SIVA-methodiek: verschil tussen versies
(in categorie tekstpagina's ISOR geplaatst) |
k (1 versie geïmporteerd) |
||
| (19 tussenliggende versies door 2 gebruikers niet weergegeven) | |||
| Regel 1: | Regel 1: | ||
[[Afbeelding:Boekinfo SIVA.png|thumb|right| | {{Werkversie geïmporteerd Bindende afspraken}}[[Afbeelding:Boekinfo SIVA.png|thumb|right|350px|Boekinformatie SIVA-methodiek|alt=Afbeelding van het boek SIVA - Methodiek voor de ontwikkeling van auditreferentiekaders|link=https://www.vuuniversitypress.com/product/siva/]] | ||
De SIVA-methodiek is ontwikkeld door Wiekram N.B. Tewarie PhD. aan de Vrije Universiteit. | De SIVA-methodiek is ontwikkeld door Wiekram N.B. Tewarie PhD. aan de Vrije Universiteit. De letters SIVA staan voor Structuur, Inhoud, Vorm en Analysevolgorde, de vier componenten van het SIVA-raamwerk. De wetenschappelijke basis voor de SIVA-methodiek is [https://www.worldcat.org/title/structured-approach-to-it-auditing-model-based-development-of-audit-terms-of-reference/oclc/763341152?referer=di&ht=edition dissertatie, A Structured Approach to IT Auditing – Model Based Development of Audit Terms of Reference] van de heer Tewarie. Een [http://vuuniversitypress.com/16-dtlas/99-siva verkorte Nederlandstalige beschrijving van dit proefschrift] verscheen in 2015. | ||
De letters SIVA staan voor Structuur, Inhoud, Vorm en Analysevolgorde, de vier componenten van het SIVA-raamwerk. | |||
Om de volledigheid van dit denk- en ontwikkelproces te borgen, wordt een matrix gehanteerd die ontstaat door het uitzetten van de dimensies Structuur en Inhoud (de eerste twee letters | De SIVA-methodiek maakt het mogelijk sluitende normenkaders te ontwikkelen en biedt handvatten om binnen een vastgestelde scope van een te normeren onderwerp te doordenken voor welke aspecten normen nodig zijn en die aspecten vervolgens gestructureerd uit te werken. Om de volledigheid van dit denk- en ontwikkelproces te borgen, wordt een matrix gehanteerd die ontstaat door het uitzetten van de dimensies Structuur en Inhoud (de eerste twee letters van SIVA). | ||
__TOC__ | |||
==Matrix structuur- en inhoudsdomein== | |||
Het structuurdomein bevat: het Beleidsdomein (richten/conditionele aspecten), Uitvoeringsdomein (inrichten en verrichten/inrichtings-, uitvoerings- en beheeraspecten) en Control-domein (berichten/managementaspecten). Elk type structuurdomein is zo bezien vanuit een bepaalde rol (beleidsmaker, inrichter/uitvoerder/beheerder en de beheerser). Het inhoudsdomein bestaan uit: Intentie (waarom), Functie (wat), Gedrag (hoe) en Structuur (hoe). Door het structuurdomein verticaal in lagen en het inhoudsdomein horizontaal in kolommen te positioneren, ontstaat de onderstaande matrix. | |||
[[Afbeelding:Lagenstructuur SIVA.png|thumb|500px|none|Matrix SIVA-methodiek|alt=Matrix met links de structuurdomeinen Beleid, Uitvoering en Control en boven de inhoudsdomeinen Intentie, Functie, Gedrag en Structuur]] | |||
Door uit bestaande kaders, zoals [[NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging)|ISO 27002]], [[The Standard of Good Practice for Information Security 2018|The Standard of Good Practice (SoGP)]] etc. normen in deze matrix onder te brengen, wordt zichtbaar waar normen ontbreken. Deze normen worden toegevoegd met een syntax. De uitkomst van een consequent doorgevoerde SIVA-aanpak is een complete en eenduidig geformuleerde beschrijving van normen voor het gedefinieerde onderzoeksgebied. | |||
==Syntax SIVA-methodiek== | |||
