IEC 27002: 2005 Grafimedia Implementatie van Informatietechnologie, Beveiligingstechnieken en de Code voor Informatiebeveiliging

CONCEPT ISO/IEC 27002: 2005 Grafimedia Implementatie van Informatietechnologie, Beveiligingstechnieken en de Code voor Informatiebeveiliging

Uitgave van de Stichting Certificatie Grafimedia branche (SCGM)

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia

Pagina 2 van 31

© Copyright SCGM

Versie: november 2011


INHOUDSOPGAVE 1 2 3 4

INLEIDING ...................................................................................................................................... 5 TERMEN EN DEFINITIES .............................................................................................................. 8 SYSTEEMEISEN INFORMATIEBEVEILIGING ............................................................................ 10 RISICOBEOORDELING ............................................................................................................... 10 4.1 Inventarisatie en classificatie van informatie......................................................................... 10 4.2 Labeling en verwerking van informatie ................................................................................. 11 4.3 Risicobeoordeling.................................................................................................................. 12 5 BELEIDSDOCUMENT VOOR INFORMATIEBEVELIGING ......................................................... 12 6 VASTSTELLING VAN HET BASIS BEVEILIGINGS NIVEAU (BNN) ........................................... 13 7 Organisatie van de informatiebeveiliging ...................................................................................... 14 8 Beheer van bedrijfsmiddelen die verband houden met IT voorzieningen..................................... 15 9 Beveiliging van personeel ............................................................................................................. 15 10 Fysieke beveiliging en beveiliging van de omgeving ................................................................ 16 10.1 Beveiligde ruimten................................................................................................................. 16 10.2 Beveiliging van apparatuur.................................................................................................... 17 11 Beheer van communicatie en bedieningsprocessen ................................................................ 17 11.1 Bedieningsprocedures en verantwoordelijkheden ................................................................ 17 11.2 Beheer van de dienstverlening door een derde partij ........................................................... 18 11.3 Systeemacceptatie ................................................................................................................ 18 11.4 Bescherming tegen virussen, ‘mobile code’ en scripts. ........................................................ 18 11.5 Maken van een Back-up ....................................................................................................... 19 11.6 Beheer van netwerkbeveiliging ............................................................................................. 19 11.7 Bescherming van media........................................................................................................ 19 11.8 Uitwisseling van informatie.................................................................................................... 20 11.9 Diensten voor e-commerce ................................................................................................... 20 12 Bedrijfseisen ten aanzien van toegangsbeheersing ................................................................. 21 12.1 Toegangsbeleid..................................................................................................................... 21 12.2 Beheer van toegangsrechten van gebruikers ....................................................................... 21 12.3 Verantwoordelijkheden van gebruikers................................................................................. 22 12.4 Toegangsbeheersing voor netwerken................................................................................... 22 12.5 Toegangsbeheersing voor informatiesystemen en informatie .............................................. 23 12.6 Draagbare computers en telewerken.................................................................................... 23 13 Verwerving, ontwikkeling en onderhoud van informatiesystemen ............................................ 23 13.1 Beveiligingseisen voor informatiesystemen .......................................................................... 23 13.2 Correcte verwerking in toepassingen.................................................................................... 24 13.3 Beveiliging van systeembestanden....................................................................................... 24 13.4 Beveiliging bij ontwikkelings- en ondersteuningsprocessen ................................................. 25 13.5 Beheer van technische kwetsbaarheden .............................................................................. 25 14 CONTROLE OP- EN NALEVING VAN HET SYSTEEM VAN INFORMATIEBEVEILIGING.... 26 14.1 Controle op informatieverwerkingsactiviteiten ...................................................................... 26 14.2 Rapportage van informatiebeveiligingsgebeurtenissen en zwakke plekken ........................ 26


© Copyright SCGM

Pagina 3 van 31

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia-branche 14.3 Beheer van informatiebeveiligingsincidenten en –verbeteringen ......................................... 27 15 Bedrijfscontinuïteitsbeheer........................................................................................................ 27 15.1 Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer........................................... 27 16 Naleving .................................................................................................................................... 28 16.1 Naleving van wettelijke voorschriften.................................................................................... 28 16.2 Naleving van beveiligingsbeleid en -normen en technische naleving .................................. 28 16.3 Overwegingen bij audits van informatiesystemen................................................................. 29 17 DIRECTIEBEOORDELING ....................................................................................................... 29 17.1 Beoordeling van het informatiebeveiligingsbeleid................................................................. 29 17.2 Onafhankelijke beoordeling van informatiebeveiliging.......................................................... 30

Pagina 4 van 31

© Copyright SCGM



1

INLEIDING

Informatiebeveiliging wordt als gevolg van de digitalisering en de koppeling van informatiesystemen (internet) voor organisaties steeds belangrijker. Klanten en ook medewerkers stellen steeds meer eisen op dat vlak. Dit speelt in het bijzonder voor grafische ondernemingen die informatie vertalen naar een grafisch product en daarvoor informatie in de vorm van digitale ‘assets’ in beheer houden. Daarnaast is het van belang om bedrijfsinformatie te beschermen om de bedrijfscontinuïteit te waarborgen. Het ‘kwijtraken’ van orderinformatie bijvoorbeeld, schaadt direct het functioneren van de onderneming. Ook op het gebied van wet- en regelgeving heeft de onderneming te maken met het zorgvuldig beheer van informatie, bijvoorbeeld de wet- en regelgeving op het gebied van het beheer van personeelsgegevens. Organisaties en hun informatiesystemen en netwerken worden geconfronteerd met beveiligingsrisico’s uit allerlei bronnen, waaronder: computerfraude, spionage, sabotage, vandalisme, brand en overstromingen. Als gevolg van het internet zijn nieuwe oorzaken van schade ontstaan, zoals: computervirussen, computer hacking en ‘denial of service’-aanvallen. Deze vormen van schade komen steeds vaker voor en worden steeds ambitieuzer en vernuftiger. Informatiebeveiliging is de bescherming van informatie tegen een breed scala bedreigingen om de bedrijfscontinuïteit te waarborgen en bedrijfsrisico’s te minimaliseren. Informatiebeveiliging wordt bereikt door een geschikte verzameling beheersmaatregelen te treffen, waaronder beleid, werkwijzen, procedures, organisatiestructuren en programmatuur- en apparatuurfuncties. Deze beheersmaatregelen moeten worden vastgesteld, gecontroleerd, beoordeeld en waar nodig verbeterd om te waarborgen dat de specifieke beveiligings- en bedrijfsdoelstellingen van de organisatie worden bereikt. Dit behoort te worden gedaan in samenhang met andere bedrijfsbeheerprocessen (bijv. kwaliteitszorg). De Grafimedia Certificatienorm Informatiebeveiliging (hierna: GCI genoemd) is gebaseerd op de internationale norm voor informatiebeveiliging NEN-ISO/IEC: 27002. ISO 27002 is een security management systeem en is opgezet als een kwaliteitssysteem en sluit zodoende goed aan op het SCGM kwaliteitszorgsysteem. ISO 27002 is gebaseerd op drie pijlers die richting geven aan het effectief en efficiënt inrichten van de informatiebeveiliging, het gaat immers niet om het treffen van veel maatregelen, maar juist die maatregelen die nodig en effectief zijn. De drie peilers zijn: • De eigen beleidsuitgangspunten van de onderneming betreffende de gewenste beveiliging en de daarmee gemoeide risico’s; • Het risicoprofiel van de onderneming, door middel van wat zijn de specifieke risico’s die de onderneming loopt en hoe worden deze risico’s beoordeeld; • De ‘best practices’ die in ISO 27002 worden omschreven en zijn toegesneden op de grafische sector. Op basis van de drie pijlers wordt het Basis Beveiligings Niveau (BBN) vastgesteld zoals dat voor de onderneming moet (gaan) gelden. Daarnaast kunnen voor bepaalde processen of afdelingen additionele maatregelen worden gedefinieerd, die niet voor de gehele organisatie gelden. Vervolgens wordt de planning- en controlecyclus geïmplementeerd, waarmee feedback op de naleving wordt


© Copyright SCGM

Pagina 5 van 31

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia-branche gegeven, zodat bijgestuurd en verbeterd kan worden. Dit leidt tot een model voor invoering van informatiebeveiliging zoals onder weergegeven. Dit model is gebaseerd op de Demingcirkel.

