| Grondslag | Onderdeel | uitgewerkt in |
|---|
| AVG | Art. 11; 12; 15; 86 | Toegang gegevensverwerking voor betrokkenen |
| AVG | Art. 13; 14; 15 | Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens |
| AVG | Art. 24; 25; 35; 36; 42 | Risicomanagement, Privacy by Design en de DPIA |
| AVG | Art. 26; 27; 28; 29; 44; 45; 46; 47; 48; 49; 96 | Doorgifte persoonsgegevens |
| AVG | Art. 30 | Register van verwerkingsactiviteiten |
| AVG | Art. 32 | Beveiligen van de verwerking van persoonsgegevens |
| AVG | Art. 33; 34 | Meldplicht Datalekken |
| AVG | Art. 5 | Intern toezicht |
| AVG | Art. 5 lid 1e | Bewaren van persoonsgegevens |
| AVG | Art. 5; 24; 40 | Privacy Beleid geeft duidelijkheid en sturing |
| AVG | Art. 5; 37; 38; 39 | Organieke inbedding |
| AVG | Art. 5; 6; 9; 10; 22; 23 | Doelbinding gegevensverwerking |
| AVG | Art. 7 lid 3; Art. 11 lid 2; Art.12; 16; 17; 18; 19; 20; 21; 22; 23 | Kwaliteitsmanagement |
| BIO | 8.27.01 | Gangbare principes rondom Security by design zijn uitgangspunt voor het inrichten van servers |
| BIO (Baseline Informatiebeveiliging Overheid) | 10.1.1.2 | Voldoen aan passende standaarden |
| BIO (Baseline Informatiebeveiliging Overheid) | 11.1.2 | Fysieke toegangsbeveiliging |
| BIO (Baseline Informatiebeveiliging Overheid) | 12.2.1.5 | Uitvoeren malware-bescherming op verschillende omgevingen en bij toegang tot netwerk van organisatie |
| BIO (Baseline Informatiebeveiliging Overheid) | 12.3.1.1, 12.3.1.2, 12.3.1.4, 12.3.1.5 | Beleid middlewarecomponenten |
| BIO (Baseline Informatiebeveiliging Overheid) | 12.6.1 | Installeren patches en treffen mitigerende maatregelen |
| BIO (Baseline Informatiebeveiliging Overheid) | 13.1.2.2 | Delen nieuwe dreigingen binnen overheid |
| BIO (Baseline Informatiebeveiliging Overheid) | 14.1.2 | Toepassingen via openbare netwerken |
| BIO (Baseline Informatiebeveiliging Overheid) | 14.2.1 | Beleid voor beveiligde inrichting en onderhoud |
| BIO (Baseline Informatiebeveiliging Overheid) | 14.2.3 | Technische beoordeling informatiesystemen |
| BIO (Baseline Informatiebeveiliging Overheid) | 14.2.9.1 | Voor acceptatietesten van (informatie)systemen worden gestructureerde testmethodieken gebruikt |
| BIO (Baseline Informatiebeveiliging Overheid) | 14.2.9.2 | Van de resultaten van de testen wordt een verslag gemaakt |
| BIO (Baseline Informatiebeveiliging Overheid) | 14.3.1 | Beschermen testgegevens |
| BIO (Baseline Informatiebeveiliging Overheid) | 18.2.3 | Beoordeling technische serveromgeving |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 5.14.01 | Naleving van verplichte standaarden voor internetfacing-systemen en e-mailverkeer conform Forum Standaardisatie |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 5.14.02 | Certificaatvereisten voor webverkeer met gevoelige gegevens op basis van risicoanalyse |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 5.14.3 | Vereisten voor geavanceerde elektronische handtekeningen conform AdES Baseline Profiles |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 5.15 en | Toegangsbeveiligingsbeleid |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 5.34 | Privacy en bescherming persoonsgegevens applicatieontwikkeling |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 5.35 | Beoordeling middlewarefunctionaliteit |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 5.36 | Evaluatie naleving beleid |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 5.8.01 | Informatiebeveiligingseisen |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 7.10 | Schonen data en media |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 7.10.01 | Verwijderinstructie voor onherstelbare verwijdering van inhoud op herbruikbare media |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 7.10.02 | Onherstelbare verwijdering van data op media conform NBV-richtlijnen |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.08.04 | Jaarlijkse technische controle en continue testing van informatiesystemen op beveiligingsnormen en kwetsbaarheden |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.13 | Dataherstel |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.13.01 | Back-upbeleid en bescherming tegen ransomware en integriteitsverlies |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.13.04 | Periodieke tests van herstel van back-updata en disaster recovery |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.14 | Betrouwbare dataopslag |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.19 | Beperking software-installatie applicatieontwikkeling |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.19.01 | Het toekennen van rechten om software te installeren vindt plaats op basis van 'Least Privilege' |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.21.02 | Bewaking en analyse van dataverkeer op verdacht verkeer met detectievoorzieningen |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.24 | Vertrouwelijkheid en integriteit data |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.24.01 | Cryptografiebeleid: inzet, verantwoordelijkheden en normen |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.24.03 en | Encryptie en datamaskering voor veilige dataopslag volgens Forum Standaardisatie |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.24.04 | Cryptografische sterkte gebaseerd op adviezen van NCSC en AIVD |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.24.05 | Afspraken over reservecertificaten voor waarborging van bedrijfscontinuïteit |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.25 en | Beleid voor (beveiligd) ontwikkelen |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.29 | Systeemacceptatietest |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.29.01 | Gestandaardiseerde en geautomatiseerde acceptatietesten binnen systeemontwikkeling. |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.30 | Uitbestede systeemontwikkeling |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.30.01 | Perspectieven bij de Business Impact Analyse |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.31.01 | Logisch en/of fysiek gescheiden Ontwikkel, Test, Acceptatie en Productie omgevingen |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.31.01 | Beleid voor testrestricties in productieomgevingen en uitzonderingsprocedure. |
| BIO (Baseline Informatiebeveiliging Overheid) | 2 8.32.01 | Medewerkers (programmeurs) krijgen de juiste autorisatie om werkzaamheden te kunnen uitvoeren |
| BIO (Baseline Informatiebeveiliging Overheid) | 2.0-opmaat; 8.13.2
2019; 13.3.1.2 | Risicoafweging voor maximaal toegestaan dataverlies en hersteltijd |
| BIO (Baseline Informatiebeveiliging Overheid) | 5.8 | Informatiebeveiliging in projectmangement |
| BIO (Baseline Informatiebeveiliging Overheid) | 6.1.1 | Benoemen functionarissen voor informatiebeveiliging en onderlinge relaties inzichtelijk maken |
| BIO (Baseline Informatiebeveiliging Overheid) | 6.1.2.1 | Onbedoelde en ongeautoriseerde toegang tot bedrijfsmiddelen worden waargenomen en voorkomen |
| BIO (Baseline Informatiebeveiliging Overheid) | 6.2.2 | Beheer op afstand |
| BIO (Baseline Informatiebeveiliging Overheid) | 8.27.01 | Security by Design als uitgangspunt voor softwareontwikkeling |
| BIO (Baseline Informatiebeveiliging Overheid) | 8.31 | Scheiding van ontwikkel-, test- en productieomgevingen |
| BIO (Baseline Informatiebeveiliging Overheid) | 8.32.02 | Voor het wijzigingsbeheer gelden de algemeen geaccepteerde beheer frameworks |
| BIO (Baseline Informatiebeveiliging Overheid) | 8.4 | Toegangsbeveiliging op programmacode |
| BIO (Baseline Informatiebeveiliging Overheid) | 9.4.1.2 | Bieden mechnismen om informatie in te zien en verwerken voor uitoefening taak |
| BIO (Baseline Informatiebeveiliging Overheid) | 9.4.2.1 | Toegang vanuit een niet-vertrouwde zones naar een vertrouwde zone |
| BIO2 | 5.02 en ISO 27002:2022:5.2 | Rollen en verantwoordelijkheden middlewarefunctionaliteit |
| BIO2 | 5.02.01 | Beheersorganisatie netwerkbeveiliging |
| BIO2 | 5.08.01 | Uitvoeren expliciete risicoafweging bij nieuwe software |
| BIO2 | 5.09 | Eigenaarschap Huisvesting IV |
| BIO2 | 5.14 en ISO 27001:2022 | Beleid informatietransport |
| BIO2 | 5.14.01 | Naleving van verplichte beveiligingsstandaarden voor internetfacing-systemen en e-mailverkeer conform Forum Standaardisatie en Cyberbeveiligingsbesluit |
| BIO2 | 5.14.02 | Certificaatvereisten voor openbaar en intern webverkeer met gevoelige gegevens op basis van risicoanalyse en wetgeving |
| BIO2 | 5.14.03 | Naleving van AdES Baseline Profiles voor geavanceerde en gekwalificeerde elektronische handtekeningen |
| BIO2 | 5.14.04 | Actuele registratie van internetfacing-informatiesystemen, webapplicaties, IP-adressen en API's |
| BIO2 | 5.14.05 | Registratie van publiek toegankelijke websites in het Register Internetdomeinen Overheid met halfjaarlijkse actualisatie |
| BIO2 | 5.15.01 | Toegang tot vertrouwde zones met gevoelige overheidsinformatie uitsluitend via beveiligde apparaten of omgevingen |
