Beveiligingsorganisatie Clouddiensten

Versie 2.0 van 1 juni 2021 van de BIO Thema-uitwerking Clouddiensten is vervangen door versie 2.1 van 29 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.

Verwante principes → BIO Thema-uitwerking Clouddiensten → Binnen dit normenkader èn beveiligingsaspect → Alle Normenkaders → Alle Beveiligingsprincipes → Alle Normen → Beveiligingsaspecten → ISOR

De beveiligingsfunctie omvat de geformaliseerde taken en verantwoordelijkheden met betrekking tot de clouddiensten. Binnen de beveiligingsfunctie is geregeld dat contact wordt onderhouden met verantwoordelijken binnen de CSC-organisatie wanneer sprake is van beveiligingsincidenten.

De beveiligingsorganisatie van de CSP ziet toe op het naleven van haar informatiebeveiligingsbeleid, haar clouddienstenbeleid en overig hieraan gerelateerd beleid. Waar nodig grijpt de beveiligingsorganisatie in. De taken, verantwoordelijkheden, bevoegdheden en middelen die de beveiligingsorganisatie hiervoor heeft, zijn vooraf expliciet, in relatie tot de CSC, benoemd en vastgesteld. Ook moet vooraf vaststaan hoe de rapportagelijnen tussen de beveiligingsverantwoordelijken zijn georganiseerd.

Criterium

De CSP behoort een beveiligingsfunctie te hebben benoemd en een beveiligingsorganisatie te hebben ingericht, waarin de organisatorische positie, de taken, verantwoordelijkheden en bevoegdheden van de betrokken functionarissen en de rapportagelijnen zijn vastgesteld.

Doelstelling

De reden waarom de norm gehanteerd wordt.

Risico

Indeling binnen ISOR

Dit beveiligingsprincipe:

• is gericht op het Beveiligingsaspect Beleid;
  
• valt binnen de Invalshoek Structuur.
  

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten: Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is CIP-netwerk

Onderliggende normen

ID	Conformiteitsindicator	Stelling
CLD_B.10.01	Beveiligingsfunctie	De beveiligingsfunctie, die geleid wordt door een Chief Security Officer (CSO), ondersteunt de Cloud Service Provider (CSP) voor het bewerkstelligen en promoten van het cloud-beveiligingsbeleid door het: ontwikkelen en onderhouden van een beveiligingsstrategie en het -beleid; ontwikkelen van beveiligingsstandaarden, procedures en richtlijnen; definiëren van een set beveiligingsdiensten; coördineren van beveiliging door de gehele organisatie; monitoren van de effectiviteit van clouddienstreglementen; bieden van overzicht van en het doen van onderzoeken naar beveiligingsdiensten.
CLD_B.10.02	Beveiligingsfunctie	De beveiligingsfunctie voorziet in proactieve ondersteuning van: activiteiten van cloud-risicoassessment; classificeren van informatie en systemen; gebruik van encryptie; beveiligen van gerelateerde projecten; ontwikkelen van bedrijfscontinuïteitsprogramma en beveiligingsaudits.
CLD_B.10.03	Organisatorische positie	De Cloud Service Provider (CSP) heeft de informatiebeveiligingsorganisatie een formele positie binnen de gehele organisatie gegeven.
CLD_B.10.04	Taken, verantwoordelijkheden en bevoegdheden	De Cloud Service Provider (CSP) heeft de verantwoordelijkheden bij informatiebeveiliging voor het definiëren, coördineren en evalueren beschreven en toegewezen aan specifieke functionarissen.
CLD_B.10.05	Taken, verantwoordelijkheden en bevoegdheden	De taken, verantwoordelijkheden en bevoegdheden zijn vastgelegd in een autorisatiematrix.
CLD_B.10.06	Functionarissen	De belangrijkste functionarissen (stakeholders) voor informatiebeveiliging zijn benoemd en de onderlinge relaties zijn met een organisatieschema inzichtelijk gemaakt.
CLD_B.10.07	Rapportagelijnen	De verantwoordings- en rapportagelijnen tussen de betrokken functionarissen zijn vastgesteld.
CLD_B.10.08	Rapportagelijnen	Het type, de frequentie en de eisen voor de inhoudelijke rapportages zijn vastgesteld.

Datum waarop document het laatst is gepubliceerd (http://standaarden.overheid.nl/owms/4.0/doc/eigenschappen/dcterms.modified)

Datum waarop de laatste versie is geïmplementeerd of de laatste wijziging is aangebracht.

Het informatiebeveiligingsbeleid verbindt de bedrijfsdoelstellingen met beveiligingsdoelstellingen. Met de beveiligingsdoelstellingen geeft een organisatie aan op welke wijze – door het treffen van beveiligingsmaatregelen – de bedrijfsdoelstellingen nagestreefd worden.

Het proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen.