I006 Admin Directory. IKT-Standard. Ausgabedatum: Version: Ersetzt: 2.01

Transkript

1 Eidgenössisches Finanzdepartement EFD Informatiksteuerungsorgan des Bundes ISB I006 Admin Directory Klassifizierung: Typ: Nicht klassifiziert IKT-Standard Ausgabedatum: Version: 2.02 Status: Genehmigt Ersetzt: 2.01 Verbindlichkeit: Weisung Genehmigt durch: Informatiksteuerungsorgan Bund, am Beilagen: Beilage 1: Service Beschreibung Admin Directory

2 Inhaltsverzeichnis 1 Anwendungsbereich Geltungsbereich Verbindlichkeit Einleitung Gesetzliche Grundlagen Standards und Empfehlungen Integration des Admin Directory in den DIT X Schemadefinition Struktur des Admin Directory Datenquellen und Synchronisation Rollen und Verantwortungen Verantwortung und Eigentum der Daten Dateninhaber des Admin Directory Administratoren des Admin Directory Naming Authority Datenschutzbeauftragter Betreiber des Admin Directory Koordinationsgruppe Admin Directory und Serviceverantwortlicher (SV) Sicherheit Änderungsverfahren Schema-Anpassungen im Admin Directory Anmeldung der Datensammlung beim EDÖB Archivierung der Datensammlung beim BAR Übergangsregelungen Anhänge A. Änderungen gegenüber Vorversion B. Bedeutung der Schlüsselwörter zur Bestimmung des Verbindlichkeitsgrades C. Abkürzungen D. Referenzen /16

3 Das Informatiksteuerungsorgan Bund erlässt gestützt auf Artikel 17 Absatz 1 der Verordnung über die Informatik und Telekommunikation in der Bundesverwaltung (BinfV) nachfolgende Weisungen. 1 Anwendungsbereich Dieser Standard definiert die Organisation und Struktur des elektronischen Verzeichnisses Admin Directory für die allgemeine Bundesverwaltung gemäss den Empfehlungen X.500 der ITU. Ziel ist es die im Admin Directory gespeicherten Daten für möglichst viele Zwecke verwenden zu können 1. Im Standard werden die verschiedenen Rollen, die Rolleninhaber und deren Verantwortungen definiert. Zudem wird auf die rechtlichen Aspekte im Zusammenhang mit dem Datenschutzgesetz hingewiesen. 2 Geltungsbereich Der Geltungsbereich der Weisungen ist identisch mit dem Geltungsbereich der BinfV 2. 3 Verbindlichkeit Der Verbindlichkeitsgrad der einzelnen Vorgaben wird mittels der im Anhang B zusammengestellten, in Grossbuchstaben geschriebenen Schlüsselwörter gekennzeichnet. 4 Einleitung Externe Organisationen (z.b. kantonale Verwaltungen) sind von den Namenskonventionen im Rahmen der Zusammenarbeit mit der Bundesverwaltung betroffen. Eventuell nötige Vereinbarungen müssen gegebenenfalls mit den entsprechenden externen Stellen abgesprochen werden. Das Ziel des Admin Directory ist der Bundesverwaltung den Dienst eines offenen elektronischen Verzeichnisses zu offerieren, welcher auf der Reihe der ITU-Empfehlungen X.500 basiert. Es enthält Informationen über die Organisationseinheiten, die Personen, die Funktionen, die Räumlichkeiten, die Dienste, die Gruppen sowie die "X.509 User Certificates 3 der Bundesverwaltung. Admin Directory ist eine Meta-Directory Produkt das den Zugriff mittels Lightweight Directory Access Protocol (LDAP) ermöglicht. Heute werden verschiedene Produkte angeboten, welche diesen Vorgaben entsprechen. Sie können sich durch ihre Managementwerkzeuge, die unterstützten Plattformen sowie ihre 1 Beispiele: Person im Admin Directory suchen; Adresse abfragen; Zertifikatabfragen, Verwaltung öffentlicher Schlüssel (Public Keys), etc. 2 SR Die User Certificates X.509 enthalten die öffentlichen Schlüssel (public keys) der Benutzer, welche zur Chiffrierung der Mitteilungen an diese Benutzer nötig sind. 3/16