De onderstaande afbeelding maakt de syntax van een met SIVA beschreven norm duidelijk. | |||
[[Afbeelding:Syntax SIVA.png|thumb|500px|none|Syntax SIVA-methodiek|alt=Syntax van de SIVA-methodiek: een hoofdnorm of criterium is een stelling inclusief een duidelijke gedefinieerde actor, die handelt om aan de norm te voldoen, en een of meerdere conformiteitsindicatoren die de deelonderwerpen van de norm typeren. De conformiteitsindicatoren zijn onderstreept en per conformiteitsindicator worden sub-normen gedefinieerd. Daarnaast heeft de hoofdnorm een Doelstelling en een risico.]] | |||
== | ==Toepassing SIVA-methodiek in NORA== | ||
De | De SIVA-methodiek wordt toegepast in de [[ISOR (Information Security Object Repository)|Information Security Object Repository (ISOR)]], die ontsloten is binnen de NORA. Hiervoor is een aantal sleuteltermen omgezet naar semantische eigenschappen, zodat [[Themaprincipes]] en [[Alle normen|Normen]] uit de ISOR gefilterd en gesorteerd kunnen worden op deze eigenschappen. | ||
[[ | |||
=== | ===Structuurdomein geïmplementeerd als beveiligingsaspect=== | ||
[[Afbeelding:Beveiligingscontexten ISOR.png|left|65px|alt=Drie paarse rechthoeken met in wit de teksten Beleid, Uitvoering en Control, met daarnaast een kleiner paars vierkant met de eerste letter van deze drie beveiligingsaspecten.]] | |||
Omdat de term [[domein]] al in gebruik is in de NORA met een andere betekenis is er een andere benamingen gekozen voor structuurdomein. Het structuurdomein is omgezet naar de [[Eigenschap:Beveiligingsaspect]], uitgelegd op [[Alle beveiligingsaspecten]]. Op basis hiervan heeft elk [[normenkaders|normenkader]] een overzicht van Beleid, Uitvoering en Control. Ook zijn er drie totaaloverzichten van [[Beveiligingsaspect Beleid|Beleid]], [[Beveiligingsaspect Uitvoering|Uitvoering]] en [[Beveiligingsaspect Control|Control]] beschikbaar. Dit betreft de gehele inhoud van de ISOR. | |||
[[Afbeelding:Beveiligingscontexten ISOR.png| | |||
=== | ===Inhoudsdomein geïmplementeerd als invalshoek=== | ||
[[Afbeelding:Relaties IFGS.png|125px|left|alt=relaties tussen Intentie, Functie, Gedrag en Structuur zoals ook in de tekst is aangegeven.]] | |||
Omdat de term domein al in gebruik is in de NORA is ook het inhoudsdomein omgezet naar de [[Eigenschap:Invalshoek]], uitgelegd op [[Alle invalshoeken]]. Op basis hiervan heeft elk [[normenkaders|normenkader]] van elke invalshoek een overzicht. Ook zijn er totaaloverzichten van de invalshoek [[IFGS Intentie|Intentie]], [[IFGS Functie|Functie]], [[IFGS Gedrag|Gedrag]] en [[IFGS Structuur|Structuur]] over de hele ISOR heen. | |||
===Themaprincipe met titel, criterium, doelstelling en risico=== | ===Themaprincipe met titel, criterium, doelstelling en risico=== | ||
[[Afbeelding:ISOR privacyprincipe.png| | [[Bestand:ISOR Beveiligingsprincipe.png|42px|left|alt=Logo ISOR themaprincipes (vier hangsloten die in elkaar geklikt zitten met tekst ISOR Beveiligingsprincipe|link=beveiligingsprincipes]] | ||
In de | [[Afbeelding:ISOR privacyprincipe.png|42px|left|alt=Logo ISOR themaprincipes (vier hangsloten die in elkaar geklikt zitten met tekst ISOR Privacyprincipe|link=privacyprincipes]] | ||
In de [[SIVA-methodiek#Syntax SIVA-methodiek|afbeelding Syntax SIVA-methodiek]] vormen de grijze velden (titel, hoofdnorm/criterium, doelstelling en risico) een logisch geheel. Om de normenkaders van de ISOR aan te laten sluiten op de [[Bindende Architectuurafspraken]] van de NORA is er voor elke titel een pagina van het type [[Themaprincipe]] aangemaakt. Er zijn [[Privacyprincipes]] voor [[de Privacy Baseline]] en [[Beveiligingsprincipes]] voor de [[Alle normenkaders|overige normenkaders]]. | |||
