{"text_format":"2","workbook":"xlsx","n_sheets":1,"sheets":["Vergelijking GP IB DNB"],"not_rendered":{"charts":0,"images":0,"macros":0,"external_links":0,"defined_names":0,"comments":0,"pivot_tables":0},"unopened":[],"bounds":{"document_bytes":16777216,"sheet_cells":100000,"run_cost":"one","rows_first":2000,"rows_last":500,"rows_between":2000,"halvings":0,"cell_chars":16384,"cell_head_chars":4096},"cells_cut":0,"cells_raw":0,"read":"whole","date_system":"1900"}

{"sheet":"Vergelijking GP IB DNB","index":0,"n_rows":851,"n_cols":6,"rows_kept":851,"cut":false,"hidden":false,"merged":[[839,3,840,3]]}
["Vergelijking Good Practice Informatiebeveiliging DNB"]
[]
[null,"DBN Good Practice 2023",null,"DNB Good Practice 2019-2020",null,"Wat is nieuw"]
[null,"1.1 Information Security Plan",null,"1.1 Information Security Plan"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Op basis van een risicoanalyse en dreigingsbeeld stelt het bestuurlijk of beleidsbepalend orgaan (hierna: “het bestuur”) een digitale operationele weerbaarheid strategie op korte, midden en lange termijn vast.",null,null,null,"1) Naast risicoanalyse ook dreigingsbeeld betrekken;  \n2) Digitale operationele weerbaarheidsstrategie opstellen"]
[null,"Het bestuur draagt de eindverantwoordelijkheid om, in lijn met de digitale operationele weerbaarheid strategie, periodiek het informatiebeveiligingsbeleid vast te stellen inclusief het daaruit volgend informatiebeveiligingsplan. ",null,"Eisen op het gebied van beschikbaarheid, integriteit en vertrouwelijkheid van informatie zijn vanuit bedrijfsdoelstellingen, bedrijfsprocessen, risk en compliance gesteld en vertaald in een informatiebeveiligingsbeleid en een daaruit volgend informatiebeveiligingsplan.",null," Expliciete bestuurlijke verantwoordelijkheid voor het informatiebeveiligingsbeleid en -plan"]
[null,"Het bestuur overziet en neemt de verantwoordelijkheid dat het vastgestelde informatiebeveiligingsbeleid en informatiebeveiligingsplan worden uitgevoerd en gemonitord. ",null,"Het informatiebeveiligingsbeleid en ­plan hebben een relatie met de bedrijfsstrategie en de aard en omvang van de instelling (proportionaliteit)."]
[null,"Het informatiebeveiligingsplan omvat een omschrijving van de belangrijkste taken en verantwoordelijkheden inzake informatiebeveiligingsbeheer en zet de vereisten voor budget, personeel, processen en technologie met betrekking tot informatiebeveiliging uiteen, waarbij medewerkers op alle niveaus verantwoordelijkheid dragen om de\ninformatiebeveiliging van de instelling te waarborgen.",null,"In het informatiebeveiligingsbeleid is aandacht gegeven aan de weerbaarheid van de instelling tegen cyberdreigingen.",null,"Specifieke inhoud informatiebeveiligingsplan"]
[null,"Het informatiebeveiligingsbeleid en ­plan hebben een relatie met de bedrijfsstrategie en de aard en omvang van de instelling (proportionaliteit) en ondersteunen de doelen uit de IT­strategie.",null,"Het informatiebeveiligingsbeleid wordt periodiek geactualiseerd en gecommuniceerd naar in­ en externe belanghebbenden."]
[null,"De instelling brengt de medewerkers en de dienstverleners op de hoogte van het actuele informatiebeveiligingsbeleid. Deze is van toepassing op alle medewerkers en relevante dienstverleners.",null,"De uitvoering van het informatiebeveiligingsplan wordt gemonitord."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft een informatiebeveiligingsbeleid opgesteld in lijn met internationaal geaccepteerde standaards zoals ISO27001/2 en het NIST cybersecurity framework.",null,"De instelling heeft een informatiebeveiligingsbeleid opgesteld in lijn met internationaal geaccepteerde standaards zoals ISO27001/2 en het NIST cybersecurity framework."]
[null,"Het informatiebeveiligingsbeleid bevat zowel preventieve, detecterende, corrigerende als repressieve beheersmaatregelen. In het NIST cybersecurity framework komt dit bijvoorbeeld nader tot uitdrukking in fasen Identify, Protect, Detect, Respond en Recover.",null,"Het informatiebeveiligingsbeleid bevat zowel preventieve, detecterende, corrigerende als repressieve maatregelen. In het NIST cybersecurity framework komt dit bijvoorbeeld nader tot uitdrukking in fasen Identify, Protect, Detect, Respond en Recover."]
[null,"Het informatiebeveiligingsbeleid van de instelling beschrijft zowel (IT) technische beheersmaatregelen als procedurele beheersmaatregelen in de bedrijfsprocessen.",null,"Het informatiebeveiligingsbeleid van de instelling beschrijft zowel (IT) technische maatregelen als procedurele maatregelen in de bedrijfsprocessen."]
[null,"De instelling actualiseert het informatiebeveiligingsbeleid met een vaste periodiciteit die past bij de aard, omvang en complexiteit van de instelling (bijvoorbeeld twee jaarlijks) en met een hogere frequentie wanneer daartoe aanleiding bestaat, bijvoorbeeld bij fusies en overnames, majeure uitbestedingen of nieuwe cyberdreigingen.",null,"De instelling actualiseert het informatiebeveiligingsbeleid met een vaste periodiciteit die past bij de aard en omvang van de instelling (bijvoorbeeld tweejaarlijks) en met een hogere frequentie wanneer daartoe aanleiding bestaat, bijvoorbeeld bij fusies en overnames, majeure uitbestedingen of nieuwe cyberdreigingen."]
[null,"Medewerkers van de instelling zijn via awareness programma’s bekend met de beleidslijnen op het gebied van informatiebeveiliging en kennen hun rol en verantwoordelijkheden in dat verband.",null,"Medewerkers van de instelling zijn via awareness programma’s bekend met het informatiebeveiligingsbeleid en kennen hun rol en verantwoordelijkheden in dat verband."]
[]
[null,"1.2 Information Security policies",null,"1.2 IT Policies Management"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Beheersmaatregelen die voortkomen uit het Informatiebeveiligingsbeleid en ­plan maken deel uit van gestandaardiseerde en voorspelbare (ICT) werkprocessen (beheerste en integere bedrijfsvoering) en sluiten aan bij het risicoanalyse en dreigingsbeeld.",null,"Maatregelen die voortkomen uit het Informatiebeveiligingsbeleid en –plan maken deel uit van gestandaardiseerde en voorspelbare (IT) werkprocessen (beheerste en integere bedrijfsvoering)."]
[null,"Het bestuur waarborgt dat het governancesysteem van de instelling, in het bijzonder het risicobeheer­ en het interne controlesysteem, de beveiligingsrisico’s van de instelling op adequate wijze beheerst.",null,null,null,"Verantwoordelijkheid bestuur voor adequaat governancesysteem (incl risicobeheeer en interne controle)"]
[null,"(ICT) werkprocessen en procedures zien toe op een beheerste ICT­systeemontwikkeling, verwerving van veilige hard­ en software uit onbetwiste bron, verwerking en opslag van gegevens, ICT-­systeemonderhoud en ICT-support.",null,"(IT) werkprocessen en procedures zien toe op een beheerste IT­systeemontwikkeling, verwerving van veilige hard­ en software uit onbetwiste bron, verwerking en opslag van gegevens, IT­systeemonderhoud en IT­support."]
[null,"Het informatiebeveiligingsbeleid waarborgt dat de instelling logbestanden bij houdt en kritieke ICT- activiteiten monitort, zodat fouten kunnen worden opgespoord, geanalyseerd en gecorrigeerd.",null,null,null,"Logbestanden in beleid opnemen"]
[null,"Noodprocedures zijn opgesteld voor situaties waarin de standaardprocedures niet voorzien.",null,"Noodprocedures zijn opgesteld voor situaties waarin de standaardprocedures niet voorzien."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft (ICT) werkprocessen en procedures beschreven en/of ingericht in workflow tooling die een beheerste uitvoering van die (ICT) werkprocessen en procedures waarborgen. De workflow tooling dwingt bijvoorbeeld het 4-ogen principe af bij het aanpassen van kritieke ICT-systemen, systeemparameters of data en dat alle activiteiten herleidbaar zijn (logging).",null,"De instelling heeft (IT) werkprocessen en procedures beschreven en/of ingericht in workflow tooling die een beheerste uitvoering van die (IT) werkprocessen en procedures waarborgen. De workflow tooling dwingt bijvoorbeeld het 4-ogen principe af bij het aanpassen van kritische IT-systemen, systeemparameters of data en dat alle activiteiten herleidbaar zijn (logging)."]
[null,"De procedures zijn gebaseerd op internationaal geaccepteerde standaarden, zoals ITIL, BISL en PRINCE II.",null,"De procedures zijn gebaseerd op internationaal geaccepteerde standaarden, zoals ITIL, BISL en PRINCE II."]
[null,"De instelling actualiseert de ingerichte beheersmaatregelen in relatie tot de (herijkte) risico’s. daarbij past zij de (opzet van) (ICT) werkprocessen en procedures aan met een vaste periodiciteit (bijvoorbeeld jaarlijks) en met een hogere frequentie wanneer daartoe aanleiding bestaat, bijvoorbeeld bij fusies en overnames, uitbesteding van de (ICT) werkprocessen of incidenten in de uitvoering. Bij nieuwe of in intensiteit toenemende vormen van cyberdreigingen, bekijkt de instelling of (ICT) werkprocessen en procedures dienen te worden aangescherpt. De instelling stelt vast in hoeverre haar medewerkers, inhuurkrachten en dienstverleners zich houden aan de vastgestelde (ICT) werkwijzen en zich ervan bewust zijn dat een beheerste uitvoering van hun werkzaamheden bijdraagt aan informatiebeveiliging en weerbaarheid tegen cyberdreigingen.",null,"De instelling actualiseert de (IT) werkprocessen en procedures met een vaste periodiciteit (bijvoorbeeld tweejaarlijks) en met een hogere frequentie wanneer daartoe aanleiding bestaat, bijvoorbeeld bij fusies en overnames, uitbesteding van de (IT) werkprocessen of incidenten in de uitvoering. Bij nieuwe of in intensiteit toenemende vormen van cyberdreigingen, bekijkt de instelling of (IT) werkprocessen en procedures dienen te worden aangescherpt."]
[null,null,null,"De instelling stelt vast in hoeverre haar medewerkers, inhuurkrachten en dienstverleners zich houden aan de vastgestelde (IT) werkwijzen en zich ervan bewust zijn dat een beheerste uitvoering van hun werkzaamheden bijdraagt aan informatiebeveiliging en weerbaarheid tegen cyberdreigingen."]
[]
[null,"2.1 Information Security Architecture",null,"2.1 Enterprise Information Architecture Model"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Bedrijfsprocessen en ICT-­systemen zijn opgezet volgens een door de instelling vastgestelde informatiearchitectuur waarin onder meer is geadresseerd:",null,"Bedrijfsprocessen en IT­systemen zijn opgezet volgens een door de instelling vastgestelde informatiearchitectuur waarin onder meer is geadresseerd:­"]
[null,"Visie op de informatievoorziening;",null,"Visie op de informatievoorziening;"]
[null,"Doelarchitectuur van ICT-­systemen en processen;",null,"Doelarchitectuur van IT­systemen en processen;"]
[null,"Cybersecurity­ en privacy vereisten;",null,"Cybersecurity­ en privacy vereisten;"]
[null,"Systeem­ en dataclassificatie;",null,"Systeem­ en dataclassificatie;"]
[null,"rationalisatie van huidige ICT-­systemen; het uitfaseren van legacy ICT-­systemen en ICT­systemen die kwetsbaar zijn voor cyberdreigingen.",null,"rationalisatie van huidige IT­systemen; het uitfaseren van legacy IT­systemen en IT­systemen die kwetsbaar zijn voor cyberdreigingen."]
[null,"De IT­architectuur is in lijn met de ICT-­strategie.",null,null,null,"Alignment IT-architectuur en IT-strategie"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling werkt volgens een Information Security Architectuur waarin inzichtelijk is gemaakt hoe de ICT-systemen en dataverzamelingen de bedrijfsstrategie en bedrijfsprocessen ondersteunen",null,"De instelling werkt volgens een (informatie) architectuur waarin inzichtelijk is gemaakt hoe de IT-systemen en dataverzamelingen de bedrijfsstrategie en bedrijfsprocessen ondersteunen."]
[null,"De informatiearchitectuur is gebaseerd op internationaal geaccepteerde standaarden zoals TOGAF en DYA waarbij de daarin uitgewerkte aandachtsgebieden ook zijn bekeken vanuit een security perspectief.",null,"De informatiearchitectuur is gebaseerd op internationaal geaccepteerde standaarden zoals TOGAF en DYA."]
[null,"De instelling heeft een visie ontwikkeld waaruit blijkt hoe de ICT-systemen en organisatiestructuur zullen evolueren om de bedrijfsstrategie op (midden)lange termijn te ondersteunen; belangrijke afhankelijkheden van derden / partners zijn daarbij in kaart gebracht.",null,"De instelling heeft een visie ontwikkeld waaruit blijkt hoe de IT-systemen en organisatiestructuur zullen evolueren om de bedrijfsstrategie op (midden)lange termijn te ondersteunen; belangrijke afhankelijkheden van derden / partners zijn daarbij in kaart gebracht."]
[null,"In deze visie worden elementen van NIST ZERO Trust architectuur betrokken zoals het aanbrengen van een scheiding (logisch of mogelijk fysiek) van 1. De communicatiestromen die worden gebruikt om het netwerk en de applicatie/dienst te besturen en te configureren (control plane) en 2. De communicatiestromen die worden gebruikt om het eigenlijke werk van de organisatie uit te voeren (data plane).",null,null,null,"Zero Trust Architectuur"]
[null,"De instelling hanteert architectuurprincipes die erop zijn gericht dat informatie zo eenvoudig, flexibel, betrouwbaar en veilig mogelijk aan daartoe geautoriseerde medewerkers, klanten en derden beschikbaar wordt gesteld.",null,"De instelling hanteert architectuurprincipes die erop zijn gericht dat informatie zo eenvoudig, flexibel, betrouwbaar en veilig mogelijk aan daartoe geautoriseerde medewerkers, klanten en derden beschikbaar wordt gesteld"]
[]
[null,"2.2 Data classification scheme",null,"2.2 Data classification scheme"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het eigenaarschap van systemen en data is door het bestuur van de organisatie vastgesteld.",null,"Het eigenaarschap van systemen en data is door het management van de organisatie vastgesteld."]
[null,"De instelling heeft een data classificatiebeleid vastgesteld, waarbij alle relevante informatiebeveiligingsrisico’s waaraan zij zijn blootgesteld, worden geïdentificeerd, geclassificeerd en gemeten. ",null,"De instelling heeft een classificatiebeleid vastgesteld."]
[null,"De meting van de ICT-­ en beveiligingsrisico’s wordt uitgevoerd op basis van de vastgestelde ICT-­ en beveiligingsrisico criteria, waarbij rekening wordt gehouden met hoe kritiek de bedrijfsprocessen en ­activiteiten, bedrijfsfuncties, rollen en assets (zoals informatie­ en ICT­-assets), de omvang van bekende kwetsbaarheden en eerdere incidenten die invloed hebben gehad op de instelling, zijn",null,"IT­systemen en data zijn op een basis van een risicoanalyse ingedeeld in categorieën die de mate van beschikbaarheid, integriteit en vertrouwelijkheid (BIV) aangeeft.",null,"1) Classificatiemethode omvat ook 'hoe kritiek', de omvang, kwetsbaarheden en eerdere incidenten\n2) De meting van de BIV is op basis van vastgestelde criteria die aangeven hoe krtitiek het is."]
[null,"De methoden die worden gebruikt ter bepaling van hoe kritiek deze zijn waarborgen dat de beschermingsvereisten consistent en alomvattend zijn.",null,null,null,"Classificatiemethode moet borgen dat beschermingsvereisten consistent en alomvattend zijn"]
[null,"Op basis van bovenstaand classificatiebeleid worden relevante beveiligingsmaatregelen getroffen met betrekking tot toegang, versleuteling, opslag, retentie, opschoning, etc. ",null,"De instelling maakt gebruik van een classificatie­schema, op basis waarvan relevante beveiligings­maatregelen zijn getroffen met betrekking tot toegang, versleuteling, opslag, retentie, schoning, etc."]
[null,"De instelling controleert periodiek of medewerkers het classificatiebeleid naleven.",null,"De instelling controleert periodiek of medewerkers het classificatiebeleid naleven."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft een dataclassificatieschema opgesteld dat gebaseerd is op de risico’s aan de hand waarvan alle ICT-systemen en data worden ingedeeld in bijvoorbeeld Hoog/ Midden/Laag en Publiek/Vertrouwelijk/Geheim",null,"De instelling heeft een dataclassificatieschema (BIV) opgesteld dat gebaseerd is op de risico’s aan de hand waarvan alle IT-systemen en data worden ingedeeld in bijvoorbeeld Hoog/Midden/Laag en Publiek/ Vertrouwelijk/Geheim"]
[null,"Op basis van de classificatie treft de instelling beheersmaatregelen, zoals encrypted opslag van alle gegevens in de categorie Geheim.",null,"Op basis van de classificatie treft de instelling maatregelen, zoals encrypted opslag van alle gegevens in de categorie Geheim."]
[null,"De instelling heeft zicht op de datacenter locatie(s) waar haar bedrijfskritieke informatie is opgeslagen. Dit instelling stelt periodiek vast dat de locaties in overeenstemming zijn met haar informatiebeveiligingsbeleid.",null,"De instelling heeft zicht op de datacenter locatie(s) waar haar bedrijfskritieke informatie is opgeslagen. Dit instelling stelt periodiek vast dat de locaties in overeenstemming zijn met haar informatiebeveiligingsbeleid."]
[null,"De instelling monitort actief met behulp van DLP-tooling in hoeverre gevoelige data vanuit het bedrijfsnetwerk naar buiten wordt verzonden en of dat in overeenstemming is met de dataclassificatie.",null,"De instelling monitort actief met behulp van DLPsoftware in hoeverre gevoelige data vanuit het bedrijfsnetwerk naar buiten wordt verzonden en of dat in overeenstemming is met de dataclassificatie."]
[]
[null,"3.1 Risks and opportunities of future trends and regulations",null,"3.1 Monitor future trends and regulations"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur en risk zijn op de hoogte van de belangrijkste toepassingen van technologische ontwikkelingen en dreigingen en nemen de risico’s en kansen daarvan mee in hun besluitvorming.",null,"Ontwikkelingen in de sector worden gemonitord, onder meer op het gebied van cybersecurity.",null,"Bestuur moet actief op de hoogte zijn van belangrijkste technologische ontwikkelingen en dreigingen."]
[null,"Ontwikkelingen in de sector worden in kaart gebracht, onder meer op het gebied van cybersecurity, waarbij ook onderwerpen als ‘technologie’ en ‘risicomanagement’ betrokken worden. ",null,"De instelling wordt tijdig geïnformeerd over (cyber)dreigingen (Threat Intelligence).",null,"Ontwikkelingen in de sector in kaart brengen"]
[null,"De potentiële impact van al deze ontwikkelingen/dreigingen wordt gewogen, indien van toepassing worden passende beheersmaatregelen getroffen om risico’s te mitigeren.",null,"De potentiële impact van deze ontwikkelingen/dreigingen wordt gewogen, indien van toepassing worden passende maatregelen getroffen om risico’s te mitigeren."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"Medewerkers zijn actief op internetfora en/of geabonneerd op cybersecurity nieuwsbrieven.",null,"Medewerkers zijn actief op internetfora en/of geabonneerd op cybersecurity nieuwsbrieven."]
[null,"De instelling neemt een dienst af van een externe partij die gerichte security intelligence levert.",null,"De instelling neemt een dienst af van een externe partij die gerichte security intelligence levert."]
[null,"De instelling is lid van beroeps- en/of vakverenigingen of andere sectorale organisaties die kennis en ervaring uitwisselen op het gebied van cybersecurity zoals ISAC’s.",null,"De instelling is lid van beroeps- en/of vakverenigingen of andere sectorale organisaties die kennis en ervaring uitwisselen op het gebied van cybersecurity zoals ISAC’s."]
[null,"De instelling heeft contractuele afspraken gemaakt met kritieke of belangrijke uitbestedingspartners over samenwerking en informatieuitwisseling op het gebied van\ninformatiebeveiliging en cybersecurity.\n",null,"De instelling heeft contractuele afspraken gemaakt met belangrijke uitbestedingspartners over samenwerking en informatie uitwisseling op het gebied van informatiebeveiliging en cybersecurity."]
[null,"Ontwikkelingen op het gebied van Quantum technologie worden in kaart gebracht, zowel voor praktische toepassingen van Quantum op het gebied van beveiliging als voor risico’s die voortkomen uit Quantum technologie zoals risico’s op het gebied van cryptografie.",null,null,null,"Quantum technologie specifiek genoemd (https://www.ncsc.nl/documenten/publicaties/2023/september/18/maak-je-organisatie-quantumveilig)"]
[null,"De instelling volgt de toepassingen van nieuwe technologieën, zoals Artificial Intelligence en blockchain en heeft daarbij oog voor zowel kansen als risico's.",null,null,null,"Volgen van nieuwe technologieën"]
[null,"De instelling onderhoudt nauwe contacten met overheidsinstanties, die zich richten op cybersecurity zoals het NCSC of het Digital Trust Center.",null,null,null,"Onderhouden van contacten met overheidsinstanties"]
[]
[null,"3.2 Technology standards",null,"3.2 Technology standards"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling werkt volgens geaccepteerde (technische) standaarden op het gebied van informatiebeveiliging en cybersecurity. Deze zijn toegespitst op de aard, omvang en complexiteit van de instelling.",null,"De instelling werkt volgens geaccepteerde (technische) standaarden op het gebied van informatiebeveiliging en cybersecurity. Deze zijn toegespitst op de aard en omvang van de instelling."]
[null,"Het werken volgens standaarden is naar medewerkers gecommuniceerd; zij zijn bekend met de voor hun werkzaamheden relevante standaarden.",null,"Het werken volgens standaarden is naar medewerkers gecommuniceerd; zij zijn bekend met de voor hun werkzaamheden relevante standaarden."]
[null,"Nieuwe IT­systemen en wijzigingen in ICT­-systemen voldoen aan op de vastgestelde standaarden.",null,"Nieuwe IT­systemen en wijzigingen in IT­systemen voldoen aan op de vastgestelde standaarden."]
[null,"De instelling gaat na dat volgens de vastgestelde standaarden wordt gewerkt.",null,"De instelling gaat na dat volgens de vastgestelde standaarden wordt gewerkt."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling werkt volgens internationaal geaccepteerde standaarden voor informatiebeveiliging en cybersecurity, zoals bijvoorbeeld MITRE Att@CK framework, ISO27001/2, NIST cybersecurity framework, NCSC Guidelines en/of CIS Critical Security Controls.",null,"De instelling werkt volgens internationaal geaccepteerde standaarden voor informatiebeveiliging en cybersecurity, zoals bijvoorbeeld ISO27001/2, NIST cybersecurity framework en/of SANS."]
[null,"De standaarden zijn gecommuniceerd en bekend bij intern en ingehuurd personeel, zoals ICT-security officers, ICT-architecten, projectmanagers, software ontwikkelaars, functioneel- en technisch beheerders, ICT-riskmanagers en ICT-auditors.",null,"De standaarden zijn gecommuniceerd en bekend bij intern en ingehuurd personeel, zoals IT-security officers, IT-architecten, projectmanagers, software ontwikkelaars, functioneel- en technisch beheerders, IT-riskmanagers en IT-auditors."]
[null,"Van afwijkingen ten opzichte van security baselines wordt aan de hand van het beveiligingsrisico de opvolging bepaald.",null,null,null,"Afwijkingen tov security baseline een risico-bepaling (accepteren/mitigeren) opstellen"]
[null,"De ICT-security officer van de instelling beoordeelt nieuwe standaarden op het gebied van informatiebeveiliging en cybersecurity en doet voorstellen hoe deze de informatiebeveiliging en cybersecurity beheersmaatregelen van de instelling kunnen versterken.",null,"De IT-security officer van de instelling beoordeelt nieuwe standaarden op het gebied van informatiebeveiliging en cybersecurity en doet voorstellen hoe deze de informatiebeveiliging en cybersecurity maatregelen van de instelling kunen versterken."]
[null,"De door de instelling geformaliseerde ICT-architectuur en standaarden zijn van toepassing verklaard op de dienstverleners van de instelling. Periodiek wordt vastgesteld in hoeverre de dienstverleners hun ICT-omgeving conform deze standaarden hebben ingericht.",null,"De door de instelling geformaliseerde ITArchitectuur en standaarden zijn van toepassing verklaard op de dienstverleners van de instelling. Periodiek wordt vastgesteld dat de dienstverleners haar IT-omgeving conform deze standaarden heeft ingericht."]
[null,"De ICT-infrastructuur en het ICT-applicatielandschap wordt jaarlijks getoetst aan de meest actuele security baselines en marktstandaarden.",null,"De IT-infrastructuur en het IT-applicatielandschap wordt jaarlijks getoetst aan de meest actuele security baselines en marktstandaarden."]
[]
[null,"4.1 IT Risk Management framework",null,"4.1 IT Risk Management framework"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur heeft een risicomanagementcyclus ingericht en laat zich regelmatig informeren over informatiebeveiligingsrisico’s en cyberdreigingen. ",null,"Het IT­risk management framework sluit aan op het risk management raamwerk van de instelling.",null,"Verantwoordelijkheid bestuur voor inrichting risicomanagementcyclus; bestuur laat zich actief informeren over informatiebeveiligingsrisico's en cyberdreigingen"]
[null,"De instelling adresseert risico’s en beheersmaatregelen op het gebied van informatiebeveiliging en cybersecurity in het IT­risk management raamwerk in lijn van de eigen digitale operationele weerbaarheid strategie. ",null,"De instelling adresseert risico’s op het gebied van informatiebeveiliging en cybersecurity in het IT­risk management raamwerk.",null,"IT risk management raamwerk in lijn met digitale operationele weerbaarheidsstrategie"]
[null,"Het IT­risk management framework is onderdeel van het overall risk management raamwerk van de instelling. "]
[null,"De risicotoleranties ten aanzien van informatiebeveiliging en cybersecurity zijn bepaald en vastgelegd.",null,"De risicotoleranties ten aanzien van informatiebeveiliging en cybersecurity zijn bepaald en vastgelegd."]
[null,"Het bestuur stelt voldoende middelen beschikbaar om effectieve beheersmaatregelen te treffen op grond van het risicoprofiel van de instelling en de risicobereidheid van het bestuur. Het bestuur weegt periodiek af, en betrekt actief risk daarbij, in hoeverre een effectieve ‘mix’ van beheersmaatregelen – mensen, processen, techniek en faciliteiten – is getroffen om risico’s van de instellingen op het gebied van informatiebeveiliging en cybersecurity te mitigeren (vanuit een allesomvattende benadering). ",null,null,null,"Bestuur stelt voldoende middelen ter beschikking voor maatregelen;  Bestuur evalueert periodiek de effectiviteit van de mix van getroffen maatregelen"]
[null,"Het bestuur evalueert jaarlijks risico gebaseerd het gewenste/benodigde niveau van volwassenheid van de 58 beheersingsmaatregelen. ",null,null,null,"Bestuur evalueert jaarlijks gewenste/benodigde volwassenheidsniveau van 58 beheersingsmaatregelen (DNB Good Practice)"]
[null,"Het bestuur evalueert jaarlijks, en bij grote IT­gerelateerde incidenten, via een schriftelijk verslag over het resultaat van het IT­risk management raamwerk. Hierbij wordt rekening gehouden met actuele ontwikkelingen en risico’s. ",null,null,null,"Jaarlijkse evaluatie IT-risk management raamwerk door bestuur via schriftelijk verslag"]
[null,"Het IT­risk management raamwerk wordt regelmatig onderworpen aan (interne) audits.",null,null,null,"(is niet nieuw - deze causule bestond al in ander domein)"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling hanteert in haar IT-risk management framework eenduidige definities voor informatiebeveiliging en cybersecurity; deze zijn ontleend aan markt standaarden zoals NIST CF, ISO 27000 en CobiT en worden consistent binnen alle documenten en rapportages in het IT risk management framework gehanteerd.",null,"De instelling hanteert in haar IT-risk management framework eenduidige definities voor informatiebeveiliging en cybersecurity; deze zijn ontleend aan markt standaarden zoals NIST CF, ISO 27000 en CobiT en worden consistent binnen alle documenten en rapportages in het IT risk management framework gehanteerd."]
