Bijlage 6 - ISMS - VVT v4.0[54].pdf

ISMS VvT

Verklaring van Toepasselijkheid

RDW

Inhoudsopgave 1.

Documentbeheer ............................................................................................................................................. 3 1.1 Herziening en goedkeuring van het management ..................................................................................... 3 1.2 Wijzigingshistorie ..................................................................................................................................... 3 1.3 Reviewers ................................................................................................................................................. 3 1.4 Distributie ................................................................................................................................................. 3 2. Verklaring van toepasselijkheid ...................................................................................................................... 4 2.1 Inleiding .................................................................................................................................................... 4 2.2 Gerelateerde documenten ......................................................................................................................... 4 2.3 Geselecteerde beheersdoelstellingen en -maatregelen ..............................................................................

4 2.3.1 ISO 27002 ....................................................................................................................................... 4 2.3.2 Motivatie ......................................................................................................................................... 4 2.3.3 Locatie ............................................................................................................................................. 5 2.3.4 Operationele capaciteiten ................................................................................................................ 5 2.3.5 Selectie ............................................................................................................................................ 5 2.4 Overzicht van toepasselijkheid (‘VvT tabel’) ........................................................................................... 6

ISMS - Verklaring van Toepasselijkheid Pagina 2 van 12

RDW

1. Documentbeheer 1.1 Herziening en goedkeuring van het management Versie Datum 4.0 11-2024

RDW directeur Bedrijfsvoering

Paraaf

1.2 Wijzigingshistorie Datum 03-10-2012 12-10-2012 09-06-2014

Auteur EV EV EV

Versie 1.9 2.0 2.1

30-10-2015 14-12-2015 15-03-2016 15-12-2020

GM GM GM GM

2.9 3.0 3.1 3.2

12-10-2021 06-01-2022 10-08-2024

EW EW JV

3.2 3.3 4.0

Wijziging Aanpassing van de versies van ISMS voorgangers. Gefinaliseerd document; geen wijzigingen. - Sectie 2.3.5 en laatste kolom in tabel in ‘VvT tabel’ (Sectie 2.4) verwijderd omdat deze niet noodzakelijk is en verwarring geeft. - In ‘VvT tabel’ consequent baseline genoemd als gebruik hiervan was aangegeven (‘JB’). - Baseline nummering toegevoegd in de tabel in Sectie 2.2 Aanpassing aan ISO 27002:2015 Review DSO’s verwerkt Toelichting uitsluiten beveiligen bekabeling ISMS opgenomen in de baseline omdat dit standaard ingericht is en geen extra vragen in de RBB vereist. Ook 18.1.3 toegevoegd. Geen wijzigingen 11.2.3 Beveiliging van bekabeling niet meer uitgesloten Aangepast naar ISO 27002:2022

1.3 Reviewers Versie 1.9 1.9 1.9 1.9 2.1 2.9 3.0 3.1 3.2 3.3 4.0

Naam GM JW JvdH EA DSO Overleg (12 juni 2014) DSO overleg en Eric Verheul JW, EW, EA, GM DSO overleg DSO overleg DSO overleg DSO overleg

Functie CSO / DSO D&S DSO R&I DSO VT DSO ICT Bedrijf

1.4 Distributie De laatste versie staat op het intranet, op de security & privacy pagina.

ISMS - Verklaring van Toepasselijkheid Pagina 3 van 12

RDW

2. Verklaring van toepasselijkheid 2.1 Inleiding Deze verklaring beschrijft de doelstellingen van het managementsysteem voor Informatiebeveiliging van de RDW en de geselecteerde beheersmaatregelen van de ISO/IEC 27002:2022 “Informatiebeveiliging, cybersecurity en bescherming van de privacy – Beheersmaatregelen voor informatiebeveiliging”. De RDW maakt gebruik van een managementsysteem voor informatiebeveiliging om de vertrouwelijkheid, integriteit en beschikbaarheid te kunnen waarborgen voor de informatie toevertrouwd door klanten en om de continuïteit van haar dienstverlening te kunnen waarborgen in overeenstemming met gemaakte afspraken. De dienstverlening wordt verleend conform relevante beheerhandboeken, ISMS Beleid, baselines en RBB procedures. Deze zijn opgesteld op basis van de ISO/IEC 27002:2022 standaard. Een overzicht van de toepasselijkheid van de beheersmaatregelen volgt in deze verklaring. Dit document toont de relatie tussen de ISO/IEC 27002:2022 standaard en relevante documenten van de RDW. Hierin wordt verwezen naar de Generieke Baseline documenten, waar de maatregelen zijn uitgewerkt. Verder kunnen er op basis van de RBBs ook extra maatregelen genomen worden om aan de hieronder weergegeven doelstellingen te voldoen, maar deze zal hier niet worden opgenomen.

