Doesburg_Rapportage BIO_2024 ENSIA
Tekst van het document
Voldoet
Voldoet niet
✓ BRP Reisdocumenten
BIO-rapportage ENSIA 2024
Gemeente Doesburg
Pagina 33 van 43
Hoofdstuk 14 Acquisitie, ontwikkeling en onderhoud van informatiesystemen Control 14.1.1 Analyse en specificatie van informatiebeveiligingseisen Maatregel 14.1.1.1 BBN 1 Bij nieuwe informatiesystemen en bij wijzigingen op bestaande informatiesystemen moet een expliciete risicoafweging worden uitgevoerd ten behoeve van het vaststellen van de beveiligingseisen, uitgaande van de BIO. 14.1.1.1 Vindt een expliciete risicoafweging plaats bij nieuwe informatiesystemen en wijzigingen op bestaande informatiesystemen? Antwoord
Voldoet
Voldoet niet
✓
Ja
Control 14.1.2 Toepassingen op openbare netwerken beveiligen Control 14.1.3 Transacties van toepassingen beschermen Aanvullende maatregel Een transactie is versleuteld, de partijen zijn geauthentiseerd en de privacy van betrokken partijen is gewaarborgd. 14.1.3.am.2 Voldoet uw organisatie aan deze aanvullende maatregel? Antwoord
Voldoet
Voldoet niet
✓
Ja Control 14.2.1 Beleid voor beveiligd ontwikkelen
Maatregel 14.2.1.1 BBN 1 De gangbare principes rondom 'security by design' zijn uitgangspunt voor de ontwikkeling van software en systemen. 14.2.1.1 Zijn bij de ontwikkeling van software en systemen de gangbare principes van 'security bij design' het uitgangspunt? Antwoord Niet van toepassing, wij ontwikkelen geen software
Voldoet
Voldoet niet
✓
Control 14.2.2 Procedure voor wijzigingsbeheer met betrekking tot systemen Maatregel 14.2.2.1 BBN 1 Wijzigingsbeheer vindt plaats op basis van een algemeen geaccepteerde beheerframework. 14.2.2.1 Vindt wijzigingsbeheer plaats op basis van een algemeen geaccepteerd beheerframework? Antwoord Ja
Voldoet
Voldoet niet
✓
Control 14.2.3 Technische beoordeling van toepassingen na wijzigingen besturingsplatform Control 14.2.5 Principes voor engineering van beveiligde systemen
BIO-rapportage ENSIA 2024
Gemeente Doesburg
Pagina 34 van 43
Control 14.2.6 Beveiligde ontwikkelomgeving Maatregel 14.2.6.1 BBN 1 Systeemontwikkelomgevingen worden passend beveiligd op basis van een expliciete risicoafweging. 14.2.6.1 Worden ontwikkelomgevingen voor systemen passend beveiligd op basis van een expliciete risicoafweging? Antwoord
Voldoet
Voldoet niet
✓
Niet van toepassing, wij beschikken niet over systeemontwikkelomgevingen Control 14.2.7 Uitbestede softwareontwikkeling
Maatregel 14.2.7.1 BBN 1 Een voorwaarde voor uitbestedingstrajecten is een expliciete risicoafweging. De noodzakelijke beveiligingsmaatregelen die daaruit volgen worden aan de leverancier opgelegd. 14.2.7.1 Worden passende en noodzakelijke beveiligingsmaatregelen aan de leverancier opgelegd? Antwoord
Voldoet
Voldoet niet
✓
Ja Control 14.2.8 Testen van systeembeveiliging
Aanvullende maatregel Voor acceptatietesten van systemen worden gestructureerde testmethodieken gebruikt. De testen worden bij voorkeur geautomatiseerd uitgevoerd. Van de resultaten van de testen wordt verslag gemaakt. (BBN 1 14.2.8.am.2 Voldoet uw organisatie aan deze aanvullende maatregel? Antwoord
Voldoet
Voldoet niet ✓
Nee Control 14.2.9 Systeemacceptatietests
Maatregel 14.2.9.1 BBN 1 Voor acceptatietesten van systemen worden gestructureerde testmethodieken gebruikt. De testen worden bij voorkeur geautomatiseerd uitgevoerd. 14.2.9.1 Vinden acceptatietesten van systemen op basis van gestructureerde testmethodieken plaats? Antwoord
Voldoet
Voldoet niet
✓
Ja Maatregel 14.2.9.2 BBN 1 Van de resultaten van de testen wordt verslag gemaakt.
