20080325 - 801 - Scriptie - definitief - Vurore

5 Conclusies en aanbevelingenDit hoofdstuk omvat de conclusies en aanbevelingen die zijn voortgekomen uit debevindingen vanuit het onderzoek dat is uitgevoerd om tot deze scriptie te komen.De centrale onderzoeksvraag van deze scriptie luidt als volgt:Op welke wijze kan worden getoetst of aan de eisen wordt voldaan die aan eenService Level Agreement (SLA) worden gesteld, om de afstemming tussen degebruikersorganisatie en de IT-serviceorganisatie binnen de Rijksoverheid vast teleggen, waarbij ook de noodzakelijke informatiebeveiliging in opzet, bestaan enwerking in de IV-dienstverleningsketen is geborgd?Uit het literatuur- en praktijkonderzoek blijkt dat een SLA een nuttig middel is omafspraken tussen twee organisaties eenduidig vast te leggen. Er zijn elementen naarvoren gekomen die belangrijk zijn voor de totstandkoming van een SLA, maar ookbelangrijk zijn bij de toetsing van het gebruik van een SLA. Het is mogelijk geblekendeze elementen te vatten in een auditinstrument. Dit auditinstrument kan gebruiktworden door een auditor of adviseur om een SLA te toetsen of aan de eisen wordtvoldaan die aan een SLA worden gesteld.In het auditinstrument zijn de elementen in de volgende hoofd- en subcategorieëningedeeld: Algemeen, bijvoorbeeld doelen, rechten en plichten; Lifecycle van een SLA, bijvoorbeeld aanleiding, ontwikkelen en testen; Inhoud van een SLA (algemeen), bijvoorbeeld samenstelling; Inhoud van een SLA (beveiliging), bijvoorbeeld referentiekaders en regelgeving.De elementen uit deze categorieën moeten in ieder geval worden meegenomen bijde totstandkoming van een SLA om te zorgen voor een goede afstemming tussenbeide partijen.De noodzaak voor het gebruik van een dergelijk auditinstrument wordt gevoed doorde discrepantie die er is tussen de theorie en de praktijk. Om dat verschil goed tekunnen toetsen en om te beoordelen of de afstemming wel volledig is, kan hetinstrument behulpzaam zijn.Het instrument is (nog) niet gevalideerd. Geadviseerd wordt dit in eenvervolgonderzoek te doen. In dit vervolgonderzoek kan ook worden nagegaan ofhet zin heeft om weegfactoren toe te kennen aan de onderscheiden categorieënvan het instrument.De praktische bruikbaarheid van de voorgestelde methodiek kan op deze wijzeworden vastgesteld en wellicht op onderdelen nog worden verfijnd of verbeterd.De toetsing van het instrument in de praktijk heeft in dit onderzoek opgeleverd datde normenkaders voor informatiebeveiliging niet worden vastgelegd in de SLA’s enook niet op werking zijn gecontroleerd door de naleving ervan te toetsen.Een aanbeveling is dan ook om dit wel te gaan doen, bijv. door het gebruik makenvan een Third Party Mededeling (TPM), die betrekking heeft op het niveau van deinformatiebeveiliging (conform het VIR 2007) en wordt afgegeven door eenonafhankelijke partij.Afstudeerscriptie team 801 blz. 28 van 49