Bullit Digital B.V.

Operationele plannen worden vastgesteld en geïmplementeerd.

Vereisten

• De operationele planning dient te voorzien in het voldoen aan de informatiebeveiligingseisen en -doelstellingen.
• Hiervoor dienen meetbare criteria te worden vastgesteld en bijbehorende procesbeheersing te worden geïmplementeerd.
• De planning (en voortgang daarop) dient te worden gedocumenteerd en actueel gehouden.

De organisatie dient het toepassingsgebied (scope) van haar ISMS te definiëren, rekening houdend met de relevante issues, de eisen van belanghebbenden inclusief de wettelijke, statutaire, regelgevende, en contractuele vereisten, en vanuit raakvlakken en afhankelijkheden tussen de activiteiten die de organisatie zelf uitvoert en activiteiten die andere organisaties uitvoeren.

Vereisten

• Deze informatie dient te worden gedocumenteerd en actueel gehouden.

Definities
ISMS: Information Security Management System"

Rollen, verantwoordelijkheden en bevoegdheden voor informatiebeveiliging en privacy zijn toegekend en gecommuniceerd binnen de organisatie.

Vereisten

• Management dient tenminste de volgende verantwoordelijkheden en bevoegdheden te beschrijven en toe te kennen aan personen in de organisatie: het toezicht op het managementsysteem voor informatiebeveiliging (en rapporteren van de prestaties hiervan aan management), technisch beheer van netwerken, systemen, en applicaties, technisch beheer van kwetsbaarheden (monitoring, risicobeoordeling, updates, traceren van bedrijfsmiddelen, en coördinatie), en coördinatie van incidenten en verstoringen inclusief communicatie.
• De organisatie dient rollen en verantwoordelijkheden te documenteren en te communiceren naar relevante interne en externe belanghebbenden.

Het management beoordeelt en evalueert regelmatig de geschiktheid, toereikendheid en effectiviteit van het ISMS.

Vereisten

• Het management dient de volgende zaken te overwegen: a) de status van acties die zijn voortgekomen uit voorgaande management reviews; b) wijzigingen in externe en interne belangrijke punten (issues) die relevant zijn voor het ISMS c) wijzigingen in de behoeften en verwachtingen van de belanghebbenden die relevant zijn voor het ISMS d) feedback over de prestaties van de informatiebeveiliging, e) feedback van belanghebbenden, f) resultaten van risicobeoordelingen en status van risicobehandeling, en g) kansen voor continue verbetering
• De management review dient met geplande tussenpozen te worden uitgevoerd, en resultaten gedocumenteerd.

Definities
ISMS: Information Security Management System, de Engelse term voor het managementsysteem voor informatiebeveiliging.

Systeem beheerst de creatie, goedkeuring, distributie en onderhoud van gedocumenteerde informatie.

Vereisten:

• Goedkeuring voor distributie en gebruik
• Versiebeheer en identificatie van wijzigingen
• Voorkoming van onbedoeld gebruik van verouderde documenten

De organisatie onderhoudt een register voor de verwerking van gegevens onder haar verantwoordelijkheid.

Vereisten

• De organisatie dient een verwerkingsregister op te stellen wanneer het structureel persoonsgegevens verwerkt (dit is vrijwel altijd zo), er persoonsgegevens verwerkt worden die een hoog risico inhouden voor de rechten en vrijheden van de betrokkenen, er bijzondere persoonsgegeven of strafrechtelijke informatie worden verwerkt, en wanneer er meer dan 250 medewerkers in dienst zijn.
• Het verwerkingsregister dient de volgende informatie te bevatten (waar relevant en mogelijk): naam en contactgegevens van organisatie, functionaris gegevensbescherming (FG), en andere relevante organisaties; het doel van de gegevensverwerking, een beschrijving van de personen van wie gegevens verwerkt worden, een beschrijving van de soort gegevens, datum waarop de gegevens gewist dienen te worden, met welke organisaties de persoonsgegevens gedeeld worden en of dit organisaties buiten de EU zijn, en de maatregelen die organisatie neemt om de persoonsgegevens te beveiligen.
• Het verwerkingsregister dient te worden gedocumenteerd en actueel gehouden.

Definities
Functionaris gegevensverwerking (FG): De medewerker verantwoordelijk voor het toezien op veilige gegevensverwerking. Ook wel de Data Protection Officer (DPO).

Opgeslagen gegevens worden op passende wijze versleuteld om de integriteit en vertrouwelijkheid van de gegevens te garanderen.

Vereisten

• De versleuteling van opgeslagen gegevens dient in overeenstemming te zijn met de vereisten volgend uit de veilige standaardconfiguratie en het beheerbeleid voor cryptografische sleutels (zie toegangsbeveiligingsbeleid)

Wanneer de bescherming van gevoelige gegevens (bijvoorbeeld persoonsgegevens) een zorg is, moet de organisatie overwegen om dergelijke gegevens te verbergen door technieken te gebruiken zoals data maskering, pseudonimisering of anonimisering.

Vereisten

• De organisatie dient gevoelige gegevens te identificeren en categoriseren die maskering vereisen om te voldoen aan wettelijke, statutaire, regelgevende en contractuele vereisten.
• De organisatie dient geschikte technieken voor het maskeren van gegevens te implementeren op basis van de gevoeligheid en het gebruiksscenario van de gegevens.
• Maskeringstechnieken dienen consistent te worden toegepast in productie-, test- en ontwikkelomgevingen.
• De datamaskeringsprocedures dienen regelmatig te worden herzien en bijgewerkt om nieuwe risico's of wijzigingen in de gegevensverwerking aan te pakken.

Verzonden gegevens worden op passende wijze versleuteld om de integriteit en vertrouwelijkheid van de gegevens te garanderen.

Vereisten

• De versleuteling van gegevens tijdens transport dient in overeenstemming te zijn met de vereisten volgend uit de veilige standaardconfiguratie en het beheerbeleid voor cryptografische sleutels (zie toegangsbeveiligingsbeleid)

Regels en procedures voor het veilig en in overeenstemming met wet -en regelgeving verzamelen, opslaan, bewaren en verwijderen van persoonsgegevens zijn gedefinieerd en geïmplementeerd.

