BIO Thema-uitwerking Huisvesting Informatievoorzieningen

Versie 2.0 van 25 januari 2021 van de BIO Thema-uitwerking Huisvesting Informatievoorzieningen is vervangen door versie 2.1 van 29 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.

Normenkader
ID:	HVI
Versie:	2.1
Status:	Actueel

De BIO Thema-uitwerking Huisvesting informatievoorzieningen, hierna genoemd normenkader, is opgesteld door Wiekram Tewarie (Uitvoeringsinstituut Werknemersverzekeringen (UWV)) en Jaap van der Veen CIP (Centrum Informatiebeveiliging en Privacybescherming). De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 gereviewd. Het CIP-kernteam heeft versie 2.0 en 2.1 van dit normenkader gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’.

Considerans

CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt. Opmerkingen en aanvullingen kun je melden op cip-overheid.nl/contact.

Leeswijzer

Voorafgaand aan het beleidsdomein, uitvoeringsdomein en control-domein, de kern van dit thema, heeft elke BIO Thema-uitwerking een inleiding met een standaard paragraafindeling.

De volgende leeswijzer geldt voor dit normenkader:

Voor de aanduiding van personen wordt de mannelijke vorm aangehouden (hij/hem/zijn) ongeacht het geslacht.
De controls, hierna genoemd criteria, en maatregelen, hierna genoemd normen, vermeld in dit normenkader zijn in het beleids-, uitvoerings- en control-domein georganiseerd, waarmee ze bij de overeenkomstige functionarissen kunnen worden geadresseerd. Deze functionarissen zijn niet benoemd omdat dit organisatie-afhankelijk is.
Van best practices (open standaarden al dan niet toegankelijk met een licentie), zijn de meest actuele versies afgekort vermeld, tenzij de actuele versie niet toereikend is.
Voor een overzicht van alle gebruikte best practices, afkortingen en begrippen en een generieke toelichting op de opzet van de thema-uitwerkingen, zie de Structuurwijzer BIO Thema-uitwerkingen.

Binnen dit normenkader

Inleidende teksten

BIO Thema Huisvesting informatievoorzieningen - Inleiding (algemene inleiding)
Huisvesting IV-objecten (specifieke inleiding)

Relatie tussen principes en onderliggende normen

Een themaprincipe is een richtinggevende uitspraak binnen een bepaald thema, zoals beveiliging of privacy. Een themaprincipe is vaak nog vrij breed, maar valt uiteen in een aantal deelonderwerpen, die met trefwoorden zijn aangegeven: de conformiteitsindicatoren. Onder elk trefwoord valt een aantal normen, concrete aanbevelingen die je kunt uitvoeren om dat deel van het principe te realiseren. Conformeer je je aan alle normen, dan conformeer je je aan de indicator en uiteindelijk aan het principe.

Stel dat het thema Gezondheid onderdeel uitmaakte van de NORA. Dan zou een gezondheidsprincipe kunnen zijn: de volwassene eet gezond en in gepaste hoeveelheden. Logischerwijs valt dat uiteen in een aantal trefwoorden, de conformiteitsindicatoren: eet gezond en gepaste hoeveelheden. Iemand kan immers heel gezond eten naar binnen werken, maar veel te veel of juist te weinig. Of de juiste hoeveelheid calorieën binnenkrijgen uit eenzijdige voeding en zo toch niet gezond eten. In de praktijk heb je aan deze kernwoorden nog niets: je hebt normen nodig die uitwerken hoe je dit realiseert en meet. De normen die gepaste hoeveelheid concretiseren zouden bijvoorbeeld betrekking kunnen hebben op de afmeting van de volwassene, de hoeveelheid beweging en de calorische waarde van het eten.

Klik verder voor alle eigenschappen van themaprincipes, conformiteitsindicatoren en normen.

Indelingen binnen BIO Thema-uitwerking Huisvesting Informatievoorzieningen

Alle onderdelen van BIO Thema-uitwerking Huisvesting Informatievoorzieningen zijn ingedeeld volgens de SIVA-methodiek. Dat betekent dat alle principes en onderliggende normen zijn ingedeeld in één van drie beveiligingsaspecten: Beleid (B), Uitvoering (U) of Control (C). Binnen normenkaders die geheel volgens de SIVA-methodiek zijn opgesteld, herken je bovendien een tweede indeling, in de invalshoeken Intentie (I) of Functie (F) of Gedrag (G) of Structuur (S). Deze indeling heeft binnen SIVA tot doel om lacunes te ontdekken in de objectanalyse die leidt tot normen. Voor De Privacy Baseline en Grip op Secure Software Development geldt een uitzondering. Daar heeft de invalshoek geen rol gespeeld bij de samenstelling van het 'normenkader'.

De principes en onderliggende normen van BIO Thema-uitwerking Huisvesting Informatievoorzieningen zijn op basis hiervan in een aantal overzichten gezet:

Huisvesting Informatievoorzieningen Beleid

Huisvesting Informatievoorzieningen Uitvoering

Huisvesting Informatievoorzieningen Control

Principes uit BIO Thema-uitwerking Huisvesting Informatievoorzieningen

In deze tabel staan alle principes uit BIO Thema-uitwerking Huisvesting Informatievoorzieningen, met het unieke ID, Criterium en de conformiteitsindicatoren die verder zijn uitgewerkt in normen. Gebruik de pijltjes bovenaan de kolommen om de sortering aan te passen en klik op een principe om alle eigenschappen te zien en de onderliggende normen te bekijken. Deze tabellen zijn ook beschikbaar als csv-download (export alle beveiligingsaspecten / beleid / uitvoering / Control) en in uitgebreide versie met alle bestaande eigenschappen.