2.2 Gerelateerde documenten Binnen dit document wordt gerefereerd naar documentatie rond informatiebeveiliging. Daarbij worden de referenties gebruikt aangegeven in de eerste kolom van onderstaande tabel. REF [ISMS] [Organisatie] [Mens] [Fysiek] [Technologie] [UITW]

Documentnaam Information Security Management System Information Security Management System Tactische documentatie Hoofdstuk 5, Organisatorische beheersmaatregelen Hoofdstuk 6, Mensgerichte beheersmaatregelen Hoofdstuk 7, Fysieke beheersmaatregelen Hoofdstuk 8, Technologische beheersmaatregelen Uitwijk documentatie Uitwijkplannen: Scenario A, Scenario B en Scenario Politie uitwijk. Het betreft hier beheersboeken 51, 52 en 56 van de monitoring afdeling binnen het cluster continuïteit.

2.3 Geselecteerde beheersdoelstellingen en -maatregelen In de tabel in Sectie 2.4 (hierna: VvT tabel) is aangegeven welke beheersdoelstellingen en -maatregelen zijn geadopteerd binnen het ISMS. Deze tabel bestaat uit 5 kolommen die wij onderstaand puntsgewijs bespreken.

2.3.1

ISO 27002

De eerste kolom is een duiding van de ISO 27002:2022 beheersdoelstellingen en –maatregelen. De beheersdoelstellingen betreft de grijs gearceerde rijen en de beheersmaatregelen betreft de ongearceerde rijen.

2.3.2

Motivatie

De tweede kolom in de VvT tabel genaamde ‘Motivatie’ vormt de invulling van de volgende twee ISO 27001 6.1.3 punt d: “..een verklaring van toepasselijkheid op te stellen die de benodigde beheersmaatregelen bevat (..), een rechtvaardiging voor het opnemen ervan, de informatie of ze zijn geïmplementeerd of niet..” Hiertoe hebben wij in onderstaand overzicht de belangrijkste bedreigingen geïnventariseerd van de RDW op basis van interviews met het management en de ervaring van de Corporate Informatie Security Officer. Ref. [Onv-Man-Stu]

Bedreiging omschrijving Onvoldoende management sturing. Management is niet betrokken bij informatiebeveiliging of steunt de informatiebeveiliging onvoldoende. Daarnaast wordt er onvoldoende richting aangegeven en onvoldoende doelen gesteld.

ISMS - Verklaring van Toepasselijkheid Pagina 4 van 12

RDW

[Onv-All-Verant]

[Onv-Naleving] [Non-Compliance] [Contractbreuk] [Hacking] [Sabotage] [Spionage] [Diefstal] [Verlies-Gegevens] [Verlies-Dienst] [Ong-Toegang] [Ong-Wijziging] [Onv-Integriteit] [Fouten] [Calamiteit]