Dit kan doordat de hoofdnorm net als de NORA [[Architectuurprincipes]] en [[Implicaties van Architectuurprincipes]] richtinggevende uitspraken zijn, geformuleerd als stelling. Bij elk themaprincipe zijn [[Eigenschap:Criterium|Criterium]], [[Eigenschap:Doelstelling|Doelstelling]] en [[Eigenschap:Risico|Risico]] toegevoegd als semantische eigenschappen van het principe. | |||
Dit kan doordat de hoofdnorm net als de NORA [[ | |||
=== | ===Trefwoord geïmplementeerd als conformiteitsindicator=== | ||
<div class="Criterium">Net als in de | <div class="Criterium">De term trefwoord heet in de ISOR conformiteitsindicator. Net als in de [[SIVA-methodiek#Syntax SIVA-methodiek|afbeelding Syntax SIVA-methodiek]] zijn de conformiteitsindicatoren binnen elk criterium gemarkeerd. Omdat online onderstrepen een hyperlink impliceert, is in plaats hiervan gekozen om conformiteitsindicatoren ''in paars en cursief'' weer te geven. De naam conformiteitsindicator is als eigenschapsnaam te algemeen, dus zijn de conformiteitsindicatoren van elk themaprincipe vastgelegd als [[eigenschap:conformiteitsindicator]].</div> | ||
===Uitgewerkte | ===Uitgewerkte conformiteitsindicator geïmplementeerd als gerelateerde norm=== | ||
De inhoudelijk uitgewerkte conformiteitsindicator bestaat in feite uit een of meer concrete maatregelen om het Themaprincipe te realiseren. Als je alle concrete maatregelen hebt genomen, is dat een indicator dat je conformeert aan de conformiteitsindicator. Conformeer je aan alle conformiteitsindicatoren dan kun je aannemen dat je het principe hebt gerealiseerd. Zie de onderstaande afbeelding. Per concrete maatregel is in de ISOR een pagina aangemaakt van het elementtype [[Norm]], waaraan de [[Eigenschap:Stelling|Stelling]] en eventuele toelichting zijn toegevoegd als eigenschappen. De [[eigenschap:conformiteitsindicator]] is ook per norm vastgelegd, evenals de [[eigenschap:realiseert|relatie 'realiseert']] tussen norm en themaprincipe. | |||
[[Afbeelding:Relaties themaprincipes en normen.png|thumb|left| | [[Afbeelding:Relaties themaprincipes en normen.png|thumb|left|400px|Relaties themaprincipes en normen via conformiteitsindicatoren|alt=Schema dat aangeeft hoe één themaprincipe uit de ISOR uiteen valt in drie conformiteitsindicatoren, die elk weer een of meerdere normen onder zich hebben.]] | ||
[[Categorie: | [[Categorie:Tekstpagina's ISOR]][[Categorie:ISOR]] | ||
[[Categorie: | |||
Huidige versie van 2 jan 2023 om 13:07
De SIVA-methodiek is ontwikkeld door Wiekram N.B. Tewarie PhD. aan de Vrije Universiteit. De letters SIVA staan voor Structuur, Inhoud, Vorm en Analysevolgorde, de vier componenten van het SIVA-raamwerk. De wetenschappelijke basis voor de SIVA-methodiek is dissertatie, A Structured Approach to IT Auditing – Model Based Development of Audit Terms of Reference van de heer Tewarie. Een verkorte Nederlandstalige beschrijving van dit proefschrift verscheen in 2015.
De SIVA-methodiek maakt het mogelijk sluitende normenkaders te ontwikkelen en biedt handvatten om binnen een vastgestelde scope van een te normeren onderwerp te doordenken voor welke aspecten normen nodig zijn en die aspecten vervolgens gestructureerd uit te werken. Om de volledigheid van dit denk- en ontwikkelproces te borgen, wordt een matrix gehanteerd die ontstaat door het uitzetten van de dimensies Structuur en Inhoud (de eerste twee letters van SIVA).
