Eigenschap:Criterium
Naar navigatie springen
Naar zoeken springen
Type eigenschap
:
Tekst
Geldige waarden
:
Meerdere waarden toegestaan
:
Nee
Weergave op formulieren
:
Tekstvak
Initiële waarde
:
Verplicht veld
:
Nee
Toelichting op formulier
:
Datgene wat er gedaan moet worden of gerealiseerd
Subeigenschap van
:
Geïmporteerd uit
:
Formatteerfunctie externe URI
:
Klik op de button om een nieuwe eigenschap te maken:
Zie voor meer toelichting de SIVA-methodiek
(
De inrichting van het configuratiebeheer behoort waarborgen te bieden dat de vastgelegde gegevens van de softwareconfiguratie-items in de ''configuratie-administratie (CMDB)'' juist en volledig zijn en blijven. +
A
De ''beveiligingseisen'' die verband houden met informatiebeveiliging behoren te worden opgenomen in de eisen voor nieuwe informatiesystemen en voor uitbreidingen van bestaande informatiesystemen. +
De ''functionele eisen'' die verband houden met nieuwe informatiesystemen of voor uitbreiding van bestaande informatiesystemen behoren te worden geanalyseerd en gespecificeerd. +
Apparatuur behoort op een ''correcte wijze'' te worden onderhouden. +
Apparatuur behoort zo te worden ''geplaatst en beschermd'', dat risico's van bedreigingen en gevaren van buitenaf, alsook de kans op onbevoegde toegang worden verkleind. +
Alle onderdelen van de apparatuur die opslagmedia bevatten, behoren te worden ''geverifieerd'' om te waarborgen dat gevoelige gegevens en in licentie gegeven software voorafgaand aan ''verwijdering'' of hergebruik zijn ''verwijderd of betrouwbaar veilig zijn overschreven''. +
De functionele en beveiligingseisen behoren in een ''applicatie-architectuur'', conform architectuurvoorschriften, in ''samenhang'' te zijn vastgelegd. +
Het applicatieontwerp behoort gebaseerd te zijn op informatie, die is verkregen uit verschillende invalhoeken, zoals: ''business-vereisten en reviews'', ''omgevingsanalyse'' en ''(specifieke) beveiliging.'' +
De bouw van applicaties inclusief programmacode behoort te worden uitgevoerd met ''(industrie) good practice'' en door individuen die beschikken over de ''juiste vaardigheden en tools'' en behoort te worden gereviewd. +
Informatiesystemen behoren zo te worden ontworpen, dat de ''invoerfuncties'', ''verwerkingsfuncties'' en ''uitvoerfuncties'' van gegevens (op het juiste moment) in het proces worden gevalideerd op juistheid, tijdigheid en volledigheid om het bedrijfsproces optimaal te kunnen ondersteunen. +
De koppelingen tussen applicaties behoren te worden uitgevoerd met geaccordeerde ''koppelingsrichtlijnen'' om de juiste services te kunnen leveren en de informatiebeveiliging te kunnen waarborgen. +
Softwarepakketten behoren ''veilige API’s'' te gebruiken voor import en export van gegevens. +
Softwarepakketten behoren de identiteiten van gebruikers vast te stellen met een ''mechanisme voor identificatie en authenticatie''. +
Toegang (autorisatie) tot ''informatie'' en ''systeemfuncties'' van toepassingen behoren te worden beperkt in overeenstemming met het ''toegangsbeveiligingsbeleid''. +
De rechten die gebruikers hebben binnen een softwarepakket (inclusief beheerders) zijn zo ingericht dat ''autorisaties'' kunnen worden toegewezen aan organisatorische functies en ''scheiding van niet verenigbare autorisaties'' mogelijk is. +
Een ''formeel autorisatieproces'' dient geïmplementeerd te zijn voor het beheersen van de ''toegangsrechten'' van alle medewerkers en externe gebruikers tot informatie en informatieverwerkende faciliteiten. +
Ter ondersteuning van autorisatiebeheer moeten binnen de daartoe in aanmerking komende applicaties technische ''autorisatievoorzieningen'', zoals: een ''personeelsregistratiesysteem'', een ''autorisatiebeheersysteem'' en ''autorisatiefaciliteiten'', beschikbaar zijn. +
B
''Bedieningsprocedures'' behoren te worden gedocumenteerd en beschikbaar te worden gesteld aan alle gebruikers die ze nodig hebben. +
De noodzakelijke ''bedrijfs- en beveiligingsfuncties'' binnen het veranderingsgebied behoren te worden vastgesteld met organisatorische en technisch uitgangspunten. +
De leverancier behoort processen, ''procedures'' en beheersmaatregelen te documenteren, te implementeren en te ''handhaven''. +
De CSP behoort haar BCM-proces adequaat te hebben georganiseerd, waarbij de volgende aspecten zijn geadresseerd: ''verantwoordelijkheid voor BCM'', ''beleid en procedures'', ''bedrijfscontinuïteitsplanning'', ''verificatie en updaten'' en ''computercentra.'' +
Informatie verwerkende faciliteiten behoren met voldoende ''redundantie'' te worden geïmplementeerd om aan ''continuïteitseisen'' te voldoen. +
Bedrijfsmiddelen die samenhangen met informatie en informatie-verwerkende faciliteiten behoren te worden geïdentificeerd, en van deze bedrijfsmiddelen behoort een ''inventaris'' te worden opgesteld en onderhouden. +
Informatieverwerkende ''bedrijfsmiddelen'', uitgezonderd daarvoor bestemde mobiele apparatuur, behoren niet van de locatie te worden verwijderd zonder voorafgaande goedkeuring. +
''Richtlijnen'' en ondersteunende beveiligingsmaatregelen behoren te worden geïmplementeerd ter beveiliging van beheer op afstand van servers. +
De projectverantwoordelijke behoort voor de software-ontwikkelprojecten een beheersorganisatie te hebben ingericht waarin de ''structuur van de beheersprocessen'' en van de betrokken ''functionarissen'' de ''taken, verantwoordelijkheden en bevoegdheden'' zijn vastgesteld. +
De CSP heeft een beheersorganisatie ingericht waarin de ''processtructuur'' en de ''taken, verantwoordelijkheden en bevoegdheden'' van de betrokken ''functionarissen'' zijn vastgesteld. +
De stakeholder van huisvesting IV behoort een ''beheersorganisatie'' te hebben ingericht waarin de ''processtructuur'', de taken, verantwoordelijkheden en bevoegdheden van de betrokken functionarissen zijn vastgesteld. +
Alle ''verantwoordelijkheden'' bij informatiebeveiliging behoren te worden gedefinieerd en toegewezen. +
Binnen de beheerorganisatie is een ''beveiligingsfunctionaris'' benoemd die de organisatie ondersteunt in de vorm van het bewaken van ''beveiligingsbeleid'' en die inzicht verschaft in de inrichting van de servers en het serverplatform. +
De eigenaar van het toegangsbeveiligingssysteem en toegangsmiddelen dient een beheersingsorganisatie ingericht hebben waarin de ''processtructuur'', de ''taken, verantwoordelijkheden en bevoegdheden'' van de betrokken ''functionarissen'' zijn vastgesteld. +
''Voedings-'' en telecommunicatie''kabels'' voor het versturen van gegevens of die informatiediensten ondersteunen, behoren te worden beschermd tegen
interceptie, verstoring of schade. +
Ter bescherming van het informatietransport, dat via allerlei soorten communicatiefaciliteiten verloopt, behoren formele ''beleidsregels'', ''procedures'' en ''beheersmaatregelen'' voor transport van kracht te zijn. +
Ter bescherming van het informatietransport, dat via alle soorten communicatiefaciliteiten verloopt, behoren '''formele beleidsregels''', procedures en '''beheersmaatregelen voor transport''' van kracht te zijn. +
De leverancier behoort in overeenstemming met een overeengekomen middlewarecomponenten'''beleid''' adequate maatregelen, zoals '''classificatie''', te treffen om deze diensten te kunnen leveren. +
Voor het ontwikkelen van software en systemen behoren ''regels'' te worden vastgesteld en op ontwikkelactiviteiten binnen de organisatie te worden toegepast. +
Voor het beveiligd inrichten en onderhouden van het serverplatform behoren ''regels'' te worden vastgesteld en binnen de organisatie te worden toegepast. +
Technische serveromgevingen behoren regelmatig te worden beoordeeld op ''naleving'' van de beleidsregels en normen van de organisatie voor servers en besturingssystemen. +
Eigenaren van bedrijfsmiddelen behoren ''toegangsrechten'' van gebruikers regelmatig te ''beoordelen''. +
Om het gebruik van toegangsbeveiligingsvoorzieningen te (kunnen) controleren, behoren er ''procedures'' te zijn vastgesteld. +
Voor het door gebruikers/ontwikkelaars installeren van software behoren ''regels'' te worden vastgesteld en te worden geïmplementeerd. +
Voor het door gebruikers (beheerders) installeren van software behoren ''regels'' te worden vastgesteld en te worden geïmplementeerd. +
''Wijzigingen'' aan softwarepakketten behoren te worden ontraden, beperkt tot noodzakelijke veranderingen en alle veranderingen behoren strikt te worden ''gecontroleerd''. +
''Testgegevens'' behoren zorgvuldig te worden gekozen, beschermd en gecontroleerd. +
Opslagfaciliteiten behoren met voldoende '''redundantie''' te worden geïmplementeerd om aan '''beschikbaarheidseisen''' te voldoen. +
Indien het beleid voor toegangsbeveiliging dit vereist, behoort toegang tot (communicatie)systemen en toepassingen te worden beheerst door een beveiligde ''inlogprocedure''. +
Organisaties behoren ''beveiligde ontwikkelomgevingen'' vast te stellen en passend te beveiligen voor verrichtingen op het gebied van systeemontwikkeling en integratie en die betrekking hebben op de gehele levenscyclus van de systeemontwikkeling. +
De verwerkingsverantwoordelijke en de verwerker treffen ''technische en organisatorische maatregelen'' voor verwerking van persoonsgegevens op ''een passend beveiligingsniveau''<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 32</sup>. +
Informatie die deel uitmaakt van transacties van toepassingen behoort te worden beschermd ter voorkoming van '''onvolledige overdracht''', foutieve routering, '''onbevoegd wijzigen''' van berichten, '''onbevoegd openbaar maken''', onbevoegd vermenigvuldigen of afspelen. +
''Beveiligingsmechanismen'', ''dienstverleningsniveaus'' en ''beheereisen'' voor alle netwerkdiensten behoren te worden geïdentificeerd en opgenomen in overeenkomsten betreffende netwerkdiensten. Dit geldt zowel voor diensten die intern worden geleverd als voor uitbestede diensten. +
De klant behoort het ''architectuurlandschap'' in kaart te hebben gebracht waarin het softwarepakket geïntegreerd moet worden en ''beveiligingsprincipes'' te hebben ontwikkeld. +
Voor het beveiligen van ruimten behoren ''faciliteiten'' te worden ontworpen en toegepast<sup class="reference smartref" id="cite_ref-toegepast_1-0">[[ISOR:Beveiligingsfaciliteiten ruimten#cite_note-toegepast-1|1]]</sup>. +
Een gespecialiseerde ''beveiligingsfunctie'' dient te zijn vastgesteld die de verantwoordelijk is voor het bevorderen van toegangsbeveiliging binnen de gehele organisatie. +
De CSP behoort een ''beveiligingsfunctie'' te hebben benoemd en een beveiligingsorganisatie te hebben ingericht, waarin de ''organisatorische positie'', de ''taken, verantwoordelijkheden en bevoegdheden'' van de betrokken ''functionarissen'' en de ''rapportagelijnen'' zijn vastgesteld. +
De organisatie moet een beveiligingsorganisatie gedefinieerd hebben waarin de ''organisatorische positie'', de ''taken, verantwoordelijkheden en bevoegdheden (TVB)'' van de betrokken ''functionarissen'' en de ''rapportagelijnen'' zijn vastgesteld. +
Door het treffen van de ''nodige maatregelen'' hanteert de organisatie voor persoonsgegevens een ''bewaartermijn'' die niet wordt overschreden. +
De BIA behoort te worden uitgevoerd vanuit verschillende ''perspectieven'', zich te richten op verschillende ''scenario’s'' en vast te stellen welke impact de ''aspecten beschikbaarheid, integriteit, vertrouwelijkheid en controleerbaarheid'' hebben op de organisatie. +
C
Het gebruik van middelen behoort te worden '''gemonitord''' en '''beoordeeld''', en er behoren verwachtingen te worden opgesteld voor toekomstige capaciteitseisen om de vereiste systeemprestaties te waarborgen. +
Huisvesting IV van de leverancier behoort gecertificeerd te zijn conform de ''gangbare standaarden.'' +
''Informatie'' behoort te worden geclassificeerd met betrekking tot wettelijke eisen, waarde, belang en gevoeligheid voor onbevoegde bekendmaking of wijziging. +
De CSP behoort een ''cloudbeveiligingsstrategie'' te hebben ontwikkeld die ''samenhangt'' met de strategische doelstelling van de CSP en die aantoonbaar de informatieveiligheid ondersteunt. +
De clouddienstenarchitectuur specificeert de ''samenhang'' en beveiliging van de services en de interconnectie tussen de CSC en de CSP en biedt transparantie en overzicht van randvoorwaardelijke omgevingsparameters, voor zowel de opzet, de levering en de portabiliteit van CSC-data. +
De CSP heeft een actuele architectuur vastgelegd die voorziet in een ''raamwerk'' voor de onderlinge ''samenhang en afhankelijkheden'' van de IT-functionaliteiten. +
De CSP behoort haar informatiebeveiligingsbeleid uit te breiden met een ''cloud-beveiligingsbeleid'' om de voorzieningen en het gebruik van cloud-services te adresseren. +
Het softwarepakket past ''versleuteling'' toe op de communicatie van gegevens die ''passend bij het classificatieniveau'' is van de gegevens en ''controleert'' hierop. +
De CSP behoort regelmatig de naleving van de cloud-beveiligingsovereenkomsten op ''compliancy'' te beoordelen, jaarlijks een ''assurance''-verklaring aan de CSC uit te brengen en te zorgen voor onderlinge ''aansluiting'' van de resultaten uit deze twee exercities. +
De projectorganisatie behoort een ''compliance-managementproces'' ingericht te hebben, waarmee zij de implicaties uit wet- en regelgeving en verplichtingen voortvloeiend uit overeenkomsten en beleid kan vaststellen. +
De naleving van een, conform het beveiligingsbeleid, veilige ''inrichting'' van netwerk(diensten), behoort ''periodiek'' gecontroleerd te worden en de resultaten behoren gerapporteerd te worden aan het ''verantwoordelijke'' management (compliancy-toetsen). +
De leverancier heeft conform '''richtlijnen en procedures''' de middlewarecomponenten geconfigureerd. +
Continuïteitbeheer behoort ''procesmatig'' voor de gehele organisatie te zijn ingericht, zodat na het plaatsvinden van een calamiteit de hosting services zo snel mogelijk worden ''hersteld en voortgezet''. +
Huisvesting IV die worden verworven, behoren te voldoen aan ''kwalitatieve en kwantitatieve eisen'' die zijn vastgelegd in ''overeenkomsten'' met de betreffende leveranciers. +
Bedrijfsmiddelen behoren periodiek te worden gecontroleerd met formeel vastgestelde ''richtlijnen'' en geconstateerde bevindingen dienen tijdig aan het management te worden gerapporteerd. +
Ter bescherming van de ''communicatie en opslag'' van informatie behoort een beleid voor het gebruik van ''cryptografische beheersmaatregelen'' te worden ontwikkeld en geïmplementeerd. +
Ter bescherming van ''authenticatie-informatie'' behoort een beleid voor het gebruik van ''cryptografische beheersmaatregelen'' te worden ontwikkeld en geïmplementeerd. +
Ter bescherming van informatie behoort een ''cryptografiebeleid'' voor het gebruik van cryptografische beheersmaatregelen te worden ontwikkeld en geïmplementeerd. +
Ter bescherming van de ''vertrouwelijkheid'' en ''integriteit'' van de getransporteerde informatie behoren passende ''cryptografische'' ''beheersmaatregelen'' te worden ontwikkeld, geïmplementeerd en ingezet. +
Gevoelige data van de CSC behoort conform het overeengekomen ''beleid'' inzake ''cryptografische maatregelen'' tijdens transport via netwerken en bij opslag bij CSP te zijn ''versleuteld.'' +
D
Er behoort ter bescherming van bedrijfs- en persoonlijke data, beleid te zijn geformuleerd voor verwerking van data, tenminste voor: de vertrouwelijkheid en '''versleuteling''' van data, voor '''transformatie en aggregatie''', voor toegang en '''privacy''', classificatie en labelen en '''bescherming tegen verlies''' van gegevens. +
Regelmatig behoren '''back-upkopieën''' van informatie te worden gemaakt en getest in overeenstemming met een overeengekomen back-upbeleid. +
Data (‘op transport’, ‘in verwerking’ en ‘in rust’) met de classificatie BBN2 of hoger behoort te worden beschermd met ''cryptografische maatregelen'' en te voldoen aan Nederlandse wetgeving. +
Gearchiveerde data behoort gedurende de overeengekomen ''bewaartermijn'', ''technologie-onafhankelijk, raadpleegbaar'', ''onveranderbaar'' en integer te worden opgeslagen en op aanwijzing van de CSC/data-eigenaar te kunnen worden ''vernietigd.'' +
CSC-gegevens behoren tijdens transport, bewerking en opslag duurzaam ''geïsoleerd'' te zijn van ''beheerfuncties'' en data van en andere dienstverlening aan andere CSC’s, die de CSP in beheer heeft. +
De verwerkingsverantwoordelijke heeft van alle verzamelingen en verwerkingen van persoonsgegevens ''tijdig, welbepaald en uitdrukkelijk omschreven'':
* De ''doeleinden'', en:
* De ''rechtvaardigingsgronden'' voor:
# De '''verdere verwerking''' op grond van de verenigbaarheid met de oorspronkelijke gerechtvaardigde doeleinden;
# De '''geautomatiseerde besluitvorming''';
# De '''bijzondere categorieën persoonsgegevens''';
# De persoonsgegevens betreffende '''strafrechtelijke veroordelingen en strafbare feiten''';
# Het '''nationaal identificerend nummer''';
# De persoonsgegevens ten behoeve van '''wetenschappelijk of historisch onderzoek met een statistisch oogmerk en archivering in het algemeen belang'''. +
Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de ''onderlinge verantwoordelijkheden'' duidelijk en bij de doorgifte aan een verwerker zijn er ''afdoende garanties''.<br>
Bij de doorgifte naar buiten de EU:
* Is er een ''vertegenwoordiger'', en:
* Is geen sprake van ''uitzonderingsgronden'', en:
* Geldt een door de Europese Commissie genomen ''adequaatheidsbesluit'', of:
* Zijn er ''passende waarborgen''<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 44</sup>, of:
* Geldt een ''afwijking voor een specifieke situatie''. +
Draadloos verkeer behoort te worden beveiligd met ''authenticatie'' van devices, ''autorisatie'' van gebruikers ''en versleuteling'' van de communicatie. +
E
Huisvesting IV-bedrijfsmiddelen die in het inventarisoverzicht worden bijgehouden, behoren een ''eigenaar'' te hebben. +
Het ''eigenaarschap'' en de ''verantwoordelijkheden voor logische toegangsbeveiligingssystemen'' en de ''verantwoordelijkheden voor fysieke toegangsbeveiligingssystemen'' behoren te zijn vastgelegd. +
Informatie die is opgenomen in elektronische berichten behoort ''passend'' te zijn beschermd. +
''Principes'' voor de engineering van beveiligde systemen behoren te worden vastgesteld, gedocumenteerd, onderhouden en toegepast voor alle verrichtingen betreffende het implementeren van informatiesystemen. +
De klant behoort regelmatig de dienstverlening van softwarepakketleveranciers te ''monitoren'', te ''beoordelen'' en te ''auditen''. +
Toereikende logging en monitoring behoren te zijn ingericht, om detectie, vastlegging en ''onderzoek'' mogelijk te maken ''van gebeurtenissen'', die mogelijk van invloed op of relevant kunnen zijn voor de informatiebeveiliging. +
De ''robuustheid'' van de beveiligingsmaatregelen en de naleving van het netwerkbeveiligingsbeleid behoren periodiek getest en aangetoond te worden. +
In de clouddienstenovereenkomst tussen de CSP en CSC behoort een exit-strategie te zijn opgenomen waarbij zowel een aantal ''bepalingen''<sup class="reference smartref" id="cite_ref-Weolcan_1-0">[[ISOR:Exit-strategie#cite_note-Weolcan-1|1]]</sup> over exit zijn opgenomen, als een aantal ''condities''<sup class="reference smartref" id="cite_ref-Weolcan_2-0">[[ISOR:Exit-strategie#cite_note-Weolcan-1|1]]</sup> die aanleiding kunnen geven tot een exit. +
In de overeenkomst tussen de klant en leverancier behoort een exit-strategie te zijn opgenomen, waarbij zowel een aantal ''bepalingen'' over exit zijn opgenomen, als een aantal ''condities'' die aanleiding kunnen geven tot een exit. +
F
Conflicterende ''taken'' en ''verantwoordelijkheden'' behoren te worden ''gescheiden'' om de kans op onbevoegd of ''onbedoeld'' wijzigingen of misbruik van de bedrijfsmiddelen van de organisatie te verminderen. +
''Beveiligde gebieden'' behoren te worden beschermd door ''passende toegangsbeveiliging'' om ervoor te zorgen dat alleen bevoegd personeel toegang krijgt. +
Fysieke ''beveiligingszones'' behoren te worden gedefinieerd en gebruikt om gebieden te beschermen die gevoelige of essentiële informatie en informatie verwerkende faciliteiten bevatten. +
G
De ''filterfuncties'' van gateways en firewalls behoren zo te zijn geconfigureerd, dat inkomend en uitgaand netwerkverkeer wordt gecontroleerd en dat daarbij in alle richtingen uitsluitend het vanuit beveiligingsbeleid ''toegestaan'' netwerkverkeer wordt doorgelaten. +
Softwarepakketten behoren mechanismen te bieden om niet-vertrouwde bestandsgegevens uit niet-vertrouwde omgevingen ''veilig te importeren en veilig op te slaan''. +
''Te beschermen gegevens'' worden veilig opgeslagen in databases of bestanden, waarbij zeer gevoelige gegevens worden ''versleuteld''. Opslag vindt alleen plaats als ''noodzakelijk''. +
Het toewijzen van geheime ''authenticatie-informatie'' behoort te worden beheerst via een formeel ''beheersproces''. +
H
Voor het beveiligen van een server worden overbodige ''functies'' en ongeoorloofde ''toegang'' uitgeschakeld. +
Voor het beveiligen van middlewarecomponenten behoren overbodige '''functies''' en ongeoorloofde '''toegang''' te worden uitgeschakeld. +
De ''herstelfunctie'' van de data en clouddiensten, gericht op ondersteuning van bedrijfsprocessen, behoort te worden gefaciliteerd met infrastructuur en IT-diensten, die robuust zijn en periodiek worden ''getest.'' +
