Alle invalshoeken

Uit NORA Online
Naar navigatie springen Naar zoeken springen

De ISOR (Information Security Object Repository) bevat normenkaders waarin beveiligingsprincipes of privacyprincipes en onderliggende normen zijn beschreven. Deze zijn conform de SIVA-methodiek ingedeeld naar Beleid, Uitvoering of Control en geordend naar één van de volgende invalshoeken: Intentie, Functie, Gedrag of Structuur. Vanuit elke invalshoek wordt een specifieke verzameling objecten geïdentificeerd.

Relaties tussen invalshoeken[bewerken]

IFGS IntentieIFGS FunctieIFGS GedragIFGS Structuurrelaties tussen Intentie, Functie, Gedrag en Structuur zoals ook in de tekst is aangegeven.
Over deze afbeelding


Deze invalshoeken hebben onderling de volgende relatie:

  • 'Intentie' wordt geëffectueerd door 'Functie'.
  • 'Functie' effectueert 'Intentie' en wordt geëffectueerd door 'Gedrag'.
  • 'Gedrag' effectueert 'Functie' en wordt geëffectueerd door 'Structuur'.
  • 'Structuur' effectueert 'Gedrag'.

Uitleg invalshoeken[bewerken]

De component inhoud is de tweede doorsnede van het onderzoeksgebied. Deze doorsnede wordt bereikt door middel van vier invalshoeken: intentie, functie, gedrag en structuur.

Intentie[bewerken]

Het waarom-aspect, ofwel de bestaansreden van een organisatie. Voorbeelden hiervan zijn: organisatie, visie, doelstellingen, wetten en beleid, stakeholders en middelen.

Functie[bewerken]

Het wat-aspect, ofwel de organisatorische en technologische elementen die de intenties van de organisatie moeten realiseren. Voorbeelden hiervan zijn: organisatorische en technische functies, processen, taken en taakvereisten.

Gedrag[bewerken]

Het hoe-aspect (gedragsaspect), ofwel de menselijke en technische resources en eigenschappen van de technische resources die de organisatorische en technische functies moeten vormgeven. Voorbeelden hiervan zijn: actor, object, interactie, toestand, eigenschap en historie.

Structuur[bewerken]

Het hoe-aspect (vormaspect), ofwel de manier waarop een organisatorische en personele structuur is vormgegeven. Voorbeelden hiervan zijn: business-organisatiestructuur, business- architectuur, IT-architectuur en business-IT-alignment.


De relaties tussen de objecten vanuit de invalshoeken kunnen als volgt worden gelezen: de elementen uit de doel-invalshoek reguleren en/of worden bereikt door elementen uit de functie-invalshoek. De elementen uit de functie-invalshoek gebruiken of realiseren de elementen uit de gedrag-invalshoek die op hun beurt worden vormgegeven door elementen uit de structuur-invalshoek.

Invalshoeken niet gebruikt bij De Privacy Baseline[bewerken]

De verdeling naar Intentie, Functie, Gedrag en Structuur betreft de kern van het SIVA-methodiek en heeft tot doel lacunes te ontdekken in de objectanalyse die leidt tot normen. Deze indeling is voor de opzet van de Privacy Baseline niet gebruikt: het object is immers niet Privacy, maar de Privacywet. Het is niet de opzet geweest om de wet te toetsen op volledigheid en consistentie. De opzet van de Baseline is de gebruiker een handzame en geannoteerde lijst van toetsbare criteria mee te geven die aan de wet zijn ontleend. Omdat de invalshoeken bij het opstellen van de normen voor de Privacy Baseline geen rol hebben gespeeld, is bij de invalshoek "Onbekend" ingevuld.

Overzicht Principes naar invalshoek[bewerken]

De onderstaande tabel geeft een overzicht van alle principes per invalshoek.

