel en waarmerk. De informatie zelf verwijst hiernaar maar bevindt zich elders.
    Dat Proof-of-Work nodig is voor cryptocurrencies begrijp ik wel en ik heb ook bezwaren tegen de energieverslinding die ervoor nodig is. Maar Blockchain één-op-één gelijk stellen aan Proof-Of-Work is niet terecht.

7. Mogen en moeten gegevens permanent worden opgeslagen?

  • Permanente en onveranderbare opslag is in strijd met de AVG.
    Terechte zorg, maar tegelijk het grootste argument om de gegevens zelf niet op de Blockchain te zetten. Daarnaast is ‘revocation’ cryprografisch één van de ingewikkeldste dingen om te realiseren, in welk systeem dan ook.
    Zelf had ik constructiever gevonden als hier verwezen werd naar het haalbaarheidsonderzoek van Studybits. Die wel degelijk kijkt naar privacy aspecten en het ‘recht van betrokkenen’.

Over de koppeling met fysieke objecten (punt 8) had ik geen opmerkingen.

Welke soort Blockchain is geschikt?

  • Publieke permissioned blockchains bestaan nog niet.
    Ik zou het moeten laten checken maar volgens mij valt Sovrin met Hyperledger Indy daar wel onder. Deze zetten overigens alleen de informatieschema’s op de Blockchain. De informatie zelf zit bij de personen zelf. Vandaar dat Studybits hier mee werkt.

Al met al was het rendement van mijn feedback erg laag. Mijn algemene suggestie zou zijn:

Zou het niet mogelijk zijn (of handiger) om te duiden wat in de kern wel van belang is?

Dat Blockchain, zeker rechtstreeks gebruik ervan, niet handig is, is één ding. Maar digitaal ondertekenen en de toename van cryptografische toepassingen die het voor een individu makkelijker te maken iets ‘door te geven zonder dat je terug naar de bron hoeft’, lijken me eigenlijk waardevoller.

 

Volgende stap in identity- en accessmanagement

Ik ben vandaag te gast bij ROC Twente in de Gieterij voor de 38ste saMBO-ICT Conferentie. In ronde 3 praten Rick Ruumpol (Red Spider Vereniging) en Hendri Boer (Aventus) ons bij over Red Spider.

Technisch is RedSpider een identiteiten-oplossing gebaseerd op NetIQ. De koppelvlakken naar kernsystemen zijn van de vereniging, waar 19 scholen in zitten. Mijn eigen instelling gebruikt het ook. Het zit tussen onze systemen voor HR, leerling-administratie en studenten-administratie aan de ene kant (voedend) en alle andere systemen aan de andere kant (afnemend). Al onze accounts ontstaan doordat deze machine unieke gebruikers aanmaakt op basis van de gegevens uit de voedende systemen.

De vereniging heeft onderzoek gedaan naar ‘context-gebaseerde-toegang’. Tot nu toe regelen we daadwerkelijke toegang in alle afnemende systemen zelf. De context zegt dan niet alleen WIE je bent, maar ook WAT je bent en WAAR je bent. Vaak hangt dat samen met een soort registratie van je device (self-service).

In hun visie willen ze van één account voor toegang tot alle diensten naar gepseudonimiseerde toegang tot diensten. Ben ik helemaal voor, meer anonimiteit.

Ze pleiten voor samen optrekken met Surf, Kennisnet en saMBO-ICT om tot een sectorvoorziening te komen voor access-management.