Voor het implementeren en onderhouden van huisvestingsvoorzieningen behoren ''architectuurvoorschriften'' en benodigde ''documentatie'' beschikbaar te zijn. +
Ten behoeve van het ''huisvesting IV-beleid'' behoort een reeks ''beleidsregels'' te worden gedefinieerd, goedgekeurd door de directie, gepubliceerd en gecommuniceerd aan medewerkers en relevante externe partijen. +
I
''IT-functionaliteiten'' behoren te worden verleend vanuit een ''robuuste en beveiligde systeemketen'' van de Cloud Service Provider (CSP) naar de Cloud Service Consumer (CSC). +
Tegen ''natuurrampen, kwaadwillige aanvallen of ongelukken'' behoort fysieke bescherming te worden ontworpen en toegepast. +
Met de leverancier behoren de ''informatiebeveiligingseisen'' en een periodieke actualisering daarvan te worden overeengekomen. +
De verwerkingsverantwoordelijke stelt bij elke verzameling van persoonsgegevens ''tijdig'' en op een vastgelegde en vastgestelde wijze ''informatie'' aan de betrokkene beschikbaar, zodat de betrokkene, tenzij een ''uitzondering'' geldt, ''toestemming'' kan geven voor de verwerking<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 14</sup>. +
Als het beleid voor toegangsbeveiliging dit vereist, moet de toegang tot systemen en toepassingen worden beheerst met behulp van een ''beveiligde inlogprocedure''. +
Het softwarepakket behoort mechanismen te bevatten voor ''normalisatie'' en ''validatie'' van invoer en voor ''schoning'' van de uitvoer. +
''Principes'' voor het inrichten van beveiligde servers behoren te worden vastgesteld, gedocumenteerd, onderhouden en toegepast voor alle verrichtingen betreffende het inrichten van servers. +
Door of namens de verwerkingsverantwoordelijke vindt ''evaluatie'' plaats van de gegevensverwerkingen en is de ''rechtmatigheid aangetoond''. +
Cloud-services zijn bruikbaar (''interoperabiliteit'') op verschillende IT-platforms en kunnen met standaarden verschillende IT-platforms met elkaar verbinden en data overdragen (''portabiliteit'') naar andere CSP’s. +
K
De klokken van alle relevante informatieverwerkende systemen binnen een organisatie of beveiligingsdomein behoren te worden ''gedocumenteerd'' en ''gesynchroniseerd'' met één referentietijdbron. +
De onderlinge ''netwerkconnecties'' (koppelvlakken) in de keten van de CSC naar de CSP behoren te worden ''bewaakt'' en ''beheerst'' om de risico’s van datalekken te beperken. +
De verwerkingsverantwoordelijke heeft kwaliteitsmanagement ingericht ten behoeve van de bewaking van de ''juistheid en nauwkeurigheid'' van persoonsgegevens. De verwerking is zo ingericht dat de persoonsgegevens kunnen worden ''gecorrigeerd, gestaakt of overgedragen''. Indien dit gebeurt op verzoek van betrokkene dan wordt deze over de status van de afhandeling ''geïnformeerd''. +
De doelorganisatie behoort conform een uitgestippeld ''ontwikkel- en onderhoudsbeleid'' een ''kwaliteitsmanagementsysteem'' in te richten, dat ervoor zorgt dat applicatieontwikkeling en -onderhoud wordt uitgevoerd en beheerst. +
L
''Toegangspunten'' zoals laad- en loslocaties en andere punten waar onbevoegde personen het terrein kunnen betreden, behoren te worden beheerst, en zo mogelijk te worden afgeschermd van IT-voorzieningen. +
De leverancier behoort de klant te ''adviseren'' met marktontwikkelingen en kennis van (de leeftijd van) applicaties en technische softwarestack over ''strategische ontwikkeling'' en ''innovatieve'' keuzes voor het ontwikkelen en onderhouden van informatiesystemen in het applicatielandschap. +
Activiteiten van systeembeheerders en -operators behoren te worden vastgelegd en de ''logbestanden'' behoren te worden beschermd en regelmatig te worden beoordeeld. +
''Logbestanden'' van gebeurtenissen die gebruikersactiviteiten, uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld. +
Het softwarepakket biedt signaleringsfuncties voor ''registratie en detectie'' die ''beveiligd'' zijn ingericht. +
Applicaties behoren faciliteiten te bieden voor ''logging'' en ''monitoring'' om ongeoorloofde en/of onjuiste activiteiten van medewerkers en storingen binnen de applicatie tijdig te detecteren en vast te leggen. +
Logbestanden waarin ''gebeurtenissen'' die gebruikersactiviteiten, uitzonderingen en informatiebeveiliging gebeurtenissen worden ''geregistreerd'', behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld. +
Logbestanden van informatiebeveiligingsgebeurtenissen in netwerken, behoren te worden ''gemaakt en bewaard'' en regelmatig te worden ''beoordeeld'' (op de ernst van de risico’s). +
Middleware biedt signaleringsfuncties voor '''registratie en detectie''' die '''beveiligd''' zijn ingericht. +
''Log-bestanden'' van gebeurtenissen die ''gebruikersactiviteiten'', uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, behoren te worden gemaakt, ''bewaard'' en regelmatig te worden ''beoordeeld''. +
M
Ter bescherming tegen malware behoren ''beheersmaatregelen'' te worden geïmplementeerd voor ''detectie, preventie en herstel'' in combinatie met een passend bewustzijn van de gebruikers. +
Ter bescherming tegen malware behoren beheersmaatregelen voor ''preventie'', ''detectie'' en ''herstel'' te worden geïmplementeerd, in combinatie met het stimuleren van een passend bewustzijn van gebruikers. +
De verwerkingsverantwoordelijke ''meldt een datalek'' binnen de daaraan ''gestelde termijn'' aan de [[AP (Autoriteit Persoonsgegevens)|Autoriteit Persoonsgegevens]], ''documenteert de inbreuk'', en informeert de betrokkene, tenzij hiervoor een ''uitzondering'' geldt. +
