1322
U

Eigenschap:Beschrijving

Uit NORA Online
Ga naar: navigatie, zoeken
KennismodelKennismodel NORA
TypeTekst
Geldige waarden
Meerdere waarden toegestaanNee
Weergave op invulformulierenTekstvak
Defaultwaarde
ToelichtingDeze elementeigenschap kan gebruikt worden om een element te voorzien van een beschrijving.
Specialisatie van



Deze eigenschap wordt gebruikt door de volgende elementtypen:


Pagina's die de eigenschap "Beschrijving" gebruiken

Er zijn 500 pagina's die deze eigenschappen gebruiken.

(vorige 500 | volgende 500) (20 | 50 | 100 | 250 | 500) bekijken.

'
'Mastering Alliances' published, a whitepaper on cross-organizational collaboration +'Mastering Alliances' published, a whitepaper on cross-organizational collaboration  +
(
(Software) configuratie management +Configuratiebeheer is het beheerproces dat onder andere verantwoordelijk is voor het registreren van de software configuratie-items (SCI's) en hun specifieke kenmerken, zodat de SCI's altijd uniek te identificeren zijn en de volledigheid en de juistheid van de in de CMDB opgenomen items gewaarborgd is. Configuratie beheer geeft inzicht in de status van de verschillende SCI’s die binnen het ontwikkeltraject worden gebruikt en geeft de relaties weer tussen deze SCI’s. Hierdoor wordt duidelijk welke gevolgen aanpassingen van het ene SCI heeft voor andere SCI’s.  +
(Ver)sterkte authenticatie +(Ver)sterkte authenticatie. Bij het elektronisch communiceren vanuit een niet vertrouwde omgeving (bijvoorbeeld vanuit de externe zone) kan het noodzakelijk zijn extra zekerheden (boven het basisniveau beveiliging) te verkrijgen over de identiteit van derden. De hiervoor te treffen maatregelen worden afgestemd met het in dit gevoerde beleid en de beschikbare generieke oplossingen.  +
1
10 lessen van datagedreven werken bij EZK en LNV +10 lessen van datagedreven werken bij EZK en LNV  +
14+ netnummer +Met een 14+netnummer krijgen gemeenten een herkenbare telefonische ingang. Een 14+netnummer begint met de cijfers 14 en eindigt op het netnummer van de gemeente (zoals 14 010 of 14 0115). Door te bellen met het 14+netnummer komt de burger uit bij zijn gemeente.  +
2
22 januari Linked Data en Knowledge Graphs in Beeld en Geluid +22 januari Linked Data en Knowledge Graphs in Beeld en Geluid  +
7
7 November 2018 Congres Linked Data is FAIR voor Iedereen +7 November 2018 Congres Linked Data is FAIR voor Iedereen  +
@
@TIOH sessie juni 2019 +Tweede sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. Op het programma in ieder geval een kijkje in de keuken van DNB Toezicht, met oog voor de digitale ambitie en voorbeelden van innovatief gebruik van data (science) in het toezicht. Andere onderwerpen kunnen nog worden aangemeld, zeker als ze hier bij aansluiten. NB: De [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)|community]] heeft een [https://noracommunity.pleio.nl/groups/profile/57979282/tioh besloten Pleio-groep] waarop documenten en verslagen gedeeld worden. Alleen mensen die beschikken over een mailadres van een publieke organisatie in de domeinen Toezicht Inspectie Opsporing en/of Handhaving mogen hiervan lid worden.  +
@TIOH sessie maart 2020 +Derde sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. DEZE SESSIE IS AFGELAST I.V.M. CORONA NB: De [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)|community]] heeft een [https://noracommunity.pleio.nl/groups/profile/57979282/tioh besloten Pleio-groep] waarop documenten en verslagen gedeeld worden. Alleen mensen die beschikken over een mailadres van een publieke organisatie in de domeinen Toezicht Inspectie Opsporing en/of Handhaving mogen hiervan lid worden.  +
@TIOH sessie mei 2020 +Vierde sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]].  +
@TIOH sessie november 2019 +Derde sessie van de [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)]]. Onderwerpen kunnen nog worden aangemeld. NB: De [[architectuur-community Toezicht Inspectie Opsporing Handhaving (@TIOH)|community]] heeft een [https://noracommunity.pleio.nl/groups/profile/57979282/tioh besloten Pleio-groep] waarop documenten en verslagen gedeeld worden. Alleen mensen die beschikken over een mailadres van een publieke organisatie in de domeinen Toezicht Inspectie Opsporing en/of Handhaving mogen hiervan lid worden.  +
A
AES +De AES-standaard is een versleutelingstechniek voor de bescherming van de vertrouwelijkheid van opgeslagen en verzonden data en is de vervanger van de verouderde DES standaard. AES wordt zowel binnen Nederland als wereldwijd zeer veel en op, op zeer veel verschillende wijzen gebruikt. Voorbeelden van het gebruik zijn: # In programma's zoals WinRAR, WinZip, PowerArchiver, e.d. wordt AES als encryptie aangeboden. # AES wordt toegepast voor beveiliging (WPA2) in draadloze netwerken (Wifi), zie IEEE 802.11i. # AES wordt toegepast voor het versleutelen van gegevens voor verzending over het internet, https verkeer etc. # In hardware voor netwerken wordt veelvuldig gebruikt gemaakt van AES.  +
API community 19 november 2019 +Verslag eerste bijeenkomst API-community gepubliceerd  +
API’s en de samenwerkende overheid +[[Afbeelding:Presentatie API's Youetta 2.jpg|thumb|rigth|350px|Presentatie API's en de samenwerkende overheid|alt=Presentatie in vergaderzaal over het onderwerp API's en de samenwerkende overheid”|link=API’s en de samenwerkende overheid]] Youetta de Jager (ICTU, senior consultant) neemt de deelnemers mee op reis met de API-strategie van de overheid. Maar wat is eigenlijk zo’n API? Wat kan een API en wat weten we er al over? NORA ondersteunt de community in het ontwikkelen van een strategie en het gebruik van API’s. Waar is behoefte aan bij dit thema? Door [[API|API’s]] (Application Programming Interfaces) kunnen computerprogramma’s communiceren met een ander programma. Het zijn programmeerbare blokjes waarmee een dienst slim samengesteld kan worden. API’s bieden mogelijkheden voor privacy-by-design. Er zijn bijvoorbeeld API’s die alleen ja/nee antwoorden geven. Daarmee kan het gebruik van Self Sovereign Identity worden gerealiseerd. “Tot nu toe is er veel technisch werk verricht. Er liggen bijvoorbeeld standaarden voor API’s”, vertelt Youetta. “Dar gaat nog vooral om de vraag: welke data zitten erin? Als gebruiker wil je weten hoe robuust zo’n dienst gebouwd is. Bijvoorbeeld: deze API is 24/7 beschikbaar. Of: deze API is geschikt voor meer dan 10000 gebruikers.” Ze heeft een [[media:Mindmap API's en de samenwerkende overheid.pdf|Mindmap (PDF, 80 kB)]] gemaakt over API’s en nodigt iedereen uit: “Werk mee, denk mee, vul aan.” ===Waar hebben deelnemers behoefte aan?=== * “Help ons standaarden beter te begrijpen.” * “Vindbaar maken en bieden van standaarden.” * “API’s kunnen plotten op alle architectuurlagen. Structuren.” * “Hoe maken we de transitie naar op API’s gebaseerde diensten?” * “Omschrijvingen van API’s vanuit de behoefte van de eindgebruiker en eisen aan de dienst.” * “Behoefte aan organisatie die API’s publiceert en beheert: een soort API Management Platform.” * “Gemeenten werken samen in de Common Ground. We zijn al met API’s bezig. Eigenlijk wil je dat ook landelijk als overheid. NORA kan een rol hebben in het bij elkaar brengen van die ontwikkelingen.“ ==Voorbeelden== Er zijn voorbeelden beschikbaar, vertelt Youetta. “Uber heeft architectuur met API’s, ook de Belastingdienst heeft voorbeelden. Er zijn mogelijkheden kennis uit te wisselen.” In NORA staan al namen van organisaties die met API’s werken, met contactpersonen erbij. “Wat verwacht je van NORA?”, vraagt Youetta. “Focus op het gemeenschappelijke niveau. Domeinspecifiek hoort bij de domeinreferentie architecturen.” Youetta vertelt wat er al gebeurt: “We maken een verbinding tussen het Kennisplatform API’s en de NORA. Ontwerpvragen als ‘Hoe ontwerp ik een API?’ pakt developer.overheid.nl op. Op dat platform worden ook de API’s gepubliceerd.” Het gedachtengoed van API’s wordt verwerkt in de NORA in de themapagina [[API]]. : → [[media:Mindmap API's en de samenwerkende overheid.pdf|Mindmap API's en de samenwerkende overheid (PDF, 80 kB)]] [[Afbeelding:Presentatie API's Youetta 1.jpg|thumb|none|350px|Presentatie API's en de samenwerkende overheid|alt=Presentatie in vergaderzaal over het onderwerp API's en de samenwerkende overheid”|link=API’s en de samenwerkende overheid]]  +
ASN.1 +ASN is een standaard manier voor het beschrijven van data die binnen een netwerk verzonden of ontvangen worden. Abstract syntax notation one (ASN.1). ASN.1 wordt veel gebruikt voor het beschrijven van X.509 certificaten en de toepassing ervan. Voorbeeld van een toepassing is RSA public key voor beveiliging van het transactieverkeer in de elektronische handel. Hiernaast beschrijft deze standaard rollen en structuren om data in telecommunicatie en computer netwerken te representeren, te coderen, over te brengen en te decoderen. Hierdoor is het mogelijk grote hoeveelheden gegevens geautomatiseerd te valideren aan de hand van specificaties met behulp van software tools.  +
Aanwijzingen voor de regelgeving +Circulaire van de Minister-President, Aanwijzingen waarbij de wetgevingstechniek en de wetgevingskwaliteit centraal staan. Hoofdstuk 5, paragraaf 8 behandelt de Informatievoorziening en Gegevensverwerking. Bevat de aanwijzigingen: Aanwijzing 5.31. Aansluiten bij definities basisregistraties Indien voor de uitvoering van een regeling gegevens van burgers, bedrijven of instellingen nodig zijn, wordt voor de omschrijving van de daaraan ten grondslag liggende begrippen zoveel mogelijk verwezen naar of aangesloten bij de definities uit de wetten inzake de basisregistraties Aanwijzing 5.32. Informatieparagraaf in toelichting Indien voor de uitvoering van een regeling de beschikbaarheid of uitwisseling van informatie tussen overheidsorganisaties van betekenis is, wordt in een aparte informatieparagraaf in de toelichting aandacht besteed aan de wijze waarop de informatievoorziening organisatorisch en technisch is ingericht. Aanwijzing 5.33. Verwerking van persoonsgegevens Bij het opnemen in een regeling van bepalingen over de verwerking van persoonsgegevens bevat de regeling een welbepaalde en uitdrukkelijke omschrijving van de doeleinden van de gegevensverwerking en bevat de toelichting een expliciete afweging van de belangen van verantwoordelijken en betrokkenen in relatie tot die doeleinden. Aanwijzing 5.34. Structurele basis verstrekking persoonsgegevens Indien het noodzakelijk is dat op structurele basis wordt voorzien in de onderlinge verstrekking van persoonsgegevens tussen bestuursorganen of toezichthouders, terwijl geldende geheimhoudingsbepalingen daaraan in de weg staan, wordt op het niveau van de formele wet voorzien in een uitdrukkelijke regeling van de gegevensverstrekking, met inbegrip van de vaststelling van het doel van de gegevensverstrekking.  +
Ades Baseline Profiles +Elektronische handtekeningen worden gebruikt voor het ondertekenen van digitale berichten. Een elektronische handtekening is voor de ontvanger het bewijs dat een elektronisch bericht inderdaad afkomstig is van de ondertekenaar en dat deze de inhoud van het bericht onderschrijft. Voor het ondertekenen van berichten die een hoger niveau van betrouwbaarheid vereisen, kunnen geavanceerde elektronische handtekeningen of gekwalificeerde elektronische handtekeningen worden gebruikt. De AdES Baseline Profiles zorgen ervoor dat een geavanceerde/gekwalificeerde elektronische handtekening voor de ondertekenaar en ontvanger uitwisselbaar is door eisen te stellen aan de minimale set aan informatie die wordt uitgewisseld. De AdES Baseline Profiles beschrijven de minimale set aan gegevens die uitgewisseld moeten worden om aan de eisen van een geavanceerde elektronische handtekening te voldoen. Een geavanceerde elektronische handtekening voldoet aan vier eisen: # De handtekening is op unieke wijze aan de ondertekenaar verbonden; # De handtekening maakt het mogelijk de ondertekenaar te identificeren; # De handtekening komt tot stand met middelen die de ondertekenaar onder zijn uitsluitende controle kan houden; # De handtekening is op zodanige wijze aan het elektronisch bestand waarop zij betrekking heeft verbonden, dat elke wijziging van de gegevens, na ondertekening, kan worden opgespoord.  +
Afnemer +De persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn.  +
Algemene Verordening Gegevensbescherming (AVG) +Per 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) ([https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/verordening_2016_-_679_definitief.pdf pdf]) van toepassing. Dat betekent dat er vanaf die datum nog maar één privacywet geldt in de hele Europese Unie (EU). De [[Wet Bescherming Persoonsgegevens]] is daarmee komen te vervallen. Nederland heeft de Europese AVG verwerkt in de Nederlandse [[Uitvoeringswet AVG]].  +
An introduction to Society Architecture +<big>'Reinvent Government,'</big> dagen Steven Gort en Bas Kapteijn (ICTU, Discipl) ons uit. [[Afbeelding:Presentatie Bas en Steven NORA Gebruikersdag 19 november 2019 (2).jpg|thumb|left|350px|Discipl - a global Society Architecture|alt=Presentatie in vergaderzaal Discipl - a global Society Architecture”|link=Discipl - a global Society Architecture]] [[Afbeelding:Impressie sessie Society Architecture.jpg|thumb|right|500px|Impressie van oude en nieuwe werkwijze overheidsdienstverlening|alt=Twee tekeningen onder elkaar met als titels Reinventing Government en Reinvented Government. Beide platen hebben in het midden een viertal poppetjes, zo te zien een gezin, waarbij van een van de volwassenen een denkwolkje omhoog gaat met daarin datzelfde gezin in een huis in Ommen. Die tekstwolk heeft als titel NEED. Beide platen hebben links een weegschaal in een kader met de tekst Wetten, Regels, Subsidies, Toeslag. In de eerste plaat, het heden, gaat hierheen een blauwe pijl vanuit de familie met als tekst 'Ik zoek uit.' Vanuit het kader gaat vervolgens weer een blauwe pijl met de tekst ik vertaal naar twee officiële overheidsdiensten: "Sociale huurwoning" en "huurtoeslag." Vanuit het gezin komt een blauwe pijl naar deze twee diensten met de tekst 'ik vraag aan', die doorloopt naar een groepje gebouwen met verschillende loketten, waaronder staat Uitvoerende organisaties. Vanuit die organisaties loopt een tweezijdige paarse pijl met de tekst 'zij registreren, zij checken' naar een kader met een aantal gekleurde silo's er in en de tekst Datasilo's. Deze silo's zijn met een laatste blauwe pijl vanuit het gezin verbonden met de tekst 'ik vraag op, deel, verzamel, actualiseer. De tweede tekening, reinvented government, bevat een aantal dezelfde elementen: het gezin, het kader met wetten en regels en de uitvoerende organisaties. De laatste zijn echter getransformeerd van verschillend gekleurde loketten in een loket voor mensen met Welkom er boven en een voor IoT met antennes op het dak. De grootste toevoeging in deze tekening is een mobiele telefoon met als tekst 'My public-private servant app.' Vanaf het gezin gaat een blauwe pijl naar de app, met als tekst 'ik uit mijn behoefte.' Vervolgens gaan vanuit de app een aantal pijlen lopen: Naar de datasilo's, die inmiddels meer verspreid staan, met de tekst "app checkt situatie." Naar de het kader met wetten met de tekst "App checkt mogelijkheden." naar het gezin met de tekst "App legt opties voor." En naar het IoT loket met "App vraagt aan." Voor die laatste pijl is er echter nog de pijl van beide volwassen gezinsleden naar de app: wij besluiten.]] Als de bestaande organisaties, silo's en administratieve werkelijkheid er niet zouden zijn en je opnieuw zou beginnen, hoe zou je dan vandaag of morgen publieke dienstverlening inrichten? Voor hen is dit duidelijk: de mens en de behoeften van die mens moeten centraal staan en de rest organiseer je flexibel genoeg om te veranderen als onze behoeften als burgers en samenleving veranderen. Gegevens die nu in silo's van overheden zitten moeten onder regie van de burger komen, bereikbaar vanuit je eigen devices en deelbaar als dat voor jou nuttig is. Wetten, regels, subsidies en toeslagen dienen de mens en moeten dus begrijpelijk worden in je eigen unieke context. Daar kan de techniek een handje bij helpen, als we wetten en regels als open linked data beschikbaar stellen: een persoonlijke app kan jouw gegevens en de wettelijke mogelijkheden voor je uitzoeken en wat in jouw situatie relevant is in heldere taal uitleggen. In hun visie komt de techniek niet in de plaats van contact tussen burger en overheid, maar maakt dit contact juist menselijker: je uit je behoeften in je eigen woorden en zonder dat je zelf hoeft uit te zoeken bij welke overheidsorganisatie je moet zijn: ‘''Ik wil een betaalbaar huis''’ in plaats van ‘''ik schrijf mij in voor een sociale huurwoning bij deze woningcorporatie''’ & ‘''ik vraag huurtoeslag aan bij de belastingdienst.''’ Doordat de techniek veel wetsinterpretatie en rondschuiven met gegevens uit handen neemt heeft de ambtenaar de tijd om echt contact te leggen met de mensen die dat nodig hebben, terwijl het gros van de diensten automatisch verstrekt kan worden. Door de dialoog tussen burger en overheid te versterken en te faciliteren groeit het wederzijds vertrouwen. En de flexibiliteit en ruimte die juristen oorspronkelijk hebben ingebouwd in veel wetten komt weer beschikbaar: niet 'computer says no' maar samen met de burger naar oplossingen zoeken. Hoe willen ze de bestaande organisatie veranderen die hun visie in de weg staat? We lopen als overheid en samenleving tegen bestaande muren op, maar aangezien we die zelf hebben neergezet kunnen we ze ook zelf weer weghalen. Een concrete toepassing van deze visie waar het discipl-team al ervaring mee heeft opgedaan is het opvragen van waardepapieren bij je gemeente, oftwewel verifiable credentials. Hierbij hebben ze gelijk rekening gehouden met de WO3C standaard en EIDAS, zodat het in de toekomst mogelijk moet zijn om een uittreksel uit het geboorteregister te krijgen dat overal geaccepteerd wordt. Een andere opdracht is de waardewisselaar, waar compliance by design een belangrijke factor is. Lees meer over deze toepassingen op [https://discipl.org discipl.org]. : → [[media:Discipl, a global society architecture.pdf|presentatie (PDF, 6,94 MB)]]  +
Analyse en specificatie van informatiebeveiligingseisen +Zoals hierboven gesteld heeft het object ‘Analyse en specificatie van Informatiebeveiligingseisen’ betrekking op niet-functionele eisen, zoals betrouwbaarheid; gebruiksvriendelijkheid, efficiëntie, onderhoudbaarheid, performance, flexibiliteit in overdraagbaarheid.  +
Analyse en specificatie van informatiesystemen +Het analyseren en specificeren van requirements is een proces van het traceren en onderkennen van functionele en niet-functionele requirements waar de te ontwikkelen applicatie aan moet voldoen. Ook worden de constraints geïdentificeerd die zullen gelden in de ontwikkel- en de operatie fases. Het ontwikkelen van informatiesystemen wordt tegenwoordig veelal uitgevoerd conform de iteratieve ontwikkelmethode (Agile). Onafhankelijk van de methode, traditioneel, waterval of iteratief (Agile), is sprake van een aantal ontwikkelstappen waar aandacht wordt besteed aan: * functionele eisen, zoals functionaliteiten, gegevens, businessrules, presentatie, interactie en foutafhandelingen; * niet-functionele eisen, zoals betrouwbaarheid; gebruiksvriendelijkheid, efficiëntie, onderhoudbaarheid, performance, flexibiliteit in overdraagbaarheid. In de ISO27001/2 wordt ten aanzien van dit thema alleen focus gelegd op niet-functionele eisen (beveiligingseisen). Daarom is naast het object ‘Analyse en specificatie van Informatiebeveiligingseisen’ ook het object ‘Analyse en specificatie van Informatiesystemen’ toegevoegd, waarbij de nadruk gelegd wordt op functionele eisen. Dit thema is ‘Baseline based’ en met lineaire volgens V-model aanpak uitgewerkt. Aangezien bij Agile niet op deze wijze wordt gewerkt, verdient dit aspect extra aandacht.  +
Antwoord voor bedrijven +De website Antwoord voor bedrijven is per 15 september 2014 opgegaan in Ondernemersplein.nl. De website maakt ondernemers wegwijs door de grote hoeveelheid informatie van de overheid. Binnen- en buitenlandse dienstverleners vinden op deze website informatie van de overheid over onder meer wet- en regelgeving, vergunningen en aanvraagprocedures. Daarnaast kunnen zij via dit elektronische kanaal met overheidsorganisaties procedures en formaliteiten afwikkelen, zoals het aanvragen en verkrijgen van vergunningen. Antwoord voor bedrijven voert regelmatig gebruikersonderzoeken met een actief ondernemerspanel uit. Zo houden ze in de gaten of het loket aansluit op de wensen van de gebruikers.  +
Apparatuur positionering +In de Huisvesting-IV bevindt zich verschillende apparatuur. Deze apparatuur dient zo te zijn gepositioneerd en beschermd, dat verlies, diefstal, onderbreking van bedrijfsmiddelen wordt voorkomen .  +
Apparatuur verwijdering +Apparaten kunnen cruciale data bevatten. Het verwijderen van apparaten moet daarom volgens vastgestelde procedures plaatsvinden.  +
Applicatie architectuur +De applicatie architectuur beschrijft de samenhang tussen functionele en beveiligingseisen. Ook wordt er aandacht besteed aan de integratie aspecten met de infrastructuur. Vanuit een eenduidig beeld wordt de applicatie conform deze architectuur gerealiseerd. Richtlijnen, instructies, architectuur- en beveiligingsvoorschriften en procedures worden zodanig toegepast dat een samenhangend geheel ontstaat. Op deze manier wordt ook zeker gesteld dat de applicatie aan de vereiste functionele en beveiligingseisen voldoet.  +
Applicatie functionaliteiten +Applicatie functionaliteiten zijn interne functies binnen een applicatie die ondersteuning bieden aan (een) bedrijfsproces(sen). De functies kunnen worden onderverdeeld in invoer-, verwerking- en uitvoerfuncties. Binnen de functies worden controles en rekenregels ingebouwd om de gewenste acties te kunnen uitvoeren en gewenste resultaten te kunnen leveren. Het totaal aan functionaliteiten moet aan bepaalde eisen voldoen, zo moeten functionaliteiten: * voldoen aan de behoefte van de gebruikers; * de gebruikerstaken afdekken; * resultaten leveren die nauwkeurig zijn; * geschikt zijn om bepaalde taken te kunnen ondersteunen.  +
Applicatie ontwerp +Tijdens de ontwerpfase worden de (niet)functionele requirements omgezet naar een uitvoerbaar informatiesysteem. Een high level architectuur wordt ontwikkeld om de software te kunnen bouwen. Hierbij wordt, onder andere, aandacht besteed aan de gebruikte data door het systeem, de functionaliteit die geboden moeten worden, de toegepaste interfaces tussen componenten binnen het systeem en aan koppelingen met andere systemen. Ook worden constraints die voortvloeien uit specifieke beveiligingseisen verder uitgewerkt.  +
Applicatiebouw +Na de eerste twee ontwikkelfasen waarbij de nadruk ligt op de analyse van requirements en op het ontwerp van het product volgt de derde fase: de applicatiebouw. In deze derde fase wordt de programmacode gecreëerd op basis van good practices, methoden/technieken en bepaalde beveiligingsuitgangspunten.  +
Applicatiekoppelingen +Bij het ontwikkelen van applicatie kunnen mogelijk koppelingen tussen de in ontwikkel zijnde applicatie en andere applicaties noodzakelijk zijn. Vanuit beveiligingsoogpunt dienen dit soort koppelingen aan bepaalde eisen voldoen.  +
Applicatieontwikkeling Beleid +Binnen het Beleiddomein zijn specifieke inrichting- en beveiligingsobjecten ten aanzien van Applicatieontwikkeling beschreven en per object zijn conformiteitsindicatoren uitgewerkt. Deze conformiteitindicatoren representeren een vast te stellen set van implementatie-elementen (maatregelen). Onderstaande tabel en afbeelding tonen het resultaat van de SIVA analyse ten aanzien van relevante objecten voor Applicatieontwikkeling. De wit ingekleurde objecten ontbreken als control in de ISO2700x, maar zijn van belang voor dit thema. Om deze reden zijn aanvullende objecten uit andere baselines opgenomen. [[Afbeelding:Thema Applicatieontwikkeling - Onderwerpen die binnen het Beleiddomein een rol spelen.png|thumb|left|500px|Onderwerpen die binnen het Beleid domein een rol spelen|alt=”Onderwerpen die binnen het Beleid domein een rol spelen”]] <table class="wikitable"> <tr> <th>Nr</th> <th>Objecten</th> <th>Referentie</th> <th>IFGS</th> </tr> <tr> <td>B.01</td> <td>Beleid voor (beveiligd) ontwikkelen</td> <td>ISO27002: 14.2.1</td> <td>I</td> </tr> <tr> <td>B.02</td> <td>Systeem ontwikkelmethode</td> <td>SoGP</td> <td>I</td> </tr> <tr> <td>B.03</td> <td>Classificatie van informatie</td> <td>ISO27002: 8.2.1</td> <td>I</td> </tr> <tr> <td>B.04</td> <td>Engineeringprincipes voor beveiligde systemen</td> <td>ISO27002: 14.2.5</td> <td>I</td> </tr> <tr> <td>B.05</td> <td>Business Impact Analyse (BIA)</td> <td>SoGP/IR2.2</td> <td>I</td> </tr> <tr> <td>B.06</td> <td>Privacy en bescherming persoonsgegevens (GEB/DPIA)</td> <td>ISO27002:18.2.4, CIP Domeingroep BIO</td> <td>I</td> </tr> <tr> <td>B.07</td> <td>Kwaliteit managementsysteem</td> <td>CIP Domeingroep BIO</td> <td>F</td> </tr> <tr> <td>B.08</td> <td>Toegangbeveiliging op programmacode</td> <td>ISO27002: 9.4.5</td> <td>G</td> </tr> <tr> <td>B.09</td> <td>Projectorganisatie</td> <td>CIP Domeingroep BIO</td> <td>S</td> </tr> <caption align="bottom">Applicatieontwikkeling, Voor het Beleiddomein uitgewerkte Beveiligingsobjecten</caption></table>  +
Applicatieontwikkeling Control +Binnen het Control domein zijn specifieke inrichting- en beveiligingsobjecten ten aanzien van Applicatieontwikkeling beschreven en per object zijn conformiteitsindicatoren uitgewerkt. Deze conformiteitsindicatoren representeren een vast te stellen set van implementatie-elementen (maatregelen). Onderstaande tabel en afbeelding tonen het resultaat van de SIVA analyse ten aanzien van relevante objecten voor Applicatieontwikkeling. De wit ingekleurde objecten ontbreken als control in de ISO2700x, maar zijn van belang voor dit thema. Om deze reden zijn aanvullende objecten uit andere baselines opgenomen. [[Afbeelding:Thema Applicatieontwikkeling - Onderwerpen die binnen het Controldomein een rol spelen.png|thumb|left|500px|Onderwerpen die binnen het Control domein een rol spelen|alt=”Onderwerpen die binnen het Control domein een rol spelen”]] <table class="wikitable"> <tr> <th >Nr</th> <th >Objecten</th> <th >Referentie</th> <th >IFGS</th> </tr> <tr> <td >C.01</td> <td >Richtlijnen evaluatie ontwikkelactiviteiten</td> <td >ISO27002: 12.6.1, CIP Domeingroep BIO</td> <td >I</td> </tr> <tr> <td >C.02;</td> <td >Versiebeheer</td> <td >CIP Domeingroep BIO</td> <td >F</td> </tr> <tr> <td >C.03</td> <td >Patchmanagement van externe programmacode</td> <td >CIP Domeingroep BIO</td> <td >F</td> </tr> <tr> <td >C.04</td> <td >(Software)configuratie beheer</td> <td >CIP Domeingroep BIO</td> <td >F</td> </tr> <tr> <td >C.05</td> <td >Compliance management</td> <td >CIP Domeingroep BIO</td> <td >F</td> </tr> <tr> <td >C.06</td> <td >Quality assurance</td> <td >CIP Domeingroep BIO</td> <td >F</td> </tr> <tr> <td >C.07</td> <td >Technische beoordeling van informatiesystemen na wijziging besturingsplatform</td> <td >ISO27002: 14.2.3</td> <td >F</td> </tr> <tr> <td >C.08</td> <td >Beheersing van softwareontwikkeling(sprojecten</td> <td >CIP Domeingroep BIO</td> <td >S</td> </tr> <caption align="bottom">Applicatieontwikkeling, Voor het Controldomein uitgewerkte Beveiligingsobjecten</caption></table>  +
Applicatieontwikkeling Uitvoering +Binnen het Uitvoering domein zijn specifieke inrichting- en beveiligingsobjecten ten aanzien van Applicatieontwikkeling beschreven en per object zijn conformiteitsindicatoren uitgewerkt. Deze conformiteitsindicatoren representeren een vast te stellen set van implementatie-elementen (maatregelen). Onderstaande tabel en afbeelding tonen het resultaat van de SIVA analyse ten aanzien van relevante objecten voor Applicatieontwikkeling. De wit ingekleurde objecten ontbreken als control in de ISO2700x, maar zijn van belang voor dit thema. Om deze reden zijn aanvullende objecten uit andere baselines opgenomen. [[Afbeelding:Thema Applicatieontwikkeling - Onderwerpen die binnen het Uitvoeringsdomein een rol spelen.png|thumb|left|500px|Onderwerpen die binnen het Uitvoering domein een rol spelen|alt=”Onderwerpen die binnen het Uitvoering domein een rol spelen”]] <table class="wikitable"> <tr> <th >Nr</th> <th >Objecten</th> <th >Referentie</th> <th >IFGS</th> </tr> <tr> <td >U.01</td> <td >;Procedures voor wijzigingsbeheer m.b.t. applicaties en systemen</td> <td >ISO27002: 14.2.2</td> <td >I</td> </tr> <tr> <td >U.02</td> <td >Beperkingen voor de installatie van software (richtlijnen)</td> <td >ISO27002: 12.6.2</td> <td >I</td> </tr> <tr> <td >U.03</td> <td >Richtlijnen voor programmacode (best practices)</td> <td >CIP Domeingroep BIO</td> <td >I</td> </tr> <tr> <td >U.04</td> <td >Analyse en specificatie van informatiesystemen</td> <td >Cobit</td> <td >F</td> </tr> <tr> <td >U.05</td> <td >Analyse en specificatie van informatiebeveiligingseisen</td> <td >ISO27002:14.1.1</td> <td >F</td> </tr> <tr> <td >U.06</td> <td >Applicatie ontwerp</td> <td >SoGP</td> <td >F</td> </tr> <tr> <td >U.07</td> <td >Applicatiefunctionaliteiten (invoer, verwerking, uitvoer)</td> <td >ISO27002:12.2.1, 12.2.2, 1.2.2.4, BIR 1.0</td> <td >F</td> </tr> <tr> <td >U.08</td> <td > Applicatiebouw</td> <td >SoGP</td> <td >F</td> </tr> <tr> <td >U.09</td> <td >Testen van systeembeveiliging</td> <td >ISO27002:14.2.8</td> <td >F</td> </tr> <tr> <td >U.10</td> <td >Systeemacceptatie tests</td> <td >ISO27002:14.2.9</td> <td >F</td> </tr> <tr> <td >U.11</td> <td >Beschermen van testgegevens</td> <td >ISO27002:14.3.1</td> <td >F</td> </tr> <tr> <td >U.12</td> <td >Beveiligde Ontwikkel- (en Test-)omgeving</td> <td >ISO27002: 14.2.6</td> <td >G</td> </tr> <tr> <td >U.13</td> <td >Applicatiekoppelingen</td> <td >ISO25010, NIST CA, CIP Domeingroep BIO</td> <td >G</td> </tr> <tr> <td >U.14</td> <td >Logging en monitoring</td> <td >CIP Domeingroep BIO</td> <td >G</td> </tr> <tr> <td >U.15</td> <td >Applicatie/software architectuur</td> <td >ISO25010, CIP Domeingroep BIO</td> <td >S</td> </tr> <tr> <td >U.16</td> <td >Tooling ontwikkelmethode</td> <td >ISO25010, CIP Domeingroep BIO</td> <td >S</td> </tr> <caption align="bottom">Applicatieontwikkeling, Voor het Uitvoeringdomein uitgewerkte Beveiligingsobjecten</caption></table>  +
Aquo-lex en Aquo Objecten Catalogus +Aquo-lex (het ‘waterwoordenboek') bevat circa 7.500 definities voor termen. De fouten die bij gegevensuitwisseling optreden, ontstaan vaak door verschil in betekenis. Door deze ‘standaardtaal' te gebruiken, wordt spraakverwarring tussen mensen en/of informatiesystemen voorkomen. Aquo-lex wordt geïntegreerd in de Aquo Objecten Catalogus (Aquo OC). Deze catalogus bevat relaties tussen de begrippen uit Aquo-lex. De gebruiker ervan kan snel termen vinden en in hun context plaatsen.  +
Aquo-standaard +Aquo-standaard – de uniforme taal voor de uitwisseling van gegevens binnen de watersector. De Aquo-standaard maakt het mogelijk om op een uniforme manier gegevens uit te wisselen tussen partijen die betrokken zijn bij het waterbeheer en draagt daarmee bij aan een kwaliteitsverbetering van het waterbeheer. Het eenvoudig en eenduidig delen van informatie leveren tijd- en geldwinst op. De Aquo-standaard is een open standaard en staat op de lijst met ‘pas toe of leg uit‘-standaarden van de overheid en bestaat uit meerdere onderdelen. Alle informatie is vrij toegankelijk en gratis te downloaden.  +
ArchiMate +Een beschrijvingstaal voor enterprise-architecturen.  +
Architectuur +Een beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen.  +
Architectuur Board stelt doorontwikkeling in op drie katernen +Architectuur Board stelt doorontwikkeling in op drie katernen  +
Architectuurproducten +Normatieve en descriptieve documenten die huidige/toekomstige architectuur van een organisatie/domein schetsen.  +
Authenticiteit +Een kwaliteitsattribuut van een informatieobject. Het toont aan dat het informatieobject is wat het beweert te zijn, dat het is gemaakt of verzonden door de persoon of organisatie die beweert het te hebben gemaakt of verzonden en dat het is gemaakt en verzonden op het tijdstip als aangegeven bij het informatieobject.  +
Authentiek gegeven +In een basisregistratie opgenomen gegeven dat bij wettelijk voorschrift als authentiek is aangemerkt  +
Authentieke interpretatie +In het BRM-referentieproces is veel nadruk gelegd op borging van de interpretatie wet- en regelgeving conform deze wet- en regelgeving . Hiervoor zijn processtappen, overdrachtsmomenten, reviews, verificaties en validaties van alle bedrijfsregels. Een zwaar proces, met als doel om bedrijfsregels de status van authentieke interpretatie te verschaffen. Uit deze status vloeit voort dat geen andere analyses en interpretaties van wet- en regelgeving nodig of wenselijk zijn. In het model van de arm en [[Leidraad Regelbeheer Van wet naar loket#De_hand_met_de_vijf_vingers|de hand met de vijf vingers]] komt dit uitgangspunt terug: Acties van de hand zijn gebaseerd op de arm waarmee bedrijfsregels en gegevensdefinities met authentieke interpretatie ten uitvoer worden gebracht.  +
Autorisatie +Gekozen is voor het principe ‘Autorisatie’, omdat dit principe beter aansluit op de toegangsmechanismen (identificatie, authenticatie en autorisatie) dan de betiteling ‘Beperking toegang tot informatie’. Na het 'identificatie- en authenticatie-'proces krijgen gebruikers en beheerders (verdere) specifieke toegang tot informatiesystemen voor gebruik respectievelijk beheerdoeleinden. Toegangsbeperking wordt gecreëerd door middel van rollen en toegangsprofielen die voortkomen uit het toegangsbeleid.  +
Autorisatie +Het proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen  +
Autorisatieproces +De ISO 27002 en het BIO-criterium 9.2.6 ‘Toegangsrechten intrekken of aanpassen’ stelt eisen aan een autorisatieproces, dat bestaat uit enkele subprocessen zoals: toekennen (of verlenen), verwerken, intrekken, blokkeren, archiveren en controleren. Dit autorisatieproces zorgt ervoor dat autorisaties gestructureerd plaatsvinden. Deze subprocessen zijn gerelateerd aan de fasen: instroom, doorstroom en uitstroom. Deze subprocessen worden verder in bijlage 3 beschreven.  +
Autorisatieproces onwerkbaar, hoge beheerlast en complexiteit door te hoge granulariteit +Autorisatieproces onwerkbaar, hoge beheerlast en complexiteit door te hoge granulariteit.  +
Autorisatievoorzieningen +Om autorisatie efficiënt en effectief te kunnen inrichten, zijn technische autorisatievoorzieningen, zoals een personeelsregistratiesysteem, een autorisatiebeheersysteem en autorisatiefaciliteiten noodzakelijk.  +
B
BAG (Basisregistratie Adressen en Gebouwen) +De Basisregistratie Adressen en Gebouwen (BAG) is de registratie waarin gemeentelijke basisgegevens over alle gebouwen en adressen in Nederland zijn verzameld. De BAG is gebaseerd op de Wet basisregistraties adressen en gebouwen. Gemeenten zijn bronhouder van de gebouw- en adresgegevens. Alle bestuursorganen zijn verplicht om vanaf 1 juli 2011 gebruik te maken van de BAG bij de uitvoering van hun publiekrechtelijke taken.  +
BAG/BAG viewer +Website waar een BAG-kaart getoond wordt. Klikken op panden toont de onderliggende pand- en verblijfsobjectgegevens. Viewer toont actuele en historische gegevens. [https://bagviewer.kadaster.nl/lvbag/bag-viewer/index.html BAG viewer op website Kadaster].  +
BAG/Compact eenmalig of abonnement +BAG Compact is een XML-bestand met alle BAG-adressen op basis van een vaste peildatum van heel Nederland. Behalve adressen bevat het bestand ook adresgerelateerde elementen uit de LV BAG. [http://www.kadaster.nl/web/Themas/Registraties/BAG/BAG-product/BAG-Compact.htm BAG Compact] op website Kadaster.  +
BAG/Digilevering +Abonnementenservice om realtime een bericht te ontvangen bij een wijziging in de LV BAG. [http://www.kadaster.nl/web/Themas/Registraties/BAG/BAG-product/BAG-Digilevering.htm BAG Digilevering] op website Kadaster.  +
BAG/Extract +Levering van een totaalstand van alle BAG-gegevens voor het gevraagde gebied (volledige levenscyclus of op peildatum). Mogelijk om te selecteren op gemeente, meerder gemeenten of geheel Nederland. Een bestand van heel Nederland is permanent beschikbaar met een vertraging van maximaal één maand. Bij een abonnement bestaan twee varianten: óf periodieke (maandelijks/dagelijks) levering van de wijzigingen ten opzichte van de voorgaande levering óf maandelijks een levering van de een totaalstand. [http://www.kadaster.nl/web/Themas/Registraties/BAG/BAG-product/BAG-Extract.htm BAG Extract] op website Kadaster.  +
BAG/Extract mutaties +Bij een abonnement bestaan twee varianten: óf periodieke (maandelijks/dagelijks) levering van de wijzigingen ten opzichte van de voorgaande levering óf maandelijks een levering van de totaalstand.  +
BAG/Geocodeerservice +Zoekservice van [https://www.pdok.nl/diensten#PDOK%20Locatieserver PDOK] waar men kan zoeken op administratiegegevens om daarna naar de positie op de kaart van het gegeven te gaan. Bij gegevens kan men denken aan o.a. adressen, straten, woonplaatsen (BAG), maar ook aan Kadastrale informatie (DKK), weginformatie (NWB), Wijk-en buurtinformatie en Waterschapsinformatie.  +
BAG/WMS-WFS via PDOK +Biedt BAG gegevens van een in de vraag gespecificeerde geografische contour, hetzij als ‘plaatje’ (WMS) hetzij als data, welke door de afnemer gevisualiseerd, opgeslagen en bewerkt kunnen worden. De WFS service is vooralsnog gemaximeerd op 15000 objecten. *[https://www.pdok.nl/nl/service/wms-bag BAG WMS] op website PDOK. *[https://www.pdok.nl/nl/service/wfs-bag BAG WFS] op website PDOK  +
BAG/bevragen +Webservice voor het geautomatiseerd bevragen van de LV-BAG met behulp van software van de afnemer. BAG Bevragen kan de volledige levenscyclus van een object opvragen. [http://www.kadaster.nl/web/Themas/Registraties/BAG/BAG-product/BAG-Bevragen.htm BAG bevragen] op website Kadaster.  +
BGT (Basisregistratie Grootschalige Topografie) +De Basisregistratie Grootschalige Topografie (BGT) wordt een uniform topografisch basisbestand met objecten in heel Nederland op een schaal van 1:500 tot 1:5.000. Het doel van de realisatie van de BGT is dat de hele overheid gebruik maakt van dezelfde basisset grootschalige topografie van Nederland. Topografie is de beschrijving van de fysieke werkelijkheid. Dus de dingen die in het terrein fysiek aanwezig zijn.  +
BGT Gegevenscatalogus +De BGT vormt de kern (verplichtende deel) van het informatiemodel geografie (IMGeo). De verdiepingsslag van de BGT die in IMGeo is vastgelegd als het optionele deel, is bedoeld voor het opslaan en uitwisselen van beheer- en plustopografie. IMGeo zorgt ervoor dat wie de optionele informatie wil beheren en/of uitwisselen, dit volgens een landelijke standaard kan doen. IMGeo biedt ook voor 3D uitwisseling van grootschalige topografie een optionele standaard en baseert zich hiervoor op de internationale standaard CityGML.  +
BIO (Baseline Informatiebeveiliging Overheid) +De Ministerraad van 14 december 2018 heeft de Baseline Informatiebeveiliging Overheid (BIO) vastgesteld voor het Rijk en in het interbestuurlijk verkeer met het Rijk. De BIO is: * een gemeenschappelijk normenkader, gebaseerd op de internationale norm ISO 27001/2 voor de beveiliging van de informatie(systemen) van de overheid; * een afgeleide van de huidige [[BIR (Baseline Informatiebeveiliging Rijksdienst)|BIR2017]], die al in werking is voor het Rijk; * een concretisering van een aantal normen tot verplichte overheidsmaatregelen. Iedere overheidslaag heeft besloten de bestaande eigen baseline informatiebeveiliging te vervangen door de BIO. Het gevolg van bovengenoemde besluiten is dat alle overheidsorganisaties hun bestaande sectorale baselines zullen vervangen door de BIO. De BIO vervangt voor de gemeenten, waterschappen, provincies en het Rijk respectievelijk de BIG, BIWA, IBI en de BIR2017. Om te voorkomen dat het Rijk in de informatie-uitwisseling met andere bestuurslagen andere normen gaat eisen, heeft de Ministerraad besloten om de BIO te hanteren in de informatie-uitwisseling tussen het Rijk en alle bestuurslagen. Een PDF-versie is te vinden op [https://cip-overheid.nl/category/producten/bio/#bio-tekst cip.overheid.nl/producten/bio] ==Hulpbronnen voor de toepassing v/d BIO in de praktijk== Het [[Centrum Informatiebeveiliging en Privacybescherming (CIP)]] ontwikkelt i.s.m. het ministerie van BZK de zogenaamde BIO Thema's, die voor een bepaald onderwerp een praktische uitwerking van de BIO betekenen. We ontsluiten die op noraonline in de : → [[ ISOR (Information Security Object Repository)]]. Meer informatie en documenten van het CIP delen zij op de websites van CIP-overheid en BIO-overheid, en in het forum op Pleio (vereist lidmaatschap): : → [https://cip-overheid.nl/ cip-overheid.nl]. : → [https://bio-overheid.nl/ bio-overheid.nl]. : → [https://cip.pleio.nl/ cip.pleio.nl]. Ook de Informatie Beveiligings Dienst (IBD), de sectorale CERT / CSIRT voor alle Nederlandse gemeenten, heeft een set met praktische documenten gepubliceerd, zoals een template voor een verwerkingsregister en handreikingen voor (gemeentelijke) processen zoals dataclassificatie in het kader van de BIO. : → [https://www.informatiebeveiligingsdienst.nl/producten/ informatiebeveiligingsdienst.nl/producten/]  +
BIO Thema Applicatieontwikkeling - Geïdentificeerde objecten ingedeeld naar IFGS +. [[Afbeelding:Thema Applicatieontwikkeling - Geïdentificeerde objecten ingedeeld naar IFGS.png|thumb|350px|Geïdentificeerde objecten ingedeeld naar IFGS|alt=”Geïdentificeerde objecten ingedeeld naar IFGS”]]  +
BIO Thema Applicatieontwikkeling - IFGS gekoppeld aan het V-model +. [[Afbeelding:Thema Applicatieontwikkeling - IFGS gekoppeld aan het V-model.png|thumb|350px|IFGS gekoppeld aan het V-model|alt=”IFGS gekoppeld aan het V-model”]]  +