| BIO2 | 5.16 | Registratieprocedure |
| BIO2 | 5.16.01 | Een sluitende formele registratie- en afmeldprocedure |
| BIO2 | 5.16.02 | Groepsaccounts niet toegestaan tenzij |
| BIO2 | 5.17 | Wachtwoordenbeheer |
| BIO2 | 5.17.01 | Toepassing van MFA in wachtwoordloze en wachtwoordgebonden vormen voor digitale werkomgeving, internetdiensten en beheerdersaccounts |
| BIO2 | 5.17.02 | Beschikbaarstelling van een wachtwoordmanager voor alle medewerkers |
| BIO2 | 5.17.03 | Geautomatiseerde afdwinging van wachtwoordeisen |
| BIO2 | 5.18 | Beoordeling toegangsrechten |
| BIO2 | 5.18 | Toegangsverleningsprocedure |
| BIO2 | 5.18.01 | Risicoafweging voor functiescheiding en toegangsrechten |
| BIO2 | 5.18.02 | Beoordelen van toegangsrechten |
| BIO2 | 5.18.02 | Alle uitgegeven toegangsrechten worden minimaal eenmaal per jaar beoordeeld |
| BIO2 | 5.19.01 | Vaststelling van beveiligingseisen bij verwerving en inkoop |
| BIO2 | 5.3 | Functiescheiding |
| BIO2 | 5.37 en ISO 27002:2022:5.37 | Richtlijnen en procedures middlewarefunctionaliteit |
| BIO2 | 5.9.01 | Inventarisatie van alle bedrijfsmiddelen inclusief OT, cloud en SaaS in actuele en consistente inventarislijsten |
| BIO2 | 5.9.01 | Periodieke beoordeling en bijwerking van inventarislijsten als basis voor risicobeheer en toegangsbeveiliging |
| BIO2 | 6.03 | Training en bewustwording |
| BIO2 | 7.01.02 | Zonering en gescheiden toegang tot kritieke informatie en informatiesystemen |
| BIO2 | 7.02.01 | Waarschuwingen en informatie-uitwisseling bij beveiligingsrisico’s binnen het overheidsdomein |
| BIO2 | 7.02.01 | Waarschuwingen bij concrete beveiligingsrisico's verzonden aan relevante collega's binnen het overheidsbeveiligingsdomein |
| BIO2 | 7.10.02 | Controle en verantwoording van onherstelbare gegevensverwijdering op opslagmedia |
| BIO2 | 7.2 | Fysieke toegangsbeveiliging |
| BIO2 | 8.02.01 | Kwartaalgewijze beoordeling van toegewezen speciale bevoegdheden in opzet, bestaan en werking |
| BIO2 | 8.03.01 | Maatregelen voor fysieke en logische isolatie van informatie met specifiek belang |
| BIO2 | 8.03.02 | Toegang tot informatie met specifiek belang beperkt tot taakvereisten |
| BIO2 | 8.05.01 | Voor het verlenen van toegang tot het netwerk aan externe leveranciers wordt vooraf een risicoafweging gemaakt |
| BIO2 | 8.06 | Capaciteitsbeheer middleware |
| BIO2 | 8.07.01 | Servers zijn voorzien van up-to-date anti-malware |
| BIO2 | 8.07.02 | Het downloaden van bestanden is beheerst en beperkt |
| BIO2 | 8.07.03 | Servers en hiervoor gebruikte media worden routinematig gescand op malware |
| BIO2 | 8.07.04 | Voor de bescherming tegen malware zijn procedures beschreven en verantwoordelijkheden benoemd |
| BIO2 | 8.08.01 | Eisen aan het installeren van patches en tussentijdse mitigerende maatregelen |
| BIO2 | 8.08.01 | Informatie-eisen voor het uitvoeren van een doeltreffende kwetsbaarhedenanalyse |
| BIO2 | 8.08.01 | Installeren patches voor kwetsbaarheden |
| BIO2 | 8.08.02, 03 | Verantwoordelijkheden, rollen en middelen om technische kwetsbaarheden beheren |
| BIO2 | 8.08.04, 05 | De activiteiten zijn afgestemd op het incident |
| BIO2 | 8.08.05 | Het kwetsbaarheden beheerproces |
| BIO2 | 8.13.01 | Middlewarecomponentenbeleid en bescherming tegen ransomware-aanvallen |
| BIO2 | 8.13.02 | Risicoafweging voor maximaal dataverlies en hersteltijd in de middlewareomgeving |
| BIO2 | 8.13.03 | Back-upproces en gescheiden opslaglocaties voor middlewarecomponenten |
| BIO2 | 8.15 | Logging en monitoring |
| BIO2 | 8.15.01 | Een log-regel bevat de vereiste gegevens |
| BIO2 | 8.15.01, 02 | Eisen aan de inhoud van de logbestanden van gebeurtenissen |
| BIO2 | 8.15.01, 06 | Eisen aan het beschermen van de logbestanden |
| BIO2 | 8.15.02 | Een logregel bevat in geen geval gegevens die de beveiliging kunnen doorbreken |
| BIO2 | 8.15.03 | Overzicht van logbestanden |
| BIO2 | 8.15.04 | Risicogerichte bepaling van bewaartermijnen voor logbestanden en SIEM-gegevens |
| BIO2 | 8.15.04 | Risicogebaseerde bewaartermijnen voor logbestanden en SIEM-gegevens |
| BIO2 | 8.15.05 | Speciale gebruikers geven rekenschap over de door hun uitgevoerde beheer activiteiten |
| BIO2 | 8.15.05 | Melding van oneigenlijke wijziging of verwijdering van loggegevens als informatiebeveiligingsincident conform beheersmaatregel 5.24 |
| BIO2 | 8.15.06 | De logbestanden worden gedurende een overeengekomen periode bewaard |
| BIO2 | 8.16.01 | Verplichte melding van nieuwe dreigingen aan het aangewezen CERT binnen juridische kaders |
| BIO2 | 8.16.01 | Meldplicht en informatie-uitwisseling van nieuwe dreigingen met CERT-organisaties |
| BIO2 | 8.16.02 | Rapportageregels voor incidenten vanuit SIEM en Security Operations Centre (SOC) |
| BIO2 | 8.16.02 | Eenduidige rapportageregels voor incidenten aan verantwoordelijk management vanuit SIEM en SOC |
| BIO2 | 8.16.03 | Monitoring van de informatieverwerkende omgeving met detectie- en response-oplossing voor tijdige aanvalsdetectie en afwijkingsbehandeling |
| BIO2 | 8.16.03 | Monitoring van de informatieverwerkende omgeving met een detectie- en response-oplossing voor tijdige aanvalsdetectie |
| BIO2 | 8.16.04 | Logging en monitoring van actieve netwerkcomponenten voor detectie van en reactie op afwijkende gebeurtenissen |
| BIO2 | 8.19.01 | Op de werkomgeving kan niets zelf worden geïnstalleerd, anders dan via de ICT-leverancier wordt aangeboden of toegestaan |
| BIO2 | 8.2 | Speciale toegangsrechtenbeheer |
| BIO2 | 8.2 en 8.18 | Toegang tot middlewarefunctionaliteit |
| BIO2 | 8.20.01 | Vertrouwelijkheidsniveau van netwerkcomponenten binnen het netwerkdomein |
| BIO2 | 8.20.02 | Scheiding van beheerinterfaces en gebruikersnetwerken voor netwerkcomponenten |
| BIO2 | 8.21.01 | Detectie en mitigatie van beschikbaarheidsaanvallen op netwerkkoppelpunten en segmenten |
| BIO2 | 8.21.02 | De noodzakelijke beveiligingsmechanismen zijn vastgelegd in een overeenkomst |
| BIO2 | 8.21.03 | Beveiligingsmechanismen voor communicatie worden voorzien op de OSI lagen |
| BIO2 | 8.21.04 | Ontdekte nieuwe dreigingen vanuit de analyse worden gedeeld binnen de overheid |
| BIO2 | 8.22.01 | Het netwerk is opgedeeld op grond van risico’s voor onderlinge negatieve beïnvloeding |
| BIO2 | 8.24 | Cryptografie |
| BIO2 | 8.24 | Inzicht in sleutelbeheerprocedures bij gebruik van CSP-functionaliteit |
| BIO2 | 8.24 | Cryptografiebeleid voor communicatie |
| BIO2 | 8.24.01 | Het cryptografiebeleid stelt eisen |
| BIO2 | 8.24.01 | Uitwerken cryptografiebeleid |
| BIO2 | 8.24.01 | Cryptografiebeleid met eisen voor inzet, verantwoordelijkheden, sleutelbeheer, normen en beschermingsniveau |
| BIO2 | 8.24.02 | Cryptografische beheersmaatregelen sluiten aan bij de Pas-Toe-of-Leg-Uit standaarden |
| BIO2 | 8.24.02 | Cryptografische toepassingen |
| BIO2 | 8.24.03 | Sterkte van de cryptografie |
| BIO2 | 8.24.04 | Cryptografische sterkte gebaseerd op actuele adviezen van NCSC en AIVD |
| BIO2 | 8.24.04 | Cryptografische algoritmen voldoen aan de hoogst mogelijke industriestandaarden |
| BIO2 | 8.24.04 | Versleuteld opslaan van gegevens met cryptografiestandaarden |
| BIO2 | 8.24.05 | Adequate risicobeheersing |
| BIO2 | 8.24.05 | Afspraken over reservecertificaten voor bedrijfscontinuïteit en uitwijkvoorzieningen |
| BIO2 | 8.27 | Veilige systeemarchitectuur en technische uitgangspunten |
| BIO2 | 8.29.01 | Gestructureerde en geautomatiseerde acceptatietesten binnen systeemontwikkeling. |
| BIO2 | 8.3 | Autorisatie |
| BIO2 | 8.31.01 | Verbod op testen in de productieomgeving tenzij goedgekeurd door de proceseigenaar |
| BIO2 | 8.31.02 | Verplicht testen van significante wijzigingen in de productieomgeving voorafgaand aan productie |
| BIO2 | 8.32 | Wijzigingsbeheerprocedure voor applicaties en systemen |
| BIO2 | 8.32.01 | Controle op risicoanalyse en impactbeoordeling bij wijzigingen door leveranciers |
| BIO2 | 8.32.02 | Controle op implementatie en beheer van wijzigingen door leveranciers |
| BIO2 | 8.33 | Beschermen testgegevens |
| BIO2 | 8.5 | Inlogprocedure |
| BIO2 | 8.5.01 | Risicoafweging en registratie van netwerktoegang voor externe leveranciers |
| BIO2 (Baseline Informatiebeveiliging Overheid) | 5.12 | Classificatie van informatie |
| BSI 200-2 2017 | 4.2 | Organisatiestructuur netwerkbeheer |
