Invoeren: wat er nog moet gebeuren

Onderdeel van Beleidsset informatiebeveiliging op BIO 2.0, op maat gemaakt met contextvragen · Markdown-bron

Word nodig? Kies dit stuk in de generator en download het daar, zonder of met je eigen antwoorden.

Zonder profiel: tekst die van een contextvraag afhangt, telt mee.

Een vastgesteld beleid werkt pas als de organisatie het inricht. Deze lijst zet per stuk op een rij wat daarvoor nodig is: wat de organisatie inricht, welke controles zij gaat uitvoeren en wat zij nog moet invullen. Een plan met volgorde, eigenaar per thema en urenraming staat in BIO 2.0 invoeren.

Voor de hele set#

Wijs per stuk de eigenaar aan en laat het stuk vaststellen.
Richt één registratie van controles in: per controle de uitvoerder, de frequentie, het bewijs en de uitkomst.
Richt het risicoregister in voor afwijkingen en bevindingen, met een risico-eigenaar die restrisico's accepteert.
Zet alle controles in een jaarkalender, zodat elke controle op tijd wordt uitgevoerd.

1. Strategisch informatiebeveiligingsbeleid#

Inrichten

Leg het toepassingsgebied vast in een scopedocument op basis van de kritieke processen (hoofdstuk 3).
Leg eigenaren van processen, systemen en ketens vast in een register eigenaren (hoofdstuk 4).
Stel een mandaat voor de CISO op dat het bestuur schriftelijk vaststelt (hoofdstuk 5).
Stel een overzicht functiescheiding op met taakcombinaties die niet in één hand mogen (hoofdstuk 5).
Stel een jaarlijks bewustwordingsprogramma op met doelgroepen, onderwerpen en meetpunten (hoofdstuk 6).
Leg contacten met instanties en samenwerkingsverbanden vast in een overzicht met plaatsvervangers (hoofdstuk 7).
Richt een registratie van dreigingsinformatie in en stel jaarlijks een dreigingsbeeld op (hoofdstuk 7).
Stel een risicogestuurd auditplan op dat het bestuur jaarlijks vaststelt (hoofdstuk 8).

Controles inrichten (8)

Nr	Controle	Uitvoerder	Frequentie
IVB-01	Dit beleid is in het afgelopen jaar beoordeeld en door het bestuur vastgesteld of bevestigd; het scopedocument en de doelstellingen zijn actueel	Interne audit of accountant	Jaarlijks
IVB-02	Elk proces, systeem en elke keten in de scope heeft een benoemde eigenaar en die eigenaar weet dat	CISO	Jaarlijks
IVB-03	De CISO heeft een vastgesteld mandaat, rapporteert rechtstreeks aan het bestuur en heeft geen beheertaken op systemen die de CISO beoordeelt	Interne audit of accountant	Jaarlijks
IVB-04	De taakcombinaties uit het overzicht functiescheiding liggen bij verschillende personen, of de compenserende maatregel staat in het risicoregister	CISO	Jaarlijks
IVB-05	Het overzicht van contacten met instanties en samenwerkingsverbanden is actueel en de organisatie heeft in het afgelopen kwartaal aan de uitwisseling deelgenomen	CISO	Per kwartaal
IVB-06	Waarschuwingen van het CSIRT of de sectorale CERT zijn binnen de termijn beoordeeld en opgevolgd, en het dreigingsbeeld is in het afgelopen jaar opgesteld en gebruikt in de risicoanalyse	CISO	Per kwartaal
IVB-07	Het auditplan is vastgesteld, de audits zijn uitgevoerd door een onafhankelijke partij en de bevindingen staan met eigenaar en termijn in het risicoregister	CISO	Jaarlijks
IVB-08	De rapportage over informatiebeveiliging is elke P&C-ronde opgeleverd en het bestuur heeft de jaarlijkse verklaring afgegeven op basis van die rapportage en de controleraamwerken	Interne audit of accountant	Jaarlijks

Nog in te vullen (16). publicatieplek beleid; ambtelijk eindverantwoordelijke; register eigenaren; eigenaar gebouwgebonden OT; register OT-eigenaren; overzicht functiescheiding; functionaris informatiebeveiliging; CISO-invulling; ondersteuning CISO; beoordelingstermijn dreigingsinformatie; registratie dreigingsinformatie; vaststeller materiebeleid; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

2. Beleid informatiebeveiliging in projecten#

Inrichten

Richt een meldpunt in waar projectleiders hun project bij de start aanmelden (hoofdstuk 3).
Regel dat een project zonder melding geen budget krijgt voor de realisatiefase (hoofdstuk 3).
Houd een overzicht bij van lopende projecten met de status van hun risicoafweging (hoofdstuk 3).
Wijs een risico-acceptant aan voor restrisico's boven de risicobereidheid (hoofdstuk 5).
Neem de beslismomenten uit dit beleid als vaste stappen op in de projectmethodiek (hoofdstuk 6).
Maak sjablonen voor de risicoafweging en voor de risicoacceptatie (hoofdstuk 6).
Geef nieuwe projectleiders binnen een maand een instructie en registreer de deelname (hoofdstuk 6).

Controles inrichten (5)

Nr	Controle	Uitvoerder	Frequentie
PRJ-01	Elk project en elke significante wijziging in het projectportfolio is gemeld bij de CISO en de privacy officer	CISO	Per kwartaal
PRJ-02	Voor elk project dat de keuzefase heeft doorlopen, is de risicoafweging af en staan de beveiligingseisen in het programma van eisen of de opdracht	CISO of ISO	Per kwartaal
PRJ-03	Voor elk systeem dat live is gegaan, is de realisatie van de eisen aangetoond en zijn de restrisico's schriftelijk geaccepteerd door de bevoegde rol	Interne audit of accountant	Jaarlijks
PRJ-04	Bij elk overgedragen systeem heeft de proceseigenaar het verslag, de open risico's en de beheerafspraken ontvangen en staat het systeem in het register van bedrijfsmiddelen	[lijneigenaar projectportfolio]	Per kwartaal
PRJ-05	De projectmethodiek bevat de beslismomenten en sjablonen uit dit beleid en nieuwe projectleiders hebben de instructie gevolgd	CISO	Jaarlijks

Nog in te vullen (7). meldpunt projecten; lijneigenaar projectportfolio; risico-acceptant; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

3. Beleid screening, bewustzijn en opleiding#

Inrichten

Stel een screeningsbeleid op met een lijst van functies met verhoogd risico (hoofdstuk 3).
Neem een vaste tekst over informatiebeveiliging en geheimhouding op in arbeids- en inhuurcontracten (hoofdstuk 4).
Bundel de regels en instructies voor medewerkers op één vindbare plek op het intranet (hoofdstuk 4).
Richt een training informatiebewustzijn met toets in en registreer deelname en resultaat (hoofdstuk 5).
Plan ten minste twee bewustzijnsmetingen per jaar, bijvoorbeeld een phishingsimulatie (hoofdstuk 5).
Organiseer jaarlijkse scholing voor bestuurders en een cyberoefening eens per twee jaar (hoofdstuk 6).
Maak een vertrekchecklist voor het intrekken van rechten en innemen van middelen (hoofdstuk 7).
Leg een disciplinaire procedure vast die ook geldt voor overtredingen van beveiligingsregels (hoofdstuk 8).

