Security-assessment leverancier bij een DPIA

Onderdeel van Een DPIA in vijf stappen, met sjablonen · Markdown-bron

Vragen voor de security officer bij hoofdstuk 6.2 van het sjabloon. De onderwerpen liggen niet vast: pas ze aan als dat nodig is.

1. Leveranciersbeoordeling#

Certificeringen en compliance

• Heeft de leverancier een ISO/IEC 27001-certificaat?
• Is de bijbehorende verklaring van toepasselijkheid beschikbaar?
• Zijn er andere certificeringen, zoals NEN 7510 (zorg) of een SOC 2-verklaring?

Patchbeleid en kwetsbaarhedenbeheer

• Is er een gedocumenteerd patchbeleid?
• Hoe snel worden kwetsbaarheden opgelost (bijvoorbeeld binnen x dagen)?
• Staan afspraken daarover in de SLA of de dossierafspraken?

2. Architectuur van de oplossing#

Netwerktekening

• Is er een actuele netwerktekening?
• Staan segmentatie en beveiligingszones er duidelijk op?

Gegevensuitwisseling

• Welke gegevens worden uitgewisseld (bijvoorbeeld persoonsgegevens of financiële gegevens)?
• Hoe gebeurt dat (bijvoorbeeld via een API, SFTP of een webservice)?
• Worden de gegevens tijdens transport versleuteld?

3. Authenticatie#

Gebruikersauthenticatie

• Hoe verloopt de authenticatie (bijvoorbeeld via SSO, LDAP of OAuth)?

Meerfactorauthenticatie

• Is MFA verplicht voor alle gebruikers?
• Welke vormen worden ondersteund (bijvoorbeeld sms, een authenticator-app of een hardwaretoken)?

4. Beschikbaarheid#

• Welke maatregelen garanderen een hoge beschikbaarheid?
• Zijn er SLA's met uptime-garanties?

Back-up en herstel

• Worden er regelmatig back-ups gemaakt?
• Wat is de bewaartermijn van de back-ups?
• Worden er hersteltests gedaan?

Redundantie

• Zijn de kritieke componenten redundant uitgevoerd?
• Is er failover en loadbalancing?

5. Integriteit#

• Is er een autorisatiematrix met rollen, taken en rechten?
• Zijn de taken gescheiden, bijvoorbeeld tussen gebruikers en beheerders?
• Hoe worden in-, door- en uitstroom van gebruikers beheerd? Zijn er vaste procedures voor aanvragen?
• Worden kritieke handelingen gelogd? Zijn de logs onveranderbaar en centraal opgeslagen?
• Wordt er actief gemonitord op afwijkend gedrag?

6. Vertrouwelijkheid#

• Worden gegevens versleuteld tijdens transport, en in rust?
• Worden de encryptie-algoritmen actueel gehouden?
• Is er een wachtwoordbeleid? Wordt SSO gebruikt of een eigen authenticatiesysteem?

7. Samenvatting en conclusie#

Wat is de algemene indruk, en welke restrisico's moeten worden geaccepteerd of aangepakt?