Applicatiecheck
Toont uit de applicatie zelf aan wat de BIO2 van een kritische applicatie vraagt: de configuratie-export en een logsample worden deterministisch getoetst, AI helpt alleen bij het lezen van bewijs, en een mens beslist. Voor ISO's en CISO's bij publieke organisaties die een zaaksysteem, financieel pakket of ander kritisch systeem periodiek willen toetsen zonder vinkjeslijst.
Status: concept. Ontwerp en bewijsmodel; nog geen werkende code. Deze pagina is het ontwerp.
Voor wie
ISO's en CISO's die een kritische applicatie in eigen beheer of bij een leverancier hebben en willen weten wat die applicatie zélf kan aantonen van de BIO2, en wat je er nooit uit gaat halen. Functioneel beheerders die de export leveren. Later ook leveranciers, die met hetzelfde instrument hun bewijs kunnen aanleveren bij inkoop.
Snel starten
Er is nog niets te draaien. Lees het ontwerp hieronder. Herken je het, heb je een export of een
logfragment van een zaaksysteem dat je geanonimiseerd kunt delen, of weet je waarom dit niet gaat werken:
open een issue met het label idee of een
discussion.
Bijdragen
Zie de CONTRIBUTING van de organisatie: daar staat per project een formulier, ook zonder Git-ervaring.
Licentie
EUPL-1.2, zie LICENSE.
Het idee
De BIO2 schrijft voor kritische applicaties een reeks maatregelen voor: wie erin mag, hoe je inlogt, wat er gelogd wordt, hoe lang de log bewaard blijft, of de klok klopt, of gegevens versleuteld zijn. Of een applicatie daaraan voldoet wordt nu getoetst met een vragenlijst aan de beheerder of de leverancier. Het antwoord is dan een vinkje, en een vinkje is geen bewijs.
De applicatie zelf weet het beter. Een configuratie-export zegt wat er is ingesteld. Een logfragment zegt wat er gebeurt. Wie die twee naast de BIO2-tekst legt, kan voor een deel van de maatregelen zonder interpretatie zeggen: dit is aangetoond, dit is gedeeltelijk aangetoond, en dit is uit de applicatie niet aantoonbaar. Dat laatste hardop zeggen is net zo veel waard als het eerste.
Applicatiecheck doet precies dat, in de browser, met de bron in JSON en de regels leesbaar voor iedereen die ze wil bekritiseren. Zelfde snit als de zelfcheck en de CSIR Assessment Tool: één HTML-bestand, geen server, geen account, en het bewijs verlaat je eigen apparaat niet.
Wat het niet is
Het landschap is al bezet, en dit instrument past ertussen zonder iets te dubbelen.
| Vraag | Woont in | Applicatiecheck doet dat niet |
|---|---|---|
| Wat zegt mijn Entra, firewall en SIEM over mijn organisatie? | security-posture-tool | De eenheid is hier één applicatie, niet het landschap. |
| Hoe beheer ik mijn ISMS, risico's en de bestuurlijke rapportage? | je eigen managementsysteem | Applicatiecheck levert bewijs als dossier; de commons houdt geen register bij. |
| Hoe maak ik een héle norm uitvoerbaar, met een regeltaal? | policy-as-code | Dit is de eerste concrete uitwerking van dat idee, voor één kader en één eenheid. |
| Hoe richt ik logging, toegang of cryptografie goed in? | kennisbank | Applicatiecheck stelt vast, de kennisbank legt uit hoe. |
Vier soorten bewijs
Van de 148 maatregelen in de BIO2 is een minderheid uit een applicatie af te leiden. Het instrument legt
per maatregel vast welke soort bewijs geldt, en die indeling is het eerste product, ook zonder tool: zie
indeling.md, gegenereerd uit bewijs.json.
| Bewijssoort | Wat het bewijst | Deterministisch | Waar AI mag helpen |
|---|---|---|---|
| A. Configuratie-export | wat is ingesteld: rollen, wachtwoord- en sessiebeleid, MFA, logvelden, encryptie | regel per veld, parser per applicatie | een onbekend exportformaat naar feiten vertalen |
| B. Logsample | wat er gebeurt: wie, wat, wanneer, uitkomst; tijdstempels; wat er níet in hoort | veldencheck, tijdstempel en tijdzone, PII-scan, tijdspanne | niets, hooguit de bevinding formuleren |
| C. Document of schermafbeelding | wat A en B niet raken | nee | extractie naar feiten, altijd met menselijke bevestiging |
| D. Niet uit de applicatie | proces en organisatie: beleid, eigenaarschap, beoordeling van logs, wijzigingsbeheer | n.v.t. | n.v.t.; het instrument zegt eerlijk "hier niet aantoonbaar" |
Waar A en B elkaar raken, geldt B als het hardste bewijs. Een instelling "audit logging: aan" bewijst maatregel 8.15 (Logging) niet; een logfragment met de verplichte velden wel. Hetzelfde geldt voor 8.17 (Kloksynchronisatie) en deels voor 8.05 (Beveiligde authenticatie) en 5.18 (Toegangsrechten): daar zit het bewijs in wat er gebeurd is, niet in wat er is ingesteld.
Een logsample is een structuurtoets, geen gedragsmeting. De laatste vierentwintig uur of de laatste duizend regels zijn genoeg om te zien of de verplichte velden er staan, of de tijdstempel bruikbaar is en of er geen wachtwoorden of burgerservicenummers in de log lekken. Of er ook naar de log wordt gekeken (8.16) en of de retentie klopt over maanden, is werk voor de SIEM en voor security-posture-tool.
Drie ontwerpregels
- AI extraheert en formuleert, oordeelt nooit. Een taalmodel mag een schermafbeelding of een onbekend exportformaat omzetten naar gestructureerde feiten, en mag een bevinding leesbaar opschrijven. Het oordeel "aangetoond, gedeeltelijk, niet aantoonbaar" is een regel over die feiten, en die regel staat in de repo. Een auditor moet kunnen nalezen waar het vinkje vandaan komt.