De leverancier hanteert relevante industriestandaarden voor de '''structuur''' en beheersing van haar IT dienstverlening en draagt zorg voor relevante periodieke '''certificeringen''' van haar dienstverlening. +
De organisatie ''reviewt/analyseert'' regelmatig de logbestanden om onjuist gebruik en verdachte activiteiten op servers en besturingssystemen vast te stellen en bevindingen aan het management te ''rapporteren''. +
Bij multi-tenancy wordt de CSC-data binnen clouddiensten, die door meerdere CSC’s worden afgenomen, in rust ''versleuteld'' en ''gescheiden'' verwerkt op ''gehardende'' (virtuele) machines. +
N
Richtlijnen voor de ''naleving'' van het netwerkbeveiligingsbeleid behoren periodiek getoetst en geëvalueerd te worden. +
''Authenticatie van netwerk-nodes'' behoort te worden toegepast om onbevoegd aansluiten van netwerkdevices (sniffing) te voorkomen. +
Netwerken behoren te worden ''beheerd'' en ''beheerst'' om informatie in systemen en toepassingen te beschermen. +
De beveiligingsarchitectuur behoort de ''samenhang'' van het netwerk te beschrijven en structuur te bieden in de beveiligingsmaatregelen, gebaseerd op het vigerende bedrijfsbeleid, de leidende principes en de geldende normen en standaarden. +
Netwerken behoren te worden ''beheerd'' en ''beheerst'' om informatie in systemen en toepassingen te beschermen. +
Alle gebruikte routeringen, segmenten, ''verbindingen'' en aansluitpunten van een bedrijfsnetwerk behoren bekend te zijn en te worden ''bewaakt''. +
Apparatuur behoort te worden beschermd tegen stroomuitval en andere verstoringen die worden veroorzaakt door ontregelingen in ''nutsvoorzieningen''. +
O
Voor iedere locatie van huisvesting IV behoort een ''onderhoudsplan'' te zijn opgesteld met een risicoafweging en ''onderhoudsbepalingen''. +
Het ''ontwerp'' van een serverplatform behoort te zijn gedocumenteerd. +
Het ontwerp van middleware behoort te zijn '''gedocumenteerd'''. +
De ''verdeling van de taken en verantwoordelijkheden'', de ''benodigde middelen'' en de ''rapportagelijnen'' zijn door de organisatie vastgelegd en vastgesteld. +
De huisvesting IV-organisatie behoort voor de te realiseren huisvesting IV een adequate ''organisatiestructuur'' in te richten en de aan ''functionarissen'' toe te wijzen ''taken, verantwoordelijkheden en bevoegdheden'' vast te stellen. +
In het beleid behoort te zijn vastgesteld dat een centrale ''organisatiestructuur'' gebruikt wordt voor het beheren van netwerken (onder andere Local Area Network (LAN) en Virtual Local Area Network (VLAN)) en zo veel mogelijk van de hardware en softwarecomponenten daarvan. +
''Overeenkomsten'' behoren betrekking te hebben op het beveiligd transporteren van bedrijfsinformatie tussen de organisatie en externe partijen. +
P
Patchmanagement behoort ''procesmatig en procedureel'' zodanig uitgevoerd te worden, dat van de gebruikte code tijdig vanuit externe bibliotheken informatie wordt ingewonnen over ''technische kwetsbaarheden'', zodat ''tijdig'' de laatste (beveiligings)patches kunnen worden geïnstalleerd. +
Patchmanagement is ''procesmatig'' en ''procedureel'' opgezet en wordt ondersteund door ''richtlijnen'' zodat het zodanig kan worden uitgevoerd dat op de servers de laatste (beveiligings)patches tijdig zijn geïnstalleerd. +
Patchmanagement behoort ''procesmatig en procedureel'' uitgevoerd te worden, dat tijdig vanuit externe bibliotheken informatie wordt ingewonnen over ''technische kwetsbaarheden'' van de gebruikte code, zodat ''zo snel mogelijk'' de laatste (beveiligings-)patches kunnen worden geïnstalleerd. +
De organisatie heeft ''privacybeleid'' en procedures ontwikkeld en vastgesteld waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en invulling wordt gegeven aan de ''wettelijke beginselen'' <sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 5 lid 1 'Beginselen inzake verwerking van persoonsgegevens'.</sup> +
Bij het ontwikkelen van applicaties behoren ''privacy en bescherming van persoonsgegevens'', voor zover van toepassing, te worden gewaarborgd volgens relevante ''wet- en regelgeving.'' +
De Cloud Service Provider (CSP) behoort, ter bescherming van bedrijfs- en persoonlijke data, beveiligingsmaatregelen te hebben getroffen vanuit verschillende dimensies: ''beveiligingsaspecten en stadia'', ''toegang en privacy'', ''classificatie/labelen'', ''eigenaarschap'' en ''locatie.'' +
Binnen de (project-)organisatie behoort een ''beveiligingsfunctionaris'' te zijn benoemd die het systeem-ontwikkeltraject ondersteunt in de vorm van het bewaken van ''beveiligingsvoorschriften'' en die inzicht verschaft in de samenstelling van het applicatielandschap. +
Q
De projectorganisatie behoort een ''quality assurance-proces'' te hebben ingericht, waarmee zij de betrouwbare werking van het ontwikkel- en onderhoudsproces voor de applicatieontwikkeling kan vaststellen. +
R
De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de gegevensverwerkingen in een ''register'' vastgelegd, daarbij biedt het register een ''actueel en samenhangend beeld'' van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens. +
Een ''formele registratie- en afmeldprocedure'' behoort te worden geïmplementeerd om toewijzing van ''toegangsrechten'' mogelijk te maken. +