BIO Thema Applicatieontwikkeling - Identificatie applicatieontwikkeling objecten +== Identificatie applicatieontwikkeling objecten== Objecten voor applicatieontwikkeling worden gerelateerd aan de ontwikkelfasen geïdentificeerd aan de hand van onderzoeksvragen en risicogebieden. De objecten zijn afgeleid van de invalshoek van de algemene beveiligingseisen: Beschikbaarheid, Integriteit, Vertrouwelijkheid en Controleerbaarheid (BIVC) die vervolgens zijn ingedeeld in de drie domeinen: Beleid, Uitvoering en Control. De vragen die hierbij een rol hebben gespeeld zijn: * welke randvoorwaardelijke elementen spelen vanuit de optiek van BIVC een rol bij applicatieontwikkeling en -onderhoud en wat is de consequentie bij afwezigheid hiervan; * welke elementen spelen vanuit de optiek van BIVC een rol bij applicatieontwikkeling en wat is de consequentie bij afwezigheid hiervan; * welke elementen spelen vanuit de optiek van BIVC een rol bij de beheersing van applicatieontwikkeling en wat is de consequentie bij afwezigheid hiervan? ===De organisatie van applicatieontwikkelobjecten=== Zoals al in ISOR:Ontwikkelcyclus van applicatieontwikkeling is aangegeven worden de geïdentificeerde applicatie objecten op basis van de lagenstructuur: Beleid domein, Uitvoering domein en Control domein georganiseerd. Hiermee worden deze aspecten in de juiste contextuele samenhang gepositioneerd. De betekenis die aan de lagen wordt toegekend, zijn: 'Beleid domein': Binnen dit domein bevinden zich conditionele elementen over de applicatieontwikkeling. Hier zijn eisen opgenomen ten aanzien van ‘geboden’ en verboden’, zoals applicatiebeveiligingsbeleid, de te hanteren wet en regelgeving en andere vormen van reguleringen en beperkingen. 'Uitvoering domein': Binnen dit domein bevinden zich: * elementen die gerelateerd zijn aan operationele activiteiten ten aanzien van het ontwikkelen van applicaties; * elementen die aangeven hoe deze activiteiten georganiseerd moeten zijn; en * elementen die gerelateerd zijn aan beveiligingsaspecten die bij de activiteiten in acht moeten worden genomen. 'Control domein': Binnen dit domein bevinden zich elementen die zorg dragen voor de beheersing van het ontwikkelproces en/of het in standhouden van activiteiten die naar wens verlopen. ===Observatie bij de exercitie van het identificeren van objecten uit ISO=== Uit observatie van de werkgroep blijkt dat bij het identificeren van objecten uit ISO27001 weinig controls te vinden zijn die direct gerelateerd zijn aan de ontwikkelstadia: analyseren, specificeren, ontwerpen en ontwikkelen. Dit komt door het feit dat binnen ISO niet is uitgegaan van de ontwikkelfasen van systeem ontwikkeling en wellicht ook door het feit dat de activiteiten binnen deze fasen gerelateerd zijn aan specifieke methoden en/of programmeertalen. In ISO27001 zijn wel security controls en bijbehorende maatregelen aangetroffen die indirect te maken hebben met de ontwikkelfasen. ===Applicatieontwikkeling objecten geprojecteerd op BUC en gesorteerd naar IFGS=== Tabel 'Overzicht van applicatieontwikkeling objecten ingedeeld naar BUC' geeft een overzicht van de applicatieontwikkeling objecten die in hoofdstukken [[ISOR:BIO Thema Applicatieontwikkeling Beleid|Beleid domein]], [[ISOR:BIO Thema Applicatieontwikkeling Uitvoering|Uitvoering domein]] en [[ISOR:BIO Thema Applicatieontwikkeling Control|Control domein]] nader zijn uitgewerkt. Eerst is door de werkgroepleden, vanuit een ‘baseline-based’ benadering, een lijst gemaakt van de relevante objecten uit verschillende baselines. Los van de baselines zijn enkele objecten door de werkgroep als relevant voor dit thema aangegeven (zie tabel 1). We zijn ons ervan bewust dat deze zogenaamde ‘baseline-based’ benadering tot selectie van objecten leidt die niet allemaal in de huidig wereld van systeemontwikkelingsaanpak thuishoren. We hebben ervoor gekozen om een ‘baseline-based’ toe te passen, om zo de overgang naar de Agile benadering beter te kunnen maken. Uit de inhoudelijke bestudering van de objecten, vanuit de ‘baseline-based’ benadering, bleken toch doublures te zijn in de objecten; m.a.w. twee verschillende objecten die dezelfde inhoud kenden. Sommige objecten hebben we vooralsnog bewust achterwege gelaten vanwege het geringe belang van deze objecten in relatie tot de totale scope. We willen opmerken dat er verschillende termen gehanteerd worden, zoals informatiesystemen, applicaties, systemen, toepassingen. Het op te leveren document moet qua gebruikte termen consistent zijn, daarom hebben wij ervoor gekozen om de term ‘systeem’ in de betiteling van de control (dus het object) aan te passen naar Applicatieontwikkeling. ''Beleid'' [[Afbeelding:Thema Applicatieontwikkeling - Beleid objecten t.a.v. Applicatieontwikkeling gepresenteerd in matrix vorm.png|thumb|350px|none|alt=Beleid objecten t.a.v. Applicatieontwikkeling gepresenteerd in matrix vorm|Beleid-objecten]] ''Uitvoering'' [[Afbeelding:Thema Applicatieontwikkeling - Uitvoering objecten t.a.v. Applicatieontwikkeling gepresenteerd in matrix vorm.png|thumb|350px|none|alt=Uitvoering objecten t.a.v. Applicatieontwikkeling gepresenteerd in matrix vorm|Uitvoering objecten]] ''Control'' [[Afbeelding:Thema Applicatieontwikkeling - Control objecten t.a.v. Applicatieontwikkeling gepresenteerd in matrix vorm.png|thumb|350px|none|alt=Control objecten t.a.v. Applicatieontwikkeling gepresenteerd in matrix vorm|Control-objecten]] <table class="wikitable"> <tr> <th></th> <th>Nr</th> <th>Objecten</th> <th>Referentie</th> <th>IFGS</th> </tr> <tr> <td>Beleid domein</td> <td>B.01</td> <td>Beleid voor (beveiligd)ontwikkelen</td> <td>ISO27002: 14.2.1</td> <td>I</td> </tr> <tr> <td></td> <td>B.02</td> <td>Systeem ontwikkelmethode</td> <td>SoGP</td> <td>I</td> </tr> <tr> <td></td> <td>B.03</td> <td>Classificatie van informatie</td> <td>ISO27002: 8.2.1</td> <td>I</td> </tr> <tr> <td></td> <td>B.04</td> <td>Engineeringprincipes voor beveiligde systemen</td> <td>ISO27002: 14.2.5</td> <td>I</td> </tr> <tr> <td></td> <td>B.05</td> <td>Business Impact Analyse(BIA)</td> <td>SoGP/IR2.2</td> <td>I</td> </tr> <tr> <td></td> <td>B.06</td> <td>Privacy en bescherming persoonsgegevens(GEB/DPIA)</td> <td>ISO27002:18.2.4, CIP Domeingroep BIO</td> <td>I</td> </tr> <tr> <td></td> <td>B.07</td> <td>Kwaliteit managementsysteem</td> <td>CIP Domeingroep BIO</td> <td>F</td> </tr> <tr> <td></td> <td>B.08</td> <td>Toegangsbeveiliging op programmacode</td> <td>ISO27002: 9.4.5</td> <td>G</td> </tr> <tr> <td></td> <td>B.09</td> <td>Projectorganisatie</td> <td>CIP Domeingroep BIO</td> <td>S</td> </tr> <tr> <td>Uitvoering domein</td> <td>U.01</td> <td>Procedures voor wijzigingsbeheer m.b.t. applicaties en systemen</td> <td>ISO27002: 14.2.2</td> <td>I</td> </tr> <tr> <td></td> <td>U.02</td> <td>Beperkingen voor de installatie van software (richtlijnen)</td> <td>ISO27002: 12.6.2</td> <td>I</td> </tr> <tr> <td></td> <td>U.03</td> <td>Richtlijnen voor programmacode(best practices)</td> <td>CIP Domeingroep BIO</td> <td>I</td> </tr> <tr> <td></td> <td>U.04</td> <td>Analyse en specificatie van informatiesystemen</td> <td>Cobit</td> <td>F</td> </tr> <tr> <td></td> <td>U.05</td> <td>Analyse en specificatie van informatiebeveiligingseisen</td> <td>ISO27002:14.1.1</td> <td>F</td> </tr> <tr> <td></td> <td>U.06</td> <td>Applicatie ontwerp</td> <td>SoGP</td> <td>F</td> </tr> <tr> <td></td> <td>U.07</td> <td>Applicatiefunctionaliteiten(invoer, verwerking, uitvoer)</td> <td>ISO27002:12.2.1, 12.2.2, 12.2.4, BIR 1.0</td> <td>F</td> </tr> <tr> <td></td> <td>U.08</td> <td>Applicatiebouw</td> <td>SoGP</td> <td>F</td> </tr> <tr> <td></td> <td>U.09</td> <td>Testen van systeembeveiliging</td> <td>ISO27002:14.2.8</td> <td>F</td> </tr> <tr> <td></td> <td>U.10</td> <td>Systeemacceptatie tests</td> <td>ISO27002:14.2.9</td> <td>F</td> </tr> <tr> <td></td> <td>U.11</td> <td>Beschermen van testgegevens</td> <td>ISO27002:14.3.1</td> <td>F</td> </tr> <tr> <td></td> <td>U.12</td> <td>Beveiligde Ontwikkel- (en Test-)omgeving</td> <td>ISO27002: 14.2.6</td> <td>G</td> </tr> <tr> <td></td> <td>U.13</td> <td>Applicatiekoppelingen</td> <td>ISO25010,NIST CA, CIP Domeingroep BIO</td> <td>G</td> </tr> <tr> <td></td> <td>U.14</td> <td>Logging en monitoring</td> <td>CIP Domeingroep BIO</td> <td>G</td> </tr> <tr> <td></td> <td>U.15</td> <td>Applicatie architectuur</td> <td>ISO25010, CIP Domeingroep BIO</td> <td>S</td> </tr> <tr> <td></td> <td>U.16</td> <td>Tooling ontwikkelmethode</td> <td>ISO25010, CIP Domeingroep BIO</td> <td>S</td> <tr> <td>Control domein</td> <td>C.01</td> <td>Richtlijnen evaluatie ontwikkelactiviteiten</td> <td>ISO27002: 12.6.1, CIP Domeingroep BIO</td> <td>I</td> </tr> <tr> <td></td> <td>C.02</td> <td>Versiebeheer</td> <td>CIP Domeingroep BIO</td> <td>F</td> </tr> <tr> <td></td> <td>C.03</td> <td>Patchmanagement van externe programmacode</td> <td>CIP Domeingroep BIO</td> <td>F</td> </tr> <tr> <td></td> <td>C.04</td> <td>(Software)configuratie beheer</td> <td>CIP Domeingroep BIO</td> <td>F</td> </tr> <tr> <td></td> <td>C.05</td> <td>Quality management</td> <td>CIP Domeingroep BIO</td> <td>F</td> </tr> <tr> <td></td> <td>C.06</td> <td>Compliance Assurance</td> <td>CIP Domeingroep BIO</td> <td>F</td> </tr> <tr> <td></td> <td>C.07</td> <td>Technische beoordeling van informatiesystemen na wijziging besturingsplatform</td> <td>ISO27002: 14.2.3</td> <td>F</td> </tr> <tr> <td></td> <td>C.08</td> <td>Beheersing van softwareontwikkeling(sprojecten</td> <td>CIP Domeingroep BIO</td> <td>S</td> </tr> <caption align="bottom">Applicatieontwikkeling, Overzicht objecten ingedeeld naar BUC</caption></table>  +
BIO Thema Applicatieontwikkeling - Inleiding +==Inleiding== Het belang en de risico’s die de organisatie aan het bedrijfsproces of beheerproces stelt, bepalen inherent de eisen die gesteld moeten worden aan de applicatie(s) die het betreffende proces ondersteunen. De risicobeoordeling van de functionaliteit, gevoeligheid van de gegevens, belang van de applicatie voor de organisatie bepalen of en welke normen van toepassing zijn. Wij willen u erop attenderen dat in dit document de termen applicatie en informatiesysteem worden gehanteerd. De ISO spreekt over informatiesystemen, dit thema betreft applicaties, wat een onderdeel is van een informatiesysteem. Bij de controls hanteren we informatiesysteem om bij de tekst van de ISO te blijven. ===Context Applicatieontwikkeling=== Dit document bevat de uitwerking van het thema ‘Applicatieontwikkeling’. Een applicatie kan worden verworven door interne ontwikkeling, uitbesteding of inkoop van een commercieel product. Dit kan ook door een combinatie van interne ontwikkeling en uitbesteding (zie afbeelding 'Overzicht van type applicaties'). Hierbij kan het voortraject (het specificeren) door de klant zelf worden verricht terwijl het technische deel (het ontwikkelen) door de externe partij wordt uitgevoerd. Hierbij zullen extra afspraken over de beveiligingsaspecten gemaakt moeten worden. Gedurende de ontwikkelcyclus van de applicatie zal voldaan moeten zijn aan zowel functionele als beveiligingseisen. Ook moeten bij de ontwikkeling het informatiebeveiligingsbeleid, wet en regelgeving (o.a. AVG, BIO) en eisen ten aanzien van de technische omgeving worden betrokken. In dit thema zullen de beveiligingseisen ten aanzien van applicatieontwikkeling worden samengesteld. Het uitgangspunt hierbij is de noodzakelijke beveiligingseisen, in de vorm van controls en onderliggende maatregelen, uit de BIO en ISO27002 (2013) in een samenhangende context te plaatsen en waar nodig deze aan te vullen met controls uit andere ISO standaarden, NIST of Standard of Good practice. Alvorens de controls, die gerelateerd zijn aan objecten, te identificeren, wordt eerst een algemene ontwikkelcyclus beschreven om een beter beeld te krijgen over de te hanteren stadia. Deze exercitie is zinvol om de geïdentificeerde objecten uit ISO/BIO en overige standaarden beter contextueel in samenhang te plaatsen. De beschrijving van de stadia vindt plaats in § 1.4 ‘Ontwikkelcyclus van applicaties’. ===Doel van het thema Applicatieontwikkeling=== Dit thema is opgesteld om zowel de interne als de externe leverancier over een instrument te laten beschikken gericht op de implementatie van applicaties in de technische omgeving van de leverancier of van de klant zelf. Het thema geeft hiermee inzicht in de kwaliteitszorg die de leverancier dient toe te passen, en wat de klant kan verwachten, bij het opleveren van nieuwe software. Het geeft tegelijkertijd de verplichte activiteiten weer van de klant. Hiernaast kan het als instrument dienen voor het geven van inzicht in het beveiligings- en beheersingsniveau van de ontwikkel- en onderhoudsorganisatie van de leverancier. ===Scope en begrenzing van Applicatieontwikkeling=== In dit thema zullen we ons voornamelijk richten op conditionele, beveiligings- en beheersingsaspecten die gerelateerd zijn aan het ontwikkelen van applicaties. We beperken ons binnen dit thema tot het inhouse ontwikkelen van applicaties en waarbij geen aandacht wordt besteed aan: * de activiteiten die gerelateerd zijn aan onderhoud van applicaties, webapplicatie en ERP pakketten (zie afbeelding 'Overzicht van type applicaties'); * het type gebruikers- en business eisen omdat deze eisen organisatieafhankelijk zijn; * de toegangsbeveiligingsaspecten omdat deze aspecten in het thema ‘Toegangsbeveiliging’ en in de SIG ISO25010 geadresseerd zijn. [[Afbeelding:Thema Applicatieontwikkeling - Overzicht van type applicaties.png|thumb|350px|Overzicht van type applicaties|alt=”Overzicht van type applicaties”]] ===Ontwikkelcyclus van applicatieontwikkeling=== Een applicatie (software) wordt ontwikkeld om een (bedrijfs)proces te ondersteunen. Hiervoor dient eerst een context analyse te worden gemaakt om de juiste functionele vereisten te identificeren. De applicatie moet voldoen aan de behoeften van gebruikers en stakeholders in de vorm van wet- en regelgeving, eisen en requirements of te wel een Programma van Eisen (PvE). Dit PvE wordt ontwikkeld in samenwerking met informatie analisten, softwareontwikkelaars en -gebruikers. De kwaliteit (succes) van een applicatie wordt o.a. bepaald door: * hoe goed de applicatie het vastgestelde programma van eisen weerspiegelt; * hoe goed het programma van eisen de gebruikerseisen en wensen weerspiegelt; * hoe goed de gebruikerseisen en wensen de reële situatie (daadwerkelijke noodzakelijkheden) weerspiegelt. Slechte kwaliteit van het PvE wordt o.a. veroorzaakt door onjuistheden, verkeerde aannames, inconsistenties, onduidelijk taalgebruik en ontoereikendheid. Bij applicatieontwikkeling is een goede inrichting van projectmanagement en de te hanteren systeem ontwikkelmethode (Systeem Development Life cycle) essentieel. Het applicatieontwikkeling proces wordt verdeeld in activiteiten die niet noodzakelijk als sequentiële stappen doorlopen worden (zie ook §1.5 ‘Ontwikkelmethoden’). De onderkende activiteiten zijn: * analyseren; * specificeren; * ontwerpen; * ontwikkelen; * valideren(testen); * gebruik en beheer. Opmerking: Bij agile worden in ieder geval ontwikkelen en een deel van het valideren als één activiteit uitgevoerd. Een deel van het ontwerpen kan daar ook bij horen. Ook wordt het andere deel van valideren en gebruiken wel gelijktijdig gedaan. Hiervoor zijn verschillende modellen bekend. Afbeelding 'De ontwikkelactiviteiten van software en indeling van essentiële elementen in drie domeinen' geeft een schematische weergave van een ontwikkelproces in de vorm van het V-Model. De activiteiten zullen hieronder worden toegelicht. Ze verschaffen mogelijkheden om de geïdentificeerde operationele objecten uit BIO, ISO27001/2 en overige standaarden te rubriceren. [[Afbeelding:Thema Applicatieontwikkeling - De ontwikkelactiviteiten van software en indeling van essentiële elementen in drie domeinen.png|thumb|350px|De ontwikkelactiviteiten van software en indeling van essentiële elementen in drie domeinen|alt=”De ontwikkelactiviteiten van software en indeling van essentiële elementen in drie domeinen”]] Hiernaast spelen ook essentiële randvoorwaardelijke- en beheersingselementen een rol bij de ontwikkel- en onderhoudsactiviteiten. De operationele-, randvoorwaardelijke- en beheersingselementen voor het thema Applicatieontwikkeling kunnen ingedeeld worden in drie domeinen: Beleid, Uitvoering en Control. Deze indeling wordt eveneens afgebeeld in afbeelding 'De ontwikkelactiviteiten van software en indeling van essentiële elementen in drie domeinen'. ''Perspectieven'' De linkerkant van het model beschrijft het ontwikkelperspectief en de rechterkant het gebruikersperspectief. Als de applicatieontwikkeling plaatsvindt bij een externe organisatie of een aparte businessunit zijn deze perspectieven gescheiden. Ingeval van uitbesteding wordt, afhankelijk van de afspraken tussen de klant en de leverancier, de rechterkant aangeduid als het leveranciersperspectief en de linkerkant als het klantperspectief. Hierover dienen klant en leverancier heldere afspraken te maken. Afspraken dienen gericht te zijn op: * het uitwisselen van kennis, specifiek over de overdracht van proceskennis van de (gebruiks)organisatie naar de ontwikkelorganisatie; * het tijdens het ontwikkelproces niet verstoren van het primaire proces; * het toezien op de bescherming van intellectuele eigendommen en van gevoelige informatie. De verantwoordelijken binnen het ontwikkelproces moeten verantwoording kunnen afleggen over de kwaliteit van het geleverde product. Om een goede beheersing te waarborgen is het vanuit best practices noodzakelijk de verschillende lifecycle stadia te isoleren in een eigen omgeving zodat gegarandeerd kan worden dat het primaire proces niet wordt verstoord. Daarbij vindt een expliciete afsluiting van een fase plaats zodat een gecontroleerde overgang mogelijk wordt. Dit concept wordt een OTAP-straat genoemd. ''Analyseren'' In deze fase wordt de context van het businessproces, dat door de te ontwikkelen applicatie ondersteund moet worden, geanalyseerd. Hierbij worden de noodzakelijke requirements, waaronder de bedrijfsfuncties, gegevens en veranderwensen vanuit de bedrijfsprocessen geïdentificeerd en vastgelegd. De focus ligt op de ‘waarom’ aspecten. Onder andere de volgende activiteiten worden uitgevoerd: * onderzoeken en brainstormen over de te ontwikkelen software, om duidelijkheid te krijgen wat het doel is van de software; * analyseren van eisen en wensen van gebruikers, beheerders en partners ten aanzien van functionele en niet-functionele aspecten. ''Specificeren'' Deze activiteit richt zich op de ‘wat’ aspecten. De business-, gebruikers-, stakeholders- (non)functionele- en data requirements worden gespecificeerd. Ook worden de noodzakelijke business rules en de noodzakelijke beperkingen in de vorm van constraints vastgelegd in een functioneel ontwerp. ''Ontwerpen'' Bij deze activiteit vindt de tijdens in de eerdere fase gedetailleerde en vastgestelde uitwerking van informatie en modellen plaats. Deze fase richt zich op de relaties en afhankelijkheden tussen de te bouwen componenten. Hierbij worden de bedrijfs- en procesvereisten gemodelleerd in een ontwerp (architectuur) voor het te bouwen informatie(deel)systeem. Aandacht dient besteed te worden aan de kwaliteitseisen gerelateerd aan gebruikers, functionaliteit en beveiliging. ''Ontwikkelen'' In deze fase worden de softwarecomponenten geconstrueerd (gecodeerd). De relaties en afhankelijkheden van de te automatiseren processen en modules worden vastgelegd in een softwarearchitectuur. Uiteindelijk zullen de programma’s geschreven worden op basis van deze (applicatie/software) architectuur. Hierbij moet ook rekening worden gehouden met enkele ontwikkeleisen, zoals: * reproduceerbaarheid van code; * effectief testbaarheid; * toepassing van externe programma bibliotheek; * toepassing tools en gebruik van licenties; * toepassing van gestandaardiseerde vocabulaire (ISO25010); * inzicht in relaties en afhankelijkheden tussen softwareobjecten; * softwarefeatures (eisen: interfaces, koppelingen, API’s); * richten op aantoonbaar veilig programmeren (Secure Software Design). ''Valideren'' In deze fase worden de ontwikkelde modules/programma’s getest en uiteindelijk geaccepteerd. Gecontroleerd wordt of de software volgens de ontwerprichtlijnen is gebouwd. In deze fase kunnen ook fouten boven water komen die al in eerdere stadia gemaakt zijn. In deze fase wordt aandacht besteed aan bepaalde eisen, zoals: * de applicatie biedt slechts die functionaliteit die in de specificaties/ontwerp zijn opgenomen. (m.a.w.: geen functionaliteit buiten specificaties/ontwerp); * conformiteit aan de gespecificeerde functionaliteit (gebruikers)/ontwerp (Security by Design), AVG). ''Gebruiken'' Als de software voltooid en getest is zal het in gebruik genomen moeten worden volgens een standaardprocedure van de ‘OTAP-straat’. ''Onderhoud/Beheer'' Tenslotte dient de software periodiek op basis van nieuwe functionele eisen en of voorkomende fouten te worden onderhouden en (weer) in beheer te worden genomen. ===Ontwikkelmethoden=== Er zijn verschillende modellen voor het ontwikkelen van applicaties, zoals: lineair, iteratief en Agile. * 'Lineaire methode' Het meest bekend voorbeeld is de watervalmethode (zie §1.4). In deze lineaire ontwikkelmethode wordt het eindproduct (softwareproduct) in een aantal fases opgeleverd. In elke fase wordt een concreet gedefinieerd deelproduct vervaardigd. Requirements moeten duidelijk zijn en vooraf zijn vastgelegd. Kennisoverdracht en monitoring vinden plaats op basis van specifieke documenten en formats. * 'Iteratieve ontwikkelmethode' Iteratieve ontwikkeling is een methode waarbij het eindproduct niet in één keer wordt opgeleverd, maar gefaseerd tot stand komt, waarbij fases herhaaldelijk worden doorlopen. Na elke zogenaamde iteratie wordt het proces geëvalueerd en zo nodig aangepast. In de praktijk worden iteratieve- en lineaire ontwikkelmethoden met elkaar gecombineerd. * 'Agile methode' Een agile methode wordt gekenmerkt door korte, in tijd gelimiteerde sprints. De inhoud van een sprint wordt bij de start ervan bepaald. De gevolgde werkwijze kan (dagelijks) worden aangepast al naar gelang de wensen van de zelfsturende teams. Er wordt gebruik gemaakt van een geordende lijst van product features die gedurende het gehele project wordt bijgewerkt op basis van de behoefte van de klant. Daarmee worden in feite de productspecificaties opgebouwd. De nadruk ligt op samenwerking en mondelinge kennisoverdracht. Prioriteit wordt gegeven aan het opleveren van sprints en producten met de op dat moment hoogste toegevoegde waarde. De sprints worden gedaan door zelfsturende teams met multidisciplinaire teamleden en zonder vastgelegde taken, rollen en verantwoordelijkheden. Afbeelding 'Schematische weergave van een iteratie/agile ontwikkelproces in de vorm van het V-Model' geeft een schematische weergave van een iteratie/agile ontwikkelproces in de vorm van het V-Model. [[Afbeelding:Thema Applicatieontwikkeling - Schematische weergave van een iteratie agile ontwikkelproces in de vorm van het V-Model.png|thumb|350px|Schematische weergave van een iteratie/agile ontwikkelproces in de vorm van het V-Model|alt=”Schematische weergave van een iteratie/agile ontwikkelproces in de vorm van het V-Model”]] ===Applicatie objecten uit baseline in relatie tot ontwikkelmethode=== Bij de selectie van applicatie objecten uit ISO en overige baselines is in eerste instantie uitgegaan van de lineaire-/iteratieve aanpak van applicatieontwikkeling. Mogelijk volgen later een versie die gerelateerd is aan applicatieonderhoud en een versie die gerelateerd is aan de Agile methode. Dit zullen aparte documenten zijn die overeenkomsten zullen hebben met dit document, maar vanuit de optiek van onderhoud of Agile aanpak kunnen objecten aangepast en/of toegevoegd worden.  +
BIO Thema Applicatieontwikkeling - SIG ISO25010 model voor technische maatregelen applicatiebeveiliging +tekst wordt later toegevoegd  +
BIO Thema Clouddiensten - Beslisbomen voor risicobeoordeling IV-diensten +Beslisbomen ondersteunen stakeholders voor cloudservices bij het nemen van verantwoorde beslissingen voor het onderbrengen van gegevens en/of bedrijfsprocessen, zowel in de Public Cloud als in een Private Cloud of als uitbestede IT of in het eigen rekencentrum ‘on premise’. Hieronder is als aanpak een beslisboom uitgewerkt en in relatie tot de risicoafweging. Belangrijk daarbij is de context van de overheid in de overweging mee te nemen. Overheden worden geacht om verantwoord om te gaan met gevoelige gegevens van burgers en bedrijven, maar ook met gegevens van eigen medewerkers. Zie voor de vraag die in stap 1 gesteld wordt over gegevens [[BIO_Thema_Clouddiensten/Standpunt_AIVD_en_beleidsverkenning_BZK]]. De beslisboom wordt gebruikt als zelf-assessment en toetst achtereenvolgens op: <b>Afhankelijkheid en kwetsbaarheid</b> Gaat het om een primair bedrijfsproces met gevoelige gegevens van burgers en/of bedrijven, waarbij (bijzondere) persoonsgegevens in het kader van de AVG extra zwaar wegen, zeker als het de persoonlijke veiligheid/privacy van eigen medewerkers betreft? <b>Te Beschermen Belangen</b> Gaat het om zogenaamde cruciale belangen die van primair belang zijn voor het voortbestaan van de organisatie, waarbij het vertrouwen van burger en bedrijf in de betrouwbare overheid op het spel komt te staan indien die bescherming onvoldoende geborgd is? <b>Betrouwbaarheid van producten en diensten</b> De betrouwbaarheid van levering van producten en diensten is essentieel voor onze organisatie. De leverancier/provider vervuld daarin als belangrijkste actor een cruciale rol. Daarom is een passende dienstverlening nodig, waarbij het karakter van de te verwerken gegevens /processen daar geschikt voor moet zijn? [[Afbeelding:BIO Thema Clouddiensten - Situationele context van gegevens.png|thumb|none|500px|Situationele context van gegevens|alt=”Situationele context van gegevens”]] Afhankelijk van de situationele context, zal het tevens gaan om bedrijfsgegevens die vallen in één van de hieronder geschetste aspecten en die de daarbij behorende passende maatregelen vergen. [[Afbeelding:BIO Thema Clouddiensten - Procesflow voor de risicoanalyse.png|thumb|none|500px|Procesflow voor de risicoanalyse|alt=”Procesflow voor de risicoanalyse”]] <b>Vraag 1:</B> Gaat het om persoonsgegevens en/of (zeer) vertrouwelijke bedrijfsgegevens? NB Onder persoonsgegevens verstaat de [[Algemene Verordening Gegevensbescherming (AVG)]] alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’), die direct of indirect kan worden geïdentificeerd. Bijvoorbeeld aan de hand van naam, identificatienummer (BSN), locatiegegevens of via elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon. * Direct identificeerbaar: Gegevens die naar hun aard rechtstreeks betrekking hebben op een persoon, zoals iemands naam. * Indirect identificeerbaar: Gegevens die naar hun aard mede bepalend zijn voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld. Voorbeelden van indirect zijn het type huis of auto van een betrokkene, omdat dit iets zegt over het inkomen en vermogen van de betrokkene. Ook gegevens die in combinatie met andere gegevens tot identificeerbaarheid kunnen leiden worden aangemerkt als persoonsgegeven. NB Vertrouwelijke bedrijfsgegevens, zoals bijvoorbeeld (nog vertrouwelijke) financiële, technische of juridische informatie, budgetten, beleidsvoornemens, aanbestedingen, beursgevoelige informatie; kortom alle informatie die (nog) niet voor derden is bestemd. Zo ja, dan is een meer gedetailleerde risicoanalyse noodzakelijk (pre-PIA, PIA en/of risicobeoordeling). NB Die gedetailleerde risicoanalyse zal in het geval van: * Privacy gevoelige gegevens bestaan uit een zogenaamde Pre-PIA (risico inschatting op basis van 9 vragen), afhankelijk van de uitkomst gevolgd door een formele (D)PIA. * vertrouwelijke informatie zal classificatie plaatsvinden door de Betrouwbaarheidseisen te toetsen (= gewenste niveau van beschikbaarheid, integriteit en vertrouwelijkheid). Zo nee, ga naar vraag 2. <b>Vraag 2:</B> Gaat het om één van de volgende type processen (= karakter van de processen)? 2a) Gaat het om de verwerking van gegevens en/of geldstromen in een of meerdere processen van onze organisatie die niet in de handen mogen vallen van de criminaliteit, omdat dat het vertrouwen dat burger en bedrijf stellen in ons als betrouwbare overheid ernstig zou kunnen schaden? 2b) Gaat het om een primair proces of processen van onze organisatie, waarbij geldt dat wanneer deze processen op enig moment worden belemmerd of gestopt, in dit voorbeeld de schade voor onze organisatie groot zal zijn (zowel in financiële zin als ook in termen van imago-schade)? Zo nee, ga dan naar vraag 3. Zo ja, dan is een meer gedetailleerde risicoanalyse noodzakelijk (betrouwbaarheidseisen toetsen, en zo nodig meer en/of zwaardere beveiligingsmaatregelen overeenkomen, inclusief risicobeoordeling). <b>Vraag 3:</b> Biedt de leverancier een acceptabel niveau van dienstverlening? 3a) Is de leverancier van de toepassing/applicatie [[NEN-ISO/IEC 27001]] gecertificeerd? 3b) Indien er sprake is van opslag van data bij een extern datacenter is dat datacenter ISO 27001 gecertificeerd of anderszins gecertificeerd (ISAE3402 of SOC2)? 3c) Waar worden eventuele (bron)gegevens van de provincie opgeslagen die gebruikt worden bij het werken met de toepassing/applicatie in verband met ongewenste opslag buiten Europa? 3d) Is de leverancier bereid tot een externe (onafhankelijke) audit op compliance met wet- en regelgeving? Als één van deze 4 sub-vragen uit vraag 3 negatief wordt beantwoord, dan geldt dat er een alternatieve oplossing gezocht moet worden voor public clouddiensten, zoals een private cloud-omgeving, nu of in de toekomst geleverd vanuit de overheid, zoals Rijkscloud, of IT-outsourcing, of on-premise in een eigen rekencentrum. Afbeelding zonder nummer uit pagina 60 toevoegen: 'Schematische weergave vragen'  +
BIO Thema Clouddiensten - Bronverwijzing +Onderstaande lijst met brondocumenten verwijst naar voor clouddiensten relevante documenten. Hiervoor geldt: * Een deel van de documenten kan via Rijksweb, interne overheidswebsites en/of publieke zoekmachines gevonden worden. * Op NEN-ISO/IEC documenten rusten licentierechten. Voor de overheid zijn die afgekocht. Log hiervoor in via NEN-connect. * De ISF-documenten, zoals onder andere de SoGP zijn beschikbaar voor leden van het ISF. De gebruikersorganisatie moet lid zijn van het ISF. * De Duitse BSI IT-Grundschutz-, State of the art in IT security-, NORA-, NIST- en CSA-documenten zijn vrij beschikbaar via internet. ==Nationale kaders en practices== Eerste tabel op pagina 63 toevoegen: 'Nationale kaders en practices' ==Nationale standaarden== Tweede tabel op pagina 63 toevoegen: 'Nationale standaarden' ==Internationale standaarden== Tabel op pagina 64, 65 en 66 toevoegen; 'Internationale standaarden'  +
BIO Thema Clouddiensten - Cloudbeveiligingsprincipes binnen het beleidsaspect +In onderstaande tabel worden de geïdentificeerde principes beschreven binnen het beleidsaspect. <table class="wikitable"> <tr> <th>Nr.</th> <th>Beveiligingsobjecten</th> <th>Omschrijving</th> </tr> <tr> <td>B.01</td> <td>Wet- en regelgeving</td> <td>Dit omvat nationaleen internationale wet- en regelgeving die van toepassing is op de clouddiensten.</td> </tr> <tr> <td>B.02</td> <td>Cloud beveiligingsstrategie</td> <td>Dit omvat de uitspraken over de doelstellingen die de organisatie met de clouddiensten wil nastreven en de wegen waarlangs of de wijze waarop dit zal moeten plaatsvinden.</td> </tr> <tr> <td>B.03</td> <td>Exit strategie</td> <td>Dit omvat de strategie met de voorwaarden voor migratie van data en veranderen van CSP.</td> </tr> <tr> <td>B.04</td> <td>Clouddiensten beleid</td> <td>Dit omvat de uitgangspunten over de wijze waarop, in welk tijdbestek en met welke middelen de clouddiensten doelstellingen bereikt moeten worden.</td> </tr> <tr> <td>B.05</td> <td>Transparantie</td> <td>Dit omvat eenduidige communicatie, waarmee de CSP de verantwoordelijke functionarissen binnen de CSC en CSP inzicht geven over de status van de implementatie en het functioneren van de clouddiensten.</td> </tr> <tr> <td>B.06</td> <td>Risk Management</td> <td>Dit omvat de aanpak (methode) en de te hanteren scope voor het beheersen van de risico’s van de clouddiensten.</td> </tr> <tr> <td>B.07</td> <td>IT-functionaliteiten</td> <td>Dit omvat de functionaliteiten die gebruik maken van Internet-gerelateerde technologie.</td> </tr> <tr> <td>B.08</td> <td>BusinessContinuïty Management</td> <td>Business Continuity Management (BCM) beschrijft, hier toegespitst tot de clouddiensten, de eisen voor het beheerssysteem om een organisatie te beschermen tegen ontwrichtende gebeurtenissen, om de kans op deze gebeurtenissen te verkleinen en om te zorgen dat de organisatie zich hier volledig van kan herstellen.</td> </tr> <tr> <td>B.09</td> <td>Data en privacy</td> <td>Dit omvat de data waar dreigingen en privacybeschermende regels aan gerelateerd zijn. Zowel data- als privacybescherming moeten voldoen aan door de wettelijke en door de CSC gestelde eisen aan de beveiliging.</td> </tr> <tr> <td>B.10</td> <td>Beveiligingsorganisatie</td> <td>Dit is de beveiligingsorganisatie (van de CSP) die zorgt voor de naleving van het informatiebeveiligingsbeleid, clouddiensten beleid en overig hieraan gerelateerd beleid. Hoewel een ‘Beveiligingsfunctie’ als zelfstandig object beschouwd kan worden, is voor de eenvoud gekozen om deze in dit thema te integreren met de organisatie.</td> </tr> <tr> <td>B.11</td> <td>Clouddiensten architectuur</td> <td>Dit betreft de architectuur waarin de CSP de relaties tussen de componenten van de clouddiensten (hoe deze aan elkaar gekoppeld zijn) vastlegt. Deze architectuur beschrijft de IT-componenten, hun onderlinge samenhang en hoe de componenten de bedrijfsprocessen van de CSCondersteunen.</td> </tr> <caption align="bottom">Omschrijving van de beveiligingsobjecten voor het Beleidsdomein</caption></table> ==Toelichting beleidsaspect== Onderstaande afbeelding toont de dreigingen/kwetsbaarheden van de benoemde principes per invalshoek. De invalshoeken zijn: Intentie Een organisatie heeft bij het verwerven van clouddiensten doelstellingen geformuleerd, zoals: een efficiënte bedrijfsvoering, een schaalbare en flexibele dienstverlening. Hiervoor ontwikkelt zij beleid en strategie. Omdat dit op basis van onzekere informatie wordt ontwikkeld, moeten de stakeholders risico analyse(s) laten uitvoeren. Voor het uitvoeren van risicoanalyses moet een te hanteren risico aanpak (methode) zijn vastgesteld (risicomanagement). Functie Om aan de doelstellingen te kunnen voldoen, kan de organisatie besluiten functionele eisen vast te stellen. Zij moeten de IT-functionaliteiten en gerelateerde processen en beveiligingsfuncties beschrijven. Gedrag De IT-functionaliteiten worden gerealiseerd door actoren (Human Resources) en IT-principes (Technische Resources). Human resources refereert aan mensen waaraan eisen worden gesteld, zoals educatie, competentie/skill. IT-resources zijn ‘Data’ en IT-principes (Applicaties, Servers en Infrastructuur). Structuur De inzet van de actoren dienen goed georganiseerd te worden met behulp van een organisatiestructuur en de benodigde IT-principes met behulp van een architectuur. [[Afbeelding:Kwetsbaarheden_van_de_beleidsprincipes.png|thumb|none|500px|De dreigingen/kwetsbaarheden van de beleidsprincipes|alt=”De dreigingen/kwetsbaarheden van de beleidsprincipes”]] ==Dreigingen/kwetsbaarheden in relatie tot de cloudbeleidsprincipes== Onderstaande afbeelding geeft voor het beleidsaspect en op grond van de vermelde dreigingen/kwetsbaarheden en risico’s, de geïdentificeerde cloudbeveiligingsprincipes weer. De vermelde dreigingen/kwetsbaarheden en risico’s zijn niet uitputtend benoemd. Het illustreert de wijze waarop tot relevante beleidsprincipes is gekomen, eerst een longlist en vervolgens een shortlist. De principes uit de shortlist zijn vervolgens gestructureerd en conform het SIVA-raamwerk ingedeeld in de drie aspecten: Beleid, Uitvoering en Control en de vier invalshoeken: Intentie, Functie, Gedrag en Structuur. [[Afbeelding:BIO Thema Clouddiensten - De Beleid objecten gestructureerd conform het SIVA raamwerk.png|thumb|none|500px|De beleidsprincipes gestructureerd conform het SIVA-raamwerk|alt=”De Beleid objecten gestructureerd conform het SIVA-raamwerk”]]  +
BIO Thema Clouddiensten - Cloudbeveiligingsprincipes binnen het control-aspect +In onderstaande tabel worden de geïdentificeerde principes beschreven binnen het controlaspect. <table class="wikitable"> <tr> <th>Nr.</th> <th>Beveiligingsobjecten</th> <th>Omschrijving</th> </tr> <tr> <td>C.01</td> <td>Service Management beleid en evaluatie clouddiensten</td> <td>Richtlijnen voor het inrichten van beheerprocessen en voor het evalueren/uitvoeren van controle-activiteiten aangaande clouddiensten.</td> </tr> <tr> <td>C.02</td> <td>Risk Control</td> <td>Het beoordelen van de assessment van dreigingen en kwetsbaarheden en het beoordelen van het beheersen van de onderkende risico’s.</td> </tr> <tr> <td>C.03</td> <td>Compliance en Assurance</td> <td>Onafhankelijke toetsing op de naleving van het overeengekomen beveiligingsbeleid, richtlijnen en procedures, waarmee aan de CSC zekerheid wordt geboden over het beoogde beveiligingsniveau van de aangeboden clouddienst.</td> </tr> <tr> <td>C.04</td> <td>Technische kwetsbaarhedenbeheer</td> <td>Het verzamelen en beheren van security-kwetsbaarheden en issues. Voor wat betreft de services van de CSC, het transparant communiceren van kwetsbaarheden van de genomen (of nog te nemen) maatregelen voor IT en organisatie.</td> </tr> <tr> <td>C.05</td> <td>Security Monitoring</td> <td>Het continu bewaken van- en het rapporteren over security events en rapportage over de geconstateerde afwijking van het overeengekomen beveiligingsniveau.</td> </tr> <tr> <td>C.06</td> <td>Clouddiensten beheerorganisatie</td> <td>De inrichting en het functioneren van de organisatie rond het functioneel- en technisch beheer van clouddiensten en de bijbehorende taken, verantwoordelijkheden en bevoegdheden.</td> </tr> <caption align="bottom">Omschrijving van de beveiligingsobjecten voor het Control domein</caption></table> ==Toelichting control-aspect== Onderstaande afbeelding toont de dreigingen/kwetsbaarheden van de benoemde principes per invalshoek. De invalshoeken zijn: Intentie De organisatie heeft het clouddienstenbeleid vertaald naar een servicemanagementbeleid en evaluatie-richtlijnen voor het inrichten, evalueren en bewaken van het functioneren en van de bescherming van de clouddiensten en activiteiten uitvoeren ten aanzien van het monitoren en reviewen van de risico’s. Functie De organisatie heeft beheersingsprocessen ingericht verricht ten aanzien van beveiligingscontroles en kwetsbaarheden van de clouddiensten. Gedrag De organisatie verricht in haar processen activiteiten ten aanzien van: monitoren van clouddiensten en technische kwetsbaarheden. Structuur De organisatie heeft voor de clouddiensten een beheersingsorganisatie ingericht. [[Afbeelding:BIO Thema Clouddiensten - De dreigingen en kwetsbaarheden van de benoemde Control objecten.png|thumb|none|500px|De dreigingen en kwetsbaarheden van de controlprinipes|alt=”De dreigingen en kwetsbaarheden van de controlprincipes”]] ==Dreigingen/kwetsbaarheden in relatie tot de cloudcontrol-principes== Het control-aspect is op dezelfde wijze geanalyseerd als vermeld bij het [[Dreigingen en kwetsbaarheden cloudcontrolprincipes|beleidsaspect]]. Ook hier zijn de vermelde dreigingen/kwetsbaarheden en risico’s zijn niet uitputtend benoemd. De relevante principes binnen het control-aspect wordt weergegeven in onderstaande afbeelding. Afbeelding 17 toevoegen: 'De control-principes gestructureerd conform het SIVA-raamwerk'  +