- Bewijs levert bewijs vóór een maatregel, nooit "voldoet aan". Dezelfde richting als de
normverankering in
aanvalspaden: het instrument zegt wat dit bewijs ondersteunt, niet dat de organisatie aan de BIO voldoet. Dat oordeel blijft bij de mens die het dossier tekent. - Bewijs verlaat het apparaat niet. Alles rekent in de browser. Wie AI wil inzetten, gebruikt een eigen sleutel of de bestaande proxy van de commons, en een logsample gaat eerst door dezelfde anonimisering als in anonimizer-browser voordat er iets naar een model gaat.
Wat eruit komt
Een dossier per applicatie, per maatregel: de BIO2-tekst woordelijk, de bewijssoort, het bewijs met een hash en een peildatum, de uitkomst van de regel, een verantwoordelijke, en waar de uitkomst afwijkt een onderbouwing (comply or explain). Het dossier is te bewaren als bestand en uit te draaien, zoals bij de CSIR Assessment Tool. Wat de applicatie niet kan aantonen staat er ook in, met de reden, zodat het dossier compleet is en niet alleen flatteus.
Hoe het gebouwd wordt
- Eén bron voor de BIO2-tekst:
cisochat/data/bio2.json, gekopieerd met de commit-hash van de bron erin, zoalsaanvalspaden/mappingen/bronnen/dat doet. De tekst van een maatregel wordt hier nooit met de hand overgetypt. - Regels als data: per maatregel een leesbare regel in JSON (welke velden, welke waarden, welke bewijssoort), met een referentie-implementatie in Python en dezelfde regel in de pagina. Een test bewaakt dat beide hetzelfde antwoord geven.
- Parser per applicatie: een exportformaat is per pakket anders. De eerste parser volgt de eerste toepassing (zie hieronder); een generiek CSV/JSON-formaat vangt de rest tot er meer parsers zijn.
- Testmateriaal is synthetisch of geanonimiseerd. Een echte export van een productiesysteem komt niet in deze repo, ook niet als fixture. Wie er een wil delen, haalt hem eerst door de anonimizer (statuut A9).
Eerste toepassing
Een zaaksysteem. Rollen, autorisaties en de auditlog zijn daar rijk, de export komt meestal uit het beheerdersportaal van de leverancier, en bijna elke gemeente heeft er een. Wat de eerste parser precies leest, wordt vastgelegd in het bouwplan in de plannen van de organisatie.
Meedenken
Drie vragen waar we het antwoord nog niet op hebben:
- Welke van de 148 maatregelen horen bij A, B, C of D? Een eerste, voorlopige indeling staat in
indeling.md (bron:
bewijs.json); wie er een zaaksysteem naast legt, ziet vast dingen die wij missen. - Hoe ziet een configuratie-export van jouw zaaksysteem eruit, en mag een geanonimiseerde versie als fixture dienen?
- Regels in JSON, of een bestaande regeltaal? De eerste is leesbaar voor niet-ontwikkelaars, de tweede is uitwisselbaar. We beginnen met de eerste tot iemand aantoont dat het knelt.
Open een issue met het label idee of een
discussion. Open source onder EUPL-1.2.
Indeling: welk bewijs per maatregel
Van de 148 overheidsmaatregelen in BIO2 kan een gekochte applicatie er 33 geheel of gedeeltelijk zelf aantonen uit configuratie (A) of log (B). Voor 21 ligt het bewijs in een document of schermafbeelding (C), en 94 liggen buiten de applicatie (D). Peildatum 2026-09-02; status van elke rij: bevestigd.
Per overheidsmaatregel: uit welk soort bewijs een applicatie hem kan aantonen (A, B, C) of dat het bewijs buiten de applicatie ligt (D). Kader: CIP BIO Thema-uitwerking Softwarepakketten (gekochte applicatie); ASVS-verwijzingen via OpenCRE als aanwijzing wat het bewijs moet bevatten. Uitgangspunt is een applicatie als SaaS bij de leverancier met SSO via de centrale identity provider; eigen hosting of lokale authenticatie staat waar het uitmaakt in de motivering. Status bevestigd: per familie langsgelopen op 02-09-2026 en dezelfde dag naast de CIP Thema-uitwerking Softwarepakketten v2.0 gelegd (veld cip).
Bron van de maatregelen: bronnen/bio2.json, BIO2 v1.3 definitief - 9 januari 2026 (cisochat, commit 0d2de8b9). De teksten van de maatregelen staan daar; hier staan nummer, titel en de indeling.
Kolom CIP: het object uit de BIO Thema-uitwerking Softwarepakketten (2.0 definitief, mei 2026 (BIO2 1.3 verwerkt)) dat de maatregel raakt; B = beleid, U = uitvoering, C = control. Alleen objectnummers, geen overgenomen tekst (CC BY-NC-SA).
