Eigenschap:Stelling
Naar navigatie springen
Naar zoeken springen
Type eigenschap
:
Tekst
Geldige waarden
:
Meerdere waarden toegestaan
:
Nee
Weergave op formulieren
:
Tekstvak
Initiële waarde
:
Verplicht veld
:
Nee
Toelichting op formulier
:
Deze eigenschap kan worden gebruikt om elementen te voorzien van een stelling.
Subeigenschap van
:
Geïmporteerd uit
:
Formatteerfunctie externe URI
:
Klik op de button om een nieuwe eigenschap te maken:
I
Beschreven is hoe gewaarborgd wordt dat, conform [[ISOR:Kwaliteitsmanagement|PRIV_U.03: Kwaliteitsmanagement]], de persoonsgegevens juist zijn en zo nodig worden geactualiseerd en waarbij alle redelijke maatregelen moeten zijn genomen om de persoonsgegevens die onjuist zijn, gelet op de doeleinden waarvoor zij worden verwerkt, onverwijld te wissen of te rectificeren. +
Beschreven is hoe gewaarborgd wordt dat, conform U.06, persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor zij worden verwerkt en in welke vorm de opslag moet plaatsvinden zodanig dat na deze periode de betrokkenen niet langer zijn te identificeren. +
Beschreven is hoe gewaarborgd wordt dat, conform [[ISOR:Doelbinding gegevensverwerking|PRIV_U.01: Doelbinding gegevensverwerking]], de verwerking toereikend, ter zake dienend en beperkt is tot "minimale gegevensverwerking"; tot wat noodzakelijk is voor de doeleinden waarvoor de gegevens worden verwerkt. +
Invulling wettelijke beginselen; beschrijven van passende technische en organisatorische maatregelen +
Beschreven is hoe gewaarborgd wordt dat, conform [[ISOR:Beveiligen van de verwerking van persoonsgegevens|PRIV_U.04: Beveiligen van de verwerking van persoonsgegevens]], passende technische en organisatorische beveiligingsmaatregelen worden getroffen, zoals pseudonimisering van persoonsgegevens, zodat duidelijk is hoe een veilige verwerking wordt gewaarborgd en hoe de persoonsgegevens onder meer worden beschermd tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. +
Beschreven is hoe gewaarborgd wordt dat, conform [[ISOR:Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens|PRIV_U.05: Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens]] en [[ISOR:Toegang gegevensverwerking voor betrokkenen|PRIV_C.02: Toegang gegevensverwerking voor betrokkenen]], de persoonsgegevens op een wijze worden verwerkt die voor het publiek en de betrokkene transparant is en het de betrokkene mogelijk maakt zijn rechten uit te oefenen. Hierbij is specifiek aandacht voor de bescherming van kinderen. +
Beschreven is hoe gewaarborgd wordt dat persoonsgegevens, conform [[ISOR:Doelbinding gegevensverwerking|PRIV_U.01: Doelbinding gegevensverwerking]], voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en dat de gegevens niet op een met die doeleinden onverenigbare wijze worden verwerkt. +
Beschreven is hoe gewaarborgd wordt dat verantwoordelijken vooraf aantoonbaar maatregelen hebben genomen door het conform [[ISOR:Kwaliteitsmanagement|PRIV_U.03: Kwaliteitsmanagement]] toepassen van Privacy by Design, het uitvoeren van DPIA's en het gebruik van standaard instellingen. +
De beveiligingsfunctionaris geeft onder andere inzicht in:
* het beheer en integratie van ontwikkel- en onderhoudsvoorschriften (procedureel en technisch);
* specifieke beveiligings- en architectuurvoorschriften;
* afhankelijkheden tussen informatiesystemen. +
J
Aangetoond is dat, conform [[ISOR:Kwaliteitsmanagement|PRIV_U.03: Kwaliteitsmanagement]], de persoonsgegevens juist zijn en zo nodig worden geactualiseerd en waarbij alle redelijke maatregelen moeten zijn genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren. +
K
Kabels worden bij voorkeur ondergronds aangelegd. +
Het feit dat de kennisgeving is gedaan zonder onredelijke vertraging moet worden vastgesteld, met name rekening houdend met de aard en de ernst van de inbreuk in verband met persoonsgegevens en de gevolgen en negatieve effecten voor de betrokkene<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] overweging 87</sup>. +
Klant en organisatie hebben overeenstemming over wet- en regelgeving en contractuele verplichtingen +
Het huisvesting informatievoorzieningen (IV)-beleid waarover de huisvesting IV-organisatie en de klant overeenstemming hebben bereikt, is mede gerelateerd aan alle relevante en specifiek geldende wet- en regelgeving en contractuele verplichtingen. +
Koppelingen tussen applicaties worden uitgevoerd met vastgestelde procedures en richtlijnen. +
Koppelingen worden uitgevoerd via geautoriseerde opdrachten. +
Het verstrekken van de informatie en de communicatie zijn kosteloos, tenzij de verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn. Als de verzoeken buitensporig zijn, met name vanwege hun repetitieve karakter, en dit kan worden aangetoond, dan mag de verwerkingsverantwoordelijke ofwel:
#Een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan, ofwel:
#Weigeren gevolg te geven aan het verzoek. +
Alleen gebruikers met geauthentiseerde apparatuur kunnen toegang krijgen tot IT-diensten en data. +
L
Wanneer persoonsgegevens voor langere perioden worden opgeslagen, dan worden ze louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden verwerkt<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] art. 5 lid 1e</sup> en zijn voor de rechten en vrijheden van de betrokkene ("opslagbeperking") passende waarborgen getroffen in overeenstemming met de AVG<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] art. 89 lid 1</sup>. +
Leegstaande beveiligde ruimten behoren fysiek afgesloten en periodiek geïnspecteerd te zijn. +
Leidende ontwerpprincipes worden gehanteerd of anders geformuleerd: “inbraak betekent geen doorbraak” +
Leidende ontwerpprincipes, zoals ‘defence in depth’ (of anders geformuleerd ‘inbraak betekent geen doorbraak’) worden gehanteerd.
Robuustheid (resilience) van het ontwerp bepaalt de beschikbaarheid van netwerken, zoals door het toepassen van redundancy, back-up van configuratiegegevens en snel beschikbare reservedelen. +
Lever een gelijkwaardige uitkomst, ongeacht het gebruikte kanaal. Bied de dienst aan via internet, fysiek (off-line) en eventueel via andere passende kanalen waar de afnemer gebruik van kan maken. +
Leveranciers zijn [[NEN-EN-ISO/IEC 27001:2017 (Managementsystemen voor informatiebeveiliging - Eisen)|ISO 27001]]-gecertificeerd. +
Beveiligingszones worden gedefinieerd waarbij de locatie en de sterkte van elke zone afhangen van de beveiligingseisen van de bedrijfsmiddelen die zich binnen de zone bevinden en van de resultaten van een risicobeoordeling. +
De organisatie heeft logische en/of fysieke scheidingen aangebracht tussen de ontwikkel-, test-, acceptatie- en productie-omgeving, elk met een eigen autorisatiestructuur en werkwijze, zodat sprake is van een beheerst ontwikkel- en onderhoudsproces. +
M
Bereid de dienst voor op veranderende werklast of reikwijdte. +
De verwerkingsverantwoordelijke heeft de nodige maatregelen getroffen om de juistheid en nauwkeurigheid van persoonsgegevens te waarborgen.. +
Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen om verwerkingsverantwoordelijken die de persoonsgegevens verwerken ervan op de hoogte te stellen, dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar of kopie of reproductie van die persoonsgegevens te wissen<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 17 lid 2</sup>. +
Als de bewaartermijnen verlopen, zijn de gegevens verwijderd, vernietigd of geanonimiseerd. +
De Cloud Service Provider (CSP) maakt haar dienstverlening transparant, zodat de Cloud Service Consumer (CSC) aantoonbaar aan de voor haar verplichte [[BIO (Baseline Informatiebeveiliging Overheid)|BIO]] en Pas-toe-of-leg-uit standaarden kan voldoen. +
Er is een actueel mandaatregister of er zijn functieprofielen waaruit blijkt welke personen bevoegdheden hebben voor het verlenen van toegangsrechten. +
De bewaartermijn is de maximale periode waarin de persoonsgegevens noodzakelijk worden bewaard om het doel van de verwerking te bereiken of niet langer dan de termijn die verankerd is in sectorspecifieke wetgeving<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 5 lid 1e</sup>. +
Het wijzigingsproces voor applicaties is zodanig ingericht dat medewerkers (programmeurs) de juiste autorisatie krijgen om hun werkzaamheden te kunnen uitvoeren. +
Medewerkers, contractanten en externen dragen zichtbare identificatie. +
Voor zover nodig en gepast wordt het meenemen en de terugkeer van bedrijfsmiddelen geregistreerd. +
Met de communicerende partijen worden afspraken gemaakt over:
* de wederzijdse authenticatie;
* de bevoegdheden voor het gebruik van de dienst;
* de integriteit en vertrouwelijkheid van transacties, belangrijke documenten en de onweerlegbaarheid van de ontvangst;
* een passende verificatie voor de controle van de transactie. +
Als vanuit een onvertrouwde zone toegang wordt verleend naar een vertrouwde zone, gebeurt dit alleen of op basis van minimaal twee-factorauthenticatie. +
Op verzoek van de betrokkene is de informatie mondeling meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is. +
Monitoren en evalueren risico’s voor behouden risicobeeld en tijdige vaststelling van veranderingen +
Vastgestelde risico’s dienen in relatie met de factoren: waarde van de assets, dreigingen, zwakheden, kans op voorkomen en impact te worden gemonitord en geëvalueerd, om een compleet risicobeeld te behouden en tijdig veranderingen vast te (kunnen) stellen. +
Monitoren en rapporteren over informatiebeveiliging is gerelateerd doelen, risico en beveiligingsincidenten +
Het monitoren en rapporteren over de informatiebeveiliging zijn gerelateerd aan:
* geformuleerde strategische- en bedrijfsdoelen;
* risico’s die het bereiken van de strategische doelen kunnen beïnvloeden;
* beveiligingsincidenten, zoals cybersecurity-aanvallen. +
Het monitoren van informatiebeveiliging en rapportages vindt plaats met:
* het verzamelen van informatie uit interne en externe bronnen;
* het inzicht door verzamelde informatie uit de combinatie van Key Performance Indicators (KPI’s) en Key Risk Indicators (KRI’s). +
Het continue proces van herstelbaar beveiligen van data wordt gemonitord. +
Als de melding aan de AP niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging. +
N
De documentatie stelt de AP in staat de naleving te controleren. +
Het bepalen van een nummer dat ter identificatie van een persoon bij wet is voorgeschreven wordt slechts gebruikt ter uitvoering van de betreffende wet dan wel voor doeleinden die bij de wet zijn bepaald<sup class="noot">UAVG Art. 46</sup>:
*Overheidsorganen kunnen bij het verwerken van persoonsgegevens in het kader van de uitvoering van hun publieke taak (dus met een specifieke wettelijke grondslag) gebruik maken van het burgerservicenummer (BSN), zonder dat daarvoor nadere regelgeving vereist is.
*Voor instellingen die geen beroep kunnen doen op Wabb Art. 10 dient het gebruik te zijn voorgeschreven in sectorale wetgeving.
*De (anno 2019) in de maak zijnde wet Digitale overheid (voorheen: Wet generieke digitale infrastructuur - GDI) maakt het noodzakelijk dat er ook voor private partijen een wettelijke grondslag komt voor het verwerken van het BSN in het kader van authenticatie<sup class="noot">Mvt bij de GDI pag. 15</sup>. +
Gebruik gegevens als fundament voor het ontwerp, realisatie en doorontwikkeling van de dienst en richt het beheer hiervan goed in. +
Netwerkbeheer omvat het doorvoeren van logische en fysieke wijzigingen in netwerken, zoals patching van netwerkbekabeling in netwerkverdeelkasten. +
Netwerkbeveiliging is gebaseerd op International Telecommunication Union - Telecommunications sector (ITU-T) X.80x (zie de [[NEN-EN-ISO/IEC 27001:2017 (Managementsystemen voor informatiebeveiliging - Eisen)|ISO 27001 2017]] Annex C). +
Netwerkbeveiligingsbeheer omvat activiteiten, methoden, procedures en gereedschappen voor administratie +
Netwerkbeveiligingsbeheer omvat activiteiten, methoden, procedures en gereedschappen voor administratie, onderhoud en veilig beschikbaar stellen van netwerkverbindingen. Met name geldt daarbij:
* Administratie:
** Het continue actualiseren van de netwerktopologie.
** Het beheersen en ‘huishouden’ van netwerk-resources en de wijze waarop die beschikbaar zijn gesteld.
* Beschikbaarheidsbeheer:
** Het zorgdragen dat netwerkfaciliteiten constant beschikbaar zijn en dat het netwerk wordt gemonitord, zodat onderbrekingen zo vroeg mogelijk worden ontdekt en verholpen.
* Incidentmanagement:
** Het zorgdragen dat op alle incidenten en bevindingen actie wordt ondernomen, met rapportage.
* Technische kwetsbaarhedenmanagement:
** Het verzamelen en uitvoeren van beveiligingsupgrades, zoals het aanbrengen van patches tegen kwetsbaarheden in firmware of netwerk-Operating Software (OS) en het nemen van preventieve maatregelen voor fysieke kwetsbaarheden, zoals ongeautoriseerde toegang tot netwerkbekabeling.