[null,"Verzekeraars verwerken risico’s in de ORSA pensioenfondsen in de ERB en banken in de ICAAP.De digitale operationele weerbaarheid strategie omvat de volgende elementen; \n- uitleg hoe het IT-risk management framework de bedrijfsstrategie en doelstellingen van de instelling ondersteunt \n- vaststelling van de risicotolerantielimiet voor IT-risico (in overeenstemming met de risicobereidheid) en een analyse van de impacttolerantie voor IT-verstoringen; \n- duidelijke doelstellingen voor informatiebeveiliging, met inbegrip van essentiële prestaties, indicatoren en belangrijke risicomaatstaven; \n- uitleg van de IT-referentiearchitectuur; \n- een schets van de verschillende beheersmaatregelen die zijn ingesteld of worden ingesteld om effecten van ITgerelateerde incidenten op te sporen, te beschermen en te voorkomen en zicht te krijgen hoe die met elkaar samenhangen; \n- het aantonen van de huidige digitale operationele weerbaarheid op basis van het aantal gemelde grote IT-gerelateerde incidenten en de effectiviteit van preventieve beheersmaatregelen; \n- het uitstippelen van een communicatiestrategie in het geval van IT-gerelateerde incidenten. Actuele cyberdreigingen zoals malware, ransomware, DDoS aanvallen en phishing maken deel uit van het risk management raamwerk.",null,"Actuele cyberdreigingen zoals malware, cryptoware, DDoS aanvallen en phishing maken deel uit van het risk management raamwerk.",null,"Digitale operationele strategie toegevoegd"]
[null,"In de keten van uitbestede diensten werken partijen in overeenstemming met het IT risk management framework van de instelling.",null,null,null,"In de keten voldoet men IT risk management framework van de instelling."]
[null,"De instelling beoordeelt periodiek in hoeverre partijen aan wie activiteiten/systemen zijn uitbesteed, werken in overeenstemming met het IT-risk management framework van de instelling.",null,"De instelling beoordeelt periodiek in hoeverre partijen aan wie activiteiten/systemen zijn uitbesteed, werken in overeenstemming met het ITrisk management framework van de instelling."]
[null,"De instelling verkrijgt op grond van interne rapportages en rapportages van dienstverleners een integraal beeld van de beheersing van de risico’s in de keten op het gebied van informatiebeveiliging en cybersecurity.",null,"De instelling verkrijgt op grond van interne rapportages en rapportages van dienstverleners een integraal beeld van de beheersing van de risico’s op het gebied van informatiebeveiliging en cybersecurity."]
[null,"De taken van het controleren van de naleving van de ITrisicobeheervereisten kunnen worden uitbesteed aan intra groeps- of externe ondernemingen. Bij een dergelijke uitbesteding blijft de instelling eind verantwoordelijk.",null,null,null,"Uitbesteding is mogelijk."]
[]
[null,"4.2 Risk assessment",null,"4.2 Risk assessment"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur gaat periodiek na in hoeverre de risico’s die de instelling loopt op het gebied van informatiebeveiliging en cybersecurity zich bevinden binnen de door het bestuur vastgestelde risicotoleranties. Ook in het geval dat belangrijke werkzaamheden zijn uitbesteed bij dienstverleners.",null,"De instelling voert periodiek IT­risicoanalyses uit op basis van kwalitatieve en kwantitatieve methoden.",null,"Bestuur kijkt periodiek expliciet naar risico's versus risicotolerantie; Uitbestede werkzaamheden hierin ook betrekken"]
[null,"De instelling voert regelmatig of ten minste één maal per jaar, en bij elke belangrijke wijziging in de infrastructuur of relevante processen, IT­risicoanalyses uit op basis van kwalitatieve en kwantitatieve methoden. Daarbij neemt ze nadrukkelijk ook haar verouderde en legacy systemen mee. Als belangrijk input voor de risicoanalyse wordt eerst het gespecificeerde dreigingsbeeld van de instelling in kaart gebracht of geüpdatet. ",null,null,null,"Jaarijkse IT-risicoanalyses uitvoeren op basis van kwalitatieve en kwantitatieve methoden. Nadrukkelijk ook verouderde en legacy systemen betrekken, en actueel dreigingsbeeld."]
[null,"De kans en impact van inherente risico’s op het gebied van informatiebeveiliging en van restrisico’s worden hierbij in kaart gebracht. ",null,"De kans en impact van inherente risico’s op het gebied van informatiebeveiliging en van restrisico’s worden hierbij in kaart te gebracht."]
[null,"Actuele cyberdreigingen waaronder ook op het gebied van Quantum technologie worden meegenomen in de IT­risicoanalyses en het dreigingsbeeld.",null,"Actuele cyberdreigingen worden meegenomen in de IT­risicoanalyses.",null,"Dreigingen door Quantum technologie expliciet bekijken"]
[null,"De instelling stelt op basis van haar risicobeoordeling beheersmaatregelen vast, voert die uit en toetst periodiek hun effectiviteit om de geïdentificeerde IT­ en beveiligingsrisico’s te beheren en de informatie­assets te beschermen in overeenstemming met hun classificatie ",null,null,null,"(is niet nieuw - gebeurt al obv andere domeinen)"]
[null,"Restrisico’s worden ter (tijdelijke) acceptatie voorgelegd op het management niveau dat past bij de aard en omvang van het restrisico.",null,"Restrisico’s worden ter (tijdelijke) acceptatie voorgelegd op het management niveau dat past bij de aard en omvang van het restrisico."]
[null,"Geaccepteerde restrisico’s worden periodiek opnieuw geëvalueerd en opnieuw ter acceptatie aangeboden wanneer zij buiten de risicotolerantie van de instelling vallen.",null,"Geaccepteerde restrisico’s worden periodiek opnieuw geëvalueerd en opnieuw ter acceptatie aangeboden wanneer zij buiten de risicotolerantie van de instelling vallen."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling voert jaarlijks een IT-risicoanalyse uit met alle voor de analyse relevante stakeholders binnen de instelling. Op basis hiervan worden actuele cyberdreigingen gewogen en geprioriteerd.",null,"De instelling voert jaarlijks een IT-risicoanalyse uit met alle voor de analyse relevante stakeholders binnen de instelling. Op basis hiervan worden actuele cyberdreigingen gewogen en geprioriteerd."]
[null,"De instelling brengt daartoe haar bedrijfsprocessen en -activiteiten, bedrijfsfuncties, rollen en assets (zoals informatie en IT-assets) in kaart en werkt die regelmatig bij, om daarvan het belang voor IT- en beveiligingsrisico’s vast te stellen en de onderlinge afhankelijkheden te bepalen",null,null,null,"Bedrijfsprocessen, - activiteiten, bedrijfsfuncties, rollen en assets moeten in kaart gebracht zijn."]
[null,"De instelling voert daarnaast regelmatig en ten minste jaarlijks een specifieke IT-risicobeoordeling uit op alle legacy Itsystemen",null,null,null,"Jaarlijkse specifieke IT-risicobeoordeling uitvoeren."]
[null,"Om haar eigen dreigingsbeeld in kaart te brengen maakt de instelling gebruik van verschillende externe en interne bronnen en van threat intelligence, zoals het One Financial Threat Landscape ort he Netherlands (1FTL-NL),",null,null,null,"Eigen dreigingsbeeld opstellen, maak gebruik van sectorinitiatieven."]
[null,"De instelling brengt haar ‘kritieke economische functies’ cq ‘kroonjuwelen’ in kaart, evalueert deze periodiek en relateert deze aan actuele cyberdreigingen en getroffen beheersmaatregelen. Daar waar nodig treft de instelling aanvullende beheersmaatregelen. Beheersmaatregelen die niet (meer) effectief werken worden aangepast, vervangen door andere beheersmaatregelen, of uitgefaseerd.",null,"De instelling brengt haar ‘kroonjuwelen’ in kaart, evalueert deze periodiek en relateert deze aan actuele cyberdreigingen en getroffen beheersingsmaatregelen. Daar waar nodig treft de instelling aanvullende beheersingsmaatregelen. Maatregelen die niet (meer) effectief werken worden aangepast, vervangen door andere maatregelen of uitgefaseerd."]
[null,"De instelling beoordeelt periodiek de risicoanalyses van partijen in de keten op relevantie en stelt vast in hoeverre deze voldoen aan de eisen van de instelling",null,"De instelling beoordeelt periodiek de risicoanalyses van partijen in de keten op relevantie en stelt vast in hoeverre deze voldoen aan de eisen van de instelling."]
[null,"De gewogen en geprioriteerde risico’s op het gebied van informatiebeveiliging en cyberdreigingen worden door de instelling geadresseerd en beperkt naar een acceptabel niveau dat past bij de risicotolerantie van de instelling.",null,"De gewogen en geprioriteerde risico’s op het gebied van informatiebeveiliging en cyberdreigingen worden door de instelling geadresseerd en beperkt naar een acceptabel niveau dat past bij de risicotolerantie van de instelling."]
[null,"De instelling maakt een Cryptografie risk assessment voor de korte (nu-1 jaar), middel (1-5 jaar), en lange (5+ jaar) termijn dreigingen met mogelijke beheersmaatregelen voor het gehele cryptografie landschap van de instelling",null,null,null,"Jaarlijks uitvoeren crypto risk assessment, irt quantum."]
[null,"De instelling maakt een jaarlijkse update van deze Cryptografie Risk Assessment",null,null,null,"Jaarlijkse update maken voor crypto risk assessment"]
[null,"De instelling bespreekt de inventarisatie in het kader van de risk management cylce op niveau van het bestuur",null,null,null,"Bestuur neemt de lead."]
[]
[null,"4.3 Maintenance and monitoring of a risk action plan",null,"4.3 Maintenance and monitoring of a risk action plan"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling stelt voor niet geaccepteerde risico’s een ‘risk action plan’ op dat verdere uitwerking geeft aan de risk response. ",null,"De instelling stelt voor niet geaccepteerde risico’s een ‘risk action plan’ op dat verdere uitwerking geeft aan de risk response."]
[null,"In dit risk action plan zijn onder meer rest risico’s en de daarvoor benodigde compenserende beheersmaatregelen opgenomen. Deze beheersmaatregelen worden in samenhang met de andere te nemen informatiebeveiliging­maatregelen afgewogen en geprioriteerd ingevoerd.",null,"In dit risk action plan zijn onder meer rest risico’s en compenserende maatregelen opgenomen.",null,"(minimale toevoeging - geen feitelijke impact)"]
[null,"Restrisico’s op het gebied van cybersecurity zijn onderdeel van het ‘risk action plan’ van de instelling. ",null,"Restrisico’s op het gebied van cybersecurity zijn onderdeel van het ‘risk action plan’ van de instelling."]
[null,"Het risk action plan wordt geaccordeerd door het management niveau dat past bij de aard, omvang en complexiteit van de restrisico’s.",null,"Het risk action plan wordt geaccordeerd door het management niveau dat past bij de aard en omvang van het restrisico’s."]
[null,"Het risk action plan is actueel; opvolging van de acties wordt bewaakt.",null,"Het risk action plan is actueel; opvolging van de acties wordt bewaakt."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft voor actuele cyberdreigingen expliciet gemaakt welke risico’s formeel worden geaccepteerd en voor welke restrisico’s aanvullende beheersmaatregelen noodzakelijk zijn.",null,"De instelling heeft voor actuele cyberdreigingen expliciet gemaakt welke risico’s formeel worden geaccepteerd en voor welke restrisico’s aanvullende maatregelen noodzakelijk zijn."]
[null,"Beoogde acties op het gebied van cybersecurity en de status van uitvoering zijn beschreven in het risk action plan. Afwijkingen ten opzichte van de oorspronkelijke planning worden periodiek gerapporteerd aan het verantwoordelijk management niveau dat past bij de aard, omvang en complexiteit van deze restrisico’s. . De instelling laat het lijnmanagement jaarlijks een ‘in control’ statement (ICS) opstellen.",null,"Beoogde acties op het gebied van cybersecurity en de status van uitvoering zijn beschreven in het risk action plan. Afwijkingen ten opzichte van de oorspronkelijke planning worden periodiek gerapporteerd aan het senior management. De instelling laat het lijnmanagement jaarlijks een ‘in control’ statement (ICS) opstellen."]
[null,"De instelling legt periodiek de (her)prioritering van de informatiebeveiliging-maatregelen vast en geeft akkoord op inzet van de rescources. Hierbij wordt de afweging vastgelegd waarom tot welke prioritering is over gegaan.",null,null,null,"Periodieke (her)prioritering van de informatiebeveiliging-maatregelen en akkoord op inzet resources."]
[null,"De instelling beoordeelt op periodieke basis de risk action plannen van dienstverleners in de keten op relevantie en stelt vast dat deze voldoen aan de eisen van de instelling. Bij afwijkingen maakt de instelling afspraken met die partijen om het risico te beperken naar een acceptabel niveau dat past binnen de risicotolerantie van de instelling.",null,"De instelling beoordeelt op periodieke basis de risk action plannen van dienstverleners in de keten op relevantie en stelt vast dat deze voldoen aan de eisen van de instelling. Bij afwijkingen maakt de instelling afspraken met die partijen om het risico te beperken naar een acceptabel niveau dat past binnen de risicotolerantie van de instelling."]
[null,"De instelling neemt op periodieke basis in haar risk action plannen die controls mee waarbij de dienstverleners niet aan de informatiebeveiliging-eisen van de instelling kan voldoen. De instelling neemt aanvullende beheersmaatregelen als dat nodig is.",null,null,null,"Maatregelen nemen op controls/beheersmaatregelen waar dienstverlener niet aan voldoet. "]
[]
[null,"5.1 Responsibility for risk, security, compliance and Information Security function",null,"5.1 Responsibility for risk, security and compliance",null,"Informatiebeveiligingsfunctie inrichten"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur heeft taken en verantwoordelijkheden op het gebied van het inrichten, beheren en controleren van informatiebeveiliging en cybersecurity belegd. ",null,"De eindverantwoordelijkheid voor de beheersing van informatiebeveiligingsrisico’s (inclusief cybersecurity risico’s) is belegd op het hoogste management niveau binnen de instelling."]
[null,"Het bestuur draagt actief en zichtbaar het belang uit van informatiebeveiliging en cybersecurity voor de instelling en haar dienstverleners.",null,"Taken en verantwoordelijkheden voor de risicobeheer­ en informatiebeveiligingsfunctie zijn geformaliseerd en gedocumenteerd.",null,"Uitdragen (actief en zichtbaar) van belang informatiebeveiliging en cybersecurity door bestuur"]
[null,"Binnen de instelling heerst een bewustzijnscultuur met betrekking tot de verantwoordelijkheid van de medewerkers om beveiligingsprocessen en ­procedures na te leven en te onderhouden.",null,"Binnen de instelling heerst een bewustzijnscultuur met betrekking tot de verantwoordelijkheid van de medewerkers om beveiligingsprocessen en ­procedures na te leven en te onderhouden."]
[null,"De instelling zet, binnen haar governancesysteem en in overeenstemming met het evenredigheidsbeginsel, een informatiebeveiligingsfunctie op, waarbij de verantwoordelijkheden zijn toegewezen aan een specifieke medewerker. ",null,null,null,"Informatiebeveiligingsfunctie opzetten, specifieke medewerker verantwoordelijk. "]
[null,"De instelling zorgt dat de onafhankelijkheid en objectiviteit van deze informatiebeveiligingsfunctie is gewaarborgd door deze op passende wijze te scheiden van verantwoordelijkheden voor processen inzake IT­activiteiten en bedrijfsvoering. ",null,null,null,"Onafhankelijkheid en objectiviteit van informatiebeveiligingsfunctie waarborgen"]
[null,"De informatiebeveiligingsfunctie rapporteert aan het bestuur.",null,null,null,"Rapporteren aan bestuur"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"Het bestuur van de instelling draagt het belang van informatiebeveiliging en cybersecurity zichtbaar en actief uit.",null,"Het bestuur van de instelling draagt het belang van informatiebeveiliging en cybersecurity zichtbaar en actief uit."]
[null,"De instelling heeft taken, verantwoordelijkheden en bevoegdheden ten aanzien van informatiebeveiliging belegd op alle organisatieniveaus.",null,"De instelling heeft taken, verantwoordelijkheden en bevoegdheden ten aanzien van informatiebeveiliging belegd op alle organisatieniveaus."]
[null,"De instelling heeft een Chief Information Security Officer (CISO) benoemd die rechtstreeks rapporteert aan het hoogste management.",null,"De instelling heeft een Chief Information Security Officer (CISO) benoemd die rechtstreeks rapporteert aan het hoogste management."]
[null,"Specifieke verantwoordelijkheden op het gebied van informatiebeveiliging en cybersecurity beheersmaatregelen zijn belegd bij een Computer Emergency Response Team (CERT) of Security Operations Center (SOC).",null,"Specifieke verantwoordelijkheden op het gebied van informatiebeveiliging en cybersecurity maatregelen zijn belegd bij een Computer Emergency Response Team (CERT) of Security Operations Center (SOC)."]
[null,"De instelling gaat zowel bij het aangaan van kritieke uitbestedingsrelaties als bij het monitoren van die relaties na dat bovenstaande punten van toepassing zijn bij haar ketenpartners.",null,"De instelling gaat zowel bij het aangaan van kritische uitbestedingsrelaties als bij het monitoren van die relaties na dat bovenstaande punten van toepassing zijn bij haar ketenpartners."]
[]
[null,"5.2 Management of information security and tasks of the information security function",null,"5.2 Management of information security",null,"Taken Informatiebeveiligingsfunctie"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling heeft een informatiebeveiligingsfunctie ingericht.",null,null,null,"Informatiebeveiligingsfunctie opzetten "]
[null,"De taken van de informatiebeveiligingsfunctie zien ten minste op:  \na. het ondersteunen van het bestuur bij het opstellen en bijhouden van het informatiebeveiligingsbeleid de controle van de uitrol en implementatie daarvan; \nb. het aan het bestuur regelmatig en op ad­hoc basis verslag uitbrengen en advies geven over de status van de informatiebeveiliging en de ontwikkelingen ervan; \nc. het monitoren en beoordelen van de uitvoering van de informatiebeveiligingsmaatregelen; \nd. het zorgen dat aan de vereisten op het gebied van informatiebeveiliging wordt voldaan in het geval dat werkzaamheden zijn uitbesteed aan dienstverleners; \ne. het waarborgen dat alle medewerkers en dienstverleners die toegang hebben tot informatie en systemen, op passende wijze zijn geïnformeerd over de beleidslijnen voor informatiebeveiliging; \nf. het coördineren van onderzoek naar operationele of beveiligingsincidenten en de relevante incidenten rapporteren aan het bestuur.",null,null,null,"Minimaal takenpakket Informatiebeveiligingsfunctie"]
[null,null,null,"De instelling heeft een Plan­do­check­act cyclus voor de beheersing van de risico’s t.a.v. informatiebeveiliging en cybersecurity ingericht."]
[null,null,null,"De uitvoering van de cyclus vindt risico gebaseerd plaats en is afgestemd op de doelstellingen van de instelling en in overeenstemming met de risicotolerantie van de instelling."]
[null,null,null,"Zowel de 1e, 2e en 3e lijn zijn actief betrokken bij de totstandkoming en het onderhoud van Plan­do­check­act cyclus voor de beheersing van informatiebeveiliging en cybersecurity; formele rapportagelijnen zijn ingericht."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"Het uitrollen van opleidings- en bewustmakingssessies over informatiebeveiliging voor medewerkers",null,null,null,"Het uitrollen van opleidings- en bewustmakingssessies "]
[null,"Voor de inrichting van informatiebeveiliging en cybersecurity maakt de instelling gebruik van internationaal geaccepteerde standaarden, zoals de ISO 27000 serie.",null,"Voor de inrichting van informatiebeveiliging en cybersecurity maakt de instelling gebruik van internationaal geaccepteerde standaarden, zoals de ISO 27000 serie."]
[null,"Informatiebeveiliging (inclusief cybersecurity) is onderdeel van het takenpakket van zowel de 1e lijn, 2e als 3e lijn. Dit komt tot uitdrukking in organisatieschema’s en functiebeschrijvingen.",null,"Informatiebeveiliging (inclusief cybersecurity) is onderdeel van het takenpakket van zowel de 1e lijn, 2e als 3e lijn. Dit komt tot uitdrukking in organisatieschema’s en functiebeschrijvingen."]
[null,"De instelling voert regelmatig overleg met haar dienstverleners op verschillende niveaus over de beheersing van risico’s op het gebied van informatiebeveiliging en cybersecurity. De instelling maakt hiervan een vastlegging.",null,"De instelling voert regelmatig overleg met haar dienstverleners over de beheersing van risico’s op het gebied van informatiebeveiliging en cybersecurity. Hierin wordt nagegaan op welke punten in de keten verbeteringen noodzakelijk zijn (PDCA cyclus)."]
[null,"Hierin wordt nagegaan op welke punten in de keten verbeteringen en/of acties noodzakelijk zijn (PDCA cyclus De opvolging van deze acties wordt gevolgd",null,null,null,"PDCA Cyclus - Al benoemd in de GP 2019-2020"]
[null,"Zowel vanuit de 1e, 2e als 3e lijn (bij de instelling en bij de dienstverleners) wordt input gegeven aan deze periodieke bespreking.",null,"Zowel vanuit de 1e, 2e als 3e lijn (bij de instelling en bij de dienstverleners) wordt input gegeven aan deze periodieke bespreking."]
[null,"Over de beheersing van risico’s op het gebied van informatiebeveiliging en cybersecurity wordt regelmatig door de informatiebeveiligingsfunctie verantwoording afgelegd aan het bestuur/directie van de instelling.",null,"Over de beheersing van risico’s op het gebied van informatiebeveiliging en cybersecurity wordt regelmatig verantwoording afgelegd aan het bestuur/directie van de instelling"]
[]
[null,"6.1 Data and system ownership",null,"6.1 Data and system ownership"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het eigenaarschap van alle gegevens en informatiesystemen die de instelling gebruikt bij haar bedrijfsvoering is eenduidig belegd.",null,"Het eigenaarschap van alle gegevens en informatiesystemen die de instelling gebruikt bij haar bedrijfsvoering is eenduidig belegd."]
[null,"Gegevens en informatiesystemen zijn door de systeemeigenaar geclassificeerd.  Beheersmaatregelen zijn in overeenstemming met deze classificatie bepaald. Zie beheersmaatregel 2.2.",null,"Gegevens en informatiesystemen zijn door de systeemeigenaar geclassificeerd. Beheersingsmaatregelen zijn in overeenstemming met deze classificatie bepaald. Zie beheersings­maatregel 2.2."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heef in een beleidsdocument uitgangspunten geformuleerd ten aanzien van eigenaarschap, bewaarlocaties, bewaartermijnen en van toepassing zijnde wet- en regelgeving.",null,"De instelling heef in een beleidsdocument uitgangspunten geformuleerd ten aanzien van eigenaarschap, bewaarlocaties, bewaartermijnen en van toepassing zijnde wet- en regelgeving."]
[null,"De instelling houdt een overzicht bij van alle informatiesystemen, gegevens en de daarvoor verantwoordelijke eigenaren.",null,"De instelling houdt een overzicht bij van alle informatiesystemen, gegevens en de daarvoor verantwoordelijke eigenaren."]
[null,"De instelling heeft voor uitbestede ICT-systemen en clouddiensten overeenkomsten met de clouddienstverleners afgesloten. Hierin is vastgesteld wie de eigenaar is van de gegevens en de informatiesystemen en waar deze zich bevinden.",null,"De instelling heeft voor uitbestede IT-systemen en clouddiensten overeenkomsten met de clouddienstverleners afgesloten. Hierin is vastgesteld wie de eigenaar is van de gegevens en de informatiesystemen en waar deze zich bevinden."]
[null,"De instelling heeft gedragsregels opgesteld en gecommuniceerd waarin staat dat medewerkers zorgvuldig omgaan met gegevens (veilig omgaan met e-mail en clean desk policy). Op naleving van de gedragsregels wordt toegezien.",null,"De instelling heeft gedragsregels opgesteld en gecommuniceerd waarin staat dat medewerkers zorgvuldig omgaan met gegevens (veilig omgaan met e-mail en clean desk policy). Op naleving van de gedragsregels wordt toegezien."]
[null,"De instelling heeft toegang tot klantdossiers beperkt op basis van whitelisting op dossier/klantniveau. Specifieke dataelementen zijn afgeschermd, zoals bijzondere persoonsgegevens en inkomensgegevens. Het raadplegen van dossiers wordt gelogd; de logging wordt periodiek gereviewd en uitzonderingen worden uitgezocht met de data eigenaar.",null,null,null,"1) beperking toegang tot klantdossiers / dataelementen \n2) logging en monitoring"]
[]
[null,"7.1 Segregation of duties",null,"7.1 Segregation of duties"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur ziet er op toe dat ongewenste functie­vermengingen (toxic combinations) en de daarmee samenhangende risico’s door de instelling worden vermeden ook in het geval dat kritieke of belangrijke werkzaamheden zijn uitbesteed. ",null,null,null,"Bestuur ziet actief toe op vermijden toxic combinations (functie-vermengingen), en kijkt hierbij ook naar uitbestede werkzaamheden."]
[null,"Functiescheidingen zijn gebaseerd op de inrichting van de AO/IC van de instelling.",null,"Functiescheidingen zijn gebaseerd op de inrichting van de AO/IC van de instelling."]
[null,"Functiescheidingen zijn verder uitgewerkt op basis van een risicoanalyse, geïmplementeerd en goedgekeurd door het senior management.",null,"Functiescheidingen zijn verder uitgewerkt op basis van een risicoanalyse, geïmplementeerd en goedgekeurd door het senior management."]
[null,"Bij het definiëren en implementeren van functiescheiding zijn de principes “need­to­know” en “least privileged” als uitgangspunt gebruikt en is het concept meegenomen dat kritieke taken en functies over meer dan 1 persoon zijn verdeeld.",null,"Bij het definiëren en implementeren van functiescheiding zijn de principes “need­to­know” en “least privileged” als uitgangspunt gebruikt en is het concept meegenomen dat kritieke taken en functies over meer dan 1 persoon zijn verdeeld."]
[null,"De implementatie van relevante procedures ten aanzien van functiescheiding worden periodiek beoordeeld en herzien indien nodig.",null,"De implementatie van relevante procedures ten aanzien van functiescheiding worden periodiek beoordeeld en herzien indien nodig."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft een formeel vastgestelde norm voor functiescheidingen in de vorm van een autorisatiematrix opgesteld.",null,"De instelling heeft een formeel vastgestelde norm voor functiescheidingen in de vorm van een autorisatiematrix opgesteld."]
[null,"Aan de hand van de autorisatiematrix (soll) controleert de instelling periodiek of autorisaties conform de vereisten van functiescheiding in de IT-systemen (ist) zijn afgedwongen (soll-ist vergelijking).",null,"Aan de hand van de autorisatiematrix (soll) controleert de instelling periodiek of autorisaties conform de vereisten van functiescheiding in de IT-systemen (ist) zijn afgedwongen (soll-ist vergelijking)."]
[null,"De implementatie van functiescheidingen in IT-systemen wordt periodiek beoordeeld. Nadat majeure wijzigingen in IT-systemen zijn aangebracht vindt een tussentijdse beoordeling plaats.",null,"De implementatie van functiescheidingen in IT-systemen wordt periodiek beoordeeld. Nadat majeure wijzigingen in IT-systemen zijn aangebracht vindt een tussentijdse beoordeling plaats."]
[null,"De instelling heeft op basis van een risico gebaseerde benadering niet alleen de gewenste functiescheidingen per applicatie in kaart, maar nadrukkelijk ook per proces indien dit proces wordt ondersteund door meerdere applicaties. Dit voorkomt dat functiescheidingen op procesniveau kunnen worden doorbroken, terwijl deze per individuele applicatie in het proces wel conform de eisen zijn ingericht",null,"De instelling heeft op basis van een risico gebaseerde benadering niet alleen de gewenste functiescheidingen per applicatie in kaart, maar nadrukkelijk ook per proces indien dit proces wordt ondersteund door meerdere applicaties. Dit voorkomt dat functiescheidingen op procesniveau kunnen worden doorbroken, terwijl deze per individuele applicatie in het proces wel conform de eisen zijn ingericht."]
[null,"De instelling minimaliseert het aantal accounts met hoge rechten. Met een dergelijke aanpak kunnen ongewenste functievermengingen (toxic combinations) en de daarmee samenhangende risico’s, worden vermeden.",null,"De instelling minimaliseert het aantal accounts met hoge rechten. Met een dergelijke aanpak kunnen ongewenste functievermengingen (toxic combinations) en de daarmee samenhangende risico’s, worden vermeden."]