Visie Best practices ISO 27002

Inventarisatiefase

Risicoanalyse en beleid informatiebeveiliging (ACT) controleren behaalde resultaten en bereikte doelen (CHECK)

Risicoanalyse

CONTINUE VERBETERING

Beleidsbepaling

plan voor invoeren of bijsturen van Basis Beveiligings Niveau (PLAN)

invoeren of bijsturen van het Basis Beveiligings Niveau (DO)

Het gaat dus bij de ISO 27002 norm om het nemen van een relevante set aan maatregelen afgestemd op het beleid en het risicoprofiel van uw onderneming, waarbij de ISO 27002 norm geldt als een set van ‘best practices’. De Grafimedia Certificatienorm Informatiebeveiliging is in dit verband een vertaalslag van de ISO 27002 norm naar het grafisch bedrijf. In de GCI/ISO 27002 norm zijn de volgende onderwerpen (risicogebieden) opgenomen: • Beveiligingsbeleid; • Organisatie van informatiebeveiliging; • Beheer van bedrijfsmiddelen; • Personele beveiligingseisen; • Fysieke beveiliging en beveiliging van de omgeving; • Beheer van communicatie en bedieningsprocessen; • Toegangsbeveiliging; • Verwerving, ontwikkeling en onderhoud van informatiesystemen; • Beheer van informatiebeveiligingsincidenten; • Bedrijfscontinuïteitsbeheer; • Naleving. Als startpunt voor informatiebeveiliging zijn een aantal beheersmaatregelen van belang, namelijk de beheersmaatregelen die vanuit wet- en regelgeving essentieel zijn en de beheersmaatregelen die als algemene basis gelden voor het realiseren van informatiebeveiliging.

Pagina 6 van 31

© Copyright SCGM



De relevante wet- en regelgeving betreffen: • bescherming van persoonsgegevens; • bescherming van specifieke bedrijfsdocumenten; • intellectuele eigendomsrechten en rechten op digitaal materiaal. Tot de basis beheersmaatregelen behoren: • beleidsdocument voor informatiebeveiliging; • toewijzen van verantwoordelijkheden voor informatiebeveiliging; • bewustmaken van informatiebeveiliging en opleiden/trainen; • correcte verwerking in bedrijfstoepassingen; • beheer van technische kwetsbaarheid; • beheer van bedrijfscontinuïteit; • beheer van informatiebeveiligingsincidenten en -verbeteringen. Conform de ISO 27002 norm zijn in de GCI norm de beveiliging beheersmaatregelen ingedeeld naar onderwerp. Per onderwerp wordt omschreven: • Een beheersdoelstelling die vermeldt wat er moet worden bereikt. • De beheersmaatregelen, de specifieke maatregelen om aan de beheersdoelstelling te voldoen. • Implementatierichtlijnen, die nadere informatie geeft om de implementatie van de beheersmaatregel te ondersteunen en om de beheersdoelstelling te realiseren. Bij een aantal onderdelen worden praktische voorbeelden aangegeven die grafimedia organisaties kunnen overnemen. Sommige richtlijnen zullen niet in alle gevallen van toepassing zijn. • Overige informatie, geeft nadere informatie waarmee rekening moet worden gehouden, bijvoorbeeld juridische overwegingen, verwijzingen naar andere normen of naar ‘best practices’. De certificering van het GCI omvat het toetsen van het Basis Beveiligings Niveau (BBN), ten opzichte van het risicoprofiel en de beleidsuitgangspunten op basis van de ‘best practices.’ Voorts wordt het proces getoetst waarmee het BBN gerealiseerd en gehandhaafd gaat worden. Dat betekent dat niet noodzakelijkerwijs alle doelstellingen ingevoerd hoeven te zijn. De certificeringsaudit heeft tot doel vast te stellen of het juiste BBN wordt gehanteerd en of het proces van interne controle zodanig is ingericht dat het BBN wordt gehandhaafd. Bij de certificeringsaudit wordt rekening gehouden met de diversiteit van de grafische bedrijven ten aanzien van de bedrijfsgrootte, aard van de productieprocessen en de aard van de producten en diensten die worden aangeboden. De GCI is opgesteld voor de Grafimedia branche en is derhalve van toepassing op elke organisatie die: • Een vorm van grafimedia dienstverlening kent; • een intern systeem van informatiebeveiliging wil invoeren, handhaven en verbeteren; • ervan verzekerd wil zijn dat het door haar vastgestelde informatiebeveiligingsbeleid met de daaraan verbonden risico’s op alle niveaus wordt nageleefd; • een dergelijke naleving van het informatiebeveiligingsbeleid aantoonbaar wil maken voor derden; • haar Basis Beveiligings Niveau BBN door de externe certificatie-instantie Stichting Certificatie Grafimedia branche wil laten certificeren en registreren.


© Copyright SCGM

Pagina 7 van 31

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia-branche De certificatienorm is omschreven in de hoofdstukken 4 t/m 17 en geeft de eisen aan waaraan het systeem van informatiebeveiliging moet voldoen. De wijze van invulling die door de organisatie aan deze eisen wordt gegeven, wordt bepaald door het beleid van de organisatie, de aard en omvang van de risico’s die samenhangen met procesmatige activiteiten, de relevante wet- en regelgeving en de overige omstandigheden waarbinnen de organisatie moet opereren. De organisatie is zelf verantwoordelijk voor de passendheid van haar systeem van informatiebeveiliging teneinde de relevante wet- en regelgeving op de juiste wijze na te leven en beveiligingsrisico’s te voorkomen dan wel zoveel mogelijk te beperken. Tevens heeft de organisatie de plicht om de wijze waarop invulling is gegeven aan deze eisen aantoonbaar en inzichtelijk te maken voor de certificerende instantie.

2

TERMEN EN DEFINITIES

Voor de toepassing van deze norm gelden onderstaande termen en definities: audit trail zodanige vastlegging van gegevens dat de verwerkingsresultaten achteraf kunnen worden gecontroleerd bedreiging potentiële oorzaak van een ongewenst incident dat een systeem of organisatie schade kan toebrengen. bedrijfsmiddel alles dat waarde heeft voor de organisatie beheersmaatregel middel om risico te beheersen, waaronder beleid, procedures, richtlijnen, werkwijzen of organisatiestructuren, die administratief, technisch, beheersmatig of juridisch van aard kunnen zijn. beleid de verklaring van de organisatie ten aanzien van haar visie en de daaruit voortvloeiende doelstellingen welke zij voornemens is te realiseren in het kader van informatiebeveiliging. certificaatautoriteit organisatie die gerechtigd is om digitale certificatie uit te geven. Demingcirkel: Of Plan-Do-Check-Act (PDCA cyclus) genoemd. Dit model kan worden gehanteerd bij vrijwel elke verbeteractiviteit en omvat de volgende stappen: Plan: ontwikkel een plan om de kwaliteit te verbeteren Do: voer het plan uit, eerst kleinschalig Check: Evalueer de resultaten om door te starten of het Plan aan te passen Act: Bevestig de aanpak of bestudeer de gevolgen van aanpassingen derde partij persoon of entiteit die wat betreft de zaak in kwestie, als onafhankelijk van de betrokken partijen wordt gezien. digital assets Elke vorm van content en/of media die in digitale vorm is opgeslagen. digital rights management (DRM) een techniek om digitale rechten van makers of uitgevers (de 'rechthebbenden') van werken (b.v. afbeeldingen, teksten) digitaal te beheren.

