Belastingdienst kan beveiliging gevoelige persoonsgegevens niet garanderen

De Belastingdienst kan niet garanderen dat gevoelige gegevens van burgers binnen zijn systemen blijven. Het zou technisch onhaalbaar zijn om te loggen wie de gegevens benadert en om de toegang te beperken.

De beveiliging van de systemen van de Belastingdienst is niet op orde en de dienst geeft aan niet te kunnen voldoen aan enkele eisen van de Autoriteit Persoonsgegevens. Die bepaalde afgelopen zomer dat de Belastingdienst moet bijhouden wie gevoelige gegevens benadert, nadat het tv-programma Zembla begin vorig jaar al onthuld had dat een afdeling van de dienst geen logs op dit punt bijhield en een autorisatiesysteem gebreken vertoonde.

Trouw citeert nu uit een brief van Belastingdienst-directeur-generaal Jaap Uijlenbroek aan de Autoriteit Persoonsgegevens dat het technisch niet mogelijk is om de gewenste logs bij te houden en met autorisatie de toegang tot de data te beperken. Privacy- en beveiligingsdeskundige Bart Jacobs spreekt tegen het dagblad zijn verbazing uit. "Als ergens goede beveiliging aanwezig moet zijn, is het hier. Ik kan me niet indenken dat dat technisch onmogelijk zou zijn."

Ook bij de Autoriteit Persoonsgegevens roept de brief vragen op, hoewel de privacywaakhond de reactie nog bestudeert. In de afgelopen zomer bleek ook dat de Belastingdienst nog niet aan de sinds mei van kracht zijnde AVG kan voldoen. Dat zal pas volgend jaar zo zijn, al voldoet de afdeling datafundamenten & analytics al wel aan de AVG, volgens Uijlenbroek.

Reacties (279)

[RAM1979]

Het probleem is dat er in de loop van de geschiedenis zoveel systemen/programma's zijn ontstaan binnen de belastingdienst dat er geen eenheid meer is. Er zijn zo'n 600 verschillende ict-systemen waarmee gewerkt wordt.

Er is al diverse keren gekeken naar een mogelijkheid om een geheel nieuw systeem op te zetten ter vervanging van al die losse systemen maar dit bleek technisch niet haalbaar. Dit komt onder meer omdat er gewoon doorgewerkt moet worden (de inning mag nooit onderbroken worden) en het onmogelijk bleek om oude data allemaal te kunnen importeren in dit nieuwe systeem. Vervolgens is nog gekeken naar een soort van schil over alle systemen heen zodat de data allemaal niet geïmporteerd hoeft te worden maar wat daar de status van is weet ik niet.

Hier nog een leuk artikel om te lezen:
https://www.volkskrant.nl...ng-gevaar-loopt~b57bf64d/

[Reactie gewijzigd door RAM1979 op 23 juli 2024 08:36]

[dasiro]

Er zijn zo'n 600 verschillende ict-systemen waarmee gewerkt wordt.
...
de inning mag nooit onderbroken worden

ideaal om per systeem of cluster van systemen te migreren. Desnoods verdubbel je het aantal mensen dat op een bepaald deel werkt en laat je ze een tijd op beide systemen alles ingeven.
100% uptime is een illusie en er is maar 1 situatie waarvoor er begrip moet opgeleverd worden: levenscritische ziekenhuissystemen. Al de rest kan gerust met een paar dagen vetraging lopen

[kr4t0s]

100% is in heel veel gevallen onzin en vooral slecht design. Aan alle systemen moet gewerkt kunnen worden, uitbreidingen, software updates. Alleen al voor de security moet je gewoon up-to-date blijven met de software. Dit geldt voor alle componenten in het netwerk. En ook voor fabrikant support, als je een versie draait die end of life is kun je support vergeten. Dan krijg je standaard antwoord ga eerst maar upgraden.

Kom dat zo vaak tegen bij klanten dat een manager roept dat het een kritische service is die 100% uptime nodig heeft. En vraag je het aan de gebruikers en krijg je bijvoorbeeld te horen "ja het is belangrijk maar we gebruiken het alleen op donderdagmiddag".

Als echt 100% uptime nodig hebt moet je meerdere systemen naast elkaar zetten zodat 1 voor 1 in onderhoud kan.

[Antipater]

100% uptime kan wel worden gerealiseerd door meerdere, onafhankelijke subsystemen te bouwen, zoals je eigenlijk aan het einde ook al suggereert.

Op deze manier worden vliegtuigen bijvoorbeeld gemaakt. Het uitgangspunt is: alles moet kapot kunnen gaan zonder dat het systeem stopt te functioneren. Dit is ook het uitgangspunt van chaos engineering zoals netflix dat gebruikt: kill een random software proces *in productie* en kijk of het systeem dan nog door functioneert.

Maar dat is natuurlijk onwijs duur. De echte boodschap is dan ook niet dat het technisch onhaalbaar is, maar dat het teveel geld kost voor het budget dat er is met de expertise die de belastingdienst nu in huis heeft.

Overigens hoeft de belastingdienst natuurlijk niet aan zulke strenge criteria te voldoen als een vliegtuig.

[jongetje]

100% uptime is zo goed als onmogelijk.
Zelfs bij dubbel uitvoeren op 2 locaties kan in theorie op allebei de locaties een probleem optreden. Stel dat op 1 van de 2 locaties een probleem optreedt heb je altijd een moment nodig om (al dan niet automatisch) over te schakelen waarmee je die 0,01 procent downtime hebt.

Leuk altijd een praktijk voorbeeld: Zo hadden wij onze loadbalancers en firewall dubbel uitgevoerd. Met allebei een internet en ook een backup internetlijn (dus 2 loadbalancers/firewalls met in totaal 4 internet lijnen). Denk je, dat is super redundant. De enige storing die we hebben gehad in 4 jaar tijd was een configuratiefout waardoor ze allebei actief werden. Dan loopt dus al het verkeer vast want de routering is een puinhoop met 2 actieve nodes die hetzelfde willen doen.

Stel je altijd de vraag in welke situatie het nu echt nodig is om redundant te zijn. Ben bij genoeg bedrijven geweest die een warm standby datacenter hadden om naar over te schakelen. Dat zou binnen een aantal uur moeten kunnen. Maar elke test duurde 3 dagen en dan was het nog niet goed over.

Wat betreft je vliegtuigvoorbeeld, in de praktijk leuk dat het dubbel is. Maar als iemand tijdens onderhoud een sticker over een gat plakt waarmee de luchtdruk wordt gemeten (echt gebeurd) dan krijgt die boord computer verkeerde info en denkt dat het vliegtuig op de grond staat terwijl je in de lucht bent. En zo nog veel voorbeelden. Dan zou je alles dubbel of 3 dubbel moeten uitvoeren en dat gaat in de praktijk niet. Je houd altijd ergens een single point of failure.

En de belastingdienst kan best een week down zijn. Maakt allemaal niet zoveel uit, als je het maar op het juiste moment doet wanneer de druk laag is en daarna zorgt voor extra capaciteit in mensen/middelen om deze dip op te vangen.

[Reactie gewijzigd door jongetje op 23 juli 2024 08:36]

[The Zep Man]

Stel dat op 1 van de 2 locaties een probleem optreedt heb je altijd een moment nodig om (al dan niet automatisch) over te schakelen waarmee je die 0,01 procent downtime hebt.

Dat hoeft niet als je gebruik maakt van load balancing. De load balancer moet herkennen dat een site niet bereikbaar is en het verkeer doorverwijzen naar de andere site. En ook load balancers zijn redundant uit te rusten (bijvoorbeeld via DNS).

En de belastingdienst kan best een week down zijn.

De Belastingdienst is niet één entiteit. Het bestaat uit veel verschillende onderdelen waarvan sommige wel bereikbaar moeten zijn, al is het alleen al omdat een week downtime zou inhouden dat werk niet meer ingehaald kan worden. Maar dat is ook het probleem: downtime is voor veel zaken mogelijk als er in het proces rekening mee is gehouden.

Wel ben ik het ermee eens dat niet alles van de Belastingdienst altijd bereikbaar hoeft te zijn. Als de juiste onderdelen gefaseerd gemigreerd worden dan moet het mogelijk zijn. Is dat duur? Ja. Duurt dat lang? Ja. Daarom liever gisteren beginnen dan morgen.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 08:36]

[jongetje]

Hoe wil je redundantie doen dmv van DNS? Als je daar 2 ip-adressen inzet dan gaat alsnog een deel van je verkeer (in theorie de helft) naar de kapotte load balancer.

[Scriptkid]

Dat noem je GEO load balancen,

Soort van advanced DNS die kijkt welke loadbalancer berijkbaar is en het minste traffic heeft en stuurt het traffic dan naar die Local load balancer. de DNS TTL is heel laag waardoor het snel reageert.

[jongetje]

Dat kan. Alleen is GEO DNS (denk dat je dat bedoelt) om verkeer naar het dichts bijzijnde datacenter te sturen zodat je optimale performance hebt. Dat doet zover ik weet o.a. wikipedia. Daarnaast zou ik voor een lage uptime geen DNS oplossing kiezen maar een van de dingen hierboven. Je wil niet weten op hoeveel plekken dit (langer dan je wilt) gecached wordt, ook al is je TTL laag.

[Scriptkid]

ligt er aan wat je balanced en daarom doe je ook altijd een global balancer naar een cluster van locals sturen.

Je doet dit niet alleen om het dichts bij zijnde datacenter te vinden maar ook voor de unified namespace. Geo wordt toegepast op Global scale maar ook op locale scale zodat je load kunt verdelen over meerdere datacenters.

[kozue]

Jep. DNS heeft niets met redundatie te maken. Een redundante loadbalancer bereik je met IP failover (bv keepalived), zodat het verkeer gewoon naar een standby server gaat wanneer de primaire dood is.

[vali]

Gebruik maken van VIP-adressen. Verder zag ik dat kozue het goed uitlegt hoe je het technisch verder kan realiseren. De meeste F5 devices (en vele andere) kunnen dit goed realiseren.

[Reactie gewijzigd door vali op 23 juli 2024 08:36]

[Sterk1]

De systemen van de Douane en Toeslagen horen ook bij de Belastingdienst.

Moet je eens kijken wat er gebeurt als er geen mensen en goederen het land in en uit mogen.
Schiphol of de haven van Rotterdam een dagje dichtgooien zou wel lekker veel rust geven :-)

Hoe zou men het vinden als de zorgtoeslag een maandje later komen?

[nils83]

In de commerciele luchtvaart worden belangrijke systemen al lang 3 dubbel uitgevoerd.

En je voorbeeld van de static port is ook beetje vreemd, er zijn verschillende static ports, en piloten worden uitvoerig getraind op het slecht functioneren van een static port en het herkennen van de root cause aan de hand van de systemen die wel werken.
Een geblokkeerde static port is in een moderne jet voor een goede piloot geen enkel probleem.

[ACM]

Het specifieke voorbeeld blijft natuurlijk relevant in zoverre dat dat soort dingen ervoor heeft gezorgd dat ze nog meer redundantie in zijn gaan bouwen. Er is vast wel weer een nieuw probleem te verzinnen wat een kleine kans van gebeuren heeft, maar toch voor 'downtime' van een vliegtuig kan zorgen. Al is het maar een of andere idioot die een surface-to-air missile afschiet

[Anoniem: 718943]

In de context van IT syatemen vallen dat soort zaken onder calamiteiten. En dan gaat doorgaans heel de SLA overboord. Dus die tel je niet mee, want daar dek je je ook niet tegen in, daar richt je je ook niet op met je uptime percentages.

[DragonChaser]

Ben het eens met het andere kamp, 100% is gewoon mogelijk. Het internet is er ook altijd, tenzij de aarde uitelkaar barst.

Kwestie van goed nadenken en voorbereiden, het is moeilijk ik weet het, maar betekent niet dat we moeten opgeven en dat het onmogelijk is.

[ACM]

Het internet is natuurlijk niet 1 systeem. Als je naar situaties voor indivuen kijkt, dan ligt 'het internet' er wel degelijk af en toe uit. In Nederland is het behoorlijk goed geregeld en is een storing bij je provider al niet eens echt ongebruikelijk...

Daarnaast raken ook diverse van de zeer grote systemen (voor veel mensen 'het internet') er wel eens uitgeweest, bijvoorbeeld een internetdienst als Slack lag er twee maanden geleden nog uit.

