Melden van informatiebeveiligingsgebeurtenissen

Versie 2.0 van 1 juni 2021 van de BIO Thema-uitwerking Clouddiensten is vervangen door versie 2.1 van 29 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.

Beveiligingsprincipe
ID:	CLD_U.19
Versie:	2.4
Status:	Actueel
Indeling
Beveiligingsaspect:	Uitvoering
Invalshoek:	Onbekend

Objectdefinitie

Onder een informatiebeveiligingsgebeurtenis wordt verstaan een voorval dat wijst op een mogelijke inbreuk van informatiebeveiliging, of op het falen van beheersmaatregelen. Medewerkers moeten incidenten kunnen melden en op deze meldingen moet actie worden ondernomen.

Objecttoelichting

In tegenstelling tot technische kwetsbaarheden kunnen informatiebeveiligingsgebeurtenissen door zowel de CSP als de CSC worden waargenomen. Het kunnen melden en opvolgen ervan moet daarom zowel door de CSP als de CSC worden gedaan.

Criterium

De organisatie behoort te voorzien in een mechanisme waarmee personeel waargenomen of vermoede informatiebeveiligingsgebeurtenissen tijdig via passende kanalen kan melden.

Doelstelling

Tijdige, consistente en doeltreffende melding ondersteunen van informatiebeveiligingsgebeurtenissen die door personeel kunnen worden geïdentificeerd.

Risico

Als informatiebeveiligingsgebeurtenissen door medewerkers of leveranciers niet tijdig, eenduidig of consequent worden gemeld en opgevolgd, bestaat het risico dat signalen van falende beheersmaatregelen niet worden herkend of geadresseerd, waardoor beveiligingsincidenten zich herhalen of escaleren met toenemende impact op de organisatie.

Indeling binnen ISOR

Dit beveiligingsprincipe:

is gericht op het Beveiligingsaspect Uitvoering;
valt binnen de Invalshoek Onbekend.

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten: Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is ISO 27002:2022 6.8

Onderliggende normen

ID	Conformiteitsindicator	Stelling
CLD_U.19.01	mechanisme	De CSP moet de CSC mechanismen bieden voor: het aan de CSP melden van door de CSC gedetecteerde informatiebeveiligingsgebeurtenissen; het aan de CSC rapporteren over door de CSP gedetecteerde informatiebeveiligingsgebeurtenissen; het door de CSC kunnen volgen van de status van gerapporteerde informatiebeveiligingsgebeurtenissen.
CLD_U.19.02	mechanisme	De CSC moet informatie opvragen bij de CSP over door de CSC te hanteren mechanismen voor: het aan de CSP melden van door de CSC gedetecteerde informatiebeveiligingsgebeurtenissen; het door de CSC ontvangen van rapporten over door de CSP gedetecteerde informatiebeveiligingsgebeurtenissen; het door de CSC kunnen volgen van de status van gerapporteerde informatiebeveiligingsgebeurtenissen.
CLD_U.19.03	passende kanalen	De CSP moet essentiële informatie verstrekken, zoals telefoonnummers, e-mailadressen en servicetijden voor zowel de CSC als de CSP.
CLD_U.19.04	passende kanalen	De CSP beheert en verwijst naar een dagelijks bijgewerkt online register van bekende kwetsbaarheden die van invloed zijn op de CSP en op door de CSP geleverde middelen. Bij iedere kwetsbaarheid wordt aangegeven of er software-updates (bijvoorbeeld een patch of update) beschikbaar zijn, wanneer deze uitgerold worden en of deze door de CSP, de CSC of beiden samen moet worden geïnstalleerd. De bij de kwetsbaarheid opgenomen informatie vormt een geschikte basis voor risicobeoordeling en eventuele vervolgmaatregelen aan de CSC. Het online register is eenvoudig toegankelijk voor elke CSC.
CLD_U.19.05	melden	De CSP heeft, in lijn met de toepasselijke wet- en regelgeving, een procedure opgesteld voor het beheren en beantwoorden van verzoeken om openbaarmaking van persoonsgegevens door wetshandhavingsautoriteiten en rapporteert de CSC over de te volgen procedure. De CSP meldt een openbaarmaking aan de CSC, volgens een opgestelde meldingsprocedure, tenzij dit verboden is, zoals bij een strafrechtelijke eis om de vertrouwelijkheid van een rechtshandhavingsonderzoek te bewaren.
CLD_U.19.06	melden	Wanneer een informatiebeveiligingsgebeurtenis wordt gedetecteerd door de CSC of door de CSP, behoort dit onmiddellijk aan de andere partij te worden gemeld.