Onvoldoende allocatie verantwoordelijkheden. Het is onduidelijke wie voor welke taak verantwoordelijk is. Hierdoor worden mogelijk essentiële taken niet of in onvoldoende mate uitgevoerd. Het beveiligingsbeleid wordt niet door alle betrokken partijen in voldoende mate nageleefd. De RDW handelt in strijd met geldende wet- en regelgeving. Niet voldoen aan afgesloten contracten (bijvoorbeeld SLA). Hackers, die tot doel hebben de dienstverlening te verstoren dan wel ongeautoriseerde toegang te verkrijgen tot gegevens. Moedwillige sabotage van apparatuur, bijvoorbeeld door groeperingen met terroristische motieven. Kopiëren van gevoelige gegevens door een commerciële concurrent of een buitenlandse overheid. Diefstal van gegevens of apparatuur. Gegevens zijn verloren of niet tijdig beschikbaar. Dienstverlening is niet beschikbaar of voldoet niet aan gestelde eisen. Ongeautoriseerde toegang tot gegevens, programmatuur, diensten of locaties. Ongeautoriseerde wijziging van gegevens, programmatuur, diensten of locaties. Medewerkers zijn onvoldoende integer, waardoor zij kwetsbaar zijn voor chantage en fraude. Onopzettelijke fouten in de ontwikkeling, gebruik of beheer van gegevens, programmatuur, diensten of apparatuur. Externe calamiteiten zoals stroomuitval, brand, overstroming, aardbeving, etc.

Per geselecteerde maatregel in de VvT Motivatie tabel hebben wij aangegeven de manifestatie van welke bedreigingen beperkt. In veel gevallen zal hier een ‘m op n’ relatie bestaan: een beheersmaatregel zal de manifestatie van meerdere bedreigingen beïnvloeden en vice versa. Dit overzicht stelt het management in staat vast te stellen welke bedreigingen manifest(er) kunnen worden bij het de-selecteren van een beheersmaatregel. Tot slot, in het geval dat een maatregel niet wordt geselecteerd, wordt in de VvT motivatie kolom gemotiveerd waarom dit niet het geval is.

2.3.3

Locatie

De Locatie kolom geeft aan waar de relevante tactische informatie kan worden gevonden (zie Sectie 2.2.).

2.3.4

Operationele capaciteiten

De kolom Operationele capaciteiten is overgenomen uit de ISO 27002:2022 norm en is een attribuut om beheersmaatregelen te bekijken vanuit het perspectief van beroepsbeoefenaren op informatiebeveiligingscapaciteiten.

2.3.5

Selectie

Zoals uitgebreid beschreven in het ISMS handboek, maakt de RDW gebruik van de zogenaamde ‘combined approach’ voor informatiebeveiliging. Hierbij wordt: • een selectie van beheersmaatregelen als baseline van toepassing gesteld voor alle toepasselijke objecten (informatiesystemen, mensen etc.) • middels een Business Impact Scan (BIS) vastgesteld of een informatiesysteem essentieel is voor de RDW of niet. • Voor essentiële informatiesystemen wordt een Risicobeoordeling en –behandeling (RBB) toegepast waarbij wordt vastgesteld of beheersmaatregelen additioneel aan de baseline noodzakelijk is. In de VvT Tabel staat in de Selectie kolom: • een ‘J’ als de beheersdoelstelling of –maatregel feitelijk is geselecteerd en een ‘N’ als dat niet het geval is (mogelijk dat feitelijke selectie op een later moment wel plaatsvindt), • een ‘B’ als de beheersmaatregel onderdeel van de baseline is en geen ‘B’ als dat niet geval is. Uit de VvT tabel blijkt dat de RDW alle ISO 27002 beheersdoelstellingen heeft geselecteerd.

ISMS - Verklaring van Toepasselijkheid Pagina 5 van 12

RDW

2.4 Overzicht van toepasselijkheid (‘VvT tabel’) ISO 27002:2022

Motivatie

Locatie/Toelichting

Operationele capaciteiten

[Onv-Man-Stu], [Onv-Naleving]

[ISMS]

#Governance

Selectie (N, J, B)

5 Organisatorische beheersmaatregelen 5.1 Beleidsregels voor informatiebeveiliging

JB [Onv-Man-Stu]

[ISMS]

#Governance

5.2 Rollen en verantwoordelijkheden bij informatiebeveiliging

JB [Fouten], [Onv-Integriteit]

[Organisatie]

#Governance #Identiteits-_en_toegangsbeheer

5.3 Functiescheiding

Alleen voor Essentiële informatiesystemen indien relevantie uit RBB naar voren komt.