** Het verhelpen van fysieke kwetsbaarheden in het netwerk zoals bescherming tegen ongeautoriseerde (fysieke) toegang van netwerksegmenten. +
Netwerken worden bewaakt op het beoogd gebruik en overtreding van het beveiligingsbeleid wordt gelogd. +
Netwerken worden geregistreerd en gemonitord conform vastgelegde procedures en richtlijnen. +
Netwerken zijn zo opgezet dat ze centraal beheerd kunnen worden. +
Netwerkontwerpen zijn gestructureerd gedocumenteerd in actuele overzichten. +
Softwarepakketten hergebruiken nooit sessie-tokens in URL-parameters of foutberichten. +
Van de server(s):
* wordt informatie die niet meer nodig is, vernietigd door verwijderen of overschrijven, gebruikmakend van technieken die het onmogelijk maken de oorspronkelijke informatie terug te halen;
* worden opslagmedia die niet meer nodig zijn en die vertrouwelijke of door auteursrecht beschermde informatie bevatten fysiek vernietigd. +
Application Programming Interface (API)-URL’s geven geen gevoelige informatie, zoals de API-sleutel, sessie-tokens enz. weer. +
Nieuw ontdekte dreigingen (aanvallen) worden binnen de geldende juridische kaders gedeeld binnen de overheid door (geautomatiseerde) threat-intelligence-sharing mechanismen. +
Bij ontdekte nieuwe dreigingen (aanvallen) worden deze binnen geldende juridische kaders gedeeld binnen de overheid middels (geautomatiseerde) threat intelligence sharing mechanismen. +
Nieuwe systemen en belangrijke wijzigingen aan bestaande systemen volgen een formeel wijzigingsproces +
Nieuwe systemen en belangrijke wijzigingen aan bestaande systemen volgen een formeel proces van indienen, prioriteren, besluiten, impactanalyse, vastleggen, specificeren, ontwikkelen, testen, kwaliteitscontrole en implementeren. +
Noodverlichting en (nood)communicatiemiddelen zijn aanwezig. +
Afnemers worden niet geconfronteerd met overbodige vragen. +
De documentatie bevat de noodzakelijke gegevens plus de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. +
De verwerkingsverantwoordelijke stelt iedere ontvanger, aan wie persoonsgegevens zijn verstrekt, in kennis van elke rectificatie, gegevenswissing of verwerkingsbeperking, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. De verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers indien de betrokkene hierom verzoekt<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 19</sup>. +
O
Om de toegang tot broncodebibliotheken te beheersen en zo de kans op het corrupt raken van computerprogramma’s te verkleinen, worden de volgende richtlijnen in overweging genomen:
* De broncodebibliotheken worden niet in operationele systemen opgeslagen.
* De programmacode en de broncodebibliotheek behoren te worden beheerd conform vastgestelde procedures.
* Ondersteunend personeel heeft geen onbeperkte toegang tot broncodebibliotheken.
* Het updaten van de programmacode en samenhangende items en het verstrekken van de programmacode aan programmeurs vinden alleen plaats na ontvangst van een passend autorisatiebewijs.
* Programma-uitdraaien worden in een beveiligde omgeving bewaard.
* Van elke toegang tot broncodebibliotheken wordt een registratie bijgehouden in een auditlogbestand.
* Onderhoud en het kopiëren van programmacode in bibliotheken zijn aan strikte procedures voor wijzigingsbeheer onderworpen. +
Er zijn maatregelen getroffen die onbedoelde of ongeautoriseerde toegang tot bedrijfsmiddelen waarnemen of voorkomen. +
Apparatuur en informatieverwerkende- en opslagfaciliteiten worden zodanig geplaatst, dat onbevoegden hier geen toegang toe hebben en beveiligd zijn tegen onbevoegde kennisname van gegevens. +
Onder autorisatiebeheer vallende applicaties hebben functionaliteit voor toekennen, inzien en beheren van autorisaties +
Iedere applicatie die valt onder het autorisatiebeheerproces heeft functionaliteiten om autorisaties toe te kennen, in te zien en te beheren. +
Waarborg dat het gebruik en beheer van beveiligingsvoorzieningen transparant en veilig is, maar niet complex. +
De leverancier onderhoudt een registratie van de gebruikte softwarestack. Hierin is de vermelding van de uiterste datum dat ondersteuning plaatsvindt opgenomen, waardoor inzicht bestaat in de door de leverancier ondersteunde versies van de software. +
De samenhang van beveiligingsmaatregelen van de Cloud Service Provider (CSP) ondersteunt het behalen van de bedrijfsdoelen van de Cloud Service Consumer (CSC). Hierin wordt aangegeven:
* in welke mate de cloudbeveiligingsstrategie van de CSP in lijn is met de organisatiebrede doelstellingen van de CSC;
* hoe de cloud-beveiligingsgovernance van de CSC wordt ondersteund door het management van de CSP;
* dat de clouddiensten gedocumenteerd zijn en regelmatig worden gereviewd. +
De beveiligingsarchitectuur ondersteunt een bedrijfsbreed proces voor het implementeren van samenhangende beveiligingsmechanismen en tot stand brengen van gemeenschappelijke gebruikersinterfaces en Application Programming Interfaces (API’s), als onderdeel van softwarepakketten. +
Het versiebeheerproces wordt ondersteund met procedures en werkinstructies. +
Een versiebeheertool wordt toegepast die onder andere:
* het vastleggen van versies van ontwikkelproducten ondersteunt;
* het vastleggen van versies van programmacode ondersteunt;
* het vastleggen van versies voorkomend in verschillende omgevingen (zoals Ontwikkel, Test, Acceptatie en Productie (OTAP)) ondersteunt;
* toegangsmogelijkheden voor verschillende rollen ondersteunt. +
Wijzigingen in, door leveranciers geleverde, softwarepakketten worden, voor zover mogelijk en haalbaar, ongewijzigd gebruikt. +
De noodzakelijke beveiligingsmechanismen in de vorm van technische beveiligingsfuncties, zoals segmentatie, detectie en protectie, monitoring en versleuteling van het dataverkeer zijn vastgelegd in een overeenkomst. +
Afnemers kunnen input leveren over de dienstverlening. +
Fysieke en gevirtualiseerde netwerkcomponenten zijn zodanig ontworpen en geconfigureerd dat netwerkconnecties tussen vertrouwde en onvertrouwde netwerken worden beperkt en gemonitord (bewaakt). +
Ontwikkelaars hebben geen toegang tot de productieomgeving. +
Ontwikkelaars hebben kennis van algemene beveiligingsfouten, vastgelegd in een extern Common Vulnerability and Exposures (CVE)- systeem. +
Ontwikkelaars zijn getraind om veilige software te ontwikkelen. +
Ontwikkelaars zijn wat betreft patchmanagement bekend met hun formeel vastgelegde verantwoordelijkheden +
De ontwikkelaars zijn bekend met hun formeel vastgelegde verantwoordelijkheden voor patchmanagement. +
Conform de [[AVG (Algemene Verordening Gegevensbescherming)|Algemene Verordening Gegevensbescherming (AVG)]] worden bij het ontwerp/ontwikkelen van applicaties de principes privacy by design en privacy by default gehanteerd. +
Met een goedgekeurd functioneel ontwerp wordt een technisch ontwerp vervaardigd dat ook ter review wordt aangeboden aan de kwaliteitsfunctionaris en beveiligingsfunctionaris. +
Configuratiebeheer geeft het inzicht waarmee servers worden gepatcht. +
Op de ontwikkel- en onderhoudsactiviteiten worden kwaliteitsmetingen en inspecties uitgevoerd. +
Op de werkomgeving kan niets zelf worden geïnstalleerd, anders dan via de ICT-leverancier wordt aangeboden of toegestaan +
Gebruikers (beheerders) kunnen op hun werkomgeving niets zelf installeren, anders dan via de ICT-leverancier wordt aangeboden of wordt toegestaan (whitelist). +
De risico’s op de middelen die binnen de scope van clouddiensten ressorteren, worden geïdentificeerd, op waarde geschat (gekwantificeerd of gekwalificeerd) en beschreven met risico-evaluatiecriteria en -doelstellingen van de Cloud Service Provider (CSP). +
Opgeleverde/over te dragen gegevens worden gevalideerd. +
Vastgestelde problemen worden opgelost en beheerd. +
Te beschermen gegevens worden door het softwarepakket alleen opgeslagen als dat nodig is voor het doel en voor de kortst mogelijke tijd, zijnde de kortste periode tussen het vervullen van de toepassing en de door wet- of regelgeving verplichte periode. +
Aantoonbaar wordt opvolging gegeven aan verbetervoorstellen uit analyserapportages. +
De rechten voor toegang tot gegevens en functies in het softwarepakket zijn op een beheersbare wijze geordend, gebruik makend van autorisatiegroepen. +
Persoonsgegevens zijn organisatorisch beveiligd door middel van maatregelen voor de inrichting van de organisatie, welke zijn opgenomen in een informatiebeveiligingsplan. +
Over het gebruik van de vocabulaire, applicatie-framework en toolkits zijn afspraken gemaakt. +
Voor het kopiëren/verplaatsen van configuratie-items tussen de omgevingen gelden overdrachtsprocedures. +
De overeenkomsten en documentatie omvatten afspraken over:
* procedures voor levenscyclusmanagement, actualisaties en patches;
* beveiligingseisen voor fysieke toegang, monitoring en beheer op afstand;
* verplichtingen voor leveranciers om vertrouwelijke informatie van de klant te beschermen;
* het bepalen van aanvullende beveiligingseisen zoals het recht op een audit;
* de bewaking van informatiebeveiligingsprestaties met overeengekomen beveiligingsafspraken voor externe leveranciers;
* het vaststellen van een methode voor het afsluiten, beëindigen, verlengen en heronderhandelen van contracten met externe leveranciers (exit-strategie);
* de wijze van rapportage over de dienstverlening. +
De Cloud Service Consumer (CSC) kan buiten het verstrijken van de contractperiode besluiten over te gaan tot exit als sprake is van aspecten die gerelateerd zijn aan:
* Contracten:
** niet beschikbaarheid zijn van afgesproken performance;
** eenzijdige wijziging door de Cloud Service Provider (CSP) van de Service Level Agreement (SLA);
** prijsverhoging.
* Geleverde prestatie/ondersteuning:
** onvoldoende compensatie voor storingen;
** niet leveren van de afgesproken beschikbaarheid of performance;
** gebrekkige support.
* Clouddienst(en):
** nieuwe eigenaar of nieuwe strategie;
** end-of-life van clouddienst(en);
** achterwege blijvende features. +
Burgers, bedrijven en instellingen verwachten, wanneer zij iets vragen aan of nodig hebben van de overheid, dat die overheid als één geheel herkenbaar en aanspreekbaar is. +
De overheid moet ervoor zorgen dat hun diensten aan burgers en bedrijven
veilig en betrouwbaar zijn. +
Overtredingen van het actuele netwerkbeleid (afwijkingen van de baseline) worden geregistreerd en vastgelegd in auditlogs. +
In het beleid voor beveiligd inrichten en onderhouden zijn de volgende aspecten in overweging genomen:
* het toepassen van richtlijnen/standaarden voor de configuratie van servers en besturingssystemen;
* het gebruik van hardeningsrichtlijnen;
* het toepassen van standaard images;
* het beperken van toegang tot krachtige faciliteiten en instellingen voor hostparameter;
* het beschermen tegen ongeautoriseerde toegang. +
In het beleid voor beveiligd ontwikkelen zijn de volgende aspecten in overweging genomen:
* beveiliging van de ontwikkelomgeving;
* richtlijnen over de beveiliging in de levenscyclus van softwareontwikkeling:
** beveiliging in de software-ontwikkelmethodologie;
** beveiligde coderingsrichtlijnen voor elke gebruikte programmeertaal;
* beveiligingseisen in de ontwikkelfase;
* beveiligingscontrolepunten binnen de mijlpalen van het project;
* beveiliging van de versiecontrole;
* vereiste kennis over toepassingsbeveiliging;
* het vermogen van de ontwikkelaar om kwetsbaarheden te vermijden, te vinden en te repareren. +
Voor informatiesystemen worden onder andere de volgende informatiebeveiligingseisen in overweging genomen:
* authenticatie eisen van gebruikers;
* toegangsbeveiligingseisen;
* eisen over beschikbaarheid, integriteit en vertrouwelijkheid;
* eisen afgeleid uit bedrijfsprocessen;
* eisen gerelateerd aan interfaces voor het registreren en monitoren van systemen. +
P
Geef burgers en bedrijven de zekerheid dat informatie over hen alleen wordt gebruikt voor de doelen waarvoor deze oorspronkelijk is verzameld. +
De technische, organisatorische en fysieke beveiligingsmaatregelen bieden voor alle verwerkingen van persoonsgegevens een passend beschermingsniveau en dit kan worden aangetoond. De maatregelen zijn daartoe proportioneel en subsidiair. +
De maatregelen waarborgen een passend beveiligingsniveau en bevatten onder meer<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 32; dit is 'het informatiebeveiligingsartikel'</sup>:<br>
# De pseudonimisering en versleuteling van persoonsgegevens;
# Het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen;
# Het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen;
# Een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking. +
Communicatie en opslag van informatie door softwarepakketten is passend bij de classificatie van de gegevens, al dan niet beschermd door versleuteling. +
De resultaten van de DPIA worden gebruikt om de organisatie (beter) bewust te maken van het van belang om aan privacy te doen. +
De maatregelen zijn blijvend passend door het uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA's) +
Passende maatregelen zijn genomen door bij het ontwerp de principes van gegevensbescherming te hanteren (privacy by design) en door het hanteren van standaardinstellingen (privacy by default)<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 25</sup>. +
De maatregelen bestaan uit technische en organisatorische maatregelen. +
Als bindende bedrijfsvoorschriften worden gebruikt om passende waarborgen te bieden, dan:
#Zijn die juridisch bindend of van toepassing en worden deze gehandhaafd door alle betrokken leden van het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen; met inbegrip van hun werknemers;
#Kunnen betrokkenen uitdrukkelijk afdwingbare rechten toekennen met betrekking tot de verwerking van hun persoonsgegevens, en:
#Zijn de hier beknopt weergegeven elementen vastgelegd<sup class="noot"> zie voor de volledige weergave AVG Art. 47 lid 1</sup>:
##De structuur en de contactgegevens;
##De toepassing van de algemene beginselen inzake gegevensbescherming;
##De rechten van betrokkenen;
##De aanvaarding van aansprakelijkheid voor alle inbreuken;
##De wijze waarop informatie wordt verschaft over de bindende bedrijfsvoorschriften;
##De taken van elke Functionaris voor gegevensbescherming, of elke andere persoon of entiteit die is belast met het toezicht op:
##De naleving van de bindende bedrijfsvoorschriften binnen het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen,
###Opleiding, en:
###De behandeling van klachten;
#De klachtenprocedures;
#De bestaande procedures om te controleren of de bindende bedrijfsvoorschriften zijn nageleefd;
#De procedures om die veranderingen in de regels te melden, te registreren en aan de AP te melden;
#De procedure voor samenwerking met de AP;
#De procedures om eventuele wettelijke voorschriften aan de AP te melden, en:
#De passende opleiding inzake gegevensbescherming voor personeel. +
