Bijlage c Programmaplan IB Sluis v12
Tekst van het document
BIO H.7 Veilig personeel 7A. Beveiligingsbewustzijn Omschrijving Naar een hoger niveau tillen van awareness sessies, inclusief toetsmoment, waarbij resultaten worden geborgd in verbeterplannen Acties BIO-ref Het op de hoogte houden van de 7.2.2.2 werknemers van het beleid, en het 9.3.1 veilig werken 16.1.3 17.1.3.2 Borgen resultaten in verbeterplan Opstellen IB-opleidingsplan 7.2.2.3 (risicogebaseerd)
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Precondities en/of afhankelijkheden 7B. Borging informatiebeveiliging bij uitdiensttreding Omschrijving Na uitdiensttreding zijn nog steeds eisen t.a.v. informatiebeveiliging van kracht voor de vertrekkende medewerker. Dit dient onder de aandacht gebracht te worden Acties BIO-ref Borging IB in het exitgesprek 7.3.1 Precondities en/of afhankelijkheden Relatie met BIO 8.1.4 (mogelijk te combineren)
BIO H.8 Beheer van bedrijfsmiddelen 8A. Inventarisatie en eigenaarschap bedrijfsmiddelen Omschrijving Er dient een inventaris te zijn en te worden onderhouden van bedrijfsmiddelen (informatie en informatieverwerkende faciliteiten) Acties BIO-ref Opstellen format inventarisatie 8.1.1 Vullen format met bekende gegevens Uitbreiden proces voor borging aanvulling gegevens met IB-gegevens Eigenaren vaststellen 8.1.2 Eigenaren vastleggen in inventarisatie Precondities en/of afhankelijkheden -
28
8B. Teruggeven van bedrijfsmiddelen Omschrijving Er dient een procedure te zijn voor het teruggeven van bedrijfsmiddelen bij beëindiging van het dienstverband Acties BIO-ref Opstellen procedure inname 8.1.4 bedrijfsmiddelen (manager verantwoordelijk) Bekend stellen procedure Borging uitvoering procedure
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Precondities en/of afhankelijkheden Link naar exitgesprek BIO 7.3.1 8C. Classificatie van informatie Omschrijving Informatie behoort te worden geclassificeerd m.b.t. wettelijke eisen, waarde, belang en gevoeligheid voor onbevoegde bekendmaking of wijziging. Dit vereist het maken van procedures en Acties BIO-ref Classificeren van informatie in de 8.2.1 organisatie met betrekking op wettelijke eisen, waarde, belang en gevoeligheid voor onbevoegde bekendmaking of wijziging informatie labelen behoort een 8.2.3 passende reeks procedures te worden ontwikkeld en geïmplementeerd in overeenstemming met het informatieclassificatieschema dat is vastgesteld door de organisatie Maken van procedures voor het 8.2.3 behandelen van bedrijfsmiddelen en implementeren in overeenstemming met de informatieclasssficatie die is vanstgesteld Verantwoording BBN-niveau VVNR maatregelsets aanscherpen en bekendstellen Precondities en/of afhankelijkheden -
29
8D. Behandelen van media Omschrijving Er dient een procedure te zijn voor het handelen van media Acties BIO-ref Opstellen procedure beheer, gebruik, 8.3.1 overdragen en verwijderen van media 8.3.2 8.3.3 Bekend stellen procedure Borging uitvoering procedure
Eigenaar Prioriteit Inspanning Verantwoordelijk
Hoog - Midden - Laag Hoog - Midden - Laag Planning
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Precondities en/of afhankelijkheden -
BIO H.9 Toegangsbeveiliging 9A. Toegangsverlening Omschrijving Toegang tot netwerken en netwerkdiensten: gebruikers dienen hier alleen toegang te krijgen waarvoor ze specifiek bevoegd zijn. En periodieke controle op verantwoordelijkheid, verlening en intrekking van toegang Acties BIO-ref Opstellen procedure 9.1.2 toegangsverlening en controle 9.2.1 autorisaties ,uitvoering & beleid 9.2.2 logische toegang 9.2.3 9.2.5 Bekend stellen procedure 9.2.6 Zo nodig aanpassen uitvoering proces 9.4.1 autorisatie 9.4.1.2 Opstellen procedure toegangsverlening en controle inclusief 9.4.4 speciale systeemhulpmiddelen en controle speciale bevoegdheden per kwartaal Borging uitvoering procedure Onderbouwing autorisatiematrices t.b.v. zichtbare risicoafweging functiescheiding Borgen lijst van bevoegde aanvragers (gemandateerde managers) Precondities en/of afhankelijkheden -
30
9B. Authenticatie Omschrijving Beheer van geheime authenticatie-informatie van gebruikers dient te worden beheerst via een formeel beheersproces Acties BIO-ref Proces van toewijzing authenticatie9.2.4 informatie opstellen 9.3.1 Proces bekend stellen