Vereisten

• De AVG vereist dat personen van wie de organisatie persoonsgegevens verwerkt goed geïnformeerd worden over de verwerking van hun persoonsgegevens. In de regel publiceren organisaties daartoe een privacyverklaring (privacy notice) op de website. De organisatie kan ervoor kiezen om het privacybeleid en de privacyverklaring te combineren en als één geheel te publiceren.
• Het beleid dient te worden gedocumenteerd, gecommuniceerd, en actueel gehouden.

Een inventarislijst van informatie en andere gerelateerde bedrijfsmiddelen (assets) die de bedrijfsfuncties en processen van de organisatie ondersteunen wordt opgesteld en onderhouden.

Vereisten

• De inventarislijst dient de volgende zaken te bevatten voor ieder bedrijfsmiddel of groep van soortgelijke : naam, eigenaar (een individu of groep), classificatie (zie bedrijfsimpactanalyse), en, waar van toepassing; leverancier, versienummer, locatie, en samenhang met andere interne en externe systemen en processen
• De inventarislijst mag opgedeeld worden en hoeft dus niet op één plek te staan.
• Het niveau van granulariteit van de inventarislijst van informatie en andere gerelateerde bedrijfsmiddelen behoort te passen bij de behoeften van de organisatie.
• De inventarislijst dient gedocumenteerd, nauwkeurig, actueel, consistent, en in overeenstemming met andere inventarisoverzichten te zijn.

Interne audits worden met gepland tussenpozen uitgevoerd om te bepalen of het ISMS voldoet en of het doeltreffend is geïmplementeerd en onderhouden.

Vereisten

• Interne audits worden uitgevoerd conform het interne auditplan en de resultaten worden gerapporteerd aan het betreffende management.
• Het interne auditprogramma, het interne auditplan en de interne auditrapporten dienen te worden gedocumenteerd en actueel gehouden.

Definities
Interne audit: Een objectieve en onafhankelijke beoordeling van de mate waarin de organisatie interne of externe opgelegde vereisten naleeft, en de effectiviteit van de implementatie en onderhoud hiervan door de organisatie zelf (e.g. de compliance functie).
ISMS: Information Security Management System, de Engelse term voor het managementsysteem voor informatiebeveiliging.

Regels en procedures voor het plannen, uitvoeren en rapporteren van interne audits zijn gedefinieerd en gedocumenteerd in het interne audit programma.

Vereisten

• Het interne auditprogramma bevat de frequentie, methoden, verantwoordelijkheden, en plannings -en rapportagevereisten van interne audits.
• Het interne auditprogramma dient te worden gedocumenteerd en actueel gehouden.

Definities
Interne audit: Een objectieve en onafhankelijke beoordeling van de mate waarin de organisatie interne of externe opgelegde vereisten naleeft, en de effectiviteit van de implementatie en onderhoud hiervan door de organisatie zelf (e.g. de compliance functie).

De organisatie moet identificeren welke juridische, statutaire, regelgevende en contractuele vereisten relevant zijn voor informatiebeveiliging en privacy.

Vereisten

• Deze informatie dient te worden gedocumenteerd en actueel gehouden.

Interne audits worden systematisch en periodiek gepland met een frequentie en omvang die past bij het risicoprofiel van de organisatie.

Vereisten

• Het interne auditplan dient de timing, auditcriteria en toepassingsgebied (scope) van de audit te omvatten, en de geselecteerde auditors (zodat het auditproces objectief en onafhankelijk kan worden uitgevoerd)
• Audits waarbij operationele systemen beoordeeld worden, dienen gezamenlijk te worden gepland en goedgekeurd door de auditor en het betrokken management om de impact van de audit op operationele systemen en bedrijfsprocessen te minimaliseren.
• Bij het opstellen van het auditplan dient tevens rekening te worden gehouden met het belang van de betrokken processen en de resultaten van eerdere audits.
• Het interne auditplan dient te worden gedocumenteerd en actueel gehouden.

Definities
Interne audit: Een objectieve en onafhankelijke beoordeling van de mate waarin de organisatie interne of externe opgelegde vereisten naleeft, en de effectiviteit van de implementatie en onderhoud hiervan door de organisatie zelf (e.g. de compliance functie).

Software en firmware worden up-to-date gehouden om te bewerkstelligen dat de meest recente goedgekeurde patches en toepassingsupdates bij alle goedgekeurde software zijn geïnstalleerd.

Vereisten

• De organisatie dient patch management te implementeren conform de eisen van het wijzigingsbeleid.
• Voor aangekochte software geldt dat faciliteiten om updates automatisch te implementeren, overwogen dienen te worden.
• Voor cloud software geldt dat patch management door de leverancier contractueel afgedwongen dient te worden
• De organisatie dient alternatieve maatregelen te overwegen wanneer er een onacceptabele softwarekwetsbaarheid is geconstateerd waarvoor geen update beschikbaar is of geïnstalleerd kan worden (bijv. services uitzetten, software isoleren, firewalls aanpassen etc.)

Systemen, applicaties en diensten worden periodiek onderworpen aan kwetsbaarheidsbeoordelingen en security tests (bijvoorbeeld red teaming, penetratietesten) om de robuustheid en effectiviteit van technische informatiebeveiligingsmaatregelen te valideren.

Vereisten

• De testen dienen uitgevoerd te worden door competente, geautoriseerde, en bij voorkeur onafhankelijk personen.
• Geïdentificeerde kwetsbaarheden dienen opgevolgd te worden (bijv. het updaten van software of veilige basisconfiguraties).
• De testen dienen te worden gepland, gedocumenteerd en herhaalbaar te zijn.

Regels en procedures voor het gecoördineerd bekendmaken maken van kwetsbaarheden zijn gedefinieerd en geïmplementeerd zodat beveiligingsonderzoekers en anderen in staat zijn problemen te melden.

Vereisten

• Het beleid dient te voorzien in procedures voor het melden van kwetsbaarheden, een openbaar contactpunt, en methoden om problemen te melden (bijv. meldformulieren of fora)
  - Het beleid dient te worden gedocumenteerd, gecommuniceerd en actueel gehouden.

