BIO Thema Huisvesting Informatievoorziening - Inleiding
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.
| ||||||||||
Inleiding
Dit document bevat een referentiekader voor Huisvesting-IV (Informatievoorzieningen). Het is gebaseerd op controls uit ISO 27001-bijlage A en BIO v0.5. Voor die aspecten, waar de ISO-27002 onvoldoende praktische invulling geeft, zijn de volgende best practices geraadpleegd: de BIR 1.0 de Standard of Good Practice van ISF (SoGP), de NIST, en Cobit. Onderstaande afbeelding geeft de relatie weer tussen het thema Huisvesting Informatievoorziening, verder genoemd Huisvesting-IV, en de overige thema’s.
Huisvesting Informatievoorziening
In dit document wordt een set beveiligingsmaatregelen met betrekking tot het thema Huisvesting-IV uitgewerkt. Deze beveiligingsmaatregelen zijn gerelateerd aan relevante onderwerpen (bronobjecten) uit de ISO 27001 (2013) en BIR 2017/BIO 2017 v0.5. Eventueel ontbrekende bronobjecten, die uit analyses voortvloeien, worden betrokken uit andere baselines, zoals Standard of Good Practice, NIST en uit Handboeken van organisaties die in de praktijk gehanteerd worden. Voor noodzakelijke details bij specifieke maatregelen wordt verwezen naar operationele practices. De relatie tussen deze documenten wordt in onderstaande afbeelding weergegeven.
De bronobjecten uit de ISO-norm en uit de BIR en de bijbehorende maatregelen gelden zowel voor implementatie- als voor audit-doeleinden. Samenvattend komt het erop neer dat de bronobjecten en de bijbehorende maatregelen georganiseerd zijn in drie domeinen: Beleid, Uitvoering en Control. Onderstaande afbeelding schetst de structuur waarin een relatie wordt gelegd tussen het objecten binnen het Beleidsdomein, het Uitvoeringsdomein en het Control domein voor Huisvesting-IV.
Scope en begrenzing van Huisvesting Informatievoorziening
De eisen die gesteld moeten worden aan Huisvesting-IV, worden in het bijzonder bepaald door de fysieke bescherming van de apparatuur, die gebruikt wordt voor verwerking, transport en opslag van data. De opkomst van de IT-clouddiensten betekent veranderingen in de aanschaf van IT diensten en de daarvoor benodigde huisvesting.
Het management van de doelorganisatie blijft echter verantwoordelijk voor het gehele bedrijfsproces en onderliggende IT ondersteuning. Daarom worden er besluiten genomen op basis van: functionaliteit, wet- en regelgeving (beveiliging) en kosten. Dit heeft invloed op de keuze welke type Huisvesting-IV past bij de organisatie.
De volgende drie opties zijn mogelijk:
- Fysieke huisvesting: bij deze de traditionele huisvesting is het rekencentrum ondergebracht binnen één fysieke locatie en welke onder beheer is van de doelorganisatie.
- Modulaire huisvesting: bij deze vorm van de huisvesting is het rekencentrum ondergebracht in mobiele bouwblokken, welke flexibel ‘gestapeld’ kunnen worden tot de benodigde capaciteit bereikt is (vrachtcontainers).
- Virtuele huisvesting: bij deze vorm van huisvesting is het rekencentrum ondergebracht in de cloud; dit kan zowel een private als public cloud zijn. Bij deze vorm van huisvesting valt slechts een beperkt deel van de bedrijfsmiddelen onder het technisch beheer en de bestuurlijke invloed van de doelorganisatie; men neemt een dienst af en stelt eisen. Hoe groot de invloed van de doelorganisatie is, hangt af van inrichtingskeuzes, maar vooral van de te leveren diensten door leveranciers, zoals IAAS, PAAS of SAAS.
Afhankelijk van de gemaakte inrichtingskeuze voor de Huisvesting-IV, zijn normen voor huisvesting in meer of mindere mate van toepassing. Hier beschreven is optie 1: ‘Fysieke huisvesting’ en daarbij de generieke objecten m.b.t. Huisvesting-IV, die gerelateerd zijn aan terreinen, gebouwen, ruimten en middelen, zoals aangegeven in onderstaande afbeelding. Vanuit huisvestingsbeleid (Beleidsdomein) wordt de inrichting en beveiliging van de resources binnen het Uitvoeringsdomein aangestuurd en met beheersing op de uitvoering wordt grip verkregen op de naleving van de gestelde beveiligingseisen (Control domein).
Aanpak uitwerking thema Huisvesting Informatievoorziening
De toelichting schetst de standaard methodiek waarmee BIO-thema’s worden opgesteld. Een uitgebreide uitwerking van de methodiek is beschreven in het document: ‘SIVA en toepassingssystematiek’.