Beleid (principes)

export principes Beleid als csv

ID	Principe	Criterium
HVI_B.01	Huisvesting informatievoorzieningenbeleid	Ten behoeve van het huisvesting IV-beleid behoort een reeks onderwerpspecifieke beleidsregels te worden gedefinieerd, goedgekeurd door het management, gepubliceerd, gecommuniceerd aan en erkend door relevant personeel en relevante belanghebbenden en met geplande tussenpozen en als zich significante wijzigingen voordoen, te worden beoordeeld.
HVI_B.02	Wettelijke statutaire, regelgevende, contractuele eisen	Alle relevante wettelijke statutaire, regelgevende, contractuele eisen en de aanpak van de huisvesting IV-organisatie om aan deze eisen te voldoen behoren voor elke huisvestingsdienst en de organisatie expliciet te worden vastgesteld, gedocumenteerd en actueel gehouden.
HVI_B.03	Eigenaarschap Huisvesting IV	Er behoort een inventarislijst van informatie en andere gerelateerde Huisvesting IV-bedrijfsmiddelen, met inbegrip van de eigenaren, te worden opgesteld en onderhouden.
HVI_B.04	Certificering	Huisvesting IV van de leverancier behoort gecertificeerd te zijn conform de gangbare standaarden.
HVI_B.05	Contractmanagement	Huisvesting IV behoort te voldoen aan kwalitatieve en kwantitatieve eisen die zijn vastgelegd in overeenkomsten met de betreffende leveranciers.
HVI_B.06	Service Level Management	Het management van huisvesting IV behoort diensten te leveren volgens een dienstenniveau-overeenkomst (DNO).
HVI_B.07	In- en externe bedreigingen	Er behoort bescherming tegen fysieke en omgevingsdreigingen, zoals natuurrampen en andere opzettelijke of onopzettelijke fysieke dreigingen voor de infrastructuur, te worden ontworpen en geïmplementeerd.
HVI_B.08	Training en bewustwording	Alle medewerkers van de organisatie en, voor zover relevant, contractanten behoren een passende bewustzijnsopleiding en -training te krijgen en regelmatige bijscholing van beleidsregels en procedures van de organisatie, voor zover relevant voor hun functie.
HVI_B.09	Organisatiestructuur huisvesting IV	De huisvesting IV-organisatie behoort voor de te realiseren huisvesting IV een adequate organisatiestructuur in te richten en de aan functionarissen toe te wijzen taken, verantwoordelijkheden en bevoegdheden vast te stellen.

Uitvoering (principes)

export principes Uitvoering als csv

ID	Principe	Criterium
HVI_U.01	Richtlijn gebieden en ruimten	Voor het werken in beveiligde zones behoren beveiligingsmaatregelen te worden ontwikkeld en geïmplementeerd.
HVI_U.02	Bedrijfsmiddelen-inventaris	Bedrijfsmiddelen die samenhangen met informatie en informatie-verwerkende faciliteiten behoren te worden geïdentificeerd, en van deze bedrijfsmiddelen behoort een inventaris te worden opgesteld en onderhouden.
HVI_U.03	Fysieke zonering	Zones die informatie en andere gerelateerde bedrijfsmiddelen bevatten, behoren te worden beschermd door beveiligingszones te definiëren en te gebruiken.
HVI_U.04	Beveiligingsfaciliteiten	Voor kantoren, ruimten en faciliteiten behoort fysieke beveiliging te worden ontworpen en geïmplementeerd.
HVI_U.05	Nutsvoorzieningen	Informatieverwerkende faciliteiten behoren te worden beschermd tegen stroomuitval en andere verstoringen die worden veroorzaakt door ontregelingen in nutsvoorzieningen.
HVI_U.06	Apparatuur-positionering	Apparatuur behoort effectief te worden geplaatst en beschermd.
HVI_U.07	Apparatuur-onderhoud	Apparatuur behoort op de juiste wijze te worden onderhouden om de beschikbaarheid, integriteit en betrouwbaarheid van informatie te garanderen.
HVI_U.08	Apparatuur-verwijdering	Alle onderdelen van de apparatuur die opslagmedia bevatten, behoren te worden gecontroleerd om te waarborgen dat gevoelige gegevens en in licentie gegeven software voorafgaand aan verwijdering of hergebruik zijn verwijderd of betrouwbaar veilig zijn overschreven.
HVI_U.09	Opslagmedia beheren	Opslagmedia behoren te worden beheerd gedurende hun volledige levenscyclus van aanschaf, gebruik, transport en verwijdering overeenkomstig het classificatieschema en de hanteringseisen van de organisatie.
HVI_U.10	Laad- en loslocatie	Toegangspunten, zoals laad- en loslocaties en andere punten waar onbevoegde personen het terrein kunnen betreden, behoren te worden beheerst, en zo mogelijk te worden afgeschermd van IT-voorzieningen.
HVI_U.11	Bekabeling	Voedingskabels en kabels voor het versturen van gegevens of die informatiediensten ondersteunen, behoren te worden beschermd tegen onderschepping, interferentie of beschadiging.
HVI_U.12	Huisvesting IV-architectuur	Voor het implementeren en onderhouden van huisvestingsvoorzieningen behoren architectuurvoorschriften en benodigde documentatie beschikbaar te zijn.

Control (principes)

export principes Control als csv

ID	Principe	Criterium
HVI_C.01	Controle-richtlijnen huisvesting IV	Bedrijfsmiddelen behoren periodiek te worden gecontroleerd op basis van formeel vastgestelde richtlijnen en geconstateerde bevindingen dienen tijdig aan het management te worden gerapporteerd.
HVI_C.02	Onderhoudsplan	Voor iedere locatie van huisvesting IV behoort een onderhoudsplan te zijn opgesteld met een risicoafweging en onderhoudsbepalingen.
HVI_C.03	Continuïteitsbeheer	Continuïteitbeheer behoort procesmatig voor de gehele organisatie te zijn ingericht, zodat na het plaatsvinden van een calamiteit de hosting services zo snel mogelijk worden hersteld en voortgezet.
HVI_C.04	Beheersorganisatie huisvesting IV	De stakeholder van huisvesting IV behoort een beheersorganisatie te hebben ingericht waarin de processtructuur, de taken, verantwoordelijkheden en bevoegdheden van de betrokken functionarissen zijn vastgesteld.