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Precondities en/of afhankelijkheden 9C. Wachtwoordvereisten (hoog risico) Omschrijving Hoog risico systemen dienen ingericht te zijn conform het beleid logische toegang met betrekking tot het inlogmechanisme Acties BIO-ref Aanscherpen wachtwoordeisen en 9.4.2 afdwingen in hoog risico applicaties 9.4.3 Borging inrichting hoog risico applicaties op eisen t.a.v. inlogmechanisme in beleid logische toegang Borging inrichting (hoog risico) op eisen t.a.v. inlogmechanisme in beleid logische toegang Precondities en/of afhankelijkheden 9D. Wachtwoordvereisten (midden en laag risico) Omschrijving Midden en laag risico systemen dienen ingericht te zijn conform het beleid logische toegang met betrekking tot het inlogmechanisme Acties BIO-ref Aanscherpen wachtwoordeisen en 9.4.2 afdwingen in midden en laag risico 9.4.3 applicaties Borging inrichting midden en laag risico applicaties op eisen t.a.v. inlogmechanisme in beleid logische toegang Borging inrichting (midden en laag risico) op eisen t.a.v. inlogmechanisme in beleid logische toegang Precondities en/of afhankelijkheden -
31
9E. Beperking toegang tot informatie Omschrijving Er dienen maatregelen genomen te zijn die het fysiek en/of logisch isoleren van informatie met specifiek belang waarborgen Acties BIO-ref Onderzoek huidige werkwijze 9.4.1.1 dataopslag en toegang) t.b.v. uitwerken werkpakket Opstellen beleid data-opslag Bekend stellen vastgesteld beleid Toetsen of autorisatiematrices hierop zijn ingericht Zo nodig aanpassen autorisatiematrices en inrichting
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Eigenaar Prioriteit Inspanning Verantwoordelijk
Hoog - Midden - Laag Hoog - Midden - Laag Planning
Precondities en/of afhankelijkheden -
BIO H.10 Cryprografie 10A. Cryptografie Omschrijving Een beleid van cryptografische beheersmaatregelen waaronder het sleutel beheer ook valt Acties BIO-ref Opstellen beleid over het gebruik van 10.1 cryptografie waar aandacht aan de eisen van de BIO worden gegeven Bekend stellen procedure Borging uitvoering procedure Precondities en/of afhankelijkheden -
BIO H.11 Fysieke beveiliging van de omgeving 11A. beveiligde gebieden Omschrijving Een beleid en uitvoering van de fysieke beveiligen van de werk locaties zoals kantoren, server ruimte, etc. Acties BIO-ref Opstellen beleid over hoe de fysieke 11.1 toegang is ingesteld tot de locaties van de organisatie Bekend stellen procedure Borging uitvoering procedure
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Implementatie beleid heeft relatie met evt plannen behuizing (risico desinvestering).
Precondities en/of afhankelijkheden -
32
Er is geen vastgestelde authorisatie matrix op maar op afdelingen & clusters 11B. beveiligde apparatuur (fysiek) Omschrijving Een beleid en uitvoering van de fysieke beveiligen van de apparatuur van de organisatie Acties BIO-ref Opstellen beleid over hoe de 11.2 apparatuur fysiek veilig gebruikt moet word en de regels hierom heen Bekend stellen procedure
Eigenaar Prioriteit Inspanning Verantwoordelijk Afhankelijkheid project MEBV (Str. IB)
Hoog - Midden - Laag Hoog - Midden - Laag Planning
Afhankelijkheid Awareness project
Borging uitvoering procedure Precondities en/of afhankelijkheden -
BIO H.12 beveiliging bedrijfsvoering 12A. bedieningsprocedures en verantwoordelijkheden Omschrijving Eigenaar Gedocumenteerde procedure over de Prioriteit bedieningsprocedure en onderliggende acties Inspanning Acties BIO-ref Verantwoordelijk Opstellen van procedures voor het 12.1.1 bedieningsprocedure en dit bekend stellen aan gebruikers Het uitvoeren van wijzigingsbeheer en 12.1.2 capaciteitsbeheer binnen de 12.1.3 organisatie Borging uitvoering procedure
Hoog - Midden - Laag Hoog - Midden - Laag Planning
Precondities en/of afhankelijkheden 12B. bescherming tegen malware Omschrijving Ter bescherming tegen malware behoren beheersmaatregelen voor detectie, preventie en herstel te worden geïmplementeerd, in combinatie met een passend bewustzijn van gebruikers. Acties BIO-ref Gebruikers zijn voorgelicht over de 12.2.1.1 risico’s ten aanzien van surfgedrag en het klikken op onbekende linken. Software en bijbehorende 12.2.1.2 herstelsoftware die malware opspoort zijn geïnstalleerd en worden regelmatig geüpdate. Computers en media worden als 12.2.1.3 voorzorgsmaatregel routinematig gescand. De uitgevoerde scan behoort te omvatten: (a) alle bestanden die via netwerken of via elke vorm van opslagmedium zijn ontvangen, vóór
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
33
gebruik op malware scannen; (b) bijlagen en downloads vóór gebruik. De malware scan wordt op verschillende omgevingen uitgevoerd, bijv. op mailservers, desktopcomputers en bij de toegang tot het netwerk van de organisatie. Gebruikers zijn voorgelicht over de risico’s ten aanzien van surfgedrag en het klikken op onbekende linken.