4 Leistungen und Erweiterungsmöglichkeiten unterscheiden und dennoch kompatibel sein, da ihre Verbindungs-, Replikations- und Zugangsprotokolle standardisiert sind. Alle im Admin Directory enthaltenen Informationen bilden die "Directory Information Base - DIB" in welcher: eine Entität der wirklichen Welt (z.b. eine Person) ein zu einem Objekttypen gehörendes Objekt (Object) ist, welches von einer strukturellen Objektklasse beschrieben wird die Merkmale des Objektes (z.b. Personenname, Telefonnummer) den Attributtypen (Attribute Types) entsprechen die Merkmalswerte (z.b für eine Telefonnummer) den Attributwerten (Attribute Values) entsprechen Reale Welt: Bezeichnung Beispiel Admin Directory: Eintrag ins Admin Directory (Object) Beispiel Wesen : Person Objekttyp : Person Strukturelle Objektklasse : OrganizationalPerson Merkmal : Name = Attributtyp (attribute type) : commonname = Wert : Muster Hans Attributwert (attribute value) : Muster Hans Merkmal : Telefonnr. = Attributtyp (attribute type) : telephonenumber = Wert : xx Attributwert (attribute value) : xx Tabelle 1: Eintragsbeispiel in die 'Directory Information Base' DIB 4.1 Gesetzliche Grundlagen Die im Admin Directory gespeicherten Daten unterliegen den folgenden gesetzlichen Grundlagen: dem Bundesgesetz über den Datenschutz' [DSG], der Verordnung zum Bundesgesetz über den Datenschutz' [SR ] der Verordnung über den Schutz von Personaldaten in der Bundesverwaltung [SR ] der 'Organisationsverordnung für die Bundeskanzlei' [OV-BK]. der Organisationsverordnung EFD [OV-EFD] 4.2 Standards und Empfehlungen Die Struktur des Admin Directory basiert grundsätzlich auf der ITU-Empfehlung X.521 [X.521(93)] und auf den Organisationseinheiten nach dem Eidgenössischen Staatskalender [Skal]. Die Empfehlungen dürfen nicht verletzt werden. 4/16

5 Die Objektklassen und Attributtypen werden aus der Empfehlung X.521 [X.521(93)], der Empfehlung X.520 [X.520(93)] und der Servicebeschreibung Admin Directory [AD_Service] übernommen. Zusätzliche, ergänzende Objektklassen, sind ausschliesslich für technische Zwecke erlaubt. 5 Integration des Admin Directory in den DIT X.500 Die Einträge sind hierarchisch nach einer baumartigen Struktur, genannt "Directory Information Tree - DIT", organisiert (siehe Abbildung 1: Struktur des DIT X.500), deren Regeln in der Empfehlung X.521 [X.521(93)] erläutert sind. Der DIT X.500 enthält folgende Hierarchiestufen: Root Der Eintrag "Root" ist fiktiv. Er wurde durch die ITU bestimmt um die Hierarchiespitze des DIT zu repräsentieren. Land (Country) Die Länder sind dem Root untergeordnet und mit dem Buchstaben "c" für "Country" bezeichnet (z.b. "c=ch" für die Schweiz). Organisation (Organization) Die Organisationen sind den Ländern untergeordnet und mit dem Buchstaben "o" für "Organization" bezeichnet (z.b. "o=admin" für die Bundesbehörden). Ein Eintrag wird durch seinen "Relative Distinguished Name - RDN" identifiziert (z.b. "ou=bundesrat" für eine Organisationseinheit). Im DIT X.500 wird ein Eintrag auf eindeutige Weise durch seinen "Distinguished Name - DN" identifiziert. Dieser entsteht durch die Aneinanderreihung der RDN vom "Root" bis zu diesem Eintrag (z.b. c=ch, o=admin, ou=gelbe Seiten, ou=bundesrat). Diese Bezeichnungsart, genannt "X.500 Naming Model", muss unbedingt respektiert werden um den Zugang zum Eintrag von jedem beliebigen Punkt im DIT (DIT Base Entry) zu gewährleisten. Das Bundesamt für Kommunikation (BAKOM) ist für die Zuteilung der dem "c=ch" direkt untergeordneten RDNs verantwortlich. Nach einer Anfrage beim BAKOM hat das BIT den RDN "o=admin" für das Admin Directory erhalten. Dieser RDN ist seit dem zugeteilt und ist gültig solange keine Kündigung seitens des BIT eingereicht wird. Nach einer Anfrage beim BAKOM hat das BIT auch den RDN "o=admin-pki" für die Public Key Infrastructure erhalten. Dieser RDN ist gültig solange keine Kündigung seitens des BIT eingereicht wird. Die Koordinationsgruppe Admin Directory ist für die Zuteilung der dem "c=ch, o=admin" direkt untergeordneten RDNs verantwortlich. Die einzelnen Dienststellen der Bundesverwaltung sind als Organisationseinheiten (Organizational Unit OU) definiert. 5/16