[null,"De instelling is alert op het voorkomen dat rollen van projectmedewerkers conflicteren met hun rol in de uitvoering van hun lijntaken. Uitzonderingen worden gedetecteerd en ter (tijdelijke) acceptatie voorgelegd aan het management.",null,"De instelling is alert op het voorkomen dat rollen van projectmedewerkers conflicteren met hun rol in de uitvoering van hun lijntaken. Uitzonderingen worden gedetecteerd en ter (tijdelijke) acceptatie voorgelegd aan het management."]
[null,"Voor accounts met hoge rechten (bijvoorbeeld beheerdersaccounts) past de instelling two-factor authenticatie toe.",null,"Voor accounts met hoge rechten (bijvoorbeeld beheerdersaccounts) past de instelling two-factor authenticatie toe."]
[null,"De instelling staat het gebruik van generieke en gedeelde accounts niet toe; voor uitzonderingen op deze regel tekent senior management af.",null,"De instelling staat het gebruik van generieke en gedeelde accounts niet toe; voor uitzonderingen op deze regel tekent senior management af."]
[null,"De functiescheiding wordt ondersteund door een adequaat Identity and Access Managementsysteem (IAM), zie ook de controls 17.1 en 17.2.",null,"De functiescheiding wordt ondersteund door een adequaat Identity and Access Managementsysteem (IAM), zie ook de controls 17.1 en 17.2."]
[]
[null,"8.1 Personnel recruitment and retention",null,"8.1 Personnel recruitment and retention"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling trekt voldoende medewerkers aan met ervaring en kennis van informatiebeveiliging en cybersecurity die past bij de ambitie en het risicoprofiel van de instelling.",null,"De instelling trekt medewerkers aan met kennis van informatiebeveiliging en cybersecurity die past bij de ambitie en het risicoprofiel van de instelling."]
[null,"De instelling investeert in het op peil houden van het kennisniveau van medewerkers door middel van opleidingen en trainingen op het gebied van informatiebeveiliging en cybersecurity.",null,"De instelling investeert in het op peil houden van het kennisniveau van medewerkers door middel van opleidingen en trainingen op het gebied van informatiebeveiliging en cybersecurity."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft overeenkomsten gesloten met gespecialiseerde partijen om kennis van haar medewerkers en beleidsbepalers op het gebied van informatiebeveiliging en cybersecurity actueel te houden.",null,"De instelling heeft overeenkomsten gesloten met gespecialiseerde partijen om kennis van haar medewerkers en beleidsbepalers op het gebied van informatiebeveiliging en cybersecurity actueel te houden."]
[null,"De instelling heeft een gap analyse opgesteld waaruit blijkt hoe zij in de toekomst het kennisniveau op het gebied van informatiebeveiliging en cybersecurity van haar medewerkers up-to-date houdt.",null,"De instelling heeft een gap analyse opgesteld waaruit blijkt hoe zij in de toekomst het kennisniveau op het gebied van informatiebeveiliging en cybersecurity van haar medewerkers up-to-date houdt."]
[null,"Het bestuur is zich voldoende bewust en handelt daarnaar, dat zij zelf het doelwit van een aanval kunnen zijn.",null,null,null,"Bewustzijn bestuur en hierna handelen."]
[]
[null,"8.2 Personnel competencies and culture",null,"8.2 Personnel competencies",null,"Cultuur expliciet benoemd"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur, raad van toezicht, raad van commissarissen en sleutelfunctiehouders hebben aantoonbaar trainingen en opleidingen gevolgd om de belangrijkste IT­risico’s en beheersmaatregelen voor hun instelling te kunnen begrijpen.",null,null,null,"Aantoonbare training en opleiding van bestuur, RvC en SFH voor begrijpen IT-risico's en beheersmaatregelen."]
[null,"Het bestuur vertoont goed voorbeeldgedrag ten aanzien van bewustzijn voor risico’s op het gebied van informatiebeveiliging en cybersecurity en het naleven van procedures die de informatiebeveiliging borgen (tone­at­the­top).",null,null,null,"Voorbeeldgedrag bestuur bij naleven informatiebeveiliging (tone-at-the-top)."]
[null,"Zogeheten ‘management overrides’ van bestaande processen en procedures door het bestuur en senior management worden waar mogelijk vermeden. ",null,null,null,"Management overrides van processen/procedures waar mogelijk vermijden."]
[null,"Kennis en competenties van medewerkers en beleidsbepalers op het gebied van informatiebeveiliging en cybersecurity sluiten aan bij de (digitale) ambities van de instelling.",null,"Kennis en competenties van medewerkers en beleidsbepalers op het gebied van informatiebeveiliging en cybersecurity sluiten aan bij de (digitale) ambities van de instelling."]
[null,"Periodiek gaat de instelling na in hoeverre de kennis en competenties van medewerkers en beleidsbepalers op het gebied van informatiebeveiliging en cybersecurity (nog) aansluiten bij de (digitale) ambities van de instelling.",null,"Periodiek wordt nagegaan in hoeverre de kennis en competenties van medewerkers en beleidsbepalers op het gebied van informatiebeveiliging en cybersecurity (nog) aansluiten bij de (digitale) ambities van de instelling."]
[null,"De instelling brengt bij grote incidenten door middel van root cause analyses in kaart in hoeverre de cultuur cq de gedragingen van bepaalde medewerkers heef bijgedragen aan het incident. Naar aanleiding van deze analyse worden mitigerende beheersmaatregelen ingericht.",null,null,null,"Bij root cause analyses van incidenten ook kijken naar cultuur / gedragingen van personen."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"Budgetten voor permanente educatie op gebied van informatiebeveiliging en cybersecurity zijn vastgesteld en toereikend.",null,"Budgetten voor permanente educatie op gebied van informatiebeveiliging en cybersecurity zijn vastgesteld en toereikend."]
[null,"Beleidsbepalers binnen de instelling beschikken ten minste over basiskennis van informatiebeveiliging en cybersecurity. Zij hebben aantoonbaar trainingen en opleidingen gevolgd om de belangrijkste ICT-risico’s en beheersmaatregelen voor hun instelling te kunnen begrijpen.",null,"Beleidsbepalers binnen de instelling beschikken ten minste over basiskennis van informatiebeveiliging en cybersecurity. Zij hebben aantoonbaar trainingen en opleidingen gevolgd om de belangrijkste IT-risico’s en beheersingsmaatregelen voor hun instelling te kunnen begrijpen."]
[null,"In functiebeschrijvingen is opgenomen welke kennis en competenties van medewerkers ten aanzien van informatiebeveiliging en cybersecurity wordt verwacht.",null,"In functiebeschrijvingen is opgenomen welke kennis en competenties van medewerkers ten aanzien van informatiebeveiliging en cybersecurity wordt verwacht."]
[null,"De instelling heeft een opleidingsplan uitgewerkt op grond waarvan de kennis van cybersecurity experts bijblijft bij actuele ontwikkelingen rondom cyberdreigingen. De realisatie van dit plan wordt gemonitord.",null,"De instelling heeft een opleidingsplan uitgewerkt op grond waarvan de kennis van cybersecurity experts bijblijft bij actuele ontwikkelingen rondom cyberdreigingen. De realisatie van dit plan wordt gemonitord."]
[null,"De instelling heeft in een root cause analyse cultuuraspecten (bijvoorbeeld slordigheden, ontevreden medewerkers) op bepaalde afdelingen waar incident(en) hebben plaats gevonden betrokken.",null,null,null,"Bij root cause analysis van incidenten ook kijken naar cultuur / gedragingen van personen"]
[]
[null,"8.3 Dependence upon individuals",null,"8.3 Dependence upon individuals"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling heeft geïnventariseerd op welke voor de uitoefening van haar bedrijf kritieke processen/activiteiten zij afhankelijk is van een beperkt aantal medewerkers.",null,"De instelling heeft geïnventariseerd op welke voor de uitoefening van haar bedrijf kritische processen/activiteiten zij afhankelijk is van een beperkt aantal medewerkers."]
[null,"Op grond van een risicoanalyse bepaalt de instelling waar de afhankelijkheid van individuen haar risicotolerantie overschrijdt.",null,"Op grond van een risicoanalyse heeft de instelling bepaald waar de afhankelijkheid van individuen haar risicotolerantie overschrijdt."]
[null,"De instelling treft beheersmaatregelen om te grote afhankelijkheid van individuen te beperken binnen haar risicotolerantiegrenzen.",null,"De instelling heeft maatregelen getroffen te grote afhankelijkheid van individuen te beperken binnen haar risicotolerantiegrenzen."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft een inventarisatie gemaakt waaruit het key person risk blijkt.",null,"De instelling heeft een inventarisatie gemaakt waaruit het key person risk blijkt;"]
[null,"Uitgewerkte trainingsprogramma’s zijn er onder meer op gericht om kennis en ervaring ook op het gebied van informatiebeveiliging en cybersecurity breder te verspreiden.",null,"Uitgewerkte trainingsprogramma’s zijn er onder meer op gericht om kennis en ervaring ook op het gebied van informatiebeveiliging en cybersecurity breder te verspreiden."]
[null,"Taakroulatie en successieplanning voor kritieke functies binnen de instelling.",null,"Taakroulatie en successieplanning voor kritische functies binnen de instelling."]
[null,"De instelling past aantoonbaar taakroulatie en successieplanningen voor kritieke functies toe.",null,null,null,"Aantoonbaarheid taakroulatie en successieplanning"]
[]
[null,"8.4 Personnel clearance procedures",null,"8.4 Personnel clearance procedures"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Voorafgaand aan de indiensttreding wordt personeel gescreend in relatie tot het risicoprofiel van de functie.",null,"Voorafgaand aan de indiensttreding wordt personeelgescreend afhankelijk van het risicoprofiel van de functie."]
[null,"Tijdens het dienstverband wordt de screening periodiek herhaald.",null,"Tijdens het dienstverband wordt de screening periodiek herhaald."]
[null,"Bovenstaande is van toepassing op zowel eigen medewerkers als op ingehuurde medewerkers.",null,"Bovenstaand is van toepassing op zowel eigen medewerkers als op ingehuurde medewerkers."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft functieprofielen opgesteld waarin onderscheid is gemaakt tussen functies met een hoog, gemiddeld en laag risicoprofiel.",null,"De instelling heeft functieprofielen opgesteld waarin onderscheid is gemaakt tussen functies met een hoog, gemiddeld en laag risicoprofiel."]
[null,"De pre-employment screeningsvereisten zijn vastgelegd, bekrachtigd en worden gehanteerd binnen het werving- en selectieproces.",null,"De pre-employment screeningsvereisten zijn vastgelegd, bekrachtigd en worden gehanteerd binnen het werving- en selectieproces."]
[null,"De instelling vraagt een verklaring omtrent gedrag (VOG) op voor functies met een gemiddeld of hoog risicoprofiel en trekt referenties na.",null,"De instelling vraagt een verklaring omtrent gedrag (VOG) op voor functies met een gemiddeld of hoog risicoprofiel en trekt referenties na."]
[null,"Risico gebaseerd wordt periodiek een in-employment screening uitgevoerd voor gemiddeld en hoog risico functies.",null,"Risico gebaseerd wordt periodiek een inemployment screening uitgevoerd voor gemiddeld en hoog risico functies."]
[]
[null,"8.5 Job change and termination",null,"8.5 Job change and termination"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Bij functiewijzigingen worden rechten in ICT-­systemen en processen zo snel mogelijk aangepast. Toegangsrechten waarover de medewerker uit hoofde van de nieuwe functie niet meer mag beschikken, worden per direct ingetrokken.",null,"Bij functiewijzigingen worden rechten in IT­systemen en processen zo snel mogelijk aangepast. Toegangsrechten waarover de medewerker uit hoofde van de nieuwe functie niet meer mag beschikken, worden per direct ingetrokken."]
[null,"De instelling trekt bij uitdiensttreding rechten in systemen en processen per direct in. Hierbij wordt ook aandacht besteed aan toegangsrechten tot systemen / diensten die buiten het beheer van de instelling vallen, zoals bijvoorbeeld internetportalen of cloud toepassingen waarop de (ex) werknemer namens de instelling geabonneerd is.",null,"Bij uitdiensttreding worden rechten in systemen en processen per direct ingetrokken. Hierbij wordt ook aandacht besteed aan toegangsrechten tot systemen / diensten die buiten het beheer van de instelling vallen, zoals bijvoorbeeld internetportalen of cloud toepassingen waarop de (ex) werknemer namens de instelling geabonneerd is."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling maakt gebruik van User Provisioning, waarbij toegangsrechten in ICT-systemen automatisch, vanuit het HR-systeem worden aangemaakt, gewijzigd, geblokkeerd en verwijderd.",null,"De instelling maakt gebruik van User Provisioning, waarbij toegangsrechten in IT-systemen automatisch, vanuit het HR-systeem worden aangemaakt, gewijzigd, geblokkeerd en verwijderd."]
[null,"Bij het Identity Access Management wordt specifieke aandacht besteed aan joiners, leavers en movers. Zie ook beheersmaatregelen 17.1 en 17.2.",null,"Bij het Identity Access Management wordt specifieke aandacht besteed aan joiners, leavers en movers. Zie ook beheersingsmaatregelen 17.1 en 17.2."]
[null,"De instelling houdt (handmatig of geautomatiseerd) een register bij van tools, portalen en/of cloud toepassingen waar haar medewerkers uit hoofde van hun functie toegang toe hebben. Bij uitdiensttreding of functiewijziging worden de toegangsrechten van de desbetreffende medewerker overgedragen naar een andere medewerker.",null,"De instelling houdt (handmatig of geautomatiseerd) een register bij van tools, portalen en/of cloud toepassingen waar haar medewerkers uit hoofde van hun functie toegang toe hebben. Bij uitdiensttreding of functiewijziging worden de toegangsrechten van de desbetreffende medewerker overgedragen naar een andere medewerker."]
[]
[null,"9.1 Knowledge transfer to end users",null,"9.1 Knowledge transfer to end users"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Medewerkers beschikken over de kennis en vaardigheden om correct gebruik te maken van ICT-­applicaties en ICT-­systemen in overeenstemming met procedures en werkinstructies van de instelling.",null,"Medewerkers beschikken over de kennis en vaardigheden om correct gebruik te maken van IT­applicaties en IT­systemen in overeenstemming met procedures en werkinstructies van de instelling."]
[null,"Medewerkers weten hoe informatietechnologie hun kritieke bedrijfsprocessen ondersteunt en kennen de met die technologie verband houdende risico’s ten aanzien van informatiebeveiliging en cybersecurity. Medewerkers passen die kennis toe in hun dagelijkse operationele werkzaamheden.",null,"Medewerkers weten hoe informatietechnologie hun kritische bedrijfsprocessen ondersteunt en kennen de met die technologie verband houdende risico’s ten aanzien van informatiebeveiliging en cybersecurity. Medewerkers passen die kennis toe in hun dagelijkse operationele werkzaamheden."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"Medewerkers ontvangen periodiek functionele trainingen over het correct gebruik van ICT-applicaties en ICT-infrastructuur, waarbij tevens aandacht wordt geschonken aan informatiebeveiligings- en cybersecurity aspecten.",null,"Medewerkers ontvangen periodiek functionele trainingen over het correct gebruik van ITapplicaties en IT-infrastructuur, waarbij tevens aandacht wordt geschonken aan informatiebeveiligings- en cybersecurity aspecten."]
[null,"Werkinstructies voor het correct gebruik van IT-applicaties en IT-infrastructuur zijn beschikbaar in de vorm van interne wiki’s, intranet en helpfuncties in de applicaties en systemen.",null,"Werkinstructies voor het correct gebruik van ITapplicaties en IT-infrastructuur zijn beschikbaar in de vorm van interne wiki’s, intranet en helpfuncties in de applicaties en systemen."]
[null,"De instelling is er in (SLR) gesprekken met dienstverleners alert op dat kennisontwikkeling en kennisdeling door medewerkers ook bij de dienstverlener voldoende aandacht krijgt.",null,"De instelling is er in (SLR) gesprekken met dienstverleners alert op dat kennisontwikkeling en kennisdeling door medewerkers ook bij de dienstverlener voldoende aandacht krijgt."]
[]
[null,"9.2 Knowledge transfer to operations and support staff",null,"9.2 Knowledge transfer to operations and support staff"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"ICT-­medewerkers beschikken over de kennis en vaardigheden om applicaties en systemen te ontwikkelen, aan te schaffen, te implementeren en te beheren in overeenstemming met procedures en werkinstructies van de instelling.",null,"IT­medewerkers beschikken over de kennis en vaardigheden om applicaties en systemen te ontwikkelen, aan te schaffen, te implementeren en te beheren in overeenstemming met procedures en werkinstructies van de instelling."]
[null,"ICT-­medewerkers weten hoe informatietechnologie hun kritieke bedrijfsprocessen ondersteunt en kennen de met die technologie verband houdende risico’s ten aanzien van informatiebeveiliging en cybersecurity. ICT-­medewerkers passen die kennis toe in hun dagelijkse operationele werkzaamheden.",null,"IT­medewerkers weten hoe informatietechnologie hun kritische bedrijfsprocessen ondersteunt en kennen de met die technologie verband houdende risico’s ten aanzien van informatiebeveiliging en cybersecurity. IT­medewerkers passen die kennis toe in hun dagelijkse operationele werkzaamheden."]
[null,"ICT-­medewerkers zetten hun specialistische kennis actief in om informatiebeveiligingsrisico’s en cyberdreigingen te herkennen en met passende beheersmaatregelen te beheersen. Hierbij is aandacht voor het belang van (permanente) educatie op het gebied van cybersecurity (naast het monitoren van ontwikkelingen).",null,"IT­medewerkers zetten hun specialistische kennis actief in om informatiebeveiligingsrisico’s en cyberdreigingen te herkennen en met passende maatregelen te beheersen.",null,"Permanente educatie op gebied van cybersecurity specifiek benoemd"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"Gerichte security trainingen voor specifieke doelgroepen, zoals ICT-systeemontwikkelaars, helpdeskmedewerkers, ICT-beheerders en medewerkers met een rol in informatiebeveiliging en cybersecurity.",null,"Gerichte security trainingen voor specifieke doelgroepen, zoals IT-systeemontwikkelaars, helpdeskmedewerkers, IT-beheerders en medewerkers met een rol in informatiebeveiliging en cybersecurity."]
[null,"De instelling is er in (SLR) gesprekken met dienstverleners alert op dat kennisontwikkeling en permanente educatie van specialisten ook bij de dienstverlener voldoende aandacht krijgt.",null,"De instelling is er in (SLR) gesprekken met dienstverleners alert op dat kennisontwikkeling en permanente educatie van specialisten ook bij de dienstverlener voldoende aandacht krijgt."]
[]
[null,"9.3 Employee awareness",null,"9.3 Employee awareness"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur heeft aantoonbaar op hen toegesneden trainingen en opleidingen gevolgd om de belangrijkste ICT-risico’s en beheersmaatregelen voor haar instelling te kunnen begrijpen en adresseren",null,null,null,"Aantoonbare training en opleiding van bestuur voor begrijpen IT-risico's en beheersmaatregelen"]
[null,"Het bestuur vertoont goed voorbeeldgedrag ten aanzien van bewustzijn voor risico’s op het gebied van informatiebeveiliging en cybersecurity en het naleven van procedures die de informatiebeveiliging borgen (tone­at­the­top). Vastgestelde richtlijnen en gedragscodes met betrekking tot informatiebeveiliging en cybersecurity. Deze zijn bekend bij medewerkers in alle lagen van de instelling.",null,"Vastgestelde richtlijnen en gedragscodes met betrekking tot informatiebeveiliging en cybersecurity. Deze zijn bekend bij medewerkers in alle lagen van de instelling.",null,"Voorbeeldgedrag bestuur bij naleven informatiebeveiliging (tone-at-the-top)"]
[null,"Het verhogen van het beveiligingsbewustzijn maakt deel uit van het informatiebeveiligingsbeleid, waarbij een security awareness (opleidings)programma is geïmplementeerd. Hierin wordt expliciet aandacht besteed aan cybersecurity risico’s.",null,"Het verhogen van het beveiligingsbewustzijn maakt deel uit van het informatiebeveiligingsbeleid, waarbij een security awareness programma is geïmplementeerd. Hierin wordt expliciet aandacht besteed aan cybersecurity risico’s."]
[null,"De instelling zorgt ervoor dat het opleidingsprogramma regelmatig opleiding verzorgt voor alle personeelsleden",null,"Basiskennis van informatiebeveiliging en cyberdreigingen wordt breed binnen de instelling en het bestuur gedeeld."]
[null,"Medewerkers weten hoe te handelen wanneer zij vermoeden of signaleren dat risico’s op het gebied van informatiebeveiliging en cybersecurity zich voordoen.",null,"Management en medewerkers weten hoe te handelen wanneer zij vermoeden of signaleren dat risico’s op het gebied van informatiebeveiliging en cybersecurity zich voordoen."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"In het kader van security awareness is een trainingsprogramma opgesteld voor alle medewerkers om ervoor te zorgen dat zij zijn opgeleid om hun taken en verantwoordelijkheden uit te voeren in overeenstemming met het relevante informatiebeveiligingsbeleid en procedures om menselijke fouten, diefstal, fraude, misbruik of verlies te verminderen.",null,"In het kader van security awareness is een trainingsprogramma opgesteld voor alle medewerkers om ervoor te zorgen dat zij zijn opgeleid om hun taken en verantwoordelijkheden uit te voeren in overeenstemming met het relevante informatiebeveiligingsbeleid en procedures om menselijke fouten, diefstal, fraude, misbruik of verlies te verminderen."]
[null,"De instelling zet een mix van middelen in om security awareness te onderhouden en te verbeteren bij haar eigen medewerkers en externen. Hiertoe zijn security coördinatoren binnen de instelling aangesteld.",null,"De instelling zet een mix van middelen in om security awareness te onderhouden en te verbeteren bij haar eigen medewerkers en externen. Hiertoe zijn security coördinatoren binnen de instelling aangesteld."]
[null,"Voor het verder verbeteren van security awareness worden presentaties, phishing campagnes, mystery guests en e-learnings toegepast. Deelname aan e-learnings is door de instelling verplicht gesteld; resultaten worden gemeten en opgevolgd.",null,"Voor het verder verbeteren van security awareness worden presentaties, phishing campagnes, mystery guests en e-learnings toegepast. Deelname aan e-learnings is door de instelling verplicht gesteld; resultaten worden gemeten en opgevolgd."]
[null,"De instelling gebruikt aansprekende voorbeelden uit de (eigen) praktijk in het security awareness programma, zoals beveiligingsincidenten die zich hebben voorgedaan. Hierbij is aandacht besteed aan o.a. CEO fraude, gijzelsoftware en spear phishing in periodes waarin de instelling mogelijk kwetsbaarder is door (einde jaar) drukte, vakanties of onderbezetting.",null,"De instelling gebruikt aansprekende voorbeelden uit de (eigen) praktijk in het security awareness programma, zoals beveiligingsincidenten die zich hebben voorgedaan. Hierbij is aandacht besteed aan o.a. CEO fraude, gijzelsoftware en spear phishing in periodes waarin de instelling mogelijk kwetsbaarder is door (einde jaar) drukte, vakanties of onderbezetting."]
[null,"Zogeheten ‘management overrides’ van bestaande processen en procedures door het bestuur en senior management worden waar mogelijk vermeden.",null,null,null,"Management overrides van processen/procedures waar mogelijk vermijden."]
[null,"De instelling onderneemt initiatieven om samen met uitbestedingspartners bewustwording op het gebied van cybersecurity te vergroten.",null,"De instelling onderneemt initiatieven om samen met uitbestedingspartners bewustwording op het gebied van cybersecurity te vergroten."]
[]
[null,"10.1 Change standards and procedures",null,"10.1 Change standards and procedures"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Wijzigingen, inclusief security patches in ICT­-applicaties, ICT­-infrastructuur, ICT-­processen en kritieke systeeminstellingen volgen een gestandaardiseerd en gecontroleerd pad, worden geprioriteerd en geëvalueerd. ",null,"Wijzigingen in IT­applicaties, IT­infrastructuur, IT­processen en kritische systeeminstellingen volgen een gestandaardiseerd en gecontroleerd pad."]
[null,"Taken en verantwoordelijkheden met betrekking tot het controleren en goedkeuren van wijzigingsverzoeken zijn belegd.",null,"Taken en verantwoordelijkheden met betrekking tot het controleren en goedkeuren van wijzigings­verzoeken zijn belegd."]
[null,"Technische doelstellingen en functionele en niet­functionele vereisten, waaronder die op het gebied van informatiebeveiliging zijn gedefinieerd en vastgelegd, voordat ontwikkelingsactiviteiten of systeemverwerkingen worden gestart.",null,"Wijzigingen (inclusief security patches) worden geprioriteerd.",null,"Technische doelstellingen en functionele en niet­functionele vereisten (waaronder informatiebeveiliging) zijn bekend voordat ontwikkeling start."]
[null,"Beheersmaatregelen zijn getroffen om onbedoelde wijziging of opzettelijke manipulatie van de ICT-­systemen tijdens de ontwikkeling te voorkomen.",null,"De impact en risico’s van wijzigingen op informatie­beveiliging en cybersecurity worden ingeschat voordat de wijziging wordt geïmplementeerd.",null,"Maatregelen ter voorkoming van (on)bedoelde manipulatie van systemen tijdens ontwikkeling."]
[null,"Wijzigingen in kritieke systemen en infrastructuur worden niet door één en dezelfde persoon aangevraagd, goedgekeurd en geïmplementeerd (functiescheiding). ",null,"Wijzigingen in kritische systemen en infrastructuur worden niet door één en dezelfde persoon aangevraagd, goedgekeurd en geïmplementeerd (functiescheiding)."]
[null,"De ontwikkeling, uitvoering, werking en/of configuratie van de ICT-­systemen vinden in gescheiden systemen plaats en worden gedocumenteerd (audit trail). ",null,null,null,"Gescheiden omgevingen."]
[null,null,null,"Security experts zijn betrokken bij wijzigingen die de informatiebeveiligingsmaatregelen raken."]
[null,"De ICT-­systemen die worden ontwikkeld of beheerd door eindgebruikers volgen eveneens een gestandaardiseerd en gecontroleerd pad dat voorziet in passende beheersing op het gebied van prioritering, registratie en evaluatie.",null,"Wijzigingen worden geregistreerd (audit trail) en geëvalueerd.",null,"End user toepassingen ook volgens gestandardiseerd proces."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling borgt dat verzoeken tot systeemontwikkeling op een gestructureerde wijze worden vastgelegd en afgehandeld, bijvoorbeeld in een centraal registratiesysteem."]
[null,"Het changemanagementproces is gebaseerd op internationale standaarden en werkwijzen, zoals ITIL, Agile, Scrum, Devops.",null,"Het changemanagementproces is gebaseerd op internationale standaarden en werkwijzen, zoals ITIL, Agile, Scrum."]
[null,null,null,"De instelling gebruikt een workflow systeem dat het gehele proces van wijzigingsverzoek tot en met implementatie ondersteunt, inclusief logging en documentatie."]
[null,"De instelling werkt volgens het shift left principe dat ervan uitgaat dat Agile, Scrum, Devops teams applicatiebeveiliging in de vroegste stadia van systeemontwikkeling meeneemt.",null,null,null,"Werken volgens shift left principe"]
[null,"De instelling gebruikt ook bij Agile, Scrum, Devops een workflow systeem dat het gehele proces van wijzigingsverzoek tot en met implementatie ondersteunt, inclusief logging en documentatie.",null,null,null,"Gebruik workflow systeem ook bij nieuwe systeemontwikkelingsmethodieken, waarbij gehele proces wordt vastgelegd incl monitoring"]
[null,"De instelling heeft functiescheiding toegepast in haar Agile, Scrum, Devops systeemontwikkeling met betrekking tot bijvoorbeeld operations en control cq development en security.",null,null,null,"Functiescheiding dev/ops"]
[null,"Beheersmaatregelen zijn getroffen ter bescherming van de integriteit van de broncode van ICT-systemen.",null,null,null,"Beheersmaatregelen integriteit broncode"]
[null,"Secure Coding richtlijnen worden gehanteerd door interne ontwikkelaars, dan wel dienstverleners die appplicatiediensten aanbieden waar ontwikkelactiviteiten door worden ondernomen.",null,null,null,"Ontwikkelen volgens Secure coding richtlijn "]
[null,"Geautomatiseerde scans/review van code vinden op deze Secure Coding Richtlijnen plaats zoals ook geautomatiseerde scans/review van code en configuratie op kwetsbaarheden (zoals OWASP bij web ontwikkeling).",null,null,null,"Geautomatiseerde scans/reveiw van code op secure coding richtlijn"]
[null,"Bij gebruik van open source libraries in de code worden deze vóór in productiename geautomatiseerd en gecontroleerd op kwetsbaarheden",null,null,null,"Open source libraries checken op kwetsbaarheden voor in productiename"]
[null,"De impactanalyse van een wijziging houdt rekening met een terugval scenario voor het geval dat de wijziging niet succesvol is.",null,"De impactanalyse van een wijziging houdt rekening met een terugval scenario voor het geval dat de wijziging niet succesvol is."]