Pagina 8 van 31

© Copyright SCGM


Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia IT voorzieningen elk(e) systeem, dienst of infrastructuur voor informatieverwerking, of de fysieke locaties waarin ze zijn ondergebracht. informatiebeveiliging behouden van de vertrouwelijkheid, integriteit en beschikbaarheid van informatie; daarnaast kunnen ook andere eigenschappen, zoals authenticiteit, verantwoording, onweerlegbaarheid en betrouwbaarheid hierbij een rol spelen. informatiebeveiligingsgebeurtenis vastgestelde status van een systeem, dienst of netwerk die duidt op een mogelijke overtreding van het beleid voor informatiebeveiliging of een falen van beveiligingsvoorzieningen, die relevant kan zijn voor beveiliging. informatiebeveiligingsincident afzonderlijke gebeurtenis of een serie ongewenste of onverwachte informatiebeveiligingsgebeurtenissen waarvan het waarschijnlijk is dat ze nadelige gevolgen voor de bedrijfsvoering hebben en een bedreiging vormen voor de informatiebeveiliging. kwetsbaarheid zwakte van een bedrijfsmiddel of groep bedrijfsmiddelen die door een of meer bedreigingen kan worden benut. mobile code Software die tussen systemen wordt uitgewisseld, zonder expliciete installatie door de gebruiker. Mobile code heeft over het algemeen de vorm van een script of macro. richtlijn beschrijving die verduidelijkt wat behoort te worden gedaan en hoe, om de doelstellingen te bereiken die in het beleid zijn vastgelegd. risico combinatie van de waarschijnlijkheid van een gebeurtenis en het gevolg ervan. risicoacceptatie het accepteren van risico’s op basis van een evaluatie van risico’s aan de hand van vooraf vastgestelde criteria. risicoanalyse systematisch gebruik van informatie om bronnen te identificeren en de risico's in te schatten. risicobeheer gecoördineerde activiteiten om een organisatie sturing te geven en te bewaken met betrekking tot risico’s. risicobehandeling proces van keuze en implementatie van maatregelen om risico's te verlagen. risicobeoordeling algeheel proces van risicoanalyse en risico-evaluatie. risico-evaluatie proces waarin het ingeschatte risico wordt afgewogen tegen vastgestelde risicocriteria om te bepalen in welke mate het risico significant is.


© Copyright SCGM

Pagina 9 van 31

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia-branche

3

SYSTEEMEISEN INFORMATIEBEVEILIGING

In de hoofdstukken 4 t/m 17 worden de systeemeisen m.b.t. informatiebeveiliging omschreven. In hoofdstuk 4 wordt ingegaan op het classificeren van informatie, risico analyse en het beoordelen van de risico’s. Hoofdstuk 5 beschrijft de ontwikkeling en vastlegging van beleidsuitgangspunten. Op basis van de risico analyse en de beleidsuitgangspunten wordt een eerste set aan maatregelen gedefinieerd, die gelden als het Basis BeveiligingsNiveau (BBN) voor de organisatie. De opzet van het BBN wordt in hoofdstuk 6 beschreven. In de hoofdstuk 7 tot en met 15 worden de beheersdoelstellingen en beheersmaatregelen die in het BBN worden toegepast beschreven. Niet alle maatregelen zijn voor elk bedrijf even relevant, de relevantie worden bepaald door het risicoprofiel en de beleidsuitgangspunten. De beheersmaatregelen worden ondersteund door ‘best practices’ die in deel 2, de toelichting op de norm worden beschreven. In deel 2 toelichting op de norm worden voor de verschillende beheersmaatregelen de implementatierichtlijnen aangegeven en eventuele overige informatie. De onderneming kan de aangegeven beheersmaatregelen, implementatierichtlijnen en overige informatie doorlezen en vaststellen in welke mate deze relevant zijn en op basis daarvan deze opnemen in het eigen BBN. In hoofdstuk 16 worden de beheersmaatregelen voor de controle op en de naleving van informatiebeveiliging toegelicht. In hoofdstuk 17 de beheersmaatregelen met betrekking tot de directiebeoordeling.

4

RISICOBEOORDELING

4.1

Inventarisatie en classificatie van informatie

Doelstelling: Bewerkstelligen dat informatie een geschikt niveau van bescherming krijgt. Informatie behoort te worden geclassificeerd om bij het verwerken van de informatie de noodzaak, prioriteiten en verwachte graad van bescherming te kunnen aangeven. Informatie kan meer of minder gevoelig of kritisch zijn. Voor bepaalde informatie kan een extra niveau van bescherming of een speciale verwerking nodig zijn. Er behoort een informatieclassificatieschema te worden gebruikt om adequate niveaus van bescherming te definiëren en de noodzaak voor aparte verwerkingsmaatregelen te communiceren.

Beheersmaatregel Informatie behoort te worden geïnventariseerd en vervolgens worden geclassificeerd met betrekking tot de waarde, wettelijke eisen, gevoeligheid en onmisbaarheid voor de organisatie en/of voor de klant. De informatiestromen worden beschreven in een informatiestroom diagram. Implementatierichtlijnen Het inventariseren van de informatie wordt gedaan door het opstellen van een informatiestroom diagram. Een informatiestroom diagram is een grafische voorstelling van de informatiestromen in een

Pagina 10 van 31

© Copyright SCGM


Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia organisatie en tussen organisaties. In bijlage D van de toelichting op de norm is een voorbeeld opgenomen van een informatiestroomdiagram. Classificaties en de bijbehorende beschermende beheersmaatregelen voor informatie behoren rekening te houden met de zakelijke behoefte aan het delen van informatie of het beperken ervan en de invloed van deze behoeften op het bedrijf. Het classificatieschema behoort eenvoudig te zijn, door gebruik te maken van een beperkt aantal classificatiecategorieën. Overige informatie Het beschermingsniveau kan worden beoordeeld door het analyseren van de vertrouwelijkheid, integriteit en beschikbaarheid en eventuele andere eisen voor de informatie die wordt beschouwd. Na verloop van tijd is informatie vaak niet langer gevoelig of kritiek, bijvoorbeeld wanneer de informatie is openbaar gemaakt. Ook daarmee behoort rekening te worden gehouden, omdat overclassificatie kan leiden tot de implementatie van overbodige beheersmaatregelen die leiden tot onnodige extra uitgaven.

4.2 Labeling en verwerking van informatie Beheersmaatregel Er behoren geschikte, samenhangende procedures te worden ontwikkeld en geïmplementeerd voor de labeling en verwerking van informatie overeenkomstig het classificatiesysteem dat de organisatie heeft geïmplementeerd. Implementatierichtlijnen De procedures voor het labelen van informatiebedrijfsmiddelen moeten zowel fysieke als elektronische hulpmiddelen omvatten. Uitvoer van systemen die informatie bevatten die als gevoelig of kritiek wordt geclassificeerd, behoort van het benodigde classificatielabel (in de uitvoer) te zijn voorzien. Het label behoort de classificatie te weer te geven volgens de regels van 4.1. Items die hiervoor in aanmerking komen zijn afgedrukte rapporten, weergaven op het beeldscherm, beschreven media (bijvoorbeeld tapes, schijven, cd's), Opslagsystemen/Back-up systemen (Raid systemen, NAS, etc.) elektronische berichten en bestandsoverdrachten (inclusief FTP infrastructuur). Voor elk classificatieniveau behoren verwerkingsprocedures te worden opgesteld, waaronder beveiligd verwerken, opslag, transmissie, declassificatie en vernietiging. Hierbij horen ook de procedures voor de beheersketen en voor het registreren van gebeurtenissen die relevant zijn voor de beveiliging. Overeenkomsten met externe partijen waar het delen van informatie aan de orde is behoren procedures te omvatten voor de identificatie van de classificatie van die informatie en voor het interpreteren van de classificatielabels van andere organisaties. Overige informatie Het labelen van digitale informatie verloopt via een beschrijving van een procedure of via metadata.


© Copyright SCGM

Pagina 11 van 31


4.3

Risicobeoordeling Het bedrijf behoort risico’s te identificeren, te kwantificeren en een prioriteit toe te kennen aan de hand van de criteria voor risicoacceptatie en doelstellingen die relevant zijn voor de organisatie. De resultaten behoren richting te geven bij het bepalen van passende prioriteiten voor het beheersen van informatiebeveiligingsrisico’s en voor het implementeren van beheersmaatregelen om zich tegen deze risico’s te beschermen.

Beheersmaatregel Het opstellen van een risicoprofiel op basis van het schatten van de aard en omvang van de risico’s (risicoanalyse) en het vergelijken van de ingeschatte risico’s met de risicocriteria. Het opstellen van een risicoprofiel en het beoordelen van de risico’s behoren periodiek te worden uitgevoerd om in te spelen op wijzigingen in de beveiligingseisen en de risicosituatie, bijv. in de bedrijfsmiddelen, bedreigingen en kwetsbaarheden. Deze risicobeoordelingen behoren systematisch te worden uitgevoerd om vergelijkbare en reproduceerbare resultaten te kunnen verkrijgen. Implementatierichtlijnen De risicobeoordeling van de informatiebeveiliging behoort, om effectief te zijn, een goed beschreven toepassingsgebied te hebben en behoort, waar van toepassing, relaties te leggen met risicobeoordelingen op andere gebieden. Bij het opstellen van een risicoprofiel gaat het om het bepalen van de kwetsbaarheid van de organisatie per risicogebied, gecombineerd met de te nemen maatregelen om deze te verminderen. Onderliggend kunnen de kosten daarvan worden aangegeven, om een afweging te maken tussen het te lopen risico versus de benodigde investering(en). Aan de te nemen maatregelen wordt een tijdsplanning gehangen om ook in de tijd de maatregelen te beoordelen. Overige informatie Er zijn verschillende formele methoden voor het in kaart brengen van informatiebeveiliging risico’s. In bijlage A van de toelichting op de norm is de stoplicht methode opgenomen dat als hulpmiddel kan dienen om de risico’s in kaart te brengen, de mogelijke maatregelen en de prioriteiten om deze op te lossen. De methode geeft een overzichtelijke indeling van het risicoprofiel in de tijd.

