Beleidsset informatiebeveiliging op BIO 2.0, op maat gemaakt met contextvragen

NormenBIO2ISO 27001ISO 27002Cbw

Onder de BIO 2.0 en de Cyberbeveiligingswet heeft elke overheidsorganisatie een strategisch beleid nodig, en daaronder beleid per onderwerp dat de 117 overheidsmaatregelen invult, en de 40 ISO-beheersmaatregelen waarvoor de BIO 2.0 geen overheidsmaatregel kent. Dit is zo'n set, geordend naar de 21 domeinen van het BIO 2.0-controleraamwerk en geschreven op BIO 2.0 versie 1.3.

Een kleine gemeente die alles heeft uitbesteed, heeft een ander back-upbeleid nodig dan een grote organisatie met een eigen datacenter. Daarom is elk stuk opgebouwd uit vaste regels en regels die afhangen van het antwoord op een contextvraag. Wie de vragen beantwoordt, krijgt alleen de regels die passen. Wie een vraag overslaat, krijgt beide varianten, elk in een kader met de vraag erboven.

De stukken#

Elk stuk hieronder is de leesversie zonder profiel: alle varianten staan erin. Bovenaan elk stuk staat in het kort waar het over gaat en welke onderwerpen het regelt; onderaan staat welke maatregelen het invult, waar, met welke controle, en wat de organisatie zelf nog moet invullen.

Word nodig? De generator maakt elk stuk, beide overzichten en de hele set als Word-bestand, in je browser: zonder antwoorden is dat de versie hierboven, met antwoorden jouw set op maat. In de kennisbank zelf staan geen Word-bestanden; markdown is de bron.

