Eigenschap:Criterium
Naar navigatie springen
Naar zoeken springen
Type eigenschap
:
Tekst
Geldige waarden
:
Meerdere waarden toegestaan
:
Nee
Weergave op formulieren
:
Tekstvak
Initiële waarde
:
Verplicht veld
:
Nee
Toelichting op formulier
:
Datgene wat er gedaan moet worden of gerealiseerd
Subeigenschap van
:
Geïmporteerd uit
:
Formatteerfunctie externe URI
:
Klik op de button om een nieuwe eigenschap te maken:
Zie voor meer toelichting de SIVA-methodiek
L
Logbestanden waarin ''gebeurtenissen'' die gebruikersactiviteiten, uitzonderingen en informatiebeveiliging gebeurtenissen worden ''geregistreerd'', behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld. +
Logbestanden van informatiebeveiligingsgebeurtenissen in netwerken, behoren te worden ''gemaakt en bewaard'' en regelmatig te worden ''beoordeeld'' (op de ernst van de risico’s). +
Middleware biedt signaleringsfuncties voor '''registratie en detectie''' die '''beveiligd''' zijn ingericht. +
''Log-bestanden'' van gebeurtenissen die ''gebruikersactiviteiten'', uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, behoren te worden gemaakt, ''bewaard'' en regelmatig te worden ''beoordeeld''. +
M
Ter bescherming tegen malware behoren ''beheersmaatregelen'' te worden geïmplementeerd voor ''detectie, preventie en herstel'' in combinatie met een passend bewustzijn van de gebruikers. +
Ter bescherming tegen malware behoren beheersmaatregelen voor ''preventie'', ''detectie'' en ''herstel'' te worden geïmplementeerd, in combinatie met het stimuleren van een passend bewustzijn van gebruikers. +
De verwerkingsverantwoordelijke ''meldt een datalek'' binnen de daaraan ''gestelde termijn'' aan de [[AP (Autoriteit Persoonsgegevens)|Autoriteit Persoonsgegevens]], ''documenteert de inbreuk'', en informeert de betrokkene, tenzij hiervoor een ''uitzondering'' geldt. +
De leverancier hanteert relevante industriestandaarden voor de '''structuur''' en beheersing van haar IT dienstverlening en draagt zorg voor relevante periodieke '''certificeringen''' van haar dienstverlening. +
De organisatie ''reviewt/analyseert'' regelmatig de logbestanden om onjuist gebruik en verdachte activiteiten op servers en besturingssystemen vast te stellen en bevindingen aan het management te ''rapporteren''. +
Bij multi-tenancy wordt de CSC-data binnen clouddiensten, die door meerdere CSC’s worden afgenomen, in rust ''versleuteld'' en ''gescheiden'' verwerkt op ''gehardende'' (virtuele) machines. +
N
Richtlijnen voor de ''naleving'' van het netwerkbeveiligingsbeleid behoren periodiek getoetst en geëvalueerd te worden. +
''Authenticatie van netwerk-nodes'' behoort te worden toegepast om onbevoegd aansluiten van netwerkdevices (sniffing) te voorkomen. +
Netwerken behoren te worden ''beheerd'' en ''beheerst'' om informatie in systemen en toepassingen te beschermen. +
De beveiligingsarchitectuur behoort de ''samenhang'' van het netwerk te beschrijven en structuur te bieden in de beveiligingsmaatregelen, gebaseerd op het vigerende bedrijfsbeleid, de leidende principes en de geldende normen en standaarden. +
Netwerken behoren te worden ''beheerd'' en ''beheerst'' om informatie in systemen en toepassingen te beschermen. +
Alle gebruikte routeringen, segmenten, ''verbindingen'' en aansluitpunten van een bedrijfsnetwerk behoren bekend te zijn en te worden ''bewaakt''. +
Apparatuur behoort te worden beschermd tegen stroomuitval en andere verstoringen die worden veroorzaakt door ontregelingen in ''nutsvoorzieningen''. +
O
Voor iedere locatie van huisvesting IV behoort een ''onderhoudsplan'' te zijn opgesteld met een risicoafweging en ''onderhoudsbepalingen''. +
Het ''ontwerp'' van een serverplatform behoort te zijn gedocumenteerd. +
Het ontwerp van middleware behoort te zijn '''gedocumenteerd'''. +
De ''verdeling van de taken en verantwoordelijkheden'', de ''benodigde middelen'' en de ''rapportagelijnen'' zijn door de organisatie vastgelegd en vastgesteld. +
De huisvesting IV-organisatie behoort voor de te realiseren huisvesting IV een adequate ''organisatiestructuur'' in te richten en de aan ''functionarissen'' toe te wijzen ''taken, verantwoordelijkheden en bevoegdheden'' vast te stellen. +
In het beleid behoort te zijn vastgesteld dat een centrale ''organisatiestructuur'' gebruikt wordt voor het beheren van netwerken (onder andere Local Area Network (LAN) en Virtual Local Area Network (VLAN)) en zo veel mogelijk van de hardware en softwarecomponenten daarvan. +
''Overeenkomsten'' behoren betrekking te hebben op het beveiligd transporteren van bedrijfsinformatie tussen de organisatie en externe partijen. +
P
Patchmanagement behoort ''procesmatig en procedureel'' zodanig uitgevoerd te worden, dat van de gebruikte code tijdig vanuit externe bibliotheken informatie wordt ingewonnen over ''technische kwetsbaarheden'', zodat ''tijdig'' de laatste (beveiligings)patches kunnen worden geïnstalleerd. +
Patchmanagement is ''procesmatig'' en ''procedureel'' opgezet en wordt ondersteund door ''richtlijnen'' zodat het zodanig kan worden uitgevoerd dat op de servers de laatste (beveiligings)patches tijdig zijn geïnstalleerd. +