Als je criterium is "kan minimaal 1 van alle gebruikers minimaal 1 van alle dienst bereiken?" dan zal het internet inderdaad effectief 100% uptime hebben. Als je criterium is "kunnen alle gebruikers, alle diensten (die niet door eigen problemen down zijn) bereiken?" dan zou het zomaar eens 0% kunnen zijn...

Kortom, het is een appel met een hele fruitmand vergelijken En daarnaast dus een kwestie van statistiek.

[Reactie gewijzigd door ACM op 23 juli 2024 08:36]

[Anoniem: 718943]

Je kunt je systeem hetzelfde opzetten als het internet dmv. Redundante microservices. Het systeem is dan 100% van de tijd up. Individuele functionaliteit kan down zijn, maar de rest blijft up.
Die percentages zijn financiele indekkingen he, geen technische beloftes. Het systeem is up? We voldoen aan onze SLA.

[Antipater]

> Je houd altijd ergens een single point of failure.

Het is moeilijk en kostbaar, maar er zijn wel degelijk technieken om dit te voorkomen zoals in de luchtvaart wordt gepraktiseert. En ja, daar wordt inderdaad *alles* driedubbel uitgevoerd en dat *is* haalbaar. Dat er fouten gemaakt worden (waarvan weer geleerd wordt) is geen reden te zeggen dat het onmogelijk is of de praktijk niet goed is.

De norm in de luchtvaart is: het vliegtuig functioneert 100% van de tijd. Een crash met honderden doden als gevolg is gewoon niet acceptabel. En als er ook maar iets misgaat wordt een zeer gedegen onderzoek gedaan naar de root cause.

Ik kan wel zeggen dat dat in mijn werk anders is. Downtime van een webapplicatie is prima acceptabel. En op zich kan ik me daar wel in vinden. Alleen zouden we wat kunnen leren van domeinen waar wel men in staat is een complex systeem zonder crashes in de lucht te houden.

[kr4t0s]

Klopt, en 99,9% van het bedrijfsleven en overheid ook niet. Veel gebruikers/klanten verwachten 100% uptime. Wat compleet onzin is, het moet gewoon acceptabel zijn dat een bepaald software pakket of service gemiddeld 'een aantal uur' per maand niet beschikbaar is voor onderhoud. Als je hier een onderhoudskalender van maakt kan iedereen hier rekening mee houden. Dan heb ik het over interne bedrijfsservices. Externe services is iets moeilijker maar ook hier kun je dat gewoon doen. Bijvoorbeeld Intertoys kun je elke nacht geen order plaatsen tussen 3.00 en 5.00. Bol.com zag ik laatst ook offline voor onderhoud, was wel 4 uur snachts ofzo.
Mijn punt is eigenlijk dat 100% uptime verwachten/eisen onzin is. Dat men veel geld kan besparen door gepland onderhoud, waardoor men up-to-date en complaint blijft. En dat het allemaal veel minder krampachtig kan en de doorloop versneld. Dat niet voor elke seconde downtime hier onderhouds windows voor moeten worden besproken, dat het bestuur en iedereen hier zijn zegje over over moet doen voordat het kan.

Ik loop nu bij een klant waar ze nooit onderhouds windows krijgen omdat het bestuur dat simpel weg afschiet elke keer. Gevolg is dat ALLE (op aantal firewalls na) netwerkcomponenten (firewalls/loadbalancers etc) end of life zijn. En al jaren geen software updates meer krijgen, geen RMA, geen fabrikant support. En dit is geen kleine club met omzet van paar honderd miljoen per jaar.

Die van Netflix ken ik, wij verkopen hetzelfde platform dat Netflix gebruikt.

[Reactie gewijzigd door kr4t0s op 23 juli 2024 08:36]

[Antipater]

Ingepland downtime voor onderhoud vind ik wel even iets anders dan een random crash. Ik zie daar ook het probleem niet van in.

[SuperDre]

100% uptime kan nooit en te nimmer gegarandeerd worden, ook niet bij onafhankelijke subsystemen. Er is altijd wel wat te bedenken (en geen oplossing voor is) waardoor het systeem zal falen.. En geld is natuurlijk ook altijd een grote factor..

En nee de Belastingdienst hoeft niet aan zulke strenge criteria te voldoen, maar we zien al vaak genoeg hoeveel moeite Logius heeft om bv hun servers probleemloos te laten draaien..

[Antipater]

Ok, misschien is 100% garantie overdreven, strict genomen. Er kan immers altijd wel iets gebeuren wat je niet voorziet.

Maar er zijn wel degelijk manieren om systemen vele malen betrouwbaar te maken dan gewoon is in software ontwikkeling. En ik geef toe dat ik zelf ook niet op die manier ontwikkel. Maar ik vind dat ook jammer, ik denk dat het beter kan en kijk dan graag naar gebieden waar engineers wel hebben geleerd zeer betrouwbare systemen te maken.

[SuperDre]

Maarja, probleem is dat dat soort systemen heel erg duur zijn en ook alleen maar echt zinvol zijn in zeer kritieke situaties. We zouden het liefst allemaal zulke robuste systemen bouwen, maarja, tijd en geld (en overigens vaak ook kennis) staat het niet toe.
Ook wordt het natuurlijk lastiger als er al systemen gebouwd zijn en later worden andere afdelingen met hun eigen systemen toegevoegd, en dat is wat er bv bij de Belastingdienst gebeurd is. Voorheen waren het allemaal eilandjes met hun eigen afdelingen en behoeftes, dat is in de loop van de jaren (decennia) langzaamaan veranderd.
Heb zelf ook zowat dagelijks te maken met de Belastingdienst en pensioen instanties, en moet eerlijk zeggen dat mijn tenen dan ook vaak behoorlijk kromtrekken. Probleem is namelijk ook vaak dat beslissingen genomen worden door mensen die totaal geen technische kennis hebben, maarja de andere kant op dan ook weer, mensen die wel perfecte technische kennis hebben, maar weer geen kennis van de materie hebben. Bij mij is het bv zo dat door de jaren heen ik wel kennis van de materie heb vergaard, maar vaak genoeg te weinig om daar dan ook weer mijn technische kennis voor toe te kunnen passen (en soms schiet mijn technische kennis ook weer te kort, want ik mag dan wel een developer zijn, maar ik weet ook zeker niet alles, niet elk gebied heb ik voldoende kennis voor en dat WIL ik ook niet eens).
Het zou mij ook best leuk lijken om eens een tijdje bezig te zijn om te kijken wat er gedaan kan worden aan het hele systeem van de Belastingdienst, erg interessant om eens te verdiepen in die 600+ systemen. Maarja, zoiets kost veel tijd en wet en regelgeving blijft gewoon doorgaan.

[dasiro]

ik heb ooit van een IT-manager de anekdote gekregen van een arts die hem koudweg zei: als dit systeem ook maar een seconde down gaat, kan er een mens sterven.
Natuurlijk wil dat niet zeggen dat het systeem niet vervangen kan worden, al is het soms een kwestie van vervangen op het moment dat het systeem voor de bewuste patiënt niet meer nodig is (bvb genezing of overleiden)

[Arnoud Engelfriet]

Die heb ik ook gehoord, bij een best wel groot ziekenhuis. De keurige reactie van de IT-manager is: mijn taak is de servers in de lucht te houden, jij gaat over het niet dood laten gaan. Er kunnen zo veel dingen misgaan bij een medische ingreep dat het onzin is om specifiek de IT aan te wrijven dat ze 100% beschikbaar moeten zijn.

[Sir.roYa]

Dat is het gevaar van automatisering. Het stijgt mensen naar de bol.
Levensbehoefte nummer één wordt straks levens essentieel..

[YopY]

100% uptime is onhaalbaar; 99.999% wel, maar dan moet je bijv. rekening houden met dat een land van de kaart geveegd wordt, dwz, dan moet je hele datacenter redundant in het buitenland draaien. Met moderne cloud aanbieders en een vernieuwde architectuur kom je wel in de buurt.

Uitbreidingen en software updates e.d. kun je doorvoeren zonder dat je klant er last van heeft (met wegwerp-VMs en dergelijke).

In de praktijk gooien ze waarschijnlijk een paar dozijn systemen plat elke nacht voor bijv. backups of onderhoud.

[Anoniem: 718943]

Calamiteiten neem je niet op in je uptime belofte, immers houdt een schadeclaim op dat punt ook geen stand.

[Tao]

Gezien de miljarden die er met heffingen in het geding zijn, kun je denk ik beter uitgaan van 3 aparte systemen: 1 opleidingsomgeving, 1 test- en ontwikkelomgeving en 1 produktie-omgeving. (Niet noodzakelijkerwijs met exact dezelfde omvang.)

Dan heb je ook de mogelijkheid om in de periode van b.v. 10 - 15 jaar over te stappen van 600 deelproduktjes naar zo'n 20 - 30 deelsystemen.
1 algeheel systeem lijkt me ondoenlijk / onwerkbaar.

En waarom 20 - 30? Omdat we te veel 'megalomane' politici hebben die op elk juridisch beleid wel weer allerlei in-de-praktijk-onwerkbare uitzonderingen verzinnen... (/sarcasm mode off).

[elmariachi]

Test- en ontwikkelomgeving hou je apart

[SuperDre]

Juist, opsplitsen in losse onderdelen die wel weer met elkaar verbonden zijn, zodat bv de echte persoonsgegevens ook maar op 1 systeem staan en niet verdeelt over 20-30 systemen. In feite moet er gewoon 1 punt zijn waar alles beheert wordt en zelfs geen losse systemen op individuele locaties.
Maar dat kost tijd en probleem bij overheid is natuurlijk dat wet en regelgeving in de loop van de tijd veranderd, en dat betekent dus ook dat een systeem dat in ontwikkeling is ineens toch weer moet veranderen.

Maar naast tijd kost het ook gewoonweg een hoop geld.
Als individuele developer denk je misschien wel, pfff, dat moet allemaal toch niet zo'n probleem zijn, maar als het zoveel losse systemen zijn dan zul je wel merken dat het niet zo simpel is als waar een doorsnee developer in zijn huidige positie aan werkt. 'We' denken het allemaal wel even op te kunnen lossen..

[COW_Koetje]

Het probleem is niet techniek maar meer juridisch.
Er zijn in Nederland maar paar bedrijven die deze klus aan zouden kunnen qua grote. Deze bedrijven zijn de notoire bedrijven die waarschijnlijk nu al de helft van de externe mensen levert.

Geen van deze bedrijven gaat de jurische verplichting aan die bij deze klus komt. In ieder geval niet zonder een asociaal hoog bedrag ertegenover te zetten.
Er zijn zoveel variabelen die niet kunnen worden afgedekt dat het niet realistisch is om de uren voor de consultants te gaan inschatten.
Dit brengt voor beide partijen zulke risico's mee dat niemand dat kan en zal aanvaarden.

[wallywally]

Vaak is het ook te duur, zo'n nieuwbouw en migratie, en dat nieuwbouw is weer afhankelijk van allerlei andere systemen waardoor men door de bomen het bos niet meer ziet en het opgeven. Ik heb vaker bij grote bedrijven gewerkt, en zo is het bijna elke keer.

[Vlizzjeffrey]

Precies, maar het mag natuurlijk weer niets kosten dus kan dat zogenaamd weer niet.

[Rob Coops]

Er is natuurlijk wel een oplossing te bedenken voor deze problemen...
Om te beginnen is een pak alles aan oplossing onzin met 600 systemen moet je dit op een andere manier aanpakken. Een schil om oude rommel heen maakt de oude rommel niet beter alleen minder zichtbaar.

De oplossing die ik zou voorstellen is om bij een afdeling te beginnen en daar de systemen te vervangen door 1 systeem. Vervolgens een volgende afdeling en ook daar de systemen vervangen en zo langzaam maar zeker door het geheel begeven. Het nieuwe systeem dient geheel modulair te zijn van opzet zo dat ieder onderdeel simpel weg vervangen kan worden zonder dat andere delen van het systeem hier last van hebben.
Natuurlijk zijn er systemen die door meerdere afdelingen gebruikt worden deze zullen dan als geheel vervangen moeten worden door een nieuw systeem zodat de oude rommel de deur uit kan.

Het veel grotere probleem is alle ambtenaren die vinden dat hun systeem zo speciaal is dat het niet zo maar vervangen kan worden. De oplossing daar voor is simpel, zet een team op dat buiten de politieke onzin van de belastingdienst bestaat. Op die manier kun je simpel weg het plan volgen en hoef je niet steeds maar weer door alle ambtelijke hoepeltjes te springen om iedereen maar blij te maken zonder dat er ook maar iets echt gebeurt.