BIO 2.0-domein Stuk Waar het over gaat Overheidsmaatregelen ISO-maatregelen
IV-beleid Strategisch informatiebeveiligingsbeleid (bouwsteen) Het bovenliggende kader voor informatiebeveiliging: wat de organisatie wil bereiken, wie verantwoordelijk is en hoe zij aantoont dat het werkt. Behandelt de vaststelling en inbedding van het beleid, de samenhang met privacy, OT en continuïteit, de organisatie van de beveiligingsfunctie, bewustzijn, contacten en dreigingsinformatie, audit en verantwoording, en de evaluatie. 7 3
Informatiebeveiliging binnen projecten Beleid informatiebeveiliging in projecten (bouwsteen) Regelt hoe beveiliging en privacy vanaf de start meegaan in projecten en significante wijzigingen aan informatiesystemen. Behandelt wanneer een risicoafweging nodig is, hoe die wordt uitgevoerd, de beslismomenten van start tot overdracht naar beheer, en de inbedding in de projectmethodiek. 1 0
Screening, bewustzijn & opleiding Beleid screening, bewustzijn en opleiding (bouwsteen) Over de mens als onderdeel van de beveiliging, van werving tot vertrek. Behandelt screening, aanstelling en geheimhouding, training en bewustzijn, scholing van het bestuur, functiewijziging en vertrek, en de disciplinaire procedure bij niet naleven. 7 3
Bedrijfsmiddelenbeheer Beleid bedrijfsmiddelenbeheer (bouwsteen) Regelt welke bedrijfsmiddelen de organisatie heeft, wie er eigenaar van is en hoe ze gebruikt, beschermd en ingeleverd worden. Behandelt de inventaris, eigendom, aanvaardbaar gebruik, teruggeven bij vertrek, werken in beveiligde zones, plaatsing en nutsvoorzieningen, apparatuur buiten de locaties en onderhoud. 3 7
Informatie classificatie Beleid informatieclassificatie (bouwsteen) Over het classificeren, labelen en veilig overdragen van informatie op beschikbaarheid, integriteit en vertrouwelijkheid. Behandelt de classificatiemethode met vijf impactniveaus, de minimumeisen per label, het labelen van documenten en hardware, en de eisen aan websites, e-mail, certificaten en andere overdracht. 6 1
Logische toegangsbeveiliging Beleid logische toegangsbeveiliging (bouwsteen) Regelt de toegang tot informatiesystemen, netwerken en gegevens: hoe accounts ontstaan en vervallen, hoe gebruikers zich aanmelden en wie welke rechten krijgt. Behandelt accounts, MFA, wachtwoorden, werken op afstand, periodieke beoordeling van rechten, beheeraccounts, toegang voor leveranciers, hoog gelabelde informatie en broncode. 14 2
Leveranciersbeheer - Inkoop Beleid informatiebeveiliging bij inkoop (bouwsteen) Over wat de organisatie regelt voordat zij een contract tekent met een leverancier die haar informatie verwerkt of bij haar systemen kan. Behandelt de risicoafweging en eisen in de uitvraag, contractvoorwaarden, bewijs van de leverancier, meldplicht bij incidenten, afhankelijkheid en exit, de keten van toeleveranciers, eisen per soort dienst en het inkoopdossier. 8 0
Leveranciersbeheer - contractbeheer Beleid informatiebeveiliging in contractbeheer (bouwsteen) Regelt hoe de organisatie zicht houdt op leveranciers met een informatiecomponent zolang een contract loopt. Gaat over het register van leveranciers en contracten, de jaarlijkse beoordeling van de leverancier, de keten van toeleveranciers, clouddiensten en het beëindigen van een contract. 6 0
Security Incident Management Beleid beveiligingsincidenten (bouwsteen) Over het melden, beoordelen, afhandelen en leren van beveiligingsincidenten en datalekken. Behandelt het meldloket, de classificatie, detectie en escalatie, de afhandeling, meldingen aan externe partijen, coordinated vulnerability disclosure, het veiligstellen van bewijs en de evaluatie achteraf. 12 1
Business Continuity & Disaster Recovery Beleid ICT-continuïteit en uitwijk (bouwsteen) Regelt de continuïteit van informatie en ICT als systemen uitvallen. Gaat over het bepalen van kritieke processen en systemen met hun hersteleisen, uitwijk en redundantie, de beveiliging tijdens een verstoring en het opstellen en testen van continuïteitsplannen. 2 2
IT-Compliance Beleid IT-compliance (bouwsteen) Over de naleving van wet- en regelgeving en contractuele eisen voor informatie en systemen. Behandelt het register van eisen, licenties, bewaartermijnen, privacy en testgegevens, clear desk en clear screen, capaciteit en kloksynchronisatie, en audits op productiesystemen. 2 8
Fysieke toegang & beveiliging Beleid fysieke toegang en beveiliging (bouwsteen) Regelt de fysieke beveiliging van locaties en ruimten waar informatie wordt verwerkt of bewaard. Gaat over de indeling in vier beveiligingszones, de eisen per zone, de omgang met incidenten, monitoring en waarschuwingen, en het dragen van toegangspassen. 2 4
Afvoer en hergebruik gegevensdragers Beleid afvoer en hergebruik van gegevensdragers (bouwsteen) Over gegevensdragers, van USB-stick en harde schijf tot papier, en over informatie in systemen die niet meer nodig is. Behandelt het gebruik van verwijderbare media, wissen en vernietigen, afvoer en hergebruik van apparatuur, wissen in systemen en transport. 3 2
Mobile Device Management Beleid mobile device management (bouwsteen) Regelt de inrichting, het beheer en het gebruik van laptops, smartphones en tablets met toegang tot bedrijfsinformatie. Gaat over zero footprint en bescherming op het apparaat, beheer via MDM en MAM, en de gebruikersovereenkomst mobiel werken. 2 0
Vulnerability & patchmanagement Beleid kwetsbaarheden en patchmanagement (bouwsteen) Regelt hoe de organisatie technische kwetsbaarheden vindt, beoordeelt en binnen vaste termijnen verhelpt. Behandelt bescherming tegen malware, basisconfiguraties en hardening, scannen en penetratietesten, patchtermijnen per risico en het kwetsbaarhedenregister met een maandrapportage aan de directie. 9 1
Back-up & Recovery Beleid back-up en recovery (bouwsteen) Over het maken, beschermen en terugzetten van back-ups, met ransomware als leidend scenario. Behandelt back-upplannen en het back-upregister, hersteleisen per systeem, een onveranderbare kopie, gescheiden opslag op meerdere plekken en het jaarlijks testen van herstel. 4 0
Logging & monitoring Beleid logging en monitoring (bouwsteen) Regelt wat systemen moeten loggen, hoe logbestanden veilig worden bewaard en hoe de omgeving wordt bewaakt op aanvallen. Behandelt minimale loggebeurtenissen, het overzicht van logbronnen, bewaartermijnen, centrale opslag buiten bereik van beheerders, detectie met escalatieregels en het delen van dreigingen met de CERT. 10 0
Netwerkbeveiliging Beleid netwerkbeveiliging (bouwsteen) Over het ontwerp, de inrichting en de bewaking van de netwerken, zodat een aanvaller die binnenkomt niet vrij verder kan. Behandelt segmentatie, beheer van netwerkcomponenten, firewalls en detectie op koppelpunten, het webfilter, versleuteling onderweg en wifi. 7 1
Cryptografie Beleid cryptografie (bouwsteen) Regelt wanneer en hoe de organisatie versleutelt en wie sleutels en certificaten beheert. Behandelt de minimale versleuteling per vertrouwelijkheidslabel, verplichte standaarden en adviezen van NCSC en NBV, de inventaris van certificaten en sleutels, en de procedure sleutelbeheer met intrekking en reservecertificaten. 4 0
Secure Software Development Beleid veilige softwareontwikkeling (bouwsteen) Over beveiliging in software die de organisatie bouwt, laat bouwen of afneemt, voordat die in gebruik gaat. Behandelt architectuurprincipes, beveiligingseisen per toepassing, veilig ontwikkelen of de eisen daarvoor aan leveranciers, afspraken bij uitbestede ontwikkeling en testen met fictieve gegevens. 2 3
Wijzigingsbeheer Beleid wijzigingsbeheer (bouwsteen) Regelt hoe een wijziging in productie wordt aangevraagd, beoordeeld, getest, goedgekeurd en doorgevoerd. Behandelt het wijzigingsproces met standaard-, normale en spoedwijzigingen, werkinstructies voor beheertaken, het installeren van software, de scheiding van omgevingen en acceptatietesten. 6 2
Totaal 117 40