BIO Thema Clouddiensten - Cloudbeveiligingsprincipes binnen het uitvoeringsaspect +In onderstaande tabel worden de geïdentificeerde principes beschreven binnen het uitvoeringsaspect. <table class="wikitable"> <tr> <th>Nr.</th> <th>Beveiligingsobjecten</th> <th>Omschrijving</th> </tr> <tr> <td>U.01</td> <td>Standaarden voor clouddienst</td> <td>Dit betreft de set van nationale (pas-toe-of-leg-uit)- en internationale industriestandaarden, die gebruikt wordt voor de inrichting, dienstverlening en beheersing van clouddiensten.</td> </tr> <tr> <td>U.02</td> <td>Risico Assessment</td> <td>Dit is het proces voor het (via een controlcyclus) beheersen van risico’s vanuit dreigingen, kwetsbaarheden en de inschatting van de kans dat er schade optreedt.</td> </tr> <tr> <td>U.03</td> <td>Business Continuïty Services</td> <td>Dit betreft het pakket van maatregelen, dat ingeval van normaal bedrijf (met QoS) en bij voorkomende calamiteiten, zoals natuurrampen, binnen de overeengekomen maximale uitvalsduur zorgt voor het herstel van de data en de dienstverlening en waarbij dataverlies wordt voorkomen. Bekende services zijn redundantie, disaster recovery en periodieke oefening van de herstelfunctie.</td> </tr> <tr> <td>U.04</td> <td>Herstelfunctie voor data en clouddiensten</td> <td>Dit betreft het herstel van data en dienstverleningna onderbrekingen of vernietiging, zoals bij storingen of calamiteiten (Disaster Recovery), tot de situatie vlak voor dat de onderbreking ofvernietiging plaatsvond.</td> </tr> <tr> <td>U.05</td> <td>Data protectie</td> <td>Dit betreft data “in rust” en betreft de gegevens die voor korte of langere tijd zijn opgeslagen (bij de CSP).</td> </tr> <tr> <td>U.06</td> <td>Dataretentie en vernietiging van gegevens</td> <td>Dit betreft het bewaren van gegevens; na afloop van de bewaarperiode moet de data teruggaan naar de CSC, naar een andere door de CSC te bepalen CSP of te worden gewist/vernietigd.</td> </tr> <tr> <td>U.07</td> <td>Scheiding van data</td> <td>Dit betreft het isoleren van de data (in bewerking,of in rust) van de CSC, van alle data van de CSP en van de data van andere CSC’s.</td> </tr> <tr> <td>U.08</td> <td>Scheiding van dienstverlening</td> <td>Dit betreft het isoleren van de diensten/services van/voor de CSC, van alle diensten/services die niet voor die specifieke dienstverlening benodigd zijn, zoals die van/voor andere CSC’s.</td> </tr> <tr> <td>U.09</td> <td>Malware protectie</td> <td>Dit betreft het continu beschermen van data in de keten van CSC en CSP tegen malware.</td> </tr> <tr> <td>U.10</td> <td>Toegang IT-diensten en data</td> <td>Dit betreft het proces en de middelen voor hettoekennen en bewaken van toegangsrechten tot data en bedrijfsprocessen en is gebaseerd op identificatie, authenticatie en autorisatie van alle mogelijkegebruikers.</td> </tr> <tr> <td>U.11</td> <td>Cryptoservices</td> <td>Dit betreft de technische functies voorversleuteling en ontsleuteling van data, elektronische handtekening en versterkte authenticatie, al dan niet via Public-Key-Infrastructuur (PKI)technologie. Sleutelbeheer is een onderdeel van cryptoservices.</td> </tr> <tr> <td>U.12</td> <td>Koppelvlakken</td> <td>De onderlinge connecties in de keten van CSC en CSP. Het beperken van het aantal koppelvlakken, vereist de nodige aandacht en toezicht, om risico’s vandataverlies te beperken.</td> </tr> <tr> <td>U.13</td> <td>Service orkestratie</td> <td>Dit betreft het arrangeren, beoordelen en bijsturen door de CSC van de set van diensten die door een specifieke CSP worden geleverd. Uitgangspunt daarbij is de set van overeenkomsten die de CSC met de CSP heeft gesloten over deQualtity of Service (QoS) van de dienst, de overeengekomen informatieveiligheid en de kosten.</td> </tr> <tr> <td>U.14</td> <td>Interoperabiliteit en portabiliteit</td> <td>Dit betreft het zonder bijzondere hulpmiddelen of aanpassingen met andere organisaties en systemen kunnen laten functioneren van de diensten, het onderling kunnen uitwisselen van gegevens en de overdraagbaarheid van de gegevens en diensten, zoals naar een nieuwe CSP.</td> </tr> <tr> <td>U.15</td> <td>Logging en monitoring</td> <td>Dit betreft de bewaking van de beoogde werking en bescherming van de clouddiensten.</td> </tr> <tr> <td>U.16</td> <td>Clouddiensten architectuur</td> <td>Dit betreft de implementatie van de architectuur waarinde CSP de clouddiensten en alle cruciale elementen hiervoorin samenhang beschrijft.</td> </tr> <tr> <td>U.17</td> <td>Multi-tenant architectuur</td> <td>Dit betreft de implementatie van de architectuur waarin de CSP de relaties tussen de componenten van de clouddiensten voor de verschillende CSC’s heeft vastgelegd.</td> </tr> <caption align="bottom">Omschrijving van de beveiligingsobjecten voor het Beleidsdomein</caption></table> ==Toelichting uitvoeringsaspect== Onderstaande afbeelding toont de dreigingen/kwetsbaarheden van de benoemde principes per invalshoek. De invalshoeken zijn: Intentie In het uitvoeringsaspect zal de organisatie onder andere haar beleid vertalen naar richtlijnen voor het uitvoeren van risico analyse en zal de organisatie de implementatie vertalen naar procedures. Functie In dit aspect worden ten aanzien van clouddiensten organisatorische en technisch georiënteerde maatregelen getroffen. Gedrag De clouddiensten kennen een aantal specifieke elementen, zoals toegang en technisch georiënteerde componenten. Structuur De clouddiensten moeten een goed overzicht bieden door middel van een architectuur. [[Afbeelding:BIO Thema Clouddiensten - De dreigingen en kwetsbaarheden van de benoemde Uitvoering objecten.png|thumb|none|500px|De dreigingen en kwetsbaarheden van de uitvoeringsprincipes|alt=”De dreigingen en kwetsbaarheden van de uitvoeringsprincipes”]] ==Dreigingen/kwetsbaarheden in relatie tot de cloud-uitvoeringsprincipes== Het uitvoeringsaspect is op dezelfde wijze geanalyseerd als vermeld bij het [[Dreigingen en kwetsbaarheden cloud-uitvoeringsprincipes│beleidsaspect]]. Ook hier zijn de vermelde dreigingen/kwetsbaarheden en risico’s niet uitputtend benoemd. [[Afbeelding:BIO Thema Clouddiensten - De Uitvoering objecten gestructureerd conform het SIVA raamwerk.png|thumb|none|500px|De uitvoeringsprincipes gestructureerd conform het SIVA-raamwerk|alt=”De Uitvoeringsprincipes gestructureerd conform het SIVA-raamwerk”]]  +
BIO Thema Clouddiensten - Inleiding +De toepassing van cloudcomputing-diensten, kortweg clouddiensten, is een methode voor het leveren van ICT. Cloudcomputing is een term die staat voor de omgeving waarbinnen leveranciers functionaliteit of diensten in de vorm van een technologische black-box aanbieden. Dit betekent dat clouddiensten gekozen worden op basis van een vooraf vastgestelde ‘dienstenmenukaart’. De CSC kan als aanvullende eis stellen dat het effectieve beveiligingsniveau voor de betrokken CSC geen invloed ondervindt van onderhoud- en releasewerkzaamheden voor andere CSC's. ‘Cloud computing is een model voor het snel beschikbaar stellen van on-demand (op verzoek) netwerktoegang tot een gedeelde pool van configureerbare IT-middelen (zoals netwerken, servers, opslag, applicaties en diensten), met een minimum aan management inspanning of interactie met de aanbieder.’ (Nist, https://csrc.nist.gov/publications/detail/sp/800-145/final). In het algemeen onderscheid men drie soorten IT-clouds: # Private Cloud (met een dedicated infrastructuur), De IT-voorzieningen zijn ingericht voor één klant en opgezet conform de standaarden van de CSP. # Private/Shared Cloud (met een geheel of gedeeltelijk gedeelde infrastructuur, De IT-voorzieningen zijn toegankelijk voor één klant en delen om kosten te besparen de onderliggende infrastructuur met andere klanten (bijvoorbeeld de opslag en het netwerk). # Public Clouds, De IT-voorzieningen zijn toegankelijk via het Internet. De voorzieningen worden meestal gedeeld met andere klanten. De meest bekende clouddiensten zijn: * Software as a Service (SaaS), Bij SaaS staat de applicatie volledig onder controle van de dienstverlener. * Platform as a Service (PaaS), Bij PaaS worden de platformen en de infrastructuur beheerd door de CSP en niet de applicaties. * Infrastructure as a Service (IaaS), Bij IaaS wordt alleen de infrastructuur beheerd door de CSP en niet de applicaties en de platformen. De toepassing van clouddiensten past in de verschuiving van maatwerkoplossingen naar standaardoplossingen. Sommige overheidsorganisatie maken al gebruik van bepaalde type clouddiensten, andere organisaties overwegen om gebruik te maken van clouddiensten. Ook hebben sommigen hiervoor een eigen cloudbeleid ontwikkeld. Bij veel overheidsorganisatie heerst er echter onzekerheid over: * het verwerven van clouddiensten, omdat heel veel activiteiten buiten hun zicht plaatsvinden; * het opslaan van data bij een derde partij. Een ander belangrijk aandachtspunt bij de overheidsorganisatie is dat bij een toename van het aantal diensten en dienstverleners (CSP’s), de regie-inspanning voor de afnemer (CSC), verder kan toenemen. Vooral wanneer de CSP’s andere CSP’s inschakelen voor de te leveren diensten. Ondanks het feit dat er met betrekking tot clouddiensten verschillende baselines bestaan, vragen organisaties zich af op welke onderwerpen zij zich dienen te focussen. De uitwerkingen van de relevante onderwerpen wordt verder aangeduid als beveiligingsprincipes Overheden die IT-diensten willen aanbesteden, dienen zich vanuit hun bijzondere verantwoordelijkheid de vraag te stellen, welke data van medewerkers, burgers en bedrijven, opgeslagen kan worden in de (public) cloud en welke data binnen de bescherming van de rekencentra van de overheid moet blijven. Leidend daarbij zijn de antwoorden van minister Plasterk op vragen vanuit de 2e kamer, mei 2014 (zie https://www.openkamer.org/kamervraag/2014Z09632/). De standpunten van de AIVD en de verkenning Cloudbeleid Rijksdienst alsmede de IBD-handreikingen voor clouddiensten zijn tevens richtinggevend bij de risicoanalyse, zoals in dit thema is uitgewerkt. == Doelstelling== Het doel van dit thema is overheidsorganisaties een systematisch beeld te geven over de voornaamste principes van de clouddiensten waarmee zij ondersteund worden bij een goed afgewogen inzet van clouddiensten en het onderkennen van de aspecten die van belang zijn bij het aangaan van een clouddienst. De focus van het thema ligt op beschikbaarheid, integriteit en vertrouwelijkheid en controleerbaarheid van de data en de betrouwbaarheid van de bedrijfsprocessen. De uitwerking van het thema Clouddiensten dient als handreiking bij inkoop van clouddiensten. De keuze van de principes dient plaats te vinden op basis van de context van de organisatie en risicoanalyse. ==Opzet van het thema== Het thema Clouddiensten wordt uitgewerkt langs twee lijnen: Structuur en Principes. De structuur van het BIO Thema Clouddiensten bestaat uit een indeling op basis van: Beleid, Uitvoering en Control (BUC). De beveiligingsprincipes vormen de inhoudelijke onderwerpen die, vanuit de optiek van de CSC, van belang zijn. Door eerst op de principes te focussen, wordt inzicht verkrijgen in en de relatie tussen de noodzakelijke principes. Na verkregen inzicht zullen per principes hoofdbeheersmaatregelen (in ISO-terminologie ‘Control’) en onderliggende criteria voor maatregelen gedefinieerd worden. De principes en de bijbehorende criteria voor maatregelen worden gestructureerd door middel van een lagenstructuur. In principe wordt een standaardopzet gevolgd voor de BIO-thema’s. Echter, vanwege het bijzondere karakter van dit thema, zijn er voor een betere begripsvorming enkele onderwerpen toegevoegd. Dit thema volgt de volgende opzet: * Context van de relatie tussen de CSC en de CSP * Context en globale structuur van het thema * Scope en begrenzing clouddiensten * Aanleiding om gebruik te maken van clouddiensten * Dreigingen en kwetsbaarheden (Dreigingen en kwetsbaarheden cloudbeleidsprincipes, Dreigingen en kwetsbaarheden cloud-uitvoeringsprincipes en Dreigingen en/of kwetsbaarheden cloudcontrolprincipes) * CSC-georiënteerde aandachtspunten * Presentatie en uitwerking van beveiligingsprincipes voor clouddiensten op de BUC-lagen * Beveiligingsprincipes binnen BUC gerelateerd aan basiselementen ==Context van de relatie tussen de CSC en de CSP== In de verhouding tussen de CSC en de CSP zijn drie issues waar organisaties steeds op focussen. Vanuit de CSC beredeneerd zijn dit: # On-going, Krijgt de CSC, qua prestaties, op dagelijkse basis de juiste diensten geleverd? Met andere woorden voldoen de geleverde diensten aan prijs, kwaliteit, veiligheid- en continuïteitseisen? Dus hoe is het gesteld met de performance? # Continuous monitoring (near real time), Krijgt de CSC de zekerheid dat hij regulier, conform contracten, bedrijfseisen en beveiligingseisen, de juiste diensten ontvangt? Dus hoe is het gesteld met de beoogde conformance? # Compliancy (periodieke metingen en evaluaties), Krijgt de CSC de zekerheid dat hij in de afgelopen periode, conform wet- en regelgeving, contracten, bedrijfseisen en beveiligingseisen de juiste diensten heeft ontvangen? Dus hoe is het gesteld met de beoogde de compliance? [[Afbeelding:Thema Clouddiensten - Twee deliverables van een CSP.png|thumb|none|500px|Twee deliverables van een CSP|alt=”Twee deliverables van een CSP”]] Bij inkoop van clouddiensten levert de CSP niet alleen de gecontracteerde clouddiensten (ICT-service levering), maar ook de noodzakelijke continuous monitoring-, compliancy- en assurance-rapportages, zoals dit in afbeelding 'Twee deliverables van een CSP' wordt geschetst. ICT-service levering Dit betreft de daadwerkelijk door de CSC gevraagde publieke of private clouddiensten, die aan bepaalde functionele en beveiligingseisen moeten voldoen. De levering gaat vergezeld met prestatiemetingen over de geleverde diensten en de noodzakelijke verbeteringsmaatregelen met betrekking tot leveringen en beveiliging. Assurance Dit betreft een jaarlijkse rapportage op basis van een onderzoek uitgevoerd door een derde partij. Met de assurance-rapportage geeft de CSP zekerheid aan de CSC dat de geleverde diensten aan de contractuele eisen hebben voldaan. De assurance-rapportage komt tot stand op basis van een onderzoekstraject waarin een referentiekader als toetsingsmiddel wordt gehanteerd. Trust De inkoop van clouddiensten gaat gepaard met een gedragen en haalbaar ICT-servicecontract. Echter, er zullen altijd aspecten zijn die bij de contractvorming over het hoofd worden gezien. Voor een duurzame relatie is daarom een vertrouwensrelatie tussen CSC en CSP vereist, anders lopen zij steeds het risico in een juridische strijd verwikkeld te raken. Zowel aan de CSC-kant als aan de kant van de CSP spelen verschillende aspecten een rol. In de CSC-CSP relatie heeft iedere partij haar eigen rol. De relevante aspecten zullen hieronder worden beschreven. CSC (vraagzijde) Initieel stelt de CSC een programma van eisen en/of wensen PvE(W) vast voor de te verwerven clouddiensten en communiceert dit met de potentiële CSP’s. Wanneer de CSC en de gekozen CSP overeenstemming bereiken, worden de clouddiensten geleverd. Een belangrijke vraag voor overheidsdienstverlening is hierbij: ‘Is de toepassing van de clouddienst, gelet op de, door de Tweede Kamer geaccepteerde risico’s toegestaan?’ Zie hiervoor: * Mail: J.L.M. Kuijpers (AIVD): Betreft: Publieke clouddiensten en gerubriceerde gegevens, 9 sept 2019 * Concept voor afstemming: Verkenning cloudbeleid voor de Nederlandse Rijksdienst, versie 0.96, 12 aug 2019, https://www.earonline.nl/images/earpub/8/86/Quickscan_BIR2017_versie_1.pdf * Beleidskader: Privacy en informatiebescherming 2019, versie 1.0, 20 jan 2019 * Brief: Ferd Grapperhaus (Min. JenV), Onderwerp: CLOUD act, okt 2018 In [[BIO_Thema_Clouddiensten/Beslisbomen_voor_risicobeoordeling_IV-diensten]] zijn instrumenten, in de vorm van beslisbomen, beslisbomen, opgenomen waarmee organisaties kunnen besluiten al dan niet gebruik te maken van clouddiensten. [[Afbeelding:Thema Clouddiensten - Twee deliverables van een CSP en de eisen en wensen aan de vraag en levering kant.png|thumb|none|500px|Twee deliverables van een CSP en de eisen en wensen aan de vraag en levering kant|alt=”Twee deliverables van een CSP en de eisen en wensen aan de vraag en levering kant”]] CSP (leveringszijde) De CSP maakt op basis van het PvE(W) een functioneel en technisch ontwerp. Vervolgens wordt de dienst gebouwd, getest en in productie genomen. Geleverde diensten Deze diensten dienen altijd te voldoen aan de, in de vorm van wettelijke en business eisen, gestelde condities. Hiernaast komen de partijen overeen dat de geleverde diensten: * meetbaar en voorspelbaar moeten zijn; * compliant moeten zijn aan wet- en regelgeving, business- en beveiligingseisen van de CSC; * beveiligd en beheerst moeten zijn. ==Context en globale structuur van clouddiensten== Afbeelding 'Twee deliverables van een CSP en de eisen en wensen aan de vraag/levering kant' kan samengevat worden door middel van de domeinen: Beleid, Uitvoering en Control (BUC). Dit wordt in afbeelding 'Context CSC- en CSP-relatie bij verwerven van clouddiensten' geïllustreerd. Beleidsdomein De CSC stelt een PvE(W) op, dat als randvoorwaarde zal gelden. Voor zowel de CSC als de CSP is het PvE(W) een toetsinstrument. De vragen die vanuit CSC en CSP gesteld kunnen worden, zijn: * CSC: heb ik de juiste dienst(en) geleverd gekregen? * CSP: hoe kan ik aantonen dat ik de juiste diensten heb geleverd? Uitvoeringsdomein Binnen dit domein gaat het om de operationele levering van de clouddiensten. Beide zijden moeten transparantie zijn over de gevraagde en daadwerkelijke leveringen. Controldomein Binnen dit domein zijn de beheersingsprocessen ingericht. Voor de beoogde dienstverlening moeten de beheersingsprocessen aan CSC en CSP-zijden op elkaar zijn afgestemd. [[Afbeelding:Thema Clouddiensten - Context CSC en CSP relatie bij verwerven van clouddiensten.png|thumb|none|500px| Context CSC en CSP relatie bij verwerven van clouddiensten|alt=” Context CSC en CSP relatie bij verwerven van clouddiensten”]] ==Scope en begrenzing van clouddiensten== De scope van het BIO Thema Clouddiensten is de set van ‘specifieke onderwerpen’ (principes) waar organisaties aandacht aan zouden moeten besteden bij het inkopen van clouddiensten. Met andere woorden dit thema richt zich hoofdzakelijk op het ‘Wat’-aspect. Het is ook van belang om te weten langs welke route organisaties naar de cloud kunnen. Hieraan liggen migratie-strategieën aan ten grondslag. De migratie-strategieën zullen niet worden beschreven; het zogeheten ‘Hoe’-aspect wordt in dit document niet uitgewerkt. In de praktijk zijn daarvoor verschillende baselines beschikbaar. De algemene eisen uit de [[BIO (Baseline Informatiebeveiliging Overheid)]] en [[NEN-ISO/IEC 27001]] of [[NEN-ISO/IEC 27002]] zullen onverminderd van kracht blijven. Het gaat in dit thema om specifieke additionele principes die gerelateerd zijn aan clouddiensten. De maatregelen die gerelateerd zijn aan deze principes moeten realistisch en implementeerbaar zijn voor een CSP. Privacy-aspecten: DPIA’s (Data Protection Impact Assessments) worden niet expliciet opgenomen, omdat DPIA’s vanuit de [[Algemene Verordening Gegevensbescherming (AVG)]] generiek bij elk project uitgevoerd dienen te worden. ==Aanleiding om gebruik te maken van clouddiensten== Enkele belangrijke argumenten van overheden om gebruik te maken van clouddiensten zijn: * de focus op kerntaken; * een efficiënte bedrijfsvoering en het verlagen van de totale kosten; * het binnen een kort tijdsbestek kunnen beschikken over nieuwe IT-functionaliteit en daarmee de dienstverlening aan burger en bedrijf sneller aan kunnen passen aan de (veranderende) behoefte; * de zekerheid over gekwalificeerd personeel; * het verlagen van IT-complexiteit in specifieke situaties; * het verbetering van de beveiliging/beschikbaarheid; * een herziene bedrijfsstrategie en vereiste specifieke beveiligingseisen voor processen en data. Hiernaast kunnen organisaties op basis van externe factoren overwegen om gebruik te maken van clouddiensten, zoals: * vigerende wet- en regelgeving ten aanzien van: ** een betrouwbare dienstverlening en het veilig omgaan met data van burgers en bedrijven; ** het overheidsbeleid inzake data in de cloud en de invloed van internationale verdragen; ** de noodzaak voor een weerbare overheid tegen cybercriminaliteit en statelijke actoren; * technologische ontwikkelingen. Hierbij wil de CSC kunnen inspelen op innovaties, die kunnen leiden tot een efficiëntere bedrijfsvoering en verlaging van de totale kosten. ==Toepassing van het thema== Dit thema is een hulpmiddel bij het kiezen van een aantal te adresseren cloud-principes bij het verwerven van clouddiensten. Bij de opzet van dit thema is het onderwerp ‘cloud’ functioneel benaderd en niet uitgewerkt op de technische gelaagdheid van SaaS, PaaS en IaaS. Bij het verwerven van clouddiensten kan de [[ISOR (Information Security Object Repository)]] als hulpmiddel dienen. Dit impliceert de volgende stappen: * Bepaal als eerste de context van de case en het type dienst dat verworven moet worden. * Identificeer vervolgens de operationele beveiligingsprincipes. Raadpleeg hierbij de principes in het uitvoeringsdomein. * Identificeer daarna de conditionele principes. Raadpleeg hierbij de principes in het beleidsdomein. * Identificeer tenslotte de beheersingsprincipes. Raadpleeg hierbij de principes in het control-domein. * Neem de beveiligingsprincipes op in het PvE(W) voor de clouddienst, zodat deze principes door de provider kunnen worden gerelateerd aan de specificaties van bestaande ‘standaard diensten’ of worden vertaald in maatregelen voor de aangeboden specifieke dienstverlening.  +
BIO Thema Clouddiensten - Risico's in relatie tot clouddiensten +Relevante risico’s verbonden aan clouddiensten kunnen ondergebracht worden in twee risicogroepen: # Data, Gegevens van de burger of CSC zijn verloren geraakt of zijn misbruikt. # IT-dienstverlening, De betrouwbare dienstverlening aan de burger en CSC is in gevaar. Risico’s worden bepaald door dreigingen en kwetsbaarheden en de kans dat daardoor schade ontstaat. Zowel dreigingen als kwetsbaarheden zijn hieronder concreet gemaakt. De factor ‘Kans’ is niet berekenbaar voor clouddiensten, maar kan ingeschat worden op basis van onderzoek vanuit de eigen context van de CSC en de zich ontwikkelende markt van CSP's. ==Dreigingen en/of kwetsbaarheden== NB Aandachtspunten voor consequenties zijn overgenomen van Weolcan (https://blog.weolcan.eu/wat-is-een-cloud-exit-strategie-precies-en-hoe-voer-je-het-uit). De vakliteratuur noemt verschillende dreigingen en/of kwetsbaarheden waarmee de CSC rekening dient te houden bij het verwerven van clouddiensten. Na de verwerving kan de CSC geconfronteerd worden met issues over contracten en prestaties van de clouddienst en over ondersteuning door en de relatie met de CSP. Bij het identificeren van de principes voor clouddiensten zijn beide hiervoor genoemde risicogroepen als invalshoek gebruikt. Onderstaande tabel en afbeelding geven een overzicht van de belangrijkste kwetsbaarheden en voorkomende consequenties. [[BIO_Thema_Clouddiensten/Cloudbeveiligingsprincipes_binnen_het_beleidsaspect]], [[BIO_Thema_Clouddiensten/Cloudbeveiligingsprincipes_binnen_het_uitvoeringsaspect]] en [[BIO_Thema_Clouddiensten/Cloudbeveiligingsprincipes_binnen_het_beleidsaspect]] bevatten detailuitwerkingen van de dreigingen. De tabel en afbeelding zijn beperkt tot de set van CSA en Greer and Jackson. <table class="wikitable"> <tr> <th>Nr.</th> <th colspan="3">Cloud Computing Vulnerabilities CSA en Greerand Jackson, 2017</th> </tr> <tr> <td>1</td> <td rowspan="2">Data</td> <td>Data breaches</td> <td>Dataverstoringen</td> </tr> <tr> <td>2</td> <td>Data Loss or data leakage</td> <td>Dataverlies of datalekken</td> </tr> <tr> <td>3</td> <td rowspan="13">Clouddiensten</td> <td>Account or service traffic hijacking</td> <td>Kapen van account of serviceverkeer</td> </tr> <tr> <td>4</td> <td>Denial of Service</td> <td>Denial of Service</td> </tr> <tr> <td>5</td> <td>Malicious insiders</td> <td>Kwaadwillende insiders</td> </tr> <tr> <td>6</td> <td>Abuse of nefarious use of cloud computing</td> <td>Misbruik of misdadig gebruik van cloudcomputing</td> </tr> <tr> <td>7</td> <td>Insufficient due diligence</td> <td>Onvoldoende due diligence</td> </tr> <tr> <td>8</td> <td>Shared technology vulnerabilities</td> <td>Gedeelde technologiekwetsbaarheden</td> </tr> <tr> <td>9</td> <td>Insecure interfaces and API’s</td> <td>Onveilige interfaces en API’s</td> </tr> <tr> <td>10</td> <td>Unknown risk profile</td> <td>Onbekend risicoprofiel</td> </tr> <tr> <td>11</td> <td>Hardware failure</td> <td>Hardware falen</td> </tr> <tr> <td>12</td> <td>Nature disasters</td> <td>Natuurlijke rampen</td> </tr> <tr> <td>13</td> <td>Closure of cloud service</td> <td>Afsluiten van de cloud dienst</td> </tr> <tr> <td>14</td> <td>Cloud related malware</td> <td>Cloud gerelateerde malware</td> </tr> <tr> <td>15</td> <td>Inadequate infrastructure design and planning</td> <td>Inadequateinfrastructuur ontwerp en planning</td> </tr> <caption align="bottom">Cloud Computing Vulnerabilities CSA en Greer and Jackson, 2017</caption></table> [[Afbeelding:BIO Thema Clouddiensten - Cloud gerelateerde dreigingen en kwetsbaarheden.png|thumb|none|500px|Cloud gerelateerde dreigingen en kwetsbaarheden|alt=”Cloud gerelateerde dreigingen en kwetsbaarheden”]] ==CSC-georiënteerde aandachtspunten== De schrijfgroep heeft over clouddiensten diverse gesprekken gevoerd met CSC’s en CSP’s. Ook heeft de schrijfgroep verschillende beleidsdocumenten ontvangen van CSC’s. Bij de besprekingen en het bestuderen van de documenten stonden twee vragen centraal: # Welke issues met betrekking tot clouddiensten spelen een rol bij de CSC’s? # Waar maken de CSC’s zich de meeste zorgen over bij het verwerven van clouddiensten? De geïdentificeerde issues zijn globaal onderverdeeld in een aantal generieke onderwerpen: beleid en strategie, processen/functies (technische en organisatorische), interacties, infrastructuur en structuur (architectuur en organisatiestructuur). Onderstaande afbeelding geeft een overzicht van deze onderwerpen. [[Afbeelding:Thema Clouddiensten - CSC georiënteerde aandachtspunten.png|thumb|none|500px|CSC georiënteerde aandachtspunten|alt=”CSC georiënteerde aandachtspunten”]] ==Beveiligingsprincipes voor clouddiensten== Principes worden geïdentificeerd aan de hand van onderzoeksvragen en risicogebieden. De principes hebben tot doel risico’s te mitigeren en zijn afgeleid van de algemene beveiligingseisen: beschikbaarheid, integriteit, vertrouwelijkheid en controleerbaarheid (BIVC) die vervolgens zijn ingedeeld in de drie domeinen: Beleid, Uitvoering en Control. De vragen die vanuit BUC-optiek hierbij een rol hebben gespeeld zijn: # Welke randvoorwaardelijke elementen spelen een rol bij de inrichting van de clouddiensten en wat is de consequentie van het ontbreken van een of meer van deze elementen? # Welke elementen spelen een rol bij de inrichting van de clouddiensten en wat is de consequentie van het ontbreken van één of meer van deze elementen? # Welke elementen spelen een rol bij de beheersing van de clouddiensten en wat is de consequentie van het ontbreken van één of meer van deze elementen? ==Vaststellen van de beveiligingsprincipes voor clouddiensten== Onderstaande tabel geeft een overzicht van relevante beveiligingsprincipes voor de clouddiensten, afkomstig uit ISO 27017, NIST etc. Uit de contextuele analyse blijkt, dat verschillende onderwerpen niet in de [[NEN-ISO/IEC 27002]] voorkomen. Voor de onderwerpen, waarvoor de ISO/[[BIO (Baseline Informatiebeveiliging Overheid)]] geen control heeft geformuleerd, zijn criteria uit andere baselines geadopteerd. <table class="wikitable"> <tr> <th>Nr.</th> <th>IFGS</th> <th>Cloud Beleidsobjecten</th> <th>Referenties</th> </tr> <tr> <td>B.01</td> <td>I</td> <td>Wet- en regelgeving</td> <td>ISO27002: 18.1</td> </tr> <tr> <td>B.02</td> <td>I</td> <td>Cloud beveiligingsstrategie</td> <td>SoGP: Information Security Strategy SG2.1</td> </tr> <tr> <td>B.03</td> <td>I</td> <td>Exit strategie</td> <td>BSI C5: PI-02</td> </tr> <tr> <td>B.04</td> <td>I</td> <td>Clouddiensten beleid</td> <td>ISO27017: 5.1;ISA62443-2-1: 4.3.2; CSA: GRM, C5 OIS-06</td> </tr> <tr> <td>B.05</td> <td>I</td> <td>Transparantie</td> <td>BSI C5: 4 enpag. 19-20</td> </tr> <tr> <td>B.06</td> <td>I</td> <td>Risicomanagement</td> <td>ISO27005; CSA : GRM; BSI C5: OIS-06;SoGP: IR</td> </tr> <tr> <td>B.07</td> <td>F</td> <td>IT functionaliteiten</td> <td>ISO27002</td> </tr> <tr> <td>B.08</td> <td>F</td> <td>Business Continuïty Management</td> <td>ISO27002: H17; ISA62443-2-1: 4.3.2.5;CSA: BRC; BSI C5: 5.1; SoGP</td> </tr> <tr> <td>B.09</td> <td>G</td> <td>Data en privacy</td> <td>ITU-T: FG CloudTR 8.5</td> </tr> <tr> <td>B.10</td> <td>S</td> <td>Beveiligingsorganisatie</td> <td>ISO27002: 6.1,6.2; ISA62443-2-1: 4.3.2.3</td> </tr> <tr> <td>B.11</td> <td>S</td> <td>Clouddiensten architectuur</td> <td>Werkgroep/Schrijfgroep (WGR/SGR)</td> </tr> <tr> <td>Nr.</td> <td>IFGS</td> <td>Cloud Uitvoeringsobjecten</td> <td>Referenties</td> </tr> <tr> <td>U.01</td> <td>I</td> <td>Standaarden voor clouddiensten</td> <td>ISO27017: 2.1, 18.2.2; ISO17788; ISO17789;ISO27036</td> </tr> <tr> <td>U.02</td> <td>I</td> <td>Risico Assessment</td> <td>ISA62443-2-1: 4.2.3; BSI C5: OIS-07</td> </tr> <tr> <td>U.03</td> <td>F</td> <td>BusinessContinuity services</td> <td>ISO 27002-12.3.1; ISO27017: 12.3.1,17.1, 17.2; CSA BCR; BSI C5: 5.1 BCM</td> </tr> <tr> <td>U.04</td> <td>F</td> <td>Herstelfunctie voor data en clouddiensten</td> <td>ISO27002: 12.3</td> </tr> <tr> <td>U.05</td> <td>F</td> <td>Data protectie</td> <td>ISO27040; ISO17826</td> </tr> <tr> <td>U.06</td> <td>F</td> <td>Dataretentie en vernietiging vangegevens</td> <td>ISO27040: 7.4</td> </tr> <tr> <td>U.07</td> <td>F</td> <td>Scheiding van data</td> <td>ISO27040: 7.6.2;ISA62443-2-1: 4.3.3.4; BSI C5: 5.9 KOS-05</td> </tr> <tr> <td>U.08</td> <td>F</td> <td>Scheiding van dienstverlening</td> <td>ISO27017: 13.1.1; ISO17789: 8.3.2.17</td> </tr> <tr> <td>U.09</td> <td>F</td> <td>Malware protectie</td> <td>ISO27002: 12.2.1</td> </tr> <tr> <td>U.10</td> <td>G</td> <td>Toegang tot IT-diensten en data</td> <td>ISO27002: 9.4; CSA: IAM</td> </tr> <tr> <td>U.11</td> <td>G</td> <td>Crypto services</td> <td>ISO27002: 10.1; ISO27040: 7.7.1; BSI C5:5.8 KRY</td> </tr> <tr> <td>U.12</td> <td>G</td> <td>Koppelvlakken</td> <td>ISO27002: 13.1, 13.2; ISO17789: 8.3.2.20</td> </tr> <tr> <td>U.13</td> <td>G</td> <td>Service orkestratie</td> <td>ISO17789: 9.2.3.4</td> </tr> <tr> <td>U.14</td> <td>G</td> <td>Interoperabiliteit en portabiliteit</td> <td>ISO19941; BSI C5: 5.10; CSC IPY; CSAIPY</td> </tr> <tr> <td>U.15</td> <td>G</td> <td>Logging en monitoring</td> <td>ISO27002: 12.4;BSI C5: 5.6 RB-10, RB-11</td> </tr> <tr> <td>U.16</td> <td>S</td> <td>Clouddiensten architectuur</td> <td>ISO17789- 6; BSI C5: KOS-06, SA-01, DM13</td> </tr> <tr> <td>U.17</td> <td>S</td> <td>Multi-tenant architectuur</td> <td>ITU-T: FG Cloud Requirements S12</td> </tr> <tr> <td>Nr.</td> <td>IFGS</td> <td>Cloud Control objecten</td> <td>Referenties</td> </tr> <tr> <td>C.01</td> <td>I</td> <td>ServiceManagement beleid en evaluatie richtlijnen</td> <td>ISO27002: 14.1; ISO19096: part 3; BSI C5: SA02</td> </tr> <tr> <td>C.02</td> <td>I</td> <td>Risk Control</td> <td>ISO27005 (2008E): 12.2, 12.1</td> </tr> <tr> <td>C.03</td> <td>I</td> <td>Compliance en Assurance</td> <td>ISO27002:18.1; BSI C5: 5.16</td> </tr> <tr> <td>C.04</td> <td>F</td> <td>Technischekwetsbaarhedenbeheer</td> <td>ISO27002: 12.6; CSA TVM; BSI C5</td> </tr> <tr> <td>C.05</td> <td>G</td> <td>SecurityMonitoring</td> <td>ISO27002:12.4</td> </tr> <tr> <td>C.06</td> <td>S</td> <td>Clouddiensten beheerorganisatie</td> <td>ISO27002:11.4</td> </tr> <caption align="bottom">Overzicht van relevante beveiligingsobjecten voor clouddiensten, ingedeeld in BUC en IFGS</caption></table> ==Overzicht beveiligingsobjecten in BUC- en IFGS-matrix== [[Afbeelding:BIO Thema Clouddiensten - Overzicht van relevante beveiligingsobjecten voor clouddiensten, ingedeeld in BUC en IFGS.png|thumb|none|500px|Overzicht van relevante beveiligingsobjecten voor clouddiensten, ingedeeld in BUC en IFGS|alt=”Overzicht van relevante beveiligingsobjecten voor clouddiensten, ingedeeld in BUC en IFGS matrix”]]  +
BIO Thema Clouddiensten - Standpunt AIVD en beleidsverkenning BZK +In 2019 is de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) om een standpunt gevraagd over het gebruik van publieke clouddiensten voor gerubriceerde gegevens of vitale overheidsprocessen, waarvoor weerstand tegen statelijke actoren noodzakelijk is. Tevens heeft BZK een beleidsverkenning gedaan. Let op: de AIVD maakt in haar standpunt geen onderscheid tussen Rijksdiensten en de andere overheden. Hieronder volgen enkele citaten die de kern van AIVD het standpunt weergeven, waarop tevens de beleidsverkenning van BZK op is gebaseerd. ==NBV-standpunt Publieke Clouddiensten (citaten uit de brief AIVD, 09/09/2019)== Publieke clouddiensten bieden in de huidige situatie, geen controleerbaar afdoende weerstand tegen statelijke actoren omdat er nu nog onvoldoende zekerheid kan worden verkregen: * dat de overheidsgegevens en -processen technisch en procedureel voldoende zijn afgeschermd tegen de clouddienstverlener, zijn onderaannemers en zijn medewerkers; * dat de clouddienstverlener spionage-en sabotage-aanvallen van statelijke actoren betrouwbaar preventief kan afweren; * dat de clouddienstverlener spionage en sabotage aanvallen van statelijke actoren betrouwbaar kan detecteren én hierop adequaat zal reageren; * dat voldoende controle en toezicht mogelijk is op publieke clouddienstverleners. Daarbij gebruiken publieke clouddiensten vaak het internet, zodat de toegang en beschikbaarheid extra zorg vragen. Kortom, op dit moment is er onvoldoende zekerheid dat publieke clouddienstverleners kunnen voldoen aan het VIR-BI en de BIO. Dit NBV-standpunt is gebaseerd op de huidige stand van cloudtechnologie, statelijke cyberdreiging, nationale en internationale regelgeving en contractmogelijkheden. De ontwikkelingen op dit gebied gaan snel en het zal nodig zijn om dit standpunt periodiek, bijvoorbeeld jaarlijks, te heroverwegen. Conclusie: * In de huidige situatie is gebruik van publieke clouddiensten daarom niet geschikt voor gerubriceerde nationale informatie (Dep.V tot en met Stg.ZG), gerubriceerde EU- en NAVO-informatie en voor vitale overheidsprocessen waarvoor betrouwbare weerstand tegen statelijke actoren nodig is. Het gebruik van publieke clouddiensten is daarom ook ongeschikt voor Dep.V gerubriceerde informatie waarvoor betrouwbare detectie van statelijke actoren nodig is. * Als via risicoanalyse is vastgesteld dat geen weerstand tegen en geen detectie van statelijke actoren nodig is, dan kunnen publieke clouddiensten gebruikt worden (einde citaten uit brief AIVD). ===Verkenning Cloudbeleid voor Nederlandse Rijksdiensten (citaten uit brief aan CIO-Rijk, 16/09/2019)=== Concept voor brede discussie Dit thema bevat een verkenning voor het Cloudbeleid van de Nederlandse Rijksdienst. Doel van deze verkenning is om richting te geven aan het gebruik en verdere ontwikkeling van clouddiensten door departementen, en om ambities te formuleren, waarbij rekening wordt gehouden inzichten van de AIVD voor het omgaan met dreigingen door Advanced Persistent Threats (APT’s) zoals statelijke actoren. Uitgangspunt is dat clouddiensten moeten voldoen aan de voorwaarden van het algemeen beleid. Deze voorwaarden zijn in grote lijnen beschreven in de strategische i-agenda voor de Rijksdienst 2019 - 2021. ===Overwegingen en beleidsvoornemen==== Het cloudbeleid dient duidelijkheid te scheppen hoe veilig gebruik gemaakt kan worden van Private, Hybride en Public Clouddiensten door overheidspartijen. Omdat de BIR inmiddels, formeel, in de BIO is overgegaan, wordt in het vervolg van dit document gesproken over BIO-BBN niveaus terwijl de focus van dit document (thans) de Rijkdienst betreft. In dit hoofdstuk zijn in het kader van risicomanagement de mogelijke beleidslijnen uitgewerkt rond het toepassen van ‘Basis Beveiligingsniveau’ (BBN) 1, 2 en 3 voor diverse Cloudimplementatie-scenario’s. De BIR/BIO bepaalt op basis van eisen voor vertrouwelijkheid. Het onderscheid in drie BBN’s voorkomt dat voor eenvoudige systemen zonder vertrouwelijke informatie of zonder eigen voor hoge beschikbaarheid teveel administratieve last wordt opgeroepen. Terwijl de BIO zich met name richt op vertrouwelijkheid van gegevens, wordt in Nederland, gedreven door internationale ontwikkelingen, ook meer aandacht gevraagd voor de beschikbaarheid van ‘vitale systemen en processen’. In beide toepassingen is risico-management met een proportionele set aan maatregelen een logische aanpak. Risico-management betreft het inzichtelijk en systematisch inventariseren, beoordelen en – door het treffen van maatregelen – beheersbaar maken van risico’s en kansen, die het bereiken van de doelstellingen van de organisatie bedreigen dan wel bevorderen, op een zodanige wijze dat verantwoording kan worden afgelegd over de gemaakte keuzes. ===Uitgangspunten=== Voor alle toepassingen geldt, dat zal moeten zijn voldaan aan geldende kaders. Versie 1 okt 2019, geeft aan dat aanpassingen worden meegenomen, zodra nieuwe inzichten daar aanleiding toe geven. Het streven is om deze jaarlijks te herzien, of zoveel eerder als ontwikkelingen daar aanleiding toe geven. Op basis van de voorgaande overwegingen en de input van veiligheidsexperts zijn de volgende beleidsvoornemens tot stand gekomen: * Voor alle niveaus (zoals in de matrix geschetst) geldt de voorwaarde: er is een samenhangende risico-analyse uitgevoerd, waarin rekening is gehouden met eisen voor vitale en kritieke processen en gevoelige data, en deze is opgevolgd. * De restrisico’s zijn of gemitigeerd of zijn geaccepteerd door de eigenaar. Conclusie: One Cloud doesn’t fit All. [[Afbeelding:BIO Thema Clouddiensten - 'Matrix voorgenomen cloudbeleid 1 okt 2019].png|thumb|left|500px|'Matrix voorgenomen cloudbeleid 1 okt 2019]|alt=”'Matrix voorgenomen cloudbeleid 1 okt 2019]”]] Betekenis van de nummers 1,2,3 en 4 in de matrix: # Er is voldaan aan: ** Er moet een samenhangende risicoanalyse voor vitale en kritieke processen en gevoelige data zijn uitgevoerd en de resultaten daarvan zijn opgevolgd. ** De uitkomsten zijn vastgelegd en (auditeerbaar) gecommuniceerd. ** De restrisico’s zijn door de systeem‐ of proceseigenaar geaccepteerd: *** Voor departementale processen is dit met input van de CISO. *** Voor interdepartementale processen is dit met input van de CISO‐Rijk. # Er dienen passende voorzieningen beschikbaar te zijn om activiteiten van APTs zoals statelijke actoren te kunnen signaleren en daarop in te grijpen. Dit betreft een set aan detectie-voorzieningen en maatregelen, waarvan expertdiensten (AIVD, MIVD of NCSC) hebben aangegeven dat deze zinvol zijn ten opzichten van het risico dat het departement met de voorziening of proces loopt. # De verwerking van de (Dep.V) gerubriceerde BIO‐BBN2 gegevens is vóóraf door de SG goedgekeurd. # Voor de goedkeuring van de SG, dient het expert-advies van de AIVD over Clouddiensten (zie hierboven) expliciet te worden meegewogen. Daarin staat vermeld (citaat) ‘Het gebruik van publieke clouddiensten is daarom ook ongeschikt voor Dep.V gerubriceerde informatie waarvoor betrouwbare detectie van statelijke actoren nodig is’ (einde citaten).  +
BIO Thema Clouddiensten - Toelichting SIVA-basiselementen +Er wordt een toelichting gegeven van de SIVA-basiselementen met behulp van het Management Control System (MCS). Hiermee wordt de validiteit van de basiselementen binnen de IFGS (Intentie, Functie, Gedrag en Structuur) kolommen aangegeven. De basiselementen worden verder binnen de BUC-aspecten toegepast om de relaties tussen de geïdentificeerde cloud-principes uit te drukken. De dynamische omgeving van een organisatie kan (volgens Leavitt, 1965 en COBIT) met behulp van vier componenten worden uitgedrukt, te weten: functie/processen, mensen, technologie en structuur. Als input geldt een ontwikkelde strategie en als output de performance, die het resultaat is van de samenwerking van de genoemde vier componenten. In de literatuur wordt het MCS bezien als een ‘Framework voor de implementatie van Strategie’, zoals in onderstaande afbeelding wordt afgebeeld. [[Afbeelding:BIO Thema Clouddiensten Weergave van de componenten van MCS.png|thumb|none|500px|Weergave van de componenten van MCS|alt=”Weergave van de componenten van het MCS”]] MCS- en SIVA-basiselementen - Aan de componenten van het MCS-framework kunnen vanuit de invalshoeken: Intentie, Functie, Gedrag en Structuur (IFGS) verschillende basiselementen worden gekoppeld. Deze basiselementen zijn weergegeven in onderstaande afbeelding. De zes componenten en de hieraan gerelateerde basiselementen vormen unieke set elementen om de geïdentificeerde set cloud-principes te labelen. Door het labelen van de geïdentificeerde set cloud-principes met de basiselementen krijgen de cloud-principes een unieke plek in de matrix, hierbij wordt tevens rekening gehouden met de typen functionarissen die actief zijn op de BUC-lagen. Zo kan een samenhangend beeld van de geïdentificeerde cloud-principes worden weergegeven. [[Afbeelding:BIO Thema Clouddiensten - Weergave van de samenhang van de basiselementen binnen het MCS.png|thumb|none|500px|Weergave van de samenhang van de basiselementen binnen het MCS|alt=”Weergave van de samenhang van de basiselementen binnen het MCS”]]  +
BIO Thema Clouddiensten - Verantwoording aanpak +Hierna volgt een korte verantwoording over de aanpak, de keuzes die gemaakt zijn en de inhoudelijke principes die gebruikt zijn in dit thema. Om te komen tot een document dat breed draagvlak heeft en toegevoegde waarde biedt aan de overheidsorganisaties, zijn in dit thema de principes langs drie assen getraceerd: # CSC-eisen # bedreigingen/kwetsbaarheden # baselines ==CSC-eisen== Om de specifiek CSC-georiënteerde aandachtspunten te traceren, zijn vragen gesteld aan overheidsorganisaties, om zo te komen tot een set van eisen en wensen. Op basis van de eisen en wensen zijn principes geïdentificeerd. Hierbij zijn aan de doelorganisaties en cloudgroepssessies enkele vragen gesteld, zoals: * Hoe kan dit thema jullie organisatie helpen bij het verwerven van clouddiensten? * Wat moet minimaal uitgewerkt worden in het thema clouddiensten? * Welke eisen worden door overheidsorganisaties gesteld bij het verwerven van clouddiensten? * Zijn vanuit dit thema verbindingen noodzakelijk met functionele eisen voor clouddiensten en normatiek? Aan enkele overheidsorganisaties, die inmiddels al over specifieke cloudnormenkaders beschikken, zijn vragen gesteld over de beschikbaarstelling van hun beleidskaders of normenkaders op dit vlak. ==Bedreigingen/kwetsbaarheden== Om wat specifieke principes te identificeren, is er ook gericht op de algemene dreigingen en kwetsbaarheden die voortvloeien uit het toepassen van de clouddiensten. Sommige overheidsorganisaties die inmiddels over specifieke cloudnormenkaders beschikken, zijn tevens de vraag om hun kaders, via dit thema voor een groter publiek open te stellen voor hergebruik. ==Baselines== Hiernaast zijn bestaande baselines geraadpleegd, voor zover ze specifiek zijn voor clouddiensten. De specifieke principes, ook vanuit de eisen en wensen van de CSC-zijde en de dreigingen, uit de baselines zijn geselecteerd voor en toegespitst op de cloud-omgeving. Verder is er een koppeling gelegd met de BIO en met de ISO 27017, die specifiek gericht is op clouddiensten. Onderstaande afbeelding geeft een overzicht van de beschreven stappen. [[Afbeelding:BIO Thema Clouddiensten - Het traject van de totstandkoming van het thema cloud document.png|thumb|none|500px|Het traject van de totstandkoming van het thema cloud document|alt=”Het traject van de totstandkoming van het thema cloud document”]] Aan enkele overheidsorganisaties, die inmiddels al over specifieke cloudnormenkaders beschikken, is de vraag gesteld om hun cloudbeleidskader en/of cloudnormenkader beschikbaar te stellen.  +