Matrix structuur- en inhoudsdomein[bewerken]
Het structuurdomein bevat: het Beleidsdomein (richten/conditionele aspecten), Uitvoeringsdomein (inrichten en verrichten/inrichtings-, uitvoerings- en beheeraspecten) en Control-domein (berichten/managementaspecten). Elk type structuurdomein is zo bezien vanuit een bepaalde rol (beleidsmaker, inrichter/uitvoerder/beheerder en de beheerser). Het inhoudsdomein bestaan uit: Intentie (waarom), Functie (wat), Gedrag (hoe) en Structuur (hoe). Door het structuurdomein verticaal in lagen en het inhoudsdomein horizontaal in kolommen te positioneren, ontstaat de onderstaande matrix.
Door uit bestaande kaders, zoals ISO 27002, The Standard of Good Practice (SoGP) etc. normen in deze matrix onder te brengen, wordt zichtbaar waar normen ontbreken. Deze normen worden toegevoegd met een syntax. De uitkomst van een consequent doorgevoerde SIVA-aanpak is een complete en eenduidig geformuleerde beschrijving van normen voor het gedefinieerde onderzoeksgebied.
Syntax SIVA-methodiek[bewerken]
De onderstaande afbeelding maakt de syntax van een met SIVA beschreven norm duidelijk.
Toepassing SIVA-methodiek in NORA[bewerken]
De SIVA-methodiek wordt toegepast in de Information Security Object Repository (ISOR), die ontsloten is binnen de NORA. Hiervoor is een aantal sleuteltermen omgezet naar semantische eigenschappen, zodat Themaprincipes en Normen uit de ISOR gefilterd en gesorteerd kunnen worden op deze eigenschappen.
Structuurdomein geïmplementeerd als beveiligingsaspect[bewerken]
Omdat de term domein al in gebruik is in de NORA met een andere betekenis is er een andere benamingen gekozen voor structuurdomein. Het structuurdomein is omgezet naar de Eigenschap:Beveiligingsaspect, uitgelegd op Alle beveiligingsaspecten. Op basis hiervan heeft elk normenkader een overzicht van Beleid, Uitvoering en Control. Ook zijn er drie totaaloverzichten van Beleid, Uitvoering en Control beschikbaar. Dit betreft de gehele inhoud van de ISOR.
Inhoudsdomein geïmplementeerd als invalshoek[bewerken]
Omdat de term domein al in gebruik is in de NORA is ook het inhoudsdomein omgezet naar de Eigenschap:Invalshoek, uitgelegd op Alle invalshoeken. Op basis hiervan heeft elk normenkader van elke invalshoek een overzicht. Ook zijn er totaaloverzichten van de invalshoek Intentie, Functie, Gedrag en Structuur over de hele ISOR heen.
Themaprincipe met titel, criterium, doelstelling en risico[bewerken]
In de afbeelding Syntax SIVA-methodiek vormen de grijze velden (titel, hoofdnorm/criterium, doelstelling en risico) een logisch geheel. Om de normenkaders van de ISOR aan te laten sluiten op de Bindende Architectuurafspraken van de NORA is er voor elke titel een pagina van het type Themaprincipe aangemaakt. Er zijn Privacyprincipes voor de Privacy Baseline en Beveiligingsprincipes voor de overige normenkaders. Dit kan doordat de hoofdnorm net als de NORA Architectuurprincipes en Implicaties van Architectuurprincipes richtinggevende uitspraken zijn, geformuleerd als stelling. Bij elk themaprincipe zijn Criterium, Doelstelling en Risico toegevoegd als semantische eigenschappen van het principe.
Trefwoord geïmplementeerd als conformiteitsindicator[bewerken]
Uitgewerkte conformiteitsindicator geïmplementeerd als gerelateerde norm[bewerken]
De inhoudelijk uitgewerkte conformiteitsindicator bestaat in feite uit een of meer concrete maatregelen om het Themaprincipe te realiseren. Als je alle concrete maatregelen hebt genomen, is dat een indicator dat je conformeert aan de conformiteitsindicator. Conformeer je aan alle conformiteitsindicatoren dan kun je aannemen dat je het principe hebt gerealiseerd. Zie de onderstaande afbeelding. Per concrete maatregel is in de ISOR een pagina aangemaakt van het elementtype Norm, waaraan de Stelling en eventuele toelichting zijn toegevoegd als eigenschappen. De eigenschap:conformiteitsindicator is ook per norm vastgelegd, evenals de relatie 'realiseert' tussen norm en themaprincipe.