''Richtlijnen'' behoren te worden vastgesteld om de implementatie en beveiliging van servers en besturingssystemen te controleren waarbij de bevindingen tijdig aan het management worden gerapporteerd. +
De projectorganisatie behoort ''richtlijnen'' voor de ''controle-activiteiten en rapportages'' te hebben geformuleerd, gericht op de evaluaties van ''ontwikkelactiviteiten'', zoals requirements, specificaties en programmacode. +
Voor het werken in beveiligde gebieden behoren ''richtlijnen'' te worden ontwikkeld en toegepast<sup class="reference smartref" id="cite_ref-vervangen_1-0">[[ISOR:Richtlijnen gebieden en ruimten#cite_note-vervangen-1|1]]</sup>. +
Voor het ontwikkelen van de (programma)code zijn specifieke ''regels'' van toepassing en behoort gebruik te zijn gemaakt van specifieke ''best practices''. +
Organisaties behoren hun netwerken te beveiligen met richtlijnen voor ''ontwerp'', ''implementatie'' en ''beheer'' <sup class="reference smartref" id="cite_ref-ISO-voorbeeld_1-0">[[ISOR:Richtlijnen netwerkbeveiliging#cite_note-ISO-voorbeeld-1|1]]</sup>. +
'''Richtlijnen en procedures''' ten aanzien van middlewaremanagement en middlewarefunctionaliteiten behoren te worden gedocumenteerd en beschikbaar gesteld aan alle beheerders die ze nodig hebben. +
De Cloud Service Provider (CSP) behoort een risico-assessment uit te voeren, bestaande uit een ''risico-analyse'' en ''risico-evaluatie'' met de criteria en de doelstelling voor clouddiensten van de CSP. +
Risicomanagement en het risico-assessmentproces behoren continu te worden ''gemonitord en gereviewd'' en zo nodig te worden verbeterd. +
De Cloud Service Provider (CSP) behoort de organisatie en ''verantwoordelijkheden'' voor het ''risicomanagementproces'' voor de beveiliging van clouddiensten te hebben opgezet en onderhouden. +
De verwerkingsverantwoordelijke draagt zorg voor ''het beoordelen van de privacyrisico's'', het treffen van ''passende maatregelen'' en het kunnen ''aantonen'' van het passend zijn van deze maatregelen. +
Alle rollen en '''verantwoordelijkheden''' voor het installeren en onderhouden van middlewarefunctionaliteiten behoren te worden gedefinieerd en toegewezen. +
S
De cloud-infrastructuur is zodanig ingericht dat de dienstverlening aan gebruikers van informatiediensten zijn ''gescheiden.'' +
Media behoren op een veilige en beveiligde manier te worden '''verwijderd''' en '''geschoond''' als ze niet langer nodig zijn, overeenkomstig formele procedures. +
De performance van de informatiebeveiliging van de cloud-omgeving behoort regelmatig te worden ''gemonitord en'' hierover behoort tijdig te worden ''gerapporteerd'' aan verschillende stakeholders. +
Servers behoren correct te worden ''onderhouden'' om de continue beschikbaarheid en integriteit te waarborgen. +
Serverplatforms behoren zo ''geconfigureerd'' te zijn, dat zij functioneren zoals het vereist is en zijn beschermd tegen ''ongeautoriseerd'' en incorrecte updates. +
De functionele eisen, beveiligingseisen en architectuurvoorschriften van het serverplatform zijn in samenhang in een ''architectuurdocument'' vastgelegd. +
Het management van huisvesting IV behoort diensten te leveren conform een dienstenniveau-overeenkomst (''Service Level Agreement''). +
Service-orkestratie biedt ''coördinatie'', aggregatie en samenstelling van de ''servicecomponenten'' van de cloud-service die aan de CSC wordt geleverd. +
De Cloud Service Provider (CSP) heeft voor clouddiensten een servicemanagementbeleid geformuleerd met daarin ''richtlijnen'' voor de beheersingsprocessen, ''controle-activiteiten en rapportages.'' +
Sessies behoren ''authentiek'' te zijn voor elke gebruiker en behoren ongeldig gemaakt te worden na een ''time-out'' of perioden van inactiviteit. +
Het ''toewijzen'' en gebruik van speciale ''toegangsrechten'' behoren te worden beperkt en ''beheerst''. +
De CSP past aantoonbaar relevante ''nationale standaarden'' en ''internationale standaarden'' toe voor de opzet en exploitatie van de diensten en de interactie met de CSC. +
Het serverplatform is geconfigureerd volgens gedocumenteerde ''standaarden''. +
Ontwikkelactiviteiten behoren te zijn gebaseerd op een gedocumenteerde ''systeem-ontwikkelmethode'', waarin onder andere ''standaarden en procedures'' voor de applicatieontwikkeling, het toepassen van ''beleid en wet- en regelgeving'' en een ''projectmatige aanpak'' zijn geadresseerd. +
Voor nieuwe informatiesystemen, upgrades en nieuwe versies behoren programma’s voor het uitvoeren van ''acceptatietests'' en gerelateerde criteria te worden vastgesteld. +
T
Bij ''veranderingen van besturingsplatforms'' behoren bedrijfskritische toepassingen te worden beoordeeld en getest om te waarborgen dat er geen nadelige impact ontstaan op de activiteiten of de beveiliging van de organisatie. +
Informatie over ''technische kwetsbaarheden'' van gebruikte informatiesystemen behoort tijdig te worden verkregen; de blootstelling aan dergelijke kwetsbaarheden dienen te worden ''geëvalueerd'' en passende maatregelen dienen te worden genomen om het risico dat ermee samenhangt aan te pakken. +
Informatie over ''technische serverkwetsbaarheden''<sup class="reference smartref" id="cite_ref-HRpentesten_1-0">[[ISOR:Beheer van serverkwetsbaarheden#cite_note-HRpentesten-1|1]]</sup> behoort tijdig te worden verkregen, de blootstelling van de organisatie aan dergelijke kwetsbaarheden dient te worden geëvalueerd en passende maatregelen moeten worden genomen om het risico dat ermee samenhangt aan te pakken. +