6 Abbildung 1: Struktur des DIT X Schemadefinition Das Schema des Admin Directory hat dynamischen Charakter. Die Schemadefinition des Admin Directory wird in der Servicebeschreibung [AD_Service] definiert. 7 Struktur des Admin Directory Die Struktur des Admin Directory basiert grundsätzlich auf den Organisationseinheiten nach dem Eidgenössischen Staatskalender [Skal]. Die Struktur deckt alle Hierarchiestufen ab, von der obersten Stufe der Hierarchie (Eintrag "o=admin") bis zu den autorisierten Stellen der Sektionen oder dementsprechenden Stellen. Der Serviceverantwortliche ist verantwortlich für die korrekte Publikation der Struktur. Sie wird in der Servicebeschreibung [AD_Service] beschrieben. 6/16

7 8 Datenquellen und Synchronisation Die Datenquellen sowie das Synchronisationsverfahren des Admin Directory haben dynamischen Charakter. Sie sind in der Servicebeschreibung [AD_Service] beschrieben. Als Grundsatz gilt die verteilte Daten-Verantwortung der Datenquellen. Der Serviceverantwortliche (SV) ist verantwortlich für die Vereinbarungen (SLA) mit den Datenquellen, bzw. Synchronisationspartnern. 7/16

8 9 Rollen und Verantwortungen 9.1 Verantwortung und Eigentum der Daten Abbildung 2: Verantwortliche für Namen und Namenskonventionen Dateninhaber des Admin Directory Die Ämter sind die Inhaber und verantwortlich für ihre eigenen Daten, sowohl in Admin Directory, wie auch in den Datenquellen. Die einzelnen Dienststellen legen nach den Richtlinien des Datenschutzbeauftragten fest, welche Personendaten von welchen Personen publiziert werden dürfen. 8/16

9 9.1.2 Administratoren des Admin Directory Die Administratoren des Admin Directory sind beauftragt, die unter ihrer Aufsicht stehenden Verzeichnisdaten zu mutieren (erstellen, ändern oder löschen). Tabelle 2 zeigt die Verantwortungen eines Administrators auf. Verantwortung Genauigkeit Gesamtheit Aktualität Kommentar Die Informationen müssen exakt (z.b. korrekt geschriebene Namen, exakte Bezeichnung der Dienstfunktion, des Titels, usw.) und mit der definierten Syntax (siehe Service Beschreibung Admin Directory [AD_Service]) übereinstimmend sein. Der Administrator führt eine periodische Kontrolle über die Exaktheit der Informationen durch (Kontroll-Listen) und gibt den Benutzern die Möglichkeit ihm die Unrichtigkeiten ihrer eigenen Daten mitzuteilen. Die registrierten Daten müssen vollständig sein (z.b. Telefonnr. mit internationaler Vorwahl und nicht nur die interne Nummer) Die Service Beschreibung Admin Directory [AD_Service]bestimmt für alle Einträge in das Admin Directory die obligatorischen Informationen und die empfohlenen Informationen. Die Vorgaben für die Aktualität der Daten im Admin Directory werden zentral durch den Serviceverantwortlichen (SV) definiert. Die Administratoren sind gemäss diesen Vorgaben für die Aktualität der Daten verantwortlich. Tabelle 2: Verantwortung der Administratoren des Admin Directory Rolleninhaber Admin Directory Administratoren: Die Administratoren des Staatskalenders gelten automatisch auch als Administratoren des Admin Directory Naming Authority Bei der Ausarbeitung der Namenskonventionen muss die Verantwortlichkeit für die Vergabe und Verwaltung der Namen festgelegt werden. Pro Anwendungsgebiet oder pro Namenskategorie braucht es eine oder mehrere "Naming Authorities", welche diese Aufgaben wahrnehmen. Für die Administration der Namen sollen geeignete Instrumente (wie beispielsweise eine zentrale Datenbank) eingesetzt werden. Tabelle 3 zeigt die Verantwortungen der "Naming Authority" auf. 9/16

