Verwervingsbeleid softwarepakketten

Versie 1.1 van 30 maart 2021 van de BIO Thema-uitwerking Softwarepakketten is vervangen door versie 1.2 van 26 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 1.2 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.

Beveiligingsprincipe
ID:	SWP_B.01
Versie:	1.3
Status:	Actueel
Indeling
Beveiligingsaspect:	Beleid
Invalshoek:	Intentie

Objectdefinitie

Betreft het resultaat van een besluitvorming, in welk tijdbestek en met welke middelen de verwervingsdoelstellingen voor softwarepakketten bereikt moeten worden.

Objecttoelichting

Een randvoorwaarde voor een succesvolle implementatie van informatievoorzieningen is inzicht hebben in de businessrisico’s en het regelmatig beoordelen van businessrisico’s gerelateerd aan applicatiesoftware zoals een softwarepakket. De business case onderzoekt de kosten en de baten.

De context- en risicoanalyse ¹ onderzoekt informatieveiligheid, bedrijfscontinuïteit en privacybescherming. Beveiligingsrisico’s hebben zowel betrekking op de kennis van medewerkers als op de match van de software of IT-diensten met de bestaande bedrijfsprocessen en voldoende kennis van de techniek. Beleid is nodig om deze risico’s in kaart te brengen en mee te nemen in de besluitvorming voor de wijze van uitvoering.

Schaalgrootte

Elke schaalgrootte.

Voor wie

Klant.

Criterium

Voor het verwerven van software behoren regels te worden vastgesteld en op verwervingsactiviteiten binnen de organisatie te worden toegepast.

Doelstelling

Het beheersen van het verwerven van softwarepakketten.

Risico

Onvoldoende mogelijkheid om sturing te geven aan het verwerven van softwarepakketten.

Indeling binnen ISOR

Dit beveiligingsprincipe:

is gericht op het Beveiligingsaspect Beleid;
valt binnen de Invalshoek Intentie.

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten: Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is ISO 27002:2022 8.26

Onderliggende normen

ID	Conformiteitsindicator	Stelling
SWP_B.01.01	Regels	In het verwervingsbeleid voor softwarepakketten zijn regels vastgesteld die bij de verwerving van softwarepakketten in acht dienen te worden genomen. De regels kunnen onder andere betrekking hebben op: analyse van de context waarin het softwarepakket moet functioneren; mobiliseren van kennis die bij het verwerven van belang is; vaststelling van de eigenaarschap van data; tijdige scholing van de betrokken medewerkers; naleven van contractuele verplichtingen.
SWP_B.01.02	Regels	De verwerving van een softwarepakket vindt plaats met een business case, waarbij verschillende toepassingsscenario’s worden overwogen: bedrijfsfuncties vanuit een softwarepakket in een eigen rekencentrum; bedrijfsfuncties als Software as a Service (SaaS) aangeboden; hybridevorm van IT-dienstverlening, waarbij SaaS-dienstverlening wordt aangevuld door diensten vanuit het eigen rekencentrum.
SWP_B.01.03	Regels	Bij verwerving van softwarepakketten wordt een risicoanalyse uitgevoerd en worden beveiligingseisen vastgesteld op basis van de classificatie van de informatie en de bedrijfsimpact.
SWP_B.01.04	Regels	Beveiligingseisen voor de toepassing omvatten ten minste authenticatie, toegangscontrole, segmentatie, bescherming tegen veelvoorkomende aanvallen, encryptie, logging, foutafhandeling, naleving van wet- en regelgeving en privacy.
SWP_B.01.05	Regels	Voor transactionele diensten worden aanvullende eisen vastgesteld, waaronder vertrouwen in identiteit, integriteit, onweerlegbaarheid, vertrouwelijkheid van transacties en verzekeringseisen.
SWP_B.01.06	Regels	Leveranciers worden geselecteerd op basis van hun vermogen om beveiligingseisen na te leven en te onderbouwen (bijv. via certificering, audits of borgingsverslagen).

Verwante principes

→ BIO Thema-uitwerking Softwarepakketten

→ Binnen dit normenkader èn beveiligingsaspect

→ Alle Normenkaders

→ Alle Beveiligingsprincipes

→ Alle Normen

→ Beveiligingsaspecten

→ ISOR

↑ Onderzoek Beoordelen veiligheid (web)applicaties (en IT-organisaties) door Gerard Bottemanne van Onderzoeksbureau GBNED, versie 2020, onder andere te vinden op: https://www.softwarepakketten.nl.

[Onderzoek_beoordelen_veiligheid_(web)applicaties-1] Onderzoek Beoordelen veiligheid (web)applicaties (en IT-organisaties) door Gerard Bottemanne van Onderzoeksbureau GBNED, versie 2020, onder andere te vinden op: https://www.softwarepakketten.nl.

1

Op deze pagina