Wanneer door de Europese commissie geen adequaatheidsbesluit is genomen, dan zijn passende waarborgen geboden doordat er<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 46</sup>:
#Een juridisch bindend en afdwingbaar instrument is tussen overheidsinstanties of -organen;
#Door de AP goedgekeurde bindende bedrijfsvoorschriften zijn;
#standaardbepalingen zijn inzake gegevensbescherming die in de door de Europese Commissie bedoelde onderzoeksprocedure zijn vastgesteld ;
#Standaardbepalingen zijn inzake gegevensbescherming die door een AP zijn vastgesteld en die in de door de Europese Commissie bedoelde onderzoeksprocedure zijn goedgekeurd ;
#Een goedgekeurde gedragscode is, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen toe te passen, waaronder waarborgen voor de rechten van de betrokkenen;
#Een goedgekeurd certificeringmechanisme is, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen, onder meer voor de rechten van de betrokkenen, toe te passen, of:
#Door de AP passende waarborgen zijn, waarbij er met name:
##Contractbepalingen zijn tussen de verwerkingsverantwoordelijke of de verwerker en de verwerkingsverantwoordelijke, de verwerker of de ontvanger van de persoonsgegevens in het derde land of de internationale organisatie, of:
##Bepalingen zijn opgenomen in administratieve regelingen tussen overheidsinstanties of -organen, waaronder afdwingbare en effectieve rechten van betrokkenen. +
Wanneer de verwerking niet had mogen plaatsvinden, dan wordt door de verwerkings¬verantwoordelijke de doorgifte beëindigd en de AP en de betrokkenen hierover geïnformeerd<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] art. 49.</sup>. +
De communicatie vindt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is, plaats in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 12 lid 1</sup>. Hierbij kan gebruik gemaakt worden van gestandaardiseerde iconen om het overzicht te houden<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 12 lid 7</sup>. +
Patchmanagement en noodzakelijke patchmanagement procedures zijn beschreven, vastgesteld en bekendgemaakt +
Het patchmanagementproces en de noodzakelijke patchmanagementprocedures zijn beschreven, vastgesteld door het management en bekendgemaakt aan de ontwikkelaars. +
Het patchmanagementproces is beschreven, goedgekeurd door het management en toegekend aan een verantwoordelijke functionaris. +
Indien van een gegeven niet de classificatie van vertrouwelijkheid is vastgesteld, wordt het gegeven per default veilig opgeslagen. +
Perimeters van netwerkzones worden nauwkeurig gedefinieerd en de gecontroleerde doorgang wordt beheerst +
Perimeters van netwerkzones worden nauwkeurig gedefinieerd en de gecontroleerde doorgang van de informatie tussen netwerkdomeinen wordt beheerst met een gateway (bijvoorbeeld een firewall en een filterende router). +
Periodiek worden, na verkregen toestemming van het management, penetratietests of kwetsbaarheidsbeoordelingen uitgevoerd. +
Permanente isolatie van gegevens wordt gerealiseerd binnen een multi-tenantarchitectuur. Patches en aanpassingen van applicaties en infrastructuur worden op een gecontroleerde wijze gerealiseerd voor alle clouddiensten die de Cloud Service Consumer (CSC) afneemt. +
Personeel behoort alleen dankzij ‘need-to-know’ bekend te zijn met het bestaan van of de activiteiten binnen een beveiligd gebied. +
Persoonsgegevens van strafrechtelijke aard mogen worden verwerkt<sup class="noot">UAVG Art. 32.</sup> indien:
#De betrokkene uitdrukkelijke toestemming heeft gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden;
#De verwerking noodzakelijk is ter bescherming van de vitale belangen van de betrokkene of van een andere natuurlijke persoon, indien de betrokkene fysiek of juridisch niet in staat is zijn toestemming te geven;
#De verwerking betrekking heeft op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt;
#De verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering, of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid. +
Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (inclusief een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag) of daarmee verband houdende veiligheidsmaatregelen mogen worden verwerkt<sup class="noot">UAVG Art. 33</sup>. indien:
*De verwerking geschiedt door organen die krachtens de wet zijn belast met de toepassing van het strafrecht, alsmede door verwerkingsverantwoordelijken die deze hebben verkregen krachtens de Wet politiegegevens (WPG) of de Wet justitiële en strafvorderlijke gegevens (WJSG);
*De verwerking geschiedt door en ten behoeve van publiekrechtelijke samenwerkingsverbanden van verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken, indien:
#De verwerking noodzakelijk is voor de uitvoering van de taak van deze verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken; en
#Bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad;
of:
*De verwerking noodzakelijk is in aanvulling op de verwerking van gegevens over gezondheid, bedoeld in de UAVG Art. 30, derde lid, aanhef en onderdeel a, met het oog op een goede behandeling of verzorging van de betrokkene;
*Persoonsgegevens van strafrechtelijke aard mogen worden verwerkt door de verwerkingsverantwoordelijke die deze gegevens ten eigen behoeve verwerkt:
#Ter beoordeling van een verzoek van betrokkene om een beslissing over hem te nemen of aan hem een prestatie te leveren, of:
#Ter bescherming van zijn belangen voor zover het gaat om strafbare feiten die zijn of op grond van feiten en omstandigheden naar verwachting zullen worden gepleegd jegens hem of jegens personen die in zijn dienst zijn;
*Persoonsgegevens van strafrechtelijke aard over personeel in dienst van de verwerkingsverantwoordelijke mogen uitsluitend worden verwerkt, indien dit geschiedt overeenkomstig de regels die zijn vastgesteld in overeenstemming met de procedures in de Wet op de ondernemingsraden voor zover het persoonsgegevens van strafrechtelijke aard over personeel in dienst van de verwerkingsverantwoordelijke betreft;
*Persoonsgegevens van strafrechtelijke aard mogen ten behoeve van derden worden verwerkt, indien:
#Door verwerkingsverantwoordelijken die optreden krachtens een vergunning op grond van de Wet particuliere beveiligingsorganisaties en recherchebureaus (WPBR);
#Door een verwerkingsverantwoordelijke die tevens rechtspersoon is en in dezelfde groep is verbonden als bedoeld in artikel 2:24b van het Burgerlijk Wetboek, of:
#Door een verwerkingsverantwoordelijke die hiervoor van de AP een vergunning heeft verkregen.
Bij de business impact analyse worden onder andere de volgende perspectieven in beschouwing genomen:
* de relevante stakeholders (business owners, business- en IT-specialisten);
* de scope van de risico-assessment;
* het profiel van de ‘doelomgeving’;
* de aanvaardbaarheid van risico’s in de doelomgeving. +
Er is een planning van activiteiten in het kader van het beoordelen van de compliancy. +
Voor het beveiligen van informatiesystemen zijn de volgende principes van belang:
* Defence in depth (beveiliging op verschillende lagen)
* Secure by default
* Default deny
* Fail secure
* Input van externe applicaties wantrouwen
* Secure in deployment
* Bruikbaarheid en beheersbaarheid +
Privacy by design en de Privacy Impact Assessment (PIA) maken onderdeel uit van een tot standaard verheven risicomanagementaanpak. +
In het beleid is vastgelegd of een gedragscode wordt gehanteerd waarin de uitvoering van de AVG nader wordt geconcretiseerd voor de eigen organisatie of branche, en met welke frequentie deze gedragscode en de naleving ervan worden gecontroleerd en geëvalueerd door de verantwoordelijke en - indien aangesteld - de Functionaris voor Gegevensbescherming (FG)<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 25 en Art. 64 lid 2</sup>. +
In het beleid is vastgelegd en bekrachtigd op welke wijze invulling wordt gegeven aan de eisen van de sectorspecifieke wetgeving. +
De organisatie heeft vastgesteld en vastgelegd welke wet- en regelgevingen gelden. +
Het privacybeleid is tot stand gekomen langs een cyclisch proces dat voldoet aan een gestandaardiseerd patroon met daarin de elementen: voorbereiden, ontwikkelen, goedkeuren, communiceren, uitvoeren, implementeren en evalueren. +
Het beleid geeft duidelijkheid over hoe de verantwoordelijken hun verantwoordelijkheid voor de naleving van de beginselen en de rechtsgrondslagen invullen en dit kunnen aantonen ("verantwoordingsplicht")<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 5 lid 2</sup>. +
Het topmanagement van de organisatie heeft het privacybeleid vastgelegd, bekrachtigd en gecommuniceerd binnen de organisatie, met daarin de visie op privacybescherming en richtlijnen voor het - in overeenstemming met de wet - rechtmatig, behoorlijk en transparant verwerken van persoonsgegevens. +
De procedures beschrijven het beschermen van als bijlage gecommuniceerde gevoelige informatie. +
De procedures beschrijven het beveiligen van informatie tegen onderscheppen, kopiëren, wijzigen, foutieve routering en vernietiging. +
De procedures beschrijven het opsporen van en beschermen tegen malware die kan worden overgebracht met elektronische communicatie (zie paragraaf 12.2.1 van de [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002 2017]]). +
Er bestaat een proces voor het definiëren en onderhouden van de autorisaties. +
Voor het uitvoeren van een Privacy Impact Assessment (PIA) en voor het opvolgen van de uitkomsten is een procesbeschrijving aanwezig. +
Technische kwetsbaarheden worden via de patchmanagementprocessen en/of het wijzigingsbeheer hersteld. +
De (programma)code is effectief, veranderbaar en testbaar waarbij gedacht kan worden aan:
* het juist registreren van bugs in de code;
* het voorkomen van herintroductie van bugs in de code;
* het binnen 72 uur corrigeren van beveiligingsfixes;
* het vastleggen van afhankelijkheden van development en operations (dev/ops) van applicatie (relatie tussen software-objecten);
* het adequaat documenteren van software-interface, koppelingen en Application Programming Interfaces (API’s). +
De (programma)code wordt aantoonbaar veilig gecreëerd. +
R
Gegevens zijn onafhankelijk van de door de Cloud Service Provider (CSP) toegepaste technologie raadpleegbaar tijdens de gehele bewaartermijn. +
Rapportage van de resultaten uit de QA-onderzoeken aan verbetermaatregelen initiërende verantwoordelijken +
De resultaten uit de quality assurance-onderzoeken worden geapporteerd aan de verantwoordelijken die verbetermaatregelen initiëren. +
De rapportage- en verantwoordingslijnen tussen de betrokken verantwoordelijken, verwerkers en - indien aangesteld - de FG zijn vastgesteld en vastgelegd. +
Er is gezorgd voor afdoende uitwijkfaciliteiten zodat bij calamiteiten de serviceverlening binnen de daartoe gestelde termijn voortgezet kan worden. +
De Cloud Service Provider (CSP) realiseert de volgende scheiding van clouddienstverlening:
* onderlinge scheiding van de Cloud Service Consumers (CSC’s) in een multi-tenant-omgeving;
* scheiding tussen de afgenomen cloud-service en de interne informatievoorziening van de CSP;
* de CSP maakt het mogelijk om de beoogde scheiding van clouddiensten te verifiëren. +
De betrokkene heeft het recht de hem betreffende persoonsgegevens in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen en hij heeft het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrekt<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 20</sup>, als de verwerking berust op:
#Toestemming van betrokkene, of:
#Een overeenkomst waarbij de betrokkene partij is of de verwerking via geautomatiseerde procedés wordt verricht;
en geldt niet als:
#De verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend;
#Het afbreuk doet aan de rechten en vrijheden van anderen. +
Bij het aantonen van de rechtmatigheid wordt gebruik gemaakt van de overeenkomsten voor de doorgiften zoals beschreven in [[ISOR:Doorgifte persoonsgegevens|PRIV_U.07: Doorgifte persoonsgegevens]]. +
Aangetoond is dat, conform [[ISOR:Doelbinding gegevensverwerking|PRIV_U.01: Doelbinding]], de verwerking toereikend is, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (minimale gegevensverwerking). +
Aangetoond is dat, conform [[ISOR:Doelbinding gegevensverwerking|PRIV_U.01: Doelbinding]], de verwerking ten aanzien van de betrokkene rechtmatig is. +
Aangetoond is dat, conform [[ISOR:Doelbinding gegevensverwerking|PRIV_U.01: Doelbinding]], de persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en niet op een met die doeleinden onverenigbare wijze worden verwerkt. +
De betrokkene kan de gegevens rechtstreeks van de ene verwerkingsverantwoordelijke naar de andere laten overdragen indien [[ISOR:Gecorrigeerd-_gestaakt_of_overgedragen-_recht_op_ontvangst_van_gegevens_en_op_overdragen_van_gegevens_aan_andere_verwerkingsverantwoordelijke|PRIV_U.03.02.07: Recht op ongehinderde overdracht van gegevens]]' geldt en dit technisch mogelijk is. +
Op verzoek van betrokkene worden onjuiste persoonsgegevens gerectificeerd<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 16 lid 1</sup>. +
Voor de netwerkverbinding(en) is redundantie verkregen via meerdere routes en vanaf meer dan één aanbieder. +
De leverancier heeft versiebeheer adequaat geregeld en stelt de klant tijdig op de hoogte van de actueel te gebruiken versies. +
In het verwervingsbeleid voor softwarepakketten zijn regels vastgesteld die bij de verwerving van softwarepakketten in acht dienen te worden genomen. De regels kunnen onder andere betrekking hebben op:
* analyse van de context waarin het softwarepakket moet functioneren;
* mobiliseren van kennis die bij het verwerven van belang is;
* vaststelling van de eigenaarschap van data;
* tijdige scholing van de betrokken medewerkers;
* naleven van contractuele verplichtingen. +
Afnemers krijgen in toenemende mate regie op eigen gegevens. +
De verwerker houdt een register bij van alle categorieën van verwerkingsactiviteiten die ten behoeve van de verwerkingsverantwoordelijke plaatsvinden, tenzij er een uitzonderingsgrond is ([[ISOR:Register van verwerker- niet bijgehouden als …|PRIV_U.02.01.06: Register van verwerkerkingen niet bijhouden]]). In voorkomend geval gebeurt de registratie door een vertegenwoordiger van de verwerker. +
Het register is in schriftelijke vorm, waaronder in elektronische vorm, opgesteld. +
Het register van de verwerker met alle categorieën van verwerkingsactiviteiten bevat alle volgende gegevens<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 30 lid 1</sup>:
#De naam en de contactgegevens van:
##De verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken, en:
##In voorkomend geval:
###Van de vertegenwoordiger van de verwerkingsverantwoordelijke, en:
###Van de Functionaris voor gegevensbescherming;
#De categorieën van verwerkingen die voor rekening van iedere verwerkingsverantwoordelijke zijn uitgevoerd;
#Bij doorgiften aan een derde land of een internationale organisatie:
##De doorgifte van verstrekte persoonsgegevens
##De vermelding van dat derde land of die internationale organisatie