Tijdens ontwikkelactiviteiten behoren zowel ''bedrijfsfunctionaliteiten'' als de ''beveiligingsfunctionaliteiten'' te worden getest. +
''Gebruikers'' behoren alleen toegang te krijgen tot IT-diensten en data waarvoor zij specifiek ''bevoegd'' zijn. +
De verwerkingsverantwoordelijke biedt de betrokkene ''informatie over de verwerking van persoonsgegevens'' en doet dit ''tijdig'' en in een ''passende vorm'', zodat de betrokkene zijn rechten kan uitoefenen<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 12</sup>, tenzij er een ''specifieke uitzonderingsgrond'' geldt. +
Het toewijzen en gebruik van speciale '''toegangsrechten''' tot de middlewarefunctionaliteiten en speciale systeemhulpmiddelen behoren te worden '''beperkt''' en '''beheerst'''. +
De eigenaar van het toegangbeveiligingssysteem en toegangsmiddelen moet een beheersingsorganisatie ingericht hebben waarin de ''processtructuur'', de ''taken, verantwoordelijkheden en bevoegdheden'' van de betrokken ''functionarissen'' zijn vastgesteld. +
Het softwarepakket behoort een ''autorisatiemechanisme'' te bieden. +
Toegang tot de ''programmabroncodebibliotheken'' behoren te worden beperkt. +
De organisatie behoort met organisatorische eisen en wensen de ''technische inrichting'' beschreven te hebben en behoort in een ''toegangsbeveiligingsarchitectuur'' te zijn vastgelegd. +
Een ''toegangbeveiligingsbeleid'' behoort te worden vastgesteld, gedocumenteerd en beoordeeld op basis van ''bedrijfseisen'' en ''informatiebeveiligingseisen''. +
Een formele ''gebruikerstoegangsverleningsprocedure'' behoort te worden geïmplementeerd om toegangsrechten voor alle typen gebruikers en voor alle systemen en diensten toe te wijzen of in te trekken. +
Informatie die deel uitmaakt van uitvoeringsdiensten en die via ''openbare netwerken'' wordt uitgewisseld, behoort te worden beschermd tegen frauduleuze activiteiten, geschillen over contracten en onbevoegde openbaarmaking en wijziging. +
De ontwikkelmethode moet worden ondersteund door een tool dat de noodzakelijke ''faciliteiten'' biedt voor het effectief uitvoeren van de ontwikkelcyclus. +
Alle medewerkers van de organisatie en, voor zover relevant, contractanten behoren een passende ''bewustzijnsopleiding en -training'' te krijgen ''en'' regelmatige ''bijscholing'' van beleidsregels en procedures van de organisatie, voor zover relevant voor hun functie. +
De CSP voorziet de CSC in een ''systeembeschrijving'' waarin de clouddiensten inzichtelijk en transparant worden gespecificeerd en waarin de ''jurisdictie'', ''onderzoeksmogelijkheden'' en ''certificaten'' worden geadresseerd. +
V
De projectorganisatie behoort in het systeem-ontwikkeltraject versiebeheer ''procesmatig'' en ''efficiënt'' ingericht te hebben. +
Wijzigingen aan het softwarepakket binnen de levenscyclus van de ontwikkeling behoren te worden beheerst door het gebruik van formele ''procedures'' voor wijzigingsbeheer. +
Gevoelige data behoort conform het overeengekomen beleid inzake maskerings- of crypto-maatregelen, tijdens opslag voor onbevoegden te zijn '''gemaskeerd of versleuteld'''. +
Eisen voor ''vertrouwelijkheids- of geheimhoudingsovereenkomsten'' die de behoeften van de organisatie, betreffende het beschermen van informatie weerspiegelen, behoren te worden vastgesteld, regelmatig te worden beoordeeld en gedocumenteerd. +
Voor het verwerven van software behoren ''regels'' te worden vastgesteld en op verwervingsactiviteiten binnen de organisatie te worden toegepast. +
Alle onderdelen van servers die ''opslagmedia'' bevatten, behoren te worden ''geverifieerd'' om te waarborgen dat gevoelige gegevens en in licentie gegeven software voorafgaand aan verwijdering of hergebruik zijn verwijderd of betrouwbaar veilig zijn overschreven. +
Een VPN behoort een strikt ''gescheiden end-to-end-connectie'' te geven, waarbij de getransporteerde informatie die over een VPN wordt getransporteerd, is ingeperkt tot de organisatie die de VPN gebruikt. +
Virtuele servers behoren goedgekeurd te zijn en toegepast te worden op robuuste en veilige ''fysieke servers'' (bestaande uit ''hypervisors'' en ''virtuele servers'') en behoren zodanig te zijn geconfigureerd dat gevoelige informatie in voldoende mate is beveiligd. +
W
Systemen voor wachtwoordbeheer behoren interactief te zijn en ''sterke wachtwoorden'' te waarborgen. +
Alle relevante ''wettelijke, statutaire, regelgevende'', ''contractuele eisen'' en de ''aanpak'' van de CSP om aan deze eisen te voldoen behoren voor elke clouddienst en de organisatie expliciet te worden vastgesteld, gedocumenteerd en actueel gehouden. +
Alle relevante ''wettelijke statutaire, regelgevende, contractuele eisen'' en de aanpak van de huisvesting informatievoorzieningen (IV)-organisatie om aan deze eisen te voldoen behoren voor elke huisvestingsdienst en de organisatie expliciet te worden vastgesteld, gedocumenteerd en actueel gehouden. +
Wijzigingen aan systemen binnen de ''levenscyclus'' van de ontwikkeling behoren te worden beheerst door het gebruik van ''formele procedures'' voor wijzigingsbeheer. +
Z
Groepen van informatiediensten, -gebruikers en -systemen behoren in netwerken te worden ''gescheiden (in domeinen)''. +