| BSI-Standard 200-2 - IT-Grundschutz-Methodology | 4.2 | Organisatiestructuur netwerkbeheer |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | AM-06 | Toepassen informatie- en middelenclassificatie, relevant voor ontwikkelen en aanbieden van clouddiensten |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | BCM-01 | Committeren aan vastgestelde BCM-vereisten |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | BCM-01 | Zeker stellen adequate resources voor uitvoeren van BCM-proces |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | BCM-01 | Benoemen proceseigenaar voor BCM-proces en geven verantwoordelijkheden |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | BCM-02 | Documenteren en communiceren beleid en procedures voor vaststellen van storingsimpact van cloudservices |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | BCM-02 | Vaststellen en communiceren BCM- en BIA-beleid |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | BCM-03 | Beschikken over gedocumenteerd raamwerk voor plannen van bedrijfscontinuïteit |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | BCM-04 | Besteden aandacht aan beïnvloeden van CSC’s (tenants) en derde partijen bij testen |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | BCM-04 | Verifiëren, actualiseren en testen business impact analyses en continuïteitsplannen |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | COS-01 | Integreren Intrusion Detection Prevention en Intrusion Detection System in SIEM |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | PI-02 | Contractuele borging van exitprocedures en datamigratie bij clouddiensten |
| Cloud Computing Compliance Criteria Catalogue - C5:2020 | 5.1 | Organisatie- en technische structuur voor middlewarediensten en samenwerking |
| Cloud Controls Matrix (CCM) | DSI-01 | Toekennen classificatie aan data en middelen waarin/waarop zich data bevindt |
| Cloud Controls Matrix (CCM) | DSI-03 | Classificeren en beschermen data gerelateerd aan e-commerce en verstuurd via publieke netwerken |
| Cybersecurity Framework Version 1.1 | PR.DS-1, PR.DS-2 | Treffen maatregelen voor opslag, verwerking en transport van data |
| De Privacy Baseline | 02.02 | Op basis van de AVG worden de principes Privacy by Design en Privacy by Default gehanteerd |
| De Privacy Baseline | 03.01 toelichting | GEB om vooraf in het ontwerp de privacy en gegevensbeschermingsmaatregelen mee te nemen |
| De Privacy Baseline | 03.02 | Procesbeschrijving voor uitvoeren GEB's en voor opvolgen uitkomsten |
| De Privacy Baseline | 03.03 | Risicomanagement aanpak aantoonbaar toegepast |
| De Privacy Baseline | 03.04 | Een tot standaard verheven GEB-toetsmodel wordt toegepast; dit model voldoet aan de in de AVG gestelde eisen |
| De Privacy Baseline | 03.05 | Privacy by Design en GEB als onderdeel van een tot standaard verheven risicomanagement aanpak |
| De Privacy Baseline | 2020 (CIP) 03.04 | PIA-toetsmodel conform AVG-eisen |
| Focus Group on Cloud Computing Technical Report Part 5 - Cloud security | 2012 8.5 | Beveiligingsmaatregelen ter bescherming van data en privacy |
| Focus Group on Cloud Computing Technical Report Part 5 - Cloud security | 8.5 | Privacy en bescherming persoonsgegevens clouddiensten |
| Grip op Secure Software Development | SSD-12/02.01 | Automatisch ongeldig maken sessies |
| Grip op Secure Software Development | SSD-14/01.02 | Genereren nieuwe sessie met gebruikersauthenticatie |
| Grip op Secure Software Development | SSD-14/01.02 | Niet hergebruiken token-sessies |
| Grip op Secure Software Development | SSD-19 en SSD-20 | Input-/output-validatie |
| Grip op Secure Software Development | SSD-19/01.01 | Zorgen voor gestandaardiseerde vorm |
| Grip op Secure Software Development | SSD-2 | Gegevensopslag |
| Grip op Secure Software Development | SSD-2/01.01 | Specificeren gegevensclassificatie |
| Grip op Secure Software Development | SSD-2/01.02 | Per default velig opslaan gegeven |
| Grip op Secure Software Development | SSD-2/03.01 | Voorkomen opslag wachtwoorden in leesbare vorm |
| Grip op Secure Software Development | SSD-2/03.02 | Versleuteld opslaan van gegevens met cryptografiestandaarden |
| Grip op Secure Software Development | SSD-2/04.01 | Opslag gegevens als nodig voor doel en korste tijd |
| Grip op Secure Software Development | SSD-20/01.01 | Uitvoer naar veilig formaat converteren |
| Grip op Secure Software Development | SSD-30 | Logging |
| Grip op Secure Software Development | SSD-30/01.01 | Centraal opslaan te registreren acties |
| Grip op Secure Software Development | SSD-30/01.03 | Actief zijn van detectiemechanismen |
| Grip op Secure Software Development | SSD-30/03.01 | Bepalen acties bij uitval loggingsmechanismen |
| Grip op Secure Software Development | SSD-30/03.02 | Vaststellen bewaartermijn voor logging |
| Grip op Secure Software Development | SSD-31/01.02 | Weigeren foute, ongeldige of verboden invoer |
| Grip op Secure Software Development | SSD-4 | Communicatie |
| Grip op Secure Software Development | SSD-4/01.02 | Versleutelen communicatie tussen applicatie- en webserver |
| Grip op Secure Software Development | SSD-4/02.01 | Specificeren classificatie van uit te wisselen gegevens |
| Grip op Secure Software Development | SSD-4/03.01, SSD-4/03.02 en SSD-4/03.03 | Zorgen voor certificaatverificatie |
| Grip op Secure Software Development | SSD-4/03.04 | Configureren versleutelde communicatie softwarepakket |
| Grip op Secure Software Development | SSD-5 | Authenticatie |
| Grip op Secure Software Development | SSD-5/02.02 | Waarborgen dat geauthentiseerde persoon de geïdentificeerde persoon is |
| Grip op Secure Software Development | SSD-5/02.04 | Robuust zijn tegen wachtwoorden raden |
| Grip op Secure Software Development | SSD-7 | Autorisatiebeheer |
| Grip op Secure Software Development | SSD-7/01.01 | Ordenen rechten voor toegang tot gegevens en functies |
| Grip op Secure Software Development | SSD-7/03.01 | Identificeren verenigbare taken en autorisaties |
| Grip op Secure Software Development | SSD-7/03.04 | Proces voor definiëren en onderhouden van autorisaties |
| Grip op Secure Software Development | SSD-8 | Toegangsautorisatie |
| Grip op Secure Software Development | SSD-8/01.03 | Bieden mechnismen om informatie in te zien en verwerken voor uitoefening taak |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | B.06.05 | Beschrijven van de samenhang tussen IT-functionaliteiten bij clouddienst-aanbieding, -gebruik en -onderhoud |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | B.06.07 | Vastleggen samenhang van processen in processtructuur |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.07.05 | De verzamelde loginformatie wordt in samenhang geanalyseerd |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.07.08 | Eisen aan de periodieke rapportage over de analyse van de logbestanden |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.07.09 | Analyse en evaluatie van beheer-, log- en penetratietest rapportages op structurele risico’s |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.07.09 | Eisen aan de inhoud en verspreiding van de loganalyse |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.09 | Patchmanagement |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.09 | Patchmanagement serverplatform |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.09 | Patchmanagement softwarepakketten |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.09.01 | Patchmanagement en noodzakelijke patchmanagement procedures zijn beschreven, vastgesteld en bekendgemaakt |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.09.01 | Beschrijven, vaststellen en bekendmaken patchmanagementproces en -procedures |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.09.01 | Patchmanagement is beschreven, goedgekeurd en toegekend |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.09.03 | De rollen en verantwoordelijkheden voor Patchmanagement zijn vastgesteld |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.09.04 | Registratie van de aspecten van een patch |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.09.04 | Het al dan niet uitvoeren van de verworven patches voor programmacode is geregistreerd |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | C.09.05 | Een patchrichtlijn is opgesteld, vastgesteld en geaccordeerd. |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | U/WA.09 | De voorschriften en de methoden en technieken ten aanzien van applicatie architectuur worden toegepast |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | U/WA.09.01 | Het architectuur document wordt actief onderhouden |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | U/WA.09.01 | Applicatie-architectuur |
| ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen | U/WA.09.01 | De architect heeft een actueel document van het te ontwikkelen informatie systeem opgesteld |
| ISD 2020 | SSD-30/01.03 en | Centrale opslag van geregistreerde acties in een SIEM-systeem |
| ISD 2020 | SSD-30/01.03 en | Detectiemechanismen voor aanvaldetectie in de middlewarearchitectuur |
| ISD 2020 | SSD-30/03.03 en | Vastgestelde bewaartermijnen voor logging in configuratie-instellingen |
| ISO 27001 2022 | 5.2 | Beveiligingsorganisatie |
| ISO 27001 2022 | 5.3 | De rollen binnen de beveiligingsfunctie zijn benoemd |
| ISO 27001 2022 | 7.2 | Toegang tot beveiligingszones beperkt tot geautoriseerde personen |
| ISO 27001:2022 | 5.35 | Rapportage en bewaring van beoordelingsresultaten voor managementdoeleinden |
| ISO 27001:2022 | 5.36, 8.8 | Periodieke toetsing van technische beveiligingsnormen en kwetsbaarheden |