12.2.1.4
12.2.1.5
Precondities en/of afhankelijkheden 12C. back-up Omschrijving Beschermen tegen het verlies van gegevens. Acties Er is een back-up beleid waarin de eisen voor het bewaren en beschermen zijn gedefinieerd en vastgesteld. Op basis van een expliciete risicoafweging is bepaald wat het maximaal toegestane dataverlies is en wat de maximale hersteltijd is na een incident. In het back-up beleid staan minimaal de volgende eisen: (a) dataverlies bedraagt maximaal 28 uur; (b) hersteltijd in geval van incidenten is maximaal 16 werkuren (2 dagen van 8 uur) in 85% van de gevallen. Het back-up proces voorziet in opslag van de back-up op een locatie, waarbij een incident op de ene locatie niet kan leiden tot schade op de andere. De restore procedure wordt minimaal jaarlijks getest of na een grote wijziging om de betrouwbaarheid te waarborgen als ze in noodgevallen uitgevoerd moet worden.
BIO-ref 12.3.1.1
Eigenaar Prioriteit Inspanning Verantwoordelijk
Hoog - Midden - Laag Hoog - Midden - Laag Planning
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
12.3.1.2
12.3.1.3
12.3.1.4
12.3.1.5
Precondities en/of afhankelijkheden 12D. Vastlegging en monitoren Omschrijving Logbestanden van gebeurtenissen die gebruikersactiviteiten, uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld. Acties BIO-ref Logregels definiëren welke informatie 12.4 en systemen
34
SOC / SIEM middels detectie voorzieningen hebben Beleid met de regels en te nemen acties voor het rapporternen Beschermen van informatie in logbestanden Logbestanden van beheerders en operators Kloksynchronisatie Precondities en/of afhankelijkheden -
BIO H.13 communicatie beveiliging 13A. beheer van netwerkbeveiliging Omschrijving De bescherming van informatie in netwerken en de ondersteunende informatie verwerkende faciliteiten waarborgen. Acties BIO-ref Uitvoeren 13.1.1 beheers/beveiligingsmaatregelen 13.1.2 rondom het netwerk 13.1.3
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Precondities en/of afhankelijkheden 13b. Informatietransport Omschrijving Handhaven van de beveiliging van informatie die wordt uitgewisseld binnen een organisatie en met een externe entiteit. Acties BIO-ref Opstellen beleid en procedures voor 13.1.1 informatietransport. En dit in 13.1.2 uitvoering krijgen voor 13.1.3 overeenkomsten en elektronische berichten
Verantwoordelijk Afhankelijkheid project MEBV (Str. IB)
Planning
Precondities en/of afhankelijkheden -
BIO H.14 Acquisitie, ontwikkeling en onderhoud van informatiesystemen 14A. Beveiligingseisen (zie ook 6B / 6.1.5) Omschrijving Bij nieuwe informatiesystemen op bestaande informatiesystemen moeten beveiligingseisen worden vastgesteld op basis van een risicoafweging (zie 6B voor nieuwe informatiesystemen) Acties BIO-ref Beleid risicoanalyse opstellen / 6.1.5 aanscherpen 14.1.1 14.1.2 Procedure risicoanalyse opstellen
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
35
Vastgesteld beleid en procedure bekend stellen Borgen stellen van beveiligingseisen openbare netwerken
14.1.3 Relatie met project MEBV (Str. IB)
Precondities en/of afhankelijkheden 14B. Wijzigingenbeheer Omschrijving Bij bij wijzigingen op bestaande informatiesystemen moeten beveiligingseisen worden vastgesteld op basis van een risicoafweging. Acties BIO-ref Vastleggen proces wijzigingenbeheer 14.1.1 (inclusief beoordelen beveiligingseisen 14.1.2 en regie op uitbestede ontwikkeling) 14.2.2 14.2.3 Zo nodig aanpassen inrichting proces 14.2.5 wijzigingenbeheer
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Precondities en/of afhankelijkheden -