[null,"De instelling heeft een Change Advisory Board (CAB) ingesteld waarin verschillende disciplines zoals business, IT en IT-Risk/IT Security besluiten nemen over wijzigingen.",null,"De instelling heeft een Change Advisory Board (CAB) ingesteld waarin door verschillende disciplines zoals business, IT en IT-Risk/IT Security wordt besloten over wijzigingen."]
[null,"Verschillende disciplines zoals business, ICT en ICT Risk/ICT Security zijn voldoende en tijdig betrokken bij besluiten over wijzigingen.",null,null,null,"Betrokkenheid stakeholders bij wijzigingsproces"]
[null,"De instelling herijkt de changemanagement procedure jaarlijks",null,null,null,"Jaarlijkse review changemanagement proces"]
[]
[null,"10.2 Impact assessment, prioritisation and authorization",null,"10.2 Impact assessment, prioritisation and authorization"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling gaat na in hoeverre voorgenomen wijzigingen in de operationele omgeving gevolgen hebben voor de bestaande beveiligingsmaatregelen en of er aanvullende beheersmaatregelen noodzakelijk zijn om het risico's in kwestie te verminderen. In deze beoordeling worden de belangen van alle relevante stakeholders meegewogen in de besluitvorming over wijzigingsverzoeken.\n\nOp doorlopende basis wordt nagegaan in hoeverre wijzigingen in de bestaande operationele omgeving gevolgen hebben voor de bestaande veiligheidsmaatregelen en of er bijkomende beheersmaatregelen noodzakelijk zijn om het risico in kwestie te verminderen. In deze beoordeling worden de belangen van alle relevante stakeholders meegewogen in de besluitvorming over wijzigingsverzoeken. ",null,"De impact van wijzigingsverzoeken op operationele IT­systemen wordt beoordeeld.",null,"1) Bepalen:\n- impact op bestaande beveiligingsmaatregelen\n- bepalen aanvullende beheersmaatregelen nodig zijn om het risico te verminderen\n2) Belangen van alle stakeholders meewegen bij besluitvoriming"]
[null,"De instelling prioriteert wijzigingen voortkomend uit de impact assessment.",null,"In deze beoordeling worden de gevolgen voor informatiebeveiliging en cybersecurity meegenomen en meegewogen in de besluitvorming over het wijzigingsverzoek."]
[null,"Dringende of op korte termijn noodzakelijke ICT-­wijzigingen zijn traceerbaar en worden gemeld aan de betreffende eigenaar van de ICT-­asset voor analyse achteraf.",null,null,null,"Procedure spoedwijzigingen (waarbij controle achteraf plaatsvindt)"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De informatiebeveiligingsrol of -functionaris binnen de instelling is betrokken bij de beoordeling van de impact van wijzigingsverzoeken op de beheersmaatregelen die in het kader van informatiebeveiliging en cybersecurity zijn getroffen.",null,"De informatiebeveiligingsrol binnen de instelling is betrokken bij de beoordeling van de impact van wijzigingsverzoeken op de maatregelen die in het kader van informatiebeveiliging en cybersecurity zijn getroffen."]
[null,"De instelling weegt bij het bepalen van de impact en prioriteit van wijzigingsverzoeken de informatiebeveiligingsaspecten van de wijzigingen expliciet mee.",null,"Bij het bepalen van de impact en prioriteit van wijzigingsverzoeken worden informatiebeveiligingsaspecten van de wijzigingen expliciet meegewogen."]
[null,"De instelling prioriteert de uitkomsten van een impact assessment door middel van een classificatie van de wijziging (bijvoorbeeld: standaard, normaal, urgent, spoed)",null,null,null,"Bij prioritering wordt impact meegenomen"]
[]
[null,"10.3 Test environment",null,"10.3 Test environment"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Criteria voor het beschermen van testgegevens zijn opgesteld en worden onderhouden.",null,"Criteria voor het beschermen van testgegevens zijn opgesteld en worden onderhouden."]
[null,"Toegang tot test­- en productie ICT-­systemen is strikt gescheiden. Dit wordt voor alle omgevingen vooraf en achteraf gecontroleerd.",null,"Toegang tot test­ en productie IT­systemen is strikt gescheiden; test­ en productiegegevens worden niet vermengd.",null,"Controle vooraf en achteraf"]
[null,"De instelling heeft een omgeving beschikbaar waarin zij de effectiviteit van security beheersmaatregelen test. ",null,"De instelling heeft een omgeving beschikbaar waarin zij de effectiviteit van security maatregelen test."]
[null,"De instelling let op het versiebeheer waarbij de software versie van de testomgeving gelijk is aan de productieomgeving. ",null,null,null,"Test en productieomgevingen gelijke versies software"]
[null,"Test­ en productiegegevens worden niet vermengd. "]
[null,"De instelling gebruikt in de test omgeving geen ongeschoonde productiedata.",null,null,null,"Geen ongeschoonde productiedata in testomgeving"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"Het User-ID en password of andere authenticatie van beheerders in de testomgeving zijn nooit gelijk aan die van de productie omgeving",null,null,null,"Account & password in productie en test verschillen"]
[null,"De instelling test uitsluitend met geanonimiseerde representatieve testdata in een van de productie afgescheiden testomgeving.",null,"De instelling test uitsluitend met geanonimiseerde representatieve testdata in een van de productie afgescheiden testomgeving."]
[null,"De instelling gebruikt specifieke software voor het schonen en anonimiseren van data.",null,"De instelling gebruikt specifieke software voor het schonen en anonimiseren van data."]
[null,"Test- en productiesystemen zijn logisch of fysiek gescheiden. De instelling hanteert het OTAP modellen checkt aan de hand van steekproeven naleving van de scheiding tussen omgevingen.",null,"Test- en productiesystemen zijn logisch of fysiek gescheiden (het OTAP model wordt gehanteerd)."]
[null,"De instelling heeft een representatieve omgeving om de effectiviteit van nieuwe en gewijzigde (security) infrastructuur zoals IDS, SIEM, Web Application Firewall (WAF), routers etc. te testen.",null,"De instelling heeft een representatieve omgeving om de effectiviteit van nieuwe en gewijzigde (security) infrastructuur zoals IDS, SIEM, Web Application Firewall (WAF), routers etc. te testen."]
[]
[null,"10.4 Testing of changes",null,"10.4 Testing of changes"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Wijzigingen in de ICT-­infrastructuur en ICT-­applicaties worden getest voordat zij in gebruik (productie) worden genomen.",null,"Wijzigingen in de IT­infrastructuur n IT­applicaties worden getest voordat zij in gebruik (productie) worden genomen."]
[null,"De tests worden uitgevoerd volgens een testplan waarin ook acceptatiecriteria voor informatiebeveiliging en ICT-­performance zijn opgenomen.",null,"De tests worden uitgevoerd volgens een testplan waarin ook acceptatiecriteria voor informatiebeveiliging en IT­performance zijn opgenomen."]
[null,"De instelling heeft een autorisatieflow gedefinieerd waarin staat welke personen geautoriseerd zijn om te kunnen testen.",null,null,null,"Autorisaties voor testen"]
[null,"Security testen maken onderdeel van het ontwikkel en test proces voordat wijzigingen worden doorgevoerd.",null,null,null,"Security testen onderdeel van ontwikkel en test proces"]
[null,"De instelling scant gewijzigde ICT-­systemen voor in productie-name op kwetsbaarheden voor cyberdreigingen op grond van een risico inschatting.",null,"Op grond van een risico inschatting worden gewijzigde IT­systemen gescand op kwetsbaarheden voor cyberdreigingen."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling voert verschillende tests uit (zoals een systeemtest, gebruikers acceptatietest, regressietest en integratietest) om de effectiviteit van beveiligingsmaatregelen in gewijzigde applicaties en infrastructuur vast te stellen. Bij een agile werkwijze wordt software getest op grond van acceptatiecriteria (definition of done).",null,"De instelling voert verschillende tests uit (zoals een systeemtest, gebruikers acceptatietest, regressietest en integratietest). De effectiviteit van beveiligingsmaatregelen in gewijzigde applicaties en infrastructuur vast te stellen. Bij een agile werkwijze wordt software getest op grond van acceptatiecriteria (Definition of done)."]
[null,"In de acceptatiecriteria is opgenomen dat onder meer aan de volgende elementen wordt voldaan: de toegangsbeveiliging functioneert, autorisaties werken conform specificaties, vertrouwelijke gegevens zijn versleuteld, kritieke handelingen worden gelogd en de systeemperformance voldoet aan de gestelde eisen.",null,"In de acceptatiecriteria is opgenomen dat onder meer aan de volgende elementen wordt voldaan: de toegangsbeveiliging functioneert, autorisaties werken conform specificaties, vertrouwelijke gegevens zijn versleuteld, kritische handelingen worden gelogd en de systeemperformance voldoet aan de gestelde eisen."]
[null,"Bij het testen van wijzigingen worden beheersmaatregelen van informatiebeveiliging en cybersecurity expliciet meegenomen, bijvoorbeeld door middel van security & vulnerability scanning en source code reviews.",null,"Bij het testen van wijzigingen worden maatregelen van informatiebeveiliging en cybersecurity expliciet meegenomen, bijvoorbeeld door middel van security & vulnerability scanning en source code reviews."]
[null,"Daar waar ICT-applicaties zijn uitbesteed, stelt de instelling risicogebaseerd vast dat de belangrijkste functionaliteit en beveiligingsmaatregelen werken conform specificaties.",null,"In geval van uitbesteding van IT-applicaties stelt de instelling risicogebaseerd vast dat de belangrijkste functionaliteit en beveiligingsmaatregelen werken conform specificaties."]
[]
[null,"10.5 Promotion to production",null,"10.5 Promotion to production"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Beheerste overdracht van wijzigingen in productie systemen vindt plaats.",null,"Beheerste overdracht van wijzigingen in productie systemen vindt plaats."]
[null,"De belangrijkste belanghebbenden bij systeemwijzigingen, zoals gebruikers, systeemeigenaar, functioneel en technisch beheerders zijn betrokken bij de overdracht van de wijzigingen en het goedkeuringsproces.",null,"De belangrijkste belanghebbenden bij systeem­wijzigingen, zoals gebruikers, systeemeigenaar, functioneel en technisch beheerders zijn betrokken bij het goedkeuringsproces."]
[null,"In logs wordt bijgehouden en daarna gecheckt of wijzigingen conform de afspraken zijn uitgevoerd door daartoe geautoriseerde personen. ",null,null,null,"Logs van wijzigingen bijhouden en gebruiken voor controle op autorisatie gebruikers"]
[null,"Op grond van een risicoanalyse bepaalt de instelling of een nieuw of aangepast ICT­systeem parallel naast het oude systeem gebruikt wordt. Bij risicovolle aanpassingen heeft de instelling voorzien in een fall­back plan.",null,"Op grond van een risicoanalyse bepaalt de instelling of een nieuw of aangepast IT­systeem parallel naast het oude systeem gebruikt wordt. Bij risicovolle aanpassingen heeft de instelling voorzien in een fall­back plan."]
[null,"Dat er verscherpte aandacht is voor security issues na in productiename voor een van te voren bepaalde periode.",null,null,null,"Verscherpte aandacht voor security issues na ingebruikname"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling stelt overdrachtsprocedures vast voor het in gebruik nemen van wijzigingen in de ICT-infrastructuur en ICT-applicaties.",null,"Voor het in gebruik nemen wijzigingen in de IT-infrastructuur en IT-applicaties zijn overdrachtsprocedures vastgesteld."]
[null,"De autorisaties om wijzigingen in productie door te voeren zijn niet voortdurend aan medewerkers toegekend maar worden op tijdelijke basis toegekend.",null,null,null,"Toekenning rechten in productie op tijdelijke basis"]
[null,"De instelling gebruikt een workflow systeem ten behoeve van de gecontroleerde overdracht en registratie van wijzigingen in de productie omgeving.",null,"De instelling gebruikt een workflow systeem ten behoeve van de gecontroleerde overdracht en registratie van wijzigingen in de productie omgeving."]
[null,"De instelling maakt gebruik van privileged acces management tools die tijdelijke autorisaties afgeven en volgen.",null,null,null,"Gebruik van Privileged access management tools "]
[null,"Wijzigingen in bedrijfskritieke systemen en wijziging van beveiligingsparameters vinden plaats onder het 4-ogen principe.",null,"Wijzigingen in kritische systemen en wijziging van beveiligingsparameters vinden plaats onder het 4-ogen principe."]
[null,"De instelling logt alle wijzigingen in de productieomgeving. Op basis hiervan wordt periodiek nagegaan dat geen ongeautoriseerde wijzigingen hebben plaatsgevonden.",null,"Alle wijzigingen in de productieomgeving worden gelogd. Op basis hiervan wordt periodiek nagegaan dat geen ongeautoriseerde wijzigen hebben plaatsgevonden."]
[null,"De instelling houdt verscherpte aandacht voor security issues nadat majeure of kritieke wijzigingen in productie zijn genomen, gedurende een van te voren bepaalde periode.",null,null,null,"verscherpte toezicht security issues na in productie name"]
[]
[null,"11.1 ICT Business impact analysis and ICT Continuity plans",null,"11.1 IT Continuity plans"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur is verantwoordelijk voor het vaststellen en goedkeuren van een business impact analysis en een daar uit voortvloeiend continuïteitsplan om de impact van een grote verstoring op de belangrijkste bedrijfsfuncties en ­processen te beperken.",null,"De instelling heeft een continuïteitsplan uitgewerkt om de impact van een grote verstoring op de belangrijkste bedrijfsfuncties en ­processen te beperken.",null,"Business impact analyse opstellen en gebruiken als basis voor continuiteitsplan.\nBestuur is verantwoordelijk voor het vaststellen van BIA\n"]
[null,"Het bestuur controleert jaarlijks of het business impact analysis en het ­continuïteitsplan actueel zijn. Het bestuur ziet erop toe dat belangrijke wijzigingen in IT-systemen of dienstverlening direct in het continuïteitsplan worden verwerkt. ",null,null,null,"Bestuur is verantwoordelijk voor controle business impact analyse en -continuiteitsplan"]
[null,"De instelling voert de business impact analysis uit om de blootstelling aan ernstige bedrijfsonderbrekingen, zowel kwantitatief als kwalitatief, te beoordelen met behulp van interne en/of externe gegevens en scenarioanalyses. ",null,null,null,"Uitvoeren van BIA (zowel kwantitatief als kwalitatief en scenarioanalyse)"]
[null,"De business impact analysis houdt rekening met hoe kritiek de geïdentificeerde bedrijfsprocessen en ­activiteiten en hun onderlinge afhankelijkheden zijn. ",null,null,null,"BIA houdt rekening met\n1) hou kritiek de geidentificeerde bedrijfsproces is\n2) onderlinge afhankelijkheid"]
[null,"De instelling zorgt ervoor dat de beschikbaarheid van kritieke ICT-systemen en ICT-diensten ontworpen en afgestemd zijn op hun business impact analysis",null,"Het IT­continuïteitsplan adresseert de weerbaarheid tegen DDoS aanvallen."]
[null,"In het business impact analysis en IT­continuïteitsplan zijn verschillende scenario’s opgenomen waarbij rekening is gehouden met de continuïteit van cybersecurity beheersmaatregelen en de ongestoorde voortzetting van informatiebeveiligingsfuncties tijdens verstoringen en cyberaanvallen.",null,"In het IT­continuïteitsplan is rekening gehouden met de continuïteit van cybersecurity maatregelen en de ongestoorde voortzetting van informatiebeveiligingsfuncties tijdens verstoringen en cyberaanvallen."]
[null,"Crisismanagement is ingericht, inclusief de daarbij behorende communicatieprotocollen",null,"Crisismanagement is ingericht, inclusief de daarbij behorende communicatieprotocollen."]
[null,"Alternatieve verwerkings-­ en herstelmogelijkheden voor alle kritieke ICT-­services zijn in het ICT­-continuïteitsplan voorhanden ",null,"Alternatieve verwerkings­ en herstelmogelijkheden voor alle kritieke IT­services zijn voorhanden."]
[null,"Bij een storing of noodsituatie, en tijdens de uitvoering van de bedrijfscontinuïteit plannen, zorgt de instelling ervoor dat ze doeltreffende crisiscommunicatie maatregelen treft. ",null,null,null,"Crisiscommunicatie aanwezig."]
[null,"Daarbij zijn alle relevante interne en externe belanghebbenden, waaronder relevante toezichthoudende autoriteiten, tijdig op de hoogte gebracht.",null,null,null,"Bij communicatie over verstoringen alle relevante stakeholders (intern, extern, autoriteiten) tijdig op de hoogte brengen"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft een crisisbeheersingsfunctie, die onder meer, duidelijke procedures vaststelt voor het geval dat IT Business Continuity-plannen geactiveerd worden. Dit omvat ook interne en externe crisiscommunicatie,",null,null,null,"Aanwezigheid van crisibeheerfunctie"]
[null,null,null,"Belangrijke wijzigingen in IT systemen of dienstverlening worden direct in het continuïteitsplan verwerkt."]
[null,null,null,"De instelling controleert daarnaast jaarlijks of het continuïteitsplan toereikend is."]
[null,"De instelling heeft haar beleidslijnen voor ICT-continuïteit zijn op passende wijze gecommuniceerd binnen de instelling, bijvoorbeeld via een interne website naar alle relevante personeelsleden en, waar van toepassing, ook naar externe dienstverleners.",null,null,null,"Beleidslijnen voor IT-continuïteit zijn gecommuniceerd"]
[null,null,null,"De instelling test periodiek of het IT-continuïteitsplan werkt. De uitkomsten van de testen worden verwerkt en vervolgacties worden genomen."]
[null,"De instelling heeft hard copies van de continuiteitsplannen op een voor de direct- betrokken medewerkers bekende en toegankelijke locatie. Een lijst van belangrijke telefoonnummers en e-mailadressen is onderdeel daarvan.",null,null,null,"1) hard copies van de continuiteitsplannen beschikbaar\n2) lijst van belangrijke telefoonnummers"]
[null,"De instelling heeft per afdeling in kaart gebracht welke processen kritiek zijn en welke personen direct betrokkenen zijn.",null,null,null,"In kaart brengen per afdeling de kritieke processen en directe betrokkene personen"]
[null,"Bij het implementeren van een nieuw systeem of applicatie neemt de instelling deze op in een geactualiseerde versie van het ICT-continuïteitsplan en bijbehorende testcyclus.",null,"Bij het implementeren van een nieuw systeem of applicatie neemt de instelling deze op in een vernieuwde versie van het IT-continuïteitsplan en bijbehorende testcyclus."]
[null,"De instelling maakt gebruik van dienstverleners om hinder van DDoS-aanvallen te voorkomen, bijvoorbeeld van NaWas: de nationale wasstraat van de Nationale Beheersorganisatie Internet Providers, NBIP.",null,null,null,"Maatregelen ter voorkomen DDoS"]
[]
[null,"11.2 Testing of the IT Continuity plan ",null,"11.2 Testing of the IT Continuity plan"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur is betrokken bij het opstellen van de continuiteitsplannen en neemt actief deel aan het testen van het ICT-continuïteitsplan. ",null,null,null,"Actieve betrokkenheid van bestuur bij opstellen continuiteitsplannen en testen ervan"]
[null,"Testscenario's worden in kaart gebracht van waaruit een test kalender/planning wordt opgesteld voor het testen van de ICT-continuïteitsplannen.",null,null,null,"Scenario's en test kalender opstellen"]
[null,"Het testen van het ICT-continuïteitsplan toont aan dat de instelling kan functioneren op een vooraf vastgesteld minimum essentieel dienstenniveau totdat de volledige werking weer is hersteld.",null,"Het IT­continuïteitsplan wordt periodiek getest om ervoor te zorgen dat IT­systemen effectief kunnen worden hersteld, tekortkomingen worden opgelost en het plan relevant blijft.",null,"Minimum essentieel dienstenniveau vooraf vaststellen en aantoonbaar borgen in bedrijfscontinuiteitsplan"]
[null,"De weerbaarheid tegen cyberaanvallen met een impact op de beschikbaarheid, wordt in de scenario’s meegenomen en getest.",null,"De weerbaarheid tegen (D)DoS aanvallen en andere cyberaanvallen met een impact op de beschikbarheid wordt getest."]
[null,"Het testen van de continuïteitsmaatregelen dekt de gehele keten van systemen en applicaties af die de kritieke bedrijfsprocessen ondersteunen.",null,"Het testen van de continuïteitsmaatregelen dekt de gehele keten van systemen en applicaties af die de kritische bedrijfsprocessen ondersteunen."]
[null,"Testresultaten worden gedocumenteerd en geïdentificeerde tekortkomingen worden geanalyseerd, opgevolgd en gerapporteerd aan het bestuur.",null,null,null,"Testresultaten rapporteren aan bestuur"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling bereidt het testen van het ICT-continuïteitsplan zorgvuldig voor, rapporteert over de testresultaten en zorgt voor opvolging van actiepunten. Bij majeure bevindingen of tekortkomingen voert de instelling een hertest uit om vast te stellen dat geadresseerde bevindingen en tekortkomingen daadwerkelijk tot het gewenste resultaat leiden.",null,"De instelling bereidt het testen van het ITcontinuïteitsplan zorgvuldig voor en rapporteert over de testresultaten, zorgt voor opvolging van actiepunten en voert kort na de eerste test een hertest uit om vast te stellen dat de actiepunten tot het gewenste resultaat leiden."]
[null,"De instelling plant structureel capaciteit bij zowel business als ICT staff voor het testen van business continuity of uitwijk testen.",null,null,null,"Capaciteit wordt gepland voor testen business continuity"]
[null,"De instelling neemt ketenpartners mee in het testen van continuïteitsmaatregelen. Uitkomsten van de testen worden met de ketenpartners besproken en indien van toepassing worden verbeteracties bepaald.",null,"De instelling neemt ketenpartners mee in het testen van continuïteitsmaatregelen. Uitkomsten van de testen worden met de ketenpartners besproken en indien van toepassing worden verbeteracties bepaald."]
[null,"Bij het implementeren van een nieuw systeem of applicatie neemt de instelling deze op in een vernieuwde versie van het IT-continuïteitsplan en bijbehorende testcyclus.",null,"Bij het implementeren van een nieuw systeem of applicatie neemt de instelling deze op in een vernieuwde versie van het IT-continuïteitsplan en bijbehorende testcyclus."]
[null,"In haar testscenario’s neemt de instelling expliciet cybersecurity dreigingen zoals (D)DoS en Advanced Persistent Threats (APT’s) op. Voor het opzetten van continuïteitstesten maakt de instelling gebruik van ervaringen van testen binnen de sector en incidenten met impact op de bedrijfscontinuïteit. Bijvoorbeeld via de sector ISAC.",null,"In haar testscenario’s neemt de instelling expliciet cybersecurity dreigingen zoals (D)DoS en Advanced Persistent Threats (APT’s) op."]
[]
[null,"11.3 Uncompromisable back-up storage",null,"11.3 Offsite backup storage",null,"Offsite storage heet nu immutable storage (ivm cloud mogelijkheden)"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling beschikt over meer dan één locatie voor de opslag van data die nodig is voor de uitoefening van een beheerste bedrijfsvoering. ",null,"De instelling beschikt over meer dan één locatie voor de opslag van data die nodig is voor de uitoefening van een beheerste bedrijfsvoering."]
[null,"De instelling bepaalt op grond van de business impact analyse welke backup data onveranderbaar, volledig en juist moet blijven en treft daarbij passende beheersmaatregelen.",null,"De inhoud van de back­up wordt door de eigenaars van de bedrijfsprocessen en het IT­personeel bepaald.",null,"Business impact analyse is basis voor bepalen veilig te stellen data"]
[null,"De locaties zijn veilig, bevinden zich op voldoende afstand van elkaar en zijn toegankelijk voor geautoriseerde personen om zo de continuïteit van kritieke of belangrijke functies te kunnen waarborgen in het geval dat de primaire verwerkingslocatie niet meer beschikbaar is. Hierbij wordt rekening gehouden met catastrofale scenario’s.",null,null,null,"Gebruikte locaties moeten veilig en toegankelijk zijn, ook bij catastrofe scenario's"]
[null,"Het risicoprofiel van de locaties is zodanig dat een calamiteit niet alle locaties tegelijkertijd kan treffen.",null,"Het risicoprofiel van de locaties moet zodanig zijn dat een calamiteit niet de locaties tegelijkertijd kan treffen."]
[null,"De inhoud van de back­up wordt periodiek door de eigenaars van de bedrijfsprocessen en het IT­personeel bepaald. ",null,"De instelling beoordeelt periodiek in hoeverre de backup data volledig en juist is."]
[null,"De beschikbaarheid van de data op de verschillende locaties (backup / data mirroring) is conform het beleid voor gegevensclassificatie van de instelling. ",null,"Het beheer van de data op de verschillende locaties (backup / data mirroring) is conform het beleid voor gegevensclassificatie van de instelling."]
[null,"Compatibiliteit van hardware en software om gearchiveerde gegevens te herstellen en periodiek gearchiveerde gegevens terug te zetten, is geborgd.",null,"Compatibiliteit van hardware en software om gearchiveerde gegevens te herstellen en periodiek gearchiveerde gegevens te testen en te vernieuwen is verzekerd."]
[null,"De instelling heeft beheersmaatregelen getroffen om cyberdreigingen die gericht zijn op het beschadigen van backups te voorkomen, te detecteren en te mitigeren.",null,null,null,"Maatregelen ter voorkomen cyberdreigingen gericht op beschadigen backups (is niet nieuw, komt van 11.4)"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft op grond van een risicoanalyse bepaald op welke externe locatie de backups worden bewaard.",null,"De instelling heeft op grond van een risicoanalyse bepaald op welke externe locatie de backups worden bewaard."]
[null,"De instelling gaat periodiek na of de offsite backup bruikbaar is door deze terug te zetten in een testomgeving. De gebruikers zijn hierbij nauw betrokken.",null,"De instelling gaat periodiek na of de off-site backup bruikbaar is door deze terug te zetten in een testomgeving. Eindgebruikers zijn hierbij nauw betrokken."]
[null,"De instelling gaat periodiek na dat backups beschikbaar en bruikbaar zijn voor het herstellen van schade als gevolg van een cyberaanval (offline/air-gapped backup).",null,null,null,"Periodiek bepalen of backup bruikbaar / beschikbaar is als gevolg van een cyberaanval"]
[null,null,null,"De instelling heeft afspraken gemaakt met haar dienstverleners over Recovery Point Objectives (RPO’s) en Recovery Time Objectives (RTO’s) en het testen daarvan."]