10 Verantwortung Vergabe der Namen Kommentar Die "Naming Authority" definiert die organisatorischen Massnahmen und legt die Rahmenbedingungen für die Vergabe und für die Verwaltung der Namen fest. Sie kann beispielsweise die Vergabe und die Verwaltung der Namen an die Dienststellen delegieren. Tabelle 3: Verantwortung der Naming Authority Die "Naming Authority" regelt die Namenskonventionen für beispielsweise "Organisational Unit", "Person", "Funktion", "Gruppe" und "Räumlichkeit". Rolleninhaber Naming Authority: Für das Admin Directory übernimmt die Bundeskanzlei die Rolle der "Naming Authority" Datenschutzbeauftragter Der Datenschutzbeauftragte machte eine Empfehlung welche Daten veröffentlicht werden dürfen z.b. im Internet. Der Entscheid Daten öffentlich zugänglich zu machen liegt aber bei den Dienststellen. Verantwortung Kommentar Empfehlung Datenschutz Der Datenschutzbeauftragte empfiehlt welche Daten veröffentlicht werden dürfen. Tabelle 4: Verantwortung des Datenschutzbeauftragten Rolleninhaber Datenschutzbeauftragter: Für das Admin Directory ist der Eidg. Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig Betreiber des Admin Directory Die Betreiber sind beauftragt das Admin Directory zu betreiben. Tabelle 5 zeigt die Verantwortungen des Betreibers auf. Verantwortung Integrität Kommentar Die Informationen müssen gegen mutwillige Veränderungen (z.b. Manipulation) und unabsichtliche Veränderungen (z.b. Verfälschung der Informationen wegen eines Systemunterbruchs, usw.) geschützt werden. 10/16

11 Die Betreiber vergeben die Schreib-Zugriffsrechte nur an die Administratoren. Vertraulichkeit Die Informationen sind nur ausdrücklich autorisierten Personen zugänglich. Die Betreiber konfigurieren die entsprechenden Zugriffsrechte für die Benutzer und die Administratoren. Verfügbarkeit Tabelle 5: Betreiber des Admin Directory Die Informationen müssen jederzeit zugänglich sein. Die Betreiber garantieren eine Verfügbarkeit der Informationen, gemäss SLA. Sie überwachen die Funktionalität des DSA-Services und der Verbindungen zwischen den DSA. Im Falle einer Systempanne ist eine Interventionsprozedur definiert. Rolleninhaber Betreiber des Admin Directory: Der Betrieb des Admin Directory wird als Querschnittsleistung zentral durch das Bundesamt für Informatik und Telekommunikation (BIT) wahrgenommen Koordinationsgruppe Admin Directory und Serviceverantwortlicher (SV) Für das Anwendungsgebiet "Admin Directory" wird die Koordinationsgruppe Admin Directory unter der Leitung des Serviceverantwortlichen (SV) als federführende Stelle bestimmt. Sie sind beauftragt Schemaerweiterungen des Admin Directory zu bestimmen und zu publizieren. Tabelle 6 zeigt die Verantwortungen auf. Die Koordinationsgruppe Admin Directory nimmt die folgenden Aufgaben wahr: periodische Überprüfung auf Aktualität Anpassungen und Erweiterungen Abgleich mit den übrigen Anwendungsgebieten Der Serviceverantwortliche ist verantwortlich für die Syntax betreffend dem Schema und den Objekten des Admin Directory. Er koordiniert die Ausarbeitung der Weisungen und ist zuständig für Schema-Änderungs- und Erweiterungsanfragen. Er entscheidet aufgrund der möglichen Auswirkungen einer Änderung über das Änderungsverfahren. Erweiterungen können vereinfacht, Mutationen und Löschungen nur in einem mit allen Betroffenen abgesprochenes Verfahren behandelt werden. Weiter koordiniert er die Wartung und Aktualisierung der Syntax. Verantwortung DIT-Struktur Objektklassen Kommentar Integration des Admin Directory in den DIT X.500 und Strukturbezeichnung des Admin Directory Definition und Publikation der proprietären Objektklassen und Zuteilung der Objektidentifizierer (Object Identifiers - OID) 11/16