14.2.9.2 Worden testverslagen gemaakt waarin de resultaten van het testen worden vastgelegd? Antwoord
Voldoet
Voldoet niet
✓
Ja Control 14.3.1 Bescherming van testgegevens
BIO-rapportage ENSIA 2024
Gemeente Doesburg
Pagina 35 van 43
Hoofdstuk 15 Leveranciersrelaties Control 15.1.1 Informatiebeveiligingsbeleid voor leveranciersrelaties Maatregel 15.1.1.1 BBN 1 Bij offerteaanvragen waar informatie(voorziening) een rol speelt, worden eisen ten aanzien van informatiebeveiliging (beschikbaarheid, integriteit en vertrouwelijkheid) benoemd. Deze eisen zijn gebaseerd op een expliciete risicoafweging. 15.1.1.1 Worden eisen t.a.v. informatie(voorziening) benoemd in offerteaanvragen, waarbij deze eisen zijn gebaseerd op een expliciete risicoafweging? Antwoord Ja
Voldoet
Voldoet niet
✓
Maatregel 15.1.1.2 BBN 2 Op basis van een expliciete risicoafweging worden de beheersmaatregelen met betrekking tot leverancierstoegang tot bedrijfsinformatie vastgesteld. 15.1.1.2 Worden de beheersmaatregelen m.b.t. leverancierstoegang tot bedrijfsinformatie vastgesteld op basis van een expliciete risicoafweging? Antwoord
Voldoet
Voldoet niet ✓
Nee, niet op basis van een expliciete risicoafweging
Maatregel 15.1.1.3 BBN 2 Met alle leveranciers die als verwerker voor of namens de organisatie persoonsgegevens verwerken, worden verwerkersovereenkomsten gesloten waarin alle wettelijk vereiste afspraken zijn vastgesteld. 15.1.1.3 Worden met alle leveranciers, indien van toepassing, verwerkersovereenkomsten gesloten waarin alle wettelijke vereiste afspraken zijn vastgelegd? Antwoord Ja
Voldoet
Voldoet niet
✓ BRP Reisdocumenten
Control 15.1.2 Opnemen van beveiligingsaspecten in leveranciersovereenkomsten Maatregel 15.1.2.1 BBN 1 De beveiligingseisen uit de offerteaanvraag worden expliciet opgenomen in de (inkoop)contracten waar informatie een rol speelt. 15.1.2.1 Worden de beveiligingseisen uit offerteaanvragen expliciet opgenomen in (inkoop) contracten waarbij informatie een rol speelt? Antwoord Ja
Voldoet
Voldoet niet
✓
Maatregel 15.1.2.2 BBN 1 In de inkoopcontracten worden expliciet prestatie-indicatoren en de bijbehorende verantwoordingsrapportages opgenomen. 15.1.2.2 Worden in inkoopcontracten expliciet prestatie-indicatoren en bijbehorende verantwoordingsrapportages opgenomen? Antwoord
Voldoet
Voldoet niet ✓
Nee
Maatregel 15.1.2.3 BBN 1 In situaties waarin contractvoorwaarden worden opgelegd door leveranciers, is voorafgaand aan het tekenen van het contract met een risicoafweging helder gemaakt wat de consequenties hiervan zijn voor de organisatie. Expliciet is gemaakt welke consequenties geaccepteerd worden en welke gemitigeerd moeten zijn bij het aangaan van de overeenkomst.