| ISO 27002 2017 | 11.1.2 | Toegang van personeel van externe partijen tot beveiligde gebieden en faciliteiten |
| ISO 27002 2017 | 11.2.7 | Niet meer benodigde opslagmedia en informatie van servers worden vernietigd |
| ISO 27002 2017 | 11.2.7 | Gecontroleerd wordt of te verwijderen servers nog opslagmedia en/of informatie is bevat |
| ISO 27002 2017 | 12.1.1 | Gedocumenteerde procedures voor bedieningsactiviteiten |
| ISO 27002 2017 | 12.2.1h | Gebruikers zijn voorgelicht over risico’s van surfgedrag en klikken op onbekende links |
| ISO 27002 2017 | 12.4.1 | Monitoren gebruikers- en beheerdersactiviteiten |
| ISO 27002 2017 | 12.6.2 | De organisatie past een strikt beleid toe ten aanzien van het installeren en gebruiken van software. |
| ISO 27002 2017 | 12.6.2 | De rechten van beheerders worden verleend op basis van rollen |
| ISO 27002 2017 | 12.6.2 | De rechten verleend op basis van de rollen van het typen gebruikers en ontwikkelaars |
| ISO 27002 2017 | 14.1.1a, b, d, e en f | Overwogen informatiebeveiligingseisen |
| ISO 27002 2017 | 14.2.1 | Technieken voor beveiligd programmeren |
| ISO 27002 2017 | 14.2.1a t/m g | Overwegingen bij het beleid voor beveiligd ontwikkelen van software |
| ISO 27002 2017 | 14.2.2b | Elementen van de procedures voor wijzigingsbeheer |
| ISO 27002 2017 | 14.2.3a en d | Testen bij verandering van besturingssystemen |
| ISO 27002 2017 | 14.2.4 | Beperking wijziging softwarepakket |
| ISO 27002 2017 | 14.2.9 | Acceptatietesten worden uitgevoerd in een representatieve acceptatietest omgeving |
| ISO 27002 2017 | 14.2.9 | Vastgestelde acceptatiecriteria en passend uitgevoerde tests voorafgaand aan acceptatieproductie overgang |
| ISO 27002 2017 | 14.3.1 | Tenzij geanonimiseerd worden productiegegevens niet gebruikt als testgegevens |
| ISO 27002 2017 | 18.2.3 | Periodiek uitvoeren van penetratietests of kwetsbaarheidbeoordelingen |
| ISO 27002 2017 | 8.2.1 | Verplichtingen uit wet en regelgeving en organisatorische en technische requirements |
| ISO 27002 2017 | 9.2.6 | Toegangsrechten corresponderen met wijzigingen in het dienstverband |
| ISO 27002 2017 | 9.2.6 | Toegangsrechten intrekken voordat dienstverband eindigt of wijzigt, afhankelijk van risicofactoren |
| ISO 27002 2017 | 9.2.6 | Toegangsrechten intrekken bij beëindigen van dienstverband |
| ISO 27002 2022 | 5.14 | Gebruik van labelsystemen voor bescherming van gevoelige en essentiële informatie |
| ISO 27002 2022 | 5.14 | Beleid en procedures en overeenkomsten informatietransport |
| ISO 27002 2022 | 5.14 | Eisen voor betrouwbaarheid en beschikbaarheid van de overdrachtdienst in beleid, procedures en overeenkomsten |
| ISO 27002 2022 | 5.14 | Beheersmaatregelen voor veilige overdracht en bescherming van informatie |
| ISO 27002 2022 | 5.14 | Aanvaardbaar gebruik van informatieoverdracht vastgelegd in beleid, procedures en overeenkomsten |
| ISO 27002 2022 | 5.14 | Beheersmaatregelen voor traceerbaarheid en onweerlegbaarheid bij informatieoverdracht |
| ISO 27002 2022 | 5.14 | Beleid en contactpersonen voor veilige informatieoverdracht |
| ISO 27002 2022 | 5.14 | Verantwoordelijkheden en aansprakelijkheden bij informatiebeveiligingsincidenten |
| ISO 27002 2022 | 5.15 | Het autorisatiebeheer is procesmatig ingericht |
| ISO 27002 2022 | 5.15 en principes BIO2 deel 1 paragraaf 11 | Toepassen van need-to-know en need-to-use principes |
| ISO 27002 2022 | 5.16 | Een sluitende formele registratie- en afmeldprocedure |
| ISO 27002 2022 | 5.16 | Groepsaccounts niet toegestaan tenzij |
| ISO 27002 2022 | 5.16 | Registratieprocedure |
| ISO 27002 2022 | 5.18 | Monitoring van aanmaken en aanpassen van accounts met bijzondere rechten en afhandeling als incident bij ongeautoriseerde wijzigingen |
| ISO 27002 2022 | 5.18 | Beoordeling toegangsrechten |
| ISO 27002 2022 | 5.18 | Toegangsrechten van gebruikers worden na wijzigingen of functieveranderingen beoordeeld |
| ISO 27002 2022 | 5.18 | Autorisaties voor speciale toegangsrechten worden frequenter beoordeeld |
| ISO 27002 2022 | 5.3 | Functiescheiding |
| ISO 27002 2022 | 5.36 | Frequentie en eisen voor rapportages |
| ISO 27002 2022 | 5.9 | Periodieke beoordeling en bijwerking van inventarislijsten als basis voor risicobeheer en toegangsbeveiliging |
| ISO 27002 2022 | 5.9 | Voor de levenscyclus van een bedrijfsmiddel verantwoordelijken zijn als eigenaar benoemd |
| ISO 27002 2022 | 5.9 | Classificatie van bedrijfsmiddelen in lijn met de beveiligingseisen van gerelateerde informatie |
| ISO 27002 2022 | 5.9 | Aanwijzing van eigenaren voor beheer en beveiliging van informatie en bedrijfsmiddelen |
| ISO 27002 2022 | 5.9 | Inventarislijst en eigenaarschap |
| ISO 27002 2022 | 5.9 | Verantwoordelijkheden van de eigenaar voor beheer, classificatie, bescherming en risicobeheersing van bedrijfsmiddelen gedurende de levenscyclus |
| ISO 27002 2022 | 5.9 | Inventarisatie van alle bedrijfsmiddelen inclusief OT, cloud en SaaS in actuele en consistente inventarislijsten |
| ISO 27002 2022 | 6.6 | Vertrouwelijkheids- of geheimhoudingsovereenkomst |
| ISO 27002 2022 | 7.2 | Fysieke toegangsbeveiliging |
| ISO 27002 2022 | 7.2 | Zichtbare identificatieplicht en meldingsplicht bij onbegeleide of ongeïdentificeerde personen |
| ISO 27002 2022 | 7.2 | De buitendeuren van een laad- en loslocatie moeten beveiligd te zijn als de binnendeuren open zijn |
| ISO 27002 2022 | 7.2 | Beperkte en gemonitorde toegang voor leverancierspersoneel tot beveiligde gebieden op basis van autorisatie |
| ISO 27002 2022 | 7.3 | Adresboeken en telefoonboeken bevattende vertrouwelijke locaties zijn niet vrij toegankelijk |
| ISO 27002 2022 | 7.3 | Vertrouwelijke informatie en activiteiten zijn van buitenaf zichtbaar of hoorbaar |
| ISO 27002 2022 | 8.15 | Logging en monitoring |
| ISO 27002 2022 | 8.2 | Identificatie, beperking en scheiding van speciale toegangsrechten op basis van need-to-know en need-to-use |
| ISO 27002 2022 | 8.2 | Kwartaalgewijze beoordeling van toegewezen speciale bevoegdheden in opzet, bestaan en werking |
| ISO 27002 2022 | 8.2 | Speciale toegangsrechtenbeheer |
| ISO 27002 2022 | 8.2 | Beheer van speciale toegangsrechten via een autorisatieprocedure conform toegangsbeveiligingsbeleid |
| ISO 27002 2022 | 8.20.f | Netwerken worden geregistreerd en gemonitord conform vastgelegde procedures en richtlijnen |
| ISO 27002 2022 | 8.20.g | Beheeractiviteiten worden nauwgezet gecoördineerd |
| ISO 27002 2022 | 8.24 | Procedures voor levenscyclusbeheer van cryptografische sleutels |
| ISO 27002 2022 | 8.27 | Veilige systeemarchitectuur en technische uitgangspunten |
| ISO 27002 2022 | 8.3 | Autorisatie |
| ISO 27002 2022 | 8.3 | Maatregelen voor fysieke en logische isolatie van informatie met specifiek belang |
| ISO 27002 2022 | 8.32 | Wijzigingsbeheerprocedure voor applicaties en systemen |
| ISO 27002 2022 | 8.33 | Beschermen testgegevens |
| ISO 27002:2022 | 5.1 | Beleidsregels huisvesting informatievoorzieningen |
| ISO 27002:2022 | 5.1 | Huisvesting informatievoorzieningenbeleid |
| ISO 27002:2022 | 5.1 | Er is een huisvesting informatievoorzieningenbeleid |
| ISO 27002:2022 | 5.14 | Elektronische berichten |
| ISO 27002:2022 | 5.14 | Beleid en beveiligingsregels voor elektronisch transport van informatie |
| ISO 27002:2022 | 5.14 | Richtlijnen voor het bewaren en verwijderen van bedrijfsregistraties en berichten |
| ISO 27002:2022 | 5.16 | Autorisaties worden gecontroleerd |
| ISO 27002:2022 | 5.17 | Wachtwoordenbeheer |
| ISO 27002:2022 | 5.18 | Toegangsverleningsprocedure |
| ISO 27002:2022 | 5.18 | Uitsluitend toegang na autorisatie |
| ISO 27002:2022 | 5.19 | Beveiligingsmaatregelen bij beëindiging of overdracht van leveranciersrelaties |
| ISO 27002:2022 | 5.19 | Testen werking herstelprocedures voor disaster recovery |
| ISO 27002:2022 | 5.19 | Informatiebeveiligingsbeleid voor leveranciersrelaties |
| ISO 27002:2022 | 5.19 | Vaststelling van beveiligingseisen bij verwerving en inkoop |
| ISO 27002:2022 | 5.19 | Adequate risicobeheersing |
| ISO 27002:2022 | 5.19 | Beoordeling en beheersing van leveranciersrisico’s |
| ISO 27002:2022 | 5.19, 5.30 | Bedrijfscontinuïteit |
| ISO 27002:2022 | 5.2 | Beheersorganisatie netwerkbeveiliging |
| ISO 27002:2022 | 5.2 | Beheerderstaken vereisen bevoegdheden met risico’s voor de doelorganisatie |
| ISO 27002:2022 | 5.2 | Verantwoordelijkheden zijn toegewezen en vastgelegd |
| ISO 27002:2022 | 5.22 | Evaluatie leveranciersdienstverlening |
| ISO 27002:2022 | 5.22, 5.30 | Oplossen en beheren problemen |
| ISO 27002:2022 | 5.22.a t/m c | Verifiëren mate van naleving leveranciersovereenkomsten |
| ISO 27002:2022 | 5.22.e | Uitvoeren leveranciersaudits |
| ISO 27002:2022 | 5.22.f t/m i | Geven inzicht in verslaglegging leveranciersaudits |
| ISO 27002:2022 | 5.22d | Beoordelen rapporten over dienstverlening |
| ISO 27002:2022 | 5.30 | Herstellen data softwarepakket en bedrijfsmatige bewerking gegevens |
| ISO 27002:2022 | 5.31 | Wettelijke statutaire, regelgevende, contractuele eisen |
| ISO 27002:2022 | 5.31 | Vaststellen toepasselijkheid wetgeving |
