BIO Thema Huisvesting Informatievoorziening - Verbindingsdocument
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.
| ||||||||||
Context beveiliging Huisvesting-IV
Onderstaande figuur schetst enkele basiselementen voor de huisvesting van informatievoorzieningen (IV).
Een gebouw van een willekeurig vrijstaand rekencentrum, is doorgaans gepositioneerd op een terrein, waarbij de toegang door middel van hekwerk is afgesloten voor publiek. Dit vormt de eerste barrière van fysieke beveiliging.
Personen zoals bezoekers moeten zich melden aan de toegangspoort alvorens ze naar binnen kunnen. Medewerkers kunnen direct naar binnen, gebruik makend hun toegangspas.
Eenmaal op het terrein, kunnen medewerkers alleen de ruimten waarvoor ze bevoegd zijn betreden met hun toegangspas. De informatiesystemen zelf zijn ondergebracht in afgeschermde, klimaat geconditioneerde ruimten, voorzien van een stabiele energievoorziening.
Goederen worden via een seperate laad-en los omgeving van- en naar de gebouwen en ruimten gebracht. Kabels voor nuts- en netwerkvoorzieningen worden extra beschermd en waar nodig dubbel uitgevoerd, zodat de continuïteit van informatievoorziening naar behoefte gegarandeerd is.
Onderstaande figuur geeft laat van het uitvoeringsdomein een schematische invulling zien. Het beleidsdomein omvat de randvoorwaarden voor de uitvoering van huisvesting van IV. De beheersing wordt verzorgd door objecten vanuit het controldomein, zoals beoordelingsrichtlijnen en Continuïteitsmanagement (BCM).
Huisvesting-IV omvat een geheel van objecten voor het leveren van betrouwbare hosting diensten. De essentiële objecten van Huisvesting-IV, of groepen daarvan, zijn uitgelicht in onderstaande figuur.
Het uitvoeringsdomein bevat een scala aan componenten die grofweg onder te verdelen zijn in Terreinen, Gebouwen, Faciliteiten, Werkruimten en Voorzieningen. De gebouwen zijn gevestigd op een locatie.
- Terrein – de omheinde, beschermde locaties van de Huisvesting IV
- Gebouwen – Dit zijn aan de huisvesting georiënteerde objecten die zorgen voor het fysieke bestaan van een Huisvesting-IV. Hieronder valt ook de fysieke zone-ring van gebouwen in ruimten.
- Voorzieningen – Voorzieningen zijn gerelateerd aan de fysiek georiënteerde objecten ten behoeve van de huisves-ting. Dit is gericht op: Bedrijfsmiddelen en Nutsvoorzieningen (zoals gas, elektra, water maar ook brandblussers etc.).
- Faciliteiten - Middelen waarmee beveiligingsfuncties gerealiseerd worden, zoals toegangspoorten, brandmelders/blussers etc.
Er zijn bedrijfsmiddelen en specifieke IT-middelen ingezet waarmee Huisvesting-IV diensten worden geleverd. Deze mid-delen zijn continu onderhevig aan veran-deringen en vernieuwingen.
Voor een optimale dienstverlening moe-ten deze middelen onderhouden en/of gecontroleerd worden. M.a.w. dit zijn zowel fysieke als elektronisch en informatietechnologie gerelateerde objecten ten behoeve van de te leveren huisvesting van IV diensten.
Generieke objecten
Onderstaande tabel toont alle relevante items op een rij, die in samenhang de huisvesting van IV kunnen beveiligen.