InvalshoekIDPrincipe
FunctieCVZ_C.03Evalueren robuustheid netwerkbeveiliging
FunctieAPO_U.11Beschermen testgegevens
FunctieCLD_U.03Bedrijfscontinuïteitsservices
FunctieCLD_U.04Herstelfunctie voor data en clouddiensten
FunctieCVZ_U.06Zonering en filtering
FunctieSVP_U.08Verwijderen of hergebruiken serverapparatuur
FunctieAPO_U.07Applicatiefunctionaliteit
FunctieTBV_U.11Fysieke toegangsbeveiliging
FunctieHVI_U.04Beveiligingsfaciliteiten
FunctieSVP_U.04Technische kwetsbaarhedenbeheer serverplatform
FunctieHVI_U.03Fysieke zonering
FunctieAPO_C.06Compliance-management
FunctieCLD_C.04Technische kwetsbaarhedenbeheer clouddiensten
FunctieHVI_C.03Continuïteitsbeheer
FunctieSVP_U.03Malwareprotectie serverplatform
FunctieHVI_U.05Nutsvoorzieningen
FunctieTBV_U.04Autorisatieproces
FunctieSVP_U.06Beheer op afstand
FunctieAPO_B.07Kwaliteitsmanagementsysteem
FunctieAPO_U.05Analyse en specificatie informatiebeveiligingseisen
FunctieMDW_U.02Rollen en verantwoordelijkheden middlewarefunctionaliteit
FunctieSWP_U.04Input-/output-validatie
FunctieAPO_U.08Applicatiebouw
FunctieTBV_U.07Functiescheiding
FunctieCLD_U.07Datascheiding
FunctieSWP_B.04Bedrijfs- en beveiligingsfuncties
FunctieHVI_U.08Apparatuur-verwijdering
FunctieSWP_C.02Versiebeheer softwarepakketten
FunctieAPO_C.02Versiebeheer applicatieontwikkkeling
FunctieCLD_U.06Dataretentie en gegevensvernietiging
FunctieHVI_B.07In- en externe bedreigingen
FunctieHVI_U.07Apparatuur-onderhoud
FunctieMDW_U.03Toegang tot middlewarefunctionaliteit​
FunctieSWP_U.06Gegevensopslag
FunctieTBV_U.06Speciale toegangsrechtenbeheer
FunctieCVZ_U.05Beveiliging netwerkdiensten
FunctieAPO_U.09Testen systeembeveiliging
FunctieSWP_U.05Sessiebeheer
FunctieAPO_U.04Analyse en specificatie informatiesysteem
FunctieAPO_U.06Applicatie-ontwerp
FunctieSWP_C.03Patchmanagement softwarepakketten
FunctieCLD_B.07IT-functionaliteit
FunctieHVI_B.05Contractmanagement
FunctieCVZ_U.03Netwerkbeveiligingsbeheer
FunctieCVZ_C.02Compliance-toets netwerkbeveiliging
FunctieMDW_U.04Hardening middlewarecomponenten​
FunctieTBV_B.03Beveiligingsfunctie
FunctieHVI_B.06Service Level Management
FunctieHVI_U.06Apparatuur-positionering
FunctieSWP_U.07Communicatie
... meer resultaten

Overzicht Normen naar invalshoek[bewerken]

De onderstaande tabel bevat alle normen per invalshoek.