Er wordt gebruik gemaakt van technologie die kwaadaardige software (malware) detecteert en verwijdert.

Vereisten

• Er dient bepaald te worden waar het toepassen van anti-malware technologie het meeste effect heeft; in applicatie protocollen zoals email, file transfer, en het web, en/of in 'user endpoint devices' (bijv. laptops) en servers
• Anti-malware software dient regelmatig bijgewerkt te worden, en de gemonitorde informatiemiddelen dienen regelmatig gescand te worden.

Definities
Malware: Software die gebruikt wordt om computersystemen te verstoren, gevoelige informatie te verzamelen of toegang te krijgen tot private computersystemen. Afgeleid van 'malicious software'

Er wordt informatie ingewonnen, en opgevolgd, over bestaande of opkomende bedreigingen en kwetsbaarheden van gebruikte informatiesystemen en de blootstelling van de organisatie aan deze bedreigingen en kwetsbaarheden.

Vereisten

• De organisatie dient een duidelijk inzicht en situationeel bewustzijn te verkrijgen over de zich ontwikkelende bedreigingen en tactieken van aanvallers in het huidige bedreigingslandschap (en hun potentiële impact op het bedrijf), waarbij zowel strategische als tactische en operationele dreigingsinformatie waar nodig gedeeld wordt, en gebruikt wordt om strategische besluitvorming, risicobeoordeling en toewijzing van middelen te ondersteunen.
• De organisatie dient contacten te leggen en onderhouden met speciale belangengroepen of andere gespecialiseerde beveiligingsfora en beroepsverenigingen.
• Het wordt aangeraden om aanvullende informatiebronnen te gebruiken, bij voorkeur onafhankelijke aanbieders of adviseurs, overheidsinstanties of groepen die gezamenlijk informatie over dreigingen verzamelen en analyseren.
• Het wordt aangeraden om voor ieder relevant bedrijfsmiddel te bepalen wat de informatiebron(nen) zijn voor het identificeren van kwetsbaarheden.
• Het wordt aangeraden om gebruik te maken van technologieën die in staat zijn om kwetsbaarheden te verzamelen en de relevantie hiervan te evalueren voor bedrijfsmiddelen die de organisatie in gebruik heeft.
• De organisatie dient de vergaarde informatie te analyseren en deze als input te gebruiken voor processen waarmee kwetsbaarheden worden verholpen (bijv. incidentrespons, software updates, anti-malware, en configuratiebeheer).
• De lijst met informatiebronnen en middelen om kwetsbaarheden te identificeren dient te worden gedocumenteerd en actueel gehouden.

Logbestanden zijn beveiligd tegen ongeoorloofde wijzigingen.

Vereisten

• Logbestanden dienen dermate beveiligd te worden dat geen enkele gebruiker in staat is om logging van hun eigen activiteiten aan te passen, te verwijderen, of anderszins te manipuleren.

De capaciteit en prestaties van bedrijfsmiddelen (bijv. systemen, applicaties en diensten) worden voortdurend gemonitord om ervoor te zorgen dat aan huidige en verwachte toekomstige capaciteitsvereisten wordt voldaan.

Vereisten

• Performance monitoring dient ingericht te worden conform vereisten geïdentificeerd tijdens de bedrijfsimpactanalyse (BIA) en/of bedrijfscontinuïteitsplanning (BCP).
• Er dienen maatregelen te zijn om capaciteitsproblemen te kunnen identificeren en opvolgen.
• Het management dient deze informatie te gebruiken om uitdagingen en afhankelijkheden te signaleren en voorkomen.

Definities
Bedrijfsmiddelen (resources): Dit zijn de middelen die het bedrijf tot haar beschikking heeft om diensten en producten te leveren. Systemen, applicaties en diensten zijn bedrijfsmiddelen, maar bijvoorbeeld ook fysieke locaties, personeel, en budget.

Logbestanden waarin activiteiten, uitzonderingen, fouten en andere relevante gebeurtenissen worden geregistreerd, behoren te worden geproduceerd, opgeslagen, beveiligd en geanalyseerd.

Vereisten

• Logging dient in overeenstemming te zijn met het logging & monitoringbeleid.
• Logbestanden dienen de volgende informatie te bevatten: gebruikersidentificaties, systeemactiviteiten, data/tijdstippen en details van relevante gebeurtenissen, identiteit van bedrijfsmiddelen en hun (virtuele) locatie, netwerkadressen en -protocollen.
• Om belangrijke gebeurtenissen voor het monitoren in het kader van informatiebeveiliging te helpen identificeren, kan het gebruik van geschikte systeemhulpmiddelen of auditinstrumenten voor het bevragen van bestanden worden overwogen (bijv. IDS, SIEM).

Definities
IDS: Intrusion Detection System
SIEM: Security Information and Event Management

Regels en procedures voor het produceren van logbestanden van activiteiten, uitzonderingen, fouten en andere relevante (informatiebeveiligings)gebeurtenissen zijn gedefinieerd en geïmplementeerd.

Vereisten

• Het beleid dient voor iedere activiteit de volgende gegevens te bevatten (waar van toepassing): user IDs, systeem activiteiten, datum en tijd, details van de activiteit, systeemidentificatie, en netwerkadressen en -protocollen
• De organisatie dient het loggen van de volgende zaken te overwegen: geslaagde en geweigerde pogingen om toegang te verkrijgen tot systemen en andere bronnen van informatie, systeemconfiguratieveranderingen, het gebruik van speciale bevoegdheden en systeemhulpmiddelen, het aanmaken, wijzigen en/of wissen van belangrijke gegevens en identiteiten, alarmen afkomstig van beveiligingssystemen, het aan -en uitzetten van beveiligingssystemen, en uitgevoerde transacties in applicaties.
• De organisatie behoort een nullijn voor normaal gedrag vast te stellen en indicatoren voor afwijkend gedrag.
• Het beleid dient te worden gedocumenteerd en actueel gehouden.

Netwerken, systemen en toepassingen behoren te worden gemonitord op afwijkend gedrag en er behoren passende maatregelen te worden getroffen om potentiële informatiebeveiligingsincidenten te evalueren.