[YopY]

Leuke idealistische gedachte maar je vervangt niet "zomaar" 600 systemen met 1 systeem to rule them all, zo werkt dat gewoon niet. Bedenk eerst maar eens hoeveel complexiteit er in die systemen zit, en dan nakijken welke er nog echt nodig zijn en welke weg kunnen.

[Luuk1983]

Het probleem is daarnaast ook dat er elk jaar nieuwe regels en wetten geïmplementeerd moeten worden waardoor de systemen constant aan veranderingen onderhevig zijn.

[jongetje]

Dat is precies het probleem! Waarom zou je een systeem moeten aanpassen? Een dergelijk systeem zou in mijn ogen juist een stuk aanpasbare workflow moeten hebben waarin je functioneel! de schalen en bijbehorende salarissen registreert. Daarbij voer je in bij elk inkomen je welke toeslag krijgt etc. etc. Niet meer hardcoded in 600 systemen, baseren op regels. Heb genoeg voorbeelden gezien waarin ontwikkelaars helemaal los gingen en iets simpels super complex hadden gemaakt (want u vraagt, wij programmeren, zonder dat er iemand eerst even rustig gaat zitten en kijken waarom en hoe dingen nu echt zitten).

[latka]

Herkenbaar maar niet oplosbaar met workflow en rule-engines: het is het verhuizen van problemen naar een andere systeem. Heb dit eerder zo mogen zien gebeuren. In essentie is het simpel dus een we maken er een workflow van een een rule-database erbij. Team aan de slag, lekker analyseren en later bouwen. Systeem moet aan en dan blijkt er een regel bijgekomen te zijn. Okee, in de rule engine ermee. Ook nog een status erbij dus ff. de workflow aanpassen. Na een iteratie of 10 waren we weer waar we vandaan kwamen. Team krijgt de vraag de workflow aan te passen. Niemand die het durft, want wat moeten we doen met de dossiers in status X die we nu anders gaan maken? Met de hand uitpluizen? Nee, dat is teveel werk. Maak maar een X' status aan en noem X deprecated. 2 jaar later: wat doet die status X toch in de workflow? Laat maar staan, want die is vast heel belangrijk.

[jpsch]

Belastingdienst is uitvoerend, stelselwijzigingen, reparatiewetgeving gaan er gewoon komen vanuit de politiek en die zijn niet allemaal in te regelen met een variabelen. Grondslagen veranderen, definities veranderen. Als je een systeem als flattax wil, zul je dat via de stembus moeten regelen.

[Blokker_1999]

Je doet het dan ook niet in 1 keer, maar stapje per stapje. Je bekijkt een applicatie of een kleine groep die veel samenwerkt en je bekijkt hoe je die kan omzetten naar 1 nieuw, centraal systeem. Als je daarmee klaar bent neem je de volgende groep.

Dat is een project dat honderden miljoenen zal kosten en meer dan 10 jaar zal duren. Daar twijfel ik niet aan. Maar dat is de enige manier.

En ja, daar komt veel complexiteit bij kijken, maar er zijn voldoende ondernemingen die het voorgedaan hebben. Bij 1 van mijn vorige werkgevers zijn zowat alle systemen overgezet naar SAP. Of het nu planning van onderhoud is, beheer van gebouw, customer relations of HR gerelateerd. Alles zit daar nu in 1 systeem.

[The Zep Man]

Bij 1 van mijn vorige werkgevers zijn zowat alle systemen overgezet naar SAP. Of het nu planning van onderhoud is, beheer van gebouw, customer relations of HR gerelateerd. Alles zit daar nu in 1 systeem.

Ik weet niet wat erger is, een Belastingdienst met 600 losse systemen of een Belastingdienst op SAP.

[supersnathan94]

Liever 600 systemen dan.

SAP moet je absoluut niet aan willen beginnen voor dit soort complexe logica. Naast dat er dan helemaal geen touw meer aan te knopen valt, is het ook nog mega ongebruiksvriendelijk.

Op de een of anderemanier kan SAP van iets simpels als uren invullen een taak van een half uur maken.

[Upquark]

Je weet dat beide het geval is? Geen grapje.

[M2M]

En dan niet de aanname maken dat het 600 losse, standalone, alleenstaande systemen zijn.

Vloeit deze 600 systemen ellende niet ook gewoon voort uit de hoeveelheid en ondoorzichtigheid van de belastingregels en de miljoenmiljard uitzonderingen?

[laptopleon]

Niks idealistisch aan. Dit is in de praktijk de enige manier om het te doen. Belastingdienst is echt niet de eerste die hier tegenaan loopt.

Mooie bijvangst is dat van die 600 systemen er waarschijnlijk heel wat gecombineerd kunnen worden. Heel wat fouten worden simpelweg niet meer gemaakt. Eén keer het adres invoeren of op 10 plaatsen het adres invoeren. En bijhouden. Ook heel wat 'complexiteit' kan daardoor eenvoudiger.

[dwarfangel]

Dit is dus precies wat er 600 keer gebeurd is. Maar kennelijk kwam niemand eruit.

Mooi hoe stellig sommige meningen hier gepresenteerd wordt, maar legacy-code is geen pretje.
En als het zo makkelijk was geweest, dan was dat ook al lang gelukt.

Het probleem zit hem juist in de complexiteit en toepassing.

Wat ik zou doen, is eerst in kaart brengen wat de systemen precies doen, en vervolgens ga je de overlap zoeken. Vervolgens ga je bundelen, en ga je per 'fragment' kijken hoe je die groep kan samen brengen.
Uiteindelijk hoeft ook niet altijd alle data voor iedereen zichtbaar te zijn. Dat geeft ook grote veiligheidseisen met zich mee.

Dus je wilt uiteindelijke voor bijvoorbeeld een afdeling die gespecialiseerd is, zorgen dat zij met een pakket werken, dat is toegespitst op hun sector. De one-size fits all benadering, is in dit geval gewoon niet haalbaar, omdat je honderd opties krijgt, die je niet gebruikt.

Uiteindelijk wil je misschien met max. 50 verschillende systemen werken, die in meest ideale vorm ook worden onderhouden door 50 verschillende bedrijven (we hebben het over overheid, dus er mag in mijn ogen niet 1 bedrijf zijn die dienst uitmaakt om monopolie te voorkomen ) - maar waarbij een overkoepelende IT-afdeling zorgt voor afspraken en een framework met verschillende API's, zodat enkele van deze systemen wel met elkaar kunnen communiceren - en dat ook logbaar is, via de API.

Maar deze aanpak, kost vermoedelijk weer een paar miljard. Zeker als je 50 bedrijven aan het werk wil zetten, met developers die 150+ euro per uur willen verdienen.

[Reactie gewijzigd door dwarfangel op 23 juli 2024 08:36]

[karma4]

Dan moet je wel draagvlak van boven af hebben en niet door de collega bestuurders er uit gewerkt worden.
Er is al één overkoepelende ICT afdeling, die heeft zijn eigen agenda samen met enkele grote dienstverleners voor de verwerkingen op servers. Zelf inhuur van personeel is uitbesteed en afgeschermd

[freedzed6]

Het veel grotere probleem is alle ambtenaren die vinden dat hun systeem zo speciaal is dat het niet zo maar vervangen kan worden. De oplossing daar voor is simpel, zet een team op dat buiten de politieke onzin van de belastingdienst bestaat. Op die manier kun je simpel weg het plan volgen en hoef je niet steeds maar weer door alle ambtelijke hoepeltjes te springen om iedereen maar blij te maken zonder dat er ook maar iets echt gebeurt.

Als je iets wil regelen kan je eerst 2 jaar overleggen en designs maken. Daarna wordt ie ..... afgekeurd ....haha en dan mag jij doen en laten wat je wil, je komt er nauwelijks doorheen. Misschien over een aantal jaar als Hans van 59 weg gaat en de weg vrij is om zijn systeem te vervangen want tja zijn systeem is natuurlijk de beste. Eventueel zou een hele hoge technische positie iets kunnen uitmaken maar helaas bestaat die groep niet.

[SuperDre]

En jouw oplossing is dus IMHO ook weer een waardeloze oplossing als je per afdeling het systeem zou gaan ontwikkelen en vervangen om daarna naar de volgende te gaan.. En logisch natuurlijk dat je zo'n systeem modulair maakt.
En oude rommel de deur uit kan, leuk en aardig, maar je moet dus wel rekening houden dat de data uit die 'oude rommel' mogelijk nog gewoon nodig is in het nieuwe systeem, en even die oude data importeren maakt het niet altijd even makkelijk (zoals ik hierboven begreep was dat ook 1 van de lastige punten bij een eerdere aanpak van dit probleem).
Zelf zou ik dus eerder beginnen met inventariseren wat er allemaal voor systemen zijn, wat de data(structuur) is van de huidige systemen, en indien mogelijk kijken wat voor problemen ze tegen aan gelopen zijn bij aanpassingen in de wet en regelgeving. Dit is alleen al een klus die heel veel tijd kost.
En dan dus de hele datastructuur gaan analyseren wat nu gelijk is (vooral met betrekking tot persoonsgegevens en met veranderingen daarvan), dat zou ook mijn eerste deel van het systeem zijn dat er 1 centraal punt komt waar de persoonsgegevens staan en niet elk systeem gedeeltes van deze informatie ook weer heeft.

En zo zie je maar weer, iedereen denkt wel het even te weten hoe je dit probleem gaat aanpakken..
Grootste probleem blijft gewoon dat het jaren kost om de huidige systemen om te bouwen naar een nieuw systeem (dat zoals jij aangeeft modulair werkt) en dat de wet en regelgeving niet stil blijft staan en dus ook het huidige systeem mee moet aanpassen, en jij die aanpassingen dan ook rekening mee moet houden in je nieuwe systeem..

[Anoniem: 928225]

Als de regeringen nou eens stoppen met belasting verlagingen, verhogingen, dan kan de belastingdienst dit wat makkelijker bijhouden. Nu is het regering x verzint weer boodschappen belasting verhoging, andere wil btw verlaging, etc. En elke 4 jaar herhaalt dit circus zich weer. Alle subsidie regelingen veranderen ook elke 2 jaar. En dat moet worden ingevoerd op al die honderden systemen. ( plus OTA omgevingen)

Een normaal bedrijf krijgt het al moeilijk voor elkaar om de hele infrastructuur te upgraden qua OS. En dat OS verhaal komt maar eens in de 7 a 8 jaar voor) (Bijv vervang windows 7 voor Windows 10 bijvoorbeeld en voor de servers server 2008 naar 2016).

Nou komt er dus ook nog eens een stuk privacy om de hoek zeilen. Die gasten zijn gewoon zwaar onderbemand en de kennis die er was is weggegaan toen Wiebes ineens besloot iedereen een vette bonus te geven als ze nu het bedrijf zouden verlaten.

Soort van medelijden heb ik wel voor ze bij de belastingdienst.

[Reactie gewijzigd door Anoniem: 928225 op 23 juli 2024 08:36]

[SuperDre]

Kijk en jij geeft nu dus zelf al aan waarom dit voor de Belastingdienst niet even simpel op te lossen is. Maar een hoop tweakers lijken zich hier totaal niet van bewust te zijn.

[winkbrace]

Ik vind het nogal een merkwaardige aanname dat 1 groot systeem beter zou zijn dan 600 losse. Het lijkt me algemeen bekend dat een systeem dat alles moet kunnen, uiteindelijk niets goed doet. Is dit niet een van de belangrijkste oorzaken van het mislukken van grote it projecten?

Ook is leeftijd niet de beste graadmeter voor kwaliteit van software. Al heeft oudere code wel als probleem dat er minder ontwikkelaars zijn die weten hoe het werkt.

Ik vermoed dat het probleem van de belastingdienst is, dat er teveel medewerkers met de data werken in systemen die zijn ingericht om die data te beheren. Hoe ga privacy waarborgen als er duizenden call center medewerkers constant in je data aan het werk zijn?

[Scriptkid]

Big data , machine learning ,

alles loggen dan kun je dat gewoon na gaan.

Denk jij dat de belasting dienst groter is dan alle data in Azure terwijl MS daarvan wel de logs heeft en je in azure precies kunt zien wie wat waar gedaan of geweest is.

[karma4]

Het is nu net dat het in de oude cultuur van de belastingdienst die technieken ongewenst zijn.
Liever met papier en wat downloads naar een eigen laptop (de loa).
Dat zijn nu net de benaderingen waarmee je niets kunt loggen.