BIO-rapportage ENSIA 2024
Gemeente Doesburg
Pagina 36 van 43
Control 15.1.2 Opnemen van beveiligingsaspecten in leveranciersovereenkomsten 15.1.2.3 Worden consequenties van door leveranciers opgelegde contractvoorwaarden, voorafgaand aan het tekenen van een contract, door middel van een risico analyse, inzichtelijk gemaakt? Antwoord
Voldoet
Voldoet niet
✓
Ja
Maatregel 15.1.2.4 BBN 1 Ter waarborging van vertrouwelijkheid of geheimhouding worden bij IT-inkopen standaardvoorwaarden voor inkoop gehanteerd. 15.1.2.4 Worden bij IT-aankopen standaard inkoopvoorwaarden gehanteerd ter waarborging van vertrouwelijkheid of geheimhouding? Antwoord
Voldoet
Voldoet niet
✓
Ja
Maatregel 15.1.2.5 BBN 2 Voordat een contract wordt afgesloten wordt in een risicoafweging bepaald of de afhankelijkheid van een leverancier beheersbaar is. Een vast onderdeel van het contract is een expliciete uitwerking van de exit-strategie. 15.1.2.5.a Wordt voor het afsluiten van een contract op basis van risicoafweging bepaald of de afhankelijkheid van een leverancier beheersbaar is? Antwoord
Voldoet
Voldoet niet
✓
Ja
Maatregel 15.1.2.5 BBN 2 Voordat een contract wordt afgesloten wordt in een risicoafweging bepaald of de afhankelijkheid van een leverancier beheersbaar is. Een vast onderdeel van het contract is een expliciete uitwerking van de exit-strategie. 15.1.2.5.b Maakt een expliciete exit-strategie een vast onderdeel uit van contracten? Antwoord
Voldoet
Voldoet niet
✓
Ja
Maatregel 15.1.2.6 BBN 2 In inkoopcontracten wordt expliciet de mogelijkheid van een externe audit opgenomen waarmee de betrouwbaarheid van de geleverde dienst kan worden getoetst. Een audit is niet nodig als de contractant door middel van certificering aantoont dat de gewenste betrouwbaarheid van de dienst is geborgd. 15.1.2.6 Bevatten inkoopcontracten het 'right to audit'? Antwoord
Voldoet
Voldoet niet ✓
Nee Control 15.1.3 Toeleveringsketen van informatie- en communicatietechnologie
Maatregel 15.1.3.1 BBN 2 Leveranciers moeten hun keten van toeleveranciers bekendmaken en transparant zijn over de maatregelen die zij genomen hebben om de aan hun opgelegde eisen ook door te vertalen naar hun toeleveranciers. 15.1.3.1.a Maken de leveranciers van uw organisatie hun keten van toeleveranciers bekend? Antwoord Ja
Voldoet
Voldoet niet
✓
15.1.3.1.b Zijn de leveranciers van uw keten transparant over de maatregelen die zij genomen hebben om de opgelegde eisen door te vertalen naar hun toeleveranciers? Antwoord Ja
BIO-rapportage ENSIA 2024
Voldoet
Voldoet niet
✓
Gemeente Doesburg
Pagina 37 van 43
Control 15.2.1 Monitoring en beoordeling van dienstverlening van leveranciers Maatregel 15.2.1.1 BBN 2 Jaarlijks wordt de prestatie van leveranciers op het gebied van informatiebeveiliging beoordeeld op vooraf vastgestelde prestatie-indicatoren, zoals in het contract opgenomen is. 15.2.1.1 Worden de prestaties van leveranciers op het gebied van informatiebeveiliging jaarlijks beoordeeld op vooraf vastgestelde prestatie-indicatoren? Antwoord
Voldoet
Voldoet niet ✓
Nee
BRP Reisdocumenten Control 15.2.2 Beheer van veranderingen in dienstverlening van leveranciers
BIO-rapportage ENSIA 2024
Gemeente Doesburg
Pagina 38 van 43