Vereisten

• Het monitoringsysteem behoort te worden geconfigureerd aan de hand van de vastgestelde nullijn (zie logging & monitoringbeleid) om afwijkend gedrag te identificeren, daar meldingen van te geven, en om vals positieven (false positives) tot een minimum te beperken.
• Bij gebruik van clouddiensten dient helder te zijn welke partij verantwoordelijk is voor (configuratie van) monitoringsystemen en opvolging van afwijkingen.
• Monitoring behoort real-time of met regelmatige tussenpozen te gebeuren, afhankelijk van de behoefte en mogelijkheden van de organisatie.

Authenticatietechnologieën en -procedures worden geselecteerd en geïmplementeerd op basis van informatiebeveiligingsvereisten.

Vereisten

• Authenticatiemethoden dienen in lijn te zijn met het toegangsbeveiligingsbeleid en passend te zijn voor de classificatie van de informatie waartoe toegang wordt verleend.
• Toegang tot identiteiten met speciale toegangsrechten (bijv. admin user) en essentiële informatiesystemen dient beveiligd te worden met sterkere authenticatiemethoden dan wachtwoorden (bijv. digitale certificaten) of het gebruik van meerdere authenticatiefactoren (multifactorauthenticatie).

Definities
Authenticatie: Het verifiëren van de identiteit van de gebruiker of service die toegang vraagt tot beveiligde informatie of systemen.

Toegangsrechten worden periodiek beoordeeld en indien nodig aangepast of verwijderd (user access review).

Vereisten

• Fysieke en logische toegangsrechten dienen regelmatig beoordeeld te worden, met aandacht voor de volgende aspecten: speciale toegangsrechten (zoals admin accounts, systeem accounts met veel rechten, en andere "privileged access"), niet-persoonlijke identiteiten (bijvoorbeeld gedeelde inloggegevens, groepsaccounts), en de toegangsrechten van gebruikers na verandering van rol binnen de organisatie of beëindiging van het dienstverband.

Identiteiten en toegangsrechten voor werknemers en andere belanghebbenden worden verstrekt conform het toegangsbeveiligingsbeleid.

Vereisten

• Identiteiten en toegangsrechten dienen zoveel als mogelijk herleidbaar dienen te zijn tot één persoon om traceerbaarheid en individuele verantwoordelijkheid voor acties die door het individu worden ondernomen te garanderen.
• Identiteiten en toegangsrechten dienen alleen toegekend te worden na autorisatie door de informatie(middel)-eigenaar en/of management, en weer ingetrokken wanneer toegang niet meer nodig is.
• Speciale en niet-persoonlijke identiteiten en toegangsrechten (bijv. privileged-, groeps- en service accounts) dienen alleen met noodzaak en na speciale goedkeuring toegekend te worden, onderhevig te zijn aan onafhankelijke logging, monitoring en regelmatige review, en tijdig gedeactiveerd of verwijderd te worden.
• Er dient een centraal overzicht bijgehouden te worden van toegangsrechten die aan gebruikersidentificatie zijn toegekend, inclusief registratie van wijzigingen in toegangsrechten van gebruikers.

Ontwikkel-, test- en productieomgevingen zijn logisch of fysiek gescheiden om de productieomgeving te beschermen tegen de risico's van ontwikkel- en testactiviteiten.

Vereisten

• De organisatie dient de volgende zaken te overwegen: de noodzakelijke mate van scheiding (logisch of fysiek), welke activiteiten in iedere omgeving worden uitgevoerd, regels en procedures om software code te transporteren tussen omgevingen, toegangsbeperking en functiescheiding, monitoring en backups, en het minimaliseren of maskeren van live data in ontwikkel- en testomgevingen.

Operationele gegevens die in ontwikkel -en testomgevingen worden gebruikt dienen op passende wijze te worden geselecteerd, beschermd, en beheerd.

Vereisten

• De organisatie dient testinformatie te beveiligen conform het beleid voor informatieclassificatie en beheer, en relevante wet -en regelgeving, zoals door middel van het beperken van het gebruik van (gevoelige) (persoons)gegevens, toegangsbeveiliging voor ontwikkel- en testomgevingen, logging & monitoring, en het waar nodig maskeren en/of anonimiseren van gegevens.
• Live gegevens dienen zo mogelijk na het afronden van testing direct te worden verwijderd uit de testomgeving.

Er wordt een veilige systeemarchitectuur ontworpen en geïmplementeerd voor producten en diensten die door de organisatie worden ontwikkeld of aangeschaft. Gedurende de levenscyclus van softwareontwikkeling worden informatiebeveiligingsrisico's en -vereisten geïdentificeerd, geïmplementeerd en gemonitord.

Vereisten

• De organisatie voert activiteiten uit zoals conceptverkenning, analyse van alternatieven en voorbereidend of toegepast onderzoek om de concepten en/of haalbaarheid van technologieën die in een nieuw systeem worden gebruikt te verfijnen.
• De organisatie definieert informatiebeveiligings- en privacy-vereisten voor producten of diensten die door het project moeten worden geleverd met behulp van verschillende methoden en input, zoals het informatiebeveiligingsbeleid, regelgeving, dreigingsmodellering, incidentbeoordelingen en het gebruik van kwetsbaarheidsdrempels of noodplanning.
• De architectuur moet rekening houden met alle aannames over - en afhankelijkheden van - externe systemen en diensten;
• Deze inspanning wordt geïnitieerd tijdens de concept- en ontwikkelingsfasen van de systeemlevenscyclus

Regels en procedures voor beveiliging van fysieke locaties om omgevingen waar informatie en andere gerelateerde bedrijfsmiddelen zich bevinden zijn gedefinieerd en geïmplementeerd.

Vereisten

• De organisatie dient een beleid te definiëren met daarin de volgende zaken: fysieke beveiligingszones, -locaties, en -apparatuur, vereisten aan monitoring van deze locaties, de noodzakelijke (passende) beveiligingsmaatregelen, beschermingen tegen bedreigingen van buitenaf (brand, stroomuitval etc.), procedures voor omgaan met incidenten, en procedures voor het verlenen van toegang tot - en werken in - beveiligde locaties en ruimtes.
• Het beleid dient te worden gedocumenteerd, gepubliceerd, gecommuniceerd, en actueel gehouden.