Controles inrichten (8)

Nr	Controle	Uitvoerder	Frequentie
SBO-01	Voor elke medewerker en inhuurkracht in een functie met verhoogd risico is de screening uitgevoerd en vastgelegd voordat de toegang is verleend, en herhaald binnen de termijn	CISO	Jaarlijks
SBO-02	Elke nieuwe medewerker, inhuurkracht, stagiair en vrijwilliger heeft de bevestiging van de gedragsregels en een geheimhoudingsbepaling of -verklaring in het dossier	[lijneigenaar personeel]	Per kwartaal
SBO-03	Nieuwe medewerkers hebben binnen drie maanden de training met toets afgerond en alle medewerkers hebben een opfrissing van ten hoogste een jaar oud; functies met verhoogd risico hebben de aanvullende training gevolgd	[lijneigenaar personeel]	Per kwartaal
SBO-04	Leidinggevenden hebben informatiebeveiliging in het afgelopen jaar in het werkoverleg of jaargesprek besproken	CISO	Jaarlijks
SBO-05	Bestuurders hebben de jaarlijkse scholing gevolgd, het risicobeeld met de CISO besproken en binnen twee jaar aan een oefening deelgenomen	Interne audit of accountant	Jaarlijks
SBO-06	Bij elk vertrek en elke functiewijziging is de vertrekchecklist afgerond, de medewerker gewezen op de doorlopende geheimhouding en de mutatie binnen de termijn gemeld	[lijneigenaar personeel]	Per kwartaal
SBO-07	De bewustzijnsmetingen zijn uitgevoerd en de uitkomst en de disciplinaire trajecten zijn verwerkt in het programma van het volgende jaar	CISO	Jaarlijks
SBO-08	De disciplinaire procedure is vastgesteld, geldt voor overtredingen van de informatiebeveiligingsregels en is in het afgelopen jaar toegepast volgens de vastgelegde stappen	Interne audit of accountant	Jaarlijks

Nog in te vullen (8). vaststeller screeningsbeleid; lijneigenaar personeel; herhaaltermijn screening; meldtermijn personeelsmutaties; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

4. Beleid bedrijfsmiddelenbeheer#

Inrichten

Richt één inventaris van bedrijfsmiddelen in, bijvoorbeeld een CMDB, met de vereiste velden (hoofdstuk 3).
Stel gedragsregels op voor het gebruik van informatie en bedrijfsmiddelen (hoofdstuk 5).
Regel dat medewerkers de gedragsregels bevestigen voordat zij account of apparatuur krijgen (hoofdstuk 5).
Neem een vaste clausule met de gedragsregels op in contracten voor inhuur en vrijwilligers (hoofdstuk 5).
Laat wie apparatuur in bruikleen krijgt een bruikleenovereenkomst met de gedragsregels tekenen (hoofdstuk 5).
Richt een innameprocedure in met registratie per bedrijfsmiddel bij vertrek (hoofdstuk 6).
Leg per ruimte in zone 3 en 4 de benodigde nutsvoorzieningen en capaciteit vast (hoofdstuk 9).
Stel per locatie een storingslijst op met leveranciers en storingsnummers van nutsvoorzieningen (hoofdstuk 9).
Richt een onderhoudsregistratie in voor onderhoud, storingen en reparaties per apparaat (hoofdstuk 11).

Controles inrichten (8)

Nr	Controle	Uitvoerder	Frequentie
BMB-01	De inventaris van werkplekken, mobiele apparatuur en clouddiensten komt overeen met een tweede bron; afwijkingen zijn binnen een maand afgehandeld	[beheerder inventaris]	Per kwartaal
BMB-02	Elk bedrijfsmiddel in de inventaris heeft een eigenaar, een classificatie en een onderhoudsschema, en de eigenaar heeft de registratie bevestigd	[beheerder inventaris]	Jaarlijks
BMB-03	Nieuwe medewerkers hebben de gedragsregels bevestigd voordat zij een account of apparatuur kregen, en contracten van externen bevatten de gedragsclausule	CISO	Jaarlijks
BMB-04	Vertrokken medewerkers en beëindigde contracten hebben alle bedrijfsmiddelen ingeleverd; niet ingeleverde middelen zijn geblokkeerd en teruggevorderd	[uitgiftepunt apparatuur]	Per kwartaal
BMB-05	Apparatuur in zone 3 en 4 staat in de zone die bij het impactniveau hoort, is beschermd tegen meekijken en omgevingsinvloeden, en alleen geautoriseerde personen hebben er gewerkt	Eigenaar van de zone	Halfjaarlijks
BMB-06	De nutsvoorzieningen van zone 3 en 4 zijn getest en onderhouden volgens schema, en het onderhoud aan apparatuur is uitgevoerd en geregistreerd	[lijneigenaar bedrijfsmiddelen]	Jaarlijks
BMB-07	Apparatuur buiten de locaties is versleuteld, geregistreerd op de gebruiker en meldingen van verlies of diefstal zijn als incident afgehandeld	CISO	Jaarlijks
BMB-08	Leveranciers die apparatuur, ruimten of clouddiensten beheren leveren een geldige onafhankelijke verklaring over hun bedrijfsmiddelenbeheer en onderhoud	Contractbeheer	Jaarlijks

Nog in te vullen (11). beheerder inventaris; eigenaar IT-middelen; gedragsregels bedrijfsmiddelen; lijneigenaar bedrijfsmiddelen; uitgiftepunt apparatuur; meldpunt beveiligde zones; storingslijst nutsvoorzieningen; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

5. Beleid informatieclassificatie#

Inrichten

Stel een classificatiemethode vast met vragenlijsten en een impactschaal van vijf niveaus (hoofdstuk 3).
Classificeer elk informatiesysteem in een ondertekend classificatierapport en registreer dat in de inventaris (hoofdstuk 3).
Richt in systemen die labels ondersteunen de automatische beveiliging per label in (hoofdstuk 5).
Voorzie hardware van een sticker met het inventariskenmerk, zonder de classificatie (hoofdstuk 5).
Richt een maandelijkse meting van alle domeinen met internet.nl in (hoofdstuk 6).
Zet een certificaatregister op met de vervaldatum per certificaat (hoofdstuk 6).
Registreer alle internetfacing systemen, webapplicaties, IP-adressen en API's in de inventaris (hoofdstuk 6).
Registreer alle publieke websites in het Register Internetdomeinen Overheid (hoofdstuk 6).

Controles inrichten (7)

Nr	Controle	Uitvoerder	Frequentie
CLS-01	Elk systeem en elke gegevensverzameling in de inventaris heeft een classificatie per BIV-aspect die niet ouder is dan drie jaar, met een ondertekend classificatierapport	CISO	Jaarlijks
CLS-02	De systemen met het label strikt vertrouwelijk of geheim voldoen aan de minimumeisen voor authenticatie, autorisatie, opslag en zone	CISO	Jaarlijks
CLS-03	Informatie in de documentopslag en de systemen van de proceseigenaar draagt het juiste label en systemen passen bij het label de beveiliging toe	Proceseigenaar	Jaarlijks
CLS-04	Alle domeinen voldoen aan de verplichte internetstandaarden; tekortkomingen zijn binnen drie maanden omgezet in een wijziging of een geaccepteerd risico	[beheerder internetfacing systemen]	Maandelijks, met een kwartaaloverzicht aan de CISO
CLS-05	De registratie van internetfacing systemen en het Register Internetdomeinen Overheid komen overeen met een externe scan van de domeinen en IP-reeksen van de organisatie	[beheerder internetfacing systemen]	Halfjaarlijks
CLS-06	Internetfacing systemen met gevoelige gegevens gebruiken certificaten van het vereiste type en geen certificaat is verlopen	CISO	Jaarlijks
CLS-07	Ondertekendiensten in gebruik voldoen aan de AdES Baseline Profiles en de eis staat in de uitvragen van dat jaar	Systeemeigenaar van de ondertekendienst	Jaarlijks

Nog in te vullen (7). classificatiemethode; herzieningstermijn classificatie; beheerder internetfacing systemen; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

6. Beleid logische toegangsbeveiliging#

Inrichten

Richt één accountproces in, gekoppeld aan de personeelsadministratie en de registratie van inhuur (hoofdstuk 3).
Stel per systeem een autorisatieprocedure en autorisatiematrix op, met een mandaatregister (hoofdstuk 3).
Houd een register bij van gedeelde accounts met motivering en verantwoordelijke leidinggevende (hoofdstuk 3).
Richt MFA in voor de werkomgeving, internetvoorzieningen en accounts met beheerrechten (hoofdstuk 4).
Geef elke medewerker een wachtwoordmanager en dwing de wachtwoordeisen technisch af (hoofdstuk 5).
Leg in een regeling thuiswerken vast welke apparatuur en werkplekken zijn toegestaan (hoofdstuk 6).
Houd een register bij van accounts met bijzondere rechten, inclusief nood- en technische accounts (hoofdstuk 8).
Houd een register van leveranciersaccounts bij met goedkeuring, activering en beëindiging (hoofdstuk 9).

