Eigenschap:Stelling
Naar navigatie springen
Naar zoeken springen
Type eigenschap
:
Tekst
Geldige waarden
:
Meerdere waarden toegestaan
:
Nee
Weergave op formulieren
:
Tekstvak
Initiële waarde
:
Verplicht veld
:
Nee
Toelichting op formulier
:
Deze eigenschap kan worden gebruikt om elementen te voorzien van een stelling.
Subeigenschap van
:
Geïmporteerd uit
:
Formatteerfunctie externe URI
:
Klik op de button om een nieuwe eigenschap te maken:
(
De programmacode is beschermd tegen ongeautoriseerde wijzigingen. +
A
Het document met de inrichting van huisvesting Informatievoorzieningen (IV) en de bekabeling:
* heeft een eigenaar;
* is voorzien van een datum en versienummer;
* bevat een documenthistorie (wat is wanneer en door wie aangepast);
* is actueel, juist en volledig;
* is door het juiste (organisatorische) niveau vastgesteld/geaccordeerd. +
Aan het management worden evaluatierapportages verstrekt. +
Aan de medewerkers wordt regelmatig training (e-learning) aangeboden en zij worden regelmatig op de hoogte gesteld van de ontwikkelingen rond rekencentrumbeveiliging met brochures en nieuwsberichten. +
Bij bescherming van toegang tot gegevens wordt aandacht geschonken aan relevante wetgeving en eventuele contractuele verplichtingen. +
De cloudbeveiligingsstrategie van de Cloud Service Provider (CSP) geeft aan op welke wijze zij de bedrijfsdoelstellingen van Cloud Service Consumer (CSC)(’s) ondersteunt door onder andere te beschrijven:
* een evenwichtige set van beveiligingsmaatregelen, waarin aandacht wordt besteed aan risicomanagement;
* hoe (functioneel) cloud-beveiliging de weerbaarheid tegen hoge impactincidenten bewerkstelligt. +
De cloudbeveiligingsstrategie van de Cloud Service Provider (CSP):
* geeft onder andere aan hoe zij Cloud Service Consumers (CSC’s) tegen bedreigingen beschermt;
* besteedt aandacht aan de huidige beveiligingscontext van de CSP, inclusief vaardigheden, capaciteiten en informatiebeveiligingsfunctie. +
Aankomst- en vertrektijden van bezoekers worden geregistreerd. +
Het compliance-proces is bij voorkeur aangesloten op een informatiebeveiligingsmanagementsysteem. +
De Cloud Service Provider (CSP) zorgt ervoor dat de uitkomsten uit de jaarlijkse assurance- rapportage (Third Party Mededeling (TPM)), de uitkomsten van de periodieke servicerapportages en de uitkomsten uit de continue compliance op het cloud-beveiligingsbeleid op elkaar aansluiten. +
De risicomanagement aanpak wordt aantoonbaar toegepast, bijvoorbeeld door in de vorm van een plan van aanpak aantoonbaar opvolging te geven aan de aanbevelingen/verbetervoorstellen uit de DPIA's. +
Van alle verwerkingen waarop een DPIA is uitgevoerd is een DPIA-rapportage beschikbaar, waardoor bekend is welke risico's bestaan en welke maatregelen genomen (moeten) worden. +
Privacy by Design en de DPIA maken onderdeel uit van een tot standaard verheven risicomanagement aanpak. +
Een tot standaard verheven DPIA toetsmodel wordt toegepast; dit model voldoet aan de in de AVG gestelde eisen. +
Een procesbeschrijving is aanwezig voor het uitvoeren van DPIA's en voor het opvolgen van de uitkomsten. +
Aangetoond is dat de wijze van verwerken ten aanzien van de betrokkene 'behoorlijk' is, conform [[ISOR:Risicomanagement-_Privacy_by_Design_en_de_GEB|B.03: Risicomanagement, Privacy by Design en de DPIA]]. +
Aangetoond is dat de persoonsgegevens op een wijze worden verwerkt die voor de betrokkene transparant is, conform [[ISOR:Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens|PRIV_U.05: ISOR:Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens]], [[ISOR:Register van verwerkingsactiviteiten|PRIV_U.02: Register van verwerkingsactiviteiten]] en [[ISOR:Toegang gegevensverwerking voor betrokkenen|PRIV_C.02 Toegang gegevensverwerking voor betrokkenen]]. +
Als het de bedoeling is dat de programmabroncode wordt gepubliceerd, behoren aanvullende beheersmaatregelen die bijdragen aan het waarborgen van de integriteit ervan (bijvoorbeeld een digitale handtekening) te worden overwogen. +
Als geen gebruik wordt gemaakt van twee-factorauthenticatie:
* is de wachtwoordlengte minimaal 8 posities en complex van samenstelling;
* vervalt vanaf een wachtwoordlengte van 20 posities de complexiteitseis;
* is het aantal inlogpogingen maximaal 10;
* is de tijdsduur dat een account wordt geblokkeerd na overschrijding van het aantal keer foutief inloggen, vastgelegd. +
Aanvullend bevat het cryptografiebeleid voor communicatieservices het volgende:
* Welk typen gegevens moeten voor welke communicatievorm worden versleuteld.