| ISO 27002:2022 | 5.36 | Eisen aan het vervaardigen en interpreteren van technische naleving |
| ISO 27002:2022 | 5.36 | Eisen aan het beoordelen van technische naleving |
| ISO 27002:2022 | 5.36, 8.8 | Uitvoering van tests worden gepland en gedocumenteerd en zijn herhaalbaar |
| ISO 27002:2022 | 5.37 | Bedieningsprocedure |
| ISO 27002:2022 | 5.37 | Formele goedkeuring vereist voor wijzigingen aan bedieningsprocedures voor systeemactiviteiten |
| ISO 27002:2022 | 5.37.a t/m l | In de bedieningsprocedures opgenomen bedieningsvoorschriften |
| ISO 27002:2022 | 5.9 | Bedrijfsmiddelen-inventaris |
| ISO 27002:2022 | 5.9 | Eigenaarschap en classificatie is toegekend aan elk van de geïdentificeerde bedrijfsmiddelen |
| ISO 27002:2022 | 5.9 | Het eigenaarschap van bedrijfsmiddelen wordt toegekend bij ontstaan en/of verwerving van het bedrijfsmiddel |
| ISO 27002:2022 | 5.9 | De eigenaar is verantwoordelijk voor het juiste beheer gedurende de hele bedrijfsmiddel-levenscyclus |
| ISO 27002:2022 | 5.9 | Actualiteit, consistentie en overeenstemming van de inventarislijst van bedrijfsmiddelen |
| ISO 27002:2022 | 5.9 | Eigenaarschap Huisvesting IV |
| ISO 27002:2022 | 5.9 | Doeltreffende bescherming is zekergesteld m.b.v. inventarisoverzichten |
| ISO 27002:2022 | 5.9, 5,10, 5,12 | Identificatie en documentatie van bedrijfsmiddelen voor de Huisvesting-IV |
| ISO 27002:2022 | 5.9, 5,10, 5,12 | Inventariseren, classificeren, verwijderen en vernietigen bedrijfsmiddellen |
| ISO 27002:2022 | 6.3 | Training en bewustwording |
| ISO 27002:2022 | 6.3, 8.7.f, g | Voor de bescherming tegen malware zijn procedures beschreven en verantwoordelijkheden benoemd |
| ISO 27002:2022 | 6.3, 8.7.m | Het downloaden van bestanden is beheerst en beperkt |
| ISO 27002:2022 | 6.6.a t/m j | Elementen ter overweging bij vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| ISO 27002:2022 | 7.1 | Fysieke zonering |
| ISO 27002:2022 | 7.1 | Voorschriften voor het inrichten van beveiligde zones |
| ISO 27002:2022 | 7.1 | Locatie en sterkte beveiligingszone afhankelijk van risico en eisen bij bedrijfsmiddelen |
| ISO 27002:2022 | 7.1 | Informatieverwerkende faciliteiten zijn gescheiden van extern beheerde faciliteiten |
| ISO 27002:2022 | 7.1, 7.2 | Beleidsregels verwijzen naar specifieke huisvesting onderwerpen |
| ISO 27002:2022 | 7.10 | Het toestemmingstraject voor in- en afvoeren van bedrijfsmiddelen is in het beveiligingsbeleid geborgd |
| ISO 27002:2022 | 7.10 | Identificatie van externe personen die bedrijfsmiddelen van de locatie mogen (laten) nemen |
| ISO 27002:2022 | 7.10 | Tijdsgrenzen aan de afwezigheid ern terugbrengen van bedrijfsmiddelen worden geverifieerd |
| ISO 27002:2022 | 7.10 | Meenemen en terugkeer van bedrijfsmiddelen worden geregistreerd |
| ISO 27002:2022 | 7.10 | Documentatie van ieders identiteit, rol en connectie die bedrijfsmiddelen hanteert of gebruikt |
| ISO 27002:2022 | 7.10 | Opslagmedia beheren |
| ISO 27002:2022 | 7.11 | De nutsvoorzieningen |
| ISO 27002:2022 | 7.11 | Nutsvoorzieningen |
| ISO 27002:2022 | 7.11 | Noodverlichting en (nood)communicatiemiddelen moeten aanwezig zijn |
| ISO 27002:2022 | 7.11 | Aanwezigheid van noodschakelaars en -knoppen bij nooduitgangen of ruimten waar apparatuur aanwezig is |
| ISO 27002:2022 | 7.11 | Redundantie voor de netwerkverbinding via meerdere routes vanaf meer dan één aanbieder |
| ISO 27002:2022 | 7.12 | Bekabeling |
| ISO 27002:2022 | 7.12 | Kabels worden bij voorkeur ondergronds aangelegd |
| ISO 27002:2022 | 7.12 | Voedings- en telecommunicatiekabels zijn beveiligd en niet toegankelijk door onbevoegden |
| ISO 27002:2022 | 7.13 | Apparatuur-onderhoud |
| ISO 27002:2022 | 7.13 | Server-onderhoud |
| ISO 27002:2022 | 7.13 | Apparatuur wordt op aanbevolen intervallen voor servicebeurten en voorschriften onderhouden |
| ISO 27002:2022 | 7.13.a t/m j | Het onderhoud van servers wordt uitgevoerd op basis van richtlijnen |
| ISO 27002:2022 | 7.13.c,f | Reparaties en onderhoudsbeurten aan apparatuur worden uitgevoerd door bevoegd onderhoudspersoneel |
| ISO 27002:2022 | 7.13.d | Alle vermeende en daadwerkelijke fouten en elk preventieve en correctieve onderhoud wordt geregistreerd |
| ISO 27002:2022 | 7.13.e,g | Reparatie en onderhoud van apparatuur vindt plaats op locatie en door bevoegd personeel |
| ISO 27002:2022 | 7.13.i | Er wordt voldaan aan alle onderhoudseisen die door verzekeringspolissen zijn opgelegd |
| ISO 27002:2022 | 7.13.j | Voorafgaand aan in bedrijfstelling wordt apparatuur op functioneren en knoeien geïnspecteerd |
| ISO 27002:2022 | 7.14 | Apparatuur-verwijdering |
| ISO 27002:2022 | 7.14 | Voorgaand aan verwijdering of hergebruik wordt gecontroleerd of apparatuur opslag media bevat |
| ISO 27002:2022 | 7.14 | Veilige vernietiging en onherstelbaar wissen van opslagmedia met vertrouwelijke informatie |
| ISO 27002:2022 | 7.14 | Verwijdering van fysieke beveiligingsmaatregelen bij beëindiging van gebruikslocaties |
| ISO 27002:2022 | 7.14 | Verwijderen of hergebruiken serverapparatuur |
| ISO 27002:2022 | 7.2 | Identificatie en toegangscontrole in beveiligde zones |
| ISO 27002:2022 | 7.2 | Inkomende en uitgaande zendingen moeten, voor zover mogelijk, fysiek te worden gescheiden |
| ISO 27002:2022 | 7.2 | Laad- en loslocatie |
| ISO 27002:2022 | 7.2 | Controle en registratie van fysieke toegang tot beveiligde zones |
| ISO 27002:2022 | 7.2 | Inkomende materialen worden gecontroleerd op mogelijke aanwijzingen voor vervalsing |
| ISO 27002:2022 | 7.2 | Toegang van buitenaf tot laad- en loslocaties wordt beperkt tot geïdentificeerd en bevoegd personeel |
| ISO 27002:2022 | 7.2 | Eisen aan de laad- en loslocatie |
| ISO 27002:2022 | 7.2 | Inkomende materialen worden bij binnenkomst op de locatie geregistreerd |
| ISO 27002:2022 | 7.2, 7.3 | Sleutelbeheer is ingericht op basis van een sleutelplan |
| ISO 27002:2022 | 7.3 | Beveiligingsfaciliteiten |
| ISO 27002:2022 | 7.3 | Belangrijke faciliteiten moeten zo te worden gesitueerd dat ze niet voor iedereen toegankelijk zijn |
| ISO 27002:2022 | 7.5 | Bij huisvesting van bedrijfsmiddelen wordt rekening gehouden met de gevolgen van rampen |
| ISO 27002:2022 | 7.5 | In- en externe bedreigingen |
| ISO 27002:2022 | 7.5 | De organisatie heeft geïnventariseerd welke data en apparatuur bedrijf kritisch zijn |
| ISO 27002:2022 | 7.5 | Tegen externe bedreigingen zijn beveiligingsmaatregelen genomen o.b.v. een expliciete risicoafweging |
| ISO 27002:2022 | 7.6 | Leegstaande beveiligde ruimten worden fysiek afgesloten en periodiek geïnspecteerd |
| ISO 27002:2022 | 7.6 | Foto-, video-, audio- of andere opnameapparatuur wordt niet toegelaten |
| ISO 27002:2022 | 7.6 | Richtlijn gebieden en ruimten |
| ISO 27002:2022 | 7.6 | Personeel is op grond van ‘need-to-know’ bekend met het beveiligd gebied |
| ISO 27002:2022 | 7.6 | In beveiligde gebieden wordt slechts onder toezicht gewerkt |
| ISO 27002:2022 | 7.8 | Apparatuur wordt beschermd tegen externe bedreigingen |
| ISO 27002:2022 | 7.8 | Apparatuur-positionering |
| ISO 27002:2022 | 7.8 | Onbevoegden hebben geen toegang tot apparatuur, informatie verwerkende- en opslagfaciliteiten |
| ISO 27002:2022 | 8.05 | Beveiligde inlogprocedure |
| ISO 27002:2022 | 8.15 | Eisen aan het beschermen van de logbestanden |
| ISO 27002:2022 | 8.15 | Speciale gebruikers geven rekenschap over de door hun uitgevoerde beheer activiteiten |
| ISO 27002:2022 | 8.15 | Logging |
| ISO 27002:2022 | 8.15 | Logbestanden beheerders |
| ISO 27002:2022 | 8.16 | Logging en monitoring communicatievoorzieningen |
| ISO 27002:2022 | 8.16 | Monitoring |
| ISO 27002:2022 | 8.17 | De interne en externe eisen voor weergave, synchronisatie en nauwkeurigheid van tijd zijn gedocumenteerd. |
| ISO 27002:2022 | 8.17 | Kloksynchronisatie |
| ISO 27002:2022 | 8.17 | De systemen zijn met een standaard referentietijd voor gebruik geconfigureerd |
| ISO 27002:2022 | 8.19 | Beperking software-installatie serverplatform |
| ISO 27002:2022 | 8.19.a | Op de werkomgeving kan niets zelf worden geïnstalleerd, anders dan via de ICT-leverancier wordt aangeboden of toegestaan |
| ISO 27002:2022 | 8.19.c, d, f | Het principe van least-privilege wordt toegepast |
| ISO 27002:2022 | 8.20 | Netwerkbeveiligingsbeheer |
| ISO 27002:2022 | 8.20 | Netwerkbeheeractiviteiten |
| ISO 27002:2022 | 8.20 | Netwerkbeveiligingsbeheer omvat activiteiten, methoden, procedures en gereedschappen voor administratie |
| ISO 27002:2022 | 8.20.b | Voor het beheer van netwerkapparatuur zijn verantwoordelijkheden en procedures vastgesteld |
| ISO 27002:2022 | 8.20.d | De functies van operationele netwerkbeheer en overige computerbewerkingen zijn gescheiden |
| ISO 27002:2022 | 8.20.e | Ter bescherming tot netwerkdiensten en/of -toepassingen zijn voor procedures opgesteld |
| ISO 27002:2022 | 8.20.i,j | Systemen worden voorafgaand aan de toegang tot het netwerk geauthentiseerd |
| ISO 27002:2022 | 8.20.k,l | Hardening van netwerkapparatuur en scheiding van netwerkbeheerkanalen |