Het is niet voor niets dat juist de vernieuwing A&D afgestopt moest worden.
Dan houd je de eigen koninkrijkjes de eigen eilandjes en kan je met het eigen speelgoed blijven spelen.

Een SOC center zou zich met big data technieken bezig moeten houden. Liever blijven ze op de query events benaderingen hangen. Eenvoudige en geodkoper

[Scriptkid]

klinkt als iemand boven in moet even schoon ship vegen.

Zelf je eigen eilandjes creeren en maintainen is echt not done in de huidige ICT. Zeker niet als overheid

[karma4]

Klopt en dan wordt er ook nog een game of thrones in praktijk gebracht. Nee dat hard nodige schoon vegen is nog titanen kluif.

[dasiro]

die aanname wordt hier niet gedaan, maar je moet alle toegang tot de verschillende systemen wel loggen en die logs moeten gecentraliseerd raadpleegbaar gemaakt worden om aan de wet te voldoen, net zoals de overheid dat zelf van bedrijven verwacht.

[ameesters]

1. Wat is je definitie van een "1 groot systeem" ? Wij hebben talloze microservices draaien die samenwerken als "1 groot systeem" maar de services onderling zijn vervangbaar.

2. Leeftijd lijkt mij wel de beste graadmeter, oude code kan best leesbaar en efficiënt zijn, en het heeft de voordeel dat de bugs er al grotendeels uitgewerkt zijn. Maar als leeftijd niet de beste graadmeter is wat dan wel?

3. audit trails zijn niet echt bijzonder meer te noemen, opt-in systemen ook niet.

[JorzoR]

600 systemen, haha. Des te meer reden om het hele belastingstelsel te versimpelen. Het is allemaal zo onnodig complex geworden aan de "normale mens" kant, en zelfs aan degene die er verantwoordelijk voor zijn. Wat een afgang de belastingdienst

[SuperDre]

Weinig afgang hoor, wet en regelgeving is gewoon complex en dat is niet zo maar simpel te maken. Enige oplossing om het simpel te maken is een 'goede' dictator die alles bepaalt.
Vind het eerder een probleem dat een hoop tweakers daar zo simpel over denken, van een tweaker zou ik toch wel meer intelligentie en begrip verwachten als het aan komt op complexiteit etc. Dus een uitspraak als 'Wat een afgang de Belastingdienst' vind ik meer wat zeggen over jou dan over de Belastingdienst.

[JorzoR]

Weinig afgang hoor, wet en regelgeving is gewoon complex en dat is niet zo maar simpel te maken.

Ik snap dat het complex is e.d. Juist deze berichtgeving van de problemen bij de belastingdienst kan er voor zorgen dat er wat in sneltreinvaart wordt gezet. Alleen daar zijn wat politici met ballen en verantwoordelijkheid voor nodig, en die zijn wat schaars momenteel.

[SuperDre]

Daar is ook geld voor nodig, en de mensen om het GOED uit te voeren, en aan dat laatste schort het ook toch nog behoorlijk (naast dat het ook dus gewoonweg niet simpel is door de complexiteit van al die systemen samen).

[DropjesLover]

Een programma bouwen dat een paar subsystemen al bundelt en dat verder uitbouwen is geen optie?

[SuperDre]

Zo simpel is het niet, want er zijn dan nog steeds een hoop oude systemen die dan alsnog moeten worden aangepast om te kunnen werken met die nieuwe subsystemen.. Maar natuurlijk is dat wel waar je gaat beginnen, en toch zul je eerst alle systemen in kaart moeten brengen.

[Finraziel]

Alles is technisch mogelijk... Het zal financieel wel niet haalbaar geweest zijn.

[bbob]

Financieel bepaald Den Haag uiteindelijk.

Probleem is natuurlijk als je als overheid niet aan eisen voldoet hoe kun je dan verwachten dat bedrijven dat wel doen. Vooruit dan krijgt de belastingdienst een boete en wie krijgt die boete, de overheid.

[bbob]

Als je met termen als homo gaat beginnen maak je jezelf totaal belachelijk, daarnaast voegt het niet toe maar laat alleen jou frustratie zien.

[ataryan]

misschien moeten we een keer met z'n alleen een keer heel erg boos worden om verandering te brengen.
de ICT farce gaat nu al zo lang door onder andere in Apeldoorn. Meneer Miedema stond er in 2014 bijna helemaal alleen voor tijdens de parlementaire enquete ICT.

https://www.youtube.com/watch?v=luUCt6wWRaI

[bbob]

Boos worden ?

Anders stemmen ?
Maar wacht waar kun je eigenlijk op stemmen.
Vertrouwen op politici die of geen verstand van zaken hebben of wat verteld krijgen door adviseurs die er naast zitten. Dan weer ict bedrijven die het aannemen en niet voor elkaar krijgen en maar uren schrijven want de overheid betaald.

Als je dan toch gaat kijken. Dit soort systemen zal er in België, Duitsland en andere landen ook zijn.
Deel de kosten en doe zaken in EU verband.

[ataryan]

ik weet niet of dat de oplossing is, maar ik weet wel dat de publieke opinie mensen op pluche zenuwachtig maakt. soms zijn het net echte mensen. soms. niks persoonlijks natuurlijk want het is ondertussen bewezen dat dit een cultuur is die niet bij 1 persoon neer te leggen is, zowel de schuldvraag als de oplossing. escaleren naar brussel lijkt me niet opportuun op dit moment. het goede voorbeeld geven wel. daar was nederland toch zo goed in ? of is dat beeld een beetje aan het verschuiven.... 't kan verkeren immers.

[bbob]

Politici hier zenuwachtig worden. Ik zie het niet vaak en niet snel gebeuren. Daarnaast als er dan al eentje omvalt duiken ze daarna allemaal weer ergens op. Burgemeester of een dik betaald advies baantje bij de overheid.

Waar politicus zijn vroeger een roeping was is dat voor de massa tegenwoordig gewoon een beroep en middel om hogerop te komen.

[ataryan]

ik heb 't ook anders gezien, het kan echt wel. heeft echter een crisis nodig. vandaar mijn eerste opmerking
aan de andere kant staat wel dat een goed geoliede overheids ICT machine een natte droom van menig technocraat is. daar ergens tussenin landen dus.

[Core2016]

Daar heeft u gelijk in, beetje in een opwelling. Excuus

[SuperDre]

Rutte heeft geen veto hoor, de 2e kamer en 1e kamer kunnen elk ding dat hij door wilt drukken gewoon blokkeren..

[Anoniem: 167912]

Er is al diverse keren gekeken naar een mogelijkheid om een geheel nieuw systeem op te zetten ter vervanging van al die losse systemen maar dit bleek technisch niet haalbaar. Dit komt onder meer omdat er gewoon doorgewerkt moet worden (de inning mag nooit onderbroken worden)

dat moet toch geen probleem zijn? Als ze beslissen over te stappen op 1 januari 2194 (overheid...) kan dat toch perfect zo geregeld worden?

het onmogelijk bleek om oude data allemaal te kunnen importeren in dit nieuwe systeem.

importeren is toch altijd mogelijk? Het zal gecompliceerd zijn en veel kosten, maar onmogelijk is het nooit.

[SuperDre]

Nee, importeren is niet altijd mogelijk, want iets dat er in het oude systeem niet zit en in het nieuwe systeem wel nodig is, kun je niet zomaar even met loze data vullen. Ongeacht of het gecompliceerd is en veel kost.
En 1 ding wat zeker is, er is geen onuitputtelijke geldbron..

[SgtElPotato]

Tja dat kan best zijn, en geloof ik goed, maar dat mag geen reden zijn dat de belastingdienst straks een uitzondering mag zijn op de nieuwe regels, dan slaat de gehele wet nergens op.
Dat ze altijd laks zijn omgegaan met gegevens keert zich nu als een malle tegen hun, wat mij betreft goed want misschien gaan ze er nu wel goed over nadenken.

[Anoniem: 304028]

Ik vraag me meer af of ze niet gewoon bewust regels overtreden en een excuus nodig hebben.

[jpsch]

Er hangt 1,9 mld in de lucht nu dividendbelasting heroverwogen wordt. Kan ermee te maken hebben.

[SuperDre]

Alsof dat ook maar enigzins hier van toepassing is..

[SuperDre]

Het is niet zozeer laks omgaan met gegevens, het is dat 'wij' als maatschappij in de loop van de tijd andere eisen hebben gesteld aan deze gegevens.
En bij het bouwen van elke nieuwe aanpassing wordt er al wel degelijk rekening gehouden met de huidige wetgeving. Maar er zijn dus nog zoveel systemen die je niet eventjes ombouwt of vernieuwt.

[FJB]

Al deze punten gelden ook voor banken, en waarschijnlijk nog wel meer bedrijven. Ik snap de complexiteit, maar hier is voldoende voorbereidingstijd geweest om dit in orde te maken. Mijns inziens is dit met name ontstaan door teveel taken bij te weinig mensen neer te leggen (lekker goedkoop, en ‘minder ambtenaren is beter’)
Zeker een dienst waar je als burger niet om heen kan moet dit soort zaken op orde hebben

[bytemaster460]

Overheidsdiensten hebben veel meer last van constant veranderende functionaliteit als gevolg van veranderende wetten, richtlijnen, uitvoeringspraktijken, bevoegdheden etc. Daarnaast moet men dan ook weer koppelen met andere overheidsinstanties die ook weer afhankelijk zijn van andere wijzigingen met andere termijnen. het is niet te vergelijken met de meeste andere bedrijven.
De oplossing zit hem niet in meer geld naar de IT laten gaan maar in het versimpelen van ons belastingsysteem.

[Cerulean]

Ik ben het met je eens hoor maar de privacywetgeving zelf is ook een stuk veranderende functionaliteit. Als je nou begint met de privacyregels te versimpelen dan zou een groot deel van deze discussie niet nodig geweest zijn. Hoe wil je bijvoorbeeld én mensen thuis laten werken én er voor zorgen dat ze de gegevens van het werk die ze thuis gebruiken niet naar buiten kunnen komen. Een camera ophangen achter hun thuiswerkplek?

[SPee]

Of niet alles vast laten zetten in (computer) regels, maar de ambtenaren zelf verantwoordelijkheid en mogelijkheden geven. En rapportages gebruiken voor controle.

[bytemaster460]

Met de complexiteit van ons belastingsysteem krijg je dan willekeur. De belastingtelefoon blijkt al verschillende antwoorden te geven op dezelfde vraag. Dat is niet te controleren via rapportages omdat de context van belang is.

[goarilla]

Het probleem is dat er in de loop van de geschiedenis zoveel systemen/programma's zijn ontstaan binnen de belastingdienst dat er geen eenheid meer is. Er zijn zo'n 600 verschillende ict-systemen waarmee gewerkt wordt.

Dat is in andere bedrijven niet veel anders hoor. Iedereen sleurt meuk mee van het begin der tijden. Dat is ook wat me zo stoort aan die recente tech wetgevingen (GPDR/AVG en het idee om links te taxeren). Ze zijn heel moeilijk technisch realiseerbaar voor de meeste bedrijven. Ook zit de kritische kennis over de systemen vaak in de hoofden van enkele anciens - die op pensioen beginnen te gaan.

[Cilph]

Schijt. De overheid heeft zich ook aan de wet te houden.

[bytemaster460]

Klopt maar de wet moet ook realistisch zijn. Ik zie bijvoorbeeld in het ziekenhuis dat het voldoen aan de AVG ten koste gaat van de zorg voor de patiënt en dat het de opleiding van nieuwe artsen en specialisten gewoon in de weg staat. De vraag is of we dat moeten willen terwijl in de meeste ziekenhuizen de privacy van de patiënt ook zonder AVG al heel goed geregeld was.

[SgtElPotato]

Hoe was de privacy daar goed geregeld als ze echt nog op oude systemen werken en daar persoonsgegevens opslaan?

[bytemaster460]

Wat ik bedoel is dat los van de wet de privacy van de patiënt goed geregeld was. Natuurlijk waren er risico’s maar het grootste deel van de medewerkers ging correct om met gevoelige gegevens. Dat blijkt ook wel uit de historie. Voor de AVG was het niet zo dat er massaal gegevens op straat lagen of misbruikt werden. Nu zie je dat het stellen van diagnoses gewoon bemoeilijkt wordt door de AVG. Artsen zijn kostbare tijd kwijt te handelen in lijn met de AVG waardoor er minder tijd verblijft om met de klachten van de patiënt zelf bezig te zijn.