BIO Thema Clouddiensten - Voorwoord +Dit themadocument over clouddiensten, is in opdracht van BZK door het CIP opgesteld om overheidsorganisaties een beeld te geven van de meest relevante onderwerpen bij het verwerven van veilige clouddiensten. Het document is bedoeld als handreiking, gerelateerd aan de toepassing van de BIO en verschaft een overzicht van de uitwerking van clouddiensten-objecten vanuit de optiek van CSC (Cloud Service Consumer). Voor de beperking van de omvang van dit document worden de geïdentificeerde objecten gerelateerd aan algemene clouddiensten. De BIO is verplicht verklaard voor de overheidspartijen. Vanwege de snelle ontwikkelingen op het gebied van clouddiensten hebben overheidspartijen een grote behoefte aan overzicht en inzicht in de meest cruciale componenten, die bij verwerving van clouddiensten aandacht behoeven. Temeer omdat specifieke, op clouddiensten gerichte beveiligingsobjecten ontbreken in de BIO. Dat komt omdat de BIO gebaseerd is op een generieke baseline: ISO 27002 (2013). Aanvullend op de ISO 27002 zijn door NEN-ISO/IEC een aantal implementatiekaders opgesteld en bestaan er kaders zoals NIST, ENISA en CSA, gericht op beveiliging van clouddiensten. Voor overheidspartijen ontbreekt een overzicht. Gebruiker vragen een samenvatting van alle relevante zaken omtrent clouddiensten, eenduidig gerelateerd aan de BIO. Een veel gehoorde uitspraak is: “We zien door de bomen het bos niet meer.”. BIO Thema Clouddiensten beoogt die samenvatting te geven en is opgesteld in opdracht van BZK/CIP door een schrijfgroep binnen de werkgroep BIO. De schrijfgroep heeft diverse workshops georganiseerd waarin verschillende overheidspartijen hebben geparticipeerd. Deze partijen hebben hun beleidsdocumenten ter beschikking gesteld en hun visie, risico’s en problematiek gedeeld waarmee ze in de praktijk geconfronteerd werden. Op basis van deze informatie en risico’s verbonden aan clouddiensten, heeft de schijfgroep dit thema opgesteld en ter review aan de overheidspartijen aangeboden. De 1.0-versie bevat een compleet beeld van onderwerpen die ten aanzien van informatieveiligheid en privacy aandacht vereisen bij de verwerving van clouddiensten. De privacyaspecten zijn in een IBD-handreiking uitgewerkt. Voor de structurering van dit document is dezelfde systematiek gekozen als bij de overige BIO- thema’s. De beschrijving van de systematiek is in dit thema kort weergegeven. Dit document is beperkt tot die zaken, die vanuit CSC richting CSP (Cloud Service Provider) van belang zijn, inclusief de koppelvlakken tussen CSC en CSP. Uiteraard speelt de CSC in de informatieketen een belangrijke rol en moet zij haar IT-huishouding op orde hebben. Pas dan kan sprake zijn van een goede samenwerking tussen CSC en CSP. Dit gegeven is een belangrijk uitgangspunt voort de stakeholders binnen de overheidspartijen. Er zijn veel inhoudelijke suggesties en reacties ontvangen. De hoop is dat dit document de lezer verder helpt bij vraagstukken ten aanzien van clouddiensten en daar waar dingen over het hoofd zijn gezien, of verbeterd kunnen worden, kan dit thema verrijkt worden met aangeleverde teksten. ==Structuur en leeswijzer== Het document BIO Thema Clouddiensten is als volgt onderverdeeld: # [[BIO_Thema_Clouddiensten/Inleiding]] beschrijft algemene informatie over doelstelling, opzet van het thema, context van de CSC-CSP relatie, context en globale structuur van het thema en scope en begrenzing; # [[BIO_Thema_Clouddiensten/Risico%27s_in_relatie_met_clouddiensten]] beschrijft CSC-georiënteerde aandachtspunten, beveiligingsobjecten voor clouddiensten, vaststellen van de beveiligingsobjecten voor clouddiensten, overzicht beveiligingsobjecten, aanleiding om gebruik te maken van clouddiensten; # [[ISOR:BIO_Thema_Clouddiensten_Beleid]] beschrijft de doelstelling, risico’s en specifieke objecten binnen het Beleidsdomein; # [[ISOR:BIO_Thema_Clouddiensten_Uitvoering]] beschrijft de doelstelling, risico’s en specifieke objecten binnen het Uitvoeringsdomein; # [[ISOR:BIO_Thema_Clouddiensten_Control]] beschrijft de doelstelling, risico’s en specifieke objecten binnen het control-domein. In [[BIO_Thema_Clouddiensten/Toelichting_SIVA-basiselementen]] is een verantwoording gegeven over de toegepaste systematiek en toegepaste risico-benadering. Geïnteresseerden in de relevante cloud-objecten, kunnen direct [[ISOR:BIO_Thema_Clouddiensten_Beleid]], [[ISOR:BIO_Thema_Clouddiensten_Uitvoering]] en [[ISOR:BIO_Thema_Clouddiensten_Control]] raadplegen. Informatiebeveiligers en architecten, die meer achtergrond willen hebben over de gekozen cloud-objecten, worden geadviseerd om de bijlagen te raadplegen. Tenslotte is de schrijfgroep bereid om waar mogelijk aanvullende informatie of toelichting te verschaffen.  +
BIO Thema Communicatievoorzieningen - Definitie van objecten +<table class="wikitable"> <tr> <th>  Objectnaam  </th> <th>  Betekenis van de objecten in relatie tot  het thema  </th> <th>  Vertaling naar Thema:  Serverplatform  </th> </tr> <tr> <td>  B.01  </td> <td>  Beleid en  procedures informatietransport  </td> <td>  De waarborging  van de bescherming van informatie in netwerken, door inzet van  beheerprocedures voor informatietransport en het hanteren van procedures voor  bewaking van netwerken.  </td> </tr> <tr> <td>  B.02  </td> <td>  Overeenkomsten  informatietransport  </td> <td>  Contracten en  afspraken, waarin het dienstverleningsniveau, beveiligingsmechanismen en  beheersingseisen voor netwerkdiensten zijn vastgelegd, zowel voor intern  geleverde diensten als voor uitbestede diensten.  </td> </tr> <tr> <td>  B.03  </td> <td>  Cryptografiebeleid  </td> <td>  Beleid en  afspraken, specifiek gericht op de toepassing van cryptografie binnen  netwerken en communicatieservices.  </td> </tr> <tr> <td>  B.04  </td> <td>  Organisatiestructuur  netwerkbeheer  </td> <td>  Opzet van de  administratieve organisatie van netwerk en communicatiebeheer.  </td> </tr> <tr> <td>  U.01  </td> <td>  Richtlijnen  netwerkbeveiliging  </td> <td>  Algemene,  operationele beveiligingsrichtlijnen voor ontwerp, implementatie en beheer  van communicatievoorzieningen.  </td> </tr> <tr> <td>  U.02  </td> <td>  Beveiligde  inlogprocedures  </td> <td>  Is gerelateerd  aan twee aspecten: Aanmelden en Procedure.  ·  Aanmelden (inloggen) behelst het leggen van een  verbinding- via authenticatie middelen.  ·  De procedure is de samenhangende beschrijving van  welke activiteiten moeten plaatsvinden.  </td> </tr> <tr> <td>  U.03  </td> <td>  Netwerk  beveiligingsbeheer  </td> <td>  Het beheer van  beveiligingsprocedures en -mechanismen.  </td> </tr> <tr> <td>  U.04  </td> <td>  Vertrouwelijkheid-  geheimhoudingsovereenkomst  </td> <td>  De eisen die aan  dienstverleners en partners gesteld worden in de operatie voor het waarborgen  van de vertrouwelijkheid van gegevens en de uitvoering van bedrijfsprocessen.  </td> </tr> <tr> <td>  U.05  </td> <td>  Beveiliging  netwerkdiensten  </td> <td>  De eisen die aan  dienstverleners gesteld worden t.a.v. te nemen maatregelen voor  beveiligingsmechanismen, het dienstverleningsniveau en de kwaliteit van de  beheerprocessen.  </td> </tr> <tr> <td>  U.06  </td> <td>  Zonering en  filtering  </td> <td>  Gaat over twee  aspecten: Scheiding en Gecontroleerde doorgang.  ·  Scheiding is het positioneren van netwerken in  afzonderlijke fysieke ruimten of het segmenteren van netwerken in  afzonderlijk te beveiligen (logische) domeinen.  ·  Gecontroleerde doorgang is het reguleren van de  toegang van personen tot netwerkvoorzieningen en/of het en filteren van  informatiestromen op basis van beleidsregels met filters en algoritmen.  </td> </tr> <tr> <td>  U.07  </td> <td>  Elektronische  berichten  </td> <td>  Beveiliging van  elektronisch berichtenverkeer, zoals b.v. e-mail, web-verkeer, chat-sessies  en ‘streaming’ audio en video. Beveiliging omvat maatregelen voor bescherming  van het berichtenverkeer, zoals geautoriseerde toegang, correcte adressering  en integer datatransport, beschikbaarheid en (wettelijke) bepalingen voor  elektronische handtekening en onweerlegbaarheid.  </td> </tr> <tr> <td>  U.08  </td> <td>  Toepassingen via  openbare netwerken  </td> <td>  Gebruik van  openbare netwerken voor uitwisseling van informatie van uitvoeringsdiensten  vereist bescherming tegen inbraak, waarmee frauduleuze praktijken, geschillen  over contracten en onbevoegde openbaarmaking of onbevoegde wijziging kunnen  worden voorkomen.  </td> </tr> <tr> <td>  U.09  </td> <td>  Gateway / Firewall  </td> <td>  Beveiligingsmechanisme  voor zonering en gecontroleerde toegang.  </td> </tr> <tr> <td>  U.10  </td> <td>  Virtual Private Networks (VPN)  </td> <td>  Beveiligingsmechanisme  voor het inrichten van een vertrouwd toegangspad tussen 2 of meerdere  netwerk-nodes.  </td> </tr> <tr> <td>  U.11  </td> <td>  Cryptografische services  </td> <td>  Versleuteling van  netwerkverkeer, met behulp van hardware of software voorzieningen, die kunnen  voorkomen op alle zeven lagen van het OSI-model. Cryptografische services voor communicatie  met partners en burgers maken gebruik van Public Key Infrastuctuur middelen,  zoals de aan certificaten gebonden private en publieke sleutels.  </td> </tr> <tr> <td>  U.12  </td> <td>  Wireless Access  </td> <td>  Toegang tot  draadloze netwerken bedoeld voor mobiele communicatie.  </td> </tr> <tr> <td>  U.13  </td> <td>  Netwerk connecties  </td> <td>  Verbindingen  netwerk-eindpunten (nodes) worden beheerd en zijn vastgelegd in een  netwerktopologie.  </td> </tr> <tr> <td>  U.14  </td> <td>  Netwerk authenticatie  </td> <td>  Voorziening, die  controleert of een netwerkdevice geautoriseerd is om op het netwerk te kunnen  worden aangesloten.  </td> </tr> <tr> <td>  U.15  </td> <td>  Netwerkbeheeractiviteit  </td> <td>  Activiteiten die  uitsluitend door netwerkbeheerders kunnen worden uitgevoerd op  communicatievoorzieningen.  </td> </tr> <tr> <td>  U.16  </td> <td>  Vastleggen netwerkevents  </td> <td>  Het uniek en  onveranderlijk vastleggen van (beveiligings) gebeurtenissen in een netwerk  (in een audit-logfile).  </td> </tr> <tr> <td>  U.17  </td> <td>  Netwerksecurityarchitectuur  </td> <td>  Beschrijving en  beelden van de structuur en onderlinge samenhang van de verschillende  beveiligingsfuncties in een netwerk.  </td> </tr> <tr> <td>  C.01  </td> <td>  Naleving richtlijnen netwerkbeheer en evaluatie.  </td> <td>  Evaluatie op de  naleving van netwerkbeveiligingsbeleid.  </td> </tr> <tr> <td>  C.02  </td> <td>  Netwerksecurity Compliance checking  </td> <td>  Periodieke  toetsing en managementrapportage over naleving van het beveiligingsbeleid  voor netwerkdiensten.  </td> </tr> <tr> <td>  C.03  </td> <td>  Evalueren robuustheid  netwerkbeveiliging  </td> <td>  Toetsing van de  robuustheid (resilience) van beveiligingsfuncties in  communicatievoorzieningen.  </td> </tr> <tr> <td>  C.04  </td> <td>  Evalueren gebeurtenissen (monitoring)  </td> <td>  Het beoordelen  van de (doorlopend) verzamelde security gerelateerde gebeurtenissen in  netwerken.  </td> </tr> <tr> <td>  C.05  </td> <td>  Beheersorganisatie  netwerkbeveiliging  </td> <td>  De opzet van een  toereikende organisatiestructuur voor het beheren van- en rapporteren over  netwerken en communicatievoorzieningen.  </td> </tr> <caption align="bottom">Communicatievoorzieningen, Omschrijving van de geïdentificeerde ISO-27002 objecten</caption></table>  +
BIO Thema Communicatievoorzieningen - Inleiding +. Dit document bevat een referentiekader voor het thema Communicatievoorzieningen. Het is geënt op controls uit de ISO27001-annex A, de BIO (Baseline Informatiebeveiliging Overheid), op de implementatiegids ISO27033 en tevens op Best Practices als: SoGP, NIST, BSI en COBIT. ==Opzet van het thema== Het thema Communicatievoorzieningen brengt de voor communicatiebeveiliging relevante controls uit de BIO 1.0 overzichtelijk bij elkaar. Vervolgens zijn relevante items die ontbraken, aangevuld uit andere baselines, zoals de BSI, de NIST en SoGP. NORA patronen zijn gebruikt voor figuren en begeleidende teksten. De implementatiegids ISO-27033-deel 1 t/m 6 biedt, gerelateerd aan de ISO-27002, overzicht en een technische duiding van “Network security”. Dit thema volgt de standaard opzet voor BIO-thema’s: # context en globale structuur van het thema; # scope en begrenzing; # identificatie van beveiligingsobjecten en uitwerking van deze objecten op de BUC lagen, inclusief de referenties; # globale relaties van de geïdentificeerde beveiligingsobjecten (toepassing); # presentatie van de objecten in de BUC/IFGS matrix, inclusief de volledigheidsanalyse van objecten. ==Context van Communicatiebeveiliging== De basis voor de uitwerking van het thema Communicatievoorzieningen is ISO-27002 ( als baseline voor de overheid 1:1 omgezet in de BIO). In hoofdstuk 13 daarvan worden verschillende type communicatievoorzieningen genoemd, zoals geïllustreerd in afbeelding 'Communicatiebeveiliging volgens BIO'. * openbare diensten - het gebruik van openbare diensten, zoals: Instant messaging en sociale media (vehikel); * elektronische berichten - informatie opgenomen in elektronische berichten (inhoud); * informatietransport - het transporteren van informatie via allerlei communicatiefaciliteiten, zoals: email, telefoon, fax video (inhoud); * netwerkdiensten - het leveren van aansluitingen, zoals: firewalls, gateways, detectiesystemen en technieken voor te beveiligen netwerkdiensten, zoals authenticatie (vehikel); * netwerk(infrastructuur) - dit betreft de fysieke en logische verbindingen (vehikel). Beveiligingsobjecten met bronverwijzing Iedere organisatie met klantprocessen past deze communicatievoorzieningen toe en heeft één of meer koppelingen met de buitenwereld ingericht. Deze communicatie verloopt altijd via het onderste element: de netwerkinfrastructuur. Het gebruik van netwerkvoorzieningen vindt plaats zowel mobiel als via vaste netwerkvoorzieningen. In de praktijk bestaan er veel verschillende soorten koppelingen en een verscheidenheid aan netwerkvoorzieningen. Afbeelding 'Soorten netwerkkoppelingen' schetst de belangrijkste soorten van netwerkkoppelingen: *tussen organisaties onderling; * tussen organisaties en publieke netwerken; * binnen organisaties. [[Afbeelding:Thema Communicatievoorzieningen - Soorten netwerkkoppelingen.png|thumb|350px|Soorten netwerkkoppelingen|alt=”Soorten netwerkkoppelingen”]] Doel van een netwerk is de uitwisseling van data tussen informatiedomeinen. Een informatiedomein bestaat uit een op hard- en softwarematige gebaseerde beveiligde verzameling van informatie. De beveiligingsmaatregelen binnen ISO hebben betrekking op de hiervoor vermelde communicatievoorzieningen. Een van de meest toegepaste beveiligingsmaatregelen van netwerkinfrastructuur is segmentering en compartimentering, tezamen ”zonering” genoemd. Naast zonering zijn er andere beveiligingsobjecten van toepassing, zoals: “Vertrouwd toegangspad” en beveiliging in “Koppelvlakken”. Hiervoor bieden de NORA patronen een praktische invulling. In dit thema beschouwen we een netwerk als een infrastructuur (transportmedium), bestaande uit fysieke en logische verbindingen voorzien van koppelvlakken. Netwerken kunnen daarbij worden opgedeeld in segmenten, waarbij meerdere systemen logisch met elkaar gekoppeld zijn binnen één segment. ==Scope en Begrenzing== Dit thema omvat de set communicatiebeveiligingsobjecten en maatregelen voor netwerkvoorzieningen, zoals weergegeven in afbeelding 'Communicatiebeveiliging volgens BIO'. De uitwerking van dit thema beperkt zich tot deze type communicatie voorzieningen. NB: Hiervoor zijn de ISO implementatiegidsen: ISO27033-2- 27033-6 en NORA patronen in adviserende zin beschikbaar. De ISO27033 draagt de titel: Information technology- Networksecurity, bedoeld als implementatiegids voor de ISO27002. De ISO-27033 bestaat uit 6 delen. Deel 1 bevat algemene ‘controls’ voor communicatiebeveiliging, deel 2 beschrijft ontwerprichtlijnen voor de uitvoering, deel 3 referentiescenario’s, deel 4 gateways, deel 5 VPN en deel 6 Wireless-IP netwerktoegang. Er zijn essentiële objecten uit andere baselines gebruikt, die gerelateerd zijn dit type communicatie voorzieningen. Bepaalde type communicatiefaciliteiten, zoals: VOIP, intranet en extranet zijn in dit thema niet uitgewerkt. Er wordt niet diepgaand op: * bepaalde type verbindingen, zoals VPN en Gateway verbindingen; * communicatie voorzieningen, zoals: instant messaging en email. Tabel 'Relevante beveiligingsobjecten met referentie naar standaarden' geeft een overzicht van relevante beveiligingsobjecten voor communicatievoorzieningen, afkomstig uit de ISO27002 standaard, die de BIO exact volgt qua hoofdstukindeling en controlteksten. Voor die onderwerpen waarvoor de BIO geen control heeft geformuleerd, is gerefereerd naar andere standaarden, zoals de ISO-implementatiestandaard voor Netwerkbeveiliging: ISO27033 deel 1-6, waarin tevens de relaties zijn gelegd met de ISO27002. <table class="wikitable"> <tr> <th>  Nr.  </th> <th>  Relevante  beveiligingsobjecten  </th> <th>  Referentie  naar standaarden  </th> <th>  IFGS  </th> </tr> <tr> <td>  B.01  </td> <td>  Beleid en  procedures informatietransport  </td> <td>  BIO:13.2.2.1,  ISO27033-1: 6.2  </td> <td>  I  </td> </tr> <tr> <td>  B.02  </td> <td>  Overeenkomsten  over informatietransport  </td> <td>  BIO:13.2.2,  ISO27033-1  BSI  IT-Grundschutz: S.6  </td> <td>  F  </td> </tr> <tr> <td>  B.03  </td> <td>  Cryptografiebeleid  voor communicatievoorzieningen  </td> <td>  BIO: 10.3.1,  18.1.5.1  ISO27033-1: 8.8,  </td> <td>  G  </td> </tr> <tr> <td>  B.04  </td> <td>  Organisatiestructuur  van netwerkbeheer  </td> <td>  BSI S4.2,  ISO27033-1: 8.2  ITIL: Netwerkbeheer  </td> <td>  S  </td> </tr> <tr> <td>  U.01  </td> <td>  Richtlijnen  voor netwerkbeveiliging  </td> <td>  BIO:8.2.2.3,  ISO27033-1  ISO27033-2: 6,7,8  </td> <td>  I  </td> </tr> <tr> <td>  U.02  </td> <td>  Beveiligde  inlogprocedure  </td> <td>  BIO:9.4.2,  ISO27033-1: 8.4  </td> <td>  I  </td> </tr> <tr> <td>  U.03  </td> <td>  Netwerk  beveiligingsbeheer  </td> <td>  BIO:13.1.1,  ISO27033-1: 8.2, 8.2.2  </td> <td>  F  </td> </tr> <tr> <td>  U.04  </td> <td>  Vertrouwelijkheid-  en geheimhoudingsovereenkomst  </td> <td>  BIO:13.2.4,  SoGP: NW1.1  </td> <td>  F  </td> </tr> <tr> <td>  U.05  </td> <td>  Beveiliging  van netwerkdiensten  </td> <td>  BIO:13.1.2,  ISO27033-1: 10.6  </td> <td>  F  </td> </tr> <tr> <td>  U.06  </td> <td>  Zonering  en filtering  </td> <td>  BIO:13.1.3,  ISO27033-1: 10.7  ISO27033-2:  7.2.3  NORA  Patronen: Zoneringsmodel  </td> <td>  F  </td> </tr> <tr> <td>  U.07  </td> <td>  Elektronische  berichten  </td> <td>  BIO:13.2.3,  ISO27033-1: 10.3, 10.8  </td> <td>  F  </td> </tr> <tr> <td>  U.08  </td> <td>  Toepassingen  via openbare netwerken  </td> <td>  BIO:  14.2.1  </td> <td>  F  </td> </tr> <tr> <td>  U.09  </td> <td>  Gateways  en firewalls  </td> <td>  ISO27033-4,  SoGP: NC1.5  NORA Patronen: Koppelvlak  </td> <td>  G  </td> </tr> <tr> <td>  U.10  </td> <td>  Virtual  Private Networks (VPN)  </td> <td>  ISO27033-5  NORA Patronen: Vertrouwd toegang-pad  </td> <td>  G  </td> </tr> <tr> <td>  U.11  </td> <td>  Cryptografische  services  </td> <td>  BIO:10, ISO27033-1:  8.2.2.5  SoGP: NC1.1  NORA  Patronen: Encryptie  </td> <td>  G  </td> </tr> <tr> <td>  U.12  </td> <td>  Wireless Access  </td> <td>  ISO27033-6  NORA Patronen: Draadloos netwerk  </td> <td>  G  </td> </tr> <tr> <td>  U.13  </td> <td>  Netwerkconnecties  </td> <td>  BIO:8.2.2.5,  ISO27033-1  NORA Patronen: Koppelvlak  </td> <td>  G  </td> </tr> <tr> <td>  U.14  </td> <td>  Netwerkauthenticatie  </td> <td>  NORA  Patronen: Beschouwingsmodel Netwerk  </td> <td>  G  </td> </tr> <tr> <td>  U.15  </td> <td>  Netwerk beheeractiviteiten  </td> <td>  ISO27033-1: 8.4, ISO27033-2: 8.4  </td> <td>  G  </td> </tr> <tr> <td>  U.16  </td> <td>  Vastleggen  en monitoren van netwerkgebeurtenissen (events)  </td> <td>  ISO27033-1:  8.5  ISO27033-2: 8.5  </td> <td>  G  </td> </tr> <tr> <td>  U.17  </td> <td>  Netwerk beveiligingsarchitectuur  </td> <td>  BIO:9.2, ISO27033-1  ISO27033-2: 8.6  SoGP: Network design  NORA Patronen: Diverse patronen  </td> <td>  S  </td> </tr> <tr> <td>  C.01  </td> <td>  Naleving  richtlijnen netwerkbeheer en evaluaties  </td> <td>  BIO:18.2.3,  SoGP: SM1.1.1, SM3.5.2  </td> <td>  I  </td> </tr> <tr> <td>  C.02  </td> <td>  Netwerkbeveiliging  compliancy checking  </td> <td>  BIO:8.2.2.4,  ISO27033-1  ISO27033-2: 7.2.6, 8.7  </td> <td>  F  </td> </tr> <tr> <td>  C.03  </td> <td>  Evalueren  van robuustheid netwerkbeveiliging  </td> <td>  BIO:18.1.2,  18.2.1,  ISO27033-1: 8.2.5, SoGP: NW1.3  </td> <td>  F  </td> </tr> <tr> <td>  C.04  </td> <td>  Evalueren  van netwerkgebeurtenissen (monitoring)  </td> <td>  BIO:8.2.4,  ISO27033-1  </td> <td>  G  </td> </tr> <tr> <td>  C.05  </td> <td>  Beheersorganisatie  netwerkbeveiliging  </td> <td>  ISO27003: ISMS, SoGP: NW1.4  </td> <td>  S  </td> </tr> <caption align="bottom">Communicatievoorzieningen, Relevante beveiligingsobjecten</caption></table> ==Relaties tussen de geïdentificeerd beveiligingsobjecten== Afbeelding 'Toepassing van beveiligingsobjecten' geeft een voorbeeld van de toepassing van enkele beveiligingsobjecten in een Informatievoorzieningslandschap waarin een organisatie met een gebruiker communiceert. Daarbij is sprake van Netwerk Connecties (NC) die de verschillende netwerken en informatievoorzieningen met elkaar verbinden. Veilige koppelingen tussen organisaties en gebruikers kunnen worden opgezet met VPN’s. Gateways en firewalls zorgen met zonering en filtering voor de beoogde scheiding van binnen- en buitenwereld en een gecontroleerde doorgang van vertrouwde informatie. Cryptografische services verzorgen zonering voor gegevenstransport via private en publieke netwerken, zodat informatie veilig kan worden uitgewisseld en bedrijfstoepassingen kunnen worden gebruikt. In de beschermde kantooromgeving van grote organisaties worden mobiele werkplekken met het bedrijfsnetwerk verbonden via Wireless Access en beveiligd met o.a. netwerkauthenticatie. Een netwerkbeheerorganisatie draagt op basis van richtlijnen zorg voor de instandhouding van netwerkbeveiliging en het ‘up-to-date’ houden van beveiligingsmaatregelen. Via vastleggen van events, evaluatie netwerkmonitoring en evalueren van netwerkbeveiliging wordt de actuele werking van de maatregelen getoetst en waar nodig versterkt. [[Afbeelding:Thema Communicatievoorzieningen - Toepassing van beveiligingsobjecten.png|thumb|350px|Toepassing van beveiligingsobjecten|alt=”Toepassing van beveiligingsobjecten”]] Meer over de technologie van de beveiligingsobjecten is te vinden op de NORA Wiki; thema Beveiliging, (www.noraonline.nl) bij de “Patronen voor informatiebeveiliging”. ==Presentatie van de objecten in de BUC/IFGS matrix== Hieronder zijn de essentiële objecten voor communicatievoorzieningen weergegeven, in zowel de lagen B-U-C, als in de IFGS-kolommen. De grijs ingekleurde zijn ‘generiek’. Voor de wit- ingekleurde objecten heeft de BIO geen control gedefinieerd, deze objecten zijn voor het grootste deel afkomstig uit de ISO27033 implementatiegidsen deel 1 t/m 6. [[Afbeelding:Thema Communicatievoorzieningen - Overzicht beveiligingsobjecten.png|thumb|350px|Overzicht beveiligingsobjecten|alt=”Overzicht beveiligingsobjecten”]]  +
BIO Thema Communicatievoorzieningen - Verbindingsdocument +==Inleiding en doel== Dit document biedt de gebruiker een korte samenvatting van het thema Communicatievoorzieningen en legt daarbij een verbinding tussen de BIO-norm met de uitvoeringspraktijk. Doel van dit document en elk BIO-thema, is organisaties handvatten te bieden en wegwijs te maken in welke beveiligingsnormen van toepassing zijn per aandachtsgebied en welke praktijkhulp daarbij beschikbaar is. ==Context== De basis voor de uitwerking van het thema Communicatievoorzieningen is de BIO en daarmee in het bijzonder Hoofdstuk 13 van ISO-27002; hierin worden verschillende type communicatievoorzieningen genoemd, zoals geschetst in onderstaande figuur: * Openbare diensten – het gebruik van openbare diensten, zoals: Instant messaging en sociale media (IV); * Elektronische berichten – Informatie opgenomen in elektronische berichten (Data); * Informatietransport - het transporteren van informatie via allerlei communicatiefaciliteiten, zoals: email, telefoon, fax video (Data); * Netwerkdiensten - het leveren van aansluitingen, zoals: firewalls, gateways, detectiesystemen en technieken voor de beveiligen netwerkdiensten, zoals authenticatie (IV); * Netwerk (infrastructuur) - het betreft fysieke en logische verbindingen (IV). Iedere organisatie met klantprocessen, gebruikt communicatievoorzieningen en heeft daarvoor één of meer koppelingen met de buitenwereld ingericht. Deze communicatie verloopt altijd via de onderste element: de netwerkinfrastructuur. Het gebruik van netwerkvoorzieningen vindt plaats zowel mobiel als via vaste netwerkvoorzieningen. In de praktijk bestaan er veel verschillende soorten koppelingen en een verscheidenheid aan netwerkvoorzieningen. De beveiligingsmaatregelen binnen ISO hebben betrekking op de boven vermelde communicatievoorzieningen. Een van de belangrijkste beveiligingsmaatregelen van netwerkinfrastructuur is segmentering. Hierbij zijn beveiligingsobjecten van toepassing, zoals: zonering, filtering, vertrouwd toegangspad en koppelvlakken. Hiervoor bieden de NORA patronen een praktische invulling. In dit thema beschouwen we een netwerk als een infrastructuur (transportmedium) bestaande uit fysieke en logische verbindingen voorzien van koppelvlakken. ==Beveiligingsobjecten met cross reference naar handreikingen== Tabel "Beveiligingsobjecten met bronverwijzing" geeft een overzicht van de relevante, voor communicatiebeveiliging toe te passen beveiligingsobjecten, die afgeleid zijn van BIO-controls met een verwijzing naar praktische handreikingen. Daar waar er sprake is van een 1:1 relatie met BIO-controls, is dat hieronder aangegeven. De handreikingen zijn de door ISO gepubliceerde implementatiegidsen zoals ISO27033, de NIST, de Standard of Good Practice van ISF en NORA patronen. Hieronder is gekozen voor een alfabetische bronverwijzing per document, waarbij na de letter, b.v: a) het hoofdstuk/paragraaf wordt vermeld. De Bronverwijzing geeft het Documentnaam, Versie, Eigenaar en Toelichting. Voor dreigingen, aanbevelingen, planning en ontwerp van organisatie en techniek, kan de BSI: IT-Grundschutz catalogues worden geraadpleegd, die vrij toegankelijk is op internet; zie bronverwijzing. <table class="wikitable"><tr style="background-color:#d9d9d9"> <tr> <th class="tg-0lax">  Beveiligingsobject  </th> <th class="tg-0lax">  BIO Control  </th> <th class="tg-0lax">  Handreikingen  Zie Bronverwijzing voor  documentnaam en details.  </th> <th class="tg-0lax">  Toelichting of link  </th> </tr> <tr> <td class="tg-0lax">  Beleid en procedures  informatietransport  </td> <td class="tg-0lax">  13.2.1  </td> <td class="tg-0lax">  a)-6.2  </td> <td class="tg-0lax">  Overview and Concepts. Het  algemene deel van Network Security  </td> </tr> <tr> <td class="tg-0lax">  Overeenkomsten  informatietransport  </td> <td class="tg-0lax">  13.2.2  </td> <td class="tg-0lax">  g)-S.6  </td> <td class="tg-0lax">  Guidelines  for the design and implementation of network security  </td> </tr> <tr> <td class="tg-0lax">  Cryptografiebeleid  </td> <td class="tg-0lax">  10.1.1; 18.1.5.1  </td> <td class="tg-0lax">  a)- 8.8  </td> <td class="tg-0lax">  Reference  networking scenario’s Threats design techniques and control issues  </td> </tr> <tr> <td class="tg-0lax">  Organisatiestructuur  Netwerkbeheer  </td> <td class="tg-0lax">  ISO 27001 ISMS  </td> <td class="tg-0lax">  a)-8.2, l)  </td> <td class="tg-0lax">  Securing communications between  networks using security gateways  </td> </tr> <tr> <td class="tg-0lax">  Richtlijnen  netwerkbeveiliging  </td> <td class="tg-0lax">  Niet in BIO  </td> <td class="tg-0lax">  a) -8.2.2.3, b)-6,7,8  </td> <td class="tg-0lax">  Securing communications across  networks using Virtual Private Networks  </td> </tr> <tr> <td class="tg-0lax">  Beveiligde  inlogprocedure  </td> <td class="tg-0lax">  9.4.2  </td> <td class="tg-0lax">  a)-8.4  </td> <td class="tg-0lax">  Securing wireless IP network  access  </td> </tr> <tr> <td class="tg-0lax">  Netwerk  beveiligingsbeheer   </td> <td class="tg-0lax">  13.1.1  </td> <td class="tg-0lax">  a)-8.2  </td> <td class="tg-0lax">  https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/itgrundschutzkataloge_node.html  </td> </tr> <tr> <td class="tg-0lax">  Vertrouwelijkheid/geheimhoudingsovereenkomst  </td> <td class="tg-0lax">  13.2.4  </td> <td class="tg-0lax">  j) Roles and Responsibilities NW1.1  </td> <td class="tg-0lax">  Institute of Standards and  Technology: www.nist.gov  </td> </tr> <tr> <td class="tg-0lax">  Beveiliging  netwerkdiensten  </td> <td class="tg-0lax">  13.1.2  </td> <td class="tg-0lax">  a)-10.6  </td> <td class="tg-0lax">  Patronen:  https://www.noraonline.nl/wiki/Beveiliging  </td> </tr> <tr> <td class="tg-0lax">  Zonering en  filtering  </td> <td class="tg-0lax">  13.1.3  </td> <td class="tg-0lax">  a)-10.7, b)-7.2.3,  i)-Zoneringsmodel  </td> <td class="tg-0lax">  Information Security Forum: www.securityforum.org  </td> </tr> <tr> <td class="tg-0lax">  Elektronische  berichten  </td> <td class="tg-0lax">  13.2.3  </td> <td class="tg-0lax">  a)-10.3, 10.8  </td> <td class="tg-0lax">  Nationaal Cyber Security  Centrum (NCSC): www.ncsc.nl  </td> </tr> <tr> <td class="tg-0lax">  Toepassingen via  openbare netwerken  </td> <td class="tg-0lax">  14.2.1  </td> <td class="tg-0lax">     </td> <td class="tg-0lax">  Information Technology  Infrastructure Library  </td> </tr> <tr> <td class="tg-0lax">  Gateway / Firewall  </td> <td class="tg-0lax">  Niet in BIO  </td> <td class="tg-0lax">  d) geheel, i)-NORA  Koppelvlak, j)-NC1.5  </td> <td class="tg-0lax">  ISO-kader  voor: Encryption Algorithms  </td> </tr> <tr> <td class="tg-0lax">  Virtual Private  Networks (VPN)  </td> <td class="tg-0lax">  Niet in BIO  </td> <td class="tg-0lax">  e) geheel, i)-NORA Vertrouwd  toegangspad  </td> <td class="tg-0lax">  ISO-Information Security  Management Systems Guidance  </td> </tr> <tr> <td class="tg-0lax">  Cryptografische service  </td> <td class="tg-0lax">  Hoofdstuk 10  </td> <td class="tg-0lax">  a)-8.2.2.5, i)-NORA Encryptie patronen, j) NC1.1  </td> <td class="tg-0lax">  Encryption  algorithms: Asymmetric ciphers  </td> </tr> <tr> <td class="tg-0lax">  Wireless Access  </td> <td class="tg-0lax">  Niet in BIO  </td> <td class="tg-0lax">  f) geheel, i)-NORA  Draadloos netwerk  </td> <td class="tg-0lax">  Korte beschrijving van het SIVA raamwerk  met een uitgewerkte casus van de wijze waarop SIVA toegepast kan worden.  </td> </tr> <tr> <td class="tg-0lax">  Netwerk connecties  </td> <td class="tg-0lax">  Niet in BIO  </td> <td class="tg-0lax">  a)-8.2.2.5, i)-NORA Koppelvlak  </td> <td class="tg-0lax"></td> </tr> <tr> <td class="tg-0lax">  Netwerk  authenticatie  </td> <td class="tg-0lax">  Niet in BIO  </td> <td class="tg-0lax">  i)-NORA  Beschouwingsmodel Netwerk  </td> <td class="tg-0lax"></td> </tr> <tr> <td class="tg-0lax">  Netwerkbeheeractiviteit  </td> <td class="tg-0lax">  13.1  </td> <td class="tg-0lax">  a), b)-8.4  </td> <td class="tg-0lax"></td> </tr> <tr> <td class="tg-0lax">  Vastleggen  netwerkevents  </td> <td class="tg-0lax">  12.4  </td> <td class="tg-0lax">  a), b)-8.5  </td> <td class="tg-0lax"></td> </tr> <tr> <td class="tg-0lax">  Netwerk security  architectuur  </td> <td class="tg-0lax">  Niet in BIO  </td> <td class="tg-0lax">  a)-9.2, b)-8.6, NORA div. patronen, j) Network design  </td> <td class="tg-0lax"></td> </tr> <tr> <td class="tg-0lax">  Naleving richtlijnen  netwerkbeheer en evaluaties  </td> <td class="tg-0lax">  18.2.2  </td> <td class="tg-0lax">  j) Corporate Governance: SM1.1.1, SM3.5.2  </td> <td class="tg-0lax"></td> </tr> <tr> <td class="tg-0lax">  Netwerk security compliancy checking  </td> <td class="tg-0lax">  18.2.3  </td> <td class="tg-0lax">  a)-8.2.2.4, b)-7.2.6, 8.7  </td> <td class="tg-0lax"></td> </tr> <tr> <td class="tg-0lax">  Evalueren robuustheid  netwerkbeveiliging  </td> <td class="tg-0lax">  18.2.1,  18.1.2,  ISO 27001 ISMS  </td> <td class="tg-0lax">  a)-8.2.5, j) Network resilience: NW1.3  </td> <td class="tg-0lax"></td> </tr> <tr> <td class="tg-0lax">  Evalueren  gebeurtenissen (monitoring)  </td> <td class="tg-0lax">  16.1  </td> <td class="tg-0lax">  a)-8.2.4  </td> <td class="tg-0lax"></td> </tr> <tr> <td class="tg-0lax">  Beheersorganisatie Netwerkbeveiliging  </td> <td class="tg-0lax">  13.1  </td> <td class="tg-0lax">  n), j) Network  Documentation: NW 1.4  </td> <td class="tg-0lax"></td> <caption align="bottom">Communicatievoorzieningen, ISOR:Communicatievoorzieningen - Beveiligingsobjecten met bronverwijzing</caption></table> [[Categorie:ISOR]]‏ [[Categorie:BIO Thema Communicatievoorzieningen]] ==Overzicht objecten gepositioneerd in BUC/IFGS matrix== Hieronder zijn alle onderwerpen voor communicatiebeveiliging samengevat. Vervolgens worden deze onderwerpen (objecten) verbonden aan BIO-‘controls’, of aan controls uit andere relevante standaarden. De figuur 'Voor Communicatievoorzieningen relevante beveiligingsobjecten' is het resultaat van een volledigheidsanalyse, uitgevoerd met de SIVA methode (zie: SIVA toepassingssystematiek). De wit ingekleurde objecten zijn relevant voor het thema, maar ontbreken als control in de ISO 27002. Ze zijn afkomstig uit andere standaarden en ISO implementatiegidsen (zie: cross-reference). [[Afbeelding:Thema Communicatievoorzieningen - Voor Communicatievoorzieningen relevante beveiligingsobjecten.png|thumb|350px|Voor Communicatievoorzieningen relevante beveiligingsobjecten|alt=”Voor Communicatievoorzieningen relevante beveiligingsobjecten”]] ==Bronverwijzing== Onderstaande lijst van brondocumenten verwijst waar mogelijk naar publiek- toegankelijke documenten. * Om ‘dode’ verwijzingen te voorkomen is minimaal gebruik gemaakt van links. * Via Rijksweb of overheids interne websites of Google-search kunnen de documenten gevonden worden. * Op NEN-ISO/IEC documenten rusten licentierechten; voor de overheid zijn deze afgekocht (log in via NEN-connect). * Voor raadplegen van ISF documenten, zoals o.a. de SoGP moet de gebruikersorganisatie lid zijn van het ISF. * IT-Grundschutz, NORA en NIST zijn vrij toegankelijk op internet. <table class="wikitable"><tr style="background-color:#d9d9d9"> <tr> <th class="tg-s268">  Nr.  </th> <th class="tg-0lax">  Documentnaam  </th> <th class="tg-0lax">  Versie  </th> <th class="tg-0lax">  Eigenaar  </th> <th class="tg-0lax">  Toelichting of link  </th> </tr> <tr> <td class="tg-0lax">  a)  </td> <td class="tg-0lax">  ISO  27033 Deel 1  </td> <td class="tg-0lax">  Aug  2015  </td> <td class="tg-0lax">  NEN-ISO/IEC  </td> <td class="tg-0lax">  Overview and Concepts. Het  algemene deel van Network Security  </td> </tr> <tr> <td class="tg-0lax">  b)  </td> <td class="tg-0lax">  ISO  27033 Deel 2  </td> <td class="tg-0lax">  Aug 2012  </td> <td class="tg-0lax">  NEN-ISO/IEC  </td> <td class="tg-0lax">  Guidelines  for the design and implementation of network security  </td> </tr> <tr> <td class="tg-0lax">  c)  </td> <td class="tg-0lax">  ISO  27033 Deel 3  </td> <td class="tg-0lax">  Dec 2010  </td> <td class="tg-0lax">  NEN-ISO/IEC  </td> <td class="tg-0lax">  Reference  networking scenario’s Threats design techniques and control issues  </td> </tr> <tr> <td class="tg-0lax">  d)  </td> <td class="tg-0lax">  ISO  27033 Deel 4  </td> <td class="tg-0lax">  Feb  2014  </td> <td class="tg-0lax">  NEN-ISO/IEC  </td> <td class="tg-0lax">  Securing communications between  networks using security gateways  </td> </tr> <tr> <td class="tg-0lax">  e)  </td> <td class="tg-0lax">  ISO  27033 Deel 5  </td> <td class="tg-0lax">  Aug  2013  </td> <td class="tg-0lax">  NEN-ISO/IEC  </td> <td class="tg-0lax">  Securing communications across  networks using Virtual Private Networks  </td> </tr> <tr> <td class="tg-0lax">  f)  </td> <td class="tg-0lax">  ISO  27033 Deel 6  </td> <td class="tg-0lax">  Juni  2016  </td> <td class="tg-0lax">  NEN-ISO/IEC  </td> <td class="tg-0lax">  Securing wireless IP network  access  </td> </tr> <tr> <td class="tg-0lax">  g)  </td> <td class="tg-0lax">  BSI: IT-Grundschutz  </td> <td class="tg-0lax">  2013  </td> <td class="tg-0lax">  DE  gov.  </td> <td class="tg-0lax">  https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/itgrundschutzkataloge_node.html  </td> </tr> <tr> <td class="tg-0lax">  h)  </td> <td class="tg-0lax">  NIST  </td> <td class="tg-0lax">  nvt  </td> <td class="tg-0lax">  US gov.  </td> <td class="tg-0lax">  Institute of Standards and  Technology: www.nist.gov  </td> </tr> <tr> <td class="tg-0lax">  i)  </td> <td class="tg-0lax">  NORA,  thema beveiliging  </td> <td class="tg-0lax">  Wiki  </td> <td class="tg-0lax">  NL gov.  </td> <td class="tg-0lax">  Patronen:  https://www.noraonline.nl/wiki/Beveiliging  </td> </tr> <tr> <td class="tg-0lax">  j)  </td> <td class="tg-0lax">  ISF  Standard of Good Practice (SoGP)  </td> <td class="tg-0lax">  2007  </td> <td class="tg-0lax">  ISF  </td> <td class="tg-0lax">  Information Security Forum: www.securityforum.org  </td> </tr> <tr> <td class="tg-0lax">  k)  </td> <td class="tg-0lax">  NCSC  (diverse documenten)  </td> <td class="tg-0lax">  nvt  </td> <td class="tg-0lax">  NCSC  </td> <td class="tg-0lax">  Nationaal Cyber Security  Centrum (NCSC): www.ncsc.nl  </td> </tr> <tr> <td class="tg-0lax">  l)  </td> <td class="tg-0lax">  ITIL  </td> <td class="tg-0lax">  Versie 3  </td> <td class="tg-0lax">  ITIL foundation  </td> <td class="tg-0lax">  Information Technology  Infrastructure Library  </td> </tr> <tr> <td class="tg-0lax">  m)  </td> <td class="tg-0lax">  ISO 18033-1 General  </td> <td class="tg-0lax">  Aug 2015  </td> <td class="tg-0lax">  NEN-ISO/IEC  </td> <td class="tg-0lax">  ISO-kader  voor: Encryption Algorithms  </td> </tr> <tr> <td class="tg-0lax">  n)  </td> <td class="tg-0lax">  ISO 27003 ISMS  </td> <td class="tg-0lax">  Apr 2017  </td> <td class="tg-0lax">  NEN-ISO/IEC  </td> <td class="tg-0lax">  ISO-Information Security  Management Systems Guidance  </td> </tr> <tr> <td class="tg-0lax">  o)  </td> <td class="tg-0lax">  ISO 18033-2  </td> <td class="tg-0lax">  Juni  2006  </td> <td class="tg-0lax">  NEN-ISO/IEC  </td> <td class="tg-0lax">  Encryption  algorithms: Asymmetric ciphers  </td> </tr> <tr> <td class="tg-0lax">  p)  </td> <td class="tg-0lax">  SIVA toepassingssystematiek  </td> <td class="tg-0lax">  Versie  0.4  </td> <td class="tg-0lax">  Werkgroep Normatiek  </td> <td class="tg-0lax">  Korte beschrijving van het SIVA raamwerk  met een uitgewerkte casus van de wijze waarop SIVA toegepast kan worden.  </td> </tr> <caption align="bottom">Communicatievoorzieningen, Bronverwijzing</caption></table> [[Categorie:ISOR]] [[Categorie:BIO Thema Communicatievoorzieningen]]  +
BIO Thema Huisvesting Informatievoorziening +Dit document bevat een referentiekader voor Huisvesting Informatievoorzieningen (IV). Het is gebaseerd op controls uit ISO 27001-bijlage A en BIO v0.5. Voor die aspecten, waar de ISO-27002 onvoldoende praktische invulling geeft, zijn de volgende best practices geraadpleegd: de BIR 1.0 de Standard of Good Practice van ISF (SoGP), de NIST, en Cobit. <br /> Afbeelding 'Positie van het themadocument "Huisvesting Informatievoorziening"' geeft de positie weer van het themadocument "BIO thema Huisvesting Informatievoorziening". [[Afbeelding:Thema Huisvesting Informatievoorziening - Relatie documenten en thema.png|thumb|left|300px|Positie van het themadocument "Huisvesting Informatievoorziening"|alt=”Positie van het themadocument "Huisvesting Informatievoorziening”]] <br /> Afbeelding 'Overzicht van thema’s en de positie van Huisvesting Informatievoorziening' geeft de relatie weer tussen het thema Huisvesting Informatievoorziening en de overige thema’s. [[Afbeelding:Thema Huisvesting - Overzicht van thema's en de positie van Huisvesting Informatievoorziening.png|thumb|Left|500px|Overzicht van thema's en de positie van Huisvesting Informatievoorziening|Alt="Overzicht van thema's en de positie van Huisvesting Informatievoorziening"]]  +