| Soort | Betekenis | Aantal (eerste soort) |
|---|---|---|
| A | Configuratie-export: wat is ingesteld. Regel per veld, parser per applicatie. | 29 |
| B | Logsample: wat er gebeurt. Structuurtoets op de laatste 24 uur of 1000 regels; geen gedragsmeting. | 4 |
| C | Document of schermafbeelding: wat A en B niet raken. AI-extractie, altijd met menselijke bevestiging. | 21 |
| D | Niet uit de applicatie: proces en organisatie. Het instrument zegt dit hardop. | 94 |
A. Configuratie-export (29)
| Nr | Titel | Soort | Bron | Wat het bewijs moet bevatten | ASVS | CIP | Motivering |
|---|---|---|---|---|---|---|---|
| 5.03.01 | Functiescheiding | A | eigen | Rollenexport uit de beheeromgeving plus een door de gebruiker ingevoerde lijst van onverenigbare rolcombinaties; de regel zoekt accounts die twee onverenigbare rollen tegelijk hebben. | V4.1 | U.10 | Functiescheiding is beleid, maar of hij standhoudt staat in de rollenexport. CIP U.10.2: onverenigbare autorisaties zijn geïdentificeerd; die lijst is de invoer, de toets is deterministisch. Bevestigd als A op 02-09-2026. |
| 5.12.01 | Classificeren van informatie | A | eigen | Classificatieniveaus (vertrouwelijkheidsaanduidingen) zoals geconfigureerd per zaaktype of document, en of ze verplicht zijn. | Het classificatieschema is organisatie; de vertaling naar niveaus in de applicatie is een instelling. | ||
| 5.14.01 | Overdragen van informatie | A | eigen | Koppelingenlijst: welke koppelingen (ZGW/StUF-API's, e-mail, DMS, uitwisselingsdiensten) aan staan, met welke authenticatie en versleuteling per koppeling. | V13 | U.12 | Welke overdracht plaatsvindt en hoe die beveiligd is, staat in de koppelingenconfiguratie; het beleid erachter is D. CIP U.12 (API's, ASVS V13): veilige API's voor import en export, geen sleutels of tokens in URL's; de koppelingenlijst is de klantkant, de API-eigenschappen zijn leverancierskant (C). |
| 5.15.01 | Toegangsbeveiliging | A | eigen | Instellingen voor toegestane herkomst: SSO-eis via de centrale identity provider, IP- of zonebeperking, apparaatvereiste. | V4 | De vertrouwde zone zelf is infrastructuur; wat de applicatie eist van wie binnenkomt staat in de configuratie. | |
| 5.16.01 | Identiteitsbeheer | A + B | eigen | Accountlijst: unieke, persoonsgebonden accounts, koppeling aan de centrale identity provider, geen gedeelde accounts; in de log: aanmaken en verwijderen van accounts. | V2.1 | U.08 | De tekst in de bron (AdES, registratie internetfacing) wijkt af van de titel; ingedeeld op de ISO-maatregel identiteitsbeheer. CIP U.08.1: gebruikers kunnen veilig worden toegevoegd, verwijderd en bijgewerkt; de accountlijst en de log bewijzen dat. |
| 5.16.02 | Identiteitsbeheer | A + B | eigen | Als 5.16.01; daarnaast de registratie van de applicatie als internetfacing voorziening (D, buiten de applicatie). | V2.1 | U.08 | Zie 5.16.01. CIP U.08.1: gebruikers kunnen veilig worden toegevoegd, verwijderd en bijgewerkt; de accountlijst en de log bewijzen dat. |
| 5.17.01 | Authenticatie-informatie | A + C | eigen | SSO afgedwongen via de centrale identity provider; geen lokale wachtwoordaccounts, of alleen noodaccounts met MFA en einddatum. De MFA-instelling zelf staat bij de identity provider: schermafbeelding van dat beleid (C). | V2 | U.08 | Bij een zaaksysteem met SSO dwingt de identity provider MFA af, niet de applicatie; de applicatie bewijst dat er geen weg omheen is. Bij lokale authenticatie geldt de oude lezing: MFA-instelling en inlogs zonder tweede factor in de log. CIP U.08 zegt letterlijk dat dit object voor softwarepakketten alleen relevant is als de onderliggende infrastructuur (de identity provider) er niet in voorziet; dat is de SSO-lezing. |
| 5.17.02 | Authenticatie-informatie | A + C | eigen | SSO afgedwongen via de centrale identity provider; geen lokale wachtwoordaccounts, of alleen noodaccounts met MFA en einddatum. De MFA-instelling zelf staat bij de identity provider: schermafbeelding van dat beleid (C). | V2 | U.08 | Bij een zaaksysteem met SSO dwingt de identity provider MFA af, niet de applicatie; de applicatie bewijst dat er geen weg omheen is. Bij lokale authenticatie geldt de oude lezing: MFA-instelling en inlogs zonder tweede factor in de log. CIP U.08 zegt letterlijk dat dit object voor softwarepakketten alleen relevant is als de onderliggende infrastructuur (de identity provider) er niet in voorziet; dat is de SSO-lezing. |
| 5.17.03 | Authenticatie-informatie | A + C | eigen | SSO afgedwongen via de centrale identity provider; geen lokale wachtwoordaccounts, of alleen noodaccounts met MFA en einddatum. De MFA-instelling zelf staat bij de identity provider: schermafbeelding van dat beleid (C). | V2 | U.08 | Bij een zaaksysteem met SSO dwingt de identity provider MFA af, niet de applicatie; de applicatie bewijst dat er geen weg omheen is. Bij lokale authenticatie geldt de oude lezing: MFA-instelling en inlogs zonder tweede factor in de log. CIP U.08 zegt letterlijk dat dit object voor softwarepakketten alleen relevant is als de onderliggende infrastructuur (de identity provider) er niet in voorziet; dat is de SSO-lezing. |
| 5.18.01 | Toegangsrechten | A + B | eigen | Rollen- en autorisatiematrix (wie mag wat), lijst van accounts met rol; in de log: toekennen en intrekken van rechten, laatste inlog per account (inactieve accounts met rechten). Bron: export uit de beheeromgeving (gebruikers, gebruikersrollen, rechten per zaaktype); bestaat die niet, dan schermafbeelding (C). | V4.1 | U.10 | De tekst in de bron herhaalt de MFA-tekst van 5.17; ingedeeld op de ISO-maatregel toegangsrechten. CIP U.10: rechten geordend in autorisatiegroepen, scheiding van niet verenigbare autorisaties; de export van groepen en toewijzingen is het bewijs. |
| 5.18.02 | Toegangsrechten | A + B | eigen | Als 5.18.01; de periodieke beoordeling zelf is proces (D). Bron: export uit de beheeromgeving (gebruikers, gebruikersrollen, rechten per zaaktype); bestaat die niet, dan schermafbeelding (C). | V4.1 | U.10 | Zie 5.18.01. CIP U.10: rechten geordend in autorisatiegroepen, scheiding van niet verenigbare autorisaties; de export van groepen en toewijzingen is het bewijs. |
| 5.28.01 | Verzamelen van bewijsmateriaal | A | eigen | Retentie-instelling per audittype op minimaal drie jaar voor de loggegevens die bij een incident nodig zijn; de bewaring van de overige incidentinformatie is D. | V7.1 | BIO2 noemt logging expliciet; de retentietermijn is deterministisch uit de instelling te lezen. | |