[Klarinetmeester]

Uptime heeft niets met bescherming van gegevens te maken. Een systeem met 0% uptime is superveilig (en onbruikbaar, maar het is maar een voorbeeld ).

Ik ken de systemen van de belastingdienst niet, maar er is wel een groot designprobleem: Het BSN-nummer, dat bedacht is door en voor de belastingdienst (vroeger SOFI-nummer) wordt nu voor veel meer doeleinden gebruikt. Daar hebben de ontwerpers vast geen rekening mee gehouden.
Een nummer dat bedoeld was voor communicatie tussen klant en belastingdienst wordt opeens een geheim gegeven.

[Audione0]

Apart dat dit zo voor de belastingdienst werkt?

Ik werk voor een organisatie die ook van tig verschillende ict/software systemen naar 1 systeem is gegaan en dat ging uitstekend, op kleine dingen na.
Ik heb het dan over een organisatie waar meer dan 30000 mensen werken over heel de wereld.
Ok, dit een groot commercieel bedrijf waar denk ik meer geld beschikbaar is.. Is de vraag dan dat het technisch niet mogelijk is, of komt het door het financiele plaatje? Kortom het is te duur?

Ik denk als het als mens kunt verzinnen dat technisch alles mogelijk is..

[LANterfantje]

Overheidsinstanties zoals deze lopen nog vaak achter op het gebied van databeveiliging, terwijl ze eigenlijk voor horen te lopen.
Om dan te horen van de directeur van de belastingdienst dat het technisch onmogelijk is om hierin te verbeteren is een makkelijk uit de duim gezogen smoesje.
Maar ik snap wel dat je als belastingdienst weinig inzet op het verbeteren van jouw systemen, want wie is nu jouw concurrent en kunnen ze je zo met een boete straffen?
het is vaak gewoon belachelijk voor woorden dat ze wel graag willen dat de inwoner met de tijd meegaat (automatische e-mails, overheidsinboxen en webformulieren), maar dat ze er zelf weinig aan doen om die informatie veilig te bewaren.

edit: ik krijg kriebels van grammatica fouten bij mezelf

[Reactie gewijzigd door LANterfantje op 23 juli 2024 08:36]

[Niemand_Anders]

Je moet niet de organisatie straffen, maar de top van dergelijke instanties, bijvoorbeeld door inhouding salaris indien de zaak niet op orde is.

Want het is niet alleen de belastingdienst, het is ook een puinhoop bij het UWV..
Moet jij eens zien wat er allemaal mogelijk is zodra men salaris inhoud van een directeur en het achtergehouden salaris pas wordt uitgekeerd zodra de problemen zijn opgelost..

[XFlame]

Wanneer je salaris gaat inhouden loop je het risico dat niemand die functie meer wilt bekleden. Dan ben je nog verder van huis.

[Khrome]

Ik denk dat het dan zou moeten werken op basis van best effort, niet van absolute resultaten. Iemand die nú de functie overneemt zal wel enige tijd nodig hebben om orde op zaken te kunnen stellen, en als hij realistische milestones zet en zich goed laat adviseren (beide zijn voor de huidige knaap niet het geval lijkt me) is er geen probleem.

[divvid]

dat is nog maar de vraag, kwestie van worst voor houden. Werkt het niet --> geen salaris, werkt het wel --> bonus. Maar ja, in NL zijn bonussen vies. Liever 50 miljoen uitgeven aan niet werkende software dan een bonus geven van een paar ton aan iemand die het wél binnen of zelfs onder budget kan regelen.

[Philip Ross]

Er is voldoende bewezen dat bonussen niet werken.

[divvid]

een bonus zonder malus werkt inderdaad niet, er moet óók een negatief aspect aan zitten. De huidige bonus cultuur is een dikke bonus als het goed gaat en een minder dikke bonus als het fout gaat (of zelfs een oprot bonus waar mensen bewust naar toe werken).

Kijk naar een ondernemer. Een goed inkomen is als een soort bonus, gaat het fout is hij z'n geld of zelfs bedrijf kwijt. Voor veel, zo niet de meeste ondernemers is dat een reden om keihard te werken.

[Philip Ross]

Het probleem met bonussen is dat die de focus op korte termijn doelen leggen (want hoe meet je anders of iets gehaald is) en de lange termijn dus ondergeschikt raakt.

[bkor]

Nooit met mensen gewerkt die een bonus krijgen? Ze gaan enorm voor de bonus maar vaak ten nadele van het bedrijf. Iets implementeren voor een bepaalde datum wordt prima gedaan. Er wordt gewoon niet gekeken naar fouten of enorme fouten zijn opeens niet kritisch meer. Indien het om geld gaat is iedereen creatief genoeg om de bonus wel te halen, zonder echt aan de oorspronkelijke bedoeling te voldoen.

[divvid]

ik werk dagelijks met mensen die een bonus beloning krijgen, daarbij zijn er een aantal doelen, waaronder lange termijn doelen. Sommige bonussen zijn afhankelijk van externe audits (kritisch kijken door derden dus), voldoen aan initieele doelstellingen (waar ze zelf weinig invloed op hebben) en zelfs resultaten in de toekomst. (m.a.w. korte termijn denken gaat je geld kosten). Oplever data zijn bijna nooit onderdeel van de criteria, juist vanwege de verkeerde impuls die daar vanuit gaat. De malus is er ook, heel bot, maar wel effectief.

Ik zeg niet dat een bonus heilig is, zeker niet. Ik herken ook jouw probleem punten. Juist daarvoor moet je als opdracht gever (in dit geval jij en ik, het volk) heel duidelijk zijn in je opdracht.

Maar goed, ik denk dat we het met z'n allen eens zijn dat de huidige situatie onhoudbaar is en veel te gecompliceerd is geworden...mede door de draai cultuur in DH

[bbob]

Klinkt leuk salaris inhouden. Wettelijk niet mogelijk. Ontslaan dan maar, wacht op de volgende die het niet aankan.

[GekkePrutser]

Inhouden nee. Een gedeelte van het salaris afhankelijk maken van prestaties is in veel sectoren (bijv sales) heel gewoon.

[bbob]

Tja maar bij de overheid werken ze helaas niet zo. Salarisschaal en oh als je veel verdiend, te veel mag dat weer niet. Ontsla een ambtenaar maar eens, heel moeilijk. Nee zit je bij de overheid zit je goed, zeker in vergelijking met bedrijfsleven. Dus dat veranderen dan staan ambtenaren op hu n achterste poten.

[Corodix]

Helemaal mee eens, maar dan wel hoog genoeg beginnen, dus bij het salaris van de verantwoordelijke minister zelf.

[bytemaster460]

Het probleem zit hem niet in het niet functioneren van de medewerkers maar in in de grenzen wat je met wat je qua IT-voorziening nog allemaal kan ondersteunen op het gebied van administratie. De constant veranderende regels die ook nog eens onderling een grote samenhang hebben en afhankelijk zijn van gegevens die andere overheidsinstanties moeten aanleveren terwijl die andere overheidsinstanties ook weer last hebben van constant veranderende regels. Daarnaast moeten al die regels voor bepaalde tijdvakken blijven werken. Voordat je een module hebt ontworpen, gebouwd, getest en geaccepteerd moet het alweer veranderd worden.
Je bouwt eigenlijk aan een ijskasteel in de Sahara. Hoe goed je bouwers ook zijn, je product wordt steeds weer "afgebroken" door externe factoren. Er ontstaat nooit een nagenoeg stabiele situatie.

[freedzed6]

+2? vreemd. Jij kan dus garanderen dat een systeem 100% uptime heeft? Dat is precies wat de BD bedoelt en dan gaat zo'n krant weer roepen dat dat niet kan?! Ja DUH, hoezo verdraaien van de werkelijkheid. Er zit gewoon eeen enorme prutser bij de krant die denkt iets te kunnen aanhalen.

en het erge is; de hele groep hier tuint er mooi in. Trump is een mooi voorbeeld hoe je dan hoort te reageren:

FAKE NEWS!

[SuperDre]

Probleem van overheid is meer dat ze niet 1 simpel systeem hebben, maar ivm wet en regelgeving zoveel verschillende systemen hebben en die ook regelmatig weer aanpassingen nodig hebben, dan is het gewoonweg niet zo simpel om even zware aanpassingen te maken als auditloggin en autorisatie voor welke gegevens ingezien mogen worden. bij 1 systeem is dat nog wel te overzien, maar bij 600+ losse systemen is dat niet te doen, zeker niet op korte termijn (waar dit over gaat).
Je moet toch wel heel naief zijn, zeker als tweaker, als jij denkt dat het wel technisch haalbaar is om dat op korte termijn op te lossen, zeker zonder een hoop extra geld en een hoop extra resources (die beiden gewoonweg niet beschikbaar zijn). En probleem is natuurlijk ook, bij het bouwen van dit soort systemen komt ook kennis bij kijken, en dus mensen met kennis van veranderingen in wet en regelgeving EN developer zijnde is vaak al ver te zoeken.
Het is dus helemaal niet 'uit de duim gezogen smoesjes', het is gewoon realistisch.. Helaas wel negatief, maar wel realistisch.

[GeoBeo]

De echte oplossing (die er niet zal komen zolang er geen directe democratie bestaat): een gigantische versimpeling van het belastingstelsel en volledig vanaf 0 geschreven software waarbij het legacy systeem een tijd naast het nieuwe systeem blijft bestaan (voor controles e.d.) en daarna de prullenbak in gaat.

Bij het nieuwe infrastructuur en software ontwerp uiteraard de requirement dat het systeem de komende 50 jaar moet kunnen draaien (zowel hardware, software, etc dus o.a. geen closed source) en eenduidigheid en eenvoudigheid de hoogste randvoorwaarden zijn.

Moet te doen zijn, maar alleen als er versimpeld wordt. En dat gaat nooit gebeuren in het huidige politieke stelsel, want dat zou het einde betekenen voor heel heel veel ambtenaren, van de hele belasting-advies industrie en de hele accounting ('the big four') industrie die feitelijk een integraal onderdeel is van onze nationale en EU politiek (ook wel "lobby" genoemd).

[Reactie gewijzigd door GeoBeo op 23 juli 2024 08:36]

[RJG-223]

Voor elk probleem bestaat er een oplossing die simpel is, snel is, efficiënt en tevens fout.

Dat geldt voor het belastingsysteem, maar dat geldt evenzeer voor de staatsvorm !

Belastingen zijn niet simpel. Ze zijn ook niet simpel te maken. Want de maatschappij is complex. En die blijft complex. En menselijk gedrag blijft ook complex. Of denk jij alleen in termen van standaard inkomstenbelasting over een standaard uurloon van een standaard loonslaaf, keurig vooraf ingehouden door het standaard bedrijf waar hij werkt ? Ter informatie: er zijn heel veel meer soorten belastingen !

Misschien dat je even wat langer nadenkt over de praktijk, en je wat inleest in de materie...

waarbij het legacy systeem een tijd naast het nieuwe systeem blijft bestaan

Hoe bedoel je: het legacy belastingsysteem blijft een tijd naast het nieuwe systeem bestaan ???

Welke belastingen moet ik dan betalen ? Het oude bedrag of het nieuwe bedrag ?

want dat zou het einde betekenen voor heel heel veel ambtenaren

Waat jij voorstelt betekent juist vele jaren lang extra werk voor heel veel ambtenaren. En voor programmeurs, projektleiders, etc. etc. En daarna voor boekhouders, accountants, belastingadviseurs, juristen, en ook nog voor advocaten en rechters. Wat wel hetzelfde blijft, is dat al die mensen ontevreden zullen zijn, maar dus niet omdat ze ontslagen worden.

het scheelt waarschijnlijk alleen werk voor de politici die het introduceren: in de chaos die na de introductie onstaat verliezen zij met overweldigende meerderheid de eerstvolgende verkiezeingen, waarna de nieuwe regering ijlings het oude stelsel weer in ere herstelt, en allen kleinere aanpassingen belooft.

[GeoBeo]

Hoe bedoel je: het legacy belastingsysteem blijft een tijd naast het nieuwe systeem bestaan ???

Welke belastingen moet ik dan betalen ? Het oude bedrag of het nieuwe bedrag ?

Nee. De overgang is natuurlijk 1 enkel moment waarna het oude systeem niet meer van toepassing is op alles dat na dat moment gebeurd.

Maar het oude systeem moet er naast blijven draaien om alle legacy regels nog te kunnen blijven handhaven/controleren (er is immers 7 jaar lang na de laatste aangifte controle mogelijk). Daarna kan het de prullenbak in.