De beveiliging van fysieke ruimtes en apparatuur wordt ingericht en periodiek gereviewed en beoordeeld.

Vereisten

• De organisatie dient passende maatregelen te implementeren om te voorkomen dat fysieke apparatuur beschadigd of onklaar gemaakt kan worden door bedreigingen van buitenaf (bijv. brandblussers, bescherming tegen waterschade en elektromagnetische straling en bliksem, monitoren van omgeving zoals temperatuur en vochtigheid, en een verbod op eten, drinken en roken in beschermde ruimtes).

De beveiliging van fysieke toegang door medewerkers en gasten wordt ingericht en periodiek gereviewed en beoordeeld.

Vereisten

• De organisatie dient passende maatregelen te implementeren om te voorkomen dat personen ongeautoriseerd toegang verkrijgen tot fysieke locaties en -zones (bijv. identificatie en registratie van bezoekers, toegangsbarrières en -controles, logs bijhouden van verleende toegang, alarm systemen, en sleutelbeheer).

Passende behandelopties en beheersmaatregelen worden vastgesteld voor informatiebeveiligingsrisico's.

Vereisten

• De organisatie dient voor ieder risico een risicobehandelingsoptie (accepteren, verminderen, overdragen, vermijden) te selecteren en alle beheersmaatregelen vast te stellen die nodig zijn om de gekozen optie(s) voor de behandeling van informatiebeveiligingsrisico’s te implementeren.
• De organisatie dient een plan voor de behandeling van informatiebeveiligingsrisico’s te formuleren, en risico-eigenaren dienen dit plan en resterende risico's te accepteren.
  -Specifieke eis voor ISO 27001: De organisatie dient de vastgestelde beheermaatregelen te vergelijken met Annex A van de ISO27001 norm en de resultaten hiervan te verwerken in een verklaring van toepasselijkheid (VvT).
• Indien de organisatie als onderdeel van de risicobehandeling een cyberverzekering kan en wil afsluiten dient rekening gehouden te worden met de volgende zaken: de noodzaak om informatiebeveiligingsrisico’s te verzekeren, de mate waarin informatiebeveiligingsrisico’s worden (of kunnen) worden overgedragen (en waar niet, en dus zijn andere maatregelen noodzakelijk), en de voorwaarden en eisen die de verzekeraar stelt in het kader van de polis.

Interne en externe risico’s waaraan de organisatie wordt blootgesteld, worden geïdentificeerd, geanalyseerd, geëvalueerd, gerapporteerd en gedocumenteerd.

Vereisten

• De organisatie dient alle risico's te identificeren die de beschikbaarheid, integriteit, en/of vertrouwelijkheid (BIV) van relevante informatie en services kunnen beïnvloeden.
• De organisatie dient te documenteren hoe informatie en services samenhangen met business functies, systemen, applicaties, en processen (BIA), op basis van de beschikbaarheid, integriteit, en vertrouwelijkheid (BIV) van deze informatie en ondersteunende bedrijfsmiddelen.
• De organisatie dient risicoacceptatiecriteria en risico-eigenaren te benoemen. De risico-eigenaren dienen de risicobeoordelingen goed te keuren
• Risicobeoordelingen dienen met geplande tussenpozen te worden uitgevoerd, of als significante veranderingen worden voorgesteld of zich voordoen.
• De resultaten van risicobeoordelingen dienen te worden gedocumenteerd.

Definities
BIV: beschikbaarheid, integriteit, en vertrouwelijkheid
BIA: Bedrijfsimpactanalyse

Er zijn procedures voor het beoordelen en behandelen van informatiebeveiligingsrisico's vastgesteld en geïmplementeerd.

Vereisten

• Het risicobeheerproces dient de volgende zaken te bevatten: criteria voor risicobeoordeling -en risicoacceptatie, procedures voor het identificeren, analyseren, evalueren, behandelen en accepteren van risico's en behandelplannen.
• Het proces dient te worden gedocumenteerd, goedgekeurd, en actueel gehouden.

Alle personen die (volledig, deels, en/of tijdelijk) in dienst treden worden gescreend voordat zij in dienst treden.

Vereisten

• Screening dient in verhouding te zijn tot de bedrijfseisen, de classificatie van informatie waar de persoon toegang toe krijgt, en de vastgestelde risico's.
• De volgende screeningsactiviteiten dienen overwogen te worden, en uitgevoerd afhankelijk van hoe essentieel de rol en toegang van de kandidaat zijn: zakelijke en persoonlijke referenties, controle op het curriculum vitae, bevestiging van geclaimde academische en beroepskwalificaties, onafhankelijke identiteitscontrole (bijv. paspoort), en meer gedetailleerde controles (bijv. controle of kredietwaardigheid of strafblad).
• Screening dient uitgevoerd te worden in overeenstemming met alle relevante privacy-vereisten en toepasselijke arbeidswetgeving
• Voor ingehuurd personeel geldt dat screening vereisten in leverancierscontracten dienen te worden opgenomen.
• Screening dient bij promotie en periodiek herhaald te worden, afhankelijk van hoe essentieel de rol en toegang van een persoon zijn.

In arbeidsovereenkomsten behoort te worden vermeld wat de verantwoordelijkheden van het personeel en van de organisatie zijn wat betreft informatiebeveiliging.

Vereisten

• De organisatie behoort ervoor te zorgen dat personeel en contractanten instemmen met voorwaarden betreffende informatiebeveiliging.
• Deze voorwaarden behoren het informatiebeveiligingsbeleid (inclusief relevant beleid op specifieke onderwerpen) te bevatten, en verder te passen bij de aard en de mate van toegang die ze zullen krijgen tot (voor het ISMS relevante) bedrijfsmiddelen.
• De volgende punten behoren te worden behandeld waar relevant: geheimhoudingsovereenkomsten (NDAs), wettelijke verantwoordelijkheden en rechten (bijv. op intellectueel eigendom), verantwoordelijkheden ten aanzien van ontvangen informatie, en disciplinaire maatregelen.
• De organisatie behoort ervoor te zorgen dat personeel en contractanten instemmen met deze voorwaarden.
• De voorwaarden inzake informatiebeveiliging behoren te worden beoordeeld wanneer wetten, regelgeving, het informatiebeveiligingsbeleid of onderwerpspecifieke beleidsregels veranderen.