Controles inrichten (9)

Nr	Controle	Uitvoerder	Frequentie
LTB-01	Accounts van vertrokken medewerkers en beëindigde opdrachten zijn uiterlijk op de laatste werkdag geblokkeerd en na de termijn verwijderd; inactieve accounts zijn geblokkeerd	[lijneigenaar logische toegang]	Per kwartaal
LTB-02	Gedeelde accounts, functionele postbussen, technische accounts en standaardaccounts voldoen aan de eisen: motivering, eigenaar, geen beheerrechten, geen interactief aanmelden	[lijneigenaar logische toegang]	Jaarlijks
LTB-03	MFA geldt voor alle accounts waar dit beleid het eist; elke uitzondering heeft goedgekeurde aanvullende maatregelen en staat in het risicoregister	CISO	Jaarlijks
LTB-04	De wachtwoordeisen en de blokkade na mislukte pogingen zijn technisch afgedwongen; resets volgden na identiteitsvaststelling	[lijneigenaar logische toegang]	Jaarlijks
LTB-05	Alleen geauthenticeerde apparaten bereiken de vertrouwde zone; werken op afstand loopt via de eigen voorzieningen en de regeling thuiswerken is actueel	[lijneigenaar logische toegang]	Jaarlijks
LTB-06	Alle uitgegeven rechten per systeem zijn beoordeeld door de systeemeigenaar en onjuiste rechten zijn binnen de hersteltermijn ingetrokken	Systeemeigenaar	Jaarlijks, halfjaarlijks voor systemen met het label vertrouwelijk of hoger
LTB-07	Het register van accounts met bijzondere rechten klopt in opzet, bestaan en gebruik; elke wijziging had een aanvraag; systeemhulpmiddelen zijn alleen door bevoegde beheerders gebruikt	Systeemeigenaar en CISO	Per kwartaal
LTB-08	Leveranciersaccounts hebben een risicoafweging, een verantwoordelijke leidinggevende en zijn alleen actief geweest voor de afgesproken werkzaamheden	[lijneigenaar logische toegang]	Per kwartaal
LTB-09	Toegang tot repositories is beperkt tot wie eraan werkt en wijzigingen op de hoofdtak hebben een review	Eigenaar van de repository	Halfjaarlijks

Nog in te vullen (13). lijneigenaar logische toegang; termijn verwijderen accounts; termijn inactiviteit; bewaking aanmeldingen; aantal mislukte pogingen; minimale wachtwoordlengte; hersteltermijn rechten; maximum aantal hoogste beheerders; maximale activeringsduur; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

7. Beleid informatiebeveiliging bij inkoop#

Inrichten

Stel een standaardset beveiligingseisen voor inkoop op en stel die jaarlijks opnieuw vast (hoofdstuk 3).
Leg de drempel vast waaronder een inkoop met de standaardset eisen kan (hoofdstuk 3).
Stel een lijst op van voorwaarden van leveranciers die de organisatie nooit accepteert (hoofdstuk 4).
Neem in contracten jaarlijks onafhankelijk bewijs en een auditrecht voor de organisatie op (hoofdstuk 5).
Neem in contracten een meldplicht met termijn op voor incidenten, datalekken en kwetsbaarheden (hoofdstuk 6).
Neem een exitregeling op in contracten voor kritieke processen of vertrouwelijke informatie (hoofdstuk 7).
Richt per inkoop een inkoopdossier in met de vereiste stukken vóór ondertekening (hoofdstuk 10).
Regel de overdracht van het inkoopdossier aan de contracteigenaar binnen een maand (hoofdstuk 10).

Controles inrichten (7)

Nr	Controle	Uitvoerder	Frequentie
INK-01	Het inkoopdossier bevat vóór ondertekening de risicoafweging en de eisen, en de eisen staan in de uitvraag en het contract	CISO	Per inkoop boven de drempel
INK-02	De algemene voorwaarden van de leverancier zijn van de hand gewezen, of de beoordeling van de voorwaarden en de ondertekening voor de geaccepteerde risico's zitten in het dossier	[inkoopadviseur]	Per inkoop
INK-03	Het eerste bewijs van de leverancier is geleverd, dekt de dienst en het auditrecht staat in het contract; restrisico's staan in het risicoregister	CISO	Per inkoop boven de drempel
INK-04	De meldplicht van de leverancier met termijn en inhoud, de exitregeling en, waar nodig, de escrow staan in het contract	[inkoopadviseur]	Per inkoop boven de drempel
INK-05	Het overzicht van toeleveranciers is geleverd en beoordeeld, en het verbod op overdracht zonder toestemming staat in het contract	CISO	Per inkoop boven de drempel
INK-06	Steekproef van ten minste [aantal steekproef inkoop] op volledigheid van het inkoopdossier, toepassing van de drempel en overdracht aan contractbeheer binnen een maand	CISO	Jaarlijks
INK-07	De standaardset eisen en de lijst onaanvaardbare voorwaarden zijn opnieuw vastgesteld	CISO	Jaarlijks

Nog in te vullen (11). inkoopadviseur; drempel risicoafweging inkoop; lijst onaanvaardbare voorwaarden; meldtermijn leverancier; besluitvormer afwijking soevereiniteit; contracteigenaar; registratie van controles; aantal steekproef inkoop; risico-eigenaar; eigenaar van dit beleid; vaststeller.

8. Beleid informatiebeveiliging in contractbeheer#

Inrichten

Zet een register van leveranciers en contracten op met de verplichte velden per contract (hoofdstuk 3).
Spreek met inkoop een kwartaalvergelijking af tussen het register en de contractadministratie (hoofdstuk 3).
Stel een format voor de leveranciersbeoordeling op met de vragen en het bewijs per vraag (hoofdstuk 4).
Plan de jaarlijkse beoordeling per leverancier en leg de datum vast in het register (hoofdstuk 4).
Neem de toeleveringsketen van elke kritieke dienst op in de risicoanalyse (hoofdstuk 5).
Inventariseer alle clouddiensten, ook gratis en zelf afgenomen diensten, en zet ze in het register (hoofdstuk 6).
Controleer of elk cloudcontract de gronden voor ontbinding noemt (hoofdstuk 6).
Zet kritieke contracten zonder exitregeling in het risicoregister tot de eerstvolgende verlenging (hoofdstuk 7).