5.4 Managementverantwoordelijkheden

[Onv-All-Verant]

[ISMS], [Organisatie] #Governance

[Hacking], [Sabotage]

[Organisatie]

JB

5.5 Contact met overheidsinstanties 5.6 Contact met speciale belangengroepen

JB [Hacking], [Sabotage]

[Organisatie]

#Governance

[Hacking], [Spionage]

[Organisatie]

#Beheer_van_dreigingen_en_kwetsbaarheden

5.7 Informatie en analyses over dreigingen 5.8 Informatiebeveiliging in projectmanagement 5.9 Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen

JB JB

[Hacking], [Diefstal], [Verlies-Gegevens], [Verlies-Dienst], [Onv-Man-Stu], [Onv-AllVerant] [Diefstal], [Ong-Toegang], [Onv-All-Verant]

[Organisatie]

#Governance JB

[Organisatie]

#Beheer_van_bedrijfsmiddelen JB

5.10 Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen

[Diefstal], [Ong-Toegang], [Onv-All-Verant], [Onv-Naleving]

[Organisatie]

5.11 Retourneren van bedrijfsmiddelen

[Ong-Toegang], [Onv-All-Verant]

[Organisatie]

[Onv-All-Verant]

[Organisatie]

#Beheer_van_bedrijfsmiddelen #Informatiebescherming

JB JB

#Informatiebescherming

5.12 Classificeren van informatie 5.13 Labelen van informatie

JB

#Governance

JB [Onv-All-Verant], [Onv-Naleving], [Noncompliance]

[Organisatie]

#Informatiebescherming JB

ISMS - Verklaring van Toepasselijkheid Pagina 6 van 12

RDW

ISO 27002:2022

5.14 Overdragen van informatie

5.15 Toegangsbeveiliging 5.16 Identiteitsbeheer 5.17 Beheren van authenticatie-informatie 5.18 Toegangsrechten

Motivatie

Locatie/Toelichting

Operationele capaciteiten

[Onv-Man-Stu], [Onv-All-Verant], [NietNaleving], [Fouten], [Ong-Wijziging]

[Organisatie]

#Beheer_van_bedrijfsmiddelen #Informatiebescherming

Selectie (N, J, B)

JB

Alleen voor essentiële informatiesystemen indien relevantie uit RBB naar voren komt. [Onv-Man-Stu], [Onv-All-Verant], [OnvNaleving], [Hacking], [Spionage] [Onv-Toegang], [Onv-Wijziging]

[Organisatie]

#Identiteits-_en_toegangsbeheer

[Organisatie]

#Identiteits-_en_toegangsbeheer

[Onv-Toegang], [Onv-Wijziging], [Hacking], [Spionage], [Onv-All-Verant], [Onv-Naleving], [Ong-Toegang], [Ong-Wijziging] [Onv-Toegang], [Onv-Wijziging], [OnvNaleving] [Onv-Man-Stu], [Onv-All-Verant]

[Organisatie]

#Identiteits-_en_toegangsbeheer

JB JB JB

[Organisatie]

#Identiteits-_en_toegangsbeheer

[Organisatie]

#Beveiliging_in_leveranciersrelaties

JB

5.19 Informatiebeveiliging in leveranciersrelaties

JB

5.20 Adresseren van informatiebeveiliging in leveranciersovereenkomsten

[Fouten], [Verlies-Dienst]

5.21 Beheren van informatiebeveiliging in de ICT-keten

[Fouten], [Verlies-Dienst]

[Organisatie]

JB [Organisatie]

#Beveiliging_in_leveranciersrelaties JB

[Onv-Naleving], [Fouten], [Verlies-Dienst]

[Organisatie]

5.22 Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten 5.23 Informatiebeveiliging voor het gebruik van clouddiensten

#Beveiliging_in_leveranciersrelaties

[Onv-Naleving], [Non-Compliance]

[Organisatie]

#Beveiliging_in_leveranciersrelaties #Borging_van_informatiebeveiliging

JB

#Beveiliging_in_leveranciersrelaties JB

5.24 Plannen en voorbereiden van het beheer van [Onv-All-Verant] informatiebeveiligingsincidenten

[Organisatie]

