Testen is te veel werk voor middelgrote organisaties

Middelgrote organisaties zijn nauwelijks in staat hun informatiesystemen te beheersen omdat het testen ervan veel werk is. Zelfs de relatief eenvoudige software die nodig is voor het anonimiseren van productiegegevens, is vaak al te hoog gegrepen. Dit is geen kwestie van onwil, zeggen René Ceelen en Jaap van der Wel, maar van onvermogen: het is te duur.

Pakketsoftware is populair

Softwarepakketten zijn populair. Bij veel middelgrote organisaties zoals zorginstellingen, woningbouwcorporaties vormen ze de kern van de informatievoorziening en is het reilen en zeilen van de organisatie helemaal afhankelijk van het wel en wee van het softwarepakket. Middelgrote organisaties onderschatten echter de complexiteit van het informatiesysteem dat met softwarepakketten is opgebouwd. Zij realiseren zich onvoldoende dat zij niet of nauwelijks meer in staat zijn om de kwaliteit van dat informatiesysteem te beheersen omdat het testen daarvan een te tijdrovende en te gespecialiseerde klus is geworden.

Koppelen van pakketten?

De complexiteit van het informatiesysteem begint ermee dat er gewoonlijk meerdere softwarepakketten noodzakelijk zijn die onderling moeten worden gekoppeld. Vervolgens wordt dit geheel aan de buitenwereld gekoppeld – ziekenhuizen met huisartsen en apothekers en binnenkort ook met het landelijk schakelpunt. In deze constellatie wurmen de informatiestromen zich door een spinnenweb van systemen en koppelingen, even onoverzichtelijk als een oosterse kashba van huisjes, slopjes en steegjes, waarin toeristen al snel verdwalen.
Omdat organisaties afhankelijk zijn van hun ICT-oplossingen, is het geen overbodige luxe om bij iedere release opnieuw aan te tonen dat het geheel werkt. Dit onder de specifieke omstandigheden waaronder het informatiesysteem wordt gebruikt, inclusief de koppelingen, niet volgens een laboratoriumsituatie bij de softwarefabrikant voor alleen zijn eigen pakket. Erkende normen voor informatiebeveiliging zoals de Code voor Informatiebeveiliging of de daarvan afgeleide norm voor informatiebeveiliging in de zorg (NEN7510) stellen aan dit werk duidelijke eisen.