* Welk typen gegevens elektronisch worden ondertekend.
* Aan welke standaarden cryptografische toepassingen dienen te voldoen.
* In hoeverre backward compatibility voor algoritmen en protocollen voor netwerken mag worden toegepast. +
Op verzoek van betrokkene worden onvolledige persoonsgegevens vervolledigd (met inachtneming van de doeleinden van de verwerking), onder meer op basis van een aanvullende verklaring van betrokkene<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 16 lid 1</sup>. +
Aanwezigheid van noodschakelaars en -knoppen bij nooduitgangen of ruimten waar apparatuur aanwezig is +
Nabij nooduitgangen en ruimten waar apparatuur aanwezig is, zijn noodschakelaars en knoppen waarmee stroom, water, gas of andere voorzieningen kunnen worden uitgeschakeld. +
Parallel aan het vervaardigen van het functioneel ontwerp en technisch ontwerp worden acceptatie-eisen vastgelegd. +
Acceptatietesten worden uitgevoerd in een representatieve acceptatie-testomgeving. Deze omgeving is vergelijkbaar met de toekomstige productieomgeving. +
In de architectuur van het softwarepakket zijn detectiemechanismen actief voor het detecteren van aanvallen. +
Activiteiten van applicatiebouw worden gereviewd. +
De beveiligingsfunctionaris zorgt onder andere voor:
* de actualisatie van beveiligingsbeleid voor servers en besturingssystemen;
* de afstemming van het beveiligingsbeleid in de afgesloten overeenkomsten met onder andere de ketenpartijen;
* de evaluatie van de effectiviteit van de beveiliging van de ontwikkelde systemen;
* de evaluatie van de beveiligingsmaatregelen ten aanzien van de bestaande risico’s;
* de bespreking van beveiligingsissues met ketenpartijen;
* het verschaffen van inzicht in de afhankelijkheden tussen servers binnen de infrastructuur. +
De beveiligingsplannen worden periodiek geactualiseerd en toegewezen aan de hiervoor verantwoordelijke functionarissen. +
De inventarislijst van de bedrijfsmiddelen is nauwkeurig, actueel, consistent en conform andere inventarisoverzichten. +
Op verzoek van de AP wordt middels de registers een actueel beeld gegeven. +
Doorgifte naar buiten de EU is alleen toegestaan, wanneer naar het oordeel van de Europese Commissie in het derde land, in het gebied of in één of meerdere nader bepaalde sectoren in het derde land, of bij de internationale organisatie in kwestie een passend beschermingsniveau is gewaarborgd<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 45</sup>. +
Een adequate risicobeheersing bij de klant impliceert een voorbereiding op het voor korte of lange termijn wegvallen van leveranciersondersteuning:
* met disaster recovery procedures voor herstel van de applicatie-functionaliteit en data;
* door een contractuele uitwijklocatie;
* door de mogelijkheid van dataconversie naar alternatieve IT-systemen. +
Adoptie van ontwikkelmethodologie wordt gemonitord. +
Adresboeken en interne telefoonboeken waarin locaties worden aangeduid met faciliteiten die vertrouwelijke informatie verwerken, zijn niet vrij toegankelijk voor onbevoegden. +
Bij het monitoren en reviewen worden onder andere de volgende elementen geadresseerd:
* wet- en regelgeving en organisatorische/technische context;
* risico-assessmentaanpak;
* waarde assets en categorieën;
* risico-evaluatiecriteria;
* risico-acceptatiecriteria. +
Het softwarepakket dekt de eisen van de organisatie zodanig dat geen maatwerk noodzakelijk is. Wanneer de functionaliteit door een SaaS (Software as a Service)-leverancier wordt aangeboden via een app-centre, dan wordt het volgende onderzocht en overeengekomen:
* Wie zijn de leveranciers of contractpartners van apps?
* Wie is verantwoordelijk voor het goed functioneren van de app en de continuïteit? +
De verwerking door een verwerker is in een overeenkomst of andere rechtshandeling vastgelegd<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 28 lid 2</sup>, met daarin:
#Het onderwerp en de duur van de verwerking.