#Governance #Beheer_van_informatiebeveiligingsgebeurtenissen

5.25 Beoordelen van en besluiten over informatiebeveiligingsgebeurtenissen 5.26 Reageren op informatiebeveiligingsincidenten 5.27 Leren van informatiebeveiligingsincidenten

[Organisatie]

#Beheer_van_informatiebeveiligingsgebeurtenissen

[Fouten]

[Organisatie]

#Beheer_van_informatiebeveiligingsgebeurtenissen

[Fouten]

[Organisatie]

#Beheer_van_informatiebeveiligingsgebeurtenissen

JB

5.28 Verzamelen van bewijsmateriaal

[Non-Compliance]

[Organisatie]

#Beheer_van_informatiebeveiligingsgebeurtenissen

JB

JB JB JB

ISMS - Verklaring van Toepasselijkheid Pagina 7 van 12

RDW

ISO 27002:2022

5.29 Informatiebeveiliging tijdens een verstoring

5.30 ICT-gereedheid voor bedrijfscontinuïteit

5.31 Wettelijke, statutaire, regelgevende en contractuele eisen

5.32 Intellectuele-eigendomsrechten

Motivatie

Locatie/Toelichting

Operationele capaciteiten

[Onv-Man-Stu], [Onv-All-Verant], [VerliesGegevens], [Verlies-Dienst], [Calamiteit]

[Organisatie]

#Continuïteit J

Alleen voor Essentiële informatiesystemen indien relevantie uit RBB naar voren komt. [Verlies-Gegevens], [Verlies-Dienst], [Calamiteit] [Onv-Man-Stu], [Onv-All-Verant], [NonCompliance]

[Organisatie]

#Continuïteit

JB

[Organisatie], [ISMS] #Juridisch_en_compliance JB

Alleen voor Essentiële informatiesystemen indien relevantie uit RBB naar voren komt. [Non-Compliance], [Contractbreuk]

[Organisatie]

#Juridisch_en_compliance

JB

[Spionage], [Verlies-Gegevens]

[Organisatie]

#Juridisch_en_compliance #Beheer_van_bedrijfsmiddelen #Informatiebescherming

JB

#Informatiebescherming #Juridisch_en_compliance

JB

5.33 Beschermen van registraties

Alleen voor Essentiële informatiesystemen indien relevantie uit RBB naar voren komt.

5.34 Privacy en bescherming van persoonsgegevens

[Non-Compliance]

5.35 Onafhankelijke beoordeling van informatiebeveiliging

[Onv-Man-Stu], [Onv-Naleving]

[Organisatie]

#Borging_van_informatiebeveiliging

5.36 Naleving van beleid, regels en normen voor informatiebeveiliging

[Onv-Naleving]

[Organisatie]

#Juridisch_en_compliance #Borging_van_informatiebeveiliging

[Fouten], [Verlies-Dienst]

5.37 Gedocumenteerde bedieningsprocedures

Selectie (N, J, B)

[Organisatie]

[Organisatie]

JB JB

#Beheer_van_bedrijfs_middelen #Fysieke_beveiliging #Systeem-_en_netwerkbeveiliging #Toepassingsbeveiliging #Veilige_configuratie #Identiteits-_en_toegangsbeheer #Beheer_van_dreigingen_en_kwetsbaarheden #Continuïteit #Beheer_van_informatiebeveiligingsgebeurtenissen

JB

ISMS - Verklaring van Toepasselijkheid Pagina 8 van 12

RDW

Motivatie

Locatie/Toelichting

Operationele capaciteiten

Selectie (N, J, B)

6.1 Screening

[Onv-Intregriteit]

[Mens]

#Personeelsbeveiliging

JB

6.2 Arbeidsovereenkomst 6.3 Bewustwording van, opleiding en training in informatiebeveiliging 6.4 Disciplinaire procedure

[Onv-All-Verant]

[Mens]

#Personeelsbeveiliging

JB

[Onv-Integriteit], [Fouten]

[Mens]

#Personeelsbeveiliging

[Onv-Naleging], [Onv-Integriteit]

[Mens]

