12. Beveiliging bedrijfsvoering

Informatisering & automatisering is een ondersteunende bedrijfsfunctie. Hoofdstuk 12 “Beveiliging bedrijfsvoering” van de BIO is van toepassing op deze bedrijfsfunctie.

Doelstelling

Correcte en veilige bediening van informatieverwerkende faciliteiten waarborgen.

12.1 Bedieningsprocedures en verantwoordelijkheden

Artikel	Verantwoordelijk	Aanwezig	Gebruikt	Gestuurd
12.1.1 Gedocumenteerde bedieningsprocedures	Proceseigenaar
Bedieningsprocedures behoren te worden gedocumenteerd en beschikbaar te worden gesteld aan alle gebruikers die ze nodig hebben.
12.1.2 Wijzigingsbeheer	Proceseigenaar
Veranderingen in de organisatie, bedrijfsprocessen, informatieverwerkende faciliteiten en systemen die van invloed zijn op de informatiebeveiliging behoren te worden beheerst.
12.1.3 Capaciteitsbeheer	Dienstverlener
Het gebruik van middelen behoort te worden gemonitord en afgestemd, en er behoren verwachtingen te worden opgesteld voor toekomstige capaciteitseisen om de vereiste systeemprestaties te waarborgen.
12.1.4 Scheiding van ontwikkel-, test- en productieomgevingen	Proceseigenaar
Ontwikkel-, test- en productieomgevingen behoren te worden gescheiden om het risico van onbevoegde toegang tot of veranderingen aan de productieomgeving te verlagen.

Doelstelling

Waarborgen dat informatie en informatie verwerkende faciliteiten beschermd zijn tegen malware.

12.2 Bescherming tegen malware

Artikel	Verantwoordelijk	Aanwezig	Gebruikt	Gestuurd
12.2.1 Beheersmaatregelen tegen malware	Secretaris-directeur
Ter bescherming tegen malware behoren beheersmaatregelen voor detectie, preventie en herstel te worden geïmplementeerd, in combinatie met een passend bewustzijn van gebruikers.

Doelstelling

Beschermen tegen het verlies van gegevens.

12.3 Back-up

Artikel	Verantwoordelijk	Aanwezig	Gebruikt	Gestuurd
12.3.1 Back-up van informatie	Proceseigenaar
Regelmatig behoren back-upkopieën van informatie, software en systeemafbeeldingen te worden gemaakt en getest in overeenstemming met een overeengekomen back-upbeleid.

Doelstelling

De integriteit van operationele systemen waarborgen.

12.5 Beheersing van operationele software

Artikel	Verantwoordelijk	Aanwezig	Gebruikt	Gestuurd
12.5.1 Software installeren op operationele systemen	Dienstverlener
Om het op operationele systemen installeren van software te beheersen behoren procedures te worden geïmplementeerd.

Doelstelling

Benutting van technische kwetsbaarheden voorkomen.

12.6 Beheer van technische kwetsbaarheden

Artikel	Verantwoordelijk	Aanwezig	Gebruikt	Gestuurd
12.6.1 Beheer van technische kwetsbaarheden	Dienstverlener
Informatie over technische kwetsbaarheden van informatiesystemen die worden gebruikt behoort tijdig te worden verkregen, de blootstelling van de organisatie aan dergelijke kwetsbaarheden te worden geëvalueerd en passende maatregelen te worden genomen om het risico dat ermee samenhangt aan te pakken.
12.6.2 Beperkingen voor het installeren van software	Dienstverlener
Voor het door gebruikers installeren van software behoren regels te worden vastgesteld en te worden geïmplementeerd.

Doelstelling

De impact van auditactiviteiten op uitvoeringssystemen zo gering mogelijk maken.

12.7 Overwegingen betreffende audits van informatiesystemen

Artikel	Verantwoordelijk	Aanwezig	Gebruikt	Gestuurd
12.7.1 Beheersmaatregelen betreffende audits van informatiesystemen	Dienstverlener
Auditeisen en -activiteiten die verificatie van uitvoeringssystemen met zich meebrengen, behoren zorgvuldig te worden gepland en afgestemd om bedrijfsprocessen zo min mogelijk te verstoren.

Het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen (Rijk, gemeenten, provincies en waterschappen).

Alle voorzieningen die nodig zijn om de fysieke computers en netwerken goed te laten werken

Bedieningsprocedures behoren te worden gedocumenteerd en beschikbaar te worden gesteld aan alle gebruikers die ze nodig hebben.

Veranderingen in de organisatie bedrijfsprocessen informatie verwerkende faciliteiten en systemen die van invloed zijn op de informatiebeveiliging behoren te worden beheerst.

Een organisatie is een collectief van professionals dat samenwerkt aan hetzelfde doel.

Informatiebeveiliging is het geheel van preventieve, detectieve, repressieve en correctieve maatregelen alsmede procedures en processen die de beschikbaarheid, exclusiviteit en integriteit van alle vormen van informatie binnen een organisatie of een maatschappij garanderen, met als doel de continuïteit van de informatie en de informatievoorziening te waarborgen en de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau te beperken.

Het hanteren van een samenhangend stelsel van maatregelen dat zich richt op het blijvend realiseren van een gewenst niveau van beschikbaarheid, integriteit en vertrouwelijkheid van (stuur-)informatie en informatiesystemen die gebruikt worden binnen een organisatie.

Het gebruik van middelen behoort te worden gemonitord en afgestemd en er behoren verwachtingen te worden opgesteld voor toekomstige capaciteitseisen om de vereiste systeemprestaties te waarborgen.

de kans op functieverlies vermenigvuldigd met de economische en maatschappelijke gevolgschade.

Ter bescherming tegen malware behoren beheersmaatregelen voor detectie preventie en herstel te worden geiuml;mplementeerd in combinatie met een passend bewustzijn van gebruikers.

Regelmatig behoren back-upkopieeuml;n van informatie software en systeemafbeeldingen te worden gemaakt en getest in overeenstemming met een overeengekomen back-upbeleid.

Een geheel van computerprogramma's met bijbehorende data, die bewerkingen en taken uitvoeren.

Om het op operationele systemen installeren van software te beheersen behoren procedures te worden geïmplementeerd.

Informatie over technische kwetsbaarheden van informatiesystemen die worden gebruikt behoort tijdig te worden verkregen de blootstelling van de organisatie aan dergelijke kwetsbaarheden te worden geëvalueerd en passende maatregelen te worden genomen om het risico dat ermee samenhangt aan te pakken.

Voor het door gebruikers installeren van software behoren regels te worden vastgesteld en te worden geïmplementeerd.

Auditeisen en -activiteiten die verificatie van uitvoeringssystemen met zich meebrengen behoren zorgvuldig te worden gepland en afgestemd om bedrijfsprocessen zo min mogelijk te verstoren.