BIO Thema Clouddiensten/Verantwoording aanpak: verschil tussen versies
k (enter toegevoegd) |
k (hyperlink toegevoegd) |
||
| Regel 30: | Regel 30: | ||
==Baselines== | ==Baselines== | ||
Hiernaast zijn bestaande baselines geraadpleegd, voor zover ze specifiek zijn voor clouddiensten. De specifieke objecten, ook vanuit de eisen en wensen van de CSC-zijde en de dreigingen, uit de baselines zijn geselecteerd voor en toegespitst op de cloud-omgeving. Verder is er een koppeling gelegd met de BIO en met de ISO 27017, die specifiek gericht is op clouddiensten. Onderstaande afbeelding geeft een overzicht van de beschreven stappen. | Hiernaast zijn bestaande baselines geraadpleegd, voor zover ze specifiek zijn voor clouddiensten. De specifieke objecten, ook vanuit de eisen en wensen van de CSC-zijde en de dreigingen, uit de baselines zijn geselecteerd voor en toegespitst op de cloud-omgeving. Verder is er een koppeling gelegd met de [[BIO (Baseline Informatiebeveiliging Overheid)|BIO]] en met de [[NEN-ISO/IEC 27017:2015 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services)|ISO 27017]], die specifiek gericht is op clouddiensten. Onderstaande afbeelding geeft een overzicht van de beschreven stappen. | ||
[[Afbeelding:BIO Thema Clouddiensten - Het traject van de totstandkoming van het thema cloud document.png|thumb|none|500px|Het traject van de totstandkoming van het thema cloud document|alt=”Het traject van de totstandkoming van het thema cloud document”]] | [[Afbeelding:BIO Thema Clouddiensten - Het traject van de totstandkoming van het thema cloud document.png|thumb|none|500px|Het traject van de totstandkoming van het thema cloud document|alt=”Het traject van de totstandkoming van het thema cloud document”]] | ||
Versie van 13 aug 2021 21:23
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.
Hierna volgt een korte verantwoording over de aanpak, de keuzes die gemaakt zijn en de inhoudelijke objecten die gebruikt zijn in dit thema.
Aanpak thema Cloud
Om te komen tot een document dat breed draagvlak heeft en toegevoegde waarde biedt aan de overheidsorganisaties, zijn in dit thema de objecten langs drie assen getraceerd:
- CSC-eisen
- bedreigingen/kwetsbaarheden
- baselines
CSC-eisen
Om de specifiek CSC-georiënteerde aandachtspunten te traceren, zijn vragen gesteld aan overheidsorganisaties, om zo te komen tot een set van eisen en wensen. Op basis van de eisen en wensen zijn objecten geïdentificeerd. Hierbij zijn aan de doelorganisaties en cloudgroepssessies enkele vragen gesteld, zoals:
- Hoe kan dit thema jullie organisatie helpen bij het verwerven van clouddiensten?
- Wat moet minimaal uitgewerkt worden in het thema clouddiensten?
- Welke eisen worden door overheidsorganisaties gesteld bij het verwerven van clouddiensten?
- Zijn vanuit dit thema verbindingen noodzakelijk met functionele eisen voor clouddiensten en normatiek?
Aan enkele overheidsorganisaties, die inmiddels al over specifieke cloudnormenkaders beschikken, zijn vragen gesteld over de beschikbaarstelling van hun beleidskaders of normenkaders op dit vlak.
Bedreigingen/kwetsbaarheden
Om wat specifieke objecten te identificeren, is er ook gericht op de algemene dreigingen en kwetsbaarheden die voortvloeien uit het toepassen van de clouddiensten.
Sommige overheidsorganisaties die inmiddels over specifieke cloudnormenkaders beschikken, zijn tevens de vraag om hun kaders, via dit thema voor een groter publiek open te stellen voor hergebruik.
Baselines
Hiernaast zijn bestaande baselines geraadpleegd, voor zover ze specifiek zijn voor clouddiensten. De specifieke objecten, ook vanuit de eisen en wensen van de CSC-zijde en de dreigingen, uit de baselines zijn geselecteerd voor en toegespitst op de cloud-omgeving. Verder is er een koppeling gelegd met de BIO en met de ISO 27017, die specifiek gericht is op clouddiensten. Onderstaande afbeelding geeft een overzicht van de beschreven stappen.
Aan enkele overheidsorganisaties, die inmiddels al over specifieke cloudnormenkaders beschikken, is de vraag gesteld om hun cloudbeleidskader en/of cloudnormenkader beschikbaar te stellen.