Patchmanagement behoort ''procesmatig en procedureel'' uitgevoerd te worden, dat tijdig vanuit externe bibliotheken informatie wordt ingewonnen over ''technische kwetsbaarheden'' van de gebruikte code, zodat ''zo snel mogelijk'' de laatste (beveiligings-)patches kunnen worden geïnstalleerd. +
De organisatie heeft ''privacybeleid'' en procedures ontwikkeld en vastgesteld waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en invulling wordt gegeven aan de ''wettelijke beginselen'' <sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 5 lid 1 'Beginselen inzake verwerking van persoonsgegevens'.</sup> +
Bij het ontwikkelen van applicaties behoren ''privacy en bescherming van persoonsgegevens'', voor zover van toepassing, te worden gewaarborgd volgens relevante ''wet- en regelgeving.'' +
De Cloud Service Provider (CSP) behoort, ter bescherming van bedrijfs- en persoonlijke data, beveiligingsmaatregelen te hebben getroffen vanuit verschillende dimensies: ''beveiligingsaspecten en stadia'', ''toegang en privacy'', ''classificatie/labelen'', ''eigenaarschap'' en ''locatie.'' +
Binnen de (project-)organisatie behoort een ''beveiligingsfunctionaris'' te zijn benoemd die het systeem-ontwikkeltraject ondersteunt in de vorm van het bewaken van ''beveiligingsvoorschriften'' en die inzicht verschaft in de samenstelling van het applicatielandschap. +
Q
De projectorganisatie behoort een ''quality assurance-proces'' te hebben ingericht, waarmee zij de betrouwbare werking van het ontwikkel- en onderhoudsproces voor de applicatieontwikkeling kan vaststellen. +
R
De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de gegevensverwerkingen in een ''register'' vastgelegd, daarbij biedt het register een ''actueel en samenhangend beeld'' van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens. +
Een ''formele registratie- en afmeldprocedure'' behoort te worden geïmplementeerd om toewijzing van ''toegangsrechten'' mogelijk te maken. +
''Richtlijnen'' behoren te worden vastgesteld om de implementatie en beveiliging van servers en besturingssystemen te controleren waarbij de bevindingen tijdig aan het management worden gerapporteerd. +
De projectorganisatie behoort ''richtlijnen'' voor de ''controle-activiteiten en rapportages'' te hebben geformuleerd, gericht op de evaluaties van ''ontwikkelactiviteiten'', zoals requirements, specificaties en programmacode. +
Voor het werken in beveiligde gebieden behoren ''richtlijnen'' te worden ontwikkeld en toegepast<sup class="reference smartref" id="cite_ref-vervangen_1-0">[[ISOR:Richtlijnen gebieden en ruimten#cite_note-vervangen-1|1]]</sup>. +
Voor het ontwikkelen van de (programma)code zijn specifieke ''regels'' van toepassing en behoort gebruik te zijn gemaakt van specifieke ''best practices''. +
Organisaties behoren hun netwerken te beveiligen met richtlijnen voor ''ontwerp'', ''implementatie'' en ''beheer'' <sup class="reference smartref" id="cite_ref-ISO-voorbeeld_1-0">[[ISOR:Richtlijnen netwerkbeveiliging#cite_note-ISO-voorbeeld-1|1]]</sup>. +
'''Richtlijnen en procedures''' ten aanzien van middlewaremanagement en middlewarefunctionaliteiten behoren te worden gedocumenteerd en beschikbaar gesteld aan alle beheerders die ze nodig hebben. +
De Cloud Service Provider (CSP) behoort een risico-assessment uit te voeren, bestaande uit een ''risico-analyse'' en ''risico-evaluatie'' met de criteria en de doelstelling voor clouddiensten van de CSP. +
Risicomanagement en het risico-assessmentproces behoren continu te worden ''gemonitord en gereviewd'' en zo nodig te worden verbeterd. +
De Cloud Service Provider (CSP) behoort de organisatie en ''verantwoordelijkheden'' voor het ''risicomanagementproces'' voor de beveiliging van clouddiensten te hebben opgezet en onderhouden. +
De verwerkingsverantwoordelijke draagt zorg voor ''het beoordelen van de privacyrisico's'', het treffen van ''passende maatregelen'' en het kunnen ''aantonen'' van het passend zijn van deze maatregelen. +
Alle rollen en '''verantwoordelijkheden''' voor het installeren en onderhouden van middlewarefunctionaliteiten behoren te worden gedefinieerd en toegewezen. +
S
De cloud-infrastructuur is zodanig ingericht dat de dienstverlening aan gebruikers van informatiediensten zijn ''gescheiden.'' +
Media behoren op een veilige en beveiligde manier te worden '''verwijderd''' en '''geschoond''' als ze niet langer nodig zijn, overeenkomstig formele procedures. +
De performance van de informatiebeveiliging van de cloud-omgeving behoort regelmatig te worden ''gemonitord en'' hierover behoort tijdig te worden ''gerapporteerd'' aan verschillende stakeholders. +
Servers behoren correct te worden ''onderhouden'' om de continue beschikbaarheid en integriteit te waarborgen. +
Serverplatforms behoren zo ''geconfigureerd'' te zijn, dat zij functioneren zoals het vereist is en zijn beschermd tegen ''ongeautoriseerd'' en incorrecte updates. +