BIO Thema Huisvesting Informatievoorziening - Inleiding +==Inleiding== Dit document bevat een referentiekader voor Huisvesting-IV (Informatievoorzieningen). Het is gebaseerd op controls uit ISO 27001-bijlage A en BIO v0.5. Voor die aspecten, waar de ISO-27002 onvoldoende praktische invulling geeft, zijn de volgende best practices geraadpleegd: de BIR 1.0 de Standard of Good Practice van ISF (SoGP), de NIST, en Cobit. Onderstaande afbeelding geeft de relatie weer tussen het thema Huisvesting Informatievoorziening, verder genoemd Huisvesting-IV, en de overige thema’s. [[Afbeelding:Thema Huisvesting - Overzicht van thema’s en positie van Huisvesting IT Infrastructuur.png|thumb|none|500px|Overzicht van thema’s en positie van Huisvesting IT Infrastructuur|alt=”Overzicht van thema’s en positie van Huisvesting IT Infrastructuur”]] ==Huisvesting Informatievoorziening== In dit document wordt een set beveiligingsmaatregelen met betrekking tot het thema Huisvesting-IV uitgewerkt. Deze beveiligingsmaatregelen zijn gerelateerd aan relevante onderwerpen (bronobjecten) uit de ISO 27001 (2013) en BIR 2017/BIO 2017 v0.5. Eventueel ontbrekende bronobjecten, die uit analyses voortvloeien, worden betrokken uit andere baselines, zoals Standard of Good Practice, NIST en uit Handboeken van organisaties die in de praktijk gehanteerd worden. Voor noodzakelijke details bij specifieke maatregelen wordt verwezen naar operationele practices. De relatie tussen deze documenten wordt in onderstaande afbeelding weergegeven. [[Afbeelding:Thema Huisvesting Informatievoorziening - Relatie documenten en thema.png|thumb|none|200px|Relatie documenten en thema|alt=”Relatie documenten en thema”]] De bronobjecten uit de ISO-norm en uit de BIR en de bijbehorende maatregelen gelden zowel voor implementatie- als voor audit-doeleinden. Samenvattend komt het erop neer dat de bronobjecten en de bijbehorende maatregelen georganiseerd zijn in drie domeinen: Beleid, Uitvoering en Control. Onderstaande afbeelding schetst de structuur waarin een relatie wordt gelegd tussen het objecten binnen het Beleidsdomein, het Uitvoeringsdomein en het Control domein voor Huisvesting-IV. [[Afbeelding:Thema Huisvesting Informatievoorziening - Relatie tussen de Beleid, Uitvoering en Control objecten.png|thumb|none|500px|Relatie tussen de Beleid, Uitvoering en Control objecten|alt=”Relatie tussen de Beleid, Uitvoering en Control objecten”]] ==Scope en begrenzing van Huisvesting Informatievoorziening== De eisen die gesteld moeten worden aan Huisvesting-IV, worden in het bijzonder bepaald door de fysieke bescherming van de apparatuur, die gebruikt wordt voor verwerking, transport en opslag van data. De opkomst van de IT-clouddiensten betekent veranderingen in de aanschaf van IT diensten en de daarvoor benodigde huisvesting. <br/>Het management van de doelorganisatie blijft echter verantwoordelijk voor het gehele bedrijfsproces en onderliggende IT ondersteuning. Daarom worden er besluiten genomen op basis van: functionaliteit, wet- en regelgeving (beveiliging) en kosten. Dit heeft invloed op de keuze welke type Huisvesting-IV past bij de organisatie. De volgende drie opties zijn mogelijk: # '''Fysieke huisvesting''': bij deze de traditionele huisvesting is het rekencentrum ondergebracht binnen één fysieke locatie en welke onder beheer is van de doelorganisatie. # '''Modulaire huisvesting''': bij deze vorm van de huisvesting is het rekencentrum ondergebracht in mobiele bouwblokken, welke flexibel ‘gestapeld’ kunnen worden tot de benodigde capaciteit bereikt is (vrachtcontainers). # '''Virtuele huisvesting''': bij deze vorm van huisvesting is het rekencentrum ondergebracht in de cloud; dit kan zowel een private als public cloud zijn. Bij deze vorm van huisvesting valt slechts een beperkt deel van de bedrijfsmiddelen onder het technisch beheer en de bestuurlijke invloed van de doelorganisatie; men neemt een dienst af en stelt eisen. Hoe groot de invloed van de doelorganisatie is, hangt af van inrichtingskeuzes, maar vooral van de te leveren diensten door leveranciers, zoals IAAS, PAAS of SAAS. Afhankelijk van de gemaakte inrichtingskeuze voor de Huisvesting-IV, zijn normen voor huisvesting in meer of mindere mate van toepassing. Hier beschreven is optie 1: ‘Fysieke huisvesting’ en daarbij de generieke objecten m.b.t. Huisvesting-IV, die gerelateerd zijn aan terreinen, gebouwen, ruimten en middelen, zoals aangegeven in onderstaande afbeelding. Vanuit huisvestingsbeleid (Beleidsdomein) wordt de inrichting en beveiliging van de resources binnen het Uitvoeringsdomein aangestuurd en met beheersing op de uitvoering wordt grip verkregen op de naleving van de gestelde beveiligingseisen (Control domein). [[Afbeelding:Thema Huisvesting - Essentiële objecten in het uitvoeringsdomein.png|thumb|none|500px|Overzicht Fysieke Huisvesting Informatievoorziening|alt=”Overzicht Fysieke Huisvesting Informatievoorziening”]] ==Aanpak uitwerking thema Huisvesting Informatievoorziening== De toelichting schetst de standaard methodiek waarmee BIO-thema’s worden opgesteld. Een uitgebreide uitwerking van de methodiek is beschreven in het document: ‘SIVA en toepassingssystematiek’.  +
BIO Thema Huisvesting Informatievoorziening - Objecten voor Huisvesting Informatievoorziening +Huisvesting Informatievoorziening objecten uit de baseline ===Schematische weergave generieke Huisvesting Informatievoorziening objecten=== Huisvesting-IV omvat een geheel van objecten voor het leveren van betrouwbare hosting diensten. De essentiële objecten van Huisvesting-IV worden in afbeelding 'Schematische weergave van de fysieke Huisvesting Informatievoorziening objecten' weergegeven. De elementen worden toegelicht op basis van de driedeling: Beleidsdomein, Uitvoering domein en Control domein. [[Afbeelding:Thema Huisvesting - Schematische weergave van de fysieke Huisvesting-IV objecten.png|none|thumb|500px|Schematische weergave van de fysieke Huisvesting Informatievoorziening objecten|alt=”Schematische weergave van de fysieke Huisvesting Informatievoorziening objecten”]] '''Beleid domein''' * Binnen het Beleidsdomein bevat Huisvesting-IV randvoorwaarden; objecten die als randvoorwaarden gelden voor de gehele Huisvesting-IV, zoals beleid, wet en regelgeving, contracten en organisatiestructuur. In dit document worden de relevante objecten behandeld. '''Uitvoering domein''' * Binnen het Uitvoeringsdomein bevat Huisvesting-IV een scala aan componenten die grofweg zijn onder te verdelen in: terrein, gebouwen, faciliteiten en werkruimten en voorzieningen. ** Terrein betreft de locaties van de Huisvesting-IV. ** Gebouwen, faciliteiten en werkruimten zijn de aan Huisvesting-IV georiënteerde objecten, die zorgen voor het fysieke bestaan van een Huisvesting-IV. Onder het fysieke bestaan vallen ook de terreinen en de zonering (in ruimten) van gebouwen. ** Voorzieningen zijn gerelateerd aan de fysiek georiënteerde objecten ten behoeve van Huisvesting-IV. Dit is gericht op: bedrijfsmiddelen en nutsvoorzieningen (zoals gas, elektra, water maar ook brandblussers etc.). Er zijn bedrijfsmiddelen en specifieke IT-middelen ingezet waarmee Huisvesting-IV diensten worden geleverd. Deze middelen zijn continu onderhevig aan veranderingen en vernieuwingen. Voor een optimale dienstverlening moeten deze middelen onderhouden en/of gecontroleerd worden. Met andere woorden: dit zijn zowel fysieke als elektronisch en informatietechnologie gerelateerde objecten ten behoeve van de te leveren Huisvesting-IV diensten. '''Control domein''' * Binnen het Control domein bevat de Huisvesting-IV beoordelingsrichtlijnen en procedures. De beoordelingsrichtlijnen zijn vastgesteld voor het evalueren van vastgestelde randvoorwaarden en uitvoeringscomponenten. ===De organisatie van Huisvesting Informatievoorziening objecten=== De geïdentificeerde Huisvesting-IV objecten zijn op basis van de lagenstructuur: Beleid, Uitvoering en Control domein georganiseerd; hiermee worden deze aspecten in een juiste contextuele samenhang gepositioneerd. De betekenis die aan de lagen wordt toegekend, zijn: * '''Beleid'''; Binnen dit domein bevinden zich conditionele elementen over de Huisvesting-IV. Hier zijn eisen opgenomen ten aanzien van ‘geboden’ en 'verboden’, zoals Huisvesting-IV beleid, de te hanteren wet en regelgeving en andere vormen van reguleringen en beperkingen. * '''Uitvoering'''; Binnen dit domein bevinden zich: ** elementen die gerelateerd zijn aan operationele activiteiten ten aanzien van Huisvesting-IV; ** elementen die aangeven hoe deze activiteiten georganiseerd moeten zijn; ** elementen die gerelateerd zijn aan beveiligingsaspecten die bij de activiteiten in acht moeten worden genomen. * '''Control'''; Binnen dit domein bevinden zich elementen die zorg dragen voor de beheersing en/of het in standhouden van de activiteiten in relatie tot Huisvesting-IV en of deze wel naar wens verlopen. ==Huisvesting-IV objecten geprojecteerd op BUC en gesorteerd naar IFGS== Tabel 'Overzicht van Huisvesting Informatievoorziening objecten ingedeeld naar BUC' bevat de relevante items, welke in samenhang de bescherming van Huisvesting-IV bewerkstelligen. Deze items worden in de BIO themadocumenten objecten genoemd. De meeste objecten zijn in de vorm van een beheersmaatregel al van kracht vanuit de ISO-27001. Objecten zijn generiek gemaakt, omdat ze in veel gevallen ook relevant zijn voor andere thema’s en daarom hergebruikt kunnen worden. Generieke objecten worden inclusief omschrijving opgeslagen in de objectenbibliotheek ISOR. Enkele van de objecten zijn uniek voor de BIO. Objecten die aanvullend aan de ISO norm voor de beveiliging nodig geacht worden van een bepaald toepassingsgebied, zijn met behulp van de SIVA analyse bepaald; deze relateren zo mogelijk aan standaarden als ITIL, NIST, BSI of de Standard of Good Practice. NB: Deze zijn vanuit de beschikbare expertise van de schrijfgroep BIO nodig geacht, waarbij SIVA als modelleringstool wordt gebruikt. <table class="wikitable"> <tr> <th>Beleid domein</th> <th>Nr</th> <th>Generieke objecten</th> <th>Referentie</th> <th>IFGS</th> </tr> <tr> <td>B 01</td> <td>Huisvesting Informatievoorziening beleid</td> <td>27002:5.1.1</td> <td>I</td> <td></td> </tr> <tr> <td>B 02</td> <td>Wet en regelgeving</td> <td>27002:18.1.1</td> <td>I</td> <td></td> </tr> <tr> <td>B 03</td> <td>Eigenaarschap</td> <td>27002:8.1.2</td> <td>I</td> <td></td> </tr> <tr> <td>B.04</td> <td>Certificering</td> <td>Uit SIVA analyse, ITIL</td> <td>I</td> <td></td> </tr> <tr> <td>B.05</td> <td>Contract management</td> <td>Uit SIVA analyse, ITIL</td> <td>F</td> <td></td> </tr> <tr> <td>B.06</td> <td>Servicelevel management</td> <td>Uit SIVA analyse, ITIL</td> <td>F</td> <td></td> </tr> <tr> <td>B 07</td> <td>Interne en externe bedreigingen</td> <td>27002:11.1.4</td> <td>F</td> <td></td> </tr> <tr> <td>B 08</td> <td>Training en awareness</td> <td>27002:7.2.2</td> <td>G</td> <td></td> </tr> <tr> <td>B.09</td> <td>Organisatiestructuur</td> <td>Uit SIVA analyse</td> <td>S</td> <td></td> </tr> <tr> <td>Uitvoering domein</td> <td>Nr</td> <td>Objecten</td> <td>Referentie</td> <td>IFGS</td> </tr> <tr> <td>U.01</td> <td>Richtlijnen gebieden en ruimten</td> <td>27002:11.1.5</td> <td>I</td> <td></td> </tr> <tr> <td>U.02</td> <td>Bedrijfsmiddelen inventaris</td> <td>27002:8.1.1</td> <td>I</td> <td></td> </tr> <tr> <td>U.03</td> <td>Fysieke zonering</td> <td>27002:11.1.1</td> <td>F</td> <td></td> </tr> <tr> <td>U.04</td> <td>Beveiligingsfaciliteiten ruimten</td> <td>27002:11.1.3</td> <td>F</td> <td></td> </tr> <tr> <td>U.05</td> <td>Nutsvoorzieningen</td> <td>27002:11.2.2</td> <td>F</td> <td></td> </tr> <tr> <td>U.06</td> <td>Apparatuur positionering</td> <td>27002:11.2.1</td> <td>F</td> <td></td> </tr> <tr> <td>U.07</td> <td>Apparatuur onderhoud</td> <td>27002:11.2.4</td> <td>F</td> <td></td> </tr> <tr> <td>U.08</td> <td>Apparatuur verwijdering</td> <td>127002:1.2.7</td> <td>F</td> <td></td> </tr> <tr> <td>U.09</td> <td>Bedrijfsmiddelen verwijdering</td> <td>27002:11.2.5</td> <td>F</td> <td></td> </tr> <tr> <td>U.10</td> <td>Laad- en los locatie</td> <td>27002:11.1.6</td> <td>G</td> <td></td> </tr> <tr> <td>U.11</td> <td>Bekabeling</td> <td>27002:11.2.3</td> <td>G</td> <td></td> </tr> <tr> <td>U.12</td> <td>Huisvesting Informatievoorziening Architectuur</td> <td>Uit SIVA analyse</td> <td>S</td> <td></td> </tr> <tr> <td>Control domein(beheersing)</td> <td>Nr</td> <td>Objecten</td> <td>Referentie</td> <td>IFGS</td> </tr> <tr> <td>C.01</td> <td>Controlerichtlijnen Huisvesting-IV</td> <td>Uit SIVA analyse</td> <td>I</td> <td></td> </tr> <tr> <td>C.02</td> <td>Onderhoudsplan</td> <td>Uit SIVA analyse</td> <td>I</td> <td></td> </tr> <tr> <td>C.03</td> <td>Continuïteit beheer(BCMS)</td> <td>Uit SIVA analyse ITIL</td> <td>F</td> <td></td> </tr> <tr> <td>C.04</td> <td>Huisvesting Informatievoorziening beheersorganisatie</td> <td>Uit SIVA analyse</td> <td>S</td> <td></td> </tr> <caption align="bottom">Overzicht van Huisvesting Informatievoorziening objecten ingedeeld naar BUC</caption></table> ==Omschrijvingen van generieke objecten== Tabel 'Omschrijvingen van generieke objecten uit ISO/BIR met aanvullende generieke objecten' bevat een nadere omschrijving voor de vastgestelde generieke objecten uit ISO/BIO en aanvullende generieke objecten. <table class="wikitable"><caption align="bottom">Omschrijvingen van generieke objecten uit ISO/ BIR met aanvullende generieke objecten</caption><tr style="background-color:#d9d9d9"><td> Nr. </td> <td> ISO </td> <td> Generiek object </td> <td> Omschrijving generiek object gericht op Huisvesting-IV </td></tr><tr><td> 1. </td> <td> 5.1.1. </td> <td> Huisvestingsbeleid </td> <td> Door het bevoegd gezag (management) vastgesteld, specifiek beleid m.b.t. aanschaf, inrichting en gebruik van de Huisvesting-IV. Huisvestingsbeleid bevat tevens uitspraken over hoe om te gaan met externe en interne dreigingen, fysieke, gecontroleerde toegang en fysieke zonering van ruimten. </td></tr><tr><td> 2. </td> <td> 7.2.2. </td> <td> Training en Awareness </td> <td> Een formeel proces voor training, opleiding, en bewustzijn voor medewerkers aangaande Huisvesting-IV veiligheid. </td></tr><tr><td> 3. </td> <td> 7.1.2. </td> <td> Eigenaarschap </td> <td> Het toewijzen van verantwoordelijkheid over middelen aan medewerkers om te bevorderen dat noodzakelijke acties wordt ondernomen. Met het eigenaarschap kunnen medewerkers zaken in ‘positieve’ zin beïnvloeden. Zaken die van invloed zijn op houding, gedrag en motivatie en hiermee op de prestatie van de medewerker. </td></tr><tr><td> 4. </td> <td> 18.1.1. </td> <td> Wet- en Regelgeving </td> <td> Door de overheid afgevaardigde Wet- en regelgeving. </td></tr><tr><td> 5. </td> <td> X </td> <td> Huisvestingsorganisatie </td> <td> Een groepering van mensen die in onderlinge samenwerking activiteiten ontplooien binnen de Huisvesting-IV, om op doelmatige wijze overeengekomen doelstellingen te bereiken. Als collectief dragen zij bij aan de realisatie van geformuleerde missie, een visie en doelstellingen van de Huisvesting-IV. Zij doen dit op basis van beleid en strategie, met inzet van resources. </td></tr><tr><td> 6. </td> <td> X </td> <td> Huisvestingsarchitectuur </td> <td> De structuur van de huisvesting-IV t.a.v. de organisatie en techniek in samenhang beschreven. (rollen en de verantwoordelijkheden van de betrokken actoren voor het geven van richting en het inrichten en het beheersen van de Huisvesting-IV ; technische beschrijving van bedrijfsmiddelen, bedoeld voor huisvesting van IV). </td></tr><tr><td> 7. </td> <td> X </td> <td> Contractmanagement </td> <td> Beheerproces voor overeenkomst tussen klant en leverancier waarin de afspraken over de te leveren Huisvesting-IV-diensten zijn vastgelegd. </td></tr><tr><td> 8. </td> <td> X </td> <td> Servicelevelmanagement </td> <td> Beheerproces dat verantwoordelijk is voor het maken van afspraken met de klanten, de controle uitoefent over de naleving van de gemaakte afspraken en de communicatie over de diensten met de klanten verzorgt. </td></tr><tr><td> 9. </td> <td> X </td> <td> Certificering </td> <td> Een bewijs dat bevestigt dat de Huisvesting-IV van objecten voldoet aan vooraf vastgestelde eisen, uitgevoerd door een overheidsinstantie of een erkende organisatie. </td></tr><tr><td> 10. </td> <td> 8.1.1. </td> <td> Bedrijfsmiddelen inventaris </td> <td> Alle machines, apparatuur, informatie, software die overzichtelijk geïnventariseerd moet zijn. </td></tr><tr><td> 11. </td> <td> 11.1.1. </td> <td> Fysieke zonering </td> <td> Fysieke voorziening voor gecontroleerde, fysieke toegang tot terreinen, gebouwen en ruimten. </td></tr><tr><td> 12. </td> <td> 11.1.3. </td> <td> Beveiligingsfaciliteiten </td> <td> Faciliteiten waarmee bedrijfsmiddelen en voorzieningen binnen gebouwen beveiligd worden. </td></tr><tr><td> 13. </td> <td> 11.1.4. </td> <td> Interne en Externe bedreigingen </td> <td> Fysieke schadelijke invloeden van binnenuit of buitenaf van natuurlijke aard zoals storm, overstromingen en aardschokken of calamiteiten door de mens, zoals brand, explosies en andere, onvoorziene calamiteiten. </td></tr><tr><td> 14. </td> <td> 11.1.5. </td> <td> Richtlijnen gebieden en ruimten </td> <td> Richtlijnen voor gebieden en werkruimten die als beveiligingszones gelden waarbinnen personen als bezoekers verblijven, of waar geautoriseerde medewerkers activiteiten ontplooien. </td></tr><tr><td> 15. </td> <td> 11.1.6. </td> <td> Laad- en los locatie </td> <td> Specifieke toegangspunten op het terrein van de Huisvesting-IV voor het laden en lossen van goederen. </td></tr><tr><td> 16. </td> <td> 11.2.1. </td> <td> Apparatuur positionering </td> <td> Apparatuur die binnen de Huisvesting-IV geplaats en beschermd worden voor toepassing van vastlegging, verwerking, opslag, overdracht, vermenigvuldiging en verstrekking van informatie. </td></tr><tr><td> 17. </td> <td> 11.2.2. </td> <td> Nutsvoorzieningen </td> <td> Voorzieningen (zoals gas, water, elektriciteit) die door nutsbedrijven geleverd worden. </td></tr><tr><td> 18. </td> <td> 11.2.3. </td> <td> Bekabeling </td> <td> Middel voor energietransport van een bron naar een bestemming. </td></tr><tr><td> 19. </td> <td> 11.2.4. </td> <td> Apparatuur onderhoud </td> <td> Apparatuur (Machines) die periodiek volgens een bepaalde procedure onderhouden moet worden. </td></tr><tr><td> 20. </td> <td> 11.2.7. </td> <td> Apparatuur verwijdering </td> <td> Het verwijderen van apparatuur volgens een geregistreerde procedure. </td></tr><tr><td> 21. </td> <td> 11.2.5. </td> <td> Bedrijfsmiddel verwijdering </td> <td> Het verwijderen van elk middel, waarin of waarmee bedrijfsgegevens kunnen worden opgeslagen en/of verwerkt en waarmee toegang tot gebouwen ruimten en IT-voorzieningen kan worden verkregen. (bedrijfsproces; een gedefinieerde groep activiteiten; een gebouw; een apparaat; een IT-voorziening of een gedefinieerde groep gegevens). </td></tr><tr><td> 22. </td> <td> X </td> <td> Controlerichtlijn Huisvesting-IV </td> <td> Richtlijn voor het periodiek evalueren van het opgespeld beleid van de Huisvesting-IV op actualiteitswaarde. </td></tr><tr><td> 23. </td> <td> X </td> <td> Onderhoudsplan </td> <td> Document waarin activiteiten voor het regulier onderhoud van de Huisvesting-IV voor de komende jaren wordt aangegeven om gebouwen en ruimten van de Rekencentra in een goede staat te houden. </td></tr><tr><td> 24. </td> <td> X </td> <td> Huisvestings- beheersorganisatie </td> <td> De organisatorische beheersstructuur waarin de rollen en de verantwoordelijkheden van de betrokken actoren voor de beheersing van de Huisvesting-IV duidelijk zijn verankerd. </td></tr><tr><td> 25. </td> <td> X </td> <td> Continuïteitsmanagement </td> <td> Continuïteitsmanagement is het beheerproces dat verantwoordelijk is voor alle activiteiten om de continuïteit van de geleverde Huisvesting-IV-diensten te waarborgen en voorzieningen te treffen om de continuïteit binnen de afgesproken grenzen bij storingen en calamiteiten te waarborgen, ten einde het vereiste niveau van beschikbaarheid te kunnen waarborgen. </td></tr><tr><td> </td> <td style="background-color:#f2f2f2" colspan="2">X = Aanvullend vanuit analyse </td> </tr></table> ===Objecten binnen BUC domeinen en gerelateerd aan basiselementen=== ''Beleiddomein'' [[Afbeelding:Thema Huisvesting Informatievoorziening- Objecten binnen Beleiddomein, gerelateerd aan basiselementen.png|thumb|left|500px|Objecten binnen Beleid domein, gerelateerd aan basiselementen|alt=”Objecten binnen Beleiddomein, gerelateerd aan basiselementen”]] ''Uitvoeringsdomein'' [[Afbeelding:Thema Huisvesting Informatievoorziening- Objecten binnen Uitvoeringsdomein, gerelateerd aan basiselementen.png|thumb|left|500px|Objecten binnen Uitvoering domein, gerelateerd aan basiselementen|alt=”Objecten binnen Uitvoeringsdomein, gerelateerd aan basiselementen”]] ''Controldomein'' [[Afbeelding:Thema Huisvesting Informatievoorziening- Objecten binnen Controldomein, gerelateerd aan basiselementen.png|thumb|left|500px|Objecten binnen Control domein, gerelateerd aan basiselementen|alt=”Objecten binnen Controldomein, gerelateerd aan basiselementen”]]  +
BIO Thema Huisvesting Informatievoorziening - Verbindingsdocument +==Context beveiliging Huisvesting-IV== [[Afbeelding:Thema Huisvesting - Verbindingsniveau voor huisvesting.png|thumb|none|250px|Verbindingsniveau voor Huisvesting Informatievoorziening|alt=”Verbindingsniveau voor Huisvesting Informatievoorziening”]] Een gebouw van een willekeurig vrijstaand rekencentrum is doorgaans gepositioneerd op een terrein waarbij de toegang door middel van hekwerk is afgesloten voor publiek. Dit vormt de eerste barrière van fysieke beveiliging. Personen zoals bezoekers moeten zich melden aan de toegangspoort alvorens ze naar binnen kunnen. Medewerkers kunnen direct naar binnen, gebruik makend hun toegangspas. Eenmaal op het terrein, kunnen medewerkers alleen de ruimten waarvoor ze bevoegd zijn betreden met hun toegangspas. De informatiesystemen zelf zijn ondergebracht in afgeschermde, klimaat geconditioneerde ruimten, voorzien van een stabiele energievoorziening. Goederen worden via een seperate laad-en los omgeving van- en naar de gebouwen en ruimten gebracht. Kabels voor nuts- en netwerkvoorzieningen worden extra beschermd en waar nodig dubbel uitgevoerd, zodat de continuïteit van informatievoorziening naar behoefte gegarandeerd is. Figuur 'Context Huisvesting Informatievoorziening' schetst enkele basiselementen voor de huisvesting van informatievoorzieningen (IV). [[Afbeelding:Thema Huisvesting - Context Huisvesting-IV.png|thumb|none|600px|Context Huisvesting Informatievoorziening|alt=”Context Huisvesting Informatievoorziening”]] Figuur 'Essentiële objecten in het uitvoering domein' geeft laat van het uitvoeringsdomein een schematische invulling zien. Het beleidsdomein omvat de randvoorwaarden voor de uitvoering van Huisvesting Informatievoorziening. De beheersing wordt verzorgd door objecten vanuit het control domein, zoals beoordelingsrichtlijnen en Continuïteitsmanagement (BCM). [[Afbeelding:Thema Huisvesting - Essentiële objecten in het uitvoeringsdomein.png|thumb|none|700px|Essentiële objecten in het uitvoering domein|alt=”Essentiële objecten in het uitvoering domein”]] Huisvesting Informatievoorziening omvat een geheel van objecten voor het leveren van betrouwbare hosting diensten. De essentiële objecten van Huisvesting-IV, of groepen daarvan, zijn uitgelicht in onderstaande figuur. [[Afbeelding:Thema Huisvesting - Objecten in het uitvoeringsdomein.png|none|thumb|500px|Objecten in het uitvoering domein|alt=”Objecten in het uitvoering domein”]] Het uitvoeringsdomein bevat een scala aan componenten die grofweg onder te verdelen zijn in Terreinen, Gebouwen, Faciliteiten, Werkruimten en Voorzieningen. De gebouwen zijn gevestigd op een locatie. *'''Terrein''' – de omheinde, beschermde locaties van de Huisvesting IV *'''Gebouwen''' – Dit zijn aan de huisvesting georiënteerde objecten die zorgen voor het fysieke bestaan van een Huisvesting Informatievoorziening. Hieronder valt ook de fysieke zonering van gebouwen in ruimten. *'''Voorzieningen''' – Voorzieningen zijn gerelateerd aan de fysiek georiënteerde objecten ten behoeve van de huisvesting. Dit is gericht op: Bedrijfsmiddelen en Nutsvoorzieningen (zoals gas, elektra, water maar ook brandblussers etc.). *'''Faciliteiten''' - Middelen waarmee beveiligingsfuncties gerealiseerd worden, zoals toegangspoorten, brandmelders/blussers etc. Er zijn bedrijfsmiddelen en specifieke IT-middelen ingezet waarmee Huisvesting Informatievoorziening diensten worden geleverd. Deze middelen zijn continu onderhevig aan veranderingen en vernieuwingen. Voor een optimale dienstverlening moeten deze middelen onderhouden en/of gecontroleerd worden. M.a.w. dit zijn zowel fysieke als elektronisch en informatietechnologie gerelateerde objecten ten behoeve van de te leveren huisvesting van IV diensten. ==Generieke objecten== Onderstaande tabel toont alle relevante items op een rij, die in samenhang de Huisvesting Informatievoorziening kunnen beveiligen. <table class="wikitable"><tr style="background-color:#d9d9d9"><th> Nr </th> <th> Bron: ISO/BIO of alternatief </th> <th> Generieke objecten </th></tr><tr><td>1. </td> <td>5.1.1. </td> <td style="background-color:#ffcc00">Huisvestingsbeleid </td></tr><tr><td>2. </td> <td>7.2.2. </td> <td style="background-color:#ffcc00">Training en Awareness </td></tr><tr><td>3. </td> <td>8.1.2. </td> <td style="background-color:#ffcc00">Eigenaarschap </td></tr><tr><td>4. </td> <td>18.1.1. </td> <td style="background-color:#ffcc00">Wet en regelgeving </td></tr><tr><td>5. </td> <td>Uit SIVA analyse </td> <td style="background-color:#ffcc00">Organisatie </td></tr><tr><td>6. </td> <td>Uit SIVA analyse </td> <td style="background-color:#ffcc00">Architectuur </td></tr><tr><td>7. </td> <td>idem -> ITIL </td> <td style="background-color:#ffcc00">Contractmanagement </td></tr><tr><td>8. </td> <td>idem -> ITIL </td> <td style="background-color:#ffcc00">Servicelevelmanagement </td></tr><tr><td>9. </td> <td>idem -> NIST </td> <td style="background-color:#ffcc00">Certificering </td></tr><tr><td>10. </td> <td>8.1.1. </td> <td style="background-color:#ff9999">Bedrijfsmiddelen inventaris </td></tr><tr><td>11. </td> <td>11.1.1. </td> <td style="background-color:#ff9999">Fysieke zonering </td></tr><tr><td>12. </td> <td>11.1.2. </td> <td style="background-color:#ff9999">Fysieke toegangsbeveiliging </td></tr><tr><td>13. </td> <td>11.1.3. </td> <td style="background-color:#ff9999">Beveiligingsfaciliteit </td></tr><tr><td>14. </td> <td>11.1.4. </td> <td style="background-color:#ff9999">Interne en Externe bedreigingen </td></tr><tr><td>15. </td> <td>11.1.5. </td> <td style="background-color:#ff9999">Richtlijnen gebieden en ruimten </td></tr><tr><td>16. </td> <td>11.1.6. </td> <td style="background-color:#ff9999">Laad- en loslocatie </td></tr><tr><td>17. </td> <td>11.2.1. </td> <td style="background-color:#ff9999">Apparatuur positionering </td></tr><tr><td>18. </td> <td>11.2.2. </td> <td style="background-color:#ff9999">Nutsvoorzieningen </td></tr><tr><td>19. </td> <td>11.2.3. </td> <td style="background-color:#ff9999">Bekabeling </td></tr><tr><td>20. </td> <td>11.2.4. </td> <td style="background-color:#ff9999">Apparatuur onderhoud </td></tr><tr><td>21. </td> <td>11.2.5. </td> <td style="background-color:#ff9999">Bedrijfsmiddelen verwijdering </td></tr><tr><td>22. </td> <td>11.2.7. </td> <td style="background-color:#ff9999">Apparatuur verwijdering </td></tr><tr><td>23. </td> <td>9.2.1. </td> <td style="background-color:#99ccff">Registratieprocedure </td></tr><tr><td>24. </td> <td>9.2.4. </td> <td style="background-color:#99ccff">Beoordeling Fysieke toegangsrechten </td></tr><tr><td>25. </td> <td>Uit SIVA analyse </td> <td style="background-color:#99ccff">Controle richtlijn Huisvesting-IV </td></tr><tr><td>26. </td> <td>idem </td> <td style="background-color:#99ccff">Onderhoudsplan </td></tr><tr><td>27. </td> <td>idem </td> <td style="background-color:#99ccff">Huisvestingsbeheerorganisatie </td></tr><tr><td>28. </td> <td>idem -> ITIL </td> <td style="background-color:#99ccff">Continuïteitsmanagement </td></tr> <caption align="bottom">Tabel 6: Vastgestelde generieke objecten</caption></table> <table style="border: 1px solid #888"><caption>Legenda</caption> <tr> <td style="background-color:#ffd966; width:3em;"> </td> <td>[[Beveiligingsaspect Beleid|Beleid]] </td></tr><tr> <td style="background-color:#ff9999"> </td> <td>[[Beveiligingsaspect Uitvoering|Uitvoering]] </td></tr><tr> <td style="background-color:#99ccff"> </td> <td>[[Beveiligingsaspect Control|Control]] </td></tr></table> Dergelijke items worden in de BIO- thema’s objecten genoemd. De meeste van deze objecten zijn in de vorm van een beheersmaatregel al van kracht in de ISO-27001. De objecten zijn generiek gemaakt, om ze voor andere thema’s kunnen hergebruiken. Generieke objecten worden inclusief omschrijving opgeslagen in de objectenbibliotheek ISOR. Enkele van de objecten zijn uniek voor de overheid en daarom in de BIO ‘verplicht’ genormeerd zijn. Objecten, die aanvullend aan de ISO norm nodig geacht worden voor de beveiliging van een bepaald toepassingsgebied, zijn met behulp van de SIVA analyse bepaald en relateren daarbij zo mogelijk aan standaarden als ITIL, NIST, BSI of de Standard of Good Practice. ==Positionering van objecten gerelateerd aan SIVA basiselementen== [[Afbeelding:Thema Huisvesting - Objecten in hun B-U-C domein.png|thumb|none|500px|Objecten in hun B-U-C domein|alt=”Objecten in hun B-U-C domein”]] Figuur 'Objecten in hun B-U-C domein' zet de objecten uit de lijst van figuur 4 bij elkaar in de aandachtsgebieden Beleid, Uitvoering en Control, feitelijk een andere view op de inhoud van de vorige pagina. In totaal gaat het om Gebouwen en voorzieningen, wat alles is wat je nodig hebt om ICT te kunnen huisvesten, zoals infrastructuur: kabels, stroomvoorziening, koeling etc. inclusief de nodige procedures en beheervoorzieningen. In cursief-rood zijn de SIVA-basiselementen weergegeven. De “witte blokken” zijn de objecten die weliswaar niet genormeerd zijn in de ISO-norm, maar waarvan wel geacht wordt dat ze een onmisbare bijdrage leveren aan de weerbaarheid en de integrale beveiliging van de bedrijfsmiddelen, informatievoorzieningen en data. ==Cross Reference naar praktijktoepassingen== Tenslotte een Cross-Reference van beveiligingsobjecten naar beproefde praktijkvoorbeelden. Doel is de overheden praktische handreikingen aan te bieden, in de vorm van richtlijnen en patronen; bij voorkeur gesorteerd op verschillende schaalgroottes met een bijbehorende uitvoeringscontext. <table class="wikitable"><caption align="bottom">cross-reference naar praktijktoepassingen</caption> <tr><td>Nr. </td> <td>Bron:ISO… </td> <td>  </td> <td>Onderwerp </td> <td>Referentie naar praktijktoepassing(Verwijzing naar brondocumenten) </td></tr><tr><td>1. </td> <td>5.1.1. </td> <td style="background-color:#ffd966">B </td> <td>Huisvestingsbeleid </td> <td>a):H2 en H3, b), c):met focus op “Te beschermen belangen” (TBB), e) </td></tr><tr><td>2. </td> <td>7.2.2. </td> <td style="background-color:#ffd966">B </td> <td>Training en Awareness </td> <td>a):H4, h), j), i </td></tr><tr><td>3. </td> <td>8.1.2. </td> <td style="background-color:#ffd966">B </td> <td>Eigenaarschap </td> <td>a):H2 (voor rijk), j), i) </td></tr><tr><td>4. </td> <td>18.1.1. </td> <td style="background-color:#ffd966">B </td> <td>Wet en regelgeving </td> <td>i) </td></tr><tr><td>5. </td> <td>SIVA </td> <td style="background-color:#ffd966">B/U </td> <td>Organisatie </td> <td>a):H4 </td></tr><tr><td>6. </td> <td>SIVA </td> <td style="background-color:#ffd966">B/U </td> <td>Architectuur </td> <td>i), Richtlijnen - Rijks vastgoedbedrijf (RVB) </td></tr><tr><td>7. </td> <td>ITIL </td> <td style="background-color:#ffd966">B </td> <td>Contractmanagement </td> <td>a):H8, f) </td></tr><tr><td>8. </td> <td>ITIL </td> <td style="background-color:#ffd966">B </td> <td>Servicelevelmanagement </td> <td>f) </td></tr><tr><td>9. </td> <td>NIST </td> <td style="background-color:#ffd966">B </td> <td>Certificering </td> <td>g) </td></tr><tr><td>10. </td> <td>8.1.1. </td> <td style="background-color:#ff9999">U/VZ </td> <td>Bedrijfsmiddelen inventaris </td> <td>i) </td></tr><tr><td>11. </td> <td>11.1.1. </td> <td style="background-color:#ff9999">U/GB </td> <td>Fysieke zonering </td> <td>a): H6, c), e), i) </td></tr><tr><td>12. </td> <td>11.1.2. </td> <td style="background-color:#ff9999">U/VZ </td> <td>Fysieke toegangsbeveiliging </td> <td>a): H6, b), c), i) </td></tr><tr><td>13. </td> <td>11.1.3. </td> <td style="background-color:#ff9999">U/VZ </td> <td>Beveiligingsfaciliteit </td> <td>NKBR 5.4 voor sleutelplan </td></tr><tr><td>14. </td> <td>11.1.4. </td> <td style="background-color:#ff9999">U </td> <td>Interne en Externe bedreigingen </td> <td>i), k) </td></tr><tr><td>15. </td> <td>11.1.5. </td> <td style="background-color:#ff9999">U/GB </td> <td>Richtlijnen gebieden en ruimten </td> <td>a):geheel document, j), i), o) </td></tr><tr><td>16. </td> <td>11.1.6. </td> <td style="background-color:#ff9999">U/GB </td> <td>Laad- en loslocatie </td> <td>a):H6 </td></tr><tr><td>17. </td> <td>11.2.1. </td> <td style="background-color:#ff9999">U/VZ </td> <td>Apparatuur positionering </td> <td>a):H7 voor beveiligingsvoorzieningen, i), o) </td></tr><tr><td>18. </td> <td>11.2.2. </td> <td style="background-color:#ff9999">U/VZ </td> <td>Nutsvoorzieningen </td> <td>i), Richtlijnen - RVB </td></tr><tr><td>19. </td> <td>11.2.3. </td> <td style="background-color:#ff9999">U/VZ </td> <td>Bekabeling </td> <td>i), o), Richtlijnen - RVB </td></tr><tr><td>20. </td> <td>11.2.4. </td> <td style="background-color:#ff9999">U/VZ </td> <td>Apparatuur onderhoud </td> <td>i), Richtlijnen - RVB </td></tr><tr><td>21. </td> <td>11.2.5. </td> <td style="background-color:#ff9999">U/VZ </td> <td>Bedrijfsmiddelen verwijdering </td> <td>i) </td></tr><tr><td>22. </td> <td>11.2.7. </td> <td style="background-color:#ff9999">U/VZ </td> <td>Apparatuur verwijdering </td> <td>i) </td></tr><tr><td>23. </td> <td>9.2.1. </td> <td style="background-color:#99ccff">C </td> <td>Registratieprocedure </td> <td>i) </td></tr><tr><td>24. </td> <td>9.2.4. </td> <td style="background-color:#99ccff">C </td> <td>Beo. Fysieke toegangsrechten </td> <td>i) </td></tr><tr><td>25. </td> <td>SIVA </td> <td style="background-color:#99ccff">C </td> <td>Controle richtlijn Huisvesting-IV </td> <td>? Richtlijnen - RVB </td></tr><tr><td>26. </td> <td>SIVA </td> <td style="background-color:#99ccff">C </td> <td>Onderhoudsplan </td> <td>? Richtlijnen - RVB </td></tr><tr><td>27. </td> <td>SIVA </td> <td style="background-color:#99ccff">C </td> <td>Huisvestingsbeheerorganisatie </td> <td>a):H4 </td></tr><tr><td>28. </td> <td>ITIL </td> <td style="background-color:#99ccff">C </td> <td>Continuïteitsmanagement </td> <td>i), l, m), o), ITIL documentatie </td></tr></table> Met deze voorbeelden kunnen overheden hun eigen omgeving toetsen en waar nodig (her)inrichten. ==Brondocumenten== Onderstaande lijst van brondocumenten verwijst vrijwel grotendeels naar publiek- toegankelijke documenten. Er is minimaal gebruik gemaakt van links, om ‘dode’ verwijzingen te voorkomen. Via Rijksweb of overheids interne websites of Google-search kunnen de documenten gevonden worden. <table class="wikitable"><caption align="bottom">Bronverwijzing</caption><tr ><td> Nr. </td> <td> Documentnaam </td> <td> Versie + datum </td> <td> Eigenaar </td> <td> Toelichting </td></tr><tr ><td> a) </td> <td> Normenkader Beveiliging Rijkskantoren (NKBR) </td> <td> 2.02-10-2015 </td> <td> ICBRBzK </td> <td> Normenkader voor beveiliging van rijkskantoren. Standaard voor inrichting van nieuwbouw en wijzigingenContent heeft vooralsnog de status van Departementaal Vertrouwelijk (Dep.V) </td></tr><tr ><td> b) </td> <td> Kader Rijkstoegangs-beleid </td> <td> 1.0 van 11/5/10 </td> <td> ICBR </td> <td> Beleidskader, gericht op veiligheid van de in Rijksgebouwen werkzame personen, informatie en eigendommen; als onderdeel van ‘integrale beveiliging’ </td></tr><tr ><td> c) </td> <td> Zoneringsmodel rijkskantoren </td> <td> 5-jul-11 </td> <td> BzK </td> <td> Modelmatig opdelen van gebouwen in zones, waarvoor verschillende beveiligingsregimes gelden. Bevat tevens huisvestingsbeleid: Te Beschermen Belangen (TBB) </td></tr><tr ><td> d) </td> <td> Richtlijnen Rijks Vastgoedbedrijf (RVB) </td> <td> volgt </td> <td> RVB </td> <td> Nader te bepalen set van eisen in samenspraak met RVB </td></tr><tr ><td> e) </td> <td> NIST PE Physical and Environ-mental Protection (PE) </td> <td> jun-10 </td> <td> NIST </td> <td> Ontwerp & toets-criteria voor facilitaire apparatuur voor Huis-vesting-IV en fysieke zonering </td></tr><tr ><td> f) </td> <td> NIST MA System Mainenance Policy and Procedures </td> <td> jun-10 </td> <td> NIST </td> <td> Ontwerp & toets-criteria voor beheersingsprocedures </td></tr><tr ><td> g) </td> <td> NIST CA Security Assessment and Authorization Policy and Procedures </td> <td> jun-10 </td> <td> NIST </td> <td> Ontwerp & toets-criteria voor Certificering van organisaties </td></tr><tr ><td> h) </td> <td> NIST AT Awaress and Training Policy and Procedures </td> <td> jun-10 </td> <td> NIST </td> <td> Ontwerp & toets-criteria voor bewustwording en opleiding van medewerkers </td></tr><tr ><td> i) </td> <td> NIST CM Configuration Management Policy and Procedures </td> <td> jun-10 </td> <td> NIST </td> <td> Ontwerp & toets-criteria voor configuratiebeheer, configuratiebeleid en - procedures </td></tr><tr ><td> j) </td> <td> Standard of Good Practice (SoGP) </td> <td> Periodiek </td> <td> ISF </td> <td> Beschrijft zes aspecten van security, ieder daarvan gerelateerd aan bedrijfsmiddelen </td></tr><tr ><td> k) </td> <td> KWAS </td> <td> Periodiek </td> <td> NCSC </td> <td> Beschrijft Kwetsbaarheden van IV, gerelateerd aan bedreigingen van buitenaf of van binnenuit </td></tr><tr ><td> l) </td> <td> NEN-ISO-22323 </td> <td> 2012 </td> <td> BzK </td> <td> Societal security - Business continuity management systems - Guidance (ISO 22313:2012,IDT) beschrijft Bedrijfscontinuïteitsmanagement normatief </td></tr><tr ><td> m) </td> <td> NORA patronen voor bedrijfs-continuïteit / BCM </td> <td> 2014 </td> <td> BzK </td> <td>https://www.noraonline.nl/wiki/Beveiliging/index In deze index van de NORA-wiki voor het thema beveiliging vindt u een reeks van patronen gericht op de Bedrijfscontinuïteit van IV. Daarbij staan ook huisvesting specifieke onderwerpen uitgewerkt </td></tr><tr ><td> n) </td> <td> BIR 1.0 </td> <td> 2011 </td> <td> BzK </td> <td> BIR TNK, eerste versie, met voor het Rijk aangescherpte ISO-implementatierichtlijnen, die in een aantal gevallen relevant zijn voor Huisvesting-IV en die in sommige gevallen een relevante aanvulling vormen op de huidige set van implementatierichtlijnen van de ISO 2013 </td></tr><tr ><td> o) </td> <td> Telecommunication Infrastructure Standard for Data Centers (TIA-942) </td> <td> Periodiek </td> <td> ieee802.org /ANSI </td> <td> Telecommunicatie-standaarden voor infrastructuur van datacenters. Vooral bedoeld voor Netwerken en Hosting, maar geeft ook richtlijnen voor bekabeling en de bescherming daarvanEr zijn diverse whitepapers over TIA-942 te downloaden via Internet </td></tr></table> Op NEN-ISO documenten rusten licentierechten.  +
BIO Thema Serverplatform - Beveiligingsobjecten van het serverplatform +==Beveiligingsobjecten serverplatform== Objecten worden geïdentificeerd aan de hand van onderzoeksvragen en risicogebieden. De objecten zijn afgeleid vanuit de invalshoek van algemene beveiligingseisen: Beschikbaarheid, Integriteit, Vertrouwelijkheid en Controleerbaarheid (BIVC)), die vervolgens zijn ingedeeld in de drie domeinen: Beleid, Uitvoering en Control. De vragen die hierbij een rol hebben gespeeld spelen zijn: * welke rand voorwaardelijke elementen spelen een rol bij de inrichting van het serverplatform vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid? * welke elementen spelen een rol bij de inrichting van het serverplatform vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid? * welke elementen spelen een rol bij de beheersing van het serverplatform vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid? De belangrijkste functieblokken van een server kunnen binnen de SIVA-lagenstructuur worden beschreven, die functieblokken bevatten elk beveiligingsmaatregelen, die we vanuit de normatiek duiden als beveiligingsobjecten. ===Vaststellen van beveiligingsobjecten voor serverplatform=== Onderstaande tabel geeft een overzicht van alle relevante beveiligingsobjecten voor het serverplatform, afkomstig uit BIO die gebaseerd is ISO 27002 standaard; de BIO volgt dezelfde hoofdstuk indeling en controlteksten. Uit de contextuele analyse blijkt dat er enkele onderwerpen bestaan die niet in de ISO/BIO voorkomen. Voor deze onderwerpen, waarvoor de BIO geen control heeft geformuleerd, worden controls uit andere baselines geadopteerd, zoals: Standard of Good Practice (SoGP), NIST en NCSC beveiliging web richtlijnen. <table class="wikitable"> <tr> <th > Nr. </th> <th > Relevante beveiligingsobjecten </th> <th > Referentie naar standaarden </th> <th > IFGS </th> </tr> <tr> <td > B.01 </td> <td > Beleid voor beveiligde inrichting en onderhoud </td> <td > BIO/14.2.1 </td> <td > I </td> </tr> <tr> <td > B.02 </td> <td > Principes voor inrichten van beveiligde servers </td> <td > BIO/14.2.5 </td> <td > I </td> </tr> <tr> <td > B.03 </td> <td > Serverplatform architectuur </td> <td > SoGP/SD2.2 (afgeleid uit) </td> <td > S </td> </tr> <tr> <td > U.01 </td> <td > Bedieningsprocedure </td> <td > BIO/12.1.1 </td> <td > I </td> </tr> <tr> <td > U.02 </td> <td > Standaarden voor configuratie van servers </td> <td > SoGP/SY1.2 </td> <td > I </td> </tr> <tr> <td > U.03 </td> <td > Malwareprotectie </td> <td > BIO/12.2.1 </td> <td > F </td> </tr> <tr> <td > U.04 </td> <td > Beheer van serverkwetsbaarheden </td> <td > BIO/12.6.1 </td> <td > F </td> </tr> <tr> <td > U.05 </td> <td > Patch-management </td> <td > BIO/12.6.1, NCSC/WA </td> <td > F </td> </tr> <tr> <td > U.06 </td> <td > Beheer op afstand </td> <td > BIO/6.2.2 (Afgeleid) </td> <td > F </td> </tr> <tr> <td > U.07 </td> <td > Onderhoud van serverapparatuur </td> <td > BIO/11.2.4 </td> <td > F </td> </tr> <tr> <td > U.08 </td> <td > Veilig verwijderen of hergebruiken van serverapparatuur </td> <td > BIO/11.2.7 </td> <td > F </td> </tr> <tr> <td > U.09 </td> <td > Hardenen van servers </td> <td > SoGP/SYS1.25 en SYS12.8 </td> <td > G </td> </tr> <tr> <td > U.10 </td> <td > Serverconfiguratie </td> <td > SoGP/SY1.2 </td> <td > G </td> </tr> <tr> <td > U.11 </td> <td > Virtueel serverplatform </td> <td > SoGP/SY1.3 </td> <td > G </td> </tr> <tr> <td > U.12 </td> <td > Beperking van software- installatie </td> <td > BIO/12.6.2 </td> <td > G </td> </tr> <tr> <td > U.13 </td> <td > Kloksynchronisatie </td> <td > BIO/12.4.4 </td> <td > G </td> </tr> <tr> <td > U.14 </td> <td > Ontwerpdocumentatie </td> <td > SoGP/12.4.4 </td> <td > S </td> </tr> <tr> <td > C.01 </td> <td > Evaluatie van richtlijnen voor servers en serverplatforms </td> <td > BIO/10.10 2 (versie 2007) </td> <td > I </td> </tr> <tr> <td > C.02 </td> <td > Beoordeling technische serveromgeving </td> <td > BIO/18.2.3 </td> <td > F </td> </tr> <tr> <td > C.03 </td> <td > Logbestanden beheerders </td> <td > BIO/12.4.3 </td> <td > G </td> </tr> <tr> <td > C.04 </td> <td > Registratie van gebeurtenissen </td> <td > BIO/12.4.1 </td> <td > G </td> </tr> <tr> <td > C.05 </td> <td > Monitoren van servers en serverplatforms </td> <td > NIST/AU-6 </td> <td > G </td> </tr> <tr> <td > C.06 </td> <td > Beheerorganisatie servers en serverplatforms </td> <td > CIP Domeingroep BIO </td> <td > S </td> </tr> <caption align="bottom">Serverplatform, Overzicht van de relevante beveiligingsobjecten voor het serverplatform</caption></table> ===Globale relaties tussen de geïdentificeerde beveiligingsobjecten=== Het thema Serverplatform omvat het geheel van beleid, richtlijnen, procedures, processen, mensen (actoren), middelen en registraties ten behoeve van het betrouwbaar functioneren van serverplatforms die het fundament vormen voor informatiesystemen. De essentiële objecten voor serverplatforms worden ingedeeld naar de domeinen: Beleid, Uitvoering en Control. Deze objecten worden in Bijlage 1 verder toegelicht. De objecten per domein worden in hoofdstukken 3, 4 en 5 verder uitgewerkt. Moderne, gevirtualiseerde systeemomgevingen zien er mogelijk qua systeemtopologie geheel anders uit, maar de basiselementen die het fundament vormen voor informatiesystemen zijn niet anders. [[Afbeelding:Thema Serverplatform - Gelaagdheid serverplatform met enkele beveiligingsobjecten (Bron- Nora).png|thumb|none|350px|Gelaagdheid serverplatform met enkele beveiligingsobjecten (Bron: Nora)|alt=”Gelaagdheid serverplatform met enkele beveiligingsobjecten (Bron: Nora)”]] ''Beleiddomein'' Geeft de randvoorwaarden, conditionele aspecten en contraints waar de inrichting van het serverplatform aan moeten voldoen. ''Uitvoeringsdomein'' De keuze van objecten uit ISO voor het thema serverplatform vloeit voort uit enkele uitgangspunten die gerelateerd zijn aan het serverplatform: * initiële installatie de initiële installatie wordt uitgevoerd op basis van richtlijnen en procedures, bijvoorbeeld: Bedieningsprocedure (ISO terminologie), * beveiligings- en beheerfuncties de beveiligingsfunctie is gerelateerd aan protectie mechanismen die de beveiliging van de server moeten bevorderen, zoals malwareprotectie en hardenen van features. De beheerfuncties is gerelateerd aan enkele processen, zoals: Onderhoud van servers en Beheer van kwetsbaarheden, * feature configuratie Servers hebben verschillende features. Deze features moeten adequaat zijn geconfigureerd om beveiligingsniveau te kunnen garanderen. * structuur en ontwerp De configuraties van servers en de koppelingen en relatie tussen verschillende servers moet in een ontwerp document zijn vastgelegd. ''Controldomein '' Er zijn beoordelingsrichtlijnen vastgesteld voor het evalueren van de vastgestelde randvoorwaarden en de uitvoeringscomponenten.  +