| 5.33.01 | Beschermen van registraties | A + C | eigen | Bewaartermijnen en vernietigingsregels zoals ingesteld in de applicatie (koppeling aan de selectielijst), en of ze actief zijn. | U.06 | Voor een zaaksysteem de kern van de Archiefwet; de instelling is aantoonbaar, de toets op werking is proces. Bevestigd als A. CIP U.06.5: gegevens alleen zo lang bewaren als nodig; de retentie-instelling is het bewijs. | |
| 8.02.01 | Speciale toegangsrechten | A + B | eigen | Lijst van accounts met beheerrol of speciale bevoegdheid; in de log: gebruik van die bevoegdheden. De kwartaalbeoordeling zelf is proces (D). Bron: export uit de beheeromgeving (gebruikers, gebruikersrollen, rechten per zaaktype); bestaat die niet, dan schermafbeelding (C). | V4.3 | U.10 | Opzet en bestaan komen uit de applicatie; de beoordeling niet. CIP U.10: rechten geordend in autorisatiegroepen, scheiding van niet verenigbare autorisaties; de export van groepen en toewijzingen is het bewijs. |
| 8.03.01 | Beperking toegang tot informatie | A | eigen | Autorisatiemodel voor informatie met specifiek belang: afgeschermde zaaktypen of vertrouwelijkheidsniveaus en welke rollen daarbij mogen. Bron: export uit de beheeromgeving (gebruikers, gebruikersrollen, rechten per zaaktype); bestaat die niet, dan schermafbeelding (C). | V4.1 | U.09 | Isolatie van gevoelige informatie is in een zaaksysteem een instelling. |
| 8.03.02 | Beperking toegang tot informatie | A + B | eigen | Rollenmatrix op need-to-know; in de log: toegang tot afgeschermde zaken door rollen die dat niet nodig hebben. Bron: export uit de beheeromgeving (gebruikers, gebruikersrollen, rechten per zaaktype); bestaat die niet, dan schermafbeelding (C). | V4.1, V4.2 | U.09 | De matrix bewijst de opzet; de log laat zien of de afscherming standhoudt. CIP U.09.1 verwijst rechtstreeks naar BIO2 8.03.02: het autorisatiemechanisme is een producteigenschap, de inrichting is de export. |
| 8.05.01 | Beveiligde authenticatie | A + B + C | eigen | Twee regels. 1: leveranciersaccounts met einddatum, rechten en registratie van toekenning (A), gebruik in de log (B). 2: inloginstellingen: sessieduur en inactiviteitsvergrendeling, lockout na mislukte pogingen, neutrale foutmeldingen (A). Bescherming tegen brute force en password spraying en veilig sessietokenbeheer zijn leverancierseigenschappen (CIP U.05, U.08.3): verklaring of pentestrapport (C). | V2, V3 | U.05 | De BIO2-tekst gaat over leverancierstoegang; de ISO-maatregel over beveiligde authenticatie in het algemeen. Beide zijn instelling plus log. CIP U.05 (sessiebeheer) en U.08 (authenticatie) noemen time-out, tokenbeheer en robuustheid tegen raden; de time-out is een instelling, de rest is productgedrag dat de leverancier aantoont. |
| 8.07.01 | Bescherming tegen malware | A + C | eigen | Instelling dat uploads en downloads door de malwarescan gaan; bij een SaaS-dienst de verklaring van de leverancier. Ook: quotum en maximale bestandsgrootte voor uploads als instelling (CIP U.13.1 en .3). | V12.4 | U.13 | Een zaaksysteem ontvangt bestanden van buiten; of die gescand worden is een instelling of een dienstbelofte. CIP U.13 (gegevensimport, ASVS V12): detectie van ingesloten aanvallen, quota en bestandsgrootte. |
| 8.08.01 | Beheer van technische kwetsbaarheden | A + C | eigen | Versienummer uit de export; laatste release en releasedatum door de gebruiker ingevoerd met bron-URL; de regel rekent de achterstand in versies en dagen uit (A). Releasenotes en patch-SLA als document (C). Uiterste ondersteuningsdatum van de gebruikte versie uit de registratie van de leverancier (CIP U.01.2); versiehistorie uit de applicatie als die bestaat (CIP C.03.5). | V14.2 | U.01 | Of de applicatie bij is, is deterministisch zodra de laatste release bekend is; die voert de gebruiker in, met bron. CIP U.01 en C.03 leggen de registratie van ondersteunde versies en van patchactiviteiten bij de leverancier; de vergelijking met de eigen versie is het deel dat de applicatie zelf bewijst. |
| 8.09.01 | Configuratiebeheer | A | eigen | De configuratie-export zelf, als vastgelegde baseline; een tweede export laat afwijkingen zien. | V14.1 | Configuratiebeheer is precies wat een export bewijst: dit is de stand, en dit is er sindsdien veranderd. | |
| 8.10.01 | Wissen van informatie | A + B | eigen | Vernietigings- en retentie-instellingen; in de log: uitgevoerde vernietigingsacties met resultaat. | U.06 | Wissen van informatie is in een zaaksysteem een geconfigureerde en gelogde handeling. | |
| 8.12.01 | Voorkomen van gegevenslekken (data leakage prevention) | A | eigen | Export-, download- en bulkbeperkingen: welke rollen zaken en documenten mogen exporteren, bulkdownload, watermerk, e-mailbijlagen. | V4.1 | In een zaaksysteem is lekpreventie vooral een autorisatie-instelling; netwerk-DLP is landschap (D). | |
| 8.15.03 | Logging | A | eigen | Instelling welke logtypen aan staan (bijvoorbeeld audittypen per module); het organisatiebrede overzicht is D. | V7.1 | U.11 | Per applicatie is het overzicht een instelling. |
| 8.15.04 | Logging | A | eigen | Retentie-instelling per logtype; de risicoafweging erachter is D. | V7.1 | U.11 | De termijn staat in de configuratie; of hij risicogericht is, beslist een mens. CIP U.11.4 zegt letterlijk dat de bewaartermijn tot uitdrukking komt in de configuratie-instellingen van het softwarepakket. |
| 8.15.05 | Logging | A | eigen | Instelling dat de log naar een aparte of onveranderbare opslag gaat en wie de audittabel mag wijzigen; de melding als incident is D. | V7.3 | U.11 | Bescherming van de log is een instelling; de opvolging niet. |
| 8.18.01 | Gebruik van speciale systeemhulpmiddelen | A + B | eigen | Wie toegang heeft tot de beheeromgeving (rollen); in de log: gebruik van beheerfuncties. Bron: export uit de beheeromgeving (gebruikers, gebruikersrollen, rechten per zaaktype); bestaat die niet, dan schermafbeelding (C). | V4.3 | U.09 | Systeemhulpmiddelen van een applicatie zijn de beheerconsole en de importfuncties. CIP U.09.2: beheerdersfuncties worden extra beschermd. |
