ISOR:Risicomanagement: verschil tussen versies
k (id aangepast) |
k (objectdefinitie in lijn met versie 2.1) |
||
| (12 tussenliggende versies door 2 gebruikers niet weergegeven) | |||
| Regel 3: | Regel 3: | ||
|ID=CLD_B.06 | |ID=CLD_B.06 | ||
|Titel=Risicomanagement | |Titel=Risicomanagement | ||
|Versieaanduiding=1 | |Versieaanduiding=2.1 | ||
|Status actualiteit=Actueel | |Status actualiteit=Actueel | ||
|Redactionele wijzigingsdatum= | |Redactionele wijzigingsdatum=2022/01/17 | ||
|Publicatiedatum= | |Publicatiedatum=2021/10/29 | ||
|Beschrijving= | |Beschrijving===Objectdefinitie== | ||
Betreft een besturingsproces voor een methodische aanpak van beveiligingsrisico’s. | |||
Het risicomanagementproces maakt onderdeel uit van een Information Security Management Systeem (ISMS), zoals beschreven is in de ISO 27001 en is uitgewerkt in de ISO 27005. | ==Objecttoelichting== | ||
|Criterium=De CSP behoort de organisatie en ''verantwoordelijkheden'' voor het ''risicomanagementproces'' voor de beveiliging van | Clouddiensten zijn voortdurend onderhevig aan dreigingen, zwakheden en risico’s. Het is van belang om een risicomanagementproces in te richten en de verantwoordelijkheden hiervoor te benoemen, waarbij een risicomanagementaanpak(methode) en de te hanteren scope worden vastgesteld. Hierbij gaat het om het identificeren en kwantificeren van risico’s voor clouddiensten en het vaststellen van beheersmaatregelen. Met beheersmaatregelen worden de activiteiten bedoeld waarmee de kans van optreden en/of de gevolgen van een incident worden beperkt. | ||
Het risicomanagementproces maakt onderdeel uit van een Information Security Management Systeem (ISMS), zoals beschreven is in de [[ NEN-EN-ISO/IEC 27001:2017 (Managementsystemen voor informatiebeveiliging - Eisen)|ISO 27001 Managementsystemen voor informatiebeveiliging - Eisen]] en is uitgewerkt in de [[NEN-ISO/IEC 27005:2018 (Information security risk management)|ISO 27005 Information security risk management]]. | |||
|Criterium=De Cloud Service Provider (CSP) behoort de organisatie en ''verantwoordelijkheden'' voor het ''risicomanagementproces'' voor de beveiliging van clouddiensten te hebben opgezet en onderhouden. | |||
|Doelstelling=Om personen die verantwoordelijk zijn voor clouddiensten in staat te stellen effectief en tijdig belangrijke informatierisico's te identificeren, evalueren en de behandeling te bepalen nodig om deze risico's binnen aanvaardbare grenzen te houden. | |||
|Risico=De getroffen beveiligingsmaatregelen liggen buiten de aanvaardbare grenzen. De clouddiensten worden onder- of overbeveiligd. | |||
|Beveiligingsaspect=Beleid | |Beveiligingsaspect=Beleid | ||
|Invalshoek=Intentie | |Invalshoek=Intentie | ||
|Grondslag=* | |Grondslag=* NEN-ISO/IEC 27005:2018 (Information security risk management): 7.4 | ||
|Conformiteitsindicator=Verantwoordelijkheden en risicomanagementproces | |||
|Conformiteitsindicator= | |||
|Heeft bron=BIO Thema Clouddiensten | |Heeft bron=BIO Thema Clouddiensten | ||
|Status Actualiteit=Actueel | |Status Actualiteit=Actueel | ||
|Heeft ouder=ISOR:BIO Thema Clouddiensten Beleid | |Heeft ouder=ISOR:BIO Thema Clouddiensten Beleid | ||
}} | }} | ||
Huidige versie van 17 jan 2022 om 12:48
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.
Verwante principes | ||||||||||||||||||
Objectdefinitie
Betreft een besturingsproces voor een methodische aanpak van beveiligingsrisico’s.
Objecttoelichting
Clouddiensten zijn voortdurend onderhevig aan dreigingen, zwakheden en risico’s. Het is van belang om een risicomanagementproces in te richten en de verantwoordelijkheden hiervoor te benoemen, waarbij een risicomanagementaanpak(methode) en de te hanteren scope worden vastgesteld. Hierbij gaat het om het identificeren en kwantificeren van risico’s voor clouddiensten en het vaststellen van beheersmaatregelen. Met beheersmaatregelen worden de activiteiten bedoeld waarmee de kans van optreden en/of de gevolgen van een incident worden beperkt.
Het risicomanagementproces maakt onderdeel uit van een Information Security Management Systeem (ISMS), zoals beschreven is in de ISO 27001 Managementsystemen voor informatiebeveiliging - Eisen en is uitgewerkt in de ISO 27005 Information security risk management.
Criterium
Doelstelling
Risico
Indeling binnen ISOR
Dit beveiligingsprincipe:
- is gericht op het Beveiligingsaspect Beleid;
- valt binnen de Invalshoek Intentie.
ℹ️(Klik om uitleg open/dicht te klappen)
Grondslag
De grondslag voor dit principe is NEN-ISO/IEC 27005:2018 (Information security risk management) 7.4
Onderliggende normen
| ID | Conformiteitsindicator | Stelling |
|---|---|---|
| CLD_B.06.01 | Verantwoordelijkheden |
De verantwoordelijkheden van de Cloud Service Provider (CSP) zijn onder andere het:
|
| CLD_B.06.02 | Verantwoordelijkheden |
De organisatie van het risicomanagementproces is goedgekeurd door managers van de Cloud Service Provider (CSP). |
| CLD_B.06.03 | Risicomanagementproces |
Het risicomanagementproces is systematisch beschreven met aandacht voor beleid, procedures en richtlijnen voor activiteiten over communiceren, adviseren, vaststellen van de context van onderzoeken, behandelen, monitoren, reviewen, vastleggen en rapporteren van risico’s. |