Definities
ISMS: Information Security Management System, de Engelse term voor het managementsysteem voor informatiebeveiliging.

Medewerkers worden passend opgeleid en getraind in informatiebeveiliging en relevante aspecten van het ISMS, voor zover relevant voor hun functie.

Vereisten

• De organisatie dient een bewustwordingsprogramma, -opleiding en -training voor informatiebeveiliging vast te stellen in overeenstemming met het ISMS, welke de volgende aspecten bevat: bewustwordingsactiviteiten, betrokkenheid van management bij informatiebeveiliging, de noodzaak van bekend zijn met - en het voldoen aan - van toepassing zijnde regels en vereisten, persoonlijke verantwoordelijkheid in deze, basismaatregelen zoals het melden van incidenten en wachtwoordbeveiliging, contactpunten en bronnen voor aanvullende informatie, advies, en materialen, en een afsluitende evaluatie of toets van inzicht.
• Het bewustwordingsprogramma dient (bij voorkeur): rekening te houden met de rollen van personeel (inclusief intern en extern personeel), regelmatig en gespreid uitgevoerd te worden, en voort te bouwen op lering getrokken uit informatiebeveiligingsincidenten.
• Voor technische teams met rollen die specifieke vaardigheden en deskundigheid vereisen, dient de organisatie een passend trainingsplan vast te stellen, voor te bereiden en te implementeren.
• Medewerkers dienen periodiek getraind te worden, en waar nodig bij wijzigingen in de rolomschrijving.

Definities
ISMS: Information Security Management System, de Engelse term voor het managementsysteem voor informatiebeveiliging.

Gedragsregels en procedures voor het aanvaardbaar (en onaanvaardbaar) gebruik van informatie en andere bedrijfsmiddelen zijn vastgesteld en geïmplementeerd.

Vereisten

• De gedragsregels dienen de verantwoordelijkheden van medewerkers te beschrijven ten aanzien van het omgaan met informatie waar zij toegang toe hebben en bedrijfsmiddelen waar zij over beschikken. Hierin dient duidelijk te worden beschreven welk gebruik aanvaardbaar is en welk gebruik onaanvaardbaar is, inclusief een disciplinaire procedure bij inbreuk op de informatiebeveiliging.
• Iedere medewerker (inclusief iedere andere belanghebbende) dient te erkennen dat hij/zij de gedragsregels en procedures begrijpt en ermee instemt het beleid na te leven waar van toepassing.
• De organisatie dient te overwegen om slechts toegang tot bedrijfsinformatie te verlenen nadat het beleid is erkend door de betreffende medewerker of andere stakeholder.
• De gedragsregels en procedures dienen te worden gedocumenteerd, gepubliceerd, gecommuniceerd, en actueel gehouden.

Alle personen die uit dienst treden ondergaan een exit proces. Dit proces omvat het tijdig intrekken van verstrekte identiteiten, toegangsrechten en bedrijfsmiddelen.

Vereisten

• Het management dient een exit proces in te richten dat erop toeziet dat toegangsrechten tijdig en volledig worden ingetrokken, en verstrekte bedrijfsmiddelen (e.g. laptops) worden geretourneerd door de medewerker (of derde) en veilig worden gewist, opgeslagen en/of vernietigd.
• Het proces dient erop toe te zien dat wachtwoorden van gedeelde accounts die blijven bestaan worden gewijzigd
• Opslagmedia die gebruikt zijn om informatie op te slaan en te transporteren dienen op een veilige en beveiligde manier te worden opgeslagen (evt. met fysieke beveiliging) dan wel vernietigd. Dit dient te gebeuren conform de vereisten volgend uit de classificatie van de verwerkte informatie.
• Er wordt aangeraden om 'exit checklist' die toeziet op het volledig afronden en documenteren van dit proces.

Configuraties, met inbegrip van beveiligingsconfiguraties, van hardware, software, diensten en netwerken behoren te worden vastgesteld en beheerd.

Vereisten

• De organisatie behoort standaardconfiguraties te definiëren die: gebaseerd zijn op openbare richtlijnen (bijv. 'system hardening guidelines' van verkopers of beveiligingsorganisaties), een afdoende beveiligingsniveau bieden (voor type en classificatie van het bedrijfsmiddel), ondersteunend zijn aan het ISMS, en haalbaar en toepasselijk zijn voor de organisatie.
• Voorbeelden van standaardconfiguraties: minimaliseren van identiteiten met toegang en speciale toegang, beperking van onnodige functies en diensten, kloksynchronisatie, en verificatie van voldoen aan licentie-eisen.
• Er wordt aangeraden waar mogelijk 'infrastructure as code' of andere configuratie-automatiseringstechnieken toe te passen waar mogelijk.
• De standaardconfiguraties dienen te worden gedocumenteerd, geïmplementeerd, gemonitord, regelmatig beoordeeld, en actueel gehouden.

Definities
ISMS: Information Security Management System, de Engelse term voor het managementsysteem voor informatiebeveiliging.

Groepen informatiediensten, gebruikers en informatiesystemen zijn logisch of fysiek gescheiden van elkaar (gesegmenteerd).

Vereisten

• Groepen van informatie services, gebruikers, en informatiesystemen (bijv. virtual machines, WANs, en wi-fi netwerken) dienen gedefinieerd en in het organisatienetwerk van elkaar gescheiden te worden. Dit kan aan de hand van informatiebeveiligingscriteria (bijv. openbaar toegankelijk domein, bureaubladdomein, serverdomein, systemen met laag of hoog risico), organisatie afdelingen (bijv. personeelszaken, financiën, marketing), of een combinatie van beiden.
• Netwerkgrenzen, en in het bijzonder buitengrenzen van elk domein en met het internet, dienen gedefinieerd te zijn en te worden beheerst door een gateway (bijv. firewall).
• Draadloze toegangsnetwerken voor gasten behoren te worden gescheiden van die voor personeel.