| Nr | Bron: ISO/BIO of alternatief | Generieke objecten |
|---|---|---|
| 1. | 5.1.1. | Huisvestingsbeleid |
| 2. | 7.2.2. | Training en Awareness |
| 3. | 8.1.2. | Eigenaarschap |
| 4. | 18.1.1. | Wet en regelgeving |
| 5. | Uit SIVA analyse | Organisatie |
| 6. | Uit SIVA analyse | Architectuur |
| 7. | idem -> ITIL | Contractmanagement |
| 8. | idem -> ITIL | Servicelevelmanagement |
| 9. | idem -> NIST | Certificering |
| 10. | 8.1.1. | Bedrijfsmiddelen inventaris |
| 11. | 11.1.1. | Fysieke zonering |
| 12. | 11.1.2. | Fysieke toegangsbeveiliging |
| 13. | 11.1.3. | Beveiligingsfaciliteit |
| 14. | 11.1.4. | Interne en Externe bedreigingen |
| 15. | 11.1.5. | Richtlijnen gebieden en ruimten |
| 16. | 11.1.6. | Laad- en loslocatie |
| 17. | 11.2.1. | Apparatuur positionering |
| 18. | 11.2.2. | Nutsvoorzieningen |
| 19. | 11.2.3. | Bekabeling |
| 20. | 11.2.4. | Apparatuur onderhoud |
| 21. | 11.2.5. | Bedrijfsmiddelen verwijdering |
| 22. | 11.2.7. | Apparatuur verwijdering |
| 23. | 9.2.1. | Registratieprocedure |
| 24. | 9.2.4. | Beoordeling Fysieke toegangsrechten |
| 25. | Uit SIVA analyse | Controle richtlijn Huisvesting-IV |
| 26. | idem | Onderhoudsplan |
| 27. | idem | Huisvestingsbeheerorganisatie |
| 28. | idem -> ITIL | Continuïteitsmanagement |
Dergelijke items worden in de BIO- thema’s objecten genoemd. De meeste van deze objecten zijn in de vorm van een beheersmaatregel al van kracht in de ISO-27001.
Objecten zijn generiek gemaakt, om ze voor andere thema’s kunnen hergebruiken.
Generieke objecten worden inclusief om-schrijving opgeslagen in de objectenbibliotheek ISOR.
Enkele van de objecten zijn uniek voor de overheid en daarom in de BIO ‘verplicht’ genormeerd zijn.
Objecten, die aanvullend aan de ISO norm nodig geacht worden voor de bevei-liging van een bepaald toepassingsgebied, zijn met behulp van de SIVA analyse be-paald en relateren daarbij zo mogelijk aan standaarden als ITIL, NIST, BSI of de Standard of Good Practice.
Positionering van objecten gerelateerd aan SIVA basiselementen
Onderstaande figuur zet de objecten uit de lijst van figuur 4 bij elkaar in de aandachtsgebieden Beleid, Uitvoering en Control, feitelijk een andere view op de inhoud van de vorige pagina. In totaal gaat het om Gebouwen en voorzieningen, wat alles is wat je nodig hebt om ICT te kunnen huisvesten, zoals infrastructuur: kabels, stroomvoorziening, koeling etc. inclusief de nodige procedures en beheervoorzieningen. In cursief-rood zijn de SIVA-basiselementen weergegeven.
De “witte blokken” zijn de objecten die weliswaar niet genormeerd zijn in de ISO-norm, maar waarvan wel geacht wordt dat ze een onmisbare bijdrage leveren aan de weerbaarheid en de integrale beveiliging van de bedrijfsmiddelen, informatievoorzieningen en data.
Cross Reference naar praktijktoepassingen
Tenslotte een Cross-Reference van beveiligingsobjecten naar beproefde praktijkvoorbeelden. Doel is de overheden praktische handreikingen aan te bieden, in de vorm van richtlijnen en patronen; bij voorkeur gesorteerd op verschillende schaalgroottes met een bijbehorende uitvoeringscontext.
Met deze voorbeelden kunnen overheden hun eigen omgeving toetsen en waar nodig (her)inrichten.
Brondocumenten
Onderstaande lijst van brondocumenten verwijst vrijwel grotendeels naar publiek- toegankelijke documenten. Er is minimaal gebruik gemaakt van links, om ‘dode’ verwijzingen te voorkomen. Via Rijksweb of overheids interne websites of Google-search kunnen de documenten gevonden worden.
Op NEN-ISO documenten rusten licentierechten.