#Personeelsbeveiliging

JB

6.5 Verantwoordelijkheden na beëindiging of wijziging van het dienstverband

[Onv-All-Verant], [Onv-Naleving]

[Mens]

#Personeelsbeveiliging #Beheer_van_bedrijfsmiddelen

JB

#Personeelsbeveiliging #Informatiebescherming #Leveranciersrelaties

JB

ISO 27002:2022 6 Mensgerichte beheersmaatregelen

[Onv-All-Verant], [Onv-Naleving]

[Mens]

6.6 Vertrouwelijkheids- of geheimhoudingsovereenkomsten [Ong-Toegang], [Hacking], [Spionage]

[Mens]

6.7 Werken op afstand

6.8 Melden van informatiebeveiligingsgebeurtenissen 7 Fysieke beheersmaatregelen

JB

Beheer_van_bedrijfsmiddelen #Informatiebescherming #Fysieke_beveiliging #Systeem-_en_netwerkbeveiliging

JB

[Onv-Man-Stu], [Onv-All-Verant], [OnvNaleving]

[Mens]

#Beheer_van_informatiebeveiligingsgebeurtenissen

[Fysiek]

#Fysieke_beveiliging

[Fysiek]

7.2 Fysieke toegangsbeveiliging

[Onv-All-Verant], [Ong-Toegang], [Hacking], [Spionage] [Sabotage], [Diefstal], [Spionage], [NonCompliance]

#Fysieke_beveiliging #Identiteits-_en_toegangsbeheer

JB

7.3 Beveiligen van kantoren, ruimten en faciliteiten

[Sabotage], [Diefstal], [Spionage], [OngToegang], [Ong-Wijziging]

[Fysiek]

#Fysieke_beveiliging #Beheer_van_bedrijfsmiddelen

JB

[Sabotage], [Diefstal], [Spionage], [OngToegang], [Ong-Wijziging]

[Fysiek]

7.4 Monitoren van de fysieke beveiliging 7.5 Beschermen tegen fysieke en omgevingsdreigingen 7.6 Werken in beveiligde zones

[Diefstal], [Spionage]

[Fysiek]

#Fysieke_beveiliging

[Sabotage], [Diefstal], [Hacking]

[Fysiek]

#Fysieke_beveiliging

JB

7.7 ‘Clear desk’ en ‘clear screen’

[Onv-Naleving], [Verlies-Gegevens], [Spionage]

[Fysiek]

#Fysieke_beveiliging

JB

7.1 Fysieke beveiligingszones

JB

JB

#Fysieke_beveiliging JB JB

ISMS - Verklaring van Toepasselijkheid Pagina 9 van 12

RDW

ISO 27002:2022

Motivatie

Locatie/Toelichting

Operationele capaciteiten

Selectie (N, J, B)

[Sabotage], [Diefstal], [Spionage]

[Fysiek]

#Fysieke_beveiliging #Beheer_van_bedrijfsmiddelen

JB

#Fysieke_beveiliging #Beheer_van_bedrijfsmiddelen

JB

#Fysieke_beveiliging #Beheer_van_bedrijfsmiddelen

JB

7.8 Plaatsen en beschermen van apparatuur 7.9 Beveiligen van bedrijfsmiddelen buiten het terrein

[Diefstal], [Spionage], [Verlies-Gegevens]

[Fysiek]

[Verlies-Gegevens], [Diefstal], [Spionage], [Hacking], [Onv-All-Verant], [Fouten]

[Fysiek]

7.10 Opslagmedia 7.11 Nutsvoorzieningen

[Calamiteit], [Verlies-Dienst], [Contractbreuk]

[Fysiek]

#Fysieke_beveiliging

JB

7.12 Beveiligen van bekabeling

[Sabotage], [Spionage]

[Fysiek]

#Fysieke_beveiliging

JB

[Fouten], [Verlies-Dienst], [Contractbreuk]

[Fysiek]

#Fysieke_beveiliging #Beheer_van_bedrijfsmiddelen

JB

#Fysieke_beveiliging #Beheer_van_bedrijfsmiddelen

JB

#Beheer_van_bedrijfsmiddelen #Informatiebescherming

JB

7.13 Onderhoud van apparatuur 7.14 Veilig verwijderen of hergebruiken van apparatuur

[Spionage]