En ja, natuurlijk is er een tijd van nog veel meer werk dan dat er nu al is, maar voor de lange termijn is een versimpeling natuurlijk veel beter. Niet alleen veel beter; het is de enige mogelijkheid, want het huidige systeem gaat vroeger of later volledig vast lopen (voor zover dat nu niet al gebeurd).

[GeoBeo]

Belastingen zijn niet simpel. Ze zijn ook niet simpel te maken. Want de maatschappij is complex. En die blijft complex.

Alle concepten die je daar noemt zijn kunstmatige concepten die wij zelf gemaakt hebben. Ze zijn dus precies even complex als wij ze willen hebben.

Als wat jij stelt waar zou zijn, dan zou elk land ter wereld een onvermijdelijk ontzettend complex belastingstelsel hebben en dat is gewoon niet zo. Het is een keuze. Het is een (on)bewuste keuze van politieke machthebbers.

Zomaar een voorbeeld: in landen als VS, Canada en CH wordt inkomstenbelasting geheven op nationaal niveau, op staatsniveau en soms zelfs op stadsniveau. Dat is een prima voorbeeld van volledig onnodig complex. In Nederland gaat het heffen van inkomstenbelasting op nationaal niveau; dus simpeler.

Dat het niet eenvoudiger zou kunnen is dus onzin. Je kunt altijd bepaalde soorten belastingen afschaffen en die op een andere post (die al bestaat) compenseren. Mijn argument is dus dat het stelsel enorm onnodig complex is, terwijl jij stelt dat de huidige complexiteit onvermijdbaar is en amper beter kan. Onzin IMO.

Of denk jij alleen in termen van standaard inkomstenbelasting over een standaard uurloon van een standaard loonslaaf, keurig vooraf ingehouden door het standaard bedrijf waar hij werkt ? Ter informatie: er zijn heel veel meer soorten belastingen !

Misschien dat je even wat langer nadenkt over de praktijk, en je wat inleest in de materie...

Ik weet dat er heel veel soorten belastingen zijn. Mijn punt is dus dat heel veel van die soorten er onnodig zijn. Je lijkt net te doen of de complexiteit van ons belastingstelsel een natuurkundig gegeven is. Dat is het niet; het is gewoon een ontwerp dat verzonnen is door mensen een aangepast kan worden door mensen.

Zomaar wat voorbeelden van belastingen die simpelweg helemaal afgeschaft kunnen worden en geboekt zouden kunnen worden op een andere belasting die al bestaat (haal de inkomsten uit BTW, inkomstenbelasting, winst belasting of divident belasting bijvoorbeeld):

Vermogensbelasting (vermogensrendementsheffing), overdrachtsbelasting voor particulieren, de meeste retributies (aanvragen nieuw paspoort e.d.), alle gemeentebelastingen (kan gewoon via nationale belastingen), accijns op brandstof (kan gewoon van de motor rijtuigen belasting af, dit gaat ook gebeuren als elektrisch rijden populair wordt), BPM (kan gewoon via motor rijtuigen belasting), assurantiebelasting, toeristen belasting, CO2 belasting.

Of nog beter: zorg dat de staat zuiniger en efficiënter wordt (door bijvoorbeeld geen miljarden uit te geven aan omkoping van staatshoofden in 3e wereld landen onder de noemer "ontwikkelingshulp"). Dan kun je belastingen afschaffen zonder ervoor te compenseren.

En ja dit is allemaal iets te kort door de bocht, maar het Nederlandse stelsel is 1 van de meest ingewikkelde ter wereld en je maakt mij niet wijs dat dit allemaal VEEL eenvoudiger kan. Het doel van belasting is immers doodsimpel: zorgen dat de staat inkomsten heeft om infrastructuur en welvaart te onderhouden. Dat kun je zo complex of eenvoudig maken als je zelf wilt als staat.

[Cilph]

Dan zijn ze daar 10 jaar mee bezig, en 20 maal over budget, en is er nog niks. Maar het moet wel gebeuren!

[Reactie gewijzigd door Cilph op 23 juli 2024 08:36]

[pyrofielo]

Het is technisch wel haalbaar maar praktisch niet.

Komt gewoon door de standaard benadering van oplossingen en problemen en op die manier tot 493578390 verschillende systemen te komen.

Die dan ook nog aan elkaar gaan koppelen en daar ga je. Daarbij komt dan ook nog dat veel in de top werkelijk 0 technische kennis heeft en deze puinhoop te verbeteren. Als er dan een AVG komt en je hebt werkelijk 100-en verschillende systemen, tjah...

Sowieso, zal er naar alle waarschijnlijkheid ook veel met excel gedaan worden en dan kom je alweer met exports en imports en wie weet word er zelfs nog geprint ook.

[WillySis]

Zo'n uitspraak als "we kunnen niet aan de wet voldoen" is natuurlijk onzin. Daarmee mag de belastingdienst niet wegkomen. Wet is wet, ook voor de belastingdienst!
Technisch is het haalbaar, praktisch moet het ook kunnen. Het zal alleen veel moeite (tijd en geld) kosten om al die systemen aan te passen.

We hebben het waarschijnlijk over minder dan 600 systemen. Lang niet alle systemen hebben toegang tot de privacy gevoelige data van personen. Het grootste deel van de systemen voor zakelijke belastingen kan (voorlopig) buiten beschouwing worden gelaten.
Een aantal systemen zijn zo specifiek dat men daar de toegang gewoon kan beperken tot wie het daadwerkelijk nodig heeft. Met één wachtwoord gelijk toegang krijgen tot meerdere systemen is van de zotte. Een schil eromheen kan dat al opvangen. Dan voldoet de belastingdienst nog steeds niet aan de wet, maar er is wel een grote stap gemaakt. Daarna kunnen de systemen één voor één worden verbeterd.

[bytemaster460]

De wetgever zou zich wel achter de oren moeten krabben als het voldoen aan de wet ineens een IT-budget van bijv. 180% nodig heeft. En niet alleen de belastingdienst heeft extra geld daarvoor nodig. Ook UWV, ziekenhuizen en nog heel veel andere overheidsorganisaties. Je kunt niet gewoon zeggen: dit is de wet en regel het verder maar zelf.

[WillySis]

Wet is wet. De wet is lang van te voren aangekondigd dus moet iedereen daar aan kunnen voldoen. Ziekenhuizen voldoen inmiddels grotendeels aan de wet. Voor de overheidsdiensten een uitzondering maken lijkt mij geen goede zaak. Dat straalt weinig betrouwbaarheid uit.
Als het geld kost om aan de wet te voldoen, dan is dat maar zo. Dat is dan gewoon het gevolg van de wet. Bij het UVW scheelt het ook weer een aantal uitkeringen aan werkeloze oudere IT-ers. Verder zal de overheid bij moeten springen.

[bytemaster460]

Natuurlijk is de wet de wet, maar dat moet wel realistisch zijn. Ziekenhuizen voldoen op papier aan de wet. In werkelijkheid valt dat nogal tegen omdat de medewerkers meestal kiezen voor het welzijn van de patiënt boven het exact naleven van de AVG.

[WillySis]

Natuurlijk kunnen er situaties zijn waarbij de AVG even opzij gezet moet worden. De gezondheid van een patiënt moet in het ziekenhuis voorgaan. Het welzijn lijkt mij ook vaak belangrijker dan de AVG, maar de AVG hoeft het welzijn niet altijd in de weg te staan.
Een hele overheidsdienst van de AVG uitsluiten omdat die vindt dat de wet niet realistisch uitvoerbaar is, dat gaat mij te ver. Belasting en privacy lijkt mij een heel natuurlijke combinatie. Eigenlijk had de privacy daar (naar mijn mening) al zo goed geregeld moeten zijn dat de regels van de AVG al lang van tevoren nageleefd moesten worden. De privacy is gewoon geofferd ten gunste van het gemak.

[bytemaster460]

Ik zeg ook niet dat de AVG uitgesloten moet worden. Ik vind dat die wet te ver gaat (we hebben geblurde klassenfoto's gezien, het achterwegen laten van een foto- of videorapportage van belangrijke gebeurtenissen in het leven van mensen vanwege al het gedoe om het goed te regelen m.b.t. de AVG) en dat die in de huidige vorm het goed en efficiënt functioneren van bepaalde diensten in de weg staat. De belastingen zijn al torenhoog en door dit soort wetten worden overheidsdiensten nóg duurder. Gezond verstand is op een gegeven moment gewoon ver te zoeken omdat alles in kaders gegoten moet worden.

[SuperDre]

Uhm, en daar ga jij dus al compleet de mist in door te zeggen dat 'zakelijke belastingen' voorlopig buiten beschouwing gelaten kunnen worden, je vergeet bv even de zelfstandigen, dat zijn zakelijk en personen..
Weer de zoveelste tweaker die wel even de oplossing denkt te weten en dat het echt wel simpel even aangepast kan worden. En ondanks dat enkele systemen misschien zo specifiek zijn en kunt beperken door middel van een wachtwoord, toch zul je dan die systemen daarvoor misschien moeten aanpassen.
Ze zijn al jaren bezig om te kijken om het hele systeem te verbeteren, maar het is allemaal niet zo simpel als jij doet voorkomen.
Naast dat er natuurlijk geld en resources voor beschikbaar moet zijn, en laat er nu al een tekort zijn om zonder grote druk de huidige systemen draaiende te houden wat betreft veranderingen mbt wet en regelgeving, dan is het dus simpel te zeggen dat het op dit moment 'technisch onhaalbaar' is om de benodigde aanpassingen te kunnen maken.

[CyBeRSPiN]

"Technisch onhaalbaar" dat is kul.
Maar het kost waarschijnlijk wel een godsvermogen en jaren werk om die enorme systemen te laten voldoen aan AVG.

[SKiLLa]

Ja en ? Elk bedrijf moet voldoen aan de GDPR en b.v. banken zijn veel groter & complexer en hebben het wel vrijwel prima allemaal op orde. Het is gewoon malversatie & wanprestatie.

PS: Uiteraard in stand gehouden door de grote ICT-dienstuitmelkers met een bonus-cultuur van vooral niet-structureel-oplossen-maar-alleen-meer-factuurbare-uren-genereren. Ja IBM, Capgemini, KPN Zakelijk/Getronics en Atos, ik heb het over jullie ! Wordt tijd voor een parlementair onderzoek naar de honderden miljoenen aan belastingcenten - zo niet meer - die decennia lang door deze dienstverleners *expres* frauduleus verkwanseld zijn.

[Houtenklaas]

Wat een kul. Aanbestedingen worden vanuit de EU als een verplichting neergezet, zodat iedereen een "eerlijke" kans krijgt. Dan krijg je de zotte situatie dat er toch vaak een voorkeur is, waar het bestek naartoe wordt geschreven. En als dat niet gedaan wordt, wordt het bestek gemaakt door mensen die niet materie deskundig zijn. En dan krijg je precies wat je opgeschreven hebt. Niets meer, niets minder. Bied je namelijk meer aan of denk je "ze zullen dat wel bedoelen", dan ben je waarschijnlijk te duur en heb je geen order. Vaak is ook het "nee" antwoorden een knock-out criterium, dan lig je er domweg uit.

Het spel wat gevoerd wordt (aanbestedingen) kent dus spelregels waar de partijen zich dus tot op de letter aan houden. Als je dat niet OK vindt, moet je het spel veranderen, maar niet de spelers verwijten dat ze zich aan de regels houden. Niet hun regels, maar de hun opgelegde en niet onderhandelbare regels.

Parlementair onderzoek kost ontzettend veel geld en zal de conclusie hebben dat de betrokken partijen zich exact aan hun aanbesteding hebben gehouden. Ik heb liever dan mijn belastinggeld dan wordt besteed aan leraren, politie of de zorg, daar is het heel veel meer nodig, ik hoop dat daar een flink deel van de 1.9 miljard heen gaat die anders naar de grote bedrijven waren gegaan met hun dividendbelasting. Over graaiers gesproken. Kortom, waar het scheef zit is dat de aanbesteding die gedaan wordt gewoon slecht in elkaar zit, dat heb ik niet één keer, maar vele malen mogen meemaken.

[Reactie gewijzigd door Houtenklaas op 23 juli 2024 08:36]

[emphy]

Er word al jaren bezuinigd op de belasting dienst, dus het is niet verassend dat de kwaliteit niet is wat het moet zijn. Het wordt tijd dat de belasting betaler vraagt om waar om zijn geld in plaats van voor een dubbeltje op de eerste rang.