[]
[null,"11.4 Restoration",null,"11.4 Backup and restoration"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling heeft op basis van de business impact analyse procedures in het IT continuïteitsplan geïmplementeerd voor herstel van ICT-­systemen, ICT-­applicaties, gegevens en documentatie voor zowel de korte als, indien noodzakelijk, ook voor de middellange en lange termijn. ",null,"De instelling heeft procedures opgesteld en geïmplementeerd voor back­up en herstel van IT­systemen, IT­applicaties, gegevens en documentatie.",null,"Business impact analyse is basis voor bepalen veilig te stellen data"]
[null,"De instelling kan op passende wijze reageren binnen de doelstelling van hun eigen Recovery Time Objectives10 en hun eigen Recovery Point Objectives (RPO’s, de maximale tijd waarbinnen een systeem of proces moet worden hersteld na een incident) De procedures en plannen zijn gedocumenteerd, breed beschikbaar en gemakkelijk raadpleegbaar in geval van nood, met inbegrip van een duidelijke definitie van rollen en verantwoordelijkheden. ",null,"De instelling heeft maatregelen getroffen om cyberdreigingen die gericht zijn op het beschadigen van backups te voorkomen, te detecteren en te mitigeren.",null,"1)RTO / RPO als basis voor herstelmaatregelen\n2)procedures zijn gedocumenteerd en beschikbaar"]
[null,"De procedures en plannen worden voortdurend bijgewerkt in overeenstemming met de lessen die getrokken worden uit de incidenten, tests, nieuwe risico’s en bedreigingen dit geldt ook voor de RTO’s en RPO’s.",null,null,null,"Bijwerken procedures en plannen n.a.v. lessen uit incidenten, tests, nieuwe risico's en bedreigingen"]
[null,"Het maken en herstellen van back-ups voldoet aan het beleid van de instelling voor wat betreft de voortdurende beschikbaarheid, integriteit, vertrouwelijkheid en authenticiteit\nvan systemen en gegevens. Hierbij zijn de inhoud en frequentie van back-ups vastgesteld in overeenstemming met de bedrijfsvereisten inzake herstel. De back-up- en herstelprocedures worden op regelmatige basis getest en geëvalueerd.",null,null,null,"Eisen opstellen voor maken backups en herstellen data"]
[null,"Bij het herstellen van een ICT-gerelateerd incident worden de benodigde controles uitgevoerd om de integriteit van de data te borgen. Hierbij is aandacht voor consistentie tussen systemen.",null,null,null,"Controles uitvoeren bij herstel van incident"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft afspraken gemaakt met haar dienstverleners en ook intern tussen business en IT over Recovery Point Objectives (RPO’s) en Recovery Time Objectives (RTO’s) en het testen daarvan.",null,null,null,"1) afspraken met leverancier over RPO en RTO\n2) testen van de afspraken"]
[null,"In de procedures en plannen voor back-up en herstel van ICT-systemen wordt gespecificeerd welke omstandigheden activering van de plannen op gang kunnen brengen, en welke acties worden ondernomen om de integriteit, de beschikbaarheid, de continuïteit en het herstel van ten minste de kritieke ICT-systemen, ICT-diensten en gegevens te waarborgen. De plannen zijn erop gericht de hersteldoelstellingen met betrekking tot de activiteiten van de instelling te verwezenlijken",null,null,null,"In procedure scenario's vastleggen wanneer plan op gang wordt gebracht"]
[null,"Na een storing of majeure systeemuitval kan de instelling met behulp van backups of “snapshots” haar data en IT-systemen binnen de gestelde tijdslimiet herstellen zodat haar kritieke bedrijfsprocessen met integere data en correct werkende systemen kan worden voortgezet.",null,"Na een storing of majeure systeemuitval kan de instelling met behulp van backups of “snapshots” haar data en IT-systemen binnen de gestelde tijdslimiet herstellen zodat haar kritische bedrijfsprocessen met integere data en correct werkende systemen kan worden voortgezet."]
[null,"De instelling test periodiek of de back-up en het terugzetten hiervan correct werkt.",null,"De instelling test periodiek of de back-up en het terugzetten hiervan correct werkt."]
[null,"De instelling heeft een maximale downtime en het maximale verlies van data van haar kritieke processen bepaald en vastgesteld op basis van realistische tests dat herstelwerkzaamheden (bijvoorbeeld: het terugzetten van backups) binnen deze maximale downtime haalbaar is.",null,"De instelling heeft een maximale downtime van haar kritische processen bepaald en vastgesteld op basis van realistische tests dat herstelwerkzaamheden (bijvoorbeeld: het terugzetten van backups) binnen deze maximale downtime haalbaar is."]
[null,null,null,"De instelling heeft een recovery scenario opgesteld voor het geval zich cybersecurity incidenten voordoen."]
[null,null,null,"De instelling heeft diverse maatregelen getroffen om de toegang tot backups te bewaken en te monitoren: offline backup, netwerkzonering, detectie van afwijkende backup/restore activiteiten."]
[]
[null,"12.1 Storage and retention arrangements",null,"12.1 Storage and retention arrangements"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling heeft een beleid betreft gegevensopslag, retentie en archivering van data. Deze wordt periodiek geactualiseerd en gecontroleerd. ",null,"De instelling heeft een beleid betreft gegevensopslag, retentie en archivering van data. Deze wordt periodiek geactualiseerd en gecontroleerd."]
[null,"De instelling heeft procedures gedefinieerd en geïmplementeerd voor gegevensopslag, retentie en archivering van data in lijn met de bedrijfsdoelstellingen.",null,"De instelling heeft procedures gedefinieerd en geïmplementeerd voor gegevensopslag, retentie en archivering van data in lijn met de bedrijfsdoelstellingen."]
[null,"Kritische gegevensopslag en de omgeving waarop de gegevensopslag wordt gehost, zijn beschermd tegen Ransomware aanvallen (zoals het hanteren van air gap, Write Once­Read Many (WORM) etc)",null,null,null,"Maatregelen die gegevens(opslag) beschermen tegen ransomware aanvallen"]
[null,"Bij de opslag van data wordt rekening gehouden met de wettelijke vereisten ten aanzien van bewaartermijnen.",null,"Bij de opslag van data wordt rekening gehouden met de wettelijke vereisten ten aanzien van bewaartermijnen."]
[null,"Periodiek wordt bekeken of voldoende capaciteit aanwezig is voor de back­up zodat kritieke data altijd volledig hersteld kan worden",null,null,null,"Capaciteit backups periodiek controleren"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling houdt een vervalkalender bij van opgeslagen data op grond waarvan gegevens worden vernietigd.",null,"De instelling houdt een vervalkalender bij van opgeslagen data op grond waarvan gegevens worden vernietigd."]
[null,"De instelling heeft afspraken gemaakt met de dienstverleners ten aanzien van de bewaartermijn van data conform het beleid van de instelling. Deze werken door naar eventuele onderaannemers."]
[null,"De instelling gaat periodiek na in hoeverre de dienstverleners zich houden aan de afgesproken bewaartermijnen, bijvoorbeeld door middel van SLR en/of assurance rapportages",null,"De instelling gaat periodiek na in hoeverre de dienstverleners zich houden aan de afgesproken bewaartermijnen."]
[null,"De instelling beoordeelt periodiek of dienstverleners en onderaannemers voldoen aan de eisen van de instelling op het gebied van gegevensopslag, archivering en retentie",null,"De instelling beoordeelt periodiek of dienstverleners en onderaannemers voldoen aan de eisen van de instelling op het gebied van gegevensopslag, archivering en retentie."]
[]
[null,"12.2 Disposal",null,"12.2 Disposal"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling heeft procedures gedefinieerd en geïmplementeerd om ervoor te zorgen dat aan bedrijfsvereisten voor de bescherming van gevoelige gegevens en software is voldaan, wanneer gegevens en hardware worden verwijderd of overgedragen.",null,"De instelling heeft procedures gedefinieerd en geïmplementeerd om ervoor te zorgen dat aan bedrijfsvereisten voor de bescherming van gevoelige gegevens en software is voldaan, wanneer gegevens en hardware worden verwijderd of overgedragen."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling hanteert vernietigingsprotocollen voor het schonen en vernietigen van documenten en elektronische gegevensdragers zoals laptops, mobiele telefoons, harde schijven, SSD opslagmedia en USB sticks.",null,"De instelling heeft vernietigingsprotocollen voor documenten en elektronische gegevensdragers zoals disk drives, SSD opslagmedia en USB sticks."]
[null,"De instelling heeft met dienstverleners afspraken gemaakt over het veilig verwijderen en vernietigen van gegevens. De instelling controleert periodiek of dienstverleners nog voldoen aan deze afspraken.",null,"De instelling heeft met dienstverleners afspraken gemaakt over het veilig verwijderen en vernietigen van gegevens. De instelling controleert periodiek of dienstverleners nog voldoen aan deze afspraken."]
[]
[null,"12.3 Security requirements for data management",null,"12.3 Security requirements for data management"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling heeft beleid en procedures gedefinieerd en geïmplementeerd ten aanzien van het veilig ontvangen, verwerken, opslaan en verstrekken van data conform het beleid van de instelling.",null,"De instelling heeft beleid en procedures gedefinieerd en geïmplementeerd ten aanzien van het veilig ontvangen, verwerken, opslaan en verstrekken van data conform het beleid van de instelling."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling neemt in haar informatiebeveiligingsbeleid op hoe medewerkers met gevoelige informatie omgaan op basis van haar dataclassificatiebeleid (zie beheersmaatregel 2.2).",null,"De instelling neemt in haar informatiebeveiligingsbeleid op hoe medewerkers met gevoelige informatie moeten omgaan op basis van haar dataclassificatie (zie beheersingsmaatregel 2.2)."]
[null,"De instelling verstrekt de juiste middelen die haar medewerkers in staat stelt om op veilige wijze data te kunnen versturen en te kunnen ontvangen, zoals encrypted USB sticks, versleutelde internet verbindingen, secure e-mail, document vaults, etc.",null,"De instelling verstrekt de juiste middelen die haar medewerkers in staat stelt om op veilige wijze data te kunnen versturen en te kunnen ontvangen, zoals encrypted USB sticks, versleutelde internet verbindingen, secure e-mail, document vaults, etc."]
[null,"Periodiek controleert de instelling of zij nog voldoet aan weten regelgeving omtrent dataopslag. Daar waar nodig stelt zij haar beleid en procedures bij.",null,"Periodiek controleert de instelling of zij nog voldoet aan wet- en regelgeving omtrent dataopslag. Daar waar nodig stelt zij haar beleid en procedures bij."]
[null,"De instelling beoordeelt op periodiek of dienstverleners in de keten voldoen aan de eisen van de instelling op het gebied van data management.",null,"De instelling beoordeelt op periodiek of dienstverleners in de keten voldoen aan de eisen van de instelling op het gebied van data management."]
[]
[null,"13.1 Configuration repository and baseline",null,"13.1 Configuration repository and baseline"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling beheert, inventariseert, volgt, corrigeert en verwijdert ongeautoriseerde en onbeheerde ICT-assets waarvan haar bedrijfsprocessen afhankelijk zijn, zowel intern\nals in haar uitbestedingsketen.",null,"De instelling heeft integraal inzicht in de IT­assets waarvan haar bedrijfsprocessen afhankelijk zijn.",null,"Maatregelen treffen voor goed beheer van IT assets; Deze gelden ook voor uitbesteding"]
[null,"De inventaris van de ICT-assets is voldoende gedetailleerd om snel een identificatie van een ICT-asset, de locatie, relatie met andere ICT-assets, de beveiligingsclassificatie en de eigenaar ervan mogelijk te maken.",null,null,null,"Voldoende detaillering van IT assets"]
[null,"De instelling houdt een register bij van end user computing toepassingen die kritieke bedrijfsfuncties of ­processen ondersteunen.",null,null,null,"Register van end user toepassingen die kritieke functies/processen ondersteunen"]
[null,"De instelling heeft inzicht in de configuratie(parameters) van die ICT-assets.",null,"De instelling heeft inzicht in de configuratie(parameters) van die IT­assets."]
[null,"De instelling evalueert aanbevelingen van leveranciers en externe partijen voor een veilige inrichting van ICT-infrastructuur en ICT-applicaties en legt vast hoe zij haar\nICT-assets ‘veilig’ configureert (baselines).",null,"De instelling evalueert aanbevelingen van leveranciers voor een veilige inrichting van IT­infrastructuur en IT­applicaties en legt vast hoe zij haar IT­assets ‘veilig’ configureert (baselines)."]
[null,"De verantwoordelijkheid voor de configuratie (baselines) van de verschillende ICT­assets is toebedeeld aan de betreffende onderdelen binnen de instelling en is vastgelegd.",null,null,null,"Verantwoordelijkheid voor configuratie van IT assets beleggen\n"]
[null,null,null,"Voorbeelden hierbij zijn"]
[null,"De instelling bepaalt de (security) baselines op basis van diverse bronnen als leveranciers, best-practices in de markt en richtsnoeren."]
[null,"De instelling heeft haar ICT-assets geïnventariseerd en vastgelegd in centrale repository zoals een Configuration Management Database (CMDB).",null,"De instelling heeft haar IT-assets geïnventariseerd en vastgelegd in centrale repository zoals een Configuration Management Database (CMDB)."]
[null,"De instelling gebruikt de CMDB ter verificatie van de werkelijk aanwezige ICT-assets. Verschillen worden geanalyseerd en opgevolgd.",null,"De instelling gebruikt de CMDB ter verificatie van de werkelijk aanwezige IT-assets. Verschillen worden geanalyseerd."]
[null,"De instelling gebruikt de CMDB om te bepalen in hoeverre ICT-assets zijn verouderd en in hoeverre zij worden ondersteund met security updates.",null,"De instelling gebruikt de CMDB om te bepalen in hoeverre IT-assets zijn verouderd en in hoeverre zij worden ondersteund met security updates."]
[null,null,null,"De instelling gebruikt de CMDB om te bepalen in hoeverre IT-assets zijn geïnstalleerd conform een veilige uitgangssituatie (baseline)."]
[]
[null,"13.2 Identification and Maintenance of Configuration Items",null,"13.2 Identification and Maintenance of Configuration Items"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Wijzigingen in de configuratie management database (zie beheersmaatregel 13.1) vinden beheerst plaats. Dat wil zeggen dat wijzigingen zijn geaccordeerd en worden gelogd. De instelling heeft de configuratiemanagementprocedure vastgelegd.",null,"Wijzigingen in de configuratie management database (zie beheersingsmaatregel 13.1) vinden gecontroleerd plaats. Dat wil zeggen dat wijzigingen zijn geaccordeerd en worden gelogd. De instelling heeft de configuratiemanagementprocedure beschreven"]
[null,"De configuratiemanagementprocedure is geïntegreerd met procedures voor wijzigingsbeheer, incidentbeheer en probleembeheer.",null,"De configuratiemanagementprocedure is geïntegreerd met procedures voor wijzigingsbeheer, incidentbeheer en probleembeheer."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De configuratiemanagementprocedures zijn gebaseerd op internationale standaarden zoals ITIL.",null,"De configuratiemanagementprocedures zijn gebaseerd op internationale standaarden zoals ITIL."]
[null,"De instelling voert periodiek geautomatiseerde scans (inventarisatie) uit op de ICT-infrastructuur. De uitkomst van deze scans wordt vergeleken met de inhoud van de CMDB en indien hierin afwijkingen voorkomen, worden deze geanalyseerd en wordt actie ondernomen.",null,"Periodiek wordt door de instelling geautomatiseerde inventarisatie scans uitgevoerd op de ITinfrastructuur. De uitkomst van deze scans wordt vergeleken met de inhoud van de CMDB en indien hierin afwijkingen voorkomen worden deze geanalyseerd en actie op ondernomen."]
[null,null,null,"De instelling stelt op grond van assurance rapportages vast dat haar dienstverleners hun configuratie management beheersen."]
[]
[null,"14.1 Third party and supplier services management",null,"14.1 Monitoring and reporting of Service Level Achievements"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur geeft goedkeuring aan en herziet periodiek het uitbestedingsbeleid",null,null,null,"Uitbestedingsbeleid periodiek herzien door bestuur"]
[null,"Voordat de instelling overgaat tot uitbesteding, stelt zij conform beleid en geldende regelgeving een passend beschermingsniveau vast voor de vertrouwelijkheid van gegevens, de continuïteit van de uitbestede activiteiten en de integriteit en herleidbaarheid van gegevens en systemen. ",null,null,null,"Beschermingsniveau voor uitbesteding (vertrouwelijkheid gegevens, continuiteit, integriteit, herleidbaarheid) vooraf vaststellen; hieruit eisen stellen en die opnemen in afspraken met dienstverleners"]
[null,"De instelling verwerkt de eisen, die voortvloeien uit deze beschermingsniveaus, in afspraken met de dienstverleners op alle schakels in de kritieke uitbestedingsketen. "]
[null,"De instelling is specifieke kwantitatieve en kwalitatieve prestatie criteria overeengekomen met haar dienstverleners die daarover rapporteren aan de instelling in rapportages of dashboards. ",null,"De instelling is specifieke kwantitatieve en kwalitatieve prestatie criteria overeengekomen met haar dienstverleners die daarover rapporteren aan de instelling."]
[null,"De rapportages of dashboards worden verder geanalyseerd om zowel positieve als negatieve trends en ontwikkelingen te identificeren voor zowel instelling specifieke als generieke diensten. ",null,"Rapportages van dienstverleners worden geanalyseerd om zowel positieve als negatieve trends en ontwikkelingen te identificeren voor zowel instelling specifieke als generieke diensten. Hierover wordt het daarvoor verantwoordelijk lijnmanagement geïnformeerd."]
[null,"Het verantwoordelijk lijnmanagement wordt zowel over de kwantitatieve en kwalitatieve prestaties als over de trends analyses geïnformeerd.",null,null,null,"Rapportages zowel over kwantitatieve als kwalitatieve prestatiecriteria"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling ontvangt periodiek rapportages of heeft toegang tot dashboards waarin de daadwerkelijk gemeten servicelevels op inzichtelijke wijze zijn opgenomen en zijn afgezet tegen de in de Service Level Agreement afgesproken service-level doelstellingen (prestatie- en kwaliteitsnormen).",null,"De instelling ontvangt periodiek een rapportage waarin de daadwerkelijk gemeten servicelevels op inzichtelijke wijze zijn opgenomen en zijn afgezet tegen de in de Service Level Agreement afgesproken service-level doelstellingen (prestatieen kwaliteitsnormen)."]
[null,"De instelling ontvangt een geïntegreerde rapportage van haar IT-dienstverleners waarin prestaties van onderaannemers zijn geïntegreerd in de gemeten prestatie criteria.",null,"De instelling ontvangt een geïntegreerde rapportage van haar IT-dienstverlener waarin prestaties van onderaannemers zijn geïntegreerd in de gemeten prestatie criteria"]
[null,"Geaggregeerde rapportages geven het management van de instelling op verschillende managementniveaus inzicht in alle uitbestedingsrisico’s, afgezet tegen haar risicobereidheid. De instelling besteedt aandacht aan de mechanismen voor integratie van de clouddiensten in de systemen van de instelling, bijvoorbeeld de programmeringsinterfaces van applicaties (API’s) en een goed gebruikers- en toegangsbeheerproces. De instelling sluit alleen regelingen met dienstverleners die voldoen aan haar normen op het gebied van informatiebeveiliging en continuïteit. Wanneer die contractuele afspraken zien op kritiek of belangrijke functies, stelt de instelling, alvorens de regelingen te sluiten, terdege vast of door deze dienstverleners de meest actuele en hoogste kwaliteitsnormen voor informatiebeveiliging worden toegepast.",null,"Geaggregeerde rapportages geven het management van de instelling op verschillende managementniveaus inzicht in alle uitbestedingsrisico’s, afgezet tegen haar risicobereidheid.",null,"Aandacht voor clouddiensten in de systemen. Alleen met dienstverleners samenwerken die voldoen aan eigen normen."]
[null,"Vóór het sluiten van een regeling beoordeelt de instelling:  \n- of de regeling betrekking heeft op kritieke of belangrijke functies;  \n- of aan de toezichtvoorwaarden is voldaan;  \n- alle relevante risico’s inclusief de mogelijkheid tot een versterking van het IT-concentratierisico;  \n- of de dienstverlener geschikt is op basis van uitkomsten due-diligence onderzoeken;  \n- belangenconflicten die kunnen voortkomen uit de regeling.",null,null,null,"Criteria voordat overeenkomst getekend mag worden."]
[]
[null,"14.2 Third party and supplier risk management",null,"14.2 Supplier risk management"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling heeft de risico’s die zij lopen vanuit dienstverleners geïnventariseerd en heeft een strategie ten aanzien van deze risico’s opgesteld, die regelmatig wordt geëvalueerd. Daarbij wordt ook het concentratierisico en de gevolgen van complexe uitbestedingsketens beoordeeld op het risicoprofiel.",null,"Risico’s met betrekking tot de continue en betrouwbare dienstverlening door dienstverleners zijn geïdentificeerd en gemitigeerd.",null,"Strategie voor third party risk opstellen. Hierbij ook concentratierisico beoordelen."]
[null,"De instelling heeft door middel van deze analyse een actueel beeld van het inherente informatie beveiligingsrisico van alle uitbestedingen en/of uitbestedingsketens. De instelling overziet zelf welke beheersmaatregelen conform het informatiebeleid zijn getroffen en in hoeverre die aantoonbaar werken. Het bestuur is en wordt daarvan op de hoogte gesteld. ",null,null,null,"Actueel beeld van risico van alle uitbestedingen bijhouden"]
[null,"De Instelling heeft vastgesteld voor haar dienstverleners en eventueel daarin gelieerde onderaannemers, welke beheersmaatregelen vanuit de instelling en/of deze good practice van toepassing zijn en waarover assurance over de effectieve werking en het volwassenheidsniveau verkregen dient te worden.",null,null,null,"Vaststellen welke beheersingsmaatregelen (uit deze good practice) van toepassing zijn waarover zekerheid (volwassenheidsniveau en effectieve werking) moet worden verkregen"]
[null,"Een register wordt bijgehouden met alle contractuele regelingen als onderdeel van het kader voor het beheer van IT­ en uitbestedingsrisico. ",null,null,null,"Register van uitbestedingscontracten bijhouden, met onderscheid wel/niet kritiek"]
[null,"In het register wordt onderscheid gemaakt tussen dienstverleners die kritieke of belangrijke functies ondersteunen en degenen die dat niet doen. "]
[null,"Contracten zijn opgesteld volgens industrie standaarden en zijn in overeenstemming met geldende wettelijke bepalingen.",null,"Contracten zijn opgesteld volgens industrie standaarden en zijn in overeenstemming met wettelijke bepalingen."]
[null,"Risicomanagement van de instelling beoordeelt de continue beschikbaarheid van kritieke of belangrijke uitbestede dienstverlening, fall back mogelijkheden om de dienstverlening op een alternatieve wijze voort te zetten en conformiteit met standaards op het gebied van informatiebeveiliging en cybersecurity. ",null,"Risicomanagement van de instelling beoordeelt de continue beschikbaarheid van kritieke of belangrijke dienstverlening door de dienstverleners, fall back mogelijkheden om de dienstverlening door dienstverleners op een alternatieve wijze voort te zetten en conformiteit met standaards op het gebied van informatiebeveiliging en cybersecurity."]
[null,"De instelling hanteert een risico gebaseerde benadering met betrekking tot informatiebeveiliging ten aanzien van de locatie(s) (d.w.z. land of regio) voor gegevensopslag en verwerking ",null,null,null,"Risicogebasseerde benadering hanteren voor locaties uitbestede activiteiten, voor informatiebeveiliging gegevensopslag en verwerking"]
[null,"De instelling beschikt over een gedegen en goed gedocumenteerd incidentenbeheerproces, met inbegrip van de verantwoordelijkheden van alle betrokken partijen, bijvoorbeeld door vaststelling van een samenwerkingsmodel in geval van daadwerkelijke of vermoede incidenten",null,null,null,"Incidentbeheerproces binnen uitbestede activiteiten inrichten"]
[null,"De instelling heeft ten aanzien van de dienstverleners die kritieke en belangrijke functies ondersteunen een alomvattende exitstrategie gedocumenteerd en daar waar mogelijk getest en/of geoefend.",null,null,null,"Exitstrategie opstellen en testen/oefenen"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling stelt samen met haar dienstverleners een risicoanalyse en een strategie met betrekking tot de continuïteit en betrouwbaarheid van de dienstverlening op en actualiseert deze met een vaste frequentie. Risico’s bij dienstverleners waaraan diensten zijn onder-uitbesteed zijn meegenomen in de risicoanalyses.",null,"De instelling heeft samen met haar dienstverleners een risicoanalyse met betrekking tot de continuïteit en betrouwbaarheid van de dienstverlening opgesteld. Risico’s bij partijen waaraan diensten zijn onder-uitbesteed zijn meegenomen in de risicoanalyse.",null,"Strategie opgesteld in samenspel met dienstverleners."]
[null,"De strategie omvat een beleid inzake het gebruik van ICTdiensten ter ondersteuning van kritieke of belangrijke functies die worden geleverd door ICT-derden dienstverleners en zijn van toepassing op individuele basis en, indien van toepassing, op gesubconsolideerde en geconsolideerde basis.",null,null,null,"Vereisten aan die strategie."]
[null,"Om het IT-concentratierisico te beoordelen wordt beoordeeld of het contract met een dienstverlener makkelijk substitueerbaar is en of er meerdere contractuele regelingen zijn met dezelfde dienstverlener of met nauw verbonden dienstverleners. De kosten en baten van alternatieve oplossingen worden tegenover elkaar afgewogen met het oog op de digitale veerkracht.",null,null,null,"Concentratierisico moet meegewogen worden bij het aangaan van contracten."]
[null,"Wanneer er een mogelijkheid is dat een dienstverlenereen kritieke of belangrijke taak onder-uitbesteedt, worden de baten en risico’s afgewogen die hieruit kunnen voortkomen, met name wanneer de IT-onderaannemer is gevestigd in een land waarin de instelling zelf niet is gevestigd.",null,null,null,"Bij KOB-taken extra analyses van baten en risico's."]
[null,"De instelling is met haar dienstverleners een exit plan overeengekomen. Hierin staan afspraken over een gecontroleerde beëindiging van de dienstverlening, zoals de wijze van transitie / migratie, de aansprakelijkheid en het verwijderen van de (backup) data van de instelling na de exit. Onder-uitbesteding is in scope van de exit plannen. De instelling heeft beheersmaatregelen getroffen om de continuïteit van onderhoud aan software die specifiek voor de instelling is ontwikkeld (zelfbouw en maatwerk), te waarborgen. Hiertoe zijn Escrow overeenkomsten gesloten en/ of afspraken over voortzetting. De instelling gaat voor kritieke of belangrijke systemen na in hoeverre deze afspraken in de overeenkomsten zijn nageleefd.",null,"De instelling is met haar dienstverleners een exit plan overeengekomen. Hierin staan afspraken over een gecontroleerde beëindiging van de dienstverlening, zoals de wijze van transitie / migratie, de aansprakelijkheid en het verwijderen van de (backup) data van de instelling na de exit. Onder-uitbesteding is in scope van de exit plannen."]
[null,null,null,"De instelling heeft maatregelen getroffen om de continuïteit van onderhoud aan software die specifiek voor de instelling is ontwikkeld (zelfbouw en maatwerk), te waarborgen. Hiertoe zijn Escrow overeenkomsten gesloten. De instelling gaat voor kritieke of belangrijke systemen na in hoeverre deze afspraken in de overeenkomsten zijn nageleefd."]
[null,"De instelling beschikt over een standaard geheimhoudingsverklaring voor elke organisatie die een contractuele relatie aangaat met de instelling. De ondertekening van de verklaring door relevante partijen wordt bewaakt",null,"De instelling beschikt over een standaard geheimhoudingsverklaring voor elke organisatie die een contractuele relatie aangaat met de instelling. De ondertekening van de verklaring door relevante partijen wordt bewaakt"]
[null,"De instelling beoordeelt periodiek de solvabiliteit en wendbaarheid van haar kritieke dienstverleners en neemt waar nodig actie.",null,"De instelling beoordeelt periodiek de solvabiliteit van haar kritische dienstverleners en neemt waar nodig actie."]
[null,"De instelling bepaalt vooraf op risicogebaseerde wijze de frequentie en scope van de audits en inspecties en of de uitvoerende auditors/externe accountants passende vaardigheden en kennis hebben.",null,null,null,"Risicogebaseerd bepalen wanneer en welke audits plaatsvinden."]
[null,"De instelling beëindigt contractuele regelingen: - bij overtreding van wetten, voorschriften of bepalingen door de dienstverlener; - bij omstandigheden die ongewenste wijzigingen kunnen brengen in de uitvoering van de uitgevoerde dienstverlening door dedienstverlener; - bij zwakheden van de dienstverlener in het algemeen beheer van het IT-risico; - wanneer de bevoegde autoriteit niet langer doeltreffend toezicht kan uitvoeren;",null,null,null,"Vereisten voor in het contract."]
[]
[null,"15.1 Security incident policy and definition ",null,"15.1 Security incident definition"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling beschikt over een geformaliseerd beleid voor incident management, waaraan een escalatieprocedure en escalatiecriteria zijn gekoppeld.",null,"De instelling hanteert een eenduidige definitie voor beveiligingsincidenten die bij alle belanghebbenden bij de instelling bekend is.",null,"(niet nieuw, was voorheen 15.2)"]
[null,"De escalatieprocedure is gebaseerd op overeengekomen serviceniveaus voor incidenten die niet onmiddellijk kunnen worden opgelost. De instelling hanteert een eenduidige definitie voor beveiligingsincidenten die bij alle belanghebbenden bij de instelling bekend is.",null,null,null,"(niet nieuw, was voorheen 15.2)"]
[null,"In het incidentmanagement proces zijn (cyber)beveiligingsincidenten afzonderlijk geclassificeerd en vastgelegd via logbestanden met als doel dat op dergelijke incidenten snel en met de juiste expertise wordt gereageerd. Bij de afhandeling van (cyber)beveiligingsincidenten worden alle stappen met bijbehorende informatie in een log vastgelegd.",null,"In het incidentmanagement proces zijn (cyber)beveiligingsincidenten afzonderlijk geclassificeerd en vastgelegd met als doel dat op dergelijke incidenten snel en met de juiste expertise wordt gereageerd.",null,"Logging van afhandeling incident"]
[null,"De instelling heeft procedures vastgesteld met betrekking tot het melden van cybersecurity incidenten, het reageren op (cyber)beveiligingsincidenten, het beperken van schade als gevolg van die incidenten en het uitvoeren van herstelwerkzaamheden.",null,null,null,"Procedure cybersecurity incident (incl. melden en reageren)"]
[null,"(Cyber)security incidenten worden conform geldende regels gerapporteerd aan de autoriteiten.",null,"(Cyber)security incidenten worden conform geldende regels gerapporteerd aan de autoriteiten."]