InvalshoekIDNorm
FunctieTBV_U.04.01Formeel proces voor verwerken van autorisaties
FunctieTBV_U.11.03Medewerkers en contractanten en externen dragen zichtbare identificatie
FunctieTBV_U.06.01Het toewijzen van speciale toegangsrechten vindt plaats op basis van risico afweging, richtlijnen en procedures
FunctieHVI_B.06.03De aspecten waarop de Service Levels o.a. zijn gericht
FunctieHVI_B.06.02De Service Levels zijn in lijn met het beveiligingsbeleid van de Huisvesting Informatievoorziening
FunctieHVI_B.07.03Bij huisvesting van bedrijfsmiddelen wordt rekening gehouden met de gevolgen van rampen
FunctieTBV_U.07.02Verantwoordelijkheden voor beheer en systeemfuncties zijn eenduidig toegewezen aan één specifieke beheerrol
FunctieHVI_B.05.01Het eisenpakket bij verwerving van Huisvestingsvoorzieningen bevat de gestelde eisen en specificaties
FunctieHVI_B.05.04Afspraken contractueel vastgeleggen in SLA’s en DAP’s
FunctieHVI_B.05.02Verwerven huisvesting IV-voorzieningen met afspraak of overeenkomst
FunctieHVI_B.07.04De brandweer keurt de aanwezige brandblusapparatuur jaarlijks op geschiktheid
FunctieHVI_B.05.05Evalueren levering van voorzieningen
FunctieHVI_U.03.04Het dragen van identificatiemiddellen en het melden van personen zonder zichtbaar identificatiemiddel
FunctieHVI_C.03.04De herstelprocessen en -procedures voor de Huisvesting-IV-dienst zijn gedocumenteerd
FunctieHVI_U.06.02Apparatuur wordt beschermd tegen externe bedreigingen
FunctieHVI_C.03.05Realisatie van afdoende uitwijkfaciliteiten
FunctieHVI_U.09.04Meenemen en terugkeer van bedrijfsmiddelen worden geregistreerd
FunctieHVI_U.08.01Voorgaand aan verwijdering of hergebruik wordt gecontroleerd of apparatuur opslag media bevat
FunctieHVI_U.07.06Voorafgaand aan in bedrijfstelling wordt apparatuur op functioneren en knoeien geïnspecteerd
FunctieHVI_U.03.03Informatieverwerkende faciliteiten zijn gescheiden van extern beheerde faciliteiten
FunctieHVI_U.06.01Onbevoegden hebben geen toegang tot apparatuur, informatie verwerkende- en opslagfaciliteiten
FunctieHVI_U.09.03Tijdsgrenzen aan de afwezigheid ern terugbrengen van bedrijfsmiddelen worden geverifieerd
FunctieHVI_U.09.02Identificatie van externe personen die bedrijfsmiddelen van de locatie mogen (laten) nemen
FunctieHVI_C.03.02De beoordelingsrapportage wordt gedeeld met systeemverantwoordelijken
FunctieHVI_U.07.03Reparatie en onderhoud van apparatuur vindt plaats op locatie en door bevoegd personeel
FunctieHVI_U.05.02Noodverlichting en (nood)communicatiemiddelen moeten aanwezig zijn
FunctieHVI_U.07.05Er wordt voldaan aan alle onderhoudseisen die door verzekeringspolissen zijn opgelegd
FunctieHVI_U.04.01Belangrijke faciliteiten moeten zo te worden gesitueerd dat ze niet voor iedereen toegankelijk zijn
FunctieHVI_B.07.02Tegen externe bedreigingen zijn beveiligingsmaatregelen genomen o.b.v. een expliciete risicoafweging
FunctieHVI_C.03.07Verantwoordelijkheid voor beheer, testen, en controleren van uitwijkvoorzieningen
FunctieHVI_U.04.02Vertrouwelijke informatie en activiteiten zijn van buitenaf zichtbaar of hoorbaar
FunctieHVI_U.03.02Locatie en sterkte beveiligingszone afhankelijk van risico en eisen bij bedrijfsmiddelen
FunctieHVI_U.09.05Documentatie van ieders identiteit, rol en connectie die bedrijfsmiddelen hanteert of gebruikt
FunctieHVI_C.03.06Gebruik van de uitwijkfaciliteit(en) en draaiboek worden periodiek getest
FunctieHVI_U.07.04Alle vermeende en daadwerkelijke fouten en elk preventieve en correctieve onderhoud wordt geregistreerd
FunctieHVI_U.05.03Aanwezigheid van noodschakelaars en -knoppen bij nooduitgangen of ruimten waar apparatuur aanwezig is
FunctieHVI_U.07.01Apparatuur wordt op aanbevolen intervallen voor servicebeurten en voorschriften onderhouden
FunctieHVI_U.05.04Redundantie voor de netwerkverbinding via meerdere routes vanaf meer dan één aanbieder
FunctieHVI_C.03.03Het continuïteitsplan bevat activiteiten, rollen en verantwoordelijkheden en rapportages
FunctieHVI_U.04.04Sleutelbeheer is ingericht op basis van een sleutelplan
FunctieHVI_U.08.02Het verwijderen van apparatuur vindt plaats volgens vastgestelde procedurestappen
FunctieHVI_U.04.03Adresboeken en telefoonboeken bevattende vertrouwelijke locaties zijn niet vrij toegankelijk
FunctieHVI_U.05.01De nutsvoorzieningen
FunctieHVI_B.07.01De organisatie heeft geïnventariseerd welke data en apparatuur bedrijf kritisch zijn
FunctieHVI_U.09.01Het toestemmingstraject voor in- en afvoeren van bedrijfsmiddelen is in het beveiligingsbeleid geborgd
FunctieHVI_U.03.01Voorschriften voor het inrichten van beveiligde zones
FunctieTBV_U.11.01Toegang tot beveiligingszones of gebouwen voor geautoriseerde personen
FunctieHVI_B.05.03Vastleggen betrokken rollen Contractmanagement en Service Level Management
FunctieTBV_U.04.02Formele autorisatieopdracht
FunctieTBV_U.04.03Alle autorisatie-activiteiten worden vastgelegd en gearchiveerd
... meer resultaten