| ISO 27002:2022 | 8.20.m | Tijdelijke isolatie van kritieke subnetwerken bij beveiligingsincidenten |
| ISO 27002:2022 | 8.20.n | Kwetsbare netwerkprotocollen zijn uitgeschakeld. |
| ISO 27002:2022 | 8.21 | Beveiliging netwerkdiensten |
| ISO 27002:2022 | 8.21 | Binnenkomend en uitgaand dataverkeer wordt bewaakt en geanalyseerd op kwaadaardige elementen |
| ISO 27002:2022 | 8.22 | Zonering en filtering |
| ISO 27002:2022 | 8.22 | Perimeters van netwerkzones worden nauwkeurig gedefinieerd en de gecontroleerde doorgang wordt beheerst |
| ISO 27002:2022 | 8.22 | Draadloze toegang tot gevoelige domeinen wordt behandeld als externe verbinding |
| ISO 27002:2022 | 8.24 | Cryptografische services |
| ISO 27002:2022 | 8.24 | Eisen aan dienstverleningsovereenkomsten voor cryptografische diensten en certificerende instanties |
| ISO 27002:2022 | 8.24 | Cryptografie Softwarepakketten |
| ISO 27002:2022 | 8.25 | De gangbare principes rondom Security by Design als uitgangspunt voor softwareontwikkeling |
| ISO 27002:2022 | 8.25 | Gangbare principes rondom security by design zijn uitgangspunt voor het onderhouden van server |
| ISO 27002:2022 | 8.26 | Aanvullende beveiligingseisen voor transactionele diensten |
| ISO 27002:2022 | 8.26 | Ongewijzigd gebruiken gewijzigde softwarepakketten |
| ISO 27002:2022 | 8.26 | Selectie van leveranciers op aantoonbare naleving van beveiligingseisen |
| ISO 27002:2022 | 8.26 | Verwervingsbeleid softwarepakketten |
| ISO 27002:2022 | 8.26 | Verwerven softwarepakket met functioneel ontwerp |
| ISO 27002:2022 | 8.26 | Leveranciers zijn gecertificeerd |
| ISO 27002:2022 | 8.26 | Uitvoeren expliciete risicoafweging bij nieuwe software |
| ISO 27002:2022 | 8.26, 8.29 | Testen en valideren van wijzigingen |
| ISO 27002:2022 | 8.27 | Inrichtingsprincipes voor serverplatform |
| ISO 27002:2022 | 8.27 | Gangbare principes rondom Security by design zijn uitgangspunt voor het inrichten van servers |
| ISO 27002:2022 | 8.32 | Versiebeheer softwarepakketten |
| ISO 27002:2022 | 8.32 | Rapportage en opvolging van bevindingen uit wijzigingsbeheercontroles |
| ISO 27002:2022 | 8.32.a t/m c | Controle op risicoanalyse en impactbeoordeling bij wijzigingen door leveranciers |
| ISO 27002:2022 | 8.32.d | Validatie en testen van wijzigingen vóór productieplaatsing |
| ISO 27002:2022 | 8.32.e t/m i | Controle op implementatie en beheer van wijzigingen door leveranciers |
| ISO 27002:2022 | 8.5 | Sterke authenticatie met certificaten, chipkaarten, tokens of biometrie bij hoge verificatievereisten |
| ISO 27002:2022 | 8.5 | Multifactorauthenticatie voor toegang tot essentiële informatiesystemen |
| ISO 27002:2022 | 8.5 | Inlogprocedure |
| ISO 27002:2022 | 8.5 | Afstemming van authenticatiemechanismen en inlogprocedures op classificatie en minimalisatie van onbevoegde toegang |
| ISO 27002:2022 | 8.7 | Malwareprotectie serverplatform |
| ISO 27002:2022 | 8.7, 8.19 | In beleid vastgelegd formeel verbod op het ongeautoriseerde gebruik van software |
| ISO 27002:2022 | 8.7.e | Servers zijn voorzien van up-to-date anti-malware |
| ISO 27002:2022 | 8.7.j | De anti-malware software wordt regelmatig geüpdate |
| ISO 27002:2022 | 8.7.l | De malware scan wordt op alle omgevingen uitgevoerd |
| ISO 27002:2022 | 8.7.n, o | Servers en hiervoor gebruikte media worden routinematig gescand op malware |
| ISO 27002:2022 | 8.8 | Patchmanagement softwarepakketten |
| ISO 27002:2022 | 8.8 | Eisen aan het installeren van patches en tussentijdse mitigerende maatregelen |
| ISO 27002:2022 | 8.8 | Technische kwetsbaarhedenbeheer serverplatform |
| ISO 27002:2022 | 8.8, 8.32 | Het kwetsbaarheden beheerproces wordt regelmatig gemonitord en geëvalueerd |
| ISO 27002:2022 | 8.8.a | Installeren patches voor kwetsbaarheden |
| ISO 27002:2022 | 8.8.b, c, e | Eisen aan het Patchmanagement |
| ISO 27002:2022 | 8.8.c, d | Technisch kwetsbaarheden beheer omvat minimaal risicoanalyse |
| ISO 27002:2022 | 8.8.d | De risico’s verbonden aan het installeren van de patch worden beoordeeld |
| ISO 27002:2022 | 8.8.d, i | Afweging van patchrisico’s en alternatieve beveiligingsmaatregelen |
| ISO 27002:2022 | 8.8.e | Auditbare registratie en rapportage van patchactiviteiten0 |
| ISO 27002:2022 | 8.8.l | Wanneer een niet patch beschikbaar is, worden andere beheersmaatregelen overwogen |
| ISO 27002:2022 8.16 en SoGP 2018 | SI2.1 | Controle op de afhandeling van beveiligingsgebeurtenissen |
| ISO 27005 2018 | 12.2 | Registratie cloudgebruik en bijhouden risicoanalyses |
| ISO 27005 2018 | 12.2 | Periodieke verificatie van risicocriteria in lijn met wetgeving en organisatiedoelstellingen |
| ISO 27033-2 2012 | 6.1 | Stappen ter voorbereiding van veilige netwerkontwerpen |
| ISO 27033-2 2012 | 7.2.4 | Leidende ontwerpprincipes worden gehanteerd of anders geformuleerd: “inbraak betekent geen doorbraak” |
| ISO 27033-2 2012 | 8.7 | De naleving van netwerkbeveiligingsbeleid wordt periodiek getoetst en geëvalueerd |
| ISO 27033-2 2012 | 8.7 | Periodieke audit en evaluatie van netwerkbeveiligingsbeleid |
| ISO 27033-4 2014 | 6 | Gateways en firewalls |
| ISO 27033-5 2013 | 6.1 | Virtual Private Network (VPN) |
| ISO 27033-5 2013 | 7 | De end-to-end |
| ISO 27040 2016 | 6.4.5 | Hardening middlewarecomponenten |
| ISO 27040 2016 | 7.3.1 | Proactief verhelpen van kwetsbaarheden in opslagsystemen |
| ISO 27040 2016 | 7.7.4 of 7.7.5 | Middlewarearchitectuur en certificering |
| ISO 7498-4 1991 | 4.5.1 | Configuratie-, performance-, fault- en beveiligingsbeheer als beheersingsprocessen in de netwerkbeheerstructuur |
| ITU-T Part 5 2012 | 8.5 | Data en privacy |
| NCSC 2015 | 07.11 | Registreren en rapporteren evaluaties van technische kwetsbaarheden |
| NCSC 2015 | B.05 | Het eisenpakket bij verwerving van Huisvestingsvoorzieningen bevat de gestelde eisen en specificaties |
| NCSC 2015 | B.05
C.10 | Contractmanagement |
| NCSC 2015 | B.06.07 | Inrichten compliance-proces voor governance van clouddienstverlening |
| NCSC 2015 | B.06.07 | De samenhang van processen is in een processtructuur vastgelegd. |
| NCSC 2015 | C.01.08 | De taken, verantwoordelijkheden en bevoegdheden van de functionarissen zijn expliciet belegd |
| NCSC 2015 | C.07 | Monitoring |
| NCSC 2015 | C.07.03 | Eisen aan de periodieke beoordeling van de logbestanden |
| NCSC 2015 | C.10 | Continuïteitsbeheer |
| NCSC 2015 | C.10.01 | Het BCMS is beschreven, goedgekeurd, toegekend en behandeld door het management |
| NCSC 2015 | C10.02 | De herstelprocessen en -procedures voor de Huisvesting-IV-dienst zijn gedocumenteerd |
| NEN-EN-ISO/IEC 27002:2017 (Praktijkrichtlijn met beheersmaatregelen op het gebied van informatiebeveiliging) | 12.2.1g.1 en 2 | Uitvoeren malware-bescherming op verschillende omgevingen en bij toegang tot netwerk van organisatie |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.4.2 | Toegang tot middlewarefunctionaliteiten via reguliere paden en geauthenticeerde hulpmiddelen |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.4.2 | Beperkingen op directe toegang tot middlewarefunctionaliteiten door gebruikers |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.4.4 | Detectiemechanismen voor aanvaldetectie in de middlewarearchitectuur |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.4.4 | Vastgestelde bewaartermijnen voor logging in configuratie-instellingen |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.4.4 | Centrale opslag van geregistreerde acties in een SIEM-systeem |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.7.1 | Wissen CSC-data bij beëindigen van contractrelatie |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.7.1 | Archiveren gegevens met behulp van WORM-technologie |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.7.1 | Wissen of vernietigen CSC-data voorafgaand aan voor onderhoudsdoeleinden wijzigen van opslagmedia |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.8.2, 7.5 | Vertrouwelijkheid en integriteit data |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.8.2.3 | Encryptie en datamaskering voor veilige dataopslag volgens Forum Standaardisatie |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.8.2.3 | Centraal sleutelbeheersysteem voor generatie en archivering van cryptosleutels |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 7.2.3 | Beveiliging en redundantie van opslagfaciliteiten voor beschikbaarheid van data |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 7.3.1 | Technische betrouwbaarheid van opslagsystemen en de onafhankelijkheid van beveiligingsfuncties |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 7.3.3 | Toegangsbeheersing voor back-upmedia |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 7.3.3 | Beheer van kopieën van bedrijfskritische informatie voor betrouwbaarheid en performance |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 7.3.3 | Bescherming van back-upinformatie tegen ongeautoriseerde toegang |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 7.3.4 | Opslagsystemen in disaster recovery- en bedrijfscontinuïteitsplanning |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 7.3.4 | Periodieke tests van herstel van back-updata en disaster recovery |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 7.3.5 | Maximale benutting van redundantie |