##De documenten inzake de passende waarborgen;
#Een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen (indien mogelijk). +
Het register hoeft niet te worden bijgehouden indien:
#De onderneming of organisaties minder dan 250 personen in dienst heeft,
#Het niet waarschijnlijk is dat de verwerking die zij verrichten een risico inhoudt voor de rechten en vrijheden van de betrokkenen,
#De verwerking incidenteel is, en:
#Geen verwerking plaatsvindt van bijzondere categorieën van gegevens of persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten. +
Elke verwerkingsverantwoordelijke houdt een register bij van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden, tenzij er een uitzonderingsgrond is ([[ISOR:Register van verwerker- niet bijgehouden als …|PRIV_U.02.01.06: Register van verwerkerkingen niet bijhouden]]). In voorkomend geval gebeurt de registratie door een vertegenwoordiger van de verwerkingsverantwoordelijke. +
De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. +
De volgende aspecten van een patch worden geregistreerd:
* de beschikbare patches;
* hun relevantie voor de systemen/bestanden;
* het besluit tot wel/niet uitvoeren;
* de testdatum en het resultaat van de patchtest;
* de datum van implementatie;
* het patchresultaat. +
Evaluaties van technische kwetsbaarheden worden geregistreerd en gerapporteerd. +
De Cloud Service Provider (CSP) registreert de regulier uitgebrachte prestatie-, beveiligings- en compliance-rapportages in een administratie. +
We houden rekening met diversiteit bij burgers en bedrijven. +
We houden rekening met diversiteit bij dienstverleners. +
Reparaties van en onderhoud aan apparatuur (hardware) worden op locatie en door bevoegd personeel uitgevoerd, tenzij geen data (meer) op het apparaat aanwezig of toegankelijk is. +
Reparaties en onderhoudsbeurten aan apparatuur worden alleen uitgevoerd door bevoegd onderhoudspersoneel. +
Bij wijzigingen in bestaande en nieuwe verwerkingen worden de resultaten vanuit de gegevensbeschermingseffectbeoordeling (DPIA) meegenomen als onderdeel van de opname van de verwerking in het register. +
De resultaten worden gerapporteerd aan het verantwoordelijke management. +
De Cloud Service Provider (CSP) zal voor het monitoren van risico’s zich continu richten op:
* nieuwe assets die deel behoren uit te maken van het toepassingsgebied van een risico-assessment;
* veranderingen in de waarde van assets;
* de mogelijkheid dat nieuwe of toegenomen zwakheden kunnen leiden tot dreigingen;
* de mogelijkheid dat eerder vastgestelde zwakheden aan nieuwe dreigingen blootstaan;
* toegenomen impact of consequenties van de beoordeelde risico’s en zwakheden resulterend in een onacceptabel risiconiveau;
* informatiebeveiligingsincidenten. +
Bezoekers van kritieke faciliteiten:
* worden slechts toegang geboden voor vastgestelde doeleinden;
* worden continu aan toezicht onderworpen;
* worden gemonitord bij aankomst en vertrek;
* krijgen instructie over de beveiliging van de omgeving en van de noodprocedures en worden bewust gemaakt van de beveiligingsregels;
* wordt verteld dat het gebruik van beeld- en geluidopnamemateriaal/apparatuur niet is toegestaan;
* dragen verplicht een badge. +
De organisatie beschikt over richtlijnen voor het beoordelen van de technische omgeving van servers en besturingssystemen. +
De organisatie beschikt over richtlijnen voor het uitvoeren van registratie, statusmeting, analyse, rapportage en evaluatie. +
De Cloud Service Provider (CSP) beschikt voor clouddiensten over richtlijnen voor het:
* uitvoeren van controle-activiteiten, waaronder penetratie- en kwetsbaarheidstesten;
* evalueren van en rapporteren over de performance, conformance en leveringsprestaties. +
Richtlijnen worden toegepast om operationele gegevens die voor testdoeleinden worden gebruikt te beschermen +
De volgende richtlijnen worden toegepast om operationele gegevens die voor testdoeleinden worden gebruikt, te beschermen:
* de toegangsbeveiligingsprocedures die gelden voor besturingssystemen gelden ook voor testsystemen;
* voor elke keer dat besturingsinformatie naar een testomgeving wordt gekopieerd, wordt een afzonderlijke autorisatie verkregen;
* besturingsinformatie wordt onmiddellijk na voltooiing van het testen uit een testomgeving verwijderd;
* van het kopiëren en gebruiken van besturingsinformatie wordt verslaglegging bijgehouden om in een audittraject te voorzien. +
Voor het verlenen van toegang tot het netwerk door externe leveranciers wordt vooraf een risicoafweging gemaakt. +
Op basis van een risicoafweging is bepaald waar en op welke wijze functiescheiding wordt toegepast en welke toegangsrechten worden gegeven. +
De beveiligingsmaatregelen zijn gebaseerd op een analyse van het verwerkingsrisico (risicoanalyse). Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met verwerkingsrisico's als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 32 lid 2</sup>. +
De risicomanagementaanpak wordt aantoonbaar toegepast, bijvoorbeeld door in de vorm van een plan van aanpak aantoonbaar opvolging te geven aan de aanbevelingen/verbetervoorstellen. +
Het inlogmechanisme is robuust tegen herhaaldelijke, geautomatiseerde of verdachte pogingen om wachtwoorden te raden (brute-forcing of password spraying en hergebruik van gelekte wachtwoorden). +
Rollen, taken en verantwoordelijkheden zijn vastgesteld conform gewenste functiescheidingen. +
S
SLA/systeembeschrijving bevat specificatie met betrekking tot beschikbaar zijn van valide certificaten +
De Service Level Agreement (SLA) of systeembeschrijving voorziet in een specificatie over het beschikbaar zijn van valide certificaten. +
SLA/systeembeschrijving bevat specificatie van jurisdictie inzake data-opslag, verwerking en back-up-locatie +
De Service Level Agreement (SLA) of systeembeschrijving voorziet in een specificatie van jurisdictie over dataopslag, verwerking en back-up-locatie, ook als deze (of delen hiervan) uitbesteed is aan subcontractors. +
De Service Level Agreement (SLA) of systeembeschrijving voorziet in een specificatie voor publicatievereisten en onderzoeksmogelijkheden. +
Tussen in- en uitstroom van gegevens en de inhoud van de gegevensberichten bestaat een aantoonbare samenhang. +
De business impact analyse richt zich op verschillende scenario’s met aandacht voor:
* de hoeveelheid mensen die nadelig beïnvloed worden;
* de hoeveelheid systemen die out-of-running kan raken;
* een realistische analyse en een analyse van worst-case situaties. +
Beheeractiviteiten van de Cloud Service Provider (CSP) zijn strikt gescheiden van de data van de Cloud Service Consumer (CSC). +
Dataverkeer voor Cloud Service Consumers (CSC’s) zijn in gezamenlijk gebruikte netwerkomgevingen gescheiden volgens een gedocumenteerd concept voor de op netwerkniveau (logische) segmentatie van CSC’s, om zo de integriteit en vertrouwelijkheid van de verzonden gegevens te garanderen. +
De overeenkomst of de rechtshandeling is in schriftelijke vorm, waaronder elektronische vorm, opgesteld. +
Als in sectorspecifieke wetgeving een bewaartermijn is vastgelegd voor specifieke persoonsgegevens, dan geldt die bewaartermijn. +
De gangbare principes rondom ‘security by design’ zijn uitgangspunt voor de ontwikkeling van software en systemen. +
De Cloud Service Provider (CSP) identificeert haar eigen relevante wettelijke eisen (zoals [[AVG (Algemene Verordening Gegevensbescherming)|Algemene Verordening Gegevensbescherming (AVG)]]-eisen en encryptietoepassing) om persoonsgegevens te kunnen beschermen. +
Servers en hiervoor gebruikte media worden als voorzorgsmaatregel routinematig gescand op malware. De uitgevoerde scan omvat alle bestanden die op de server moeten worden opgeslagen. +
Servers worden beschermd tegen ongeoorloofde toegang doordat:
* onnodige of onveilige gebruikersaccounts zijn verwijderd;
* belangrijke beveiliging gerelateerde parameters zijn gewijzigd;
* time-out faciliteiten worden gebruikt, die:
** automatisch na een vooraf bepaalde periode van inactiviteit sessies sluiten en een blanco scherm tonen op de beheerschermen;
** vereisen dat opnieuw wordt ingelogd voordat een beheerscherm zich herstelt. +
Gebruikers zijn voorgelicht over de risico’s ten aanzien van surfgedrag en het klikken op onbekende links. +
Een servers is zodanig geconfigureerd dat onderstaande functies zijn verwijderd of uitgeschakeld:
* niet-essentiële en overbodige (redundant) services;
* het kunnen uitvoeren van gevoelige transacties en scripts;
* krachtige beheer-hulpmiddelen;
* het ‘run’-commando en ‘command’-processors;
* de ‘auto-run’-functie. +
Een servers is zodanig geconfigureerd dat gebruik van onderstaande functies wordt beperkt:
* communicatiediensten die inherent vatbaar zijn voor misbruik;
* communicatieprotocollen die gevoelig zijn voor misbruik. +
Sleutelbeheer is ingericht op basis van een sleutelplan (zie ook het [[NkBR (Normenkader Beveiliging Rijkskantoren)|Normenkader Beveiliging Rijkskantoren (NKBR) 2016 paragraaf 5.4]]). +
Softwareconfiguratie-items worden conform procedures en met hulpmiddelen vastgelegd. +
Een formeel vastgestelde ontwikkelmethodologie wordt toegepast, zoals Structured System Analyses and Design Method (SSADM) of Scrum (Agile-ontwikkeling). +
Standaarden en procedures worden toegepast voor:
* het specificeren van requirements;
* het ontwikkelen, bouwen en testen;
* de overdracht van de ontwikkelde applicatie naar de productie-omgeving;
* de training van softwareontwikkelaars. +
Softwareontwikkelaars zijn getraind om de ontwikkelmethodologie toe te passen. +
Speciale gebruikers geven rekenschap over de door hun uitgevoerde beheeractiviteiten. +
De opdrachtgever specificeert de classificatie van de gegevens die worden uitgewisseld en waarvoor versleuteling plaatsvindt. +
De Cloud Service Provider (CSP) specificeert en documenteert op welke locatie (in welk land) de data worden opgeslagen. +
De opdrachtgever specificeert de classificatie van gegevens. +
De architectuur specificeert ten minste het volgende:
* IT-services in relatie met functionaliteit voor bedrijfsprocessen;
* het vertrouwensniveau van de beveiliging van de clouddiensten;
* de beschrijving van de infrastructuur, netwerk- en systeemcomponenten die worden gebruikt voor de ontwikkeling en de werking van de cloud-service(s);
* rollen en verantwoordelijkheden van de CSP en de CSC, inclusief de plichten om samen te werken en de bijbehorende controles bij de CSC;
* IT-functies die door de CSP zijn toegewezen of uitbesteed aan onderaannemers. +
De Cloud Service Provider (CSP) specificeert, als onderdeel van de overeenkomst, welke maatregelen (voor onder andere malwareprotectie) op welke positie in de informatieketen van de Cloud Service Consumer (CSC) en CSP moeten worden genomen. +
De verantwoordelijke verstrekt geen informatie als de verwerking berust op een wettelijke bepaling, waarbij een specifieke uitzondering geldt<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 23</sup>. +
Bij bezwaar van betrokkene wordt de verwerking gestaakt, tenzij er dwingende gerechtvaardigde gronden voor de verwerking kunnen worden aangevoerd die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 21 lid 1</sup>. +
Afnemers ervaren uniformiteit in de dienstverlening door het gebruik van standaardoplossingen. +
Er zijn standaard gebruikersprofielen met toegangsrechten voor veelvoorkomende rollen in de organisaties. +
Standaardiseer waar het kan, maak specifiek waar het moet. +
De voorbereiding van veilige netwerkontwerpen omvat tenminste de volgende stappen:
* identificatie van middelen (assets);
* inventarisatie van functionele eisen;
* beoordeling van functionele eisen in de context van het beoogd gebruik;
* evaluatie van bekende toepassingsmogelijkheden en hun beperkingen;
* evaluatie van bestaande ontwerpen en implementaties. +
Aan logboeken en bewaking worden strenge eisen gesteld. Voor de kritieke componenten zijn geavanceerde beveiligingen voor logboeken en bewaking gedefinieerd. +
<s>De verwerking van de gegevens over personeel in dienst van de verwerkingsverantwoordelijke, vindt plaats overeenkomstig regels die zijn vastgesteld in overeenstemming met de procedure als bedoeld in de Wet op de ondernemingsraden<sup class="noot">Uitvoeringswet AVG art. 31 lid 2.</sup>.</s> +
Strafrechtelijke veroordelingen en strafbare feiten, t.b.v. verwerkingsverantwoordelijken bij noodzakelijke verwerking +
<s>De verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen is toegestaan indien dit geschied door en ten behoeve van publiekrechtelijke samenwerkingsverbanden van verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken indien de verwerking noodzakelijk is voor de uitvoering van de taak van deze verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad<sup class="noot">Uitvoeringswet AVG art. 31 lid 4.</sup>.</s> +
Strafrechtelijke veroordelingen en strafbare feiten, verwerking voor de doeleinden waarvoor deze gegevens worden verwerkt. +
<s>Het verbod om persoonsgegevens te verwerken, is niet van toepassing voor zover dit noodzakelijk is in aanvulling op de verwerking van strafrechtelijke gegevens voor de doeleinden waarvoor deze gegevens worden verwerkt<sup class="noot">Uitvoeringswet AVG art. 31 lid 3.</sup>.</s> +
Maak cyclische sturing op de kwaliteit van de dienst mogelijk. +
Een bevoegdhedenmatrix is beschikbaar waarmee gebruikers slechts die object- en/of systeemprivileges toegekend krijgen die zij nodig hebben voor de uitoefening van hun taken. +
Systemen worden voorafgaand aan de toegang tot het netwerk geauthentiseerd. +
T
De beveiligingsfunctionaris zorgt onder andere voor:
* de actualisatie van beveiligingsbeleid;
* een afstemming van het beveiligingsbeleid met de afgesloten overeenkomsten met onder andere de ketenpartijen;
* de evaluatie van de effectiviteit van de beveiliging van de ontwikkelde systemen;
* de evaluatie van de beveiligingsmaatregelen ten aanzien van de bestaande risico’s;
* de bespreking van beveiligingsissues met ketenpartijen. +
De taken, verantwoordelijkheden en bevoegdheden zijn vastgelegd in bijvoorbeeld een autorisatiematrix. +
Technieken voor beveiligd programmeren worden gebruikt voor nieuwe ontwikkelingen en hergebruik van code uit andere bronnen. +
Het beheer van technische kwetsbaarheden in code omvat minimaal een risicoanalyse van de kwetsbaarheden en eventueel penetratietests en patching. +
Tegen externe bedreigingen zijn beveiligingsmaatregelen genomen o.b.v. een expliciete risicoafweging +
Tegen bedreigingen van buitenaf zijn beveiligingsmaatregelen genomen op basis van een expliciete risicoafweging. +
Tenzij geanonimiseerd worden productiegegevens niet gebruikt als testgegevens. +
Ter bescherming tot netwerkdiensten en/of - voor zover noodzakelijk - van toepassingen zijn voor het beperken van de toegang procedures opgesteld. +
De melding aan de AP heeft plaatsgevonden zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat de verwerkingsverantwoordelijke er kennis van heeft genomen. +