| 8.21.04 | Beveiliging van netwerkdiensten | A + C | eigen | Transportversleuteling uit de configuratie: alleen HTTPS, TLS-versies, HSTS (A); extern scanrapport (bijvoorbeeld internet.nl) als document met datum (C). Ook: certificaatverificatie en geen terugval naar onversleutelde communicatie als instelling (CIP U.07.4 en .5). | V9.1 | U.07 | De offline pagina doet zelf geen netwerkverkeer; de meting van buiten komt binnen als document. CIP U.07 bevestigt: afgedwongen versleuteling en geen terugval zijn configureerbaar en dus aantoonbaar. |
| 8.24.01 | Gebruik van cryptografie | A + C | eigen | Encryptie-instellingen voor opslag en transport, algoritmen (A); sleutelbeheer en scanrapport als document (C); het cryptografiebeleid is D. Wachtwoordopslag met hashing en salt is een leveranciersverklaring (CIP U.06.3); bij SSO niet van toepassing. | V6 | B.05 | Het beleid is organisatie; wat de applicatie toepast is configuratie of een leveranciersverklaring. CIP B.05 (beleid, D) en U.06/U.07 (opslag en transport, uitvoering) bevestigen de splitsing: beleid buiten, toepassing in de applicatie. |
| 8.32.01 | Wijzigingsbeheer | A + C | eigen | Verschil tussen de huidige export en de export van de vorige peildatum: welke instellingen, rollen en koppelingen zijn veranderd. Of die wijzigingen via wijzigingsbeheer gingen is D. Daarnaast van de leverancier: hoe wijzigingen vooraf geanalyseerd, getest en gecommuniceerd worden (CIP C.02.3 en .4). | V14.1 | C.02 | De configuratie-diff bewijst dát er is gewijzigd; het proces eromheen niet. CIP C.02 leest 8.32 als controle op het wijzigingsproces van de leverancier; de export-diff is wat de klant zelf ziet, de procesbeschrijving komt van de leverancier. |
B. Logsample (4)
| Nr | Titel | Soort | Bron | Wat het bewijs moet bevatten | ASVS | CIP | Motivering |
|---|---|---|---|---|---|---|---|
| 8.15.01 | Logging | B | eigen | Audit-export uit de applicatie zelf (bij JOIN: de tab-gescheiden export van de audittabel) waarin elke regel actie, object, resultaat, oorsprong, identiteit en tijdstip bevat. | V7.1 | U.11 | De hardste B: de velden staan in de BIO2-tekst en zijn deterministisch te toetsen op een sample. |
| 8.15.02 | Logging | B | eigen | Hetzelfde logsample als 8.15.01, zonder wachtwoorden, tokens, sessiesleutels of burgerservicenummers; dezelfde scan als de anonimizer. | V7.1 | U.11 | Wat er niet in mag staan is deterministisch te vinden. |
| 8.17.01 | Kloksynchronisatie | B | eigen | Logsample met tijdstempels in een eenduidig formaat met tijdzone, in monotone volgorde, zonder onverklaarbare sprongen ten opzichte van de exporttijd. | V7.1 | Kloksynchronisatie is alleen uit gedrag aantoonbaar; de NTP-instelling is infrastructuur. | |
| 8.18.02 | Gebruik van speciale systeemhulpmiddelen | B + A | eigen | Beheeracties in de log; retentie-instelling van dat logtype op minimaal een half jaar. | V7.1 | BIO2 noemt de termijn; die is een instelling, het loggen zelf is gedrag. |
C. Document of schermafbeelding (21)
| Nr | Titel | Soort | Bron | Wat het bewijs moet bevatten | ASVS | CIP | Motivering |
|---|---|---|---|---|---|---|---|
| 5.13.01 | Labelen van informatie | C | eigen | Schermafbeelding van de labelinstelling (vertrouwelijkheidsaanduiding per zaak of document) als de applicatie die kent. | Labelen is een organisatiemaatregel; alleen de ondersteuning in de applicatie is aantoonbaar. | ||
| 5.20.03 | Adresseren van informatiebeveiliging in leveranciersovereenkomsten | C | leverancier | Assurance-rapport of certificaat van een onafhankelijke derde met een scope die de dienst dekt (ISAE 3402, ISO 27001-certificaat met verklaring van toepasselijkheid, pentestrapport). | B.02 | De leverancier toont aan; het instrument registreert het bewijs met peildatum en scope. CIP B.02.1 en C.01.3: recht op audit en onafhankelijke auditrapporten als contractafspraak; het rapport zelf is het bewijs. | |
| 8.07.04 | Bescherming tegen malware | C | leverancier | Verklaring of rapport van de leverancier dat ontvangen bestanden gescand worden voor opslag. | U.13 | Bij een gehoste applicatie ligt de scan bij de leverancier. | |
| 8.08.02 | Beheer van technische kwetsbaarheden | C | leverancier | Patchbeleid en risicoafweging van de leverancier; eigen risicoafweging bij uitstel (D). | C.03 | De afweging zelf is proces; het beleid van de leverancier is een document. | |
| 8.08.03 | Beheer van technische kwetsbaarheden | C | leverancier | Als 8.08.02: welke mitigerende maatregelen de leverancier neemt als een patch niet binnen een week kan. | C.03 | Zie 8.08.02. | |
| 8.08.04 | Beheer van technische kwetsbaarheden | C | leverancier | Recent pentest- of kwetsbaarheidsrapport over de applicatie, met scope en datum. | C.03 | Een rapport is document-bewijs; het instrument registreert datum en scope, niet de inhoud. | |
| 8.08.05 | Beheer van technische kwetsbaarheden | C | leverancier | Pentestrapport per release of major update van een internetfacing applicatie. | C.03 | Zie 8.08.04. | |
| 8.08.06 | Beheer van technische kwetsbaarheden | C | leverancier | Gepubliceerde CVD-procedure van de leverancier; de eigen CVD-procedure is D. | C.03 | Bij een gekocht pakket komt een kwetsbaarheidsmelding bij de leverancier binnen. | |
| 8.11.01 | Maskeren van gegevens | C | eigen | Schermafbeelding van maskering of pseudonimisering waar de applicatie die toepast (bijvoorbeeld BSN in overzichten, testomgeving). | V8.3 | Niet elk pakket kent maskering; waar het bestaat is het een instelling, anders niet aantoonbaar. | |
| 8.13.03 | Back-up van informatie | C | leverancier | Beschrijving van de back-uplocatie en scheiding van de productielocatie; bij eigen hosting de back-upconfiguratie (A). | U.03 | Back-up van een gehoste applicatie is een dienstbelofte van de leverancier. | |
| 8.13.04 | Back-up van informatie | C | eigen | Verslag van de laatste hersteltest, met datum en uitkomst. | U.03 | De test is proces; het verslag is document-bewijs met peildatum. | |
| 8.14.01 | Redundantie van informatieverwerkende faciliteiten | C | leverancier | Architectuur- of SLA-beschrijving van redundantie bij de leverancier. | U.03 | Redundantie zit in de hostinglaag, niet in de applicatieconfiguratie. | |
| 8.16.03 | Monitoren van activiteiten | C | eigen | Schermafbeelding of exportregel die laat zien dat de applicatielog naar de SIEM gaat; de monitoring zelf is landschap (security-posture-tool). | U.11 | Applicatiecheck ziet alleen of de aansluiting er is. CIP U.11.2: te registreren acties worden centraal opgeslagen; de aansluiting op die centrale plek is wat de applicatie laat zien. | |