5

BELEIDSDOCUMENT VOOR INFORMATIEBEVELIGING De directie behoort een duidelijke beleidsrichting aan te geven die in overeenstemming is met de bedrijfsdoelstellingen en te demonstreren dat het informatiebeveiliging ondersteunt en zich hiertoe verplicht, door het uitbrengen en handhaven van een informatiebeveiligingsbeleid voor de hele organisatie.

Pagina 12 van 31

© Copyright SCGM


Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia Beheersmaatregel Een document met informatiebeveiligingsbeleid behoort door de directie te worden goedgekeurd en gepubliceerd en kenbaar te worden gemaakt aan alle werknemers en relevante externe partijen. Implementatierichtlijnen Het beleidsdocument voor informatiebeveiliging behoort de betrokkenheid van de directie te verwoorden, evenals de benadering van de organisatie ten aanzien van het beheer van informatiebeveiliging. Het beleidsdocument behoort tenminste de volgende informatie te bevatten: a) een definitie van informatiebeveiliging, de algemene doelstellingen en reikwijdte ervan en het belang van informatiebeveiliging als een instrument dat het gezamenlijke gebruik van informatie mogelijk maakt; b) een intentieverklaring van de directie ter ondersteuning van de doelstellingen en uitgangspunten van informatiebeveiliging in overeenstemming met de bedrijfsstrategie en -doelstellingen; c) een kader voor het stellen van beheersdoelstellingen en beheersmaatregelen, waaronder de structuur van risicobeoordeling en risicobeheer; d) een beknopte uiteenzetting van beleid, uitgangspunten, normen en nalevingeisen ten aanzien van de beveiliging, die voor de organisatie van specifiek belang zijn, waaronder: • naleving van verplichtingen in het kader van wet- en regelgeving en contracten; • eisen met betrekking tot beveiligingsscholing, -training en bewustwording; • beheerproces van bedrijfscontinuïteit; • gevolgen van het niet naleven van informatiebeveiligingsbeleid; e) vaststelling van de algemene en specifieke verantwoordelijkheden voor het beheer van informatiebeveiliging, waaronder het rapporteren van beveiligingsincidenten; f) verwijzingen naar documentatie die het beleid kan ondersteunen, bijvoorbeeld meer gedetailleerde beveiligingsrichtlijnen en procedures voor specifieke informatiesystemen of beveiligingsvoorschriften die door gebruikers behoren te worden nageleefd. Dit informatiebeveiligingsbeleid behoort kenbaar te worden gemaakt aan gebruikers in de gehele organisatie, in een vorm die geschikt, toegankelijk en begrijpelijk is voor de lezer. Overige informatie Het informatiebeveiligingsbeleid kan onderdeel uitmaken van een algemeen beleidsdocument. Indien het informatiebeveiligingsbeleid buiten de organisatie wordt verspreid, moet erop worden gelet geen gevoelige informatie bekend te maken. In bijlage B van de toelichting op de norm is een overzicht opgenomen van onderwerpen die deel kunnen uitmaken van de beleidsuitgangspunten.

6

VASTSTELLING VAN HET BASIS BEVEILIGINGS NIVEAU (BNN)

Op basis van de risico analyse en de beleidsuitgangspunten wordt een eerste set aan maatregelen gedefinieerd, die geldt als het basis beveiligingsniveau (BBN) voor de organisatie. De vereiste maatregelen worden afgeleid van de hierna in deze norm beschreven maatregelen. Deze maatregelen worden dus toegepast op basis van de risico analyse en het vastgestelde beleid.


© Copyright SCGM

Pagina 13 van 31

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia-branche In het overzicht van het basis beveiligingsniveau, zijn de volgende onderdelen opgenomen: • het betreffende onderwerp of onderdeel waar de beveiliging betrekking op heeft; • de doelstelling die in dit kader binnen dit onderwerp/onderdeel gerealiseerd moet gaan worden; • een indeling naar prioriteit waarin de doelstelling gerealiseerd moet worden en waarin het belang van het treffen van de maatregelen wordt vastgesteld; • een uitwerking en toelichting op de uitwerking van de te nemen maatregelen; • een beschrijving van de status, waarin de realisatie van de te nemen maatregelen wordt vastgesteld. In Bijlage C van de toelichting op de norm is een voorbeeld rapportage opgenomen van een BBN.

7

ORGANISTATIE VAN DE INFORMATIEBEVEILIGING

Doelstelling: organisatorische beheersing van de informatiebeveiliging binnen de organisatie. De organisatie heeft taken, verantwoordelijkheden en bevoegdheden omschreven en toegewezen, aangevuld met een omschrijving van de coördinatie en de inrichting en uitvoering van communicatie.

Beleidsmaatregelen: • De directie behoort actief informatiebeveiliging binnen de organisatie te ondersteunen door duidelijk richting te geven, betrokkenheid te tonen en expliciet verantwoordelijkheden voor informatiebeveiliging toe te kennen en te erkennen. • Activiteiten voor informatiebeveiliging behoren te worden gecoördineerd door vertegenwoordigers uit verschillende delen van de organisatie met relevante rollen en functies. • Alle verantwoordelijkheden voor informatiebeveiliging behoren duidelijk te zijn gedefinieerd. • Er behoort een goedkeuringsproces voor vernieuwde en nieuwe IT voorzieningen te worden vastgesteld en geïmplementeerd. • Eisen voor vertrouwelijkheid of geheimhoudingsovereenkomst die een weerslag vormen van de behoefte van de organisatie aan bescherming van informatie behoren te worden vastgesteld en regelmatig te worden beoordeeld. • Indien er ten behoeve van informatiebeveiliging contacten met relevante overheidsinstanties nodig zijn, moeten deze contacten worden onderhouden en afspraken/werkwijzen worden gedocumenteerd. • Indien relevant behoren er geschikte contacten met speciale belangengroepen of andere specialistische platforms voor beveiliging en professionele organisaties te worden onderhouden. • De directie behoort van werknemers, ingehuurd personeel en externe gebruikers te eisen dat ze beveiliging toepassen overeenkomstig vastgesteld beleid en vastgestelde procedures en werkinstructies van de organisatie. • Alle werknemers van de organisatie en, voorzover van toepassing, ingehuurd personeel en externe gebruikers, behoren geschikte instructie en waar nodig training en bijscholing te krijgen met betrekking tot beleid, procedures en werkzaamheden van de organisatie, voorzover relevant voor hun functie.

Pagina 14 van 31

© Copyright SCGM


Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia •

Er behoort een formeel disciplinair proces te zijn vastgesteld voor werknemers die inbreuk op de beveiliging hebben gepleegd.

De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 7 (toelichting op de norm).

8

BEHEER VAN BEDRIJFSMIDDELEN DIE VERBAND HOUDEN MET IT VOORZIENINGEN Doelstelling: Bereiken en handhaven van een adequate bescherming van bedrijfsmiddelen van de organisatie, die verband houden met IT voorzieningen.

Beheersmaatregelen: • Alle bedrijfsmiddelen die verband houden met IT voorzieningen behoren duidelijk te zijn geïdentificeerd en er behoort een inventaris van alle belangrijke bedrijfsmiddelen te worden opgesteld en bijgehouden. • Er behoort een overzicht te zijn van de systeemarchitectuur waarin de IT voorzieningen zijn omschreven en de wijze waarop deze middels netwerkvoorzieningen gekoppeld zijn. In bijlage E van de toelichting op de norm is een voorbeeld van een systeemarchitectuur opgenomen. • Alle informatie en bedrijfsmiddelen die verband houden met IT voorzieningen behoren een ‘eigenaar’, dwz een persoon die verantwoordelijk is voor het gebruik of beheer van een voorziening, te hebben in de vorm van een aangewezen deel van de organisatie. • Er behoren regels te worden vastgesteld, gedocumenteerd en geïmplementeerd voor aanvaardbaar gebruik van informatie en bedrijfsmiddelen die verband houden met IT voorzieningen. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 8 (toelichting op de norm).