Controles inrichten (8)

Nr	Controle	Uitvoerder	Frequentie
LEV-01	Nieuwe en beëindigde contracten staan in het register, met alle verplichte velden, en het register komt overeen met de contractadministratie van inkoop	[lijneigenaar leveranciersmanagement]	Elk kwartaal
LEV-02	Elke leverancier in het register heeft een beoordeling van ten hoogste een jaar oud, met het verplichte advies van de CISO waar dat geldt, en het jaarlijkse bewijs is ontvangen	[lijneigenaar leveranciersmanagement]	Jaarlijks
LEV-03	Steekproef op de kwaliteit van ten minste [aantal steekproef beoordelingen]: gebruikt bewijs, vastgestelde risico's, opvolging, oordeel over de onderbouwing van de leverancier over zijn toeleveranciers	CISO	Jaarlijks
LEV-04	Meldingen over wijzigingen, kwetsbaarheden en incidenten in de keten zijn binnen de beoordelingstermijn beoordeeld en het besluit staat in het register	CISO	Jaarlijks
LEV-05	De risicoanalyse van de organisatie bevat de toeleveringsketen van elke kritieke dienst en is in het afgelopen jaar bijgewerkt	CISO	Jaarlijks
LEV-06	Alle clouddiensten in gebruik staan in het register, elk cloudcontract bevat de ontbindingsgronden, en wijzigingen bij cloudleveranciers zijn binnen een maand beoordeeld	[lijneigenaar leveranciersmanagement]	Jaarlijks
LEV-07	De werkwijze voor clouddiensten is in de afgelopen drie jaar herzien en vastgesteld	CISO	Eens per drie jaar
LEV-08	Beëindigde contracten hebben een afgeronde exit: gegevens terug, toegang ingetrokken op de einddatum, bevestiging van verwijdering ontvangen	[lijneigenaar leveranciersmanagement]	Jaarlijks

Nog in te vullen (10). contracteigenaar; register leveranciers; lijneigenaar leveranciersmanagement; format leveranciersbeoordeling; beoordelingstermijn ketenwijziging; registratie van controles; aantal steekproef beoordelingen; risico-eigenaar; eigenaar van dit beleid; vaststeller.

9. Beleid beveiligingsincidenten#

Inrichten

Richt één meldloket in met een bereikbaarheidsregeling en registratie van elke melding (hoofdstuk 3).
Stel een incidentprocedure op met rollen, vervangers en termijnen (hoofdstuk 3).
Leg in de incidentprocedure de categorieën en ernstniveaus vast, met per niveau wie wordt geïnformeerd (hoofdstuk 4).
Laat nieuwe medewerkers en externen de meldprocedure bevestigen en registreer die bevestiging (hoofdstuk 3).
Leg in de incidentprocedure vast wanneer een incident naar crisisbeheersing gaat (hoofdstuk 6).
Start een maandrapport incidenten voor de eindverantwoordelijke bedrijfsvoering (hoofdstuk 6).
Leg de externe meldingen vast in de incidentprocedure, met termijn en eigenaar per melding (hoofdstuk 7).
Richt een vast adres in voor meldingen van het CSIRT en de sectorale CERT (hoofdstuk 7).
Publiceer een CVD-procedure op de website met een meldadres en een security.txt-bestand (hoofdstuk 8).

Controles inrichten (7)

Nr	Controle	Uitvoerder	Frequentie
SIM-01	Het maandrapport incidenten, inclusief CVD-meldingen, is opgesteld en aan de eindverantwoordelijke bedrijfsvoering verzonden	CISO	Maandelijks
SIM-02	De kwartaalanalyse op patronen is uitgevoerd en in de rapportage aan de directie opgenomen	CISO	Elk kwartaal
SIM-03	Steekproef van tien incidenten: beoordeling binnen één werkdag met vastgelegd besluit, volledigheid van het dossier, keten van bewaring van het bewijs, tijdigheid van de interne en externe meldingen, evaluatie en opvolging van de verbetermaatregelen	CISO	Jaarlijks
SIM-04	Alle medewerkers en externen met een account hebben de meldprocedure bevestigd	[lijneigenaar personeel]	Jaarlijks
SIM-05	Een oefening met een incidentscenario is uitgevoerd, inclusief de beoordeling van de ernst, de overgang naar crisisbeheersing en het opstellen van een externe melding binnen de wettelijke termijn, en de verbeterpunten zijn belegd	CISO	Jaarlijks
SIM-06	De incidentprocedure en de CVD-procedure zijn opnieuw vastgesteld, de rollen en vervangers zijn belegd, en de publicatie van de CVD-procedure en het security.txt-bestand zijn actueel	CISO	Jaarlijks
SIM-07	Meldingen van het CSIRT of de sectorale CERT zijn binnen één werkdag beoordeeld en opgenomen in de risicobehandeling	CISO	Elk kwartaal

Nog in te vullen (8). meldloket incidenten; lijneigenaar personeel; incidentcoördinator; eindverantwoordelijke bedrijfsvoering; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

10. Beleid ICT-continuïteit en uitwijk#

Inrichten

Laat proceseigenaren kritieke processen vastleggen met impactniveau, hersteltijd en toelaatbaar gegevensverlies (hoofdstuk 3).
Stel een overzicht van kritieke systemen op met hersteleisen, afhankelijkheden en herstelvolgorde (hoofdstuk 3).
Laat de directie de herstelvolgorde vaststellen (hoofdstuk 3).
Richt per kritiek systeem een uitwijk- of redundantievoorziening in en leg de onderbouwing vast (hoofdstuk 4).
Voer gedeelde voorzieningen dubbel uit of leg een noodroute vast, en test de omschakeling (hoofdstuk 4).
Neem hersteleisen en uitwijk op in contracten met leveranciers van kritieke systemen (hoofdstuk 4).
Stel per kritiek proces een continuïteitsplan op, met een deel over beveiliging tijdens verstoring (hoofdstuk 6).
Test elk continuïteitsplan en leg bevindingen en verbeteringen vast in een testverslag (hoofdstuk 6).

Controles inrichten (6)

Nr	Controle	Uitvoerder	Frequentie
BCDR-01	Het overzicht van kritieke systemen is volledig en actueel: elk kritiek proces heeft een impactniveau, hersteltijd en toelaatbaar gegevensverlies, elk kritiek systeem heeft afhankelijkheden en een plaats in de vastgestelde herstelvolgorde, en de actualisatie is niet ouder dan drie jaar	[eigenaar overzicht kritieke systemen]	Jaarlijks
BCDR-02	Elk kritiek proces heeft een continuïteitsplan dat in het afgelopen jaar is getest, en eens per drie jaar een technische uitwijktest binnen de hersteleisen	[lijneigenaar ICT-continuïteit]	Jaarlijks
BCDR-03	De verbeteringen uit de tests van het jaar ervoor zijn binnen drie maanden in de plannen doorgevoerd of staan in het risicoregister	CISO	Jaarlijks
BCDR-04	Elke gedeelde voorziening en elk kritiek systeem heeft een redundantie- of uitwijkvoorziening die past bij de hersteleisen, de omschakeling is getest, en restrisico's staan in het risicoregister	[lijneigenaar ICT-continuïteit]	Jaarlijks
BCDR-05	Leveranciers van kritieke systemen hebben de hersteleisen en de uitwijk in het contract en hebben het bewijs van hun uitwijktests geleverd	Proceseigenaar	Jaarlijks, bij de leveranciersbeoordeling
BCDR-06	Elk continuïteitsplan bevat een door de CISO goedgekeurd deel over de beveiliging tijdens een verstoring, en na elke verstoring is het logboek aanwezig, zijn de noodvoorzieningen binnen de termijn ingetrokken en is de vrijgave na een cyberincident vastgelegd	CISO	Jaarlijks, en na elke verstoring

Nog in te vullen (7). eigenaar overzicht kritieke systemen; lijneigenaar ICT-continuïteit; termijn intrekken noodvoorzieningen; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

11. Beleid IT-compliance#

Inrichten

Zet een register op van wettelijke en contractuele eisen, met eigenaar en beleidsstuk per eis (hoofdstuk 3).
Zet een licentieregister op en vergelijk het met de geïnstalleerde software (hoofdstuk 3).
Leg per systeem en informatiecategorie de bewaartermijnen vast in een overzicht (hoofdstuk 4).
Stel een overzicht DLP-maatregelen op met de maatregel per kanaal (hoofdstuk 5).
Stel automatische schermvergrendeling centraal in op alle werkplekken en mobiele apparaten (hoofdstuk 6).
Richt capaciteitsbewaking met een drempelmelding in voor kritieke systemen en maak een capaciteitsprognose (hoofdstuk 7).
Koppel alle systemen, netwerkapparaten en werkplekken aan één betrouwbare tijdbron (hoofdstuk 7).
Leg elke audit of technische test op productie vooraf vast in een testopdracht (hoofdstuk 8).