Er is een veilige netwerkarchitectuur gedefinieerd en geïmplementeerd voor netwerken en netwerkapparatuur (bijv. routers), inclusief beschrijving waar netwerken en informatiestromen logisch of fysiek zijn gescheiden van elkaar (gesegmenteerd).

Vereisten

• De organisatie dient een veilige netwerkarchitectuur vast te stellen voor netwerken en netwerkapparaten waarbij er met de volgende zaken gehouden dient te worden: het soort informatie en classificatieniveau van informatie dat het netwerk kan ondersteunen, verantwoordelijkheden en procedures voor het beheer, scheiding van operationele verantwoordelijkheden voor netwerken en systemen, maatregelen voor de beveiliging van openbare en draadloze netwerken, logging & monitoring van netwerkgebeurtenissen, en coördinatie van netwerkbeheeractiviteiten.
• Netwerkschema's en configuratiebestanden van apparatuur dienen te worden gedocumenteerd en actueel gehouden.

User endpoint devices (incl. mobiele apparaten) worden geregistreerd en gemonitord in een endpoint management oplossing (bijvoorbeeld een MDM).

Vereisten

• Alle endpoint devices die door medewerkers worden gebruikt om bedrijfsinformatie te verwerken of te raadplegen, worden geregistreerd in een endpoint management oplossing (bijvoorbeeld een MDM-systeem)
• De beveiliging van user endpoints dient periodiek te worden beoordeeld om er zeker van te zijn dat deze in overeenstemming is met de veilige standaardconfiguratie.

Definities
User endpoint device: Elk apparaat dat informatie opslaat of verwerkt (bijv. laptops, mobiele apparaten), of het nu eigendom is van de organisatie of particulier eigendom is en wordt gebruikt namens de organisatie [bring your own device (BYOD)].
MDM: Mobile device management. Een systeem waarmee organisaties mobiele apparaten beheren en onderhouden. Dit kunnen laptops of telefoons zijn, maar tegenwoordig zijn ook virtuele machines en IoT-apparaten te beheren met sommige MDMs.

Regels en procedures voor het veilig wijzigen en bijwerken van informatiesystemen zijn gedefinieerd en geïmplementeerd.

Vereisten

• Het beleid dient van toepassing te zijn op de implementatie van nieuwe software en systemen, grote wijzigingen aan bestaande software en systemen, configuratiewijzigingen, en (belangrijke) software updates (ook voor ingekochte software).
• Het beleid dient de volgende zaken te bevatten: impact bepaling, planning, autorisatie, communicatie, testen, goedkeuren, implementatie, en documentatie van wijzigingen, noodwijzigingen, fall-back scenarios, en het bijwerken van continuïteitsplannen waar nodig en van toepassing.
• Het beleid dient te worden gedocumenteerd en actueel gehouden.

Er zijn procedures opgesteld voor operationele activiteiten die verband houden met informatiebeveiliging.

Vereisten

• De organisatie dient procedures op te stellen voor activiteiten die aan de volgende eisen voldoen:
  a) de activiteit moet door veel mensen op dezelfde manier worden uitgevoerd of overgedragen kunnen worden aan iemand anders;
  b) de activiteit is nieuw of wordt zelden uitgevoerd en vormt een risico als deze niet correct wordt uitgevoerd;
• Procedures dienen te worden gedocumenteerd en actueel gehouden.

Voorbeelden van relevante operationele activiteiten:

• Hoe systemen te installeren en configureren
• Hoe bepaalde informatie te verwerken of af te handelen
• Hoe back-ups en restores uit te voeren
• Hoe de onderlinge planningsafhankelijkheden tussen systemen te beheren
• Hoe om te gaan met fouten of andere uitzonderlijke omstandigheden
• Hoe u om externe ondersteuning kunt vragen en onverwachte technische problemen kunt escaleren
• Hoe u met opslagmedia moet omgaan
• Hoe u systemen of services opnieuw kunt opstarten
• Hoe u met audittrails en systeemlogboeken kunt omgaan
• Hoe u services kunt controleren op capaciteit, prestaties en beveiliging
• Hoe u deze systemen, netwerken en applicaties kunt onderhouden

Strategieën en plannen voor het beschikbaar houden, herstellen, en veilig houden van de dienstverlening bij verstoringen zijn gedefinieerd en geïmplementeerd.

Vereisten

• Het bedrijfscontinuïteitsplan behoort de volgende zaken te bevatten:
  a) beschikbaarheidseisen voor informatiemiddelen (bijv. RTO, RPO, MASL), of deze te ontlenen aan een uitgevoerde bedrijfsimpactanalyse (BIA).
  b) maatregelen waarmee de organisatie de beschikbaarheid conform de eisen in stand houdt (bijv. regelmatig back-ups van informatie en redundantie van informatieverwerkende faciliteiten)
  c) processen om die beheersmaatregelen in stand te houden tijdens een verstoring , en
  d) compenserende maatregelen waar dit niet mogelijk is.
  e) het regelmatig evalueren van het plan door middel van oefeningen en noodhersteltests (disaster recovery tests). De benodigde frequentie en diepgang hiervan hangen af van het risicoprofiel van de organisatie en complexiteit van IT systemen.
• De organisatie dient een back-upbeleid op te stellen waarin de volgende zaken dienen te worden overwegen: het maken van accurate en volledige back-ups, gedocumenteerde herstelprocedures, uitvoer conform de vereisten van de business (RTO en RPO), veilige opslag van back-ups, encryptie van back-ups, en retentie van back-ups met het in aanmerking nemen van informatiebeleid en relevante wet -en regelgeving.
• Het beleid dient te worden gedocumenteerd, goedgekeurd (door management), en actueel gehouden.

Definities
MASL: Minimum Acceptable Service Level
RPO: Recovery Point Objective
RTO: Recovery Time Objective

Een bedrijfsimpactanalyse dient uitgevoerd te worden om de impact in de tijd als gevolg van de verstoring van bedrijfsactiviteiten die producten en diensten leveren te beoordelen.