9

BEVELIGING VAN PERSONEEL

Doelstelling: Bewerkstelligen dat werknemers, ingehuurd personeel en externe gebruikers hun verantwoordelijkheden begrijpen, en geschikt zijn voor de rollen waarvoor zij worden overwogen, en om het risico van diefstal, fraude of misbruik van faciliteiten te verminderen.

Beheermaatregelen: • De rollen en verantwoordelijkheden van werknemers, ingehuurd personeel en externe gebruikers ten aanzien van beveiliging behoren te worden vastgesteld en gedocumenteerd overeenkomstig het beleid voor informatiebeveiliging van de organisatie.


© Copyright SCGM

Pagina 15 van 31

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia-branche •

Verificatie van de achtergrond van alle kandidaten voor een diensverband, ingehuurd personeel en externe gebruikers behoren te worden uitgevoerd overeenkomstig relevante wetten, voorschriften en ethische overwegingen, en behoren evenredig te zijn aan de bedrijfseisen, de classificatie van de informatie waartoe toegang wordt verleend, en de waargenomen risico's. Als onderdeel van hun contractuele verplichting behoren werknemers, ingehuurd personeel en externe gebruikers de algemene voorwaarden te aanvaarden en te ondertekenen van hun arbeidscontract, waarin hun verantwoordelijkheden en die van de organisatie ten aanzien van informatiebeveiliging behoren te zijn vastgelegd. De verantwoordelijkheden voor beëindiging of wijziging van het dienstverband behoren duidelijk te zijn vastgesteld en toegewezen. Alle werknemers, ingehuurd personeel en externe gebruikers behoren alle bedrijfsmiddelen van de organisatie die ze in hun bezit hebben te retourneren bij beëindiging van hun dienstverband, contract of overeenkomst. De toegangsrechten van alle werknemers, ingehuurd personeel en externe gebruikers tot informatie en IT voorzieningen behoren te worden geblokkeerd bij beëindiging van het dienstverband, het contract of de overeenkomst, of behoort na wijziging te worden aangepast.

•

• •

•

De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 9 (toelichting op de norm).

10

FYSIEKE BEVEILIGING EN BEVEILIGING VAN DE OMGEVING

10.1 Beveiligde ruimten Doelstelling: Het voorkomen van onbevoegde fysieke toegang tot, schade aan of verstoring van het terrein en de informatie van de organisatie.

Beheersmaatregelen: • Er behoren toegangsbeveiligingen (toegangsdeuren of -poorten met kaartsloten) te worden aangebracht om ruimten te beschermen waar zich informatie en IT voorzieningen bevinden. • Beveiligde zones behoren te worden beschermd door geschikte toegangsbeveiliging, om te bewerkstelligen dat alleen bevoegd personeel wordt toegelaten. • Er behoort fysieke beveiliging van kantoren, ruimten en faciliteiten te worden ontworpen en toegepast indien dat voor informatiebeveiliging relevant is. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 10.1 (toelichting op de norm).

Pagina 16 van 31

© Copyright SCGM



10.2 Beveiliging van apparatuur Doelstelling: het voorkomen van verlies, schade, diefstal of compromittering van bedrijfsmiddelen en onderbreking van de bedrijfsactiviteiten.

Beheersmaatregelen: • Apparatuur behoort zo te worden geplaatst en beschermd dat risico's van schade en storing van buitenaf en de gelegenheid voor onbevoegde toegang wordt verminderd. • Voeding- en telecommunicatiekabels die voor data verkeer of ondersteunende informatiediensten worden gebruikt, behoren tegen aftappen of beschadiging te worden beschermd. • Apparatuur behoort op correcte wijze te worden onderhouden, om te waarborgen dat deze voortdurend beschikbaar is en in goede staat verkeert. • Informatieverwerkende apparatuur in gebruik buiten de terreinen behoort te worden beveiligd waarbij rekening wordt gehouden met de risico's van werken buiten het terrein van de organisatie. • Alle apparatuur die opslagmedia bevat, behoort te worden gecontroleerd om te bewerkstelligen dat alle gevoelige gegevens en in licentie gebruikte programmatuur zijn verwijderd of veilig zijn overschreven voordat de apparatuur wordt verwijderd. • Apparatuur, informatie en programmatuur van de organisatie mogen niet zonder toestemming vooraf van de locatie worden meegenomen. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 10.2 (toelichting op de norm).

11

BEHEER VAN COMMUNICATIE EN BEDIENINGSPROCESSEN

11.1 Bedieningsprocedures en verantwoordelijkheden Doelstelling: Waarborgen van een correcte en veilige bediening van IT voorzieningen.

Beheersmaatregelen: • Bedieningsprocedures behoren te worden gedocumenteerd, te worden bijgehouden en beschikbaar te worden gesteld aan alle gebruikers die deze nodig hebben. • Wijzigingen in IT voorzieningen en informatiesystemen behoren te worden beheerst. • In het geval dat een organisatie zelf programmatuur of scripts ontwikkelt, behoren de faciliteiten voor ontwikkeling en testen van de productie te zijn gescheiden om het risico van verstoring van de productie of onbevoegde toegang tot of wijzigingen in het productiesysteem te verminderen. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 11.1 (toelichting op de norm).


© Copyright SCGM

Pagina 17 van 31


11.2 Beheer van de dienstverlening door een derde partij Doelstelling: Geschikt niveau van informatiebeveiliging en dienstverlening implementeren en bijhouden in overeenstemming met de overeenkomsten voor dienstverlening door een derde partij.

Beheersmaatregelen: • Er behoort te worden bewerkstelligd dat de definities van dienstverlening, niveaus van dienstverlening en beveiligingsmaatregelen zoals vastgelegd in de overeenkomst voor dienstverlening door een derde partij worden geïmplementeerd en uitgevoerd en worden bijgehouden door die derde partij. • De diensten, rapporten en registraties die door de derde partij worden geleverd, behoren regelmatig te worden gecontroleerd en beoordeeld. • Wijzigingen in de dienstverlening door derden, waaronder het bijhouden en verbeteren van bestaande beleidslijnen, procedures en maatregelen voor informatiebeveiliging, behoren te worden beheerd, waarbij rekening wordt gehouden met de onmisbaarheid van de betrokken bedrijfssystemen en -processen en met heroverweging van risico's. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 11.2 (toelichting op de norm).

11.3 Systeemacceptatie Doelstelling: Het risico van systeemstoringen tot een minimum beperken.

Beheersmaatregelen: • Er behoren aanvaardingscriteria te worden vastgesteld voor nieuwe informatiesystemen, upgrades en nieuwe versies en er behoort een geschikte test van het systeem of de systemen te worden uitgevoerd De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 11.3 (toelichting op de norm).

11.4 Bescherming tegen virussen, ‘mobile code’ en scripts Doelstelling: Beschermen van de integriteit van programmatuur en informatie.

Pagina 18 van 31

© Copyright SCGM


Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia Beheersmaatregelen: • Er behoren maatregelen te worden getroffen voor detectie van virussen, preventie tegen virussen en herstellen van apparatuur geïnfecteerd door virussen en er behoren geschikte procedures te worden ingevoerd om het bewustzijn van de gebruikers te vergroten. • Als gebruik van ‘mobile code’ is toegelaten, behoort de configuratie te bewerkstelligen dat de geautoriseerde ‘mobile code’ functioneert volgens een duidelijk vastgesteld beveiligingsbeleid, en behoort te worden voorkomen dat onbevoegde ‘mobile code’ wordt uitgevoerd. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 11.4 (toelichting op de norm).

11.5 Maken van een Back-up Doelstelling: Handhaven van de integriteit en beschikbaarheid van informatie en IT voorzieningen.

Beheersmaatregelen: • Er behoren back-upkopieën van informatie en programmatuur te worden gemaakt en regelmatig te worden getest overeenkomstig het vastgestelde back-upbeleid. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 11.5 (toelichting op de norm).