| NEN-EN-ISO/IEC 27040:2016 (Storage security) | 6.4.5 | Beveiliging van middlewarecomponenten tegen ongeoorloofde toegang |
| NEN-ISO/IEC 17789:2014 (Cloud computing - Reference architecture) | H7 | Structuur van externe IT- en cloudleveranciers volgens internationale standaarden |
| NEN-ISO/IEC 19086-1:2016 (Service level agreement (SLA) framework - Part 1 | Overview and concepts) | Vastleggen eigenaarschap in overeenkomst tussen CSP en CSC bij beëindigen van clouddienst |
| NEN-ISO/IEC 27001 | 2022 5.37 | Bedieningsprocedures voor beheer, monitoring en herstel van middleware |
| NEN-ISO/IEC 27002 | 2022 | Toewijzing van beheerdersverantwoordelijkheden volgens middlewarebeveiligingsbeleid |
| NEN-ISO/IEC 27002 | 2022 5.1 | Beleidsregels voor informatiebeveiliging bij de inzet van clouddiensten |
| NEN-ISO/IEC 27002 | 2022 5.1 | Managementgoedkeuring van informatiebeveiligingsbeleid voor cloudcomputing |
| NEN-ISO/IEC 27002 | 2022 5.12 | Dataclassificatie als uitgangspunt voor softwareontwikkeling |
| NEN-ISO/IEC 27002 | 2022 5.12 | Informatie in alle informatiesystemen is conform expliciete risicoafweging geclassificeerd |
| NEN-ISO/IEC 27002 | 2022 5.14 | Beleid en richtlijnen voor veilige informatieoverdracht |
| NEN-ISO/IEC 27002 | 2022 5.15 | Toegangsbeveiligingsbeleid |
| NEN-ISO/IEC 27002 | 2022 5.15 | Eisen aan het Toegangvoorzieningsbeleid |
| NEN-ISO/IEC 27002 | 2022 5.15 | Aandacht voor wetgeving en verplichtingen |
| NEN-ISO/IEC 27002 | 2022 5.15 | Standaard gebruikersprofielen |
| NEN-ISO/IEC 27002 | 2022 5.2 | Definitie en documentatie van rollen en bevoegdheden van middlewarebeheerders |
| NEN-ISO/IEC 27002 | 2022 5.2 | Rapporteren middlewarefunctionaliteiten |
| NEN-ISO/IEC 27002 | 2022 5.2 | Toewijzing van rollen en verantwoordelijkheden voor middlewareactiviteiten |
| NEN-ISO/IEC 27002 | 2022 5.35 | Onafhankelijke en competente uitvoering van periodieke beoordelingen |
| NEN-ISO/IEC 27002 | 2022 5.8 | Een expliciete risicoafweging wordt uitgevoerd ten behoeve van het vaststellen van de beveiligingseisen |
| NEN-ISO/IEC 27002 | 2022 5.8 | De Handreikingen: "Risicoanalysemethode" en "Risicomanagement ISO-27005 |
| NEN-ISO/IEC 27002 | 2022 8.16 | Periodieke rapportage van geanalyseerde loggegevens aan eigenaren en management |
| NEN-ISO/IEC 27002 | 2022 8.16 | Periodieke analyse van loggegevens, verdachte gebeurtenissen en ongeautoriseerde toegang bij middlewarefunctionaliteiten |
| NEN-ISO/IEC 27002 | 2022 8.16 | Samenhangende analyse van loginformatie van middlewarefunctionaliteiten |
| NEN-ISO/IEC 27002 | 2022 8.19 | Beleid ten aanzien van het type software dat mag worden geïnstalleerd |
| NEN-ISO/IEC 27002 | 2022 8.25 | Beleid voor (beveiligd) ontwikkelen |
| NEN-ISO/IEC 27002 | 2022 8.25 | Grip op Secure Software Development als uitgangspunt voor softwareontwikkeling |
| NEN-ISO/IEC 27002 | 2022 8.29 | In de infrastructuur wordt specifiek getest vanuit beveiligingsoptiek |
| NEN-ISO/IEC 27002 | 2022 8.30 | Scenario's voor de Business Impact Analyse |
| NEN-ISO/IEC 27002 | 2022 8.30 | Vaststelling op welke wijze een eventueel compromitteren invloed heeft op de financiën van de organisatie |
| NEN-ISO/IEC 27002 | 2022 8.31 | Uitgangspunt voor systeemontwikkeling trajecten is een expliciete risicoafweging |
| NEN-ISO/IEC 27002 | 2022 8.32 | Nieuwe systemen en belangrijke wijzigingen aan bestaande systemen volgen een formeel wijzigingsproces |
| NEN-ISO/IEC 27002 | 2022 8.33 | Richtlijnen worden toegepast om operationele gegevens die voor testdoeleinden worden gebruikt te beschermen |
| NEN-ISO/IEC 27002 | 2022 8.4 | Om de toegang tot broncode bibliotheken te beheersen worden richtlijnen in overweging genomen |
| NEN-ISO/IEC 27002 | 2022 8.4 | Aanvullende beheersmaatregelen wanneer programmabroncode wordt gepubliceerd |
| NEN-ISO/IEC 27017:2015 (Code of practice for information security controls based on ISO/IEC 27002 for cloud services) | 5.1.1 | Selecteren relevante wettelijke eisen ter bescherming van persoonsgegevens |
| NEN-ISO/IEC 27018:2014 (Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors) | A.12.1 | Specificeren en documenteren opslag op welke locatie data |
| NEN-ISO/IEC 27033-1:2015 (Network security - Overview and concepts) | 8.5 | Evalueren netwerkgebeurtenissen (monitoring) |
| NEN-ISO/IEC 27033-1:2015 (Network security - Overview and concepts) | 8.8 | Voor het waarborgen van de integriteit van communicatie wordt digitale ondertekening toegepast |
| NEN-ISO/IEC 27033-1:2015 (Network security - Overview and concepts) | 8.8 | Voor het waarborgen van de vertrouwelijkheid wordt versleuteling toegepast op één of meer verbindingslagen |
| NEN-ISO/IEC 7498-4:1991 (Informatietechnologie - Onderlinge verbinding van open systemen (OSI) - Basisreferentiemodel - Deel 4 - Beheerskader) | 4.5.1 | In de organisatiestructuur voor netwerkbeheer zijn beheersingsprocessen benoemd |
| NIST SP 800-160 2016 (Systems Security Engineering) | 2.1 | Beveiliging is integraal onderdeel van systeemontwikkeling |
| NIST SP 800-27 Rev. A 2004 (Engineering Principles for Information Technology Security (A Baseline for Achieving Security) | 3.3.1 | Ontwikkelaars zijn getraind om veilige software te ontwikkelen |
| NIST SP 800-53 Rev. 5 2020 (Security and Privacy Controls for Information Systems and Organizations) | PL-8 | Serverplatform-architectuur |
| OWASP Application Security Verification Standard 4.0.2 | V12 | Gegevensimport |
| OWASP Application Security Verification Standard 4.0.2 | V12 | Valideren verstrekte invoer aan softwarepakket |
| OWASP Application Security Verification Standard 4.0.2 | V12 | Ingebouwde mechnismen om aanvallen te detecteren |
| OWASP Application Security Verification Standard 4.0.2 | V12.1 | Bieden flexibel quotummechanisme |
| OWASP Application Security Verification Standard 4.0.2 | V12.1 | Geen grote bestanden accepteren |
| OWASP Application Security Verification Standard 4.0.2 | V12.3 | Beveiligingsmechanismen inbouwen voor detectie ingesloten aanvallen |
| OWASP Application Security Verification Standard 4.0.2 | V13 | Application Programming Interface (API) |
| OWASP Application Security Verification Standard 4.0.2 | V13.1.3 | Niet weergegeven van gevoelige informatie |
| SIG Evaluation Criteria Security - Guidance for producers | 3.2.3 | Authenticatie |
| SIG Evaluation Criteria Security - Guidance for producers | 3.2.3 | Bereiken authenticiteit |
| SIG Evaluation Criteria Security - Guidance for producers | 3.3.6 | Veilige API's gebruiken |
| SIG Evaluation Criteria Security - Guidance for producers | 3.3.6 | Gebruik maken van veilige API's die gebruikersdata scheiden |
| SIG Evaluation Criteria Security - Guidance for producers | 3.3.6 | Gebruik maken van veilige API's tijdens verwerking |
| SSD 2020 | SSD-12
SSD-14 | Sessiebeheer |
| SSD 2020 | SSD-30 | Logging en monitoring middleware |
| SSD 2020 | SSD-30/03.01 | Procedure bij uitval van loggingsmechanismen |
| SoGP 2018 | PM1.3.1 | Vastgelegde werkwijze voor remote-werkzaamheden |
| SoGP 2018 | PM2.1.1
PM2.3 | Awareness-activiteiten m.b.t. de binnen de Huisvesting Informatievoorziening actieve medewerkers |
| SoGP 2018 | PM2.3
PM2.2 | Aanbod van training en op de hoogte stellen van ontwikkelingen rond Rekencentrum beveiliging |
| SoGP 2018 | S12.1.1 | Beschikbaar stellen informatie over beheer van technische kwetsbaarheden |
| SoGP 2018 | S12.6 | Uitvoeren penetratietests op ICT-componenten |
| SoGP 2018 | SI2.1.2 | Definiëren en vaststellen rollen en verantwoordelijkheden |
| SoGP 2018 | SY1.1.1 | Gedocumenteerd ontwerp van middlewarearchitectuur en componentinteracties |
| SoGP 2018 | SY1.1.1 | Ontwerpdocumentatie |
| SoGP 2018 | SY2 | Configuratie middlewarecomponenten |
| SoGP 2018 | SY2.2.1 | Bewaking van doorvoercapaciteit en prestaties van de integratievoorziening |
| SoGP 2018 | SY2.2.5 | Review en rapportage van monitorresultaten aan proceseigenaren |
| SoGP 2018 | TM1.2.3 | De systemen zijn met een standaard referentietijd voor gebruik geconfigureerd |
| The Standard of Good Practice for Information Security 2018 | LC 2.1.8 | Richtlijnen m.b.t. bezoek tot kritieke faciliteiten |
| The Standard of Good Practice for Information Security 2018 | NC1.3.5 | Algemene maatregelen en ‘beveiligingslagen’ voor draadloze netwerken |
| The Standard of Good Practice for Information Security 2018 | NC1.4.1a | Voor de beheersing van netwerken worden minimumeisen |
| The Standard of Good Practice for Information Security 2018 | NC1.5.11 | Voor elke gateway of firewall bestaat een actueel configuratiedocument |
| The Standard of Good Practice for Information Security 2018 | NC1.5.5 | De filterfunctie van gateways en firewalls is instelbaar |