Hoofdstuk 16 Beheer van informatiebeveiligingsincidenten Control 16.1.1 Verantwoordelijkheden en procedures Control 16.1.2 Rapportage van informatiebeveiligingsgebeurtenissen Maatregel 16.1.2.1 BBN 1 Er is een meldloket waar beveiligingsincidenten kunnen worden gemeld. 16.1.2.1 Beschikt uw organisatie over een meldloket waar beveiligingsincidenten kunnen worden gemeld? Antwoord Ja
Voldoet
Voldoet niet
✓
Maatregel 16.1.2.2 BBN 1 Er is een meldprocedure waarin de taken en verantwoordelijkheden van het meldloket staan beschreven. 16.1.2.2 Beschikt uw organisatie over een meldprocedure waarin de taken en verantwoordelijkheden van het meldloket staan beschreven? Antwoord Ja
Voldoet
Voldoet niet
✓
Maatregel 16.1.2.3 BBN 1 Alle medewerkers en contractanten hebben aantoonbaar kennisgenomen van de meldingsprocedure van incidenten. 16.1.2.3 Zijn interne en externe medewerkers op de hoogte van de meldingsprocedure van incidenten? Antwoord Ja
Voldoet
Voldoet niet
✓ Reisdocumenten
Maatregel 16.1.2.4 BBN 1 Incidenten worden zo snel als mogelijk, maar in ieder geval binnen 24 uur na bekendwording, intern gemeld. 16.1.2.4 Worden incidenten uiterlijk binnen 24 uur intern gemeld? Antwoord Ja
Voldoet
Voldoet niet
✓
Maatregel 16.1.2.5 BBN 1 De proceseigenaar is verantwoordelijk voor het oplossen van beveiligingsincidenten. 16.1.2.5 Is de proceseigenaar gewezen op zijn verantwoordelijkheid voor het oplossen van beveiligingsincidenten? Antwoord Ja
Voldoet
Voldoet niet
✓
Maatregel 16.1.2.6 BBN 1 De opvolging van incidenten wordt maandelijks gerapporteerd aan de verantwoordelijke. 16.1.2.6 Wordt de opvolging maandelijks gerapporteerd aan de verantwoordelijke? Antwoord Ja
Voldoet
Voldoet niet
✓
Maatregel 16.1.2.7 BBN 1 Informatie afkomstig uit de Coordinated Vulnerability Disclosure-procedure (CVD) is onderdeel van de incidentrapportage. 16.1.2.7 Maakt informatie uit de Coordinated Vulnerability Disclosure (CVD) onderdeel uit van de incidentrapportage? Antwoord Ja
BIO-rapportage ENSIA 2024
Voldoet
Voldoet niet
✓
Gemeente Doesburg
Pagina 39 van 43
Control 16.1.3 Rapportage van zwakke plekken in de informatiebeveiliging Maatregel 16.1.3.1 BBN 1 Een Coordinated Vulnerability Disclosure (CVD) procedure is gepubliceerd en ingericht. 16.1.3.1 Beschikt uw organisatie over een gepubliceerde en ingerichte Coordinated Vulnerability Disclosure (CVD) procedure? Antwoord
Voldoet
Voldoet niet
✓
Ja
Control 16.1.4 Beoordeling van en besluitvorming over informatiebeveiligingsgebeurtenissen Maatregel 16.1.4.1 BBN 2 Informatiebeveiligingsincidenten die hebben geleid tot een vermoedelijk of mogelijk opzettelijke inbreuk op de beschikbaarheid, vertrouwelijkheid of integriteit van informatieverwerkende systemen, behoren zo snel mogelijk (binnen 72 uur) al dan niet geautomatiseerd te worden gemeld aan het NCSC (alleen voor rijksoverheidsorganisaties) of de sectorale CERT. 16.1.4.1 Worden beveiligingsincidenten die hebben geleid tot een vermoedelijk of mogelijk opzettelijke inbreuk op de beveiliging (BIV) van informatieverwerkende systemen, uiterlijk binnen 72 uur gemeld aan de sectorale CERT? Antwoord
Voldoet
Voldoet niet
✓
Ja
Control 16.1.5 Respons uit informatiebeveiligingsincidenten Control 16.1.6 Lering uit informatiebeveiligingsincidenten Maatregel 16.1.6.1 BBN 2 Beveiligingsincidenten worden geanalyseerd met als doel te leren en toekomstige beveiligingsincidenten te voorkomen. 16.1.6.1 Wordt de informatie verkregen uit het beoordelen van beveiligingsmeldingen, geëvalueerd met als doel beheersmaatregelen te verbeteren? Antwoord