[Fysiek]

8 Technologische beheersmaatregelen 8.1 ‘User endpoint devices’

[Ong-Toegang], [Hacking], [Spionage], [Diefstal], [Verlies-Gegevens]

[Technologie]

8.2 Speciale toegangsrechten

[Onv-Toegang], [Onv-Wijziging]

[Technologie]

#Identiteits-_en_toegangsbeheer

JB

8.3 Beperking toegang tot informatie

[Ong-Toegang], [Hacking], [Spionage]

[Technologie]

#Identiteits-_en_toegangsbeheer

JB

[Ong-Toegang], [Ong-Wijziging], [OnvIntegriteit], [Hacking], [Spionage]

[Technologie]

#Identiteits-_en_toegangsbeheer #Toepassingsbeveiliging #Veilige_configuratie

JB

[Ong-Toegang], [Ong-Wijziging], [Hacking], [Spionage] [Verlies-Dienst]

[Technologie]

#Identiteits-_en_toegangsbeheer

[Technologie]

#Continuïteit

8.4 Toegangsbeveiliging op broncode

8.5 Beveiligde authenticatie 8.6 Capaciteitsbeheer 8.7 Bescherming tegen malware

8.8 Beheer van technische kwetsbaarheden

JB JB

[Verlies-Dienst], [Verlies-Gegevens], [Hacking], [Spionage]

[Technologie]

[Hacking], [Spionage], [Verlies-Dienst], [OnvNaleving]

[Technologie]

#Systeem-_en_netwerkbeveiliging #Informatiebescherming

JB

#Beheer_van_dreigingen_en_kwetsbaarheden JB

ISMS - Verklaring van Toepasselijkheid Pagina 10 van 12

RDW

ISO 27002:2022 8.9 Configuratiebeheer

Locatie/Toelichting

Operationele capaciteiten

[Ong-Toegang], [Ong-Wijziging], [Hacking], [Spionage] [Verlies-Gegevens], [Non-Compliance]

[Technologie]

#Veilige_configuratie

[Technologie]

#Informatiebescherming #Juridisch_en_compliance

JB JB

8.10 Wissen van informatie 8.11 Maskeren van gegevens

[Verlies-Gegevens], [Non-Compliance]

[Technologie]

#Informatiebescherming

8.12 Voorkomen van gegevenslekken (Data leakage prevention)

[Verlies-Gegevens], [Non-Compliance]

[Technologie]

#Informatiebescherming

8.13 Back-up van informatie

[Verlies-Gegevens], [Calamiteit]

[Technologie]

#Continuïteit

[Verlies-Gegevens], [Verlies-Dienst], [Calamiteit]

[Technologie]

#Continuïteit #Beheer_van_bedrijfsmiddelen

8.14 Redundantie van informatieverwerkende faciliteiten

Selectie (N, J, B)

Motivatie

JB

JB JB

J Alleen voor Essentiële informatiesystemen indien relevantie uit RBB naar voren komt. [Onv-Naleving], [Verlies-Gegevens] [Technologie]

#Beheer_van_informatiebeveiligingsgebeurtenissen

8.15 Logging 8.16 Monitoren van activiteiten

JB [Hacking], [Spionage], [Ong-Toegang], [OngWijziging], [Onv-Integriteit] [Onv-Naleving]

[Technologie]

#Beheer_van_informatiebeveiligingsgebeurtenissen

[Technologie]

#Beheer_van_informatiebeveiligingsgebeurtenissen

8.17 Kloksynchronisatie

JB [Ong-Toegang], [Ong-Wijziging], [OnvIntegriteit]

[Technologie]

8.19 Installeren van software op operationele systemen

[Fouten], [Verlies-Dienst], [Hacking], [Spionage], [Verlies-Gegevens]

[Technologie]

8.20 Beveiliging netwerkcomponenten

[Onv-Man-Stu], [Onv-All-Verant]

8.21 Beveiliging van netwerkdiensten

[Spionage], [Hacking]