#De aard en het doel van de verwerking waarvoor de persoonsgegevens worden verstrekt, inclusief:
##Welke persoonsgegevens worden verstrekt aan de verwerker;
##Hoe dataminimalisatie is toegepast;
#Het soort persoonsgegevens, inclusief de classificatie van de persoonsgegevens;
#De categorieën van betrokkenen, en:
#De rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. +
De verwerking door een verwerker vindt alleen plaats als een verwerkingsverantwoordelijke afdoende garanties heeft over het toepassen van passende technische en organisatorische maatregelen bieden, (zie [[ISOR:Risicomanagement- Privacy by Design en de GEB|PRIV_B.03: Risicomanagement, Privacy by Design en de DPIA]]), door de verwerker. +
Afspraken met en activiteiten van leveranciers zijn contractueel vastgelegd in Service Level Agreement (SLA’s) en Dossier Afspraken en Procedures (DAP’s). +
De generieke functies in de digitale basisinfrastructuur worden ingevuld door afspraken, standaarden en voorzieningen. Daarbij gaan afspraken boven standaarden en gaan standaarden boven voorzieningen. +
Tussen de leverancier en klant is een procedure afgesproken voor het tijdig actualiseren/opwaarderen van verouderde softwarepakketten uit de technische stack. +
Wij de burgers maken heldere afspraken met de overheid welke diensten geleverd moeten worden en aan wie. +
De doorgifte mag ook plaatsvinden als<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 49</sup>:
#De betrokkene uitdrukkelijk heeft ingestemd met de voorgestelde doorgifte, na te zijn ingelicht over de risico's die dergelijke doorgiften voor hem kunnen inhouden bij ontstentenis van een adequaatheidsbesluit en van passende waarborgen, tenzij dit door een overheidsinstantie ten behoeve van een openbare bevoegdheid wordt verricht;
#De doorgifte noodzakelijk is voor de uitvoering van een overeenkomst tussen de betrokkene en de verwerkingsverantwoordelijke of voor de uitvoering van op verzoek van de betrokkene genomen precontractuele maatregelen, tenzij dit door een overheidsinstanties ten behoeve van een openbare bevoegdheid wordt verricht;
#De doorgifte noodzakelijk is voor de sluiting of de uitvoering van een in het belang van de betrokkene tussen de verwerkingsverantwoordelijke en een andere natuurlijke persoon of rechtspersoon gesloten overeenkomst, tenzij dit door een overheidsinstanties ten behoeve van een openbare bevoegdheid wordt verricht;
#De doorgifte noodzakelijk is wegens gewichtige redenen van algemeen belang, dat is erkend bij de wet- en regelgeving;
#De doorgifte noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering;
#De doorgifte noodzakelijk is voor de bescherming van de vitale belangen van de betrokkene of van andere personen, als de betrokkene lichamelijk of juridisch niet in staat is zijn toestemming te geven;
#De doorgifte verricht is vanuit een register dat volgens het Wettelijk recht is bedoeld om het publiek voor te lichten en dat door eenieder dan wel door iedere persoon die zich op een gerechtvaardigd belang kan beroepen kan worden geraadpleegd, maar alleen voor zover in het geval in kwestie wordt voldaan aan de in het wettelijk recht vastgestelde voorwaarden voor raadpleging;
#De doorgifte aan derde landen of internationale organisaties is gebaseerd op internationale overeenkomsten die door de lidstaten zijn gesloten vóór 24 mei 2016 en die overeenkomsten in overeenstemming zijn met het vóór die datum toepasselijke Unierecht en nog niet is gewijzigd, vervangen of ingetrokken<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 96</sup>.
Omdat draadloze netwerken altijd en overal fysiek benaderbaar zijn, worden de volgende algemene maatregelen en beveiligingslagen altijd toegepast:
* Netwerktoegangscontrole (Institute of Electrical and Electronics Engineers (IEEE) 802.1x) en apparaat-authenticatie (Extensible Authentication Protocol - Transport Layer Security (EAP-TLS)) beschermt netwerken tegen aansluiting van ongeautoriseerde gebruikers.
* Integriteitcontrolemechanismen voorkomen man-in-the-middle attacks.
* Encryptie op netwerkniveau; het sterkst mogelijke algoritme/protocol wordt standaard toegepast met backwards- compatibility-mogelijkheden voor de ondersteuning van oudere of minder sterke protocollen.
* Autorisatie van mobiele clients, bijvoorbeeld via Media Access Control (MAC)-adresfiltering.
* Toegangscontrole van eindgebruikers, bijvoorbeeld via Role Based Access Control (RBAC).
* Niet toegestane typen netwerkverkeer worden geblokkeerd.
* Niet benodigde functies zijn altijd uitgeschakeld (hardening).
* Bekende kwetsbaarheden in de systeemsoftware worden doorlopend opgelost (patching en patchmanagement). +
De activiteiten aanvragen, verwerken en intrekken van het autorisatieverzoek (succes/foutmelding) worden vastgelegd en gearchiveerd. +
Alle externe toegang tot servers vindt versleuteld plaats. +
Alle gebruikers worden nog vóór de toegang tot de applicatieomgeving in het personeelsinformatiesysteem opgenomen +
Alle interne en externe gebruikers worden vóór de toegangsverlening tot de applicatieomgeving opgenomen in het personeelsinformatiesysteem. +
Het netwerk is in (logische of fysieke) domeinen (of zones) opgedeeld op grond van risico’s voor onderlinge negatieve beïnvloeding van informatiesystemen binnen een domein en het beoogde betrouwbaarheidsniveau. +
Alle natuurlijke personen die gebruik maken van applicaties worden geregistreerd. +
Alle uitgegeven toegangsrechten worden minimaal eenmaal per halfjaar beoordeeld. +