BIO Thema Serverplatform - Definiëring en omschrijving van beveiligingsobjecten +. <table class="wikitable"> <tr> <th class="tg-s268">Nr.</th> <th >Relevante beveiligingsobjecten</th> <th >Omschrijving</th> </tr> <tr> <td >B.01</td> <td >Beleid voor(beveiligd) onderhouden van serverplatforms</td> <td >Het resultaat van de besluitvorming ten aanzien van het onderhoud van serverplatforms die het verantwoordelijk management van een organisatie heeft vastgelegd.</td> </tr> <tr> <td >B.02</td> <td >Principes serverplatform beveiliging</td> <td >Principiële uitgangspunten voor het inrichten van serverplatforms, zoals: “Security by design” en “Defense in depth".</td> </tr> <tr> <td >B.03</td> <td >Serverplatform Architectuur</td> <td >Raamwerk en/of blauwdrukken waarmee wordt aangegeven op welke wijze serverplatforms zijn ingericht, samenhangen, beveiligd en beheerst.</td> </tr> <tr> <td >U.01</td> <td >Bedieningsprocedure</td> <td >Een reeks verbonden taken of activiteiten die noodzakelijk zijn voor het beheren van serverplatforms.</td> </tr> <tr> <td >U.02</td> <td >Standaarden voor configuratie servers</td> <td >Documenten waarin afspraken zijn vastgelegd ten aanzien van configuraties en parametrisering serverinstellingen.</td> </tr> <tr> <td >U.03</td> <td >Malwareprotectie</td> <td >Beschermingsmechanismen om servers te beschermen tegen schadelijke code en om schadelijke code te detecteren en te neutraliseren.</td> </tr> <tr> <td >U.04</td> <td >Beheer van server kwetsbaarheden</td> <td >Proactieve beveiliging van servers door het verwerven van inzicht in de kwetsbaarheden en zwakheden in de software die op de server zijn geïnstalleerd.</td> </tr> <tr> <td >U.05</td> <td >Patch-management</td> <td >Het proces dat zorgt voor het verwerven, testen en installeren van patches (wijzigingen ter opheffing van bekende beveiligingsproblemen in de code) op (verschillende softwarecomponenten van) een computersysteem.</td> </tr> <tr> <td >U.06</td> <td >Beheer op afstand</td> <td >Het beheer van server door beheerders vanuit een niet-vertrouwde omgeving.</td> </tr> <tr> <td >U.07</td> <td >Onderhoud apparatuur</td> <td >Het actualiseren van configuraties van een serverplatform binnen een tijdsinterval.</td> </tr> <tr> <td >U.08</td> <td >Veilig verwijderen of hergebruiken van apparatuur</td> <td >Het opschonen van apparatuur en het veilig stellen van data op de apparatuur.</td> </tr> <tr> <td >U.09</td> <td >Hardenen van servers</td> <td >Het proces van het uitschakelen of verwijderen van overbodige en/of niet gebruikte functies, services en accounts, waarmee de beveiliging wordt verbeterd.</td> </tr> <tr> <td >U.10</td> <td >Serverconfiguratie</td> <td >Het conform de vereisten instellen van de verschillende features van serverplatforms.</td> </tr> <tr> <td >U.11</td> <td >Virtueel serverplatform</td> <td >Het beschikbaar stellen van één of meer gescheiden ‘logische’ omgevingen op één fysieke server.</td> </tr> <tr> <td >U.12</td> <td >Beperking software installatie</td> <td >Het stellen van regels voor het installeren op servers of serverplatforms.</td> </tr> <tr> <td >U.13</td> <td >Kloksynchronisatie</td> <td >Het gelijkrichten van klokken op verschillende servers.</td> </tr> <tr> <td >U.14</td> <td >Ontwerpdocumentatie</td> <td >Een document waarin de relatie tussen servers en de instellingen van configuraties zijn vastgelegd.</td> </tr> <tr> <td >C.01</td> <td >Evaluatierichtlijnen serverplatforms</td> <td >Richtlijnen die evaluatie activiteiten van servers ondersteunen.</td> </tr> <tr> <td >C.02</td> <td >Beoordeling technische serveromgeving</td> <td >Het proces van beoordelen op naleving van de beleidsregels en normen van de organisatie voor serverplatforms.</td> </tr> <tr> <td >C.03</td> <td >Logbestandenbeheerders</td> <td >Het vastleggen van activiteiten van beheerders.</td> </tr> <tr> <td >C.04</td> <td >Registratiegebeurtenissen</td> <td >Het proces van registreren van gebeurtenissen op een server vanuit beveiligingsoptiek.</td> </tr> <tr> <td >C.05</td> <td >Monitorenservers en besturingssystemen</td> <td >Het proces van bewaken, reviewen, analyseren van vastgelegde gebeurtenissen en het rapporteren hierover.</td> </tr> <tr> <td >C.06</td> <td >Beheerorganisatieservers en besturingssystemen</td> <td >De adequaat gepositioneerde organisatorische eenheid die verantwoordelijk is voor de beheersing van de serverplatforms.</td> </tr> <caption align="bottom">Serverplatform, Definiëring/omschrijving van beveiligingsobjecten</caption></table>  +
BIO Thema Serverplatform - Inleiding +==Inleiding== Dit document bevat een referentiekader voor het thema Serverplatform. Het is geënt op controls uit de BIO (Baseline Informatiebeveiliging Overheid) die gebaseerd is op ISO-27002. Er wordt ook gebruik gemaakt van andere Best Practices als: SoGP en NIST. Dit kader dient evenals andere BIO-thema’s, als een toetsinstrument voor interne en externe leveranciers, om inzicht te geven over het beveiligings- en beheersingsniveau van haar ontwikkel- en onderhoudsorganisatie. Dit thema geeft tevens inzicht in de kwaliteitszorg die de leverancier dient toe te passen bij het opleveren van nieuwe infrastructuur. ===Opzet van het thema=== Het thema Serverplatform wordt achtereenvolgens uitgewerkt langs twee onderdelen: Structuur en Objecten. De structuur van dit themadocument bestaat uit een indeling op basis van Beleid, Uitvoering en Control (BUC). De objecten vormen de inhoudelijke onderwerpen die in de vorm van control en onderliggende criteria zullen worden behandeld. De objecten en de bijbehorende maatregelen worden gestructureerd door middel van een lagenstructuur. Dit thema volgt de standaard opzet voor BIO-thema’s: # scope en begrenzing (§1.2); # context en globale structuur van het thema (§1.3); # beveiligingsobjecten en uitwerking van deze objecten op de BUC lagen (§2.1); # presentatie van de objecten in de BUC/IFGS matrix, inclusief de volledigheidsanalyse van objecten (§2.1); # globale relaties van de geïdentificeerd beveiligingsobjecten (§2.2). ===Scope en begrenzing=== In dit thema is de scope van het begrip serverplatform beperkt tot de basis functionaliteit en algemene onderwerpen die gerelateerd zijn aan serverplatforms. Enkele componenten van dit thema zijn: serverhardware, virtualisatietechnologie en besturingssysteem (OS). Organisaties zullen op basis van deze informatie hun eigen servers in hun omgeving moeten beoordelen en nagaan welke risico’s aanvullend gemitigeerd moeten worden. Het beschrijft niet de kenmerken van specifieke type servers, zoals: bestandsserver, applicatieserver, webserver, mailserver of databaseserver. De objecten ten aanzien van serverplatform komen soms direct of indirect uit ISO 27002. De vertaling van objecten uit ISO 27002/BIO wordt geïllustreerd in tabel 'Voorbeeld vertaling BIO objecten naar Thema ‘Serverplatform’ objecten'. <table class="wikitable"><tr style="background-color:#d9d9d9"> <tr> <th class="tg-0pky">  ISO/BIO object  </th> <th class="tg-0lax">  Vertaling naar Thema:  Serverplatform  </th> </tr> <tr> <td class="tg-0lax">  Beleid voor beveiligd ontwikkelen  (14.2.1)  </td> <td class="tg-0lax">  Beleid voor (beveiligd) onderhouden  van serverplatforms  </td> </tr> <tr> <td class="tg-0lax">  Principes voor engineering van  beveiligde systemen  </td> <td class="tg-0lax">  Principes serverplatform beveiliging.  </td> </tr> <caption align="bottom">Serverplatform, Voorbeeld vertaling BIO-objecten naar Serverplatform-objecten</caption></table> ===Context van serverplatform=== Servers zijn computers, die via werkstations (clients), één of meerdere diensten en aan eindgebruikers of aan computersystemen beschikbaar stellen. Een server kan ook gerelateerd zijn aan zijn software die diensten mogelijk maakt, verzoeken accepteert en deze verwerkt. Voorbeelden van servers zijn: file-servers, database-servers, mail-servers, web-servers en FTP-servers Aan een server hangt één of meerdere clients. Figuur 1 geeft een globale context van enkele type servers en hoe ze in relatie staan met beleids- en beheersingsaspecten. [[Afbeelding:Thema Serverplatform - Context thema Serverplatform.png|thumb|350px|Context thema Serverplatform|alt=”Context thema Serverplatform”]] Een externe gebruiker logt bijvoorbeeld aan op een webserver vanuit internet. Dit type server geeft de relevante gebruikersgegevens door aan een portaltoegang-server, die op zijn beurt applicatieve diensten vanuit backofficeservers beschikbaar stelt. De onderste gebruiker in de figuur is een medewerker van een vertrouwde partij en zoekt via een semivertrouwd kanaal informatie op een webserver van de partnerorganisatie. De interne gebruiker logt aan op z’n werkstation via het lokale netwerk. In veel gevallen is er tevens sprake van ‘middleware’, oftewel applicatiecode die bepaalde functies vervult tussen de gebruikersapplicatie en het operating systeem.  +
BIO Thema Serverplatform - Verbindingsdocument +Tekst wordt later toegevoegd  +
BIO Thema Toegangsbeveiliging +Om bedrijfsprocessen en medewerkers te ondersteunen maken organisaties gebruik van informatiesystemen, die op hun beurt cruciale data van de organisatie zelf en haar klanten gebruiken. Het is van belang dat toegang tot deze informatiesystemen wordt beveiligd en beheerst, anders loopt de organisatie het risico op diefstal en misbruik. Toegangsbeveiliging omvat logische- en fysieke toegangsbeveiliging. De uitwerking van logische toegangsbeveiliging is in dit thema gericht op identificatie, authenticatie en autorisatie van (vaste) medewerkers voor systemen die op een bepaalde locatie staan. De uitwerking van fysieke beveiliging is in dit thema gericht op de fysieke toegang tot terreinen, gebouwen en rekencentra. ''NB: de behandeling van de fysieke toegangsbeveiliging behoeft (d.d. februari 2020) nog nadere aanvulling/uitwerking''. Specifieke, apparaatgebonden mechanismen voor toegangsbeveiliging, zoals toegang tot besturingssystemen, -netwerken, -mobiele computers, en telewerken worden in andere thema’s behandeld.  +
BIO Thema Toegangsbeveiliging - Aandachtspunten ten aanzien objecten +<table class="wikitable"><caption align="bottom">Tabel 3: Aandachtspunten ten aanzien van objecten</caption> <tr><th> Objecten </th> <th> Baseline </th> <th> Opmerking/Thema </th></tr><tr><td>Gedeelde Autorisatie </td> <td>NIST </td> <td>Opm: Niet geadresseerd in TB </td></tr><tr><td>Sessie </td> <td>NIST </td> <td>Opm: Niet geadresseerd in TB </td></tr><tr><td>Labelen </td> <td>NIST, ISO </td> <td>Opm: Niet geadresseerd in TB </td></tr><tr><td>Speciale systeemhulpmiddelen </td> <td>ISO </td> <td>Opm: Niet geadresseerd in TB </td></tr><tr><td>Toegangsbeveiliging op (programma-) broncode </td> <td>ISO </td> <td>Opm: Niet geadresseerd in TB </td></tr><tr><td>Draadloze Toegangsverbinding </td> <td>NIST, ISO </td> <td>Thema: Werkplek </td></tr><tr><td>Remote Access </td> <td>NIST, ISO </td> <td>Thema: Werkplek </td></tr><tr><td>Externe connectie </td> <td>NIST, ISO </td> <td>Thema: Werkplek </td></tr><tr><td>Toegang Mobiele Apparatuur </td> <td>NIST, ISO </td> <td>Thema: Werkplek </td></tr><tr style="background-color:#bfbfbf"><td> Overige </td> <td> </td> <td> </td></tr><tr><td>Verantwoordelijkheden gebruikers ISO 9.3. </td> <td colspan="2"> Mist in bovenstaande beschrijving. Het beheer (9.2.4.) is wel beschreven, maar het gebruik niet! </td></tr><tr><td>Inlogprocedures </td> <td colspan="2"> U3. Missen daar niet de rest van de ISO 9.4.2.-indicatoren? </td></tr><tr><td>Verantwoordelijkheden gebruikers ISO 9.3 </td> <td colspan="2"> Mist in bovenstaande beschrijving. Het beheer (9.2.4.) is wel beschreven, maar het gebruik niet! </td></tr><tr><td>Wachtwoordenbeheer U.05 </td> <td colspan="2"> Missen daar niet de rest van de ISO 9.4.3.-indicatoren? </td></tr><tr><td>Verwijzingen naar practices opnemen </td> <td colspan="2"> </td></tr></table>  +
BIO Thema Toegangsbeveiliging - Doelstelling en risico per object +==Beleid== Hieronder volgen voor het Beleidsdomein per object de doelstelling en het risico <table class="wikitable">; <tr> <th>ID</th> <th>Generieke objecten</th> <th>Omschrijvingvan de gekozen elementen</th> </tr> <tr> <td>B.01 </td> <td>Toegangbeveiligingsbeleid</td> <td>Het resultaat van de besluitvorming, waarmee het voor de toegangsvoorziening verantwoordelijke (top)management van een organisatie heeft vastgelegd, op welke wijze, in welk tijdsbestek en met welke middelen haar doelstellingbereikt moeten worden en hoe met onzekere factoren moet worden omgegaan.</td> </tr> <tr> <td>B.02 </td> <td>Eigenaarschap bedrijfsmiddelen </td> <td>Actoren aan wie bedrijfsmiddelen zijn toegewezen en die verantwoordelijk zijn gesteld voor classificatie, bescherming, positionering en betrouwbare, beveiligde inrichting hiervan. Coördinatie en beslissingen over specifieke acties (wie mag wat zien, raadplegen, muteren) vinden plaats onder de verantwoordelijkheid van de eigenaar en in samenwerking met andere functionarissen (RACI).</td> </tr> <tr> <td>B.03</td> <td>Beveiligingsfunctie</td> <td>Een specialistische functie om de beveiligingsdoelstellingen te bereiken enwaaraan een autoriteit en verantwoordelijkheden zijn gekoppeld voor het - in relatie tot de beveiliging - coördineren en (laten) verrichten vanwerkzaamheden.</td> </tr> <tr> <td>B.04 </td> <td>Cryptografie</td> <td>Een coderingstechniek om informatie te beschermen vanuit het oogpunt van vertrouwelijkheid, authenticiteit, onweerlegbaarheid en authenticatie.</td> </tr> <tr> <td>B.05 </td> <td>Toegangbeveiligingsorganisatie</td> <td>Een groepering van mensen die in onderlinge samenwerking activiteiten ontplooien voor het beveiligen van toegangsvoorzieningen om op doelmatige wijze overeengekomen toegangsbeveiliging doelstellingen te bereiken. Als collectief dragen zij bij aan de realisatie van de geformuleerde beveiligingsdoelstellingen.</td> </tr> <tr> <td>B.06 </td> <td>Toegangbeveiligingsarchitectuur</td> <td>Raamwerken of blauwdrukken waarmee wordt aangegeven op welke wijze de toegangsvoorzieningen zijn ingericht, beveiligd en beheerst. Het geeft onder andere aan hoegebruikers, vanuit welke locaties, toegang krijgen tot applicaties entechnische componenten.</td> </tr> <caption align="bottom">Doelstelling en risico per object in het Beleiddomein</caption></table> ==Uitvoering== Hieronder volgen voor het Uitvoeringsdomein per object de doelstelling en het risico <table class="wikitable">; <tr> <th>Nr</th> <th>Generieke objecten</th> <th>Omschrijving van de gekozen elementen</th> </tr> <tr> <td>U.01 </td> <td>Registratieprocedure</td> <td>Een reeks van elkaar verbonden taken of activiteiten die een afgerond geheel vormen met betrekking tot het registreren van gebruikers.</td> </tr> <tr> <td>U.02 </td> <td>Toegangverleningsprocedure</td> <td>Een reeks van aan elkaar verbonden taken of activiteiten die een afgerond geheel vormen met betrekking tot het verlenen van toegang tot bedrijfsmiddelen.</td> </tr> <tr> <td>U.03 </td> <td>Inlogprocedure</td> <td>Een reeks van aan elkaar verbonden taken of activiteiten die een afgerond geheel vormen met betrekking tot het leggen van een verbinding - met een gebruikersnaam en een wachtwoord - tot een systeem, een netwerk of een afgeschermd deel van een website.</td> </tr> <tr> <td>U.04 </td> <td>Autorisatieproces</td> <td>Een reeks van aan elkaar verbonden taken of activiteiten die een afgerond geheelvormen met betrekking tot het toekennen van toegangsrechten (autorisaties).</td> </tr> <tr> <td>U.05 </td> <td>Wachtwoordbeheer</td> <td>Het onderhouden van c.q. zorgen voor wachtwoorden. Wachtwoordbeheer is gerelateerd aan twee aspecten: proces en geheim. Het aspect proces (beheer) behelst het uitvoeren van met elkaar samenhangende activiteiten ten aanzien van het beheer van wachtwoorden. Het aspect geheim behelst een middel waarmee een gebruiker zich toegang kan verschaffen tot een locatie, systemen en informatie.</td> </tr> <tr> <td>U.06 </td> <td>Speciale toegangsrechtenbeheer</td> <td>Het onderhouden van c.q. zorgen voor speciale toegangsrechten. Speciale toegangsrechten beheer is gerelateerd aan twee aspecten: proces enspecifieke recht. Het aspect proces (beheer) behelst het uitvoeren van activiteiten op basis van vooraf vastgestelde stappen die logisch met elkaar samenhangen. Het aspect recht (speciale bevoegdheden) behelst het recht tot het uitvoerenvan specifieke handelingen.</td> </tr> <tr> <td>U.07 </td> <td>Functiescheiding</td> <td>Functiescheiding is een middel om taken en activiteiten binnen bepaalde grenzen te laten uitvoeren, zodat functionarissen, op basis van rechten/bevoegdheden, niet de gehele procescyclus kunnen beïnvloeden.</td> </tr> <tr> <td>U.08 </td> <td>Geheime authenticatie-informatie</td> <td>Identificatieis een middel waarmee een entiteit, aan de hand van een uniek kenmerk kan aangeven wie hij/zij is (zeggen wie je bent). Authenticatie is de controle of de entiteit die zich aanmeldt daadwerkelijkde entiteit is die deze beweert te zijn (het bewijzen wie je ben); dit kan door middel van bijvoorbeeld een wachtwoord. NB: Bewust is hier gekozen voor het begrip entiteit, omdat dit zowel kan gaan over personen als over apparatuur of softwaresystemen.</td> </tr> <tr> <td>U.09 </td> <td>Autorisatie</td> <td>Het verlenen van toestemming aan een geauthenticeerde gebruiker om toegang te krijgen tot een bepaalde dienst om een bepaalde actie uit te voeren.</td> </tr> <tr> <td>U.10 </td> <td>Autorisatievoorzieningen</td> <td>De technische middelen waarmee ontwerpen passend in architectuur kunnen worden vormgegeven en waarmee acties, zoals geautomatiseerde tools en/of ondersteunende systemen, effectief kunnen worden ingericht.</td> </tr> <tr> <td>U.11 </td> <td>Fysieke toegangsbeveiliging</td> <td>Fysiek gecontroleerde toegang van personen met behulp van zonering maatregelen.</td> </tr> <caption align="bottom">Doelstelling en risico per object in het Uitvoeringsdomein</caption></table> ==Control== Hieronder volgen voor het Controldomein per object de doelstelling en het risico <table class="wikitable">; <tr> <th>Nr</th> <th>Generieke objecten</th> <th>Omschrijving van de gekozen elementen</th> </tr> <tr> <td>C.01 </td> <td>Beoordelingsrichtlijnen en procedures</td> <td>Richtlijnen geven voorschriften en/of aanwijzingen voor het beoordelen van beheeractiviteiten. Procedures geven de handelingen aan, die volgens omschreven stappen moeten worden uitgevoerd.</td> </tr> <tr> <td>C.02 </td> <td>Beoordeling toegangsrechten</td> <td>Het onderhouden van c.q. zorgen voor de toegangsrechten. Beoordeling toegangsrechten is gerelateerd aan twee aspecten: beoordelingsproces en toegangsrechten. Het aspect beoordelingsproces behelst het uitvoeren van met elkaar samenhangende activiteiten ten aanzien van het evalueren van toegangsrechten op validiteit of deze nog voldoen aan de actuele situatie. Het aspect toegangsrechten impliceert een recht om toegang te krijgen, zoals tot een locatie of systeem.</td> </tr> <tr> <td>C.03 </td> <td>Gebeurtenissen registreren (logging en monitoring)</td> <td>Het onderhouden van c.q. zorgen voor de registratie van gebeurtenissen. Gebeurtenissen registreren is gerelateerd aan twee aspecten: registratie(loggen) en bewaken (monitoren). Het aspect registratie heeft betrekking op handelingen van gebruikers en systemen die geregistreerd worden in een registratiesysteem voor analyse en controle doeleinden. Het aspect bewaken van het logische toegangsbeveiliging systeem heeft betrekking op ongeautoriseerde acties en het analyseren van de geregistreerde acties op onvolkomenheden.</td> </tr> <tr> <td>C.04 </td> <td>Beheersingsorganisatie toegangbeveiliging</td> <td>De organisatie die verantwoordelijk is voor het ondersteunen van het beheer en de doorontwikkeling van het afsprakenstelsel. De beheerorganisatie controleert of en bewaakt dat dienstverleners en deelnemers het afsprakenstelsel naleven.</td> </tr> <caption align="bottom">Doelstelling en risico per object in het Controldomein</caption></table>  +
BIO Thema Toegangsbeveiliging - Een scenario voor Toegangsbeveiliging +Voor de inrichting en evaluatie van voorzieningen voor toegangsbeveiliging, dient de fasering van de afbeelding 'De relaties tussen de drie fases' te worden gebruikt. Dit geldt zowel interne als externe medewerkers. * Indiensttreding (Instroom): in deze fase gelden algemene en specifieke richtlijnen voor de taken en verantwoordelijkheden van de werkgever en de werknemer. De werkgever zal in de fase, na een zorgvuldige selectie-procedure, de noodzakelijke zaken voor de werknemer moeten regelen. * Tijdens dienstverband (Doorstroom): in deze fase worden werknemers, afhankelijk van hun functie, via trainingen en opleidingen bewust gemaakt van het omgaan met bedrijfsmiddelen (o.a. bedrijfsgegevens) en hoe zij moeten omgaan met aspecten aangaande informatiebeveiliging. * Uitdiensttreding (Uitstroom): in deze fase treft de werkgever de noodzakelijke maatregelen voor het beëindigen van het dienstverband. De werknemer zal de aan haar/hem verstrekte bedrijfsmiddelen volgens afgesproken procedure moeten inleveren. [[Afbeelding:Thema Toegangbeveiliging - De relaties tussen de drie fases.png|thumb|550px|none|alt=”De relaties tussen de drie fases”|De relaties tussen de drie fases]] ==Indiensttreding nieuwe medewerkers== Met het verstrekken van de aanstellingsbeschikking komt een medewerker, aangenomen door een manager, in dienst. Bij indiensttreding ontvangt de medewerker een toegangspas (zoals een toegangspas) waarmee hij/zij toegang krijgt tot het gebouw en de bij de functie horende ruimtes (fysieke toegangsbeveiliging). Naast de fysieke ruimtes krijgt de medewerker ook toegang tot logische ruimtes; ofwel: de persoonlijk en gemeenschappelijke gegevensverzamelingen en tot de algemene kantoorautomatiseringomgeving, zoals de KA- of de Front-Office omgeving, en specifieke applicaties. Voor de werkzaamheden binnen de specifieke applicaties kan hij/zij weer algemene en specifieke rechten krijgen. Achter de schermen worden heel wat stappen gezet om deze nieuwe medewerker daadwerkelijk in te voeren als een actieve functionaris; hierbij zijn verschillende afdelingen betrokken zoals: * de Personeelsafdeling; de personeelsafdeling (Human Resource Management) zorgt daarbij voor invoering van de nieuwe medewerker in het personeelsbestand; * de Facilitaire Dienst of Facilitair Bedrijf; de Facilitaire dienst zorgt voor een fysieke werkplek (bureau, stoel, etc.) en maakt een toegangspas (identificatiemiddel) aan; * de Gegevens/proceseigenaar; de gegevens/proceseigenaar zorgt voor mandaatregister waaruit blijkt welke personen bevoegd zijn voor uitvoering van welke taken (autorisaties); * de ICT-afdeling; de ICT-afdeling zorgt voor ICT-voorzieningen misschien en de geautoriseerde toegang tot benodigde applicaties evenals het authenticatiemiddel (zoals een toegangspas). ==De processtappen== [[Afbeelding:Thema Toegangbeveiliging - Processtappen en acties bij de indiensttreding (instroom) van een medewerker.png|thumb|750px|none|alt=”Processtappen en acties bij de indiensttreding (instroom) van een medewerker”]] Deze stappen staan niet los van elkaar; zij dienen namelijk één gemeenschappelijk doel: Het bieden van geautoriseerde toegang en daarvoor zijn meerdere gegevens van de medewerker en meerdere acties vanuit de organisatie voor nodig teneinde de benodigde zaken te regelen om de medewerker in de positie te stellen voor het uitvoeren van zijn/haar taken. Omgekeerd zal de medewerker kennis moeten nemen van de missie/visie van de organisatie en van haar informatiebeveiligingsbeleid. Afbeelding 'Processtappen en acties bij de indiensttreding (instroom) van een medewerker' geeft een beeld van de processtappen bij de indiensttreding (instroom) van een medewerker. Nadat de processtappen en acties bij de indiensttreding van de medewerker zijn doorlopen, is de medewerker geïdentificeerd. De medewerker (gebruiker) bezit dan de nodige middelen, een fysiek toegangsbewijs voor toegang tot gebouwen en ruimtes van de organisatie in de vorm van een toegangspas, en een logisch toegangsbewijs in de vorm van een account voor toegang tot IV-faciliteiten. Na het met behulp van de inloggegevens (identificatie/accountnaam en authenticatie) inloggen, krijgt de gebruiker toegang tot applicaties. [[Afbeelding:Thema Toegangbeveiliging - Het autorisatieproces.png|thumb|750px|none|alt=”Het autorisatieproces”|Het autorisatieproces]] Aan het account, het identificatiebewijs van de gebruiker, zijn toegangsrechten (autorisaties) gekoppeld. Autorisatie (profiel) komt tot stand op basis van de rol van de gebruiker en geeft hem/haar het recht bepaalde taken in de applicatie uit te voeren. Bij doorstroom is er sprake van wijzigingen van de toegangsgegevens (identificatie, authenticatie en autorisatie). Bij uitstroom is er sprake van blokkering van deze gegevens. De persoonlijke gegevens van de gebruiker zijn opgeslagen in het personeelssysteem, de rol en het profiel zijn opgeslagen in het autorisatiesysteem. De profielen en de taken zijn op hun beurt weer opgeslagen in het informatiesysteem, zie afbeelding 'Processtappen en acties bij de indiensttreding (instroom) van een medewerker'. ==Tijdens het dienstverband== Tijdens het dienstverband heeft de medewerker (gebruiker) toegang tot de informatiesystemen op basis van de bij de indiensttreding verkregen middelen en toegangsrechten. Daarvoor moeten fysieke toegangssystemen, authenticatiesystemen en autorisatiesystemen worden ingericht. Tijdens het dienstverband kunnen werkzaamheden van medewerkers worden gewijzigd en of op een andere functie/project worden geplaatst. Er kan ook sprake zijn van een (tijdelijke) overplaatsing. Dan zullen de nodige wijzigingen in functieprofielen (autorisatie) en taakrollen in het registratiesysteem worden doorgevoerd. De oorspronkelijke functie dient dan te worden gedeactiveerd, de toegangsrechten worden aangepast, geblokkeerd of verwijderd. ==Uitdiensttreding== Uiteindelijk kan een medewerker door bepaalde redenen uit dienst treden. Dit houdt in dat bepaalde gegevens van de medewerkers dienen te worden geregistreerd en autorisaties voor het gebruik van applicaties moeten worden verwijderd.  +
BIO Thema Toegangsbeveiliging - Inleiding +Dit document representeert een referentiekader voor het thema toegangsbeveiliging en is geënt op controls uit best practices, zoals: SoGP, NIST en Cobit en de BIO (Baseline Informatiebeveiliging Overheid). De uitwerking is gebaseerd op de BIO en ISO 270xx (2013). We hanteren in het vervolg een meer algemene term ‘toegangsbeveiliging’. ==Opzet van het thema== Het thema Toegangsbeveiliging wordt achtereenvolgens uitgewerkt langs twee onderdelen: Structuur en Objecten. De structuur van dit themadocument bestaat uit een indeling op basis van Beleid, Uitvoering en Control (BUC). De objecten vormen de inhoudelijke onderwerpen die in de vorm van controls en onderliggende criteria zullen worden behandeld. De objecten en de bijbehorende maatregelen worden gestructureerd door middel van de (BUC) lagenstructuur. Dit thema volgt de standaard opzet voor BIO-thema’s: # Scope en begrenzing; # Context en globale structuur van het thema; # Globale relaties tussen de geïdentificeerd beveiligingsobjecten; # Presentatie van de vastgestelde toegangbeveiligingsobjecten in BUC-domeinen; # Objecten in BUC-domeinen gerelateerd aan basiselementen. ==Scope en begrenzing van toegangsbeveiliging== De uitwerking van logische toegangsbeveiliging is in dit thema gericht op identificatie, authenticatie en autorisatie van (vaste) medewerkers voor systemen die op een bepaalde locatie staan. De uitwerking van fysieke beveiliging is in dit thema gericht op de fysieke toegang tot terreinen, gebouwen en rekencentra. Specifieke, apparaat gebonden mechanismen voor toegangsbeveiliging, zoals toegang tot besturingssystemen, -netwerken, -mobiele computers, en telewerken zullen in andere thema’s worden behandeld. ==Context en globale structuur toegangsbeveiliging== Organisaties maken gebruik van informatiesystemen om hun bedrijfsprocessen te ondersteunen en medewerkers zijn gehuisvest in gebouwen en ruimten. De informatiesystemen maken gebruik van cruciale data van de organisatie zelf en van haar klanten. Het is van belang dat deze informatiesystemen wordt beveiligd en beheerst, anders loopt de organisatie het risico dat haar data gestolen of misbruikt wordt, wat kan leiden tot boetes, imagoschade en klantenverlies. In dit kader speelt toegangsbeveiliging een cruciale rol. Toegangsbeveiliging omvat logische en fysieke toegangsbeveiliging, zoals in afbeelding 'Globale opzet logische en fysieke beveiliging' wordt weergegeven. Logische toegangsbeveiliging omvat het geheel van richtlijnen, procedures en beheersingsprocessen en faciliteiten, die noodzakelijk zijn voor het verschaffen van toegang tot informatiesystemen, besturingssystemen, netwerken, mobiele devices en telewerken van een organisatie. Fysieke toegangsbeveiliging omvat het geheel van richtlijnen, procedures en beheersingsprocessen en systemen, die noodzakelijk zijn voor het verschaffen van fysieke toegang tot gebouwen en ruimten en terreinen. [[Afbeelding:Thema Toegangbeveiliging - Globale opzet logische en fysieke beveiliging.png|thumb|500px|none|alt=”Globale opzet logische en fysieke beveiliging”|Globale opzet logische en fysieke beveiliging]]  +
BIO Thema Toegangsbeveiliging - Objecten gerelateerd aan SIVA basiselementen + # Beleidsdomein[[Afbeelding:Thema Toegangbeveiliging - Overzicht van objecten gerelateerd aan SIVA-basiselementen in het Beleid domein.png|thumb|500px|none|alt=”Overzicht van objecten gerelateerd aan SIVA basiselementen in het Beleid domein”]] # Uitvoeringsdomein[[Afbeelding:Thema Toegangbeveiliging - Objecten gerelateerd aan SIVA basiselementen Uitvoering domein.png|thumb|500px|none|alt=”Overzicht van objecten gerelateerd aan SIVA basiselementen in het control domein”]] # Control-domein[[Afbeelding:Thema Toegangbeveiliging - Overzicht van objecten gerelateerd aan SIVA-basiselementen in het Control domein.png|thumb|500px|none|alt=”Overzicht van objecten gerelateerd aan SIVA basiselementen in het Uitvoering domein”]]   +
BIO Thema Toegangsbeveiliging - Objecten voor toegangbeveiliging +==Beveiligingsobjecten Toegangsbeveiliging== Objecten worden geïdentificeerd aan de hand van onderzoeksvragen en risicogebieden. De objecten zijn afgeleid vanuit de invalshoek van algemene beveiligingseisen: Beschikbaarheid, Integriteit, Vertrouwelijkheid en Controleerbaarheid (BIVC) die vervolgens zijn ingedeeld in drie domeinen: Beleid, Uitvoering en Control. De vragen die hierbij een rol hebben gespeeld zijn: * welke rand voorwaardelijke elementen spelen een rol bij de inrichting van toegangsbeveiliging vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid? * welke elementen spelen een rol bij de inrichting van toegangsbeveiliging vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid? * welke elementen spelen een rol bij de beheersing van toegangsbeveiliging vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid? Afbeelding 'Schematische weergave van de componenten van het logische toegangbeveiligingssysteem in een 3-lagenstructuur' geeft de positionering weer van toegangsbeveiliging elementen binnen het subdomein Toegangsbeveiliging van het Uitvoeringsdomein. Deze elementen geven een verband van elementen die binnen de organisatie onderdelen een rol spelen. De elementen kunnen direct of indirect voorkomen als beveiligingsobjecten. ==Globale relaties tussen toegangsbeveiliging objecten== De BIO norm is ingedeeld op basis van ISO-27002 hoofdstukindeling. Bij het ontwikkelen van een thema, zoals de toegangsbeveiliging, is het noodzakelijk om na te gaan uit welke onderdelen (objecten) de omgeving van toegangsbeveiliging precies bestaat. Zonder een beeld over de samenhang tussen de objecten is het lastig om de normen in de juiste samenhang uit BIO te selecteren. <br><br> Afbeelding 'Schematische weergave van de componenten van het logische toegangbeveiligingssysteem in een 3-lagenstructuur' geeft een voorbeeld van de betrokken onderdelen uit de business en ICT omgeving waar een organisatie over het algemeen te maken hebben. Deze onderdelen kunnen gerelateerd zijn aan de beveiligingsobjecten in een toegangsbeveiligingsomgeving. <br><br> Toegangsbeveiliging omvat het geheel van actoren, beleid, richtlijnen, procedures, processen, registratiesystemen ten behoeve van een vertrouwd en betrouwbaar gebruik van informatiesystemen. De essentiële onderdelen van toegangsbeveiliging wordt in onderstaande figuur weergegeven. De onderdelen zijn hieronder toegelicht op basis van de domeinen (Beleid, Uitvoering en Control) waarin deze voorkomen. ===Beleidsdomein=== Dit domein bevat algemene conditionele elementen met betrekking tot inrichting van de toegangsbeveiliging, zoals toegangsbeleid. Het bevat ook andere conditionele en randvoorwaardelijke aspecten die van toepassing zijn op het Uitvoeringsdomein en het Control domein. Het bevat over het algemeen o.a. de objecten: informatiebeveiliging beleid, encryptie, strategie en vernieuwing, organisatiestructuur en architectuur. ===Uitvoeringsdomein=== Dit domein omvat verschillende organisatie onderdelen die betrokken zijn bij de inrichting van de toegangsbeveiliging. Toegangsbeveiliging is een continu proces die de samenwerking van deze bedrijfsonderdelen nodig heeft. Deze bedrijfsonderdelen zijn gezamenlijk verantwoordelijk voor de juiste inrichting van de beveiligingsobjecten ten aanzien van toegangsbeveiliging. De betrokken organisatie onderdelen zijn, onder andere: <br><br> '''Personeelsafdeling''' <br>De personeelsafdeling zorgt ervoor dat medewerkers in het personeelsregistratiesysteem worden opgenomen en zorgt, in samenwerking met business, dat vanuit een organisatorische en procedurele invalshoek elementen worden vastgelegd. De van belang zijnde elementen zijn: Gegevens/Proceseigenaar, Gebruiker, Rol, Profiel en Taak. De relatie tussen deze elementen kan gelezen worden als: * een gebruiker heeft een rol; * op basis van deze rol wordt zijn/haar profiel bepaald; * op basis van zijn/haar profiel worden de rechten bepaald op basis waarvan hij/zij zijn/haar taak kan uitvoeren. <br> '''ICT afdeling''' <br>De ICT-afdeling zorgt voor ICT-voorzieningen en de geautoriseerde toegang tot benodigde applicaties en het authenticatiemiddel. Dit wordt vastgelegd in termen van identificatie, authenticatie en autorisatie. Er zijn verschillende typen gebruikers: eindgebruikers, ‘remote gebruikers’ en beheerders. Deze gebruikers moeten aan specifieke toegangseisen voldoen. De gebruikersgegevens, de rollen en profielen worden vastgelegd in registratiesystemen. In dit geval zijn er drie registratie systemen vermeld. In de praktijk is dit afhankelijk van het type organisatie. Er zijn ook registraties die worden gebruikt voor analyse doeleinden. <br><br> '''Facilitair Bedrijf''' <BR>Het Facilitair Bedrijf zorgt voor een fysieke toegang tot gebouwen en ruimten op basis van een toe-gangsmiddel. Hierbij ontvangen de medewerkers een toegangspas (= identificatiemiddel). ===Controldomein=== Dit domein bevat evaluatie-, meet- en beheersingsaspecten op basis waarvan toegangsbeveiliging wordt beheerst en bijgestuurd. Het vervult hiermee een controlfunctie die kort en lang cyclisch van aard kunnen zijn. Dit domein bevat beheersprocessen, zoals de ITIL-processen, die noodzakelijk zijn voor de beheersing van de configuraties van IT-componenten en de instandhouding van het beveiligingsniveau. De informatie uit de evaluaties en de beheerprocessen is niet alleen gericht op het bijsturen en/of aanpassen van het eerder geformuleerde beleid maar ook op implementatie van de toegangsbeveiliging. In figuur 'Schematische weergave van de componenten van het logische toegangsbeveiliging systeem in een 3-lagenstructuur' wordt de hiervoor uitgelegde domeinenstructuur geïllustreerd. De domeinindeling is verder uitgewerkt in [[:ISOR:BIO Thema Toegangsbeveiliging Beleid]], [[:ISOR:BIO Thema Toegangsbeveiliging Uitvoering]] en [[:ISOR:BIO Thema Toegangsbeveiliging Control]]. Gevirtualiseerde systeemomgevingen zien er qua systeemtopologie geheel anders uit, maar de basiselementen voor de toegang zijn dezelfde. [[Afbeelding:Thema Toegangsbeveiliging - Schematische weergave van de componenten van het logische toegangsbeveiliging systeem in een 3-lagenstructuur.png|thumb|750px|none|alt=”Schematische weergave van de componenten van het logische toegangsbeveiliging systeem in een 3-lagenstructuur”|Schematische weergave van de componenten van het logische toegangsbeveiliging systeem in een 3-lagenstructuur]] ==Presentatie van de vastgestelde toegangbeveiligingsobjecten in BUC-domeinen== Onderstaande tabel geeft een overzicht van alle relevante beveiligingsobjecten voor toegangsbeveiliging, afkomstig uit BIO die gebaseerd is op de ISO 27002 standaard; de BIO volgt dezelfde hoofdstukindeling en controlteksten. Uit de contextuele analyse blijkt dat er enkele onderwerpen bestaan die niet in de ISO/BIO voorkomen. Voor deze onderwerpen, waarvoor de BIO geen control heeft geformuleerd, worden controls uit andere baselines geadopteerd, zoals: Standard of Good Practice (SoGP), NIST en NCSC beveiliging webrichtlijnen. <table class="wikitable"> <tr> <th colspan="4">Beleid</th> </tr> <tr> <td>Nr</td> <td>Objecten</td> <td>Referentie</td> <td>IFGS</td> </tr> <tr> <td>B.01</td> <td>Toegangbeveiligingsbeleid</td> <td>BIO: 9.1.1</td> <td>I</td> </tr> <tr> <td>B.02</td> <td>Eigendom van bedrijfsmiddelen</td> <td>BIO: 8.1.2</td> <td>I</td> </tr> <tr> <td>B.03</td> <td>Beveiligingsfunctie</td> <td>SoGP SM2.1</td> <td>F</td> </tr> <tr> <td>B.04</td> <td>Cryptografie</td> <td>BIO 10.1.1, SoGP: TS 2.2</td> <td>G</td> </tr> <tr> <td>B.05</td> <td>Toegangbeveiligingsorganisatie</td> <td>Additioneel</td> <td>S</td> </tr> <tr> <td>B.06</td> <td>Toegangbeveiligingsarchitectuur</td> <td>Additioneel</td> <td>S</td> </tr> <tr> <td colspan="4">Uitvoering</td> </tr> <tr> <td>Nr</td> <td>Objecten</td> <td>Referentie</td> <td>IFGS</td> </tr> <tr> <td>U.01</td> <td>Registratieprocedure</td> <td>BIO: 9.2.1</td> <td>I</td> </tr> <tr> <td>U.02</td> <td>Toegangverleningsprocedure</td> <td>BIO: 9.2.2</td> <td>I</td> </tr> <tr> <td>U.03</td> <td>Inlogprocedures</td> <td>BIO: 9.4.2</td> <td>I</td> </tr> <tr> <td>U.04</td> <td>Autorisatieproces</td> <td>BIO: 9.2.6</td> <td>F</td> </tr> <tr> <td>U.05</td> <td>Wachtwoordbeheer</td> <td>BIO: 9.4.3</td> <td>F</td> </tr> <tr> <td>U.06</td> <td>Speciale toegangsrechtenbeheer</td> <td>BIO: 9.2.3</td> <td>F</td> </tr> <tr> <td>U.07</td> <td>Functiescheiding</td> <td>BIO: 6.1.2</td> <td>F</td> </tr> <tr> <td>U.08</td> <td>Geheime authenticatie-informatie</td> <td>BIO: 9.2.4</td> <td>G</td> </tr> <tr> <td>U.09</td> <td>Autorisatie</td> <td>BIO: 9.4.1</td> <td>G</td> </tr> <tr> <td>U.10</td> <td>Autorisatievoorziening faciliteiten</td> <td>Additioneel</td> <td>S</td> </tr> <tr> <td>U.11</td> <td>Fysieke toegangsbeveiliging</td> <td>BIO: 11.1.2</td> <td>F</td> </tr> <tr> <td colspan="4">Control</td> </tr> <tr> <td>Nr</td> <td>Objecten</td> <td>Referentie</td> <td>IFGS</td> </tr> <tr> <td>C.01</td> <td>Beoordelingsprocedure</td> <td>Additioneel</td> <td>I</td> </tr> <tr> <td>C.02</td> <td>Beoordeling toegangsrechten</td> <td>BIO: 9.2.5</td> <td>F</td> </tr> <tr> <td>C.03</td> <td>Gebeurtenissen registreren (logging en monitoring)</td> <td>ISO27002: 12.4.1, BIO: 12.4.1</td> <td>G</td> </tr> <tr> <td>C.04</td> <td>Beheersingsorganisatie toegangsbeveiliging</td> <td>Additioneel</td> <td>S</td> </tr> <caption align="bottom">Overzicht van toegangsbeveiliging objecten ingedeeld naar BUC</caption></table> ==Objecten binnen BUC-domeinen en gerelateerd aan SIVA basiselementen== [[Afbeelding:Thema Toegangbeveiliging - Overzicht van de generieke objecten in relatie tot SIVA basiselementen.png|thumb|750px|none|alt=”Objecten binnen BUC-domeinen en gerelateerd aan basiselementen”|Objecten binnen BUC-domeinen en gerelateerd aan basiselementen]]  +