| 8.25.01 | Beveiligen tijdens de ontwikkelcyclus | C | leverancier | Verklaring of certificering van de leverancier over de beveiligde ontwikkelcyclus (SSDLC). | Bij een gekocht pakket ligt de ontwikkelcyclus bij de leverancier. | ||
| 8.27.01 | Veilige systeemarchitectuur en technische uitgangspunten | C | leverancier | Architectuurbeschrijving of verklaring over security by design en by default. | B.06 | Zie 8.25.01. CIP B.06.2: security by default, fail secure, defence in depth en default deny als toetsprincipes bij verwerving; een leveranciersverklaring per principe. | |
| 8.28.01 | Veilig coderen | C | leverancier | Verklaring over veilig coderen (richtlijnen, code review, statische analyse). | U.04 | Zie 8.25.01. CIP U.04 (invoer- en uitvoervalidatie, SSD-19/20, ASVS V12) legt dit bij de leverancier; een pentestrapport of SSD-verklaring is het bewijs. | |
| 8.29.01 | Testen van de beveiliging tijdens ontwikkeling en acceptatie | C | eigen | Testverslag van de laatste acceptatietest, met datum en resultaten. | U.02 | Het verslag is document-bewijs; de methodiek is proces. | |
| 8.30.01 | Uitbestede systeemontwikkeling | C | leverancier | Contractuele bepaling of verklaring dat de interne ontwikkelmaatregelen gelden voor uitbestede ontwikkeling. | Zie 8.25.01. | ||
| 8.31.01 | Scheiding van ontwikkel-, test- en productieomgevingen | C | leverancier | Beschrijving of contractbepaling van de leverancier dat een gescheiden testomgeving beschikbaar is; bij eigen hosting de omgevingsconfiguratie (A). | Bij SaaS is de testomgeving een dienst; de discipline om niet in productie te testen is proces. | ||
| 8.31.02 | Scheiding van ontwikkel-, test- en productieomgevingen | C | eigen | Testverslag bij significante wijzigingen; zie 8.29.01. | C.02 | Zie 8.31.01. | |
| 8.33.01 | Testgegevens | C | eigen | Schermafbeelding of instelling die laat zien dat testgegevens geanonimiseerd of synthetisch zijn. | Waar de applicatie anonimisering voor test ondersteunt is het een instelling; anders niet aantoonbaar. |
D. Niet uit de applicatie (94)
| Nr | Titel | Thema | CIP | Waarom niet uit de applicatie |
|---|---|---|---|---|
| 5.01.01 | Informatiebeveiligingsbeleid | IV-beleid | Organisatorische maatregel (IV-beleid); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.01.02 | Beleidsregels voor informatie beveiliging | IV-beleid | Organisatorische maatregel (IV-beleid); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.02.01 | Rollen en verantwoordelijkheden bij informatiebeveiliging | IV-beleid | Organisatorische maatregel (IV-beleid); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.02.02 | Rollen en verantwoordelijkheden bij informatiebeveiliging | IV-beleid | Organisatorische maatregel (IV-beleid); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.04.01 | Managementverantwoordelijkheden | Screening, bewustzijn & opleiding | Organisatorische maatregel (Screening, bewustzijn & opleiding); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.04.02 | Managementverantwoordelijkheden | Screening, bewustzijn & opleiding | Organisatorische maatregel (Screening, bewustzijn & opleiding); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.04.03 | Managementverantwoordelijkheden | Screening, bewustzijn & opleiding | Organisatorische maatregel (Screening, bewustzijn & opleiding); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.05.01 | Contact met overheidsinstanties | IV-beleid | Organisatorische maatregel (IV-beleid); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.06.01 | Contact met speciale belangengroepen | IV-beleid | Organisatorische maatregel (IV-beleid); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 5.07.01 | Informatie en analyses over dreigingen | IV-beleid | Organisatorische maatregel (IV-beleid); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 5.08.01 | Informatiebeveiliging in projectmanagement | Informatiebeveiliging binnen projecten | U.02 | Organisatorische maatregel (Informatiebeveiliging binnen projecten); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.09.01 | Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen | Bedrijfsmiddelenbeheer | Organisatorische maatregel (Bedrijfsmiddelenbeheer); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.10.01 | Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen | Bedrijfsmiddelenbeheer | Organisatorische maatregel (Bedrijfsmiddelenbeheer); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 5.11.01 | Retourneren van bedrijfsmiddelen | Bedrijfsmiddelenbeheer | Organisatorische maatregel (Bedrijfsmiddelenbeheer); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 5.14.02 | Overdragen van informatie | Informatie classificatie | Organisatorische maatregel (Informatie classificatie); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.14.03 | Overdragen van informatie | Informatie classificatie | Organisatorische maatregel (Informatie classificatie); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.14.04 | Overdragen van informatie | Informatie classificatie | Organisatorische maatregel (Informatie classificatie); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.14.05 | Overdragen van informatie | Informatie classificatie | Organisatorische maatregel (Informatie classificatie); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.19.01 | Informatiebeveiliging in leveranciersrelaties | Leveranciersbeheer - Inkoop | B.02 | Organisatorische maatregel (Leveranciersbeheer - Inkoop); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.20.01 | Adresseren van informatiebeveiliging in leveranciersovereenkomsten | Leveranciersbeheer - Inkoop | B.02 | Organisatorische maatregel (Leveranciersbeheer - Inkoop); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.20.02 | Adresseren van informatiebeveiliging in leveranciersovereenkomsten | Leveranciersbeheer - Inkoop | B.02 | Organisatorische maatregel (Leveranciersbeheer - Inkoop); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.21.02 | Beheren van informatiebeveiliging in de ICT-toeleveringsketen | Leveranciersbeheer - Inkoop | B.02 | Organisatorische maatregel (Leveranciersbeheer - Inkoop); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.21.03 | Beheren van informatiebeveiliging in de ICT-toeleveringsketen | Leveranciersbeheer - contractbeheer | B.02 | Organisatorische maatregel (Leveranciersbeheer - contractbeheer); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.21.04 | Beheren van