Controles inrichten (9)

Nr	Controle	Uitvoerder	Frequentie
ITC-01	Het register van wettelijke en contractuele eisen is in het afgelopen jaar bijgewerkt, elke eis heeft een eigenaar en een beleidsstuk, en elke proceseigenaar heeft de toets op het eigen proces uitgevoerd	CISO	Jaarlijks
ITC-02	De geïnstalleerde software komt overeen met het licentieregister en voor zelf gemaakte software en inhoud is het eigendom in het contract vastgelegd	IT-organisatie	Jaarlijks
ITC-03	Voor elk kritiek systeem zijn de bewaartermijnen vastgelegd en uitgevoerd, en de registraties die als bewijs dienen zijn beschermd tegen wijziging	Proceseigenaar	Jaarlijks
ITC-04	Elke verwerking van persoonsgegevens staat in het verwerkingsregister, de autorisaties op persoonsgegevens zijn op doelbinding getoetst en test- en ontwikkelomgevingen bevatten geen ongemaskeerde persoonsgegevens	Privacy officer	Jaarlijks
ITC-05	De maatregelen tegen gegevenslekken staan aan op alle kanalen uit het overzicht en de meldingen zijn elk kwartaal beoordeeld en opgevolgd	CISO	Per kwartaal
ITC-06	Automatische vergrendeling op inactiviteit en bij verwijderen van een token staat aan op alle werkplekken en mobiele apparaten, en de rondgang clear desk is uitgevoerd en opgevolgd	[lijneigenaar werkplek]	Halfjaarlijks
ITC-07	De capaciteit van de kritieke systemen is bewaakt, meldingen boven de drempel zijn opgevolgd en de jaarlijkse capaciteitsprognose is opgesteld	IT-organisatie	Per kwartaal
ITC-08	Alle systemen in de scope synchroniseren met de tijdbron en de afwijking is kleiner dan één seconde	IT-organisatie	Per kwartaal
ITC-09	Elke audit of test op een productiesysteem had een testopdracht, de rechten zijn na afloop ingetrokken en de handelingen zijn gelogd	CISO	Jaarlijks

Nog in te vullen (13). overzicht overige ketens; lijneigenaar archief; overzicht DLP-maatregelen; vergrendeltijd; bewaartermijn afdruktaken; lijneigenaar werkplek; drempel capaciteit; tijdbron; functionaris informatiebeveiliging; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

12. Beleid fysieke toegang en beveiliging#

Inrichten

Stel per locatie een zoneringsplan op met vier zones en een eigenaar per zone (hoofdstuk 3).
Sluit het alarm aan op een gecertificeerde alarmcentrale met een procedure voor opvolging (hoofdstuk 4).
Regel de uitgifte en inname van toegangsmiddelen op naam, gekoppeld aan personeelsmutaties (hoofdstuk 5).
Richt voor zone 3 en hoger een elektronisch toegangssysteem met logging in (hoofdstuk 6).
Voorzie zone 4 van noodstroom, klimaatinstallatie, branddetectie en blusvoorziening, met een testschema (hoofdstuk 7).
Voer voor elke zone 4 een risicobeoordeling op omgevingsdreigingen uit (hoofdstuk 7).
Stel een afsprakenlijst waarschuwingen op met contactpersonen en kanalen per partner (hoofdstuk 8).
Leg in een huisregel vast of medewerkers hun pas zichtbaar dragen (hoofdstuk 9).

Controles inrichten (9)

Nr	Controle	Uitvoerder	Frequentie
FYS-01	Het zoneringsplan is actueel: elke ruimte heeft een zone en een eigenaar, elke ruimte van zone 4 ligt binnen zone 3, en de zones in het toegangssysteem komen overeen met het plan	Eigenaar van elke zone van zone 3 of hoger	Jaarlijks
FYS-02	Toegang tot zone 3 en 4 wordt alleen toegekend na goedkeuring van de eigenaar van de zone	Eigenaar van de zone	Per aanvraag
FYS-03	Toegangsmiddelen worden na uitdiensttreding, einde opdracht of functiewijziging uiterlijk op de laatste werkdag ingenomen of aangepast	[lijneigenaar fysieke beveiliging]	Maandelijks
FYS-04	De uitgegeven toegangsmiddelen per zone zijn alleen in gebruik bij bevoegde personen met een doelbinding	Eigenaar van de zone	Halfjaarlijks
FYS-05	De fysieke voorzieningen voldoen aan de eisen per zone: bouwkundige schil, alarm, bewaking, klimaat, noodstroom, brand- en waterbeveiliging, bekabeling	[lijneigenaar fysieke beveiliging]	Halfjaarlijks
FYS-06	Logging van het toegangssysteem en alarmmeldingen zijn beoordeeld op afwijkingen en afwijkingen zijn opgevolgd	[lijneigenaar fysieke beveiliging]	Maandelijks
FYS-07	De jaarlijkse risicobeoordeling van omgevingsdreigingen voor elke zone 4 is uitgevoerd en opgevolgd	Eigenaar van de zone	Jaarlijks
FYS-08	Waarschuwingen bij concrete beveiligingsrisico's zijn volgens de afsprakenlijst verzonden en ontvangen waarschuwingen zijn opgevolgd; de afsprakenlijst is actueel	CISO	Jaarlijks, en na elke waarschuwing
FYS-09	Leveranciers die ruimten beheren leveren een geldige onafhankelijke verklaring over hun fysieke beveiliging	Contractbeheer	Jaarlijks

Nog in te vullen (11). lijneigenaar fysieke beveiliging; bewaartermijn toegangslogging; bewaartermijn camerabeelden; testschema noodstroom; meldpunt fysieke beveiliging; afsprakenlijst waarschuwingen; pasregels medewerkers; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

13. Beleid afvoer en hergebruik van gegevensdragers#

Inrichten

Blokkeer verwijderbare media op beheerde werkplekken en richt een uitzonderingenregister in (hoofdstuk 3).
Stel een verwijderinstructie op met de methode per type drager en per label (hoofdstuk 4).
Kies wisproducten met een positief NBV-inzetadvies of leg het alternatief vast (hoofdstuk 4).
Richt een wisverslag per drager in met kenmerk, methode, product, datum en controle (hoofdstuk 4).
Neem methode, controle en vernietigingscertificaat per drager op in contracten met vernietigingsleveranciers (hoofdstuk 4).
Leg per gegevensverzameling de bewaartermijn vast en richt automatisch wissen in (hoofdstuk 6).
Stel een transportprocedure met transportregistratie op voor gegevensdragers (hoofdstuk 7).
Leg de betrouwbaarheidseisen voor koeriers en transporteurs vast in een document (hoofdstuk 7).

Controles inrichten (6)

Nr	Controle	Uitvoerder	Frequentie
AHG-01	Elke drager en elk apparaat met opslag dat in de inventaris op afgevoerd, gerepareerd of hergebruikt staat, heeft een wisverslag of een vernietigingscertificaat met serienummer	[lijneigenaar gegevensdragers]	Per kwartaal
AHG-02	Gewiste dragers bevatten geen herstelbare informatie en de gebruikte wisproducten hebben een NBV-inzetadvies of een vastgelegd alternatief	CISO	Jaarlijks
AHG-03	Uitzonderingen voor verwijderbare media zijn geregistreerd, goedgekeurd en niet ouder dan een jaar; de blokkering op beheerde werkplekken werkt	[aanvraagpunt uitzonderingen]	Jaarlijks
AHG-04	Transporten van dragers zijn geregistreerd met machtiging en ontvangstbevestiging, en ingezette koeriers en vernietigingsleveranciers voldoen aan de vastgestelde eisen	Contractbeheer	Jaarlijks
AHG-05	Informatie waarvan de bewaartermijn is verlopen is gewist, wisverzoeken van betrokkenen zijn binnen een maand afgehandeld en beëindigde leveranciers hebben wissing bevestigd	Proceseigenaar, met een overzicht van de CISO	Jaarlijks
AHG-06	Hergebruikte en afgevoerde apparatuur is teruggezet naar de fabrieksinstellingen, uit de registraties verwijderd en in de inventaris bijgewerkt	[uitgiftepunt apparatuur]	Halfjaarlijks

Nog in te vullen (9). aanvraagpunt uitzonderingen; uitgiftepunt apparatuur; lijneigenaar gegevensdragers; bewaartermijn wisverslag; eisen aan koeriers; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

14. Beleid mobile device management#

Inrichten

Richt wissen op afstand in, met een meldroute voor verlies via de servicedesk (hoofdstuk 3).
Stel een reisrichtlijn apparatuur op met de landen en voorwaarden voor reisapparaten (hoofdstuk 3).
Schrijf elk mobiel apparaat met toegang tot bedrijfsinformatie in bij MDM of MAM (hoofdstuk 4).
Stel nalevingsregels in die versleuteling, vergrendeling, ondersteunde versie en wissen op afstand afdwingen (hoofdstuk 4).
Leg de inrichting van MDM en MAM vast als configuratiestandaard (hoofdstuk 4).
Richt een nalevingsrapportage per apparaat in voor de lijneigenaar en de CISO (hoofdstuk 4).
Stel een gebruikersovereenkomst mobiel werken op en laat elke mobiele gebruiker tekenen (hoofdstuk 5).
Richt een gastnetwerk in dat logisch gescheiden is van het bedrijfsnetwerk (hoofdstuk 5).

Controles inrichten (6)

Nr	Controle	Uitvoerder	Frequentie
MDM-01	Elk apparaat met toegang tot bedrijfsinformatie is ingeschreven in MDM of MAM, voldoet aan de nalevingsregels en heeft een ondersteund en bijgewerkt besturingssysteem	Beheerder MDM	Per kwartaal
MDM-02	Elke mobiele gebruiker heeft een getekende gebruikersovereenkomst en, bij een eigen apparaat, een instemming met wissen op afstand	HR	Per kwartaal
MDM-03	Wissen op afstand werkt en gemelde verliezen zijn binnen de wistermijn gewist en als incident geregistreerd	Beheerder MDM	Jaarlijks
MDM-04	Niet-beheerde apparaten krijgen geen toegang tot bedrijfsinformatie en de regels voor voorwaardelijke toegang en de blokkering van lokaal opslaan werken zoals ingericht	CISO	Jaarlijks
MDM-05	De geïnstalleerde apps op beheerde apparaten zijn toegestaan en apparaten zonder contact in drie maanden zijn geblokkeerd	Beheerder MDM	Per kwartaal
MDM-06	Een uitbestede werkplek- of beheerdienst levert een geldige onafhankelijke verklaring over het apparaatbeheer	Contractbeheer	Jaarlijks

Nog in te vullen (8). wistermijn; reisrichtlijn apparatuur; lijneigenaar mobiele apparatuur; regeling eigen apparaten; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

15. Beleid kwetsbaarheden en patchmanagement#

Inrichten

Richt op alle werkplekken, servers en mailvoorzieningen antimalware in die zichzelf automatisch bijwerkt (hoofdstuk 3).
Blokkeer uitvoerbare bestanden en scripts van internet en regel uitzonderingen via de servicedesk (hoofdstuk 3).
Stel per type systeem een basisconfiguratie vast op basis van een erkende baseline (hoofdstuk 4).
Leg de werkelijke configuratie van elk systeem vast in een configuratieregister (hoofdstuk 4).
Richt maandelijkse scans op kwetsbaarheden in voor alle ICT-middelen, waar mogelijk met agents (hoofdstuk 5).
Stel een jaarlijks testprogramma vast met per systeem kwetsbaarheidsanalyse, penetratietest of red-teamtest (hoofdstuk 5).
Richt een kwetsbaarhedenregister in met systeem, risico, eigenaar, termijn en status (hoofdstuk 7).
Richt een maandrapportage aan de directie in over open kwetsbaarheden en de patchstand (hoofdstuk 7).

Controles inrichten (9)

Nr	Controle	Uitvoerder	Frequentie
VPM-01	Elk apparaat in het overzicht van ICT-middelen heeft actieve antimalware met een update van ten hoogste zeven dagen oud, en apparaten die daarbuiten vallen zijn hersteld of van het netwerk gehaald	[beheerorganisatie]	Maandelijks
VPM-02	Uitvoerbare bestanden en scripts van internet worden tegengehouden en elke toegestane uitzondering heeft een vastgelegde aanvraag; de jaarlijkse voorlichting en de phishing-simulatie zijn uitgevoerd	CISO	Jaarlijks
VPM-03	Elk type systeem heeft een vastgestelde basisconfiguratie van ten hoogste een jaar oud, de gemeten afwijkingen zijn binnen een maand hersteld of als uitzondering vastgelegd, en het configuratieregister is volledig	[lijneigenaar kwetsbaarhedenbeheer]	Per kwartaal
VPM-04	Alle ICT-middelen uit het overzicht zijn in de afgelopen maand gescand en elke kwetsbaarheid met risico gemiddeld of hoger staat in het kwetsbaarhedenregister met eigenaar en termijn	CISO	Maandelijks
VPM-05	Kwetsbaarheden zijn binnen de termijn van de tabel verholpen en de herhaalscan bevestigt dat; overschrijdingen zijn aan de directie gerapporteerd	CISO	Maandelijks
VPM-06	Elke uitgestelde kwetsbaarheid en elk systeem zonder beveiligingsupdates heeft een volledige risicoafweging met tijdelijke maatregelen, einddatum en risico-eigenaar, en de einddatum is nagekomen	CISO	Per kwartaal
VPM-07	Elke waarschuwing van NCSC of CERT die een gebruikt product raakte, is binnen één werkdag doorgezet en opgevolgd	[lijneigenaar kwetsbaarhedenbeheer]	Per kwartaal
VPM-08	Elk informatiesysteem en elk internetbereikbaar systeem is volgens het testprogramma getest, de bevindingen met hoog risico zijn opgevolgd en elke release van een internetbereikbaar systeem heeft een penetratietestrapport bij de wijziging	CISO	Jaarlijks
VPM-09	De beheerpartij en de leveranciers van internetbereikbare systemen leveren de afgesproken rapportages en penetratietestbewijzen en halen de termijnen uit het contract	Contracteigenaar	Jaarlijks

Nog in te vullen (14). beheerorganisatie; configuratieregister; register testrapporten; patchtermijn hoog en hoog; patchtermijn hoog; patchtermijn gemiddeld; termijn uitfaseren; kwetsbaarhedenregister; functionaris informatiebeveiliging; lijneigenaar kwetsbaarhedenbeheer; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

16. Beleid back-up en recovery#

Inrichten

Stel per omgeving een back-upplan op dat per scenario het herstel beschrijft, ook ransomware (hoofdstuk 3).
Zet een back-upregister op met per systeem de hersteleisen, locaties en laatste hersteltest (hoofdstuk 3).
Laat de proceseigenaar per systeem het maximale gegevensverlies en de hersteltijd vaststellen (hoofdstuk 4).
Richt ten minste één onveranderbare of offline kopie van de back-up in (hoofdstuk 5).
Versleutel de back-ups en bewaar de sleutels gescheiden in een beheerde sleutelkluis (hoofdstuk 5).
Richt voor de back-upomgeving aparte beheeraccounts met MFA buiten het gewone domein in (hoofdstuk 5).
Plaats back-ups van kritieke systemen op twee plekken die elkaar bij een incident niet raken (hoofdstuk 6).
Voer een eerste hersteltest uit volgens het ransomwarescenario, in een schone omgeving (hoofdstuk 7).

Controles inrichten (7)

Nr	Controle	Uitvoerder	Frequentie
BUR-01	Alle back-uptaken van de afgelopen maand zijn gecontroleerd en elke mislukte taak is binnen een werkdag hersteld of gemeld	[lijneigenaar back-up]	Maandelijks
BUR-02	Het back-upregister is volledig: elk systeem met impactniveau kritiek of hoger en elke SaaS-dienst met een kritiek proces heeft een goedgekeurd back-upplan van ten hoogste een jaar oud, vastgestelde hersteleisen, een gescheiden kopie en een onveranderbare kopie	[eigenaar back-upplannen]	Jaarlijks
BUR-03	Elk systeem heeft vastgestelde hersteleisen met een risicoafweging, of staat gemeld op het standaardregime; de hersteltijd van kritieke systemen ligt onder de maximale uitvalsduur	CISO	Jaarlijks
BUR-04	De onveranderbare kopie is niet te wissen met de beheerrechten van productie, de back-upaccounts staan buiten het gewone domein met MFA, en het verkorten van bewaartermijnen vereist een tweede persoon	CISO	Jaarlijks
BUR-05	De gescheiden kopie staat op een locatie die een incident op de productielocatie niet raakt, en bij leveranciers is dat in het contract en met een verklaring aangetoond	Contracteigenaar	Jaarlijks
BUR-06	Elk kritiek systeem heeft in het afgelopen jaar een hersteltest gehad die de hersteltijd haalde, waaronder ten minste één test van het ransomwarescenario uit de onveranderbare kopie	[lijneigenaar back-up]	Jaarlijks
BUR-07	Elke hersteloperatie is gelogd met toestemming van de systeemeigenaar	[lijneigenaar back-up]	Per kwartaal

Nog in te vullen (7). eigenaar back-upplannen; lijneigenaar back-up; standaard hersteltijd; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

17. Beleid logging en monitoring#

Inrichten

Richt op elk systeem de minimale loggebeurtenissen en verplichte velden in, met één tijdbron (hoofdstuk 3).
Stel een overzicht van logbronnen op met gebeurtenissen, opslag, bewaartermijn en beoordelaar per systeem (hoofdstuk 3).
Leg per logbron de bewaartermijn vast op basis van een risicoafweging (hoofdstuk 4).
Neem logging met persoonsgegevens op in het verwerkingsregister (hoofdstuk 4).
Kopieer logbestanden naar centrale opslag waar beheerders van het bronsysteem niets kunnen wijzigen (hoofdstuk 4).
Stel een automatische melding in bij het wijzigen, verwijderen of stoppen van logging (hoofdstuk 4).
Richt een detectievoorziening in die de logging van alle bronnen samenbrengt, bijvoorbeeld een SIEM (hoofdstuk 5).
Leg escalatieregels vast met per ernstniveau de termijn en de ontvanger (hoofdstuk 5).

Controles inrichten (7)

Nr	Controle	Uitvoerder	Frequentie
LOG-01	Elke logbron uit het overzicht logt daadwerkelijk en komt in de centrale opslag binnen; elk productiesysteem staat in het overzicht	[beheerder logvoorziening]	Per kwartaal
LOG-02	Een steekproef van logregels uit vijf systemen bevat de verplichte velden, dezelfde tijdbron en geen wachtwoorden of sleutels	[beheerder logvoorziening]	Jaarlijks
LOG-03	De bewaartermijn per logbron is vastgesteld, wordt gehaald en logging met persoonsgegevens staat in het verwerkingsregister	Privacy officer	Jaarlijks
LOG-04	De logbestanden zijn over de bewaartermijn ongewijzigd en volledig aanwezig, getoetst door iemand zonder beheerrechten op de logging	Onafhankelijke toetser aangewezen door de CISO	Jaarlijks
LOG-05	Meldingen uit de detectievoorziening zijn binnen de termijn per ernstniveau beoordeeld en de detectieregels zijn na incidenten bijgewerkt	CISO	Per kwartaal
LOG-06	De escalatie werkt: een gesimuleerde melding met ernst hoog bereikt de CISO binnen de afgesproken termijn	CISO	Jaarlijks
LOG-07	Nieuwe dreigingen die bij de monitoring zijn ontdekt, zijn volgens de procedure met de CERT gedeeld	CISO	Jaarlijks

Nog in te vullen (8). beheerder logvoorziening; bewaartermijn beveiligingslogging; bewaking; lijneigenaar logging; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

18. Beleid netwerkbeveiliging#

Inrichten

Stel een netwerkontwerp op met segmenten, beveiligingsniveaus, koppelpunten en toegestane verkeersstromen (hoofdstuk 3).
Geef elke firewallregel een eigenaar en een reden en verwijder overbodige regels (hoofdstuk 3).
Leg per netwerkcomponent vast welke hardeningsrichtlijn geldt (hoofdstuk 4).
Richt een apart beheersegment in met persoonsgebonden beheeraccounts en MFA (hoofdstuk 4).
Richt netwerktoegangscontrole in met authenticatie van apparaat en gebruiker (hoofdstuk 4).
Plaats op elk koppelpunt met internet een firewall, DDoS-bescherming en detectie (hoofdstuk 5).
Richt een webfilter in en laat de CISO de geblokkeerde categorieën vaststellen (hoofdstuk 6).
Plaats gastwifi in een apart segment zonder toegang tot het bedrijfsnetwerk (hoofdstuk 8).

Controles inrichten (8)

Nr	Controle	Uitvoerder	Frequentie
NWB-01	Het netwerkontwerp is actueel, elk segment heeft een beveiligingsniveau en de segmenten in de configuratie komen overeen met het ontwerp	[netwerkarchitect]	Jaarlijks
NWB-02	Alle firewallregels hebben een eigenaar en een reden; regels zonder noodzaak zijn verwijderd	[netwerkbeheer]	Jaarlijks
NWB-03	Netwerkcomponenten voldoen aan de hardening en de patchtermijnen van hun segment en zijn alleen beheerbaar vanuit het beheersegment met MFA	CISO	Jaarlijks
NWB-04	Een segmentatietest vanuit het gebruikers- en het gastsegment bereikt het beheersegment en het serversegment niet	Onafhankelijke tester aangewezen door de CISO	Jaarlijks
NWB-05	De DDoS-bescherming en de netwerkdetectie op de koppelpunten werken en meldingen zijn binnen de termijn beoordeeld	CISO	Jaarlijks, meldingen per maand
NWB-06	Nieuwe dreigingen uit de netwerkbewaking zijn volgens de procedure met de CERT gedeeld	CISO	Jaarlijks
NWB-07	Het webfilter blokkeert de vastgestelde categorieën, de blokkeerlijsten zijn actueel en elke uitzondering heeft een reden en een einddatum	[netwerkbeheer]	Halfjaarlijks
NWB-08	Draadloze en externe verbindingen zijn versleuteld volgens de geldende adviezen, het bedrijfswifi vraagt authenticatie van apparaat en gebruiker, en er zijn geen onbekende toegangspunten	[netwerkbeheer]	Jaarlijks

Nog in te vullen (7). netwerkarchitect; netwerkbeheer; lijneigenaar netwerkbeveiliging; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

19. Beleid cryptografie#

Inrichten

Leg per systeem het versleutelingsniveau volgens de minimumtabel vast in het systeemdossier (hoofdstuk 3).
Breng websites en maildomeinen op de verplichte standaarden van het Forum Standaardisatie (hoofdstuk 4).
Wijs een eigenaar cryptografie en een sleutelbeheerder aan (hoofdstuk 5).
Neem elk certificaat, elke sleutel en elke versleutelingsvoorziening op in de inventaris (hoofdstuk 5).
Stel in de inventaris een automatisch signaal in voor certificaten die bijna verlopen (hoofdstuk 5).
Stel een procedure sleutelbeheer op voor alle fasen, van aanvragen tot vernietigen (hoofdstuk 6).
Zet sleutels in een sleutelkluis of beveiligde hardware, niet in code of gedeelde mappen (hoofdstuk 6).
Bepaal per kritiek certificaat of reservecertificaten nodig zijn en oefen de vervanging (hoofdstuk 6).