12 Attributtypen Definition und Publikation der proprietären Attributtypen und Zuteilung der Objektidentifizierer (Object Identifiers - OID) Syntax der Attribute Definition und Publikation der Syntax der Attribute gemäss Servicebeschreibung [AD_Service]. Tabelle 6: Koordinationsgruppe des Admin Directory und Serviceverantwortlicher (SV) Rolleninhaber Koordinationsgruppe Admin Directory und SV: Die Departemente und die Bundeskanzlei definieren ihre Vertreter in der Koordinationsgruppe Admin Directory. Die Kantone definieren ihre Vertreter via SIK. Die Rolle des Serviceverantwortlichen wird durch das Bundesamt für Informatik und Telekommunikation (BIT) wahrgenommen. Im Rahmen der Vorgaben des Standards organisiert sich die Koordinationsgruppe selbst. 9.2 Sicherheit Bei wichtigen Entscheidungen wird der Sicherheitsbeauftragte involviert. Er beurteilt als unabhängige Instanz Änderungen und Weiterentwicklungen des Admin Directory und entscheidet über die Umsetzung. Verantwortung Kommentar Beurteilung Sicherheit Der Sicherheitsbeauftragte entscheidet als unabhängige Instanz in Sicherheitsfragen und gibt entsprechende Aufträge zur Umsetzung an die Koordinationsgruppe und den SV Admin Directory. Tabelle 7: Verantwortung des Sicherheitsbeauftragten Rolleninhaber Sicherheitsbeauftragter: Für das Admin Directory ist der Sicherheitsbeauftragte des ISB zuständig. 10 Änderungsverfahren 10.1 Schema-Anpassungen im Admin Directory Das Schema des Admin Directory definiert die Gesamtheit der Regeln welche sämtliche Aspekte der erfassten Informationen kontrollieren: Die DIT-Struktur Die Objektklassen 12/16

13 Die Attributtypen Die Syntax der Attributwerte Das Schema des Admin Directory enthält eine Auswahl von Objektklassen und Attributtypen welche in den ITU-Empfehlungen X.521 [X.521(93)], respektive X.520 [X.520(93)] definiert sind. Um den Bedürfnissen der Nutzer des Admin Directory gerecht zu werden, kann dieses Schema angepasst werden. Während die Zufügung von bundesverwaltungseigenen Objektklassen und Attributtypen in einem einfachen Verfahren behandelt werden können, müssen Änderungen in Form von Mutationen oder Löschungen von bestehenden Strukturen und deren Auswirkungen in einem breiteren Verfahren koordiniert werden. Verantwortlich für die Koordination von groben Änderungen ist die Koordinationsgruppe Admin Directory und der Serviceverantwortliche (SV). 11 Anmeldung der Datensammlung beim EDÖB Die Datensammlung X.500 wurde am gemäss Art. 11 Abs. 2, Bundesgesetz über Datenschutz [SR235_1] und Art. 16, 17, Verordnung zum Bundesgesetz über Datenschutz [SR235_11] beim Eidg. Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) erstmals vom BIT für die ganze Bundesverwaltung angemeldet. Der Zweck der Datensammlung wurde wie folgt umschrieben: Abbild des Staatskalenders mit Integration des gelben Telefonbuches. 12 Archivierung der Datensammlung beim BAR Die Datensammlung des Admin Directory muss gemäss Bundesgesetz über die Archivierung vom archiviert werden. Die Archivierungs- und Befragungsmodalitäten der Daten, sowie das Datenformat des Admin Directory, werden mit dem BAR separat vereinbart. 13 Übergangsregelungen Für bestehende Implementierungen müssen Übergangslösungen mit einem bindenden, aber zumutbaren Zeitrahmen ausgearbeitet werden. Die Umstellung soll zudem wirtschaftlichen und organisatorischen Gesichtspunkten Rechnung tragen. Sie wird zwischen dem Integrationsmanager und dem Serviceverantwortlichen Admin Directory (SV) geregelt und kann beispielsweise bei einem Releasewechsel ausgeführt werden. 13/16