Hoe het werkt#

De contextvragen. profiel.json bevat zestien vragen met vaste antwoorden: wie je IT beheert, waar systemen draaien, hoe je werkplek eruitziet, of je onder de Cbw valt, wie je omgeving bewaakt, of je zelf software bouwt, of je OT of politiegegevens hebt, en meer. Per vraag staat welke domeinen hij raakt. Geen vraag is verplicht.

De bouwstenen. Per domein staat de tekst in een bouwsteen in de map data/, in gewone markdown met vier afspraken:

De lat: waar elk stuk aan voldoet. De opbouw is afgekeken van een gemeentelijk beleidsstuk dat op BIO 2.0 is geschreven, en de build bewaakt hem:

  1. Vaste hoofdstukken voor en achter: 1 doel en reikwijdte (voor wie, waarop, wat erbuiten valt, en wat geldt als een voorziening is uitbesteed), 2 uitgangspunten, dan elk onderwerp van het domein als eigen hoofdstuk met de beleidsregels (bij back-up bijvoorbeeld 3 back-upplannen en scenario's, 4 hersteleisen), en daarna rollen en verantwoordelijkheden, naleving en controle, en samenhang. De nummers lopen door.
  2. Elke regel in een onderwerphoofdstuk zegt wie wat doet, hoe vaak en waaruit dat blijkt, en noemt de maatregel die hij invult. Dat geldt voor alle maatregelen van het domein: de overheidsmaatregelen én de ISO-beheersmaatregelen waarvoor de BIO 2.0 geen overheidsmaatregel kent; daarvoor geldt de tekst van ISO 27002.
  3. Het hoofdstuk naleving en controle bevat een controleraamwerk: per controle wat, wie, hoe vaak, welk bewijs en welke maatregelen. Elke maatregel van het domein heeft ten minste één controle. Daarna een vaste afwijkingsprocedure (gedocumenteerde risicoafweging, acceptatie door een risico-eigenaar, in het risicoregister, jaarlijks herbeoordeeld) en wat er gebeurt bij niet naleven.
  4. Organisatie-inrichting (rollen, systemen, termijnen die de organisatie zelf kiest) is een invulveld; termijnen die uit een norm of wet komen, staan als getal.
  5. In de frontmatter van de bouwsteen staan een samenvatting (twee of drie zinnen over waar het stuk over gaat) en onder invoeren wat de organisatie moet inrichten om het beleid in te voeren, elk met het hoofdstuk waar het vandaan komt.
  6. De generator zet er een titelblad voor (documenttype, status, eigenaar, vaststeller, evaluatie), dan de samenvatting en de onderwerpen, en twee bijlagen achter: A de maatregeltabel met per maatregel soort, hoofdstuk en controle, B de gebruikte afkortingen uit afkortingen.json.