Controles inrichten (6)

Nr	Controle	Uitvoerder	Frequentie
CRY-01	Websites en maildomeinen voldoen aan de verplichte standaarden van het Forum Standaardisatie en elke afwijking is gemotiveerd	[eigenaar cryptografie]	Maandelijks, rapportage jaarlijks
CRY-02	De inventaris van certificaten, sleutels en versleutelingsvoorzieningen is volledig, elk middel heeft een eigenaar en een vervaldatum, en verlopen certificaten zijn op tijd vervangen	[sleutelbeheerder]	Halfjaarlijks
CRY-03	De gebruikte algoritmen, sleutellengten en protocolversies voldoen aan de actuele adviezen van NCSC en NBV en afgekeurde instellingen zijn binnen de termijn uitgezet	[eigenaar cryptografie]	Halfjaarlijks
CRY-04	Elk systeem met het label vertrouwelijk of hoger versleutelt bij transport en opslag volgens de minimumtabel, en back-ups zijn versleuteld met gescheiden sleutels	CISO	Jaarlijks
CRY-05	Sleutels staan in een sleutelkluis of beveiligde hardware en niet in broncode, scripts of gedeelde mappen; de procedure sleutelbeheer is gevolgd	[sleutelbeheerder]	Jaarlijks
CRY-06	Voor certificaten waarvan de dienstverlening afhangt is de risicoafweging over reservecertificaten gemaakt en, waar afgesproken, de vervanging geoefend	[sleutelbeheerder]	Jaarlijks

Nog in te vullen (9). sleutelbeheerder; eigenaar cryptografie; termijn uitfaseren; waarschuwingstermijn verlopen; lijneigenaar cryptografie; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

20. Beleid veilige softwareontwikkeling#

Inrichten

Leg de beveiligingsprincipes voor het ontwerp van informatiesystemen vast in een architectuurdocument (hoofdstuk 3).
Richt een vastgelegde toets van elk project en elke aanschaf aan de architectuurprincipes in (hoofdstuk 3).
Stel per nieuwe toepassing beveiligingseisen op, op basis van een erkende eisenset zoals OWASP ASVS (hoofdstuk 4).
Plan voor elke internetvoorziening een penetratietest vóór ingebruikname (hoofdstuk 4).
Neem de eisen uit het beleid op in het programma van eisen en het contract (hoofdstuk 6).
Regel in contracten auditrecht, toegang tot broncode, oplostermijnen en een meldregeling voor kwetsbaarheden (hoofdstuk 6).
Richt per oplevering een acceptatiedossier in met testverslag, penetratietest en componentenoverzicht (hoofdstuk 6).
Stel een formulier testgegevens op voor testen met persoonsgegevens (hoofdstuk 7).

Controles inrichten (7)

Nr	Controle	Uitvoerder	Frequentie
SSD-01	De architectuurprincipes zijn in het afgelopen jaar herzien en vastgesteld, en elk project of elke aanschaf van het afgelopen jaar heeft een vastgelegde toets aan de principes	CISO	Jaarlijks
SSD-02	Elke nieuwe toepassing of grote wijziging heeft vastgelegde beveiligingseisen op het niveau dat bij het impactniveau past, en de eisen zijn bij de acceptatie aantoonbaar getoetst	[lijneigenaar veilige ontwikkeling]	Halfjaarlijks
SSD-03	Elke internetvoorziening die in gebruik is gegaan, heeft een penetratietestrapport van vóór de ingebruikname zonder open bevindingen met hoog risico	CISO	Halfjaarlijks
SSD-04	De beschrijving van het ontwikkelproces en de richtlijn voor veilig programmeren zijn ten hoogste een jaar oud, elke ontwikkelaar heeft in het afgelopen jaar training gevolgd, en elke wijziging in de hoofdtak heeft een beoordeling door een tweede persoon en een geslaagde automatische controle	[lijneigenaar veilige ontwikkeling]	Per kwartaal
SSD-05	Elke applicatie heeft een actueel componentenoverzicht en er staan geen geheimen in de repository	[lijneigenaar veilige ontwikkeling]	Per kwartaal
SSD-06	Elke oplevering van een leverancier is pas geaccepteerd na controle van de afgesproken bewijzen, en elk contract voor ontwikkeling, maatwerk of SaaS bevat de eisen uit dit beleid	Contracteigenaar	Jaarlijks
SSD-07	Elke testomgeving met persoonsgegevens heeft een ingevuld formulier met advies en een einddatum, en de gegevens zijn op de einddatum verwijderd	Privacy officer	Jaarlijks

Nog in te vullen (8). architectuurdocument; lijneigenaar veilige ontwikkeling; ontwikkelrichtlijn; formulier testgegevens; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

21. Beleid wijzigingsbeheer#

Inrichten

Kies een beheerraamwerk, zoals ITIL of BiSL, en leg de processtappen vast (hoofdstuk 3).
Richt een wijzigingsregister in met risicoklasse, testplan, rollbackplan en besluit per wijziging (hoofdstuk 3).
Wijs een wijzigingsmanager en een spoedgoedkeurder aan (hoofdstuk 3).
Leg de goedkeuring per soort wijziging vast en maak draaiboeken voor standaardwijzigingen (hoofdstuk 3).
Leg werkinstructies voor terugkerende beheertaken vast in de beheerdocumentatie (hoofdstuk 4).
Trek lokale beheerrechten in en stel een lijst van toegestane software op (hoofdstuk 5).
Scheid ontwikkel-, test-, acceptatie- en productieomgevingen met eigen accounts en rechten (hoofdstuk 6).
Stel een vaste testmethode voor acceptatietesten vast, met testplan en testverslag (hoofdstuk 7).

Controles inrichten (8)

Nr	Controle	Uitvoerder	Frequentie
WZB-01	Elke doorgevoerde wijziging staat in het register met risicoafweging, rollbackplan, testverslag, goedkeuring door de juiste rol en de controle na doorvoeren	Wijzigingsmanager	Per kwartaal
WZB-02	Elke spoedwijziging is binnen vijf werkdagen achteraf beoordeeld en het aandeel spoedwijzigingen is gerapporteerd	[lijneigenaar wijzigingsbeheer]	Maandelijks
WZB-03	Het wijzigingsproces volgt het vastgelegde beheerraamwerk en is bij beheerpartijen in het contract vastgelegd en aantoonbaar toegepast	CISO	Jaarlijks
WZB-04	Voor elke terugkerende beheertaak van een systeem met impactniveau kritiek of hoger bestaat een werkinstructie die ten hoogste een jaar oud is, de verplichte onderdelen bevat en alleen voor bevoegden toegankelijk is	[lijneigenaar wijzigingsbeheer]	Jaarlijks
WZB-05	De geïnstalleerde software op werkplekken en servers komt overeen met de lijst van toegestane software, gebruikers hebben geen lokale beheerrechten en software buiten de lijst is binnen de termijn verwijderd	[beheerorganisatie]	Per kwartaal
WZB-06	Ontwikkel-, test-, acceptatie- en productieomgevingen zijn gescheiden met eigen accounts en rechten, en elke test in productie of niet vooraf geteste significante wijziging heeft een voorafgaande goedkeuring van de proceseigenaar	CISO	Jaarlijks
WZB-07	Elke significante wijziging heeft een acceptatietestverslag volgens de vaste methode, met een beveiligingstest bij een hoog risico of een internetbereikbaar systeem, en een acceptatiebesluit van de systeemeigenaar	Wijzigingsmanager	Per kwartaal
WZB-08	Bij elke acceptatietest is vastgelegd welke testgegevens zijn gebruikt, en bij gebruik van productiegegevens zijn het advies en de verwijdering aantoonbaar	Privacy officer	Jaarlijks

Nog in te vullen (10). lijneigenaar wijzigingsbeheer; wijzigingsregister; spoedgoedkeurder; beheerdocumentatie; termijn verwijderen software; beheerorganisatie; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.