11.6 Beheer van netwerkbeveiliging Doelstelling: Bewerkstelligen van de bescherming van informatie in netwerken en bescherming van de ondersteunende infrastructuur.

Beheersmaatregelen: • Netwerken behoren adequaat te worden beheerd en beheerst om ze te beschermen tegen bedreigingen en om beveiliging te handhaven voor de systemen en toepassingen die gebruikmaken van het netwerk. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 11.6 (toelichting op de norm).

11.7 Bescherming van media Doelstelling: Voorkomen van onbevoegde openbaarmaking, modificatie, verwijdering of vernietiging van media die van belang zijn voor de bedrijfsactiviteiten.


© Copyright SCGM

Pagina 19 van 31


Beheersmaatregelen: • Er behoren procedures te zijn vastgesteld voor het beheer van transporteerbare media. • Media behoren op een veilige en beveiligde manier te worden verwijderd als ze niet langer nodig zijn, overeenkomstig formele procedures. • Er behoren procedures te worden vastgesteld voor de behandeling, uitwisseling en opslag van informatie om deze te beschermen tegen onbevoegde openbaarmaking, misbruik of gebruik zonder toestemming in het kader van copyright bescherming. • Systeemdocumentatie behoort te worden beschermd tegen onbevoegde toegang. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 11.7 (toelichting op de norm).

11.8 Uitwisseling van informatie Doelstelling: Handhaven van beveiliging van informatie en programmatuur die wordt uitgewisseld binnen een organisatie en met enige externe partij (klant, toeleverancier, etc.).

Beheersmaatregelen: • Er behoren formeel beleid, formele procedures en formele beheersmaatregelen te zijn vastgesteld om de uitwisseling van informatie via het gebruik van alle typen communicatiefaciliteiten te beschermen. • Er behoren overeenkomsten te worden vastgesteld voor de uitwisseling van informatie en programmatuur tussen de organisatie en externe partijen (klanten/toeleveranciers). • Media die informatie bevatten behoren te worden beschermd tegen onbevoegde toegang, misbruik of corruptie tijdens transport buiten de fysieke begrenzing van de organisatie. • Informatie die een rol speelt bij elektronische berichtuitwisseling behoort op geschikte wijze te worden beschermd. • Beleid en procedures behoren te worden ontwikkeld en geïmplementeerd om informatie te beschermen die een rol speelt bij de onderlinge koppeling van systemen voor bedrijfsinformatie. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 11.8 (toelichting op de norm).

11.9 Diensten voor e-commerce Doelstelling: Bewerkstelligen van de beveiliging van diensten voor e-commerce en veilig gebruik ervan.

Beheersmaatregelen: • Informatie die een rol speelt bij elektronische handel (o.a. web to print applicaties) en die via het internet wordt uitgewisseld, behoort te worden beschermd tegen frauduleuze activiteiten, geschillen over contracten en onbevoegde openbaarmaking en modificatie.

Pagina 20 van 31

© Copyright SCGM


Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia •

•

Informatie die een rol speelt bij onlinetransacties (bijvoorbeeld een betalingssysteem als onderdeel van een web to print applicatie) behoort te worden beschermd om onvolledige overdracht, onjuiste routing, onbevoegde wijziging van berichten, onbevoegde openbaarmaking, onbevoegde duplicatie of weergave van berichten te voorkomen. De betrouwbaarheid van de informatie die beschikbaar wordt gesteld op een openbaar toegankelijk systeem (bijvoorbeeld een bedrijfswebsite op internet) behoort te worden beschermd om onbevoegde modificatie te voorkomen.

De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 11.9 (toelichting op de norm).

12

BEDRIJFSEISEN TEN AANZIEN VAN TOEGANGSBEHEERSING

12.1 Toegangsbeleid Doelstelling: Beheersen van de toegang tot informatie.

Beheersmaatregelen: • Er behoort toegangsbeleid te worden vastgesteld, gedocumenteerd en beoordeeld op basis van bedrijfseisen en beveiligingseisen voor toegang. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 12.1 (toelichting op de norm).

12.2 Beheer van toegangsrechten van gebruikers Doelstelling: Toegang voor bevoegde gebruikers bewerkstelligen en onbevoegde toegang tot informatiesystemen voorkomen.

Beheersmaatregelen: • Er behoren formele procedures voor het registreren en afmelden van gebruikers te zijn vastgesteld, voor het verlenen en intrekken van toegangsrechten tot alle informatiesystemen en diensten. • De toewijzing en het gebruik van speciale bevoegdheden behoren te worden beperkt en beheerst. • De toewijzing van wachtwoorden behoort met een formeel beheerproces te worden beheerst. • De directie behoort de toegangsrechten van gebruikers regelmatig te beoordelen in een formeel proces.


© Copyright SCGM

Pagina 21 van 31

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia-branche De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 12.2 (toelichting op de norm).

12.3 Verantwoordelijkheden van gebruikers Doelstelling: Voorkomen van onbevoegde toegang door gebruikers, en van beschadiging of diefstal van informatie en IT voorzieningen.

Beheersmaatregelen: • Gebruikers behoren goede beveiligingsgewoontes in acht te nemen bij het kiezen en gebruiken van wachtwoorden. • Gebruikers behoren te bewerkstelligen dat onbeheerde apparatuur passend is beschermd. • Er behoort een ‘clear desk’-beleid voor papier en verwijderbare opslagmedia en een ‘clear screen’-beleid voor IT voorzieningen te worden ingesteld wanneer gewerkt wordt met gevoelige informatie. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 12.3 (toelichting op de norm).

12.4 Toegangsbeheersing voor netwerken Doelstelling: Het voorkomen van onbevoegde toegang tot netwerkdiensten.

Beheersmaatregelen: • Gebruikers behoort alleen toegang te worden verleend tot diensten waarvoor ze specifiek bevoegd zijn. • Er behoren geschikte authenticatiemethoden te worden gebruikt om toegang van gebruikers op afstand te beheersen. • Automatische identificatie van apparatuur behoort te worden overwogen als methode om verbindingen vanaf specifieke locaties en apparatuur te authenticeren. • De fysieke en logische toegang tot poorten voor diagnose en configuratie behoort te worden beheerst. • Groepen informatiediensten, gebruikers en informatiesystemen behoren op netwerken te worden gescheiden. • Voor gemeenschappelijke netwerken, vooral waar deze de grenzen van de organisatie overschrijden, behoren de toegangsmogelijkheden voor gebruikers te worden beperkt, overeenkomstig het toegangsbeleid en de eisen van bedrijfstoepassingen. • Netwerken behoren te zijn voorzien van beheersmaatregelen voor netwerkroutering, om te bewerkstelligen dat computerverbindingen en informatiestromen niet in strijd zijn met het toegangsbeleid voor de bedrijfstoepassingen.

Pagina 22 van 31

© Copyright SCGM


Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 12.4 (toelichting op de norm).

12.5 Toegangsbeheersing voor informatiesystemen en informatie Doelstelling: Voorkomen van onbevoegde toegang tot informatie in informatiesystemen.

Beheersmaatregelen: • Toegang tot informatie en functies van informatiesystemen door gebruikers en ondersteunend personeel behoort te worden beperkt overeenkomstig het vastgestelde toegangsbeleid. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 12.5 (toelichting op de norm).

12.6 Draagbare computers en telewerken Doelstelling: Waarborgen van informatiebeveiliging bij het gebruik van draagbare computers en faciliteiten voor telewerken.

Beheersmaatregelen: • Er behoort formeel beleid te zijn vastgesteld en er behoren geschikte beveiligingsmaatregelen te zijn getroffen ter bescherming tegen risico's van het gebruik van draagbare computers en communicatiefaciliteiten. • Er behoren beleid, operationele plannen en procedures voor telewerken/thuiswerken te worden ontwikkeld en geïmplementeerd. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 12.6 (toelichting op de norm).

13

VERWERKING, ONTWIKKELING EN ONDERHOUD VAN INFORMATIESYSTEMEN

13.1 Beveiligingseisen voor informatiesystemen Doelstelling: Bewerkstelligen dat beveiliging integraal deel uitmaakt van informatiesystemen.

