{
 "profiel": {
  "toelichting": "Profielschema van de beleidsset (plan beleidsset op maat, stap 2). Zestien vragen met vaste antwoordruimte. Elke vraag zegt welke BIO 2.0-domeinen hij raakt, zodat een sortering weet waar een antwoord telt. Vragen met doel 'matching' helpen alleen om organisaties zoals de jouwe te vinden; vragen met doel 'inhoud' veranderen wat er in het beleid staat. Geen enkele vraag is verplicht: de vragen zijn een filter, geen poort. Een inzender beantwoordt dezelfde vragen voor de organisatie waar een stuk vandaan komt (bronprofiel in varianten.json).",
  "versie": "2026-10-12",
  "domeinen": [
   {
    "id": "iv-beleid",
    "naam": "IV-beleid"
   },
   {
    "id": "ib-in-projecten",
    "naam": "Informatiebeveiliging binnen projecten"
   },
   {
    "id": "screening-bewustzijn",
    "naam": "Screening, bewustzijn & opleiding"
   },
   {
    "id": "bedrijfsmiddelen",
    "naam": "Bedrijfsmiddelenbeheer"
   },
   {
    "id": "classificatie",
    "naam": "Informatie classificatie"
   },
   {
    "id": "logische-toegang",
    "naam": "Logische toegangsbeveiliging"
   },
   {
    "id": "leveranciers-inkoop",
    "naam": "Leveranciersbeheer - Inkoop"
   },
   {
    "id": "leveranciers-contract",
    "naam": "Leveranciersbeheer - contractbeheer"
   },
   {
    "id": "incidenten",
    "naam": "Security Incident Management"
   },
   {
    "id": "bcm",
    "naam": "Business Continuity & Disaster Recovery"
   },
   {
    "id": "it-compliance",
    "naam": "IT-Compliance"
   },
   {
    "id": "fysiek",
    "naam": "Fysieke toegang & beveiliging"
   },
   {
    "id": "gegevensdragers",
    "naam": "Afvoer en hergebruik gegevensdragers"
   },
   {
    "id": "mdm",
    "naam": "Mobile Device Management"
   },
   {
    "id": "kwetsbaarheden",
    "naam": "Vulnerability & patchmanagement"
   },
   {
    "id": "back-up",
    "naam": "Back-up & Recovery"
   },
   {
    "id": "logging",
    "naam": "Logging & monitoring"
   },
   {
    "id": "netwerk",
    "naam": "Netwerkbeveiliging"
   },
   {
    "id": "cryptografie",
    "naam": "Cryptografie"
   },
   {
    "id": "ssd",
    "naam": "Secure Software Development"
   },
   {
    "id": "wijzigingsbeheer",
    "naam": "Wijzigingsbeheer"
   }
  ],
  "vragen": [
   {
    "id": "type",
    "vraag": "Wat voor organisatie ben je?",
    "doel": "matching",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "gemeente",
      "label": "Gemeente"
     },
     {
      "id": "gr",
      "label": "Gemeenschappelijke regeling of uitvoeringsorganisatie"
     },
     {
      "id": "provincie",
      "label": "Provincie"
     },
     {
      "id": "waterschap",
      "label": "Waterschap"
     },
     {
      "id": "ministerie",
      "label": "Ministerie of kerndepartement"
     },
     {
      "id": "rijksdienst",
      "label": "Rijksdienst, agentschap of inspectie"
     },
     {
      "id": "zbo",
      "label": "Zelfstandig bestuursorgaan"
     },
     {
      "id": "veiligheidsregio",
      "label": "Veiligheidsregio"
     },
     {
      "id": "overig",
      "label": "Overige publieke organisatie"
     }
    ],
    "domeinen": [
     "iv-beleid",
     "it-compliance",
     "classificatie"
    ],
    "toelichting": "Bepaalt het wettelijk kader dat meekomt: ENSIA en de Wpg voor gemeenten, VIR-BI en gerubriceerde informatie voor het Rijk, OT-zwaar voor waterschappen. Daarom geen aparte vraag over rubricering."
   },
   {
    "id": "grootte",
    "vraag": "Hoe groot is je organisatie?",
    "doel": "matching",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "klein",
      "label": "Klein (gemeente tot 30.000 inwoners; anders tot 250 medewerkers)"
     },
     {
      "id": "middel",
      "label": "Middel (30.000 tot 100.000 inwoners; anders 250 tot 1.000 medewerkers)"
     },
     {
      "id": "groot",
      "label": "Groot (meer dan 100.000 inwoners; anders meer dan 1.000 medewerkers)"
     }
    ],
    "domeinen": [],
    "toelichting": "Verandert de inhoud nauwelijks; helpt om organisaties zoals de jouwe te vinden. Wie het beleid uitvoert zit in de vraag over security-capaciteit."
   },
   {
    "id": "samenwerking",
    "vraag": "Hoe is je bedrijfsvoering georganiseerd?",
    "doel": "matching",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "zelfstandig",
      "label": "Zelfstandig"
     },
     {
      "id": "centrum",
      "label": "Centrumorganisatie die de bedrijfsvoering ook voor anderen doet"
     },
     {
      "id": "aangesloten",
      "label": "Aangesloten bij een uitvoeringsorganisatie of centrumorganisatie"
     }
    ],
    "domeinen": [
     "iv-beleid",
     "incidenten",
     "leveranciers-contract"
    ],
    "toelichting": "Bij een centrumorganisatie geldt het beleid voor meerdere entiteiten en moet de governance per deelnemer zijn beschreven."
   },
   {
    "id": "capaciteit",
    "vraag": "Welke eigen security-capaciteit heb je?",
    "doel": "inhoud",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "geen",
      "label": "Geen eigen ISO; informatiebeveiliging is een neventaak"
     },
     {
      "id": "parttime",
      "label": "Een ISO of CISO in deeltijd"
     },
     {
      "id": "team",
      "label": "Een eigen team (CISO met ISO's)"
     }
    ],
    "domeinen": [
     "iv-beleid",
     "incidenten",
     "kwetsbaarheden",
     "logging",
     "it-compliance"
    ],
    "toelichting": "Bepaalt wie de rollen in het beleid vult en hoe zwaar het controleraamwerk kan zijn."
   },
   {
    "id": "cbw",
    "vraag": "Wat is je status onder de Cyberbeveiligingswet?",
    "doel": "inhoud",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "essentieel",
      "label": "Essentiële entiteit"
     },
     {
      "id": "belangrijk",
      "label": "Belangrijke entiteit"
     },
     {
      "id": "niet",
      "label": "Niet aangewezen"
     }
    ],
    "domeinen": [
     "iv-beleid",
     "incidenten",
     "leveranciers-inkoop",
     "bcm"
    ],
    "toelichting": "Bepaalt meldplicht, toezicht en de persoonlijke plicht van bestuurders."
   },
   {
    "id": "beheer",
    "vraag": "Wie beheert je IT?",
    "doel": "inhoud",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "eigen",
      "label": "Eigen beheer"
     },
     {
      "id": "regie",
      "label": "Regie: eigen organisatie stuurt, beheer is uitbesteed"
     },
     {
      "id": "uitbesteed",
      "label": "Volledig uitbesteed"
     }
    ],
    "domeinen": [
     "leveranciers-inkoop",
     "leveranciers-contract",
     "logische-toegang",
     "wijzigingsbeheer",
     "kwetsbaarheden",
     "back-up",
     "netwerk"
    ],
    "toelichting": "Bepaalt of een beleidsregel een eis aan je eigen beheerders is of een afspraak met een leverancier."
   },
   {
    "id": "hosting",
    "vraag": "Waar draaien je systemen?",
    "doel": "inhoud",
    "meerdere": true,
    "antwoorden": [
     {
      "id": "eigen-dc",
      "label": "Eigen datacenter of serverruimte"
     },
     {
      "id": "hostingpartij",
      "label": "Hostingpartij (IaaS, gedeeld datacenter)"
     },
     {
      "id": "saas",
      "label": "Vooral SaaS en publieke cloud"
     }
    ],
    "domeinen": [
     "back-up",
     "fysiek",
     "leveranciers-inkoop",
     "logging",
     "netwerk",
     "cryptografie"
    ],
    "toelichting": "Een back-upbeleid voor een eigen datacenter gaat over media en uitwijk; een voor SaaS gaat over afspraken met de leverancier."
   },
   {
    "meerdere": false,
    "doel": "inhoud",
    "id": "soevereiniteit",
    "vraag": "Stel je eisen aan Europese of soevereine cloud?",
    "antwoorden": [
     {
      "id": "ja",
      "label": "Ja: alleen EU of soevereine dienstverlening"
     },
     {
      "id": "nee",
      "label": "Nee"
     }
    ],
    "domeinen": [
     "leveranciers-inkoop",
     "leveranciers-contract"
    ],
    "hoort_bij": "hosting"
   },
   {
    "id": "werkplek",
    "vraag": "Hoe ziet je werkplek eruit?",
    "doel": "inhoud",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "cloud",
      "label": "Cloudwerkplek (bijvoorbeeld Microsoft 365)"
     },
     {
      "id": "hybride",
      "label": "Hybride: cloud naast een virtuele of lokale werkplek"
     },
     {
      "id": "on-premises",
      "label": "On-premises"
     }
    ],
    "domeinen": [
     "logische-toegang",
     "mdm",
     "back-up",
     "bedrijfsmiddelen"
    ]
   },
   {
    "meerdere": false,
    "doel": "inhoud",
    "id": "byod",
    "vraag": "Mogen medewerkers eigen apparaten gebruiken (BYOD)?",
    "antwoorden": [
     {
      "id": "ja",
      "label": "Ja, onder voorwaarden"
     },
     {
      "id": "nee",
      "label": "Nee"
     }
    ],
    "domeinen": [
     "mdm",
     "bedrijfsmiddelen",
     "cryptografie"
    ],
    "hoort_bij": "werkplek"
   },
   {
    "id": "detectie",
    "vraag": "Wie bewaakt je omgeving op aanvallen?",
    "doel": "inhoud",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "eigen-soc",
      "label": "Eigen SOC"
     },
     {
      "id": "uitbesteed",
      "label": "Uitbesteed SOC of MDR-dienst"
     },
     {
      "id": "geen",
      "label": "Geen structurele detectie"
     }
    ],
    "domeinen": [
     "logging",
     "incidenten",
     "netwerk"
    ],
    "toelichting": "Bepaalt wie logs beoordeelt, wie escaleert en welke afspraken in het incidentbeleid staan."
   },
   {
    "id": "ontwikkeling",
    "vraag": "Bouwt je organisatie zelf software, apps of koppelingen?",
    "doel": "inhoud",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "ja",
      "label": "Ja"
     },
     {
      "id": "nee",
      "label": "Nee, alleen inkoop en configuratie"
     }
    ],
    "domeinen": [
     "ssd",
     "wijzigingsbeheer",
     "kwetsbaarheden"
    ],
    "toelichting": "Zonder eigen ontwikkeling is secure software development een eis aan leveranciers, niet aan een eigen team."
   },
   {
    "id": "ot",
    "vraag": "Heb je operationele technologie (OT)?",
    "doel": "inhoud",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "geen",
      "label": "Geen"
     },
     {
      "id": "beperkt",
      "label": "Beperkt: gebouwbeheer, toegang, camera's"
     },
     {
      "id": "substantieel",
      "label": "Substantieel: bruggen, gemalen, verkeer, zuivering"
     }
    ],
    "domeinen": [
     "iv-beleid",
     "bedrijfsmiddelen",
     "netwerk",
     "fysiek",
     "bcm"
    ],
    "toelichting": "Onder de Cyberbeveiligingswet valt OT onder de zorgplicht; het beleid moet dan zeggen wie er eigenaar van is."
   },
   {
    "id": "politiegegevens",
    "vraag": "Verwerk je politiegegevens (boa's, opsporing, handhaving)?",
    "doel": "inhoud",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "ja",
      "label": "Ja"
     },
     {
      "id": "nee",
      "label": "Nee"
     }
    ],
    "domeinen": [
     "logging",
     "logische-toegang",
     "classificatie",
     "it-compliance"
    ],
    "toelichting": "De Wet politiegegevens stelt eigen eisen aan autorisaties, logging, bewaartermijnen en audit."
   },
   {
    "id": "ketens",
    "vraag": "Op welke landelijke voorzieningen ben je aangesloten?",
    "doel": "inhoud",
    "meerdere": true,
    "antwoorden": [
     {
      "id": "digid",
      "label": "DigiD"
     },
     {
      "id": "suwinet",
      "label": "Suwinet"
     },
     {
      "id": "brp",
      "label": "BRP (als bronhouder of afnemer)"
     },
     {
      "id": "bag",
      "label": "BAG of andere basisregistraties"
     },
     {
      "id": "anders",
      "label": "Andere ketens met eigen beveiligingseisen"
     },
     {
      "id": "geen",
      "label": "Geen"
     }
    ],
    "domeinen": [
     "logische-toegang",
     "logging",
     "it-compliance",
     "leveranciers-contract"
    ],
    "toelichting": "Elke aansluiting brengt een eigen audit- en beveiligingsregime mee. De lijst is per type organisatie anders; dit zijn de gemeentelijke."
   },
   {
    "id": "gevoelig",
    "vraag": "In welke gevoelige domeinen verwerk je persoonsgegevens?",
    "doel": "inhoud",
    "meerdere": true,
    "antwoorden": [
     {
      "id": "sociaal",
      "label": "Sociaal domein"
     },
     {
      "id": "jeugd",
      "label": "Jeugd"
     },
     {
      "id": "gezondheid",
      "label": "Gezondheid (WvGGZ, NTA 7516)"
     },
     {
      "id": "geen",
      "label": "Geen van deze"
     }
    ],
    "domeinen": [
     "classificatie",
     "cryptografie",
     "logische-toegang",
     "ib-in-projecten"
    ],
    "toelichting": "Bijzondere persoonsgegevens verhogen het classificatieniveau en stellen eisen aan mail en chat."
   },
   {
    "id": "bcm",
    "vraag": "Hoe is je crisis- en continuïteitsorganisatie geregeld?",
    "doel": "inhoud",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "geen",
      "label": "Geen"
     },
     {
      "id": "crisisteam",
      "label": "Een crisisteam, zonder BCM-functie"
     },
     {
      "id": "bcm",
      "label": "Een BCM-functie met continuïteitsplannen en een BIA"
     }
    ],
    "domeinen": [
     "bcm",
     "incidenten",
     "back-up"
    ],
    "toelichting": "Bepaalt of het incidentbeleid naar een crisisprocedure kan verwijzen en of hersteltijden uit een BIA komen."
   },
   {
    "id": "volwassenheid",
    "vraag": "Waar sta je met informatiebeveiliging?",
    "doel": "inhoud",
    "meerdere": false,
    "antwoorden": [
     {
      "id": "startend",
      "label": "Startend: nog geen samenhangend beleid"
     },
     {
      "id": "bio1",
      "label": "BIO 1 op orde, verantwoording via ENSIA"
     },
     {
      "id": "bio2-opbouw",
      "label": "BIO 2.0-ISMS in opbouw"
     },
     {
      "id": "bio2-werkend",
      "label": "BIO 2.0-ISMS werkend, met controleraamwerk"
     }
    ],
    "domeinen": [
     "iv-beleid",
     "it-compliance"
    ],
    "toelichting": "Bepaalt of je een licht concept krijgt of een volledig stuk met controleraamwerk."
   }
  ]
 },
 "maatregelen": {
  "toelichting": "Kopie van de nummers, titels en thema's uit bio2.json van de normen-repo, voor de beleidsset. Bijwerken met tools/bouw_beleidsset.py --normen, niet met de hand. De tekst van de maatregelen staat er niet in (CIP, CC BY-NC-SA).",
  "versie": "BIO2 v1.3 definitief - 9 januari 2026",
  "bron": "https://github.com/security-commons-nl/normen/blob/main/bio2.json",
  "vingerafdruk": "0c6598e63db21a7c9388c6ab56c05e755c1d38c67b4412dbbac78e1746d88a08",
  "maatregelen": [
   {
    "id": "5.01.01",
    "titel": "Informatiebeveiligingsbeleid",
    "thema": "IV-beleid",
    "soort": "overheid"
   },
   {
    "id": "5.01.02",
    "titel": "Informatiebeveiligingsbeleid",
    "thema": "IV-beleid",
    "soort": "overheid"
   },
   {
    "id": "5.02.01",
    "titel": "Rollen en verantwoordelijkheden bij informatiebeveiliging",
    "thema": "IV-beleid",
    "soort": "overheid"
   },
   {
    "id": "5.02.02",
    "titel": "Rollen en verantwoordelijkheden bij informatiebeveiliging",
    "thema": "IV-beleid",
    "soort": "overheid"
   },
   {
    "id": "5.03.01",
    "titel": "Functiescheiding",
    "thema": "IV-beleid",
    "soort": "alleen-iso"
   },
   {
    "id": "5.04.01",
    "titel": "Managementverantwoordelijkheden",
    "thema": "Screening, bewustzijn & opleiding",
    "soort": "overheid"
   },
   {
    "id": "5.05.01",
    "titel": "Contact met overheidsinstanties",
    "thema": "IV-beleid",
    "soort": "overheid"
   },
   {
    "id": "5.06.01",
    "titel": "Contact met speciale belangengroepen",
    "thema": "IV-beleid",
    "soort": "alleen-iso"
   },
   {
    "id": "5.07.01",
    "titel": "Informatie en analyses over dreigingen",
    "thema": "IV-beleid",
    "soort": "alleen-iso"
   },
   {
    "id": "5.08.01",
    "titel": "Informatiebeveiliging in projectmanagement",
    "thema": "Informatiebeveiliging binnen projecten",
    "soort": "overheid"
   },
   {
    "id": "5.09.01",
    "titel": "Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen",
    "thema": "Bedrijfsmiddelenbeheer",
    "soort": "overheid"
   },
   {
    "id": "5.10.01",
    "titel": "Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen",
    "thema": "Bedrijfsmiddelenbeheer",
    "soort": "alleen-iso"
   },
   {
    "id": "5.10.02",
    "titel": "Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen",
    "thema": "Bedrijfsmiddelenbeheer",
    "soort": "overheid"
   },
   {
    "id": "5.10.03",
    "titel": "Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen",
    "thema": "Bedrijfsmiddelenbeheer",
    "soort": "overheid"
   },
   {
    "id": "5.11.01",
    "titel": "Retourneren van bedrijfsmiddelen",
    "thema": "Bedrijfsmiddelenbeheer",
    "soort": "alleen-iso"
   },
   {
    "id": "5.12.01",
    "titel": "Classificeren van informatie",
    "thema": "Informatie classificatie",
    "soort": "overheid"
   },
   {
    "id": "5.13.01",
    "titel": "Labelen van informatie",
    "thema": "Informatie classificatie",
    "soort": "alleen-iso"
   },
   {
    "id": "5.14.01",
    "titel": "Overdragen van informatie",
    "thema": "Informatie classificatie",
    "soort": "overheid"
   },
   {
    "id": "5.14.02",
    "titel": "Overdragen van informatie",
    "thema": "Informatie classificatie",
    "soort": "overheid"
   },
   {
    "id": "5.14.03",
    "titel": "Overdragen van informatie",
    "thema": "Informatie classificatie",
    "soort": "overheid"
   },
   {
    "id": "5.14.04",
    "titel": "Overdragen van informatie",
    "thema": "Informatie classificatie",
    "soort": "overheid"
   },
   {
    "id": "5.14.05",
    "titel": "Overdragen van informatie",
    "thema": "Informatie classificatie",
    "soort": "overheid"
   },
   {
    "id": "5.15.01",
    "titel": "Toegangsbeveiliging",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "5.16.01",
    "titel": "Identiteitsbeheer",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "5.16.02",
    "titel": "Identiteitsbeheer",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "5.17.01",
    "titel": "Authenticatie-informatie",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "5.17.02",
    "titel": "Authenticatie-informatie",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "5.17.03",
    "titel": "Authenticatie-informatie",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "5.18.01",
    "titel": "Toegangsrechten",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "5.18.02",
    "titel": "Toegangsrechten",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "5.19.01",
    "titel": "Informatiebeveiliging in leveranciersrelaties",
    "thema": "Leveranciersbeheer - Inkoop",
    "soort": "overheid"
   },
   {
    "id": "5.20.01",
    "titel": "Adresseren van informatiebeveiliging in leveranciersovereenkomsten",
    "thema": "Leveranciersbeheer - Inkoop",
    "soort": "overheid"
   },
   {
    "id": "5.20.02",
    "titel": "Adresseren van informatiebeveiliging in leveranciersovereenkomsten",
    "thema": "Leveranciersbeheer - Inkoop",
    "soort": "overheid"
   },
   {
    "id": "5.20.03",
    "titel": "Adresseren van informatiebeveiliging in leveranciersovereenkomsten",
    "thema": "Leveranciersbeheer - Inkoop",
    "soort": "overheid"
   },
   {
    "id": "5.20.04",
    "titel": "Adresseren van informatiebeveiliging in leveranciersovereenkomsten",
    "thema": "Leveranciersbeheer - Inkoop",
    "soort": "overheid"
   },
   {
    "id": "5.20.05",
    "titel": "Adresseren van informatiebeveiliging in leveranciersovereenkomsten",
    "thema": "Leveranciersbeheer - Inkoop",
    "soort": "overheid"
   },
   {
    "id": "5.20.06",
    "titel": "Adresseren van informatiebeveiliging in leveranciersovereenkomsten",
    "thema": "Leveranciersbeheer - Inkoop",
    "soort": "overheid"
   },
   {
    "id": "5.21.02",
    "titel": "Beheren van informatiebeveiliging in de ICT-toeleveringsketen",
    "thema": "Leveranciersbeheer - Inkoop",
    "soort": "overheid"
   },
   {
    "id": "5.21.03",
    "titel": "Beheren van informatiebeveiliging in de ICT-toeleveringsketen",
    "thema": "Leveranciersbeheer - contractbeheer",
    "soort": "overheid"
   },
   {
    "id": "5.21.04",
    "titel": "Beheren van informatiebeveiliging in de ICT-toeleveringsketen",
    "thema": "Leveranciersbeheer - contractbeheer",
    "soort": "overheid"
   },
   {
    "id": "5.21.05",
    "titel": "Beheren van informatiebeveiliging in de ICT-toeleveringsketen",
    "thema": "Leveranciersbeheer - contractbeheer",
    "soort": "overheid"
   },
   {
    "id": "5.22.01",
    "titel": "Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten",
    "thema": "Leveranciersbeheer - contractbeheer",
    "soort": "overheid"
   },
   {
    "id": "5.22.02",
    "titel": "Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten",
    "thema": "Leveranciersbeheer - contractbeheer",
    "soort": "overheid"
   },
   {
    "id": "5.23.01",
    "titel": "Informatiebeveiliging voor het gebruik van clouddiensten",
    "thema": "Leveranciersbeheer - contractbeheer",
    "soort": "overheid"
   },
   {
    "id": "5.24.01",
    "titel": "Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.24.02",
    "titel": "Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.24.03",
    "titel": "Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.24.04",
    "titel": "Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.24.05",
    "titel": "Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.24.07",
    "titel": "Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.24.08",
    "titel": "Plannen en voorbereiden van het beheer van informatie-beveiligingsincidenten",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.25.02",
    "titel": "Beoordelen van en besluiten over informatiebeveiligingsgebeurtenissen",
    "thema": "Security Incident Management",
    "soort": "alleen-iso"
   },
   {
    "id": "5.26.02",
    "titel": "Reageren op informatiebeveiligings-incidenten",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.27.01",
    "titel": "Leren van informatiebeveiligingsincidenten",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.27.02",
    "titel": "Leren van informatiebeveiligingsincidenten",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.28.01",
    "titel": "Verzamelen van bewijsmateriaal",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "5.29.01",
    "titel": "Informatiebeveiliging tijdens een verstoring",
    "thema": "Business Continuity & Disaster Recovery",
    "soort": "alleen-iso"
   },
   {
    "id": "5.30.01",
    "titel": "ICT-gereedheid voor bedrijfscontinuïteit",
    "thema": "Business Continuity & Disaster Recovery",
    "soort": "overheid"
   },
   {
    "id": "5.30.02",
    "titel": "ICT-gereedheid voor bedrijfscontinuïteit",
    "thema": "Business Continuity & Disaster Recovery",
    "soort": "overheid"
   },
   {
    "id": "5.31.01",
    "titel": "Wettelijke, statutaire, regelgevende en contractuele eisen",
    "thema": "IT-Compliance",
    "soort": "alleen-iso"
   },
   {
    "id": "5.32.01",
    "titel": "Intellectuele-eigendomsrechten",
    "thema": "IT-Compliance",
    "soort": "alleen-iso"
   },
   {
    "id": "5.33.01",
    "titel": "Beschermen van registraties",
    "thema": "IT-Compliance",
    "soort": "overheid"
   },
   {
    "id": "5.34.01",
    "titel": "Privacy en bescherming van persoonsgegevens",
    "thema": "IT-Compliance",
    "soort": "alleen-iso"
   },
   {
    "id": "5.35.02",
    "titel": "Onafhankelijke beoordeling van informatiebeveiliging",
    "thema": "IV-beleid",
    "soort": "overheid"
   },
   {
    "id": "5.36.01",
    "titel": "Naleving van beleid, regels en normen voor informatiebeveiliging",
    "thema": "IV-beleid",
    "soort": "overheid"
   },
   {
    "id": "5.37.01",
    "titel": "Gedocumenteerde bedieningsprocedures",
    "thema": "Wijzigingsbeheer",
    "soort": "alleen-iso"
   },
   {
    "id": "6.01.01",
    "titel": "Screening",
    "thema": "Screening, bewustzijn & opleiding",
    "soort": "overheid"
   },
   {
    "id": "6.02.01",
    "titel": "Arbeidsovereenkomst",
    "thema": "Screening, bewustzijn & opleiding",
    "soort": "overheid"
   },
   {
    "id": "6.03.01",
    "titel": "Bewustwording van, opleiding en training in informatiebeveiliging",
    "thema": "Screening, bewustzijn & opleiding",
    "soort": "overheid"
   },
   {
    "id": "6.03.02",
    "titel": "Bewustwording van, opleiding en training in informatiebeveiliging",
    "thema": "Screening, bewustzijn & opleiding",
    "soort": "overheid"
   },
   {
    "id": "6.03.03",
    "titel": "Bewustwording van, opleiding en training in informatiebeveiliging",
    "thema": "Screening, bewustzijn & opleiding",
    "soort": "overheid"
   },
   {
    "id": "6.03.04",
    "titel": "Bewustwording van, opleiding en training in informatiebeveiliging",
    "thema": "Screening, bewustzijn & opleiding",
    "soort": "overheid"
   },
   {
    "id": "6.04.01",
    "titel": "Disciplinaire procedure",
    "thema": "Screening, bewustzijn & opleiding",
    "soort": "alleen-iso"
   },
   {
    "id": "6.05.01",
    "titel": "Verantwoordelijkheden na beëindiging of wijziging van het dienstverband",
    "thema": "Screening, bewustzijn & opleiding",
    "soort": "alleen-iso"
   },
   {
    "id": "6.06.01",
    "titel": "Vertrouwelijkheids- of geheimhoudingsovereenkomsten",
    "thema": "Screening, bewustzijn & opleiding",
    "soort": "alleen-iso"
   },
   {
    "id": "6.07.01",
    "titel": "Werken op afstand",
    "thema": "Logische toegangsbeveiliging",
    "soort": "alleen-iso"
   },
   {
    "id": "6.08.01",
    "titel": "Melden van informatiebeveiligings-gebeurtenissen",
    "thema": "Security Incident Management",
    "soort": "overheid"
   },
   {
    "id": "7.01.02",
    "titel": "Fysieke beveiligingszones",
    "thema": "Fysieke toegang & beveiliging",
    "soort": "overheid"
   },
   {
    "id": "7.02.01",
    "titel": "Fysieke toegangsbeveiliging",
    "thema": "Fysieke toegang & beveiliging",
    "soort": "overheid"
   },
   {
    "id": "7.03.01",
    "titel": "Beveiligen van kantoren, ruimten en faciliteiten",
    "thema": "Fysieke toegang & beveiliging",
    "soort": "alleen-iso"
   },
   {
    "id": "7.04.01",
    "titel": "Monitoren van de fysieke beveiliging",
    "thema": "Fysieke toegang & beveiliging",
    "soort": "alleen-iso"
   },
   {
    "id": "7.05.01",
    "titel": "Beschermen tegen fysieke en omgevingsdreigingen",
    "thema": "Fysieke toegang & beveiliging",
    "soort": "alleen-iso"
   },
   {
    "id": "7.06.01",
    "titel": "Werken in beveiligde zones",
    "thema": "Bedrijfsmiddelenbeheer",
    "soort": "alleen-iso"
   },
   {
    "id": "7.07.01",
    "titel": "‘Clear desk’ en ‘clear screen’",
    "thema": "IT-Compliance",
    "soort": "overheid"
   },
   {
    "id": "7.08.01",
    "titel": "Plaatsen en beschermen van apparatuur",
    "thema": "Bedrijfsmiddelenbeheer",
    "soort": "alleen-iso"
   },
   {
    "id": "7.09.01",
    "titel": "Beveiligen van bedrijfsmiddelen buiten het terrein",
    "thema": "Bedrijfsmiddelenbeheer",
    "soort": "alleen-iso"
   },
   {
    "id": "7.10.01",
    "titel": "Opslagmedia",
    "thema": "Afvoer en hergebruik gegevensdragers",
    "soort": "overheid"
   },
   {
    "id": "7.10.02",
    "titel": "Opslagmedia",
    "thema": "Afvoer en hergebruik gegevensdragers",
    "soort": "overheid"
   },
   {
    "id": "7.10.03",
    "titel": "Opslagmedia",
    "thema": "Afvoer en hergebruik gegevensdragers",
    "soort": "overheid"
   },
   {
    "id": "7.11.01",
    "titel": "Nutsvoorzieningen",
    "thema": "Bedrijfsmiddelenbeheer",
    "soort": "alleen-iso"
   },
   {
    "id": "7.12.01",
    "titel": "Beveiligen van bekabeling",
    "thema": "Fysieke toegang & beveiliging",
    "soort": "alleen-iso"
   },
   {
    "id": "7.13.01",
    "titel": "Onderhoud van apparatuur",
    "thema": "Bedrijfsmiddelenbeheer",
    "soort": "alleen-iso"
   },
   {
    "id": "7.14.01",
    "titel": "Veilig verwijderen of hergebruiken van apparatuur",
    "thema": "Afvoer en hergebruik gegevensdragers",
    "soort": "alleen-iso"
   },
   {
    "id": "8.01.01",
    "titel": "User endpoint devices",
    "thema": "Mobile Device Management",
    "soort": "overheid"
   },
   {
    "id": "8.01.02",
    "titel": "User endpoint devices",
    "thema": "Mobile Device Management",
    "soort": "overheid"
   },
   {
    "id": "8.02.01",
    "titel": "Speciale toegangsrechten",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.03.01",
    "titel": "Beperking toegang tot informatie",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.03.02",
    "titel": "Beperking toegang tot informatie",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.04.01",
    "titel": "Toegangsbeveiliging op broncode",
    "thema": "Logische toegangsbeveiliging",
    "soort": "alleen-iso"
   },
   {
    "id": "8.05.01",
    "titel": "Beveiligde authenticatie",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.06.01",
    "titel": "Capaciteitsbeheer",
    "thema": "IT-Compliance",
    "soort": "alleen-iso"
   },
   {
    "id": "8.07.01",
    "titel": "Bescherming tegen malware",
    "thema": "Vulnerability & patchmanagement",
    "soort": "overheid"
   },
   {
    "id": "8.07.02",
    "titel": "Bescherming tegen malware",
    "thema": "Vulnerability & patchmanagement",
    "soort": "overheid"
   },
   {
    "id": "8.07.03",
    "titel": "Bescherming tegen malware",
    "thema": "Vulnerability & patchmanagement",
    "soort": "overheid"
   },
   {
    "id": "8.07.04",
    "titel": "Bescherming tegen malware",
    "thema": "Vulnerability & patchmanagement",
    "soort": "overheid"
   },
   {
    "id": "8.08.01",
    "titel": "Beheer van technische kwetsbaarheden",
    "thema": "Vulnerability & patchmanagement",
    "soort": "overheid"
   },
   {
    "id": "8.08.02",
    "titel": "Beheer van technische kwetsbaarheden",
    "thema": "Vulnerability & patchmanagement",
    "soort": "overheid"
   },
   {
    "id": "8.08.03",
    "titel": "Beheer van technische kwetsbaarheden",
    "thema": "Vulnerability & patchmanagement",
    "soort": "overheid"
   },
   {
    "id": "8.08.04",
    "titel": "Beheer van technische kwetsbaarheden",
    "thema": "Vulnerability & patchmanagement",
    "soort": "overheid"
   },
   {
    "id": "8.08.05",
    "titel": "Beheer van technische kwetsbaarheden",
    "thema": "Vulnerability & patchmanagement",
    "soort": "overheid"
   },
   {
    "id": "8.09.01",
    "titel": "Configuratiebeheer",
    "thema": "Vulnerability & patchmanagement",
    "soort": "alleen-iso"
   },
   {
    "id": "8.10.01",
    "titel": "Wissen van informatie",
    "thema": "Afvoer en hergebruik gegevensdragers",
    "soort": "alleen-iso"
   },
   {
    "id": "8.11.01",
    "titel": "Maskeren van gegevens",
    "thema": "IT-Compliance",
    "soort": "alleen-iso"
   },
   {
    "id": "8.12.01",
    "titel": "Voorkomen van gegevenslekken (data leakage prevention)",
    "thema": "IT-Compliance",
    "soort": "alleen-iso"
   },
   {
    "id": "8.13.01",
    "titel": "Back-up van informatie",
    "thema": "Back-up & Recovery",
    "soort": "overheid"
   },
   {
    "id": "8.13.02",
    "titel": "Back-up van informatie",
    "thema": "Back-up & Recovery",
    "soort": "overheid"
   },
   {
    "id": "8.13.03",
    "titel": "Back-up van informatie",
    "thema": "Back-up & Recovery",
    "soort": "overheid"
   },
   {
    "id": "8.13.04",
    "titel": "Back-up van informatie",
    "thema": "Back-up & Recovery",
    "soort": "overheid"
   },
   {
    "id": "8.14.01",
    "titel": "Redundantie van informatieverwerkende faciliteiten",
    "thema": "Business Continuity & Disaster Recovery",
    "soort": "alleen-iso"
   },
   {
    "id": "8.15.01",
    "titel": "Logging",
    "thema": "Logging & monitoring",
    "soort": "overheid"
   },
   {
    "id": "8.15.02",
    "titel": "Logging",
    "thema": "Logging & monitoring",
    "soort": "overheid"
   },
   {
    "id": "8.15.03",
    "titel": "Logging",
    "thema": "Logging & monitoring",
    "soort": "overheid"
   },
   {
    "id": "8.15.04",
    "titel": "Logging",
    "thema": "Logging & monitoring",
    "soort": "overheid"
   },
   {
    "id": "8.15.05",
    "titel": "Logging",
    "thema": "Logging & monitoring",
    "soort": "overheid"
   },
   {
    "id": "8.15.06",
    "titel": "Logging",
    "thema": "Logging & monitoring",
    "soort": "overheid"
   },
   {
    "id": "8.16.01",
    "titel": "Monitoren van activiteiten",
    "thema": "Logging & monitoring",
    "soort": "overheid"
   },
   {
    "id": "8.16.02",
    "titel": "Monitoren van activiteiten",
    "thema": "Logging & monitoring",
    "soort": "overheid"
   },
   {
    "id": "8.16.03",
    "titel": "Monitoren van activiteiten",
    "thema": "Logging & monitoring",
    "soort": "overheid"
   },
   {
    "id": "8.16.04",
    "titel": "Monitoren van activiteiten",
    "thema": "Logging & monitoring",
    "soort": "overheid"
   },
   {
    "id": "8.17.01",
    "titel": "Kloksynchronisatie",
    "thema": "IT-Compliance",
    "soort": "alleen-iso"
   },
   {
    "id": "8.18.01",
    "titel": "Gebruik van speciale systeemhulpmiddelen",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.18.02",
    "titel": "Gebruik van speciale systeemhulpmiddelen",
    "thema": "Logische toegangsbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.19.01",
    "titel": "Installeren van software op operationele systemen",
    "thema": "Wijzigingsbeheer",
    "soort": "overheid"
   },
   {
    "id": "8.20.01",
    "titel": "Beveiliging netwerkcomponenten",
    "thema": "Netwerkbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.20.02",
    "titel": "Beveiliging netwerkcomponenten",
    "thema": "Netwerkbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.21.01",
    "titel": "Beveiliging van netwerkdiensten",
    "thema": "Netwerkbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.21.02",
    "titel": "Beveiliging van netwerkdiensten",
    "thema": "Netwerkbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.21.03",
    "titel": "Beveiliging van netwerkdiensten",
    "thema": "Netwerkbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.21.04",
    "titel": "Beveiliging van netwerkdiensten",
    "thema": "Netwerkbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.22.01",
    "titel": "Netwerksegmentatie",
    "thema": "Netwerkbeveiliging",
    "soort": "overheid"
   },
   {
    "id": "8.23.01",
    "titel": "Toepassen van webfilters",
    "thema": "Netwerkbeveiliging",
    "soort": "alleen-iso"
   },
   {
    "id": "8.24.01",
    "titel": "Gebruik van cryptografie",
    "thema": "Cryptografie",
    "soort": "overheid"
   },
   {
    "id": "8.24.02",
    "titel": "Gebruik van cryptografie",
    "thema": "Cryptografie",
    "soort": "overheid"
   },
   {
    "id": "8.24.04",
    "titel": "Gebruik van cryptografie",
    "thema": "Cryptografie",
    "soort": "overheid"
   },
   {
    "id": "8.24.05",
    "titel": "Gebruik van cryptografie",
    "thema": "Cryptografie",
    "soort": "overheid"
   },
   {
    "id": "8.25.01",
    "titel": "Beveiligen tijdens de ontwikkelcyclus",
    "thema": "Secure Software Development",
    "soort": "alleen-iso"
   },
   {
    "id": "8.26.01",
    "titel": "Toepassingsbeveiligingseisen",
    "thema": "Secure Software Development",
    "soort": "alleen-iso"
   },
   {
    "id": "8.27.01",
    "titel": "Veilige systeemarchitectuur en technische uitgangspunten",
    "thema": "Secure Software Development",
    "soort": "overheid"
   },
   {
    "id": "8.28.01",
    "titel": "Veilig coderen",
    "thema": "Secure Software Development",
    "soort": "alleen-iso"
   },
   {
    "id": "8.29.01",
    "titel": "Testen van de beveiliging tijdens ontwikkeling en acceptatie",
    "thema": "Wijzigingsbeheer",
    "soort": "overheid"
   },
   {
    "id": "8.30.01",
    "titel": "Uitbestede systeemontwikkeling",
    "thema": "Secure Software Development",
    "soort": "overheid"
   },
   {
    "id": "8.31.01",
    "titel": "Scheiding van ontwikkel-, test- en productieomgevingen",
    "thema": "Wijzigingsbeheer",
    "soort": "overheid"
   },
   {
    "id": "8.31.02",
    "titel": "Scheiding van ontwikkel-, test- en productieomgevingen",
    "thema": "Wijzigingsbeheer",
    "soort": "overheid"
   },
   {
    "id": "8.32.01",
    "titel": "Wijzigingsbeheer",
    "thema": "Wijzigingsbeheer",
    "soort": "overheid"
   },
   {
    "id": "8.32.02",
    "titel": "Wijzigingsbeheer",
    "thema": "Wijzigingsbeheer",
    "soort": "overheid"
   },
   {
    "id": "8.33.01",
    "titel": "Testgegevens",
    "thema": "Wijzigingsbeheer",
    "soort": "alleen-iso"
   },
   {
    "id": "8.34.01",
    "titel": "Bescherming van informatiesystemen tijdens audits",
    "thema": "IT-Compliance",
    "soort": "alleen-iso"
   }
  ]
 },
 "afkortingen": {
  "AP": "Autoriteit Persoonsgegevens",
  "API": "Application programming interface, een koppelvlak tussen systemen",
  "ARBIT": "Algemene Rijksvoorwaarden bij IT-overeenkomsten, de standaard inkoopvoorwaarden voor IT van het Rijk",
  "ASVS": "Application Security Verification Standard, de eisenset van OWASP voor applicatiebeveiliging",
  "AVG": "Algemene verordening gegevensbescherming",
  "BAG": "Basisregistratie Adressen en Gebouwen",
  "BCM": "Business continuity management, het beheer van bedrijfscontinuïteit",
  "BIA": "Business impact analyse",
  "BIO": "Baseline Informatiebeveiliging Overheid",
  "BIV": "Beschikbaarheid, integriteit en vertrouwelijkheid",
  "BRP": "Basisregistratie Personen",
  "BYOD": "Bring your own device: eigen apparaten van medewerkers voor het werk",
  "CAB": "Change advisory board, het overleg dat wijzigingen beoordeelt",
  "CERT": "Computer emergency response team",
  "CIO": "Chief Information Officer",
  "CIP": "Centrum Informatiebeveiliging en Privacybescherming",
  "CIS": "Center for Internet Security, uitgever van hardeningsrichtlijnen (CIS Benchmarks)",
  "CISO": "Chief Information Security Officer",
  "CMDB": "Configuration management database, de inventaris van bedrijfsmiddelen en hun samenhang",
  "CRL": "Certificate revocation list, de lijst van ingetrokken certificaten",
  "CSIRT": "Computer security incident response team",
  "CVD": "Coordinated vulnerability disclosure, het gecoördineerd melden van kwetsbaarheden",
  "CVE": "Common Vulnerabilities and Exposures, het register van bekende kwetsbaarheden",
  "CVSS": "Common Vulnerability Scoring System, de score voor de ernst van een kwetsbaarheid",
  "Cbw": "Cyberbeveiligingswet",
  "DANE": "DNS-based Authentication of Named Entities, koppelt certificaten aan DNS",
  "DKIM": "DomainKeys Identified Mail, een handtekening op uitgaande mail",
  "DLP": "Data leakage prevention, het voorkomen van gegevenslekken",
  "DMARC": "Domain-based Message Authentication, Reporting and Conformance, beleid voor de afhandeling van mail die SPF of DKIM niet haalt",
  "DMZ": "Demilitarized zone, een netwerkzone tussen internet en het interne netwerk",
  "DNS": "Domain name system",
  "DNSSEC": "Domain Name System Security Extensions, ondertekening van DNS-antwoorden",
  "DPIA": "Data protection impact assessment, een gegevensbeschermingseffectbeoordeling",
  "EDR": "Endpoint detection and response",
  "ENSIA": "Eenduidige Normatiek Single Information Audit",
  "EU": "Europese Unie",
  "FG": "Functionaris gegevensbescherming",
  "GIBIT": "Gemeentelijke inkoopvoorwaarden bij IT",
  "HR": "Human resources, personeelszaken",
  "HSM": "Hardware security module",
  "HSTS": "HTTP Strict Transport Security, een beveiligingsheader die alleen versleutelde verbindingen toestaat",
  "HTTPS": "Hypertext transfer protocol secure, versleuteld webverkeer",
  "IAM": "Identity and access management, het beheer van identiteiten en toegangsrechten",
  "IBD": "Informatiebeveiligingsdienst voor gemeenten",
  "ICT": "Informatie- en communicatietechnologie",
  "IDS": "Intrusion detection system",
  "IEC": "International Electrotechnical Commission",
  "IP": "Internet protocol",
  "IPS": "Intrusion prevention system",
  "ISAC": "Information Sharing and Analysis Centre, een samenwerkingsverband voor het delen van dreigingsinformatie in een sector",
  "ISAE": "International Standard on Assurance Engagements",
  "ISMS": "Information security management system, het managementsysteem voor informatiebeveiliging",
  "ISO": "International Organization for Standardization",
  "IT": "Informatietechnologie",
  "IaaS": "Infrastructure as a service",
  "ITIL": "Information Technology Infrastructure Library, een raamwerk voor IT-beheer",
  "MAM": "Mobile application management, het beheer van bedrijfsapps op een apparaat",
  "MDM": "Mobile device management",
  "MDR": "Managed detection and response",
  "MFA": "Meerfactorauthenticatie",
  "NBV": "Nationaal Bureau voor Verbindingsbeveiliging",
  "NCSC": "Nationaal Cyber Security Centrum",
  "NEN": "Koninklijk Nederlands Normalisatie-instituut",
  "NIS2": "Network and Information Security Directive, de tweede Europese richtlijn",
  "NTA": "Nederlandse technische afspraak",
  "NTP": "Network time protocol, het protocol voor kloksynchronisatie",
  "OCSP": "Online Certificate Status Protocol, opvragen of een certificaat is ingetrokken",
  "OT": "Operationele technologie",
  "OV": "Organization validated, een certificaattype",
  "OWASP": "Open Worldwide Application Security Project",
  "P&C": "Planning en control",
  "PDCA": "Plan, do, check, act",
  "PKI": "Public key infrastructure",
  "RASCI": "Responsible, accountable, supportive, consulted, informed: een verdeling van rollen",
  "RIO": "Register Internetdomeinen Overheid",
  "RPO": "Recovery point objective, het maximaal toelaatbare gegevensverlies",
  "RTO": "Recovery time objective, de maximaal toelaatbare hersteltijd",
  "SPF": "Sender Policy Framework, welke servers mail namens een domein mogen versturen",
  "STARTTLS": "Uitbreiding die een mailverbinding versleutelt met TLS",
  "SaaS": "Software as a service",
  "SBOM": "Software bill of materials, de lijst van onderdelen van een programma",
  "SIEM": "Security information and event management",
  "SLA": "Service level agreement",
  "SOC": "Security operations center",
  "SSD": "Solid state drive, een opslagmedium zonder bewegende delen",
  "SSO": "Single sign-on",
  "TLS": "Transport layer security",
  "UPS": "Uninterruptible power supply, een noodstroomvoorziening",
  "URL": "Uniform resource locator, een webadres",
  "USB": "Universal serial bus, de aansluiting voor randapparatuur en opslagmedia",
  "VOG": "Verklaring omtrent het gedrag",
  "VPN": "Virtual private network",
  "VvT": "Verklaring van toepasselijkheid",
  "WPBR": "Wet particuliere beveiligingsorganisaties en recherchebureaus",
  "Wpg": "Wet politiegegevens",
  "Woo": "Wet open overheid",
  "WvGGZ": "Wet verplichte geestelijke gezondheidszorg"
 },
 "bouwstenen": [
  {
   "domein": "iv-beleid",
   "titel": "Strategisch informatiebeveiligingsbeleid",
   "samenvatting": "Het bovenliggende kader voor informatiebeveiliging: wat de organisatie wil bereiken, wie verantwoordelijk is en hoe zij aantoont dat het werkt. Behandelt de vaststelling en inbedding van het beleid, de samenhang met privacy, OT en continuïteit, de organisatie van de beveiligingsfunctie, bewustzijn, contacten en dreigingsinformatie, audit en verantwoording, en de evaluatie.",
   "invoeren": [
    "Leg het toepassingsgebied vast in een scopedocument op basis van de kritieke processen (hoofdstuk 3).",
    "Leg eigenaren van processen, systemen en ketens vast in een register eigenaren (hoofdstuk 4).",
    "Stel een mandaat voor de CISO op dat het bestuur schriftelijk vaststelt (hoofdstuk 5).",
    "Stel een overzicht functiescheiding op met taakcombinaties die niet in één hand mogen (hoofdstuk 5).",
    "Stel een jaarlijks bewustwordingsprogramma op met doelgroepen, onderwerpen en meetpunten (hoofdstuk 6).",
    "Leg contacten met instanties en samenwerkingsverbanden vast in een overzicht met plaatsvervangers (hoofdstuk 7).",
    "Richt een registratie van dreigingsinformatie in en stel jaarlijks een dreigingsbeeld op (hoofdstuk 7).",
    "Stel een risicogestuurd auditplan op dat het bestuur jaarlijks vaststelt (hoofdstuk 8)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid is het bovenliggende kader voor informatiebeveiliging in de organisatie. Het zegt wat de",
      "organisatie wil bereiken, wie waarvoor verantwoordelijk is, hoe informatiebeveiliging samenhangt met",
      "privacybescherming, operationele technologie (OT) en bedrijfscontinuïteit (BCM), en hoe de organisatie",
      "aantoont dat het werkt. De materie-specifieke beleidsstukken van deze set werken het uit per BIO 2.0-domein.",
      "Dit stuk is het beleidsdocument uit clausule 5.2 van ISO 27001 en gaat over de ISO-beheersmaatregelen 5.1",
      "tot en met 5.3, 5.5 tot en met 5.7, 5.35 en 5.36.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor het bestuur, de ambtelijke top, de lijnmanagers en",
      "proceseigenaren die eigenaar zijn van processen, systemen en ketens, en voor de CISO en de andere rollen in",
      "de tweede en derde lijn. De uitgangspunten en de gedragsregel in hoofdstuk 6 gelden voor iedereen die",
      "onder verantwoordelijkheid van de organisatie met informatie werkt: medewerkers, inhuur, stagiairs,",
      "vrijwilligers, leveranciers en ketenpartners.",
      "",
      "**Waarop.** Alle processen, informatiesystemen, gegevens en installaties van de organisatie, ongeacht waar",
      "ze draaien of wie ze beheert: eigen systemen, systemen bij een hostingpartij of SaaS-leverancier, de OT en",
      "de ketens die de organisatie met andere partijen deelt. Is een deel van de beveiligingsfunctie uitbesteed,",
      "bijvoorbeeld een gedeelde CISO, een extern managementsysteem of een externe interne-auditfunctie, dan gelden",
      "de eisen uit dit beleid als minimumeis voor die partij. De organisatie legt dat vast in het contract en",
      "toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of",
      "ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het",
      "beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de maatregelen per onderwerp: die staan in de materie-specifieke stukken van deze",
      "set, zoals het beleid logische toegangsbeveiliging, het beleid beveiligingsincidenten en het beleid",
      "IT-compliance. De scholing van bestuur en medewerkers staat in het beleid screening, bewustzijn en opleiding;",
      "de risicoafweging bij nieuwe systemen in het beleid informatiebeveiliging in projecten; het privacybeleid en",
      "het continuïteitsbeleid zijn eigen stukken met dezelfde eigenaren.",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "samenwerking",
       "niet": false,
       "antwoorden": [
        "centrum"
       ]
      }
     ],
     "regels": [
      "De organisatie voert de bedrijfsvoering ook uit voor andere organisaties. Dit beleid geldt dan voor alle",
      "deelnemers; per deelnemer is vastgelegd welk bestuur het vaststelt, wie de rollen uit hoofdstuk 10 vult en",
      "hoe de rapportage uit hoofdstuk 8 per deelnemer wordt uitgesplitst."
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "samenwerking",
       "niet": false,
       "antwoorden": [
        "aangesloten"
       ]
      }
     ],
     "regels": [
      "De organisatie heeft de bedrijfsvoering belegd bij een uitvoerings- of centrumorganisatie. Het bestuur van",
      "de organisatie blijft eindverantwoordelijk en stelt dit beleid zelf vast; de uitvoering van de maatregelen",
      "loopt via de dienstverleningsafspraken met die organisatie, met de verklaring uit hoofdstuk 1 als bewijs."
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Het bestuur is eindverantwoordelijk voor informatiebeveiliging en stelt dit beleid vast.",
      "2. Informatiebeveiliging is risicogestuurd. Risico's worden geïdentificeerd, beoordeeld, behandeld en",
      "   gevolgd volgens de vastgestelde risicomanagementmethodiek van de organisatie.",
      "3. De uitvoering ligt in de lijn. Wie eigenaar is van een proces, systeem of bedrijfsmiddel, is ook eigenaar",
      "   van de risico's daarop en van de maatregelen die ze beheersen.",
      "4. Het normenkader is BIO 2.0, met ISO 27001 voor het managementsysteem en ISO 27002 plus de",
      "   overheidsmaatregelen van BIO 2.0 voor de beheersmaatregelen. De Verklaring van Toepasselijkheid zegt per",
      "   maatregel of hij geldt, wie eigenaar is en waar hij is uitgewerkt.",
      "5. Informatiebeveiliging is een doorlopend verbeterproces volgens plan, do, check, act. Opzet, bestaan en",
      "   werking van maatregelen zijn aantoonbaar.",
      "6. Wie een maatregel uitvoert, beoordeelt niet zelf of hij werkt: uitvoeren, goedkeuren en controleren",
      "   liggen bij verschillende personen.",
      "7. De organisatie stelt de mensen en middelen beschikbaar die nodig zijn om dit beleid uit te voeren.",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "essentieel",
        "belangrijk"
       ]
      }
     ],
     "regels": [
      "8. De organisatie is aangewezen onder de Cyberbeveiligingswet. Zorgplicht, meldplicht, registratieplicht en",
      "   toezicht zijn daarmee wettelijke verplichtingen. Dit beleid beschrijft wat de organisatie moet kunnen",
      "   aantonen; eigen ambitie komt daar bovenop."
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "niet"
       ]
      }
     ],
     "regels": [
      "8. De organisatie is niet aangewezen onder de Cyberbeveiligingswet. Zij past BIO 2.0 toe als afgesproken",
      "   norm voor de overheid en toetst jaarlijks of de aanwijzing nog klopt, bijvoorbeeld na een wijziging van",
      "   taken of een nieuwe aanwijzing door de sector."
     ]
    },
    {
     "als": null,
     "regels": [
      "9. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Inhoud, vaststelling en inbedding van het beleid",
      "",
      "- Het bestuur stelt dit beleid vast. Het beleid bevat ten minste: de strategische uitgangspunten",
      "  (hoofdstuk 2), de organisatie van de beveiligingsfunctie (hoofdstuk 5), de toewijzing van ketens, OT,",
      "  privacy en BCM aan de lijn (hoofdstuk 4), het normenkader (uitgangspunt 4), de evaluatiefrequentie",
      "  (hoofdstuk 9) en de bevordering van bewustzijn (hoofdstuk 6). Het vaststellingsbesluit is het",
      "  bewijs. [5.01.01]",
      "- Het beleid sluit aan op het algemene beveiligingsbeleid (fysiek, personeel, integriteit) en op het",
      "  informatievoorzieningsbeleid. De CISO toetst die aansluiting bij elke evaluatie; bij tegenstrijdigheid",
      "  beslist het bestuur op advies van de CISO welk stuk wordt aangepast. [5.01.01]",
      "- De CISO leidt jaarlijks meetbare doelstellingen af uit dit beleid, met per doelstelling een eigenaar, een",
      "  meetmethode en een rapportagemoment in de P&C-cyclus. De doelstellingen staan in de jaarplanning van het",
      "  managementsysteem die het bestuur vaststelt. [5.01.01]",
      "- Het toepassingsgebied van het managementsysteem ligt vast in een scopedocument, gebaseerd op de lijst van",
      "  kritieke processen en de systemen die ze dragen. De CISO beoordeelt het scopedocument jaarlijks en legt de",
      "  beoordeling vast. [5.01.01]",
      "- De CISO maakt dit beleid en de materie-specifieke stukken bekend aan iedereen voor wie ze gelden, via",
      "  [[publicatieplek beleid: de plek waar het beleid voor iedereen vindbaar is, bijvoorbeeld het intranet]],",
      "  en meldt elke nieuwe versie aan de lijnmanagers en aan de leveranciers voor wie het als minimumeis geldt.",
      "  [5.01.01]",
      "- Waar een eis uit deze set niet kan worden nageleefd, legt de eigenaar een uitzondering vast volgens de",
      "  afwijkingsprocedure in hoofdstuk 11. Een uitzondering zonder einddatum wordt niet geaccepteerd. [5.01.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "essentieel",
        "belangrijk"
       ]
      }
     ],
     "regels": [
      "- Het scopedocument noemt ook de diensten waarvoor de organisatie onder de Cyberbeveiligingswet valt. De",
      "  CISO werkt de gegevens in het entiteitenregister bij elke wijziging en ten minste jaarlijks bij; het",
      "  bewijs is de registratiebevestiging. [5.01.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "volwassenheid",
       "niet": false,
       "antwoorden": [
        "startend"
       ]
      }
     ],
     "regels": [
      "- De organisatie heeft nog geen samenhangend beleid. Dit strategisch beleid wordt eerst vastgesteld. Binnen",
      "  twaalf maanden volgen een Verklaring van Toepasselijkheid, een risicoanalyse op de kritieke processen en",
      "  de materie-specifieke stukken voor de domeinen met het hoogste risico. De CISO legt die volgorde vast in",
      "  een plan van aanpak dat het bestuur vaststelt. [5.01.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "volwassenheid",
       "niet": false,
       "antwoorden": [
        "bio1"
       ]
      }
     ],
     "regels": [
      "- De organisatie heeft BIO 1 op orde. De overgang naar BIO 2.0 loopt via een vergelijking per maatregel:",
      "  wat al gedekt is, wat aangepast moet worden en wat nieuw is. De CISO legt die vergelijking en het tijdpad",
      "  vast in een transitieplan dat het bestuur vaststelt. [5.01.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 4. Samenhang en toewijzing aan de lijn",
      "",
      "- Informatiebeveiliging, privacybescherming, de beveiliging van OT en de continuïteit van de taakuitvoering",
      "  raken dezelfde processen en hebben dezelfde eigenaren. De organisatie beheert ze daarom als één geheel:",
      "  één risicoregister, één set eigenaren en één rapportagelijn naar het bestuur. [5.02.01]",
      "- Lijnmanagers en proceseigenaren zijn voor hun proces en de bijbehorende systemen en ketens",
      "  verantwoordelijk voor de informatiebeveiliging, de bescherming van persoonsgegevens, de beveiliging van de",
      "  OT die het proces aanstuurt, de continuïteit van het proces en de behandeling van de risico's op hun",
      "  bedrijfsmiddelen. [[ambtelijk eindverantwoordelijke: de hoogste ambtelijke functie, bijvoorbeeld de secretaris of algemeen directeur]]",
      "  legt dat eigenaarschap vast in [[register eigenaren: het overzicht van processen en systemen met hun eigenaar, bijvoorbeeld het register van bedrijfsmiddelen]]",
      "  en beoordeelt het jaarlijks op volledigheid. [5.01.01, 5.02.01]",
      "- Voor elke keten van informatiesystemen die de organisatie met andere partijen deelt, is één interne",
      "  eigenaar benoemd die de afspraken over beveiliging met de ketenpartners bewaakt. De keteneigenaren staan",
      "  in hetzelfde register. [5.01.01, 5.02.01]",
      "- De verhouding tussen de vier kaders ligt vast in deze tabel. De CISO toetst bij elke evaluatie van dit",
      "  beleid of de tabel nog klopt. [5.02.01]",
      "",
      "  | Kader | Norm | Belegd bij | Verhouding tot dit beleid |",
      "  |---|---|---|---|",
      "  | Informatiebeveiliging | BIO 2.0, ISO 27001 en 27002 | Lijnmanagement, met de CISO in de tweede lijn | Dit beleid is het kader |",
      "  | Privacybescherming | AVG | Lijnmanagement, met de privacy officer en de FG | Uitgewerkt in het privacybeleid; gedeelde maatregelen en eigenaren |",
      "  | Operationele technologie | BIO 2.0 | Eigenaren van de installaties | Valt onder dit beleid |",
      "  | Bedrijfscontinuïteit | BIO 2.0, eventueel ISO 22301 | Lijnmanagement, met de BCM-coördinatie | Beschikbaarheidseisen komen uit dit beleid; herstel staat in het continuïteitsbeleid |",
      "",
      "- Bij het toewijzen van rollen is vastgelegd wie bij een incident beslist, wie coördineert en wie meldt. Een",
      "  incident kan alle vier de kaders tegelijk raken; de meldroutes verschillen, de coördinatie ligt bij één",
      "  rol, uitgewerkt in het beleid beveiligingsincidenten. [5.02.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ot",
       "niet": false,
       "antwoorden": [
        "beperkt"
       ]
      }
     ],
     "regels": [
      "- De OT van de organisatie is beperkt tot gebouwbeheer, toegangssystemen en camera's. Eigenaar is",
      "  [[eigenaar gebouwgebonden OT: de manager die de installaties beheert, bijvoorbeeld facilitaire zaken]].",
      "  Deze installaties staan in het register van bedrijfsmiddelen en vallen onder dezelfde jaarlijkse",
      "  risicoanalyse als de IT-systemen. [5.02.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ot",
       "niet": false,
       "antwoorden": [
        "substantieel"
       ]
      }
     ],
     "regels": [
      "- De organisatie heeft OT met een fysieke functie in de openbare ruimte, zoals bruggen, gemalen,",
      "  verkeersregelinstallaties of zuivering. Per installatiesoort is een eigenaar in de lijn benoemd in",
      "  [[register OT-eigenaren: overzicht van installatiesoorten met eigenaar en beheerpartij]], dat de CISO",
      "  jaarlijks met de eigenaren doorneemt. Een storing of aanval op OT wordt behandeld als",
      "  informatiebeveiligingsincident én als continuïteitsincident. [5.02.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Organisatie van de beveiligingsfunctie",
      "",
      "- De organisatie werkt met drie lijnen. De eerste lijn (directie en lijnmanagement) is eigenaar van risico",
      "  en maatregel. De tweede lijn (CISO, privacy officer, FG) stelt kaders, adviseert en bewaakt. De derde lijn",
      "  (interne audit of de accountant) geeft onafhankelijk oordeel over opzet, bestaan en werking. De",
      "  rolbeschrijvingen van de drie lijnen staan in het mandaat van de CISO en in de functiebeschrijvingen.",
      "  [5.02.01]",
      "- Er is een CISO aangesteld met een mandaat dat het bestuur schriftelijk heeft vastgesteld. De CISO",
      "  adviseert het bestuur en het controlerend orgaan zelfstandig en ongevraagd, en rapporteert rechtstreeks",
      "  aan het bestuur. Die rapportage kan niet worden tegengehouden door een tussenliggende laag. [5.02.02]",
      "- De CISO zit organisatorisch niet in de IT-organisatie en heeft geen beheertaken op de systemen die hij",
      "  beoordeelt. De CISO legt de eigen onafhankelijkheid jaarlijks vast in de rapportage aan het bestuur.",
      "  [5.02.02, 5.03.01]",
      "- Taken die elkaar in de hand horen te houden, liggen bij verschillende personen: het aanvragen en",
      "  goedkeuren van toegang, het beheren van een systeem en het beoordelen van de logging ervan, het doorvoeren",
      "  van een wijziging en het goedkeuren ervan, en het uitvoeren van een maatregel en het controleren ervan.",
      "  [[ambtelijk eindverantwoordelijke]] stelt vast welke taakcombinaties niet bij één persoon mogen liggen en",
      "  legt die vast in [[overzicht functiescheiding: het overzicht van taken die niet in één hand mogen liggen, bijvoorbeeld als bijlage bij het mandaat]].",
      "  [5.03.01]",
      "- Elke lijnmanager toetst jaarlijks voor het eigen onderdeel of de taakcombinaties uit dat overzicht bij",
      "  verschillende personen liggen, en meldt de uitkomst aan de CISO. Waar scheiding door de omvang van de",
      "  organisatie niet kan, staat de compenserende maatregel, zoals een controle achteraf door een andere",
      "  persoon, in het risicoregister. [5.03.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "geen"
       ]
      }
     ],
     "regels": [
      "- De organisatie heeft geen eigen ISO. Informatiebeveiliging is een neventaak van",
      "  [[functionaris informatiebeveiliging: de medewerker die de neventaak heeft, met het aantal uren per week]].",
      "  De CISO-rol is belegd bij",
      "  [[CISO-invulling: bijvoorbeeld een gedeelde CISO via een samenwerkingsverband of een externe partij]],",
      "  met een schriftelijk mandaat van het bestuur en een vast overleg met de directie ten minste elk kwartaal,",
      "  waarvan een verslag wordt gemaakt. [5.02.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "parttime"
       ]
      }
     ],
     "regels": [
      "- De CISO werkt in deeltijd. Het mandaat legt vast hoeveel uren beschikbaar zijn en welke taken voorrang",
      "  hebben: de jaarrapportage aan het bestuur, het risicoregister en de advisering bij nieuwe systemen. Taken",
      "  die niet passen, worden belegd bij",
      "  [[ondersteuning CISO: bijvoorbeeld een ISO van een samenwerkingspartner of ingehuurde capaciteit]];",
      "  de verdeling staat in het mandaat. [5.02.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "team"
       ]
      }
     ],
     "regels": [
      "- De CISO leidt een team van ISO's. De ISO's zijn per organisatieonderdeel of domein aanspreekpunt voor de",
      "  lijn, stellen de controleraamwerken op en bewaken de uitvoering in de dagelijkse praktijk. De verdeling",
      "  van domeinen over de ISO's staat in de jaarplanning van het managementsysteem. [5.02.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 6. Bewustzijn",
      "",
      "- Het bestuur draagt informatiebeveiliging uit en volgt zelf de scholing die het beleid screening, bewustzijn",
      "  en opleiding voorschrijft. Iedere medewerker kent de regels die voor de eigen functie gelden en meldt",
      "  vermoedens van incidenten direct bij het meldpunt uit het beleid beveiligingsincidenten. [5.01.01]",
      "- De CISO stelt jaarlijks een bewustwordingsprogramma op met doelgroepen, onderwerpen en meetpunten. Het",
      "  programma is onderdeel van de jaarplanning van het managementsysteem; de uitvoering staat in het beleid",
      "  screening, bewustzijn en opleiding. [5.01.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "essentieel",
        "belangrijk"
       ]
      }
     ],
     "regels": [
      "- Bestuurders volgen de scholing die de Cyberbeveiligingswet hun persoonlijk oplegt. Het bestuur keurt de",
      "  risicobeheersingsmaatregelen goed en ziet toe op de uitvoering; die plicht is niet over te dragen. Het",
      "  besluit en de registratie van de scholing zijn het bewijs. [5.01.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 7. Contacten met instanties, belangengroepen en dreigingsinformatie",
      "",
      "- De CISO houdt een overzicht bij van welke functionaris formeel contact heeft met welke instantie over",
      "  informatiebeveiliging, met per contact een plaatsvervanger. Het overzicht noemt functies; de namen staan",
      "  in een bijlage die bij elke personeelswisseling wordt bijgewerkt. [5.05.01]",
      "- Het overzicht bevat ten minste het CSIRT of de sectorale CERT voor de organisatie, de toezichthouder op",
      "  informatiebeveiliging, de Autoriteit Persoonsgegevens (contact via de FG) en de politie voor aangifte.",
      "  [5.05.01]",
      "- De CISO actualiseert het overzicht ten minste jaarlijks en na elke organisatiewijziging die een contact",
      "  raakt; de versie met datum is het bewijs. [5.05.01]",
      "- De organisatie is aangesloten bij ten minste één samenwerkingsverband voor informatiebeveiliging in de",
      "  eigen sector, zoals een sectorale ISAC, een informatiedeelnetwerk of een vakvereniging. De CISO legt in",
      "  het overzicht vast bij welke verbanden de organisatie is aangesloten, wie deelneemt en wat de organisatie",
      "  er haalt en brengt. [5.06.01]",
      "- De CISO neemt ten minste elk kwartaal deel aan een bijeenkomst of uitwisseling van zo'n verband en legt",
      "  de relevante uitkomsten (nieuwe dreigingen, goede praktijken, wijzigingen in normen) vast in het",
      "  risicoregister of de jaarplanning. De deelname blijkt uit de verslagen of de agenda. [5.06.01]",
      "- De CISO verzamelt doorlopend informatie over dreigingen uit ten minste drie bronnen: de waarschuwingen van",
      "  het CSIRT of de sectorale CERT, de kwetsbaarheidsmeldingen van leveranciers en de uitwisseling in het",
      "  samenwerkingsverband. [5.07.01]",
      "- De CISO beoordeelt elke waarschuwing van het CSIRT of de sectorale CERT binnen",
      "  [[beoordelingstermijn dreigingsinformatie: de termijn waarbinnen een waarschuwing is beoordeeld, bijvoorbeeld twee werkdagen]]",
      "  op de gevolgen voor de organisatie en zet de opvolging uit bij het beleid kwetsbaarhedenbeheer of het",
      "  beleid beveiligingsincidenten. De beoordeling en de opvolging worden vastgelegd in",
      "  [[registratie dreigingsinformatie: waar beoordeelde waarschuwingen worden vastgelegd, bijvoorbeeld het ticketsysteem]].",
      "  [5.07.01]",
      "- De CISO stelt jaarlijks een dreigingsbeeld op voor de organisatie: welke actoren en aanvalsmethoden de",
      "  eigen taken en systemen raken en wat dat betekent voor de risicoanalyse. Het dreigingsbeeld is input voor",
      "  de jaarlijkse risicoanalyse en voor de jaarplanning van het managementsysteem. [5.07.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "essentieel",
        "belangrijk"
       ]
      }
     ],
     "regels": [
      "- Het overzicht noemt ook de toezichthouder onder de Cyberbeveiligingswet, het CSIRT waar significante",
      "  incidenten worden gemeld en de aangewezen meldbevoegde met plaatsvervanger. [5.05.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 8. Audit en verantwoording",
      "",
      "- Er is een auditplan dat het bestuur jaarlijks vaststelt. Het plan zegt welke systemen en onderwerpen dat",
      "  jaar welk soort audit krijgen (bijvoorbeeld een opzet-, bestaans- of werkingstoets, een pentest of een",
      "  ketenaudit) en is risicogestuurd: het hoogste risico eerst. [5.35.02]",
      "- De audits uit het plan worden uitgevoerd door een partij die onafhankelijk is van de uitvoering: de",
      "  interne auditfunctie, de accountant of een externe auditor. Elke audit levert een rapport met bevindingen",
      "  en een oordeel over opzet, bestaan en werking. [5.35.02]",
      "- Bevindingen uit audits gaan met eigenaar en termijn in het risicoregister. De CISO volgt de opvolging elk",
      "  kwartaal en rapporteert erover aan het bestuur. [5.35.02, 5.36.01]",
      "- Over informatiebeveiliging wordt gerapporteerd in de P&C-cyclus, onder coördinatie van de CISO. De",
      "  rapportage gaat over de stand van de maatregelen, de open risico's, de incidenten en de voortgang op de",
      "  doelstellingen. [5.36.01]",
      "- Elke lijnmanager beoordeelt jaarlijks of de processen en systemen in het eigen onderdeel voldoen aan dit",
      "  beleid en de materie-specifieke stukken, en levert het bewijs aan via de controleraamwerken van die",
      "  stukken. Afwijkingen meldt de lijnmanager als bevinding voor het risicoregister. [5.36.01]",
      "- Het bestuur geeft jaarlijks een verklaring af dat het de informatiebeveiliging beheerst (een In Control",
      "  Verklaring of een vergelijkbaar instrument), gebaseerd op die rapportage. [5.36.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "volwassenheid",
       "niet": false,
       "antwoorden": [
        "startend",
        "bio1"
       ]
      }
     ],
     "regels": [
      "- Zolang een werkend controleraamwerk ontbreekt, steunt de verklaring op een zelfevaluatie per maatregel,",
      "  bijvoorbeeld de ENSIA-vragenlijst, met bewijs dat de lijneigenaar aanlevert. De CISO beoordeelt het bewijs",
      "  steekproefsgewijs. [5.36.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "volwassenheid",
       "niet": false,
       "antwoorden": [
        "bio2-opbouw",
        "bio2-werkend"
       ]
      }
     ],
     "regels": [
      "- Per materie-specifiek beleidsstuk is er een controleraamwerk: per maatregel een controle met eigenaar,",
      "  frequentie en benoemd bewijs. De uitvoering wordt vastgelegd op het moment dat de controle draait, zodat",
      "  de verklaring steunt op aantoonbare werking. [5.36.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "volwassenheid",
       "niet": false,
       "antwoorden": [
        "bio2-werkend"
       ]
      }
     ],
     "regels": [
      "- Het auditplan neemt elk jaar ten minste een deel van de controles op in een werkingstoets door de derde",
      "  lijn, zodat over een cyclus van drie jaar alle domeinen zijn getoetst. [5.35.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 9. Evaluatie van het beleid",
      "",
      "- De CISO beoordeelt dit beleid ten minste jaarlijks, in aansluiting op de bestuurscyclus en de P&C-cyclus,",
      "  en legt wijzigingen ter vaststelling voor aan het bestuur. Het verslag van de beoordeling is het bewijs,",
      "  ook als er niets wijzigt. [5.01.02]",
      "- Tussentijds beoordeelt de CISO het beleid bij een wijziging van wet- of regelgeving, een nieuwe versie van",
      "  BIO 2.0, een organisatiewijziging die de rollen raakt of een significant incident. [5.01.02]",
      "- De materie-specifieke stukken van deze set volgen dezelfde cyclus: de eigenaar van elk stuk beoordeelt",
      "  het jaarlijks en legt wijzigingen voor aan [[vaststeller materiebeleid: wie de materie-specifieke stukken vaststelt, bijvoorbeeld de directie]].",
      "  [5.01.02]",
      "",
      "## 10. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| Bestuur | Vaststellen van dit beleid, het auditplan en de jaarplanning; goedkeuren van risicobeheersing; afgeven van de jaarlijkse verklaring |",
      "| [[ambtelijk eindverantwoordelijke]] | Sturing op de uitvoering, beleggen van eigenaarschap per proces en systeem, vaststellen van de functiescheiding |",
      "| Lijnmanagers en proceseigenaren | Risico's en maatregelen van hun processen en bedrijfsmiddelen, inclusief privacy, OT en continuïteit; jaarlijkse toets op functiescheiding en naleving; leveren van bewijs |",
      "| CISO | Opstellen en evalueren van dit beleid, advies aan en rapportage naar het bestuur, coördinatie van de P&C-rapportage, contacten met instanties en samenwerkingsverbanden, dreigingsinformatie en dreigingsbeeld |",
      "| Privacy officer en FG | Privacykant van dezelfde processen; de FG houdt onafhankelijk toezicht op de AVG |",
      "| BCM-coördinatie | Continuïteitsplannen en de afstemming van hersteltijden met de beschikbaarheidseisen |",
      "| Interne audit of accountant | Onafhankelijke toetsing volgens het auditplan |",
      "| Medewerkers | Kennen en naleven van de regels voor de eigen functie, melden van incidenten |",
      "",
      "## 11. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| IVB-01 | Dit beleid is in het afgelopen jaar beoordeeld en door het bestuur vastgesteld of bevestigd; het scopedocument en de doelstellingen zijn actueel | Interne audit of accountant | Jaarlijks | Bestuursbesluit, verslag van de beoordeling, scopedocument, jaarplanning | 5.01.01, 5.01.02 |",
      "| IVB-02 | Elk proces, systeem en elke keten in de scope heeft een benoemde eigenaar en die eigenaar weet dat | CISO | Jaarlijks | Register eigenaren, steekproef van ten minste vijf eigenaren met hun bevestiging | 5.01.01, 5.02.01 |",
      "| IVB-03 | De CISO heeft een vastgesteld mandaat, rapporteert rechtstreeks aan het bestuur en heeft geen beheertaken op systemen die de CISO beoordeelt | Interne audit of accountant | Jaarlijks | Mandaat, verslagen van de bestuursrapportage, organogram | 5.02.02, 5.03.01 |",
      "| IVB-04 | De taakcombinaties uit het overzicht functiescheiding liggen bij verschillende personen, of de compenserende maatregel staat in het risicoregister | CISO | Jaarlijks | Toetsverslagen van de lijnmanagers, autorisatierapporten uit de systemen, risicoregister | 5.03.01 |",
      "| IVB-05 | Het overzicht van contacten met instanties en samenwerkingsverbanden is actueel en de organisatie heeft in het afgelopen kwartaal aan de uitwisseling deelgenomen | CISO | Per kwartaal | Overzicht met datum, verslagen of agenda van de bijeenkomsten | 5.05.01, 5.06.01 |",
      "| IVB-06 | Waarschuwingen van het CSIRT of de sectorale CERT zijn binnen de termijn beoordeeld en opgevolgd, en het dreigingsbeeld is in het afgelopen jaar opgesteld en gebruikt in de risicoanalyse | CISO | Per kwartaal | Registratie dreigingsinformatie, dreigingsbeeld, verwijzing in de risicoanalyse | 5.07.01 |",
      "| IVB-07 | Het auditplan is vastgesteld, de audits zijn uitgevoerd door een onafhankelijke partij en de bevindingen staan met eigenaar en termijn in het risicoregister | CISO | Jaarlijks | Auditplan, auditrapporten, risicoregister | 5.35.02 |",
      "| IVB-08 | De rapportage over informatiebeveiliging is elke P&C-ronde opgeleverd en het bestuur heeft de jaarlijkse verklaring afgegeven op basis van die rapportage en de controleraamwerken | Interne audit of accountant | Jaarlijks | P&C-rapportages, verklaring, controleraamwerken van de materie-specifieke stukken | 5.36.01 |",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "geen"
       ]
      }
     ],
     "regels": [
      "Zonder eigen ISO voert de CISO-invulling de controles IVB-02 tot en met IVB-07 uit; de functionaris",
      "informatiebeveiliging levert het bewijs aan."
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "lijnmanager of proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en",
      "de looptijd. De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 12. Samenhang",
      "",
      "Dit beleid is het bovenliggende kader voor alle materie-specifieke stukken van deze set. Het staat naast het",
      "privacybeleid en het continuïteitsbeleid, met dezelfde eigenaren en één risicoregister. De rolverdeling bij",
      "incidenten staat in het beleid beveiligingsincidenten; scholing van bestuur en medewerkers in het beleid",
      "screening, bewustzijn en opleiding; risicoafweging bij nieuwe systemen in het beleid informatiebeveiliging in",
      "projecten; wettelijke eisen en bewaartermijnen in het beleid IT-compliance; de opvolging van",
      "dreigingsinformatie in het beleid kwetsbaarhedenbeheer; eisen aan en verklaringen van leveranciers in het",
      "beleid informatiebeveiliging bij inkoop en het beleid contractbeheer.",
      ""
     ]
    }
   ],
   "bestand": "01-iv-beleid.md"
  },
  {
   "domein": "ib-in-projecten",
   "titel": "Beleid informatiebeveiliging in projecten",
   "samenvatting": "Regelt hoe beveiliging en privacy vanaf de start meegaan in projecten en significante wijzigingen aan informatiesystemen. Behandelt wanneer een risicoafweging nodig is, hoe die wordt uitgevoerd, de beslismomenten van start tot overdracht naar beheer, en de inbedding in de projectmethodiek.",
   "invoeren": [
    "Richt een meldpunt in waar projectleiders hun project bij de start aanmelden (hoofdstuk 3).",
    "Regel dat een project zonder melding geen budget krijgt voor de realisatiefase (hoofdstuk 3).",
    "Houd een overzicht bij van lopende projecten met de status van hun risicoafweging (hoofdstuk 3).",
    "Wijs een risico-acceptant aan voor restrisico's boven de risicobereidheid (hoofdstuk 5).",
    "Neem de beslismomenten uit dit beleid als vaste stappen op in de projectmethodiek (hoofdstuk 6).",
    "Maak sjablonen voor de risicoafweging en voor de risicoacceptatie (hoofdstuk 6).",
    "Geef nieuwe projectleiders binnen een maand een instructie en registreer de deelname (hoofdstuk 6)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor projecten en wijzigingen waarin",
      "informatiesystemen worden aangeschaft, gebouwd, gekoppeld of ingrijpend aangepast. Het zorgt dat de",
      "beveiligingseisen worden bepaald voordat er een keuze valt, en dat de risico's bekend en behandeld zijn",
      "voordat een systeem in gebruik gaat. Het gaat over ISO-beheersmaatregel 5.8.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor opdrachtgevers, projectleiders en proceseigenaren, en",
      "daarnaast voor de architectuurfunctie, inkoop, de CISO en de privacy officer die in een project adviseren.",
      "De regels gelden ook voor projectleiders en projectmedewerkers die zijn ingehuurd.",
      "",
      "**Waarop.** Alle projecten en programma's van de organisatie waarin informatie of informatiesystemen een",
      "rol spelen, ook als een leverancier het project uitvoert of als het project vooral een organisatie- of",
      "procesverandering is, en alle wijzigingen buiten projectverband die als significant gelden (hoofdstuk 3).",
      "Is de uitvoering van een project uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor die",
      "partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring,",
      "zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid",
      "informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de technische eisen aan software-ontwikkeling (beleid secure software development),",
      "de afhandeling van gewone wijzigingen (beleid wijzigingsbeheer), de eisen aan leveranciers in het",
      "inkooptraject (beleid informatiebeveiliging bij inkoop) en de classificatie van informatie zelf (beleid",
      "informatieclassificatie).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Beveiliging en privacy horen bij de start van een project. Eisen die pas bij de oplevering worden",
      "   gesteld, kosten meer en worden vaker uitgezonderd.",
      "2. De opdrachtgever van een project is eigenaar van de projectrisico's tot de overdracht; daarna is de",
      "   proceseigenaar eigenaar.",
      "3. De risicoafweging gebruikt de risicomanagementmethodiek die de organisatie heeft vastgesteld; een project",
      "   gebruikt geen eigen methode.",
      "4. Een project gaat pas live als de restrisico's bekend zijn en zijn geaccepteerd door wie dat mag.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Wanneer een risicoafweging nodig is",
      "",
      "- De opdrachtgever laat een risicoafweging uitvoeren bij elk nieuw informatiesysteem en bij elke",
      "  significante wijziging op een bestaand systeem, voordat de keuze voor een oplossing of leverancier valt.",
      "  Het verslag van de risicoafweging is het bewijs. [5.08.01]",
      "- Een wijziging is significant als ze ten minste een van deze dingen doet: een nieuwe categorie gegevens",
      "  verwerken, een nieuwe koppeling met een externe partij maken, de hostinglocatie of leverancier wijzigen,",
      "  de toegang voor een nieuwe groep gebruikers openzetten of de classificatie van het systeem verhogen. Bij",
      "  twijfel beslist de CISO; die beslissing wordt vastgelegd bij de melding van het project. [5.08.01]",
      "- De projectleider meldt het project bij de start, met de projectopdracht of het startdocument, bij de CISO",
      "  en de privacy officer via",
      "  [[meldpunt projecten: waar projecten worden aangemeld, bijvoorbeeld het projectbureau of een intakeformulier]].",
      "  Een project zonder melding krijgt geen budget voor de realisatiefase. [5.08.01]",
      "- [[lijneigenaar projectportfolio: de functie die het overzicht van projecten bijhoudt, bijvoorbeeld het projectbureau]]",
      "  houdt een overzicht bij van alle lopende projecten en significante wijzigingen met per project de datum",
      "  van de melding, de classificatie en de status van de risicoafweging. [5.08.01]",
      "",
      "## 4. Uitvoering van de risicoafweging",
      "",
      "- De opdrachtgever laat de risicoafweging uitvoeren met de vastgestelde methodiek. Het resultaat is een",
      "  verslag met de classificatie van het systeem, de dreigingen, de risico's, de gekozen maatregelen en de",
      "  restrisico's, vastgelegd in het sjabloon van de projectmethodiek. [5.08.01]",
      "- De proceseigenaar bepaalt de classificatie volgens het beleid informatieclassificatie, op de impactniveaus",
      "  verwaarloosbaar tot en met catastrofaal en de vertrouwelijkheidslabels openbaar tot en met geheim. De",
      "  classificatie bepaalt welke maatregelen uit de BIO 2.0 basisset en welke aanvullende maatregelen gelden.",
      "  [5.08.01]",
      "- Uit de risicoafweging volgen de beveiligingseisen. De opdrachtgever neemt ze op in het programma van",
      "  eisen, de aanbesteding of de opdracht aan de leverancier, en in de acceptatiecriteria voor oplevering.",
      "  [5.08.01]",
      "- Verwerkt het systeem persoonsgegevens, dan beoordeelt de privacy officer bij de melding of een DPIA nodig",
      "  is. DPIA en risicoafweging gebruiken dezelfde beschrijving van het systeem en worden samen opgeleverd.",
      "  [5.08.01]",
      "- De CISO of ISO adviseert schriftelijk over elke risicoafweging voordat de keuze voor een oplossing valt.",
      "  Bij een restrisico boven de risicobereidheid van de organisatie noemt het advies de maatregelen die het",
      "  risico terugbrengen en de rol die het resterende risico moet accepteren. [5.08.01]",
      "- Maakt het project een koppeling met een systeem van een andere partij, dan beschrijft de risicoafweging",
      "  ook de beveiliging van de koppeling: welke gegevens erover gaan, hoe de partijen elkaar herkennen en wie",
      "  bij een incident wie waarschuwt. De afspraken daarover komen in de overeenkomst met die partij. [5.08.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "gevoelig",
       "niet": false,
       "antwoorden": [
        "sociaal",
        "jeugd",
        "gezondheid"
       ]
      }
     ],
     "regels": [
      "- Verwerkt het systeem gegevens uit het sociaal domein, over jeugd of over gezondheid, dan is een DPIA altijd",
      "  verplicht en geldt voor vertrouwelijkheid ten minste het label strikt vertrouwelijk, tenzij de risicoafweging met",
      "  redenen een lager label onderbouwt. [5.08.01]",
      "- De risicoafweging behandelt in dat geval ook toegang door ketenpartners en zorgaanbieders, de logging van",
      "  inzage en de vraag of gegevens buiten de Europese Economische Ruimte terechtkomen. De FG wordt om advies",
      "  gevraagd voordat het project de realisatiefase ingaat; het advies zit bij het verslag. [5.08.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "gevoelig",
       "niet": false,
       "antwoorden": [
        "gezondheid"
       ]
      }
     ],
     "regels": [
      "- Bij gezondheidsgegevens toetst de risicoafweging het systeem en de berichtenstroom (mail, chat,",
      "  berichtenbox) aan NEN 7510 en NTA 7516 waar die van toepassing zijn, en legt vast welke eisen daaruit",
      "  in het programma van eisen zijn opgenomen. [5.08.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Projectfasen en beslismomenten",
      "",
      "- Bij de start meldt de projectleider het project, bepaalt de proceseigenaar een eerste classificatie en",
      "  stelt de CISO vast of het project of de wijziging significant is. De uitkomst staat in het startdocument.",
      "  [5.08.01]",
      "- Voor de keuze van oplossing of leverancier is de risicoafweging af en staan de beveiligingseisen in het",
      "  programma van eisen. De opdrachtgever legt dat vast in het besluit over de keuze. [5.08.01]",
      "- Voor de livegang toont de opdrachtgever aan dat de eisen zijn gerealiseerd, met testresultaten, een",
      "  pentest bij systemen die vanaf internet bereikbaar zijn en een overzicht van de ingerichte toegang. Open",
      "  punten staan met eigenaar en termijn in het risicoregister. [5.08.01]",
      "- De opdrachtgever accepteert de restrisico's schriftelijk voor de livegang. Restrisico's boven de",
      "  risicobereidheid worden geaccepteerd door",
      "  [[risico-acceptant: de functie die hoge restrisico's mag accepteren, bijvoorbeeld de directie]].",
      "  Zonder acceptatie gaat het systeem niet live. [5.08.01]",
      "- Bij de overdracht naar beheer geeft de projectleider de proceseigenaar het verslag van de risicoafweging,",
      "  de lijst van open risico's en de beheerafspraken, en registreert het systeem in het register van",
      "  bedrijfsmiddelen volgens het beleid bedrijfsmiddelenbeheer. De proceseigenaar bevestigt de ontvangst.",
      "  [5.08.01]",
      "- Verandert de scope van een lopend project zodanig dat een van de criteria uit hoofdstuk 3 alsnog",
      "  geldt, dan actualiseert de opdrachtgever de risicoafweging voordat het project verder gaat. [5.08.01]",
      "",
      "## 6. Projectmethodiek",
      "",
      "- De projectmethodiek van de organisatie bevat de beslismomenten uit hoofdstuk 5 als vaste stappen, met",
      "  een sjabloon voor de risicoafweging en een sjabloon voor de risicoacceptatie. De eigenaar van de",
      "  methodiek toetst elk jaar met de CISO of de stappen en sjablonen nog aansluiten op dit beleid en op het",
      "  beleid informatieclassificatie. [5.08.01]",
      "- Dezelfde stappen gelden voor projecten die met een agile of iteratieve aanpak werken: de risicoafweging",
      "  loopt mee met de eerste oplevering en wordt bij elke oplevering die een criterium uit hoofdstuk 3 raakt",
      "  bijgewerkt. [5.08.01]",
      "- Projectleiders kennen de methodiek. Nieuwe projectleiders, ook inhuur, krijgen binnen een maand na de",
      "  start een instructie van de ISO of CISO; de deelname wordt vastgelegd. [5.08.01]",
      "",
      "## 7. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| Opdrachtgever | Laten uitvoeren van de risicoafweging, opnemen van de eisen in de opdracht, aantonen van de realisatie, accepteren van restrisico's |",
      "| Projectleider | Melding bij de start, planning van de beslismomenten, bewijs bij oplevering, overdracht naar beheer |",
      "| Proceseigenaar | Classificatie, inbreng van de eisen vanuit het proces, eigenaar van de risico's na overdracht |",
      "| CISO of ISO | Advies over de risicoafweging, beslissing of een wijziging significant is, instructie van projectleiders |",
      "| Privacy officer en FG | Beoordeling van de DPIA-plicht, advies bij persoonsgegevens; de FG adviseert bij gevoelige domeinen |",
      "| [[lijneigenaar projectportfolio]] | Overzicht van lopende projecten met de status van hun risicoafweging |",
      "| [[risico-acceptant]] | Acceptatie van restrisico's boven de risicobereidheid |",
      "",
      "## 8. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| PRJ-01 | Elk project en elke significante wijziging in het projectportfolio is gemeld bij de CISO en de privacy officer | CISO | Per kwartaal | Vergelijking van het projectportfolio met de ontvangen meldingen, lijst van projecten zonder melding en de afhandeling | 5.08.01 |",
      "| PRJ-02 | Voor elk project dat de keuzefase heeft doorlopen, is de risicoafweging af en staan de beveiligingseisen in het programma van eisen of de opdracht | CISO of ISO | Per kwartaal | Verslag van de risicoafweging, programma van eisen of opdracht, schriftelijk advies | 5.08.01 |",
      "| PRJ-03 | Voor elk systeem dat live is gegaan, is de realisatie van de eisen aangetoond en zijn de restrisico's schriftelijk geaccepteerd door de bevoegde rol | Interne audit of accountant | Jaarlijks | Steekproef van ten minste vijf opgeleverde projecten of significante wijzigingen: testresultaten, pentestrapport, risicoacceptatie | 5.08.01 |",
      "| PRJ-04 | Bij elk overgedragen systeem heeft de proceseigenaar het verslag, de open risico's en de beheerafspraken ontvangen en staat het systeem in het register van bedrijfsmiddelen | [[lijneigenaar projectportfolio]] | Per kwartaal | Ontvangstbevestiging per project, register van bedrijfsmiddelen | 5.08.01 |",
      "| PRJ-05 | De projectmethodiek bevat de beslismomenten en sjablonen uit dit beleid en nieuwe projectleiders hebben de instructie gevolgd | CISO | Jaarlijks | Vastgestelde methodiek met datum, registratie van de instructies | 5.08.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "opdrachtgever dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De",
      "afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 9. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het gebruikt de classificatie uit het",
      "beleid informatieclassificatie en de methodiek uit het risicomanagementbeleid. Het raakt het privacybeleid",
      "(DPIA), het beleid informatiebeveiliging bij inkoop en het beleid contractbeheer (eisen in de aanbesteding",
      "en verklaringen van leveranciers), het beleid wijzigingsbeheer (wijzigingen die geen project zijn), het",
      "beleid bedrijfsmiddelenbeheer (registratie bij overdracht), het beleid kwetsbaarhedenbeheer (pentest voor",
      "livegang) en het beleid secure software development (eigen ontwikkeling).",
      ""
     ]
    }
   ],
   "bestand": "02-ib-in-projecten.md"
  },
  {
   "domein": "screening-bewustzijn",
   "titel": "Beleid screening, bewustzijn en opleiding",
   "samenvatting": "Over de mens als onderdeel van de beveiliging, van werving tot vertrek. Behandelt screening, aanstelling en geheimhouding, training en bewustzijn, scholing van het bestuur, functiewijziging en vertrek, en de disciplinaire procedure bij niet naleven.",
   "invoeren": [
    "Stel een screeningsbeleid op met een lijst van functies met verhoogd risico (hoofdstuk 3).",
    "Neem een vaste tekst over informatiebeveiliging en geheimhouding op in arbeids- en inhuurcontracten (hoofdstuk 4).",
    "Bundel de regels en instructies voor medewerkers op één vindbare plek op het intranet (hoofdstuk 4).",
    "Richt een training informatiebewustzijn met toets in en registreer deelname en resultaat (hoofdstuk 5).",
    "Plan ten minste twee bewustzijnsmetingen per jaar, bijvoorbeeld een phishingsimulatie (hoofdstuk 5).",
    "Organiseer jaarlijkse scholing voor bestuurders en een cyberoefening eens per twee jaar (hoofdstuk 6).",
    "Maak een vertrekchecklist voor het intrekken van rechten en innemen van middelen (hoofdstuk 7).",
    "Leg een disciplinaire procedure vast die ook geldt voor overtredingen van beveiligingsregels (hoofdstuk 8)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de mens als onderdeel van de",
      "beveiliging: wie de organisatie aanneemt, wat iemand bij binnenkomst, tijdens het werk en bij vertrek moet",
      "weten en ondertekenen, hoe bestuur en medewerkers hun kennis op peil houden en wat er gebeurt als iemand",
      "de regels niet naleeft. Het gaat over de ISO-beheersmaatregelen 5.4 en 6.1 tot en met 6.6.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de afdeling personeelszaken, de leidinggevenden en de",
      "CISO. De regels gelden voor bestuurders, medewerkers in vaste en tijdelijke dienst, inhuur, stagiairs,",
      "vrijwilligers en iedereen die onder verantwoordelijkheid van de organisatie werkt en toegang heeft tot",
      "informatie of informatiesystemen.",
      "",
      "**Waarop.** Alle functies en opdrachten binnen de organisatie, van de werving tot en met het vertrek, en",
      "de training en scholing die daarbij horen. Zijn werving, screening of training uitbesteed, bijvoorbeeld aan",
      "een uitzendbureau, een detacheerder of een opleider, dan gelden de eisen uit dit beleid als minimumeis voor",
      "die partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke",
      "verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via",
      "het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer. Voor medewerkers",
      "van leveranciers die niet onder verantwoordelijkheid van de organisatie werken, gelden de eisen uit het",
      "beleid informatiebeveiliging bij inkoop.",
      "",
      "Buiten dit beleid vallen fysieke toegang (beleid fysieke toegang en beveiliging), het toekennen en intrekken",
      "van accounts (beleid logische toegangsbeveiliging), het innemen van bedrijfsmiddelen (beleid",
      "bedrijfsmiddelenbeheer) en de integriteitsregels die niet over informatie gaan (gedragscode en",
      "integriteitsbeleid van de organisatie).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Wie toegang heeft tot informatie, is persoonlijk verantwoordelijk voor zorgvuldig gebruik ervan.",
      "2. De zwaarte van screening en training volgt het risico van de functie.",
      "3. Fouten en incidenten worden gemeld zodat de organisatie ervan leert. Wie meldt, wordt daar niet op",
      "   afgerekend; herhaald of verwijtbaar onveilig gedrag heeft wel gevolgen.",
      "4. Geheimhouding en zorgvuldig gebruik van informatie eindigen niet met het dienstverband.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Screening",
      "",
      "- De organisatie heeft een screeningsbeleid dat",
      "  [[vaststeller screeningsbeleid: de functie of het orgaan dat het screeningsbeleid vaststelt, bijvoorbeeld de directie]]",
      "  vaststelt en dat [[lijneigenaar personeel: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd HR]]",
      "  jaarlijks beoordeelt. Dit hoofdstuk is daarvan de kern. [6.01.01]",
      "- HR houdt een lijst bij van functies met een verhoogd risico, zoals functies met beheerrechten, toegang tot",
      "  bijzondere persoonsgegevens, financiële bevoegdheden of toegang tot landelijke voorzieningen. De CISO en de",
      "  privacy officer adviseren over de lijst; HR stelt hem jaarlijks bij en legt de versie met datum vast.",
      "  [6.01.01]",
      "- Voor functies op die lijst vraagt HR bij indiensttreding en bij functiewijziging een Verklaring Omtrent",
      "  het Gedrag met een screeningsprofiel dat bij de functie past, en controleert HR de identiteit aan de hand",
      "  van een geldig identiteitsbewijs en het arbeidsverleden aan de hand van referenties of diploma's. Voor",
      "  overige functies beslist de leidinggevende op basis van een risicoafweging die in het personeelsdossier",
      "  staat. [6.01.01]",
      "- Voor vertrouwensfuncties die als zodanig zijn aangewezen, laat HR het veiligheidsonderzoek volgens de Wet",
      "  veiligheidsonderzoeken uitvoeren voordat de medewerker de functie vervult. [6.01.01]",
      "- Bij inhuur legt het contract dezelfde eisen op; de inhurende leidinggevende controleert voor de start dat",
      "  de verklaring er is en legt dat vast bij de inhuuropdracht. [6.01.01]",
      "- Bij functies met een verhoogd risico herhaalt HR de screening na",
      "  [[herhaaltermijn screening: bijvoorbeeld elke vijf jaar of bij een nieuwe functie op de lijst]];",
      "  de datum van de laatste screening staat in het personeelsdossier. [6.01.01]",
      "- Zolang de screening niet is afgerond, krijgt de medewerker geen toegang tot de systemen en informatie",
      "  waarvoor de screening nodig is. De leidinggevende legt de afgeronde screening vast voordat de toegang",
      "  wordt aangevraagd. [6.01.01]",
      "",
      "## 4. Aanstelling en geheimhouding",
      "",
      "- Bij aanstelling of functiewisseling wijst de leidinggevende de medewerker op de eigen verantwoordelijkheden",
      "  voor informatiebeveiliging en privacy. De medewerker bevestigt de gedragsregels voor",
      "  informatiegebruik kent; die bevestiging zit in het personeelsdossier. [6.02.01]",
      "- De arbeidsovereenkomst, de aanstelling of het inhuurcontract benoemt de verantwoordelijkheid van de",
      "  medewerker voor informatiebeveiliging, de plicht om incidenten te melden en de gevolgen van niet naleven.",
      "  HR gebruikt daarvoor een vaste tekst die de CISO en de juridische functie jaarlijks toetsen. [6.02.01]",
      "- De regels en instructies die voor medewerkers gelden, staan op één vindbare plek op het intranet en zijn",
      "  vanaf de eerste werkdag bereikbaar. [[lijneigenaar personeel]] controleert jaarlijks of de set compleet en",
      "  actueel is. [6.02.01]",
      "- Elke medewerker, inhuurkracht, stagiair en vrijwilliger ondertekent voor de eerste werkdag een",
      "  geheimhoudingsverklaring, of de arbeidsovereenkomst of het contract bevat een geheimhoudingsbepaling met",
      "  dezelfde inhoud. Waar de wet al een geheimhoudingsplicht oplegt, verwijst de bepaling daarnaar. HR",
      "  bewaart de ondertekende verklaring in het personeelsdossier of bij de inhuuropdracht. [6.06.01]",
      "- De geheimhoudingsbepaling zegt ten minste welke informatie eronder valt (alles wat niet openbaar is",
      "  volgens het beleid informatieclassificatie), dat de plicht na het dienstverband doorloopt, wat de",
      "  medewerker bij een vermoeden van een lek moet doen en welke gevolgen niet naleven heeft. De CISO en de",
      "  juridische functie beoordelen de tekst jaarlijks en bij een wetswijziging. [6.06.01]",
      "- Krijgt een externe partij, zoals een adviseur, auditor of onderzoeker, tijdelijk toegang tot",
      "  vertrouwelijke informatie zonder dat daar een contract met geheimhoudingsbepaling onder ligt, dan laat de",
      "  opdrachtgevende leidinggevende die persoon vooraf een geheimhoudingsverklaring tekenen en bewaart die.",
      "  [6.06.01]",
      "",
      "## 5. Training en bewustzijn",
      "",
      "- Iedere medewerker en iedere contractant die met de informatiesystemen werkt, rondt binnen drie maanden na",
      "  indiensttreding een training informatiebewustzijn met een toets af. HR registreert de deelname en het",
      "  resultaat; zonder afgeronde training na drie maanden meldt HR dit aan de leidinggevende. [6.03.02]",
      "- Daarna volgt iedere medewerker jaarlijks een opfrissing, digitaal of klassikaal; HR registreert de",
      "  deelname. [5.04.01, 6.03.01]",
      "- De training behandelt ten minste: de regels voor het omgaan met informatie en persoonsgegevens, het",
      "  herkennen van phishing en misleiding, hoe en waar een incident of datalek te melden, en veilig werken",
      "  buiten kantoor en op mobiele apparaten (openbare netwerken, meekijken, verlies en diefstal). De CISO stelt",
      "  de inhoud jaarlijks bij op basis van de incidenten en de metingen van het afgelopen jaar. [5.04.01, 6.03.01, 6.03.04]",
      "- Waar medewerkers met gerubriceerde informatie of in een omgeving met eigen eisen werken, krijgen zij van",
      "  de leidinggevende aanvullende instructie over die eisen voordat zij ermee werken; de instructie wordt",
      "  vastgelegd. [6.03.01]",
      "- Functies met een verhoogd risico (hoofdstuk 3) krijgen jaarlijks aanvullende training die past bij hun",
      "  rol, zoals beheerders, ontwikkelaars en medewerkers die met bijzondere persoonsgegevens werken. De CISO",
      "  bepaalt per functiegroep de inhoud; HR registreert de deelname. [6.03.01]",
      "- Leidinggevenden bespreken informatiebeveiliging bij aanstelling, overplaatsing en ten minste eenmaal per",
      "  jaar in het werkoverleg of het jaargesprek, en spreken medewerkers aan die de training niet volgen. De",
      "  bespreking blijkt uit het verslag van het werkoverleg of het jaargesprek. [6.03.03]",
      "- De CISO voert ten minste twee keer per jaar een bewustzijnsmeting uit, bijvoorbeeld een",
      "  phishingsimulatie, en gebruikt de uitkomst voor het programma van het volgende jaar. De uitkomst staat in",
      "  de rapportage aan het bestuur. [6.03.01]",
      "",
      "## 6. Scholing van het bestuur",
      "",
      "- Bestuurders volgen bij aantreden en daarna ten minste jaarlijks scholing over cyberrisico's: welke",
      "  dreigingen de organisatie raken, wat de gevolgen zijn voor de dienstverlening en wat hun eigen rol is bij",
      "  een incident of crisis. De CISO organiseert de scholing en HR registreert de deelname. [5.04.01]",
      "- Bestuurders tonen hun kennis aan met een registratie van de gevolgde scholing, en met een jaarlijkse",
      "  bespreking van het risicobeeld met de CISO waarin zij de gevolgen voor de dienstverlening beoordelen. Het",
      "  verslag van die bespreking is het bewijs. [5.04.01]",
      "- Bestuurders doen ten minste eenmaal per twee jaar mee aan een oefening met een cyberincident. De CISO",
      "  plant de oefening en legt de deelname en de leerpunten vast. [5.04.01]",
      "",
      "## 7. Functiewijziging en vertrek",
      "",
      "- Bij vertrek of functiewijziging voert de leidinggevende een vertrekgesprek of overdrachtsgesprek waarin",
      "  hij de medewerker wijst op de geheimhoudingsplicht die na het dienstverband doorloopt en op de",
      "  verantwoordelijkheden die tot de laatste werkdag blijven gelden. De medewerker bevestigt dit schriftelijk;",
      "  de bevestiging gaat in het personeelsdossier. [6.05.01]",
      "- De leidinggevende zorgt dat rechten en middelen bij vertrek of functiewijziging worden ingetrokken en",
      "  ingenomen volgens het beleid logische toegangsbeveiliging en het beleid bedrijfsmiddelenbeheer, uiterlijk",
      "  op de laatste werkdag in de oude functie, en bevestigt dat aan HR met de vertrekchecklist. [6.05.01]",
      "- Bij een functiewijziging beoordeelt de leidinggevende welke kennis, rechten en verantwoordelijkheden uit",
      "  de oude functie vervallen en welke overgaan, en legt de overdracht vast in de checklist. [6.05.01]",
      "- HR meldt elk vertrek en elke functiewijziging binnen",
      "  [[meldtermijn personeelsmutaties: de termijn waarbinnen HR een mutatie doorgeeft, bijvoorbeeld twee werkdagen]]",
      "  aan de beheerders van toegang en bedrijfsmiddelen, zodat die de intrekking en inname kunnen uitvoeren.",
      "  [6.05.01]",
      "- Bij inhuur en detachering gelden dezelfde stappen; de inhurende leidinggevende voert ze uit op de laatste",
      "  dag van de opdracht. [6.05.01]",
      "",
      "## 8. Niet naleven en disciplinaire procedure",
      "",
      "- Onveilig of onzorgvuldig gedrag bespreekt de leidinggevende eerst met de medewerker, gericht op herhaling",
      "  voorkomen. De leidinggevende legt het gesprek vast als het gedrag tot een incident heeft geleid. [6.04.01]",
      "- De organisatie heeft een disciplinaire procedure die ook geldt voor overtredingen van de",
      "  informatiebeveiligingsregels. HR legt daarin vast welke stappen gelden (gesprek, schriftelijke",
      "  waarschuwing, arbeidsrechtelijke maatregel), wie beslist, hoe de medewerker wordt gehoord en welke",
      "  maatregelen mogelijk zijn volgens de rechtspositieregeling of het contract. [6.04.01]",
      "- Bij herhaald, structureel of verwijtbaar gedrag, of gedrag dat tot een ernstig incident leidt, start de",
      "  leidinggevende de disciplinaire procedure. De zwaarte van de maatregel volgt de ernst van de overtreding,",
      "  of het de eerste keer is, de opzet en de schade. De CISO adviseert over de ernst; HR legt het besluit",
      "  vast in het personeelsdossier. [6.04.01]",
      "- Voordat een maatregel wordt opgelegd, stelt de leidinggevende met HR vast dat de medewerker de regel",
      "  kende of had kunnen kennen, met de bevestiging uit hoofdstuk 4 en de trainingsregistratie uit hoofdstuk",
      "  5 als bewijs. [6.04.01]",
      "- HR rapporteert jaarlijks aan de CISO, geanonimiseerd, hoeveel disciplinaire trajecten over",
      "  informatiebeveiliging zijn gestart en wat de uitkomst was, zodat de CISO het bewustwordingsprogramma kan",
      "  bijstellen. [6.04.01]",
      "",
      "## 9. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar personeel]] | Screeningsbeleid, functielijst, geheimhoudingsverklaringen, registratie van screening en training, vertrekchecklist, disciplinaire procedure |",
      "| Leidinggevenden | Screening bij overige functies, instructie bij aanstelling en vertrek, aandacht in werkoverleg en jaargesprek, aanspreken, starten van de disciplinaire procedure |",
      "| CISO | Inhoud van het bewustwordingsprogramma, metingen, advies over de functielijst en de geheimhoudingstekst, scholing en oefening van het bestuur, advies bij disciplinaire trajecten |",
      "| Privacy officer | Privacy-onderdeel van training, functielijst en geheimhoudingstekst |",
      "| Juridische functie | Toets van de contractteksten en de geheimhoudingsbepaling |",
      "| Bestuur | Eigen scholing, oefening en de jaarlijkse bespreking van het risicobeeld |",
      "| Medewerkers | Training volgen, regels naleven, geheimhouding ook na vertrek, incidenten melden |",
      "",
      "## 10. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| SBO-01 | Voor elke medewerker en inhuurkracht in een functie met verhoogd risico is de screening uitgevoerd en vastgelegd voordat de toegang is verleend, en herhaald binnen de termijn | CISO | Jaarlijks | Steekproef van ten minste tien dossiers uit de functielijst: verklaring, datum van screening, datum van toegang | 6.01.01 |",
      "| SBO-02 | Elke nieuwe medewerker, inhuurkracht, stagiair en vrijwilliger heeft de bevestiging van de gedragsregels en een geheimhoudingsbepaling of -verklaring in het dossier | [[lijneigenaar personeel]] | Per kwartaal | Vergelijking van de instroom van het kwartaal met de dossiers | 6.02.01, 6.06.01 |",
      "| SBO-03 | Nieuwe medewerkers hebben binnen drie maanden de training met toets afgerond en alle medewerkers hebben een opfrissing van ten hoogste een jaar oud; functies met verhoogd risico hebben de aanvullende training gevolgd | [[lijneigenaar personeel]] | Per kwartaal | Rapport uit de trainingsregistratie met percentages per groep en de meldingen aan leidinggevenden | 6.03.01, 6.03.02, 6.03.04 |",
      "| SBO-04 | Leidinggevenden hebben informatiebeveiliging in het afgelopen jaar in het werkoverleg of jaargesprek besproken | CISO | Jaarlijks | Steekproef van ten minste vijf teams: verslagen van werkoverleg of jaargesprek | 6.03.03 |",
      "| SBO-05 | Bestuurders hebben de jaarlijkse scholing gevolgd, het risicobeeld met de CISO besproken en binnen twee jaar aan een oefening deelgenomen | Interne audit of accountant | Jaarlijks | Registratie van scholing en oefening, verslag van de bespreking van het risicobeeld | 5.04.01 |",
      "| SBO-06 | Bij elk vertrek en elke functiewijziging is de vertrekchecklist afgerond, de medewerker gewezen op de doorlopende geheimhouding en de mutatie binnen de termijn gemeld | [[lijneigenaar personeel]] | Per kwartaal | Vergelijking van de uitstroom en functiewijzigingen van het kwartaal met de afgeronde checklists en de meldingen | 6.05.01 |",
      "| SBO-07 | De bewustzijnsmetingen zijn uitgevoerd en de uitkomst en de disciplinaire trajecten zijn verwerkt in het programma van het volgende jaar | CISO | Jaarlijks | Rapportage van de metingen, geanonimiseerde rapportage van HR, programma met de wijzigingen | 6.03.01, 6.04.01 |",
      "| SBO-08 | De disciplinaire procedure is vastgesteld, geldt voor overtredingen van de informatiebeveiligingsregels en is in het afgelopen jaar toegepast volgens de vastgelegde stappen | Interne audit of accountant | Jaarlijks | Vastgestelde procedure, geanonimiseerde steekproef van de trajecten | 6.04.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "leidinggevende dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.",
      "De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 11. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid en staat naast het privacybeleid en de",
      "gedragscode. Het raakt het beleid logische toegangsbeveiliging (rechten bij in-, door- en uitstroom), het",
      "beleid bedrijfsmiddelenbeheer (inleveren bij vertrek), het beleid informatieclassificatie (wat onder de",
      "geheimhouding valt), het beleid mobile device management (veilig mobiel werken), het beleid",
      "beveiligingsincidenten (melden) en het beleid informatiebeveiliging bij inkoop (screening van medewerkers",
      "van leveranciers).",
      ""
     ]
    }
   ],
   "bestand": "03-screening-bewustzijn.md"
  },
  {
   "domein": "bedrijfsmiddelen",
   "titel": "Beleid bedrijfsmiddelenbeheer",
   "samenvatting": "Regelt welke bedrijfsmiddelen de organisatie heeft, wie er eigenaar van is en hoe ze gebruikt, beschermd en ingeleverd worden. Behandelt de inventaris, eigendom, aanvaardbaar gebruik, teruggeven bij vertrek, werken in beveiligde zones, plaatsing en nutsvoorzieningen, apparatuur buiten de locaties en onderhoud.",
   "invoeren": [
    "Richt één inventaris van bedrijfsmiddelen in, bijvoorbeeld een CMDB, met de vereiste velden (hoofdstuk 3).",
    "Stel gedragsregels op voor het gebruik van informatie en bedrijfsmiddelen (hoofdstuk 5).",
    "Regel dat medewerkers de gedragsregels bevestigen voordat zij account of apparatuur krijgen (hoofdstuk 5).",
    "Neem een vaste clausule met de gedragsregels op in contracten voor inhuur en vrijwilligers (hoofdstuk 5).",
    "Laat wie apparatuur in bruikleen krijgt een bruikleenovereenkomst met de gedragsregels tekenen (hoofdstuk 5).",
    "Richt een innameprocedure in met registratie per bedrijfsmiddel bij vertrek (hoofdstuk 6).",
    "Leg per ruimte in zone 3 en 4 de benodigde nutsvoorzieningen en capaciteit vast (hoofdstuk 9).",
    "Stel per locatie een storingslijst op met leveranciers en storingsnummers van nutsvoorzieningen (hoofdstuk 9).",
    "Richt een onderhoudsregistratie in voor onderhoud, storingen en reparaties per apparaat (hoofdstuk 11)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het beheer van bedrijfsmiddelen: de",
      "informatie zelf en alles waarmee de organisatie die verwerkt, opslaat of doorgeeft. Het legt vast welke",
      "bedrijfsmiddelen de organisatie heeft, wie er eigenaar van is, hoe ze gebruikt mogen worden, hoe apparatuur",
      "wordt geplaatst, beschermd en onderhouden, en hoe bedrijfsmiddelen terugkomen als iemand vertrekt. Het gaat",
      "over de ISO-beheersmaatregelen 5.9 tot en met 5.11, 7.6, 7.8, 7.9, 7.11 en 7.13.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de afdeling die de inventaris en de uitgifte van apparatuur",
      "beheert en voor de eigenaren van bedrijfsmiddelen. De gedragsregels gelden voor iedereen die een",
      "bedrijfsmiddel van de organisatie gebruikt: medewerkers, inhuur, stagiairs, vrijwilligers en leveranciers.",
      "",
      "**Waarop.** Alle bedrijfsmiddelen die van belang zijn voor de informatieverwerking: hardware (servers,",
      "netwerkapparatuur, werkplekken, printers), eindgebruikersapparaten en mobiele apparatuur, verwijderbare",
      "opslagmedia, authenticatiemiddelen (tokens, smartcards, sleutels), software en clouddiensten,",
      "gegevensverzamelingen en operationele technologie. Is het beheer van apparatuur, een serverruimte of een",
      "clouddienst uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor die leverancier. De organisatie",
      "legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO",
      "27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid",
      "informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen het classificeren en labelen van informatie (beleid informatieclassificatie), het",
      "wissen en afvoeren van opslagmedia en apparatuur (beleid afvoer en hergebruik van gegevensdragers), de",
      "inrichting van mobiele apparaten (beleid mobile device management), de zone-indeling en de toegang tot",
      "ruimten (beleid fysieke toegang en beveiliging) en clear desk en clear screen (beleid IT-compliance).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Wat niet in de inventaris staat, wordt niet beveiligd. De inventaris is daarom de basis voor",
      "   patchmanagement, toegangsbeheer, back-up en controle.",
      "2. Elk bedrijfsmiddel heeft één eigenaar: een functie of organisatieonderdeel dat over de hele levenscyclus",
      "   verantwoordelijk is, van aanschaf tot afvoer.",
      "3. Wie een bedrijfsmiddel gebruikt, kent de gedragsregels en heeft dat aantoonbaar bevestigd.",
      "4. Apparatuur staat, werkt en wordt onderhouden op een manier die past bij het impactniveau van de informatie",
      "   die zij verwerkt en bij de zone waarin zij staat (beleid fysieke toegang en beveiliging).",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Inventaris",
      "",
      "- [[beheerder inventaris: de functie die de inventaris bijhoudt, bijvoorbeeld de configuratiebeheerder]]",
      "  houdt één inventaris bij van alle bedrijfsmiddelen die van belang zijn voor de informatieverwerking,",
      "  bijvoorbeeld in een CMDB. De inventaris omvat ook bedrijfsmiddelen op afstand (thuiswerkplekken, mobiele",
      "  apparatuur), clouddiensten en apparaten die regelmatig op het netwerk zijn aangesloten zonder dat de",
      "  organisatie ze beheert, zoals apparatuur van leveranciers. [5.09.01]",
      "- Per bedrijfsmiddel legt de inventaris ten minste vast: uniek kenmerk, type, eigenaar, locatie of",
      "  leverancier, gebruiker of beheerder, classificatie, bedrijfsprocessen die ervan afhangen, versie of",
      "  configuratie, onderhoudsschema en de datum van ingebruikname en einde ondersteuning. [5.09.01]",
      "- Elke wijziging in de levenscyclus (aanschaf, uitgifte, verplaatsing, reparatie, inname, afvoer) verwerkt",
      "  de beheerder van de inventaris binnen vijf werkdagen, via het wijzigingsproces of de uitgifte- en",
      "  innameprocedure. [5.09.01]",
      "- De beheerder van de inventaris controleert de volledigheid en actualiteit ten minste elk kwartaal voor",
      "  werkplekken, mobiele apparatuur en clouddiensten en ten minste jaarlijks voor de overige bedrijfsmiddelen,",
      "  door de inventaris te vergelijken met een tweede bron (netwerkscan, beheertool, facturen of",
      "  licentieoverzichten). Het vergelijkingsrapport met de afwijkingen en hun afhandeling is het bewijs.",
      "  Bedrijfsmiddelen zonder eigenaar of zonder registratie zijn binnen een maand opgelost of buiten gebruik",
      "  gesteld. [5.09.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "cloud"
       ]
      }
     ],
     "regels": [
      "- De beheerder van de inventaris registreert werkplekken en mobiele apparaten via het centrale",
      "  endpointbeheer van de cloudwerkplek. Alleen apparaten die daar zijn ingeschreven krijgen toegang tot",
      "  bedrijfsinformatie, zodat de registratie van werkplekken vanzelf volledig is. De lijst met cloudtenants,",
      "  abonnementen en gekoppelde apps maakt deel uit van de inventaris en wordt elk kwartaal vergeleken met de",
      "  inkoopadministratie. [5.09.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "hybride"
       ]
      }
     ],
     "regels": [
      "- Werkplekken staan zowel in het cloudendpointbeheer als in het beheer van de lokale of virtuele omgeving.",
      "  De beheerder van de inventaris vergelijkt bij de kwartaalcontrole beide registraties met elkaar en met de",
      "  inventaris; een apparaat dat in één bron ontbreekt, is een afwijking. [5.09.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "on-premises"
       ]
      }
     ],
     "regels": [
      "- De beheerder van de inventaris vergelijkt werkplekken en servers in het eigen netwerk ten minste",
      "  maandelijks met een netwerkscan of beheertool met de inventaris. Onbekende apparaten op het netwerk worden",
      "  binnen een week geïdentificeerd en geregistreerd of van het netwerk verwijderd. [5.09.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ot",
       "niet": false,
       "antwoorden": [
        "beperkt"
       ]
      }
     ],
     "regels": [
      "- Operationele technologie in gebouwen (gebouwbeheer, toegangscontrole, camera's) staat in dezelfde",
      "  inventaris, met per installatie de eigenaar, de leverancier die het onderhoud doet, de manier waarop die op",
      "  afstand toegang heeft en de softwareversie. [5.09.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ot",
       "niet": false,
       "antwoorden": [
        "substantieel"
       ]
      }
     ],
     "regels": [
      "- Operationele technologie (bijvoorbeeld gemalen, bruggen, verkeersinstallaties, zuivering) heeft een eigen",
      "  OT-inventaris die deel uitmaakt van de inventaris van de organisatie. Per component staan daarin de",
      "  eigenaar, de fysieke locatie, het netwerksegment, de firmware- of softwareversie, de leverancier, de",
      "  toegang op afstand en de procesfunctie die ervan afhangt. [5.09.01]",
      "- De eigenaar van de installatie controleert de OT-inventaris ten minste elk halfjaar met een passieve",
      "  netwerkinventarisatie of een fysieke opname op locatie; actieve scans op OT-netwerken gebeuren alleen met",
      "  akkoord van de eigenaar van de installatie. [5.09.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 4. Eigendom",
      "",
      "- Elk bedrijfsmiddel in de inventaris heeft een eigenaar. Voor werkplekken, infrastructuur en ondersteunende",
      "  software is dat",
      "  [[eigenaar IT-middelen: de functie die eigenaar is van werkplekken en infrastructuur, bijvoorbeeld het hoofd IT]];",
      "  voor bedrijfsapplicaties en gegevensverzamelingen is dat de proceseigenaar. De inventaris toont per",
      "  bedrijfsmiddel de eigenaar. [5.09.01]",
      "- De eigenaar zorgt dat het bedrijfsmiddel juist is geregistreerd, geclassificeerd en beveiligd, en dat het",
      "  wordt afgevoerd als het niet meer nodig is. De eigenaar bevestigt dat jaarlijks bij de inventariscontrole.",
      "  [5.09.01]",
      "",
      "## 5. Aanvaardbaar gebruik",
      "",
      "- De organisatie heeft gedragsregels voor het gebruik van informatie en bedrijfsmiddelen, vastgelegd in",
      "  [[gedragsregels bedrijfsmiddelen: het document met de huisregels of de gedragscode voor ICT-gebruik]].",
      "  Ze gaan ten minste over privégebruik, het installeren van software, het gebruik van clouddiensten buiten",
      "  de organisatie, het meenemen van apparatuur, het delen en bewaren van informatie en het melden van",
      "  verlies of diefstal. [[lijneigenaar bedrijfsmiddelen: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd IT]]",
      "  stelt de gedragsregels vast en beoordeelt ze jaarlijks. [5.10.01]",
      "- De gedragsregels zeggen per vertrouwelijkheidslabel uit het beleid informatieclassificatie (openbaar,",
      "  intern, vertrouwelijk, strikt vertrouwelijk, geheim) hoe de gebruiker informatie mag bewaren, delen, afdrukken en",
      "  meenemen, en dat de gebruiker informatie en apparatuur alleen gebruikt voor het werk waarvoor hij ze heeft",
      "  gekregen. [5.10.01]",
      "- Elke medewerker krijgt de gedragsregels bij indiensttreding en bevestigt met een handtekening of een",
      "  digitale bevestiging dat hij ze kent, voordat hij een account of apparatuur krijgt. HR bewaart de",
      "  bevestiging in het personeelsdossier of in het uitgiftesysteem. Na een inhoudelijke wijziging van de",
      "  gedragsregels bevestigen alle medewerkers binnen drie maanden opnieuw. [5.10.03]",
      "- Voor inhuur, extern personeel en vrijwilligers staan de gedragsregels in het contract of de",
      "  vrijwilligersovereenkomst, met een verwijzing naar de geldende huisregels. Inkoop en HR gebruiken daarvoor",
      "  een vaste clausule. [5.10.02]",
      "- Wie apparatuur in bruikleen krijgt, tekent een bruikleenovereenkomst waarin de gedragsregels staan.",
      "  [[uitgiftepunt apparatuur: de functie die apparatuur uitgeeft en inneemt, bijvoorbeeld de servicedesk]]",
      "  bewaart de overeenkomst in het uitgiftesysteem. [5.10.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "byod",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- De gedragsregels gelden ook voor eigen apparaten die een medewerker voor het werk gebruikt. Welke apparaten",
      "  en diensten daarvoor zijn toegestaan en hoe ze zijn ingericht, staat in het beleid mobile device",
      "  management. [5.10.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 6. Teruggeven",
      "",
      "- Bij vertrek, einde van een contract of functiewijziging levert de gebruiker alle bedrijfsmiddelen in op of",
      "  voor de laatste werkdag: apparatuur, toegangsmiddelen, authenticatiemiddelen, software en licenties, en",
      "  informatie op papier of andere dragers. HR meldt het vertrek ten minste twee weken van tevoren aan",
      "  [[uitgiftepunt apparatuur]]; het uitgiftepunt registreert de inname per bedrijfsmiddel en de beheerder van",
      "  de inventaris verwerkt die. [5.11.01]",
      "- Het uitgiftepunt vergelijkt elk kwartaal de vertrokken medewerkers en beëindigde contracten met de",
      "  innameregistratie. Niet ingeleverde bedrijfsmiddelen worden geblokkeerd en teruggevorderd; de uitkomst",
      "  staat in de innameregistratie. [5.11.01]",
      "- Heeft een vertrekkende gebruiker kennis die de organisatie nodig heeft, bijvoorbeeld van een systeem of",
      "  een lopend dossier, dan zorgt de leidinggevende dat die kennis vóór de laatste werkdag is vastgelegd of",
      "  overgedragen aan een collega. [5.11.01]",
      "- Informatie van de organisatie die de gebruiker op eigen apparatuur heeft, wordt op de laatste werkdag",
      "  verwijderd. Valt het apparaat onder apparaatbeheer, dan wist de beheerder MDM de bedrijfsgegevens op",
      "  afstand volgens het beleid mobile device management; anders bevestigt de gebruiker schriftelijk dat de",
      "  informatie is verwijderd. [5.11.01]",
      "",
      "## 7. Werken in beveiligde zones",
      "",
      "De zones staan in het beleid fysieke toegang en beveiliging, hoofdstuk 3.",
      "",
      "- Werken in zone 3 of 4 gebeurt alleen door personen die de eigenaar van de zone daarvoor heeft",
      "  geautoriseerd, en alleen voor werkzaamheden die daar nodig zijn. De eigenaar van de zone legt werkzaamheden",
      "  in zone 4 vooraf vast, met wie, wat en wanneer. [7.06.01]",
      "- Wie alleen in zone 4 werkt, meldt zich bij binnenkomst en vertrek bij",
      "  [[meldpunt beveiligde zones: de functie die weet wie er in een beveiligde zone werkt, bijvoorbeeld de receptie of de servicedesk]].",
      "  Leveranciers werken in zone 3 en 4 onder begeleiding van een bevoegde medewerker, tenzij de eigenaar van de",
      "  zone daar vooraf schriftelijk van afwijkt. [7.06.01]",
      "- Een beveiligde zone die niet in gebruik is, is afgesloten. De eigenaar van de zone controleert elk kwartaal",
      "  dat de zone afgesloten is en dat er geen apparatuur of informatie onbeheerd is achtergelaten. [7.06.01]",
      "",
      "## 8. Apparatuur plaatsen en beschermen",
      "",
      "- Servers, netwerkapparatuur en opslag staan in een zone die past bij het impactniveau van de informatie die",
      "  ze verwerken, volgens de tabel in het beleid fysieke toegang en beveiliging. De eigenaar van het",
      "  bedrijfsmiddel kiest de plaats bij ingebruikname en legt die in de inventaris vast. [7.08.01]",
      "- Apparatuur staat zo opgesteld dat onbevoegden niet kunnen meekijken of meelezen: schermen zijn van de",
      "  publieksruimte afgekeerd, printers in zone 2 geven afdrukken pas na aanmelding met een pas, en",
      "  netwerkapparatuur staat in afgesloten kasten. [7.08.01]",
      "- De eigenaar van het bedrijfsmiddel beschermt apparatuur tegen stof, water, warmte, trillingen en",
      "  elektromagnetische storing, en beoordeelt dat bij elke verplaatsing. [7.08.01]",
      "- Apparatuur met impactniveau ernstig of hoger voor beschikbaarheid staat zo dat één",
      "  gebeurtenis (brand, water, stroomuitval) niet alle exemplaren tegelijk treft; redundante onderdelen staan",
      "  in gescheiden ruimten. De eigenaar beoordeelt dat jaarlijks. [7.08.01]",
      "",
      "## 9. Nutsvoorzieningen",
      "",
      "- Apparatuur in zone 3 en 4 heeft stroom, koeling, netwerk en waar nodig water met een capaciteit en",
      "  continuïteit die passen bij de hersteltijd uit het continuïteitsbeleid. [[lijneigenaar bedrijfsmiddelen]]",
      "  legt per ruimte vast welke voorziening nodig is en welke capaciteit die moet hebben. [7.11.01]",
      "- De beheerder van de ruimte bewaakt de nutsvoorzieningen op uitval en afwijkingen, met een automatische",
      "  melding bij de beheerder, en laat ze onderhouden en testen volgens het schema van de leverancier en ten",
      "  minste jaarlijks. De testrapporten zijn het bewijs. Noodstroom (UPS en aggregaat) volgt de eisen en",
      "  testfrequenties uit het beleid fysieke toegang en beveiliging. [7.11.01]",
      "- Noodverlichting en noodschakelaars voor stroom zijn aanwezig bij de in- en uitgangen van zone 3 en 4.",
      "  Aansluitingen op stroom en netwerk voor apparatuur met impactniveau ernstig of hoger hebben",
      "  meer dan één toevoer. [7.11.01]",
      "- De leveranciers van nutsvoorzieningen en de contactgegevens voor storingen staan in",
      "  [[storingslijst nutsvoorzieningen: het document met leveranciers en storingsnummers per locatie]]; de",
      "  beheerder van de ruimte controleert die lijst jaarlijks. [7.11.01]",
      "",
      "## 10. Apparatuur buiten de locaties",
      "",
      "- Apparatuur die buiten de locaties van de organisatie wordt gebruikt (laptops, telefoons, tokens, apparatuur",
      "  op thuiswerkplekken) staat in de inventaris met de gebruiker als beheerder. De gebruiker laat de apparatuur",
      "  niet onbeheerd achter op openbare plaatsen, laat haar niet zichtbaar in een voertuig liggen en neemt haar",
      "  op reis mee als handbagage. [7.09.01]",
      "- De opslag van apparatuur buiten de locaties is versleuteld volgens het beleid cryptografie; mobiele",
      "  apparaten voldoen aan het beleid mobile device management. Het meenemen van apparatuur die niet voor",
      "  mobiel gebruik is uitgegeven, vraagt toestemming van de eigenaar van het bedrijfsmiddel; het uitgiftepunt",
      "  registreert wie wat wanneer heeft meegenomen. [7.09.01]",
      "- Verlies, diefstal of schade meldt de gebruiker direct bij [[uitgiftepunt apparatuur]]; het uitgiftepunt",
      "  registreert de melding als beveiligingsincident volgens het beleid beveiligingsincidenten. [7.09.01]",
      "- Voor thuiswerkplekken en werkplekken bij derden staan in de gedragsregels de eisen aan de werkplek: een",
      "  ruimte die de gebruiker kan afsluiten, geen meekijken door huisgenoten of bezoekers, geen gedeeld gebruik",
      "  van de apparatuur en geen aansluiting van onbekende randapparatuur. [7.09.01]",
      "",
      "## 11. Onderhoud van apparatuur",
      "",
      "- De eigenaar van het bedrijfsmiddel laat apparatuur onderhouden volgens het schema en de specificaties van",
      "  de fabrikant, door bevoegde en geautoriseerde personen, en legt het onderhoudsschema in de inventaris vast.",
      "  [7.13.01]",
      "- Van elk onderhoud, elke storing en elke reparatie houdt de beheerder een registratie bij: datum,",
      "  uitvoerder, wat is gedaan, en of er informatie op het apparaat stond. De beheerder bewaart de registratie",
      "  zolang het apparaat in gebruik is en daarna nog een jaar. [7.13.01]",
      "- Onderhoud op afstand door een leverancier gebeurt alleen via een toegang die de beheerder per",
      "  onderhoudsbeurt opent en daarna sluit. De sessie wordt gelogd volgens het beleid logging en monitoring.",
      "  [7.13.01]",
      "- Apparatuur die voor onderhoud of reparatie de organisatie verlaat, gaat zonder opslag weg of wordt eerst",
      "  gewist volgens het beleid afvoer en hergebruik van gegevensdragers. Na terugkomst controleert de beheerder",
      "  of de apparatuur werkt zoals voor het onderhoud en of er geen ongeautoriseerde wijzigingen in hardware of",
      "  configuratie zijn aangebracht, en legt dat vast in de onderhoudsregistratie. [7.13.01]",
      "",
      "## 12. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar bedrijfsmiddelen]] | Eigenaar van dit beleid en van de gedragsregels; de inventaris, de uitgifte- en innameprocedure en de eisen aan nutsvoorzieningen per ruimte |",
      "| [[beheerder inventaris]] | Registratie, verwerking van mutaties, kwartaal- en jaarcontroles, afhandeling van afwijkingen |",
      "| Eigenaar van een bedrijfsmiddel | Juiste registratie, classificatie, plaatsing, bescherming en onderhoud over de hele levenscyclus; toestemming voor meenemen buiten de locaties |",
      "| [[uitgiftepunt apparatuur]] | Uitgifte en inname van apparatuur, bruikleenovereenkomsten, kwartaalvergelijking van vertrek met inname, registratie van verlies en diefstal |",
      "| Eigenaar van een zone | Autoriseren van wie in zone 3 en 4 werkt, vooraf vastleggen van werkzaamheden in zone 4, kwartaalcontrole van afgesloten zones |",
      "| HR en inkoop | Gedragsregels in arbeidsovereenkomst, inhuurcontract en vrijwilligersovereenkomst; tijdige melding van vertrek; eisen aan leveranciers in het contract |",
      "| CISO | Advies over dit beleid, jaarlijkse toetsing van opzet en werking, beoordeling van afwijkingen |",
      "| Medewerkers en inhuur | Gedragsregels naleven, apparatuur buiten de locaties beschermen, verlies of diefstal direct melden, bedrijfsmiddelen inleveren bij vertrek |",
      "",
      "## 13. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| BMB-01 | De inventaris van werkplekken, mobiele apparatuur en clouddiensten komt overeen met een tweede bron; afwijkingen zijn binnen een maand afgehandeld | [[beheerder inventaris]] | Per kwartaal | Vergelijkingsrapport met de afwijkingen en hun afhandeling | 5.09.01 |",
      "| BMB-02 | Elk bedrijfsmiddel in de inventaris heeft een eigenaar, een classificatie en een onderhoudsschema, en de eigenaar heeft de registratie bevestigd | [[beheerder inventaris]] | Jaarlijks | Aantal bedrijfsmiddelen zonder eigenaar of registratie voor en na de controle, bevestigingen van de eigenaren | 5.09.01 |",
      "| BMB-03 | Nieuwe medewerkers hebben de gedragsregels bevestigd voordat zij een account of apparatuur kregen, en contracten van externen bevatten de gedragsclausule | CISO | Jaarlijks | Steekproef van ten minste vijftien medewerkers en vijftien externen met de bevestigingen en contracten | 5.10.01, 5.10.02, 5.10.03 |",
      "| BMB-04 | Vertrokken medewerkers en beëindigde contracten hebben alle bedrijfsmiddelen ingeleverd; niet ingeleverde middelen zijn geblokkeerd en teruggevorderd | [[uitgiftepunt apparatuur]] | Per kwartaal | Vergelijking van de personeelsmutaties met de innameregistratie | 5.11.01 |",
      "| BMB-05 | Apparatuur in zone 3 en 4 staat in de zone die bij het impactniveau hoort, is beschermd tegen meekijken en omgevingsinvloeden, en alleen geautoriseerde personen hebben er gewerkt | Eigenaar van de zone | Halfjaarlijks | Rondgang met checklist per ruimte, vergelijking van de werkregistratie met de autorisaties | 7.06.01, 7.08.01 |",
      "| BMB-06 | De nutsvoorzieningen van zone 3 en 4 zijn getest en onderhouden volgens schema, en het onderhoud aan apparatuur is uitgevoerd en geregistreerd | [[lijneigenaar bedrijfsmiddelen]] | Jaarlijks | Testrapporten van de nutsvoorzieningen, onderhoudsregistratie, storingslijst | 7.11.01, 7.13.01 |",
      "| BMB-07 | Apparatuur buiten de locaties is versleuteld, geregistreerd op de gebruiker en meldingen van verlies of diefstal zijn als incident afgehandeld | CISO | Jaarlijks | Steekproef van ten minste tien apparaten uit de inventaris, incidentregistratie | 7.09.01 |",
      "| BMB-08 | Leveranciers die apparatuur, ruimten of clouddiensten beheren leveren een geldige onafhankelijke verklaring over hun bedrijfsmiddelenbeheer en onderhoud | Contractbeheer | Jaarlijks | Verklaring per leverancier, beoordeling van de uitzonderingen | 5.09.01, 7.08.01, 7.11.01, 7.13.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De eigenaar",
      "van het bedrijfsmiddel dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de",
      "looptijd. De afwijking geldt pas na acceptatie van het risico door",
      "[[risico-eigenaar: de manager die restrisico's accepteert]] en staat in het risicoregister; afwijkingen",
      "worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 14. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid",
      "informatieclassificatie (classificatie in de inventaris en de labels in de gedragsregels), het beleid fysieke",
      "toegang en beveiliging (zones, noodstroom), het beleid afvoer en hergebruik van gegevensdragers (wissen voor",
      "reparatie en afvoer), het beleid mobile device management (mobiele en eigen apparaten), het beleid",
      "cryptografie (versleuteling buiten de locaties), het beleid screening en bewustzijn (gedragsregels bij",
      "indiensttreding), het beleid logging en monitoring (onderhoud op afstand), het continuïteitsbeleid",
      "(hersteltijden voor nutsvoorzieningen) en het beleid vulnerability- en patchmanagement, dat de inventaris als",
      "bron gebruikt.",
      ""
     ]
    }
   ],
   "bestand": "04-bedrijfsmiddelen.md"
  },
  {
   "domein": "classificatie",
   "titel": "Beleid informatieclassificatie",
   "samenvatting": "Over het classificeren, labelen en veilig overdragen van informatie op beschikbaarheid, integriteit en vertrouwelijkheid. Behandelt de classificatiemethode met vijf impactniveaus, de minimumeisen per label, het labelen van documenten en hardware, en de eisen aan websites, e-mail, certificaten en andere overdracht.",
   "invoeren": [
    "Stel een classificatiemethode vast met vragenlijsten en een impactschaal van vijf niveaus (hoofdstuk 3).",
    "Classificeer elk informatiesysteem in een ondertekend classificatierapport en registreer dat in de inventaris (hoofdstuk 3).",
    "Richt in systemen die labels ondersteunen de automatische beveiliging per label in (hoofdstuk 5).",
    "Voorzie hardware van een sticker met het inventariskenmerk, zonder de classificatie (hoofdstuk 5).",
    "Richt een maandelijkse meting van alle domeinen met internet.nl in (hoofdstuk 6).",
    "Zet een certificaatregister op met de vervaldatum per certificaat (hoofdstuk 6).",
    "Registreer alle internetfacing systemen, webapplicaties, IP-adressen en API's in de inventaris (hoofdstuk 6).",
    "Registreer alle publieke websites in het Register Internetdomeinen Overheid (hoofdstuk 6)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het classificeren, labelen en veilig",
      "overdragen van informatie. Classificeren is het vaststellen hoe zwaar informatie beschermd moet worden op",
      "beschikbaarheid, integriteit en vertrouwelijkheid (BIV). De classificatie bepaalt welke maatregelen uit de",
      "andere beleidsstukken van toepassing zijn: de toegangsrechten, de versleuteling, de logging, de zone waarin",
      "een systeem staat en de manier waarop een drager wordt afgevoerd. Het gaat over de ISO-beheersmaatregelen",
      "5.12 tot en met 5.14.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor proceseigenaren, die de classificatie van hun informatie",
      "vaststellen, en voor systeemeigenaren, die de maatregelen bij een classificatie toepassen. De regels voor",
      "labelen en behandelen gelden voor iedereen die informatie van de organisatie verwerkt: medewerkers, inhuur,",
      "stagiairs, vrijwilligers en leveranciers.",
      "",
      "**Waarop.** Alle informatie van de organisatie, in alle systemen en op alle dragers: digitaal, op papier en",
      "in gesprekken, en alle websites, webapplicaties, koppelvlakken en e-mailvoorzieningen waarmee de organisatie",
      "informatie overdraagt. Is een systeem of een overdrachtsvoorziening uitbesteed, dan gelden de eisen uit dit",
      "beleid als minimumeis voor die leverancier. De organisatie legt dat vast in het contract en toetst de",
      "naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE",
      "3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid",
      "contractbeheer.",
      "",
      "Buiten dit beleid vallen de versleutelingseisen zelf (beleid cryptografie), de toegangsrechten per",
      "classificatie (beleid logische toegangsbeveiliging), de zone-indeling van ruimten (beleid fysieke toegang en",
      "beveiliging) en het wissen en vernietigen van dragers (beleid afvoer en hergebruik van gegevensdragers).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. De eigenaar van de informatie (meestal de proceseigenaar) bepaalt de classificatie en accepteert het",
      "   restrisico. De CISO en de privacy officer adviseren.",
      "2. Zo laag als verantwoord: te hoog classificeren kost geld en belemmert openbaarheid. Wettelijke eisen gaan",
      "   altijd voor.",
      "3. Het meest gevoelige deel bepaalt de classificatie van het geheel. Een systeem krijgt de classificatie van",
      "   de zwaarste informatie die het verwerkt, tenzij het systeem die informatie apart afschermt.",
      "4. Eén schaal voor de hele organisatie: de vijf impactniveaus uit dit beleid sturen de zones, de",
      "   toegangsrechten, de versleuteling en de bewaring, zodat een classificatie overal hetzelfde betekent.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Classificatiemethode",
      "",
      "- De organisatie classificeert met een vastgestelde impactmethode die deel uitmaakt van de",
      "  risicomanagementmethode van de organisatie, bijvoorbeeld een baselinetoets of een BIA. De methode staat in",
      "  [[classificatiemethode: het vastgestelde document met vragenlijsten en impactschaal]]; de CISO beoordeelt",
      "  de methode jaarlijks. [5.12.01]",
      "- De proceseigenaar schat per BIV-aspect de gevolgen van uitval, van onjuiste of onvolledige informatie en",
      "  van ongewenste openbaarmaking, en kiest per aspect een van vijf impactniveaus. De beschikbaarheidswaarden",
      "  in de tabel zijn standaardwaarden; de organisatie past ze aan in de classificatiemethode en legt per",
      "  systeem de definitieve hersteltijd en het toelaatbaar gegevensverlies vast in het continuïteitsbeleid.",
      "  [5.12.01]",
      "",
      "  | Impactniveau | Beschikbaarheid | Integriteit | Vertrouwelijkheid |",
      "  |---|---|---|---|",
      "  | verwaarloosbaar | uitval langer dan een week en verlies van een week aan gegevens zijn aanvaardbaar | fouten hebben geen gevolgen voor besluiten of dienstverlening | geen schade bij openbaarmaking; label openbaar |",
      "  | gering | uitval tot een week, gegevensverlies tot een werkdag | fouten geven hinder en extra werk, zijn achteraf te herstellen | beperkte schade, zoals ongemak of een klacht; label intern |",
      "  | gemiddeld | uitval tot een werkdag, gegevensverlies tot vier uur | fouten leiden tot verkeerde besluiten of betalingen met herstelbare schade | schade voor burgers, partners of de organisatie, zoals een datalek met meldplicht; label vertrouwelijk |",
      "  | ernstig | uitval tot vier uur, gegevensverlies tot een uur | fouten geven rechtsgevolgen of financiële schade die moeilijk te herstellen is | ernstige schade voor personen (veiligheid, bestaanszekerheid) of voor het functioneren van de organisatie; label strikt vertrouwelijk |",
      "  | catastrofaal | uitval tot een uur, geen gegevensverlies | fouten raken leven, gezondheid of de rechtsstaat | schade voor de staat, de openbare orde of levens; weerstand tegen statelijke actoren en georganiseerde criminaliteit; label geheim |",
      "",
      "- De proceseigenaar classificeert de informatie in elk informatiesysteem op basis van een expliciete",
      "  risicoafweging vóór ingebruikname, daarna bij elke ingrijpende wijziging en ten minste elke [[herzieningstermijn classificatie: standaard drie jaar]]. De",
      "  uitkomst staat in een classificatierapport met de ingevulde vragenlijsten, door de proceseigenaar",
      "  ondertekend als besluit. [5.12.01]",
      "- De systeemeigenaar registreert de classificatie per systeem en per gegevensverzameling in de inventaris van",
      "  bedrijfsmiddelen binnen een maand na het besluit. [5.12.01]",
      "- Het niveau catastrofaal vraagt altijd een eigen risicoanalyse door de CISO; de organisatie richt daar geen",
      "  standaardmaatregelen voor in. [5.12.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "type",
       "niet": false,
       "antwoorden": [
        "ministerie",
        "rijksdienst",
        "zbo"
       ]
      }
     ],
     "regels": [
      "- Bijzondere informatie van het Rijk krijgt naast het vertrouwelijkheidslabel de rubricering uit het",
      "  Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie. De classificatiemethode legt vast",
      "  welke rubricering bij welk label hoort; bij verschil geldt de zwaarste eis. [5.12.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 4. Eisen per niveau",
      "",
      "- Elk vertrouwelijkheidslabel heeft een vaste set minimumeisen; de basis is de BIO 2.0 en de",
      "  risicoafweging van de proceseigenaar. De systeemeigenaar past ten minste de volgende eisen toe en toont",
      "  dat aan bij de ingebruikname: [5.12.01]",
      "",
      "  | Label | Authenticatie | Autorisatie | Opslag en transport |",
      "  |---|---|---|---|",
      "  | openbaar | geen eis voor lezen; persoonsgebonden account voor wijzigen | iedereen mag lezen; wijzigen alleen door aangewezen medewerkers | integriteit van de bron bewaakt; transport via de standaarden voor internetverkeer |",
      "  | intern | persoonsgebonden account; meerfactor bij toegang van buiten | toegang voor medewerkers van de organisatie | versleuteld transport buiten het eigen netwerk |",
      "  | vertrouwelijk | meerfactor | toegang per rol, door de eigenaar toegekend en jaarlijks beoordeeld | versleuteld transport en versleutelde opslag; zo min mogelijk kopieën; niet op verwijderbare media zonder uitzondering |",
      "  | strikt vertrouwelijk | meerfactor met een sterk middel; geen toegang vanaf niet-beheerde apparaten | toegang per persoon met doelbinding, door de eigenaar toegekend en elk halfjaar beoordeeld; vierogenprincipe bij wijzigingen met rechtsgevolg | versleuteld met sleutels in eigen beheer; opslag alleen in systemen in zone 3 of hoger of bij een leverancier met gelijkwaardige verklaring; logging van elke toegang |",
      "  | geheim | meerfactor met een sterk middel, geen single sign-on | toegang per persoon, vierogenprincipe bij toegang en wijziging | aanvullende maatregelen op basis van een eigen risicoanalyse door de CISO |",
      "",
      "- Voor integriteit van gemiddeld en hoger geldt het vierogenprincipe bij wijzigingen van gegevens die",
      "  rechtsgevolgen hebben, en logt het systeem elke wijziging met wie, wat en wanneer volgens het beleid logging",
      "  en monitoring. [5.12.01]",
      "- Voor beschikbaarheid legt de proceseigenaar per systeem de hersteltijd en het toelaatbaar gegevensverlies",
      "  vast in het continuïteitsbeleid, op basis van het impactniveau uit de tabel in hoofdstuk 3. [5.12.01]",
      "- De zone-indeling in het beleid fysieke toegang en beveiliging volgt de impactniveaus: een systeem staat in",
      "  de zone die bij zijn hoogste impactniveau hoort. De systeemeigenaar controleert dat bij ingebruikname en bij",
      "  elke herclassificatie. [5.12.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "gevoelig",
       "niet": false,
       "antwoorden": [
        "sociaal",
        "jeugd"
       ]
      }
     ],
     "regels": [
      "- Informatie over cliënten in het sociaal domein of de jeugdhulp krijgt ten minste vertrouwelijk voor",
      "  vertrouwelijkheid en gemiddeld voor integriteit. Een lagere classificatie kan alleen met een gedocumenteerd",
      "  besluit van de proceseigenaar na advies van de privacy officer. [5.12.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "gevoelig",
       "niet": false,
       "antwoorden": [
        "gezondheid"
       ]
      }
     ],
     "regels": [
      "- Gezondheidsinformatie is een bijzonder persoonsgegeven en krijgt ten minste strikt vertrouwelijk. Ad-hoc",
      "  uitwisseling per e-mail of chat voldoet aan de NTA 7516: gezondheidsinformatie hoort in het vakinhoudelijke",
      "  systeem, gaat per e-mail alleen als dat niet kan en dan alleen versleuteld via beveiligde mail, met een",
      "  vastgestelde grond om te verzenden en een gecontroleerde ontvanger. Automatisch doorsturen,",
      "  leesbevestigingen en het delen van inloggegevens zijn niet toegestaan; wie namens een ander mailt, doet dat",
      "  via een zichtbare mandaatfunctie. [5.12.01]",
      "- De organisatie biedt burgers een beveiligde mailvoorziening aan en vermeldt die op de website;",
      "  [[beheerder internetfacing systemen: de functie die de metingen uitvoert, bijvoorbeeld de netwerkbeheerder]]",
      "  controleert jaarlijks dat de voorziening werkt en vindbaar is. [5.14.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "politiegegevens",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- Politiegegevens die de organisatie verwerkt (bijvoorbeeld door boa's of in de handhaving) worden apart",
      "  geclassificeerd en krijgen ten minste strikt vertrouwelijk. Ze worden gescheiden gehouden van de overige informatie",
      "  in een systeem of omgeving waarvoor de autorisatie-, logging- en bewaareisen van de Wet politiegegevens",
      "  gelden, en gaan niet via gewone e-mail of chat naar ontvangers buiten de kring die de wet toestaat.",
      "  [5.12.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Labelen",
      "",
      "- Informatie met het label vertrouwelijk of hoger is herkenbaar gelabeld: digitaal met een",
      "  classificatielabel in de metagegevens van het document, het bericht of de gegevensverzameling, en op",
      "  papier met het label op elke pagina. Wie een document maakt of verzendt, labelt het; de proceseigenaar",
      "  bepaalt het label van een gegevensverzameling. [5.13.01]",
      "- Informatie zonder label geldt als intern. Openbare informatie hoeft geen label; wie informatie als openbaar",
      "  publiceert, doet dat alleen na een besluit van de proceseigenaar. [5.13.01]",
      "- Systemen die labels ondersteunen, passen bij het label automatisch de bijbehorende beveiliging toe:",
      "  versleuteling, beperking van delen en afdrukken, en blokkering van verzending naar ontvangers buiten de",
      "  organisatie bij strikt vertrouwelijk en geheim. De systeemeigenaar richt dat in en test het bij elke wijziging van",
      "  het labelbeleid. [5.13.01]",
      "- Een label verandert alleen als de proceseigenaar daartoe besluit, bijvoorbeeld bij openbaarmaking na een",
      "  besluit op grond van de Wet open overheid; de wijziging wordt vastgelegd met datum en reden. [5.13.01]",
      "- Hardware krijgt een sticker met het kenmerk uit de inventaris; de classificatie van de hardware zelf staat",
      "  in de inventaris en niet op de sticker, zodat een gevonden apparaat niet prijsgeeft wat erop staat.",
      "  [5.13.01]",
      "- De proceseigenaar controleert jaarlijks met een steekproef of de informatie in zijn systemen en",
      "  documentopslag juist is gelabeld, en laat afwijkingen binnen een maand herstellen. [5.13.01]",
      "",
      "## 6. Overdragen van informatie",
      "",
      "- Websites, webapplicaties, API's en het e-mailverkeer van de organisatie die vanaf internet bereikbaar zijn,",
      "  voldoen aan de verplichte standaarden van de lijst van het Forum Standaardisatie en aan de eisen uit het",
      "  Cyberbeveiligingsbesluit. De systeemeigenaar stelt die zo in dat de beveiliging maximaal is zonder dat de",
      "  dienst ervan uitvalt. [5.14.01]",
      "- [[beheerder internetfacing systemen]] meet elke maand alle domeinen met internet.nl, rapporteert de scores",
      "  aan de CISO en zet tekortkomingen binnen drie maanden om in een wijziging of een geaccepteerd risico.",
      "  [5.14.01]",
      "- Voor openbaar webverkeer met gevoelige gegevens gebruikt de organisatie ten minste publiek vertrouwde",
      "  OV-certificaten; voor intern webverkeer met gevoelige gegevens ten minste publiek vertrouwde OV-certificaten",
      "  of PKIoverheid-certificaten uit een private stam. Zwaardere certificaten volgen uit een risicoanalyse,",
      "  aansluitvoorwaarden of wetgeving. De beheerder houdt een certificaatregister bij met de vervaldatum en",
      "  vernieuwt certificaten ten minste twee weken voor afloop. [5.14.02]",
      "- Gebruikt de organisatie geavanceerde of gekwalificeerde elektronische handtekeningen, dan voldoen die aan",
      "  de AdES Baseline Profiles van de lijst open standaarden. Bij aanschaf van een ondertekendienst neemt inkoop",
      "  dat als eis op in de uitvraag; de systeemeigenaar toetst het bij acceptatie. [5.14.03]",
      "- [[beheerder internetfacing systemen]] houdt één actuele registratie bij van alle internetfacing systemen,",
      "  webapplicaties, IP-adressen en API's, als onderdeel van de inventaris van bedrijfsmiddelen. Een nieuw",
      "  systeem komt pas online na registratie; de beheerder vergelijkt de registratie elk halfjaar met een externe",
      "  scan van de domeinen en IP-reeksen van de organisatie. [5.14.04]",
      "- Alle publiek toegankelijke websites van de organisatie staan in het Register Internetdomeinen Overheid.",
      "  [[beheerder internetfacing systemen]] werkt de registratie bij binnen een maand na elke wijziging en",
      "  controleert haar ten minste elk halfjaar. [5.14.05]",
      "- Wie informatie met het label vertrouwelijk of hoger buiten de organisatie deelt, gebruikt een",
      "  overdrachtsvoorziening die bij het label past (beveiligde mail, een beveiligd uitwisselplatform of een",
      "  gecontroleerde koppeling) en controleert vooraf de ontvanger. Informatie met het label strikt vertrouwelijk of",
      "  hoger gaat alleen naar ontvangers met wie een schriftelijke afspraak over vertrouwelijkheid bestaat.",
      "  [5.14.01]",
      "",
      "## 7. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| Proceseigenaar (eigenaar van de informatie) | Classificatie, classificatierapport, acceptatie van het restrisico, labels van gegevensverzamelingen, jaarlijkse steekproef op labels, besluiten over openbaarmaking |",
      "| Systeemeigenaar | Toepassen van de minimumeisen bij de classificatie, registratie in de inventaris, zone van het systeem, automatische toepassing van labels |",
      "| [[beheerder internetfacing systemen]] | Metingen met internet.nl, certificaatregister, registratie van internetfacing systemen en het Register Internetdomeinen Overheid |",
      "| CISO | Classificatiemethode, advies bij classificatie, risicoanalyse bij catastrofaal en geheim, jaarlijkse toetsing van opzet en werking van dit beleid |",
      "| Privacy officer of FG | Advies bij classificatie van persoonsgegevens en bij een lagere classificatie van gevoelige domeinen |",
      "| Inkoop en contractbeheer | Eisen uit dit beleid in uitvragen en contracten, toetsen van verklaringen van leveranciers |",
      "| Medewerkers en inhuur | Informatie labelen, volgens het label behandelen en via de passende voorziening overdragen |",
      "",
      "## 8. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| CLS-01 | Elk systeem en elke gegevensverzameling in de inventaris heeft een classificatie per BIV-aspect die niet ouder is dan drie jaar, met een ondertekend classificatierapport | CISO | Jaarlijks | Lijst uit de inventaris met ontbrekende of verlopen classificaties en de afhandeling | 5.12.01 |",
      "| CLS-02 | De systemen met het label strikt vertrouwelijk of geheim voldoen aan de minimumeisen voor authenticatie, autorisatie, opslag en zone | CISO | Jaarlijks | Toetsverslag per systeem met de afwijkingen | 5.12.01 |",
      "| CLS-03 | Informatie in de documentopslag en de systemen van de proceseigenaar draagt het juiste label en systemen passen bij het label de beveiliging toe | Proceseigenaar | Jaarlijks | Steekproef van ten minste twintig documenten of gegevensverzamelingen, testverslag van de automatische toepassing | 5.13.01 |",
      "| CLS-04 | Alle domeinen voldoen aan de verplichte internetstandaarden; tekortkomingen zijn binnen drie maanden omgezet in een wijziging of een geaccepteerd risico | [[beheerder internetfacing systemen]] | Maandelijks, met een kwartaaloverzicht aan de CISO | internet.nl-scores per domein, overzicht van de opvolging | 5.14.01 |",
      "| CLS-05 | De registratie van internetfacing systemen en het Register Internetdomeinen Overheid komen overeen met een externe scan van de domeinen en IP-reeksen van de organisatie | [[beheerder internetfacing systemen]] | Halfjaarlijks | Scanrapport met de vergelijking en de afhandeling van verschillen | 5.14.04, 5.14.05 |",
      "| CLS-06 | Internetfacing systemen met gevoelige gegevens gebruiken certificaten van het vereiste type en geen certificaat is verlopen | CISO | Jaarlijks | Steekproef op het certificaatregister en de systemen | 5.14.02 |",
      "| CLS-07 | Ondertekendiensten in gebruik voldoen aan de AdES Baseline Profiles en de eis staat in de uitvragen van dat jaar | Systeemeigenaar van de ondertekendienst | Jaarlijks | Verklaring of testrapport van de leverancier, uitvraagdocumenten | 5.14.03 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De",
      "afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 9. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. De classificatie stuurt het beleid",
      "logische toegangsbeveiliging (rechten per label), het beleid cryptografie (versleuteling per label), het",
      "beleid logging en monitoring (logging van wijzigingen en toegang), het beleid fysieke toegang en beveiliging",
      "(zones per impactniveau), het beleid afvoer en hergebruik van gegevensdragers (methode per label), het beleid",
      "mobile device management (toegang vanaf beheerde apparaten) en het continuïteitsbeleid (hersteltijd en",
      "gegevensverlies). De inventaris uit het beleid bedrijfsmiddelenbeheer bevat de classificaties en de",
      "registratie van internetfacing systemen; het beleid informatiebeveiliging bij inkoop en contractbeheer regelt",
      "de eisen aan leveranciers.",
      ""
     ]
    }
   ],
   "bestand": "05-classificatie.md"
  },
  {
   "domein": "logische-toegang",
   "titel": "Beleid logische toegangsbeveiliging",
   "samenvatting": "Regelt de toegang tot informatiesystemen, netwerken en gegevens: hoe accounts ontstaan en vervallen, hoe gebruikers zich aanmelden en wie welke rechten krijgt. Behandelt accounts, MFA, wachtwoorden, werken op afstand, periodieke beoordeling van rechten, beheeraccounts, toegang voor leveranciers, hoog gelabelde informatie en broncode.",
   "invoeren": [
    "Richt één accountproces in, gekoppeld aan de personeelsadministratie en de registratie van inhuur (hoofdstuk 3).",
    "Stel per systeem een autorisatieprocedure en autorisatiematrix op, met een mandaatregister (hoofdstuk 3).",
    "Houd een register bij van gedeelde accounts met motivering en verantwoordelijke leidinggevende (hoofdstuk 3).",
    "Richt MFA in voor de werkomgeving, internetvoorzieningen en accounts met beheerrechten (hoofdstuk 4).",
    "Geef elke medewerker een wachtwoordmanager en dwing de wachtwoordeisen technisch af (hoofdstuk 5).",
    "Leg in een regeling thuiswerken vast welke apparatuur en werkplekken zijn toegestaan (hoofdstuk 6).",
    "Houd een register bij van accounts met bijzondere rechten, inclusief nood- en technische accounts (hoofdstuk 8).",
    "Houd een register van leveranciersaccounts bij met goedkeuring, activering en beëindiging (hoofdstuk 9)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de toegang tot informatiesystemen,",
      "netwerken en gegevens. Het legt vast hoe accounts ontstaan en vervallen, hoe gebruikers zich aanmelden, wie",
      "welke rechten krijgt en hoe de organisatie dat controleert. Het gaat over de ISO-beheersmaatregelen 5.15",
      "tot en met 5.18, 6.7, 8.2 tot en met 8.5 en 8.18.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de afdeling die de identiteitsvoorziening beheert, voor",
      "systeemeigenaren en voor leidinggevenden die rechten aanvragen. De gedragsregels gelden voor iedereen met",
      "een account: medewerkers, inhuur, stagiairs, vrijwilligers en leveranciers.",
      "",
      "**Waarop.** Alle accounts op systemen waarvan de organisatie eigenaar is, ook als een leverancier ze beheert",
      "of host: persoonlijke, gedeelde, technische en beheeraccounts, noodaccounts en accounts van leveranciers. Is",
      "het beheer van de identiteitsvoorziening of van een systeem uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De organisatie legt",
      "dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO",
      "27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid",
      "informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de netwerkscheiding en de beheerinterfaces (beleid netwerkbeveiliging), de",
      "logging zelf (beleid logging en monitoring) en de vergrendeling van werkplekken (beleid IT-compliance).",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "De organisatie beheert haar IT niet zelf. Waar dit beleid een eis stelt aan beheerders of aan het",
      "beheerproces, geldt die eis voor de beheerpartij via het contract. De toekenning van rechten aan eigen",
      "medewerkers blijft een besluit van de organisatie zelf."
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Elke handeling op een systeem is herleidbaar tot één natuurlijke persoon. Accounts zijn persoonsgebonden;",
      "   gedeelde accounts zijn een gemotiveerde uitzondering.",
      "2. Iemand krijgt alleen de rechten die nodig zijn voor de eigen taak, en niet langer dan nodig (need-to-know",
      "   en least privilege).",
      "3. Rechten volgen een rol uit een autorisatiematrix. Losse rechten buiten een rol zijn een uitzondering met",
      "   een einddatum.",
      "4. Beschikken, uitvoeren en controleren liggen niet bij dezelfde persoon. Beheerders hebben geen toegang tot",
      "   de inhoud van de gegevens die ze beheren, tenzij de systeemeigenaar dat vastlegt en erop toeziet.",
      "5. Hoe zwaarder de rechten of hoe hoger het vertrouwelijkheidslabel van de informatie, hoe sterker de",
      "   authenticatie en hoe vaker de controle.",
      "6. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Identiteiten en accounts",
      "",
      "- [[lijneigenaar logische toegang: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd IT of informatievoorziening]]",
      "  richt één accountproces in, gekoppeld aan de personeelsadministratie en de registratie van inhuur:",
      "  indiensttreding of start van een opdracht levert een account op, een functiewijziging past de rechten aan",
      "  en vertrek blokkeert het account uiterlijk op de laatste werkdag. Elke stap staat in het ticketsysteem.",
      "  [5.16.01]",
      "- Een geblokkeerd account wordt na [[termijn verwijderen accounts: bijvoorbeeld 90 dagen na blokkade]]",
      "  verwijderd. Accounts van inhuur en stagiairs hebben een einddatum gelijk aan het einde van de opdracht.",
      "  [5.16.01]",
      "- De identiteitsvoorziening blokkeert automatisch elk account dat",
      "  [[termijn inactiviteit: bijvoorbeeld 60 dagen]] niet is gebruikt. [5.16.01]",
      "- De systeemeigenaar stelt per systeem een autorisatieprocedure en een autorisatiematrix op met de",
      "  proceseigenaren en beoordeelt die jaarlijks. De CISO toetst de procedure voor vaststelling. Een",
      "  mandaatregister legt vast wie rechten mag aanvragen en goedkeuren. [5.16.01]",
      "- De proceseigenaar gebruikt een gedeeld account alleen als een persoonlijk account aantoonbaar niet kan.",
      "  Hij motiveert dat schriftelijk, stemt het af met de CISO en wijst een leidinggevende aan die",
      "  verantwoordelijk is voor gebruik en tijdig opzeggen. [5.16.02]",
      "- Een gedeeld account krijgt een herkenbare naam, geen toegang van buiten en geen beheerrechten.",
      "  [[lijneigenaar logische toegang]] loopt het register van gedeelde accounts jaarlijks door. [5.16.02]",
      "- Een functionele postbus (op naam van een team, project of product) heeft een eigenaar en wordt geopend",
      "  met persoonlijke accounts die rechten op de postbus krijgen. Niemand meldt zich met een gedeeld wachtwoord",
      "  op de postbus zelf aan. [5.16.02]",
      "- De beheerder schakelt standaardaccounts uit of hernoemt ze en geeft ze een nieuw wachtwoord voor",
      "  ingebruikname. Een technisch account heeft een eigenaar, kan niet interactief aanmelden en staat in het",
      "  register van accounts met bijzondere rechten. [5.16.02, 5.18.01]",
      "",
      "## 4. Authenticatie en MFA",
      "",
      "- MFA is verplicht bij het aanmelden op de digitale werkomgeving, bij elk account op een voorziening die via",
      "  internet bereikbaar is en bij elk account met beheerrechten. Waar de risicoanalyse van een systeem dat",
      "  vraagt, geldt MFA ook voor andere accounts. [5.17.01]",
      "- De voorkeur gaat naar wachtwoordloze authenticatie met een persoonsgebonden sleutel, zoals een passkey of",
      "  een hardwaretoken met pincode; anders een wachtwoord met een tweede factor. Een sms-code is alleen",
      "  toegestaan als er geen andere tweede factor beschikbaar is. [5.17.01]",
      "- Waar het kan, loopt aanmelden via de centrale identiteitsvoorziening met SSO. Beheerders bereiken",
      "  beheeromgevingen via een beveiligde tussenstap (jumpserver) waarop ook MFA geldt. [5.17.01]",
      "- Kan een systeem geen MFA, dan stelt de systeemeigenaar met de CISO aanvullende maatregelen op, zoals",
      "  toegang alleen vanaf beheerde apparaten. De proceseigenaar keurt ze goed; het systeem staat ermee in het",
      "  risicoregister. [5.17.01]",
      "- De servicedesk reikt inloggegevens, tokens en resets pas uit nadat de identiteit van de ontvanger is",
      "  vastgesteld, en legt dat vast in het ticket. [5.17.01]",
      "- De identiteitsvoorziening meldt ten minste: aanmelden vanaf een ongebruikelijke locatie of een",
      "  onmogelijke reisafstand, en een piek in mislukte aanmeldingen.",
      "  [[bewaking aanmeldingen: het SOC, de SOC-dienstverlener of de beheerder die de meldingen beoordeelt]]",
      "  beoordeelt elke melding en handelt haar zo nodig af als beveiligingsincident. [5.17.01]",
      "- Na [[aantal mislukte pogingen: bijvoorbeeld 5]] mislukte aanmeldingen blokkeert het systeem het account",
      "  tijdelijk. [5.17.03]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "cloud",
        "hybride"
       ]
      }
     ],
     "regels": [
      "- Op de cloudwerkplek dwingt de identiteitsvoorziening MFA af met regels voor voorwaardelijke toegang.",
      "  Verouderde aanmeldprotocollen zonder MFA staan uit. [5.17.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "on-premises"
       ]
      }
     ],
     "regels": [
      "- Op de on-premises werkplek geldt MFA bij elke toegang van buiten het kantoornetwerk (VPN of remote",
      "  desktop) en bij elk beheeraccount. Op kantoor loopt het primaire aanmelden met een pas of token. [5.17.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Wachtwoorden",
      "",
      "- Elke medewerker krijgt een wachtwoordmanager van de organisatie. Wachtwoorden voor werk staan niet in",
      "  browsers op privéapparaten, in documenten of op papier. [5.17.02]",
      "- De beheerder dwingt de eisen aan wachtwoorden technisch af in de identiteitsvoorziening en in elk systeem",
      "  met een eigen accountbeheer: minimaal",
      "  [[minimale wachtwoordlengte: bijvoorbeeld 12 tekens voor gebruikers en 16 voor beheerders]],",
      "  controle tegen lijsten van gelekte en veelgebruikte wachtwoorden en geen hergebruik van eerdere",
      "  wachtwoorden. [5.17.03]",
      "- Wachtwoorden verlopen niet periodiek. Bij een vermoeden van lekken vervangt de gebruiker het wachtwoord",
      "  direct. [5.17.03]",
      "",
      "## 6. Toegang tot de vertrouwde zone en werken op afstand",
      "",
      "- Toegang tot het interne netwerk en de interne systemen krijgt alleen apparatuur die de organisatie kent en",
      "  heeft geauthenticeerd, of programmatuur in een afgeschermde omgeving zoals een virtuele werkplek of een",
      "  beveiligde browser. Een onbekend of privéapparaat komt niet rechtstreeks in de vertrouwde zone. [5.15.01]",
      "- Werken op afstand gebeurt alleen via de voorzieningen die de organisatie daarvoor biedt, met MFA. De",
      "  medewerker opent informatie met het label vertrouwelijk of hoger op afstand alleen op een apparaat van de",
      "  organisatie en werkt niet op een plek waar anderen kunnen meekijken. [[lijneigenaar logische toegang]]",
      "  legt in de regeling thuiswerken vast welke apparatuur en werkplekken zijn toegestaan en beoordeelt die",
      "  regeling jaarlijks. [6.07.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "cloud",
        "hybride"
       ]
      }
     ],
     "regels": [
      "- In de cloudomgeving geldt een apparaat als geauthenticeerd als het in het apparaatbeheer staat en aan het",
      "  nalevingsbeleid voldoet. Andere apparaten krijgen hooguit de webversie zonder downloaden. [5.15.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "on-premises",
        "hybride"
       ]
      }
     ],
     "regels": [
      "- Op het interne netwerk krijgt een apparaat pas toegang na authenticatie met een apparaatcertificaat",
      "  (netwerktoegangscontrole). Toegang van buiten loopt via een VPN of virtuele werkplek die ook het apparaat",
      "  controleert. [5.15.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 7. Toegangsrechten en periodieke beoordeling",
      "",
      "- Een bevoegde leidinggevende vraagt rechten aan via het ticketsysteem; functioneel beheer toetst de aanvraag",
      "  aan de autorisatiematrix en richt de rechten in. Het ticket toont aanvraag, goedkeuring en inrichting.",
      "  [5.18.02, 8.03.02]",
      "- Gebruikers zien en bewerken alleen de informatie die ze voor hun taak nodig hebben. Een systeem met het",
      "  label vertrouwelijk of hoger beperkt de toegang tot de dossiers of zaken waar de gebruiker bij betrokken",
      "  is, waar het systeem dat ondersteunt. [8.03.02]",
      "- De systeemeigenaar beoordeelt jaarlijks alle uitgegeven rechten van zijn systeem, met een overzicht van",
      "  functioneel beheer, en legt de uitkomst vast. Voor systemen met het label vertrouwelijk of hoger is dat",
      "  elk halfjaar. Onjuiste rechten worden binnen",
      "  [[hersteltermijn rechten: bijvoorbeeld tien werkdagen]] ingetrokken. [5.18.02]",
      "- Kan functiescheiding door een kleine bezetting niet, dan legt de systeemeigenaar vast wie welke rollen",
      "  combineert en waarom, en controleert hij elk kwartaal de handelingen van die persoon in de logging.",
      "  [5.18.02]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "digid",
        "suwinet",
        "brp",
        "bag",
        "anders"
       ]
      }
     ],
     "regels": [
      "- Voor elke aansluiting op een landelijke voorziening geldt aanvullend het normenkader van die voorziening.",
      "  De systeemeigenaar toont de naleving van de autorisatie-eisen aan in de jaarlijkse verantwoording over de",
      "  aansluiting. [5.18.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "suwinet"
       ]
      }
     ],
     "regels": [
      "- Toegang tot Suwinet-Inkijk verloopt per rol die aansluit op de taak (bijvoorbeeld werk en inkomen of",
      "  schuldhulpverlening). De systeemeigenaar beoordeelt de Suwinet-autorisaties elk kwartaal en laat het",
      "  gebruik steekproefsgewijs controleren op raadplegingen zonder dossier of zaak. [5.18.02, 8.03.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "brp"
       ]
      }
     ],
     "regels": [
      "- Raadpleging en wijziging van de BRP gebeuren alleen met rechten per rol volgens de autorisatie van de",
      "  organisatie als afnemer of bronhouder. De systeemeigenaar beoordeelt de rechten om persoonslijsten te",
      "  wijzigen elk kwartaal. [5.18.02, 8.03.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "digid"
       ]
      }
     ],
     "regels": [
      "- De systeemeigenaar beoordeelt elk kwartaal de beheerrechten op de webapplicaties en infrastructuur achter",
      "  de DigiD-aansluiting, als voorbereiding op het DigiD-assessment. [8.02.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "politiegegevens",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- Politiegegevens (bijvoorbeeld van boa's) staan in een omgeving die alleen toegankelijk is voor",
      "  medewerkers die de organisatie daartoe schriftelijk heeft geautoriseerd onder de Wpg. De autorisatie",
      "  noemt per persoon het doel en de categorie gegevens. [8.03.01, 8.03.02]",
      "- De systeemeigenaar beoordeelt de autorisaties voor politiegegevens elk halfjaar, en elke raadpleging wordt",
      "  vastgelegd, zodat de periodieke Wpg-audit kan aantonen wie wat heeft ingezien. [5.18.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 8. Accounts met bijzondere rechten",
      "",
      "- Een beheerder heeft een apart beheeraccount, zonder mail en internettoegang. [8.02.01]",
      "- Beheerrechten worden waar het kan alleen voor de duur van een taak toegekend (just-in-time), met een",
      "  aanvraag en een reden. Permanente rechten op het hoogste niveau (domein- of tenantbeheer) hebben ten",
      "  hoogste",
      "  [[maximum aantal hoogste beheerders: bijvoorbeeld drie benoemde personen plus een noodaccount]].",
      "  [8.02.01]",
      "- [[lijneigenaar logische toegang]] houdt een register bij van accounts met bijzondere rechten:",
      "  beheeraccounts, technische accounts, noodaccounts en accounts van leveranciers. De systeemeigenaar en de",
      "  CISO beoordelen elk kwartaal opzet, bestaan en gebruik van die rechten en tekenen het verslag. [8.02.01]",
      "- Het aanmaken van een account met bijzondere rechten en elke wijziging van zijn rechten levert automatisch",
      "  een melding op. Een wijziging zonder goedgekeurde aanvraag is een beveiligingsincident. [5.18.01]",
      "- Een noodaccount ligt in een kluis met vier-ogentoegang; elk gebruik levert een melding op die de CISO",
      "  beoordeelt. [5.18.01]",
      "- Systeemhulpmiddelen die beveiligingsmaatregelen kunnen omzeilen (beheerconsoles, scripttools, debuggers,",
      "  tools voor het lezen van geheugen of register) staan alleen ter beschikking van bevoegde beheerders en",
      "  alleen als hun taak dat vraagt. Op werkplekken van gebruikers zijn ze geblokkeerd. [8.18.01]",
      "- Het gebruik van systeemhulpmiddelen wordt gelogd. De logging blijft ten minste zes maanden beschikbaar voor",
      "  onderzoek. [8.18.02]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "eigen"
       ]
      }
     ],
     "regels": [
      "- De eigen IT-afdeling houdt het register van accounts met bijzondere rechten bij en richt de meldingen in.",
      "  De beoordeling per kwartaal gebeurt door iemand buiten het beheerteam. [5.18.01, 8.02.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- De beheerpartij levert elk kwartaal een overzicht van alle accounts met bijzondere rechten op de systemen",
      "  van de organisatie, met de wijzigingen. De organisatie beoordeelt dat overzicht; de beheerpartij meldt een",
      "  niet goedgekeurde wijziging als beveiligingsincident binnen de termijn uit het contract. [5.18.01, 8.02.01]",
      "- Het contract bepaalt dat de beheerpartij systeemhulpmiddelen alleen inzet voor de afgesproken",
      "  dienstverlening en de logging daarvan zes maanden bewaart en op verzoek levert. [8.18.01, 8.18.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 9. Toegang voor leveranciers",
      "",
      "- Een leverancier krijgt toegang tot het netwerk of een systeem pas na een risicoafweging door de",
      "  systeemeigenaar: welke systemen, welke rechten, vanaf waar en voor hoe lang. Een leidinggevende van de",
      "  organisatie is verantwoordelijk voor het account en zegt het op als het werk klaar is. [8.05.01]",
      "- Een leveranciersaccount staat standaard uit en wordt per werkzaamheid geactiveerd, voor ten hoogste",
      "  [[maximale activeringsduur: bijvoorbeeld 14 dagen]], altijd met MFA en via een afgeschermde",
      "  beheeromgeving. [8.05.01]",
      "- Het register van leveranciersaccounts laat zien wie toegang heeft, wie die heeft goedgekeurd en wanneer",
      "  ze is geactiveerd en beëindigd. [8.05.01]",
      "",
      "## 10. Informatie met een hoog vertrouwelijkheidslabel",
      "",
      "- Informatie met het label vertrouwelijk, strikt vertrouwelijk of geheim (beleid informatieclassificatie) staat in",
      "  aparte systemen, databases of omgevingen die fysiek of logisch gescheiden zijn van de algemene",
      "  werkomgeving, met een eigen autorisatie die de systeemeigenaar vaststelt. [8.03.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "gevoelig",
       "niet": false,
       "antwoorden": [
        "sociaal",
        "jeugd",
        "gezondheid"
       ]
      }
     ],
     "regels": [
      "- Dossiers in het sociaal domein, over jeugd of over gezondheid staan in een zaak- of dossiersysteem met",
      "  autorisatie per dossier of per team, niet op gedeelde netwerkschijven of in algemene teamsites. Inzage",
      "  buiten de eigen caseload wordt gelogd en door de systeemeigenaar elk kwartaal steekproefsgewijs",
      "  gecontroleerd. [8.03.01, 8.03.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 11. Broncode",
      "",
      "- Toegang tot broncode, scripts en configuratiebestanden in een repository is beperkt tot de ontwikkelaars",
      "  en beheerders die eraan werken; de eigenaar van de repository kent lees- en schrijfrechten apart toe en",
      "  beoordeelt elk halfjaar wie toegang heeft. [8.04.01]",
      "- Een wijziging op de hoofdtak komt er alleen in na review door een tweede persoon; de repository dwingt",
      "  dat af en legt vast wie wat heeft goedgekeurd. Broncode van systemen met het label vertrouwelijk of hoger",
      "  staat niet in een openbare repository. [8.04.01]",
      "",
      "## 12. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar logische toegang]] | Eigenaar van dit beleid, de identiteitsvoorziening, het accountproces, de registers van bijzondere en leveranciersaccounts, de regeling thuiswerken |",
      "| Systeemeigenaar | Autorisatieprocedure en autorisatiematrix, periodieke beoordeling van rechten, risicoafweging voor leveranciers, maatregelen waar MFA niet kan |",
      "| Proceseigenaar | Motivering van gedeelde accounts en goedkeuring van maatregelen waar MFA niet kan |",
      "| Leidinggevende | Aanvragen en tijdig intrekken van rechten van eigen medewerkers en van leveranciersaccounts |",
      "| Eigenaar van een repository | Toegang tot broncode en review van wijzigingen |",
      "| [[bewaking aanmeldingen]] | Beoordelen van meldingen over misbruik van accounts |",
      "| CISO | Toetsing van autorisatieprocedures, kwartaalbeoordeling van bijzondere rechten, beoordeling van afwijkingen |",
      "| Inkoop en contractbeheer | Eisen uit dit beleid vastleggen bij beheerpartijen en hun verklaringen toetsen |",
      "| Medewerkers | Persoonlijk gebruik van account en tweede factor, melden van verlies of misbruik |",
      "",
      "## 13. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| LTB-01 | Accounts van vertrokken medewerkers en beëindigde opdrachten zijn uiterlijk op de laatste werkdag geblokkeerd en na de termijn verwijderd; inactieve accounts zijn geblokkeerd | [[lijneigenaar logische toegang]] | Per kwartaal | Vergelijking van de personeelsmutaties met de accountmutaties, rapport inactieve accounts | 5.16.01 |",
      "| LTB-02 | Gedeelde accounts, functionele postbussen, technische accounts en standaardaccounts voldoen aan de eisen: motivering, eigenaar, geen beheerrechten, geen interactief aanmelden | [[lijneigenaar logische toegang]] | Jaarlijks | Register van gedeelde en technische accounts met de beoordeling per account | 5.16.02, 5.18.01 |",
      "| LTB-03 | MFA geldt voor alle accounts waar dit beleid het eist; elke uitzondering heeft goedgekeurde aanvullende maatregelen en staat in het risicoregister | CISO | Jaarlijks | Rapport uit de identiteitsvoorziening, lijst van uitzonderingen met maatregelen | 5.17.01 |",
      "| LTB-04 | De wachtwoordeisen en de blokkade na mislukte pogingen zijn technisch afgedwongen; resets volgden na identiteitsvaststelling | [[lijneigenaar logische toegang]] | Jaarlijks | Configuratierapport per systeem, steekproef van tickets | 5.17.02, 5.17.03 |",
      "| LTB-05 | Alleen geauthenticeerde apparaten bereiken de vertrouwde zone; werken op afstand loopt via de eigen voorzieningen en de regeling thuiswerken is actueel | [[lijneigenaar logische toegang]] | Jaarlijks | Rapport uit apparaatbeheer of netwerktoegangscontrole, regeling thuiswerken | 5.15.01, 6.07.01 |",
      "| LTB-06 | Alle uitgegeven rechten per systeem zijn beoordeeld door de systeemeigenaar en onjuiste rechten zijn binnen de hersteltermijn ingetrokken | Systeemeigenaar | Jaarlijks, halfjaarlijks voor systemen met het label vertrouwelijk of hoger | Overzicht van rechten met akkoord, doorgevoerde correcties | 5.18.02, 8.03.01, 8.03.02 |",
      "| LTB-07 | Het register van accounts met bijzondere rechten klopt in opzet, bestaan en gebruik; elke wijziging had een aanvraag; systeemhulpmiddelen zijn alleen door bevoegde beheerders gebruikt | Systeemeigenaar en CISO | Per kwartaal | Getekend verslag, meldingen van wijzigingen, logging van systeemhulpmiddelen | 8.02.01, 5.18.01, 8.18.01, 8.18.02 |",
      "| LTB-08 | Leveranciersaccounts hebben een risicoafweging, een verantwoordelijke leidinggevende en zijn alleen actief geweest voor de afgesproken werkzaamheden | [[lijneigenaar logische toegang]] | Per kwartaal | Register van leveranciersaccounts met activeringen en beëindigingen | 8.05.01 |",
      "| LTB-09 | Toegang tot repositories is beperkt tot wie eraan werkt en wijzigingen op de hoofdtak hebben een review | Eigenaar van de repository | Halfjaarlijks | Toegangslijst per repository, instellingen van de hoofdtak, steekproef van reviews | 8.04.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "systeemeigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.",
      "De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 14. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid screening,",
      "bewustzijn en opleiding (in- en uitdiensttreding), het beleid informatieclassificatie (labels), het beleid",
      "informatiebeveiliging bij inkoop en contractbeheer (beheerpartijen), het beleid logging en monitoring",
      "(aanmeldingen en beheerhandelingen), het beleid netwerkbeveiliging (beheerinterfaces), het beleid veilige",
      "softwareontwikkeling (repositories) en het beleid mobile device management (apparaten).",
      ""
     ]
    }
   ],
   "bestand": "06-logische-toegang.md"
  },
  {
   "domein": "leveranciers-inkoop",
   "titel": "Beleid informatiebeveiliging bij inkoop",
   "samenvatting": "Over wat de organisatie regelt voordat zij een contract tekent met een leverancier die haar informatie verwerkt of bij haar systemen kan. Behandelt de risicoafweging en eisen in de uitvraag, contractvoorwaarden, bewijs van de leverancier, meldplicht bij incidenten, afhankelijkheid en exit, de keten van toeleveranciers, eisen per soort dienst en het inkoopdossier.",
   "invoeren": [
    "Stel een standaardset beveiligingseisen voor inkoop op en stel die jaarlijks opnieuw vast (hoofdstuk 3).",
    "Leg de drempel vast waaronder een inkoop met de standaardset eisen kan (hoofdstuk 3).",
    "Stel een lijst op van voorwaarden van leveranciers die de organisatie nooit accepteert (hoofdstuk 4).",
    "Neem in contracten jaarlijks onafhankelijk bewijs en een auditrecht voor de organisatie op (hoofdstuk 5).",
    "Neem in contracten een meldplicht met termijn op voor incidenten, datalekken en kwetsbaarheden (hoofdstuk 6).",
    "Neem een exitregeling op in contracten voor kritieke processen of vertrouwelijke informatie (hoofdstuk 7).",
    "Richt per inkoop een inkoopdossier in met de vereiste stukken vóór ondertekening (hoofdstuk 10).",
    "Regel de overdracht van het inkoopdossier aan de contracteigenaar binnen een maand (hoofdstuk 10)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de inkoop van producten en diensten",
      "waarbij een leverancier informatie van de organisatie verwerkt, opslaat of ontsluit, of toegang krijgt tot",
      "haar systemen. Het legt vast wat de organisatie regelt voordat een contract wordt getekend: de risicoafweging,",
      "de eisen in de uitvraag, de voorwaarden in het contract, het bewijs dat de leverancier levert, de meldplicht",
      "van de leverancier, de exit en de keten van toeleveranciers. Het gaat over de ISO-beheersmaatregelen 5.19,",
      "5.20 en 5.21, voor zover die vóór het contract spelen.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de inkoopfunctie, de proceseigenaren die een inkoop starten",
      "en de CISO die adviseert. Het geldt voor iedereen die namens de organisatie een contract met een",
      "informatiecomponent voorbereidt of tekent, ook bij een onderhandse opdracht, een verlenging, een uitbreiding",
      "of een gratis dienst.",
      "",
      "**Waarop.** Elke inkoop waarbij de leverancier informatie van de organisatie verwerkt of bij haar systemen",
      "kan: software, clouddiensten, hosting, beheerdiensten, koppelingen, hardware met onderhoud op afstand en",
      "adviesdiensten met toegang tot informatie. Is het inkoopproces zelf uitbesteed, bijvoorbeeld aan een",
      "inkoopbureau of een samenwerkingsverband, dan gelden de eisen uit dit beleid als minimumeis voor die partij.",
      "De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals",
      "een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via dit beleid, het",
      "toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen het beheer van de leverancier tijdens de looptijd, het register van contracten, de",
      "jaarlijkse beoordeling en de werkwijze voor clouddiensten (beleid contractbeheer), de inhoud van de",
      "verwerkersovereenkomst (privacybeleid) en de eisen aan software die een leverancier voor de organisatie",
      "ontwikkelt (beleid secure software development).",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "De organisatie heeft het beheer van haar IT uitbesteed. De contracten met beheer- en hostingpartijen zijn",
      "daarmee de zwaarste inkopen onder dit beleid: wat daar niet in staat, kan de organisatie later niet afdwingen."
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 2. Uitgangspunten",
      "",
      "1. De organisatie blijft verantwoordelijk voor de informatie die een leverancier voor haar verwerkt. Een",
      "   certificaat of verklaring van de leverancier verandert daar niets aan.",
      "2. Beveiligingseisen staan in de uitvraag. Wat pas na de gunning wordt bedacht, is in de onderhandeling niet",
      "   meer te krijgen.",
      "3. De zwaarte van de eisen volgt uit een risicoafweging per inkoop, op basis van het impactniveau en het",
      "   vertrouwelijkheidslabel van de informatie (beleid informatieclassificatie) en het belang van het proces.",
      "4. Bij IT-inkoop gebruikt de organisatie een standaardset inkoopvoorwaarden voor IT, bijvoorbeeld de GIBIT",
      "   voor gemeenten of de ARBIT voor het Rijk, en vult die per inkoop aan.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Risicoafweging en eisen in de uitvraag",
      "",
      "- Bij elke inkoop met een informatiecomponent stelt de proceseigenaar vóór de uitvraag, samen met",
      "  [[inkoopadviseur: de functie die het inkoopproces begeleidt]] en de CISO, vast welke informatie de",
      "  leverancier verwerkt, welk impactniveau en welk vertrouwelijkheidslabel die heeft en welke eisen aan",
      "  beschikbaarheid, integriteit en vertrouwelijkheid daaruit volgen. De afweging staat in het inkoopdossier.",
      "  [5.19.01]",
      "- De inkoopadviseur neemt de eisen uit die afweging op in de offerteaanvraag of uitvraag, naast de",
      "  functionele eisen, en laat ze meewegen in de beoordeling van de inschrijvingen. Een inschrijver die niet",
      "  aan een eis kan voldoen, zegt dat in de inschrijving; de proceseigenaar legt vast of dat aanvaardbaar is.",
      "  [5.19.01]",
      "- Bij een inkoop onder de drempel voor een risicoafweging, bijvoorbeeld een dienst zonder persoonsgegevens",
      "  en zonder koppeling met eigen systemen, past de inkoopadviseur de standaardset eisen toe en legt dat vast",
      "  in het inkoopdossier. De drempel staat in",
      "  [[drempel risicoafweging inkoop: de criteria waaronder een inkoop met de standaardset eisen kan]].",
      "  [5.19.01]",
      "- De CISO houdt de standaardset eisen bij en stelt die jaarlijks opnieuw vast, zodat nieuwe dreigingen en",
      "  nieuwe wettelijke eisen erin landen. [5.19.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "essentieel",
        "belangrijk"
       ]
      }
     ],
     "regels": [
      "- De organisatie valt onder de Cyberbeveiligingswet. De zorgplicht omvat de beveiliging van de",
      "  toeleveringsketen. Bij inkoop van een dienst die een rol speelt in de dienstverlening onder die wet, legt de",
      "  proceseigenaar in de risicoafweging ook vast hoe de leverancier bijdraagt aan het voldoen aan de meldplicht",
      "  en welke eisen de bestuurder daarvoor heeft goedgekeurd. [5.19.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 4. Voorwaarden in het contract",
      "",
      "- De inkoopadviseur zet alle beveiligingseisen uit de uitvraag letterlijk of als verwijzing in het contract,",
      "  met de afspraken uit de onderhandeling. Een eis die in de uitvraag stond en niet in het contract, geldt als",
      "  vervallen en vraagt een vastgelegd besluit van de proceseigenaar vóór ondertekening. [5.20.01]",
      "- De organisatie verklaart haar eigen inkoopvoorwaarden van toepassing en wijst de algemene voorwaarden van",
      "  de leverancier in het contract uitdrukkelijk van de hand. [5.20.02]",
      "- Lukt dat niet, bijvoorbeeld bij een standaarddienst van een grote aanbieder, dan beoordeelt de CISO de",
      "  voorwaarden van de leverancier vóór ondertekening. De beoordeling noemt welke gevolgen de organisatie",
      "  accepteert, welke ze met eigen maatregelen afdekt en welke voorwaarden ze nooit accepteert. De",
      "  proceseigenaar tekent voor de geaccepteerde risico's en de beoordeling gaat in het inkoopdossier. [5.20.02]",
      "- Voorwaarden die de organisatie nooit accepteert, staan in",
      "  [[lijst onaanvaardbare voorwaarden: bijvoorbeeld eenzijdig wijzigen van de beveiligingsafspraken of gebruik van gegevens voor eigen doelen van de leverancier]].",
      "  De CISO stelt die lijst jaarlijks opnieuw vast. [5.20.02]",
      "- Verwerkt de leverancier persoonsgegevens, of kan hij erbij, dan sluit de proceseigenaar een",
      "  verwerkersovereenkomst volgens het privacybeleid voordat de verwerking begint. De inkoopadviseur legt in",
      "  het inkoopdossier vast dat die overeenkomst er is. [5.20.01]",
      "",
      "## 5. Bewijs van de leverancier en eigen onderzoek",
      "",
      "- Het contract verplicht de leverancier om aan te tonen dat hij aan de eisen voldoet, in opzet, bestaan en",
      "  werking, met een rapport van een onafhankelijke derde. Voorbeelden zijn een ISAE 3000- of ISAE",
      "  3402-rapport van type 2 of een ISO 27001-certificaat met een verklaring van toepasselijkheid. [5.20.03]",
      "- De CISO controleert vóór ondertekening dat de reikwijdte van dat rapport de gecontracteerde dienst dekt,",
      "  inclusief de manier waarop de leverancier zijn eigen toeleveranciers beheert. Valt een deel van de dienst",
      "  buiten de reikwijdte, dan levert de leverancier voor dat deel ander bewijs, en de CISO legt vast of dat",
      "  volstaat. [5.20.03]",
      "- Het contract verplicht de leverancier om het bewijs bij het sluiten van het contract te leveren en daarna",
      "  elk jaar opnieuw. De jaarlijkse levering wordt bewaakt volgens het beleid contractbeheer. [5.20.03]",
      "- Het contract geeft de organisatie het recht om zelf een audit of een technisch onderzoek te laten doen,",
      "  bijvoorbeeld een penetratietest, ook om de rapporten van de leverancier te controleren. De verdeling van de",
      "  kosten staat in het contract. [5.20.04]",
      "- Restrisico's uit het bewijs of het eigen onderzoek zet de proceseigenaar vóór ondertekening in het",
      "  risicoregister en behandelt ze volgens de risicomanagementmethodiek van de organisatie. [5.20.04]",
      "",
      "## 6. Transparantie over kwetsbaarheden en incidenten",
      "",
      "- Het contract verplicht de leverancier om beveiligingsincidenten, datalekken en kwetsbaarheden die de dienst",
      "  aan de organisatie kunnen raken, te melden bij het meldloket van de organisatie (beleid",
      "  beveiligingsincidenten). De termijn staat in het contract en is kort genoeg om de wettelijke meldtermijnen",
      "  van de organisatie te halen; voor een datalek is dat ten hoogste 24 uur na ontdekking, zodat de melding",
      "  aan de Autoriteit Persoonsgegevens binnen 72 uur kan. [5.20.05]",
      "- Het contract legt vast wat de leverancier bij een melding aanlevert: wat er is gebeurd, welke gegevens en",
      "  welke gebruikers geraakt zijn, welke maatregelen hij neemt en wanneer hij de melding aanvult. [5.20.05]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "essentieel",
        "belangrijk"
       ]
      }
     ],
     "regels": [
      "- Voor diensten die onder de Cyberbeveiligingswet vallen, is de meldtermijn van de leverancier ten hoogste",
      "  [[meldtermijn leverancier: bijvoorbeeld 12 uur, zodat de vroege waarschuwing binnen 24 uur kan]]",
      "  na ontdekking. Het contract regelt ook dat de leverancier meewerkt aan de vervolgmeldingen binnen 72 uur en",
      "  aan het eindrapport binnen een maand. [5.20.05]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 7. Afhankelijkheid en exit",
      "",
      "- Vóór het contract beoordeelt de proceseigenaar of de afhankelijkheid van de leverancier beheersbaar is: zijn",
      "  er alternatieven, hoe lang duurt een overstap en kan de organisatie haar gegevens in een bruikbaar formaat",
      "  terugkrijgen. De uitkomst staat in het inkoopdossier. [5.20.06]",
      "- Elk contract voor een dienst die een kritiek proces ondersteunt of informatie met het label vertrouwelijk",
      "  of hoger verwerkt, bevat een uitgewerkte exitregeling: het teruggeven van gegevens in een open of",
      "  gedocumenteerd formaat, de medewerking bij overdracht aan een opvolger, de termijn waarin de leverancier",
      "  gegevens verwijdert en het bewijs daarvan. De inkoopadviseur controleert vóór ondertekening dat de regeling",
      "  erin staat. [5.20.06]",
      "- Bij software die de organisatie in eigen beheer draait en die niet makkelijk te vervangen is, regelt het",
      "  contract een escrow of een gelijkwaardige continuïteitsregeling. [5.20.06]",
      "",
      "## 8. Keten van toeleveranciers",
      "",
      "- Vóór het contract geeft de leverancier een overzicht van de toeleveranciers die bij de dienst betrokken",
      "  zijn, met hun rol, de locatie van de verwerking en de risico's die hij daarin ziet. De inkoopadviseur",
      "  neemt het overzicht op in het inkoopdossier. [5.21.02]",
      "- De CISO beoordeelt vóór ondertekening of de risico's in de keten aanvaardbaar zijn. De proceseigenaar",
      "  besluit en legt het besluit vast in het inkoopdossier. [5.21.02]",
      "- Het contract verbiedt de leverancier om zonder schriftelijke toestemming van de organisatie werk aan een",
      "  nieuwe toeleverancier over te dragen, en verplicht hem om de beveiligingseisen aan zijn toeleveranciers",
      "  door te geven. [5.21.02]",
      "",
      "## 9. Eisen per soort dienst",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "eigen-dc"
       ]
      }
     ],
     "regels": [
      "- Bij inkoop van hardware en software voor het eigen datacenter regelt het contract hoe de leverancier op",
      "  afstand toegang krijgt voor onderhoud (alleen na aanvraag, met persoonsgebonden accounts en logging) en",
      "  hoelang hij beveiligingsupdates levert. [5.20.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "hostingpartij"
       ]
      }
     ],
     "regels": [
      "- Bij een hostingpartij legt het contract de locatie van de datacenters vast, de fysieke beveiliging, de",
      "  scheiding tussen klanten, de uitwijkvoorziening en de back-updiensten die de organisatie afneemt. [5.20.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "saas"
       ]
      }
     ],
     "regels": [
      "- Bij SaaS en publieke cloud gelden aanvullend: inloggen via de eigen identiteitsvoorziening met",
      "  meerfactorauthenticatie, een jaarlijkse penetratietest door een externe partij met de reikwijdte van de",
      "  geleverde dienst, het delen van de bevindingen en de hersteltermijnen, afspraken over de locatie van de",
      "  gegevens, en de mogelijkheid om gegevens zelf te exporteren. [5.20.01, 5.20.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "soevereiniteit",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- Bij clouddiensten eist de uitvraag dat gegevens, back-ups en beheer binnen de Europese Economische Ruimte",
      "  blijven, en dat de leverancier niet onder een buitenlandse wet valt die hem kan dwingen gegevens af te",
      "  staan zonder tussenkomst van een Europese rechter. De leverancier geeft daarover een verklaring, en het",
      "  contract regelt wat er gebeurt als dat verandert. [5.20.01]",
      "- Waar de markt geen dienst levert die hieraan voldoet, legt de proceseigenaar de afwijking met het restrisico",
      "  vast, beoordeelt de CISO die en keurt",
      "  [[besluitvormer afwijking soevereiniteit: wie de afwijking goedkeurt]] de afwijking goed vóór",
      "  ondertekening. [5.20.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "eigen"
       ]
      }
     ],
     "regels": [
      "- Bij inkoop van beheertools en ondersteuning blijft het beheer bij eigen medewerkers. Het contract regelt",
      "  dat de leverancier geen standaardtoegang tot de omgeving heeft. [5.20.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- Bij inkoop van beheerdiensten regelt het contract ook: screening van het beheerpersoneel van de",
      "  leverancier, beheertoegang alleen via persoonsgebonden accounts met meerfactorauthenticatie, logging van",
      "  beheerhandelingen die de organisatie kan inzien, en rapportage over de afgesproken beveiligingsprocessen",
      "  (patchen, kwetsbaarheden, wijzigingen, back-up). [5.20.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 10. Inkoopdossier en overdracht",
      "",
      "- Elk inkoopdossier bevat vóór ondertekening: de risicoafweging, de eisen, de beoordeling van de voorwaarden,",
      "  het eerste bewijs van de leverancier, het overzicht en de beoordeling van de keten, de exitregeling en, waar",
      "  nodig, de verwerkersovereenkomst. Zonder die stukken geeft de CISO geen positief advies en tekent de",
      "  proceseigenaar niet. [5.19.01, 5.20.01]",
      "- Na ondertekening draagt de inkoopadviseur het inkoopdossier binnen een maand over aan",
      "  [[contracteigenaar: de functie die het contract na ondertekening beheert]], zodat het contract in het",
      "  register van leveranciers en contracten komt (beleid contractbeheer). [5.20.01]",
      "",
      "## 11. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| Proceseigenaar | Risicoafweging per inkoop, besluit over vervallen eisen en restrisico's, afhankelijkheid en exit, keten van toeleveranciers, verwerkersovereenkomst |",
      "| [[inkoopadviseur]] | Opnemen van de eisen in uitvraag en contract, van de hand wijzen van algemene voorwaarden, het inkoopdossier en de overdracht aan contractbeheer |",
      "| CISO | Eigenaar van dit beleid, de standaardset eisen en de lijst onaanvaardbare voorwaarden; advies per inkoop; beoordeling van voorwaarden, bewijs en keten; jaarlijkse toetsing van opzet en werking |",
      "| Privacy officer of FG | Advies over de verwerkersovereenkomst en de verwerking van persoonsgegevens |",
      "| [[contracteigenaar]] | Ontvangst van het inkoopdossier en opname in het register van leveranciers en contracten |",
      "",
      "## 12. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| INK-01 | Het inkoopdossier bevat vóór ondertekening de risicoafweging en de eisen, en de eisen staan in de uitvraag en het contract | CISO | Per inkoop boven de drempel | Advies van de CISO in het inkoopdossier | 5.19.01, 5.20.01 |",
      "| INK-02 | De algemene voorwaarden van de leverancier zijn van de hand gewezen, of de beoordeling van de voorwaarden en de ondertekening voor de geaccepteerde risico's zitten in het dossier | [[inkoopadviseur]] | Per inkoop | Contract en beoordeling in het inkoopdossier | 5.20.02 |",
      "| INK-03 | Het eerste bewijs van de leverancier is geleverd, dekt de dienst en het auditrecht staat in het contract; restrisico's staan in het risicoregister | CISO | Per inkoop boven de drempel | Rapport of certificaat, beoordeling van de reikwijdte, contract, risicoregister | 5.20.03, 5.20.04 |",
      "| INK-04 | De meldplicht van de leverancier met termijn en inhoud, de exitregeling en, waar nodig, de escrow staan in het contract | [[inkoopadviseur]] | Per inkoop boven de drempel | Contract met de betreffende artikelen | 5.20.05, 5.20.06 |",
      "| INK-05 | Het overzicht van toeleveranciers is geleverd en beoordeeld, en het verbod op overdracht zonder toestemming staat in het contract | CISO | Per inkoop boven de drempel | Overzicht, beoordeling en besluit in het inkoopdossier | 5.21.02 |",
      "| INK-06 | Steekproef van ten minste [[aantal steekproef inkoop: bijvoorbeeld vijf inkopen met een informatiecomponent]] op volledigheid van het inkoopdossier, toepassing van de drempel en overdracht aan contractbeheer binnen een maand | CISO | Jaarlijks | Verslag van de steekproef met de bevindingen | 5.19.01, 5.20.01, 5.20.02, 5.20.03, 5.20.04, 5.20.05, 5.20.06, 5.21.02 |",
      "| INK-07 | De standaardset eisen en de lijst onaanvaardbare voorwaarden zijn opnieuw vastgesteld | CISO | Jaarlijks | Vastgestelde versie met datum | 5.19.01, 5.20.02 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De",
      "afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 13. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid en het inkoopbeleid van de organisatie. Het",
      "loopt door in het beleid contractbeheer (register, jaarlijkse beoordeling, clouddiensten, beëindiging). Het",
      "raakt het beleid informatieclassificatie (niveau van de eisen), het beleid beveiligingsincidenten (meldplicht",
      "van leveranciers), het beleid back-up en recovery (afspraken met leveranciers over back-up), het",
      "continuïteitsbeleid (exit en uitwijk), het beleid secure software development (eisen aan ontwikkeling door",
      "leveranciers) en het privacybeleid (verwerkersovereenkomst).",
      ""
     ]
    }
   ],
   "bestand": "07-leveranciers-inkoop.md"
  },
  {
   "domein": "leveranciers-contract",
   "titel": "Beleid informatiebeveiliging in contractbeheer",
   "samenvatting": "Regelt hoe de organisatie zicht houdt op leveranciers met een informatiecomponent zolang een contract loopt. Gaat over het register van leveranciers en contracten, de jaarlijkse beoordeling van de leverancier, de keten van toeleveranciers, clouddiensten en het beëindigen van een contract.",
   "invoeren": [
    "Zet een register van leveranciers en contracten op met de verplichte velden per contract (hoofdstuk 3).",
    "Spreek met inkoop een kwartaalvergelijking af tussen het register en de contractadministratie (hoofdstuk 3).",
    "Stel een format voor de leveranciersbeoordeling op met de vragen en het bewijs per vraag (hoofdstuk 4).",
    "Plan de jaarlijkse beoordeling per leverancier en leg de datum vast in het register (hoofdstuk 4).",
    "Neem de toeleveringsketen van elke kritieke dienst op in de risicoanalyse (hoofdstuk 5).",
    "Inventariseer alle clouddiensten, ook gratis en zelf afgenomen diensten, en zet ze in het register (hoofdstuk 6).",
    "Controleer of elk cloudcontract de gronden voor ontbinding noemt (hoofdstuk 6).",
    "Zet kritieke contracten zonder exitregeling in het risicoregister tot de eerstvolgende verlenging (hoofdstuk 7)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de looptijd van contracten met",
      "leveranciers die informatie voor de organisatie verwerken of toegang hebben tot haar systemen. Het regelt hoe",
      "de organisatie zicht houdt op haar leveranciers en hun toeleveranciers, hoe ze jaarlijks beoordeelt of de",
      "afspraken worden nagekomen, hoe ze clouddiensten inventariseert en beheert, en hoe ze een contract beëindigt.",
      "Het gaat over de ISO-beheersmaatregelen 5.21 (voor zover tijdens de looptijd), 5.22 en 5.23.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de contracteigenaren, de proceseigenaren die de risico's van",
      "een dienst dragen en de afdeling die het contractmanagement uitvoert. Het geldt voor iedereen die namens de",
      "organisatie een contract met een informatiecomponent beheert, een leverancier aanstuurt of een clouddienst",
      "afneemt, ook een afdeling die zelf een dienst heeft aangeschaft.",
      "",
      "**Waarop.** Alle lopende contracten met een informatiecomponent: software, clouddiensten, hosting,",
      "beheerdiensten, koppelingen, hardware met onderhoud op afstand en adviesdiensten met toegang tot informatie,",
      "inclusief gratis diensten en diensten die buiten de inkoopfunctie om zijn afgenomen. Is het contractmanagement",
      "zelf uitbesteed, bijvoorbeeld aan een samenwerkingsverband of een regiepartij, dan gelden de eisen uit dit",
      "beleid als minimumeis voor die partij. De organisatie legt dat vast in het contract en toetst de naleving met",
      "een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het",
      "vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via dit beleid.",
      "",
      "Buiten dit beleid vallen de eisen vóór het contract (uitvraag, voorwaarden, eerste bewijs, exitregeling), die",
      "staan in het beleid informatiebeveiliging bij inkoop, de inhoud van de verwerkersovereenkomst (privacybeleid)",
      "en de afhandeling van incidenten die een leverancier meldt (beleid beveiligingsincidenten).",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "samenwerking",
       "niet": false,
       "antwoorden": [
        "centrum"
       ]
      }
     ],
     "regels": [
      "De organisatie sluit contracten ook namens de deelnemers. Het register en de jaarlijkse beoordeling vermelden",
      "per contract voor welke deelnemers het geldt, en de deelnemers krijgen de uitkomst van de beoordeling."
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Elk contract met een informatiecomponent heeft een contracteigenaar en een proceseigenaar. De",
      "   proceseigenaar is verantwoordelijk voor de beveiligingsrisico's van de dienst.",
      "2. De beoordeling van een leverancier steunt op bewijs: rapporten van onafhankelijke derden, rapportages uit",
      "   het contract en eigen onderzoek. Een gesprek alleen is geen bewijs.",
      "3. De risico's in de keten van toeleveranciers horen bij de risico's van de organisatie zelf.",
      "4. De zwaarte van de beoordeling volgt uit het impactniveau en het vertrouwelijkheidslabel van de informatie",
      "   die de leverancier verwerkt (beleid informatieclassificatie).",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Register van leveranciers en contracten",
      "",
      "- [[contracteigenaar: de functie die het contract beheert]] houdt per contract het register van leveranciers",
      "  en contracten met een informatiecomponent bij. Per contract staat erin: de dienst, de contracteigenaar, de",
      "  proceseigenaar, het impactniveau en het vertrouwelijkheidslabel van de informatie, of er een",
      "  verwerkersovereenkomst is, de belangrijkste toeleveranciers, de datum van de laatste beoordeling en de",
      "  einddatum. [5.22.02]",
      "- De contracteigenaar zet een nieuw contract binnen een maand na ondertekening in het register, op basis van",
      "  het inkoopdossier dat de inkoopadviseur overdraagt. Een beëindigd contract blijft erin staan tot de exit is",
      "  afgerond en de leverancier de verwijdering van gegevens schriftelijk heeft bevestigd. [5.22.02]",
      "- Het register staat in [[register leveranciers: de plaats of het systeem waar het register wordt bijgehouden]].",
      "  [[lijneigenaar leveranciersmanagement: de manager die het contractmanagement uitvoert]] is eigenaar van het",
      "  register en stelt elk kwartaal vast dat het register overeenkomt met de contractadministratie van inkoop.",
      "  [5.22.02]",
      "",
      "## 4. Jaarlijkse beoordeling van de leverancier",
      "",
      "- De proceseigenaar beoordeelt elk jaar of de leverancier aan de afgesproken beveiligingseisen voldoet. Hij",
      "  gebruikt daarvoor het bewijs dat de leverancier volgens het contract aanlevert (beleid informatiebeveiliging",
      "  bij inkoop), de rapportages uit de looptijd en de gemelde incidenten en kwetsbaarheden. De beoordeling staat",
      "  met datum in het register. [5.22.01]",
      "- De beoordeling stelt de beveiligingsrisico's vast, bijvoorbeeld een voorbehoud in het rapport, een verlopen",
      "  certificaat, een reikwijdte die de dienst niet meer dekt of een incident dat niet op tijd is gemeld. De",
      "  proceseigenaar laat maatregelen nemen, door de leverancier of door de organisatie zelf, of accepteert een",
      "  restrisico en zet dat in het risicoregister. [5.22.01]",
      "- De CISO adviseert over de beoordeling. Bij een contract voor een kritiek proces of met informatie met het",
      "  label vertrouwelijk of hoger is dat advies verplicht en staat het in het register. [5.22.01]",
      "- De beoordeling volgt een vast format:",
      "  [[format leveranciersbeoordeling: het sjabloon met de vragen en het bewijs per vraag]].",
      "  De lijneigenaar leveranciersmanagement plant de beoordelingen en bewaakt dat ze op tijd zijn. [5.22.01]",
      "- Levert de leverancier het jaarlijkse bewijs niet binnen de termijn uit het contract, dan maant de",
      "  contracteigenaar hem schriftelijk aan en meldt dat aan de proceseigenaar en de CISO. Ontbreekt het bewijs",
      "  drie maanden na de termijn, dan behandelt de proceseigenaar dat als risico in het risicoregister. [5.22.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- Bij beheer- en hostingpartijen bespreekt de regieorganisatie de beveiligingsrapportage ten minste elk",
      "  kwartaal in het reguliere leveranciersoverleg: incidenten, kwetsbaarheden, patchstand, wijzigingen en",
      "  back-uptests. De verslagen zijn bewijs bij de jaarlijkse beoordeling. [5.22.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "eigen"
       ]
      }
     ],
     "regels": [
      "- Bij eigen beheer zijn de meeste contracten licentie- en ondersteuningscontracten. Daarvoor volstaat een",
      "  lichtere jaarlijkse beoordeling door de proceseigenaar: geldigheid van het bewijs, ondersteuningstermijn",
      "  van de software en de meldingen van de leverancier over kwetsbaarheden. [5.22.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Keten van toeleveranciers",
      "",
      "- Het contract verplicht de leverancier om de beveiligingseisen ook op zijn toeleveranciers toe te passen.",
      "  Laat hij een eis voor een toeleverancier vallen omdat die eis voor diens rol niet van toepassing is, dan",
      "  meldt hij dat met een onderbouwing. De proceseigenaar beoordeelt die onderbouwing bij de jaarlijkse",
      "  beoordeling en legt het oordeel vast. [5.21.03]",
      "- Het contract verplicht de leverancier om tijdens de looptijd elke wijziging in de keten van toeleveranciers",
      "  die de dienst raakt te melden bij de contracteigenaar, met de risico's die hij erin ziet. Ook kwetsbaarheden",
      "  en incidenten bij een toeleverancier die de dienst kunnen raken, meldt hij. [5.21.04]",
      "- Bij een melding over de keten beoordeelt de CISO binnen",
      "  [[beoordelingstermijn ketenwijziging: bijvoorbeeld tien werkdagen]]",
      "  of de risico's aanvaardbaar zijn. De proceseigenaar besluit, en de contracteigenaar legt het besluit vast in",
      "  het register. [5.21.04]",
      "- De CISO neemt de toeleveringsketen mee in de jaarlijkse risicoanalyse van de organisatie. Per directe",
      "  leverancier van een kritieke dienst gaat het over de bekende kwetsbaarheden van de leverancier en zijn",
      "  producten, de kwaliteit van zijn producten en de beveiligingspraktijk van zijn eigen leveranciers, inclusief",
      "  hun manier van veilig ontwikkelen. De uitkomst staat in het risicoregister. [5.21.05]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "digid",
        "suwinet",
        "brp",
        "anders"
       ]
      }
     ],
     "regels": [
      "- Bij leveranciers van diensten voor een landelijke voorziening (zoals DigiD, Suwinet of de BRP) regelt het",
      "  contract dat de leverancier meewerkt aan de audits van dat stelsel en de rapporten op tijd levert. De",
      "  proceseigenaar toetst bij de jaarlijkse beoordeling ook of de leverancier aan de eisen van het stelsel",
      "  voldoet. [5.22.01]",
      "- De contracteigenaar houdt de keten van toeleveranciers voor die diensten apart bij in het register, omdat",
      "  het stelsel eigen voorwaarden stelt aan locatie en uitbesteding. [5.22.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 6. Clouddiensten",
      "",
      "- De organisatie past een vaste werkwijze toe voor clouddiensten. Die beschrijft hoe de organisatie",
      "  clouddiensten inventariseert, classificeert op de informatie die ze verwerken, selecteert, beoordeelt en",
      "  beheert, en hoe ze de dienst beëindigt. Dit hoofdstuk en het beleid informatiebeveiliging bij inkoop zijn",
      "  samen die werkwijze; de CISO is er eigenaar van en herziet haar ten minste eens per drie jaar. [5.23.01]",
      "- Inventariseren: de contracteigenaar zet elke clouddienst in het register, ook gratis diensten en diensten",
      "  die een afdeling zelf afneemt. Wie een clouddienst gebruikt die niet in het register staat, meldt dat bij de",
      "  CISO; de CISO laat de dienst binnen een maand opnemen of beëindigen. [5.23.01]",
      "- Selecteren en beoordelen: welke informatie in welke soort clouddienst mag, volgt uit het beleid",
      "  informatieclassificatie. De proceseigenaar neemt clouddiensten mee in de jaarlijkse beoordeling. [5.23.01]",
      "- Beëindigen: elk cloudcontract noemt de situaties waarin de organisatie het contract kan ontbinden,",
      "  bijvoorbeeld een ernstig of herhaald beveiligingsincident, verplaatsing van gegevens naar een land buiten de",
      "  afspraken, overname van de leverancier of het niet leveren van het bewijs. De contracteigenaar controleert",
      "  dat bij opname in het register. [5.23.01]",
      "- Bij een belangrijke wijziging bij de leverancier, zoals een overname, een nieuwe verwerkingslocatie of een",
      "  ingrijpende wijziging van de dienst, beoordeelt de proceseigenaar met de CISO binnen een maand de risico's",
      "  en neemt passende maatregelen, tot en met het uitvoeren van de exitregeling. Het besluit staat in het",
      "  register. [5.23.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "soevereiniteit",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- De contracteigenaar controleert bij de jaarlijkse beoordeling dat de verklaring van de leverancier over de",
      "  locatie van gegevens, back-ups en beheer binnen de Europese Economische Ruimte nog klopt, en meldt elke",
      "  wijziging aan de proceseigenaar en de CISO. [5.23.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 7. Beëindigen van een contract",
      "",
      "- Bij het einde van een contract voert de contracteigenaar de exitregeling uit: gegevens terug in het",
      "  afgesproken formaat, overdracht aan de opvolger, intrekken van alle toegang van de leverancier op de",
      "  einddatum en een schriftelijke bevestiging van de verwijdering van gegevens. De contracteigenaar legt de",
      "  afronding vast in het register. [5.22.01, 5.23.01]",
      "- Ontbreekt een exitregeling in een lopend contract voor een kritiek proces of voor informatie met het label",
      "  vertrouwelijk of hoger, dan spreekt de contracteigenaar die alsnog af bij de eerstvolgende verlenging, en",
      "  staat het ontbreken tot die tijd in het risicoregister. [5.22.01]",
      "",
      "## 8. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| Proceseigenaar | Jaarlijkse beoordeling, besluit over restrisico's en wijzigingen in de keten, besluit bij wijzigingen van clouddiensten |",
      "| [[contracteigenaar]] | Register, ontvangst en bewaking van bewijs en rapportages van de leverancier, meldingen over de keten, uitvoering van de exit |",
      "| [[lijneigenaar leveranciersmanagement]] | Eigenaar van dit beleid en van het register; werkwijze, format en planning van de beoordelingen; kwartaalcontrole van het register |",
      "| CISO | Advies bij beoordelingen en ketenwijzigingen, risicoanalyse van de keten, eigenaar en herziening van de werkwijze voor clouddiensten, jaarlijkse toetsing van opzet en werking |",
      "| Privacy officer of FG | Toezicht op verwerkersovereenkomsten en meldingen van datalekken door leveranciers |",
      "| Medewerkers | Melden van clouddiensten die niet in het register staan |",
      "",
      "## 9. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| LEV-01 | Nieuwe en beëindigde contracten staan in het register, met alle verplichte velden, en het register komt overeen met de contractadministratie van inkoop | [[lijneigenaar leveranciersmanagement]] | Elk kwartaal | Vergelijking van het register met de contractadministratie, met de afhandeling van de verschillen | 5.22.02 |",
      "| LEV-02 | Elke leverancier in het register heeft een beoordeling van ten hoogste een jaar oud, met het verplichte advies van de CISO waar dat geldt, en het jaarlijkse bewijs is ontvangen | [[lijneigenaar leveranciersmanagement]] | Jaarlijks | Overzicht uit het register met de leveranciers waarvoor de beoordeling of het bewijs ontbreekt of te laat is, met de afhandeling | 5.22.01 |",
      "| LEV-03 | Steekproef op de kwaliteit van ten minste [[aantal steekproef beoordelingen: bijvoorbeeld drie beoordelingen van kritieke diensten]]: gebruikt bewijs, vastgestelde risico's, opvolging, oordeel over de onderbouwing van de leverancier over zijn toeleveranciers | CISO | Jaarlijks | Verslag van de steekproef met de bevindingen | 5.21.03, 5.22.01 |",
      "| LEV-04 | Meldingen over wijzigingen, kwetsbaarheden en incidenten in de keten zijn binnen de beoordelingstermijn beoordeeld en het besluit staat in het register | CISO | Jaarlijks | Overzicht van de ketenmeldingen van het jaar met datum van melding, beoordeling en besluit | 5.21.04 |",
      "| LEV-05 | De risicoanalyse van de organisatie bevat de toeleveringsketen van elke kritieke dienst en is in het afgelopen jaar bijgewerkt | CISO | Jaarlijks | Risicoanalyse met datum en de opgenomen leveranciers | 5.21.05 |",
      "| LEV-06 | Alle clouddiensten in gebruik staan in het register, elk cloudcontract bevat de ontbindingsgronden, en wijzigingen bij cloudleveranciers zijn binnen een maand beoordeeld | [[lijneigenaar leveranciersmanagement]] | Jaarlijks | Vergelijking van het register met een inventarisatie van clouddiensten in gebruik (bijvoorbeeld uit de identiteitsvoorziening of de netwerklogging), contracten, besluiten | 5.23.01 |",
      "| LEV-07 | De werkwijze voor clouddiensten is in de afgelopen drie jaar herzien en vastgesteld | CISO | Eens per drie jaar | Vastgestelde versie met datum | 5.23.01 |",
      "| LEV-08 | Beëindigde contracten hebben een afgeronde exit: gegevens terug, toegang ingetrokken op de einddatum, bevestiging van verwijdering ontvangen | [[lijneigenaar leveranciersmanagement]] | Jaarlijks | Overzicht van de beëindigde contracten van het jaar met de exitstukken per contract | 5.22.01, 5.23.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De",
      "afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 10. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid en volgt op het beleid informatiebeveiliging",
      "bij inkoop (eisen, eerste bewijs, exitregeling). Het raakt het beleid informatieclassificatie (welke informatie",
      "waar mag en hoe zwaar de beoordeling is), het beleid beveiligingsincidenten (meldingen van leveranciers), het",
      "beleid kwetsbaarheden en patchmanagement (meldingen over kwetsbaarheden in de keten), het continuïteitsbeleid",
      "(exit en afhankelijkheid), het beleid logische toegang (intrekken van toegang bij het einde van een contract)",
      "en het privacybeleid (verwerkersovereenkomsten).",
      ""
     ]
    }
   ],
   "bestand": "08-leveranciers-contract.md"
  },
  {
   "domein": "incidenten",
   "titel": "Beleid beveiligingsincidenten",
   "samenvatting": "Over het melden, beoordelen, afhandelen en leren van beveiligingsincidenten en datalekken. Behandelt het meldloket, de classificatie, detectie en escalatie, de afhandeling, meldingen aan externe partijen, coordinated vulnerability disclosure, het veiligstellen van bewijs en de evaluatie achteraf.",
   "invoeren": [
    "Richt één meldloket in met een bereikbaarheidsregeling en registratie van elke melding (hoofdstuk 3).",
    "Stel een incidentprocedure op met rollen, vervangers en termijnen (hoofdstuk 3).",
    "Leg in de incidentprocedure de categorieën en ernstniveaus vast, met per niveau wie wordt geïnformeerd (hoofdstuk 4).",
    "Laat nieuwe medewerkers en externen de meldprocedure bevestigen en registreer die bevestiging (hoofdstuk 3).",
    "Leg in de incidentprocedure vast wanneer een incident naar crisisbeheersing gaat (hoofdstuk 6).",
    "Start een maandrapport incidenten voor de eindverantwoordelijke bedrijfsvoering (hoofdstuk 6).",
    "Leg de externe meldingen vast in de incidentprocedure, met termijn en eigenaar per melding (hoofdstuk 7).",
    "Richt een vast adres in voor meldingen van het CSIRT en de sectorale CERT (hoofdstuk 7).",
    "Publiceer een CVD-procedure op de website met een meldadres en een security.txt-bestand (hoofdstuk 8)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het melden, beoordelen, afhandelen en",
      "leren van informatiebeveiligingsincidenten. Het doel is dat een incident snel bij de juiste mensen ligt, dat",
      "de schade beperkt blijft, dat wettelijke meldingen op tijd gebeuren en dat hetzelfde incident niet opnieuw",
      "voorkomt. Het gaat over de ISO-beheersmaatregelen 5.24 tot en met 5.28 en 6.8.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor het meldloket, de CISO, de privacy officer en de",
      "proceseigenaren die incidenten in hun proces afhandelen. De meldplicht geldt voor iedereen die voor de",
      "organisatie werkt: medewerkers, inhuur, stagiairs, vrijwilligers en leveranciers die met informatie of",
      "systemen van de organisatie werken.",
      "",
      "**Waarop.** Alle gebeurtenissen die de beschikbaarheid, integriteit of vertrouwelijkheid van informatie of",
      "systemen van de organisatie raken of kunnen raken, ongeacht of de informatie op eigen systemen, bij een",
      "leverancier of op papier staat. Een datalek onder de AVG is ook een informatiebeveiligingsincident; de melding",
      "aan de Autoriteit Persoonsgegevens en aan betrokkenen loopt via dezelfde procedure, met de privacy officer en",
      "de FG als vaste deelnemers. Is de detectie, de eerste beoordeling of de incidentrespons uitbesteed,",
      "bijvoorbeeld aan een SOC- of MDR-dienstverlener, dan gelden de eisen uit dit beleid als minimumeis voor die",
      "partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring,",
      "zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid",
      "informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen het verzamelen en bewaren van logbestanden (beleid logging en monitoring), het",
      "oplossen van technische kwetsbaarheden die geen incident zijn (beleid kwetsbaarheden en patchmanagement), de",
      "crisisorganisatie zelf en het herstel van kritieke processen (continuïteitsbeleid) en fysieke incidenten voor",
      "zover ze geen informatie raken (beleid fysieke toegang en beveiliging).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Elke medewerker meldt een vermoed incident direct. Twijfel is geen reden om te wachten; een melding die",
      "   achteraf geen incident blijkt, kost weinig.",
      "2. Er is één meldloket en één incidentprocedure voor beveiligingsincidenten en datalekken.",
      "3. De proceseigenaar is eigenaar van het incident in zijn proces; de CISO coördineert en adviseert.",
      "4. Wettelijke meldtermijnen gaan vóór interne afstemming. Een melding die later moet worden aangevuld, is",
      "   beter dan een te late melding.",
      "5. De ernst van een incident volgt het impactniveau van de geraakte informatie en processen (beleid",
      "   informatieclassificatie): verwaarloosbaar, gering, gemiddeld, ernstig, catastrofaal.",
      "6. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Meldloket en meldprocedure",
      "",
      "- Medewerkers en externen melden een vermoed incident direct bij",
      "  [[meldloket incidenten: het loket, bijvoorbeeld de servicedesk, met telefoonnummer en mailadres]].",
      "  Het loket is tijdens kantoortijd bereikbaar en heeft daarbuiten een bereikbaarheidsregeling. Het loket",
      "  registreert elke melding met een registratienummer, datum en tijd. [5.24.01]",
      "- De CISO is eigenaar van de incidentprocedure. Die beschrijft wat het loket doet: registreren, eerste",
      "  beoordeling, doorzetten naar de CISO of de privacy officer, en terugkoppelen aan de melder. De procedure",
      "  noemt per stap de rol en de termijn, en de CISO stelt haar jaarlijks opnieuw vast. Een intern gemeld incident",
      "  ligt binnen 24 uur bij de CISO. [5.24.02]",
      "- De CISO zorgt dat de rollen in de incidentprocedure zijn belegd en dat elke rol een vervanger heeft, ook",
      "  buiten kantoortijd. De bezetting staat in de procedure. [5.24.01]",
      "- Iedere nieuwe medewerker en iedere externe met een account krijgt de meldprocedure bij indiensttreding",
      "  en bevestigt dat hij die kent. De CISO laat de procedure jaarlijks terugkomen in de bewustwordingscampagne.",
      "  [[lijneigenaar personeel: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd HR]] registreert de",
      "  bevestiging. [6.08.01]",
      "- Wie een incident meldt, meldt alleen wat hij zelf heeft waargenomen en onderneemt geen eigen onderzoek of",
      "  herstelactie, tenzij het loket of de CISO daarom vraagt. [6.08.01]",
      "",
      "## 4. Beoordelen en classificeren",
      "",
      "- De CISO, of bij afwezigheid de vervanger, beoordeelt elke melding binnen één werkdag: is dit een incident,",
      "  welke categorie en welke ernst. De CISO legt het besluit met de onderbouwing vast bij de melding; een",
      "  melding die geen incident is, krijgt dat oordeel ook. [5.25.02]",
      "- De indeling in categorieën en ernstniveaus staat in de incidentprocedure en volgt de impactniveaus van het",
      "  beleid informatieclassificatie. Per ernstniveau staat erbij wie wordt geïnformeerd, binnen welke termijn",
      "  en of het incident naar crisisbeheersing gaat. [5.25.02]",
      "- Bij elk incident beoordeelt de privacy officer binnen één werkdag of er persoonsgegevens zijn geraakt. Zo",
      "  ja, dan volgt de beoordeling of het een meldplichtig datalek is, vastgelegd in het incidentdossier.",
      "  [5.25.02]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "geen"
       ]
      }
     ],
     "regels": [
      "- Er is geen eigen security officer. De beoordeling ligt bij",
      "  [[incidentcoördinator: de functionaris die informatiebeveiliging als neventaak heeft]], die voor de",
      "  technische analyse een externe partij inschakelt waarmee vooraf een raamafspraak is gemaakt, met een",
      "  afgesproken reactietijd. [5.24.01, 5.25.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "parttime"
       ]
      }
     ],
     "regels": [
      "- De CISO coördineert de afhandeling. Voor forensisch onderzoek en voor incidenten buiten kantoortijd is een",
      "  externe incidentrespons-partij gecontracteerd, met een afgesproken reactietijd. [5.24.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "team"
       ]
      }
     ],
     "regels": [
      "- Het securityteam heeft een bereikbaarheidsdienst buiten kantoortijd en een vaste incidentrespons-rol",
      "  per dienst. Voor forensisch onderzoek dat het team niet zelf kan doen, is een externe partij",
      "  gecontracteerd. [5.24.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Detectie en escalatie",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "detectie",
       "niet": false,
       "antwoorden": [
        "eigen-soc"
       ]
      }
     ],
     "regels": [
      "- Het eigen SOC beoordeelt meldingen uit de detectievoorzieningen binnen de termijn per ernstniveau uit de",
      "  incidentprocedure en werkt met vastgelegde draaiboeken. Het SOC mag zelf een systeem of account isoleren",
      "  als het draaiboek dat toelaat, en meldt dat direct aan de CISO. [5.24.03, 5.25.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "detectie",
       "niet": false,
       "antwoorden": [
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- De SOC- of MDR-dienstverlener escaleert volgens het contract: per ernstniveau de termijn, het kanaal en",
      "  de contactpersoon bij de organisatie, ook buiten kantoortijd. Het contract regelt welke ingrepen de",
      "  dienstverlener zelf mag doen (zoals een apparaat isoleren) en welke toestemming vragen. [5.24.03, 5.25.02]",
      "- De CISO toetst de escalatieketen elk jaar met een test-alarm en legt de uitkomst vast. [5.24.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "detectie",
       "niet": false,
       "antwoorden": [
        "geen"
       ]
      }
     ],
     "regels": [
      "- Er is geen structurele detectie. Incidenten komen binnen via medewerkers, leveranciers, waarschuwingen",
      "  van de sectorale CERT en meldingen van buiten. De CISO zet het ontbreken van detectie als risico in het",
      "  risicoregister, met een besluit van de directie over de aanpak. [5.24.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 6. Afhandelen",
      "",
      "- De proceseigenaar handelt elk incident in zijn proces af via het incidentbeheerproces en wijst daarvoor",
      "  direct na de beoordeling een behandelaar aan. De behandelaar beperkt eerst de schade, stelt daarna de",
      "  oorzaak vast en herstelt, en legt elke stap vast in het incidentdossier. [5.24.03, 5.26.02]",
      "- De incidentprocedure verwijst naar de procedure voor crisisbeheersing en zegt wanneer een incident",
      "  overgaat naar crisisbeheersing: bij langdurige uitval van kritieke processen, bij een groot datalek of",
      "  bij een aanval met losgeld. De CISO besluit over de overgang en meldt dat aan",
      "  [[eindverantwoordelijke bedrijfsvoering: de functie, bijvoorbeeld de secretaris of directeur]]. [5.24.05]",
      "- De CISO beoordeelt bij elk incident met ernst kritiek of hoger of de organisatie andere partijen moet",
      "  waarschuwen die hetzelfde risico lopen, zoals samenwerkingspartners of leveranciers. [5.26.02]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "geen"
       ]
      }
     ],
     "regels": [
      "- De organisatie heeft geen vaste crisisorganisatie. Bij een incident dat de grens voor crisis haalt, roept",
      "  de CISO de eindverantwoordelijke bedrijfsvoering op, die een ad-hoc crisisteam samenstelt. Het opzetten van",
      "  een crisisprocedure staat als actie in het jaarplan informatiebeveiliging. [5.24.05]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "crisisteam",
        "bcm"
       ]
      }
     ],
     "regels": [
      "- Het crisisteam neemt het incident over volgens de crisisprocedure; de CISO schuift aan als adviseur.",
      "  [5.24.05]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "bcm"
       ]
      }
     ],
     "regels": [
      "- Bij uitval van een kritiek proces start de proceseigenaar het continuïteitsplan van dat proces. De",
      "  hersteltijden uit de BIA bepalen de volgorde van herstel. [5.24.05]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "- De proceseigenaar rapporteert maandelijks de stand van de incidenten in zijn proces: wat is open, wat is",
      "  opgelost, welke maatregelen lopen nog. De CISO bundelt dit tot een maandrapport voor de",
      "  eindverantwoordelijke bedrijfsvoering. [5.24.04]",
      "",
      "## 7. Melden aan externe partijen",
      "",
      "- De incidentprocedure regelt de meldingen buiten de organisatie, elk met eigen termijn en eigenaar:",
      "  het CSIRT en de toezichthouder volgens de Cyberbeveiligingswet waar die van toepassing is, de Autoriteit",
      "  Persoonsgegevens bij een meldplichtig datalek (binnen 72 uur na ontdekking), de politie bij een strafbaar",
      "  feit, en betrokkenen als het incident hun rechten of belangen raakt. De CISO registreert elke externe",
      "  melding met datum en tijd in het incidentdossier. [5.24.07, 5.26.02, 5.27.01]",
      "- Meldingen en waarschuwingen die het CSIRT of de sectorale CERT aan de organisatie stuurt, komen binnen",
      "  op een vast adres. De CISO beoordeelt ze binnen één werkdag en neemt ze op in de risicobehandeling,",
      "  bijvoorbeeld als kwetsbaarheid die moet worden verholpen. [5.24.07]",
      "- Betrokkenen worden binnen de wettelijke termijn geïnformeerd. De privacy officer stelt de tekst op, de",
      "  proceseigenaar beslist over verzending en de beslissing staat in het incidentdossier. [5.24.07]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "essentieel",
        "belangrijk"
       ]
      }
     ],
     "regels": [
      "- De organisatie valt onder de Cyberbeveiligingswet. Een significant incident meldt de CISO aan het",
      "  aangewezen CSIRT en de toezichthouder in drie stappen: een vroegtijdige waarschuwing binnen 24 uur na",
      "  kennisname, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. De incidentprocedure",
      "  legt vast wat significant is en wie de melding mag doen als de CISO afwezig is. [5.24.07, 5.26.02]",
      "- Waar een significant incident de dienstverlening aan afnemers kan raken, informeert de proceseigenaar die",
      "  afnemers zonder onnodige vertraging, met de maatregelen die zij zelf kunnen nemen. [5.24.07]",
      "- De CISO informeert de bestuurders bij elk significant incident direct; zij zijn persoonlijk",
      "  verantwoordelijk voor het toezicht op het risicobeheer onder de wet. [5.24.07]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "essentieel"
       ]
      }
     ],
     "regels": [
      "- Als essentiële entiteit staat de organisatie onder proactief toezicht. De CISO houdt het incidentregister",
      "  en de meldingen zo bij dat ze op verzoek van de toezichthouder direct beschikbaar zijn. [5.24.07]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "niet"
       ]
      }
     ],
     "regels": [
      "- De organisatie is niet aangewezen onder de Cyberbeveiligingswet. De CISO meldt ernstige incidenten",
      "  vrijwillig aan de sectorale CERT, zodat andere overheden gewaarschuwd kunnen worden. [5.24.07]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 8. Coordinated vulnerability disclosure",
      "",
      "- De CISO is eigenaar van de CVD-procedure volgens de leidraad van het NCSC, gepubliceerd op de website met",
      "  een meldadres en een security.txt-bestand. De procedure noemt de reactietermijn, de afspraken over openbaar",
      "  maken en de voorwaarden waaronder de organisatie geen aangifte doet. De CISO controleert jaarlijks dat de",
      "  publicatie en het security.txt-bestand actueel zijn. [5.24.08]",
      "- Het meldloket registreert een CVD-melding als beveiligingsmelding, en de CISO bevestigt de ontvangst aan",
      "  de melder binnen de reactietermijn uit de procedure. De meldingen en hun afhandeling zijn onderdeel van het",
      "  maandrapport incidenten. [5.24.08]",
      "",
      "## 9. Bewijs verzamelen en bewaren",
      "",
      "- Bij een vermoed incident stelt de behandelaar eerst bewijs veilig en herstelt daarna pas, tenzij de schade",
      "  dat niet toelaat. Wie bewijs verzamelt, legt vast wat, wanneer, door wie en waar het is opgeslagen, zodat de",
      "  keten van bewaring aantoonbaar is. [5.28.01]",
      "- Bij een mogelijk strafbaar feit of een mogelijke juridische procedure laat de CISO het veiligstellen doen",
      "  door een forensisch onderzoeker, en legt dat besluit vast in het incidentdossier. [5.28.01]",
      "- Het incidentdossier bevat de melding, de beoordeling, de analyse, de gebruikte logging, de genomen",
      "  maatregelen, de externe meldingen en het advies. De CISO bewaart het dossier ten minste drie jaar na",
      "  afsluiting, ook als het vermoeden ongegrond bleek. [5.28.01]",
      "",
      "## 10. Leren van incidenten",
      "",
      "- Na elk incident met ernst kritiek of hoger, en na elk meldplichtig datalek, organiseert de CISO binnen een",
      "  maand een evaluatie met de proceseigenaar: oorzaak, wat werkte, wat niet, en welke maatregelen nodig zijn.",
      "  Verbetermaatregelen krijgen een eigenaar en een datum en gaan naar het risicoregister. [5.27.01, 5.27.02]",
      "- De CISO analyseert elk kwartaal alle incidenten samen op patronen en herhalingen en neemt de uitkomst op",
      "  in de rapportage aan de directie, met een voorstel voor aanpassing van maatregelen of van dit beleid.",
      "  [5.27.02]",
      "- Lessen die voor andere overheden waardevol zijn, deelt de CISO geanonimiseerd met de sectorale CERT of",
      "  samenwerkingspartners, na toestemming van de proceseigenaar. [5.27.02]",
      "",
      "## 11. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[eindverantwoordelijke bedrijfsvoering]] | Ontvangst van het maandrapport, besluit over escalatie naar crisisbeheersing |",
      "| Proceseigenaar | Oplossen van incidenten in het eigen proces, aanwijzen van de behandelaar, maandelijkse rapportage, informeren van afnemers en betrokkenen, uitvoeren van verbetermaatregelen |",
      "| CISO | Eigenaar van dit beleid, de incidentprocedure en de CVD-procedure; beoordeling en classificatie, coördinatie, externe meldingen, bewijs, evaluaties en kwartaalanalyse; jaarlijkse toetsing van opzet en werking |",
      "| Privacy officer en FG | Beoordeling datalekken, melding aan de Autoriteit Persoonsgegevens, tekst voor betrokkenen (de FG adviseert en houdt toezicht) |",
      "| [[meldloket incidenten]] | Registratie, eerste beoordeling, doorzetten en terugkoppelen |",
      "| [[lijneigenaar personeel]] | Registratie van de bevestiging van de meldprocedure door medewerkers en externen |",
      "| Medewerkers en externen | Direct melden van een vermoed incident, geen eigen onderzoek, meewerken aan het onderzoek |",
      "",
      "## 12. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| SIM-01 | Het maandrapport incidenten, inclusief CVD-meldingen, is opgesteld en aan de eindverantwoordelijke bedrijfsvoering verzonden | CISO | Maandelijks | Het rapport en de verzendregistratie | 5.24.04, 5.24.08 |",
      "| SIM-02 | De kwartaalanalyse op patronen is uitgevoerd en in de rapportage aan de directie opgenomen | CISO | Elk kwartaal | De rapportage aan de directie | 5.27.02 |",
      "| SIM-03 | Steekproef van tien incidenten: beoordeling binnen één werkdag met vastgelegd besluit, volledigheid van het dossier, keten van bewaring van het bewijs, tijdigheid van de interne en externe meldingen, evaluatie en opvolging van de verbetermaatregelen | CISO | Jaarlijks | Verslag van de steekproef met de bevindingen per incident | 5.24.01, 5.24.02, 5.24.03, 5.24.07, 5.25.02, 5.26.02, 5.27.01, 5.28.01 |",
      "| SIM-04 | Alle medewerkers en externen met een account hebben de meldprocedure bevestigd | [[lijneigenaar personeel]] | Jaarlijks | Vergelijking van de registratie met de lijst van actieve accounts, met de afhandeling van de verschillen | 6.08.01 |",
      "| SIM-05 | Een oefening met een incidentscenario is uitgevoerd, inclusief de beoordeling van de ernst, de overgang naar crisisbeheersing en het opstellen van een externe melding binnen de wettelijke termijn, en de verbeterpunten zijn belegd | CISO | Jaarlijks | Oefenverslag met de verbeterpunten en hun eigenaar | 5.24.05, 5.24.07, 5.25.02 |",
      "| SIM-06 | De incidentprocedure en de CVD-procedure zijn opnieuw vastgesteld, de rollen en vervangers zijn belegd, en de publicatie van de CVD-procedure en het security.txt-bestand zijn actueel | CISO | Jaarlijks | Vastgestelde versies met datum, bezettingsoverzicht, schermafdruk van de publicatie | 5.24.01, 5.24.02, 5.24.08 |",
      "| SIM-07 | Meldingen van het CSIRT of de sectorale CERT zijn binnen één werkdag beoordeeld en opgenomen in de risicobehandeling | CISO | Elk kwartaal | Overzicht van de ontvangen meldingen met datum van ontvangst, beoordeling en opvolging | 5.24.07 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De",
      "afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 13. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. De ernstniveaus volgen het beleid",
      "informatieclassificatie. Het beleid raakt het beleid logging en monitoring (detectie en bewijs), het beleid",
      "kwetsbaarheden en patchmanagement (opvolging van CERT-waarschuwingen en CVD-meldingen), het",
      "continuïteitsbeleid (crisisbeheersing en herstel), het beleid fysieke toegang en beveiliging (fysieke",
      "incidenten), het privacybeleid (datalekken), het beleid screening, bewustzijn en opleiding (de meldprocedure",
      "in de bewustwording) en het beleid informatiebeveiliging bij inkoop en contractbeheer (meldplicht van",
      "leveranciers).",
      ""
     ]
    }
   ],
   "bestand": "09-incidenten.md"
  },
  {
   "domein": "bcm",
   "titel": "Beleid ICT-continuïteit en uitwijk",
   "samenvatting": "Regelt de continuïteit van informatie en ICT als systemen uitvallen. Gaat over het bepalen van kritieke processen en systemen met hun hersteleisen, uitwijk en redundantie, de beveiliging tijdens een verstoring en het opstellen en testen van continuïteitsplannen.",
   "invoeren": [
    "Laat proceseigenaren kritieke processen vastleggen met impactniveau, hersteltijd en toelaatbaar gegevensverlies (hoofdstuk 3).",
    "Stel een overzicht van kritieke systemen op met hersteleisen, afhankelijkheden en herstelvolgorde (hoofdstuk 3).",
    "Laat de directie de herstelvolgorde vaststellen (hoofdstuk 3).",
    "Richt per kritiek systeem een uitwijk- of redundantievoorziening in en leg de onderbouwing vast (hoofdstuk 4).",
    "Voer gedeelde voorzieningen dubbel uit of leg een noodroute vast, en test de omschakeling (hoofdstuk 4).",
    "Neem hersteleisen en uitwijk op in contracten met leveranciers van kritieke systemen (hoofdstuk 4).",
    "Stel per kritiek proces een continuïteitsplan op, met een deel over beveiliging tijdens verstoring (hoofdstuk 6).",
    "Test elk continuïteitsplan en leg bevindingen en verbeteringen vast in een testverslag (hoofdstuk 6)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de continuïteit van informatie en",
      "ICT. Het regelt welke processen en systemen kritiek zijn, welke hersteleisen daarbij horen, welke redundantie",
      "en uitwijk de organisatie inricht, hoe de beveiliging overeind blijft tijdens een verstoring en hoe de",
      "plannen worden getest. Het gaat over de ISO-beheersmaatregelen 5.29, 5.30 en 8.14.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de directie, de proceseigenaren, de systeemeigenaren en de",
      "afdeling die de ICT-voorzieningen voor continuïteit uitvoert. Het geldt voor iedereen die een rol heeft in",
      "een continuïteitsplan of een calamiteitenteam, ook inhuur en leveranciers.",
      "",
      "**Waarop.** Alle informatie, systemen, netwerken, koppelingen en gedeelde voorzieningen waarvan de kritieke",
      "processen van de organisatie afhangen, ongeacht of ze in eigen beheer zijn, bij een hostingpartij draaien of",
      "als clouddienst worden afgenomen. Is een systeem of voorziening uitbesteed, dan gelden de eisen uit dit",
      "beleid als minimumeis voor de leverancier. De organisatie legt dat vast in het contract en toetst de",
      "naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE",
      "3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het",
      "beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de bedrijfscontinuïteit van processen die niets met ICT te maken hebben, de",
      "crisisorganisatie zelf (crisisprocedure), het maken en terugzetten van back-ups (beleid back-up en recovery),",
      "de noodstroom en de fysieke bescherming van ruimten (beleid fysieke toegang en beveiliging) en de afhandeling",
      "van het incident dat de verstoring veroorzaakt (beleid beveiligingsincidenten). Dit beleid sluit daarop aan.",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "bcm"
       ]
      }
     ],
     "regels": [
      "De organisatie heeft een BCM-functie met een business impact analyse (BIA) en continuïteitsplannen. Dit",
      "beleid volgt de BIA: de hersteleisen voor systemen komen uit de hersteleisen voor processen."
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "geen",
        "crisisteam"
       ]
      }
     ],
     "regels": [
      "De organisatie heeft geen BCM-functie met een BIA. Dit beleid legt daarom zelf de minimale stappen vast om",
      "kritieke processen en systemen te bepalen. Komt er een BIA, dan vervangt die de stappen in hoofdstuk 3."
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 2. Uitgangspunten",
      "",
      "1. De lijn bepaalt welke processen kritiek zijn en in welke volgorde ze terugkomen. ICT vertaalt dat naar",
      "   systemen, hersteleisen en voorzieningen.",
      "2. De maximale hersteltijd en het toelaatbare gegevensverlies van een proces volgen uit zijn impactniveau",
      "   volgens het beleid informatieclassificatie (verwaarloosbaar, gering, gemiddeld, ernstig,",
      "   catastrofaal). Dat beleid zegt per niveau welke hersteltijd en welk gegevensverlies hoogstens toelaatbaar",
      "   zijn.",
      "3. Een continuïteitsplan dat niet getest is, telt niet als maatregel.",
      "4. Tijdens een verstoring gelden dezelfde beveiligingseisen als daarbuiten, tenzij een vooraf vastgestelde",
      "   noodprocedure iets anders zegt.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Kritieke processen en systemen",
      "",
      "- De proceseigenaren stellen vast welke processen niet mogen uitvallen, omdat inwoners of bedrijven er direct",
      "  last van hebben of omdat er een wettelijke termijn op zit. Per proces leggen ze vast: het impactniveau, de",
      "  maximale hersteltijd en het toelaatbare gegevensverlies die daaruit volgen, en het minimumniveau waarop de",
      "  dienstverlening tijdens de verstoring doorgaat. [5.30.02]",
      "- Op basis daarvan stelt elke proceseigenaar, met de systeemeigenaren, vast welke systemen kritiek zijn. Het",
      "  gebeurt binnen de inventaris van bedrijfsmiddelen, met de risicomanagementmethodiek van de organisatie, en",
      "  de afweging wordt vastgelegd. Een systeem is kritiek als een kritiek proces er binnen zijn maximale",
      "  hersteltijd niet zonder kan. [5.30.02]",
      "- [[eigenaar overzicht kritieke systemen: de functie die het overzicht van kritieke systemen bijhoudt, bijvoorbeeld de informatiemanager]]",
      "  houdt het overzicht van kritieke systemen bij. Het noemt per systeem de hersteltijd, het toelaatbare",
      "  gegevensverlies, de afhankelijkheden (netwerk, identiteitsvoorziening, koppelingen, leveranciers) en de",
      "  herstelvolgorde. De directie stelt de herstelvolgorde vast. [5.30.02]",
      "- De proceseigenaar actualiseert zijn deel van het overzicht ten minste eens per drie jaar, en eerder bij een",
      "  reorganisatie, een nieuwe aanbesteding, een uitbesteding of een migratie van een kritiek systeem. De datum",
      "  van de laatste actualisatie staat in het overzicht. [5.30.02]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "bcm"
       ]
      }
     ],
     "regels": [
      "- De kritieke processen en hun hersteleisen komen uit de BIA. De BCM-functie levert het overzicht aan en de",
      "  eigenaar van het overzicht kritieke systemen koppelt de systemen eraan. [5.30.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "geen",
        "crisisteam"
       ]
      }
     ],
     "regels": [
      "- Zolang er geen BIA is, organiseert de CISO elke drie jaar een sessie met de proceseigenaren om de kritieke",
      "  processen te bepalen, met een startomvang van ongeveer twintig processen. De directie stelt de uitkomst",
      "  vast. [5.30.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "essentieel",
        "belangrijk"
       ]
      }
     ],
     "regels": [
      "- De organisatie valt onder de Cyberbeveiligingswet. De diensten waarvoor zij is aangewezen staan als",
      "  kritieke processen op de lijst, en de bestuurder keurt de hersteleisen en de herstelvolgorde goed. [5.30.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ot",
       "niet": false,
       "antwoorden": [
        "beperkt",
        "substantieel"
       ]
      }
     ],
     "regels": [
      "- Operationele technologie staat in hetzelfde overzicht. Per installatie staat erbij of hij bij uitval van",
      "  de ICT lokaal of met de hand te bedienen is en wie dat kan. [5.30.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 4. Uitwijk en redundantie",
      "",
      "- Voor elk kritiek systeem richt de systeemeigenaar een voorziening in waarmee de hersteltijd en het",
      "  toelaatbare gegevensverlies haalbaar zijn: dubbele uitvoering, een uitwijklocatie of een herstel uit",
      "  back-up dat aantoonbaar binnen de tijd past. De keuze en de onderbouwing staan in het overzicht van",
      "  kritieke systemen. [5.30.01, 8.14.01]",
      "- Gedeelde voorzieningen waar meer kritieke systemen van afhangen (netwerk, internetverbinding,",
      "  identiteitsvoorziening, stroom, koeling) voert [[lijneigenaar ICT-continuïteit: de manager die de ICT-voorzieningen voor continuïteit uitvoert]]",
      "  dubbel uit, zonder gemeenschappelijk punt van uitval, of hij legt een noodroute vast die binnen de kortste",
      "  hersteltijd van de afhankelijke systemen past. De lijneigenaar ICT-continuïteit test de omschakeling van",
      "  elke dubbele voorziening jaarlijks. [8.14.01]",
      "- De lijneigenaar ICT-continuïteit beschermt een uitwijkvoorziening tegen dezelfde dreigingen als de primaire",
      "  omgeving en scheidt haar daar zo ver van dat een cyberaanval of fysiek incident ze niet allebei raakt:",
      "  eigen stroom en netwerk, eigen beheeraccounts en een andere locatie. Waar dat niet kan, zet de",
      "  systeemeigenaar het restrisico in het risicoregister. [8.14.01]",
      "- Ligt een kritiek systeem bij een leverancier, dan staan de hersteltijd, het toelaatbare gegevensverlies en",
      "  de uitwijkvoorziening in het contract, en levert de leverancier jaarlijks het bewijs van zijn eigen",
      "  uitwijktests. De proceseigenaar beoordeelt dat bewijs bij de jaarlijkse leveranciersbeoordeling (beleid",
      "  contractbeheer). [5.30.01, 8.14.01]",
      "- Een redundante voorziening voldoet aan dezelfde beveiligingseisen als de primaire, en de systeemeigenaar",
      "  neemt haar mee in patchen, logging en toegangsbeheer. [8.14.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ot",
       "niet": false,
       "antwoorden": [
        "substantieel"
       ]
      }
     ],
     "regels": [
      "- Bij installaties zoals gemalen, bruggen, sluizen en zuivering legt de proceseigenaar per installatie een",
      "  terugvalscenario zonder centrale besturing vast, met de bemensing die daarvoor nodig is en de tijd die het",
      "  kan volhouden. De OT-omgeving kan bij een aanval op de kantoor-ICT worden losgekoppeld zonder dat de",
      "  installatie stopt; de systeemeigenaar test dat jaarlijks. [5.30.01, 8.14.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Beveiliging tijdens een verstoring",
      "",
      "- Elk continuïteitsplan beschrijft welke beveiligingsmaatregelen tijdens uitwijk of noodbedrijf gelden en",
      "  welke tijdelijk vervallen. Een noodaccount, een handmatige werkwijze of een tijdelijke verbinding staat",
      "  vooraf in het plan, met wie hem mag inzetten en wie daarover beslist. De CISO keurt dat deel van het plan",
      "  goed. [5.29.01]",
      "- Tijdens een verstoring houdt de proceseigenaar een logboek bij van de ingezette noodvoorzieningen, de",
      "  tijdelijk vervallen maatregelen en de informatie die daardoor minder beschermd was, zodat de organisatie",
      "  achteraf kan beoordelen of er een incident of datalek is ontstaan. [5.29.01]",
      "- De proceseigenaar trekt noodaccounts en tijdelijke uitzonderingen na de verstoring binnen",
      "  [[termijn intrekken noodvoorzieningen: bijvoorbeeld vijf werkdagen]]",
      "  in, en de CISO controleert dat aan de hand van het logboek. [5.29.01]",
      "- Na een cyberincident brengt de systeemeigenaar een systeem pas terug in productie als vaststaat dat de",
      "  oorzaak is weggenomen en de herstelde omgeving schoon is. De CISO geeft daarvoor vrijgave en legt die vast.",
      "  [5.29.01]",
      "- Informatie met het label vertrouwelijk of hoger blijft ook tijdens een verstoring versleuteld en alleen",
      "  toegankelijk voor bevoegden; een handmatige werkwijze voor die informatie staat alleen in het plan als de",
      "  CISO heeft vastgesteld dat de bescherming gelijkwaardig is. [5.29.01]",
      "",
      "## 6. Continuïteitsplannen en testen",
      "",
      "- Voor elk kritiek proces stelt de proceseigenaar een continuïteitsplan op dat beschrijft hoe het proces",
      "  doorgaat en wordt hersteld bij uitval van de ICT, met contactgegevens, beslissers, de herstelvolgorde en",
      "  de beveiliging tijdens de verstoring. Het plan is ook beschikbaar als de eigen systemen niet werken, op",
      "  papier of op een losstaande voorziening. [5.30.01]",
      "- De proceseigenaar test het continuïteitsplan elk jaar op werking, volledigheid en actualiteit. De test kan",
      "  een tafeloefening, een technische uitwijktest of een combinatie zijn; ten minste eens per drie jaar is er",
      "  een technische test waarin de uitwijk van de kritieke systemen binnen de hersteltijd en met ten hoogste het",
      "  toelaatbare gegevensverlies wordt aangetoond. [5.30.01]",
      "- Elke test heeft een verslag met de bevindingen en de verbeteringen. De proceseigenaar past het plan binnen",
      "  drie maanden aan en meldt open verbeteringen in het risicoregister. [5.30.01]",
      "- De lijneigenaar ICT-continuïteit houdt de uitwijkvoorzieningen en de herstelprocedures actueel bij elke",
      "  wijziging van een kritiek systeem, via het wijzigingsproces (beleid wijzigingsbeheer). [5.30.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "geen"
       ]
      }
     ],
     "regels": [
      "- Er is geen crisisteam. Voor een digitale calamiteit stelt de CISO met de ICT-organisatie een",
      "  calamiteitenteam samen uit de eigen bedrijfsvoering, met een rolverdeling, een logboek en een",
      "  besluitprocedure. Dat team oefent elk jaar een scenario met uitval van ICT. [5.30.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "crisisteam",
        "bcm"
       ]
      }
     ],
     "regels": [
      "- De jaarlijkse test van de continuïteitsplannen sluit aan op een oefening van het crisisteam met een",
      "  digitaal scenario, bijvoorbeeld ransomware, zodat ook de besluitvorming en de communicatie worden getest.",
      "  [5.30.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "cbw",
       "niet": false,
       "antwoorden": [
        "essentieel",
        "belangrijk"
       ]
      }
     ],
     "regels": [
      "- De tests dekken ook de meldplicht onder de Cyberbeveiligingswet: wie stelt vast of een incident",
      "  significant is, en lukt de vroege waarschuwing binnen 24 uur. [5.30.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 7. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| Directie | Vaststellen van de kritieke processen en de herstelvolgorde |",
      "| Proceseigenaar | Hersteleisen per proces, kritieke systemen, continuïteitsplan, de jaarlijkse test, het logboek tijdens een verstoring en het intrekken van noodvoorzieningen |",
      "| Systeemeigenaar | Uitwijk- en redundantievoorzieningen per kritiek systeem, de technische uitwijktest, restrisico's en de terugkeer in productie |",
      "| [[eigenaar overzicht kritieke systemen]] | Het overzicht van kritieke systemen met hersteleisen, afhankelijkheden en herstelvolgorde |",
      "| [[lijneigenaar ICT-continuïteit]] | Eigenaar van dit beleid; gedeelde voorzieningen, uitwijkvoorzieningen en herstelprocedures, ook bij leveranciers; jaarlijkse omschakeltest |",
      "| CISO | Advies, goedkeuring van de beveiliging tijdens een verstoring, vrijgave na een cyberincident, jaarlijkse toetsing van opzet en werking |",
      "",
      "## 8. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| BCDR-01 | Het overzicht van kritieke systemen is volledig en actueel: elk kritiek proces heeft een impactniveau, hersteltijd en toelaatbaar gegevensverlies, elk kritiek systeem heeft afhankelijkheden en een plaats in de vastgestelde herstelvolgorde, en de actualisatie is niet ouder dan drie jaar | [[eigenaar overzicht kritieke systemen]] | Jaarlijks | Overzicht met datum, besluit van de directie over de herstelvolgorde | 5.30.02 |",
      "| BCDR-02 | Elk kritiek proces heeft een continuïteitsplan dat in het afgelopen jaar is getest, en eens per drie jaar een technische uitwijktest binnen de hersteleisen | [[lijneigenaar ICT-continuïteit]] | Jaarlijks | Overzicht van de tests per kritiek proces met de processen waarvoor de test ontbreekt, testverslagen | 5.30.01 |",
      "| BCDR-03 | De verbeteringen uit de tests van het jaar ervoor zijn binnen drie maanden in de plannen doorgevoerd of staan in het risicoregister | CISO | Jaarlijks | Vergelijking van de testverslagen met de aangepaste plannen en het risicoregister | 5.30.01 |",
      "| BCDR-04 | Elke gedeelde voorziening en elk kritiek systeem heeft een redundantie- of uitwijkvoorziening die past bij de hersteleisen, de omschakeling is getest, en restrisico's staan in het risicoregister | [[lijneigenaar ICT-continuïteit]] | Jaarlijks | Overzicht van de voorzieningen per systeem, verslagen van de omschakeltests, risicoregister | 8.14.01 |",
      "| BCDR-05 | Leveranciers van kritieke systemen hebben de hersteleisen en de uitwijk in het contract en hebben het bewijs van hun uitwijktests geleverd | Proceseigenaar | Jaarlijks, bij de leveranciersbeoordeling | Contract, testbewijs van de leverancier, beoordeling in het register van leveranciers | 5.30.01, 8.14.01 |",
      "| BCDR-06 | Elk continuïteitsplan bevat een door de CISO goedgekeurd deel over de beveiliging tijdens een verstoring, en na elke verstoring is het logboek aanwezig, zijn de noodvoorzieningen binnen de termijn ingetrokken en is de vrijgave na een cyberincident vastgelegd | CISO | Jaarlijks, en na elke verstoring | Goedkeuring per plan, logboeken, intrekkingsregistratie, vrijgavebesluiten | 5.29.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De",
      "afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 9. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. De hersteleisen volgen het beleid",
      "informatieclassificatie. Het beleid hangt nauw samen met het beleid back-up en recovery (hersteltijden en",
      "gegevensverlies), het beleid beveiligingsincidenten (overgang van incident naar calamiteit), het beleid",
      "bedrijfsmiddelenbeheer (inventaris), het beleid fysieke toegang en beveiliging (noodstroom, uitwijklocatie),",
      "het beleid wijzigingsbeheer (actueel houden van uitwijk en herstel) en het beleid informatiebeveiliging bij",
      "inkoop en contractbeheer (afspraken met leveranciers over uitwijk en exit).",
      ""
     ]
    }
   ],
   "bestand": "10-bcm.md"
  },
  {
   "domein": "it-compliance",
   "titel": "Beleid IT-compliance",
   "samenvatting": "Over de naleving van wet- en regelgeving en contractuele eisen voor informatie en systemen. Behandelt het register van eisen, licenties, bewaartermijnen, privacy en testgegevens, clear desk en clear screen, capaciteit en kloksynchronisatie, en audits op productiesystemen.",
   "invoeren": [
    "Zet een register op van wettelijke en contractuele eisen, met eigenaar en beleidsstuk per eis (hoofdstuk 3).",
    "Zet een licentieregister op en vergelijk het met de geïnstalleerde software (hoofdstuk 3).",
    "Leg per systeem en informatiecategorie de bewaartermijnen vast in een overzicht (hoofdstuk 4).",
    "Stel een overzicht DLP-maatregelen op met de maatregel per kanaal (hoofdstuk 5).",
    "Stel automatische schermvergrendeling centraal in op alle werkplekken en mobiele apparaten (hoofdstuk 6).",
    "Richt capaciteitsbewaking met een drempelmelding in voor kritieke systemen en maak een capaciteitsprognose (hoofdstuk 7).",
    "Koppel alle systemen, netwerkapparaten en werkplekken aan één betrouwbare tijdbron (hoofdstuk 7).",
    "Leg elke audit of technische test op productie vooraf vast in een testopdracht (hoofdstuk 8)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de naleving van wet- en regelgeving",
      "en contractuele eisen die op informatie en informatiesystemen van de organisatie rusten. Het regelt hoe de",
      "organisatie weet welke eisen gelden, hoe registraties en bewaartermijnen zijn ingericht, hoe",
      "persoonsgegevens en intellectueel eigendom worden beschermd, hoe werkplekken en schermen worden",
      "afgeschermd, welke technische voorzieningen de naleving ondersteunen en hoe systemen tijdens audits",
      "beschermd blijven. Het gaat over de ISO-beheersmaatregelen 5.31 tot en met 5.34, 7.7, 8.6, 8.11, 8.12,",
      "8.17 en 8.34.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor proceseigenaren, de archieffunctie, de privacy officer,",
      "de juridische functie, de IT-organisatie en de CISO. De regels over clear desk en clear screen gelden voor",
      "iedereen die onder verantwoordelijkheid van de organisatie met informatie werkt: medewerkers, inhuur,",
      "stagiairs en vrijwilligers.",
      "",
      "**Waarop.** Alle informatiesystemen in de scope van het managementsysteem, de registraties die de",
      "organisatie wettelijk of contractueel moet bijhouden, de werkplekken en vergaderruimten waar informatie",
      "wordt gebruikt, en de test- en ontwikkelomgevingen. Is het beheer van systemen, de archivering of de",
      "bewaking van capaciteit uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De",
      "organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals",
      "een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid",
      "informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de privacymaatregelen zelf (privacybeleid), de inhoud en bewaring van logging",
      "(beleid logging en monitoring), het toekennen van toegangsrechten (beleid logische toegangsbeveiliging), de",
      "fysieke beveiliging van ruimten (beleid fysieke toegang en beveiliging) en het auditplan van het",
      "managementsysteem (strategisch informatiebeveiligingsbeleid).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. De proceseigenaar weet welke wettelijke en contractuele eisen op zijn proces rusten en is verantwoordelijk",
      "   voor de naleving.",
      "2. Informatie wordt niet langer bewaard dan nodig, en niet korter dan de wet voorschrijft.",
      "3. Naleving is aantoonbaar met registraties die de organisatie zelf bijhoudt.",
      "4. Echte gegevens horen in productie; test- en ontwikkelomgevingen werken met gemaskeerde of fictieve",
      "   gegevens.",
      "5. Informatie is alleen zichtbaar voor wie haar nodig heeft, ook op het bureau en op het scherm.",
      "6. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Wettelijke en contractuele eisen",
      "",
      "- De CISO houdt samen met de privacy officer en de juridische functie een register bij van de wet- en",
      "  regelgeving en de contractuele eisen die gelden voor informatiebeveiliging, met per eis de eigenaar en het",
      "  beleidsstuk waarin hij is uitgewerkt. Het register wordt jaarlijks en bij elke relevante wetswijziging",
      "  bijgewerkt; de versie met datum is het bewijs. [5.31.01]",
      "- Het register bevat ten minste de AVG, de Archiefwet, de Wet open overheid, de Cyberbeveiligingswet waar",
      "  die geldt, de sectorale wetgeving van de eigen taken en de beveiligingseisen uit contracten met",
      "  leveranciers en ketenpartners. [5.31.01]",
      "- De proceseigenaar stelt jaarlijks vast welke eisen uit het register op het eigen proces rusten en toont",
      "  met de controleraamwerken van de materie-specifieke stukken aan dat ze worden nageleefd. Een eis zonder",
      "  beleidsstuk of controle meldt de proceseigenaar als bevinding bij de CISO. [5.31.01]",
      "- Bij een nieuw systeem of een nieuwe verwerking beoordeelt de proceseigenaar met de risicoafweging uit het",
      "  beleid informatiebeveiliging in projecten welke eisen uit het register gelden en neemt ze op in het",
      "  programma van eisen. [5.31.01]",
      "- De organisatie gebruikt alleen software waarvoor zij een geldige licentie heeft. De IT-organisatie houdt",
      "  een licentieregister bij, vergelijkt het jaarlijks met de geïnstalleerde software en verwijdert of",
      "  legaliseert wat niet klopt. [5.32.01]",
      "- Medewerkers installeren geen software en gebruiken geen inhoud (teksten, beelden, muziek, broncode)",
      "  waarvoor de organisatie geen gebruiksrecht heeft. De gedragsregels voor informatiegebruik noemen dit; de",
      "  IT-organisatie staat alleen installatie toe vanuit de goedgekeurde bronnen uit het beleid",
      "  bedrijfsmiddelenbeheer. [5.32.01]",
      "- Voor software, documenten en gegevens die de organisatie zelf laat maken, legt de opdrachtgever in het",
      "  contract vast wie de eigenaar is en welke gebruiksrechten de organisatie heeft. Bij open-sourcesoftware",
      "  legt de IT-organisatie vast onder welke licentie die wordt gebruikt en of de organisatie aan de",
      "  voorwaarden voldoet. [5.32.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "politiegegevens",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- De organisatie verwerkt politiegegevens, bijvoorbeeld door boa's of bij handhaving en opsporing. Voor die",
      "  verwerkingen geldt de Wet politiegegevens naast de AVG. Het register noemt per verwerking het doel uit de",
      "  Wpg, de geautoriseerde functies en de bewaartermijn. [5.31.01, 5.34.01]",
      "- Autorisaties voor politiegegevens worden per persoon verleend en ten minste halfjaarlijks door de",
      "  proceseigenaar gecontroleerd. Elke raadpleging en wijziging wordt gelogd; de logging wordt bewaard zolang",
      "  de Wpg voorschrijft. [5.31.01, 5.33.01]",
      "- Over de verwerking van politiegegevens laat de verwerkingsverantwoordelijke eenmaal in de vier jaar de",
      "  privacy-audit uitvoeren door een onafhankelijke auditor (artikel 33 Wpg, artikel 6:5 Besluit",
      "  politiegegevens), zendt een afschrift van de controleresultaten aan de Autoriteit Persoonsgegevens en laat",
      "  bij tekortkomingen binnen een jaar een hercontrole uitvoeren. [5.31.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "digid",
        "suwinet",
        "brp",
        "bag",
        "anders"
       ]
      }
     ],
     "regels": [
      "- De organisatie is aangesloten op landelijke voorzieningen met een eigen beveiligings- en auditregime. Het",
      "  register noemt per aansluiting het normenkader, de eigenaar en de termijn van de verantwoording. [5.31.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "digid"
       ]
      }
     ],
     "regels": [
      "- Voor de DigiD-aansluiting laat de proceseigenaar jaarlijks een ICT-beveiligingsassessment door een",
      "  onafhankelijke auditor uitvoeren en levert het rapport op tijd aan bij de beheerder van DigiD. [5.31.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "suwinet"
       ]
      }
     ],
     "regels": [
      "- Voor Suwinet legt de organisatie jaarlijks verantwoording af over de normen voor gebruik en beveiliging.",
      "  De proceseigenaar controleert per kwartaal de autorisaties en steekproefsgewijs de raadplegingen op",
      "  doelbinding. [5.31.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "brp"
       ]
      }
     ],
     "regels": [
      "- Voor de BRP voert de organisatie de jaarlijkse zelfevaluatie of audit uit die de beheerder van de BRP",
      "  voorschrijft, en controleert de proceseigenaar de autorisaties ten minste jaarlijks. [5.31.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "bag"
       ]
      }
     ],
     "regels": [
      "- Voor de BAG en andere basisregistraties waarvoor de organisatie bronhouder is, voert de proceseigenaar de",
      "  verplichte kwaliteitscontroles en audits uit en volgt de bevindingen op. [5.31.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "anders"
       ]
      }
     ],
     "regels": [
      "- Voor andere ketens met eigen beveiligingseisen staat het normenkader en de wijze van verantwoording in",
      "  [[overzicht overige ketens: per keten het normenkader, de eigenaar en de auditcyclus]], dat de CISO",
      "  jaarlijks met de keteneigenaren doorneemt. [5.31.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 4. Registraties en bewaartermijnen",
      "",
      "- De proceseigenaar legt voor elk informatiesysteem en elke categorie informatie de bewaartermijn vast, op",
      "  basis van de geldende selectielijst, de Archiefwet, de privacywetgeving en de eigen bedrijfsdoelen. De",
      "  termijnen staan in het verwerkingsregister of in een overzicht dat",
      "  [[lijneigenaar archief: de functie die de archieffunctie uitvoert, bijvoorbeeld de DIV-coördinator]]",
      "  bijhoudt. [5.33.01]",
      "- De proceseigenaar zorgt dat het systeem de termijnen ook uitvoert: vernietiging, overbrenging of",
      "  anonimisering na afloop, automatisch waar het systeem dat kan en volgens een vast schema waar dat niet",
      "  kan. Het vernietigingsverslag of de overbrengingsverklaring is het bewijs. [5.33.01]",
      "- De proceseigenaar toetst ten minste jaarlijks met een steekproef of informatie na afloop van de termijn",
      "  daadwerkelijk is vernietigd of overgebracht, en legt de uitkomst vast. [5.33.01]",
      "- Bij aanschaf of vervanging van een systeem is de mogelijkheid om bewaartermijnen uit te voeren een eis in",
      "  het programma van eisen. [5.33.01]",
      "- Registraties die als bewijs dienen, zoals logging, besluiten, contracten en audittrails, zijn beschermd",
      "  tegen wijziging en voortijdige verwijdering: de IT-organisatie richt ze zo in dat alleen een beperkte",
      "  groep ze kan wijzigen, dat elke wijziging wordt gelogd en dat ze in de back-up zitten volgens het beleid",
      "  back-up en recovery. [5.33.01]",
      "- Registraties die de organisatie jarenlang moet bewaren, blijven leesbaar: de archieffunctie bewaakt dat",
      "  bestandsformaten en opslagmedia bij elke systeemvervanging worden omgezet of gemigreerd, en legt dat vast",
      "  in het overzicht van bewaartermijnen. [5.33.01]",
      "",
      "## 5. Privacy en persoonsgegevens",
      "",
      "- De privacymaatregelen staan in het privacybeleid. Dit beleid regelt de raakvlakken: het register van eisen",
      "  (hoofdstuk 3) en de bewaartermijnen (hoofdstuk 4) gelden ook voor persoonsgegevens, en de",
      "  proceseigenaar neemt de privacyeisen mee in dezelfde jaarlijkse toets. [5.34.01]",
      "- De organisatie heeft een privacybeleid dat het bestuur vaststelt, een functionaris gegevensbescherming",
      "  die onafhankelijk toezicht houdt en een verwerkingsregister dat de privacy officer bijhoudt. Elke",
      "  verwerking van persoonsgegevens staat in dat register voordat ze start; de proceseigenaar meldt nieuwe",
      "  verwerkingen bij de privacy officer. [5.34.01]",
      "- Bij elke nieuwe verwerking of wijziging van een verwerking beoordeelt de privacy officer of een DPIA",
      "  nodig is, volgens het beleid informatiebeveiliging in projecten. Een datalek wordt gemeld en afgehandeld",
      "  volgens het beleid beveiligingsincidenten, met de FG in de meldroute naar de Autoriteit Persoonsgegevens.",
      "  [5.34.01]",
      "- De proceseigenaar beperkt de toegang tot persoonsgegevens tot de functies die ze voor hun taak nodig",
      "  hebben en legt die functies vast in de autorisatiematrix uit het beleid logische toegangsbeveiliging; de",
      "  privacy officer toetst de matrix jaarlijks op doelbinding. [5.34.01]",
      "- In test-, ontwikkel- en opleidingsomgevingen gebruikt de organisatie geen echte persoonsgegevens en geen",
      "  andere informatie met het label vertrouwelijk of hoger. Wie zo'n omgeving vult, gebruikt fictieve",
      "  gegevens of een gemaskeerde kopie. [8.11.01]",
      "- Is een gemaskeerde kopie van productiegegevens nodig, dan maskeert of pseudonimiseert de IT-organisatie",
      "  de gegevens voordat ze de productieomgeving verlaten, zo dat een persoon of een vertrouwelijk gegeven niet",
      "  meer te herleiden is. De privacy officer stemt vooraf in; de proceseigenaar legt vast welke velden zijn",
      "  gemaskeerd en met welke techniek. [8.11.01]",
      "- Maakt een productiesysteem gegevens zichtbaar aan gebruikers die niet alles mogen zien, dan toont het",
      "  systeem alleen het deel dat voor de taak nodig is, bijvoorbeeld een gedeeltelijk burgerservicenummer of",
      "  bankrekeningnummer. De proceseigenaar legt bij de autorisatiematrix vast welke gegevens voor welke",
      "  functie worden afgeschermd. [8.11.01]",
      "- De IT-organisatie zet technische maatregelen in tegen het onbedoeld weglekken van informatie met het",
      "  label vertrouwelijk of hoger: ten minste een waarschuwing of blokkade bij het versturen naar externe",
      "  adressen, bij het uploaden naar niet-goedgekeurde clouddiensten en bij het kopiëren naar verwisselbare",
      "  media. De keuze per kanaal volgt uit de risicoanalyse en staat in",
      "  [[overzicht DLP-maatregelen: het overzicht van kanalen met de maatregel per kanaal, bijvoorbeeld in het beheerdossier van de werkplek]].",
      "  [8.12.01]",
      "- De CISO beoordeelt elk kwartaal de meldingen van die maatregelen op patronen (welke kanalen, welke",
      "  afdelingen, welke labels) en legt de uitkomst en de opvolging vast; een bevestigd lek wordt behandeld als",
      "  incident volgens het beleid beveiligingsincidenten. [8.12.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "politiegegevens",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- Testomgevingen bevatten nooit politiegegevens, ook niet gemaskeerd; de proceseigenaar gebruikt",
      "  uitsluitend fictieve gegevens. [8.11.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 6. Clear desk en clear screen",
      "",
      "- Medewerkers laten geen informatie met het label intern of hoger onbeheerd achter op hun werkplek, in",
      "  vergaderruimten of op gedeelde plekken. Aan het einde van de werkdag en bij het verlaten van een gedeelde",
      "  werkplek bergen zij documenten en gegevensdragers op in een afsluitbare kast of lade. [7.07.01]",
      "- Wie de werkplek verlaat, vergrendelt het scherm, ook voor een korte onderbreking. Medewerkers zetten",
      "  schermen met informatie met het label vertrouwelijk of hoger zo neer dat bezoekers en voorbijgangers niet",
      "  kunnen meekijken; waar dat niet kan, gebruiken zij een privacyfilter. [7.07.01]",
      "- De IT-organisatie stelt op alle werkplekken en mobiele apparaten een automatische vergrendeling in na",
      "  [[vergrendeltijd: het aantal minuten inactiviteit, bijvoorbeeld 10]]",
      "  minuten zonder activiteit, centraal beheerd, zodat gebruikers de instelling niet kunnen uitzetten.",
      "  [7.07.01]",
      "- Waar toegang tot systemen werkt met een chipcard, pas of andere fysieke token, vergrendelt de werkplek",
      "  automatisch zodra het token wordt verwijderd. De IT-organisatie stelt dat centraal in. Werkt de",
      "  organisatie nog niet met een fysieke token, dan is die vergrendeling een eis bij de invoering en bij de",
      "  aanschaf. [7.07.01]",
      "- Afdrukken van informatie met het label intern of hoger worden direct uit de printer gehaald. Printers op",
      "  gedeelde plekken drukken alleen af na identificatie van de gebruiker bij het apparaat. De IT-organisatie",
      "  verwijdert afdruktaken die na",
      "  [[bewaartermijn afdruktaken: de termijn waarna een niet-opgehaalde afdruktaak vervalt, bijvoorbeeld 24 uur]]",
      "  niet zijn opgehaald. [7.07.01]",
      "- Na een vergadering wist de voorzitter whiteboards en flip-overs en neemt hij achtergebleven documenten",
      "  mee. Medewerkers gooien informatie met het label intern of hoger alleen weg via de afgesloten",
      "  papiercontainer of de versnipperaar. [7.07.01]",
      "- [[lijneigenaar werkplek: de manager die de werkplekken beheert, bijvoorbeeld facilitaire zaken]] loopt",
      "  elk halfjaar een rondgang clear desk over alle locaties, legt de bevindingen per afdeling vast en meldt",
      "  ze aan de leidinggevenden, die medewerkers aanspreken. [7.07.01]",
      "",
      "## 7. Techniek ter ondersteuning van naleving",
      "",
      "- De IT-organisatie bewaakt doorlopend de capaciteit van de kritieke systemen uit het overzicht van",
      "  kritieke systemen: opslag, rekenkracht, geheugen en netwerk. De bewaking geeft een melding bij",
      "  [[drempel capaciteit: het gebruikspercentage waarbij een melding volgt, bijvoorbeeld 80 procent]]",
      "  van de beschikbare capaciteit, zodat de IT-organisatie uitbreidt voordat de beschikbaarheid wordt geraakt.",
      "  [8.06.01]",
      "- De IT-organisatie stelt jaarlijks met de proceseigenaren een capaciteitsprognose op voor de komende twaalf",
      "  maanden, op basis van het gebruik van het afgelopen jaar en de verwachte veranderingen (nieuwe systemen,",
      "  meer gebruikers, langere bewaartermijnen), en legt vast welke uitbreidingen daaruit volgen. [8.06.01]",
      "- Is de hosting uitbesteed, dan legt de organisatie in het contract vast welke capaciteit is afgesproken en",
      "  hoe de leverancier dreigende tekorten meldt; contractbeheer toetst dat met de rapportage van de",
      "  leverancier. [8.06.01]",
      "- Alle systemen, netwerkapparaten en werkplekken synchroniseren hun klok met",
      "  [[tijdbron: de betrouwbare tijdbron van de organisatie, bijvoorbeeld de eigen NTP-servers of de tijdservers van de overheid]],",
      "  die zelf is gekoppeld aan een betrouwbare externe bron. Alle logging gebruikt die tijd, in één",
      "  vastgelegde tijdzone of met de tijdzone erbij, zodat logging uit verschillende systemen vergelijkbaar is.",
      "  [8.17.01]",
      "- De IT-organisatie controleert elk kwartaal dat de systemen in de scope met de tijdbron synchroniseren en",
      "  dat de afwijking kleiner is dan één seconde, en herstelt afwijkingen. De rapportage uit de bewaking is het",
      "  bewijs. [8.17.01]",
      "",
      "## 8. Audits op informatiesystemen",
      "",
      "- Audits, pentests en andere technische tests op productiesystemen worden vooraf afgestemd tussen de",
      "  auditor, de systeemeigenaar en de IT-organisatie en vastgelegd in een testopdracht: wat wordt getest, door",
      "  wie, wanneer, met welke rechten, vanaf welke adressen en wie bij een verstoring wordt gewaarschuwd.",
      "  [8.34.01]",
      "- Auditors krijgen alleen-lezen toegang, tenzij de testopdracht anders zegt. De IT-organisatie verleent de",
      "  rechten op een apart account voor de duur van de test en trekt ze direct na afloop in; de aanvraag en de",
      "  intrekking staan in het ticketsysteem. [8.34.01]",
      "- Tests die de beschikbaarheid kunnen raken of gegevens kunnen wijzigen, gebeuren buiten piektijden, op een",
      "  kopie of in een afgeschermde testomgeving. Een test op productie die gegevens kan wijzigen, vraagt vooraf",
      "  toestemming van de systeemeigenaar en een actuele back-up. [8.34.01]",
      "- De auditor krijgt alleen kopieën of exports van de gegevens die voor de audit nodig zijn, met de",
      "  classificatie erbij. De auditor bewaart ze volgens die classificatie en vernietigt ze na afloop van de",
      "  audit; dat staat in de testopdracht of het contract. [8.34.01]",
      "- De IT-organisatie logt de handelingen van de auditor op de productiesystemen en bewaart de logging volgens",
      "  het beleid logging en monitoring, zodat na de audit is na te gaan wat is gedaan. [8.34.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "geen"
       ]
      }
     ],
     "regels": [
      "- Zonder eigen ISO houdt",
      "  [[functionaris informatiebeveiliging: de medewerker met de neventaak informatiebeveiliging]]",
      "  het register uit hoofdstuk 3 bij. De jaarlijkse controle op het register en op de steekproef",
      "  bewaartermijnen wordt belegd bij de CISO-invulling of de interne controle. [5.31.01, 5.33.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "parttime",
        "team"
       ]
      }
     ],
     "regels": [
      "- De ISO of CISO houdt het register uit hoofdstuk 3 bij en voert de jaarlijkse controle op de",
      "  bewaartermijnen uit samen met de archieffunctie. [5.31.01, 5.33.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 9. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| Proceseigenaar | Naleving van de eisen op het eigen proces, bewaartermijnen vastleggen, uitvoeren en toetsen, afscherming van gegevens per functie, toestemming voor tests op productie |",
      "| [[lijneigenaar archief]] | Overzicht van bewaartermijnen, selectielijst, leesbaarheid van registraties, ondersteuning bij vernietiging en overbrenging |",
      "| CISO of ISO | Register van eisen, beoordeling van meldingen van gegevenslekken, advies, controle op naleving |",
      "| Privacy officer en FG | Privacyeisen, verwerkingsregister, DPIA-plicht, instemming met maskeren; de FG houdt toezicht |",
      "| Juridische functie | Toets van het register van eisen en van de contracten over eigendom en gebruiksrechten |",
      "| IT-organisatie | Licentieregister, automatische vergrendeling, maskeren, maatregelen tegen gegevenslekken, capaciteit, kloksynchronisatie, begeleiding van audits |",
      "| [[lijneigenaar werkplek]] | Rondgang clear desk, afsluitbare opslag, printers en papiercontainers |",
      "| Contractbeheer | Toets van capaciteit en naleving bij uitbestede hosting en beheer |",
      "| Medewerkers | Clear desk en clear screen, geen software of inhoud zonder gebruiksrecht |",
      "",
      "## 10. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| ITC-01 | Het register van wettelijke en contractuele eisen is in het afgelopen jaar bijgewerkt, elke eis heeft een eigenaar en een beleidsstuk, en elke proceseigenaar heeft de toets op het eigen proces uitgevoerd | CISO | Jaarlijks | Register met datum en lijst van wijzigingen, toetsverslagen van de proceseigenaren | 5.31.01 |",
      "| ITC-02 | De geïnstalleerde software komt overeen met het licentieregister en voor zelf gemaakte software en inhoud is het eigendom in het contract vastgelegd | IT-organisatie | Jaarlijks | Vergelijking van de software-inventarisatie met het licentieregister, steekproef van vijf contracten | 5.32.01 |",
      "| ITC-03 | Voor elk kritiek systeem zijn de bewaartermijnen vastgelegd en uitgevoerd, en de registraties die als bewijs dienen zijn beschermd tegen wijziging | Proceseigenaar | Jaarlijks | Steekproef per kritiek systeem: overzicht van termijnen, vernietigingsverslag of overbrengingsverklaring, autorisaties op de registraties | 5.33.01 |",
      "| ITC-04 | Elke verwerking van persoonsgegevens staat in het verwerkingsregister, de autorisaties op persoonsgegevens zijn op doelbinding getoetst en test- en ontwikkelomgevingen bevatten geen ongemaskeerde persoonsgegevens | Privacy officer | Jaarlijks | Verwerkingsregister, toetsverslag van de autorisatiematrix, steekproef van ten minste drie testomgevingen met de maskeringsregistratie | 5.34.01, 8.11.01 |",
      "| ITC-05 | De maatregelen tegen gegevenslekken staan aan op alle kanalen uit het overzicht en de meldingen zijn elk kwartaal beoordeeld en opgevolgd | CISO | Per kwartaal | Configuratie-export per kanaal, beoordelingsverslag met de opgevolgde meldingen | 8.12.01 |",
      "| ITC-06 | Automatische vergrendeling op inactiviteit en bij verwijderen van een token staat aan op alle werkplekken en mobiele apparaten, en de rondgang clear desk is uitgevoerd en opgevolgd | [[lijneigenaar werkplek]] | Halfjaarlijks | Configuratie-export uit het werkplekbeheer, verslag van de rondgang met de bevindingen per afdeling | 7.07.01 |",
      "| ITC-07 | De capaciteit van de kritieke systemen is bewaakt, meldingen boven de drempel zijn opgevolgd en de jaarlijkse capaciteitsprognose is opgesteld | IT-organisatie | Per kwartaal | Rapportage uit de bewaking, opgevolgde meldingen, capaciteitsprognose, rapportage van de hostingleverancier | 8.06.01 |",
      "| ITC-08 | Alle systemen in de scope synchroniseren met de tijdbron en de afwijking is kleiner dan één seconde | IT-organisatie | Per kwartaal | Rapportage uit de bewaking van de kloksynchronisatie | 8.17.01 |",
      "| ITC-09 | Elke audit of test op een productiesysteem had een testopdracht, de rechten zijn na afloop ingetrokken en de handelingen zijn gelogd | CISO | Jaarlijks | Testopdrachten van het afgelopen jaar, tickets van verlening en intrekking, logging | 8.34.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.",
      "De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 11. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het privacybeleid",
      "(persoonsgegevens, verwerkingsregister en bewaartermijnen), het beleid logische toegangsbeveiliging",
      "(vergrendeling en autorisaties), het beleid logging en monitoring (bewaren van logging en",
      "kloksynchronisatie), het beleid informatieclassificatie (labels voor clear desk, maskeren en",
      "gegevenslekken), het beleid bedrijfsmiddelenbeheer (goedgekeurde software en gegevensdragers), het beleid",
      "back-up en recovery (bescherming van registraties), het beleid beveiligingsincidenten (datalekken), het",
      "beleid informatiebeveiliging in projecten (eisen en DPIA bij nieuwe systemen), het beleid secure software",
      "development (testdata) en het beleid informatiebeveiliging bij inkoop en het beleid contractbeheer",
      "(capaciteit en eigendom bij leveranciers).",
      ""
     ]
    }
   ],
   "bestand": "11-it-compliance.md"
  },
  {
   "domein": "fysiek",
   "titel": "Beleid fysieke toegang en beveiliging",
   "samenvatting": "Regelt de fysieke beveiliging van locaties en ruimten waar informatie wordt verwerkt of bewaard. Gaat over de indeling in vier beveiligingszones, de eisen per zone, de omgang met incidenten, monitoring en waarschuwingen, en het dragen van toegangspassen.",
   "invoeren": [
    "Stel per locatie een zoneringsplan op met vier zones en een eigenaar per zone (hoofdstuk 3).",
    "Sluit het alarm aan op een gecertificeerde alarmcentrale met een procedure voor opvolging (hoofdstuk 4).",
    "Regel de uitgifte en inname van toegangsmiddelen op naam, gekoppeld aan personeelsmutaties (hoofdstuk 5).",
    "Richt voor zone 3 en hoger een elektronisch toegangssysteem met logging in (hoofdstuk 6).",
    "Voorzie zone 4 van noodstroom, klimaatinstallatie, branddetectie en blusvoorziening, met een testschema (hoofdstuk 7).",
    "Voer voor elke zone 4 een risicobeoordeling op omgevingsdreigingen uit (hoofdstuk 7).",
    "Stel een afsprakenlijst waarschuwingen op met contactpersonen en kanalen per partner (hoofdstuk 8).",
    "Leg in een huisregel vast of medewerkers hun pas zichtbaar dragen (hoofdstuk 9)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de fysieke beveiliging van de locaties,",
      "ruimten en voorzieningen waar de organisatie informatie verwerkt of bewaart. Het legt vast in welke zones de",
      "ruimten vallen, welke eisen per zone gelden en wie daarop toeziet, zodat onbevoegde toegang, schade en uitval",
      "van voorzieningen de beschikbaarheid, integriteit en vertrouwelijkheid van informatie niet aantasten. Het gaat",
      "over de ISO-beheersmaatregelen 7.1 tot en met 7.5 en 7.12.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de afdeling die de gebouwen en de toegangsmiddelen beheert en",
      "voor de eigenaren van beveiligde zones. De gedragsregels gelden voor iedereen die een locatie van de",
      "organisatie betreedt: medewerkers, inhuur, stagiairs, vrijwilligers, bezoekers en leveranciers.",
      "",
      "**Waarop.** Alle locaties en terreinen die de organisatie gebruikt voor haar processen, met de nadruk op de",
      "ruimten waar informatie wordt opgeslagen of geautomatiseerd verwerkt en op de opslag van waardedocumenten",
      "zoals identiteitsbewijzen. Zijn ruimten of voorzieningen uitbesteed, bijvoorbeeld een datacenter, dan gelden",
      "de eisen uit dit beleid als minimumeis voor die partij. De organisatie legt dat vast in het contract en",
      "toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of",
      "ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het",
      "beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen het werken in beveiligde zones, het plaatsen en onderhouden van apparatuur en de",
      "nutsvoorzieningen voor apparatuur (beleid bedrijfsmiddelenbeheer), clear desk en clear screen (beleid",
      "IT-compliance) en het afvoeren van opslagmedia (beleid afvoer en hergebruik van gegevensdragers).",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "saas"
       ]
      }
     ],
     "regels": [
      "De organisatie heeft geen eigen datacenter en geen serverruimte bij een hostingpartij. De fysieke",
      "beveiliging van de systemen ligt bij de SaaS-leveranciers; dit beleid regelt de kantoorlocaties, de",
      "netwerk- en stroomvoorzieningen op die locaties en de eisen die de organisatie aan leveranciers stelt."
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Fysieke beveiliging is risicogestuurd: hoe groter de gevolgen van onbevoegde toegang voor beschikbaarheid,",
      "   integriteit en vertrouwelijkheid, hoe zwaarder de maatregelen.",
      "2. Elke ruimte valt in een beveiligingszone. De zone volgt uit de classificatie van de informatie en de",
      "   systemen in die ruimte (beleid informatieclassificatie). De eisen van een hogere zone komen bovenop die",
      "   van de lagere.",
      "3. Kritieke informatie en kritieke systemen liggen achter minstens twee opeenvolgende zones met elk een",
      "   eigen toegangscontrole.",
      "4. Beveiligingsmaatregelen zijn niet zichtbaar voor wie ze niet hoeft te kennen: beveiligde ruimten zijn niet",
      "   als zodanig aangeduid.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Beveiligingszones",
      "",
      "- De organisatie deelt elke locatie in in vier zones en legt dat vast in een zoneringsplan per locatie,",
      "  beheerd door [[lijneigenaar fysieke beveiliging: de manager van de afdeling die gebouwen en toegangsmiddelen beheert, bijvoorbeeld facilitaire zaken]].",
      "  De zones volgen de impactniveaus van het classificatieschema: [7.01.02]",
      "",
      "  | Zone | Impactniveau | Voorbeelden van ruimten |",
      "  |---|---|---|",
      "  | 1 openbaar | verwaarloosbaar | buitenterrein, ontvangsthal, gedeelde ruimten in een gebouw met andere gebruikers |",
      "  | 2 kantoor | gering | kantoor- en werkruimten, opslag van niet-kritieke apparatuur |",
      "  | 3 beperkt | gemiddeld | knooppunten voor netwerk en stroom, noodstroomvoorziening, opslag van kritieke of kostbare apparatuur, statisch archief |",
      "  | 4 kritiek | ernstig | serverruimte, opslag van identiteitsbewijzen en andere waardedocumenten |",
      "",
      "- Het classificatieschema kent ook het niveau catastrofaal. Daarvoor voorziet de organisatie geen zones op haar",
      "  eigen locaties; blijkt uit het zoneringsplan dat een ruimte dat niveau toch vraagt, dan stelt de CISO de",
      "  eisen voor die ruimte vast op basis van een eigen risicoanalyse. [7.01.02]",
      "- Het zoneringsplan noemt per zone de eigenaar: de primaire gebruiker van de ruimte. De eigenaar keurt",
      "  toegangsverzoeken goed, controleert periodiek wie toegang heeft en beoordeelt jaarlijks of het niveau van",
      "  de zone nog klopt. [7.01.02]",
      "- Een ruimte van zone 4 ligt altijd binnen een zone 3, zodat kritieke informatie en kritieke systemen nooit",
      "  via één beveiligde zone bereikbaar zijn: wie binnenkomt, passeert ten minste twee toegangscontroles met elk",
      "  een eigen controle op de persoon. [7.01.02]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "eigen-dc"
       ]
      }
     ],
     "regels": [
      "- De eigen serverruimte is een zone 4 binnen een zone 3. De tweede controle is persoonsgebonden (pas met",
      "  pincode of biometrie) en elke binnenkomst wordt gelogd. [7.01.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "hostingpartij",
        "saas"
       ]
      }
     ],
     "regels": [
      "- Waar systemen bij een hostingpartij of SaaS-leverancier staan, eist de organisatie in het contract een",
      "  zonering met ten minste twee opeenvolgende beveiligde zones voor de ruimte met de systemen, en een",
      "  verklaring (ISO 27001-certificaat of ISAE 3402-rapport) die dat aantoont. [7.01.02]",
      "- Ook op de eigen locaties liggen de netwerk- en stroomknooppunten in zone 3, binnen zone 2. [7.01.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 4. Eisen voor zone 1, openbaar",
      "",
      "- Vrije toegang voor bezoekers en leveranciers tot het terrein en de ontvangsthal is er alleen tijdens",
      "  openingstijden. [7.03.01]",
      "- Tijdens openingstijden controleert een bemande receptie de toegang en let op afwijkend gedrag; waar geen",
      "  receptie is, regelen toegangspoortjes of een gelijkwaardige voorziening de toegang. [7.02.01, 7.03.01]",
      "- Noodprocedures en vluchtroutes zijn zichtbaar aangegeven op het terrein en in de gebouwen. [7.05.01]",
      "- De buitenschil van een gebouw (daken, buitenmuren, plafonds, vloeren) biedt geen zwakke plekken die",
      "  inbraak eenvoudig maken. Een laad- en losplaats geeft geen directe toegang tot zone 2 of hoger. [7.03.01]",
      "- Buiten openingstijden zijn locaties afgesloten en bewaakt door een alarmsysteem met een passende",
      "  combinatie van contactmelders, geluidsmelders, bewegingsmelders en camera's. Het alarm is aangesloten op",
      "  een gecertificeerde particuliere alarmcentrale en de opvolging van meldingen staat in een procedure.",
      "  [7.04.01]",
      "- Huurt de organisatie een bewakingsdienst in, dan is vooraf gecontroleerd en in het contract vastgelegd dat",
      "  die voldoet aan de Wet particuliere beveiligingsorganisaties en recherchebureaus. [7.03.01]",
      "- Voedingskabels en kabels voor gegevens lopen waar mogelijk door afgesloten kabelgoten of leidingen.",
      "  Aansluitpunten in openbaar toegankelijke ruimten zijn uitgeschakeld of afgeschermd, en patchkasten zijn",
      "  afgesloten. [7.12.01]",
      "",
      "## 5. Eisen voor zone 2, kantoor",
      "",
      "Bovenop de eisen voor zone 1:",
      "",
      "- Medewerkers en leveranciers met een doorlopende opdracht krijgen toegang met een op naam geregistreerd",
      "  toegangsmiddel. Rechten volgen de functie; bij uitdiensttreding, einde van de opdracht of functiewijziging",
      "  wordt het toegangsmiddel ingenomen en zijn de rechten uiterlijk op de laatste werkdag ingetrokken of",
      "  aangepast. [7.02.01]",
      "- Nog niet uitgegeven toegangsmiddelen liggen achter slot, bij de receptie of in een afgesloten kast. [7.02.01]",
      "- Bezoekers en leveranciers zonder eigen toegangsrecht komen alleen binnen met toestemming van een medewerker",
      "  en onder begeleiding. Ze worden bij binnenkomst geregistreerd, dragen zichtbaar een bezoekerspas en leveren",
      "  die bij vertrek in. [7.02.01]",
      "- Verlies of diefstal van een toegangsmiddel wordt direct gemeld en het middel wordt direct geblokkeerd.",
      "  [7.02.01]",
      "",
      "## 6. Eisen voor zone 3, beperkt",
      "",
      "Bovenop de eisen voor zone 2:",
      "",
      "- Toegang vraagt doelbinding: alleen wie de ruimte voor zijn werk nodig heeft, krijgt toegang, na",
      "  goedkeuring van de eigenaar van de zone en met een op naam geregistreerd toegangsmiddel. [7.02.01]",
      "- De ruimte is afgesloten met een elektronisch toegangssysteem dat geslaagde en mislukte toegangspogingen",
      "  logt. De logging wordt bewaard gedurende",
      "  [[bewaartermijn toegangslogging: standaard een jaar]]. [7.02.01, 7.04.01]",
      "- Bezoekers en leveranciers zonder eigen toegangsrecht komen alleen binnen onder toezicht van een bevoegde",
      "  medewerker, voor noodzakelijke werkzaamheden. [7.02.01]",
      "- De eigenaar van de zone stelt elk halfjaar vast dat de uitgegeven toegangsmiddelen alleen in gebruik zijn",
      "  bij bevoegde personen met een geldige doelbinding. [7.02.01]",
      "- Foto-, video- en geluidsopnamen zijn niet toegestaan zonder toestemming van de eigenaar van de zone.",
      "  [7.03.01]",
      "- Toegangsdeuren sluiten automatisch en geven een signaal als ze langer openstaan dan nodig. Het signaal komt",
      "  binnen kantoortijd bij de receptie en daarbuiten bij de alarmcentrale. [7.04.01]",
      "- De ruimte draagt geen aanduiding die de aard of het belang ervan prijsgeeft en staat niet op openbare",
      "  plattegronden. [7.03.01]",
      "- Gevaarlijke of brandbare stoffen worden zo ver van de ruimte opgeslagen dat ze geen gevolgen hebben voor de",
      "  ruimte. [7.05.01]",
      "- Netwerk- en stroombekabeling naar de ruimte loopt niet door openbare ruimten, of is daar afgeschermd.",
      "  [7.12.01]",
      "",
      "## 7. Eisen voor zone 4, kritiek",
      "",
      "Bovenop de eisen voor zone 3. Is de ruimte uitbesteed, dan voldoet de leverancier aan deze eisen via het",
      "contract en een onafhankelijke verklaring (hoofdstuk 1).",
      "",
      "- Toegang loopt via een toegangssysteem met een autorisatiestructuur en persoonlijke toegangsmiddelen.",
      "  [7.02.01]",
      "- Leveranciers krijgen geen toegang zonder toezicht van een bevoegde medewerker, tenzij de eigenaar van de",
      "  zone daar uitdrukkelijk toestemming voor geeft. [7.02.01]",
      "- De identiteit van bezoekers en leveranciers wordt vastgesteld aan de hand van een identiteitsbewijs voordat",
      "  zij toegang krijgen. De begeleidende medewerker registreert datum en tijd van binnenkomst en vertrek.",
      "  [7.02.01]",
      "- Camera's registreren de toegang tot de ruimte. De beelden staan in het verwerkingsregister en worden niet",
      "  langer bewaard dan [[bewaartermijn camerabeelden: de vastgestelde termijn, bijvoorbeeld vier weken]],",
      "  tenzij een incident langer bewaren rechtvaardigt. [7.04.01]",
      "- De ruimte heeft een noodstroomvoorziening (UPS) tegen stroomuitval en storingen in de nutsvoorzieningen,",
      "  en een voorziening die bij een langdurige storing stroom levert, zoals een aggregaat. Beide worden getest volgens",
      "  [[testschema noodstroom: hoe vaak de UPS en de langdurige voorziening worden getest, bijvoorbeeld halfjaarlijks en jaarlijks]].",
      "  [7.05.01]",
      "- Een klimaatinstallatie regelt en bewaakt temperatuur en luchtvochtigheid. [7.05.01]",
      "- De ruimte is beschermd tegen wateroverlast en tegen stroompieken, met een voorziening die waterschade",
      "  signaleert en beperkt. [7.05.01]",
      "- Automatische branddetectie is aangesloten op de alarmcentrale en er is een blusvoorziening die geschikt is",
      "  voor ICT-apparatuur. Beide worden jaarlijks gecontroleerd en onderhouden. [7.05.01]",
      "- De eigenaar van de zone voert jaarlijks een risicobeoordeling uit op omgevingsdreigingen (oproer,",
      "  terrorisme, explosies), brand, overstroming en aardbeving, en op de ligging van de ruimte ten opzichte van",
      "  water, breuklijnen en hoogte, en volgt de uitkomsten op. [7.05.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ot",
       "niet": false,
       "antwoorden": [
        "beperkt",
        "substantieel"
       ]
      }
     ],
     "regels": [
      "- Ruimten met operationele technologie (gemalen, sluizen, installaties, gebouwbeheer) staan in het",
      "  zoneringsplan, in zone 3 of hoger. Besturingskasten en lokale bedieningspanelen zitten achter slot en",
      "  worden bij elke inspectie gecontroleerd op sporen van openbreken. [7.01.02, 7.03.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 8. Incidenten, monitoring en waarschuwingen",
      "",
      "Ongeacht de zone:",
      "",
      "- Fysieke beveiligingsincidenten, zoals een inbraak of een poging daartoe, onbevoegde toegang, verlies of",
      "  diefstal van een toegangsmiddel en uitval van een beveiligingsvoorziening, worden direct gemeld en",
      "  afgehandeld volgens het beleid beveiligingsincidenten. [7.04.01]",
      "- [[lijneigenaar fysieke beveiliging]] beoordeelt elke maand de logging van het toegangssysteem en de",
      "  alarmmeldingen op afwijkingen, zoals herhaalde mislukte toegangspogingen of toegang buiten de reguliere",
      "  werktijden. [7.04.01]",
      "- Bij een concreet beveiligingsrisico voor een locatie, zoals een dreiging, een inbraak of een verdachte",
      "  situatie, waarschuwt [[meldpunt fysieke beveiliging: de functie die de waarschuwing doet, bijvoorbeeld de coördinator beveiliging]]",
      "  volgens de gemaakte afspraken de relevante collega's in het beveiligingsdomein van de overheid: de CISO, de",
      "  beveiligingscoördinatoren van samenwerkingspartners op dezelfde locatie en, bij een strafbaar feit, de",
      "  politie. [7.02.01]",
      "- De afspraken over wie wie waarschuwt, met welk kanaal en binnen welke tijd, staan in",
      "  [[afsprakenlijst waarschuwingen: document met de contactpersonen en kanalen per partner]] en worden",
      "  jaarlijks gecontroleerd. [7.02.01]",
      "",
      "## 9. Toegangspassen dragen",
      "",
      "- Bezoekers, leveranciers en andere externen dragen hun pas zichtbaar zolang zij in een gebouw van de",
      "  organisatie zijn. De pas laat alleen zien dat de drager een externe is, bijvoorbeeld met de tekst",
      "  \"Bezoeker\". [7.02.01]",
      "- Of medewerkers hun pas zichtbaar dragen, staat in [[pasregels medewerkers: de huisregel over het dragen van de pas]].",
      "  Op de pas staat zo min mogelijk informatie, zodat een verloren of gestolen pas weinig prijsgeeft. [7.02.01]",
      "",
      "## 10. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar fysieke beveiliging]] | Eigenaar van dit beleid en van het zoneringsplan; beheer van het toegangssysteem en van de uitgifte en inname van toegangsmiddelen; bewaking, alarmopvolging en receptie; maandelijkse beoordeling van logging en alarmmeldingen |",
      "| Eigenaar van een zone | Goedkeuren van toegangsverzoeken, halfjaarlijkse controle van de toegangsmiddelen, jaarlijkse beoordeling van het niveau van de zone en van de omgevingsdreigingen |",
      "| CISO | Advies over dit beleid, jaarlijkse toetsing van opzet en werking, beoordeling van afwijkingen, ontvangst van waarschuwingen bij concrete dreigingen |",
      "| [[meldpunt fysieke beveiliging]] | Waarschuwen van de partners in het beveiligingsdomein van de overheid |",
      "| Inkoop en contractbeheer | Vastleggen van de eisen uit dit beleid bij leveranciers die ruimten beheren of toegang krijgen, en toetsen van hun verklaringen |",
      "| Medewerkers en inhuur | Hun toegangsmiddel persoonlijk gebruiken en niet uitlenen, niemand mee laten lopen door een beveiligde deur, bezoekers begeleiden, verlies en verdachte situaties direct melden |",
      "",
      "## 11. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| FYS-01 | Het zoneringsplan is actueel: elke ruimte heeft een zone en een eigenaar, elke ruimte van zone 4 ligt binnen zone 3, en de zones in het toegangssysteem komen overeen met het plan | Eigenaar van elke zone van zone 3 of hoger | Jaarlijks | Zoneringsplan, rapport uit het toegangssysteem, vastgelegde beoordeling | 7.01.02 |",
      "| FYS-02 | Toegang tot zone 3 en 4 wordt alleen toegekend na goedkeuring van de eigenaar van de zone | Eigenaar van de zone | Per aanvraag | Aanvraag en goedkeuring in de registratie | 7.02.01 |",
      "| FYS-03 | Toegangsmiddelen worden na uitdiensttreding, einde opdracht of functiewijziging uiterlijk op de laatste werkdag ingenomen of aangepast | [[lijneigenaar fysieke beveiliging]] | Maandelijks | Vergelijking van de personeelsmutaties met de mutaties in het toegangssysteem | 7.02.01 |",
      "| FYS-04 | De uitgegeven toegangsmiddelen per zone zijn alleen in gebruik bij bevoegde personen met een doelbinding | Eigenaar van de zone | Halfjaarlijks | Rapport uit het toegangssysteem met de beoordeling per persoon | 7.02.01 |",
      "| FYS-05 | De fysieke voorzieningen voldoen aan de eisen per zone: bouwkundige schil, alarm, bewaking, klimaat, noodstroom, brand- en waterbeveiliging, bekabeling | [[lijneigenaar fysieke beveiliging]] | Halfjaarlijks | Ingevulde checklist per locatie, testrapporten van UPS, aggregaat en brandvoorzieningen | 7.03.01, 7.04.01, 7.05.01, 7.12.01 |",
      "| FYS-06 | Logging van het toegangssysteem en alarmmeldingen zijn beoordeeld op afwijkingen en afwijkingen zijn opgevolgd | [[lijneigenaar fysieke beveiliging]] | Maandelijks | Beoordelingsverslag met de opgevolgde afwijkingen | 7.04.01 |",
      "| FYS-07 | De jaarlijkse risicobeoordeling van omgevingsdreigingen voor elke zone 4 is uitgevoerd en opgevolgd | Eigenaar van de zone | Jaarlijks | Risicobeoordeling en opvolging | 7.05.01 |",
      "| FYS-08 | Waarschuwingen bij concrete beveiligingsrisico's zijn volgens de afsprakenlijst verzonden en ontvangen waarschuwingen zijn opgevolgd; de afsprakenlijst is actueel | CISO | Jaarlijks, en na elke waarschuwing | Registratie van meldingen en waarschuwingen, afsprakenlijst | 7.02.01 |",
      "| FYS-09 | Leveranciers die ruimten beheren leveren een geldige onafhankelijke verklaring over hun fysieke beveiliging | Contractbeheer | Jaarlijks | Verklaring per leverancier, beoordeling van de uitzonderingen | 7.01.02, 7.03.01, 7.05.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De eigenaar",
      "van de zone dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De",
      "afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 12. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. De zones volgen het beleid",
      "informatieclassificatie. Het beleid raakt het beleid bedrijfsmiddelenbeheer (werken in beveiligde zones,",
      "apparatuur en nutsvoorzieningen), het beleid afvoer en hergebruik van gegevensdragers, het beleid back-up en",
      "recovery (uitwijk- en opslaglocaties), het continuïteitsbeleid (noodstroom en uitwijk), het beleid",
      "beveiligingsincidenten (melden en afhandelen) en het beleid informatiebeveiliging bij inkoop en",
      "contractbeheer (eisen aan en verklaringen van leveranciers).",
      ""
     ]
    }
   ],
   "bestand": "12-fysiek.md"
  },
  {
   "domein": "gegevensdragers",
   "titel": "Beleid afvoer en hergebruik van gegevensdragers",
   "samenvatting": "Over gegevensdragers, van USB-stick en harde schijf tot papier, en over informatie in systemen die niet meer nodig is. Behandelt het gebruik van verwijderbare media, wissen en vernietigen, afvoer en hergebruik van apparatuur, wissen in systemen en transport.",
   "invoeren": [
    "Blokkeer verwijderbare media op beheerde werkplekken en richt een uitzonderingenregister in (hoofdstuk 3).",
    "Stel een verwijderinstructie op met de methode per type drager en per label (hoofdstuk 4).",
    "Kies wisproducten met een positief NBV-inzetadvies of leg het alternatief vast (hoofdstuk 4).",
    "Richt een wisverslag per drager in met kenmerk, methode, product, datum en controle (hoofdstuk 4).",
    "Neem methode, controle en vernietigingscertificaat per drager op in contracten met vernietigingsleveranciers (hoofdstuk 4).",
    "Leg per gegevensverzameling de bewaartermijn vast en richt automatisch wissen in (hoofdstuk 6).",
    "Stel een transportprocedure met transportregistratie op voor gegevensdragers (hoofdstuk 7).",
    "Leg de betrouwbaarheidseisen voor koeriers en transporteurs vast in een document (hoofdstuk 7)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor gegevensdragers: alles waarop",
      "informatie van de organisatie is opgeslagen en dat los kan worden gebruikt, vervoerd, hergebruikt of",
      "afgevoerd. Het doel is dat informatie niet uitlekt bij gebruik, transport, reparatie, hergebruik of afvoer",
      "van die dragers, en dat informatie die niet meer nodig is ook uit de systemen verdwijnt. Het gaat over de",
      "ISO-beheersmaatregelen 7.10, 7.14 en 8.10.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de afdeling die dragers en apparatuur beheert, wist en",
      "afvoert, en voor de eigenaren van de informatie die erop staat. De gedragsregels gelden voor iedereen die",
      "gegevensdragers van de organisatie gebruikt, beheert of vervoert: medewerkers, inhuur, stagiairs,",
      "vrijwilligers en leveranciers.",
      "",
      "**Waarop.** Verwijderbare media (USB-sticks, externe schijven, geheugenkaarten, optische schijven,",
      "back-uptapes), vaste opslag in apparatuur (harde schijven en SSD's in werkplekken, servers, printers,",
      "multifunctionals en netwerkapparatuur), opslag in mobiele apparaten, papier, en de informatie in systemen en",
      "clouddiensten die gewist moet worden als zij niet meer nodig is. Is het wissen, vernietigen, vervoeren of",
      "opslaan uitbesteed, bijvoorbeeld aan een vernietigingsbedrijf, een koerier of een clouddienst, dan gelden de",
      "eisen uit dit beleid als minimumeis voor die leverancier. De organisatie legt dat vast in het contract en",
      "toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of",
      "ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het",
      "beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de inventaris en de inname van apparatuur (beleid bedrijfsmiddelenbeheer), de",
      "versleutelingseisen zelf (beleid cryptografie), de bewaartermijnen uit de Archiefwet en de selectielijsten",
      "(archiefbeheer) en het maken en bewaren van back-ups (beleid back-up en recovery).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Informatie hoort in de systemen van de organisatie. Een verwijderbaar medium is de uitzondering en vraagt",
      "   een besluit.",
      "2. Een drager die de organisatie verlaat, bevat geen leesbare informatie van de organisatie meer, tenzij het",
      "   transport daarvoor bedoeld is en beveiligd is.",
      "3. Wissen is pas klaar als het is gecontroleerd en vastgelegd.",
      "4. Informatie die niet meer nodig is, wordt gewist: bewaren zonder doel vergroot de schade bij een incident.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Gebruik van verwijderbare media",
      "",
      "- Het opslaan van informatie op verwijderbare media is standaard niet toegestaan en technisch geblokkeerd op",
      "  beheerde werkplekken. Een uitzondering vraagt de gebruiker aan bij",
      "  [[aanvraagpunt uitzonderingen: de functie die uitzonderingen op dit beleid registreert, bijvoorbeeld de servicedesk]],",
      "  met akkoord van de leidinggevende en, voor informatie met het label vertrouwelijk of hoger, van de CISO.",
      "  Een uitzondering geldt ten hoogste een jaar en staat in het uitzonderingenregister. [7.10.01]",
      "- Toegestane media zijn eigendom van de organisatie, staan in de inventaris met de gebruiker als beheerder",
      "  en zijn versleuteld volgens het beleid cryptografie. Privémedia worden niet gebruikt voor informatie van de",
      "  organisatie. [7.10.01]",
      "- Een medium met informatie met het label vertrouwelijk of hoger bewaart de gebruiker achter slot als hij",
      "  het niet gebruikt, en meldt hij bij verlies direct als beveiligingsincident. [7.10.01]",
      "- Media die de organisatie niet meer nodig heeft, levert de gebruiker in bij",
      "  [[uitgiftepunt apparatuur: de functie die apparatuur en media uitgeeft en inneemt, bijvoorbeeld de servicedesk]];",
      "  het uitgiftepunt wist of vernietigt ze volgens hoofdstuk 4. [7.10.01]",
      "",
      "## 4. Wissen en vernietigen",
      "",
      "- [[lijneigenaar gegevensdragers: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd IT]] stelt een",
      "  verwijderinstructie voor gegevensdragers vast en beoordeelt die jaarlijks. Die schrijft voor dat van elk",
      "  herbruikbaar medium dat de organisatie verlaat (verkoop, retour aan leverancier, reparatie, schenking,",
      "  einde lease) eerst alle informatie onherstelbaar wordt verwijderd. Het gaat daarbij om de hele drager,",
      "  niet alleen om de bestanden die de gebruiker kent. [7.10.01]",
      "- De verwijderinstructie noemt per type drager en per vertrouwelijkheidslabel de toegestane methode:",
      "  cryptografisch wissen of overschrijven met een erkende methode voor herbruikbare dragers, en fysieke",
      "  vernietiging (versnipperen, desintegreren) voor dragers die niet betrouwbaar te wissen zijn, defecte",
      "  dragers en dragers met informatie met het label geheim. [7.10.01]",
      "- Voor het wissen gebruikt de organisatie waar mogelijk producten met een positief inzetadvies van het NBV.",
      "  Wijkt de organisatie daarvan af, dan legt de CISO de reden en het gekozen alternatief vast. [7.10.02]",
      "- Na het wissen controleert de uitvoerder per drager met een steekproef of een verificatiefunctie van het",
      "  wisproduct dat er geen informatie meer te herstellen is. Van elke gewiste of vernietigde drager maakt de",
      "  uitvoerder een verslag met: kenmerk uit de inventaris, methode, product en versie, datum, uitvoerder en",
      "  uitkomst van de controle. Het verslag wordt bewaard gedurende [[bewaartermijn wisverslag: standaard zeven jaar]]. [7.10.02]",
      "- Laat de organisatie het wissen of vernietigen uitvoeren door een leverancier, dan staan de methode, de",
      "  controle en het verslag per drager (vernietigingscertificaat met serienummers) in het contract.",
      "  [[uitgiftepunt apparatuur]] vergelijkt elke levering van certificaten met de lijst van afgegeven dragers en",
      "  legt verschillen vast als afwijking. [7.10.02]",
      "- Papier met informatie met het label intern of hoger gaat in afgesloten containers voor vernietiging; de",
      "  vernietigingsleverancier levert per lediging een certificaat. [7.10.01]",
      "",
      "## 5. Afvoer en hergebruik van apparatuur",
      "",
      "- Apparatuur met vaste opslag die de organisatie verlaat of een andere gebruiker krijgt (verkoop, schenking,",
      "  einde lease, hergebruik binnen de organisatie, afvoer als afval) gaat eerst langs",
      "  [[uitgiftepunt apparatuur]]. Het uitgiftepunt stelt vast of de apparatuur opslag bevat, wist die volgens",
      "  de verwijderinstructie of haalt de opslag eruit voor vernietiging, en legt dat vast in het wisverslag.",
      "  [7.14.01]",
      "- Bij hergebruik binnen de organisatie wordt de apparatuur teruggezet naar de fabrieksinstellingen of",
      "  opnieuw geïnstalleerd, zodat de nieuwe gebruiker geen gegevens, accounts of licenties van de vorige",
      "  gebruiker ziet. [7.14.01]",
      "- Voor afvoer verwijdert het uitgiftepunt licenties en registraties van de apparatuur (apparaatbeheer,",
      "  cloudtenant, netwerkbeheer), haalt stickers en labels van de organisatie eraf en zet de apparatuur in de",
      "  inventaris op afgevoerd met de datum en de bestemming. [7.14.01]",
      "- Apparatuur die voor reparatie of garantie de organisatie verlaat, gaat zonder opslag weg of wordt eerst",
      "  gewist. Kan dat niet, dan gaat de reparatie alleen naar een leverancier met een geheimhoudingsclausule en",
      "  wordt de drager bij terugkomst gewist of vervangen; het uitgiftepunt legt dat per reparatie vast.",
      "  [7.14.01]",
      "- Printers, multifunctionals en netwerkapparatuur met opslag vallen onder dezelfde regels; bij einde van een",
      "  huur- of leasecontract staat in het contract dat de leverancier de opslag wist of afgeeft en daarvan een",
      "  verslag levert. [7.14.01]",
      "",
      "## 6. Wissen van informatie in systemen",
      "",
      "- De proceseigenaar legt per gegevensverzameling vast hoe lang de informatie nodig is, op basis van de",
      "  bewaartermijnen uit de selectielijst en de wet, en zorgt dat de systeemeigenaar de informatie na afloop van",
      "  die termijn wist of vernietigt, tenzij een wettelijke bewaarplicht of een lopend juridisch geschil dat",
      "  verhindert. [8.10.01]",
      "- Systemen zijn zo ingericht dat verlopen informatie automatisch wordt gewist of ter vernietiging wordt",
      "  aangeboden; waar dat niet kan, voert de systeemeigenaar het wissen ten minste jaarlijks handmatig uit en",
      "  legt dat vast. [8.10.01]",
      "- Verzoeken van betrokkenen om wissing op grond van de AVG handelt de proceseigenaar af binnen de wettelijke",
      "  termijn van een maand, in alle systemen en back-ups waarin de gegevens staan, met een vastlegging van wat",
      "  is gewist. [8.10.01]",
      "- Bij het einde van een clouddienst of een contract met een leverancier staat in het contract dat de",
      "  leverancier de informatie van de organisatie binnen een afgesproken termijn wist, ook uit back-ups, en dat",
      "  schriftelijk bevestigt. Contractbeheer controleert de bevestiging bij elke beëindiging. [8.10.01]",
      "- Test- en ontwikkelomgevingen bevatten geen productiegegevens met het label vertrouwelijk of hoger, tenzij",
      "  de proceseigenaar daar schriftelijk mee instemt; die gegevens worden na afloop van de test direct gewist.",
      "  [8.10.01]",
      "- Informatie die de organisatie wist, verdwijnt ook uit kopieën die medewerkers lokaal of in",
      "  samenwerkingsomgevingen hebben bewaard; de gedragsregels uit het beleid bedrijfsmiddelenbeheer verbieden",
      "  het bewaren van eigen kopieën buiten de systemen van de organisatie. [8.10.01]",
      "",
      "## 7. Transport",
      "",
      "- Gegevensdragers met informatie worden vervoerd volgens een vaste transportprocedure: versleuteld, in een",
      "  verzegelde verpakking en met een registratie van inhoud, afzender, ontvanger, vervoerder, datum van",
      "  verzending en bevestiging van ontvangst. [[uitgiftepunt apparatuur]] houdt de transportregistratie bij.",
      "  [7.10.03]",
      "- Wie dragers met informatie met het label vertrouwelijk of hoger vervoert of laat vervoeren, is daartoe",
      "  door de eigenaar van de informatie gemachtigd; de machtiging staat in de transportregistratie. [7.10.03]",
      "- De organisatie zet voor het vervoer van geclassificeerde informatie alleen koeriers of transporteurs in die",
      "  voldoen aan vooraf vastgestelde betrouwbaarheidseisen. Die eisen staan in",
      "  [[eisen aan koeriers: het document met de betrouwbaarheidseisen, zoals VOG of screening van chauffeurs, verzegeling, volgsysteem en overdrachtsprotocol]]",
      "  en inkoop toetst ze bij de selectie en bij elke contractverlenging. [7.10.03]",
      "- Kan informatie op een drager niet worden versleuteld, dan vervoert een gemachtigde medewerker de drager",
      "  persoonlijk of gaat het transport in een verzegelde, afgesloten verpakking met overdracht tegen",
      "  handtekening. [7.10.03]",
      "- Back-upmedia die naar een andere locatie gaan, volgen dezelfde transportprocedure; het beleid back-up en",
      "  recovery zegt hoe vaak en waarheen. [7.10.03]",
      "",
      "## 8. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar gegevensdragers]] | Eigenaar van dit beleid, de verwijderinstructie en de transportprocedure; jaarlijkse beoordeling ervan |",
      "| [[uitgiftepunt apparatuur]] | Wissen, vernietigen, controle en verslag per drager en per apparaat; registratie in de inventaris; transportregistratie; vergelijking van vernietigingscertificaten |",
      "| Proceseigenaar (eigenaar van de informatie) | Bewaartermijnen per gegevensverzameling, wissing na afloop, afhandeling van wisverzoeken, machtiging voor transport, instemming met productiegegevens in testomgevingen |",
      "| Systeemeigenaar | Inrichting van automatisch wissen, jaarlijks handmatig wissen waar nodig, vastlegging |",
      "| Inkoop en contractbeheer | Eisen aan wis- en vernietigingsleveranciers, koeriers en clouddiensten in het contract; controle van wisbevestigingen bij beëindiging |",
      "| CISO | Advies, jaarlijkse toetsing van opzet en werking van dit beleid, akkoord op uitzonderingen voor vertrouwelijk en hoger, besluit bij afwijking van het NBV-advies |",
      "| Medewerkers en inhuur | Geen informatie op losse dragers zonder uitzondering, media achter slot bewaren, verlies van een drager direct melden als incident |",
      "",
      "## 9. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| AHG-01 | Elke drager en elk apparaat met opslag dat in de inventaris op afgevoerd, gerepareerd of hergebruikt staat, heeft een wisverslag of een vernietigingscertificaat met serienummer | [[lijneigenaar gegevensdragers]] | Per kwartaal | Vergelijking van de inventaris met de wisverslagen en certificaten, lijst van dragers zonder verslag en hun afhandeling | 7.10.01, 7.10.02, 7.14.01 |",
      "| AHG-02 | Gewiste dragers bevatten geen herstelbare informatie en de gebruikte wisproducten hebben een NBV-inzetadvies of een vastgelegd alternatief | CISO | Jaarlijks | Steekproef van ten minste vijf gewiste dragers, gecontroleerd met forensische software; lijst van wisproducten | 7.10.02 |",
      "| AHG-03 | Uitzonderingen voor verwijderbare media zijn geregistreerd, goedgekeurd en niet ouder dan een jaar; de blokkering op beheerde werkplekken werkt | [[aanvraagpunt uitzonderingen]] | Jaarlijks | Uitzonderingenregister, testverslag van de blokkering, lijst van ingetrokken uitzonderingen | 7.10.01 |",
      "| AHG-04 | Transporten van dragers zijn geregistreerd met machtiging en ontvangstbevestiging, en ingezette koeriers en vernietigingsleveranciers voldoen aan de vastgestelde eisen | Contractbeheer | Jaarlijks | Transportregistratie, toetsverslag per leverancier, verklaringen van leveranciers | 7.10.03 |",
      "| AHG-05 | Informatie waarvan de bewaartermijn is verlopen is gewist, wisverzoeken van betrokkenen zijn binnen een maand afgehandeld en beëindigde leveranciers hebben wissing bevestigd | Proceseigenaar, met een overzicht van de CISO | Jaarlijks | Overzicht per gegevensverzameling van de bewaartermijn en de laatste wissing, register van wisverzoeken, wisbevestigingen van leveranciers | 8.10.01 |",
      "| AHG-06 | Hergebruikte en afgevoerde apparatuur is teruggezet naar de fabrieksinstellingen, uit de registraties verwijderd en in de inventaris bijgewerkt | [[uitgiftepunt apparatuur]] | Halfjaarlijks | Steekproef van ten minste vijf apparaten tegen apparaatbeheer, cloudtenant en inventaris | 7.14.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De eigenaar",
      "van de informatie dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de",
      "looptijd. De afwijking geldt pas na acceptatie van het risico door",
      "[[risico-eigenaar: de manager die restrisico's accepteert]] en staat in het risicoregister; afwijkingen",
      "worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 10. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid",
      "bedrijfsmiddelenbeheer (inventaris, inname en gedragsregels), het beleid informatieclassificatie (labels die",
      "de methode bepalen), het beleid cryptografie (versleuteling van dragers), het beleid mobile device management",
      "(wissen op afstand), het beleid back-up en recovery (transport en opslag van back-upmedia, wissen uit",
      "back-ups), het beleid beveiligingsincidenten (verloren dragers), het beleid informatiebeveiliging bij inkoop",
      "en contractbeheer (eisen aan en verklaringen van leveranciers) en het archiefbeheer van de organisatie",
      "(bewaartermijnen en selectielijsten).",
      ""
     ]
    }
   ],
   "bestand": "13-gegevensdragers.md"
  },
  {
   "domein": "mdm",
   "titel": "Beleid mobile device management",
   "samenvatting": "Regelt de inrichting, het beheer en het gebruik van laptops, smartphones en tablets met toegang tot bedrijfsinformatie. Gaat over zero footprint en bescherming op het apparaat, beheer via MDM en MAM, en de gebruikersovereenkomst mobiel werken.",
   "invoeren": [
    "Richt wissen op afstand in, met een meldroute voor verlies via de servicedesk (hoofdstuk 3).",
    "Stel een reisrichtlijn apparatuur op met de landen en voorwaarden voor reisapparaten (hoofdstuk 3).",
    "Schrijf elk mobiel apparaat met toegang tot bedrijfsinformatie in bij MDM of MAM (hoofdstuk 4).",
    "Stel nalevingsregels in die versleuteling, vergrendeling, ondersteunde versie en wissen op afstand afdwingen (hoofdstuk 4).",
    "Leg de inrichting van MDM en MAM vast als configuratiestandaard (hoofdstuk 4).",
    "Richt een nalevingsrapportage per apparaat in voor de lijneigenaar en de CISO (hoofdstuk 4).",
    "Stel een gebruikersovereenkomst mobiel werken op en laat elke mobiele gebruiker tekenen (hoofdstuk 5).",
    "Richt een gastnetwerk in dat logisch gescheiden is van het bedrijfsnetwerk (hoofdstuk 5)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor mobiele apparatuur waarmee",
      "bedrijfsinformatie wordt verwerkt: laptops, smartphones en tablets van de organisatie en, waar dat is",
      "toegestaan, eigen apparaten van medewerkers. Het regelt hoe die apparaten zijn ingericht, beheerd en gebruikt,",
      "zodat bedrijfsinformatie beschermd blijft bij verlies, diefstal en werken buiten de locaties van de",
      "organisatie. Het gaat over ISO-beheersmaatregel 8.1.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de afdeling die het apparaatbeheer inricht en voor de",
      "servicedesk die uitgifte, verlies en wissen afhandelt. De gedragsregels gelden voor iedereen die mobiel werkt",
      "met bedrijfsinformatie: medewerkers, inhuur, stagiairs en vrijwilligers.",
      "",
      "**Waarop.** Alle laptops, smartphones en tablets met toegang tot bedrijfsinformatie, de apps en diensten die",
      "daarop draaien, en de voorzieningen voor apparaatbeheer (MDM) en appbeheer (MAM). Is het apparaatbeheer of",
      "de werkplekdienst uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor die leverancier. De",
      "organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een",
      "ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid",
      "informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de inventaris en uitgifte van apparatuur (beleid bedrijfsmiddelenbeheer), de",
      "versleutelingseisen (beleid cryptografie), de netwerktoegang en het wifinetwerk (beleid netwerkbeveiliging),",
      "de accounts en de meerfactorauthenticatie (beleid logische toegangsbeveiliging) en het wissen van",
      "apparatuur bij afvoer (beleid afvoer en hergebruik van gegevensdragers).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Bedrijfsinformatie blijft zo veel mogelijk in de centrale systemen. Op het apparaat staat niets, of zo min",
      "   mogelijk en dan versleuteld.",
      "2. Alleen beheerde apparaten of beheerde apps krijgen toegang tot bedrijfsinformatie.",
      "3. De gebruiker weet wat de risico's van mobiel werken zijn en heeft getekend dat hij veilig werkt.",
      "4. Een apparaat dat niet meer aan de eisen voldoet, verliest zijn toegang automatisch; de techniek dwingt",
      "   het beleid af, de gebruiker hoeft er niet aan te denken.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Zero footprint en bescherming op het apparaat",
      "",
      "- De beheerder MDM richt apps en diensten voor mobiele apparaten zo in dat bedrijfsinformatie niet standaard",
      "  op het apparaat wordt opgeslagen: werken gebeurt via de browser, een virtuele werkplek of een beheerde app",
      "  die geen lokale kopie bewaart. [8.01.01]",
      "- Waar dat nog niet kan, staat bedrijfsinformatie alleen in een beheerde, versleutelde container of op een",
      "  volledig versleuteld apparaat. Het apparaat is beveiligd met een pincode van ten minste zes cijfers, een",
      "  wachtwoord of biometrie, met automatische vergrendeling na ten hoogste vijf minuten; de beheerder MDM",
      "  dwingt die instellingen af. [8.01.01]",
      "- Van elk apparaat met toegang tot bedrijfsinformatie kan de organisatie de bedrijfsinformatie op afstand",
      "  wissen. Bij verlies of diefstal meldt de gebruiker dat direct bij de servicedesk; de servicedesk wist",
      "  binnen [[wistermijn: standaard vier uur na de melding]], blokkeert de toegang van het apparaat en registreert de melding als",
      "  beveiligingsincident volgens het beleid beveiligingsincidenten. [8.01.01]",
      "- Informatie met het label strikt vertrouwelijk of geheim uit het beleid informatieclassificatie staat nooit lokaal",
      "  op een mobiel apparaat; de beheerder MDM blokkeert downloaden en offline beschikbaar maken voor die labels",
      "  waar de systemen dat ondersteunen. [8.01.01]",
      "- Bij reizen naar landen waar de organisatie een verhoogd risico ziet, geeft de servicedesk op verzoek een",
      "  schoon reisapparaat uit, dat na terugkomst wordt gewist; welke landen dat zijn, staat in",
      "  [[reisrichtlijn apparatuur: het document met de landen en de voorwaarden voor reisapparatuur]].",
      "  [8.01.01]",
      "",
      "## 4. Beheer van apparaten",
      "",
      "- Elk mobiel apparaat met toegang tot bedrijfsinformatie valt onder een MDM-oplossing (beheer van het hele",
      "  apparaat) of, voor eigen apparaten, een MAM-oplossing (beheer van de bedrijfsapps). De beheerder MDM",
      "  schrijft het apparaat in vóór uitgifte; inschrijving is een voorwaarde voor toegang. [8.01.02]",
      "- Via MDM of MAM dwingt de beheerder MDM ten minste af: versleuteling, schermvergrendeling, een ondersteunde",
      "  versie van het besturingssysteem, geen root of jailbreak, geen onbekende appbronnen en wissen op afstand.",
      "  Een apparaat dat niet voldoet, verliest automatisch de toegang tot bedrijfsinformatie en de gebruiker",
      "  krijgt een melding met wat hij moet doen. [8.01.02]",
      "- Mobiele apparaten vallen onder patchmanagement en hardening volgens het beleid vulnerability- en",
      "  patchmanagement. De beheerder MDM installeert beveiligingsupdates van het besturingssysteem en de",
      "  bedrijfsapps binnen de termijnen uit dat beleid, of dwingt de installatie af bij de gebruiker; apparaten",
      "  waarvoor de fabrikant geen updates meer levert, worden binnen drie maanden uitgefaseerd. [8.01.02]",
      "- Apps op beheerde apparaten komen uit de officiële winkel of uit de beheerde bedrijfscatalogus. De",
      "  beheerder MDM beoordeelt elk kwartaal de lijst van geïnstalleerde apps op apps die bedrijfsinformatie",
      "  kunnen lezen of doorsturen, en blokkeert apps die niet zijn toegestaan. [8.01.02]",
      "- De beheerder MDM houdt een nalevingsrapportage bij met per apparaat de inschrijving, de versie van het",
      "  besturingssysteem, de laatste contactdatum en de nalevingsstatus, en rapporteert die elk kwartaal aan",
      "  [[lijneigenaar mobiele apparatuur: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd IT]] en de",
      "  CISO. Apparaten zonder contact in de afgelopen drie maanden worden geblokkeerd en bij de gebruiker",
      "  nagevraagd. [8.01.02]",
      "- De beheerder MDM legt de inrichting van MDM en MAM (nalevingsregels, app-beleid, voorwaardelijke toegang)",
      "  vast als configuratiestandaard en beheert wijzigingen daarin via het beleid wijzigingsbeheer. [8.01.02]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "byod",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- Eigen apparaten zijn toegestaan onder de voorwaarden in",
      "  [[regeling eigen apparaten: welke apparaten, besturingssystemen en diensten zijn toegestaan]].",
      "  Op een eigen apparaat staat bedrijfsinformatie alleen in beheerde apps (MAM); de organisatie wist bij vertrek",
      "  of verlies alleen die apps en hun gegevens, niet het hele apparaat. De medewerker stemt daar vooraf",
      "  schriftelijk mee in; HR bewaart de instemming bij de gebruikersovereenkomst. [8.01.01]",
      "- Een eigen apparaat krijgt pas toegang als het een ondersteunde versie van het besturingssysteem heeft, een",
      "  schermvergrendeling en versleuteling van de opslag. De toegangsvoorziening controleert dat bij elke",
      "  aanmelding; de beheerder MDM ziet eigen apparaten in dezelfde nalevingsrapportage als apparaten van de",
      "  organisatie. [8.01.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "byod",
       "niet": false,
       "antwoorden": [
        "nee"
       ]
      }
     ],
     "regels": [
      "- Eigen apparaten krijgen geen toegang tot bedrijfsinformatie, ook niet via webmail of de browser. De",
      "  toegangsvoorziening laat alleen apparaten toe die de organisatie beheert; de beheerder MDM test dat",
      "  jaarlijks met een niet-beheerd apparaat. [8.01.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "cloud"
       ]
      }
     ],
     "regels": [
      "- Toegang tot de cloudwerkplek vanaf een mobiel apparaat loopt via voorwaardelijke toegang: meerfactor plus",
      "  een apparaat of app die volgens het MDM of MAM aan de eisen voldoet. Opslaan, kopiëren naar niet-beheerde",
      "  apps en lokaal synchroniseren van bestanden zijn op niet-beheerde apparaten uitgeschakeld. De beheerder MDM",
      "  test de regels voor voorwaardelijke toegang bij elke wijziging en ten minste jaarlijks. [8.01.01, 8.01.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "hybride"
       ]
      }
     ],
     "regels": [
      "- Mobiele apparaten krijgen toegang tot clouddiensten via voorwaardelijke toegang op basis van de MDM- of",
      "  MAM-status, en tot de lokale of virtuele werkplek alleen via een beveiligde verbinding (bijvoorbeeld een",
      "  VPN of een gateway voor de virtuele werkplek) vanaf een beheerd apparaat. De beheerder MDM stemt de",
      "  beheerinstellingen voor beide routes op elkaar af, zodat een apparaat dat voor de ene route is",
      "  geblokkeerd, ook de andere verliest, en test dat ten minste jaarlijks. [8.01.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "on-premises"
       ]
      }
     ],
     "regels": [
      "- Mobiele apparaten krijgen toegang tot de interne omgeving alleen via een beveiligde verbinding",
      "  (bijvoorbeeld een VPN of een gateway voor een virtuele werkplek) vanaf een apparaat dat onder MDM valt.",
      "  Mail en agenda op smartphones lopen via een beheerde app. Werken via een virtuele werkplek is de standaard,",
      "  zodat er geen bedrijfsinformatie op het apparaat komt; de beheerder MDM controleert jaarlijks dat er geen",
      "  andere routes naar de interne omgeving openstaan. [8.01.01, 8.01.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Gebruikersovereenkomst en gedrag",
      "",
      "- Voordat een medewerker mobiel werkt, tekent hij een gebruikersovereenkomst mobiel werken. Daarin verklaart",
      "  hij de risico's te kennen en veilig te werken. De overeenkomst geldt voor alle mobiele apparatuur die hij",
      "  zakelijk gebruikt, ook een eigen apparaat. HR bewaart de getekende overeenkomst in het personeelsdossier of",
      "  het uitgiftesysteem; de servicedesk geeft geen apparaat uit zonder getekende overeenkomst. [8.01.02]",
      "- De overeenkomst gaat ten minste over: direct melden van verlies of diefstal, geen bedrijfsinformatie in",
      "  privéapps of privécloudopslag, geen gedeeld gebruik van het apparaat met anderen, updates installeren, het",
      "  apparaat niet onbeheerd achterlaten, voorzichtig zijn met openbare wifi en het accepteren van wissen op",
      "  afstand. [[lijneigenaar mobiele apparatuur]] beoordeelt de overeenkomst jaarlijks en laat haar opnieuw",
      "  tekenen na een inhoudelijke wijziging. [8.01.02]",
      "- De gebruiker werkt in openbare ruimten en in het openbaar vervoer zo dat anderen niet kunnen meekijken",
      "  (privacyfilter op het scherm, geen gevoelige gesprekken), en voert geen handelingen met informatie met het",
      "  label strikt vertrouwelijk of hoger uit buiten een beveiligde verbinding. [8.01.01]",
      "- Op de locaties van de organisatie gebruiken beheerde apparaten het beveiligde bedrijfsnetwerk; niet-beheerde",
      "  apparaten en gasten gebruiken een gastnetwerk dat logisch gescheiden is van het bedrijfsnetwerk, volgens",
      "  het beleid netwerkbeveiliging. Er is geen open, onbeveiligd wifinetwerk. [8.01.02]",
      "- Bij vertrek of functiewijziging levert de gebruiker het apparaat in volgens het beleid",
      "  bedrijfsmiddelenbeheer; de servicedesk wist het apparaat of de beheerde apps op de laatste werkdag en",
      "  verwijdert het uit het apparaatbeheer. [8.01.01]",
      "",
      "## 6. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar mobiele apparatuur]] | Eigenaar van dit beleid, de inrichting van MDM en MAM, de gebruikersovereenkomst en de reisrichtlijn; ontvangst van de kwartaalrapportage |",
      "| Beheerder MDM | Inschrijving, nalevingsregels, voorwaardelijke toegang, app-beleid, updates, nalevingsrapportage en wissen op afstand |",
      "| Servicedesk | Uitgifte na getekende overeenkomst, melding van verlies of diefstal, wissen binnen de wistermijn, registratie als incident, reisapparatuur, inname bij vertrek |",
      "| HR | Gebruikersovereenkomst mobiel werken en instemming met wissen bij indiensttreding en bij uitgifte |",
      "| CISO | Advies, jaarlijkse toetsing van opzet en werking van dit beleid, beoordeling van de nalevingsrapportages en van afwijkingen |",
      "| Inkoop en contractbeheer | Eisen uit dit beleid in het contract met een uitbestede werkplek- of beheerdienst, toetsen van de verklaring |",
      "| Medewerkers en inhuur | Overeenkomst naleven, updates installeren, apparaat niet delen, verlies of diefstal direct melden |",
      "",
      "## 7. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| MDM-01 | Elk apparaat met toegang tot bedrijfsinformatie is ingeschreven in MDM of MAM, voldoet aan de nalevingsregels en heeft een ondersteund en bijgewerkt besturingssysteem | Beheerder MDM | Per kwartaal | Nalevingsrapportage: aantal apparaten met toegang tegenover aantal ingeschreven, aantal apparaten met verouderd systeem of ontbrekende updates, afhandeling | 8.01.02 |",
      "| MDM-02 | Elke mobiele gebruiker heeft een getekende gebruikersovereenkomst en, bij een eigen apparaat, een instemming met wissen op afstand | HR | Per kwartaal | Vergelijking van de lijst mobiele gebruikers uit MDM en MAM met de getekende overeenkomsten | 8.01.02 |",
      "| MDM-03 | Wissen op afstand werkt en gemelde verliezen zijn binnen de wistermijn gewist en als incident geregistreerd | Beheerder MDM | Jaarlijks | Testverslag van wissen op een testapparaat, incidentregistratie met meldtijd en wistijd per verlies | 8.01.01 |",
      "| MDM-04 | Niet-beheerde apparaten krijgen geen toegang tot bedrijfsinformatie en de regels voor voorwaardelijke toegang en de blokkering van lokaal opslaan werken zoals ingericht | CISO | Jaarlijks | Testverslag met een niet-beheerd apparaat en een beheerd apparaat per route, configuratiestandaard | 8.01.01, 8.01.02 |",
      "| MDM-05 | De geïnstalleerde apps op beheerde apparaten zijn toegestaan en apparaten zonder contact in drie maanden zijn geblokkeerd | Beheerder MDM | Per kwartaal | Applijst met de beoordeling, lijst van geblokkeerde apparaten en de opvolging | 8.01.02 |",
      "| MDM-06 | Een uitbestede werkplek- of beheerdienst levert een geldige onafhankelijke verklaring over het apparaatbeheer | Contractbeheer | Jaarlijks | Verklaring van de leverancier, beoordeling van de uitzonderingen | 8.01.01, 8.01.02 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging.",
      "[[lijneigenaar mobiele apparatuur]] dient het verzoek in bij de CISO, met de reden, de compenserende",
      "maatregelen en de looptijd. De afwijking geldt pas na acceptatie van het risico door",
      "[[risico-eigenaar: de manager die restrisico's accepteert]] en staat in het risicoregister; afwijkingen",
      "worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 8. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid",
      "bedrijfsmiddelenbeheer (uitgifte, inventaris, inname en gedragsregels), het beleid informatieclassificatie",
      "(labels die niet lokaal mogen staan), het beleid cryptografie (versleuteling op het apparaat), het beleid",
      "vulnerability- en patchmanagement (updates en hardening), het beleid logische toegangsbeveiliging (meerfactor",
      "en voorwaardelijke toegang), het beleid netwerkbeveiliging (wifi en externe toegang), het beleid",
      "wijzigingsbeheer (configuratiestandaard), het beleid beveiligingsincidenten (verlies en diefstal), het beleid",
      "afvoer en hergebruik van gegevensdragers (wissen bij afvoer) en het beleid informatiebeveiliging bij inkoop en",
      "contractbeheer (uitbestede werkplekdienst).",
      ""
     ]
    }
   ],
   "bestand": "14-mdm.md"
  },
  {
   "domein": "kwetsbaarheden",
   "titel": "Beleid kwetsbaarheden en patchmanagement",
   "samenvatting": "Regelt hoe de organisatie technische kwetsbaarheden vindt, beoordeelt en binnen vaste termijnen verhelpt. Behandelt bescherming tegen malware, basisconfiguraties en hardening, scannen en penetratietesten, patchtermijnen per risico en het kwetsbaarhedenregister met een maandrapportage aan de directie.",
   "invoeren": [
    "Richt op alle werkplekken, servers en mailvoorzieningen antimalware in die zichzelf automatisch bijwerkt (hoofdstuk 3).",
    "Blokkeer uitvoerbare bestanden en scripts van internet en regel uitzonderingen via de servicedesk (hoofdstuk 3).",
    "Stel per type systeem een basisconfiguratie vast op basis van een erkende baseline (hoofdstuk 4).",
    "Leg de werkelijke configuratie van elk systeem vast in een configuratieregister (hoofdstuk 4).",
    "Richt maandelijkse scans op kwetsbaarheden in voor alle ICT-middelen, waar mogelijk met agents (hoofdstuk 5).",
    "Stel een jaarlijks testprogramma vast met per systeem kwetsbaarheidsanalyse, penetratietest of red-teamtest (hoofdstuk 5).",
    "Richt een kwetsbaarhedenregister in met systeem, risico, eigenaar, termijn en status (hoofdstuk 7).",
    "Richt een maandrapportage aan de directie in over open kwetsbaarheden en de patchstand (hoofdstuk 7)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het vinden, beoordelen en verhelpen",
      "van technische kwetsbaarheden, voor het beheren van de configuratie van systemen en voor de bescherming",
      "tegen malware. Het legt vast wie scant, wie beoordeelt, binnen welke termijn een kwetsbaarheid verholpen is",
      "en waaruit dat blijkt, zodat bekende zwakke plekken niet de ingang worden voor een aanval. Het gaat over de",
      "ISO-beheersmaatregelen 8.7, 8.8 en 8.9.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de beheerorganisatie, de systeemeigenaren en de CISO. De",
      "gedragsregels over downloaden en installeren gelden voor iedereen die met een apparaat of account van de",
      "organisatie werkt: medewerkers, inhuur, stagiairs en leveranciers.",
      "",
      "**Waarop.** Alle ICT-middelen waarmee de organisatie informatie verwerkt: werkplekken, mobiele apparaten,",
      "servers, netwerkcomponenten, databases, applicaties, koppelingen en clouddiensten. Is het beheer van die",
      "middelen of een dienst uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor de leverancier.",
      "De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals",
      "een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid",
      "informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen het melden en afhandelen van incidenten en de procedure voor meldingen van",
      "buiten (CVD), beide in het beleid beveiligingsincidenten, het doorvoeren van een patch als wijziging (beleid",
      "wijzigingsbeheer), het veilig bouwen van eigen software (beleid veilige softwareontwikkeling) en de",
      "inrichting van het netwerk (beleid netwerkbeveiliging).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Wat de organisatie niet kent, kan zij niet patchen. Het overzicht van ICT-middelen uit het beleid",
      "   bedrijfsmiddelenbeheer is de basis voor scannen, patchen en configuratiebeheer.",
      "2. De termijn voor het verhelpen van een kwetsbaarheid volgt uit de kans op misbruik en de verwachte",
      "   schade, met het impactniveau van het systeem als maat voor die schade.",
      "3. Een systeem draait alleen wat het nodig heeft. Wat overbodig is, gaat uit of eraf, en de gewenste",
      "   configuratie is vastgelegd, zodat een afwijking meetbaar is.",
      "4. Kan een kwetsbaarheid niet op tijd worden verholpen, dan is er een vastgelegde risicoafweging met",
      "   tijdelijke maatregelen, een einddatum en een eigenaar.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Bescherming tegen malware",
      "",
      "- [[beheerorganisatie: de eigen afdeling of de leverancier die de systemen beheert]] zorgt dat op alle",
      "  werkplekken, servers en mailvoorzieningen antimalware-software draait die zichzelf en de bijbehorende",
      "  herstelsoftware automatisch bijwerkt. Een apparaat dat langer dan zeven dagen geen update heeft ontvangen,",
      "  verschijnt als afwijking in het beheeroverzicht en is binnen een week hersteld of van het netwerk",
      "  gehaald. [8.07.03]",
      "- De antimalware-software scant alle omgevingen (werkplekken, servers, mailverkeer en apparaten die",
      "  verbinding maken met het netwerk), alle downloads vóór ze worden geopend of opgeslagen en alle bestanden",
      "  die via mail, een koppeling of een opslagmedium binnenkomen, vóór gebruik. De scanlogging is voor de",
      "  beheerorganisatie en de CISO in te zien. [8.07.04]",
      "- Downloaden is beperkt op basis van risico en noodzaak. Uitvoerbare bestanden en scripts van internet",
      "  houdt de werkplekbeveiliging standaard tegen; een uitzondering vraagt de gebruiker aan bij de servicedesk",
      "  en de beheerorganisatie legt de toekenning vast. [8.07.01]",
      "- Medewerkers krijgen bij indiensttreding en daarna elk jaar voorlichting over veilig surfen, phishing en",
      "  het klikken op onbekende links. Een phishing-simulatie maakt deel uit van het jaarprogramma",
      "  bewustwording; de deelname en de uitkomst staan in het verslag van dat programma. [8.07.02]",
      "",
      "## 4. Configuratiebeheer en hardening",
      "",
      "- Voor elk type systeem (werkplek, server, netwerkcomponent, database, clouddienst) stelt de",
      "  beheerorganisatie een basisconfiguratie vast, gebaseerd op een erkende baseline zoals de CIS Benchmarks of",
      "  de richtlijnen van de leverancier. Overbodige diensten, poorten, software en accounts staan uit of zijn",
      "  verwijderd en standaardwachtwoorden zijn vóór ingebruikname vervangen. De basisconfiguraties zijn",
      "  vastgelegd en worden jaarlijks herzien. [8.09.01]",
      "- De beheerorganisatie legt van elk systeem de werkelijke configuratie vast in",
      "  [[configuratieregister: het systeem waarin de configuraties staan, bijvoorbeeld de configuratiedatabase van het beheertool]],",
      "  met de verwijzing naar de basisconfiguratie en de goedgekeurde afwijkingen. Een wijziging van de",
      "  configuratie loopt via het beleid wijzigingsbeheer. [8.09.01]",
      "- De beheerorganisatie meet elk kwartaal geautomatiseerd de afwijkingen van de basisconfiguratie. Een",
      "  afwijking is binnen een maand hersteld of staat als uitzondering vastgelegd met een risicoafweging en een",
      "  einddatum. [8.09.01]",
      "- Alleen beheerders installeren software of activeren functies. Gebruikers hebben op hun werkplek geen",
      "  beheerrechten; de technische handhaving daarvan staat in het beleid wijzigingsbeheer. [8.09.01, 8.07.01]",
      "",
      "## 5. Kwetsbaarheden vinden",
      "",
      "- De beheerorganisatie scant alle ICT-middelen ten minste maandelijks op kwetsbaarheden en",
      "  misconfiguraties, en opnieuw na een grote wijziging. Waar mogelijk gebruikt zij agents op de eindpunten,",
      "  zodat ook apparaten buiten kantoor meetellen. De scanresultaten staan in het kwetsbaarhedenregister",
      "  (hoofdstuk 7). [8.08.01, 8.08.02]",
      "- De CISO volgt de waarschuwingen van het NCSC en de sectorale CERT. Een waarschuwing die een gebruikt",
      "  product raakt, zet de CISO binnen één werkdag door aan de systeemeigenaar en de beheerorganisatie, met",
      "  een registratie van de doorzetting en de reactie. [8.08.01]",
      "- De CISO stelt jaarlijks een testprogramma vast waarin elk informatiesysteem wordt gecontroleerd op",
      "  technische naleving van de beveiligingseisen, met een kwetsbaarheidsanalyse, een penetratietest of een",
      "  red-teamtest. Welke vorm per systeem, bepaalt de CISO op basis van het impactniveau. [8.08.04]",
      "- Systemen die vanaf internet bereikbaar zijn, worden continu op kwetsbaarheden gescand, bijvoorbeeld met",
      "  een geautomatiseerde externe scan, en ten minste jaarlijks met een penetratietest getest. [8.08.04, 8.08.05]",
      "- Bij elke nieuwe release of grote update van een internetbereikbaar systeem volgt een penetratietest,",
      "  waar mogelijk geautomatiseerd. Een bevinding met hoog risico die niet op een andere manier kan worden",
      "  beperkt, houdt de release tegen: het systeem gaat dan niet in productie. Het testrapport hoort bij de",
      "  wijziging in het wijzigingsregister. [8.08.05]",
      "- Penetratietesten voert een partij uit die onafhankelijk is van de bouwer en de beheerder van het",
      "  systeem, met een vooraf afgesproken methode en reikwijdte. De CISO bewaart de rapporten en de opvolging",
      "  in [[register testrapporten: de plek waar pentestrapporten en opvolging staan, bijvoorbeeld het managementsysteem]].",