[la cucaracha]

Klopt.... Waarom zou een ICT dienstverlener ook maar 1 stapje harder lopen dan wat er in het contract staat?
Heb het als werknemer van zo'n bedrijf aan den lijve ondervonden.
Lang leve de aanbesteding... en daaruit voortvloeiende contracten.
Als uitvoerenden hadden we ons maar te houden aan die contracten want...... de boetes bij niet halen van de strak omlijnde doelen waren niet mals.
Werkgever in kwestie presteerde het desondanks om de klant bovenop de kast te jagen omdat de resultaten niet in lijn liepen met wat afgesproken werd op de golfbaan. Maar ja, wat wil je, als je iets belooft en implementeert zonder eerst zeer grondig te testen?
Ik zat daar middenin, vond er iets van, uitte dat ook en...... toedeloe, ik was mijn baan kwijt.
Op dat moment lastig maar ik ben daarna gelukkig goed terecht gekomen.

[Blokker_1999]

Ik denk niet dat banken complexer zijn. En het prima op orde? Daar heb ik ook mijn twijfels over.

[veltnet]

Daar zijn al twee parlementaire onderzoeken naar geweest....mooie rapporten gemaakt..en aan het archief toegevoegd zonder er verder iets mee te doen

[bytemaster460]

Ik waag te betwijfelen of het bij banken allemaal complexer is.

[SuperDre]

Alleen bij oa banken komt veiligheid natuurlijk al jaren om de hoek kijken, immers wil je niet dat het simpel is dat iemand eventjes een hoop geld van rekening A naar rekening B overmaakt. En op dat gebied heeft banken ook een stuk minder te maken met veranderingen van wetten en regelgeving.
Tja, en achteraf is altijd makkelijk praten..

Maar ben met je eens hoor wat betreft die grote ICT bedrijven, daar moet je de vinger naar wijzen, die zijn immers ingehuurd om een systeem te bouwen/ontwikkelen, en die zijn degene die hun klanten moeten wijzen op mogelijke punten. Een goede developer doet niet alleen maar op papier zetten wat de wensen zijn van de klant, maar denkt ook mee wat voor de klant benodigd kan zijn.

[boyhenkie]

[Mastermind]

Mja, genereert wel veel banen voor ons ICT'ers waardoor veel gezinnen te eten hebben, dus...

[PageFault]

Als het 100% moet voldoen aan de AVG/GDPR dan zouden ze ook een "vergeet mij" functie aan moeten bieden. Ik denk dat een hoop mensen daar ook wel oren naar hebben ;-)

[robvanwijk]

Als het 100% moet voldoen aan de AVG/GDPR dan zouden ze ook een "vergeet mij" functie aan moeten bieden. Ik denk dat een hoop mensen daar ook wel oren naar hebben ;-)

Er is helemaal geen "vergeet mij" functie in de AVG. Er is een functie om in het verleden gegeven toestemming weer in te trekken. Als die toestemming de enige reden was waarom gegevens verwerkt mochten worden, dan blijft er na het intrekken van de toestemming geen enkele reden over... en zonder geldige reden om gegevens te verwerken moet je ze dus verwijderen. Als er echter (ook) een andere reden was waarom gegevens verwerkt mochten worden, dan maakt het intrekken van toestemming (of überhaupt nooit toestemming gegeven hebben) geen bal uit. Dan wordt de vraag dus, heeft de Belastingdienst een geldige grondslag om persoonsgegevens te verwerken?

quote: https://autoriteitpersoon...gevens-mag-verwerken-6310

Als organisatie mag u niet zomaar persoonsgegevens verwerken. U moet daarvoor een wettelijke grondslag hebben. De Algemene verordening gegevensbescherming (AVG) kent 6 grondslagen.
[..]
De gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag.

Dat lijkt mij meer dan duidelijk.

[Rhylian]

https://autoriteitpersoon...ten/recht-op-vergetelheid

Er is bij de AVG wel degelijk het recht op vergetelheid. Er zijn dus meerdere redenen waarom je je gegevens mag laten verwijderen.

Niet meer nodig
De organisatie heeft de persoonsgegevens niet meer nodig voor de doeleinden waarvoor de organisatie ze heeft verzameld of waarvoor de organisatie ze verwerkt.

Hierbij is bijv het vervallen van je toestemming niet relevant. Als ze ze niet meer nodig hebben, moeten ze het automatisch al doen.

Of:

Wettelijk bepaalde bewaartermijn verlopen
De organisatie is wettelijk verplicht om de gegevens na bepaalde tijd te wissen.

[SuperDre]

Uitzonderingen zijn er altijd, ook in de AVG, en een overheid heeft hier echt wel een uitzondering op.

[Yaz]

En dus is het NU onhaalbaar. Natuurlijk kan het opgelost worden na aanpassingen van het huidige systeem of migratie naar een nieuw systeem, alles kan. Maar voor NU is het technisch onhaalbaar om aan de wetgeving te voldoen.

Zo lees ik altans

[kaas-schaaf]

En dus is het NU onhaalbaar.

zie

het technisch niet mogelijk is om de gewenste logs bij te houden en met autorisatie de toegang tot de data te beperken

Dus jouw interpretatie is niet wat er staat. Er staat resoluut dat het niet mogelijk is om een audit trail (wat hier logs moet voorstellen) en authorisatie te implementeren.

De waarheid ligt waarschijnlijk in het midden van tijd en geld.

[Reactie gewijzigd door kaas-schaaf op 23 juli 2024 08:36]

[SuperDre]

Zijn interpretatie is wel wat er staat, want het is nu dus technisch niet mogelijk om logs toe te voegen en beperkingen dmv autorisatie toe te voegen, dat is namelijk niet iets dat je zomaar even doet.
Dus het klopt wel wat Yaz schrijft.

[jpsch]

Er is natuurlijk ook lekker veel kennis vertrokken met riante afvloeiingsregelingen.

[SuperDre]

Hoezo? meeste van die systemen zijn gewoon extern ontwikkelt hoor, het is niet alsof de Belastingdienst zelf die systemen maakt, daar huren ze die grote ICT bedrijven voor in die zogenaamd de kennis in huis zouden moeten hebben om goede systemen te bouwen (en wij weten natuurlijk allemaal wel beter).

[Bombaclat]

Gelukkig is de AVG 2 jaar voordat deze gehandhaafd ging worden aangekondigd, zodat alle bedrijven zich konden voorbereiden op de veranderingen.

[SuperDre]

2 jaar is niets als het hele systeem vervangen/aangepast moet worden, het gaat hier immers niet om 1 simpel databaseje oid, het gaat hier over een hoop systemen die aan elkaar hangen, alleen al inventarisatie kan al heel lang duren, dan moet je nog gaan ontwerpen en bouwen, en daarna nog getest worden (en de techniek wat betreft security blijft ook niet stilstaan, dus als je klaar bent kan het best zijn wat superveilig was bij de start van het project inmiddels zo lek als een mandje is).

[karma4]

Probeer eens de basis van de registraties te veranderen. Als een persoon of bedrijf gekenmerkt wordt door een nummer en je gaat dan zeggen dat zoiets niet mag want privacy. …. Dan is het inderdaad onzin wat er gevraagd wordt en is het technisch onhaalbaar.

[ajolla]

De achterliggende boodschap is: we willen meer geld hebben hebben er de middelen niet voor.

[gubyan]

Voordat ze inderdaad alle legacy ("ouwe meuk") systemen omgebouwd hebben naar een "secure" omgeving dan heb je het over ... 10 jaar minimum. De dikke stroop van de managers die hun eigen ouwe troep afschermen is enooooorm dik.
Stroomlijnen? Automatiseren? Wat is dat? Raak ik dan mensen uit mijn team kwijt?
Dikke streep door vooruitgang

Boven de allereerste managementlaag uitkomen kan alleen met een Universitaire opleiding, in:
* Biologie
* Sociale wetenschappen
* Filosofie
Etc...
Echt ter zake doende vakken zullen we maar zeggen. Zolang het maar universitaire is, anders... geen kans.

Nou, dat zegt genoeg denk ik.

Knudde op een stokkie. Blij dat ik er al jaaaaren niet meer werk. (hoor alleen nog horror verhalen van oud collega's).

[Rhylian]

Dat en dan krijgt hij een minder vette bonus

[Luftbanana]

Wie is hij?

[Luftbanana]

Hmmkay. Ik denk echter dat als de directeur (Jaap Uijlenbroek in dit geval) dit applicatielandschap weet te verbeteren (wat overigens niet zijn taak zou zijn), dat daar wel een "vette bonus" aan vast zit. Wellicht slecht voor de financiën, maar wel een soort redding voor de bedrijfsvoering.

[Rhylian]

Hmm tja misschien de Zembla aflevering bekijken en zien dat hij zich daar niet voor interesseert? Wordt namelijk de gehele huidige bedrijfscultuur bij de belastingdienst onder de loep genomen.

[Luftbanana]

Ah, leuke aanvulling, thanks

[yustmenl]

Fijn dat ze de beveiliging niet kunnen garanderen en een artikel 17 AVG (verzoek tot vergetelheid) zal er ook wel niet inzitten bij ze

[Vizzie]

Natuurlijk kan je dat vragen maar ze hebben de wettelijke plicht die gegevens te bewaren dus dat gaat niet gebeuren.

[DarkForce]

Aan artikel 17 hoeven ze ook niet te voldoen omdat de belastingdienst daarvoor een uitzondering heeft. Het is namelijk haar wettelijke taak om deze gegevens te verwerken zoals in de AVG onder artikel 41 lid e wordt vermeld, te weten;

andere belangrijke doelstellingen van algemeen belang van de Europese Unie of van Nederland, met name een belangrijk economisch of financieel belang van de Europese Unie of van Nederland, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;.

[RM-rf]

Belasting is een wettelijk vastgelegde verwerkingsplicht en daarvoor geld artikel 17 niet ( 17.3.b uitsluitingsgrond)...

Vergetelheid kan enkel geeist worden als dit geen wettelijk vastgelegde verwerkingsplicht heeft en de gegevens niet noodzakelijk zijn om bepaalde handelingen te plegen, bv ook archivering kan een uitsluitingsgrond zijn, wetenschappelijk of statistisch onderzoeksmogelijkheden, algemeen belang of commerciele noodzaak (bv als je een bepaalde aankoop doet hoef je ook geen specifieke toestemming te geven voor het verwerken van je gegevens of mogeljk het dorgeven van je gegevens aan een deurwaarder bij wanbetaling).

Onveilige verwerking is geen grond voor vergetelheid of bezwaar tegen verwerking (artikel 21)... wel zou een vewerker volgens de AVG hierom tot het betalen van een mogelijke boete veroordeeld kunnen worden

[oef!]

De beveiliging van onze persoonsgegevens is één ding maar stel je voor wat een crimineel met deze gatenkaas zou kunnen, dit maakt fraude zeker eenvoudiger.

[pasz]

Legacy systemen en monolieten zijn de achilleshiel van grote overheidsinstanties en bedrijven.

Wat je in de praktijk vaak ziet, is dat legacy wordt omgebouwd en tegen de tijd dat de legacy is omgebouwd is het al weer verouderd. In het geval van de belastingdienst is er nog een extra dimensie. De spelregels veranderen namelijk zeer snel (nieuwe regering, nieuwe wet etc.) en dat tempo kunnen ze duidelijk niet bijhouden.

Drastisch ingrijpen in Software Architectuur kan wellicht wel, maar het waarborgen van de continuïteit is een complexe opgave. De enige manier om dit op te lossen is het compleet terugpellen van functionaliteit en alles parallel weer opbouwen. En zelfs dan loop je tegen migratie en integratie vraagstukken op.

Het vervelende is wel, dat hoe langer je wacht, hoe erger het probleem wordt.Ga er maar aan staan.

[KonradV]

Het mag misschien vreemd klinken, maar die legacy systemen op een mainframe zijn vaak veel beter beveiligd dan allerlei 'fancy' Java systemen die op diverse Windows en Unix boxen draaien. Mijn ervaring mei IBM Z-serie mainframes is, dat ALLES gelogd wordt door het OS, alle applicatiesoftware staat daar volkomen 'los' van, en door beveiligingssoftware als RACF, waarin NIETS mag, tenzij er specifiek rechten worden toegekend, is in principe alle data veilig.
Natuurlijk kan ook een Unix systeem redelijk veilig geconfigureerd worden, maar al te vaak gebeurt dit bij veel bedrijven niet, omdat de kennis daarvoor ontbreekt, de software moet er immers 'gelikt uitzien', en dan wil de beveiliging wel eens op het tweede plan komen.