Bij verandering van besturingssystemen wordt onder andere het volgende getest:
* de toepassingscontrole procedures;
* het vaststellen of de veranderingen aan het besturingssysteem een permanente karakter hebben;
* het vaststellen of de veranderingen invloed hebben op de beschikbaarheid van de functionaliteiten van de applicatie en invloed hebben op de beveiliging van de applicatie;
* het vaststellen dat de juiste veranderingen plaatsvinden aan de bedrijfscontinuïteitsplannen. +
Indien vereist worden de wijzigingen door een onafhankelijke beoordelingsinstantie getest en gevalideerd (dit geldt waarvoor mogelijk ook voor software in de cloud). +
Het toereikend functioneren van herstelfuncties wordt periodiek getest door gekwalificeerd personeel en de resultaten daarvan worden gedeeld met de Cloud Service Consumer (CSC). +
Periodiek wordt de beoogde werking van de disaster recovery herstelprocedures in de praktijk getest. Met cloud-leveranciers worden continuïteitsgaranties overeengekomen. +
Testresultaten worden formeel geëvalueerd en door de betrokken informatiesysteemeigenaar beoordeeld, waarna - na te zijn goedgekeurd - overgegaan wordt naar de volgende fase. +
Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, dan:
* Is de betrokkene onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek meegedeeld waarom het verzoek zonder gevolg is gebleven, en:
* Is de betrokkene geïnformeerd over de mogelijkheid om een klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen. +
Het doel is welbepaald en uitdrukkelijk omschreven nog vóórdat de gegevensverwerking begint en wordt niet tijdens het verzamelproces of het verwerkingsproces vastgesteld of gewijzigd<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 5 lid 1 en overweging 50</sup>. +
Het doel is uitdrukkelijk omschreven, dus niet te vaag of te ruim, maar nauwkeurig, specifiek, meetbaar, acceptabel, realistisch en tijdgebonden. +
Van alle gegevens zijn de rechtmatige gronden en de doeleinden van de verzameling en verwerking welbepaald en uitdrukkelijk omschreven en gerechtvaardigd<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 5 lid 1b</sup>. +
Het doel is zodanig vastgelegd (welbepaald) dat het een kader biedt waaraan getoetst kan worden of de gegevens noodzakelijk zijn voor het doel en bij verdere verwerking of de verwerking verenigbaar is met het oorspronkelijke doel waarvoor de gegevens zijn verstrekt<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 6 lid 4</sup>. +
De informatie is onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek verstrekt<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 12 lid 3 en 4</sup>, tenzij:
* De complexiteit van de verzoeken en van het aantal verzoeken verlenging nodig maakt, en:
* De informatie binnen een termijn van nog eens twee maanden worden verstrekt, en:
* De betrokkene binnen één maand na ontvangst van het verzoek in kennis wordt gesteld van een dergelijke verlenging. +
Aan de afwezigheid van bedrijfsmiddelen worden tijdsgrenzen gesteld en geverifieerd wordt dat ze tijdig worden teruggebracht. +
Toegang tot beveiligingszones (terreinen, gebouwen en ruimten) waar zich resources bevinden, is slechts toegankelijk voor personen die hiervoor geautoriseerd zijn. +
Toegang tot informatie en tot systeemfuncties wordt beperkt op basis van juiste rollen en verantwoordelijkheden +
Het toegangsbeveiligingsbeleid geeft onder andere aan dat toegang tot informatie en tot functies van toepassingssystemen wordt beperkt op basis van juiste rollen en verantwoordelijkheden. +
Toegang tot kritieke systemen voor beheer op afstand door externe personen wordt beheerd door:
* het definiëren en overeenkomen van de doelstellingen en reikwijdte van de geplande werkzaamheden;
* het autoriseren van individuele sessies;
* het beperken van toegangsrechten (binnen doelstellingen en reikwijdte);
* het loggen van alle ondernomen activiteiten;
* het gebruiken van unieke authenticatiereferenties voor elke implementatie;
* het toewijzen van toegangsreferenties aan individuen in plaats van gedeeld;
* het intrekken van toegangsrechten en het wijzigen van wachtwoorden onmiddellijk nadat het overeengekomen onderhoud is voltooid;
* het uitvoeren van een onafhankelijke beoordeling van onderhoudsactiviteiten op afstand. +
Toegang tot netwerken is beperkt tot geautoriseerde gebruikers (en geautoriseerde applicaties). Drie gebieden waarvoor expliciete inlogmechanismen worden toegepast, zijn:
#Remote login, Voor gebruikers die van buiten inloggen op de door de organisatie beheerde bedrijfsnetwerken.
#Versterkte authenticatie, Voor toepassingen waarbij de ‘standaard’-authenticatie van gebruikers (en applicaties) kan worden gecompromitteerd.
#Single Sign-On, Voor situaties waarbij netwerken worden geacht authenticatie-checks uit te voeren voor verschillende toepassingen. +
Toegang tot serverparameterinstellingen en krachtige beheerinstrumenten zijn:
* beperkt tot een gelimiteerd aantal geautoriseerde personen;
* beperkt tot specifiek omschreven situaties;
* gekoppeld aan specifieke en gespecificeerde autorisatie. +
Toegang van buitenaf tot laad- en loslocaties wordt beperkt tot geïdentificeerd en bevoegd personeel +
Toegang tot een laad- en loslocatie van buiten het gebouw wordt beperkt tot geïdentificeerd en bevoegd personeel. +
Personeel van externe partijen die ondersteunende diensten verlenen, behoort alleen indien noodzakelijk beperkte toegang tot beveiligde gebieden of faciliteiten die vertrouwelijke informatie verwerken te worden verleend; deze toegang behoort te worden goedgekeurd en gemonitord. +
Als vanuit een onvertrouwde zone toegang wordt verleend naar een vertrouwde zone, gebeurt dit alleen op basis van minimaal twee-factorauthenticatie. +
De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de toegang beperkt is tot diegenen die toegang moeten hebben voor het uitvoeren van hun functie of taken of tot diegenen die daartoe wettelijk zijn gehouden<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 32 lid 3</sup>. +
Toegangsbeperking is in overeenstemming met het toegangsbeveiligingsbeleid van de organisatie. +
Wijzigingen in het dienstverband behoren te corresponderen met de verstrekte toegangsrechten tot fysieke en logische middelen. +
Bij beëindigen van het dienstverband behoren alle toegangsrechten te worden ingetrokken. +
Toegangsrechten intrekken voordat dienstverband eindigt of wijzigt, afhankelijk van risicofactoren +
Toegangsrechten voor informatie en informatieverwerkende bedrijfsmiddelen en faciliteiten behoren te worden verminderd of ingetrokken voordat het dienstverband eindigt of wijzigt afhankelijk van risicofactoren. +
Toegangsrechten van gebruikers behoren na wijzigingen, zoals promotie, degradatie of beëindiging van het dienstverband, te worden beoordeeld. +
Afnemers hebben eenvoudig toegang tot de dienst. +
Onder de verantwoordelijkheid van de Cloud Service Provider (CSP) worden bevoegdheden (systeemautorisaties) voor gebruikers toegekend via formele procedures. +
Aan data en middelen waarin/waarop zich data bevindt, wordt door de verwerkingsverantwoordelijke een classificatie toegekend gebaseerd op het datatype, de waarde, de gevoeligheid en het kritische gehalte voor de organisatie. +
Toepassen informatie- en middelenclassificatie, relevant voor ontwikkelen en aanbieden van clouddiensten +
De Cloud Service Provider (CSP) past een uniforme classificatie toe voor informatie en middelen die relevant is voor de ontwikkeling en het aanbieden van clouddiensten. +
Voor het afleiden van bedrijfs- en beveiligingsfuncties worden formele methoden voor een gegevensimpactanalyse toegepast, zoals een (Business Impact Analyse) BIA en Data Protection Impact Assessment (DPIA) en wordt rekening gehouden met het informatieclassificatie-beleid. +
Informatiespreiding en autorisatie tot informatie worden uitgevoerd met need-to-know- en need-to-use- principes. +
Bij aanbieden van een dienst aan een kind en het kind is jonger dan 16 jaar, dan is de toestemming of machtiging tot toestemming verleend door de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 8</sup>. +
De toestemming van de betrokkene wordt verkregen voorafgaand aan de verwerking<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 6 lid 1</sup>, het doorgeven aan derden en het verder verwerken<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 14 lid 3</sup>. Dit geldt voor persoonsgegevens die via betrokkenen of anderen worden of zijn verkregen. +
Een verwerker laat een verwerking pas door een andere verwerker uitvoeren als voorafgaand een specifieke of algemene schriftelijke toestemming is van de verwerkingsverantwoordelijke<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 28 lid 1</sup>. +
De toestemming moet door de betrokkene vrijelijk gegeven kunnen worden. Bij de beoordeling of dit vrijelijk gebeurt, is gekeken of de verwerking noodzakelijk is voor de uitvoering van een met de betrokkene overeengekomen overeenkomst<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 14 lid 4</sup>. +
Toetsingsafspraken en -resultaten zijn beknopt en Specifiek, Meetbaar, Realistisch en Tijdgebonden (SMART) vastgelegd. +
Toewijzen verantwoordelijkheden voor definiëren, coördineren en evalueren van informatiebeveiliging +
De taken, verantwoordelijkheden en bevoegdheden zijn vastgelegd in een autorisatiematrix. +
De verantwoordelijke en - indien aangesteld - de Functionaris voor gegevensbescherming controleert of de gegevensverwerkingen voldoen aan de wettelijke verplichtingen. Hiertoe worden periodiek compliancy assessments uitgevoerd en de resultaten geregistreerd. +
Afnemers hebben inzage in voor hen relevante informatie. +
De Cloud Service Provider (CSP) treft beveiligingsmaatregelen gebaseerd op internationale standaarden, zoals:
* [[BSI-Standard 200-4 - Business Continuity Management|BSI-Standard 200-4 Business Continuity Management]]
* [[Focus Group on Cloud Computing Technical Report Part 5 - Cloud security|ITU-T FG Cloud TR 1.0 2012 Part 5 Cloud security]]
* [[NEN-ISO/IEC 17788:2014 (Cloud computing - Overview and vocabulary)|NEN-ISO/IEC 17788 Overview and vocabulary]]
* [[NEN-ISO/IEC 17789:2014 (Cloud computing - Reference architecture)|NEN-ISO/IEC 17789 Reference architecture]]
* [[NEN-ISO/IEC 19941:2017 (Information technology - Cloud computing - Interoperability and portability)|NEN-ISO/IEC 19941 Interoperability and portability]]
* NEN-ISO/IEC 19944 Cloud services and devices
* [[NEN-ISO/IEC 27017:2015 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services)|NEN-ISO/IEC 27017 Code of practice for cloud services]]
* [[NEN-ISO/IEC 27018:2014 (Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors)|NEN-ISO/IEC 27018 Personally identifiable information (PII) in public clouds]]
* [[NIST SP 800-145 (The NIST Definition of Cloud Computing)|NIST SP 800-145 Definition of Cloud Computing]] +
In koppelpunten met externe of onvertrouwde zones zijn maatregelen getroffen om mogelijke aanvallen die de beschikbaarheid van de informatievoorziening negatief beïnvloeden (bijvoorbeeld Distributed Denial of Service attacks (DDos)-aanvallen) te signaleren en hierop te reageren. +
Voor de beveiliging van IT-functionaliteiten (verwerking, opslag, transport en opvraag van informatie) zijn beschikbaarheids-, integriteits- en vertrouwelijkheidsmaatregelen getroffen. +
Voor de opslag, de verwerking en het transport van data zijn beschikbaarheids-, integriteits- en vertrouwelijkheidsmaatregelen getroffen. +
Ter bescherming van data en privacy zijn beveiligingsmaatregelen getroffen, in de vorm van data-analyse, Data Privacy Impact Assessment (DPIA), sterke toegangsbeveiliging en encryptie. +
Technische beveiligingsmaatregelen in de vorm van sterke toegangsbeveiliging, encryptie en data-analysemethoden zijn getroffen tegen bescherming van de infrastructuur. +
Voor clouddiensten zijn, om aan de wettelijke en contractuele eisen te kunnen voldoen, specifieke maatregelen getroffen en verantwoordelijkheden benoemd. +
U
De Cloud Service Provider (CSP) laat jaarlijks door een derde partij een onderzoek (audit) uitvoeren op de inrichting en beheersing van de gecontracteerde clouddiensten. +
Systeemontwikkelomgevingen worden passend beveiligd op basis van een expliciete risicoafweging. Deze afweging heeft zowel de ontwikkelomgeving als ook het te ontwikkelen systeem in scope. +
De uitgegeven speciale bevoegdheden worden minimaal ieder kwartaal beoordeeld. +
Uitrusten voor ontwikkeling en exploitatie van clouddiensten gebruikte IT-systemen en netwerkperimeter +
De Cloud Service Provider (CSP) heeft de voor ontwikkeling en exploitatie van clouddiensten gebruikte IT-systemen en netwerkperimeters waarvoor zij verantwoordelijk is, uitgerust met tools ter bescherming en verwijdering van malware. +
Er is uitsluitend toegang verleend tot informatiesystemen na autorisatie door een bevoegde functionaris. +
Uitsluitend toegestaan netwerkverkeer wordt doorgelaten. +
Alle uitvoer wordt naar een veilig formaat geconverteerd. +
Bij nieuwe softwarepakketten en bij wijzigingen op bestaande softwarepakketten moet een expliciete risicoafweging worden uitgevoerd ten behoeve van het vaststellen van de beveiligingseisen, uitgaande van de [[BIO (Baseline Informatiebeveiliging Overheid)|Baseline Informatiebeveiliging Overheid (BIO)]]. +
Leveranciersaudits worden uitgevoerd in samenhang met rapportages over de dienstverlening. +
Uitvoeren malware-bescherming op verschillende omgevingen en bij toegang tot netwerk van organisatie +
De malwareprotectie wordt op verschillende omgevingen uitgevoerd, zoals op mailservers, (desktop)computers en bij de toegang tot het netwerk van de organisatie. De scan op malware omvat onder andere:
* alle bestanden die via netwerken of via elke vorm van opslagmedium zijn ontvangen, nog voor het gebruik;
* alle bijlagen en downloads nog voor het gebruik;
* virtuele machines;
* netwerkverkeer. +
De Cloud Service Provider (CSP) voert regelmatig de monitoringsactiviteiten uit en mitigeert de vastgestelde risico’s. +
Periodiek worden penetratietests op ICT-componenten uitgevoerd om zwakheden te identificeren. +
De overheid levert de afgesproken diensten naar haar beste kunnen. +
De uitvoering van dergelijke tests worden gepland en gedocumenteerd en zijn herhaalbaar. +
In het cryptografiebeleid zijn minimaal de volgende onderwerpen uitgewerkt:
* wanneer cryptografie ingezet wordt;
* wie verantwoordelijk is voor de implementatie van cryptologie;
* wie verantwoordelijk is voor het sleutelbeheer;
* welke normen als basis dienen voor cryptografie en de wijze waarop de normen van het [[Forum Standaardisatie]] worden toegepast;
* de wijze waarop het beschermingsniveau vastgesteld wordt;
* bij communicatie tussen organisaties wordt het beleid onderling vastgesteld. +
In het cryptografiebeleid zijn minimaal de volgende onderwerpen uitgewerkt:
* Wie verantwoordelijkheid is voor de implementatie en het sleutelbeheer.