[null,"Na grote ICT-gerelateerde incidenten die de kernactiviteiten van de instelling verstoren worden de oorzaken van deverstoring geanalyseerd en de noodzakelijke verbeteringen\ngeïdentificeerd en tijdig geïmplementeerd.",null,"De instelling heeft procedures vastgesteld met betrekking tot het melden van cybersecurity incidenten, het reageren op (cyber)beveiligings­incidenten, het beperken van schade als gevolg van die incidenten en het uitvoeren van herstelwerkzaamheden.",null,"(dit is niet nieuw, was voorheen 15.2, heeft nu meer nadruk)"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft een proces ingericht dat waarborgt dat alle (potentiële) beveiligingsincidenten centraal worden gemeld en worden geregistreerd.",null,"De instelling heeft een proces ingericht dat waarborgt dat alle (potentiele) beveiligingsincidenten centraal worden gemeld en worden geregistreerd."]
[null,null,null,"De Security Officer beoordeelt (ten minste) dagelijks de geregistreerde beveiligingsincidenten en bepaalt de impact en opvolging hiervan."]
[null,null,null,"De instelling en de dienstverleners werken proactief samen bij het detecteren van en het reageren op cybersecurity incidenten in de keten van uitbestede diensten en IT-infrastructuur. De instelling heeft hiervoor een Security Operations Center (SOC) ingericht."]
[null,null,null,"De instelling maakt gebruik van tooling zoals een SIEM om IT-gerelateerde beveiligingsinformatie te verzamelen, te combineren en te analyseren, met als doel om tijdig inzicht te krijgen in en proactief te reageren op (mogelijke) beveiligingsincidenten."]
[null,null,null,"Indien zich een substantieel incident voordoet wordt het bestuur voldoende geïnformeerd over de respons. Het bestuur geeft indien nodig sturing aan deze respons en evalueert achteraf het incident en neemt de uitkomsten van deze evaluatie mee in de risicomanagement cyclus."]
[null,"De instelling classificeert ICT-gerelateerde incidenten en bepaalt hun impact op basis van onder meer de volgende criteria:\n- het aantal en/of de relevantie van de getroffen cliënten of financiële tegenpartijen en indien van toepassing, het bedrag of het aantal transacties dat wordt beïnvloed door\nhet ICT-gerelateerde incident, en of het ICT-gerelateerde incident reputatieschade heeft veroorzaakt.\n- de duur van het ICT-gerelateerde incident met inbegrip van de uitvaltijd van de dienst;\n- de geografische spreiding met betrekking tot de door het ICT-gerelateerde incident getroffen gebieden, vooral als het meer dan twee regio’s betreft.\n- het dataverlies dat het ICT-gerelateerde incident met zich meebrengt, zoals voortdurende beschikbaarheid, integriteit, vertrouwelijkheid of authenticiteitsverlies;\n- het kritieke karakter van de betrokken diensten, met inbegrip van de transacties van de instelling en operaties.\n- de economische impact, met name directe en indirecte kosten en verliezen, van het ICT-gerelateerde incident, zowel in absolute als relatieve zin. ",null,null,null,"Criteria Classificatie & impact bepaling incident"]
[null,"De evaluatie van het incident bepaalt of de vastgestelde procedures werden gevolgd en de genomen beheersmaatregelen effectief waren, onder meer t.a.v.: \n- de snelheid waarmee wordt gereageerd, het bepalen van de impact van ICT-gerelateerde incidenten en de ernst ervan; \n- de kwaliteit en snelheid bij het uitvoeren van forensische analyses; \n- de doeltreffendheid van de escalatie van incidenten; \n- de doeltreffendheid van interne en externe communicatie.",null,null,null,"Evaluatie van het incident"]
[]
[null,"15.2 Incident escalation",null,"15.2 Incident escalation"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Significante incidenten worden gerapporteerd aan het bestuur waarbij zij ten minste op de hoogte wordt gebracht van de impact, de reactie en de lessons­learned. ",null,"De instelling beschikt over een geformaliseerd beleid voor incident management, waarin een escalatieprocedure en escalatiecriteria zijn opgenomen."]
[null,"De instelling heeft menskracht, expertise en procedures beschikbaar om als een Computer Security Security Incident Response Team (CSIRT) op te treden.",null,null,null,"CSIRT inrichting"]
[null,null,null,"De escalatieprocedure is gebaseerd op overeen­gekomen serviceniveaus voor incidenten die niet onmiddellijk kunnen worden opgelost."]
[null,"Categorisering en prioritering van incidenten gebeurt op basis van impactanalyse, gedefinieerde criteria en serviceniveaus.",null,"Categorisering en prioritering gebeurt op basis van impactanalyse, gedefinieerde criteria en serviceniveaus."]
[null,"De gepaste criteria en drempelwaarden worden vastgelegd om een gebeurtenis te classificeren als een veiligheidsincident, evenals vroegtijdige waarschuwingsindicatoren om een vroegtijdige detectie van deze incidenten mogelijk te maken. ",null,null,null,"Escalatiecriteria en drempelwaarden vastleggen, net als waarschuwingsindicatoren"]
[null,"Het reageren op informatiebeveiliging en cybersecurity incidenten wordt getraind.",null,"Het reageren op informatiebeveiliging en cybersecurity incidenten wordt getraind."]
[null,"Incidenten zijn toegewezen aan een eigenaar.",null,"Incidenten zijn toegewezen aan een eigenaar."]
[null,"Escalatieprocedures en verantwoordelijkheden omtrent besluitvorming bij (cyber)incidenten zijn binnen de instelling bekend en worden nageleefd. Procedures voor incidentmeldingen en activatie van crisismanagement zijn opgesteld.",null,"Significante incidenten worden gerapporteerd aan het management."]
[null,"(Cyber)security incidenten worden conform geldende regels gerapporteerd aan de autoriteiten.",null,null,null,"Rapportage naar autoriteiten"]
[null,null,null,"Escalatieprocedures zijn binnen de instelling bekend en worden nageleefd."]
[null,null,null,"Oplossingen voor incidenten worden regelmatig geanalyseerd om processen en IT­systemen te verbeteren."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft een CSIRT opgericht, bestaande uit gespecialiseerde ICT-professionals, dat in staat is snel te handelen in het geval van een informatiebeveiligings- of cybersecurity incident. Het CSIRT heeft als doel schade te reduceren en snel herstel van de dienstverlening te bevorderen.",null,"Naast het hiervoor genoemde beleid en escalatieprocedures, heeft de instelling een Computer Emergency Response Team (CERT) opgericht, bestaande uit gespecialiseerde ICTprofessionals, dat in staat is snel te handelen in het geval van een informatiebeveiligings- of cybersecurity incident. Het CERT heeft als doel schade te reduceren en snel herstel van de dienstverlening te bevorderen."]
[null,"Het CERT maakt bijvoorbeeld gebruik van het cybersecurity incident response proces zoals beschreven door het SANS instituut waarbij ze kijkt naar de volgende stappen \n1. Preparation. \n2. Identification. \n3. Containment. \n4. Eradication. \n5. Recovery \n6. Post Incident",null,"Het CERT van de instelling richt zich ook op de preventie van cybersecurity incidenten en de voorbereiding van de instelling op dergelijke incidenten."]
[null,"De Security Officer beoordeelt (ten minste) dagelijks de geregistreerde beveiligingsincidenten en bepaalt de impact en opvolging hiervan."]
[null,"De instelling en de dienstverleners werken proactief samen bij het detecteren van en het reageren op cybersecurity incidenten in de keten van uitbestede diensten en ICT-infrastructuur. De instelling heeft hiervoor Security Operations Center (SOC) of\nCyber Defence Center ingericht."]
[null,"De instelling maakt als alternatief voor het inrichten van een eigen SOC cq Cyber Defence Center gebruik van een commerciële externe SOC of een SOC die zij samen met andere instellingen beheert."]
[null,"De instelling maakt gebruik van tooling zoals een SIEM om ICTgerelateerde beveiligingsinformatie te verzamelen, te combineren en te analyseren, met als doel om tijdig inzicht te krijgen in en proactief te reageren op (mogelijke) beveiligingsincidenten."]
[null,"Het CSIRT van de instelling richt zich ook op de preventie van cybersecurity incidenten en de voorbereiding van de instelling op dergelijke incidenten."]
[null,"Het bestuur geeft indien nodig sturing aan deze respons en evalueert achteraf het incident en neemt de uitkomsten van deze evaluatie mee in de risicomanagement cyclus."]
[null,"Specifieke externe communicatieplannen voor kritieke bedrijfsfuncties en -processen worden opgesteld om: \ni. samen te werken met de relevante belanghebbenden; \nii. Tijdige informatie, met inbegrip van incidentrapportage, te verstrekken aan externe partijen (bv. Klanten, andere marktdeelnemers, de relevante (toezichthoudende) autoriteiten, indien van toepassing en in overeenstemming met geldende regelgeving)"]
[]
[null,"16.1 Security testing, surveillance and monitoring",null,"16.1 Security testing, surveillance and monitoring"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De resultaten van beveiligingsmonitoring worden gerapporteerd aan het bestuur. De rapportage geeft inzicht in zowel operationele als beveiligingsincidenten en stelt het\nbestuur in staat passende bijsturende beslissingen te nemen over het verbeteren van maatregelen.",null,null,null,"Rapportage van de beveiligingsmonitoring opstellen"]
[null,"De instelling heeft beveiligingsmaatregelen getroffen en vastgelegd. Deze beheersmaatregelen worden getest en periodiek geëvalueerd zodat deze blijven voldoen aan vastgestelde security baselines. ",null,"De instelling heeft de beveiligingsmaatregelen getroffen en vastgelegd. Deze maatregelen worden getest en periodiek geëvalueerd zodat deze blijven voldoen aan vastgestelde security baselines."]
[null,"De instelling heeft Security Operations Center (SOC) of Cyber\nDefence Center diensten ingericht.",null,null,null,"SOC / CDC diensten moeten worden ingericht"]
[null,"Monitoring van ongebruikelijke activiteiten in ICT-systemen vindt plaats, uitzonderingen worden gesignaleerd en opgevolgd.",null,"Monitoring van ongebruikelijke activiteiten in IT­systemen vindt plaats, uitzonderingen worden gesignaleerd en opgevolgd."]
[null,"Deze monitoring omvat ten minste het volgende:\n- de activiteiten van gebruikers worden op een risicoevenredige manier gelogd;\n- interne en externe factoren, inclusief bedrijfs- en ICT-beheersfuncties;\n- transacties door dienstverleners.",null,null,null,"Eisen aan beveiligingsmonitoring"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft beveiligingsmaatregelen getroffen die onder meer bestaan uit:\n- Logbestanden. Deze zijn beveiligd om ongeoorloofde wijziging of verwijdering te voorkomen. Logfiles worden bijgehouden gedurende een periode die in verhouding staat\ntot het kritieke karakter van de geïdentificeerde bedrijfsfuncties, ondersteunende processen en informatieassets. Instellingen gebruiken deze gegevens om de identificatie en het onderzoek te vergemakkelijken van onregelmatigheden die worden geconstateerd bij het verlenen van de diensten. \n- SIEM. De instelling heeft een SIEM (Security Information and Event Management) oplossing geïmplementeerd om aan de hand van logging snel afwijkende patronen te kunnen herkennen en daarop in te spelen.",null,"De instelling heeft een SIEM (Security Information and Event Management) oplossing geïmplementeerd om aan de hand van logging snel afwijkende patronen te kunnen herkennen en daarop in te spelen."]
[null,"De instelling stelt periodiek management rapportages op met een overzicht van alle geregistreerde beveiligingsincidenten en de status van opvolging.",null,"De instelling stelt periodiek management rapportages op met een overzicht van alle geregistreerde beveiligingsincidenten en de status van opvolging."]
[null,"Op basis van logging van gemonitorde systemen signaleert het SIEM events die een securityrisico kunnen vormen (‘alerts’). De alerts worden door analisten van het SOC beoordeeld en geprioriteerd. Wanneer de potentiële ernst van een alert nader onderzoek vereist wordt een case aangemaakt. Van deze cases wordt een case-rapport opgesteld.",null,null,null,"voorwaarden procedure monitoring alerts."]
[null,"De instelling maakt voor het optimaliseren van haar SOC gebruik van de NOREA publicatie Good Practice on assessing the maturity of a Security Operations Center (SOC) using the SOC Maturity Framework (SOC-MF)",null,null,null,"SOC Maturity Framework wordt gebruikt voor het optimaliseren van haar SOC"]
[null,"De instelling maakt gebruik van het MAGMA framework (ontwikkeld door NL FI-ISAC) en/of het Mitre ATT&CK framework om dreigingsmodellen te ontwikkelen, de effectiviteit van beveiligingstools te evalueren, detectiestrategieën te ontwikkelen en prioriteit te geven aan beveiligingsinvesteringen.",null,null,null,"Gebruik van Frameworks (MAGMA/Mitre AT&CK) om dreigingsmodellen te ontwikkelen"]
[]
[null,"16.2 Monitoring of internal control framework",null,"16.2 Monitoring of internal control framework"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling beheerst haar ICT risico’s en risico’s op het gebied van informatiebeveiliging en cybersecurity. Hiertoe heeft de instelling een ICT-beheersingsraamwerk (internal control framework) opgesteld waarin onder meer een informatiebeveiligingsbeleid, standaarden, procedures, (key) controls en ICT General Controls zijn opgenomen in lijn met de doelstellingen van de instelling.",null,"De instelling beheerst haar IT risico’s en risico’s op het gebied van informatiebeveiliging en cybersecurity. Hiertoe heeft de instelling een IT­beheersingsraamwerk (internal control framework) opgesteld waarin onder meer een informatiebeveiligingsbeleid, standaarden, procedures, (key) controls en IT General controls zijn opgenomen in lijn met de doelstellingen van de instelling."]
[null,"De instelling evalueert regelmatig de opzet, bestaan en werking van het internal control framework.",null,"De instelling evalueert regelmatig de opzet, bestaan en werking van het internal control framework."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De risicomanagementfunctie, interne auditor en externe accountant rapporteren regelmatig hun oordeel, bevindingen en aanbevelingen over de opzet, bestaan en aantoonbare werking van het ICT-beheersingsraamwerk.",null,"De risicomanagementfunctie, interne auditor en externe accountant rapporteren regelmatig hun oordeel, bevindingen en aanbevelingen over de opzet, bestaan en werking van het ITbeheersingsraamwerk."]
[null,"De instelling monitort de opvolging van aanbevelingen en legt dit vast.",null,"De opvolging van aanbevelingen wordt gemonitord."]
[null,"De instelling vergelijkt Service Level rapportages en zekerheidsrapportages van leveranciers met de overeengekomen dienstverlening en de ervaringen van de instelling met de geleverde diensten.",null,"De instelling vergelijkt Service Level rapportages van leveranciers met de overeengekomen dienstverlening en de ervaringen van de instelling met de geleverde diensten."]
[null,"De instelling analyseert trends en ontwikkelingen ten opzichte van voorgaande rapportage periodes.",null,"De instelling analyseert trends en ontwikkelingen ten opzichte van voorgaande rapportage periodes."]
[]
[null,"16.3 Internal control at third parties",null,"16.3 Internal control at third parties"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling is en blijft volledig verantwoordelijk voor de naleving van alle verplichtingen uit relevante wet­ en regelgeving",null,null,null,"(dit is niet nieuw, maar nu wel expliciet gemaakt)"]
[null,"De instelling besteedt bij contractvoorbereiding aandacht aan de wijze waarop de dienstverlener blijvend voldoet aan contractuele verplichtingen, wet­ en regelgeving en te treffen rapportage­ en controleregelingen.",null,"De instelling besteedt bij contractvoorbereiding aandacht aan de wijze waarop de dienstverlener blijvend voldoet aan contractuele verplichtingen, wet­ en regelgeving en te treffen rapportage­ en controleregelingen."]
[null,"De instelling vormt zich een oordeel over de interne beheersmaatregelen bij haar dienstverleners en eventuele onderaannemers. ",null,"De instelling vormt zich een oordeel over de interne beheersingsmaatregelen bij haar dienstverleners en eventuele onderaannemers."]
[null,"De dienstverlener voldoet aan wettelijke en contractuele bepalingen.",null,"De dienstverlener voldoet aan wettelijke en contractuele bepalingen."]
[null,"De instelling heeft contractueel vastgelegd dat als gevolg van de uitbesteding, het toezicht door de gehele keten van uitbesteding niet wordt belemmerd.",null,"De instelling heeft contractueel vastgelegd dat als gevolg van de uitbesteding, het toezicht door de gehele keten van uitbesteding niet wordt belemmerd."]
[null,"De instelling legt de afspraken met de dienstverleners centraal en voor de partijen toegankelijk vast.",null,null,null,"Centrale vastlegging van afspraken met dienstverleners. Zie ook register in 14.2"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling let erop dat haar contracten met de dienstverleners ten minste het volgende omvatten: \n- een volledige beschrijving van de uitbestede functies en diensten; \n- taken en verantwoordelijkheden van betrokken partijen  \n- toezegging van de dienstverlener dat blijvend wordt voldaan aan alle toepasselijke wet- en regelgeving \n- de locaties waar de functies en diensten worden geleverd en waar gegevens zijn opgeslagen en worden verwerkt; \n- bepalingen over toegankelijkheid, beschikbaarheid, integriteit, beveiliging en bescherming van persoonsgegevens; \n- beschrijvingen van het niveau van de dienstverlening en nauwkeurige kwantitatieve en kwalitatieve prestatiedoelstellingen; \n- Voorwaarden waaronder de dienstverlener verder mag uitbesteden, waarbij plichten en verantwoordelijkheden onverlet worden gelaten \n- kennisgevingstermijnen en rapportageverplichtingen van de dienstverlener; \n- verplichting van de dienstverlener om bij een incident bijstand te verlenen zonder extra kosten of tegen een vooraf bepaalde prijs; \n- verplichtingen voor de dienstverlener om bedrijfsnoodplannen te voeren en te testen en te beschikken over beveiligingsmaatregelen om veilige dienstverlening te waarborgen; \n- recht om de prestaties van de dienstverlener permanent te monitoren; \n- verplichting van de dienstverlener om samen te werken met bevoegde autoriteiten; \n- recht van beëindiging en minimale opzegtermijn; \n- exit strategieën, waaronder de invoering van een verplichte passende overgangsperiode; \n- deelname van medewerkers van dienstverleners aan programma’s en trainingen in digitale operationele weerbaarheid",null,null,null,"Vereisten voor in het contract."]
[null,"Bij contracten met dienstverleners die kritieke of belangrijke diensten ondersteunen omvatten verder: \n- nauwkeurig kwantitatief en kwalitatief prestatiedoelstellingen binnen de overeengekomen serviceniveaus om effectieve monitoring mogelijk te maken en zo nodig passende corrigerende maatregelen te nemen; \n- opzegtermijnen en rapportageverplichtingen, inclusief kennisgeving van elke ontwikkeling die een materiële impact kan hebben op het leveren van die kritieke of belangrijke functies \n- het uitvoeren en testen van bedrijfsnoodplannen; \n- de verplichting van de dienstverlener om deel te nemen aan en volledig mee te werken aan het test programma (TLPT) van de financiële instelling. \n- het recht om doorlopend toezicht te houden op de prestaties van dedienstverlener. Exit-strategien en met name de vaststelling van een verplichte adequate overgangsperiode",null,null,null,"Extra vereisten voor in het contract bij KOB-functies."]
[null,"De instelling houdt bij het opstellen van het contract rekening met het gebruik van modelcontractbepalingen."]
[null,"De instelling heeft haar “right-to-audit” bij de dienstverlener en de onderaannemers contractueel vastgelegd en oefent deze zonodig uit",null,"De instelling heeft haar “right-to-audit” bij de dienstverlener en de onderaannemers contractueel vastgelegd."]
[null,"De instelling verplicht de dienstverlener de instelling in kennis te stellen van alle voorgenomen belangrijke wijzigingen van de in de oorspronkelijke overeenkomst genoemde onderaannemers. De kennisgevingstermijn voor dergelijke wijzigingen wordt zodanig bepaald dat de instelling in staat is de risico’s als gevolg van de voorgestelde wijziging te beoordelen en indien nodig corrigerende beheersmaatregelen kan nemen of de exit clausule in werking zetten.",null,"De instelling neemt in het contract op dat de dienstverlener de instelling in kennis stelt van alle voorgenomen belangrijke wijzigingen van de in de oorspronkelijke overeenkomst genoemde onderaannemers. De kennisgevingstermijn voor dergelijke wijzigingen wordt zodanig bepaald dat de instelling in staat is de risico’s als gevolg van de voorgestelde wijziging te beoordelen en indien nodig corrigerende maatregelen kan nemen of de exitclausule in werking zetten."]
[null,"De instelling evalueert kritieke of belangrijke uitbestedingen minimaal jaarlijks aantoonbaar, waarbij de performance- en resultaatafspraken en de mate waarin de dienstverlener past bij de strategie en doelstellingen worden beoordeeld, alsook de risicobereidheid van de dienstverlener t.o.v. de eigen risicobereidheid.",null,"De instelling evalueert kritieke of belangrijke uitbestedingen minimaal jaarlijks aantoonbaar, waarbij de performance- en resultaatafspraken en de mate waarin de dienstverlener past bij de strategie en doelstellingen worden beoordeeld, alsook de risicobereidheid van de dienstverlener t.o.v. de eigen risicobereidheid."]
[null,"Gedurende de looptijd van het contract ontvangt de instelling periodiek (assurance)rapportages van de dienstverlener over de performance en aantoonbaar doorlopende werking van de getroffen interne beheersmaatregelen bij de dienstverlener. \n\nDe dienstverlener geeft jaarlijks aan de instelling een assurance verklaring af over de IT-beheersing zoals een COS/SOC 2 rapport type II. Beheersmaatregelen op het gebied van informatiebeveiliging en cybersecurity maken deel uit van de scope van de assurance verklaring. De scope beslaat de gehele uitbestedingsketen met inbegrip van belangrijke onderaannemers. De instelling bespreekt afwijkingen/ uitzonderingen met de dienstverlener. Deze worden door de dienstverlener tijdig en effectief geadresseerd. De instelling bewaakt de afloop en maakt hiervan een vastlegging.",null,"Gedurende de looptijd van het contract ontvangt de instelling periodiek rapportages van de dienstverlener over de werking van de getroffen interne beheersingsmaatregelen bij de dienstverlener."]
[null,null,null,"De instelling ontvangt en beoordeelt een onafhankelijke assurance rapportage over de beheersing van risico’s op het gebied van informatiebeveiliging en cybersecurity bij de dienstverlener die aansluit bij de afgesproken dienstverlening."]
[null,null,null,"De instelling bespreekt afwijkingen/uitzonderingen met de dienstverlener. Deze worden door de dienstverlener tijdig en effectief geadresseerd. De instelling bewaakt de afloop."]
[null,null,null,"De dienstverlener geeft jaarlijks aan de instelling een assurance verklaring af over de IT-beheersing zoals een SOC 2 rapport type II. Maatregelen op het gebied van informatiebeveiliging en cybersecurity maken deel uit van de scope van de assurance verklaring."]
[]
[null,"16.4 Evaluation of compliance with external requirements",null,"16.4 Evaluation of compliance with external requirements"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling beoordeelt periodiek in hoeverre haar IT­beleid en procedures in lijn zijn met wet­ en regelgeving.",null,"De instelling beoordeelt periodiek in hoeverre haar IT­beleid en procedures in lijn zijn met wet­ en regelgeving."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De compliance officer van de instelling beoordeelt jaarlijks in hoeverre de ICT-beleidslijnen in lijn zijn met actuele wet- en regelgeving. Daar waar nodig worden aanpassingen doorgevoerd.",null,"De compliance officer van de instelling beoordeelt jaarlijks in hoeverre de IT-policies in lijn zijn met actuele wet- en regelgeving. Daar waar nodig worden aanpassingen doorgevoerd."]
[null,"Bij invoering van een nieuwe wetgeving op het gebied van informatiebeveiliging en cybersecurity beoordeelt de instelling de impact hiervan en voert daar waar nodig aanpassingen door.",null,"Bij invoering van een nieuwe wetgeving op het gebied van informatiebeveiliging en cybersecurity beoordeelt de instelling de impact hiervan en voert daar waar nodig aanpassingen door. De instelling wordt proactief geïnformeerd bij wijzigingen op het gebied van relevante externe regelgeving."]
[null,"De instelling laat zich proactief informeren bij wijzigingen op het gebied van relevante externe regelgeving.",null,null,null,"Proactief informeren bij wijziging relevante externe regelgeving"]
[]
[null,"16.5 Independent assurance",null,"16.5 Independent assurance"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur beoordeelt en geeft periodiek goedkeuring aan de ICT-interne auditplannen, ICT-audits en de materiële wijzigingen daarin.",null,null,null,"Het bestuur keurt de audit plannen goed"]
[null,"De governance, systemen en processen van de instelling voor hun ICT- en beveiligingsrisico’s worden periodiek gecontroleerd in overeenstemming met het auditplan van de instelling.",null,"De instelling verkrijgt periodiek onafhankelijke assurance over het functioneren van de IT­beheersing van de instelling. Dit omvat ondermeer assurance over de effectiviteit van de getroffen beheersingsmaatregelen op het gebied van informatiebeveiliging en cybersecurity."]
[null,"Dit gebeurt door auditors met voldoende kennis, vaardigheden en deskundigheid op het gebied van ICT- en beveiligingsrisico's om onafhankelijke assurance te kunnen verstrekken aan het bestuur over de effectiviteit van de getroffen beheersmaatregelen.",null,null,null,"Eisen aan auditors"]
[null,"De frequentie en gerichtheid van dergelijke audits is evenredig aan de relevante ICT- en beveiligingsrisico’s.",null,null,null,"Eisen aan audits"]
[null,"De resultaten van de onafhankelijke beoordeling worden voorgelegd aan het management van de instelling.",null,"De resultaten van de onafhankelijke beoordeling worden voorgelegd aan het management van de instelling."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling laat de interne- of externe auditor op basis van een risicoanalyse ICT-objecten zoals de informatiebeveiliging en cybersecurity van ICT-infrastructuur periodiek beoordelen. Deze beoordeling heeft betrekking op de opzet, bestaan en aantoonbare werking van beheersmaatregelen. ",null,"De instelling laat de interne- of externe auditor op basis van een risicoanalyse IT-objecten zoals de informatiebeveiliging en cybersecurity van IT-infrastructuur periodiek beoordelen. Deze beoordeling heeft betrekking op de opzet, bestaan en werking van beheersingsmaatregelen."]
[]
[null,"17.1 Identity & Access Management",null,"17.1 Identity & Access Management"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Processen voor logische toegangsbeveiliging (eu­ en toegangsbeheer) zijn, gedefinieerd, gedocumenteerd, uitgevoerd en omvatten de monitoring van onregelmatigheden. "]
[null,"Authenticatiemethoden staan in verhouding tot het kritieke karakter van de ICT-systemen, de informatie of het proces waar toegang tot wordt verkregen. Dit betreft ten minste sterke wachtwoorden of sterkere authenticatiemethoden (zoals twee factor zoals of out-of-band authenticatie), gebaseerd op relevante risico’s.",null,null,null,"Relatie authenticatiemethode en kritieke karakter van systemen, informatie of proces. (ik mis hier de link met classificatie?)"]
[null,"Toegang tot informatiesystemen en data van de instelling is te herleiden naar uniek te identificeren personen (intern, extern en inhuur) of naar ICT-services (bijvoorbeeld scripts en batch jobs) met een uniek te identificeren eigenaar.",null,"Toegang tot informatiesystemen en data van de instelling is te herleiden naar uniek te identificeren personen (intern, extern en inhuur) of naar IT­services (bijv. scripts en batch jobs) met een uniek te identificeren eigenaar."]