Onderliggende normen

ℹ️Toon uitleg relaties themaprincipe, conformiteitindicator en norm

Een themaprincipe is een richtinggevende uitspraak binnen een bepaald thema, zoals beveiliging of privacy. Een themaprincipe is vaak nog vrij breed, maar valt uiteen in een aantal deelonderwerpen, die met trefwoorden zijn aangegeven: de conformiteitsindicatoren. Onder elk trefwoord valt een aantal normen, concrete aanbevelingen die je kunt uitvoeren om dat deel van het principe te realiseren. Conformeer je je aan alle normen, dan conformeer je je aan de indicator en uiteindelijk aan het principe.

Stel dat het thema Gezondheid onderdeel uitmaakte van de NORA. Dan zou een gezondheidsprincipe kunnen zijn: de volwassene eet gezond en in gepaste hoeveelheden. Logischerwijs valt dat uiteen in een aantal trefwoorden, de conformiteitsindicatoren: eet gezond en gepaste hoeveelheden. Iemand kan immers heel gezond eten naar binnen werken, maar veel te veel of juist te weinig. Of de juiste hoeveelheid calorieën binnenkrijgen uit eenzijdige voeding en zo toch niet gezond eten. In de praktijk heb je aan deze kernwoorden nog niets: je hebt normen nodig die uitwerken hoe je dit realiseert en meet. De normen die gepaste hoeveelheid concretiseren zouden bijvoorbeeld betrekking kunnen hebben op de afmeting van de volwassene, de hoeveelheid beweging en de calorische waarde van het eten.

Klik verder voor alle eigenschappen van themaprincipes, conformiteitsindicatoren en normen.

In deze tabel staan alle normen uit BIO Thema-uitwerking Huisvesting Informatievoorzieningen. Van links tot rechts zie je het unieke ID van de norm, welke conformiteitsindicator van het bovenliggende principe de norm realiseert, de tekst van de norm en een link naar de aparte pagina van die norm. Gebruik de pijltjes bovenaan de kolommen om de sortering aan te passen en klik op een principe om alle eigenschappen te zien en de onderliggende normen te bekijken. Deze tabel is ook beschikbaar als csv-export normen en in uitgebreide tabel.

Beleid (normen)

