Thema-architectuur Werken met API's
Aanleiding[bewerken]
In 2017 zijn gemeenten, VNG en leveranciers onder de naam ‘Common Ground’ een nieuwe informatiekundige weg ingeslagen. Een belangrijk doel daarbij was om data niet meer op te slaan in 'silo-systemen' maar data voortaan op een gestandaardiseerde manier beschikbaar te stellen voor hergebruik. Ontsluiten van data uit registraties gebeurt via 'Application Programming Interfaces' (APIs): een soort software-interface voor andere stukjes software. Om te zorgen dat API's op dezelfde manier werken worden API-standaarden gebruikt.
Werken met API's biedt mogelijkheden om de informatievoorziening te verbeteren maar stelt ook nieuwe eisen aan de inrichting daarvan. Zaken zoals authenticatie, autorisatie en beveiliging moeten op een andere manier worden geregeld dan voorheen het geval was. Wanneer data die elders is vastgelegd via API's beschikbaar komt moet zijn gegarandeerd dit betrouwbaar en voldoende snel gebeurt.
Doel[bewerken]
De thema-architectuur 'Werken met API's' werkt vraagstukken uit die naar boven komen als (meer) wordt gewerkt met API's. Een eerste vraagstuk dat is opgepakt is hoe de informatievoorziening moet worden ingericht om te zorgen dat gebruik van API's verantwoord plaats vindt. Het gaat daarbij om vragen zoals 'Is duidelijk wie data wil gebruiken?', 'Is er voldoende doelbinding aanwezig om gebruik toe te staan?', 'is te verantwoorden waarom bepaalde data is gebruikt?'. Daarbij speelt 'identiteit- en toegangsbeheer' een belangrijke rol: pas als er sprake is van een betrouwbare identiteit én een toegangsbevoegdheid op basis van vastgelegde toegangsregels mag toegang tot een API worden verleend.
Architectuur[bewerken]
De GEMMA gebruikt service-oriëntatie als leidende architectuurstijl. In lijn daarmee wordt gestreefd naar een informatielandschap waar applicatiecomponenten via gestandaardiseerde API's van elkaars services gebruik maken. Een belangrijke stap daarbij is het bepalen van grenzen. Welke component moet bij gebruik van API's welke functionaliteit leveren? Kan die gestandaardiseerd worden geleverd? Wordt daarvoor wel of niet gebruik gemaakt van 1 centrale voorziening?
Het eerste aspect dat binnen deze thema-architectuur is uitgewerkt is hoe autorisatie plaats moet vinden binnen een landschap met API's. Vaak gebruikte mechanismen voor toegang en informatiebeveiliging zoals Role- en Attribute- based Access ('RBAC' en 'ABAC') zijn dan niet meer voldoende omdat ze te grofmazig van aard zijn en ongeschikt om te kunnen verantwoorden wie wanneer voor welk doel data heeft gebruikt. De benodigde fundamentele verbetering is te bereiken door autorisatie meer op basis van verschillende soorten bedrijfsregels in te gaan richten ('Policy Based Access'). Naast een aantal technische veranderingen betekent het ook dat 'autoriseren' iets wordt van de hele organisatie.
De ontkoppeling die werken met API's met zich meebrengt vereist een informatiearchitectuur die niet meer is gebaseerd op statische, netwerkgebaseerde grenzen (bijvoorbeeld op basis van locatie binnen of buiten het interne netwerk). Voordat toegang tot services of data wordt verleend moet op basis van het need-to-know principe altijd verificatie plaatsvinden. Dit type architectuur wordt aangeduid met de term 'Zero Trust architectuur'. Werken met Policy Based Access past goed bij de uitgangspunten van een Zero Trust architectuur.
Product
Meer informatie
Zero trust architectuur:
- What about zero trust? (NCSC)
- Factsheet Bereid u voor op zero trust
- NIST 800-207 Zero Trust Architecture
NORA: