--- domein: iv-beleid titel: Strategisch informatiebeveiligingsbeleid samenvatting: Het bovenliggende kader voor informatiebeveiliging: wat de organisatie wil bereiken, wie verantwoordelijk is en hoe zij aantoont dat het werkt. Behandelt de vaststelling en inbedding van het beleid, de samenhang met privacy, OT en continuïteit, de organisatie van de beveiligingsfunctie, bewustzijn, contacten en dreigingsinformatie, audit en verantwoording, en de evaluatie. invoeren: - Leg het toepassingsgebied vast in een scopedocument op basis van de kritieke processen (hoofdstuk 3). - Leg eigenaren van processen, systemen en ketens vast in een register eigenaren (hoofdstuk 4). - Stel een mandaat voor de CISO op dat het bestuur schriftelijk vaststelt (hoofdstuk 5). - Stel een overzicht functiescheiding op met taakcombinaties die niet in één hand mogen (hoofdstuk 5). - Stel een jaarlijks bewustwordingsprogramma op met doelgroepen, onderwerpen en meetpunten (hoofdstuk 6). - Leg contacten met instanties en samenwerkingsverbanden vast in een overzicht met plaatsvervangers (hoofdstuk 7). - Richt een registratie van dreigingsinformatie in en stel jaarlijks een dreigingsbeeld op (hoofdstuk 7). - Stel een risicogestuurd auditplan op dat het bestuur jaarlijks vaststelt (hoofdstuk 8). --- ## 1. Doel en reikwijdte Dit beleid is het bovenliggende kader voor informatiebeveiliging in de organisatie. Het zegt wat de organisatie wil bereiken, wie waarvoor verantwoordelijk is, hoe informatiebeveiliging samenhangt met privacybescherming, operationele technologie (OT) en bedrijfscontinuïteit (BCM), en hoe de organisatie aantoont dat het werkt. De materie-specifieke beleidsstukken van deze set werken het uit per BIO 2.0-domein. Dit stuk is het beleidsdocument uit clausule 5.2 van ISO 27001 en gaat over de ISO-beheersmaatregelen 5.1 tot en met 5.3, 5.5 tot en met 5.7, 5.35 en 5.36. **Voor wie.** Het beleid is primair bedoeld voor het bestuur, de ambtelijke top, de lijnmanagers en proceseigenaren die eigenaar zijn van processen, systemen en ketens, en voor de CISO en de andere rollen in de tweede en derde lijn. De uitgangspunten en de gedragsregel in hoofdstuk 6 gelden voor iedereen die onder verantwoordelijkheid van de organisatie met informatie werkt: medewerkers, inhuur, stagiairs, vrijwilligers, leveranciers en ketenpartners. **Waarop.** Alle processen, informatiesystemen, gegevens en installaties van de organisatie, ongeacht waar ze draaien of wie ze beheert: eigen systemen, systemen bij een hostingpartij of SaaS-leverancier, de OT en de ketens die de organisatie met andere partijen deelt. Is een deel van de beveiligingsfunctie uitbesteed, bijvoorbeeld een gedeelde CISO, een extern managementsysteem of een externe interne-auditfunctie, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer. Buiten dit beleid vallen de maatregelen per onderwerp: die staan in de materie-specifieke stukken van deze set, zoals het beleid logische toegangsbeveiliging, het beleid beveiligingsincidenten en het beleid IT-compliance. De scholing van bestuur en medewerkers staat in het beleid screening, bewustzijn en opleiding; de risicoafweging bij nieuwe systemen in het beleid informatiebeveiliging in projecten; het privacybeleid en het continuïteitsbeleid zijn eigen stukken met dezelfde eigenaren. ::: als samenwerking=centrum De organisatie voert de bedrijfsvoering ook uit voor andere organisaties. Dit beleid geldt dan voor alle deelnemers; per deelnemer is vastgelegd welk bestuur het vaststelt, wie de rollen uit hoofdstuk 10 vult en hoe de rapportage uit hoofdstuk 8 per deelnemer wordt uitgesplitst. ::: ::: als samenwerking=aangesloten De organisatie heeft de bedrijfsvoering belegd bij een uitvoerings- of centrumorganisatie. Het bestuur van de organisatie blijft eindverantwoordelijk en stelt dit beleid zelf vast; de uitvoering van de maatregelen loopt via de dienstverleningsafspraken met die organisatie, met de verklaring uit hoofdstuk 1 als bewijs. ::: ## 2. Uitgangspunten 1. Het bestuur is eindverantwoordelijk voor informatiebeveiliging en stelt dit beleid vast. 2. Informatiebeveiliging is risicogestuurd. Risico's worden geïdentificeerd, beoordeeld, behandeld en gevolgd volgens de vastgestelde risicomanagementmethodiek van de organisatie. 3. De uitvoering ligt in de lijn. Wie eigenaar is van een proces, systeem of bedrijfsmiddel, is ook eigenaar van de risico's daarop en van de maatregelen die ze beheersen. 4. Het normenkader is BIO 2.0, met ISO 27001 voor het managementsysteem en ISO 27002 plus de overheidsmaatregelen van BIO 2.0 voor de beheersmaatregelen. De Verklaring van Toepasselijkheid zegt per maatregel of hij geldt, wie eigenaar is en waar hij is uitgewerkt. 5. Informatiebeveiliging is een doorlopend verbeterproces volgens plan, do, check, act. Opzet, bestaan en werking van maatregelen zijn aantoonbaar. 6. Wie een maatregel uitvoert, beoordeelt niet zelf of hij werkt: uitvoeren, goedkeuren en controleren liggen bij verschillende personen. 7. De organisatie stelt de mensen en middelen beschikbaar die nodig zijn om dit beleid uit te voeren. ::: als cbw=essentieel,belangrijk 8. De organisatie is aangewezen onder de Cyberbeveiligingswet. Zorgplicht, meldplicht, registratieplicht en toezicht zijn daarmee wettelijke verplichtingen. Dit beleid beschrijft wat de organisatie moet kunnen aantonen; eigen ambitie komt daar bovenop. ::: ::: als cbw=niet 8. De organisatie is niet aangewezen onder de Cyberbeveiligingswet. Zij past BIO 2.0 toe als afgesproken norm voor de overheid en toetst jaarlijks of de aanwijzing nog klopt, bijvoorbeeld na een wijziging van taken of een nieuwe aanwijzing door de sector. ::: 9. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden. De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid. ## 3. Inhoud, vaststelling en inbedding van het beleid - Het bestuur stelt dit beleid vast. Het beleid bevat ten minste: de strategische uitgangspunten (hoofdstuk 2), de organisatie van de beveiligingsfunctie (hoofdstuk 5), de toewijzing van ketens, OT, privacy en BCM aan de lijn (hoofdstuk 4), het normenkader (uitgangspunt 4), de evaluatiefrequentie (hoofdstuk 9) en de bevordering van bewustzijn (hoofdstuk 6). Het vaststellingsbesluit is het bewijs. [5.01.01] - Het beleid sluit aan op het algemene beveiligingsbeleid (fysiek, personeel, integriteit) en op het informatievoorzieningsbeleid. De CISO toetst die aansluiting bij elke evaluatie; bij tegenstrijdigheid beslist het bestuur op advies van de CISO welk stuk wordt aangepast. [5.01.01] - De CISO leidt jaarlijks meetbare doelstellingen af uit dit beleid, met per doelstelling een eigenaar, een meetmethode en een rapportagemoment in de P&C-cyclus. De doelstellingen staan in de jaarplanning van het managementsysteem die het bestuur vaststelt. [5.01.01] - Het toepassingsgebied van het managementsysteem ligt vast in een scopedocument, gebaseerd op de lijst van kritieke processen en de systemen die ze dragen. De CISO beoordeelt het scopedocument jaarlijks en legt de beoordeling vast. [5.01.01] - De CISO maakt dit beleid en de materie-specifieke stukken bekend aan iedereen voor wie ze gelden, via [[publicatieplek beleid: de plek waar het beleid voor iedereen vindbaar is, bijvoorbeeld het intranet]], en meldt elke nieuwe versie aan de lijnmanagers en aan de leveranciers voor wie het als minimumeis geldt. [5.01.01] - Waar een eis uit deze set niet kan worden nageleefd, legt de eigenaar een uitzondering vast volgens de afwijkingsprocedure in hoofdstuk 11. Een uitzondering zonder einddatum wordt niet geaccepteerd. [5.01.01] ::: als cbw=essentieel,belangrijk - Het scopedocument noemt ook de diensten waarvoor de organisatie onder de Cyberbeveiligingswet valt. De CISO werkt de gegevens in het entiteitenregister bij elke wijziging en ten minste jaarlijks bij; het bewijs is de registratiebevestiging. [5.01.01] ::: ::: als volwassenheid=startend - De organisatie heeft nog geen samenhangend beleid. Dit strategisch beleid wordt eerst vastgesteld. Binnen twaalf maanden volgen een Verklaring van Toepasselijkheid, een risicoanalyse op de kritieke processen en de materie-specifieke stukken voor de domeinen met het hoogste risico. De CISO legt die volgorde vast in een plan van aanpak dat het bestuur vaststelt. [5.01.01] ::: ::: als volwassenheid=bio1 - De organisatie heeft BIO 1 op orde. De overgang naar BIO 2.0 loopt via een vergelijking per maatregel: wat al gedekt is, wat aangepast moet worden en wat nieuw is. De CISO legt die vergelijking en het tijdpad vast in een transitieplan dat het bestuur vaststelt. [5.01.01] ::: ## 4. Samenhang en toewijzing aan de lijn - Informatiebeveiliging, privacybescherming, de beveiliging van OT en de continuïteit van de taakuitvoering raken dezelfde processen en hebben dezelfde eigenaren. De organisatie beheert ze daarom als één geheel: één risicoregister, één set eigenaren en één rapportagelijn naar het bestuur. [5.02.01] - Lijnmanagers en proceseigenaren zijn voor hun proces en de bijbehorende systemen en ketens verantwoordelijk voor de informatiebeveiliging, de bescherming van persoonsgegevens, de beveiliging van de OT die het proces aanstuurt, de continuïteit van het proces en de behandeling van de risico's op hun bedrijfsmiddelen. [[ambtelijk eindverantwoordelijke: de hoogste ambtelijke functie, bijvoorbeeld de secretaris of algemeen directeur]] legt dat eigenaarschap vast in [[register eigenaren: het overzicht van processen en systemen met hun eigenaar, bijvoorbeeld het register van bedrijfsmiddelen]] en beoordeelt het jaarlijks op volledigheid. [5.01.01, 5.02.01] - Voor elke keten van informatiesystemen die de organisatie met andere partijen deelt, is één interne eigenaar benoemd die de afspraken over beveiliging met de ketenpartners bewaakt. De keteneigenaren staan in hetzelfde register. [5.01.01, 5.02.01] - De verhouding tussen de vier kaders ligt vast in deze tabel. De CISO toetst bij elke evaluatie van dit beleid of de tabel nog klopt. [5.02.01] | Kader | Norm | Belegd bij | Verhouding tot dit beleid | |---|---|---|---| | Informatiebeveiliging | BIO 2.0, ISO 27001 en 27002 | Lijnmanagement, met de CISO in de tweede lijn | Dit beleid is het kader | | Privacybescherming | AVG | Lijnmanagement, met de privacy officer en de FG | Uitgewerkt in het privacybeleid; gedeelde maatregelen en eigenaren | | Operationele technologie | BIO 2.0 | Eigenaren van de installaties | Valt onder dit beleid | | Bedrijfscontinuïteit | BIO 2.0, eventueel ISO 22301 | Lijnmanagement, met de BCM-coördinatie | Beschikbaarheidseisen komen uit dit beleid; herstel staat in het continuïteitsbeleid | - Bij het toewijzen van rollen is vastgelegd wie bij een incident beslist, wie coördineert en wie meldt. Een incident kan alle vier de kaders tegelijk raken; de meldroutes verschillen, de coördinatie ligt bij één rol, uitgewerkt in het beleid beveiligingsincidenten. [5.02.01] ::: als ot=beperkt - De OT van de organisatie is beperkt tot gebouwbeheer, toegangssystemen en camera's. Eigenaar is [[eigenaar gebouwgebonden OT: de manager die de installaties beheert, bijvoorbeeld facilitaire zaken]]. Deze installaties staan in het register van bedrijfsmiddelen en vallen onder dezelfde jaarlijkse risicoanalyse als de IT-systemen. [5.02.01] ::: ::: als ot=substantieel - De