export normen Beleid als csv

ID	trefwoord	Stelling	Norm
HVI_B.01.01	Huisvesting IV-beleid	De organisatie heeft een huisvesting IV-beleid opgesteld dat: de doelstellingen en principes van informatiebeveiliging bevat, afgestemd op de huisvesting-context; is goedgekeurd door het management; specifieke verantwoordelijkheden en rollen voor informatiebeveiliging beschrijft; processen bevat voor het ontwikkelen, vaststellen, goedkeuren, communiceren, implementeren, evalueren en actualiseren van het beleid.	Er is een huisvesting informatievoorzieningenbeleid
HVI_B.01.02	Beleidsregels	Beleidsregels over het huisvesting IV-beleid behandelen eisen die voortkomen uit: de strategische doelstellingen en randvoorwaarden van de organisatie; wet- en regelgeving, normen en contractuele verplichtingen; de huidige en verwachte bedreigingen en risico’s voor informatiebeveiliging; de classificatie en waarde van de te beschermen informatie en systemen.	Beleidsregels huisvesting informatievoorzieningen
HVI_B.01.03	Beleidsregels	Beleidsregels zijn gerelateerd aan specifieke onderwerpen over huisvesting IV, zoals: fysieke beveiligingszone; fysieke toegangsbeveiliging.	Beleidsregels verwijzen naar specifieke huisvesting onderwerpen
HVI_B.02.01	Wettelijke, statutaire, regelgevende, contractuele eisen	De organisatie identificeert, beoordeelt en documenteert welke wettelijke, statutaire, regelgevende en contractuele eisen van toepassing zijn op de huisvesting IV. De verantwoordelijke voor de huisvesting IV stelt vast hoe deze eisen worden nageleefd binnen de huisvesting en legt dit vast.	Vaststellen toepasselijkheid wetgeving
HVI_B.02.02	Wettelijke, statutaire, regelgevende, contractuele eisen	Het huisvesting IV-beleid waarover de huisvesting IV-organisatie en de klant overeenstemming hebben bereikt, is mede gerelateerd aan alle relevante en specifiek geldende wet- en regelgeving en contractuele verplichtingen.	Klant en organisatie hebben overeenstemming over wet- en regelgeving en contractuele verplichtingen
HVI_B.03.01	Eigenaren	Personen of afdelingen, die door de directie verantwoordelijk zijn gesteld voor de levenscyclus van een huisvesting IV-bedrijfsmiddel, zijn als eigenaar benoemd.	Voor de levenscyclus van een bedrijfsmiddel verantwoordelijken zijn als eigenaar benoemd
HVI_B.03.02	Eigenaren	Het eigenaarschap van een huisvesting IV-bedrijfsmiddel wordt toegekend bij het ontstaan en bij de verwerving van het middel.	Het eigenaarschap van bedrijfsmiddelen wordt toegekend bij ontstaan en/of verwerving van het bedrijfsmiddel
HVI_B.03.03	Eigenaren	De eigenaar van het huisvesting IV-bedrijfsmiddel is verantwoordelijk voor het juiste beheer gedurende de gehele levenscyclus ervan.	De eigenaar is verantwoordelijk voor het juiste beheer gedurende de hele bedrijfsmiddel-levenscyclus
HVI_B.03.04	Eigenaren	De eigenaar van het bedrijfsmiddel zorgt ervoor dat: bedrijfsmiddelen worden geïnventariseerd; bedrijfsmiddelen passend worden geclassificeerd; de classificatie en risico’s van bedrijfsmiddelen periodiek worden beoordeeld; passende toegangsbeperkingen en beveiligingsmaatregelen worden gedefinieerd en gehandhaafd; bedrijfsmiddelen bij einde van de levenscyclus op een veilige wijze worden verwijderd, vernietigd of hergebruikt.	Inventariseren, classificeren, verwijderen en vernietigen bedrijfsmiddellen
HVI_B.04.01	Gangbare standaarden	De gangbare principes rondom 'Security by design' zijn uitgangspunt voor de ontwikkeling van Huisvesting IV.	Gangbare principes zijn uitgangspunt voor de ontwikkeling van software en systemen
HVI_B.04.02	Gangbare standaarden	Huisvesting IV die ingezet wordt voor de organisatie is minimaal ISO 27001 (Managementsystemen voor informatiebeveiliging) en ISO 50001 (Energiemanagement) gecertificeerd.	Certificeringseisen van de ingezette Huisvesting Informatievoorziening
HVI_B.05.01	Kwalitatieve en kwantitatieve eisen	De eisen en specificaties voor huisvesting IV zijn onderdeel van het eisenpakket dat is opgesteld bij de verwerving van de voorzieningen.	Het eisenpakket bij verwerving van Huisvestingsvoorzieningen bevat de gestelde eisen en specificaties
HVI_B.05.02	Overeenkomsten	Het verwerven van huisvesting IV vindt uitsluitend plaats op basis van een overeenkomst of andere formele afspraak.	Verwerven huisvesting IV-voorzieningen met afspraak of overeenkomst
HVI_B.05.03	Overeenkomsten	De bij DNO’s en Dossier Afspraken en Procedures (DAP’s) betrokken rollen Contractmanagement en Service Level Management zijn vastgelegd.	Vastleggen betrokken rollen Contractmanagement en Service Level Management
HVI_B.05.04	Overeenkomsten	Afspraken met en activiteiten van leveranciers zijn contractueel vastgelegd in DNO’s en DAP’s.	Afspraken contractueel vastgeleggen in SLA’s en DAP’s
HVI_B.05.05	Overeenkomsten	De levering van voorzieningen wordt periodiek geëvalueerd door een onafhankelijke partij.	Evalueren levering van voorzieningen
HVI_B.06.01	Dienstenniveauovereenkomst	De huisvesting IV-organisatie heeft de te leveren diensten en bijbehorende dienstenniveaus beschreven.	Beschrijven van de te leveren Huisvestingservices, met bijbehorende service niveau
HVI_B.06.02	Dienstenniveauovereenkomst	Deze dienstenniveaus zijn in lijn met het huisvesting IV- beveiligingsbeleid.	De Service Levels zijn in lijn met het beveiligingsbeleid van de Huisvesting Informatievoorziening
HVI_B.06.03	Dienstenniveauovereenkomst	De dienstenniveaus zijn onder andere gericht op de aspecten: beschikbaarheid, openstelling, vertrouwelijkheid (zonering) en herstel (disaster recovery).	De aspecten waarop de Service Levels o.a. zijn gericht
HVI_B.07.01	Natuurrampen, kwaadwillige aanvallen of ongelukken	De organisatie heeft geïnventariseerd welke data, systemen en apparatuur bedrijfskritisch zijn en welke impact een verstoring hiervan zou hebben.	De organisatie heeft geïnventariseerd welke data en apparatuur bedrijf kritisch zijn
HVI_B.07.02	Omgevingsdreigingen	Op basis van een expliciete risicoafweging zijn passende beveiligingsmaatregelen genomen om bedrijfskritische data, systemen en apparatuur te beschermen tegen natuurrampen, kwaadwillige aanvallen en ongevallen.	Tegen externe bedreigingen zijn beveiligingsmaatregelen genomen o.b.v. een expliciete risicoafweging
HVI_B.07.03	Omgevingsdreigingen	Bij de huisvesting van bedrijfs kritische middelen wordt rekening gehouden met de kans op en de gevolgen van rampen die worden veroorzaakt door natuur, menselijk handelen of technische storingen.	Bij huisvesting van bedrijfsmiddelen wordt rekening gehouden met de gevolgen van rampen
HVI_B.07.04	Omgevingsdreigingen	De aanwezige brandblusapparatuur wordt jaarlijks op geschiktheid gekeurd door de brandweer of een hiertoe erkend keuringsinstituut.	De brandweer keurt de aanwezige brandblusapparatuur jaarlijks op geschiktheid
HVI_B.08.01	Bewustzijnsopleiding, -training en bijscholing	Binnen huisvesting IV nemen alle medewerkers regelmatig deel aan trainingsprogramma’s over beveiligingsbewustwording of aan workshops hierover.	Awareness-activiteiten m.b.t. de binnen de Huisvesting Informatievoorziening actieve medewerkers
HVI_B.08.02	Bewustzijnsopleiding, -training en bijscholing	Aan de medewerkers wordt regelmatig training (e-learning) aangeboden en zij worden regelmatig op de hoogte gesteld van de ontwikkelingen rond rekencentrumbeveiliging met brochures en nieuwsberichten.	Aanbod van training en op de hoogte stellen van ontwikkelingen rond Rekencentrum beveiliging
HVI_B.09.01	Organisatiestructuur	Binnen de huisvestingsorganisatie hebben de verantwoordelijken voor huisvesting IV een formele positie.	De verantwoordelijken voor de Huisvesting-IV hebben een formele positie
HVI_B.09.02	Organisatiestructuur	Voor huisvesting IV is een organisatieschema beschikbaar.	Er is een Huisvestingsorganisatieschema beschikbaar
HVI_B.09.03	Functionarissen	Het organisatieschema toont de rollen/functionarissen binnen de huisvesting IV-organisatie.	Het organisatieschema toont de rollen/functionarissen binnen de Huisvestingsorganisatie
HVI_B.09.04	Taken, verantwoordelijkheden en bevoegdheden	De taken, verantwoordelijkheden en bevoegdheden van de functionarissen binnen huisvesting IV zijn expliciet vastgelegd en belegd.	De taken, verantwoordelijkheden en bevoegdheden van de functionarissen zijn expliciet belegd