      "  [8.08.04, 8.08.05]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ontwikkeling",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- Voor software die de organisatie zelf bouwt, scant de bouwstraat de broncode en de gebruikte",
      "  bibliotheken bij elke build automatisch op bekende kwetsbaarheden. Een kritieke bevinding in een",
      "  bibliotheek stopt de build. Elke applicatie heeft een actuele lijst van gebruikte componenten (SBOM),",
      "  zodat een nieuwe kwetsbaarheid in een bibliotheek direct te vinden is. [8.08.05, 8.08.01]",
      "- De penetratietest bij een release van een zelfgebouwde internetbereikbare applicatie staat in de",
      "  releaseprocedure als poort; de ontwikkelaar levert het testrapport aan bij de wijzigingsaanvraag. [8.08.05]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ontwikkeling",
       "niet": false,
       "antwoorden": [
        "nee"
       ]
      }
     ],
     "regels": [
      "- De organisatie bouwt zelf geen software. Bij inkoop en contractverlenging eist zij van de leverancier",
      "  een penetratietest bij elke grote release van een internetbereikbaar systeem, inzage in het rapport en het",
      "  verhelpen van hoge bevindingen vóór de release in productie gaat. De contracteigenaar controleert dat bij",
      "  elke release. [8.08.05]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 6. Beoordelen en verhelpen",
      "",
      "- Elke gevonden kwetsbaarheid krijgt van de systeemeigenaar, op advies van de beheerorganisatie, een",
      "  risico-inschatting op basis van kans op misbruik en verwachte schade. Daarin wegen de ernstscore van de",
      "  leverancier of het CVE-register, het impactniveau van het systeem en de bereikbaarheid vanaf internet mee.",
      "  Op basis van die vastgelegde afweging kiest de systeemeigenaar de maatregel: patchen, de configuratie",
      "  aanpassen, de functie uitzetten of het systeem afschermen. [8.08.02]",
      "- De beheerorganisatie verhelpt een kwetsbaarheid binnen de termijn die bij het risico hoort, gerekend",
      "  vanaf het moment dat de kwetsbaarheid bekend is: [8.08.01, 8.08.02]",
      "",
      "  | Risico | Termijn |",
      "  |---|---|",
      "  | Kans op misbruik hoog en schade hoog | zo snel mogelijk, uiterlijk binnen [[patchtermijn hoog en hoog: standaard een week, de BIO 2.0 noemt een week als grens voor tijdelijke maatregelen]] |",
      "  | Overig hoog | binnen [[patchtermijn hoog: standaard een maand]] |",
      "  | Gemiddeld | binnen [[patchtermijn gemiddeld: standaard drie maanden]] |",
      "  | Laag | bij de eerstvolgende reguliere update |",
      "",
      "- Bij hoge kans en hoge schade zijn de beperkende maatregelen uiterlijk binnen een week getroffen. Bij",
      "  actief misbruik in het wild handelt de beheerorganisatie dezelfde dag en meldt zij de stand aan de CISO.",
      "  [8.08.01]",
      "- Kan de patch niet binnen de termijn, of is er nog geen patch, dan treft de systeemeigenaar direct",
      "  tijdelijke maatregelen op basis van een vastgelegde risicoafweging, bijvoorbeeld de functie uitzetten,",
      "  de toegang beperken of extra bewaking. De afweging noemt het restrisico, de einddatum en wie het",
      "  restrisico accepteert, en staat in het kwetsbaarhedenregister. [8.08.03]",
      "- Software waarvoor de leverancier geen beveiligingsupdates meer levert, vervangt de systeemeigenaar",
      "  binnen [[termijn uitfaseren]]. Zolang dat niet is gebeurd, staat het systeem afgeschermd en als risico",
      "  in het risicoregister, met een risico-eigenaar. [8.08.03]",
      "- Na het verhelpen stelt de beheerorganisatie met een herhaalscan vast dat de kwetsbaarheid weg is. Pas",
      "  dan sluit zij de melding in het kwetsbaarhedenregister. [8.08.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "eigen"
       ]
      }
     ],
     "regels": [
      "- De eigen beheerorganisatie installeert beveiligingsupdates voor werkplekken, servers en",
      "  netwerkcomponenten volgens een vast maandelijks venster, met een spoedprocedure voor de weektermijn.",
      "  Patchen loopt als standaardwijziging via het beleid wijzigingsbeheer; een spoedpatch mag achteraf worden",
      "  geregistreerd. [8.08.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- Het beheer is uitbesteed. Het contract met de beheerpartij bevat de termijnen uit de tabel hierboven,",
      "  de plicht om binnen één werkdag te melden welke systemen een kritieke waarschuwing raakt, en een",
      "  maandelijkse rapportage over openstaande kwetsbaarheden en de patchstand. [8.08.01]",
      "- De organisatie ontvangt de scanresultaten zelf of laat de scan doen door een andere partij dan de",
      "  beheerder, zodat zij de rapportage van de beheerpartij kan controleren. De contracteigenaar legt de",
      "  vergelijking elk kwartaal vast. [8.08.02, 8.08.04]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- Omdat er geen eigen beheerorganisatie is, wijst de organisatie een contractmanager aan die de",
      "  patchrapportage elke maand bespreekt met de leverancier, het verslag vastlegt en afwijkingen aan de CISO",
      "  meldt. [8.08.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 7. Registreren en rapporteren",
      "",
      "- Alle open kwetsbaarheden met risico gemiddeld of hoger staan in",
      "  [[kwetsbaarhedenregister: het systeem waarin open kwetsbaarheden staan, bijvoorbeeld de scantool of het ticketsysteem]],",
      "  met systeem, risico, eigenaar, termijn en status. Termijnoverschrijdingen zijn zichtbaar en de",
      "  beheerorganisatie houdt het register dagelijks bij. [8.08.01, 8.08.02]",
      "- De CISO rapporteert maandelijks aan de directie het aantal open kwetsbaarheden per risiconiveau, de",
      "  termijnoverschrijdingen, de geaccepteerde restrisico's en de patchstand. [8.08.01, 8.08.03]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "geen"
       ]
      }
     ],
     "regels": [
      "- Er is geen eigen informatiebeveiligingsfunctionaris met voldoende tijd. De scans en de risico-inschatting",
      "  voert een externe partij uit; [[functionaris informatiebeveiliging]] bespreekt de maandrapportage met die",
      "  partij, legt de besluiten vast en zet open punten uit bij de systeemeigenaren. [8.08.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "parttime",
        "team"
       ]
      }
     ],
     "regels": [
      "- De informatiebeveiligingsfunctionaris beoordeelt elke maand de scanresultaten, filtert valse meldingen,",
      "  legt dat vast en zet open punten uit bij de systeemeigenaren. [8.08.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 8. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar kwetsbaarhedenbeheer: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd ICT]] | Eigenaar van dit beleid; de middelen voor scannen, patchen en configuratiebeheer; opvolging van de maandrapportage |",
      "| Systeemeigenaar | Risico-inschatting en keuze van de maatregel, risicoafweging bij uitstel, vervanging van software zonder updates, acceptatie van restrisico binnen de eigen bevoegdheid |",
      "| [[beheerorganisatie]] | Antimalware, basisconfiguraties en het configuratieregister, scannen, patchen binnen de termijn, herhaalscans en het bijhouden van het kwetsbaarhedenregister |",
      "| CISO | Testprogramma, doorzetten van waarschuwingen van NCSC en CERT, bewaren van testrapporten, maandrapportage aan de directie, toetsing van risicoafwegingen en jaarlijkse toetsing van dit beleid |",
      "| Contracteigenaar | Vastleggen van de termijnen en rapportageplichten bij de beheerpartij en leveranciers, controle van pentestbewijs bij releases van leveranciers |",
      "| Medewerkers en inhuur | Geen software installeren buiten de regels om, uitzonderingen aanvragen bij de servicedesk, verdachte bestanden of links melden |",
      "",
      "## 9. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles]]; afwijkingen gaan als bevinding naar het",
      "risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| VPM-01 | Elk apparaat in het overzicht van ICT-middelen heeft actieve antimalware met een update van ten hoogste zeven dagen oud, en apparaten die daarbuiten vallen zijn hersteld of van het netwerk gehaald | [[beheerorganisatie]] | Maandelijks | Rapport uit de antimalware-console vergeleken met het overzicht van ICT-middelen, met de afhandeling per afwijking | 8.07.03, 8.07.04 |",
      "| VPM-02 | Uitvoerbare bestanden en scripts van internet worden tegengehouden en elke toegestane uitzondering heeft een vastgelegde aanvraag; de jaarlijkse voorlichting en de phishing-simulatie zijn uitgevoerd | CISO | Jaarlijks | Testdownload met het resultaat, lijst van uitzonderingen met aanvragen, verslag van het programma bewustwording | 8.07.01, 8.07.02 |",
      "| VPM-03 | Elk type systeem heeft een vastgestelde basisconfiguratie van ten hoogste een jaar oud, de gemeten afwijkingen zijn binnen een maand hersteld of als uitzondering vastgelegd, en het configuratieregister is volledig | [[lijneigenaar kwetsbaarhedenbeheer]] | Per kwartaal | Meetrapport van de afwijkingen met afhandeling, lijst van basisconfiguraties met vaststellingsdatum, steekproef van vijf systemen in het configuratieregister | 8.09.01 |",
      "| VPM-04 | Alle ICT-middelen uit het overzicht zijn in de afgelopen maand gescand en elke kwetsbaarheid met risico gemiddeld of hoger staat in het kwetsbaarhedenregister met eigenaar en termijn | CISO | Maandelijks | Scanrapport vergeleken met het overzicht van ICT-middelen, uittreksel uit het kwetsbaarhedenregister | 8.08.01, 8.08.02 |",
      "| VPM-05 | Kwetsbaarheden zijn binnen de termijn van de tabel verholpen en de herhaalscan bevestigt dat; overschrijdingen zijn aan de directie gerapporteerd | CISO | Maandelijks | Maandrapportage met de termijnoverschrijdingen per risiconiveau, herhaalscans bij een steekproef van vijf gesloten meldingen | 8.08.01, 8.08.02 |",
      "| VPM-06 | Elke uitgestelde kwetsbaarheid en elk systeem zonder beveiligingsupdates heeft een volledige risicoafweging met tijdelijke maatregelen, einddatum en risico-eigenaar, en de einddatum is nagekomen | CISO | Per kwartaal | Steekproef van vijf uitgestelde kwetsbaarheden met de afweging en de stand op de einddatum, uittreksel uit het risicoregister | 8.08.03 |",
      "| VPM-07 | Elke waarschuwing van NCSC of CERT die een gebruikt product raakte, is binnen één werkdag doorgezet en opgevolgd | [[lijneigenaar kwetsbaarhedenbeheer]] | Per kwartaal | Registratie van de ontvangen waarschuwingen met datum van doorzetting en reactie | 8.08.01 |",
      "| VPM-08 | Elk informatiesysteem en elk internetbereikbaar systeem is volgens het testprogramma getest, de bevindingen met hoog risico zijn opgevolgd en elke release van een internetbereikbaar systeem heeft een penetratietestrapport bij de wijziging | CISO | Jaarlijks | Testprogramma met de testrapporten, opvolging per bevinding, steekproef van vijf releases in het wijzigingsregister | 8.08.04, 8.08.05 |",
      "| VPM-09 | De beheerpartij en de leveranciers van internetbereikbare systemen leveren de afgesproken rapportages en penetratietestbewijzen en halen de termijnen uit het contract | Contracteigenaar | Jaarlijks | Contracten met de termijnen, ontvangen rapportages en pentestbewijzen, beoordeling van de uitzonderingen | 8.08.01, 8.08.05 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "systeemeigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.",
      "De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 10. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid",
      "bedrijfsmiddelenbeheer (het overzicht van ICT-middelen), het beleid wijzigingsbeheer (patches en",
      "configuratiewijzigingen als wijziging, lijst van toegestane software), het beleid veilige",
      "softwareontwikkeling (scannen van eigen code en bibliotheken), het beleid beveiligingsincidenten (CVD en",
      "misbruik van een kwetsbaarheid), het beleid informatieclassificatie (impactniveau als maat voor de schade),",
      "het beleid informatiebeveiliging bij inkoop en contractbeheer (termijnen en rapportages in contracten) en",
      "het beleid screening, bewustzijn en opleiding (voorlichting en phishing-simulatie).",
      ""
     ]
    }
   ],
   "bestand": "15-kwetsbaarheden.md"
  },
  {
   "domein": "back-up",
   "titel": "Beleid back-up en recovery",
   "samenvatting": "Over het maken, beschermen en terugzetten van back-ups, met ransomware als leidend scenario. Behandelt back-upplannen en het back-upregister, hersteleisen per systeem, een onveranderbare kopie, gescheiden opslag op meerdere plekken en het jaarlijks testen van herstel.",
   "invoeren": [
    "Stel per omgeving een back-upplan op dat per scenario het herstel beschrijft, ook ransomware (hoofdstuk 3).",
    "Zet een back-upregister op met per systeem de hersteleisen, locaties en laatste hersteltest (hoofdstuk 3).",
    "Laat de proceseigenaar per systeem het maximale gegevensverlies en de hersteltijd vaststellen (hoofdstuk 4).",
    "Richt ten minste één onveranderbare of offline kopie van de back-up in (hoofdstuk 5).",
    "Versleutel de back-ups en bewaar de sleutels gescheiden in een beheerde sleutelkluis (hoofdstuk 5).",
    "Richt voor de back-upomgeving aparte beheeraccounts met MFA buiten het gewone domein in (hoofdstuk 5).",
    "Plaats back-ups van kritieke systemen op twee plekken die elkaar bij een incident niet raken (hoofdstuk 6).",
    "Voer een eerste hersteltest uit volgens het ransomwarescenario, in een schone omgeving (hoofdstuk 7)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het maken, bewaren, beschermen en",
      "terugzetten van back-ups. Het legt vast welke hersteleisen gelden, hoe de back-up beschermd is tegen een",
      "aanvaller met beheerrechten, waar de kopieën staan en hoe het terugzetten wordt getest, zodat de organisatie",
      "na verlies, vernietiging of versleuteling van gegevens haar processen binnen de afgesproken tijd hervat. Het",
      "gaat over ISO-beheersmaatregel 8.13.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de beheerorganisatie die de back-up uitvoert of bij",
      "leveranciers regisseert, voor functioneel beheer van clouddiensten en voor de proces- en systeemeigenaren",
      "die de hersteleisen vaststellen. Het geldt ook voor leveranciers die back-up en herstel voor de organisatie",
      "verzorgen.",
      "",
      "**Waarop.** Alle informatie waarvan de organisatie eigenaar is, waar die ook staat: in een eigen omgeving,",
      "bij een hostingpartij of in een SaaS-dienst. Het gaat om gegevens en om wat nodig is om systemen te",
      "herstellen: configuraties, instellingen van netwerk en applicaties, en de inrichting van clouddiensten. Is",
      "back-up of herstel uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De",
      "organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een",
      "ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid",
      "informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de archivering van overheidsinformatie (een back-up is geen archief; de bewaarplicht",
      "staat in het archiefbeleid), de uitwijk en de keuze welke systemen kritiek zijn (continuïteitsbeleid), het",
      "sleutelbeheer voor de versleuteling (beleid cryptografie) en de fysieke beveiliging van opslaglocaties (beleid",
      "fysieke toegang en beveiliging).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. De organisatie is eigenaar van haar gegevens, ook als een leverancier ze verwerkt. Zij zorgt dat er een",
      "   back-up is die bij het impactniveau van het proces past, of zij die nu zelf maakt of laat maken.",
      "2. Ransomware is het scenario waarop de back-up is ingericht: een aanvaller met beheerrechten op de",
      "   productieomgeving kan de back-up niet wissen of versleutelen.",
      "3. Een back-up waarvan het terugzetten niet is getest, geldt niet als back-up.",
      "4. Hoe hoger het impactniveau van een systeem, hoe korter de hersteltijd en hoe strikter de scheiding van",
      "   de kopieën.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Back-upplannen en scenario's",
      "",
      "- Dit beleid en de back-upplannen per omgeving leggen samen vast wat wordt bewaard, hoe vaak, hoe lang, waar",
      "  en hoe het is beschermd. [[eigenaar back-upplannen: de functie die de back-upplannen opstelt, bijvoorbeeld de informatiemanager]]",
      "  stelt de plannen op, de systeemeigenaar keurt ze goed en zij worden jaarlijks en na elke grote wijziging",
      "  herzien. [8.13.01]",
      "- De back-up is ten minste ingericht op deze scenario's: een aanval met ransomware of wiperware op de eigen",
      "  omgeving, een grote verstoring van een datacenter, gegevensverlies in een SaaS-dienst en het per ongeluk of",
      "  bewust verwijderen van veel gegevens door een gebruiker. Het back-upplan beschrijft per scenario hoe het",
      "  herstel verloopt. [8.13.01]",
      "- [[lijneigenaar back-up: de manager die back-up en herstel uitvoert of bij leveranciers regisseert]] houdt",
      "  een back-upregister bij met per systeem en per SaaS-dienst: het back-upplan, de hersteleisen, de locaties",
      "  van de kopieën, de onveranderbare kopie en de datum van de laatste hersteltest. [8.13.01]",
      "",
      "## 4. Hersteleisen",
      "",
      "- Per systeem of gegevensverzameling stelt de proceseigenaar het maximale gegevensverlies (RPO) en de",
      "  maximale hersteltijd (RTO) vast, met een vastgelegde risicoafweging. De proceseigenaar legt ook het",
      "  detailniveau van herstel vast (bijvoorbeeld één bericht, een mailbox of een hele omgeving) en de",
      "  bewaartermijn van de back-ups. [8.13.02]",
      "- Zolang er voor een systeem geen afweging is, geldt een standaardregime: ten hoogste 24 uur",
      "  gegevensverlies en een hersteltijd van ten hoogste [[standaard hersteltijd: bijvoorbeeld 16 werkuren]].",
      "  De eigenaar van de back-upplannen rapporteert jaarlijks welke systemen nog op het standaardregime",
      "  draaien. [8.13.02]",
      "- De hersteltijd van een systeem met impactniveau kritiek of hoger is korter dan de maximale uitvalsduur",
      "  van het proces, want na het terugzetten volgen nog controle, koppelingen en communicatie. De",
      "  proceseigenaar legt de marge vast in het back-upplan. [8.13.02]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "bcm"
       ]
      }
     ],
     "regels": [
      "- De hersteleisen voor kritieke systemen komen uit de BIA en het overzicht van kritieke systemen uit het",
      "  continuïteitsbeleid. Wijkt een back-upplan daarvan af, dan beslist de proceseigenaar en legt die het",
      "  besluit vast. [8.13.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "bcm",
       "niet": false,
       "antwoorden": [
        "geen",
        "crisisteam"
       ]
      }
     ],
     "regels": [
      "- Er is geen BIA. De proceseigenaar stelt de hersteleisen vast met de CISO en de systeemeigenaar, op basis",
      "  van het impactniveau van de gegevens en het overzicht van kritieke systemen, en legt ze vast in het",
      "  back-upplan. [8.13.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Bescherming van de back-up",
      "",
      "- Ten minste één kopie van de back-up is binnen de bewaartermijn niet te wijzigen of te wissen",
      "  (onveranderbaar of offline), ook niet met de beheerrechten van de productieomgeving. De beheerorganisatie",
      "  toont dat bij elke hersteltest aan. [8.13.01]",
      "- Back-ups zijn versleuteld volgens het beleid cryptografie. De sleutels staan gescheiden van de back-up,",
      "  in een beheerde sleutelkluis, en zijn ook beschikbaar als de productieomgeving niet werkt. [8.13.01]",
      "- Beheer van de back-upomgeving gaat met aparte, persoonsgebonden accounts met MFA, die niet in het gewone",
      "  domein of de gewone tenant zitten. Verwijderen of verkorten van bewaartermijnen vraagt goedkeuring van een",
      "  tweede persoon en wordt gelogd. [8.13.01]",
      "- De beheerorganisatie controleert elke werkdag of alle back-uptaken zijn geslaagd. Een mislukte taak is",
      "  dezelfde of de volgende werkdag hersteld, of gemeld aan de systeemeigenaar met de reden. De controle en",
      "  de afhandeling staan in het logboek. [8.13.01]",
      "- Bewaartermijnen passen bij het doel en bij de wet. Gegevens die volgens de archief- of privacyregels",
      "  vernietigd moeten zijn, verwijdert de beheerorganisatie uit de back-up aan het eind van de bewaartermijn",
      "  en legt dat vast. [8.13.01]",
      "",
      "## 6. Gescheiden opslag",
      "",
      "- Back-ups van systemen met impactniveau kritiek of hoger staan op ten minste twee plekken, waarvan één zo",
      "  gescheiden van de productieomgeving dat een incident op de ene plek (brand, stroomuitval, een aanval op",
      "  het netwerk of de beheeromgeving) de andere niet raakt. Een vuistregel is 3-2-1: drie kopieën, op twee",
      "  soorten opslag, één daarvan op een andere locatie. Het back-upregister noemt de locaties. [8.13.03]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "eigen-dc"
       ]
      }
     ],
     "regels": [
      "- Bij een eigen datacenter staat de gescheiden kopie op een andere fysieke locatie of bij een externe",
      "  opslagdienst, met een eigen beheeromgeving. Media die worden vervoerd, zijn versleuteld en de",
      "  beheerorganisatie houdt een logboek bij van waar ze zijn. [8.13.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "hostingpartij"
       ]
      }
     ],
     "regels": [
      "- Bij een hostingpartij is een gespiegeld tweede datacenter niet genoeg, omdat dat de kwetsbaarheden van het",
      "  eerste deelt. Het contract regelt daarnaast een kopie bij een andere partij of in een gescheiden",
      "  omgeving, waar de organisatie zelf bij kan. De contracteigenaar controleert dat jaarlijks. [8.13.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "saas"
       ]
      }
     ],
     "regels": [
      "- Voor elke SaaS-dienst die een kritiek proces ondersteunt, legt functioneel beheer in het back-upregister",
      "  vast hoe de leverancier back-ups maakt, waar ze staan en hoe lang ze bewaard worden. Biedt de leverancier",
      "  geen gescheiden kopie, of kan de organisatie er niet zelf bij, dan exporteert de organisatie de gegevens",
      "  periodiek naar eigen opslag of neemt zij een back-updienst van een andere partij af. [8.13.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "werkplek",
       "niet": false,
       "antwoorden": [
        "cloud",
        "hybride"
       ]
      }
     ],
     "regels": [
      "- De cloudwerkplek (mail, bestanden, samenwerkruimtes) heeft een eigen back-up buiten de tenant. De",
      "  ingebouwde prullenbak en het versiebeheer van de aanbieder gelden niet als back-up. De back-up omvat ook de",
      "  inrichting die nodig is voor herstel, zoals groepen, rechten en beleidsinstellingen, voor zover de",
      "  aanbieder dat mogelijk maakt. Functioneel beheer controleert elk kwartaal dat de back-up alle actieve",
      "  onderdelen dekt. [8.13.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 7. Herstel en testen",
      "",
      "- Herstel uit een back-up gebeurt na toestemming van de systeemeigenaar. Bij een groot incident of",
      "  ransomware beslist de proceseigenaar over de opties, op advies van de beheerorganisatie en de CISO. De",
      "  beheerorganisatie logt elke hersteloperatie met aanvrager, tijdstip en resultaat. [8.13.04]",
      "- De beheerorganisatie test de herstelprocedure van elk systeem met impactniveau kritiek of hoger elk",
      "  jaar en na elke grote wijziging, zoals een migratie of een nieuwe back-upvoorziening. De test zet echte",
      "  gegevens terug, controleert of ze volledig en bruikbaar zijn en meet de benodigde tijd tegen de",
      "  hersteltijd. De uitkomst staat in een testverslag. [8.13.04]",
      "- Ten minste één test per jaar gaat uit van het ransomwarescenario: herstel uit de onveranderbare kopie,",
      "  in een schone omgeving, zonder gebruik van de beheeraccounts van productie. [8.13.04]",
      "- Haalt een test de hersteltijd niet, dan past de systeemeigenaar binnen drie maanden het back-upplan of de",
      "  voorziening aan, of accepteert de proceseigenaar het risico vastgelegd. [8.13.04, 8.13.02]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "eigen"
       ]
      }
     ],
     "regels": [
      "- De eigen beheerorganisatie voert de tests uit en legt ze vast in een testverslag met tijden, bevindingen",
      "  en opvolging. [8.13.04]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- Back-up en herstel liggen bij de beheerpartij. Het contract verplicht die partij om de tests uit te voeren",
      "  met de organisatie erbij, de verslagen te leveren en ook kopieën te maken en te testen van onderdelen die",
      "  bij andere leveranciers liggen, of dat expliciet uit te sluiten. De regieorganisatie houdt in het",
      "  back-upregister bij welke leverancier welk deel van de back-up doet. [8.13.04]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 8. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar back-up]] | Eigenaar van dit beleid; uitvoering of regie van back-up en herstel, dagelijkse controle, hersteltests en het back-upregister |",
      "| Proceseigenaar | Hersteleisen en bewaartermijnen, besluit over herstel bij grote incidenten, acceptatie van een niet gehaalde hersteltijd |",
      "| Systeemeigenaar | Goedkeuring van het back-upplan van zijn systeem, toestemming voor herstel, aanpassing na een mislukte test |",
      "| [[eigenaar back-upplannen]] | Opstellen en jaarlijks herzien van de back-upplannen, rapportage over systemen op het standaardregime |",
      "| Functioneel beheer | Back-up en herstel van SaaS-diensten en de cloudwerkplek, samen met de leverancier |",
      "| Contracteigenaar | Vastleggen van de eisen uit dit beleid bij leveranciers en toetsen van hun verklaringen en testverslagen |",
      "| CISO | Advies, jaarlijkse toetsing van dit beleid en van de bescherming tegen ransomware, beoordeling van afwijkingen |",
      "",
      "## 9. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles]]; afwijkingen gaan als bevinding naar het",
      "risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| BUR-01 | Alle back-uptaken van de afgelopen maand zijn gecontroleerd en elke mislukte taak is binnen een werkdag hersteld of gemeld | [[lijneigenaar back-up]] | Maandelijks | Logboek van de back-uptaken met de afhandeling per mislukte taak | 8.13.01 |",
      "| BUR-02 | Het back-upregister is volledig: elk systeem met impactniveau kritiek of hoger en elke SaaS-dienst met een kritiek proces heeft een goedgekeurd back-upplan van ten hoogste een jaar oud, vastgestelde hersteleisen, een gescheiden kopie en een onveranderbare kopie | [[eigenaar back-upplannen]] | Jaarlijks | Back-upregister vergeleken met het overzicht van kritieke systemen en de inventaris van bedrijfsmiddelen | 8.13.01, 8.13.02, 8.13.03 |",
      "| BUR-03 | Elk systeem heeft vastgestelde hersteleisen met een risicoafweging, of staat gemeld op het standaardregime; de hersteltijd van kritieke systemen ligt onder de maximale uitvalsduur | CISO | Jaarlijks | Rapportage over het standaardregime, steekproef van vijf back-upplannen tegen de BIA of het overzicht van kritieke systemen | 8.13.02 |",
      "| BUR-04 | De onveranderbare kopie is niet te wissen met de beheerrechten van productie, de back-upaccounts staan buiten het gewone domein met MFA, en het verkorten van bewaartermijnen vereist een tweede persoon | CISO | Jaarlijks | Testpoging tot verwijderen met het resultaat, lijst van back-upaccounts, logging van de goedkeuringen | 8.13.01 |",
      "| BUR-05 | De gescheiden kopie staat op een locatie die een incident op de productielocatie niet raakt, en bij leveranciers is dat in het contract en met een verklaring aangetoond | Contracteigenaar | Jaarlijks | Back-upregister met de locaties, contracten, verklaringen en testverslagen van leveranciers | 8.13.03 |",
      "| BUR-06 | Elk kritiek systeem heeft in het afgelopen jaar een hersteltest gehad die de hersteltijd haalde, waaronder ten minste één test van het ransomwarescenario uit de onveranderbare kopie | [[lijneigenaar back-up]] | Jaarlijks | Testverslagen met gemeten tijd tegen de eis, opvolging van niet gehaalde tests | 8.13.04 |",
      "| BUR-07 | Elke hersteloperatie is gelogd met toestemming van de systeemeigenaar | [[lijneigenaar back-up]] | Per kwartaal | Logboek van hersteloperaties met de toestemmingen | 8.13.04 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "systeemeigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.",
      "De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 10. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het hangt samen met het",
      "continuïteitsbeleid (kritieke systemen, BIA en uitwijk), het beleid informatieclassificatie (impactniveau",
      "als maat voor de hersteleisen), het beleid informatiebeveiliging bij inkoop en contractbeheer (afspraken",
      "met en verklaringen van leveranciers), het beleid cryptografie (versleuteling en sleutelbeheer), het beleid",
      "logische toegangsbeveiliging (beheeraccounts), het beleid fysieke toegang en beveiliging (opslaglocaties),",
      "het beleid beveiligingsincidenten (herstel na ransomware) en het archiefbeleid (bewaartermijnen).",
      ""
     ]
    }
   ],
   "bestand": "16-back-up.md"
  },
  {
   "domein": "logging",
   "titel": "Beleid logging en monitoring",
   "samenvatting": "Regelt wat systemen moeten loggen, hoe logbestanden veilig worden bewaard en hoe de omgeving wordt bewaakt op aanvallen. Behandelt minimale loggebeurtenissen, het overzicht van logbronnen, bewaartermijnen, centrale opslag buiten bereik van beheerders, detectie met escalatieregels en het delen van dreigingen met de CERT.",
   "invoeren": [
    "Richt op elk systeem de minimale loggebeurtenissen en verplichte velden in, met één tijdbron (hoofdstuk 3).",
    "Stel een overzicht van logbronnen op met gebeurtenissen, opslag, bewaartermijn en beoordelaar per systeem (hoofdstuk 3).",
    "Leg per logbron de bewaartermijn vast op basis van een risicoafweging (hoofdstuk 4).",
    "Neem logging met persoonsgegevens op in het verwerkingsregister (hoofdstuk 4).",
    "Kopieer logbestanden naar centrale opslag waar beheerders van het bronsysteem niets kunnen wijzigen (hoofdstuk 4).",
    "Stel een automatische melding in bij het wijzigen, verwijderen of stoppen van logging (hoofdstuk 4).",
    "Richt een detectievoorziening in die de logging van alle bronnen samenbrengt, bijvoorbeeld een SIEM (hoofdstuk 5).",
    "Leg escalatieregels vast met per ernstniveau de termijn en de ontvanger (hoofdstuk 5)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het vastleggen, bewaren en",
      "beschermen van logbestanden en voor het bewaken van de omgeving op aanvallen en afwijkingen. Logging is",
      "nodig om aanvallen te ontdekken, om incidenten achteraf te reconstrueren en om aan te tonen wie wat heeft",
      "gedaan met welke gegevens. Het gaat over de ISO-beheersmaatregelen 8.15 en 8.16.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de afdeling die de centrale logvoorziening beheert, voor",
      "systeemeigenaren en voor wie de meldingen beoordeelt: het eigen SOC, een SOC-dienstverlener of de",
      "beheerder. De regels over het gebruik van logging gelden voor iedereen die logbestanden inricht, beheert",
      "of raadpleegt.",
      "",
      "**Waarop.** Alle systemen, applicaties, netwerkcomponenten, werkplekken, identiteitsvoorzieningen en",
      "clouddiensten waarmee de organisatie informatie verwerkt, en de logbestanden die daaruit voortkomen. Is de",
      "logvoorziening, de bewaking of een systeem uitbesteed, dan gelden de eisen uit dit beleid als minimumeis",
      "voor die partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke",
      "verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt",
      "via het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de afhandeling van incidenten die uit monitoring voortkomen (beleid",
      "beveiligingsincidenten), de tijdsynchronisatie en de netwerkinrichting (beleid netwerkbeveiliging) en de",
      "toekenning van rechten die de logging vastlegt (beleid logische toegangsbeveiliging).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Wat gelogd wordt, volgt uit risico: hoe hoger het impactniveau van een systeem, hoe meer er wordt",
      "   vastgelegd en hoe langer het wordt bewaard.",
      "2. Logbestanden zijn zelf informatie met ten minste het label vertrouwelijk. Ze worden beschermd tegen",
      "   inzage, wijziging en verwijdering.",
      "3. Logging zonder beoordeling heeft weinig waarde. Voor elke logbron staat vast wie hem bekijkt en wat er",
      "   gebeurt bij een afwijking.",
      "4. Logging met persoonsgegevens dient alleen beveiliging, beheer en verantwoording, niet het volgen van",
      "   medewerkers.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Wat er gelogd wordt",
      "",
      "- De systeemeigenaar zorgt dat elk systeem ten minste logt: aanmeldingen en mislukte aanmeldpogingen, het",
      "  gebruik van beheerrechten, wijzigingen in accounts en rechten, wijzigingen in de beveiligingsinstellingen,",
      "  het starten en stoppen van de logging zelf, en de toegang tot gegevens met het label vertrouwelijk of",
      "  hoger. [8.15.01]",
      "- Elke logregel bevat: de handeling, het object waarop de handeling betrekking had, het resultaat, het",
      "  apparaat of netwerkadres van herkomst, de persoon of het proces dat de handeling startte, en datum en",
      "  tijd. Alle systemen gebruiken dezelfde tijdbron. [8.15.01]",
      "- Logregels bevatten geen wachtwoorden, sessietokens, sleutels of andere gegevens waarmee de beveiliging",
      "  kan worden doorbroken. Bij de ingebruikname van een nieuwe logbron controleert",
      "  [[beheerder logvoorziening: de afdeling of leverancier die de centrale logging beheert]] een steekproef",
      "  van de logregels hierop en legt de uitkomst vast. [8.15.02]",
      "- [[beheerder logvoorziening]] houdt een overzicht bij van alle logbronnen: per systeem welke gebeurtenissen",
      "  worden gelogd, waar de logbestanden staan, de bewaartermijn, wie ze beheert en wie ze beoordeelt. Een",
      "  nieuw systeem gaat pas in productie als het in dit overzicht staat; wijzigingsbeheer controleert dat bij",
      "  elke ingebruikname. [8.15.03]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "saas"
       ]
      }
     ],
     "regels": [
      "- Voor SaaS- en clouddiensten legt de organisatie bij inkoop in het contract vast welke auditlogs de",
      "  leverancier beschikbaar stelt, hoe lang die bewaard blijven en hoe de organisatie ze kan exporteren naar",
      "  de eigen centrale logvoorziening. Waar de leverancier de logs korter bewaart dan de eigen termijn, haalt",
      "  [[beheerder logvoorziening]] ze zelf op. [8.15.03, 8.15.04]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "hostingpartij"
       ]
      }
     ],
     "regels": [
      "- Bij een hostingpartij logt de organisatie zelf op het niveau van besturingssysteem en applicatie. De",
      "  logging van de platformlaag (hypervisor, beheerportaal, netwerk van de hostingpartij) levert de",
      "  hostingpartij op verzoek binnen de termijn uit het contract. [8.15.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "eigen-dc"
       ]
      }
     ],
     "regels": [
      "- In het eigen datacenter verzamelt een centrale logvoorziening de logging van servers, opslag,",
      "  virtualisatie en netwerkcomponenten. De logvoorziening staat in een eigen beheersegment. [8.15.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "politiegegevens",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- Voor systemen met politiegegevens logt de organisatie elke raadpleging en elke verstrekking, met de",
      "  persoon die raadpleegt en, waar het systeem dat toelaat, het doel van de raadpleging. Deze logging is",
      "  nodig voor de verantwoording onder de Wpg. [8.15.01, 8.15.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ketens",
       "niet": false,
       "antwoorden": [
        "digid",
        "suwinet",
        "brp",
        "bag",
        "anders"
       ]
      }
     ],
     "regels": [
      "- Voor de aansluiting op landelijke voorzieningen volgt de systeemeigenaar bovendien de logeisen uit het",
      "  normenkader van die voorziening en staan de betreffende systemen apart in het overzicht van logbronnen,",
      "  met het normenkader erbij. [8.15.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 4. Bewaren en beschermen",
      "",
      "- De bewaartermijn per logbron staat in het overzicht en volgt uit een risicoafweging door de",
      "  systeemeigenaar. Omdat aanvallers vaak maanden onopgemerkt in een omgeving zitten, is de termijn voor",
      "  beveiligingsrelevante logging en voor de gegevens in het SIEM ten minste",
      "  [[bewaartermijn beveiligingslogging: de minimale termijn, bijvoorbeeld twaalf maanden]].",
      "  Logging die bij een incident hoort, valt onder de termijn van het incidentdossier (drie jaar). [8.15.04]",
      "- Logging die persoonsgegevens bevat, wordt niet langer bewaard dan de vastgestelde termijn en alleen",
      "  gebruikt voor beveiliging, beheer en verantwoording. De verwerking staat in het verwerkingsregister; de",
      "  privacy officer toetst dat jaarlijks. [8.15.04]",
      "- [[beheerder logvoorziening]] kopieert logbestanden zo snel mogelijk na het ontstaan naar een centrale",
      "  opslag waar de beheerders van het bronsysteem geen schrijf- of verwijderrechten hebben. [8.15.05]",
      "- Een poging om loggegevens oneigenlijk te wijzigen of te verwijderen, of het onverwacht stoppen van de",
      "  logging, wordt direct als beveiligingsincident gemeld via de incidentprocedure. De centrale",
      "  logvoorziening geeft hierop een automatische melding aan [[bewaking: het eigen SOC, de SOC-dienstverlener of de beheerder die de meldingen beoordeelt]]. [8.15.05]",
      "- Op basis van een risicoafweging stelt de CISO vast hoe vaak wordt getoetst dat de logbestanden",
      "  gedurende de bewaartermijn ongewijzigd en volledig aanwezig zijn, met ten minste een jaarlijkse toets.",
      "  De toets wordt uitgevoerd door iemand die geen beheertaken heeft op de logvoorziening of de",
      "  bronsystemen. [8.15.06]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "geen",
        "parttime"
       ]
      }
     ],
     "regels": [
      "- De organisatie heeft geen eigen team dat onafhankelijk is van het beheer. De toets op ongewijzigde",
      "  logbestanden laat zij uitvoeren door een externe auditor of door de interne controle. [8.15.06]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "capaciteit",
       "niet": false,
       "antwoorden": [
        "team"
       ]
      }
     ],
     "regels": [
      "- De toets op ongewijzigde logbestanden voert een ISO uit die geen beheerrechten heeft op de logging. [8.15.06]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "politiegegevens",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- De logging van systemen met politiegegevens wordt bewaard volgens de termijn uit de Wpg en is onderwerp",
      "  van de periodieke Wpg-audit. Alleen de privacy officer, de CISO en de functionaris die de Wpg-controle",
      "  uitvoert, mogen deze logging raadplegen; elke raadpleging wordt zelf ook gelogd. [8.15.04, 8.15.05]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Monitoren en detecteren",
      "",
      "- De organisatie bewaakt de omgeving met een detectie- en responsvoorziening die de logging van",
      "  werkplekken, servers, identiteiten, clouddiensten en netwerkcomponenten bij elkaar brengt, bijvoorbeeld",
      "  een SIEM met EDR. [[bewaking]] beoordeelt afwijkingen binnen de termijn per ernstniveau en legt de",
      "  beoordeling vast. [8.16.03]",
      "- Actieve netwerkcomponenten (firewalls, routers, switches, toegangspunten voor wifi en VPN) sturen hun",
      "  logging naar deze voorziening. [[bewaking]] onderhoudt detectieregels voor afwijkend gedrag zoals",
      "  ongebruikelijk verkeer, wijzigingen in de configuratie en aanmeldingen buiten de beheerroute. [8.16.04]",
      "- De CISO legt vaste regels vast over wanneer een melding als incident aan het management gaat: per",
      "  ernstniveau de termijn en de ontvanger. Een melding met ernst hoog of kritiek gaat altijd direct naar de",
      "  CISO, die bepaalt of de directie wordt ingelicht. [8.16.02]",
      "- Nieuwe dreigingen of aanvalstechnieken die bij de monitoring worden ontdekt, deelt [[bewaking]] binnen",
      "  de juridische kaders met de aangewezen CERT, zo nodig zonder persoonsgegevens, en legt vast wat is",
      "  gedeeld. [8.16.01]",
      "- [[bewaking]] rapporteert maandelijks aan de CISO over meldingen, escalaties en gedeelde dreigingen.",
      "  [8.16.02, 8.16.03]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "detectie",
       "niet": false,
       "antwoorden": [
        "eigen-soc"
       ]
      }
     ],
     "regels": [
      "- Het eigen SOC beoordeelt de meldingen uit de detectievoorziening, ook buiten kantoortijd via een",
      "  bereikbaarheidsdienst. Het SOC beheert de detectieregels en past ze aan na elk incident en na elke",
      "  relevante dreigingsmelding. [8.16.03, 8.16.04]",
      "- Het SOC heeft een vastgelegde procedure voor het delen van nieuwe dreigingen met de CERT. [8.16.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "detectie",
       "niet": false,
       "antwoorden": [
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- Een SOC- of MDR-dienstverlener bewaakt de omgeving. Het contract regelt: welke logbronnen zijn",
      "  aangesloten, de reactietijd per ernstniveau, de escalatie naar de organisatie, de bevoegdheid om in te",
      "  grijpen, het delen van nieuwe dreigingen met de CERT en een maandelijkse rapportage. [8.16.01, 8.16.02, 8.16.03]",
      "- [[beheerder logvoorziening]] controleert elk kwartaal of alle logbronnen uit het overzicht ook bij de",
      "  dienstverlener binnenkomen en legt de uitkomst vast. [8.16.03, 8.16.04]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "detectie",
       "niet": false,
       "antwoorden": [
        "geen"
       ]
      }
     ],
     "regels": [
      "- Er is nog geen structurele detectie. Als minimum zijn op werkplekken en servers detectie- en",
      "  responsfuncties actief met automatische meldingen aan de beheerder, die ze elke werkdag bekijkt. De CISO",
      "  neemt het ontbreken van een SOC op als risico in het risicoregister en legt in het jaarplan vast wanneer de",
      "  organisatie structurele detectie heeft ingericht, zelf of uitbesteed. [8.16.03, 8.16.04]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "saas",
        "hostingpartij"
       ]
      }
     ],
     "regels": [
      "- De logging van clouddiensten en van de hostingpartij is aangesloten op de detectievoorziening. Waar dat",
      "  technisch niet kan, legt de systeemeigenaar vast welke meldingen de leverancier zelf geeft en hoe snel.",
      "  [8.16.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 6. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar logging: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd IT]] | Eigenaar van dit beleid, de centrale logvoorziening en de contracten met de SOC-dienstverlener |",
      "| Systeemeigenaar | Bepalen wat er van zijn systeem wordt gelogd en hoe lang, opname in het overzicht van logbronnen, afspraken met leveranciers over logs |",
      "| [[beheerder logvoorziening]] | Inrichting en beschikbaarheid van de logging en de centrale opslag, het overzicht van logbronnen, steekproef op gevoelige gegevens |",
      "| [[bewaking]] | Beoordelen van meldingen, detectieregels, escaleren volgens de regels, delen van nieuwe dreigingen, maandrapportage |",
      "| CISO | Vaststellen van escalatieregels en toetsfrequentie, ontvangst van escalaties, opdracht tot de onafhankelijke toets, beoordeling van afwijkingen |",
      "| Privacy officer en FG | Toetsing van het gebruik van logging met persoonsgegevens (de FG houdt toezicht) |",
      "| Inkoop en contractbeheer | Vastleggen van de logeisen bij leveranciers en toetsen van hun verklaringen |",
      "",
      "## 7. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| LOG-01 | Elke logbron uit het overzicht logt daadwerkelijk en komt in de centrale opslag binnen; elk productiesysteem staat in het overzicht | [[beheerder logvoorziening]] | Per kwartaal | Vergelijking van het overzicht met de centrale logvoorziening en de configuratiedatabase, met de afwijkingen | 8.15.03, 8.15.05 |",
      "| LOG-02 | Een steekproef van logregels uit vijf systemen bevat de verplichte velden, dezelfde tijdbron en geen wachtwoorden of sleutels | [[beheerder logvoorziening]] | Jaarlijks | Steekproefverslag met de beoordeelde logregels | 8.15.01, 8.15.02 |",
      "| LOG-03 | De bewaartermijn per logbron is vastgesteld, wordt gehaald en logging met persoonsgegevens staat in het verwerkingsregister | Privacy officer | Jaarlijks | Overzicht van logbronnen met termijnen, rapport uit de logvoorziening over de oudste beschikbare regel, verwerkingsregister | 8.15.04 |",
      "| LOG-04 | De logbestanden zijn over de bewaartermijn ongewijzigd en volledig aanwezig, getoetst door iemand zonder beheerrechten op de logging | Onafhankelijke toetser aangewezen door de CISO | Jaarlijks | Toetsverslag | 8.15.05, 8.15.06 |",
      "| LOG-05 | Meldingen uit de detectievoorziening zijn binnen de termijn per ernstniveau beoordeeld en de detectieregels zijn na incidenten bijgewerkt | CISO | Per kwartaal | Maandrapportages, steekproef van meldingen met beoordelingstijd, wijzigingslog van detectieregels | 8.16.03, 8.16.04 |",
      "| LOG-06 | De escalatie werkt: een gesimuleerde melding met ernst hoog bereikt de CISO binnen de afgesproken termijn | CISO | Jaarlijks | Tijdlijn van melding tot management | 8.16.02 |",
      "| LOG-07 | Nieuwe dreigingen die bij de monitoring zijn ontdekt, zijn volgens de procedure met de CERT gedeeld | CISO | Jaarlijks | Registratie van gedeelde dreigingen, procedure | 8.16.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "systeemeigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.",
      "De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 8. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid",
      "beveiligingsincidenten (melden van incidenten en bewaren van bewijs), het beleid netwerkbeveiliging",
      "(bewaking van dataverkeer en tijdsynchronisatie), het beleid logische toegangsbeveiliging (logging van",
      "beheerrechten en systeemhulpmiddelen), het beleid informatieclassificatie (impactniveaus en labels), het",
      "beleid wijzigingsbeheer (ingebruikname van logbronnen), het beleid informatiebeveiliging bij inkoop en",
      "contractbeheer (logs van leveranciers) en het privacybeleid (logging met persoonsgegevens).",
      ""
     ]
    }
   ],
   "bestand": "17-logging.md"
  },
  {
   "domein": "netwerk",
   "titel": "Beleid netwerkbeveiliging",
   "samenvatting": "Over het ontwerp, de inrichting en de bewaking van de netwerken, zodat een aanvaller die binnenkomt niet vrij verder kan. Behandelt segmentatie, beheer van netwerkcomponenten, firewalls en detectie op koppelpunten, het webfilter, versleuteling onderweg en wifi.",
   "invoeren": [
    "Stel een netwerkontwerp op met segmenten, beveiligingsniveaus, koppelpunten en toegestane verkeersstromen (hoofdstuk 3).",
    "Geef elke firewallregel een eigenaar en een reden en verwijder overbodige regels (hoofdstuk 3).",
    "Leg per netwerkcomponent vast welke hardeningsrichtlijn geldt (hoofdstuk 4).",
    "Richt een apart beheersegment in met persoonsgebonden beheeraccounts en MFA (hoofdstuk 4).",
    "Richt netwerktoegangscontrole in met authenticatie van apparaat en gebruiker (hoofdstuk 4).",
    "Plaats op elk koppelpunt met internet een firewall, DDoS-bescherming en detectie (hoofdstuk 5).",
    "Richt een webfilter in en laat de CISO de geblokkeerde categorieën vaststellen (hoofdstuk 6).",
    "Plaats gastwifi in een apart segment zonder toegang tot het bedrijfsnetwerk (hoofdstuk 8)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het ontwerp, de inrichting, het",
      "beheer en de bewaking van de netwerken van de organisatie, inclusief wifi en externe koppelingen. Het doel",
      "is dat een aanvaller die ergens binnenkomt niet vrij verder kan, dat aanvallen op het netwerk worden gezien",
      "en dat gegevens onderweg beschermd zijn. Het gaat over de ISO-beheersmaatregelen 8.20 tot en met 8.23.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de netwerkarchitect, de afdeling of leverancier die de",
      "netwerkcomponenten beheert en de systeemeigenaren die verbindingen nodig hebben. De regels over het",
      "aansluiten van apparatuur gelden voor iedereen die een apparaat op een netwerk van de organisatie aansluit.",
      "",
      "**Waarop.** Alle netwerken en netwerkdiensten die de organisatie gebruikt: het bedrijfsnetwerk, het",
      "beheersegment, wifi, de koppelpunten met internet en met ketenpartners, de verbindingen tussen locaties en",
      "met leveranciers, en de netwerken waarop operationele technologie draait. Is het netwerk of een netwerkdienst",
      "uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De organisatie legt dat vast",
      "in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of",
      "een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop,",
      "het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de logging van netwerkcomponenten (beleid logging en monitoring), de keuze van",
      "cryptografische middelen in het algemeen (beleid cryptografie), de beheeraccounts zelf (beleid logische",
      "toegangsbeveiliging) en de fysieke beveiliging van patchkasten en bekabeling (beleid fysieke toegang en",
      "beveiliging).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Het netwerk is opgedeeld in segmenten. Verkeer tussen segmenten is standaard dicht en wordt alleen",
      "   toegestaan waar dat nodig is.",
      "2. Elk segment heeft een beveiligingsniveau, afgeleid van het hoogste impactniveau van de systemen erin. Wat",
      "   erin zit, en wat ermee verbonden is, voldoet aan dat niveau.",
      "3. Toegang hangt af van de identiteit van gebruiker en apparaat, ook binnen het eigen netwerk.",
      "4. Beheer van het netwerk loopt via een eigen, afgeschermde route.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Netwerkontwerp en segmentatie",
      "",
      "- [[netwerkarchitect: de functie die het netwerkontwerp opstelt, eigen of bij de leverancier]] houdt een",
      "  actueel netwerkontwerp bij met de segmenten, hun beveiligingsniveau, de koppelpunten en de toegestane",
      "  verkeersstromen, werkt het bij bij elke grote wijziging en beoordeelt het ten minste jaarlijks; de",
      "  beoordeling is vastgelegd. [8.22.01]",
      "- Elk segment heeft een vastgelegd beveiligingsniveau, afgeleid van het hoogste impactniveau van de",
      "  informatie en systemen erin. Ten minste gescheiden zijn: gebruikers, servers, beheer, gasten en",
      "  voorzieningen van derden. [8.22.01]",
      "- [[netwerkbeheer: de eigen afdeling of de leverancier die de componenten beheert]] beoordeelt de",
      "  firewallregels tussen segmenten en naar buiten ten minste jaarlijks en verwijdert regels zonder eigenaar",
      "  of zonder aantoonbare noodzaak; elke regel heeft een eigenaar en een reden in de regelset. [8.21.01, 8.22.01]",
      "- Werkplekken kunnen geen verkeer tussen segmenten doorsturen; [[netwerkbeheer]] dwingt dat af in de",
      "  configuratie van de werkplek en van de switches. [8.22.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ot",
       "niet": false,
       "antwoorden": [
        "beperkt"
       ]
      }
     ],
     "regels": [
      "- Gebouwbeheer, toegangscontrole en camera's staan in een eigen segment met een eigen beveiligingsniveau.",
      "  Vanuit dit segment is er geen verbinding met het kantoornetwerk; de leverancier krijgt beheertoegang",
      "  alleen via de beheerroute van de organisatie. [8.22.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ot",
       "niet": false,
       "antwoorden": [
        "substantieel"
       ]
      }
     ],
     "regels": [
      "- Operationele technologie (gemalen, bruggen, sluizen, verkeersinstallaties, zuivering) staat in een",
      "  eigen netwerk, gescheiden van het kantoornetwerk volgens een zonemodel, bijvoorbeeld uit IEC 62443.",
      "  Elke zone heeft een beveiligingsniveau en elke verbinding tussen zones loopt via een gecontroleerd",
      "  koppelpunt dat de netwerkarchitect in het ontwerp vastlegt. [8.22.01]",
      "- Het OT-netwerk heeft geen directe verbinding met internet. Toegang op afstand, ook van leveranciers,",
      "  verloopt via een aparte beheeromgeving met MFA, op verzoek aangezet en per sessie gelogd. [8.20.02]",
      "- Verkeer van en naar het OT-netwerk wordt apart bewaakt met detectie die OT-protocollen herkent. [8.21.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 4. Netwerkcomponenten en beheer",
      "",
      "- Netwerkcomponenten voldoen ten minste aan het beveiligingsniveau van het segment waarin ze staan: een",
      "  component in een segment met impactniveau kritiek of hoger heeft de hardening, firmware-updates en",
      "  beheerbeveiliging die bij dat niveau horen. [[netwerkbeheer]] legt per component vast welke",
      "  hardeningsrichtlijn geldt. [8.20.01]",
      "- De beheerinterfaces van netwerkcomponenten zijn alleen bereikbaar vanuit een apart beheersegment en",
      "  niet vanuit het gebruikersnetwerk of internet. Beheer gebeurt met persoonsgebonden accounts en MFA.",
      "  [8.20.02]",
      "- [[netwerkbeheer]] verwijdert standaardwachtwoorden en ongebruikte diensten op netwerkcomponenten voor",
      "  ingebruikname. De configuratie van elke component staat in een back-up en wijzigingen lopen via",
      "  wijzigingsbeheer. [8.20.01]",
      "- Een apparaat krijgt pas toegang tot het bedrijfsnetwerk na authenticatie van apparaat en gebruiker, via",
      "  netwerktoegangscontrole die [[netwerkbeheer]] inricht. [8.20.02]",
      "- [[netwerkbeheer]] patcht netwerkcomponenten binnen de termijnen uit het beleid kwetsbaarheden en",
      "  patchmanagement en vervangt componenten die geen beveiligingsupdates meer krijgen. [8.20.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "eigen"
       ]
      }
     ],
     "regels": [
      "- De eigen netwerkbeheerders beheren de componenten. Een beheerder die netwerkcomponenten beheert,",
      "  beoordeelt niet zelf de monitoring van dat beheer; de CISO wijst aan wie dat doet. [8.20.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- De netwerkdienst is uitbesteed. Het contract legt de beveiligingseisen uit dit beleid vast:",
      "  segmentatie, beheer via een apart beheersegment, patchtermijnen voor netwerkcomponenten, de levering",
      "  van logging en een jaarlijkse rapportage waarmee de leverancier aantoont dat hij eraan voldoet. [8.20.01, 8.20.02]",
      "- De partij die het netwerk beheert, controleert niet zelf de beveiliging ervan; de organisatie laat de",
      "  controle doen door een andere partij of doet die zelf. [8.20.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Koppelpunten en bewaking",
      "",
      "- Elk koppelpunt met internet of een andere onvertrouwde zone heeft een firewall en maatregelen tegen",
      "  aanvallen op de beschikbaarheid, zoals DDoS-bescherming. Tussen segmenten met een verschillend",
      "  beveiligingsniveau zijn maatregelen die het misbruik van één segment beperken tot dat segment. [8.21.01]",
      "- Verkeer van en naar de vertrouwde omgeving wordt bewaakt met detectievoorzieningen die verdacht verkeer",
      "  signaleren, zoals een netwerkdetectiesysteem of de detectiefunctie van de firewall. [8.21.02]",
      "- Nieuwe dreigingen die bij deze bewaking worden ontdekt, worden binnen de juridische kaders gedeeld met",
      "  de sectorale CERT, zodat andere overheden zich kunnen beschermen; wat is gedeeld, wordt vastgelegd.",
      "  [8.21.03]",
      "- Een systeemeigenaar die een nieuwe koppeling met een externe partij nodig heeft, vraagt die aan bij de",
      "  netwerkarchitect, die de koppeling toetst aan het ontwerp en vastlegt welke verkeersstromen zijn",
      "  toegestaan. [8.21.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "detectie",
       "niet": false,
       "antwoorden": [
        "eigen-soc",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- Het SOC beoordeelt de meldingen van de netwerkdetectie binnen de afgesproken termijn en deelt nieuwe",
      "  dreigingen volgens de procedure met de CERT. [8.21.02, 8.21.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "detectie",
       "niet": false,
       "antwoorden": [
        "geen"
       ]
      }
     ],
     "regels": [
      "- Er is geen SOC. De meldingen van de netwerkdetectie gaan naar [[netwerkbeheer]], die ze elke werkdag",
      "  beoordeelt en opvallende meldingen aan de CISO doorzet. De CISO deelt nieuwe dreigingen met de CERT.",
      "  [8.21.02, 8.21.03]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "eigen-dc"
       ]
      }
     ],
     "regels": [
      "- Het eigen datacenter heeft een eigen koppelpunt met internet. De organisatie neemt DDoS-bescherming af",
      "  bij de internetleverancier en [[netwerkbeheer]] test die jaarlijks. [8.21.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "hostingpartij"
       ]
      }
     ],
     "regels": [
      "- De verbinding met de hostingpartij loopt over een versleutelde verbinding of een eigen lijn. De",
      "  hostingpartij scheidt de omgeving van de organisatie van die van andere klanten en levert",
      "  DDoS-bescherming op het koppelpunt met internet, vastgelegd in het contract. [8.21.01, 8.21.04]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "saas"
       ]
      }
     ],
     "regels": [
      "- De meeste diensten draaien bij SaaS- en cloudleveranciers. Werkplekken maken daarom rechtstreeks",
      "  verbinding met internet. Toegang tot clouddiensten hangt af van identiteit en apparaatstatus; de",
      "  leverancier levert de bescherming tegen aanvallen op de beschikbaarheid. De organisatie bewaakt het",
      "  verkeer naar clouddiensten via de werkplek en de logging van de clouddienst. [8.21.01, 8.21.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 6. Webfilter",
      "",
      "- Internetverkeer van werkplekken en servers loopt via een webfilter dat bekende kwaadaardige sites,",
      "  phishingsites en sites met malware blokkeert en dat verkeer naar anonimiseringsdiensten en onbeheerde",
      "  opslagdiensten tegenhoudt. [[netwerkbeheer]] houdt de blokkeerlijsten automatisch actueel. [8.23.01]",
      "- De CISO stelt vast welke categorieën websites geblokkeerd zijn en beoordeelt die lijst jaarlijks. Een",
      "  uitzondering vraagt de leidinggevende aan bij de servicedesk, met een reden en een einddatum; de",
      "  servicedesk legt de uitzondering vast. [8.23.01]",
      "- Medewerkers horen via het bewustzijnsprogramma welke sites geblokkeerd zijn en waarom, en hoe ze een",
      "  geblokkeerde site melden die ze voor hun werk nodig hebben. [8.23.01]",
      "",
      "## 7. Versleuteling onderweg",
      "",
      "- Gegevens die over draadloze verbindingen gaan, en over bedrade verbindingen buiten het gebied dat de",
      "  organisatie fysiek beheert, worden versleuteld. Alleen gegevens die nodig zijn om de verbinding tot",
      "  stand te brengen, blijven onversleuteld. [8.21.04]",
      "- De sterkte van de versleuteling volgt uit het vertrouwelijkheidslabel en uit hoe lang de gegevens",
      "  beschermd moeten blijven. Waar mogelijk gebruikt de organisatie middelen met een positief inzetadvies van",
      "  het NBV. Is er geen geadviseerd middel, dan kiest de netwerkarchitect in overleg met de CISO een andere",
      "  geschikte methode en legt die keuze vast. [8.21.04]",
      "- Verbindingen tussen locaties en met externe partijen lopen via een VPN of versleutelde lijn. Thuiswerkers",
      "  maken verbinding via een versleutelde verbinding met MFA. [8.21.04]",
      "",
      "## 8. Wifi",
      "",