* Het bewaren van geheime authenticatie-informatie tijdens verwerking, transport en opslag.
* De wijze waarop de normen van het [[Forum Standaardisatie]] worden toegepast. +
De verantwoordelijke hoeft het datalek niet te melden '''aan de AP''' als:
#Het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, of:
#Wanneer melding afbreuk zou doen aan een zwaarwegend belang;
#De verantwoordelijke een aanbieder is van openbare elektronische communicatiediensten zoals bedoeld in de Telecommunicatiewet<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 95</sup>. +
De verantwoordelijke hoeft het datalek niet te melden '''aan de betrokkene''' als:
*Het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, en/of:
*De verwerkingsverantwoordelijke passende technische en organisatorische beschermingsmaatregelen heeft genomen en deze maatregelen zijn toegepast op de persoonsgegevens waarop de inbreuk in verband met persoonsgegevens betrekking heeft, met name die welke de persoonsgegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling, en/of:
*De verwerkingsverantwoordelijke achteraf maatregelen heeft genomen om ervoor te zorgen dat het bij het eerste streepje bedoelde hoge risico voor de rechten en vrijheden van betrokkenen zich waarschijnlijk niet meer zal voordoen, of:
*De mededeling onevenredige inspanningen zou vergen; in dat geval komt in de plaats daarvan een openbare mededeling of een soortgelijke maatregel waarbij betrokkenen even doeltreffend worden geïnformeerd, of:
*Het een verwerking is die berust op een andere wettelijke bepaling waarvoor een specifieke meldplicht geldt <sup class="noot"> AVG Art. 23; UAVG Art. 42</sup>, of:
*De organisatie een financiële onderneming is in de zin van de Wet op het financieel toezicht<sup class="noot">UAVG Art. 42</sup>.
*De verwerking van persoonsgegevens door een natuurlijke persoon in het kader van een louter persoonlijke of huishoudelijke activiteit plaatsvindt, die als zodanig geen enkel verband houdt met een beroeps- of handelsactiviteit<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] overweging 18</sup>. +
Uitzonderingen, informatiebeveiligingsgebeurtenissen en informatie over wanneer en door wie welke gegevens zijn aangebracht, gemuteerd en gewijzigd worden opgeslagen in logbestanden van applicaties en systemen +
Logbestanden van applicaties en systemen bevatten uitzonderingen, informatiebeveiligingsgebeurtenissen en informatie over wanneer en door wie welke gegevens zijn aangebracht, gemuteerd en gewijzigd. +
De verwerking vindt niet plaats als er een rechterlijke uitspraak of een besluit van een administratieve autoriteit is van een derde land op grond waarvan een verwerkingsverantwoordelijke of een verwerker persoonsgegevens moet doorgeven of verstrekken en waarbij dit niet erkend of afdwingbaar is gemaakt dat dit is gebaseerd op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand tussen het verzoekende derde landen en de EU of een lidstaat<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 48</sup>. +
De doorgifte kan worden beperkt als in de wet- en regelgeving of bepalingen om gewichtige redenen van openbaar belang uitdrukkelijk grenzen worden gesteld aan de doorgifte van specifieke categorieën persoonsgegevens aan een derde land of een internationale organisatie. +
Updates/patches voor kwetsbaarheden waarvan de kans op misbruik en ontstane schade hoog is, worden zo spoedig mogelijk doorgevoerd. +
V
Het softwarepakket (of Software as a Service (SaaS)) valideert alle invoer die de gebruiker aan het softwarepakket verstrekt. +
Van de resultaten van de testen wordt een verslag gemaakt. +
Van het type koppelingen is een overzicht aanwezig. +
Welke ongeoorloofde en onjuiste activiteiten gelogd moeten worden, is vastgelegd. +
Vastgestelde acceptatiecriteria en passend uitgevoerde tests voorafgaand aan acceptatieproductie overgang +
Voordat tot acceptatie in de productieomgeving wordt overgegaan, worden acceptatiecriteria vastgesteld en passende testen uitgevoerd. +
Het overtreden van de beleidsregels wordt door de Cloud Service Provider (CSP) en de Cloud Service Consumer (CSC) vastgelegd. +
De Cloud Service Consumer (CSC) legt in de overeenkomst een aantal bepalingen over de exit-regeling vast, zoals:
* De exit-bepaling geldt zowel bij het einde van de overeenkomst als om valide redenen aangedragen door de CSC (zie conformiteitsindicator [[ISOR:Overgaan tot exit buiten verstrijken contractperiode|Condities]]).
* De overeenkomst (en eventuele verwerkersovereenkomst) duurt voort totdat de exit-regeling helemaal is uitgevoerd.
* De opzegtermijn geeft voldoende tijd om te kunnen migreren.
* Data en configuratiegegevens (indien relevant) mogen pas na succesvolle migratie verwijderd worden.
* Door een onafhankelijke partij wordt gecontroleerd en vastgesteld dat alle data is gemigreerd.
* De exit-regeling wordt aangepast/anders ingevuld als de software die gebruikt wordt voor de clouddienst is gewijzigd. +
De bij Service Level Agreements (SLA’s) en Dossier Afspraken en Procedures (DAP’s) betrokken rollen Contractmanagement en Service Level Management zijn vastgelegd. +
In de overeenkomst tussen de Cloud Service Provider (CSP) en de Cloud Service Consumer (CSC) is bij het beëindigen van de clouddienst het eigenaarschap vastgelegd rond het gebruik, het retourneren en het verwijderen van data (data objects) en de fysieke middelen die data bevatten. +
De klant legt in de overeenkomst bepalingen over exit vast dat:
* De exit-bepaling geldt zowel bij het einde van de overeenkomst als om valide redenen aangedragen door de klant (zie [[Besluiten over te gaan tot exit|norm B.03.02 bij conformiteitsindicator Condities]]).
* De overeenkomst (en eventuele verwerkersovereenkomst) duurt voort totdat de exit-regeling helemaal is uitgevoerd.
* De opzegtermijn voldoende tijd geeft om te kunnen migreren.
* Data en configuratiegegevens (indien relevant) pas na succesvolle migratie verwijderd mogen worden.
* Door een onafhankelijke partij wordt gecontroleerd en vastgesteld dat alle data is gemigreerd.
* De exit-regeling wordt aangepast/anders ingevuld als de software die gebruikt wordt voor de clouddienst is gewijzigd. +
De gegarandeerde en met de Cloud Service Provider (CSP) overeengekomen opslagduur is contractueel vastgelegd en voldoet aan de Archiefwet. +
De samenhang van processen wordt in een processtructuur vastgelegd. +
De belangrijkste functionarissen (stakeholders) voor informatiebeveiliging zijn benoemd en de onderlinge relaties zijn met een organisatieschema inzichtelijk gemaakt. +
De huisvesting Informatievoorzieningen (IV)-organisatie heeft de taken, verantwoordelijkheden en bevoegdheden van controlefunctionarissen vastgelegd. +
De Cloud Service Provider (CSP) heeft, om aan de eisen van de Cloud Service Consumer (CSC) te kunnen voldoen, alle wet- en regelgeving die op haar van toepassing is op de clouddienstverlening vastgesteld. +
De (online of offline) bewaartermijn voor logging is vastgesteld en komt tot uitdrukking in de configuratie-instellingen van binnen het softwarepakket. +
Het eigenaarschap van de middelen die deel uitmaken van de clouddiensten is vastgesteld. +
Het bedrijfscontinuïteitsmanagement (BCM)-beleid en beleid voor business impact analyses zijn vastgesteld en gecommuniceerd. +
Richtlijnen en afspraken voor het monitoren en rapporteren over informatiebeveiliging van de cloud-omgeving zijn vastgesteld en worden toegepast. +
De verantwoordelijke voor de huisvesting informatievoorzieningen (IV)-organisatie stelt vast welke wetgeving van toepassing is voor huisvesting-IV. +
Het type, de frequentie en de eisen voor de inhoudelijke rapportages zijn vastgesteld. +
De verantwoordings- en rapportagelijnen tussen de betrokken functionarissen zijn vastgesteld. +
Vaststelling op welke wijze een eventueel compromitteren invloed heeft op de financiën van de organisatie +
Met de business impact analyse wordt vastgesteld op welke wijze een eventuele inbreuk op de aspecten beschikbaarheid, integriteit, vertrouwelijkheid- en controleerbaarheid invloed hebben op de financiën van de organisatie in termen van:
* Verlies van orders en contracten en klanten
* Verlies van tastbare assets
* Onvoorziene kosten
* Verlies van managementcontrol
* Concurrentie
* Late leveringen
* Verlies van productiviteit
* Compliance
* Reputatie +
Het softwarepakket gebruikt veilige Application Programming Interfaces (API’s) die bufferlengtes controleren, waarmee kwetsbaarheden als Buffer- en Integer overflow worden voorkomen. +
Veilige methodes worden toegepast om te voorkomen dat veranderingen kunnen worden aangebracht in de basiscode of in software-packages. +
De voorzieningen van de computercentra zijn veilig gesteld en worden gemonitord (bewaakt), onderhouden en regelmatig getest. +
Voor kwetsbare voorzieningen (binnen en buiten het gebouw) zijn duidelijke onderhoudsbepalingen gesteld. +
Verantwoordelijkheden voor beheer en systeemfuncties zijn eenduidig toegewezen aan één specifieke beheerrol +
Verantwoordelijkheden voor beheer en wijziging van gegevens en bijbehorende informatiesysteemfuncties moeten eenduidig zijn toegewezen aan één specifieke (beheerders)rol. +
De organisatie heeft de verantwoordelijkheden voor het definiëren, coördineren en evalueren van de beveiligingsorganisatie beschreven en toegewezen aan specifieke functionarissen. +
De organisatie heeft de taken en verantwoordelijkheden voor de uitvoering van de beheerwerkzaamheden beschreven en de bijbehorende bevoegdheden vastgelegd in een autorisatiematrix. +
De verantwoordelijkheden voor de beheersprocessen zijn aan een specifieke functionaris toegewezen en vastgelegd. +
Om een doeltreffend beheerproces voor technische kwetsbaarheden vast te stellen, zijn:
* de rollen en verantwoordelijkheden in samenhang met beheer van technische kwetsbaarheden vastgesteld;
* de middelen om technische kwetsbaarheden te bepalen, vastgesteld. +
De huisvesting Informatievoorzieningen (IV)-organisatie is verantwoordelijk voor het beheer, periodiek testen en controleren van uitwijkvoorzieningen. +
De verantwoordings- en rapportagelijnen tussen de betrokken functionarissen zijn vastgesteld. +
De eindverantwoordelijke voor een gegevensverwerking is degene die het doel en de middelen van de gegevensverwerking heeft vastgesteld; het is te allen tijde duidelijk wie deze verantwoordelijke is. +
De taken, verantwoordelijkheden en bevoegdheden zijn duidelijk belegd in een TVB-matrix (Taken, Verantwoordelijkheden, Bevoegdheden) waarbij ook de onderlinge relaties tussen de verschillende verantwoordelijken en verwerkers inzichtelijk zijn gemaakt. +
Bij elke uitvoering van een gegevensverwerking door een verwerker zijn de taken en afspraken om de rechtmatigheid van de gegevensverwerking te garanderen schriftelijk vastgesteld en vastgelegd in een overeenkomst. +
De verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, is alleen mogelijk wanneer:
# De verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld en de verwerkingsverantwoordelijke bij de beoordeling van de verenigbaarheid onder meer rekening houdt met<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 6 lid 4</sup>:
## Ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld en de doeleinden van de voorgenomen verdere verwerking;
## Het kader waarin de persoonsgegevens zijn verzameld, met name wat betreft de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke;
## De aard van de persoonsgegevens, met name of bijzondere categorieën persoonsgegevens worden verwerkt<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 9</sup> en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 10</sup>;
## De mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
## Het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering. ''Of'':
# De verdere verwerking plaatsvindt op basis van de toestemming van betrokkene. ''Of'':
# Wanneer de verdere verwerking berust op een wettelijke bepaling waarbij een specifieke uitzondering geldt. +
Technische zwakheden kunnen worden verholpen door het tijdig uitvoeren van patchmanagement, wat inhoud:
* het identificeren, registreren en verwerven van patches;
* de besluitvorming rond het inzetten van patches;
* het testen van patches;
* het uitvoeren van patches;
* het registreren van doorgevoerde patches. +
Verifieer doorlopend de juiste werking van de componenten en beheersmaatregelen van de dienst. +
De mate waarin de leveranciersovereenkomsten worden nageleefd, wordt geverifieerd. +
De Cloud Service Provider (CSP) verifieert regelmatig de criteria die gebruikt worden om de risico’s te meten en om vast te stellen of ze steeds consistent zijn met de organisatiedoelstellingen, de strategie, het beleid en/of de context van de organisatie steeds in beschouwing worden genomen. +
Business impact analyses en continuïteitsplannen worden geverifieerd, geactualiseerd en regelmatig getest. +
De bevoegdheden voor het inzien of wijzigen van Cloud Service Consumer (CSC)-data en/of van encryptiesleutels door beheerfuncties en beheerders worden gecontroleerd verleend en het gebruik van deze rechten wordt gelogd. +
Onder verantwoordelijkheid van de Cloud Service Provider (CSP) wordt aan beheerders toegang verleend:
* tot data met het least privilege-principe;
* tot data met het need-to-know principe;
* met multi-factorauthenticatie;
* verleend tot data en applicatieve functies via technische maatregelen. +
Ontwerp, realiseer en verbeter de dienst vanuit het perspectief van de afnemer. +
Een onderdeel van de arbeidsvoorwaarden is een verplichte verklaring van gebruikers waarin zij verklaren persoonlijke geheime authenticatie-informatie geheim te houden. +
In het classificatieschema wordt rekening gehouden met de verplichtingen uit wet- en regelgevingen (onder andere privacy), organisatorische en technische requirements. +
In het versiebeheerproces is vastgelegd welke applicatie-objecten in het ondersteunend tool, zoals het functioneel en technisch ontwerp en resultaten van sprints bij Agile-ontwikkeling, worden vastgelegd. +
Het versiebeheerproces is beschreven, vastgesteld door het management en toegekend aan een verantwoordelijke functionaris. +
Het versiebeheerproces wordt ondersteund met procedures en werkinstructies. +
Gegevens worden door het softwarepakket deugdelijk versleuteld opgeslagen met passende standaarden voor cryptografie, tenzij door de gegevenseigenaar is gedocumenteerd dat dit niet noodzakelijk is. Cryptografische toepassingen voldoen aan passende standaarden. +
Cloud Service Consumer (CSC)-data op transport en in rust is versleuteld. +
Het platform waarop het softwarepakket draait, zorgt voor de versleuteling van communicatie tussen de applicatieserver en webserver en tussen de applicatie en database. De webserver forceert versleuteling tussen de webserver en client. +
Versleutelen gevoelige data en private-sleutelgebruik baseren op gecontroleerde overeengekomen procedure +
Gevoelige data (op transport en in rust) is altijd versleuteld, waarbij private sleutels in beheer zijn bij de Cloud Service Consumer (CSC). Het gebruik van een private sleutel door de Cloud Service Provider (CSP) is gebaseerd op een gecontroleerde procedure en moet gezamenlijk worden overeengekomen met de CSC-organisatie. +
Als een verwerkingsverantwoordelijke of verwerker niet in de EU is gevestigd, dan is door de verwerkingsverantwoordelijke of de verwerker schriftelijk een vertegenwoordiger in de EU aangewezen, tenzij:
#Sprake is van een incidentele verwerking die geen grootschalige verwerking van bijzondere categorieën persoonsgegevens betreft, of:
#Bij de verwerking van persoonsgegevens die verband houden met strafrechtelijke veroordelingen en strafbare feiten en waarbij de kans gering is dat zij een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.