14 Anhänge A. Änderungen gegenüber Vorversion Migration des Standards in die neue Vorlage gemäss R010, Version 2-0. B. Bedeutung der Schlüsselwörter zur Bestimmung des Verbindlichkeitsgrades Der Verbindlichkeitsgrad der einzelnen Vorgaben wird im Dokument mittels folgender in Grossbuchstaben geschriebenen Schlüsselwörter gekennzeichnet: MUSS DARF NICHT DARF SOLL KANN Vorgabe, die einzuhalten ist (gewährte Ausnahmen ausgenommen) Option, die nicht gewählt werden darf Die Option ist explizit erlaubt. Die Nutzer entscheiden, ob sie die Option nutzen möchten. Betrifft die Vorgabe eine IKT-Lösung, muss der Anbieter der Lösung die Option anbieten. Option, die im Normalfall zu wählen ist. Es kann jedoch ohne Ausnahmegewährung des ISB davon abgewichen werden, insbesondere wenn die Wirtschaftlichkeit oder Sicherheit andernfalls nicht mehr gewährleistet werden können. Die Abweichung von der Vorgabe ist jedoch schriftlich zu begründen. Akzeptierte Option. Betrifft die Vorgabe eine Lösung, entscheidet der Anbieter der Lösung darüber, ob er die Option unterstützen will. C. Abkürzungen Kürzel Admin Directory BAKOM BAR BIT C oder c CN oder cn DAP DIB DIT DN DSG Bedeutung Elektronisches Verzeichnis der Bundesverwaltung Bundesamt für Kommunikation Schweizerisches Bundesarchiv Bundesamt für Informatik und Telekommunikation Country Abkürzung für Land CommonName Abkürzung für üblicher Name Directory Access Protocol Directory Information Base Directory Information Tree Distinguished Name Datenschutzgesetz, siehe Literaturverzeichnis [DSG] 14/16

15 Kürzel EDÖB ISB ITU LBK O oder o OU oder ou RDN SIK Bedeutung Eidg. Datenschutz- und Öffentlichkeitsbeauftragte Informatiksteuerungsorgan des Bundes International Telecommunication Union UIT: Union Internationale des Télécommunications Leistungsbezügerkonferenz Bund Organization Abkürzung für Organisation OrganizationalUnit Abkürzung für Suborganisation Relative Distinguished Name Schweizerische Informatikkonferenz D. Referenzen [BinfV] [URG] [RVOG] Verordnung über die Informatik und Telekommunikation in der Bundesverwaltung vom 09. Dezember 2011 (Stand am 01. Januar 2012); SR Bundesgesetz über das Urheberrecht und verwandte Schutzrechte vom 9. Oktober 1992 (Stand am 01. Januar 2011); SR Regierungs- und Verwaltungsgesetz vom 21. März 1997 (Stand am 01. Januar 2015) SR [ITU-X.500] The Directory: Overview of concepts, Models and Services, 1993 [ITU-X.509] The Directory: Authentication Framework, 1993 [OV-BK] Organisationsverordnung vom 5. Mai 1999 für die Bundeskanzlei, SR [OV-EFD] Organisationsverordnung EFD (OV-EFD, SR ) [AD_Service] [Skal] [SR ] [DSG] Servicebeschreibung Admin Directory 4. Schemadefinitionen, Definitionen der Struktur und Beschreibung der Datenquellen und Synchronisation. Eidgenössischer Staatskalender, herausgegeben von der Bundeskanzlei Verordnung über den Schutz von Personaldaten in der Bundesverwaltung vom 03. Juli 2001; SR Bundesgesetz über den Datenschutz vom 19. Juni 1992 (Stand am 01. Januar 2014); SR [SR ] Verordnung zum Bundesgesetz über den Datenschutz vom 14. Juni 1993 (Stand am 01. Dezember 2010); SR Das BIT stellt diese Informationen im Intranet elektronisch zur Verfügung 15/16

16 [X.520(93)] [X.521(93)] INTERNATIONAL TELECOMMUNICATION UNION - ITU, X Information technology Open Systems Interconnection The directory: Selected attribute types, 11/93 INTERNATIONAL TELECOMMUNICATION UNION - ITU, X Information technology Open Systems Interconnection The directory: Selected Object Classes, 11/93 16/16