informatiebeveiliging in de ICT-toeleveringsketen | Leveranciersbeheer - contractbeheer | B.02 | Organisatorische maatregel (Leveranciersbeheer - contractbeheer); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.22.01 | Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten | Leveranciersbeheer - contractbeheer | C.01 | Organisatorische maatregel (Leveranciersbeheer - contractbeheer); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.22.02 | Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten | Leveranciersbeheer - contractbeheer | C.01 | Organisatorische maatregel (Leveranciersbeheer - contractbeheer); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.23.01 | Informatiebeveiliging voor het gebruik van clouddiensten | Leveranciersbeheer - contractbeheer | Organisatorische maatregel (Leveranciersbeheer - contractbeheer); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.24.01 | Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.24.02 | Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.24.03 | Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.24.04 | Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.24.05 | Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.24.06 | Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.24.07 | Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.25.01 | Beoordelen van en besluiten over informatiebeveiligingsgebeurtenissen | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.26.01 | Reageren op informatiebeveiligings-incidenten | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 5.27.01 | Leren van informatiebeveiligingsincidenten | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.27.02 | Verzamelen van bewijsmateriaal | Security Incident Management | Organisatorische maatregel (Security Incident Management); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.29.01 | Informatiebeveiliging tijdens een verstoring | Business Continuity & Disaster Recovery | U.03 | Organisatorische maatregel (Business Continuity & Disaster Recovery); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. |
| 5.30.01 | ICT-gereedheid voor bedrijfscontinuïteit | Business Continuity & Disaster Recovery | U.03 | Organisatorische maatregel (Business Continuity & Disaster Recovery); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.30.02 | ICT-gereedheid voor bedrijfscontinuïteit | Business Continuity & Disaster Recovery | U.03 | Organisatorische maatregel (Business Continuity & Disaster Recovery); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
| 5.31.01 | Wettelijke, statutaire, regelgevende en contractuele eisen | IT-Compliance | Organisatorische maatregel (IT-Compliance); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 5.32.01 | Intellectuele-eigendomsrechten | IT-Compliance | Organisatorische maatregel (IT-Compliance); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 5.34.01 | Privacy en bescherming van persoonsgegevens | IT-Compliance | Organisatorische maatregel (IT-Compliance); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 5.35.02 | Onafhankelijke beoordeling van informatiebeveiliging | IV-beleid | Organisatorische maatregel (IV-beleid); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 5.36.01 | Naleving van beleid, regels en normen voor informatiebeveiliging | IV-beleid | Organisatorische maatregel (IV-beleid); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. | |
| 6.02.01 | Arbeidsovereenkomst | Screening, bewustzijn & opleiding | Personele maatregel (Screening, bewustzijn & opleiding); niet uit de applicatie aantoonbaar. | |
| 6.03.01 | Bewustwording van, opleiding en training in informatiebeveiliging | Screening, bewustzijn & opleiding | Personele maatregel (Screening, bewustzijn & opleiding); niet uit de applicatie aantoonbaar. | |
| 6.03.02 | Bewustwording van, opleiding en training in informatiebeveiliging | Screening, bewustzijn & opleiding | Personele maatregel (Screening, bewustzijn & opleiding); niet uit de applicatie aantoonbaar. | |
| 6.03.03 | Bewustwording van, opleiding en training in informatiebeveiliging | Screening, bewustzijn & opleiding | Personele maatregel (Screening, bewustzijn & opleiding); niet uit de applicatie aantoonbaar. | |
| 6.04.01 | Disciplinaire procedure | Screening, bewustzijn & opleiding | Personele maatregel (Screening, bewustzijn & opleiding); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 6.05.01 | Verantwoordelijkheden na beëindiging of wijziging van het dienstverband | Screening, bewustzijn & opleiding | Personele maatregel (Screening, bewustzijn & opleiding); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 6.06.01 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten | Screening, bewustzijn & opleiding | Personele maatregel (Screening, bewustzijn & opleiding); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 6.07.01 | Werken op afstand | Logische toegangsbeveiliging | Personele maatregel (Logische toegangsbeveiliging); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 6.08.01 | Melden van informatiebeveiligings-gebeurtenissen | Security Incident Management | Personele maatregel (Security Incident Management); niet uit de applicatie aantoonbaar. | |
| 7.01.01 | Fysieke beveiligingszones | Fysieke toegang & beveiliging | Fysieke maatregel (Fysieke toegang & beveiliging); niet uit de applicatie aantoonbaar. | |
| 7.01.02 | Fysieke beveiligingszones | Fysieke toegang & beveiliging | Fysieke maatregel (Fysieke toegang & beveiliging); niet uit de applicatie aantoonbaar. | |
| 7.02.01 | Fysieke toegangsbeveiliging | Fysieke toegang & beveiliging | Fysieke maatregel (Fysieke toegang & beveiliging); niet uit de applicatie aantoonbaar. | |
| 7.05.01 | Beschermen tegen fysieke en omgevingsdreigingen | Fysieke toegang & beveiliging | Fysieke maatregel (Fysieke toegang & beveiliging); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 7.06.01 | Werken in beveiligde zones | Bedrijfsmiddelenbeheer | Fysieke maatregel (Bedrijfsmiddelenbeheer); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 7.07.01 | ‘Clear desk’ en ‘clear screen’ | IT-Compliance | Fysieke maatregel (IT-Compliance); niet uit de applicatie aantoonbaar. | |