[null,"Toegang tot ICT-systemen en data worden “functie gebaseerd”’ en alleen verleend op basis van ‘least privilege’ principes . De naleving van deze principes wordt periodiek geëvalueerd ",null,null,null,"Toegangsrechten:\n- role-based\n- least privilige principe\n"]
[null,"De instelling heeft de toegang tot informatiesystemen en data bepaald, goedgekeurd en vastgelegd (SOLL autorisatie matrices) en gebaseerd op de vereiste functiescheidingen en bedrijfsregels (zie beheersmaatregel 7.1).",null,"De instelling heeft de toegang tot informatiesystemen en data bepaald, goedgekeurd en vastgelegd (SOLL autorisatie matrices) en gebaseerd op de vereiste functiescheidingen en bedrijfsregels (zie beheersingsmaatregel 7.1)."]
[null,"De opzet van de logische toegangsbeveiliging (SOLL autorisatie matrices) wordt regelmatig geëvalueerd.",null,"De opzet van de logische toegangsbeveiliging (SOLL autorisatie matrices) wordt regelmatig geëvalueerd."]
[null,"Toegang tot informatiesystemen en data van de instelling wordt gecontroleerd en bewaakt in de ICT-infrastructuur en in ICT-applicaties, conform de geaccordeerde SOLL autorisatie matrices.",null,"Toegang tot informatiesystemen en data van de instelling wordt gecontroleerd en bewaakt in de IT­infrastructuur en in IT­applicaties, conform de geaccordeerde SOLL autorisatie matrices."]
[null,"Toegangsrechten in ICT-systemen (IST) regelmatig worden vergeleken met de SOLL autorisatie matrices.",null,"Toegangsrechten in IT­systemen (IST) worden regelmatig vergeleken met de SOLL autorisatie matrices."]
[null,"Instellingen handhaven authenticatiemethoden die voldoende robuust zijn om er passend en doeltreffend voor te zorgen dat beleidslijnen en procedures inzake toegangscontrole worden nageleefd.",null,null,null,"Robuustheid van authenticatiemethoden handhaven"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling kent unieke user-id’s toe aan alle personen met toegang tot de ICT-systemen en data. Hierbij is HR systeem van de instelling leading",null,"De instelling kent unieke user-id’s toe aan alle personen met toegang tot de IT-systemen en data. Gebruikersidentiteiten en toegangsrechten worden bijgehouden in een centrale repository."]
[null,"Gebruikersidentiteiten en toegangsrechten worden bijgehouden in een centrale repository.",null,null,null,"Gebruik centrale repository"]
[null,"De instelling maakt gebruik van sterke wachtwoorden (complexiteit regels, numeriek, gebruik van symbolen, leeftijd, historie) voor verschillende soorten accounts: system, normal, superuser.",null,null,null,"Gebruik sterke wachtwoorden op basis van type account"]
[null,"De instelling maakt gebruik van Out-of-band authenticatie, een vorm van twee-factor authenticatie (2FA) die een secundaire verificatiemethode vereist via een afzonderlijk communicatiekanaal. Hierbij zijn verschillende kanalen betrokken: de internetverbinding van de klant en het draadloze netwerk waarop zijn mobiele telefoon werkt.",null,null,null,"Out-of-band 2FA"]
[null,"De instelling past het principe van ‘Role based access’ toe waarbij ze periodiek definieert welke rol welke identiteit heeft. Hiertoe brengt zij in kaart: Wie krijgt access, Wat wordt bij access verstrekt, Wanneer, Waar, Waarom en Hoe.",null,"De instelling past het principe van ‘Role based access’ toe"]
[null,null,null,"Toegang tot IT-systemen en data wordt verleend op basis van ‘need-to-know’ en ‘least privilege’ principes. De naleving van deze principes wordt periodiek geëvalueerd."]
[null,"De instelling gebruikt een Identity & Access Management (IAM) tool ter ondersteuning van de inrichting van de toegangsbeveiliging en de controle daarop door bedrijfsproceseigenaren en IT-systeembeheerders.",null,"De instelling gebruikt een Identity & Access Management (IAM) tool ter ondersteuning van de inrichting van de toegangsbeveiliging en de controle daarop door bedrijfsproceseigenaren en ITsysteembeheerders."]
[null,"De toegang op afstand tot kritieke IT-systemen worden alleen toegekend volgens kennisnemingsbehoefte en wanneer er sterke authenticatiemiddelen worden gebruikt;",null,null,null,"Voorwaarden toegang op afstand tot kritieke IT systemen"]
[null,null,null,"De instelling beperkt het gebruik van generieke en gedeelde user-id’s, waaronder administrator accounts met hoge bevoegdheden zoveel mogelijk. Het gebruik van deze user-id’s wordt beheerst met zowel technische als procedurele maatrelen, zoals: goedkeuring voor het gebruik, krachtige authenticatieoplossingen (2-factor authenticatie, biometrie), 4-ogen principe op de activiteiten, (digitale) password kluis, logging en monitoring van activiteiten en evaluatie na gebruik van het desbetreffende administrator user-id."]
[]
[null,"17.2 User account management",null,"17.2 User account management"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het aanvragen, wijzigen of intrekken van toegangsrechten tot informatiesystemen en data volgt geformaliseerde stappen waarin goedkeuring wordt verleend door de eigenaren van de desbetreffende bedrijfsprocessen, informatiesystemen en data.",null,"Het aanvragen, wijzigen of intrekken van toegangsrechten tot informatiesystemen en data volgt geformaliseerde stappen waarin goedkeuring wordt verleend door de eigenaren van de desbetreffende bedrijfsprocessen, informatiesystemen en data."]
[null,"Functiescheiding of 4­ogen principe verhindert dat de voornoemde stappen door 1 persoon worden uitgevoerd.",null,"Functiescheiding of 4­ogen principe verhindert dat de voornoemde stappen door 1 persoon worden uitgevoerd."]
[null,"Alle activiteiten met betrekking tot het aanvragen, wijzigen of intrekken van toegangsrechten worden gelogd en zijn herleidbaar naar personen.",null,"Alle activiteiten met betrekking tot het aanvragen, wijzigen of intrekken van toegangsrechten worden gelogd en zijn herleidbaar naar personen."]
[null,"Toegangsrechten van personen waarmee het dienstverband / contract wordt beëindigd, worden zo snel mogelijk verwijderd of geblokkeerd. Het verlenen, aanpassen en intrekken van toegangsrechten wordt zodanig geregistreerd dat inzicht en analyse worden vergemakkelijkt. ",null,"Toegangsrechten van personen waarmee het dienstverband / contract wordt beëindigd, worden zo snel mogelijk verwijderd of geblokkeerd.",null,"Inzichtelijke administratie van mutaties in toegangsrechten "]
[null,"Beheersmaatregelen worden uitgevoerd voor geprivilegieerde systeemtoegang door accounts met hoge toegangsrechten (zoals beheerdersaccounts) strikt te beperken en hier nauw op toe te zien.",null,null,null,"Beheersmaatregelen(zoals strikte beperking en toezicht) worden uitgevoerd voor accounts met hoge rechten"]
[null,"Toegang van applicaties tot gegevens en ICT-systemen die niet herleidbaar zijn tot personen worden beperkt tot het minimum.",null,null,null,"Niet-persoonlijke accounts  beperken tot minimum"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling maakt gebruik van User Provisioning, waarbij user accounts in de IT-infrastructuur en business IT-applicaties zo veel mogelijk automatisch, vanuit het centrale HR-systeem worden aangemaakt, gewijzigd, geblokkeerd en verwijderd.",null,"De instelling beperkt het gebruik van generieke en gedeelde user-id’s, waaronder administrator accounts met hoge bevoegdheden zoveel mogelijk. Het gebruik van deze user-id’s wordt beheerst met zowel technische als procedurele maatrelen, zoals: goedkeuring voor het gebruik, krachtige authenticatieoplossingen (2-factor authenticatie, biometrie), 4-ogen principe op de activiteiten, (digitale) password kluis, logging en monitoring van activiteiten en evaluatie na gebruik van het desbetreffende administrator user-id."]
[null,"De instelling blokkeert een user account automatisch nadat deze een vooraf ingestelde periode niet wordt gebruikt om mee in te loggen.",null,"De instelling blokkeert een user account automatisch nadat deze een vooraf ingestelde periode niet wordt gebruikt om mee in te loggen."]
[null,"Voor het aanvragen, wijzigen of intrekken van toegangsrechten tot informatiesystemen wordt goedkeuring gegeven door de data- of systeemeigenaar.",null,null,null,"Autorisatie wordt goedgekeurd door data-/-systeemeigenaar"]
[null,"De instelling beperkt het gebruik van generieke en gedeelde user-id’s, waaronder administrator accounts met hoge bevoegdheden zoveel mogelijk. Het gebruik van deze user-id’s wordt beheerst met zowel technische als procedurele maatrelen, zoals: goedkeuring voor het gebruik, krachtige authenticatieoplossingen (2-factor authenticatie, biometrie), 4-ogen principe op de activiteiten, (digitale) password kluis, logging en monitoring van activiteiten en evaluatie na gebruik van het desbetreffende administrator user-id.",null,null,null,"Generieke accounts:\n- beperkt zoveel mogelijk\n- technische en procedurele maatregelen inrichten"]
[]
[null,"18.1 Infrastructure resource protection and availability",null,"18.1 Infrastructure resource protection and availability"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De beheersmaatregelen in de ICT-infrastructuur componenten zijn gebaseerd op een dreigings- en risicoanalyse en zijn zodanig ingericht dat zij een hoog niveau van beschikbaarheid, vertrouwelijkheid en integriteit van informatie waarborgen. ",null,"De beheersingsmaatregelen in de IT­infrastructuur componenten zijn zodanig ingericht dat zij een hoog niveau van beschikbaarheid, exclusiviteit en integriteit van informatie waarborgen.",null,"Dreigings- en risicoanalyse opstellen voor bepaling van beheersmaatregelen IT infrastructuur"]
[null,"Plannings­ en monitoringsprocessen met betrekking tot prestaties en capaciteit worden uitgevoerd om belangrijke prestatieproblemen van ICT-systemen en ICT-capaciteitstekorten te voorkomen en tijdig op te sporen en aan te pakken.",null,null,null,"Inrichting processen rondom plannen en monitoren prestatie cq capaciteit"]
[null,null,null,"De verantwoordelijkheid voor het ontwerpen en implementeren van deze beheersingsmaatregelen is duidelijk belegd."]
[null,"Het ontwerp en de implementatie van deze beheersmaatregelen wordt gemonitord en geëvalueerd.",null,"Het ontwerp en de implementatie van deze beheersingsmaatregelen wordt gemonitord en geëvalueerd."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"Risicoanalyses voor infrastructuur componenten houden rekening met actuele cyberdreigingen, zoals bijvoorbeeld vastgelegd in de ENISA/NCSC dreigingsbeelden of gebaseerd op uitkomsten van recent uitgevoerde red teaming oefeningen en pentesten, etc.",null,"Risicoanalyses voor infrastructuur componenten houden rekening met actuele cyberdreigingen, zoals bijvoorbeeld vastgelegd in de SANS Top 20, ENISA/ NCSC dreigingsbeelden of gebaseerd op uitkomsten van recent uitgevoerde red teaming oefeningen en pentesten, etc."]
[null,"Security baselines zijn bepaald voor technische platformen (bijvoorbeeld: Windows, Unix, firewalls, IDS en IPS) en conform die baselines geïmplementeerd.",null,"Security baselines zijn bepaald voor technische platformen (bijvoorbeeld: Windows, Unix, firewalls, IDS en IPS) en conform die baselines geïmplementeerd."]
[null,"Er vindt monitoring plaats dat alle platformen voldoen aan de security baselines.Uitzonderingen worden opgevolgd.",null,null,null,"Monitoring hardening"]
[null,"De instelling heeft anti-DDoS maatregelen getroffen. Hierbij is onderscheid gemaakt in bescherming tegen volume gerichte DDoS aanvallen en applicatie gerichte DDoS aanvallen.",null,"Het gebruik van ‘scrubbing services’ (omleiden van de aanval naar een anti-DDoS omgeving) voor het mitigeren van DDoS aanvallen. Hierbij is onderscheid gemaakt in bescherming tegen volume gerichte DDoS aanvallen en applicatie gerichte DDoS aanvallen."]
[null,"De instelling heeft een risicoanalyse uitgevoerd omtrent gedistribueerde opslag en beheer van ‘private keys’ en wachtwoorden. Daarbij is een onderbouwde afweging gemaakt op welke interne of externe locatie sleutels en wachtwoorden worden opgeslagen.",null,"De instelling heeft een risicoanalyse uitgevoerd omtrent gedistribueerde opslag en beheer van ‘private keys’ en wachtwoorden en een onderbouwde afweging gemaakt op welke interne of externe locatie sleutels en wachtwoorden worden opgeslagen."]
[null,"De beveiliging en beschikbaarheid van de ICT-infrastructuur is een vast agendapunt in de relevante gremia in de eerste, tweede en derde lijn van de instelling.",null,"De beveiliging en beschikbaarheid van de ITinfrastructuur is een vast agendapunt in de relevante gremia in de eerste, tweede en derde lijn van de instelling"]
[null,"De instelling maakt gebruik van geautomatiseerde controles, bijvoorbeeld voor het monitoren van kwetsbaarheden in de infrastructuur.",null,null,null,"geautomatiseerde controles (waaronder monitoren kwetsbaarheden)"]
[]
[null,"18.2 Infrastructure maintenance",null,"18.2 Infrastructure maintenance"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Onderhoud aan de ICT-infrastructuur verloopt planmatig, gestructureerd, volgt de eigen baselines en is in lijn met de change management procedures van de instelling. Daarbij wordt bij wijzigingen aan de ICT-infrastructuur nagelopen of de veiligheid van de instelling het juiste niveau blijft houden. ",null,"Onderhoud aan de IT­infrastructuur verloopt planmatig, gestructureerd en in lijn met de change management procedures van de instelling.",null,"Borgen security altijd onderdeel van change proces\n"]
[null,"De instelling bewaakt dat de ICT-infrastructuur die zij gebruikt wordt ondersteund door de ontwikkelaar/leverancier en dat beveiligingsupdates (patches) beschikbaar worden gesteld.Ook vindt monitoring plaats op de end-of-support datum van gebruikte hard-, \nfirm-, middleware, zodat tijdig mitigerende beheersmaatregelen genomen kunnen worden.",null,"De instelling heeft de infrastructuurcomponenten geclassificeerd, waarbij onderscheid is gemaakt tussen kritische en minder kritische componenten.",null,"Bewaken infrastructuur componenten op oa beveiligingsupdates, end-of-support"]
[null,"De instelling heeft de infrastructuurcomponenten geclassificeerd om prioritering aan te kunnen brengen in de uitvoering van onderhoud van de IT infrastructuur. ",null,"In de prioritering en uitvoering van onderhoud aan de IT­infrastructuur houdt de instelling rekening met de classificatie van infrastructuur componenten."]
[null,"Oplossingen voor kwetsbaarheden in de IT­infrastructuur zoals patches hebben invloed op de prioritering van onderhoudswerkzaamheden aan de IT­infrastructuur. ",null,"Oplossingen voor kwetsbaarheden in de IT­infrastructuur zoals patches hebben invloed op de prioritering van onderhoudswerkzaamheden aan deIT­infrastructuur."]
[null,"Hierbij worden change management processen gevolgd die rekening houden met in hoeverre de kwetsbaarheden kritiek zijn binnen het patchmanagement. Dit is gebaseerd op risicoanalyses die onderdeel uitmaken van het changemanagement proces (change risk assessments (cra’s).",null,"Hierbij worden change management processen gevolgd, waarbij rekening wordt gehouden met patchmanagement voor kritisch en minder kritische kwetsbaarheden. Dit is gebaseerd op risicoanalyses die onderdeel uitmaken van het changemanagement proces (change risk assessments (cra’s))."]
[null,"Bij de cra’s wordt expliciet aandacht besteed aan cyberdreigingen, kroonjuwelen en aanvalspaden. Deze zijn van invloed op prioritering van implementatie van de changes. ",null,"Bij de cra’s wordt expliciet aandacht besteed aan cyberdreigingen. Deze zijn van invloed op prioritering van implementatie van de changes."]
[null,"De risico’s die ontstaan door het gebruik van verouderde of niet-ondersteunde ICT-infrastructuur worden in kaart gebracht, beoordeeld en beperkt. Uit bedrijf genomen ICTinfrastructuur worden op veilige wijze verwerkt en afgevoerd. Hiertoe wordt een planning opgesteld die wordt afgestemd met alle betrokken bedrijfsonderdelen. Een verhoogde focus bij de instelling op klantbeleving en time-to-market leidt er niet\ntoe dat de implementatie van infrastructurele (beveiligings) maatregelen en investeringen in technologische ontwikkelingen (te) lang worden uitgesteld.",null,"Een verhoogde focus bij de instelling op klant­beleving en time­to­market leidt er niet toe dat de implementatie van infrastructurele (beveiligings)maatregelen en investeringen in technologische ontwikkelingen (te) lang worden uitgesteld.",null,"Eisen aan onderhoudsproces IT-infrastructuur (end-of-support, disposal)"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"Het implementeren van kritieke beveiligingspatches is een specifiek onderdeel van het patchmanagementproces.",null,"Implementeren van kritische beveiligingspatches is een specifiek onderdeel van het patchmanagementproces."]
[null,"De status van de ICT-infrastructuur inclusief de kwetsbaarheid voor cyberdreigingen wordt periodiek met behulp van tools geïnventariseerd, hierover wordt gerapporteerd en actie op achterstallig onderhoud wordt genomen.",null,"De status van de IT-infrastructuur inclusief de kwetsbaarheid voor cyberdreigingen wordt periodiek met behulp van tools geïnventariseerd, hierover wordt gerapporteerd en actie op achterstallig onderhoud wordt genomen."]
[null,"De instelling heeft in haar configuratiemanagement database (CMDB) de vervangingstermijn opgenomen van ICT-infrastructuur componenten en op basis hiervan wordt vervanging ingepland",null,null,null,"Opnemen vervangingstermijnen in CMDB"]
[]
[null,"18.3 Cryptography and Cryptographic key management",null,"18.3 Cryptographic key management"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het beheer van cryptografische sleutels vindt op beheerste en risicogebaseerde wijze plaats. De instelling heeft beleid en procedures uitgewerkt met betrekking tot het genereren, veranderen, intrekken, vernietigen, distribueren, certificeren, opslaan, installeren, gebruiken en archiveren van de cryptografische sleutels ",null,"Het beheer van cryptografische sleutels vindt op beheerste wijze plaats. De instelling heeft beleid en procedures uitgewerkt met betrekking tot het genereren, veranderen, intrekken, vernietigen, distribueren, certificeren, opslaan, installeren, gebruiken en archiveren van de cryptografische sleutels."]
[null,"Risico’s van modificatie en het bekend worden van de sleutels tijdens deze processen zijn geïdentificeerd en mitigerende beheersmaatregelen zijn getroffen. ",null,"Risico’s van modificatie en het bekend worden van de sleutels tijdens deze processen zijn geïdentificeerd en mitigerende maatregelen zijn getroffen."]
[null,"Hierbij is een risicoanalyse gemaakt waardoor de beveiligingsmaatregelen proportioneel worden toegepast aan het belang van de betreffende sleutel. ",null,"De instelling heeft de risico’s van cyberaanvallen gericht op het modificeren en onderscheppen van de cryptografische sleutels onderkend en met passende maatregelen beheerst."]
[null,"De instelling heeft de risico’s van cyberaanvallen gericht op het modificeren en onderscheppen van de cryptografische sleutels onderkend en met passende beheersmaatregelen beheerst.",null,null,null,"Specifieke beheersmaatregelen tegen modificeren en onderscheppen van cryptografische keys (zie ook 18.1 punt 1)"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling gebruikt Hardware Security Modules (HSM’s) bij het genereren, veranderen, intrekken, vernietigen, distribueren, certificeren, opslaan, inbrengen, gebruiken en archiveren van de cryptografische sleutels.",null,"De instelling gebruikt Hardware Security Modules (HSM’s) bij het genereren, veranderen, intrekken, vernietigen, distribueren, certificeren, opslaan, inbrengen, gebruiken en archiveren van de cryptografische sleutels."]
[null,"Processen, procedures en parameterisering zijn zodanig ingericht dat deze de cryptografische sleutels optimaal en proportioneel beschermen.",null,"Processen, procedures en parameterisering zijn zodanig ingericht dat deze de cryptografische sleutels optimaal beschermen."]
[null,"De beschikbaarheid van cryptografische sleutels (over de gehele uitbestedingsketen) is meegenomen in de continuïteitsplannen van de instelling.",null,"De beschikbaarheid van cryptografische sleutels is meegenomen in de continuïteitsplannen van de instelling."]
[null,"De instelling beschikt over een inventarisatie van het cryptografisch landschap (encryptieprotocollen en certificaten voor netwerk connecties, key management en data opslag). Bijgehouden wordt op welke termijn (bijvoorbeeld kort, middel, lang) de toegepaste protocollen niet meer veilig zijn en hoe lang vervanging of mitigatie van een protocol naar verwachting duurt.",null,null,null,"inventarisatie van het cryptografisch landschap"]
[null,"De instelling monitort op het gebruik van onveilige encryptie protocollen en stuurt notificaties naar beheerders als veilige protocollen gebruikt worden.",null,null,null,"Monitoring van onveilige protocollen"]
[null,"De instelling maakt een roadmap voor haar cryptografisch landschap die in de pas loopt met aankomende dreigingen op korte, middel en lange termijn.",null,null,null,"roadmap cryptografisch landschap"]
[null,"De instelling voert jaarlijkse een Cryptography Risk Assessment uit.",null,null,null,"CRA uitvoeren op cryptography"]
[null,"De Instelling verkent de risico’s en mogelijkheden van quantum technologie, zoals bijvoorbeeld quantum key distrubutie of quantum random number generators",null,null,null,"risico analyse quantum NCSC"]
[]
[null,"18.4 Network Security",null,"18.4 Network Security"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling past up-to-date technische beveiligingsmaatregelen toe, zoals firewalls, SIEM, (micro) netwerksegmentatie, intrusion detection, systemen voor de preventie van gegevenslekken (DLP) en de versleuteling van netwerkverkeer.",null,"De instelling past up­to­date technische beveiligingsmaatregelen toe (zoals firewalls, netwerksegmentatie en intrusion detection) en daarbij behorende beheerprocedures om de toegang tot de IT­infrastructuur te beperken tot geautoriseerde personen, IT­services en informatie­uitwisseling tussen netwerken."]
[null,null,null,"Autorisaties voor beheerders van de IT­infrastructuur, waaronder netwerkbeheerders, is op degelijke wijze ingericht (zie beheersingsmaatregels 17.1 en 17.2)"]
[null,"De instelling maakt een analyse van het netwerk om te bepalen waar vergaande netwerk(micro) segmentatie alsmede het “never trust always verify” (ook intern) principe zoals rond de kroonjuwelen van de instelling noodzakelijk is. ",null,null,null,"Analyse netwerkomgeving op basis van zero-trust"]
[null,"De instelling past endpoint security toe op laptops, tablets, werkstations. End­points die niet voldoen aan de security baselines worden geweerd van het netwerk en/of hebben beperkt toegang tot data of IT­systemen.",null,null,null,"Inrichting endpoint security"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft kennis genomen van onder andere NIST publicaties over een zero trust architecture zoals de NIST Special Publication (SP) 800-207, Zero Trust Architecture en de NIST SP 1800-35A Implementing a Zero Trust Architecture (draft) waarin 'inherent vertrouwen' geen onderdeel meer is van de netwerkbeveiliging.",null,"De instelling past moderne firewall technologie toe in haar netwerk infrastructuur die in lijn is met best practices zoals GovCert, ISO/IEC en ITSec.",null,"Specifieke richtlijnen over zero Trust toegevoegd"]
[null,null,null,"Meldingen van cyberaanvallen op de ITinfrastructuur worden gelogd en de logging wordt geautomatiseerd geanalyseerd waarop de instelling passende acties neemt."]
[null,null,null,"De beschikbaarheid van de netwerkinfrastructuur (percentages voor ‘uptime’ en ‘downtime’) wordt geregistreerd en gemonitord. De instelling stelt gericht onderzoek in bij downtime als gevolg van beveiligingsincidenten."]
[null,null,null,"De instelling maakt gebruik van tooling die in de netwerkinfrastructuur actief speurt naar ongeautoriseerde apparatuur zoals laptops, routers en WiFi access points."]
[null,null,null,"De instelling past endpoint security toe op laptops, tablets en werkstations."]
[null,"Beheer interfaces van netwerk en security voorzieningen zijn niet direct bereikbaar vanuit (semi)publieke zone's.",null,null,null,"Scheiding netwerkinfrastructuur, waarbij kritieke componenten niet direct bereikbaarh zijn"]
[null,"De instelling:\n1. Definieert de delen van het IT-netwerk dat de kroonjuwelen bevat, zoals specifieke Data, Applicaties, Assets en Services (DAAS).\n2. Brengt de transactiestromen tussen deze delen in kaart.\n3. Definieert en bouwt aan de hand daarvan voor die delen een “Zero Trust-architectuur“ door de implementatie van een specifieke set aan beheersmaatregelen.\n4. Stelt ZERO TRUST beleidsregels op aan de hand van Wie krijgt access, Wat wordt bij access verstrekt, Wanneer, Waar, Waarom, en Hoe.\n5. Monitort en onderhoudt log events van activiteiten op het netwerk",null,null,null,"Invulling analyse netwerk omgeving"]
[null,"De instelling past voor de hiervoor gedefinieerde delen van het netwerk het “never trust always verify” principe toe wat inhoudt dat inherent vertrouwen wordt verwijderd uit deze delen van het netwerk en alle handelingen expliciete verificatie vereisen, ook intern."]
[null,"De instelling maakt gebruik van tooling die in de netwerkinfrastructuur actief speurt naar ongeautoriseerde apparatuur zoals laptops, routers en Wi-Fi access points met de daarbij behorende beheerprocedures om de toegang tot de ICT-infrastructuur te beperken tot geautoriseerde personen, ICT-services en netwerken. De instelling maakt gebruik van moderne en veilige standaards/protocollen zoals IEEE12 802.1X voor Port-based Network Access Control (PNAC), Wi-Fi Protected Access (WPA3) en voert periodieke controles uit op de beheersmaatregelen die zich richten op netwerksegmentering, zoals Access control lists (ACL), VLANs en firewalls tussen de verschillende netwerksegmenten."]
[]
[null,"18.5 Exchange of sensitive data",null,"18.5 Exchange of sensitive data"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling heeft beleid geformuleerd ten aanzien van het beveiligd opslaan en delen van vertrouwelijke gegevens en de integriteit van informatie en monitort of dit beleid wordt nageleefd.",null,"De instelling heeft beleid geformuleerd ten aanzien van het delen van vertrouwelijke informatie.",null,"Monitoring van het opslaan en delen van vertrouwelijke gegevens"]
[null,"De instelling heeft in kaart gebracht welke informatie vertrouwelijk is en wanneer en waar extra beheersmaatregelen noodzakelijk zijn voor de beveiliging van vertrouwelijke gegevensuitwisseling .",null,null,null,"Beheersingsmaatregelen voor uitwisselen van vertrouwelijke gegevens "]
[null,"De instelling maakt gebruik van up to date beveiligde kanalen en integriteitscontroles bij de uitwisseling van vertrouwelijke gegevens.",null,"De instelling beschikt over faciliteiten die de uitwisseling van vertrouwelijke informatie via beveiligde kanalen mogelijk maakt.",null,"Integriteitscontroles bij uitwisseling van vertrouwelijke gegevens"]
[null,"De instelling versleutelt in overeenstemming met het data classificatiebeleid data in rust, data in gebruik en data op reis.",null,null,null,"Classificatiebeleid op basis van data in rest, transit en process"]
[null,"Ten aanzien van uitbestede activiteiten wordt nagegaan of er extra specifieke beheersmaatregelen nodig zijn voor gegevens op reis, opgeslagen gegevens in het geheugen en gegevens in rusttoestand, bijvoorbeeld de toepassing van versleutelingstechnieken (encryptie) in combinatie met een passend sleutelbeheer.",null,null,null,"Beheersingsmaatregelen voor data in rest/transit/process bij uitbestede activiteiten"]
[null,"De instelling verstrekt de juiste middelen die haar medewerkers in staat stelt om op veilige wijze data te kunnen versturen en te kunnen ontvangen.",null,null,null,"Tooling voor uitwisseling vertrouwelijke data"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling past actuele authenticatie en encryptietechnieken toe op netwerkbindingen met partijen die zij vertrouwt.",null,"De instelling past actuele authenticatie en encryptietechnieken toe op netwerkbindingen met partijen die zij vertrouwt."]