Uitvoering (normen)

export normen Uitvoering als csv

ID	trefwoord	Stelling	Norm
HVI_U.01.01	Beveiligingsmaatregelen	Het personeel met de bevoegdheid 'need-to-know' is alleen bekend met het bestaan van de activiteiten in een beveiligde zone.	Personeel is op grond van ‘need-to-know’ bekend met het beveiligd gebied
HVI_U.01.02	Beveiligingsrichtlijnen	In het belang van de veiligheid en ter beperking van de kans op kwaadaardige activiteiten, wordt in de beveiligde gebieden alleen gewerkt onder toezicht.	In beveiligde gebieden wordt slechts onder toezicht gewerkt
HVI_U.01.03	Beveiligingsmaatregelen	Leegstaande beveiligde ruimten behoren fysiek afgesloten en periodiek geïnspecteerd te zijn.	Leegstaande beveiligde ruimten worden fysiek afgesloten en periodiek geïnspecteerd
HVI_U.01.04	Beveiligingsmaatregelen	Tenzij goedgekeurd, wordt beeld- en geluidsopnameapparatuur, zoals in mobiele apparatuur, niet toegelaten in de beveiligde ruimten.	Foto-, video-, audio- of andere opnameapparatuur wordt niet toegelaten
HVI_U.01.05	Beveiligingsmaatregelen	Bezoekers van kritieke faciliteiten: worden slechts toegang geboden voor vastgestelde doeleinden; worden continu aan toezicht onderworpen; worden gemonitord bij aankomst en vertrek; krijgen instructie over de beveiliging van de omgeving en van de noodprocedures en worden bewust gemaakt van de beveiligingsregels; wordt verteld dat het gebruik van beeld- en geluidopnamemateriaal/apparatuur niet is toegestaan; dragen verplicht een badge.	Richtlijnen m.b.t. bezoek tot kritieke faciliteiten
HVI_U.02.01	Inventaris	De organisatie identificeert bedrijfsmiddelen en onderhoudt een inventaris van alle informatie en andere gerelateerde bedrijfsmiddelen die relevant zijn voor de huisvesting IV.	Eigenaarschap en classificatie is toegekend aan elk van de geïdentificeerde bedrijfsmiddelen
HVI_U.02.02	Inventaris	Voor elk geïnventariseerd bedrijfsmiddel wordt ten minste vastgelegd: de levenscyclusfase(n) waarin het bedrijfsmiddel zich bevindt (aanmaak, verwerking, opslag, overdracht, verwijdering of vernietiging); de eigenaar van het bedrijfsmiddel; de classificatie van de informatie.	Identificatie en documentatie van bedrijfsmiddelen voor de Huisvesting-IV
HVI_U.02.03	Inventaris	De inventaris van bedrijfsmiddelen is actueel, consistent, nauwkeurig en wordt periodiek beoordeeld en bijgewerkt.	Actualiteit, consistentie en overeenstemming van de inventarislijst van bedrijfsmiddelen
HVI_U.02.04	Inventaris	De inventaris wordt zodanig opgesteld en onderhouden dat deze kan worden gebruikt voor onder andere risicobeoordelingen, financiële administratie, verzekeringen, beveiligingsmaatregelen en naleving van wet- en regelgeving.	Doeltreffende bescherming is zekergesteld m.b.v. inventarisoverzichten
HVI_U.03.01	Beveilingszones	Voor het inrichten van beveiligingszones wordt rekening gehouden met relevante wet- en regelgeving, normen en standaarden.	Voorschriften voor het inrichten van beveiligde zones
HVI_U.03.02	Beveilingszones	Beveiligingszones worden gedefinieerd waarbij de locatie en de sterkte van elke zone afhangen van de beveiligingseisen van de bedrijfsmiddelen die zich binnen de zone bevinden en van de resultaten van een risicobeoordeling.	Locatie en sterkte beveiligingszone afhankelijk van risico en eisen bij bedrijfsmiddelen
HVI_U.03.03	Beveilingszones	Informatieverwerkende faciliteiten die worden beheerd door de organisatie zijn fysiek of logisch gescheiden van informatieverwerkende faciliteiten die door externe partijen worden beheerd.	Informatieverwerkende faciliteiten zijn gescheiden van extern beheerde faciliteiten
HVI_U.03.04	Beveilingszones	Kritieke informatie of informatiesystemen zijn nooit via één beveiligde zone te bereiken.	Zonering en gescheiden toegang tot kritieke informatie en informatiesystemen
HVI_U.03.05	Beveilingszones	Medewerkers en bezoekers dragen in beveiligde zones zichtbaar een geldig identificatiemiddel. Toegang tot niet-publieke ruimten is uitsluitend toegestaan met geldige identificatie en onder begeleiding van bevoegd personeel indien nodig.	Identificatie en toegangscontrole in beveiligde zones
HVI_U.03.06	Beveiligingszones	Alle fysieke toegangen tot beveiligde zones worden gecontroleerd. Toegangspogingen worden vastgelegd in een logboek of elektronisch systeem.	Controle en registratie van fysieke toegang tot beveiligde zones
HVI_U.03.07	Beveiligingszones	In geval van concrete beveiligingsrisico’s worden waarschuwingen, volgens onderlinge afspraken, verzonden aan de relevante collega’s binnen het beveiligingsdomein van de overheid.	Waarschuwingen en informatie-uitwisseling bij beveiligingsrisico’s binnen het overheidsdomein
HVI_U.04.01	Faciliteiten	Essentiële faciliteiten zijn zo gelegen dat ze niet voor iedereen toegankelijk zijn.	Belangrijke faciliteiten moeten zo te worden gesitueerd dat ze niet voor iedereen toegankelijk zijn
HVI_U.04.02	Faciliteiten	Faciliteiten zijn zo geconfigureerd dat wordt voorkomen dat vertrouwelijke informatie of activiteiten van buitenaf zichtbaar en hoorbaar zijn; voor zover van toepassing wordt ook elektromagnetische afscherming overwogen.	Vertrouwelijke informatie en activiteiten zijn van buitenaf zichtbaar of hoorbaar