| The Standard of Good Practice for Information Security 2018 | NC1.6.1 | Toegang tot kritieke systemen voor beheer op afstand door externe personen wordt beheerd |
| The Standard of Good Practice for Information Security 2018 | NC1.6.4 | Het op afstand onderhouden van servers wordt strikt beheerd |
| The Standard of Good Practice for Information Security 2018 | PM1.2 | Inventarislijst en eigenaarschap |
| The Standard of Good Practice for Information Security 2018 | PM1.2.1 | Aanwijzing van eigenaren voor beheer en beveiliging van informatie en bedrijfsmiddelen |
| The Standard of Good Practice for Information Security 2018 | PM1.2.2, PM1.2.3 | Verantwoordelijkheden van de eigenaar voor beheer, classificatie, bescherming en risicobeheersing van bedrijfsmiddelen gedurende de levenscyclus |
| The Standard of Good Practice for Information Security 2018 | SA1.1.10 | Het toegangbeveiligingssysteem wordt periodiek geevalueerd |
| The Standard of Good Practice for Information Security 2018 | SA1.2.1 | Toegangsrechten intrekken bij beëindigen van dienstverband |
| The Standard of Good Practice for Information Security 2018 | SC1.1.1b, j en k | Overeenkomsten en documentatie omvatten afspraken |
| The Standard of Good Practice for Information Security 2018 | SD 1.1 | Systeem-ontwikkelmethode |
| The Standard of Good Practice for Information Security 2018 | SD 1.1.1 | Software wordt ontwikkeld conform een formeel vastgestelde ontwikkelmethodologie |
| The Standard of Good Practice for Information Security 2018 | SD 1.1.2 | Software wordt ontwikkelen conform standaarden en procedures |
| The Standard of Good Practice for Information Security 2018 | SD 1.1.3 | De systeemontwikkelmethode ondersteunt dat de te ontwikkelen applicaties voldoen aan de vereisten |
| The Standard of Good Practice for Information Security 2018 | SD 1.1.6 | Het softwareontwikkeling wordt projectmatig aangepakt |
| The Standard of Good Practice for Information Security 2018 | SD 1.1.7 | Softwareontwikkelaars zijn getraind om de ontwikkelmethodologie toe te passen |
| The Standard of Good Practice for Information Security 2018 | SD 1.1.9 | Adoptie van ontwikkelmethodologie wordt gemonitord |
| The Standard of Good Practice for Information Security 2018 | SD2.1 | Applicatie-ontwerp |
| The Standard of Good Practice for Information Security 2018 | SD2.1.6 en SD2.2.7 | Principes voor het beveiligen van informatiesystemen |
| The Standard of Good Practice for Information Security 2018 | SD2.2.1 | Het ontwerpen van applicaties is gebaseerd op eisen voor verschillende typen informatie |
| The Standard of Good Practice for Information Security 2018 | SD2.2.2 | Bij het ontwerp is informatie verkregen uit connecties met de te ontwerpen applicatie |
| The Standard of Good Practice for Information Security 2018 | SD2.2.3 | Het ontwerp is mede gebaseerd op een beveiligingsarchitectuur |
| The Standard of Good Practice for Information Security 2018 | SD2.4.1 | Voor het bouwen van programmacode worden gedocumenteerde standaarden en procedures beschikbaar gesteld |
| The Standard of Good Practice for Information Security 2018 | SD2.4.1 | Activiteiten van applicatiebouw worden gereviewd |
| The Standard of Good Practice for Information Security 2018 | SD2.4.2 | Veilige methodes ter voorkoming van veranderingen in basis code of in software packages |
| The Standard of Good Practice for Information Security 2018 | SD2.4.3 | De ontwikkelaars zijn adequaat opgeleid en in staat de noodzakelijke en gebruikte tools te hanteren |
| The Standard of Good Practice for Information Security 2018 | SD2.4.3 | Voor het creëren van programma code wordt gebruik gemaakt van good practices |
| The Standard of Good Practice for Information Security 2018 | SD2.4.3 | Geen gebruik van onveilig programmatechnieken |
| The Standard of Good Practice for Information Security 2018 | SD2.4.3 | (Applicatie)code is beschermd tegen ongeautoriseerde wijzigingen |
| The Standard of Good Practice for Information Security 2018 | SD2.4a en d | Applicatiebouw |
| The Standard of Good Practice for Information Security 2018 | SG1.2.2a | Taken van de beveiligingsfunctionaris |
| The Standard of Good Practice for Information Security 2018 | SI2.3.1 en SI2.3.2 | Compliance-management |
| The Standard of Good Practice for Information Security 2018 | SM2.1 | Beveiligingsfunctie |
| The Standard of Good Practice for Information Security 2018 | SM2.1 | De rollen binnen de beveiligingsfunctie zijn benoemd |
| The Standard of Good Practice for Information Security 2018 | SM2.1.2 | Bewerkstelligen en promoten cloudbeveiligingsbeleid |
| The Standard of Good Practice for Information Security 2018 | SM2.1.4 | Voorzien beveiligingsfunctie in proactieve ondersteuning van bepaalde processen/middelen |
| The Standard of Good Practice for Information Security 2018 | SY1.1.1 | Ontwerpdocument |
| The Standard of Good Practice for Information Security 2018 | SY1.1.1 | Het ontwerp van elk serverplatform en elke server is gedocumenteerd |
| The Standard of Good Practice for Information Security 2018 | SY1.1.2c | Het serverplatform is zodanig ingericht, dat deze op afstand wordt geconfigureerd en beheerd |
| The Standard of Good Practice for Information Security 2018 | SY1.1.3 | Beveiligingsprincipes voor het beveiligd inrichten van servers |
| The Standard of Good Practice for Information Security 2018 | SY1.2 | Serverconfiguratie |
| The Standard of Good Practice for Information Security 2018 | SY1.2 | Standaarden voor serverconfiguratie |
| The Standard of Good Practice for Information Security 2018 | SY1.2.1 | Eisen aan de "gedocumenteerde standaarden" |
| The Standard of Good Practice for Information Security 2018 | SY1.2.1 | De Servers zijn geconfigureerd in overeenstemming met gedocumenteerde standaarden/procedures |
| The Standard of Good Practice for Information Security 2018 | SY1.2.1 | Overwegingen betreffende het beleid voor beveiligd inrichting en onderhoud |
| The Standard of Good Practice for Information Security 2018 | SY1.2.3 | De servers zijn geconfigureerd conform een gestandaardiseerde serverimage |
| The Standard of Good Practice for Information Security 2018 | SY1.2.5 | Servers zijn zodanig geconfigureerd dat gebruik van bepaalde functies wordt beperkt |
| The Standard of Good Practice for Information Security 2018 | SY1.2.5 | Servers zijn zodanig geconfigureerd dat bepaalde functies zijn verwijderd of uitgeschakeld |
| The Standard of Good Practice for Information Security 2018 | SY1.2.5 en SY1.2.8 | Hardenen server |
| The Standard of Good Practice for Information Security 2018 | SY1.2.7 | Toegang tot serverparameter en krachtige beheerinstrumenten is beperkt |
| The Standard of Good Practice for Information Security 2018 | SY1.2.8 | Servers worden beschermd tegen ongeoorloofde toegang |
| The Standard of Good Practice for Information Security 2018 | SY1.3 | Virtualisatie serverplatform |
| The Standard of Good Practice for Information Security 2018 | SY1.3.1 en SY1.3.2 | Virtuele servers worden ingezet, geconfigureerd en onderhouden conform standaarden en procedures |
| The Standard of Good Practice for Information Security 2018 | SY1.3.4 | Fysieke servers worden gebruikt om virtuele servers te hosten en worden beschermd |
| The Standard of Good Practice for Information Security 2018 | SY1.3.5 | Hypervisors worden geconfigureerd |
| The Standard of Good Practice for Information Security 2018 | SY1.3.6 en SY1.3.7 | Virtuele servers worden beschermd met standaard beveiligingsmechanismen op hypervisors |
| The Standard of Good Practice for Information Security 2018 | TM1.1.9 | Procesmatig herstel van technische kwetsbaarheden |
| The Standard of Good Practice for Information Security 2018 | TS1.1.5 | In het architectuurdocument voor servers platforms vastgelegde inrichtings eisen |
| The Standard of Good Practice for Information Security 2018 | TS1.1.6 | Voorschrijven beveiligingsprincipes |
| The Standard of Good Practice for Information Security 2018 | TS1.1.7 | Ondersteunen proces voor beveilgingsmechnismen |
| The Standard of Good Practice for Information Security 2018 | TS1.1.9a, c en d | Eisen aan het architectuurdocument van het in te richten van het serverplatform |
| The Standard of Good Practice for Information Security 2018 | TS2.2 | Authenticatie-informatie wordt beschermd door middel van versleuteling |
| UAVG (Uitvoeringswet AVG) | Art. 22; 23; 24; 25; 26; 27; 28; 29; 30; 31; 32; 33; 40; 46 | Doelbinding gegevensverwerking |
| UAVG (Uitvoeringswet AVG) | Art. 2; 4 | Privacy Beleid geeft duidelijkheid en sturing |
| UAVG (Uitvoeringswet AVG) | Art. 39 | Organieke inbedding |
| UAVG (Uitvoeringswet AVG) | Art. 41; 42 | Meldplicht Datalekken |
| UAVG (Uitvoeringswet AVG) | Art. 43 | Bewaren van persoonsgegevens |
| UAVG (Uitvoeringswet AVG) | Art. 5; 22; 24; 27; 28; 32; 41 | Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens |
| UAVG (Uitvoeringswet AVG) | MvT § 5.2.4 | Beveiligen van de verwerking van persoonsgegevens |