Voldoet
Voldoet niet
✓
Ja
Maatregel 16.1.6.2 BBN 2 De analyses van de beveiligingsincidenten worden gedeeld met de relevante partners om herhaling en toekomstige incidenten te voorkomen. 16.1.6.2 Worden de resultaten van de beoordeling van de beveiligingsincidenten, gedeeld met partners om herhaling en toekomstige incidenten te voorkomen? Antwoord
Voldoet
Voldoet niet
✓
Ja Control 16.1.7 Verzamelen van bewijsmateriaal
Maatregel 16.1.7.1 BBN 2 In geval van een (vermoed) informatiebeveiligingsincident is de bewaartermijn van de gelogde incidentinformatie minimaal drie jaar. 16.1.7.1 Wordt in geval van een vermoed informatiebeveiligingsincident de gelogde incidentinformatie minimaal drie jaar bewaard? Antwoord
Voldoet
✓
Nee
BIO-rapportage ENSIA 2024
Voldoet niet
Gemeente Doesburg
Pagina 40 van 43
Hoofdstuk 17 Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer Control 17.1.1 Informatiebeveiligingscontinuïteit plannen Maatregel 17.1.1.1 BBN 1 Er is een Business Impact Analyse (BIA) waarin de gebeurtenissen worden geïdentificeerd die kunnen leiden tot discontinuïteit in het bedrijfsproces. De control kent geen verplichte overheidsmaatregelen. Deze maatregel is richtinggevend. 17.1.1.1 Is er een calamiteitenplan om de continuïteit van de bedrijfsvoering te waarborgen? Antwoord
Voldoet
Voldoet niet ✓
Nee BRP Reisdocumenten Control 17.1.2 Informatiebeveiligingscontinuïteit implementeren Control 17.1.3 Informatiebeveiligingscontinuïteit verifiëren, beoordelen en evalueren Maatregel 17.1.3.1 BBN 2 Continuïteitsplannen worden jaarlijks getest op geldigheid en bruikbaarheid. 17.1.3.1 Worden continuiteïtsplannen jaarlijks getest op geldigheid en bruikbaarheid? Antwoord
Voldoet
Voldoet niet ✓
Nee
BRP Reisdocumenten Maatregel 17.1.3.2 BBN 2 Door het uitvoeren van een expliciete risicoafweging worden de bedrijfskritische procesonderdelen met hun bijbehorende betrouwbaarheidseisen geïdentificeerd. 17.1.3.2 Zijn de bedrijfskritische procesonderdelen met hun bijbehorende betrouwbaarheidseisen geïdentificeerd op basis van een expliciete risicoafweging? Antwoord
Voldoet
Voldoet niet ✓
Nee
Maatregel 17.1.3.3 BBN 2 De dienstverlening van de bedrijfskritische onderdelen wordt bij calamiteiten uiterlijk binnen een week hersteld. 17.1.3.3 Wordt de dienstverlening van bedrijfskritische onderdelen bij calamiteiten uiterlijk binnen een week hersteld? Antwoord Ja
Voldoet
Voldoet niet
✓
Control 17.2.1 Beschikbaarheid van informatieverwerkende faciliteiten
BIO-rapportage ENSIA 2024
Gemeente Doesburg
Pagina 41 van 43
Hoofdstuk 18 Naleving Control 18.1.1 Vaststellen van toepasselijke wetgeving en contractuele eisen Maatregel 18.1.1.1 BBN 1 Er is vastgesteld welke wetten en wettelijke maatregelen van toepassing zijn op de organisatie of organisatieonderdelen. De control kent geen verplichte overheidsmaatregelen. Deze maatregel is richtinggevend. 18.1.1.1 Heeft u de eisen uit relevante wetgeving vertaald naar maatregelen? Antwoord
Voldoet
Voldoet niet
✓
Ja
BRP Reisdocumenten Control 18.1.2 Intellectuele-eigendomsrechten Control 18.1.3 Beschermen van registraties Maatregel 18.1.3.1 BBN 2 De proceseigenaar heeft per soort informatie inzichtelijk gemaakt wat de bewaartermijn is. 18.1.3.1 Is per soort informatie uitgewerkt wat de bewaartermijn is? Antwoord Ja
Voldoet
Voldoet niet
✓