Beheersmaatregelen: • Bij het opstellen van de eisen voor nieuwe informatiesystemen of uitbreidingen van bestaande informatiesystemen behoren ook eisen voor beveiligingsmaatregelen te worden opgenomen. Bij het opstellen van de eisen voor nieuwe informatiesystemen of uitbreidingen van bestaande Versie: november 2011

© Copyright SCGM

Pagina 23 van 31

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia-branche informatiesystemen behoren ook eisen voor beveiligingsmaatregelen te worden opgenomen. In het proces van aanschaf van informatiesystemen behoren deze eisen in het inkoopproces te worden meegenomen. In de contracten met de leverancier behoren de vastgestelde beveiligingseisen te zijn opgenomen. Waar de beveiligingsfunctionaliteit in een voorgesteld product niet voldoet aan de gestelde eis, behoren het geïntroduceerde risico en de daarmee verbonden beheersmaatregelen te worden heroverwogen alvorens het product aan te schaffen. Waar extra functionaliteit wordt geleverd die een beveiligingsrisico met zich meebrengt, behoort dit risico te worden uitgeschakeld of behoort de voorgestelde beheersstructuur opnieuw te worden beoordeeld om te bepalen of er voordeel te behalen is uit de extra functionaliteit die beschikbaar is. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 13.1 (toelichting op de norm).

13.2

Correcte verwerking in toepassingen

Doelstelling: Voorkomen van fouten, verlies, onbevoegde modificatie of misbruik van informatie in toepassingen.

Beheersmaatregelen: • Gegevens die worden ingevoerd in toepassingen behoren te worden gevalideerd om te bewerkstelligen dat deze gegevens juist en geschikt zijn. • Er behoren validatiecontroles te worden opgenomen in toepassingen om eventueel corrumperen van informatie door verwerkingsfouten of opzettelijke handelingen te ontdekken. • Gegevensuitvoer uit een toepassing behoort te worden gevalideerd, om te bewerkstelligen dat de verwerking van opgeslagen gegevens op de juiste manier plaatsvindt en geschikt is gezien de omstandigheden. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 13.2 (toelichting op de norm).

13.3 Beveiliging van systeembestanden Doelstelling: Beveiliging van systeembestanden bewerkstelligen.

Beheersmaatregelen: • Er behoren procedures te zijn vastgesteld om de installatie van programmatuur op productiesystemen te beheersen. • De toegang tot broncode van programmatuur behoort te worden beperkt. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 13.3 (toelichting op de norm). Pagina 24 van 31

© Copyright SCGM



13.4 Beveiliging bij ontwikkelings- en ondersteuningsprocessen Doelstelling: Beveiliging van toepassingsprogrammatuur en -informatie handhaven.

Beheersmaatregelen: • De implementatie van wijzigingen in informatiesystemen behoort te worden beheerst door middel van formele procedures voor wijzigingsbeheer. • Bij wijzigingen in besturingssystemen behoren bedrijfskritische toepassingen te worden beoordeeld en getest om te bewerkstelligen dat er geen nadelige gevolgen zijn voor de activiteiten of beveiliging van de organisatie. • Wijzigingen in programmatuurpakketten behoren te worden ontmoedigd, te worden beperkt tot noodzakelijke wijzigingen en alle wijzigingen behoren strikt te worden beheerst. • Er behoort te worden voorkomen dat zich gelegenheden voordoen om informatie te laten uitlekken. • Uitbestede ontwikkeling van programmatuur behoort onder supervisie te staan van en te worden gecontroleerd door de organisatie. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 13.4 (toelichting op de norm).

13.5 Beheer van technische kwetsbaarheden Doelstelling: Risico's verminderen als gevolg van benutting van gepubliceerde technische kwetsbaarheden.

Beheersmaatregelen: • Er behoort tijdig informatie te worden verkregen over technische kwetsbaarheden van de gebruikte informatiesystemen. De mate waarin de organisatie blootstaat aan dergelijke kwetsbaarheden behoort te worden geëvalueerd en er behoren geschikte maatregelen te worden genomen voor behandeling van daarmee samenhangende risico's. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 13.5 (toelichting op de norm).


© Copyright SCGM

Pagina 25 van 31


14

CONTROLE OP- EN NALEVING VAN HET SYSTEEM VAN INFORMATIEBEVEILIGING

14.1 Controle op informatieverwerkingsactiviteiten Doelstelling: Ontdekken van onbevoegde informatieverwerkingsactiviteiten. Systemen behoren te worden gecontroleerd en informatiebeveiligingsgebeurtenissen behoren te worden geregistreerd. Er behoort gebruik te worden gemaakt van logbestanden van operators en storingsregistraties om te waarborgen dat de informatiesysteemproblemen worden vastgesteld.

Beheersmaatregelen: • Activiteiten van gebruikers, uitzonderingen en informatiebeveiligingsgebeurtenissen behoren te worden vastgelegd in audit-logbestanden. Deze logbestanden behoren gedurende een overeengekomen periode te worden bewaard, ten behoeve van toekomstig onderzoek en toegangscontrole. • Er behoren procedures te worden vastgesteld om het gebruik van IT voorzieningen te controleren. Het resultaat van de controleactiviteiten behoort regelmatig te worden beoordeeld. • Logfaciliteiten en informatie in logbestanden behoren te worden beschermd tegen inbreuk en onbevoegde toegang. • Activiteiten van systeemadministrators en systeemoperators behoren in logbestanden te worden vastgelegd. • •

Storingen behoren in logbestanden te worden vastgelegd en te worden geanalyseerd en er behoren geschikte maatregelen te worden genomen. De klokken van alle relevante informatiesystemen binnen een organisatie of beveiligingsdomein behoren te worden gesynchroniseerd met een overeengekomen nauwkeurige tijdsbron.


14.2 Rapportage van informatiebeveiligingsgebeurtenissen en zwakke plekken Doelstelling: Bewerkstelligen dat informatiebeveiligingsgebeurtenissen en zwakheden die verband houden met informatiesystemen zodanig kenbaar worden gemaakt dat tijdig corrigerende maatregelen kunnen worden genomen.

Beheersmaatregelen: • Informatiebeveiligingsgebeurtenissen behoren zo snel mogelijk via de juiste leidinggevende niveaus te worden gerapporteerd.

Pagina 26 van 31

© Copyright SCGM


Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 14.2 (toelichting op de norm)

14.3 Beheer van informatiebeveiligingsincidenten en –verbeteringen Doelstelling: Bewerkstelligen dat een consistente en doeltreffende benadering wordt toegepast voor het beheer van informatiebeveiligingsincidenten.

Beheersmaatregelen: • Er behoren leidinggevende verantwoordelijkheden en procedures te worden vastgesteld om een snelle, doeltreffende en ordelijke reactie op informatiebeveiligingsincidenten te bewerkstelligen. • Er behoren mechanismen te zijn ingesteld waarmee de aard, omvang en kosten van informatiebeveiligingsincidenten kunnen worden gekwantificeerd en gecontroleerd. • Waar een vervolgprocedure tegen een persoon of organisatie na een informatiebeveiligingsincident juridische maatregelen omvat (civiel, arbeidsrechtelijk of strafrechtelijk), behoort bewijsmateriaal te worden verzameld, bewaard en gepresenteerd overeenkomstig de voorschriften voor bewijs die voor het relevante rechtsgebied zijn vastgelegd. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 14.3 (toelichting op de norm).

15

BEDRIJFSCONTINUÏTEITSBEHEER

15.1 Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer Doelstelling: Onderbreken van bedrijfsactiviteiten tegengaan en kritische bedrijfsprocessen beschermen tegen de gevolgen van omvangrijke storingen in informatiesystemen en om tijdig herstel te bewerkstelligen.

Beheersmaatregelen: • Er behoort een beheerd proces voor bedrijfscontinuïteit in de gehele organisatie te worden ontwikkeld en bijgehouden, gericht op de naleving van eisen voor informatiebeveiliging die nodig zijn voor de continuïteit van de bedrijfsvoering. • Gebeurtenissen die tot onderbreking van bedrijfsprocessen kunnen leiden, behoren te worden geïdentificeerd, tezamen met de waarschijnlijkheid en de gevolgen van dergelijke onderbrekingen en hun gevolgen voor informatiebeveiliging. • Er behoren plannen te worden ontwikkeld en geïmplementeerd om de bedrijfsactiviteiten te handhaven of te herstellen en om de beschikbaarheid van informatie op het vereiste niveau en in de vereiste tijdspanne te bewerkstelligen na onderbreking of uitval van kritische bedrijfsprocessen.