#Het een verwerking door een overheidsinstantie of overheidsorgaan betreft. +
Afnemers kunnen erop vertrouwen dat informatie niet wordt misbruikt. +
Faciliteiten zijn zo geconfigureerd dat wordt voorkomen dat vertrouwelijke informatie of activiteiten van buitenaf zichtbaar en hoorbaar zijn; voor zover van toepassing wordt ook elektromagnetische afscherming overwogen. +
Verschaf alleen geautoriseerde toegang tot vertrouwelijke gegevens. +
Het verwerven van huisvesting informatievoorzieningen (IV) vindt uitsluitend plaats met een overeenkomst of andere formele afspraak. +
De verwerving van een softwarepakket vindt plaats met een business case, waarbij verschillende toepassingsscenario’s worden overwogen:
* bedrijfsfuncties vanuit een softwarepakket in een eigen rekencentrum;
* bedrijfsfuncties als Software as a Service (SaaS) aangeboden;
* hybridevorm van IT-dienstverlening, waarbij SaaS-dienstverlening wordt aangevuld door diensten vanuit het eigen rekencentrum. +
Verwerving van een softwarepakket vindt plaats met een functioneel ontwerp, waarin de beoogde functionele en niet-functionele requirements zijn uitgewerkt in een op te stellen softwarepakket van eisen en wensen. +
Virtuele servers worden beschermd met standaard beveiligingsmechanismen op hypervisors, waaronder:
* het toepassen van standaard beveiligingsrichtlijnen voor fysieke en logische toegang;
* het hardenen van de fysieke en virtuele servers;
* het wijzigingsbeheer en de malwareprotectie;
* het toepassen van monitoring en van netwerk gebaseerde beveiliging. +
Virtuele servers worden ingezet, geconfigureerd en onderhouden conform standaarden en procedures, die de bescherming omvat van:
* fysieke servers die worden gebruikt voor het hosten van virtuele servers;
* hypervisors die zijn geassocieerd met virtuele servers;
* virtuele servers die op een fysieke server worden uitgevoerd. +
Voedings- en telecommunicatiekabels zijn beveiligd en niet toegankelijk door onbevoegden. +
Cryptografische toepassingen voldoen aan passende standaarden. +
Voor acceptatietesten van (informatie)systemen worden gestructureerde testmethodieken gebruikt. De testen worden bij voorkeur geautomatiseerd worden uitgevoerd. +
Voor de beheersing van netwerken worden de volgende minimumeisen toegepast:
* de identificatie van alle soorten netwerkverbindingen die worden gebruikt;
* een actuele lijst van toegestane en gebruikte protocollen;
* een actuele lijst van gebruikte netwerktoepassingen;
* een continu onderzoek naar beveiligingsrisico’s voor netwerken;
* een actuele netwerktopologie en daarvoor geldende beveiligingseisen. +
Het downloaden van bestanden is beheerst en beperkt op basis van een risicoanalyse en het principe ‘need-of-use’. +
Voor de beveiliging van elektronische berichten gelden de vastgestelde standaarden tegen phishing en afluisteren +
Voor de beveiliging van elektronische berichten gelden de vastgestelde standaarden tegen phishing en afluisteren van de ‘pas- toe-of-leg-uit’- lijst van het [[Forum Standaardisatie]]. +
Voor de beveiliging van het elektronische berichtenverkeer worden passende maatregelen getroffen, zoals:
* de berichten te beschermen tegen onbevoegde toegang, wijziging of weigering van dienstverlening met het classificatieschema van de organisatie;
* een correcte adressering en het transport van het bericht waarborgen;
* de herstelbaarheid van onderbroken communicatie en de beschikbaarheid van de dienst;
* de wettelijke bepalingen zoals eisen voor elektronische handtekeningen;
* het toestemming verkrijgen van het verantwoordelijke management en de gegevenseigenaren, voorafgaand aan het gebruiken van externe openbare diensten zoals instant messaging, sociale netwerken of het delen van bestanden;
* de twee-factorauthenticatie voor de toegang vanuit de openbaar toegankelijke netwerken. +
Personen of afdelingen, die door de directie verantwoordelijk zijn gesteld voor de levenscyclus van een huisvesting informatievoorzieningen (IV)-bedrijfsmiddel, zijn als eigenaar benoemd. +
Voor elektronische berichten wordt gebruik gemaakt van de AdES Baseline Profile standaard of ETSI TS 102 176-1 +
Om zekerheid te bieden over de integriteit van het elektronische bericht, wordt voor elektronische handtekeningen gebruik gemaakt van de Advanced Electronic Signatures (AdES) Baseline Profile standaard of de European Telecommunications Standards Institute (ETSI) TS 102 176-1 (en relevante standaarden uit de pas-toe-of-leg-uit lijst van het [[Forum Standaardisatie]]). +
Voor elke gateway of firewall bestaat een actueel configuratiedocument dat de complete configuratie en de functionele eisen van de gateway of firewall beschrijft. +
Voor het beheer van netwerkapparatuur zijn verantwoordelijkheden en procedures vastgesteld. +
Voor het bouwen van programmacode worden gedocumenteerde standaarden en procedures beschikbaar gesteld +
Gedocumenteerde standaarden en procedures worden beschikbaar gesteld voor het bouwen van programmacode die ook het volgende specificeren:
* dat een goedgekeurde methode voor applicatiebouw wordt gehanteerd;
* dat mechanismen worden gebruikt waarmee zekerheid wordt verkregen dat de applicatie voldoet aan good practices voor applicatiebouw (methode voor het ontwikkelen van veilige programmacode). +
Voor het creëren van programmacode wordt gebruik gemaakt van best practices (gestructureerde programmering). +
Voor het ontwikkelen van programmacode wordt gebruik gemaakt van gestandaardiseerde vocabulaire zoals de [[NEN-ISO/IEC 25010:2011 (Systems and software Quality Requirements and Evaluation (SQuaRE) - System and software quality models)|NEN-ISO/IEC 25010 Systems and software Quality Requirements and Evaluation (SQuaRE) - System and software quality models]]. +
Voor het verlenen van toegang tot het netwerk aan externe leveranciers wordt vooraf een risicoafweging gemaakt +
Voor het verlenen van toegang tot het netwerk aan externe leveranciers wordt vooraf een risicoafweging gemaakt. De risicoafweging bepaalt onder welke voorwaarden de leveranciers toegang krijgen. Uit een registratie blijkt hoe de rechten zijn toegekend. +
Voor het waarborgen van de integriteit van de communicatie tussen de zender en ontvanger wordt een digitale ondertekening toegepast. Toepassingsvoorbeelden zijn:
* communicatieprotocollen die de ontvangst onweerlegbaar maken;
* applicatieprotocollen die de signatuur van de zender gebruiken voor onweerlegbaarheid van de ontvangst en de integriteit van de ontvangen data. +
Voor het waarborgen van de vertrouwelijkheid wordt versleuteling toegepast op één of meer verbindingslagen +
Voor het waarborgen van de vertrouwelijkheid van communicatie tussen de zender en ontvanger wordt versleuteling toegepast op een of meer van de juiste verbindingslagen (Open Systems Interconnection (OSI)-laag 1 t/m 7). Public Key Infrastructure (PKI) faciliteert deze functie. +
Wijzigingsbeheer vindt plaats op basis van algemeen geaccepteerde beheerframeworks, zoals Information Technology Infrastructure Library (ITIL), Application Services Library (ASL), Business Information Services Library (BiSL), Scrum, [[SIG Evaluation Criteria Security - Guidance for producers|Software Improvement Group (SIG)]] en [[Grip op Secure Software Development|Secure Software Development (SSD)]]. +
Er zijn informatie- en communicatieprocessen ingericht. +
Het vastgoed (onder andere gebouwen) wordt op alle locaties van de huisvesting van de rekencentra onderhouden met een vastgesteld onderhoudsplan. +
Voor remote-werkzaamheden is een werkwijze vastgelegd. +
Voor veilige berichtenuitwisseling met basisregistraties wordt, conform de ‘pas-toe-of-leg-uit-lijst van het [[Forum Standaardisatie]], gebruik gemaakt van de actuele versie van Digikoppeling. +
Wanneer de verwerkingsverantwoordelijke zich een verdere verwerking voorneemt dan moet de verwerkingsverantwoordelijke de betrokkene nog vóór die verdere verwerking informatie over dat andere doel en andere noodzakelijke informatie verstrekken (zie [[ISOR:Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens|PRIV_U.05: Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens]]). Wanneer de oorsprong van de persoonsgegevens niet aan de betrokkene kan worden meegedeeld, omdat verschillende bronnen zijn gebruikt, moet algemene informatie worden verstrekt<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] overweging 61</sup>. +
Voordat apparatuur na onderhoud weer in bedrijf wordt gesteld, wordt een inspectie uitgevoerd om te waarborgen dat niet met de apparatuur geknoeid is en dat deze niet slecht functioneert. +
Voorgaand aan verwijdering of hergebruik, behoort te worden gecontroleerd of apparatuur opslagmedia bevat. +
Houdt rekening in het gehele proces van ontwerpen, ontwikkelen en implementeren van een oplossing met het feit dat misbruik kan plaats vinden door kwetsbaarheden van de oplossing. +
Voorkom onnodige complexiteit door activiteiten en middelen die geen waarde toevoegen, weg te laten. +
Het softwarepakket voorkomt dat wachtwoorden in leesbare vorm worden opgeslagen door gebruik van hashing in combinatie met salts en minimaal 10.000 rounds of hashing. +
Met vastgestelde en geautoriseerde procedures wordt voorkomen dat gegevens buiten de applicatie om (kunnen) worden benaderd. +
Er wordt voor het inrichten van beveiligde zones gebruik gemaakt van de volgende standaarden:
* Kader Rijkstoegangsbeleid 2010
* [[NkBR (Normenkader Beveiliging Rijkskantoren)|Normenkader Beveiliging Rijkskantoren (NkBR) 2016]]
* [[BVR (Beveiligingsvoorschrift Rijksdienst 2013)|Beveiligingsvoorschrift Rijksdienst (BVR) 2013]] +
Er zijn beveiligingsprincipes voorgeschreven waaraan een te verwerven softwarepakket getoetst moet worden, zoals:
* Security by default, Standaard instellingen van beveiligingsparameters.
* Fail secure, Tijdens systeemstoringen in het softwarepakket is informatie daarover niet toegankelijk voor onbevoegde personen.
* Defence in depth, Gelaagde, diepgaande bescherming, die niet afhankelijk is van één beveiligingsmethode).