Een nieuwe versie van de BIO of een beter stuk van een andere organisatie verandert de bouwstenen, niet de generator.

De generator. tools/bouw_beleidsset.py zet een profiel en de bouwstenen om in een set. De generatorpagina doet hetzelfde in je browser; er gaat niets naar een server en er zit geen taalmodel in, dus dezelfde antwoorden geven dezelfde tekst. Alle gegevens van de pagina staan ook los in beleidsset.json.

De dekking is een test. Voor elk mogelijk antwoord op de vragen die een domein raakt, moet het stuk elke maatregel van dat domein met minstens één regel invullen en met minstens één controle aantonen: de 117 overheidsmaatregelen en de 40 ISO-beheersmaatregelen zonder overheidsmaatregel. Mist er één, dan faalt de build. Een test houdt ook de generator in de browser woord voor woord gelijk aan die in Python. De nummers, titels en domeinen komen uit bio2-maatregelen.json, een kopie uit de normen-repository. De tekst van de overheidsmaatregelen staat er niet in; die is van het CIP en staat op bio-overheid.nl.

Met je eigen AI-agent#

Geef je assistent de link naar de generatorpagina. Bovenaan staat, als gewone tekst die ook een assistent zonder JavaScript leest, een blok Instructies voor de assistent: eerst de contextvragen uit profiel.json stellen, dan per gekozen stuk de leesversie ophalen, de kaders houden of weghalen naar de antwoorden, de invulvelden met de gebruiker invullen, en de nummers, het controleraamwerk en bijlage A laten staan zodat het stuk toetsbaar blijft. Wie precies dezelfde tekst wil als het formulier, rekent met beleidsset.json of draait python tools/bouw_beleidsset.py --profiel antwoorden.json uitmap/.

AI-hulp met je eigen sleutel#

De AI-hulp volgt het patroon van de andere instrumenten van de commons: een aparte pagina, je eigen sleutel (alleen in de tab, weg als je hem sluit), een leverancier naar keuze (standaard Mistral, ook een lokale Ollama), en toestemming per sessie. Twee opdrachten:

Het model schrijft geen beleid: de regels staan in de bouwstenen. Het levert een voorstel als bestand. Elke regel draagt een letterlijk citaat, en een regel waarvan het citaat niet in je document staat, staat in de generator standaard uit. Pas na Overnemen verandert er iets, en onder elk stuk staat dan welke velden uit een AI-voorstel komen. De prompts en schema's staan als data in tools/beleidsset-ai/opdrachten.json; de controles (schema, citaat) delen een kern met de andere instrumenten. Uitleg over wat er waarheen gaat: AI-hulp met je eigen sleutel.

Bijdragen#

Een regel die bij jullie anders is, een vraag die ontbreekt of een domein dat beter kan: pas de bouwsteen aan en draai python tools/bouw_beleidsset.py. Die zegt welke maatregel bij welk profiel niet meer gedekt is. Zie CONTRIBUTING.md.

Invoeren. Hoe je van deze set naar ingerichte maatregelen komt, met volgorde, eigenaar per thema en een urenraming: BIO 2.0 invoeren, een plan van aanpak.

Wat dit niet is#

Geen vastgesteld beleid: elk stuk is een concept dat de organisatie zelf vaststelt. De test zegt dat er voor elke overheidsmaatregel een regel staat, niet dat de maatregel in de praktijk werkt. Geen vervanging van de IBD-templates; die blijven een bron.

Licentie#

EUPL-1.2.