Control 18.1.4 Privacy en bescherming van persoonsgegevens Maatregel 18.1.4.1 BBN 1 In overeenstemming met de AVG heeft iedere organisatie een Functionaris Gegevensbescherming (FG) met voldoende mandaat om zijn/haar functie uit te voeren. 18.1.4.1 Is een Functionaris Gegevensbescherming aangesteld met voldoende mandaat? Antwoord Ja
Voldoet
Voldoet niet
✓ Suwinet P-wet (IOAZ/IOAW) Suwinet Burgerzaken
Maatregel 18.1.4.2 BBN 2 Organisaties controleren regelmatig de naleving van de privacyregels en informatieverwerking en procedures binnen hun verantwoordelijkheidsgebied aan de hand van de desbetreffende beleidsregels, normen en andere eisen betreffende beveiliging. 18.1.4.2.a Wordt de naleving van het privacy beleid regelmatig gecontroleerd? Antwoord Ja
Voldoet
Voldoet niet
✓ BRP Reisdocumenten
Maatregel 18.1.4.2 BBN 2 Organisaties controleren regelmatig de naleving van de privacyregels en informatieverwerking en procedures binnen hun verantwoordelijkheidsgebied aan de hand van de desbetreffende beleidsregels, normen en andere eisen betreffende beveiliging. 18.1.4.2.b Wordt de logging van de verwerking van persoonsgegevens regelmatig gecontroleerd op rechtmatig gebruik? Antwoord Ja
Voldoet
Voldoet niet
✓ BRP Reisdocumenten Suwinet P-wet (IOAZ/IOAW) Suwinet Burgerzaken
BIO-rapportage ENSIA 2024
Gemeente Doesburg
Pagina 42 van 43
Control 18.1.5 Beschermen van registraties Maatregel 18.1.5.1 BBN 1 Cryptografische beheersmaatregelen moeten expliciet aansluiten bij de standaarden op de ‘pas toe of leg uit’-lijst van het Forum. 18.1.5.1 Sluiten de cryptografische beheersmaatregelen expliciet aan bij de standaarden op de 'PTOLU'-lijst van het Forum? Antwoord
Voldoet
Voldoet niet
✓
Ja
Control 18.2.1 Onafhankelijke beoordeling van informatiebeveiliging Maatregel 18.2.1.1 BBN 2 Er is een information security information system (ISMS) waarmee aantoonbaar de gehele Plan-Do-Check-Act cyclus op gestructureerde wijze wordt afgedekt. 18.2.1.1 Beschikt uw organisatie over een ISMS waarmee aantoonbaar de gehele PDCA-cyclus wordt afgedekt? Antwoord
Voldoet
Voldoet niet
✓
Ja
BRP Reisdocumenten Maatregel 18.2.1.2 BBN 2 Er is een vastgesteld auditplan waarin jaarlijks keuzes worden gemaakt voor welke systemen welk soort beveiligingsaudits worden uitgevoerd. 18.2.1.2 Is er een vastgesteld auditplan? Antwoord
Voldoet
Voldoet niet ✓
Nee BRP Reisdocumenten Control 18.2.2 Naleving van beveiligingsbeleid en -normen
Maatregel 18.2.2.1 BBN 1 In de P&C-cyclus wordt gerapporteerd over informatiebeveiliging, resulterend in een jaarlijks af te geven In Control Verklaring (ICV) over de informatiebeveiliging. Indien voldoende herkenbaar kan de ICV voor informatiebeveiliging onderdeel zijn van de reguliere, generieke verantwoording. 18.2.2.1 Is er een werkend systeem van controle en rapportages over informatiebeveiliging aan het bestuur? Antwoord
Voldoet
Voldoet niet
✓
Ja
BRP Reisdocumenten Control 18.2.3 Beoordeling van technische naleving Maatregel 18.2.3.1 BBN 2 Informatiesystemen worden jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en risico’s ten aanzien van de feitelijke veiligheid. Dit kan bijvoorbeeld door (geautomatiseerde) kwetsbaarheidsanalyses of penetratietesten. 18.2.3.1 Worden informatiesystemen jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en risico's ten aanzien van veiligheid? Antwoord Ja
Voldoet
Voldoet niet
✓ BRP Reisdocumenten
BIO-rapportage ENSIA 2024
Gemeente Doesburg
Pagina 43 van 43