| 7.08.01 | Plaatsen en beschermen van apparatuur | Bedrijfsmiddelenbeheer | Fysieke maatregel (Bedrijfsmiddelenbeheer); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 7.09.01 | Beveiligen van bedrijfsmiddelen buiten het terrein | Bedrijfsmiddelenbeheer | Fysieke maatregel (Bedrijfsmiddelenbeheer); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 7.10.01 | Opslagmedia | Afvoer en hergebruik gegevensdragers | Fysieke maatregel (Afvoer en hergebruik gegevensdragers); niet uit de applicatie aantoonbaar. | |
| 7.10.02 | Opslagmedia | Afvoer en hergebruik gegevensdragers | Fysieke maatregel (Afvoer en hergebruik gegevensdragers); niet uit de applicatie aantoonbaar. | |
| 7.10.03 | Opslagmedia | Afvoer en hergebruik gegevensdragers | Fysieke maatregel (Afvoer en hergebruik gegevensdragers); niet uit de applicatie aantoonbaar. | |
| 7.11.01 | Nutsvoorzieningen | Bedrijfsmiddelenbeheer | Fysieke maatregel (Bedrijfsmiddelenbeheer); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 7.12.01 | Beveiligen van bekabeling | Fysieke toegang & beveiliging | Fysieke maatregel (Fysieke toegang & beveiliging); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 7.13.01 | Onderhoud van apparatuur | Bedrijfsmiddelenbeheer | Fysieke maatregel (Bedrijfsmiddelenbeheer); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 7.14.01 | Veilig verwijderen of hergebruiken van apparatuur | Afvoer en hergebruik gegevensdragers | Fysieke maatregel (Afvoer en hergebruik gegevensdragers); niet uit de applicatie aantoonbaar. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 8.01.01 | User endpoint devices | Mobile Device Management | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Mobile Device Management), niet in de applicatieconfiguratie. | |
| 8.01.02 | User endpoint devices | Mobile Device Management | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Mobile Device Management), niet in de applicatieconfiguratie. | |
| 8.04.01 | Toegangsbeveiliging op broncode | Logische toegangsbeveiliging | Broncode is bij een gekocht pakket niet van de organisatie; bij zelfbouw is dit C (leverancier of eigen ontwikkelteam). | |
| 8.06.01 | Capaciteitsbeheer | IT-Compliance | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (IT-Compliance), niet in de applicatieconfiguratie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 8.07.02 | Bescherming tegen malware | Vulnerability & patchmanagement | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Vulnerability & patchmanagement), niet in de applicatieconfiguratie. | |
| 8.07.03 | Bescherming tegen malware | Vulnerability & patchmanagement | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Vulnerability & patchmanagement), niet in de applicatieconfiguratie. | |
| 8.13.01 | Back-up van informatie | Back-up & Recovery | U.03 | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Back-up & Recovery), niet in de applicatieconfiguratie. |
| 8.13.02 | Back-up van informatie | Back-up & Recovery | U.03 | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Back-up & Recovery), niet in de applicatieconfiguratie. |
| 8.15.06 | Logging | Logging & monitoring | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Logging & monitoring), niet in de applicatieconfiguratie. | |
| 8.16.01 | Monitoren van activiteiten | Logging & monitoring | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Logging & monitoring), niet in de applicatieconfiguratie. | |
| 8.16.02 | Monitoren van activiteiten | Logging & monitoring | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Logging & monitoring), niet in de applicatieconfiguratie. | |
| 8.16.04 | Monitoren van activiteiten | Logging & monitoring | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Logging & monitoring), niet in de applicatieconfiguratie. | |
| 8.19.01 | Installeren van software op operationele systemen | Wijzigingsbeheer | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Wijzigingsbeheer), niet in de applicatieconfiguratie. | |
| 8.20.01 | Beveiliging netwerkcomponenten | Netwerkbeveiliging | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Netwerkbeveiliging), niet in de applicatieconfiguratie. | |
| 8.20.02 | Beveiliging netwerkcomponenten | Netwerkbeveiliging | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Netwerkbeveiliging), niet in de applicatieconfiguratie. | |
| 8.21.01 | Beveiliging van netwerkdiensten | Netwerkbeveiliging | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Netwerkbeveiliging), niet in de applicatieconfiguratie. | |
| 8.21.02 | Beveiliging van netwerkdiensten | Netwerkbeveiliging | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Netwerkbeveiliging), niet in de applicatieconfiguratie. | |
| 8.21.03 | Beveiliging van netwerkdiensten | Netwerkbeveiliging | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Netwerkbeveiliging), niet in de applicatieconfiguratie. | |
| 8.22.01 | Netwerksegmentatie | Netwerkbeveiliging | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Netwerkbeveiliging), niet in de applicatieconfiguratie. | |
| 8.23.01 | Toepassen van webfilters | Netwerkbeveiliging | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Netwerkbeveiliging), niet in de applicatieconfiguratie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 8.26.01 | Toepassingsbeveiligingseisen | Secure Software Development | B.01 | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Secure Software Development), niet in de applicatieconfiguratie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. CIP B.01: beveiligingseisen (authenticatie, toegang, encryptie, logging, foutafhandeling) worden bij verwerving gesteld; dat is het programma van eisen van de klant, geen applicatiebewijs. |
| 8.32.02 | Wijzigingsbeheer | Wijzigingsbeheer | C.02 | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (Wijzigingsbeheer), niet in de applicatieconfiguratie. |
| 8.34.01 | Bescherming van informatiesystemen tijdens audits | IT-Compliance | Technologische maatregel die bij een gekochte applicatie in de infrastructuur, de werkplek of het proces ligt (IT-Compliance), niet in de applicatieconfiguratie. BIO2 kent hier geen overheidsmaatregel; de ISO-maatregel geldt. | |
| 5.24.08 | Coordinated Vulnerability Disclosure | Overig | Organisatorische maatregel (Overig); het bewijs ligt bij beleid, proces of contract, niet in de applicatie. |
Meedenken
Elke rij is een voorstel. Klopt een indeling niet voor jouw zaaksysteem, of ontbreekt bewijs dat de applicatie wél kan leveren: open een issue met het nummer van de maatregel in de titel. De bron is bewijs.json; deze pagina wordt daaruit gegenereerd met tools/bouw_indeling.py.