8.18 Gebruik van speciale systeemhulpmiddelen

8.22 Netwerksegmentatie 8.23 Toepassen van webfilters

#Systeem-_en_netwerkbeveiliging #Veilige_configuratie #Toepassingsbeveiliging

JB

#Veilige_configuratie #Toepassingsbeveiliging

JB

[Technologie]

#Systeem-_en_netwerkbeveiliging

JB

[Technologie]

#Systeem-_en_netwerkbeveiliging

JB

[Ong-Toegang], [Hacking], [Spionage], [Fouten], [Technologie] [Onv-Integriteit] [Hacking], [Spionage], [Verlies-Gegevens], [Technologie] [Verlies-Dienst]

#Systeem-_en_netwerkbeveiliging

JB

#Systeem-_en_netwerkbeveiliging

ISMS - Verklaring van Toepasselijkheid Pagina 11 van 12

RDW

ISO 27002:2022

Motivatie

Locatie/Toelichting

Operationele capaciteiten

[Ong-Wijziging], [Onv-All-Verant], [OngToegang], [Hacking], [Spionage]

[Technologie]

#Veilige_configuratie

8.24 Gebruik van cryptografie

J Alleen voor Essentiële informatiesystemen indien relevantie uit RBB naar voren komt. [Onv-Man-Stu], [Onv-All-Verant] [Technologie]

8.25 Beveiligen tijdens de ontwikkelcyclus [Ong-Toegang], [Ong-Wijziging], [Hacking], [Contractbreuk]

[Technologie]

#Toepassingsbeveiliging #Systeem-_en_netwerkbeveiliging

8.28 Veilig coderen

JB Alleen voor Essentiële informatiesystemen indien relevantie uit RBB naar voren komt. [Fouten], [Verlies-Dienst] [Technologie] [Hacking], [Spionage], [Verlies-Gegevens], [Verlies-Dienst], [Ong-Toegang], [OngWijziging] [Fouten], [Verlies-Dienst], [Ong-Toegang]

[Technologie]

#Toepassingsbeveiliging #Borging_van_informatiebeveiliging #Systeem-_en_netwerkbeveiliging

JB

#Systeem-_en_netwerkbeveiliging #Toepassingsbeveiliging #Beveiliging_in_leveranciersrelaties

J

#Toepassingsbeveiliging #Systeem-_en_netwerkbeveiliging

JB

[Technologie], [ISMS]

#Toepassingsbeveiliging #Systeem-_en_netwerkbeveiliging

JB

[Onv-Man-Stu], [Onv-All-Verant]

[Technologie]

#Informatiebescherming

JB

[Fouten], [Ong-Toegang], [Ong-Wijziging], [Verlies-Dienst]

[Technologie]

#Systeem-_en_netwerkbeveiliging #Informatiebescherming

[Fouten], [Verlies-Dienst]

8.34 Bescherming van informatiesystemen tijdens audits

[Technologie], [ISMS]

Alleen voor Essentiële informatiesystemen indien relevantie uit RBB naar voren komt. [Ong-Toegang], [Ong-Wijziging], [Hacking], [Technologie] [Fouten]

8.32 Wijzigingsbeheer 8.33 Testgegevens

JB

#Toepassingsbeveiliging #Systeem-_en_netwerkbeveiliging

[Fouten], [Verlies-Dienst], [Ong-Toegang]

8.31 Scheiding van ontwikkel-, test- en productieomgevingen

#Toepassingsbeveiliging #Systeem-_en_netwerkbeveiliging

[Technologie]

8.29 Testen van de beveiliging tijdens ontwikkeling en acceptatie

8.30 Uitbestede systeemontwikkeling

JB

#Toepassingsbeveiliging #Systeem-_en_netwerkbeveiliging

8.26 Toepassingsbeveiligingseisen

8.27 Veilige systeemarchitectuur en technische uitgangspunten

Selectie (N, J, B)

J Alleen voor Essentiële informatiesystemen indien relevantie uit RBB naar voren komt.

ISMS - Verklaring van Toepasselijkheid Pagina 12 van 12