HVI_U.04.03	Faciliteiten	Adresboeken en interne telefoonboeken waarin locaties worden aangeduid met faciliteiten die vertrouwelijke informatie verwerken, zijn niet vrij toegankelijk voor onbevoegden.	Adresboeken en telefoonboeken bevattende vertrouwelijke locaties zijn niet vrij toegankelijk
HVI_U.04.04	Faciliteiten	Toegang tot sleutels, toegangspassen en andere middelen voor fysieke toegang tot beveiligde faciliteiten wordt beheerst via een sleutelplan of vergelijkbaar beheerproces.	Sleutelbeheer is ingericht op basis van een sleutelplan
HVI_U.05.01	Nutsvoorzieningen	Nutsvoorzieningen voldoen aan de technische specificaties van de fabrikant en aan de geldende wet- en regelgeving. Zij worden regelmatig geïnspecteerd, getest en onderhouden om te waarborgen dat zij betrouwbaar functioneren en voldoende capaciteit hebben.	De nutsvoorzieningen
HVI_U.05.02	Nutsvoorzieningen	Er zijn noodvoorzieningen aanwezig voor verlichting en communicatie, zodat bij uitval van de primaire nutsvoorzieningen de veiligheid en operationele continuïteit gewaarborgd blijven.	Noodverlichting en (nood)communicatiemiddelen moeten aanwezig zijn
HVI_U.05.03	Nutsvoorzieningen	Nabij nooduitgangen en ruimten waar apparatuur aanwezig is, zijn noodschakelaars en knoppen waarmee stroom, water, gas of andere voorzieningen kunnen worden uitgeschakeld.	Aanwezigheid van noodschakelaars en -knoppen bij nooduitgangen of ruimten waar apparatuur aanwezig is
HVI_U.05.04	Nutsvoorzieningen	Netwerkverbindingen zijn redundant uitgevoerd via meerdere routes en bij voorkeur via meer dan één leverancier.	Redundantie voor de netwerkverbinding via meerdere routes vanaf meer dan één aanbieder
HVI_U.06.01	Geplaatst en beschermd	Apparatuur en informatieverwerkende en opslagfaciliteiten worden zodanig geplaatst dat onbevoegden hier geen toegang toe hebben en beveiligd zijn tegen onbevoegde kennisname van gegevens.	Onbevoegden hebben geen toegang tot apparatuur, informatie verwerkende- en opslagfaciliteiten
HVI_U.06.02	Geplaatst en beschermd	Apparatuur wordt beschermd tegen bedreiging (zoals overspanning, blikseminslag, diefstal en weglekken van informatie door elektromagnetische straling) van buitenaf.	Apparatuur wordt beschermd tegen externe bedreigingen
HVI_U.07.01	Onderhouden	Apparatuur wordt in overeenstemming met de door de leverancier aanbevolen frequentie voor servicebeurten en voorschriften onderhouden.	Apparatuur wordt op aanbevolen intervallen voor servicebeurten en voorschriften onderhouden
HVI_U.07.02	Onderhouden	Reparaties en onderhoudsbeurten aan apparatuur worden alleen uitgevoerd door bevoegd onderhoudspersoneel, waarbij toezicht wordt gehouden op onderhoudspersoneel tijdens het uitvoeren van onderhoud ter plaatse.	Reparaties en onderhoudsbeurten aan apparatuur worden uitgevoerd door bevoegd onderhoudspersoneel
HVI_U.07.03	Onderhouden	Passende beheersmaatregelen worden geïmplementeerd wanneer onderhoud van apparatuur is gepland, rekening houdend met of dit onderhoud wordt uitgevoerd door personeel ter plaatse of door extern personeel, waarbij het onderhoudspersoneel gehouden is aan een passende geheimhoudingsovereenkomst. De toegang voor onderhoud op afstand wordt op basis van autorisaties toegestaan en beveiligd.	Reparatie en onderhoud van apparatuur vindt plaats op locatie en door bevoegd personeel
HVI_U.07.04	Onderhouden	Van alle vermeende en daadwerkelijke fouten en van al het preventieve en correctieve onderhoud worden registraties bijgehouden.	Alle vermeende en daadwerkelijke fouten en elk preventieve en correctieve onderhoud wordt geregistreerd
HVI_U.07.05	Onderhouden	Voldaan wordt aan alle onderhoudseisen die door verzekeringspolissen zijn opgelegd.	Er wordt voldaan aan alle onderhoudseisen die door verzekeringspolissen zijn opgelegd
HVI_U.07.06	Onderhouden	Voordat apparatuur na onderhoud weer in bedrijf wordt gesteld, wordt een inspectie uitgevoerd om te waarborgen dat niet met de apparatuur geknoeid is en dat deze naar behoren functioneert.	Voorafgaand aan in bedrijfstelling wordt apparatuur op functioneren en knoeien geïnspecteerd
HVI_U.08.01	Gecontroleerd	Voorafgaand aan verwijdering, hergebruik of afvoer van apparatuur of opslagmedia, wordt gecontroleerd of alle gevoelige informatie veilig is verwijderd of onherstelbaar gewist.	Voorgaand aan verwijdering of hergebruik wordt gecontroleerd of apparatuur opslag media bevat
HVI_U.08.02	Verwijdering of betrouwbaar veilig zijn overschreven	Opslagmedia die vertrouwelijke informatie bevatten, worden niet met de standaard delete-functie gewist, maar fysiek vernietigd of onherstelbaar gewist met gevalideerde technieken.	Veilige vernietiging en onherstelbaar wissen van opslagmedia met vertrouwelijke informatie
HVI_U.08.03	Verwijdering of betrouwbaar veilig zijn overschreven	Bij het einde van een huurovereenkomst of bij verhuizing worden beveiligingsbeheersmaatregelen (zoals toegangscontrolesystemen, bewakingsapparatuur en andere fysieke beveiligingsmiddelen) verwijderd, tenzij deze in de nieuwe locatie kunnen worden hergebruikt of de huurovereenkomst anders vereist.	Verwijdering van fysieke beveiligingsmaatregelen bij beëindiging van gebruikslocaties