[pasz]

Excuses. Met legacy bedoel ik inderdaad meer de laag daar bovenop. Of heeft de belastingdienst meer dan 600 verschillende mainframes staan ?

[KonradV]

Geen probleem. Wat ik met die 600 'dozen' bedoelde, waren de vele Unix en Windows servers, voor zover ik weet, zijn er maar twee Mainframes. COBOL programma's zijn in principe niet veel beter/slechter dan Java of C# programma's, ze moeten allemaal goed bijgehouden worden, en daarvoor moet je wel genoeg gekwalificeerde mensen voor hebben. En daar zal door vergrijzing bij COBOL ontwikkelaars veel eerder een gebrek aan gaan ontstaan dan bij andere talen, omdat ze niet meer opgeleid worden, en door de leeftijd al langere tijd uitstromen.
Bovendien vind ik nog steeds dat je logging en beveiliging nooit door een applicatie moet laten regelen, maar dat dit door een intrinsiek veilig OS dient te gebeuren, op wat voor platform dan ook.

[karma4]

Het aantal fysieke machines zal niet veel zijn maar juist ook op mainframes draai je een VM.
Dat gebeurt ook op Linux Unix als is dat vaak niet handig omdat de machinecapaciteit verspild wordt door de complexiteit met VM's en onderlinge afstemming.
Juist met Linux is logging zeer problematisch omdat die geen inhoudelijk kennis over welke gegevens het gaat. Het kan een DBMS als geheel zien of een file als container maar dan houdt het op.
Zet een iets in als Teradata dan wel Netezza dan kan je iets volgen maar in de massale verwerkingen gaat het niet meer om records volgens maar hooguit om tabellen.
Een Windows desktop centraal beheerd kan met dezelfde beperking goed geaudit worden.

In de applicatie zelf in de code logging inbouwen? beter log4j en aanverwanten als ARM logging goed neerzetten.

[110124]

Het zou technisch onhaalbaar zijn om te loggen wie de gegevens benadert en om de toegang te beperken.

Dit is dus echt niet waar. Alles kan gelogd worden. Het is maar net of je wil betalen voor de ruimte van de logbestand, de performance die er voor nodig is en het aanpassen van je applicaties zodat deze data gelogd kan worden.

Zo heb je bijvoorbeeld:

• Web server log - welke pagina's zijn bekeken, en door wie (ip adres)
• Applicatie log - welke acties/data zijn er in de applicatie gemaakt, eventueel door wie
• En misschien het belangrijkste: het SQL log, wat je heel erg kunt finetunen (audit log, geloof ik)

Tja, dan heb je nog de bescherming van persoongegevens en zo - wat bepaald of je deze data daadwerkelijk mag loggen/gebruiken.

Maar zeg niet dat het onmogelijk is.

[Reactie gewijzigd door 110124 op 23 juli 2024 08:36]

[kaas-schaaf]

Even een aanname, maar ik ga er van uit dat deze logs een audit trail moeten zijn van de gemaakte transacties (ofwel, aanpassingen, toevoegingen etc).
Deze zijn iets complexer dan een simpele logfile omdat dit, in het algemeen, cryptografisch getekend zal worden en achteraf verifieerbaar moet zijn op authenticiteit. Meestal komt er een signature over een de digest van de logdata na iedere relevante transactie en wordt deze iedere keer bij een nieuwe transactie aangevuld met de transactie en de signature van de digest van die transactie.
Dit geheel zal dan weer veilig opgeslagen moeten worden, maar dat is niet het grootste probleem.

"Even" een audit trail in een applicatie zetten die daar niet voor ontworpen is, is niet erg makkelijk. Voornamelijk doordat de integriteit van de log belangrijk is en je dus niet zomaar een transactie kan doen die niet weggeschreven is. Wellicht ga ik hierin mijn aanname iets te ver, maar belastingtransacties lijken mij prima geschik om op deze manier verwerkt te worden.

Onmogelijk nee, moeilijk ja. Vooral een kwestie van tijd en geld dus.

[Anoniem: 1111801]

Dat het toevoegen aan oude systemen onbegonnen werk is kan ik me best voorstellen. Maar het zou inderdaad gewoon mogelijk moeten zijn om een nieuwe schil te maken die als een soort auditing proxy dient.

Maar ja. Leer mij dit soort organisaties kennen. Zodra jij met je relatief simpel te implementeren auditing proxy idee komt zijn er opeens 20 afdeling die er van alles en nog wat aan willen toevoegen. Voor je het weet ben je ettelijke miljoenen en vele jaren verder met als enige resultaat een mooi zeiljacht voor de betrokken consultants.

[RogerWilco2]

Misschien is het een systeem waarvan ze de code, en/of de ontwikkelomgeving niet meer hebben, en dus het niet meer aan kunnen passen.

Niet dat zoiets in productie zou moeten draaien, maar juist bij dit soort clubs gebeurt dat wel vaak, want het management heeft vaak geen verstand van ICT en denkt alleen maar "het werkt toch?".

Ik weet bijvoorbeeld dat 40% van de Nederlandse electriciteitsproductie een tijd gedraaid heeft op Excel95 op Windows NT4 SP3, omdat het een enorme kluwen VB en Excel was, waarvan niemand meer wist hoe het werkte. Dit was nog niet eens zo heel lang geleden, toen WinNT al uit support was. De applicatie deed het niet op SP6.

Dat je zoiets ooit in Excel/VB zou maken was al idioot, maar de organisatie had een stricte Microsoft-only policy, zelfs voor dit soort functies van nationaal belang.

[SuperDre]

Tuurlijk kan het wel, maar technisch is het NU onhaalbaar om dat toe te voegen aan het huidige systeem (of huidige systemen, immers hangen een hoop systemen aan elkaar).
het is allemaal niet zo simpel om even achteraf een log in te bouwen, als je denkt van wel dan ben je wel een hele naieve ontwikkelaar.
In veel gevallen is het systeem ook inmiddels zo verouderd dat het beter is om compleet van scratch te beginnen en van de grond af aan een veilig systeem te bouwen, want elke aanpassing die aan het systeem gedaan wordt kan weer voor problemen zorgen.

[JJ Le Funk]

belastingdienst heeft meerdere data centers, volgepakt met servers die staan te idlen. niemand durft ze uit te zetten omdat het effect onbekend is.
beste zou zijn enkele vitale systemen te migreren naar Azure en de rest uitzetten. Alles centraal regelen inclusief logging en beveiliging en de infra aan Microsoft overlaten (ipv Datablox middle ware her en der in te zetten).

[Reactie gewijzigd door JJ Le Funk op 23 juli 2024 08:36]

[CyBeRSPiN]

Ja want Microsoft kunnen we wel onze meest kritische data toevertrouwen?
En zelfs dan, erg naïef om te denken dat alles dan vanzelf goed gaat. Mensen onderschatten serieus de ordegrootte van de Belastingdienst, de data, de wet- en regelgeving.. (En daardoor is er te makkelijk op bezuinigd met de puinhoop tot gevolg).
Het was altijd het paradepaardje van ICT in NL, tot begin deze eeuw dan..

[Reactie gewijzigd door CyBeRSPiN op 23 juli 2024 08:36]

[jpsch]

Belastingdienst heeft veel extra taken gekregen, omdat ze het qua ICT juist goed op orde hadden. Of dat echt zo was?

[SKiLLa]

En ik denk dat jij - gezien je fanatieke verdediging van de BL in dit topic - je roze bril moet afzetten en je ogen moet openen voor decennia aan prutswerk. Ik weet uit eerste hand hoe complex het is en hoe hoog de veranderdruk is ... en dat valt best mee t.o.v. andere industrieën hoor. Het is helemaal geen technische uitdaging, het is een organisatorische uitdaging, met alle incapabele managers, doofpot-cultuur en frauduleuze dienstverleners; als je dat loopt te verdedigen ben je zelf ook een onderdeel van het probleem !

[CyBeRSPiN]

Mooie ad hominem, dankjewel!

[JJ Le Funk]

die bezuiniging is relatief. als iets 10x meer kost dan nodig en de besparing is fors, bijv. 10% dan is de aderlating nog steeds 90% van de totale operationele kosten.
hoeveel ambtenaren zitten daar uit hun neus te vreten? vast niet allemaal maar als het de helft is (15.000) dan is het laag ingeschat. zelfs als die toko wordt weg-geautomatiseerd en alle panden verkocht ben je 2 generaties verder voordat de rekening als gevolg van pensioenuitkeringen, ziekteverzuim, te hoge loonschalen is vereffend.
beetje een rant , maar ook wel kritiek naar den haag toe. minder belastingregels zou helpen. het is dermate complex geworden dat de eigen dienst er geen chocola meer van kan maken.

[Reactie gewijzigd door JJ Le Funk op 23 juli 2024 08:36]

[donald_dick]

Nee, aan een derde partij overlaten, dat is een goede oplossing. Ook leuk als er straks oorlog uitbreekt.

[JJ Le Funk]

zolang Amerika en NL in de NATO zitten en NL in de EU geen probleem toch? De server-locatie, waar de data fysiek staat opgeslagen, kan je op West Europa zetten.

[donald_dick]

Want Amerika kan niet uit de NATO stappen? Onze buren kunnen morgen niet ons de oorlog verklaren?

[JJ Le Funk]

het zou gek zijn maar als het gebeurt zie je het ruim van te voren aankomen en migreer je alle VM's

[Reactie gewijzigd door JJ Le Funk op 23 juli 2024 08:36]

[ToolkiT]

Klopt, maar aangezien de globale politiek op het moment nogal 'volotile' is, zie Brexit, Trump etc zou ik zelf ook dit soort systemen niet in een public cloud van een 3rd party zetten..
Waarschijnlijk/hopelijk is dat geen probleem, maar als het wel een probleem word kan het grote gevolgen hebben.. en de politiek kan zo omslaan.. zie Brexit..

[Doane]

Haha, tuurlijk, mijn belastinggegevens in Azure? Dacht het niet!
Dat is een slechte oplossing vervangen door een nòg slechtere.

[PhantomPotato]

Ik denk dat dergelijke nationale services out-sourcen een zeer slecht idee is.
De staat kan niet garanderen waar onze gegevens zijn en als Microsoft op het matje geroepen wordt in het buitenland kunnen daar wetten gelden dat ze ONZE data moeten overdragen.
Dan is de volgende vraag hoelang Microsoft de services gaat ondersteunen.
Juist deze gevoelige data moet in het binnenland en door de staat behouden servers gehouden worden, geen commercieel bedrijf en al helemaal niet een uit het buitenland.

[ATS]

Overheid heeft een eigen data-center vziw.

[Blokker_1999]

Er is toch echt een hoop data waarvan ik denk: daar hoort geen commerciële partij bij te kunnen, laat staan het te hosten. En al helemaal niet als dat bedrijf banden heeft met de VS.

[SuperDre]

Hoe je het ook wendt of keert, dat betekent dus een aanpassing aan het systeem of zelfs dus een compleet nieuw systeem.. Dat kost een hoop geld, een hoop tijd en een hoop resources.. En DAT is er simpelweg niet, want het moet natuurlijk ook allemaal gewoon door blijven draaien.
Veel tweakers hier doen er allemaal veel te simpel over en denken dat de Belastingdienst ongelimiteerde resources heeft, ook zij zitten met budgetten die nu al volledig toegewezen zijn.

Overgang naar een externe leverancier lijkt mij in dit geval geen goede optie omdat we het hier hebben over overheidsinformatie.

[SadisticPanda]

Vreemd, hier slaagt de belgische belastingsdienst dan wel in. ( de federale dan toch, de vlaamse weet ik niet). Je geraakt nergens in waar je niet moet zijn en weten wie waar geweest is.

Dat konden we all op de wang mainframe servers 30 jaar geleden, en dat gaat nu ook sinds als al 10 jaar via intranet te benaderen is. Draait allemaal achter IBM iam en een matrix waar je het einde niet van ziet

[acotone777]

Heb zelf een jaar bij FOD Financien in Brussel-Noord gewerkt en het is daar een zelfde puinhoop als bij BDNL, waar ik ook gewerkt heb

[SadisticPanda]

Puinhoop om er mee te werken, dat wel. Maar technisch zit het wel goed ineen. Krijg jij als eindgebruiker niks van te zien. Jammer dat het nu onder eigen beheer grotendeels valt vandaar de regelmatige meldingen op het scherm dat BOW niet beschikbaar is.

11 jaar gewerkt op ict dienst van fodfin

[acotone777]

Ook ICT FodFin....