BIO Thema Toegangsbeveiliging - Toelichting SIVA basiselementen m.b.v. het MCS +Er wordt een toelichting gegeven van de SIVA-basiselementen met behulp van het Management Control System (MCS). Hiermee wordt de validiteit van de basiselementen binnen het IFGS (Intentie, Functie, Gedrag en Structuur) kolommen aangegeven. De basiselementen worden verder binnen de BUC-domeinen toegepast om de relaties tussen de geïdentificeerde toegangbeveiligingsobjecten uit te drukken. De dynamisch omgeving van een organisatie kan (volgens Leavitt, 1965 en COBIT) met behulp van vier componenten worden uitgedrukt, te weten: functie/processen, mensen, technologie en structuur. Als input geldt een ontwikkelde strategie en als output de performance, die het resultaat is van de samenwerking van de genoemde vier componenten. In de literatuur wordt het MCS bezien als een ‘Framework voor de implementatie van Strategie’, zoals in onderstaande afbeelding wordt afgebeeld. [[Afbeelding:Thema Toegangsbeveiliging - MCS bezien als een ‘Framework voor de implementatie van Strategie.png|thumb|750px|none|alt=”MCS bezien als een ‘Framework voor de implementatie van Strategie”|MCS bezien als een ‘Framework voor de implementatie van Strategie]] MCS- en SIVA-basiselementen. Aan de componenten van het MCS framework kunnen vanuit de invalshoeken Intentie, Functie, Gedrag en Structuur (IFGS) verschillende basiselementen worden gekoppeld. Deze basiselementen zijn weergegeven in figuur 19. De zes componenten en de hieraan gerelateerde basiselementen vormen unieke set elementen om de geïdentificeerde set toegangbeveiligingsobjecten te labelen. Door het labelen van de geïdentificeerde set toegangbeveiligingsobjecten met de basiselementen krijgen de toegangbeveiligingsobjecten een unieke plek in de matrix, hierbij wordt tevens rekening gehouden met de typen functionarissen die actief zijn op de BUC lagen. Zo kan een samenhangend beeld van de geïdentificeerde toegangbeveiligingsobjecten worden weergegeven. [[Afbeelding:Weergave van de samenhang van de basiselementen binnen het MCS.png|thumb|750px|none|alt=”Weergave van de samenhang van de basiselementen binnen het MCS”|Weergave van de samenhang van de basiselementen binnen het MCS]]  +
BIO Thema Toegangsbeveiliging - Verbindingsdocument +==A1 Context van Toegangsbeveiliging== [[Afbeelding:Thema Toegangbeveiliging - Verbindingsniveau voor toegangsbeveiliging.png|thumb|none|500px|none|alt=”Verbindingsniveau voor toegangsbeveiliging van het logische toegangbeveiligingssysteem”|Figuur 1 Verbindingsniveau voor toegangsbeveiliging]] Bij indiensttreding ontvangt een medewerker een toegangspas waarmee hij/zij toegang krijgt tot het gebouw en ruimtes (fysieke toegangsbeveiliging). Hiernaast krijgt de medewerker ook toegang tot de kantoorautomatiseringsomgeving, specifieke applicaties en gegevensverzamelingen met bijbehorende specifieke rechten. Achter de schermen worden heel wat stappen gezet om deze nieuwe medewerker daadwerkelijk in te voeren als een actieve functionaris. Hierbij zijn verschillende afdelingen betrokken zoals: personeelsafdeling, facilitaire zaken, en ICT afdeling. Deze stappen bieden van geautoriseerde toegang. Hiervoor zijn meerdere gegevens van de medewerker en acties van de organisatie nodig om hem/haar in staat te stellen voor het uitvoeren van zijn/haar taken. Onderstaande figuur geeft een beeld van de processtappen. [[Afbeelding:Thema Toegangbeveiliging - Processtappen van het toegangbeveiligingssysteem.png|thumb|none|500px|none|alt=”Thema Toegangsbeveiliging - Processtappen van het toegangbeveiligingssysteem”|Figuur 2 Processtappen van het toegangbeveiligingssysteem]] Na deze processtappen bezit de medewerker (gebruiker) dan de nodige middelen, een fysiek toegangsbewijs (toegangspas) en een logisch toegangsbewijs (account) voor toegang tot Informatiesystemen. De toegang tot gegevens wordt gereguleerd door de gegevenseigenaar. De beheerder zorgt ervoor dat gebruiker daadwerkelijk de noodzakelijke informatiesystemen kan benaderen. Na inloggen met behulp van de inloggegevens (account oftewel identificatie en authenticatie) krijgt de gebruiker toegang tot applicaties. Aan het account, het identificatiebewijs van de gebruiker, zijn toegangsrechten (autorisaties) gekoppeld. Autorisatie (profiel) komt tot stand op basis van de rol van de gebruiker en geeft hem/haar het recht bepaalde taken in de applicatie uit te voeren. De boven genoemde essentiële elementen van de toegangsomgeving kan onderverdeeld worden in drie domein: Beleidsdomein, Uitvoeringsdomein en Conrol domein. Dit wordt in onderstaande figuur afgebeeld. [[Afbeelding:Thema Toegangbeveiliging - Indeling van de essentiële elementen in de drie domeinen.png|thumb|none|500px|none|alt=”Indeling van essentiële elementen in de drie domeinen van het logische toegangbeveiligingssysteem”|Figuur 3 Indeling van de essentiële elementen in de drie domeinen]] Onderstaande figuur geeft een meer gedetailleerde weergave van de relevante elementen. [[Afbeelding:Thema Toegangbeveiliging - Schematische weergave van de componenten van het logische toegangbeveiligingssysteem in een 3-lagenstructuur.png|thumb|none|500px|none|alt=”Weergave van de essentiële elementen voor toegangsbeveiliging van het logische toegangbeveiligingssysteem”| Schematische weergave van de componenten van het logische toegangbeveiligingssysteem in een 3-lagenstructuur]] ==A2 Generieke toegangbeveiligingsobjecten== Onderstaande tabel geeft een overzicht van de elementen (de zogeheten generieke objecten) op basis waarvan een toegangsomgeving van een organisatie kan worden beveiligd. [[Afbeelding:Thema Toegangbeveiliging - Overzicht van de geïdentificeerde objecten uit BIO en ISO.png|thumb|none|500px|none|alt=”Overzicht van de geïdentificeerde objecten uit BIO/ISO”|Figuur 5 Overzicht van de geïdentificeerde objecten uit BIO en ISO]] Deze generieke objecten zijn veralgemeniseerde bron-objecten die uit de baselines zijn geïdentificeerd, zoals ISO, NIST en * SoGP. Het voordeel van generieke objecten is dat ze hergebruik bevordert. De generieke objecten, inclusief de bij behorende control en onderliggende criteria, zullen in een objecten bibliotheek (ISOR) worden opgenomen en in de toekomst als authentieke bron gaan fungeren. De generieke objecten die uit ISO 2700x/BIO zijn afgeleid zijn verplicht voor de overheid en is daarom in de BIO ‘verplicht’ genormeerd. De generieke objecten die aanvullend aan de ISO norm nodig geacht worden voor de beveiliging van het toegangs-beveiligingsgebied zijn met behulp van SIVA analyse vastgesteld en zijn afgeleid uit overige standaarden, zoals NIST, Standard of Good Practice, BSI en ITIL. ==A3 Overzicht van de generieke objecten gerelateerd aan SIVA-basiselementen== Onderstaande figuur worden de generieke objecten in de aandachtsgebieden Beleid, Uitvoering en Control weergeven. Dit is feitelijk een andere view op de inhoud. [[Afbeelding:Thema Toegangbeveiliging - Overzicht van de generieke objecten in relatie tot SIVA basiselementen.png|thumb|none|500px|none|alt=”Overzicht van de generieke objecten in relatie tot SIVA basiselementen”|Figuur 6 Overzicht van de generieke objecten in relatie tot SIVA basiselementen]] De generieke objecten hebben een positie in een cel door de koppeling met de SIVA basiselementen. Hierdoor kan de leemtes in de matrix worden vastgesteld en met relevante objecten worden aangevuld. In cursief-rood zijn de SIVA-basiselementen weergegeven. De “witte blokken” zijn de objecten die weliswaar niet genormeerd zijn in de ISO -norm, maar waarvan wel geacht wordt dat ze een onmisbare bijdrage leveren aan de beveiliging van de toegangsomgeving. ==A4 Cross reference naar praktijktoepassingen== Tenslotte een Cross-Reference van beveiligingsobjecten naar beproefde praktijkvoorbeelden. Doel is de overheden praktische handreikingen te bieden, in de vorm van richtlijnen en patronen; bij voorkeur gesorteerd op verschillende schaalgroottes met een bijbehorende uitvoeringscontext. Met deze voorbeelden kunnen overheden hun eigen omgeving toetsen en waar nodig (her)inrichten. [[Afbeelding:Thema Toegangbeveiliging - Cross-reference naar praktijktoepassingen.png|thumb|left|500px|none|alt=”Toegangbeveiliging, cross-reference naar praktijktoepassingen van het logische toegangbeveiligingssysteem”|Figuur 7 Cross-reference naar praktijktoepassingen]]  +
BIO Thema Toegangsbeveiliging Beleid +==Objecten binnen toegangbeveiliging== De objecten die uit de BIO in dit domein een rol spelen zijn het toegangsvoorziening beleid, de toegangsvoorziening architectuur, de beveiligingsfunctie en het eigenaarschap van het toegangbeveiligingssysteem. Onderstaande afbeelding geeft een overzicht en de ordening hiervan. Voor de identificatie van de objecten en de ordening is gebruik gemaakt van IFGS-basiselementen (SIVA). [[Afbeelding:Thema Toegangbeveiliging - Overzicht van objecten gerelateerd aan SIVA-basiselementen in het Beleid domein.png|thumb|500px|none|alt=”Thema Toegangbeveiliging - Overzicht van objecten gerelateerd aan SIVA-basiselementen in het Beleid domein”|Overzicht van objecten gerelateerd aan SIVA-basiselementen in het Beleid domein]]  +
BIR (Baseline Informatiebeveiliging Rijksdienst) +De BIR is een gemeenschappelijk normenkader voor de beveiliging van de informatie(systemen). De BIR 2017 is volledig gebaseerd op de internationale norm ISO/IEC 27002. Het concretiseert een aantal eisen tot verplichte operationele afspraken (rijksmaatregelen), om een eenduidig minimumniveau van beveiliging voor gegevens te garanderen. De standaard basisbeveiligingsniveaus (BBN's) met bijbehorende veiligingseisen maken risicomanagement eenvoudiger.  +
BLAU (Basisregistratie Lonen Arbeidsverhoudingen en Uitkeringen) +BLAU zal bestaan uit een kernset van de gegevens uit de huidige Polisadministratie van het UWV. De polisadministratie is reeds operationeel en gevuld. Zij het niet met de wettelijke status van een basisregistratie (de planning van de Polisadministratie is daarom niet opgenomen in de releasekalender). Gegevens uit de Polisadministratie kunnen echter wel geleverd worden aan overheidsorganisaties (voor zover wetgeving dat toestaat). Wat betreft planning (primo 2018) bevindt BLAU zich nog in een pril stadium. Er is nog geen besluit genomen of de basisregistratie BLAU onwikkeld wordt.  +
BRI (Basisregistratie Inkomen) +De Basisregistratie Inkomen (BRI) bevat van circa dertien miljoen burgers het authentieke inkomensgegeven. Dit is -uitsluitend - het verzamelinkomen, of als dat er niet is, het belastbare jaarloon over het afgelopen kalenderjaar. En gegevens zoals het burgerservicenummer (BSN). [https://www.stelselvanbasisregistraties.nl/registraties/ Stelsel van basisregistraties]  +
BRI/Batch-gewijs via bestanden +Batch-gewijs via bestanden: afnemer stuurt een lijst BSN’s en krijgt BSN’s + AIG (authentiek inkomen gegeven) terug.  +
BRI/Batch-gewijs via bestanden (vraaggedreven) +Batch-gewijs via bestanden: afnemer stuurt een lijst BSN’s en krijgt BSN’s + AIG (authentiek inkomen gegeven) terug.  +
BRI/Inzage BRI +Inzage geregistreerd inkomen (BRI) voor burgers op MijnOverheid vanaf 1 juni 2015. Plan is om in de loop van 2016 ook op MijnBelastingdienst te realiseren.  +
BRK (Basisregistratie Kadaster) +De Basisregistratie Kadaster (BRK) bevat informatie over percelen, eigendom, hypotheken, beperkte rechten (zoals recht van erfpacht, opstal en vruchtgebruik) en leidingnetwerken. Daarnaast staan er kadastrale kaarten in met perceel, perceelnummer, oppervlakte, kadastrale grens en de grenzen van het Rijk, de provincies en gemeenten.  +
BRK/BAG koppeltabel +Deze te downloaden koppeltabel biedt de relatie tussen BAG-verblijfsobjecten en het bijbehorende kadastrale perceel. [http://www.kadaster.nl/web/Themas/Registraties/BAG/BAGartikelen/BRKBAG-koppeling.htm BRK-BAG koppeltabel op website Kadaster]  +
BRK/Digitale- kadastrale kaart service +Bestandslevering van de Geautomatiseerde Kadastrale Registratie. Voor bestaande afnemers mutaties af te nemen via downloadservice. Product wordt uitgefaseerd per 1 januari 2017 en is beschikbaar als webservice en download via PDOK.  +
BRK/Gegevensverstrekking via abonnement +Op basis van afspraken wordt een bestand geleverd.  +
BRK/Gegevensverstrekking via selecties +Klanten ontvangen op basis van een abonnement een afgesproken selectie van gegevens.  +
BRK/KIK inzage +Webservice voor het online inzien van de BRK, te weten kadastraal bericht persoon, kadastraal bericht object, hypothecair bericht object, uittreksel kadastrale kaart, negatieve mededeling. [http://www.kadaster.nl/web/artikel/Alle-producten-1/KIKinzage-1.htm KIK-inzage op website Kadaster]  +
BRK/Kadaster online-Kada internet +Middels [https://mijn.kadaster.nl/security/login.jsp Kadaster-on-line] kunnen handmatig uittreksels worden opgevraagd van de kadastrale kaart, daarnaast kunnen kadastrale berichten, hypothecaire berichten en objectenlijsten worden opgevraagd. Middels [https://mijn.kadaster.nl/security/login.jsp Kada internet] kunt u vastgoedinformatie online aanvragen en inzien. [http://www.kadaster.nl/web/artikel/productartikel/Mijn-Kadaster-20.htm "Mijn Kadaster" op website Kadaster]  +
BRK/MO AKR-DKK via Kadainternet + * [http://www.kadaster.nl/web/Themas/Themapaginas/Alle-dossierartikelen/Massale-output-onroerend-goed-1.htm Massale output onroerendgoed op website Kadaster] * [http://www.kadaster.nl/web/artikel/productartikel/Digitale-kadastrale-kaart.htm Digitale Kadastrale kaart op website Kadaster]   +
BRK/PDOK Digitale kadastrale kaart +Webservice voor het opvragen van de kadastrale kaart binnen een zelf te specificeren uitsnede. Wordt geleverd door PDOK volgens WMS en WMTS standaard. [https://www.pdok.nl/nl/producten/pdok-services/overzicht-urls/k Digitale Kadastrale Kaart op website PDOK]  +
BRK/PDOK bestuurlijke grenzen +Webservice voor het opvragen van rijks-, provincie- en gemeentegrenzen. Wordt geleverd volgens WMS en WFS standaard. [https://www.pdok.nl/nl/producten/pdok-services/overzicht-urls/b Bestuurlijke grenzen op website PDOK]  +
BRK/Webapplicatie individuele bevraging +Via online verbinding gegevens uit de BRV raadplegen.  +
BRK/Webapplicatie individuele bevraging (machine-machine) +Via online verbinding gegevens uit de BRV raadplegen.  +
BRK/levering mutaties abonnement +Bestandslevering van de BRK. Integreert administratieve en geografische gegevens. Leverbaar als eenmalige standlevering, dagelijkse mutatielevering. Filtering mogelijk op gemeente, gebied en subject. Downloadservice. * [http://www.kadaster.nl/web/artikel/BRK-Levering-2/BRK-Levering-1.htm BRK Levering op website Kadaster] Verwerkingstermijn: maximaal 15 werkdagen.  +
BRK/levering stand +Bestandslevering van de BRK. Integreert administratieve en geografische gegevens. Leverbaar als eenmalige standlevering, periodieke standlevering. Filtering mogelijk op gemeente, gebied en subject. Downloadservice. Verwerkingstermijn: maximaal 15 werkdagen. * [http://www.kadaster.nl/web/Themas/Registraties/BRK.htm BRK Levering op website Kadaster]  +
BRK/massale informatieverstrekking +Bestandslevering van de geautomatiseerde Kadastrale Registratie (AKR) Mutaties af te nemen via downloadservice. Product is uitgefaseerd per 1 januari 2016 en is vervangen door BRK Levering.  +
BRO (Basisregistratie Ondergrond) +Informatie over de ondergrond (bodem, geologie, grondwater, mijnbouw) is nodig bij een groot aantal overheidstaken, zoals het winnen van water, aardgas of aardwarmte of de opslag van CO2. Dat moet duurzaam, veilig en efficiënt gebeuren. De daarvoor benodigde ondergrondgegevens zijn te gebruiken vanuit de Basisregistratie Ondergrond (BRO). De BRO maakt deel uit van het stelsel van basisregistraties. De BRO voegt daar gegevens over de diepe en ondiepe ondergrond aan toe. Nu zijn deze ondergrondgegevens nog in beheer bij verschillende organisaties. Ze zijn daardoor niet in dezelfde mate gedigitaliseerd, gestandaardiseerd en geharmoniseerd en maar deels publiek beschikbaar. Dankzij de BRO hebben alle gegevens straks een gevalideerde, hoge kwaliteit en zijn ze voor iedereen vrij beschikbaar. De overheid kan planprocessen en beheerstaken efficiënter uitvoeren en de kwaliteit van haar dienstverlening verbeteren.  +
BRP (Basisregistratie Personen) +De Basisregistratie Personen (BRP) is een basisregistratie in ontwikkeling (programma Modernisering GBA). De BRP bevat persoonsgegevens over alle ingezetenen van Nederland en over personen die niet in Nederland wonen - of hier slechts kort verblijven - maar die een relatie hebben met de Nederlandse overheid, de 'niet-ingezeten'. De BRP wordt gebaseerd op twee bestaande administraties: *GBA (Gemeentelijke Basisadministratie Persoonsgegevens): Gegevens over personen ingeschreven bij een Nederlandse gemeente. De GBA heeft op dit moment al de status van een basisregistratie; *RNI (Registratie Niet-Ingezetenen). Gegevens over personen die niet in Nederland wonen, maar wel een relatie met de Nederlandse overheid hebben. Zoals grensarbeiders, buitenlandse studenten en 'pensionado's'. De RNI is op 6 januari 2014 ingevoerd met de inwerkingtreding van de nieuwe wet basisregistratie personen. Daarnaast is er nog de PIVA Verstrekkingen. Deze bevat gegevens over personen ingeschreven op de BES-eilanden (Bonaire, Sint Eustatius en Saba). De persoonslijsten in de PIVA-V en de persoonslijsten in de GBA komen grotendeels overeen, maar er zijn enkele verschillen. In het document ‘Verschillenmatrix persoonslijst GBA versus PIVA’ worden deze verschillen beschreven. Mogelijk zullen in de toekomst de BES-eilanden ook onderdeel uitmaken van de BRP. Daar is echter nog geen besluit over genomen.  +
BRP-Ad Hoc vraag-verstrekking op verzoek +Verstrekking van gegevens van een bepaalde ingeschrevene naar aanleiding van een door afnemer gestelde vraag.  +
BRP/Adresvraag +Geeft persoonsgegevens van alle op een adres ingeschreven personen. Bevragen kan met een adres als ingang of met persoonsgegevens als ingang.  +
BRP/Conditionele verstrekking +Eenmalige verstrekking naar aanleiding van een relevante wijziging op de persoonslijst, bijvoorbeeld ‘persoon is geëmigreerd'.  +
BRP/Selectieverstrekking +Eenmalige of periodieke bulkverstrekking van gegevens van personen die aan een bepaalde voorwaarde voldoen. Deze verstrekking is bijvoorbeeld geschikt voor vragen als ‘alle personen die nu ouder zijn dan 65’.  +
BRP/Spontane verstrekking +De afnemer kan indicaties laten plaatsen bij individuele personen, en krijgt dan eerst een ‘vulbericht’ met alle gegevens waarvoor geautoriseerd; later de mutaties die optreden bij deze personen (was-wordt berichten). Mutaties worden binnen afgesproken tijd aan de afnemer aangeleverd.  +
BRT (Basisregistratie Topografie) +De Basisregistratie Topografie (BRT) is dé unieke bron voor alle topografische informatie. De BRT gegevens worden geactualiseerd, beheerd en uitgeleverd door het Kadaster.  +
BRT/Bestandsleveringen +Bestandsleveringen van de verschillende BRT-datasets. Via PDOK: * [http://www.kadaster.nl/web/artikel/productartikel/TOP10NL.htm TOP10NL] (voor schaalniveau’s tussen 1:5.000 en 1:25.000) wordt geleverd in bestandsformaten GML. * [http://www.kadaster.nl/web/artikel/productartikel/TOPvector.htm TOPvector] (voor schaalniveau’s tussen 1:25.000 en 1:250.000) wordt geleverd in de bestandsformaten DGN, DXF en Shape. * [http://www.kadaster.nl/web/artikel/productartikel/TOPgrenzen.htm TOPgrenzen] wordt geleverd in de bestandsformaten DGN en Shape. * [http://www.kadaster.nl/web/artikel/productartikel/TOPnamen.htm TOPnamen] wordt geleverd in de bestandsformaten GDB, Dbase of Excel. (Datasets alleen voor geheel Nederland of deelgebied)  +
BRT/PDOK-Webservices +Webservices die een in het vraagbericht gespecificeerde uitsnede van de Basisregistratie Topografie bieden, welke middels een GIS-applicatie kan worden getoond ‘als plaatje’. Hierbij wordt gebruik gemaakt van de open standaarden, WMS, WMTS en/of TMS. De actualisatiefrequentie van de BRT is 5 kaartbladen per jaar. Elke informatie update betreft circa 10% van Nederland hierdoor ontstaat een integrale actualiteit van 2 jaar . Keus uit de volgende datasets: * [http://www.kadaster.nl/web/artikel/productartikel/TOP10NL.htm TOP10NL] * [http://www.kadaster.nl/web/artikel/productartikel/TOPvector.htm TOP50 vector] * [http://www.kadaster.nl/web/artikel/productartikel/TOPraster.htm TOP25 raster] * [http://www.kadaster.nl/web/artikel/productartikel/TOPraster.htm TOP50 raster] * [http://www.kadaster.nl/web/artikel/productartikel/TOPraster.htm TOP250 raster]  +
BRV (Basisregistratie Voertuigen) +In de Basisregistratie Voertuigen worden gegevens vastgelegd over voertuigen en de eigenaren daarvan. Uit de registratie verstrekt de Dienst voor het Wegverkeer informatie aan burgers en bedrijven. De gegevens zijn landelijk beschikbaar voor overheidsinstanties, zoals de politie en de Belastingdienst.  +
BRV/Gegevenslevering webservice +Interactieve gegevensverstrekking en –aanlevering via onlineverbindingen  +
BWB +Citeren, vinden en verbinden van wet- en regelgeving gaat door toepassing van de BWB standaard sneller, eenvoudiger en geeft minder kans op fouten. Gebruik van de standaard biedt daardoor verbetering van interoperabiliteit. De open standaard BWB biedt een eenduidige manier van verwijzen naar (onderdelen van) wet- en regelgeving. De laatste versie (versie 1.3.1) maakt het mogelijk om in wet- en regelgeving te kunnen verwijzen naar: * taalversies en onderdelen van internationale verdragen, * wet- en regelgeving waarvan de indeling niet voldoet aan de gebruikelijke nummering van hoofdstukken en paragrafen, en * ruime begrippen zoals “enig artikel”. De drie Juriconnect standaarden BWB, ECLI en JCDR zijn gericht op standaardisatie van identificatie met het doel om de geïdentificeerde inhoud te delen. De standaard BWB (Basis Wetten Bestand) is gericht op verwijzing naar geconsolideerde wet- en regelgeving. Voor verwijzing naar wet- en regelgeving of onderdelen daarvan in wetten.overheid.nl, is aan elke regeling een uniek identificatienummer (BWBID) toegekend. De Juriconnect standaard voor BWB beschrijft hoe deze verwijzing wordt vormgegeven. Nota bene: op de website van Juriconnect wordt de BWB standaard ook wel aangeduid als de standaard "logische links naar wetgeving". De standaard JCDR (Juriconnect Decentrale Regelgeving) is gericht op identificatie van en verwijzing naar geconsolideerde decentrale regelgeving. Elke overheid legt een collectie algemeen verbindende voorschriften aan met de teksten van verordeningen en keuren, waarin de later vastgestelde wijzigingen zijn verwerkt (geconsolideerde vorm). Deze collectie is de Centrale Voorziening Decentrale Regelgeving (CVDR). De Juriconnect standaard voor decentrale voorzieningen beschrijft hoe dient te worden verwezen naar documenten die in CVDR zijn opgeslagen. De ECLI standaard (European Case Law Identifier) is gericht op identificatie voor citatie in het juridische domein. De ECLI is een Europese standaard notatie voor het uniek identificeren van jurisprudentie, met een sterke basis en input vanuit LJN (Landelijk Jurisprudentie Nummer). De standaard beschrijft de wijze waarop, met behulp van een Uniform Resource Identifier (URI), kan worden verwezen naar een European Case Law Identifier.  +
BZK en VNG werken aan een portaal met alle API's van organisaties met een publieke taak +BZK en VNG werken aan een portaal met alle API's van organisaties met een publieke taak  +
Baseline Informatiebeveiliging Overheid (BIO) openbaar gepubliceerd +Baseline Informatiebeveiliging Overheid (BIO) openbaar gepubliceerd  +
Basisgegeven +Een in een basisregistratie opgenomen gegeven.  +
Basisregistratie +Een bij wet als basisregistratie aangemerkte registratie.  +
Bedieningsprocedures +Bedieningsprocedures zijn een reeks verbonden taken of activiteiten die noodzakelijk zijn voor het beheren van serverplatforms. De activiteiten kunnen gerelateerd zijn aan het starten en afsluiten van de computer, back-up en onderhoud van servers.  +
Bedrijfscontinuïteitsmanagement +Bedrijfscontinuïteitsmanagement (BCM) beschrijft de eisen voor een managementsysteem om organisaties te beschermen tegen ontwrichtende gebeurtenissen, om de kans op deze gebeurtenissen te verkleinen en om te zorgen dat een organisatie zich daar volledig van kan herstellen. Hierbij zal de organisatie zich onder andere richten op ontwikkeling, implementatie en onderhoud van beleid, strategieën en programma’s om de effecten van mogelijk ontwrichtende gebeurtenissen een organisatie te kunnen beheersen. In de cloud-omgeving vertrouwt de CSC, de CSP als derde partij. De CSP zal de CSC zekerheid moeten geven ten aanzien documentatie over assets en resources, incidentmanagement, bedrijfscontinuïteit, disaster recovery plans, beleid, beheerprocessen en back-up management.  +
Bedrijfscontinuïteitsservices +Omdat de CSC voor haar bedrijfsvoering sterk afhankelijk is van de CSP en van externe factoren, zijn bedrijfscontinuïteitsservices van essentieel belang. Bedrijfscontinuïteitsservices omvatten het pakket van maatregelen, dat zowel voor normaal bedrijf (met QoS) als voor situaties van calamiteiten, zoals natuurrampen, binnen de overeengekomen maximale uitvalsduur (Recovery Time Objective: RTO), zorgt voor het herstel van data en de kritische dienstverlening, waarbij dataverlies beperkt blijft tot het overeengekomen maximale dataverlies. Bekende continuïteitsmaatregelen zijn: redundantie, disaster recovery en het periodiek aantonen dat herstelfuncties werken.  +
Bedrijfsmiddelen inventaris +In de Huisvesting van rekencentra zijn verschillende bedrijfsmiddelen, voorzieningen en hieraan gerelateerde componenten opgenomen, zoals: glasvezel en bekabeling, back-up voorzieningen, klimaatbeheersing, airconditioning en geavanceerde brandblussystemen. Het is van belang de componenten van deze voorzieningen zelf en/of informatie over deze voorzieningen te inventariseren en te registreren zodat de juiste informatie beschikbaar is, wanneer gebeurtenissen daarom vragen.  +
Bedrijfsmiddelen verwijdering +Bedrijfsmiddelen zijn alle objecten waarmee bedrijfsgegevens kunnen worden opgeslagen en/of verwerkt en objecten, waarmee toegang tot gebouwen, ruimten en IT-voorzieningen kan worden verkregen. Verwijdering van deze middelen dient nauwkeuring volgens vastgestelde procedures te worden behandeld (ingevoerd, gebruikt en afgevoerd).  +
Begrip 'Informatiecatalogus' is onvoldoende duidelijk +Het begrip 'Informatiecatalogus' sec wordt nauwelijks gebruikt: wat is een 'informatiecatalogus' exact en waarin dit verschilt van een gegevenswoordenboek, metadata rond gebruik en een dienstbeschrijving moet nader gepreciseerd worden. Of zijn het dezelfde soort dingen? Zie ook issue IKV-006  +
Begrippenkader katern is onvoldoende uitgewerkt +Soms worden begrippen als synoniemen door elkaar gebruikt, of definities gehanteerd die in veel sectoren niet herkend zullen worden  +
Beheer op afstand +Toegang tot de servers is beperkt tot geautoriseerde personen en informatiesystemen. Onder bepaalde voorwaarden is het beheerders toegestaan door de organisatie beheerde servers "van buiten" te benaderen.  +
Beheer van serverkwetsbaarheden +Kwaadwillenden maken gebruik van kwetsbaarheden en zwakheden in software die op de servers zijn geïnstalleerd. Kwetsbaarhedenbeheer is een proactieve benadering van beveiliging door de kans te verminderen dat gebreken in software de beveiliging van een server in gevaar brengt. Zonder inzicht in de huidige stand van zaken, tast de beheerder in het duister en kan hij niet goed anticiperen op nieuwe ontwikkelingen. Vragen die hierbij een rol spelen: * Hoe is de serveromgeving opgebouwd en geconfigureerd? * Wat zijn bekende kwetsbaarheden en zwakheden? Gerelateerd aan ‘Kwetsbaarhedenbeheer’ is het proces ‘Patch-management’. Het ISO-onderwerp ‘Beheer van technische kwetsbaarheden (12.6.1)’ behandelt wat betreft de maatregelen twee onderwerpen: kwetsbaarheden beheer (vulnerability management) (zie: U.04) en patchmanagement (zie: U.05). In dit thema ‘Serverplatform’ worden deze twee onderwerpen apart beschreven. In dit thema ‘Serverplatform’ worden deze twee onderwerpen apart beschreven.  +
Beheerderactiviteiten vastgelegd in logbestanden +Logging is het proces voor het registreren van technische activiteiten en gebeurtenissen. Hiermee kunnen achteraf fouten of onrechtmatigheden in het gebruik van waaronder ongeautoriseerde toegangspogingen tot technische componenten vroegtijdig worden gesignaleerd. Het loggen van activiteiten spitst zich toe tot de bewaking van rechtmatigheid van toegekende rechten en het gebruik hiervan.  +
Beheerorganisatie clouddiensten +Voor het adequaat beheersen en beheren van de clouddiensten moet de CSP een beheersingsorganisatie hebben ingericht, waarin de structuur en de verantwoordelijkheden voor de beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd. In de relatie tussen de beheersingsprocessen van CSP en CSC moeten ook de taken en verantwoordelijkheden tussen het functioneel en technisch beheer zijn overeengekomen.  +
Beheerorganisatie netwerkbeveiliging +Het adequaat beheersen en beheren van de communicatievoorzieningen vereist een organisatiestructuur waarin de procesverantwoordelijkheden en toereikende bevoegdheden van de functionarissen zijn vastgelegd en op het juiste niveau zijn gepositioneerd.  +
Beheerorganisatie serverplatforms +Voor het adequaat beheersen en beheren van het servers en serverplatforms zou een beheersorganisatiestructuur moeten zijn vastgesteld waarin de verantwoordelijkheden voor de beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd.  +
Beheersing van software ontwikkeling(sprojecten) +De projectmanager heeft een (beheers)organisatiestructuur ingericht waarbij de verantwoordelijkheden voor de beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd.  +
Beheersorganisatie toegangsbeveiliging +Voor het adequaat beheersen en beheren van het toegangsbeveiligingssysteem dient een beheersorganisatiestructuur te zijn vastgesteld, waarin de verantwoordelijkheden voor de beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd.  +
Bekabeling +Binnen de huisvesting van de Rekencentra is alle apparatuur verbonden met een bekabelingsysteem die in speciale kabelruimten is geïnstalleerd. Deze bekabelruimten kunnen doelwit worden van misbruik door bijvoorbeeld speciale afluisterapparatuur aan te sluiten. Het is daarom noodzakelijk om deze bekabelingsruimten te voorzien van specifieke beveiligingsmaatregelen.  +
Belastingdienst +Heeft een eerste registratie, de [https://www.belastingdienst.nl/wps/wcm/connect/bldcontentnl/belastingdienst/prive/werk_en_inkomen/geregistreerde_inkomen_en_de_inkomensverklaring/alles_over_geregistreerde_inkomen/alles-over-het-geregistreerde-inkomen BRI], via Linked Data ontsloten en werkt Linked Data voor datamining.  +
Beleid en procedures informatietransport +De ISO 27002 (pg.74) formuleert ‘Beveiligd ontwikkelen’ als een eis voor het opbouwen van een beveiligde dienstverlening, architectuur, software en een beveiligd systeem. Dit object richt zich op ‘inrichtings- en onderhoudsaspecten’ van communicatievoorzieningen. In het te formuleren beleid worden o.a. standaarden en procedures beschreven voor het beveiligd inrichten en onderhouden van communicatievoorzieningen.  +
Beleid voor (beveiligd) ontwikkelen +De ISO baseline (ISO pg. 74) formuleert ‘Beveiligd ontwikkelen’ als een eis voor het opbouwen van een beveiligde dienstverlening, architectuur, software en een beveiligd systeem. In dit thema worden bij het object ‘beleid voor (beveiligd) ontwikkelen’ aan applicatieontwikkeling beleid gerelateerde specifieke aspecten benadrukt. In zo’n beleid worden onder andere methoden en technieken voor requirementanalyse en richtlijnen met betrekking tot beveiliging in de levenscyclus van softwareontwikkeling besproken.  +
Beleid voor beveiligde inrichting en onderhoud +De ISO-baseline (ISO pg. 74) formuleert ‘beveiligd ontwikkelen’ als een eis voor het opbouwen van beveiligde dienstverlening, software, systemen en architectuur. B ij het object ‘beleid voor (beveiligde) inrichting en onderhoud’. In het beleid worden onder andere standaarden en procedures beschreven voor het beveiligd inrichten en onderhouden van servers.  +
Beoordeling technische serveromgeving +Het is noodzakelijk om de technische omgeving regelmatig te beoordelen om de beveiliging doeltreffend te kunnen beheersen. Hiertoe dienen periodiek zowel de organisatorische als technische aspecten beoordeeld te worden, zoals: de toepassing van het geformuleerd inrichtingsbeleid voor servers, serverplatform architectuur, taken en verantwoordelijkheden, gebruik van technische middelen, frequentie, controle aanpak en inschakelen van externe specialisten. Als resultaat dient een rapportage van bevindingen aan het management te worden uitgebracht.  +
Beoordeling toegangsrechten +Het is nodig om de (logische en fysieke) toegangsrechten van gebruikers regelmatig te beoordelen om de toegang tot gegevens en informatiediensten doeltreffend te kunnen beheersen. De toekenningen en wijzigingen van toegangsrechten dienen daarom periodiek gecontroleerd te worden, hiertoe dienen maatregelen te worden getroffen in de vorm van: * het voeren van controle activiteiten op de registratie van toegangsrechten; * het uitbrengen van rapportages aan het management.  +
Beoordelingsrichtlijnen en procedures +De inrichting van de toegangsbeveiliging moet beheerst worden. Hiertoe dient periodiek door een bepaalde functionaris met specifieke bevoegdheden controle-activiteiten te worden verricht. Deze activiteiten dienen ondersteund te worden met procedures en instructies, anders bestaat het risico dat de resultaten van de controle-activiteiten niet voldoen aan de verwachte eisen. De structuur van de beheersingsorganisatie geeft de samenhang van de ingerichte processen weer.  +
Beperking van software-installatie +Voor het gebruik van software (door een beheerder) op een server zijn regels opgesteld.  +
Beperkingen voor de installatie van software(richtlijnen) +Het installeren van software kan betrekking hebben op drie type actoren: * 'gebruikers' om een bepaald type data analyse in de business omgeving te kunnen uitvoeren; * 'softwareontwikkelaars' voor requirements specificatie, het creëren van datamodellen en het genereren van programmacode; * 'technische beheerders' voor het beheren van servers en netwerkcomponenten. Dit thema is gericht op eisen die gerelateerd zijn aan het installeren van software door ontwikkelaars ten behoeve het specificeren van gebruikersrequirements. Hierbij kan gedacht worden aan het toekennen van minimale rechten (least privileges) aan ontwikkelaars om additionele hulp software te installeren of het toekennen van rechten die gerelateerd zijn aan de regels: need-to-use, need-to-know, need-to-modify, need-to-delete. Het doel hiervan is om risico’s die gerelateerd zijn aan het onbedoeld wijzigen van kritische assets (zoals informatie, software, applicaties en system security controls) te beperken.  +
Berichtenbox voor bedrijven +De berichtenbox voor bedrijven is een beveiligd e-mailsysteem waarmee u, via Antwoord voor bedrijven, digitaal berichten kunt uitwisselen met Nederlandse overheidsinstanties (de Rijksoverheid, provincies, gemeenten en waterschappen). De berichtenbox is bedoeld voor ondernemers die gevestigd zijn in de Europese Economische Ruimte (EER) - dus ook in Nederland - en die hun diensten in Nederland willen aanbieden. De berichtenbox kan gebruikt worden voor procedures die onder de Dienstenwet vallen, en voor procedures waarbij de bevoegde instantie ervoor gekozen heeft deze (ook) via de berichtenbox te laten verlopen.  +
Berichtenbox voor burgers +De berichtenbox (op MijnOverheid) is de digitale postbus voor berichten van de overheid aan burgers. De gemeente meldt bijvoorbeeld dat een paspoort moet worden verlengd. Of de RDW meldt dat een auto gekeurd moet worden. Als er een bericht in de box staat, wordt dit per e-mail gemeld aan de betreffende persoon. Berichten versturen via de berichtenbox is (nog) niet mogelijk.  +
Beschermen van testgegevens +Voor het testen van informatiesystemen worden gebruik gemaakt van verschillende soorten gegevens. Het gebruik van operationele databases met persoonsgegevens of enige andere vertrouwelijke informatie moet worden vermeden of anders moeten de persoonsgegevens worden geanonimiseerd. Testgegevens dienen zorgvuldig te worden gekozen, beschermd en gecontroleerd. NB: Onderscheid moet worden gemaakt tussen a( testen en b) meten. Metingen mogen uitgevoerd worden met behulp van persoonsgegevens voor zover het technisch zodanig is ingeregend dat geen enkel systeem en geen enkele persoon toegang heef tot de inhoudelijkheid van de gegevens; denk aan performance metingen. Acceptatietests mogen worden uitgevoerd door personeel dat uit hoofde van reguliere werkzaamheden toegang hebben tot deze gegevens.  +
Betrouwbaar +De beschikbaarheid en de kwaliteit van diensten voldoen aan vooraf bepaalde normen. Aangeboden informatie dient bijvoorbeeld juist, authentiek, actueel en volledig te zijn. Processen zijn zodanig ingericht dat dit is gegarandeerd en monitoring van het kwaliteitsniveau plaatsvindt.  +
Betrouwbaarheid +De mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid.  +
Beveiligde inlogprocedure +De toegang tot systemen en toepassingen wordt beheerst met beveiligde inlogprocedures. Daarbij dient de geclaimde identiteit op passende wijze en met geschikte techniek te worden vastgesteld. De procedure om in te loggen wordt zo ontworpen, dat de kans op onbevoegde toegang minimaal is.  +
Beveiligde ontwikkel- (en test) omgeving +Het traject van ontwikkelen van een applicatie en het in productie nemen van de resultaten van dit ontwikkeltraject vindt gefaseerd plaats in specifieke omgevingen. Bij de ontwikkeling worden vier omgevingen onderscheiden: *' Ontwikkelomgeving' Hierin wordt de programmacode ontwikkeld. Om te voorkomen dat ontwikkelingen het productieproces kunnen beïnvloed is deze omgeving gescheiden van de productie omgeving. * 'Testomgeving' Hierin worden de uit de ontwikkelomgeving afkomstige producten getest door professionele testteams. Aanwezige, in de testomgeving gesignaleerde, onvolkomenheden in de software worden weer via ontwikkelomgeving aangepast. Dit is een iteratief proces totdat uit de test naar voren komt dat het product geschikt is om in productie te nemen; * 'Acceptatieomgeving' Hierin worden de softwareproducten (nog éénmaal grondig) getest en bij positief resultaat door de gebruikers en beheerders geaccepteerd. Bij eventuele onvolkomenheden worden de softwareproducten niet geaccepteerd (no-go) en terug gestuurd naar de testomgeving of ontwikkelomgeving; * 'Productieomgeving' Hierin worden de nieuwe softwareproducten uitgerold. De Productie omgeving is de omgeving waarin de nieuwe softwareproducten functioneel en actief moeten zijn. De in de voorgaande omgevingen uitgevoerde stappen moeten zo veel mogelijk garanderen dat nieuw ontwikkelde software geen fouten bevat die de productiegegevens kunnen corrumperen. In principe zijn alle omgevingen los van elkaar ingericht en vindt behalve via formele overdrachten geen contact plaats tussen de verschillende omgevingen.  +
Beveiligen van de verwerking van persoonsgegevens +Informatiebeveiliging is het geheel van preventieve, detectieve, repressieve en correctieve maatregelen, alsmede procedures en processen om eventuele gevolgen van beveiligingsincidenten tot een acceptabel (passend), vooraf bepaald niveau te beperken. De maatregelen zijn gebaseerd op een risicoanalyse en wettelijke verplichtingen (waaronder de Avg).  +
Beveiliging Virtueel serverplatform +Server virtualisatie stelt een organisatie in staat om één of meer gescheiden ‘logische’ omgevingen te creëren op één fysieke server. Bij virtualisatie zijn drie soorten componenten betrokken: een fysieke server, een hypervisor en één of meerdere virtuele servers. De hypervisor alloceert resources van de fysieke server naar elke onderliggende virtuele server, inclusief CPU, geheugen, harddisk of netwerk; hiermee zijn de virtuele servers in staat simultaan of geïsoleerd van elkaar te opereren. Deze drie componenten moeten voldoen aan specifieke eisen.  +
Beveiliging en Gegevensbeschrijvingen in openbare review +Beveiliging en Gegevensbeschrijvingen in openbare review  +
Beveiliging netwerkdiensten +De eisen voor de communicatievoorzieningen betreffen enerzijds de verantwoordelijkheden voor de informatiebeveiliging van het transport en de distributie van informatie en anderzijds de beveiligde toegang tot de transportvoorzieningen zelf.  +
Beveiligingsfaciliteiten ruimten +De Rekencentra bevatten verschillende type ruimten, zoals: kantoren, bekabelingruimten en serverruimten. Deze ruimten moeten conform de beveiligingsgraad van deze ruimten voorzien zijn van beveiligingsfaciliteiten.  +
Beveiligingsfunctie +De organisatie beschikt over veel middelen en informatie die beveiligd moeten worden. Hiervoor moeten de juiste rollen zijn benoemd binnen een centraal orgaan, de beveiligingsfunctie. De functionarissen binnen deze functies hebben specifieke verantwoordelijkheden voor het realiseren van toegangsbeveiliging binnen de gehele organisatie, waaronder het toegangsbeveiligingssysteem.  +
Beveiligingsorganisatie +De beveiligingsfunctie omvat de geformaliseerde taken en verantwoordelijkheden met betrekking tot de clouddiensten. Binnen de beveiligingsfunctie is geregeld dat contact wordt onderhouden met verantwoordelijken binnen de CSC-organisatie wanneer sprake is van beveiligingsincidenten. De beveiligingsorganisatie van de CSP ziet toe op het naleven van haar informatiebeveiligingsbeleid, haar clouddienstenbeleid en overig hieraan gerelateerd beleid. Waar nodig grijpt de beveiligingsorganisatie in. De taken, verantwoordelijkheden, bevoegdheden en middelen die de beveiligingsorganisatie hiervoor heeft, zijn vooraf expliciet, in relatie tot de CSC, benoemd en vastgesteld. Ook moet vooraf vaststaan hoe de rapportagelijnen tussen de beveiligingsverantwoordelijken zijn georganiseerd.  +
Bewaren van persoonsgegevens +Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk is om het doel te bereiken waarvoor ze zijn verzameld of niet langer dan de bewaartermijn die sectorspecifieke wetgeving stelt. De bewaartermijn kan worden beëindigd door actieve verwijdering van de gegevens of door anonimisering van de persoonsgegevens. Bij anonimisering zijn de gegevens niet meer herleidbaar tot de betrokkenen<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] overweging 27: "De Avg is niet van toepassing op de persoonsgegevens van overleden personen. De lidstaten kunnen regels vaststellen betreffende de verwerking van de persoonsgegevens van overleden personen."</sup>.  +
Bijeenkomst expertgroep privacy +{{{Beschrijving}}}  +
Boekje met 10 praktijktoepassingen van Linked Data in Nederland +Boekje met 10 praktijktoepassingen van Linked Data in Nederland  +