HVI_U.09.01	Bedrijfsmiddelen	In het beveiligingsbeleid is geborgd dat het invoeren en afvoeren van bedrijfsmiddelen volgens een vaste procedure plaatsvindt. Onderdeel van deze procedure is een formeel toestemmingstraject.	Het toestemmingstraject voor in- en afvoeren van bedrijfsmiddelen is in het beveiligingsbeleid geborgd
HVI_U.09.02	Bedrijfsmiddelen	De organisatie heeft procedures vastgesteld voor het veilig hergebruiken en verwijderen van opslagmedia, afgestemd op de gevoeligheid en classificatie van de informatie die daarop is opgeslagen.	Identificatie van externe personen die bedrijfsmiddelen van de locatie mogen (laten) nemen
HVI_U.09.03	Bedrijfsmiddelen	Opslagmedia met vertrouwelijke informatie worden voorafgaand aan hergebruik binnen de organisatie op een beveiligde wijze gewist of geformatteerd.	Tijdsgrenzen aan de afwezigheid ern terugbrengen van bedrijfsmiddelen worden geverifieerd
HVI_U.09.04	Bedrijfsmiddelen	Opslagmedia die niet meer nodig zijn, worden op een veilige en onherstelbare wijze verwijderd of vernietigd. Bij de keuze voor een externe leverancier voor inzameling en vernietiging wordt zorgvuldig gecontroleerd of deze leverancier voldoende waarborgen en ervaring heeft.	Meenemen en terugkeer van bedrijfsmiddelen worden geregistreerd
HVI_U.09.05	Bedrijfsmiddelen	De verwijdering of vernietiging van opslagmedia wordt geregistreerd om een audittraject te waarborgen. Bij het verzamelen van grote hoeveelheden media wordt rekening gehouden met het aggregatie-effect.	Documentatie van ieders identiteit, rol en connectie die bedrijfsmiddelen hanteert of gebruikt
HVI_U.09.06	Bedrijfsmiddelen	Er wordt gecontroleerd of alle data op het medium onherstelbaar verwijderd is. Hiervan wordt verslag gemaakt. Er wordt waar mogelijk gebruik gemaakt van producten waarvoor de Unit Weerbaarheid van het Nationaal Bureau voor Verbindingsbeveiliging (NBV) van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) een positief inzetadvies afgegeven heeft.	Controle en verantwoording van onherstelbare gegevensverwijdering op opslagmedia
HVI_U.10.01	Toegangspunten	Er is een procedure voor het omgaan met verdachte brieven en pakketten in postkamers en laad- en losruimten.	Een procedure beschrijft het omgaan met verdachte brieven en pakketten
HVI_U.10.02	Toegangspunten	Toegang tot een laad- en loslocatie van buiten het gebouw wordt beperkt tot geïdentificeerd en bevoegd personeel.	Toegang van buitenaf tot laad- en loslocaties wordt beperkt tot geïdentificeerd en bevoegd personeel
HVI_U.10.03	Toegangspunten	De laad- en loslocaties zijn zo ontworpen dat goederen kunnen worden geladen en gelost zonder dat de leverancier toegang heeft tot andere delen van het gebouw.	Eisen aan de laad- en loslocatie
HVI_U.10.04	Toegangspunten	De buitendeuren van een laad- en loslocatie moeten beveiligd zijn als de binnendeuren open zijn.	De buitendeuren van een laad- en loslocatie moeten beveiligd te zijn als de binnendeuren open zijn
HVI_U.10.05	Toegangspunten	Inkomende materialen worden bij binnenkomst op de locatie geregistreerd volgens de procedures voor bedrijfsmiddelenbeheer.	Inkomende materialen worden bij binnenkomst op de locatie geregistreerd
HVI_U.10.06	Toegangspunten	Inkomende en uitgaande zendingen worden, voor zover mogelijk, fysiek gescheiden.	Inkomende en uitgaande zendingen moeten, voor zover mogelijk, fysiek te worden gescheiden
HVI_U.10.07	Toegangspunten	Inkomende materialen worden gecontroleerd op mogelijke aanwijzingen voor vervalsing tijdens het transport. Bij ontdekte vervalsing wordt dit direct aan het beveiligingspersoneel gemeld.	Inkomende materialen worden gecontroleerd op mogelijke aanwijzingen voor vervalsing
HVI_U.11.01	Voedingskabels	Kabels worden zoveel mogelijk ondergronds of op een andere veilige wijze aangelegd om fysieke schade en ongeoorloofde toegang te voorkomen.	Kabels worden bij voorkeur ondergronds aangelegd
HVI_U.11.02	Voedingskabels	Huisvesting Informatievoorzieningen (IV) is ingericht met de volgende best practices: TIA-942: Telecommunication Infrastructure Standard for Data Centers NEN-EN 50600: Europese normenreeks voor datacenters NPR 5313: Richtlijn voor datacenters (2014)	De huisvesting van de Rekencentra is ingericht op basis van “Best Practices”
HVI_U.11.03	Voedingskabels	Voedings- en telecommunicatiekabels zijn beveiligd en niet toegankelijk voor onbevoegden.	Voedings- en telecommunicatiekabels zijn beveiligd en niet toegankelijk door onbevoegden
HVI_U.12.01	Architectuurvoorschriften	De aanwezige architectuurvoorschriften voor de fysieke inrichting van huisvesting IV worden actief onderhouden.	De architectuurvoorschriften voor de Huisvesting-IV worden actief onderhouden
HVI_U.12.02	Architectuurvoorschriften	De inrichting van huisvesting IV en bekabelingen is gedocumenteerd.	De inrichting van de Huisvesting-IV voorzieningen en bekabelingen zijn gedocumenteerd
HVI_U.12.03	Documentatie	Het document met de inrichting van huisvesting Informatievoorzieningen (IV) en de bekabeling: heeft een eigenaar; is voorzien van een datum en versienummer; bevat een documenthistorie (wat is wanneer en door wie aangepast); is actueel, juist en volledig; is door het juiste (organisatorische) niveau vastgesteld/geaccordeerd.	Aan het architectuurdocument gestelde eisen