[null,"In de netwerkinfrastructuur van de instellingen zijn controles ingebouwd die de authenticiteit van de integriteit van berichten waarborgt, alsook de bevestiging van verzending, van ontvangst en identiteit van de afzender en ontvanger van vertrouwelijke gegevens.",null,"In de netwerkinfrastructuur van de instellingen zijn controles ingebouwd die de authenticiteit van de integriteit van berichten waarborgt, alsook de bevestiging van verzending, van ontvangst en identiteit van de afzender en ontvanger van vertrouwelijke gegevens."]
[null,"Vertrouwelijke gegevens worden versleuteld vastgelegd op laptops, harde schijven, USB sticks en andere informatiedragers.De instelling maakt gebruikt van technieken om de beveiliging van e-mail te verhogen, bijvoorbeeld door middel van anti-spam, DMARC, SPF, DKIM en encryptie van mail.",null,"Vertrouwelijke gegevens worden versleuteld vastgelegd op laptops, harde schijven, USB sticks en andere informatiedragers."]
[null,"De instelling past Data Loss Prevention software toe ter controle van uitgaande berichten.",null,"De instelling past Data Loss Prevention software toe ter controle van uitgaande berichten."]
[null,null,null,"De instelling hanteert protocollen voor het schonen en vernietigen van media waar vertrouwelijke gegevens op kunnen staan, zoals harde schijven, USB sticks en SSD’s."]
[]
[null,"19.1 Malicious software prevention, detection and correction",null,"19.1 Malicious software prevention, detection and correction"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling heeft zowel preventieve, detecterende als corrigerende beheersmaatregelen geïmplementeerd om ICT­systemen en applicaties te beveiligen tegen cyberdreigingen, zoals virussen, wormen, malware, ransomware, en spyware.13",null,"De instelling heeft zowel preventieve, detecterende als corrigerende maatregelen geïmplementeerd om IT­systemen en applicaties te beveiligen tegen cyberdreigingen, zoals virussen, wormen, malware, cryptoware, cryptojacking en spyware."]
[null,"De instelling heeft aantoonbaar een afweging gemaakt tussen de samenstelling van de verschillende sets aan tools waarbij kwaliteit en volledigheid in dekking de overhand heeft boven kwantiteit.",null,null,null,"Aantoonbare afweging van toolkeuze; kwaliteit boven kwantiteit"]
[null,"De instelling kijkt bij het toepassen van deze beheersmaatregelen naar de risico’s en kansen van technologische ontwikkelingen en neemt actuele informatie over (cyber)dreigingen (Threat Intelligence) mee.",null,null,null,"Risico's en kansen van technologische ontwikkelingen en actuele (cyber) dreigingen onderdeel van beheersingsmaatregelen"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling maakt bij het in kaart brengen van aanvalstechnieken en (technische) beheersmaatregelen gebruik van van verschillende bronnen, waaronder bijvoorbeeld het Mitre ATT&CK framework.",null,null,null,"In kaart brengen van aanvalstechnieken"]
[null,"De instelling heeft tools geïmplementeerd voor de automatische detectie en blokkade van virussen, wormen, malware en spyware zoals moderne firewall technologie, virusscanners, tooling voor e-mail beveiliging (zoals antiphishing, domain spoofing, spam), Intrusion Detection Systems (IDS) en Intrusion Prevention Systems (IPS), Extended Detection and Response (XDR), Endpoint Detection and Response (EDR) en ‘defender tools’ met technologie die ziet op Attack Surface Reduction rules",null,"De instelling heeft tools geïmplementeerd voor de automatische detectie en blokkade van virussen, wormen, malware en spyware zoals moderne firewall technologie, virusscanners, Intrusion Detection Systems (IDS) en Intrusion Prevention Systems (IPS)."]
[null,"De instelling analyseert en leert van incidenten die bij peers of andere vergelijkbare ondernemingen plaats hebben gevonden.",null,null,null,"Analyseert en leert van incidenten die bij andere instellingen hebben plaatsgevonden"]
[null,"Logfiles uit voornoemde systemen worden naar een Security Incident and Event Monitoring (SIEM) systeem gestuurd ten behoeve van analyse en (re)actie; de instelling prioriteert de (re)acties op grond van een risico-inschatting.",null,"Logfiles uit voornoemde systemen worden naar een Security Incident and Event Monitoring (SIEM) systeem gestuurd ten behoeve van analyse en (re) actie."]
[null,null,null,"De instelling past segmentering van haar netwerk toe om de impact van een geslaagde malware aanval zo veel mogelijk te beperken."]
[null,"De instelling bewaakt voortdurend in hoeverre Firewalls, virusscanners, IDS-en, IPS-en up to date zijn en rapporteert daar maandelijks over.",null,"De instelling bewaakt voortdurend in hoeverre Firewalls, virusscanners, IDS-en, IPS-en up to date zijn en rapporteert daar maandelijks over."]
[null,"De instelling gaat na in hoeverre dienstverleners er voor zorgdragen dat Firewalls, virusscanners, IDS-en, IPS-en hun infrastructuur up-to-date zijn. De dienstverlener rapporteert hierover aan de instelling.",null,"De instelling gaat na in hoeverre dienstverleners er voor zorgdragen dat Firewalls, virusscanners, IDSen, IPS-en hun infrastructuur up-to-date zijn. De dienstverlener rapporteert hierover aan de instelling."]
[]
[null,"19.2 Vulnerability management",null,"19.2 Vulnerability management"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De belangrijkste ICT-­assets zijn op basis van een risicoanalyse geïdentificeerd en geclassificeerd.",null,"De belangrijkste IT­assets zijn op basis van een risicoanalyse geïdentificeerd."]
[null,"Periodiek worden op basis van Threat Intelligence en vulnerability scans aan de ICT­assets gerelateerde (cyber) kwetsbaarheden vastgesteld en wordt de ernst van het beveiligingsprobleem en mogelijke impact bepaald.",null,"Periodiek worden aan de IT­assets gerelateerde (cyber)kwetsbaarheden mede op basis van threat intelligence en vulnerability scans vastgesteld en de impact op de (bedrijfs)processen van de instelling bepaald."]
[null,"De scope en passende frequentie van de vulnerability scans wordt vastgesteld.",null,null,null,"Scope en frequentie vaststellen"]
[null,"De (cyber)kwetsbaarheden worden risico gebaseerd opgepakt.",null,null,null,"kwetsbaarheden worden risico gebaseerd opgepakt"]
[null,"De instelling bepaalt een risk response op basis van haar risicotoleranties en monitort de opvolging van de risk response aan de hand van gedefinieerde KCI's (metrics).",null,null,null,"Risk response obv kwetsbaarheden vastleggen en monitoren opvolging"]
[null,"Een impact analyse van de (cyber)kwetsbaarheden wordt periodiek gemaakt.",null,null,null,"Impactanalyse van (cyber)kwetsbaarheden opstellen "]
[null,"Op basis van deze impactanalyse worden risicomitigerende acties bepaald voor bedreigingen die buiten de risicotolerantie van de instelling vallen. Indien nodig worden (tijdig) mitigerende beheersmaatregelen genomen en vindt aanvullende (netwerk)monitoring plaats om misbruik te detecteren.",null,"Op basis van de impact worden risicomitigerende acties bepaald voor bedreigingen die buiten de risicotolerantie van de instelling vallen.",null,"Monitoren of misbruik van (cyber)kwetsbaarheden plaats vindt"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling inventariseert regelmatig van welke ICT-assets de bedrijfsprocessen gebruik maken.",null,"De instelling inventariseert regelmatig van welke ITassets de bedrijfsprocessen gebruik maken."]
[null,"Potentiële kwetsbaarheden worden voorkomen door ervoor te zorgen dat ICT-systemen bijgewerkt zijn, met inbegrip van de software die door de instelling aan haar interne en externe gebruikers wordt verstrekt. Dit doet zij door kritieke security updates gecontroleerd te implementeren, met inbegrip van updates van antivirusdefinities of door compenserende beheersmaatregelen te treffen, Bijvoorbeeld (tijdelijke) isolatie van kwetsbare systemen.",null,null,null,"(kritische)security updates worden op de ICT-systemen gepatched middels change proces."]
[null,"De instelling inventariseert frequent (dagelijks) kwetsbaarheden op basis van Threat Intelligence.",null,"De instelling inventariseert frequent (dagelijks) kwetsbaarheden op basis van Threat Intelligence."]
[null,"De instelling stemt de frequentie en het type scan (zoals authenticated of non-authenticated) af op het segment en de risicoanalyse van de eigen organisatie. Daartoe is een analyse gemaakt die periodiek wordt geëvalueerd.",null,"De instelling gebruikt tools om kwetsbaarheden geautomatiseerd te inventariseren (vulnerability scanning).",null,"frequentie en type scan wordt bepaald op basis van risicoanalyse"]
[null,"De instelling bepaalt structureel en risicogebaseerd, wat de impact van deze kwetsbaarheden op de eigen IT-assets is.",null,"De instelling bepaalt structureel en risicogebaseerd, wat de impact van deze kwetsbaarheden op de eigen IT-assets is."]
[null,"De instelling inventariseert periodiek voor welke software geen of niet tijdig security updates beschikbaar worden gesteld. Met leveranciers worden heldere KPI’s overeengekomen voor oplostijden. Ook wordt bewaakt dat software (overeenkomstig met de gebruikerstermijn) voorzien wordt van security updates. Voor software die (binnenkort) end-of-life is worden mitigerende beheersmaatregelen getroffen.",null,"De instelling bepaalt een risk response op basis van haar risicotoleranties en monitort de opvolging van de risk response aan de hand van gedefinieerde KPI’s."]
[null,"Waar mogelijk wordt controle op (delen van) security baselines\nmeegenomen in vulnerability scans.",null,null,null,"hardening wordt waar mogelijk in vulnerability scan meegenomen"]
[null,"De instelling bespreekt met haar dienstverleners regelmatig rapportages / dashboards omtrent de resultaten van uitgevoerde vulnerability scans.",null,"De instelling bespreekt met haar dienstverleners regelmatig rapportages / dashboards omtrent de resultaten van uitgevoerde vulnerability scans."]
[]
[null,"19.3 Application Maintenance ",null,"19.3 Application life-cycle management"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Onderhoud aan IT­applicaties verloopt planmatig, gestructureerd en in lijn met de change management procedures van de instelling.",null,"Onderhoud aan applicaties verloopt planmatig, gestructureerd en in lijn met de change management procedures van de instelling."]
[null,"De instelling bewaakt dat de IT­applicaties die zij gebruikt, worden ondersteund door de ontwikkelaar/leverancier en dat beveiligingsupdates (patches) beschikbaar worden gesteld. Ook vindt monitoring plaats op de End Of Life­datum van gebruikte applicatiesoftware, zodat tijdig mitigerende beheersmaatregelen genomen kunnen worden. De instelling brengt prioritering aan in de uitvoering van onderhoud van de IT applications. ",null,"De instelling bewaakt dat de IT­infrastructuur en IT­applicaties die zij gebruikt, worden ondersteund door de ontwikkelaar/leverancier en dat beveiligingsupdates (patches) beschikbaar worden gesteld.",null,"Prioritering aanbrengen in onderhoud van IT-applicaties"]
[null,"Oplossingen voor kwetsbaarheden in applicaties zoals patches hebben invloed op de prioritering van reguliere onderhoudswerkzaamheden aan IT­applicaties. ",null,"Oplossingen voor kwetsbaarheden in applicaties zoals patches hebben invloed op de prioritering van reguliere onderhoudswerkzaamheden aan IT­applicaties."]
[null,"Hierbij worden change management processen gevolgd die rekening houden met in hoeverre de kwetsbaarheden kritiek zijn binnen het patchmanagement. Dit is gebaseerd op risicoanalyses die onderdeel uitmaken van het changemanagement proces (change risk assessments (cra’s).",null,null,null,"(kritiek) patch management onderdeel van change management proces, via change risk assessements (cra's)"]
[null,"Bij de cra’s wordt expliciet aandacht besteed aan cyberdreigingen, kroonjuwelen en aanvalspaden. Deze zijn van invloed op prioritering van implementatie van de changes. ",null,null,null,"Cra's houden rekening met kroonjuwelen"]
[null,"De risico’s die ontstaan door het gebruik van verouderde of niet­ondersteunde IT­applicaties worden in kaart gebracht, beoordeeld en beperkt. Uit bedrijf genomen IT­applicaties worden op veilige wijze verwerkt en afgevoerd. Hiertoe wordt een planning opgesteld die wordt afgestemd met alle betrokken bedrijfsonderdelen. ",null,null,null,"Risico's verouderde / niet ondersteunde systemen in kaart brengen. Plan voor uitdienstneming IT-applicaties"]
[null,"Een verhoogde focus bij de instelling op klantbeleving en time­to­market leidt er niet toe dat de implementatie van applicatie (beveiligings)maatregelen en investeringen in technologische ontwikkelingen (te) lang worden uitgesteld",null,null,null,"Klantfocus en snelheid mogen niet ten koste gaan van veiligheid van IT-applicaties en IT-infrastructuur"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling hanteert bij de ontwikkeling en aanschaf van IT-applicaties acceptatiecriteria op het gebied van informatiebeveiliging en cybersecurity.",null,"De instelling hanteert bij de ontwikkeling en aanschaf van IT-applicaties acceptatiecriteria op het gebied van informatiebeveiliging en cybersecurity."]
[null,"De instelling heeft in haar configuratiemanagement database (CMDB) de vervangingstermijn opgenomen van applicaties en op basis hiervan wordt vervanging ingepland.",null,"De instelling heeft in haar configuratiemanagement database (CMDB) de vervangingstermijn opgenomen van applicaties en op basis hiervan wordt vervanging ingepland."]
[null,"Het implementeren van kritieke beveiligingspatches van applicatieleveranciers is een specifiek onderdeel van het patchmanagementproces.",null,null,null,"Kritieke beveiligingspatches is specifiek onderdeel in patch beleid"]
[]
[null,"20.1 Protection of security technology",null,"20.1 Protection of security technology"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"De instelling heeft inzicht in de voor haar relevante security technologie13 ",null,"De instelling heeft inzicht in de voor haar relevante security technologie"]
[null,"Gezien hun inherent hoge risicoprofiel, zijn op de security technologie en de medewerkers die voor de werking van de technologie verantwoordelijk zijn specifieke beveiligingsmaatregelen van toepassing.",null,"Gezien hun inherent hoge risicoprofiel, zijn op de security technologie specifieke beveiligings­maatregelen van toepassing.",null,"Specifieke maatregelen niet allen voor scurity technologie maar ook voor de medewerkers die voor de werking ervan verantwoordelijk zijn"]
[null,"Documentatie over de security technologie en beveiligingsmaatregelen alsmede autorisaties voor beheerders van de IT­infrastructuur, waaronder netwerkbeheerders, is op basis van het principle of least privilege, wat inhoudt dat toegang alleen wordt verleend tot security technologie op een ‘need­to­know/need­to­have’­basis.",null,"Documentatie over de security technologie en beveiligingsmaatregelen is alleen op basis van het ‘need­to­know’ principe beschikbaar."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling heeft voor security technologie aanvullende beheersmaatregelen getroffen, zoals een verscherpte fysieke en logische toegangsbeveiliging, 4-ogenprincipe op beheer en onderhoud, een strikter patch regime en/of versnelde followup n.a.v. alerts uit het monitoring systeem, ‘tamper resistant’ maatregelen, etc.",null,"Voor deze componenten gelden aanvullende maatregelen zoals een verscherpte fysieke en logische toegangsbeveiliging, 4-ogenprincipe op beheer en onderhoud, een strikter patch regime en/ of versnelde follow-up n.a.v. alerts uit het monitoring systeem, ‘tamper resistant’ maatregelen, etc."]
[null,"Administratieve handelingen op security systemen wordt gelogd en gemonitord. Dit geldt voor alle toegangsvormen (e.g., lights-out/out-of-band management, remote). Sessierecording vindt plaats op grond van een risicoanalyse.",null,null,null,"Security systemen worden gelogd en gemonitord."]
[null,"(Remote) toegang tot systemen vindt plaats over een versleuteld kanaal.",null,null,null,"(remote) Toegang tot systemen vindt plaats via versleuteld kanaal."]
[null,"Administratieve toegang tot systemen vindt bij voorkeur plaats via bastionhosts."]
[null,"IT-systemen die een rol spelen in de beveiliging van de instelling zijn aangesloten op een SIEM.",null,"IT-systemen die een rol spelen in de beveiliging van de instelling zijn aangesloten op een SIEM."]
[null,"Op de security technologie van de instelling wordt gericht beveiligingsonderzoek uitgevoerd door daarin gespecialiseerde partijen.",null,"Op de IT-security componenten van de instelling wordt gericht beveiligingsonderzoek uitgevoerd door een daarin gespecialiseerde partijen."]
[]
[null,"21.1 Physical security measures",null,"21.1 Physical security measures"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"In lijn met het risicoprofiel van de instelling zijn de fysieke beveiligingsmaatregelen vastgesteld, gedocumenteerd en uitgevoerd om gevoelige locaties zoals het terrein, de datacentra, bekabeling en thuiswerklocaties te beschermen tegen onbevoegde fysieke toegang en (milieu)dreigingen zoals stroomstoringen, brand en waterschade.",null,"De instelling heeft een beleid gedefinieerd en geïmplementeerd ten aanzien van de fysieke beveiliging van kantoorgebouwen, terreinen en IT­infrastructuur locaties (datacenters, serverruimten).",null,"Specifieke beveiligingsmaatregelen voor beschermen gevoelige locaties"]
[null,"Passende beheersmaatregelen ter bescherming tegen bedreigingen staan in verhouding tot het belang van de gebouwen en het kritieke karakter van de werkzaamheden of IT­systemen die in deze gebouwen gevestigd zijn",null,"Fysieke toegangsbeveiligingsmaatregelen zijn in lijn met het risicoprofiel van de instelling.",null,"Maatregelen staan in verhouding tot het kritieke karakter van de gevestigede IT-systemen c.q. activiteiten."]
[null,"Fysieke toegangsbeveiligingsmaatregelen worden regelmatig onderhouden en getest",null,"Fysieke toegangsbeveiligingsmaatregelen worden regelmatig onderhouden en getest."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"Op basis van een risicoanalyse heeft de instelling haar datacenters in klassen (tiers oftewel niveaus) ingedeeld zoals Tier I - De basis, Tier II -Redundantie van elektriciteitsproductie en koeling, Tier III – Onderhoudbaarheid of Tier IVfouttolerantie en de daarbij behorende beheersmaatregelen getroffen.",null,null,null,"Datacenters zijn onderverdeeld in klassen, met daarbijbehorende beheersmaatregelen."]
[null,"De instelling past fysieke zonering toe met verschillende niveaus van toegang (bijvoorbeeld: publiek, personeel en beperkt) op basis van een risicoanalyse.",null,"Op basis van een risicoanalyse heeft de instelling bepaald dat een fysieke zonering is aangebracht met verschillende niveaus van toegang (bijvoorbeeld: publiek, personeel en beperkt)."]
[null,"De voor de IT kritieke gebouwen van de instelling zijn voorzien van inbraakdetectie, waarvan de werking en eventuele meldingen continu (24/7) worden gemonitord.",null,null,null,"IT kritieke gebouwen worden continu gemonitord."]
[null,"De voor de bedrijfsvoering kritieke gebouwen van de instelling zijn voorzien van technische beheersmaatregelen tot het garanderen van continuïteit en het beperken van schade door bijvoorbeeld brand, bliksem, vochtigheid en temperatuurstijgingen, zoals rookdetectors / brandmelders / blusinstallaties, iksemafleiders, airconditioning en extra elektriciteit (noodstroom)voorzieningen.",null,"Bij fysiek onderhoud aan beveiligingsapparatuur is het 4-ogen principe van toepassing.",null,"Bedrijfsovering bij kritieke gebouwen zijn voorzien van technische beheersmaatregelen tot het garanderen van continuïteit. "]
[null,null,null,"De instelling laat de fysieke beveiligingsmaatregelen jaarlijks controleren door een “Mystery Guest”."]
[]
[null,"21.2 Physical access ",null,"21.2 Physical access"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Een beleid is gedefinieerd en geïmplementeerd voor de toegangsbeveiliging van gebouwen, terreinen, zones,datacenters, serverruimtes en thuiswerklocaties die van belang zijn voor het uitvoeren van de bedrijfsprocessen. ",null,"De instelling heeft een beleid gedefinieerd en geïmplementeerd voor de beveiliging gebouwen, terreinen, zones, datacenters en serverruimtes die van belang zijn voor het uitvoeren van de bedrijfsprocessen."]
[null,"Fysieke toegangsbeveiligingsmaatregelen zijn in lijn met het risicoprofiel van de instelling.",null,null,null,"Risicogebaseerd te werk gaan."]
[null,"Toegangsprofielen zijn door het management van de instelling geautoriseerd. De toegang tot gebouwen, gebieden, zones en serverruimtes is gebaseerd op de functie en verantwoordelijkheden van de betreffende medewerker/bezoeker.",null,"Toegangsprofielen zijn door het management van de instelling geautoriseerd. De toegang tot gebouwen, gebieden, zones en serverruimtes is gebaseerd op de functie en verantwoordelijkheden van de betreffende medewerker/bezoeker."]
[null,"Regelmatig wordt de effectiviteit van fysieke toegangsbeveiligingsmaatregelen gecontroleerd en wordt gerapporteerd over de uitkomsten aan het management."]
[null,"Beoordeling van de toegekende toegangsrechten (SOLL­IST) en beoordeling van logging van het toegangsbeveiligingssysteem zijn hierbij meegenomen.",null,"De instelling controleert regelmatig de effectiviteit van fysieke toegangsbeveiligingsmaatregelen en rapporteert over de uitkomsten aan het management. Beoordeling van de toegekende toegangsrechten (SOLL­IST) en beoordeling van logging van het toegangsbeveiligingssysteem worden hierbij meegenomen."]
[null,"Onnodige toegangsrechten zijn onmiddellijk ingetrokken/verwijderd en fysieke toegangsbeveiligingsmaatregelen zijn onderhouden en getest."]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling controleert dat elke toegang tot een datacentrum 24 uur van te voren is aangevraagd met een changerequest en bij spoed alleen onder strikte voorwaarden.",null,null,null,"Controle op aanvragen van toegang tot datacenter."]
[null,"De fysieke toegang tot gebouwen en zones wordt beheerst met behulp van toegangspasjes en -poortjes.",null,"De fysieke toegang tot gebouwen en zones wordt beheerst met behulp van toegangspasjes en -poortjes."]
[null,"Bij fysiek onderhoud aan beveiligingsapparatuur is het 4-ogen principe van toepassing.",null,null,null,"Zie 21.1"]
[null,"De instelling laat de fysieke toegangsbeveiligingsmaatregelen controleren door een “Mystery Guest”.",null,"De instelling laat de fysieke toegangsbeveiligingsmaatregelen controleren door een “Mystery Guest”. IT componenten die een rol spelen in de fysieke toegangsbeveiliging van de instelling zijn aangesloten op een SIEM (Security Information and Event Management)."]
[null,"IT componenten die een rol spelen in de fysieke toegangsbeveiliging van de instelling zijn aangesloten op een SIEM (Security Information and Event Management)."]
[]
[null,"22.1 Penetration testing and ethical hacking",null,"22.1 Penetration testing and ethical hacking"]
[null,"Marktstandaarden",null,"Good Practice"]
[null,"Het bestuur stelt voldoende middelen beschikbaar om een testprogramma te laten uitvoeren, bespreekt de belangrijkste uitkomsten van het testprogramma en zorgt ervoor dat er procedures zijn die erop toezien dat resultaten van de beveiligingstests gecontroleerd, geëvalueerd en geprioriteerd worden. ",null,null,null,"Bestuur stelt voldoende middelen beschikbaar"]
[null,"Het bestuur zorgt dat geconstateerde kwetsbaarheden onverwijld gemitigeerd worden met duidelijke deadlines, rekening houdende met hoe kritiek de kwetsbaarheden en/of het getroffen IT­system zijn. ",null,null,null,"Bestuur verantwoordelijk voor mitigeren van geconstateerde kwetsbaarheden"]
[null,"In het testprogramma dat gekoppeld is aan het (ICT-) risk management framework worden een verscheidenheid aan verschillende evaluaties, beoordelingen en tests van de informatiebeveiliging uitgevoerd om een doeltreffende identificatie van kwetsbaarheden in de ICT-systemen en diensten te waarborgen. ",null,null,null,"Testprogramma opstellen gekoppeld aan (IT-) risk management raamwerk met alle uit te voeren testactiviteiten om doeltreffende identificatie van kwetsbaarheden te waarborgen "]
[null,"De instelling bepaalt op grond van een risicoanalyse welke soorten en met welke frequentie, scope en diepgang beveiligingstests worden uitgevoerd om de robuustheid en doeltreffendheid van de informatiebeveiligingsmaatregelen te valideren. ",null,"De instelling bepaalt op grond van een risicoanalyse en actuele cyberdreigingen welke soorten beveiligingstests worden uitgevoerd alsmede de scope en diepgang van die tests.\n\nDe aard en frequentie van deze tests zijn afhankelijk van het risicoprofiel van de instelling. Onder meer kan gedacht worden aan de volgende soorten beveiligingstests: pentesting, ethical hacking en/of red teaming."]
[null,"In de risicoanalyse is rekening gehouden met actuele cyberdreigingen, het veranderende landschap van ICT-risico’s, eventuele specifieke risico’s waaraan de instelling is of zou\nkunnen zijn blootgesteld."]
[null,"De instelling gaat na dat de interne of externe partij die de beveiligingstests uitvoert voldoende onafhankelijk en geëquipeerd is om dergelijke tests uit te voeren (juiste kennis en ervaring en referenties) en dat de tests op een veilige manier worden uitgevoerd.",null,"De instelling gaat na dat de partij die de beveiligingstests uitvoert voldoende geëquipeerd is om dergelijke tests uit te voeren (juiste kennis en ervaring, certificeringen en referenties)."]
[null,"Tests van beveiligingsmaatregelen worden uitgevoerd in het geval van wijzigingen aan de infrastructuur, processen of procedures, en indien wijzigingen worden doorgevoerd wegens grote operationele of beveiligingsincidenten, of wegens de vrijgave van nieuwe of aanzienlijk gewijzigde kritieke toepassingen.",null,null,null,"Aanscherping criteria wanneer een test wordt uitgevoerd"]
[null,"Good Practices (Aanbevelingen) hierbij zijn",null,"Voorbeelden hierbij zijn"]
[null,"De instelling neemt voor het bepalen van soorten beveiligingstests in haar risicoanalyse actuele cyberdreigingen mee, zoals phishing, DDoS, ransomware en C-level fraude.Op basis van een risicoanalyse maakt de instelling een jaarplan voor de uit te voeren tests. Onderdeel van dit plan is het uitvoeren van pentests, ethical hacking voor alle (nieuwe en gewijzigde) kritieke IT-applicaties en het uitvoeren van een red teaming activiteit.",null,"De instelling neemt voor het bepalen van soorten beveiligingstests in haar risicoanalyse actuele cyberdreigingen mee, zoals phishing, DDoS, cryptoware en CEO fraude"]
[null,null,null,"Op basis van een risicoanalyse maakt de instelling een jaarplan voor de uit te voeren tests. Onderdeel van dit plan is het uitvoeren van pentests voor alle (nieuwe en gewijzigde) kritische IT-applicaties en het uitvoeren van een red teaming activiteit."]
[null,"De instelling voert verschillende typen beveiligingstests uit, waaronder pentests gericht op de beveiliging van infrastructuur en applicaties, red teaming, het testen van de fysieke beveiliging, het testen van menselijk handelen in relatie tot informatiebeveiliging en cybersecurity14.",null,"De instelling voert verschillende typen beveiligingstests uit, waaronder pentests gericht op de beveiliging van infrastructuur en applicaties, red teaming, het testen van de fysieke beveiliging en het testen van menselijk handelen in relatie tot informatiebeveiliging en cybersecurity."]
[null,"De instelling maakt gebruik van een bug bounty/responsible disclosure-programma.",null,null,null,"Responsible disclosure programma"]
[null,"De instelling laat pentests uitvoeren door gespecialiseerde partijen met juiste kennis, ervaring, certificeringen en referenties..",null,"De instelling laat pentests uitvoeren door daarin gespecialiseerde partijen."]
[null,"De instelling wisselt regelmatig van partij die de pentests uitvoert.",null,"De instelling wisselt regelmatig van partij die de pentests uitvoert."]
[null,null,null,"De instelling betrekt haar kritische dienstverleners bij haar security tests."]