Bouwstenen geplot op NORA beeldtaal.png +Indeling van bouwstenen zoals gehanteerd in NORA 3.0 Katern strategie. Indeling in Contactfuncties, Identity Management, Basisregistraties, Elektronische informatie-uitwisseling.  +
Bronregistratie +De plaats waar een gegeven of document voor de eerste keer is vastgelegd  +
Burgerservicenummer (BSN) +Het burgerservicenummer (BSN) is het persoonsnummer voor contacten met de overheid. Dit unieke nummer helpt om bijvoorbeeld persoonsverwisselingen te voorkomen. Iedereen die zich voor het eerst inschrijft bij een gemeente krijgt een BSN. Een pasgeboren kind krijgt bij inschrijving in de BRP pas een BSN. Het BSN staat op het paspoort, rijbewijs en identiteitskaart.  +
Business Impact Analyse +Een van de specifieke activiteiten die bij applicatieontwikkeling moet worden uitgevoerd is de Business Impact Analyse (BIA). Hierbij wordt vanuit verschillende optieken de doelomgeving geanalyseerd, om op deze manier de juiste requirements voor de te ontwikkelen applicatie te kunnen identificeren en te traceren.  +
C
CMIS +Content Management Interoperability Services (CMIS) is een open standaard die een scheiding mogelijk maakt tussen zogenaamde ‘content repositories’ en content applicaties. Hierdoor kunnen content (ongestructureerde data, zoals documenten en e-mails) en bijbehorende metadata (beschrijvende data) gemakkelijker worden uitgewisseld. Met behulp van CMIS kunnen applicaties als Content Management Systemen (CMS) en Document Management Systemen (DMS) werken met content die afkomstig is uit verschillende repositories (een soort van opslagplaats voor ongestructureerde data), zonder nieuwe koppelingen te hoeven bouwen of gebruik te hoeven maken van leverancierseigen oplossingen. Het is hierdoor eenvoudiger om informatie en de bijbehorende metadata uit verschillende databases en over organisatiegrenzen heen uit te wisselen. Bovendien is het met CMIS eenvoudiger om te migreren van een systeem naar een ander systeem.  +
CSS +CSS maakt een op een realtief eenvoudige wijze een uniforme opmaak van websites mogelijk. CSS is een simpel mechanisme om opmaak (bijvoorbeeld lettertypes, kleuren, tussenruimtes) toe te voegen aan web pagina's. Met behulp van één stylesheet kunnen alle pagina's van een website uniform worden opgemaakt.  +
CSV +CSV-bestanden (Common Format and MIME Type for Comma-Separated Values Files) kunnen in een rekenblad- of een databaseprogramma worden ingelezen en vervolgens op een beeldscherm als tabel worden gepresenteerd. CSV bestanden bestaan uit regels met informatie waarbij naar ieder los gegeven een komma wordt geplaatst. Het wordt veelgebruikt om gegevens tussen verschillende spreadsheet programma's uit te wisselen en kan ook gebruikt worden op gegevens uit databases over te zetten naar een andere database.  +
Certificering +Certificering vindt plaats door certificatie instellingen; zo bestaan er bijvoorbeeld verschillende ISO-certificaten die door geaccrediteerde certificatie-instellingen worden afgegeven. Klanten eisen steeds vaker dat het certificaat is behaald voordat zij zaken willen doen met de betreffende IV-dienstverlener. Om een ISO-certificaat te kunnen behalen dient aantoonbaar aan een aantal eisen te zijn voldaan. Om aan een ISO-norm te kunnen voldoen moeten de werkprocessen in de organisatie inzichtelijk zijn gemaakt en dienen ze beheersbaar en bestuurbaar te zijn.  +
Classificatie van Informatie +Binnen ISO is gesteld dat een organisatie haar informatie moet classificeren om ervoor te zorgen dat informatie een passend beschermingsniveau krijgt. Hiervoor moet de organisatie een classificatieschema opstellen en dit schema communiceren binnen de organisatie. Een classificatieschema geeft beveiligingsrichtlijnen voor zowel algemene informatiemiddelen als voor informatie in het ontwikkeltraject. Binnen dit thema moet de projectverantwoordelijke dit classificatieschema als input beschikbaar hebben om binnen de context van de applicatie omgeving te kunnen toepassen. Het classificatieschema beidt specifieke richtlijnen voor het ontwikkeltraject.  +
Cloud computing (begrip) +test bij uploaden thema [[Cloud Computing (Cloud)]]  +
Cloudbeveiligingsstrategie +Organisaties staan voor de vraag, welke clouddiensten ze moeten verwerven en waar en hoe ze deze veilig kunnen inzetten. Hiervoor moeten de IT-stakeholders van CSC’s een beslissingsraamwerk ontwikkelen, waarmee systematisch de mogelijke scenario’s kunnen worden onderzocht. Dit raamwerk richt zich met name op typen applicaties en technische karakteristieken. Een strategie omvat uitspraken omtrent de doelstellingen bij de inzet van de clouddiensten, die de organisatie wil nastreven en de wegen waarlangs of de wijze waarop dit moet plaatsvinden. Om CSC’s te kunnen bedienen, zal de CSP vanuit haar eigen optiek een cloudbeveiligingsstrategie hebben ontwikkeld. Deze strategie geeft de CSC’s voldoende mogelijkheden om hun cloudstrategie te relateren aan de strategie van een specifieke CSP. Dit biedt de CSC de mogelijkheid om haar keuzes bij te stellen dan wel aanvullende eisen aan de CSP te stellen.  +
Clouddiensten Beleid +De onderwerpen die specifiek voor clouddiensten een rol spelen, zijn in afbeelding 'Overzicht beveiligingsprincipes in BUC- en IFGS-matrix' vermeld. Per specifiek beveiligingsprincipe worden de ‘control’ (hoofdnorm) en maatregelen (sub-normen) beschreven. De onderstaande afbeelding geeft de onderwerpen weer die specifiek voor het beleidsaspect een rol spelen. [[Afbeelding:BIO Thema Clouddiensten - Beveiligingsobjecten uitgewerkt voor het Beleidsdomein ingedeeld naar IFGS invalshoeken.png|thumb|none|500px|Beveiligingsobjecten uitgewerkt voor het Beleidsdomein ingedeeld naar IFGS invalshoeken|alt=”Beveiligingsobjecten uitgewerkt voor het Beleidsdomein ingedeeld naar IFGS invalshoeken”]]  +
Clouddiensten Control +De onderwerpen die voor clouddiensten specifiek binnen het control-aspect een rol spelen, zijn in onderstaande afbeelding weergegeven. [[Afbeelding:BIO Thema Clouddiensten - Beveiligingsobjecten uitgewerkt voor het Control domein ingedeeld naar IFGS invalshoeken.png|thumb|none|500px|Beveiligingsobjecten uitgewerkt voor het Control domein ingedeeld naar IFGS invalshoeken|alt=”Beveiligingsobjecten uitgewerkt voor het Control domein ingedeeld naar IFGS invalshoeken”]]  +
Clouddiensten Uitvoering +De onderstaande afbeelding geeft de onderwerpen weer die specifiek voor het uitvoeringsaspect een rol spelen. [[Afbeelding:BIO Thema Clouddiensten - Beveiligingsobjecten uitgewerkt voor het Uitvoeringsdomein ingedeeld naar IFGS invalshoeken.png|thumb|none|500px|Beveiligingsobjecten uitgewerkt voor het Uitvoeringsdomein ingedeeld naar IFGS invalshoeken|alt=”Beveiligingsobjecten uitgewerkt voor het Uitvoeringsdomein ingedeeld naar IFGS invalshoeken”]]  +
Clouddiensten-architectuur +In de clouddiensten-architectuur legt de CSP de functionele relaties vast tussen IT-componenten in de gehele keten van CSC en CSP. Deze architectuur beschrijft hoe de IT-componenten moeten worden ingericht zodat ze de bedrijfsprocessen van de CSC ondersteunen.  +
Clouddienstenbeleid +Het onderwerp cloud(diensten) zal een specifiek onderdeel moeten zijn van het informatiebeveiligingsbeleid van de CSC. Een CSC kan ook kiezen voor een specifiek clouddienstenbeleid, waarbij in de informatiebeveiligingsparagraaf, het algemene informatiebeveiligingsbeleid specifiek voor clouddiensten wordt uitgewerkt of ingevuld. Het beleid zal uitgangspunten moeten bevatten over de wijze waarop, binnen welk tijdbestek en met welke middelen clouddiensten de doelstellingen moeten bereiken. In dit beleid zal ook aandacht moeten worden besteed aan archiveringsbeleid, cryptografiebeleid, certificering en verklaringen. Om de CSC te kunnen bedienen, zal de CSP vanuit haar eigen optiek een cloudbeveiligingsbeleid hebben ontwikkeld. Dit beleid geeft de CSC mogelijkheden om haar cloudbeleid te relateren aan de strategie van CSP en biedt de CSC de mogelijkheid om de keuzes bij te stellen dan wel aanvullende eisen aan de CSP te stellen.  +
Communicatievoorzieningen Beleid +Binnen het Beleid-domein zijn specifieke inrichting- en beveiligingsobjecten ten aanzien van Communicatievoorzieningen beschreven en per object zijn conformiteitsindicatoren uitgewerkt. Deze conformiteitindicatoren representeren een vast te stellen set van implementatie-elementen (maatregelen). Onderstaande tabel en afbeelding tonen het resultaat van de SIVA analyse ten aanzien van relevante objecten voor Communicatievoorzieningen. De wit ingekleurde objecten ontbreken als control in de ISO2700x, maar zijn van belang voor dit thema. Om deze reden zijn aanvullende objecten uit andere baselines opgenomen. [[Afbeelding:Thema Communicatievoorzieningen - Onderwerpen die binnen het Beleiddomein een rol spelen.png|thumb|left|500px|Onderwerpen die binnen het Beleid-domein een rol spelen|alt=”Onderwerpen die binnen het Beleid-domein een rol spelen”]] <table class="wikitable"> <tr> <th class="tg-0pky"> Nr. </th> <th > Relevante beveiligingsobjecten </th> <th > Referentie naar standaarden </th> <th > IFGS </th> </tr> <tr> <td > B.01 </td> <td > Beleid en procedures informatietransport </td> <td > BIO:132.2.1, ISO27033-1: 6.2 </td> <td > I </td> </tr> <tr> <td > B.02 </td> <td > Overeenkomsten over informatietransport </td> <td > BIO:13.2.2, ISO27033-1 BSI IT-Grundschutz: S.6 </td> <td > F </td> </tr> <tr> <td > B.03 </td> <td > Cryptografiebeleid voor communicatievoorzieningen </td> <td > BIO: 10.3.1, 18.1.5.1 ISO27033-1: 8.8, </td> <td > G </td> </tr> <tr> <td > B.04 </td> <td > Organisatiestructuur van netwerkbeheer </td> <td > BSI S4.2, ISO27033-1: 8.2 ITIL: Netwerkbeheer </td> <td > S </td> </tr> <caption align="bottom">Communicatievoorzieningen, Voor het Beleiddomein uitgewerkte Beveiligingsobjecten</caption></table>  +
Communicatievoorzieningen Control +Binnen het Controldomein zijn specifieke inrichting- en beveiligingsobjecten ten aanzien van Communicatievoorzieningen beschreven en per object zijn conformiteitsindicatoren uitgewerkten. Deze conformiteitindicatoren representeren een vast te stellen set van implementatie-elementen (maatregelen). Beheersing van netwerk(diensten) beoogt de beveiligingsrisico’s te beperken. Hiertoe dienen periodiek door bepaalde functionaris met specifieke bevoegdheden controle activiteiten te worden verricht. Deze activiteiten dienen ondersteund te worden met procedures en richtlijnen (instructies). De structuur van de beheersingsorganisatie beschrijft de samenhang van de ingerichte processen. Onderstaande tabel en afbeelding tonen het resultaat van de SIVA analyse ten aanzien van relevante objecten voor Communicatievoorzieningen. De wit ingekleurde objecten ontbreken als control in de ISO2700x, maar zijn van belang voor dit thema. Om deze reden zijn aanvullende objecten uit andere baselines opgenomen. [[Afbeelding:Thema Communicatievoorzieningen - Onderwerpen die binnen het Controldomein een rol spelen.png|thumb|left|500px|Onderwerpen die binnen het Control domein een rol spelen|alt=”Onderwerpen die binnen het Control domein een rol spelen”]] <table class="wikitable"> <tr> <th class="tg-0pky"> Nr. </th> <th > Relevante beveiligingsobjecten </th> <th > Referentie naar standaarden </th> <th > IFGS </th> </tr> <tr> <td > C.01 </td> <td > Naleving richtlijnen netwerkbeheer en evaluaties </td> <td > BIO:18.2.3, SoGP: SM1.1.1, SM3.5.2 </td> <td > I </td> </tr> <tr> <td > C.02 </td> <td > Netwerkbeveiliging compliancy checking </td> <td > BIO:8.2.2.4, ISO27033-1 ISO27033-2: 7.2.6, 8.7 </td> <td > F </td> </tr> <tr> <td > C.03 </td> <td > Evalueren van robuustheid netwerkbeveiliging </td> <td > BIO:18.1.2, 18.2.1,  ISO27033-1: 8.2.5, SoGP: NW1.3 </td> <td > F </td> </tr> <tr> <td > C.04 </td> <td > Evalueren van netwerkgebeurtenissen (monitoring) </td> <td > BIO:8.2.4, ISO27033-1 </td> <td > G </td> </tr> <tr> <td > C.05 </td> <td > Beheersorganisatie netwerkbeveiliging </td> <td > ISO27003: ISMS, SoGP: NW1.4 </td> <td > S </td> </tr> </table> <caption align="bottom">Communicatievoorzieningen, Voor het Controldomein uitgewerkte Beveiligingsobjecten</caption></table>  +
Communicatievoorzieningen Uitvoering +Binnen het Uitvoeringdomein zijn specifieke inrichting- en beveiligingsobjecten ten aanzien van Communicatievoorzieningen beschreven en per object zijn conformiteitsindicatoren uitgewerkten. Deze conformiteitindicatoren representeren een vast te stellen set van implementatie-elementen (maatregelen). Onderstaande tabel en afbeelding tonen het resultaat van de SIVA analyse ten aanzien van relevante objecten voor Communicatievoorzieningen. De wit ingekleurde objecten ontbreken als control in de ISO2700x, maar zijn van belang voor dit thema. Om deze reden zijn aanvullende objecten uit andere baselines opgenomen. [[Afbeelding:Thema Communicatievoorzieningen - Onderwerpen die binnen het Uitvoeringdomein een rol spelen.png|thumb|left|500px|Onderwerpen die binnen het Uitvoering domein een rol spelen|alt=”Onderwerpen die binnen het Uitvoering domein een rol spelen”]] <table class="wikitable"> <tr> <th class="tg-0pky"> Nr. </th> <th > Relevante beveiligingsobjecten </th> <th > Referentie naar standaarden </th> <th > IFGS </th> </tr> <tr> <td > U.01 </td> <td > Richtlijnen voor netwerkbeveiliging </td> <td > BIO:8.2.2.3, ISO27033-1 ISO27033-2: 6,7,8 </td> <td > I </td> </tr> <tr> <td > U.02 </td> <td > Beveiligde inlogprocedure </td> <td > BIO:9.4.2, ISO27033-1: 8.4 </td> <td > I </td> </tr> <tr> <td > U.03 </td> <td > Netwerk beveiligingsbeheer </td> <td > BIO:13.1.1, ISO27033-1: 8.2, 8.2.2 </td> <td > F </td> </tr> <tr> <td > U.04 </td> <td > Vertrouwelijkheid- en geheimhoudingsovereenkomst </td> <td > BIO:13.2.4, SoGP: NW1.1 </td> <td > F </td> </tr> <tr> <td > U.05 </td> <td > Beveiliging van netwerkdiensten </td> <td > BIO:13.1.2, ISO27033-1: 10.6 </td> <td > F </td> </tr> <tr> <td > U.06 </td> <td > Zonering en filtering </td> <td > BIO:13.1.3, ISO27033-1: 10.7 ISO27033-2: 7.2.3 NORA Patronen: Zoneringsmodel </td> <td > F </td> </tr> <tr> <td > U.07 </td> <td > Elektronische berichten </td> <td > BIO:13.2.3, ISO27033-1: 10.3, 10.8 </td> <td > F </td> </tr> <tr> <td > U.08 </td> <td > Toepassingen via openbare netwerken </td> <td > BIO: 14.2.1 </td> <td > F </td> </tr> <tr> <td > U.09 </td> <td > Gateways en firewalls </td> <td > ISO27033-4, SoGP: NC1.5 NORA Patronen: Koppelvlak </td> <td > G </td> </tr> <tr> <td > U.10 </td> <td > Virtual Private Networks (VPN) </td> <td > ISO27033-5 NORA Patronen: Vertrouwd toegang-pad </td> <td > G </td> </tr> <tr> <td > U.11 </td> <td > Cryptografische services </td> <td > BIO:10, ISO27033-1: 8.2.2.5 SoGP: NC1.1 NORA Patronen: Encryptie </td> <td > G </td> </tr> <tr> <td > U.12 </td> <td > Wireless Access </td> <td > ISO27033-6 NORA Patronen: Draadloos netwerk </td> <td > G </td> </tr> <tr> <td > U.13 </td> <td > Netwerkconnecties </td> <td > BIO:8.2.2.5, ISO27033-1 NORA Patronen: Koppelvlak </td> <td > G </td> </tr> <tr> <td > U.14 </td> <td > Netwerkauthenticatie </td> <td > NORA Patronen: Beschouwingsmodel Netwerk </td> <td > G </td> </tr> <tr> <td > U.15 </td> <td > Netwerk beheeractiviteiten </td> <td > ISO27033-1: 8.4, ISO27033-2: 8.4 </td> <td > G </td> </tr> <tr> <td > U.16 </td> <td > Vastleggen en monitoren van netwerkgebeurtenissen (events) </td> <td > ISO27033-1: 8.5 ISO27033-2: 8.5 </td> <td > G </td> </tr> <tr> <td > U.17 </td> <td > Netwerk beveiligingsarchitectuur </td> <td > BIO:9.2, ISO27033-1 ISO27033-2: 8.6 SoGP: Network design NORA Patronen: Diverse patronen </td> <td > S </td> </tr> <caption align="bottom">Communicatievoorzieningen, Voor het Uitvoeringsdomein uitgewerkte Beveiligingsobjecten</caption></table>  +
Community Meeting 03-11-2016 +Start Software voor data op het web community  +
Community Meeting 07-04-2017 +Software voor data op het web community meeting  +
Compliance en assurance +Met compliance wordt aangeduid dat de CSP werkt in overeenstemming met de geldende wet- en regelgeving en het uitgestippeld cloudbeveiligingsbeleid. Hiervoor zal de CSP een compliance-functie moeten hebben ingericht die het management van CSP bijstaat bij het in control houden van de CSP-organisatie om in overeenstemming te werken met de geldende wet- en regelgeving en het overeengekomen beveiligingsbeleid. Assurance is het zekerheid geven over de naleving van wet- en regelgeving met behulp van een onafhankelijke toetsing. Daarmee wordt aan de ‘Gebruiker’ zekerheid geboden van het beoogde beveiligingsniveau van de aangeboden clouddienst. Dit vindt plaats op basis van een assurance-rapportage.  +
Compliance management +Compliance management richt zich op het naleven van de verplichtingen die voortkomen uit (a) wet- en regelgeving en (b) door de organisatie overeengekomen beleid, richtlijnen, standaarden en architectuur. Vanuit optiek van de functionele- en technische beveiligingseisen voor de software is het van belang om via een compliance managementproces vast te stellen in welke mate de gerealiseerde software voldoet aan de verplichtingen die voortvloeien uit wet en regelgeving en uit vooraf overeengekomen beleid, architectuur, standaarden en contracten.  +
Congres Zaakgericht werken voor de Overheid 2018: Connect! +Congres Zaakgericht werken voor de Overheid 2018: Connect!  +
Congres Zaakgericht werken voor de Overheid op 1 oktober 2019 +Congres Zaakgericht werken voor de Overheid op 1 oktober 2019  +
Continuiteitsmanagement +Continuïteitbeheer, ook bekend als: Business Continuïty Mananagement Systems (BCMS), is genormeerd en beschreven in NEN-ISO 22313:2014 nl. <br/>Bedrijfscontinuïteit is het vermogen van de organisatie, om na een verstorend incident, producten of diensten te blijven leveren op acceptabele, vooraf vastgestelde niveaus. Bedrijfscontinuïteitbeheer (BCM) is het proces waarmee bedrijfscontinuïteit bereikt wordt en gaat over het voorbereiden van een organisatie op het afhandelen van verstorende incidenten die anders zouden kunnen verhinderen haar doelstellingen te bereiken <br/> In de context van Huisvesting-IV richt BCMS zich o.a. op de beschikbaarheid van data en bedrijfsfuncties vanuit applicaties en de onderliggende infrastructuur en netwerk op de lange termijn. In het Control domein gaat het om de vraag of voldoende maatregelen genomen zijn om te zorgen dat na een calamiteit de Huisvesting-IV services weer zo snel mogelijk hersteld kunnen worden. <br/>Samengevat, continuïteitbeheer: * stelt plannen op, en onderhoudt deze, om voorbereid te zijn om na het zich voordoen van een calamiteit, zo snel mogelijk over te kunnen schakelen op noodvoorzieningen en daarna op een gestructureerde wijze terug te keren naar een (herbouwde) stabiele omgeving. * heeft noodvoorzieningen achter de hand om de belangrijkste activiteiten zo snel mogelijk weer op te starten (uitwijk). * is in staat om, na herstel van de oorspronkelijke omgeving, gestructureerd terug te gaan naar een situatie zoals die was voor het uitbreken van de calamiteit(‘business as usual’).  +
Contractmanagement +Wanneer de ontwikkeling en/of het beheer over de gehele of een deel van de Huisvesting-IV wordt uitbesteed, moeten de functionele en beveiligingseisen in een overeenkomst tussen beide partijen worden vastgelegd, zoals in een contract en/of Servicelevel Agreement (SLA). Deze overeenkomst moet garanderen dat er geen misverstanden bestaan tussen de beide partijen.  +
Controle richtlijn +Binnen het Huisvesting-IV bevinden zich verschillende bedrijfsmiddelen. Periodiek dient een functionaris met specifieke bevoegdheden controle activiteiten ten aanzien van de bedrijfsmiddelen te verrichten. Hierdoor kunnen eventuele gebreken tijdig worden vastgesteld en de noodzakelijke maatregelen worden getroffen. Deze activiteiten moeten ondersteund worden met richtlijnen, procedures en instructies, anders bestaat het risico dat de resultaten van de controle activiteiten niet voldoen aan de verwachte eisen. De beheerorganisatiestructuur geeft de samenhang van de ingerichte processen weer.  +
Crypto-services +Cryptoservices zijn technische functies voor het versleutelen en ontsleutelen van data, het maken van elektronische handtekeningen en kunnen toepassen van versterkte authenticatie, al dan niet via Public-Key-Infrastructuur (PKI) technologie. Sleutelbeheer is een onderdeel van cryptoservices. Desgewenst kan de CSC in haar PvE(W), de crypto-eisen van het Nationaal Bureau Verbindingsveiligheid (NBV) specificeren. NB Er volgt in de versie 1.1 een principe ‘Cryptobeleid’ waarin beleidsmaatregelen ten aanzien van cryptservices is opgenomen AP WTJV.  +
Cryptografie +Encryptie is een techniek om informatie te beschermen vanuit het oogpunt van vertrouwelijkheid, authenticiteit, onweerlegbaarheid en authenticatie. Voor toegangsbeveiliging is het van cruciaal belang dat de geheime authenticatie-informatie, zoals wachtwoorden en PIN-codes, worden beschermd tijdens de verwerking, het transport en de opslag. Een solide encryptiebeleid is daarbij een randvoorwaarde om aan geheime authenticatie-informatie het gewenste vertrouwen te ontlenen. Met dit beleid de organisatie aan op welke wijze het omgaat met voorzieningen, procedures en certificaten t.b.v. versleuteling van gegevens.  +
Cryptografiebeleid voor communicatie +In ISO27002 worden ten aanzien van communicatievoorzieningen de volgende principes expliciet genoemd: * het, met inbegrip van methoden voor het beveiligen van de toegang op afstand, beschikbaar stellen van passende communicatievoorzieningen; * tijdens hun gehele levenscyclus dient beleid te worden ontwikkeld en geïmplementeerd ter bescherming van informatie en voor de bescherming, het gebruik en de levensduur van cryptografische beheersmaatregelen (zoals crypto-sleutels).  +
Cryptografische Services +De ISO27002 normeert beleid voor cryptografie en sleutelbeheer. Cryptografische services van communicatievoorzieningen zijn beheersmaatregelen ter bescherming van de integriteit en vertrouwelijkheid van gegevens. Cryptografie wordt behalve voor versleuteling van informatie (zonering) ook gebruikt voor de authenticatie en autorisatie van gegevens en netwerkconnecties. De Pas-Toe-en-Leg-Uit lijst van het Forum Standaardisatie benoemt passende beheersmaatregelen.  +
D
DHCP +DHCP maakt het mogelijk om automatisch netwerkadressen toe te wijzen aan hosts en maakt het bijvoorbeeld ook mogelijk om de netwerkadressen van DNS server mee te sturen. Het DHCP protocol specificeert een framework dat het mogelijk maakt om configuratie-informatie door te sturen naar hosts op een TCP/IP netwerk.  +
DKIM +DKIM (DomainKeys Identified Mail Signatures) koppelt een e-mail aan een domeinnaam met behulp van een digitale handtekening. Het stelt de ontvanger in staat om te bepalen welke domeinnaam (en daarmee welke achterliggende organisatie) verantwoordelijk is voor het zenden van de e-mail. Daardoor kunnen spam- en phishing-mails beter worden gefilterd.  +
DMARC +Anti-phishing  +
DNSSEC +DNS is kwetsbaar waardoor een kwaadwillende een domeinnaam kan koppelen aan een ander IP-adres ("DNS spoofing"). Gebruikers kunnen hierdoor bijvoorbeeld worden misleid naar een frauduleuze website. Domain Name System Security Extensions (DNSSEC) lost dit op. DNSSEC is een cryptografische beveiliging die een digitale handtekening toevoegt aan DNS-informatie. Op die manier wordt de integriteit van deze DNS-informatie beschermd. Aan de hand van de digitale handtekening kan een internetgebruiker (onderwater en volledig automatisch m.b.v. speciale software) controleren of een gegeven DNS-antwoord authentiek is en afkomstig is van de juiste bron. Zodoende is met grote waarschijnlijkheid vast te stellen dat het antwoord onderweg niet is gemanipuleerd.  +
DUO gegevenswoordenboek +Het gegevenswoordenboek van DUO vormt sinds 2008 de semantische kern van wettelijke uitvoeringstaken in het onderwijs. Registraties en uitwisselingen tussen DUO, onderwijsinstellingen en andere uitvoeringsorganisaties kunnen worden geduid aan de hand van dit gegevenswoordenboek. Hergebruik is de regel. Modellen voor registraties en uitwisselingen kunnen gebruik maken van dezelfde elementen uit het gegevenswoordenboek. Het gegevenswoordenboek van DUO is gepubliceerd als linked data api.  +
DUTO (Normenkader Duurzaam Toegankelijke Overheidsinformatie) +DUTO is een lijst van eisen voor de duurzame toegankelijkheid van overheidsinformatie, die wordt ontwikkeld door het Nationaal Archief in opdracht van het ministerie van OCW. Met de DUTO-eisen kunnen overheidsorganen bepalen welke maatregelen ze moeten nemen om de digitale informatie die ze ontvangen en creëren, duurzaam toegankelijk te maken. DUTO is bedoeld voor alle informatieprofessionals die betrokken zijn bij het (her)inrichten van werkprocessen en de daarbij gebruikte applicaties.  +
Data en privacy +Data en privacy omvat de inventarisatie en classificatie van gegevens volgens een specifiek labelingbeleid. Databescherming kan plaatsvinden in drie toestanden: data-at-rest, data-in-use en data-in-transit. Data in apparaten kan worden beheerst door te richten op drie momenten: verwijdering, vervoer en verplaatsing. Data kan gerelateerd worden aan bedrijfsgegevens en persoonsgegevens. Ter bescherming van persoonsgegevens zullen de noodzakelijke maatregelen moeten zijn getroffen. Beveiliging van data kan vanuit verschillende aspecten worden benaderd. In onderstaande afbeelding worden de voornaamste aspecten benoemd. [[Afbeelding:BIO Thema Clouddiensten - Data in verschillende bedrijfstoestanden.png|Left|500px|Thema Clouddiensten - Data in verschillende bedrijfstoestanden|alt=”Thema Clouddiensten - Data in verschillende bedrijfstoestanden”]]  +
Data-protectie +Data ‘op transport’ zijn bedrijfsgegevens die via de clouddienst, met de CSP worden uitgewisseld. Data ‘in verwerking’ betreft gegevens die worden bewerkt. Data ‘in rust’ betreft gegevens die voor korte of langere tijd zijn opgeslagen. Aan deze drie situaties stelt de overheid strenge eisen. Voor het toepassen van public clouddiensten geldt voor de Rijkdiensten, dat een Secretaris Generaal vooraf toestemming dient te verlenen voor het in de public cloud verwerken van BBN2 gerubriceerde informatie. Deze eis geldt ook voor persoonsgegevens.  +
Dataland gegevenswoordenboek +Gegevenswoordenboek over alle gebouwde objecten. Allereerst wordt een toelichting gegeven op de gebruikte terminologie bij de gegevensspecificaties. Vervolgens wordt het gebouwde object gedefinieerd waarop de DataLand-gegevens betrekking hebben. Daarna wordt elk DataLand-gegeven gespecificeerd. Kenmerkend daarvoor is dat DataLand per gegeven, uitzonderingen daargelaten, een voorkeur-specificatie kent en tevens één of meer alternatieve specificaties onderkent.  +
Dataretentie en vernietiging gegevens +Dataretentie betreft het duurzaam en technologie-onafhankelijk opslaan en archiveren van data, waarbij de integriteit en leesbaarheid van de data gedurende de gehele bewaartijd niet wordt aangetast. Gegevens zoals persoonsgegevens moeten zodra ze niet meer benodigd zijn of aan het eind van de bewaartermijn worden gewist of vernietigd.  +
Datum en tijd +De standaard definieert een methode voor het weergeven van de datum en de tijd. De ISO 8601:2004 standaard is van toepassing wanneer data volgens de Gregoriaanse kalender wordt weergegeven, tijden in de het 24-uurs systeem en bij tijdsintervallen, of herhalende tijdsintervallen. Deze ISO standaard zegt niets over data en tijden waarbij woorden worden gebruikt in de representatie en het zegt tevens niets over data en tijden indien bij de representatie geen karakters worden gebruikt.  +
De API wordt volwassen - 4 maart Kennisplatform API +De API wordt volwassen - 4 maart Kennisplatform API  +
De Monitor Open Standaardenbeleid 2017 als herbruikbare data in NORA ontsloten +De Monitor Open Standaardenbeleid 2017 als herbruikbare data in NORA ontsloten  +
De Nederlandse Loonaangifteketen wint de ASAP Individual Alliance Excellence Award 2017 +De Nederlandse Loonaangifteketen wint de ASAP Individual Alliance Excellence Award 2017  +
De Ondersteuningsaanpak Zaakgericht Werken die VNG Realisatie in het kader van Agenda 2020 ontwikkeld heeft is op 9 februari live gegaan +De Ondersteuningsaanpak Zaakgericht Werken die VNG Realisatie in het kader van Agenda 2020 ontwikkeld heeft is op 9 februari live gegaan  +
De Privacy Baseline +De Privacy Baseline is een product van het [[Centrum Informatiebeveiliging en Privacybescherming (CIP)]] en een onderdeel van de documentenreeks [[De_Privacy_Baseline/Aanvullende_informatie#Grip op privacy|'Grip op privacy']]. Het doel van deze documentenreeks is praktische handvatten bieden aan organisaties die privacy in beleid en uitvoering controleerbaar willen implementeren. Dit [[normenkader]] heeft betrekking op het onderwerp [[Privacy]] en bestaat uit [[privacyprincipes]], onderliggende [[normen]] en begeleidende teksten. Deze wiki-versie is gebaseerd op en bedoeld als opvolger van de [https://www.cip-overheid.nl/productcategorieën-en-worshops/producten/gegevens-bescherming/#privacy-baseline 3.2 versie van de Privacy Baseline]. ===De Privacy Baseline en ISOR=== Voor de Privacy Baseline zijn de privacyprincipes uit de wet [[Algemene Verordening Gegevensbescherming (AVG)|AVG]] gefilterd en vertaald naar normen die gehaald moeten worden om aan de wet te voldoen. Zo komt de Baseline aan het karakter van een ''normenkader'' van het type dat doorgaans gebruikt wordt voor Informatiebeveiliging. Omdat het normenkader tevens is gevormd naar de uitgangspunten van de [[SIVA-methode]], is ervoor gekozen de Privacy Baseline ook in de [[ISOR]] te plaatsen, zoveel mogelijk in hetzelfde format als de normenkaders voor Informatiebeveiliging. Dat gaat aan de oppervlakte goed, maar er is een verschil in ontstaansgeschiedenis en dat betreft de indeling van de principes en onderliggende normen in [[Alle invalshoeken|Invalshoeken]]. Dit is een belangrijk kernonderdeel van de SIVA-methode, voorafgaand aan het opstellen van de principes en normen, om lacunes in de objectenanalyse te ontdekken.<br>Het onderwerp van de Privacy Baseline is echter niet Privacy, maar de Privacy''wetgeving''. De pretentie van de Privacy Baseline niet om de wet op volledigheid en consistentie te toetsen, doch om de gebruiker een handzame en geannoteerde set van toetsbare criteria mee te geven die hem helpen zich aan de wet te houden. In de Privacy Baseline zal daarom bij invalshoek 'Onbekend' staan.  +
De identiteit van een subject is niet uniek +De identiteit van een subject is niet uniek. Van één bepaald subject zijn vaak meerdere identiteiten binnen een organisatie geregistreerd.  +
De lanceringsbijeenkomst voor de DERA 2.0 was een groot succes +De lanceringsbijeenkomst voor de DERA 2.0 was een groot succes  +
De monitor open standaardenbeleid 2016 verwerkt in NORA-wiki +De monitor open standaardenbeleid 2016 verwerkt in NORA-wiki  +
De omgevingsvergunning +Wie een huis wil bouwen, krijgt te maken met verschillende vergunningen en voorschriften. Het gaat om regelingen voor wonen, ruimte en milieu met elk hun eigen criteria en procedures. De vergunningen worden verstrekt door verschillende overheidsinstanties. Dit is voor burgers, bedrijven én de overheid onoverzichtelijk, tijdrovend en kostbaar. Het kan bovendien leiden tot tegenstrijdige beslissingen. Om in deze situatie verbetering te brengen, regelt de Wet algemene bepalingen omgevingsrecht (Wabo) de bundeling van verschillende vergunningen tot één omgevingsvergunning. Gemeenten fungeren hiervoor als loket. Achter dit loket worden de (deel)aspecten nog steeds beoordeeld door verschillende overheidsorganisaties, maar zij stemmen hun activiteiten af om tot één besluit te komen.  +
De rol van de architect in rijksbrede samenwerking en tactisch beheer van architectuur +[[Afbeelding:Presentatie Martin en Roland NORA Gebruikersdag 19 november 2019 (2).jpg|thumb|right|350px|De rol van de architect in rijksbrede samenwerking en tactisch beheer van architectuur|alt=Presentatie in vergaderzaal over het onderwerp De rol van de architect in rijksbrede samenwerking en tactisch beheer van architectuur”|link=De rpl van de architect in rijksbrede samenwerking en tactisch beheer van architectuur]] Roland Drijver trapte de sessie af met een verhaal over Rijkswaterstaat en hun manier van werken. In rap tempo kwamen een heleboel aspecten aan bod, van anekdotes over kennisdeling met leveranciers tot de manier waarop zij inzetten op het opbouwen van de 'capabilities' van hun medewerkers. Martin Lemmen vult Roland aan en tekent ter plekke het verantwoordingsmodel op een flipover. Een aantal onderwerpen dat aan bod kwam: * We maken in de verschillende overheidsorganisaties gebruik van andere termen, modellen et cetera. Dat levert extra drempels op bij samenwerking: wie gewend is aan een Business Transformatie Plan en praat met iemand die normaal werkt met een Business Information Plan heeft last van een spraakverwarring, terwijl de inhoud behoorlijk overlapt. * Samenwerken is ook herkennen dat er verschillende types mensen zijn, waarbij je eigen inborst effect heeft op de manier waarop je tegen iets aankijkt: Angstige mensen zien risico's, dappere mensen zien kansen, nauwkeurige mensen kijken naar de details enzovoorts. * Het nadeel van de gedachte dat we als medewerkers zelf een hoop kunnen doen en regelen, is dat 9 van de 10 mensen die data verwerkt een '[ toerist' is en geen professional als het gaat om informatiemanagement. 14 informatiemanagers zijn niet genoeg om te zorgen dat data vindbaar en herbruikbaar zijn en de business case is duidelijk voor wie er een beetje verstand van heeft. Maar is het ook duidelijk voor de mensen die er over gaan? [[Afbeelding:impressie sessie Rijkswaterstaat 19-11-2019.jpg|thumb|500px|none|Impressie van de sessie|alt=Getekende impressie van de sessie, waarop te zien: Titel Rijkswaterstaat. Brug met daaronder: Beheer p.jaar 0,9 % v.d. nieuwwaarde. Snelweg met daarnaast een baan vol nulletjes en eentjes. Op de snelweg twee paarse tekstwolkjes met een pijl van de eerste naar de tweede: Data? 'Zelf doen.' Pijl, Hoeveel is herbruikbaarheid & vindbaar waard? Blauwe pijl naar de tekst Professionals. Hiernaast een kader dat verbonden is met de databaan van de snelweg: Tien poppetjes, waarvan 9 paars en 1 blauw. Bij het blauwe poppetje staat 14 informatiemanagers. Onder de poppetjes de tekst: 9 van de 10 mensen die met data bezig zijn doen dat als 'toerist.' Rechts op de pagina in blauw de tekst Verantwoordingsmodel. Pijl naar tekst: Effect van sturing helder. Hieronder zijn twee modellen van sturing aangeduid, van Colporterend naar Recursief: Colporterend wordt uitgeduid met een afbeelding van een poppetje met paars-blauw gestippelde tekstwolk Mwa? en daarbij quote 'hangend het seizoen bepalen afdelingshoofden of ze er wel/niet van zijn.' Recursief wordt uitgebeeld met een hiërarchisch geschikte groep mensen die elk ofwel ja ofwel nee zeggen, met de uitleg: opdracht belegd bij personen op elke organisatielaag. Vanaf de snelweg komt een gekromde lijn met de tekst Levenslang Leren. Op deze boog staat een stoet met voertuigen, die steeds complexer worden: van step tot tractor en wegenbouw-wals. De laatste drie voertuigen hebben paarse wolkjes met data als uitlaatgas en/of een antenne met radiogolven. Onder de stoet staat de tekst Medewerkers opbouwen.]] : → [[media:Presentatie De rol van de architect in rijksbrede samenwerking en tactisch beheer van architectuur.pdf| Presentatie (PDF, 2,09 MB)]]  +
De tweede druk van Ketens de Baas is nu ook te downloaden als pdf of EPUB +De tweede druk van Ketens de Baas is nu ook te downloaden als pdf of EPUB  +
Definitie Informatiecatalogus +Het begrip 'Informatiecatalogus' sec wordt nauwelijks gebruikt: wat is een 'informatiecatalogus' exact en waarin dit verschilt van een gegevenswoordenboek, metadata rond gebruik en een dienstbeschrijving moet nader gepreciseerd worden. Of zijn het dezelfde soort dingen?  +
Definities Geostandaarden +Ook wel genoemd de NEN 3610 conceptenbibliotheek. Hier vindt u definities van concepten die gebruikt worden in [[NEN 3610]] informatiemodellen. Op dit moment zijn dit IMGeo, NEN3610 en IMRO beheerd door Geonovum en IMBRT beheerd door het Kadaster.  +
Definiëren van toegangsrechten is een moeizaam en langdurig proces +Definiëren van toegangsrechten is een moeizaam en langdurig proces.  +
Dienst +Een afgebakende prestatie van een persoon of organisatie (de dienstverlener), die voorziet in een behoefte van haar omgeving (de afnemers).  +
Dienstverlener +De persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers)  +
DigiD +DigiD is het digitale authenticatiesysteem voor overheidsorganisaties en publieke dienstverleners. Met DigiD kunnen zij online de identiteit van burgers vaststellen. DigiD zorgt ervoor dat overheidsorganisaties en publieke dienstverleners betrouwbaar zaken kunnen doen met burgers via hun website. Logt een burger met zijn persoonlijke DigiD in? Dan krijgt hij via DigiD het Burgerservicenummer (BSN) teruggekoppeld. Zo weten ze precies met wie ze te maken hebben, en kunnen ze direct nagaan welke informatie ze al hebben over een persoon.  +
DigiD Machtigen +Met DigiD Machtigen kunnen burgers hun overheidszaken via internet door iemand anders laten regelen. Dit is handig als ze hier zelf niet toe in staat zijn. Of ze vinden het makkelijk als iemand anders dit voor ze doet. Het afstaan van de persoonlijke DigiD is hierbij niet nodig. Organisaties die gebruik mogen maken van DigiD kunnen DigiD Machtigen inzetten voor alle digitale diensten aan burgers waarvoor zij DigiD inzetten. Sinds 2012 is het, met de invoering van de diensten catalogus, mogelijk om met één machtigingshandeling een burger voor meerdere diensten te machtigen.  +
DigiInkoop +DigiInkoop (voorheen Elektronisch Bestellen en Factureren (EBF)) is de nieuwe digitale voorziening voor de Rijksdienst en haar leveranciers om het inkoopproces efficiënter, doelmatiger, rechtmatiger en makkelijker te maken. In 2012 en 2013 wordt DigiInkoop gefaseerd ingevoerd bij de ministeries en agentschappen. DigiInkoop bestaat uit een berichtenverkeervoorziening (BVV via [[Digipoort]]) en een e-purchasingvoorziening (EPV).  +
Digikoppeling +Digikoppeling bestaat uit, door het College Standaardisatie vastgestelde, koppelvlakstandaarden. Die standaarden bevatten logistieke afspraken om berichten juist te adresseren, leesbaar en uitwisselbaar te maken en veilig en betrouwbaar te verzenden. Digikoppeling gaat over de 'envelop' en voert uit wat daar op staat. De gegevens gaan dan naar de juiste overheidsorganisatie en naar het juiste adres. Aangetekend of juist niet, versleuteld, als herhaalde aanbieding, of retour-afzender. De inhoud van het bericht in de envelop is voor de geadresseerde. Digikoppeling onderkent twee hoofdvormen van berichtenverkeer: bevragingen en meldingen. De vorm van het berichtenverkeer bepaalt welke koppelvlakstandaard moet worden geïmplementeerd (in de meeste gevallen zal een organisatie aan beide behoefte hebben) Uitgangspunt van Digikoppeling is dat een organisatie op één plaats in de eigen ICT-infrastructuur een koppelpunt volgens Digikoppeling inricht. Digikoppeling biedt een aantal ondersteunende voorzieningen voor de implementatie: Serviceregister, Compliancevoorzieningen en CPA-creatievoorziening. Digikoppeling bestaat dus uit: *[[Digikoppeling (Standaarden)|Digikoppeling Standaarden]] *Digikoppeling-compliancevoorziening *CPA-Creatievoorziening *OIN-register  +
Digikoppeling (Standaarden) +Digikoppeling bestaat uit een set standaarden voor elektronisch berichtenverkeer tussen overheidsorganisaties. Digikoppeling onderkent twee hoofdvormen van berichtenverkeer: * Bevragingen; een vraag waar direct een reactie op wordt verwacht. Hierbij is snelheid van afleveren belangrijk. Als een service niet beschikbaar is, dan hoeft de vraag niet opnieuw worden aangeboden. * Meldingen; men levert een bericht en pas (veel) later komt eventueel een reactie terug. In dat geval is snelheid van afleveren minder belangrijk. Als een partij even niet beschikbaar is om het bericht aan te nemen, dan is het juist wel gewenst dat het bericht nogmaals wordt aangeboden. Aan versie 2.0 van Digikoppeling is o.a. de specifiactie voor grote berichten toegevoegd, de mogelijkheid om attachments toe te voegen en om security op berichtniveau toe te passen. Digikoppeling versie 2 en later zijn backward compatible met versie 1. In 2018 is besloten om geen versienummering meer te gebruiken voor Digikoppeling. De meest actuele versie is nu altijd de verzameling van gepubliceerde documenten. Zo is in 2018 de DK Architectuur naar versie 1.5.1 gegaan terwijl de Koppelvlakstandaard WUS op 3.5 is gebleven.  +
Digilevering +Overheidsinstellingen moeten op de hoogte zijn van gebeurtenissen die voor hun taken relevant zijn. Denk aan de geboorte van een persoon, het starten van een onderneming of het vaststellen van een inkomen. Basisregistraties kunnen gegevens over deze gebeurtenissen leveren. Afnemers van de basisregistraties kunnen zich met Digilevering abonneren op deze gebeurtenissen.  +
Digimelding +Digimelding is de generieke oplossing voor het melden van onjuistheden in basisregistraties. Wanneer overheidsorganisaties gebaseerd op hun eigen informatie vermoeden dat een gegeven in een basisregistratie niet (meer) klopt, kunnen ze dat met Digimelding melden aan de bronhouder. Die onderzoekt de melding vervolgens en wijzigt als dat nodig is de gegevens in de basisregistratie. Digimelding zorgt dat meldingen op een uniforme wijze gebeuren en bij de juiste bronhouder terecht komen. Digimelding bestaat uit twee onderdelen: * [[Digimelding BLT]] * [[Digimelding AS|Digimelding Annotatiespecificatie]]  +
Digimelding BLT +Een voorziening voor het laagdrempelig terugmelden door afnemers. Door één terugmeldvoorziening te ontwikkelen wordt voorkomen dat iedere basisregistratie deze voorziening apart moet ontwikkelen. Ook hoeft een afnemer niet aan iedere basisregistratie op een afwijkende manier terug te melden.  +
Digimelding Specificaties +De Digimelding Annotatie Specificatie (Digimelding AS) en de Digimelding Protocol Specificatie (DMPS) zijn specificaties voor het uitwisselen van terugmeldingen.  +
Diginetwerk +Koppelen gesloten netwerken (o.a. Haagse Ring, Rijksconnect, Rijksinternet)