© Copyright SCGM

Pagina 27 van 31

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia-branche •

•

Er behoort een kader voor bedrijfscontinuïteitsplannen te worden gehandhaafd om te bewerkstelligen dat alle plannen consistent zijn, om eisen voor informatiebeveiliging op consistente wijze te behandelen en om prioriteiten vast te stellen voor testen en onderhoud. Bedrijfscontinuïteitsplannen behoren regelmatig te worden getest en geüpdate, om te bewerkstelligen dat ze actueel en doeltreffend blijven.


16

NALEVING

16.1 Naleving van wettelijke voorschriften Doelstelling: Voorkomen van schending van enige wetgeving, wettelijke en regelgevende of contractuele verplichtingen, en van enige beveiligingseisen.

Beheersmaatregelen: • De relevante wettelijke en regelgevende eisen, contractuele verplichtingen en de benadering van de organisatie in de naleving van deze eisen, behoren expliciet te worden vastgesteld, gedocumenteerd en actueel te worden gehouden voor elk informatiesysteem en voor de organisatie. • Er behoren geschikte procedures te worden geïmplementeerd om te bewerkstelligen dat wordt voldaan aan de wettelijke en regelgevende eisen en contractuele verplichtingen voor het gebruik van materiaal waarop intellectuele eigendomsrechten kunnen berusten en het gebruik van programmatuur waarop intellectuele eigendomsrechten berusten. • Belangrijke registraties behoren te worden beschermd tegen verlies, vernietiging en vervalsing, overeenkomstig wettelijke en regelgevende eisen, contractuele verplichtingen en bedrijfsmatige eisen. • De bescherming van gegevens en privacy behoort te worden bewerkstelligd overeenkomstig relevante wetgeving, voorschriften en indien van toepassing contractuele bepalingen. • Gebruikers behoren ervan te worden weerhouden IT voorzieningen te gebruiken voor onbevoegde doeleinden. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 16.1 (toelichting op de norm)

16.2 Naleving van beveiligingsbeleid en -normen en technische naleving Doelstelling: Bewerkstelligen dat systemen voldoen aan het beveiligingsbeleid en de beveiligingsnormen van de organisatie.

Pagina 28 van 31

© Copyright SCGM


Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia Beheersmaatregelen: • Managers behoren te bewerkstelligen dat alle beveiligingsprocedures die binnen hun verantwoordelijkheid vallen correct worden uitgevoerd om naleving te bereiken van beveiligingsbeleid en -normen. • Informatiesystemen behoren regelmatig te worden gecontroleerd op naleving van implementatie van beveiligingsnormen. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 16.2 (toelichting op de norm)

16.3 Overwegingen bij audits van informatiesystemen Doelstelling: Doeltreffendheid van audits van het informatiesysteem maximaliseren en verstoring als gevolg van systeemaudits minimaliseren.

Beheersmaatregelen: • Eisen voor audits en andere activiteiten waarbij controles worden uitgevoerd op productiesystemen, behoren zorgvuldig te worden gepland en goedgekeurd om het risico van verstoring van bedrijfsprocessen tot een minimum te beperken. • Toegang tot hulpmiddelen voor audits van informatiesystemen behoort te worden beschermd om mogelijk misbuik of compromittering te voorkomen. De implementatierichtlijnen en overige informatie worden beschreven in hoofdstuk 16.3 (toelichting op de norm).

17

DIRECTIEBEOORDELING

17.1 Beoordeling van het informatiebeveiligingsbeleid Beheersmaatregel Het informatiebeveiligingsbeleid behoort met geplande tussenpozen, of zodra zich belangrijke wijzigingen voordoen, te worden beoordeeld om te bewerkstelligen dat het geschikt, toereikend en doeltreffend blijft. Implementatierichtlijnen Het informatiebeveiligingsbeleid behoort een eigenaar te hebben die een door de directie goedgekeurde verantwoordelijkheid heeft voor het ontwikkelen, beoordelen en evalueren van het beveiligingsbeleid. In de beoordeling behoort te worden meegenomen welke mogelijkheden er voor verbetering zijn en of er wijzigingen zijn in de omgeving van de organisatie, bedrijfsomstandigheden, wettelijke voorwaarden of technische omgeving.


© Copyright SCGM

Pagina 29 van 31

Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia-branche Het informatiebeveiligingsbeleid behoort te worden beoordeeld door de directie (d.i. directiebeoordeling). De uitvoering van directiebeoordelingen (tijd, hoe vaak) behoort omschreven te zijn. Voor een optimale uitvoering van de directiebeoordeling is de volgende informatie nodig: a) terugkoppeling van belanghebbende partijen; b) resultaten van eventuele onafhankelijke beoordelingen; c) status van preventieve en corrigerende handelingen; d) resultaten van voorgaande directiebeoordelingen; e) naleving van het informatiebeveiligingsbeleid; f) veranderingen die van invloed zouden kunnen zijn op de aanpak van de organisatie voor het beheren van informatiebeveiliging, waaronder veranderingen in de omgeving van de organisatie, bedrijfsomstandigheden, beschikbaarheid van middelen, contractuele voorwaarden of voorwaarden uit wet- of regelgeving, of de technische omgeving; g) trends en ontwikkelingen in verband met bedreigingen en kwetsbaarheden; h) gerapporteerde informatiebeveiligingsgebeurtenissen; i) aanbevelingen verstrekt door leveranciers, afnemers, accountant of relevante autoriteiten. De resultaten van de directiebeoordeling behoren alle besluiten en handelingen te omvatten die verband houden met: a) verbetering van de aanpak van de organisatie voor het beheren van informatiebeveiliging en onderliggende processen; b) verbetering van beheersdoelstellingen en beheersmaatregelen; c) verbetering van de toewijzing van middelen en/of taken, verantwoordelijkheden en bevoegdheden. Er behoort een verslag van de directiebeoordeling te worden bijgehouden. Voor het herziene beleid behoort goedkeuring van de directie te worden verkregen.

17.2 Onafhankelijke beoordeling van informatiebeveiliging Beheersmaatregel De benadering van de organisatie voor het beheer van informatiebeveiliging en de implementatie daarvan (d.w.z. beheersdoelstellingen, beheersmaatregelen, beleid, maatregelen en procedures voor informatiebeveiliging) behoren onafhankelijk en met geplande tussenpozen te worden beoordeeld, of zodra zich significante wijzigingen voordoen in de implementatie van de beveiliging. Implementatierichtlijnen De onafhankelijke beoordeling moet worden geïnitieerd door de directie. Een dergelijke onafhankelijke beoordeling is nodig om te waarborgen dat de organisatie een geschikte, toereikende en doeltreffende aanpak van het beheer van informatiebeveiliging hanteert. In de beoordeling behoren de mogelijkheden voor verbetering en de noodzaak om wijzigingen aan te brengen in de beveiligingsaanpak, waaronder het beleid en de beheersdoelstellingen, te worden meegenomen. Een dergelijke beoordeling moeten worden uitgevoerd door personen die onafhankelijk zijn ten opzichte van de omgeving die wordt beoordeeld, bijvoorbeeld de interne auditor, een onafhankelijke manager of een derde partij die in dergelijke beoordelingen is gespecialiseerd, voor zover zij beschikken over de juiste vaardigheden en ervaring.

Pagina 30 van 31

© Copyright SCGM


Grafimedia Certificatienorm Informatiebeveiliging uitgegeven door de Stichting Certificatie Grafimedia De resultaten van de onafhankelijke beoordeling behoren te worden vastgelegd en aan de directie te worden gerapporteerd die de beoordeling heeft geïnitieerd. De verslagen behoren te worden bewaard. Indien in de onafhankelijke beoordeling wordt vastgesteld dat de aanpak en implementatie van het beheer van informatiebeveiliging van de organisatie ontoereikend zijn of niet in overeenstemming zijn met de koers voor informatiebeveiliging die is vastgelegd in het beleidsdocument over informatiebeveiliging, behoort de directie corrigerende maatregelen te nemen. Overige informatie Voor het regelmatig beoordelen van de beveiligingsmaatregelen is het in Bijlage C van de toelichting op de norm opgenomen schema Basis Beveiligings Niveau (BBN) nuttig om als leidraad te hanteren. Het is tevens mogelijk om externe beveiligings adviseur in te schakelen om delen van het beleid te beoordelen.


© Copyright SCGM

Pagina 31 van 31

IEC 27002: 2005 Grafimedia Implementatie van Informatietechnologie, Beveiligingstechnieken en de Code voor Informatiebeveiliging

Recommend Documents