Vereisten

• De bedrijfsimpactanalyse (BIA) dient tot een classificatie per relevant bedrijfsmiddel te leiden en daarbij gebruik te maken van impactsoorten (bijv. financiële impact, operationele impact) en -criteria (beschikbaarheid, integriteit, vertrouwelijkheid) om de impact (met omvang en duur) te beoordelen voor de organisatie en bedrijfsactiviteiten die producten en diensten leveren.
• Ten behoeve van het continuïteitsbeleid dienen in de BIA aan bedrijfsmiddelen met (hoge) eisen aan beschikbaarheid een hersteltijddoelstelling (RTO) te worden toegekend. De BIA kan worden uitgebreid met het toekennen van prestatie-eisen (bijv. MASL) en tijdpunt voor gegevensherstel (RPO).

Definities
MASL: Minimum Acceptable Service Level
RPO: Recovery Point Objective
RTO: Recovery Time Objective

Er worden periodiek noodhersteltests (disaster recovery tests) uitgevoerd.

Vereisten

• De organisatie dient periodiek vast te stellen of beschikbaarheid dan wel herstel van bedrijfsprocessen mogelijk zijn conform de vereisten van het bedrijfscontinuïteitsplan.

Definities
Disaster recovery test: Een oefening die wordt uitgevoerd om de effectiviteit van het bedrijfscontinuïteitsplan te valideren en verbeterpunten te identificeren. Tests kunnen simulaties van verschillende scenario's omvatten om de paraatheid van een organisatie te beoordelen en de responsmogelijkheden te verbeteren, en, waar van toepassing, de omschakeling van kritieke bedrijfsfuncties, ondersteunende processen en informatiemiddelen naar de disaster recovery omgeving.

Incidenten worden adequaat verholpen, gerapporteerd en geëvalueerd om gevolgen te beperken, diensten veilig te houden of deze te herstellen, en om toekomstige incidenten te voorkomen.

Vereisten

• Het verhelpen en rapporteren van incidenten vindt plaats conform het incidentresponsplan
• Significante en verstorende incidenten worden zonder vertraging gerapporteerd aan het management en externe instanties in overeenstemming met de toepasselijke wet- en regelgeving.
• Kennis die is opgedaan met informatiebeveiligingsincidenten behoort te worden gebruikt om de beheersmaatregelen voor informatiebeveiliging te versterken en te verbeteren.

Een plan voor het omgaan met informatiebeveiligingsincidenten is gedefinieerd en geïmplementeerd.

Vereisten

• De organisatie behoort processen op stellen voor:
  a) het beoordelen informatiebeveiligingsgebeurtenissen en registreren van de uitkomsten hiervan.
  b) het identificeren, melden, registreren, classificeren, prioriteren, analyseren, communiceren, coördineren, evalueren, verhelpen, rapporteren van - en lering trekken uit - incidenten.
  c) het identificeren, verzamelen, verkrijgen en bewaren van bewijs met betrekking tot informatiebeveiligingsgebeurtenissen.
• De processen dienen te worden gedocumenteerd en actueel gehouden.

Informatiebeveiligingsgebeurtenissen worden beoordeeld en er wordt beslist of ze moeten worden gecategoriseerd als informatiebeveiligingsincidenten.

Vereisten

• Informatiebeveiligingsgebeurtenissen worden beoordeeld en aan de hand van vastgestelde criteria gecategoriseerd en geprioriteerd in overeenstemming met het incidentresponsplan.
• Resultaten van de beoordeling en het besluit behoren in detail te worden geregistreerd ten behoeve van toekomstige raadpleging en verificatie.
• De organisatie dient bewijs met betrekking tot informatiebeveiligingsgebeurtenissen te identificeren, verzamelen, verkrijgen en bewaren.
• De organisatie dient te kunnen aantonen dat: incidentregistratie en -bewijs volledig en niet gemanipuleerd zijn, kopieën overeenkomen met originelen, en dat informatiesystemen naar behoren draaiden ten tijde van de bewijsregistratie.
• Het wordt aanbevolen om vroeg juridische hulp of wetshandhaving in te schakelen bij het vermoeden van wetsovertredingen, om te voorkomen dat bewijsmateriaal bewust of per ongeluk verwijderd wordt.

Regels en procedures voor het beheersen van informatiebeveiligingsrisico's in verband met het gebruik van door leveranciers geleverde producten en diensten zijn gedefinieerd en geïmplementeerd.

Vereisten

• De organisatie dient hierin de processen en procedures waarvan de organisatie vereist dat de leverancier ze implementeert om te starten met (of voor de beëindiging van) het gebruik van de producten of diensten van een leverancier.
• De organisatie dient hierin tevens de volgende processen en procedures te beschrijven die ze zelf implementeert, waaronder:
  a) het vaststellen en documenteren van soorten leveranciers, producten en diensten die een informatiebeveiligingsrisico kunnen vormen, inclusief hoe deze vervolgens worden geëvalueerd en geselecteerd;
  b) het alleen selecteren van leveranciers, producten en diensten met een laag risico, toereikende beheersmaatregelen voor informatiebeveiliging, of toereikende compenserende maatregelen;
  c) het beheersen van risico's veroorzaakt door het gebruik door leverancier van informatie en andere bedrijfsmiddelen van de organisatie, en door kwetsbaarheden of verstoring in geleverde producten en diensten;
  d) het monitoren van elk soort leverancier en elk soort toegang, en maatregelen te nemen waar leveranciers niet voldoen aan de informatiebeveiligingseisen;
  e) het omgaan met incidenten en noodsituaties
  f) eisen aan personeel van de eigen organisatie en die van de leverancier
  g) het veilig beëindigen van leveranciersrelaties.
• Het beleid dient ook toegepast te worden voor cloud service providers, bij het outsourcen van ontwikkelwerkzaamheden, en opgelegd aan de gehele ICT-toeleveringsketen van leveranciers.
• Het beleid dient te worden gedocumenteerd, gecommuniceerd, en actueel gehouden.

Definities
Informatiebeveiligingsrisico: Een risico dat, wanneer het optreedt impact kan hebben op de beschikbaarheid, integriteit, en/of vertrouwelijkheid (BIV) van informatie van de organisatie