organisatie heeft OT met een fysieke functie in de openbare ruimte, zoals bruggen, gemalen, verkeersregelinstallaties of zuivering. Per installatiesoort is een eigenaar in de lijn benoemd in [[register OT-eigenaren: overzicht van installatiesoorten met eigenaar en beheerpartij]], dat de CISO jaarlijks met de eigenaren doorneemt. Een storing of aanval op OT wordt behandeld als informatiebeveiligingsincident én als continuïteitsincident. [5.02.01] ::: ## 5. Organisatie van de beveiligingsfunctie - De organisatie werkt met drie lijnen. De eerste lijn (directie en lijnmanagement) is eigenaar van risico en maatregel. De tweede lijn (CISO, privacy officer, FG) stelt kaders, adviseert en bewaakt. De derde lijn (interne audit of de accountant) geeft onafhankelijk oordeel over opzet, bestaan en werking. De rolbeschrijvingen van de drie lijnen staan in het mandaat van de CISO en in de functiebeschrijvingen. [5.02.01] - Er is een CISO aangesteld met een mandaat dat het bestuur schriftelijk heeft vastgesteld. De CISO adviseert het bestuur en het controlerend orgaan zelfstandig en ongevraagd, en rapporteert rechtstreeks aan het bestuur. Die rapportage kan niet worden tegengehouden door een tussenliggende laag. [5.02.02] - De CISO zit organisatorisch niet in de IT-organisatie en heeft geen beheertaken op de systemen die hij beoordeelt. De CISO legt de eigen onafhankelijkheid jaarlijks vast in de rapportage aan het bestuur. [5.02.02, 5.03.01] - Taken die elkaar in de hand horen te houden, liggen bij verschillende personen: het aanvragen en goedkeuren van toegang, het beheren van een systeem en het beoordelen van de logging ervan, het doorvoeren van een wijziging en het goedkeuren ervan, en het uitvoeren van een maatregel en het controleren ervan. [[ambtelijk eindverantwoordelijke]] stelt vast welke taakcombinaties niet bij één persoon mogen liggen en legt die vast in [[overzicht functiescheiding: het overzicht van taken die niet in één hand mogen liggen, bijvoorbeeld als bijlage bij het mandaat]]. [5.03.01] - Elke lijnmanager toetst jaarlijks voor het eigen onderdeel of de taakcombinaties uit dat overzicht bij verschillende personen liggen, en meldt de uitkomst aan de CISO. Waar scheiding door de omvang van de organisatie niet kan, staat de compenserende maatregel, zoals een controle achteraf door een andere persoon, in het risicoregister. [5.03.01] ::: als capaciteit=geen - De organisatie heeft geen eigen ISO. Informatiebeveiliging is een neventaak van [[functionaris informatiebeveiliging: de medewerker die de neventaak heeft, met het aantal uren per week]]. De CISO-rol is belegd bij [[CISO-invulling: bijvoorbeeld een gedeelde CISO via een samenwerkingsverband of een externe partij]], met een schriftelijk mandaat van het bestuur en een vast overleg met de directie ten minste elk kwartaal, waarvan een verslag wordt gemaakt. [5.02.02] ::: ::: als capaciteit=parttime - De CISO werkt in deeltijd. Het mandaat legt vast hoeveel uren beschikbaar zijn en welke taken voorrang hebben: de jaarrapportage aan het bestuur, het risicoregister en de advisering bij nieuwe systemen. Taken die niet passen, worden belegd bij [[ondersteuning CISO: bijvoorbeeld een ISO van een samenwerkingspartner of ingehuurde capaciteit]]; de verdeling staat in het mandaat. [5.02.02] ::: ::: als capaciteit=team - De CISO leidt een team van ISO's. De ISO's zijn per organisatieonderdeel of domein aanspreekpunt voor de lijn, stellen de controleraamwerken op en bewaken de uitvoering in de dagelijkse praktijk. De verdeling van domeinen over de ISO's staat in de jaarplanning van het managementsysteem. [5.02.02] ::: ## 6. Bewustzijn - Het bestuur draagt informatiebeveiliging uit en volgt zelf de scholing die het beleid screening, bewustzijn en opleiding