      "- Het bedrijfswifi is alleen toegankelijk voor beheerde apparaten, na authenticatie van apparaat en",
      "  gebruiker, en is versleuteld volgens de geldende standaard. [8.21.04]",
      "- Gastwifi, ook een landelijk roamingnetwerk voor bezoekende ambtenaren, staat in een apart segment zonder",
      "  toegang tot het bedrijfsnetwerk. Er is geen open en onversleuteld netwerk. [8.22.01]",
      "- [[netwerkbeheer]] zoekt jaarlijks naar toegangspunten die niet van de organisatie zijn, schakelt ze uit",
      "  en legt de uitkomst vast. [8.20.01]",
      "",
      "## 9. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar netwerkbeveiliging: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd ICT]] | Eigenaar van dit beleid en de contracten met netwerkleveranciers |",
      "| [[netwerkarchitect]] | Netwerkontwerp, segmentatie, beveiligingsniveaus, toetsing van nieuwe koppelingen en keuze van versleuteling |",
      "| [[netwerkbeheer]] | Inrichting en beheer van componenten, firewallregels, netwerktoegangscontrole, webfilter en wifi |",
      "| CISO | Advies, toetsing, categorieën van het webfilter, goedkeuring van afwijkende versleuteling, delen van dreigingen, beoordeling van afwijkingen |",
      "| Systeemeigenaar | Aangeven welke verbindingen zijn systeem nodig heeft en welk impactniveau en label gelden |",
      "| Inkoop en contractbeheer | Vastleggen van de eisen uit dit beleid bij netwerk- en hostingleveranciers en toetsen van hun verklaringen |",
      "| Medewerkers | Alleen beheerde apparaten aansluiten, geen eigen toegangspunten plaatsen, geblokkeerde sites melden via de servicedesk |",
      "",
      "## 10. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| NWB-01 | Het netwerkontwerp is actueel, elk segment heeft een beveiligingsniveau en de segmenten in de configuratie komen overeen met het ontwerp | [[netwerkarchitect]] | Jaarlijks | Netwerkontwerp met beoordeling, configuratierapport van de segmenten, afwijkingen | 8.22.01 |",
      "| NWB-02 | Alle firewallregels hebben een eigenaar en een reden; regels zonder noodzaak zijn verwijderd | [[netwerkbeheer]] | Jaarlijks | Verslag met de verwijderde en aangepaste regels | 8.21.01, 8.22.01 |",
      "| NWB-03 | Netwerkcomponenten voldoen aan de hardening en de patchtermijnen van hun segment en zijn alleen beheerbaar vanuit het beheersegment met MFA | CISO | Jaarlijks | Overzicht van componenten met hardeningsrichtlijn en patchstand, configuratierapport van de beheerinterfaces | 8.20.01, 8.20.02 |",
      "| NWB-04 | Een segmentatietest vanuit het gebruikers- en het gastsegment bereikt het beheersegment en het serversegment niet | Onafhankelijke tester aangewezen door de CISO | Jaarlijks | Testrapport met bevindingen en opvolging | 8.22.01, 8.20.02 |",
      "| NWB-05 | De DDoS-bescherming en de netwerkdetectie op de koppelpunten werken en meldingen zijn binnen de termijn beoordeeld | CISO | Jaarlijks, meldingen per maand | Testrapport DDoS-bescherming, maandrapportage van de netwerkdetectie | 8.21.01, 8.21.02 |",
      "| NWB-06 | Nieuwe dreigingen uit de netwerkbewaking zijn volgens de procedure met de CERT gedeeld | CISO | Jaarlijks | Registratie van gedeelde dreigingen | 8.21.03 |",
      "| NWB-07 | Het webfilter blokkeert de vastgestelde categorieën, de blokkeerlijsten zijn actueel en elke uitzondering heeft een reden en een einddatum | [[netwerkbeheer]] | Halfjaarlijks | Configuratierapport van het webfilter, lijst van uitzonderingen | 8.23.01 |",
      "| NWB-08 | Draadloze en externe verbindingen zijn versleuteld volgens de geldende adviezen, het bedrijfswifi vraagt authenticatie van apparaat en gebruiker, en er zijn geen onbekende toegangspunten | [[netwerkbeheer]] | Jaarlijks | Configuratierapport van wifi en VPN, verslag van de zoektocht naar toegangspunten | 8.21.04, 8.20.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "netwerkarchitect dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.",
      "De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 11. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid logging en",
      "monitoring (logging en detectie op netwerkcomponenten), het beleid cryptografie (versleutelingsmiddelen),",
      "het beleid logische toegangsbeveiliging (beheeraccounts en MFA), het beleid kwetsbaarheden en",
      "patchmanagement (patchtermijnen), het beleid wijzigingsbeheer (netwerkwijzigingen), het beleid fysieke",
      "toegang en beveiliging (patchkasten en bekabeling), het beleid screening, bewustzijn en opleiding (het",
      "webfilter in het bewustzijnsprogramma) en het beleid informatiebeveiliging bij inkoop en contractbeheer",
      "(contracten met netwerk- en hostingleveranciers).",
      ""
     ]
    }
   ],
   "bestand": "18-netwerk.md"
  },
  {
   "domein": "cryptografie",
   "titel": "Beleid cryptografie",
   "samenvatting": "Regelt wanneer en hoe de organisatie versleutelt en wie sleutels en certificaten beheert. Behandelt de minimale versleuteling per vertrouwelijkheidslabel, verplichte standaarden en adviezen van NCSC en NBV, de inventaris van certificaten en sleutels, en de procedure sleutelbeheer met intrekking en reservecertificaten.",
   "invoeren": [
    "Leg per systeem het versleutelingsniveau volgens de minimumtabel vast in het systeemdossier (hoofdstuk 3).",
    "Breng websites en maildomeinen op de verplichte standaarden van het Forum Standaardisatie (hoofdstuk 4).",
    "Wijs een eigenaar cryptografie en een sleutelbeheerder aan (hoofdstuk 5).",
    "Neem elk certificaat, elke sleutel en elke versleutelingsvoorziening op in de inventaris (hoofdstuk 5).",
    "Stel in de inventaris een automatisch signaal in voor certificaten die bijna verlopen (hoofdstuk 5).",
    "Stel een procedure sleutelbeheer op voor alle fasen, van aanvragen tot vernietigen (hoofdstuk 6).",
    "Zet sleutels in een sleutelkluis of beveiligde hardware, niet in code of gedeelde mappen (hoofdstuk 6).",
    "Bepaal per kritiek certificaat of reservecertificaten nodig zijn en oefen de vervanging (hoofdstuk 6)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het gebruik van cryptografie:",
      "versleuteling van gegevens bij transport en opslag, digitale handtekeningen, certificaten en het beheer van",
      "cryptografische sleutels. Het legt vast wanneer de organisatie versleutelt, met welke middelen en wie de",
      "sleutels beheert, zodat vertrouwelijkheid en integriteit van informatie ook buiten de eigen muren overeind",
      "blijven. Het gaat over de ISO-beheersmaatregel 8.24.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de functie die cryptografie implementeert, de",
      "sleutelbeheerder en de systeemeigenaren. De gedragsregels over tokens, sleutels en het verzenden van",
      "vertrouwelijke informatie gelden voor alle medewerkers en inhuur.",
      "",
      "**Waarop.** Alle systemen, applicaties, verbindingen, back-ups, gegevensdragers en gegevens waarvoor de",
      "organisatie verantwoordelijk is, en alle sleutels en certificaten die daarbij horen. Is een systeem gehost",
      "of beheerd door een leverancier, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De",
      "organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een",
      "ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid",
      "informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de classificatie zelf (beleid informatieclassificatie), de inrichting van de",
      "netwerkverbindingen die versleuteld worden (beleid netwerkbeveiliging), de versleuteling van mobiele",
      "apparaten (beleid mobile device management) en het wissen van gegevensdragers (beleid afvoer en hergebruik",
      "van gegevensdragers).",
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Cryptografie volgt de classificatie: hoe hoger het vertrouwelijkheidslabel van de informatie, hoe",
      "   zwaarder de versleuteling.",
      "2. De organisatie gebruikt alleen erkende, openbare algoritmen en protocollen in een actuele versie, geen",
      "   eigen of geheime constructies.",
      "3. Elk cryptografisch middel (certificaat, sleutel, versleutelingsvoorziening) heeft een eigenaar en staat",
      "   in de inventaris.",
      "4. Sleutels zijn net zo goed beschermd als de informatie die ze beschermen.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Wanneer de organisatie cryptografie inzet",
      "",
      "- De systeemeigenaar zet cryptografie in volgens deze minimumtabel, die per vertrouwelijkheidslabel",
      "  aansluit op het beleid informatieclassificatie, en legt het gekozen niveau vast in het systeemdossier:",
      "  [8.24.01]",
      "  - intern: versleuteld transport over elk netwerk buiten het eigen interne netwerk;",
      "  - vertrouwelijk: versleuteld transport over elk netwerk, ook intern, en versleutelde opslag op draagbare",
      "    apparaten en gegevensdragers;",
      "  - strikt vertrouwelijk en geheim: daarbovenop versleutelde opslag in databases en bestandsopslag en, bij",
      "    uitwisseling, versleuteling van het bericht zelf.",
      "- Back-ups worden versleuteld opgeslagen. De sleutels staan gescheiden van de back-up, en de",
      "  [[sleutelbeheerder: de functie die verantwoordelijk is voor het sleutel- en certificaatbeheer]] test",
      "  jaarlijks met de eigenaar van de back-up een herstel met die sleutels. [8.24.01]",
      "- Voor integriteit en onweerlegbaarheid gebruikt de organisatie digitale handtekeningen of gekwalificeerde",
      "  elektronische zegels waar een wet of de risicoanalyse dat vraagt, bijvoorbeeld bij besluiten die digitaal",
      "  worden verzonden; de systeemeigenaar legt vast welke documenten dat zijn. [8.24.01]",
      "- Medewerkers sturen informatie met het label vertrouwelijk of hoger niet via persoonlijke webmail,",
      "  privé-opslagdiensten of sociale media. [8.24.01]",
      "",
      "## 4. Normen en sterkte",
      "",
      "- De organisatie past de verplichte standaarden van het Forum Standaardisatie toe volgens pas toe of leg uit.",
      "  Voor websites en mail zijn dat in elk geval HTTPS met HSTS, TLS, DNSSEC, DKIM, DMARC, SPF en STARTTLS met",
      "  DANE. [[eigenaar cryptografie: de functie die verantwoordelijk is voor de implementatie, bijvoorbeeld de IT-architect of het hoofd IT]]",
      "  motiveert afwijkingen en rapporteert ze jaarlijks aan de CISO. [8.24.01]",
      "- De keuze van algoritmen, sleutellengten en protocolversies volgt de actuele adviezen van het NCSC (onder",
      "  meer de ICT-beveiligingsrichtlijnen voor TLS) en van het NBV. Instellingen die als onvoldoende of uit te",
      "  faseren gelden, zet [[eigenaar cryptografie]] binnen",
      "  [[termijn uitfaseren: bijvoorbeeld zes maanden na publicatie van het advies]] uit. [8.24.04]",
      "- [[eigenaar cryptografie]] controleert elk halfjaar of er nieuwe adviezen zijn en of de inzet nog voldoet,",
      "  en legt de uitkomst vast. Dit omvat de voorbereiding op quantumveilige cryptografie: de inventaris laat",
      "  zien welke toepassingen eerst over moeten. [8.24.04]",
      "- Wisselt de organisatie versleutelde informatie uit met een andere organisatie, dan leggen beide partijen",
      "  vooraf vast welke versleuteling, welke certificaten en welk sleutelbeheer ze gebruiken, bijvoorbeeld in een",
      "  aansluitovereenkomst of verwerkersovereenkomst. De systeemeigenaar bewaart die afspraak in het",
      "  systeemdossier. [8.24.01]",
      "",
      "## 5. Verantwoordelijkheden en registratie",
      "",
      "- [[eigenaar cryptografie]] is verantwoordelijk voor de implementatie van cryptografie en legt per",
      "  toepassing vast welk middel is gekozen en waarom. [8.24.01]",
      "- [[sleutelbeheerder]] is verantwoordelijk voor het beheer van sleutels en certificaten gedurende de hele",
      "  levenscyclus en houdt daarvan een register bij. [8.24.01]",
      "- Elk certificaat, elke sleutel met een functie in productie en elke versleutelingsvoorziening staat in de",
      "  inventaris van bedrijfsmiddelen, met waar het wordt gebruikt, wie de eigenaar is, het algoritme en de",
      "  sleutellengte, de vervaldatum en hoe het actueel wordt gehouden. [[sleutelbeheerder]] controleert de",
      "  inventaris elk halfjaar op volledigheid. [8.24.02]",
      "- De inventaris geeft [[waarschuwingstermijn verlopen: bijvoorbeeld 60 dagen]] voor het verlopen van een",
      "  certificaat automatisch een signaal aan de eigenaar; de eigenaar vervangt het certificaat voor de",
      "  vervaldatum. [8.24.02]",
      "",
      "## 6. Sleutel- en certificaatbeheer",
      "",
      "- Voor PKIoverheid-certificaten volgt de organisatie de eisen van PKIoverheid aan het sleutelbeheer. Voor",
      "  overige sleutels volgt ze een erkende norm voor sleutelbeheer, zoals ISO/IEC 11770. [8.24.01]",
      "- [[sleutelbeheerder]] legt in de procedure sleutelbeheer voor elke fase vast wie wat doet: aanvragen (na",
      "  vaststelling van de identiteit van de aanvrager), genereren, distribueren, opslaan, vervangen, herstellen,",
      "  intrekken, archiveren en vernietigen. [8.24.01]",
      "- Een privésleutel is alleen toegankelijk voor de houder of de voorziening die hem gebruikt. Sleutels staan",
      "  in een sleutelkluis of beveiligde hardware; nooit in broncode, scripts of gedeelde mappen. [8.24.01]",
      "- Verlies, diefstal of een vermoeden van misbruik van een sleutel of token meldt de medewerker direct, en",
      "  uiterlijk binnen vier uur, bij de servicedesk. [[sleutelbeheerder]] trekt het certificaat in en publiceert",
      "  de intrekking via de gebruikelijke kanalen (CRL of OCSP). [8.24.01]",
      "- Voor certificaten waarvan de dienstverlening afhangt (bijvoorbeeld voor websites, koppelingen en",
      "  ketenaansluitingen) bepaalt de systeemeigenaar in de risicoafweging of de organisatie reservecertificaten",
      "  van een andere leverancier nodig heeft. Is dat zo, dan liggen er afspraken met die leverancier, is de",
      "  vervanging beschreven in het continuïteitsplan en oefent [[sleutelbeheerder]] de vervanging jaarlijks.",
      "  [8.24.05]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "eigen-dc"
       ]
      }
     ],
     "regels": [
      "- Sleutels voor de eigen systemen worden in de eigen omgeving gegenereerd en beheerd. Sleutels voor",
      "  informatie met het label strikt vertrouwelijk of geheim staan in een HSM of een gelijkwaardige voorziening.",
      "  [8.24.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "hostingpartij"
       ]
      }
     ],
     "regels": [
      "- Waar de hostingpartij versleuteling of certificaten levert, staat in het contract wie de sleutels beheert,",
      "  dat de hostingpartij de normen uit dit beleid volgt en dat de organisatie inzage krijgt in het",
      "  sleutelbeheer. Interne certificaten van de hostingpartij staan ook in de inventaris van de organisatie. [8.24.01, 8.24.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "hosting",
       "niet": false,
       "antwoorden": [
        "saas"
       ]
      }
     ],
     "regels": [
      "- Bij SaaS en publieke cloud toetst de organisatie bij inkoop of de leverancier versleutelt bij transport en",
      "  opslag volgens dit beleid. Voor informatie met het label strikt vertrouwelijk of geheim kiest de organisatie waar",
      "  het kan voor sleutels die zij zelf beheert of die buiten de leverancier liggen. [8.24.01]",
      "- De versleutelingsinstellingen van elke clouddienst staan in de inventaris, ook als de leverancier de",
      "  sleutels beheert. [8.24.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "byod",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- Op privéapparaten (BYOD) staan werkgegevens alleen in een beheerde, versleutelde app-omgeving met een",
      "  eigen sleutel van de organisatie, die de organisatie op afstand kan wissen zonder de privégegevens te",
      "  raken. [8.24.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "gevoelig",
       "niet": false,
       "antwoorden": [
        "sociaal",
        "jeugd",
        "gezondheid"
       ]
      }
     ],
     "regels": [
      "- Mail met bijzondere persoonsgegevens (sociaal domein, jeugd of gezondheid) gaat naar externe ontvangers",
      "  alleen over een kanaal dat versleuteling afdwingt en de ontvanger controleert, bijvoorbeeld beveiligde mail",
      "  volgens NTA 7516. Zonder zo'n kanaal wordt de informatie niet gemaild. [8.24.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 7. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar cryptografie: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd IT]] | Eigenaar van dit beleid en van de inventaris van cryptografische middelen |",
      "| [[eigenaar cryptografie]] | Implementatie van versleuteling, de halfjaarlijkse toets op de adviezen van NCSC en NBV, rapportage over afwijkingen van de standaarden |",
      "| [[sleutelbeheerder]] | Levenscyclus van sleutels en certificaten, de procedure sleutelbeheer, intrekking bij misbruik, hersteltest en oefening met reservecertificaten |",
      "| Systeemeigenaar | Beschermingsniveau per systeem, afspraken met leveranciers en ketenpartners, risicoafweging voor reservecertificaten |",
      "| CISO | Advies, toetsing van dit beleid, beoordeling van afwijkingen op de standaarden en van afwijkingen van dit beleid |",
      "| Inkoop en contractbeheer | Vastleggen van de eisen uit dit beleid bij leveranciers en toetsen van hun verklaringen |",
      "| Medewerkers | Zorgvuldig gebruik van tokens en sleutels, direct melden van verlies, geen vertrouwelijke informatie via privékanalen |",
      "",
      "## 8. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];",
      "afwijkingen gaan als bevinding naar het risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| CRY-01 | Websites en maildomeinen voldoen aan de verplichte standaarden van het Forum Standaardisatie en elke afwijking is gemotiveerd | [[eigenaar cryptografie]] | Maandelijks, rapportage jaarlijks | Meetuitslag per domein, bijvoorbeeld van internet.nl, en de afhandeling van afwijkingen | 8.24.01 |",
      "| CRY-02 | De inventaris van certificaten, sleutels en versleutelingsvoorzieningen is volledig, elk middel heeft een eigenaar en een vervaldatum, en verlopen certificaten zijn op tijd vervangen | [[sleutelbeheerder]] | Halfjaarlijks | Bijgewerkte inventaris met acties, overzicht van signalen en vervangingen | 8.24.02 |",
      "| CRY-03 | De gebruikte algoritmen, sleutellengten en protocolversies voldoen aan de actuele adviezen van NCSC en NBV en afgekeurde instellingen zijn binnen de termijn uitgezet | [[eigenaar cryptografie]] | Halfjaarlijks | Toetsverslag tegen de adviezen, scanrapport van de instellingen, lijst van uitgefaseerde instellingen | 8.24.04 |",
      "| CRY-04 | Elk systeem met het label vertrouwelijk of hoger versleutelt bij transport en opslag volgens de minimumtabel, en back-ups zijn versleuteld met gescheiden sleutels | CISO | Jaarlijks | Steekproef van systeemdossiers, configuratierapport van de back-upvoorziening, verslag van de hersteltest | 8.24.01 |",
      "| CRY-05 | Sleutels staan in een sleutelkluis of beveiligde hardware en niet in broncode, scripts of gedeelde mappen; de procedure sleutelbeheer is gevolgd | [[sleutelbeheerder]] | Jaarlijks | Scanrapport op sleutels in repositories en gedeelde mappen, steekproef van aanvragen en intrekkingen | 8.24.01 |",
      "| CRY-06 | Voor certificaten waarvan de dienstverlening afhangt is de risicoafweging over reservecertificaten gemaakt en, waar afgesproken, de vervanging geoefend | [[sleutelbeheerder]] | Jaarlijks | Risicoafwegingen per certificaat, afspraken met de reserveleverancier, oefenverslag | 8.24.05 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "systeemeigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.",
      "De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 9. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid",
      "informatieclassificatie (vertrouwelijkheidslabels), het beleid bedrijfsmiddelenbeheer (inventaris), het",
      "beleid back-up en recovery (versleutelde back-ups), het beleid netwerkbeveiliging (versleuteling onderweg),",
      "het beleid mobile device management (versleuteling van apparaten), het beleid veilige softwareontwikkeling",
      "(geen sleutels in broncode), het beleid informatiebeveiliging bij inkoop en contractbeheer (afspraken over",
      "versleuteling) en het beleid ICT-continuïteit en uitwijk (reservecertificaten).",
      ""
     ]
    }
   ],
   "bestand": "19-cryptografie.md"
  },
  {
   "domein": "ssd",
   "titel": "Beleid veilige softwareontwikkeling",
   "samenvatting": "Over beveiliging in software die de organisatie bouwt, laat bouwen of afneemt, voordat die in gebruik gaat. Behandelt architectuurprincipes, beveiligingseisen per toepassing, veilig ontwikkelen of de eisen daarvoor aan leveranciers, afspraken bij uitbestede ontwikkeling en testen met fictieve gegevens.",
   "invoeren": [
    "Leg de beveiligingsprincipes voor het ontwerp van informatiesystemen vast in een architectuurdocument (hoofdstuk 3).",
    "Richt een vastgelegde toets van elk project en elke aanschaf aan de architectuurprincipes in (hoofdstuk 3).",
    "Stel per nieuwe toepassing beveiligingseisen op, op basis van een erkende eisenset zoals OWASP ASVS (hoofdstuk 4).",
    "Plan voor elke internetvoorziening een penetratietest vóór ingebruikname (hoofdstuk 4).",
    "Neem de eisen uit het beleid op in het programma van eisen en het contract (hoofdstuk 6).",
    "Regel in contracten auditrecht, toegang tot broncode, oplostermijnen en een meldregeling voor kwetsbaarheden (hoofdstuk 6).",
    "Richt per oplevering een acceptatiedossier in met testverslag, penetratietest en componentenoverzicht (hoofdstuk 6).",
    "Stel een formulier testgegevens op voor testen met persoonsgegevens (hoofdstuk 7)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het ontwerpen, bouwen, aanpassen en",
      "testen van software. Het legt vast welke beveiligingsprincipes en eisen vooraf gelden, hoe veilig wordt",
      "gebouwd, welke bewijzen bij een oplevering horen en wat de organisatie van een leverancier eist, zodat",
      "beveiliging in de software zit voordat die in gebruik gaat. Het gaat over de ISO-beheersmaatregelen 8.25",
      "tot en met 8.28 en 8.30; de regels voor testgegevens (8.33) staan hier mee ingevuld, omdat ze bij het",
      "testen van software horen.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de architect, de systeemeigenaren, de ontwikkelaars en",
      "functioneel beheerders van de organisatie en voor de inkopers die software of maatwerk afnemen. Het geldt",
      "ook voor ingehuurde ontwikkelaars en voor leveranciers die software voor de organisatie bouwen of",
      "aanpassen.",
      "",
      "**Waarop.** Alle software die de organisatie bouwt, laat bouwen of als maatwerk of SaaS-dienst afneemt:",
      "applicaties, webapplicaties, apps, koppelingen (API), scripts en configuraties met logica, zoals low-code,",
      "formulieren en workflows in een standaardpakket. Is de ontwikkeling uitbesteed, dan gelden de eisen uit",
      "dit beleid als minimumeis voor de leverancier. De organisatie legt dat vast in het contract en toetst de",
      "naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE",
      "3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het",
      "beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen het in productie nemen van wijzigingen en het scheiden van omgevingen (beleid",
      "wijzigingsbeheer), het verhelpen van kwetsbaarheden na ingebruikname (beleid kwetsbaarheden en",
      "patchmanagement), de toegang tot broncode en omgevingen (beleid logische toegangsbeveiliging) en de",
      "beveiligingstoets aan het begin van een project (beleid informatiebeveiliging in projecten).",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ontwikkeling",
       "niet": false,
       "antwoorden": [
        "nee"
       ]
      }
     ],
     "regels": [
      "De organisatie bouwt zelf geen software. Dit beleid is daarom vooral een set eisen die de organisatie stelt",
      "aan leveranciers bij inkoop, maatwerk en configuratie. Ook configuratie met logica (formulieren, workflows,",
      "koppelingen in een standaardpakket) door functioneel beheer valt eronder."
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Beveiliging en privacy zitten in het ontwerp (security en privacy by design) en de veiligste instelling",
      "   is de standaard (security by default).",
      "2. Beveiligingseisen worden vastgesteld voordat er gebouwd of gekocht wordt, en getoetst voordat iets in",
      "   gebruik gaat. Hoe hoger het impactniveau van de informatie, hoe zwaarder de eisen en de toets.",
      "3. Voor uitbestede ontwikkeling gelden dezelfde eisen als voor eigen ontwikkeling.",
      "4. Er wordt getest met fictieve gegevens; persoonsgegevens in test zijn een onderbouwde uitzondering.",
      "5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Architectuurprincipes",
      "",
      "- De architect stelt beveiligingsprincipes voor het ontwerp van informatiesystemen vast en houdt ze bij in",
      "  [[architectuurdocument: het document of de omgeving waarin de architectuurprincipes staan]]. Ze gelden",
      "  voor elke ontwikkeling en aanschaf. Ten minste: [8.27.01]",
      "  - toegang standaard geweigerd en per rol expliciet toegekend, voor elke pagina, functie, koppeling en",
      "    gegevensverzameling;",
      "  - aanmelden via de centrale identiteitsvoorziening met SSO en MFA volgens het beleid logische",
      "    toegangsbeveiliging;",
      "  - alleen versleutelde verbindingen, ook naar de achterliggende systemen, volgens het beleid cryptografie;",
      "  - minimale gegevensverwerking en standaard de meest privacyvriendelijke instelling;",
      "  - scheiding tussen klanten of omgevingen bij gedeelde (multi-tenant) platforms;",
      "  - foutafhandeling die geen technische details prijsgeeft en invoer die aan de serverkant wordt",
      "    gecontroleerd;",
      "  - logging van beveiligingsrelevante gebeurtenissen volgens het beleid logging en monitoring.",
      "- De architect en de CISO herzien de principes jaarlijks; [[lijneigenaar veilige ontwikkeling: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd IT of informatievoorziening]]",
      "  stelt ze na elke herziening vast. [8.27.01]",
      "- Bij elk project of elke aanschaf toetst de architect het ontwerp aan de principes en legt de toets vast.",
      "  Een afwijking wordt vastgelegd en door de systeemeigenaar als risico geaccepteerd. [8.27.01]",
      "",
      "## 4. Beveiligingseisen per toepassing",
      "",
      "- Voor elke nieuwe toepassing of grote wijziging stelt de systeemeigenaar beveiligingseisen op, afgeleid",
      "  uit het impactniveau, de vertrouwelijkheidsklasse en de risicoanalyse, en legt ze vast in het programma",
      "  van eisen of de ontwerpdocumentatie. Voor webapplicaties en koppelingen gebruikt de organisatie een",
      "  erkende eisenset als basis, bijvoorbeeld de OWASP ASVS: niveau 1 bij impactniveau gering of lager, niveau",
      "  2 bij gemiddeld of hoger en niveau 3 bij informatie met het label strikt vertrouwelijk of geheim. [8.26.01]",
      "- Voor webapplicaties gelden in elk geval: veilig sessiebeheer met een time-out, bescherming tegen",
      "  brute-force-aanmeldingen, controle van alle invoer, geen gevoelige gegevens in de URL,",
      "  beveiligingsheaders (zoals HSTS en een Content Security Policy) en registratie van de website of",
      "  koppeling in de inventaris van bedrijfsmiddelen. De systeemeigenaar toont dat bij de acceptatie aan.",
      "  [8.26.01]",
      "- De beveiligingseisen gaan over de hele keten van de toepassing: de toegang, de verwerking, de opslag, de",
      "  koppelingen met andere systemen en de gegevens die de toepassing uitwisselt. Bij een transactie met een",
      "  burger of bedrijf eist de systeemeigenaar dat de identiteit van beide kanten vaststaat, de transactie",
      "  niet te wijzigen of te ontkennen is en de gegevens onderweg en in rust versleuteld zijn. [8.26.01]",
      "- Een internetvoorziening krijgt voor ingebruikname een penetratietest; de bevindingen met een hoog risico",
      "  zijn opgelost voordat de voorziening live gaat. Het rapport hoort bij het acceptatiedossier. [8.26.01]",
      "",
      "## 5. Veilig ontwikkelen",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ontwikkeling",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- [[lijneigenaar veilige ontwikkeling]] stelt een richtlijn voor veilig programmeren vast per gebruikte",
      "  taal of platform, gebaseerd op een erkende bron zoals de OWASP-richtlijnen, en herziet die jaarlijks.",
      "  Ontwikkelaars werken volgens die richtlijn en krijgen jaarlijks training in veilig ontwikkelen; de",
      "  deelname staat in het opleidingsregister. [8.28.01]",
      "- De organisatie legt het ontwikkelproces vast in [[ontwikkelrichtlijn: het document dat de werkwijze van de bouwstraat beschrijft]]:",
      "  wie welke stap doet, welke beveiligingsactiviteit bij elke fase hoort (eisen, ontwerp, bouw, test,",
      "  release), welke controles de bouwstraat afdwingt en hoe de omgevingen en de broncode beveiligd zijn. De",
      "  lijneigenaar herziet de beschrijving jaarlijks. [8.25.01]",
      "- Elke wijziging in code gaat via versiebeheer en wordt beoordeeld door een tweede ontwikkelaar voordat hij",
      "  in de hoofdtak komt. De beoordeling let ook op beveiliging en is terug te vinden in het versiebeheer.",
      "  [8.25.01, 8.28.01]",
      "- De bouwstraat controleert elke wijziging automatisch met statische codeanalyse, controle op kwetsbare",
      "  bibliotheken en op geheimen (wachtwoorden, sleutels) in de code. Bevindingen met een hoog risico houden de",
      "  release tegen en de uitkomst van elke controle wordt bewaard. [8.25.01, 8.28.01]",
      "- Ontwikkelaars gebruiken alleen bibliotheken en componenten uit bronnen die de organisatie heeft",
      "  goedgekeurd, met een onderhouden versie, en vernieuwen ze binnen de termijnen van het beleid",
      "  kwetsbaarheden en patchmanagement. Van elke applicatie is een overzicht van gebruikte componenten (SBOM)",
      "  beschikbaar dat bij elke release wordt bijgewerkt. [8.25.01, 8.28.01]",
      "- Geheimen staan in een sleutelkluis en niet in code of configuratiebestanden in de repository. De",
      "  bouwstraat blokkeert een wijziging waarin een geheim staat. [8.28.01]",
      "- Ontwikkel- en testomgevingen van de bouwstraat zijn beveiligd volgens het beleid logische",
      "  toegangsbeveiliging: persoonlijke accounts, rechten per rol en geen schrijfrechten van ontwikkelaars in",
      "  productie. [8.25.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ontwikkeling",
       "niet": false,
       "antwoorden": [
        "nee"
       ]
      }
     ],
     "regels": [
      "- Bij inkoop van software of maatwerk vraagt de inkoopadviseur de leverancier hoe die veilig ontwikkelt:",
      "  een richtlijn voor veilig programmeren, codereview, geautomatiseerde controle op kwetsbare componenten,",
      "  beveiliging van de ontwikkelomgeving en een proces voor kwetsbaarheden. Het antwoord weegt mee in de",
      "  gunning en wordt bij het contract bewaard. [8.25.01, 8.28.01]",
      "- De systeemeigenaar vraagt bij elke grote release een recente pentestrapportage of een ASVS-verklaring, en",
      "  een overzicht van gebruikte componenten (SBOM) als de toepassing informatie met impactniveau kritiek of",
      "  hoger verwerkt. [8.25.01]",
      "- Configuratie met logica door functioneel beheer (formulieren, workflows, koppelingen) volgt de",
      "  architectuurprincipes, wordt door een tweede functioneel beheerder beoordeeld en gaat via het beleid",
      "  wijzigingsbeheer. [8.25.01, 8.28.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 6. Uitbestede ontwikkeling",
      "",
      "- De eisen uit dit beleid gelden onverkort voor ontwikkeling door een leverancier, voor maatwerk en voor",
      "  SaaS-diensten. De inkoopadviseur en de systeemeigenaar nemen ze op in het programma van eisen en in het",
      "  contract. [8.30.01]",
      "- Daarbovenop regelt het contract: het recht op audit of een onafhankelijke verklaring over het",
      "  ontwikkelproces, het eigendom van of de toegang tot de broncode (bijvoorbeeld via escrow als de",
      "  continuïteit dat vraagt), de termijn voor het oplossen van kwetsbaarheden, een regeling voor het melden",
      "  van kwetsbaarheden bij de leverancier en de manier van opleveren en accepteren. [8.30.01]",
      "- De systeemeigenaar controleert bij elke oplevering of de afgesproken bewijzen er zijn (testverslag,",
      "  penetratietest, componentenoverzicht) en accepteert pas daarna. Het acceptatiebesluit en de bewijzen",
      "  staan in het acceptatiedossier bij de wijziging. [8.30.01]",
      "- De contracteigenaar beoordeelt jaarlijks per leverancier of de verklaring over het ontwikkelproces nog",
      "  geldig is en of de leverancier de termijnen voor kwetsbaarheden heeft gehaald. [8.30.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ontwikkeling",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- Huurt de organisatie ontwikkelaars in voor het eigen team, dan werken die in de eigen bouwstraat, met",
      "  persoonlijke accounts en volgens dezelfde richtlijnen als eigen ontwikkelaars. Hun rechten vervallen op",
      "  de laatste werkdag van de opdracht. [8.30.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 7. Testgegevens",
      "",
      "- Er wordt getest met fictieve gegevens. Kan een test daar aantoonbaar niet mee, dan beoordeelt de",
      "  opdrachtgever van de test stap voor stap of het kan met geanonimiseerde gegevens, daarna met",
      "  gepseudonimiseerde gegevens en pas als laatste met productiegegevens. [8.33.01]",
      "- Voor het maken van een geanonimiseerde of gepseudonimiseerde set en voor testen met gepseudonimiseerde of",
      "  productiegegevens vult de opdrachtgever",
      "  [[formulier testgegevens: het formulier of de registratie voor testen met persoonsgegevens]] in met doel,",
      "  onderbouwing, benodigde gegevens en bewaartermijn. De privacy officer en de CISO geven advies. Volgt de",
      "  opdrachtgever het advies niet, dan accepteert de proceseigenaar het risico schriftelijk. [8.33.01]",
      "- Een testomgeving met persoonsgegevens krijgt dezelfde beveiliging als productie, alleen de minimaal",
      "  nodige gegevens en een vaste einddatum waarop de beheerder de gegevens verwijdert. Het verwijderen wordt",
      "  vastgelegd. [8.33.01]",
      "",
      "## 8. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar veilige ontwikkeling]] | Eigenaar van dit beleid; vaststellen van de architectuurprincipes, de richtlijn voor veilig programmeren en de beschrijving van het ontwikkelproces; de middelen voor de bouwstraat en training |",
      "| Architect | Opstellen en bijhouden van de architectuurprincipes, toets op ontwerpen, vastleggen van afwijkingen |",
      "| Systeemeigenaar | Beveiligingseisen per toepassing, acceptatie van opleveringen en van afwijkingen, opvragen van bewijzen bij leveranciers |",
      "| Ontwikkelaars en functioneel beheerders | Bouwen en configureren volgens de richtlijn, codereview, bijhouden van het componentenoverzicht |",
      "| Inkoopadviseur en contracteigenaar | Eisen uit dit beleid in het programma van eisen en het contract, jaarlijkse beoordeling van leveranciersverklaringen |",
      "| Privacy officer of FG | Advies bij testen met persoonsgegevens en bij privacy by design |",
      "| CISO | Advies, jaarlijkse herziening van de principes met de architect, toetsing van dit beleid en van afwijkingen |",
      "| Leveranciers | Bouwen volgens de eisen en aanleveren van bewijs bij elke oplevering |",
      "",
      "## 9. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles]]; afwijkingen gaan als bevinding naar het",
      "risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| SSD-01 | De architectuurprincipes zijn in het afgelopen jaar herzien en vastgesteld, en elk project of elke aanschaf van het afgelopen jaar heeft een vastgelegde toets aan de principes | CISO | Jaarlijks | Vastgestelde versie van de principes, lijst van projecten en aanschaffen met de toets per project | 8.27.01 |",
      "| SSD-02 | Elke nieuwe toepassing of grote wijziging heeft vastgelegde beveiligingseisen op het niveau dat bij het impactniveau past, en de eisen zijn bij de acceptatie aantoonbaar getoetst | [[lijneigenaar veilige ontwikkeling]] | Halfjaarlijks | Steekproef van vijf opleveringen met de eisen en het acceptatiedossier | 8.26.01 |",
      "| SSD-03 | Elke internetvoorziening die in gebruik is gegaan, heeft een penetratietestrapport van vóór de ingebruikname zonder open bevindingen met hoog risico | CISO | Halfjaarlijks | Lijst van nieuwe internetvoorzieningen uit de inventaris met het rapport per voorziening | 8.26.01 |",
      "| SSD-04 | De beschrijving van het ontwikkelproces en de richtlijn voor veilig programmeren zijn ten hoogste een jaar oud, elke ontwikkelaar heeft in het afgelopen jaar training gevolgd, en elke wijziging in de hoofdtak heeft een beoordeling door een tweede persoon en een geslaagde automatische controle | [[lijneigenaar veilige ontwikkeling]] | Per kwartaal | Vastgestelde documenten, opleidingsregister, rapport uit het versiebeheer en de bouwstraat over een steekproef van tien wijzigingen | 8.25.01, 8.28.01 |",
      "| SSD-05 | Elke applicatie heeft een actueel componentenoverzicht en er staan geen geheimen in de repository | [[lijneigenaar veilige ontwikkeling]] | Per kwartaal | Componentenoverzichten met datum, uitkomst van de scan op geheimen | 8.25.01, 8.28.01 |",
      "| SSD-06 | Elke oplevering van een leverancier is pas geaccepteerd na controle van de afgesproken bewijzen, en elk contract voor ontwikkeling, maatwerk of SaaS bevat de eisen uit dit beleid | Contracteigenaar | Jaarlijks | Steekproef van vijf opleveringen met het acceptatiedossier, contracten met de eisen, verklaringen van leveranciers | 8.30.01, 8.25.01, 8.28.01 |",
      "| SSD-07 | Elke testomgeving met persoonsgegevens heeft een ingevuld formulier met advies en een einddatum, en de gegevens zijn op de einddatum verwijderd | Privacy officer | Jaarlijks | Steekproef van vijf testomgevingen met formulier, advies en registratie van de verwijdering | 8.33.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "systeemeigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.",
      "De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 10. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid",
      "informatiebeveiliging in projecten (de toets aan het begin), het beleid wijzigingsbeheer (testen, acceptatie",
      "en scheiding van omgevingen), het beleid informatieclassificatie (impactniveau en vertrouwelijkheidslabel",
      "als maat voor de eisen), het beleid informatiebeveiliging bij inkoop en contractbeheer (eisen in inkoop en",
      "contract), het beleid logische toegangsbeveiliging (toegang tot broncode en omgevingen), het beleid",
      "cryptografie (versleutelde verbindingen en sleutelkluis), het beleid kwetsbaarheden en patchmanagement",
      "(kwetsbare componenten en penetratietesten na ingebruikname) en het privacybeleid (privacy by design en",
      "testen met persoonsgegevens).",
      ""
     ]
    }
   ],
   "bestand": "20-ssd.md"
  },
  {
   "domein": "wijzigingsbeheer",
   "titel": "Beleid wijzigingsbeheer",
   "samenvatting": "Regelt hoe een wijziging in productie wordt aangevraagd, beoordeeld, getest, goedgekeurd en doorgevoerd. Behandelt het wijzigingsproces met standaard-, normale en spoedwijzigingen, werkinstructies voor beheertaken, het installeren van software, de scheiding van omgevingen en acceptatietesten.",
   "invoeren": [
    "Kies een beheerraamwerk, zoals ITIL of BiSL, en leg de processtappen vast (hoofdstuk 3).",
    "Richt een wijzigingsregister in met risicoklasse, testplan, rollbackplan en besluit per wijziging (hoofdstuk 3).",
    "Wijs een wijzigingsmanager en een spoedgoedkeurder aan (hoofdstuk 3).",
    "Leg de goedkeuring per soort wijziging vast en maak draaiboeken voor standaardwijzigingen (hoofdstuk 3).",
    "Leg werkinstructies voor terugkerende beheertaken vast in de beheerdocumentatie (hoofdstuk 4).",
    "Trek lokale beheerrechten in en stel een lijst van toegestane software op (hoofdstuk 5).",
    "Scheid ontwikkel-, test-, acceptatie- en productieomgevingen met eigen accounts en rechten (hoofdstuk 6).",
    "Stel een vaste testmethode voor acceptatietesten vast, met testplan en testverslag (hoofdstuk 7)."
   ],
   "delen": [
    {
     "als": null,
     "regels": [
      "## 1. Doel en reikwijdte",
      "",
      "Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor wijzigingen in informatiesystemen,",
      "infrastructuur, software en configuratie in de productieomgeving. Het regelt hoe een wijziging wordt",
      "aangevraagd, beoordeeld, getest, goedgekeurd en doorgevoerd, hoe omgevingen gescheiden zijn, hoe",
      "beheertaken zijn beschreven en wie software mag installeren, zodat een wijziging de beschikbaarheid,",
      "integriteit en vertrouwelijkheid van informatie niet onbedoeld aantast. Het gaat over de",
      "ISO-beheersmaatregelen 5.37, 8.19, 8.29, 8.31, 8.32 en 8.33.",
      "",
      "**Voor wie.** Het beleid is primair bedoeld voor de beheerorganisatie, de wijzigingsmanager, functioneel",
      "beheer en de systeem- en proceseigenaren. Het geldt ook voor leveranciers die wijzigingen doorvoeren op",
      "systemen van de organisatie en voor iedereen die software op een apparaat van de organisatie wil",
      "installeren.",
      "",
      "**Waarop.** Alle systemen, netwerken, clouddiensten en werkplekken waarmee de organisatie informatie",
      "verwerkt, en de ontwikkel-, test- en acceptatieomgevingen die daarbij horen. Is het beheer uitbesteed, dan",
      "gelden de eisen uit dit beleid als minimumeis voor de leverancier. De organisatie legt dat vast in het",
      "contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een",
      "ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het",
      "toetsen via het beleid contractbeheer.",
      "",
      "Buiten dit beleid vallen de eisen aan het bouwen van software en de regels voor testgegevens (beleid",
      "veilige softwareontwikkeling; de regel over testgegevens staat hier verkort herhaald), de termijnen voor",
      "het verhelpen van kwetsbaarheden (beleid kwetsbaarheden en patchmanagement; het doorvoeren van een patch",
      "loopt wel via dit proces, als standaardwijziging) en de rechten in productie (beleid logische",
      "toegangsbeveiliging).",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie"
       ]
      }
     ],
     "regels": [
      "De organisatie stuurt, een leverancier voert het beheer uit. Het wijzigingsproces van de leverancier is",
      "leidend voor de uitvoering; de organisatie houdt de goedkeuring van wijzigingen met gevolgen voor haar",
      "processen of informatie en legt dit beleid als eis in het contract."
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "Het beheer is volledig uitbesteed. De leverancier voert wijzigingsbeheer uit volgens dit beleid, zoals",
      "vastgelegd in het contract. De organisatie keurt wijzigingen goed die haar processen of informatie raken en",
      "ontvangt elke maand een overzicht van alle doorgevoerde wijzigingen."
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 2. Uitgangspunten",
      "",
      "1. Elke wijziging in productie is vastgelegd, beoordeeld en goedgekeurd voordat hij wordt doorgevoerd.",
      "   Spoedwijzigingen worden achteraf binnen vijf werkdagen beoordeeld.",
      "2. Er wordt niet getest in productie.",
      "3. Elke wijziging heeft een weg terug.",
      "4. Hoe groter het risico van een wijziging, hoe zwaarder de beoordeling en de goedkeuring. Het",
      "   impactniveau van de betrokken informatie weegt daarin mee.",
      "5. Terugkerend beheerwerk staat beschreven, zodat het niet van één persoon afhangt en elke uitvoerder",
      "   het op dezelfde manier doet.",
      "6. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.",
      "   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.",
      "",
      "## 3. Het wijzigingsproces",
      "",
      "- [[lijneigenaar wijzigingsbeheer: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd IT]] richt",
      "  wijzigingsbeheer in volgens een algemeen geaccepteerd beheerraamwerk, bijvoorbeeld ITIL of ISO/IEC 20000",
      "  voor technisch beheer en BiSL voor functioneel beheer, en legt vast welk raamwerk geldt en welke",
      "  processtappen daaruit volgen. [8.32.02]",
      "- Elke wijziging staat in [[wijzigingsregister: het systeem waarin wijzigingen worden vastgelegd, bijvoorbeeld het ticketsysteem]]",
      "  met: omschrijving, aanvrager, betrokken systemen, risicoklasse, testplan en testresultaten, rollbackplan,",
      "  besluit en datum van doorvoeren. De wijzigingsmanager bewaakt dat geen wijziging buiten het register om",
      "  gaat. [8.32.01]",
      "- Elke wijziging krijgt van de aanvrager een risicoafweging van de mogelijke gevolgen voor",
      "  beschikbaarheid, integriteit en vertrouwelijkheid, met een beschreven plan om terug te gaan naar de vorige",
      "  situatie (rollback). [8.32.01]",
      "- Wijzigingen vallen in drie soorten, elk met een eigen goedkeuring: [8.32.01]",
      "  - standaardwijzigingen: vooraf beoordeelde, terugkerende wijzigingen met laag risico (zoals reguliere",
      "    updates en patches), als type goedgekeurd door het wijzigingsoverleg en uitgevoerd volgens een vast",
      "    draaiboek;",
      "  - normale wijzigingen: beoordeeld en goedgekeurd door het wijzigingsoverleg (CAB), met de",
      "    systeemeigenaar en, bij een hoog risico of informatie met impactniveau kritiek of hoger, advies van de",
      "    CISO;",
      "  - spoedwijzigingen: goedgekeurd door",
      "    [[spoedgoedkeurder: de functie die buiten het overleg mag goedkeuren, bijvoorbeeld de dienstdoende IT-manager]]",
      "    en achteraf binnen vijf werkdagen in het wijzigingsoverleg beoordeeld.",
      "- Na het doorvoeren controleert de uitvoerder of de wijziging werkt zoals bedoeld en sluit hij de",
      "  wijziging pas af na die controle, met het resultaat in het register. Een mislukte wijziging draait de",
      "  uitvoerder terug volgens het rollbackplan en meldt hij aan de wijzigingsmanager. [8.32.01]",
      "- Wijzigingen door leveranciers op systemen van de organisatie lopen via hetzelfde register en dezelfde",
      "  goedkeuring, ook als de leverancier eigen accounts gebruikt. [8.32.01]",
      "- De wijzigingsmanager rapporteert maandelijks aan de lijneigenaar het aantal wijzigingen per soort, de",
      "  mislukte en teruggedraaide wijzigingen en de spoedwijzigingen met hun beoordeling achteraf. [8.32.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "eigen"
       ]
      }
     ],
     "regels": [
      "- Het wijzigingsoverleg komt ten minste wekelijks bijeen, onder voorzitterschap van de wijzigingsmanager",
      "  van de eigen IT-afdeling, en legt zijn besluiten vast in het register. De uitvoerder van een wijziging",
      "  keurt zijn eigen wijziging niet goed. [8.32.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- In het contract staat welke wijzigingen de leverancier zelf mag goedkeuren (standaardwijzigingen) en",
      "  welke de organisatie vooraf goedkeurt. De organisatie heeft een vaste vertegenwoordiger in het",
      "  wijzigingsoverleg van de leverancier. Het wijzigingsregister van de leverancier is voor de organisatie in",
      "  te zien en de contracteigenaar toetst het jaarlijks aan dit beleid. [8.32.01, 8.32.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 4. Bedieningsprocedures",
      "",
      "- Voor terugkerende beheertaken (starten en stoppen van systemen, back-up en herstel, standaardwijzigingen,",
      "  verwerken van batches, afhandelen van storingen en meldingen, onderhoud en opschonen van logging) legt de",
      "  beheerorganisatie werkinstructies vast in",
      "  [[beheerdocumentatie: de plek waar werkinstructies staan, bijvoorbeeld de kennisbank van de beheerorganisatie]].",
      "  [5.37.01]",
      "- Een werkinstructie beschrijft ten minste: wie de taak uitvoert, de stappen in volgorde, de",
      "  afhankelijkheden van andere systemen, wat te doen bij een fout, wie te waarschuwen en waar de uitkomst",
      "  wordt vastgelegd. [5.37.01]",
      "- De werkinstructies zijn beschikbaar voor wie ze nodig heeft en voor niemand anders. De eigenaar van het",
      "  systeem of de dienst werkt ze bij na elke wijziging die de taak raakt en beoordeelt ze ten minste jaarlijks",
      "  op actualiteit; een wijziging van een werkinstructie wordt als wijziging goedgekeurd. [5.37.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "beheer",
       "niet": false,
       "antwoorden": [
        "regie",
        "uitbesteed"
       ]
      }
     ],
     "regels": [
      "- De leverancier houdt de werkinstructies voor de uitbestede taken bij; de organisatie heeft inzage in de",
      "  instructies die haar systemen raken en in de instructies voor herstel na een storing. [5.37.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 5. Software installeren",
      "",
      "- Gebruikers hebben geen lokale beheerrechten op hun werkplek. Software komt alleen op werkplekken en",
      "  servers via de softwarecatalogus of een goedgekeurde wijziging, geïnstalleerd door de beheerorganisatie",
      "  of door een geautomatiseerde uitrol onder haar beheer. [8.19.01]",
      "- De beheerorganisatie houdt een lijst bij van toegestane software, met per product de versie die in",
      "  gebruik mag zijn. Het installeren of uitvoeren van software buiten die lijst wordt technisch",
      "  tegengehouden, bijvoorbeeld met applicatiewhitelisting, of minstens gedetecteerd en binnen",
      "  [[termijn verwijderen software: bijvoorbeeld vijf werkdagen]] verwijderd. [8.19.01]",
      "- Een verzoek om nieuwe software toetst de beheerorganisatie op leverancier, licentie, beveiliging en",
      "  privacy voordat de software in de catalogus komt; de CISO adviseert bij software die toegang krijgt tot",
      "  informatie met impactniveau kritiek of hoger. [8.19.01]",
      "- Van software op servers en werkplekken bewaart de beheerorganisatie de vorige versie zolang die nodig",
      "  is om terug te kunnen, en verwijdert zij versies die de leverancier niet meer ondersteunt volgens het",
      "  beleid kwetsbaarheden en patchmanagement. [8.19.01]",
      "",
      "## 6. Scheiding van omgevingen",
      "",
      "- Ontwikkeling, test, acceptatie en productie zijn gescheiden omgevingen, met eigen accounts en rechten,",
      "  zodat een fout of een aanval in de ene omgeving de andere niet raakt. Voor een systeem zonder eigen",
      "  test- of acceptatieomgeving legt de systeemeigenaar vast hoe wijzigingen wel vooraf worden getest. [8.31.01]",
      "- In de productieomgeving wordt niet getest. Is een test in productie onvermijdelijk, dan keurt de",
      "  proceseigenaar die vooraf schriftelijk goed, met de omvang, het tijdvak en de maatregelen om schade te",
      "  voorkomen; de goedkeuring hoort bij de wijziging in het register. [8.31.01]",
      "- Significante wijzigingen worden getest in een omgeving buiten productie voordat ze in productie gaan.",
      "  Afwijken kan alleen met voorafgaande goedkeuring van de proceseigenaar, die het risico vastlegt. [8.31.02]",
      "- Ontwikkel- en testomgevingen zijn herkenbaar als zodanig, bijvoorbeeld in de naam en op het scherm, en",
      "  hebben geen koppeling naar productiesystemen van andere organisaties zonder goedkeuring van de",
      "  systeemeigenaar. [8.31.01]",
      "- Testgegevens volgen de regels in het beleid veilige softwareontwikkeling: fictieve gegevens, en",
      "  persoonsgegevens alleen als onderbouwde uitzondering met advies van de privacy officer en de CISO. De",
      "  systeemeigenaar legt bij elke acceptatietest vast welke gegevens zijn gebruikt. [8.33.01]",
      "- Zijn in een testomgeving toch productiegegevens gebruikt, dan heeft die omgeving dezelfde beveiliging als",
      "  productie en verwijdert de beheerorganisatie de gegevens direct na de test; het verwijderen staat in het",
      "  register bij de wijziging. [8.33.01]",
      "",
      "## 7. Testen en acceptatie",
      "",
      "- Acceptatietesten volgen een vaste testmethode: een testplan met testgevallen afgeleid van de",
      "  functionele eisen en de beveiligingseisen, uitgevoerd door of namens de systeemeigenaar. Bij een wijziging",
      "  met een hoog risico of aan een internetbereikbaar systeem bevat het testplan ook een beveiligingstest,",
      "  zoals een controle van de instellingen of een penetratietest. [8.29.01]",
      "- Tests die vaker terugkomen (regressietests, controles op beveiligingsinstellingen) automatiseert de",
      "  beheerorganisatie waar het kan, en de uitkomst wordt bij de wijziging bewaard. [8.29.01]",
      "- Van elke acceptatietest maakt de tester een verslag met de uitgevoerde tests, de resultaten, de",
      "  openstaande bevindingen en het besluit tot acceptatie door de systeemeigenaar. Het verslag hoort bij de",
      "  wijziging in het register. [8.29.01]",
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ontwikkeling",
       "niet": false,
       "antwoorden": [
        "ja"
       ]
      }
     ],
     "regels": [
      "- Voor eigen software voert de bouwstraat bij elke wijziging automatisch unit-, integratie- en",
      "  beveiligingstests uit. Uitrol naar productie gebeurt alleen via de bouwstraat, na goedkeuring in het",
      "  wijzigingsregister; ontwikkelaars hebben geen schrijfrechten in productie. [8.29.01, 8.31.01, 8.32.01]"
     ]
    },
    {
     "als": null,
     "regels": [
      ""
     ]
    },
    {
     "als": [
      {
       "vraag": "ontwikkeling",
       "niet": false,
       "antwoorden": [
        "nee"
       ]
      }
     ],
     "regels": [
      "- Bij een nieuwe versie van een leverancier test de organisatie zelf in de acceptatieomgeving de eigen",
      "  processen, koppelingen en autorisaties, naast het testverslag van de leverancier, voordat de",
      "  systeemeigenaar de versie accepteert. [8.29.01, 8.31.02]"
     ]
    },
    {
     "als": null,
     "regels": [
      "",
      "## 8. Rollen en verantwoordelijkheden",
      "",
      "| Rol | Verantwoordelijk voor |",
      "|---|---|",
      "| [[lijneigenaar wijzigingsbeheer]] | Eigenaar van dit beleid; inrichting van het wijzigingsproces en de middelen ervoor; opvolging van de maandrapportage |",
      "| Wijzigingsmanager | Het wijzigingsregister, het wijzigingsoverleg, de beoordeling van spoedwijzigingen achteraf en de maandrapportage |",
      "| [[beheerorganisatie: de eigen afdeling of de leverancier die de systemen beheert]] | Werkinstructies, de lijst van toegestane software, het installeren van software, de scheiding van omgevingen en het uitvoeren van wijzigingen |",
      "| Systeemeigenaar | Beoordeling van wijzigingen op zijn systeem, acceptatietests en acceptatiebesluit, vastleggen van de testaanpak en de gebruikte testgegevens |",
      "| Proceseigenaar | Goedkeuring van afwijkingen: testen in productie of niet vooraf testen |",
      "| [[spoedgoedkeurder]] | Goedkeuring van spoedwijzigingen buiten het overleg |",
      "| Contracteigenaar | Vastleggen van dit beleid in contracten met beheerpartijen en toetsen van hun wijzigingsregister en verklaringen |",
      "| CISO | Advies bij wijzigingen met een hoog risico en bij nieuwe software met toegang tot kritieke informatie, jaarlijkse toetsing van dit beleid |",
      "| Leveranciers | Wijzigingen aanmelden en doorvoeren volgens dit beleid, werkinstructies voor uitbestede taken bijhouden |",
      "",
      "## 9. Naleving en controle",
      "",
      "**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en",
      "het bewijs worden vastgelegd in [[registratie van controles]]; afwijkingen gaan als bevinding naar het",
      "risicoregister.",
      "",
      "| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |",
      "|---|---|---|---|---|---|",
      "| WZB-01 | Elke doorgevoerde wijziging staat in het register met risicoafweging, rollbackplan, testverslag, goedkeuring door de juiste rol en de controle na doorvoeren | Wijzigingsmanager | Per kwartaal | Steekproef van tien wijzigingen uit het register, vergeleken met de wijzigingslogging van de systemen | 8.32.01 |",
      "| WZB-02 | Elke spoedwijziging is binnen vijf werkdagen achteraf beoordeeld en het aandeel spoedwijzigingen is gerapporteerd | [[lijneigenaar wijzigingsbeheer]] | Maandelijks | Maandrapportage met de spoedwijzigingen en de datum van de beoordeling achteraf | 8.32.01 |",
      "| WZB-03 | Het wijzigingsproces volgt het vastgelegde beheerraamwerk en is bij beheerpartijen in het contract vastgelegd en aantoonbaar toegepast | CISO | Jaarlijks | Vastgelegde procesbeschrijving, contracten, inzage in het register van de leverancier of een onafhankelijke verklaring | 8.32.02 |",
      "| WZB-04 | Voor elke terugkerende beheertaak van een systeem met impactniveau kritiek of hoger bestaat een werkinstructie die ten hoogste een jaar oud is, de verplichte onderdelen bevat en alleen voor bevoegden toegankelijk is | [[lijneigenaar wijzigingsbeheer]] | Jaarlijks | Lijst van beheertaken per systeem met de bijbehorende werkinstructie, datum van de laatste beoordeling, rechtenoverzicht van de beheerdocumentatie | 5.37.01 |",
      "| WZB-05 | De geïnstalleerde software op werkplekken en servers komt overeen met de lijst van toegestane software, gebruikers hebben geen lokale beheerrechten en software buiten de lijst is binnen de termijn verwijderd | [[beheerorganisatie]] | Per kwartaal | Rapport uit het beheertool vergeleken met de lijst, overzicht van lokale beheerrechten, afhandeling per afwijking | 8.19.01 |",
      "| WZB-06 | Ontwikkel-, test-, acceptatie- en productieomgevingen zijn gescheiden met eigen accounts en rechten, en elke test in productie of niet vooraf geteste significante wijziging heeft een voorafgaande goedkeuring van de proceseigenaar | CISO | Jaarlijks | Rechtenoverzicht per omgeving, uittreksel uit het register met de goedkeuringen van de proceseigenaar | 8.31.01, 8.31.02 |",
      "| WZB-07 | Elke significante wijziging heeft een acceptatietestverslag volgens de vaste methode, met een beveiligingstest bij een hoog risico of een internetbereikbaar systeem, en een acceptatiebesluit van de systeemeigenaar | Wijzigingsmanager | Per kwartaal | Steekproef van vijf significante wijzigingen met het testplan, het verslag en het besluit | 8.29.01 |",
      "| WZB-08 | Bij elke acceptatietest is vastgelegd welke testgegevens zijn gebruikt, en bij gebruik van productiegegevens zijn het advies en de verwijdering aantoonbaar | Privacy officer | Jaarlijks | Steekproef van vijf acceptatietests met de registratie van de testgegevens, adviezen en verwijderingen | 8.33.01 |",
      "",
      "**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De",
      "systeemeigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.",
      "De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]",
      "en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.",
      "",
      "**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot",
      "het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.",
      "",
      "## 10. Samenhang",
      "",
      "Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid veilige",
      "softwareontwikkeling (testgegevens, bouwstraat en acceptatie van opleveringen), het beleid kwetsbaarheden",
      "en patchmanagement (patches als standaardwijziging, configuratiebeheer en software zonder updates), het",
      "beleid informatieclassificatie (impactniveau als maat voor de zwaarte van de beoordeling), het beleid",
      "informatiebeveiliging bij inkoop en contractbeheer (afspraken over wijzigingen door leveranciers), het beleid",
      "back-up en recovery (werkinstructies voor back-up en herstel) en het beleid logische toegangsbeveiliging",
      "(rechten in productie en in de beheerdocumentatie).",
      ""
     ]
    }
   ],
   "bestand": "21-wijzigingsbeheer.md"
  }
 ]
}