Control (normen)

export normen Control als csv

ID	trefwoord	Stelling	Norm
HVI_C.01.01	Richtlijnen	De huisvesting IV-organisatie beschikt over richtlijnen voor de controle van bedrijfsmiddelen.	De Huisvesting-IV organisatie beschikt over richtlijnen voor controle van bedrijfsmiddelen
HVI_C.01.02	Richtlijnen	De huisvesting IV-organisatie beschikt over geautomatiseerde middelen voor een effectieve ondersteuning van de controle-activiteiten.	Beschikking over geautomatiseerde middelen voor effectieve ondersteuning van de controle activiteiten
HVI_C.01.03	Richtlijnen	De huisvesting IV-organisatie beschikt over richtlijnen voor het uitvoeren van een registratie, statusmeting, analyse, rapportage en evaluatie.	Beschikking over richtlijnen voor registratie, statusmeting, analyse, rapportage en evaluatie
HVI_C.01.04	Richtlijnen	De huisvesting IV-organisatie beschikt over richtlijnen voor het evalueren van de huisvesting IV-organisatie.	Er zijn richtlijnen voor het evalueren van de Huisvesting-IV organisatie
HVI_C.01.05	Richtlijnen	De huisvesting IV-organisatie heeft de taken, verantwoordelijkheden en bevoegdheden van controlefunctionarissen vastgelegd.	Vastlegging van taken, verantwoordelijkheden en bevoegdheden van controle functionarissen
HVI_C.02.01	Onderhoudsplan	Voor kwetsbare voorzieningen (binnen en buiten het gebouw) zijn duidelijke onderhoudsbepalingen gesteld.	Verantwoordelijke functionaris laat het vastgoed onderhouden o.b.v. vastgesteld onderhoudsplan
HVI_C.02.02	Onderhoudsbepalingen	Voor alle locaties van de huisvesting IV is een vastgesteld onderhoudsplan aanwezig met relevante onderhoudsbepalingen.	Voor kwetsbare voorzieningen zijn duidelijke onderhoudsbepalingen gesteld
HVI_C.03.01	Procesmatig	Het BCMS is: beschreven; goedgekeurd door het management; toegekend aan een verantwoordelijke functionaris. Het behandelt onder andere: planning, uitvoering van de scope, rapporteren en bespreken van verbetervoorstellen.	Het BCMS is beschreven, goedgekeurd, toegekend en behandeld door het management
HVI_C.03.02	Procesmatig	De beoordelingsrapportage bevat kwetsbaarheden en verbetervoorstellen die worden gecommuniceerd met verantwoordelijken/eigenaren van systemen waarin kwetsbaarheden en zwakheden gevonden zijn.	De beoordelingsrapportage wordt gedeeld met systeemverantwoordelijken
HVI_C.03.03	Hersteld en voortgezet	Een continuïteitsplan is opgesteld, met daarin activiteiten, rollen en verantwoordelijkheden, uit te voeren validaties, escalatiepaden en een signaleringsrapportage over continuïteit.	Het continuïteitsplan bevat activiteiten, rollen en verantwoordelijkheden en rapportages
HVI_C.03.04	Hersteld en voortgezet	De herstelprocessen en -procedures voor de huisvesting IV-organisatie zijn gedocumenteerd.	De herstelprocessen en -procedures voor de Huisvesting-IV-dienst zijn gedocumenteerd
HVI_C.03.05	Hersteld en voortgezet	Er is gezorgd voor afdoende uitwijkfaciliteiten, zodat bij calamiteiten de dienstverlening binnen de daartoe gestelde termijn voortgezet kan worden.	Realisatie van afdoende uitwijkfaciliteiten
HVI_C.03.06	Hersteld en voortgezet	Het gebruik van de uitwijkfaciliteit(en) en het draaiboek wordt periodiek op correctheid en doelmatigheid getest.	Gebruik van de uitwijkfaciliteit(en) en draaiboek worden periodiek getest
HVI_C.03.07	Hersteld en voortgezet	De huisvesting IV-organisatie is verantwoordelijk voor het beheer, periodiek testen en controleren van uitwijkvoorzieningen.	Verantwoordelijkheid voor beheer, testen, en controleren van uitwijkvoorzieningen
HVI_C.04.01	Beheersorganisatie	De belangrijkste functionarissen (stakeholders) voor de beheersorganisatie zijn benoemd en de relaties tussen hen zijn met een organisatieschema inzichtelijk gemaakt.	Er zijn functionarissen voor de beheersorganisatie benoemd
HVI_C.04.02	Beheersorganisatie	De verantwoordelijkheden voor de beheersprocessen zijn aan een specifieke functionaris toegewezen en vastgelegd.	Verantwoordelijkheden zijn toegewezen en vastgelegd
HVI_C.04.03	Beheersorganisatie	De organisatie heeft de taken en verantwoordelijkheden voor de uitvoering van de beheerwerkzaamheden beschreven en de bijbehorende bevoegdheden vastgelegd in een autorisatiematrix.	Verantwoordelijkheden zijn beschreven en vastgelegd
HVI_C.04.04	Processtructuur	De samenhang van de processen wordt met een processtructuur vastgelegd.	De samenhang van processen is in een processtructuur vastgelegd.

Op deze pagina