BIO H.15 Leveranciersrelaties 15A. Borging informatiebeveiligingsrapportage bij leveranciers Omschrijving Eigenaar Met leveranciers behoren de Prioriteit informatiebeveiligingseisen om risico’s te verlagen te Inspanning worden overeengekomen en gedocumenteerd Acties BIO-ref Verantwoordelijk Borging vooraf dat nieuwe leveranciers 15.1 een beveiligingseisen, risico 15.2 afwegingen (ook bij offerteaanvragen) Opnemen beveiligingseisen in leveranciersovereenkomsten Beheren van dienstverlening leveranciers (monitoring, beoordelingen )
Hoog - Midden - Laag Hoog - Midden - Laag Planning
Precondities en/of afhankelijkheden 15B. Verwerkersovereenkomsten Omschrijving Met leveranciers (en via hen subleveranciers) behoren verwerkersovereenkomsten gesloten te zijn Acties BIO-ref Borging van afsluiten ontbrekende of 15.1.1.3 te wijzigen verwerkersovereenkomsten
Eigenaar Prioriteit Inspanning Verantwoordelijk
Hoog - Midden - Laag Hoog - Midden - Laag Planning
Precondities en/of afhankelijkheden -
36
BIO H.16 Beheer van informatiebeveiligingsincidenten 16A. Aanscherpen IB-incidentenproces Omschrijving Beveiligingsincidenten dienen adequaat gemeld te worden volgens een formeel proces Acties BIO-ref Validatie actualiteit en compliancy 16.1.1 incidentenprocedure (o.a. rapportage 16.1.2 aan management) 16.1.3 16.1.5 Borging vaststelling en analyse 16.1.6 tijdsduur tussen optreden – 16.1.7 constateren – melden- leren
Eigenaar Prioriteit Inspanning Verantwoordelijk
Hoog - Midden - Laag Hoog - Midden - Laag Planning
Precondities en/of afhankelijkheden -
BIO H.17 Informatiebeveiligingsaspecten van bedrijfscontinuïteitssbeheer 17A. Informatiebeveiligingscontinuïteit Omschrijving Een organisatie dient te beschikken over continuïteitswaarborg van informatiebeveiliging in ongunstige situaties Acties BIO-ref Toetsen hernieuwd continuïteitsplan 17.1.1 op BIO-compliancy 17.1.2 17.1.3 Zo nodig aanscherpen 17.2.1 continuïteitsplan op BIO-compliancy Borging periodieke toetsing continuïteitsplan
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Precondities en/of afhankelijkheden -
BIO. H18 Naleving 18A. Wet- en regelgeving Omschrijving Overzicht relevante wet- en regelgeving en intellectueel eigendom. Borging van de AVGcompliance Acties BIO-ref Borging actueel overzicht relevante 18.1.1 wet- en regelgeving, inclusief 18.1.2 intellectueel eigendom Borging AVG-compliance 18.1.4
Afhankelijkheid Privacy en Strategisch Informatiebeleid
Precondities en/of afhankelijkheden -
37
18B. Bewaartermijnen Omschrijving Bewaartermijnen dienen vastgelegd te zijn Acties Controle huidige proces en vastlegging op BIO-compliancy Zo nodig aanpassen huidig proces en vastlegging
BIO-ref 18.1.3
Eigenaar Prioriteit Inspanning Verantwoordelijk
Hoog - Midden - Laag Hoog - Midden - Laag Planning
Eigenaar Prioriteit Inspanning Verantwoordelijk
Hoog - Midden - Laag Hoog - Midden - Laag Planning
Eigenaar Prioriteit Inspanning
Hoog - Midden - Laag Hoog - Midden - Laag
Verantwoordelijk
Planning
Precondities en/of afhankelijkheden 18C. Crypto Omschrijving Voorschriften gebruik cryptografische toepassingen Acties Opstellen voorschriften gebruik van cryptografische toepassingen Vaststellen en bekend stellen voorschriften Precondities beleid Cryptografie
BIO-ref 18.1.5
Precondities en/of afhankelijkheden 18D. ISMS Omschrijving Het ISMS, informatiebeveiliging als proces volgens het plan-do-check-act principe, dient vastgelegd te zijn, inclusief onafhankelijke beoordeling, auditplan en directiebeoordeling. Acties BIO-ref ISMS-document, audit plan 18.2.1 Proces voor periodieke rapportage, 18.2.2 geënt op directiebeoordeling Precondities en/of afhankelijkheden -
38