* Default deny, Het voorkomen van ongeautoriseerde toegang. +
Door voortgangs- en beleidsinformatie gedurende een langere periode te volgen, ontstaat inzicht in patronen die van invloed zijn op de afname en het gebruik van een dienst (zoals seizoensinvloeden, het einde van de maand, de werkdag etc.). Hierdoor zijn prognoses te maken op basis waarvan de dienstverlening nog beter kan worden afgestemd. +
De beveiligingsfunctie voorziet in proactieve ondersteuning van:
* activiteiten van cloud-risicoassessment;
* classificeren van informatie en systemen;
* gebruik van encryptie;
* beveiligen van gerelateerde projecten;
* ontwikkelen van bedrijfscontinuïteitsprogramma en beveiligingsaudits. +
De Cloud Service Provider (CSP) voorziet de Cloud Service Consumer (CSC) van zekerheid (op bewijs gebaseerde compliancy-rapportage) over (het voldoen aan) de van toepassing zijnde wettelijke eisen en contractuele vereisten. +
Voorzieningen voor het achteraf vaststellen van een betrouwbare verwerking (JVT) zijn beschikbaar (onder andere audit trail). +
Voorzieningen voor het genereren van een fout- en uitzonderingsrapportage zijn beschikbaar. +
W
De overeengekomen continuïteit wordt gewaarborgd door voldoende logisch of fysiek meervoudig uitgevoerde systeemfuncties. +
De configuratie van de identificatie- en authenticatievoorziening waarborgt dat de geauthentiseerde persoon inderdaad de geïdentificeerde persoon is. +
De met de Cloud Service Consumer (CSC)-organisatie overeengekomen continuïteitseisen voor cloud-services wordt gewaarborgd door specifieke in de systeemarchitectuur beschreven maatregelen. +
Wanneer voor een gepubliceerde technische kwetsbaarheid geen patch beschikbaar is, worden andere beheersmaatregelen overwogen, zoals:
* het uitschakelen van functionaliteit of diensten;
* het aanpassen of toevoegen van toegangsbeveiligingsmaatregelen, bijvoorbeeld firewalls, rond de grenzen van netwerken;
* het vaker monitoren om de werkelijke aanvallen op te sporen;
* het kweken van bewustzijn over de kwetsbaarheid. +
Foute, ongeldige of verboden invoer wordt geweigerd of onschadelijk gemaakt. Het softwarepakket (of Software as a Service (SaaS)) voert deze controle van de invoer uit aan de serverzijde en vertrouwt niet op maatregelen aan de clientzijde. +
De inzage over de verwerkte persoonsgegevens bevat de volgende informatie<sup class="noot">[[Algemene Verordening Gegevensbescherming (AVG)|AVG]] Art. 15</sup>:
#De verwerkingsdoeleinden;
#De betrokken categorieën persoonsgegevens;
#De ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
#Indien mogelijk: de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen of, als dat niet mogelijk is, de criteria om die termijn te bepalen;
#Dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat zijn persoonsgegevens te rectificeren of te wissen of de verwerking van de hem betreffende persoonsgegevens te beperken, alsmede het recht tegen die verwerking bezwaar te maken;
#Dat de betrokkene het recht heeft klacht in te dienen bij de AP;
#Wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
#Het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, inclusief nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene;
#Bij doorgifte aan een derde land of een internationale organisatie en op verzoek van betrokkene de informatie over van de passende waarborgen;
#Op verzoek van betrokkene een kopie van de persoonsgegevens die worden verwerkt. +
Burgers kunnen altijd voorstellen doen om de bestaande diensten uit te breiden of te veranderen. +
Wijzigingen in softwareconfiguratie-items worden volgens een gestandaardiseerd proces vastgelegd in de Configuration Management Database (CMDB). +
Bij het beëindigen van de contractrelatie wordt de data van de Cloud Service Consumer (CSC), inclusief de back-up van gegevens en de metadata veilig gewist, om te voorkomen dat de CSC-gegevens naderhand door de Cloud Service Provider (CSP) kunnen worden hersteld, bijvoorbeeld met forensische hulpmiddelen. +
Voorafgaand aan het voor onderhoudsdoeleinden wijzigen van opslagmedia, wordt de data van de Cloud Service Consumer (CSC), inclusief de back-up van gegevens en metadata veilig gewist of vernietigd. +
Z
Zeer belangrijke onderdelen van netwerkbeveiliging zijn het:
* via auditlogging en continue monitoring en gekoppeld aan detectie registreren van gebeurtenissen;
* onderzoek uit te voeren en vervolgens;
* snel reageren. +
De verantwoordelijke voor bedrijfscontinuïteitsmanagement (BCM) stelt zeker dat adequate resources beschikbaar zijn voor het uitvoeren van een effectief BCM-proces. +
Voor orkestratie van cloud-services is de volgende informatie benodigd:
* de Cloud Service Consumer (CSC)-identiteit;
* de bedrijfsrelatie van de CSC binnen het cloud-netwerk;
* het IP-adres van de CSC. +
Het softwarepakket zorgt waar mogelijk voor verificatie dat het certificaat:
* is ondertekend door een vertrouwde Certificate Authority (CA);
* een valide geldigheidsduur heeft;
* nog geldig is en niet is ingetrokken. +
Het softwarepakket zorgt dat de invoer in een gestandaardiseerde vorm komt, zodat deze herkend en gevalideerd kan worden. +
a
De dienst kan, behalve via internet, via minimaal één ander kanaal voor persoonlijk contact worden aangevraagd. +
De afnemer heeft inzage in de eigen informatie en het gebruik er van +
Dienstverlener en afnemer hebben afspraken vastgelegd over de levering van de dienst +
Alvorens een systeem toegang verleent, wordt de identiteit van de gebruiker of ander subject dat om toegang vraagt, vastgesteld door middel van authenticatie. +
De dienst wordt na bepaalde signalen automatisch geleverd. +
Autorisaties zijn ingesteld op basis van ontwerp- of systeemdocumentatie, waarin aangegeven is welke rechten in welke gebruikersgroepen worden ondergebracht. +
b
De dienst voldoet aan de baseline kwaliteit. +
De technische infrastructuur voor berichtverwerking is zodanig ontworpen en ingericht, dat foutsituaties worden voorkomen of herkend en dat functioneel beheer over foutbestanden mogelijk is. +
Infrastructurele programmatuur, die vitale beveiligingsfuncties vervult, bevat geen onnodige en ongebruikte functies. +
Het gebruik van hulpprogrammatuur waarmee maatregelen in systeem- en toepassingssoftware zouden kunnen worden gepasseerd, wordt zoveel mogelijk beperkt. +
De beschikbaarheid van de dienst voldoet aan de met de afnemer gemaakte continuïteitsafspraken. +
Kritische gegevens (bijvoorbeeld identificerende en financiële gegevens), die in verschillende gegevensverzamelingen voorkomen, worden periodiek met elkaar vergeleken. +
Alle gebruikte informatieobjecten zijn afkomstig uit een bronregistratie. +
De dienst wordt gebundeld met verwante diensten zodat deze samen met één aanvraag afgenomen kunnen worden. +
c
De levering van de dienst is continu gewaarborgd. +
Instellingen van functies die voor de informatiebeveiliging van belang zijn en wijzigingen daarin worden automatisch gecontroleerd. +
Ongewenst communicatiegedrag wordt opgemerkt en geblokkeerd. +
De gegevensuitwisseling tussen zones wordt naar vorm en inhoud gecontroleerd, waarbij ongewenste gegevens worden geblokkeerd. +
De betrokken systemen controleren informatie-objecten op juistheid, volledigheid en tijdigheid. +
De dienstverlener zorgt ervoor dat de beoogde toegang tot gegevens en de juiste werking van zijn systemen continu alsook achteraf te controleren is. +
Aanvullende maatregelen boven het basisniveau beveiliging kunnen noodzakelijk zijn om een hoger beveiligingsniveau te bereiken bij extra risicovolle bedrijfsprocessen. +
d
De dienstverlener draagt zelf de consequenties wanneer de dienst afwijkt van afspraken en standaarden. +
De dienst vult andere diensten aan en overlapt deze niet +
De dienst is zodanig opgezet, dat andere organisaties deze in eigen diensten kunnen hergebruiken +
Het doel waarvoor informatie wordt (her)gebruikt is verenigbaar met het doel waarvoor deze oorspronkelijk is verzameld. +
e
Eén organisatie is verantwoordelijk en aanspreekbaar voor de dienst +
Afnemers wordt niet naar reeds bekende informatie gevraagd +
De communicatie en de opslag van gegevens die buiten de invloedsfeer van de logische en fysieke toegangsbeveiliging maar wel binnen de eigen beheeromgeving vallen of waarvoor deze maatregelen onvoldoende zijn, zijn door encryptie beschermd. +
f
Niemand in een organisatie of proces mag in staat worden gesteld om een gehele procescyclus te beheersen. +
g
Als gebruik van ‘mobile code’ wordt toegelaten, dan zorgt de configuratie ervoor dat de geautoriseerde ‘mobile code’ functioneert volgens een vastgesteld inrichtingsdocument (configuratiedossier) en voorkomt de configuratie dat niet-toegelaten ‘mobile code’ wordt uitgevoerd. +
De dienst maakt gebruik van de landelijke bouwstenen e-overheid +
De dienst maakt gebruik van open standaarden +
De dienst maakt gebruik van standaard oplossingen +
Het resultaat van de dienst is gelijkwaardig, ongeacht het kanaal waarlangs de
dienst wordt aangevraagd of geleverd. +
In toepassingsprogrammatuur zijn geen functies werkzaam, waarvoor kwalitatief betere generieke voorzieningen beschikbaar zijn, zoals die voor identificatie, authenticatie, autorisatie, onweerlegbaarheid en encryptie. +
h
De door de leverancier bepaalde technische functionaliteit van programmapakketten en infrastructurele programmatuur blijft gehandhaafd. +
Maak verwerkingen herstelbaar. +
i
Alle toegangsvragers (gebruikers) tot gegevens of systeemfuncties zijn uniek herleidbaar tot één natuurlijke persoon, organisatie of IT-voorziening. +
Dienstverlener en afnemer zijn geauthenticeerd wanneer de dienst een vertrouwelijk karakter heeft +
Informatieobjecten zijn uniek geïdentificeerd +
De aan de dienst gerelateerde informatieobjecten zijn, uniek geïdentificeerd, in een informatiemodel beschreven. +
De betrokken faciliteiten zijn gescheiden in zones. +
De dienstverlener waarborgt de integriteit van gegevens en systeemfuncties. +
De integriteit (authenticiteit) van het verzonden bericht wordt vastgesteld met behulp van een elektronische handtekening. +
Alle ingevoerde gegevens vanuit een systeemvreemde omgeving worden op juistheid (J), tijdigheid (T) en volledigheid (V) gecontroleerd voordat verdere verwerking plaatsvindt. Bij batchgewijze verwerking heeft de controle op de volledigheid ook betrekking op het aantal posten of mutaties dat deel uitmaakt van de batch. +
n
De dienst is nauwkeurig beschreven. +
Overheidsloketten verwijzen gericht door naar de dienst +
o
De stappen uit het dienstverleningsproces zijn ontsloten als dienst. +
De onweerlegbaarheid van berichtenuitwisseling wordt gegarandeerd door wederzijdse authenticatie en door versleuteling van elektronische handtekeningen. +
p
De kwaliteit van de dienst wordt bestuurd op basis van cyclische terugkoppeling. +
De dienst benadert geïdentificeerde afnemers op persoonlijke wijze. +
De gebruiker staat aantoonbaar centraal gedurende het (door-)ontwikkelen van diensten en ondersteunende systemen. +
De dienst is helder gepositioneerd in het dienstenaanbod. +
De dienst ondersteunt proactiviteit van dienstverleners binnen en buiten de organisatie +
r
Logbestanden worden periodiek geanalyseerd en gecorreleerd teneinde beveiligingsincidenten dan wel de juiste werking van het systeem te detecteren. +
Handelingen in en meldingen van systeemfuncties in de technische infrastructuur worden vastgelegd in logging. +
De dienst ontsluit ruimtelijke informatie locatiegewijs. +
s
De technische infrastructuur is in zones ingedeeld om isolatie van onderdelen hiervan mogelijk te maken. +
De vertrouwelijkheid en integriteit van geheime cryptografische sleutels is gewaarborgd tijdens het gehele proces van generatie, transport, opslag en vernietiging van de sleutels. +
Sturing op de kwaliteit van de dienst is verankerd op het hoogste niveau van de organisatie +
t
Bij gerede twijfel aan de juistheid van informatie, meldt de dienstverlener dit aan de verantwoordelijke bronhouder +
Afnemers worden geïnformeerd over de stand van zaken bij de gevraagde dienst. +
u
Wanneer de levering van een dienst mislukt, wordt de uitgangssituatie hersteld +
De uitvoerfuncties van programma's maken het mogelijk om de juistheid, tijdigheid en/of volledigheid van de gegevens te kunnen vaststellen. +
v
In toepassingsprogrammatuur worden geprogrammeerde controles opgenomen, gericht op invoer, verwerking en uitvoer. +
De dienstverlener legt verantwoording af over de mate van control, in overleg met de afnemer. +
De wijze waarop een dienst geleverd is, kan worden verantwoord +
Bepaal op basis van de eisen die voortvloeien uit de Plannen voor Bedrijfscontinuïteit in hoeverre delen van de technische infrastructuur meervoudig worden uitgevoerd om single-points-of-failure te vermijden. +
De dienstverlener verschaft alleen geautoriseerde afnemers toegang tot vertrouwelijke gegevens. +
Toepassingsprogrammatuur biedt mogelijkheden om te constateren dat alle ter verwerking aangeboden invoer juist, volledig en tijdig is verwerkt. +
De dienst kan via internet worden aangevraagd +
Probeer in IT-voorzieningen dreigende discontinuïteit van die voorzieningen te voorspellen dan wel te signaleren in een zo vroeg mogelijk stadium. +
w
Alvorens een transactie mogelijk is, wordt de identiteit van de ontvanger of ontvangend systeem, en de identiteit van de zender van het bericht vastgesteld door middel van authenticatie. +
z
De indeling van zones binnen de technische infrastructuur vindt plaats volgens een vastgesteld inrichtingsdocument (configuratiedossier) waarin is vastgelegd welke uitgangspunten gelden voor de toepassing van zonering. +
‘
‘State of the art’ beveiligen gegevenstransport met cryptografie, met zelf uitgevoerd sleutelbeheer +
Gegevenstransport wordt naar de laatste stand der techniek beveiligd met cryptografie (conform [[Forum Standaardisatie]]), waarbij het sleutelbeheer zo mogelijk door de Cloud Service Consumer (CSC) zelf wordt uitgevoerd. +
Opgeslagen gegevens in de clouddienst worden naar de laatste stand der techniek beveiligd met encryptie en met een tenminste voor het doel toereikende sleutellengte, waarbij het sleutelbeheer zo mogelijk niet als clouddienst wordt afgenomen en door de Cloud Service Consumer (CSC) zelf wordt uitgevoerd. +