voorschrijft. Iedere medewerker kent de regels die voor de eigen functie gelden en meldt vermoedens van incidenten direct bij het meldpunt uit het beleid beveiligingsincidenten. [5.01.01] - De CISO stelt jaarlijks een bewustwordingsprogramma op met doelgroepen, onderwerpen en meetpunten. Het programma is onderdeel van de jaarplanning van het managementsysteem; de uitvoering staat in het beleid screening, bewustzijn en opleiding. [5.01.01] ::: als cbw=essentieel,belangrijk - Bestuurders volgen de scholing die de Cyberbeveiligingswet hun persoonlijk oplegt. Het bestuur keurt de risicobeheersingsmaatregelen goed en ziet toe op de uitvoering; die plicht is niet over te dragen. Het besluit en de registratie van de scholing zijn het bewijs. [5.01.01] ::: ## 7. Contacten met instanties, belangengroepen en dreigingsinformatie - De CISO houdt een overzicht bij van welke functionaris formeel contact heeft met welke instantie over informatiebeveiliging, met per contact een plaatsvervanger. Het overzicht noemt functies; de namen staan in een bijlage die bij elke personeelswisseling wordt bijgewerkt. [5.05.01] - Het overzicht bevat ten minste het CSIRT of de sectorale CERT voor de organisatie, de toezichthouder op informatiebeveiliging, de Autoriteit Persoonsgegevens (contact via de FG) en de politie voor aangifte. [5.05.01] - De CISO actualiseert het overzicht ten minste jaarlijks en na elke organisatiewijziging die een contact raakt; de versie met datum is het bewijs. [5.05.01] - De organisatie is aangesloten bij ten minste één samenwerkingsverband voor informatiebeveiliging in de eigen sector, zoals een sectorale ISAC, een informatiedeelnetwerk of een vakvereniging. De CISO legt in het overzicht vast bij welke verbanden de organisatie is aangesloten, wie deelneemt en wat de organisatie er haalt en brengt. [5.06.01] - De CISO neemt ten minste elk kwartaal deel aan een bijeenkomst of uitwisseling van zo'n verband en legt de relevante uitkomsten (nieuwe dreigingen, goede praktijken, wijzigingen in normen) vast in het risicoregister of de jaarplanning. De deelname blijkt uit de verslagen of de agenda. [5.06.01] - De CISO verzamelt doorlopend informatie over dreigingen uit ten minste drie bronnen: de waarschuwingen van het CSIRT of de sectorale CERT, de kwetsbaarheidsmeldingen van leveranciers en de uitwisseling in het samenwerkingsverband. [5.07.01] - De CISO beoordeelt elke waarschuwing van het CSIRT of de sectorale CERT binnen [[beoordelingstermijn dreigingsinformatie: de termijn waarbinnen een waarschuwing is beoordeeld, bijvoorbeeld twee werkdagen]] op de gevolgen voor de organisatie en zet de opvolging uit bij het beleid kwetsbaarhedenbeheer of het beleid beveiligingsincidenten. De beoordeling en de opvolging worden vastgelegd in [[registratie dreigingsinformatie: waar beoordeelde waarschuwingen worden vastgelegd, bijvoorbeeld het ticketsysteem]]. [5.07.01] - De CISO stelt jaarlijks een dreigingsbeeld op voor de organisatie: welke actoren en aanvalsmethoden de eigen taken en systemen raken en wat dat betekent voor de risicoanalyse. Het dreigingsbeeld is input voor de jaarlijkse risicoanalyse en voor de jaarplanning van het managementsysteem. [5.07.01] ::: als cbw=essentieel,belangrijk - Het overzicht noemt ook de toezichthouder onder de Cyberbeveiligingswet, het CSIRT waar significante incidenten worden gemeld en de aangewezen meldbevoegde met plaatsvervanger. [5.05.01] ::: ## 8. Audit en verantwoording - Er is een auditplan dat het bestuur jaarlijks vaststelt. Het plan zegt welke systemen en onderwerpen dat jaar welk soort audit krijgen (bijvoorbeeld een opzet-, bestaans- of werkingstoets, een pentest of een ketenaudit) en is risicogestuurd: het hoogste risico eerst. [5.35.02] - De audits uit het plan worden uitgevoerd door een partij die onafhankelijk is van de uitvoering: de interne auditfunctie, de accountant of een externe auditor. Elke audit levert een rapport met bevindingen en een oordeel over opzet, bestaan en werking. [5.35.02] - Bevindingen uit audits gaan met eigenaar en termijn in het risicoregister. De CISO volgt de opvolging elk kwartaal en rapporteert erover aan het bestuur. [5.35.02, 5.36.01] - Over informatiebeveiliging wordt gerapporteerd in de P&C-cyclus, onder coördinatie van de CISO. De rapportage gaat over de stand van de maatregelen, de open risico's, de incidenten en de voortgang op de doelstellingen. [5.36.01] - Elke lijnmanager beoordeelt jaarlijks of de processen en systemen in het eigen onderdeel voldoen aan dit beleid en de materie-specifieke stukken, en levert het bewijs aan via de controleraamwerken van die stukken. Afwijkingen meldt de lijnmanager als bevinding voor het risicoregister. [5.36.01] - Het bestuur geeft jaarlijks een verklaring af dat het de informatiebeveiliging beheerst (een In Control Verklaring of een vergelijkbaar instrument), gebaseerd op die rapportage. [5.36.01] ::: als volwassenheid=startend,bio1 - Zolang een werkend controleraamwerk ontbreekt, steunt de verklaring op een zelfevaluatie per maatregel, bijvoorbeeld de ENSIA-vragenlijst, met bewijs dat de lijneigenaar aanlevert. De CISO beoordeelt het bewijs steekproefsgewijs. [5.36.01] ::: ::: als volwassenheid=bio2-opbouw,bio2-werkend - Per materie-specifiek beleidsstuk is er een controleraamwerk: per maatregel een controle met eigenaar, frequentie en benoemd bewijs. De uitvoering wordt vastgelegd op het moment dat de controle draait, zodat de verklaring steunt op aantoonbare werking. [5.36.01] ::: ::: als volwassenheid=bio2-werkend - Het auditplan neemt elk jaar ten minste een deel van de controles op in een werkingstoets door de derde lijn, zodat over een cyclus van drie jaar alle domeinen zijn getoetst. [5.35.02] ::: ## 9. Evaluatie van het beleid - De CISO beoordeelt dit beleid ten minste jaarlijks, in aansluiting op de bestuurscyclus en de P&C-cyclus, en legt wijzigingen ter vaststelling voor aan het bestuur. Het verslag van de beoordeling is het bewijs, ook als er niets wijzigt. [5.01.02] - Tussentijds beoordeelt de CISO het beleid bij een wijziging van wet- of regelgeving, een nieuwe versie van BIO 2.0, een organisatiewijziging die de rollen raakt of een significant incident. [5.01.02] - De materie-specifieke stukken van deze set volgen dezelfde cyclus: de eigenaar van elk stuk beoordeelt het jaarlijks en legt wijzigingen voor aan [[vaststeller materiebeleid: wie de materie-specifieke stukken vaststelt, bijvoorbeeld de directie]]. [5.01.02] ## 10. Rollen en verantwoordelijkheden | Rol | Verantwoordelijk voor | |---|---| | Bestuur | Vaststellen van dit beleid, het auditplan en de jaarplanning; goedkeuren van risicobeheersing; afgeven van de jaarlijkse verklaring | | [[ambtelijk eindverantwoordelijke]] | Sturing op de uitvoering, beleggen van eigenaarschap per proces en systeem, vaststellen van de functiescheiding | | Lijnmanagers en proceseigenaren | Risico's en maatregelen van hun processen en bedrijfsmiddelen, inclusief privacy, OT en continuïteit; jaarlijkse toets op functiescheiding en naleving; leveren van bewijs | | CISO | Opstellen en evalueren van dit beleid, advies aan en rapportage naar het bestuur, coördinatie van de P&C-rapportage, contacten met instanties en samenwerkingsverbanden, dreigingsinformatie en dreigingsbeeld | | Privacy officer en FG | Privacykant van dezelfde processen; de FG houdt onafhankelijk toezicht op de AVG | | BCM-coördinatie | Continuïteitsplannen en de afstemming van hersteltijden met de beschikbaarheidseisen | | Interne audit of accountant | Onafhankelijke toetsing volgens het auditplan | | Medewerkers | Kennen en naleven van de regels voor de eigen functie, melden van incidenten | ## 11. Naleving en controle **Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]]; afwijkingen gaan als bevinding naar het risicoregister. | Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen | |---|---|---|---|---|---| | IVB-01 | Dit beleid is in het afgelopen jaar beoordeeld en door het bestuur vastgesteld of bevestigd; het scopedocument en de doelstellingen zijn actueel | Interne audit of accountant | Jaarlijks | Bestuursbesluit, verslag van de beoordeling, scopedocument, jaarplanning | 5.01.01, 5.01.02 | | IVB-02 | Elk proces, systeem en elke keten in de scope heeft een benoemde eigenaar en die eigenaar weet dat | CISO | Jaarlijks | Register eigenaren, steekproef van ten minste vijf eigenaren met hun bevestiging | 5.01.01, 5.02.01 | | IVB-03 | De CISO heeft een vastgesteld mandaat, rapporteert rechtstreeks aan het bestuur en heeft geen beheertaken op systemen die de CISO beoordeelt | Interne audit of accountant | Jaarlijks | Mandaat, verslagen van de bestuursrapportage, organogram | 5.02.02, 5.03.01 | | IVB-04 | De taakcombinaties uit het overzicht functiescheiding liggen bij verschillende personen, of de compenserende maatregel staat in het risicoregister | CISO | Jaarlijks | Toetsverslagen van de lijnmanagers, autorisatierapporten uit de systemen, risicoregister | 5.03.01 | | IVB-05 | Het overzicht van contacten met instanties en samenwerkingsverbanden is actueel en de organisatie heeft in het afgelopen kwartaal aan de uitwisseling deelgenomen | CISO | Per kwartaal | Overzicht met datum, verslagen of agenda van de bijeenkomsten | 5.05.01, 5.06.01 | | IVB-06 | Waarschuwingen van het CSIRT of de sectorale CERT zijn binnen de termijn beoordeeld en opgevolgd, en het dreigingsbeeld is in het afgelopen jaar opgesteld en gebruikt in de risicoanalyse | CISO | Per kwartaal | Registratie dreigingsinformatie, dreigingsbeeld, verwijzing in de risicoanalyse | 5.07.01 | | IVB-07 | Het auditplan is vastgesteld, de audits zijn uitgevoerd door een onafhankelijke partij en de bevindingen staan met eigenaar en termijn in het risicoregister | CISO | Jaarlijks | Auditplan, auditrapporten, risicoregister | 5.35.02 | | IVB-08 | De rapportage over informatiebeveiliging is elke P&C-ronde opgeleverd en het bestuur heeft de jaarlijkse verklaring afgegeven op basis van die rapportage en de controleraamwerken | Interne audit of accountant | Jaarlijks | P&C-rapportages, verklaring, controleraamwerken van de materie-specifieke stukken | 5.36.01 | ::: als capaciteit=geen Zonder eigen ISO voert de CISO-invulling de controles IVB-02 tot en met IVB-07 uit; de functionaris informatiebeveiliging levert het bewijs aan. ::: **Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De lijnmanager of proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]] en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld. **Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract. ## 12. Samenhang Dit beleid is het bovenliggende kader voor alle materie-specifieke stukken van deze set. Het staat naast het privacybeleid en het continuïteitsbeleid, met dezelfde eigenaren en één risicoregister. De rolverdeling bij incidenten staat in het beleid beveiligingsincidenten; scholing van bestuur en medewerkers in het beleid screening, bewustzijn en opleiding; risicoafweging bij nieuwe systemen in het beleid informatiebeveiliging in projecten; wettelijke eisen en bewaartermijnen in het beleid IT-compliance; de opvolging van dreigingsinformatie in het beleid kwetsbaarhedenbeheer; eisen aan en verklaringen van leveranciers in het beleid informatiebeveiliging bij inkoop en het beleid contractbeheer.