Voorbeeld Rapportage Diepgaande Risicoanalyse
Datum: Versie:
Voorbeeld Rapportage diepgaande Risicoanalyse
Inhoudsopgave 1 Samenvatting
4
1.1 Achtergrond
4
1.2 Doelstelling
4
1.3 Doelgroep
4
1.4 Werkwijze
4
1.5 Resultaten baselinetoets
4
1.6 Resultaten kwetsbaarheidsanalyse
5
1.7 Aanbevelingen
6
1.8 Leeswijzer
6
2 Baselinetoets
7
2.1 Aanpak
7
2.2 Werkwijze
7
2.3 Bronnen
8
2.4 Resultaten baselinetoets
8
2.4.1 Belang van de processen
8
2.4.2 Belang van het informatiesysteem
8
2.4.3 Betrouwbaarheidseisen
9
2.5 Conclusies baselinetoets
10
3 Diepgaande risicoanalyse
12
3.1 Aanpak
12
3.2 Werkwijze
12
3.3 Bronnen
13
3.4 Resultaten kwetsbaarheidsanalyse
13
3.4.1 Analyseren informatiesysteem
13
3.4.2 Analyse bedreigingen
14
3.4.3 Keuze maatregelen
14
3.5 Conclusies diepgaande risicoanalyse
16
4 Bijlage A: Opbouw informatiesysteem – MAPGOOD 18 5 Bijlage B: resultaten analyse bedreigingen
20
6 Bijlage C: Overzicht maatregelendoelstellingen
29
7 Bijlage E: Detaillering maatregeldoelstellingen
33
Pagina 2 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
Documenthistorie
Versie
Datum
Aanpassing
Door
Pagina 3 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
1 Samenvatting 1.1 Achtergrond Van het informatiesysteem is de classificatie informatiebeveiliging conform de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) beschrijving, de baselinetoets en de diepgaande risicoanalyse uitgevoerd. Deze rapportage beschrijft de resultaten van de diepgaande risicoanalyse van .
1.2 Doelstelling Breng de belangrijkste risico’s ten aanzien van de betrouwbare werking (met betrekking tot informatiebeveiliging) van het informatiesysteem in kaart en bepaal welke maatregelen genomen moeten worden om deze risico’s te ondervangen.
1.3 Doelgroep Deze rapportage is bestemd voor de eigenaar van het informatiesysteem en voor de eigenaren van de lijnprocessen zoals die in 2.3 benoemd zijn met hun proceseigenaar.
1.4 Werkwijze In de risicoanalyse worden 2 delen onderscheiden, te weten: • Deel 1, de baselinetoets. Hierin wordt bepaald in welke mate het proces afhankelijk is van het informatiesysteem , daarnaast wordt hier bepaald of de BIG voldoende maatregelen biedt of niet. • Deel 2, de diepgaande risicoanalyse. Hierin wordt bepaald welke maatregelen (op het niveau van doelstelling) nodig zijn om de vereiste betrouwbaarheid van het informatiesysteem te realiseren. De uitwerking is op basis van een Quickscan methodiek uitgevoerd. Er is bij de behandeling van de vragen gewerkt met een timebox.
1.5 Resultaten baselinetoets De belangrijkste bevindingen van de baselinetoets zijn: • De processen en zijn in hoge mate afhankelijk van de beschikbaarheid van gegevens uit het informatiesysteem . De eis aan de beschikbaarheid is in de afgelopen jaren toegenomen omdat in het bijzonder het structureel in de publieke belangstelling staat. Het tijdig kunnen beschikken over juiste informatie is essentieel bij het vermijden van reputatie, imago of zelfs politieke schade. Uitval gedurende openingstijden is daarom nauwelijks aanvaardbaar; • De integriteit van de gegevens die via beschikbaar worden gesteld is zwaarwegend voor de processen en . Binnen de processen en wordt ‘blind gevaren’ op de inhoudelijke gegevens in . Dit blind varen betekent niet dat men extreem afhankelijk is van de correctheid van gegevens en werking van . • Het informatiesysteem bevat in beperkte mate vertrouwelijke informatie. Voor de gegevens afkomstig van het <EXTERNE PARTIJ>, bepaalde financiële gegevens en het geldt de classificatie ‘afgeschermd’.
Pagina 4 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse •
Uit een privacy onderzoek door een externe partij is naar voren gekomen dat in/met persoonsgegevens worden verwerkt waarvan een melding moet worden gedaan.
Zie hoofdstuk 2 voor een volledig overzicht van de resultaten van de baselinetoets.
1.6 Resultaten kwetsbaarheidsanalyse De belangrijkste bevindingen van de diepgaande risicoanalyse zijn: • De drie belangrijkste gevolgen van niet of niet correct functioneren van hebben betrekking op: 1. Tijdverlies, extra werk: waarbij de aard van het werk in processen zoals en het ondoenlijk maakt om snel extra capaciteit in te zetten. 2. Juridische gevolgen: wanneer contracten worden gebaseerd op onjuiste gegevens. Bij kunnen bijvoorbeeld schadeclaims ontstaan wanneer een foutieve wordt gehanteerd. 3. Imagoverlies, reputatieschade en eventuele politieke gevolgen: omdat vooral en in de publieke belangstelling staan. • De drie belangrijkste bedreigingen voor het niet of niet correct functioneren van zijn: 1. Onopzettelijk foutief handelen door functioneel beheer en X-medewerkers. 2. Onvoldoende beveiliging van gegevens op specifieke plekken: PC van X, thuiswerkplek et cetera. 3. Diensten worden niet correct geleverd, bijvoorbeeld door onvoldoende duidelijke afspraken, slecht opgeleid personeel, onvoldoende capaciteit, personeel dat aan de veiligheidseisen voldoet, geen functiescheiding, te hoge autorisaties. • De drie belangrijkste maatregelen (op het niveau van een doelstelling) die (in aanvulling op de baseline) aanwezig moeten zijn voor het betrouwbaar functioneren van zijn: 1. Zorg ervoor dat de medewerkers van functioneel beheer en de Xmedewerkers optimaal worden ondersteund in hun werk en daarmee deze werkzaamheden betrouwbaar kunnen uitvoeren. Dit betreft onder meer voldoende beschikbaarheid en training, adequaat beheer van de programmatuur (scripts) en documentatie evenals duidelijke afspraken voor ontwikkeling, gebruik, testen et cetera. 2. Zorg ervoor dat alleen geautoriseerde personen toegang hebben tot de gegevens in en in het bijzonder tot de vertrouwelijke gegevens. Dit betreft zowel de beveiliging van de speciale werkplekken, de juiste beveiliging bij thuiswerken als de juiste inrichting en het gebruik van de middelen voor toegangsbeveiliging voor gebruikers en beheerders (OS, DB, programmatuur). 3. Zorg voor goede afspraken met leveranciers die aansluiten op de eisen vanuit . Dit betreft onder meer afspraken over eisen die aan medewerkers worden gesteld met betrekking tot de omgang met gegevens, eisen aan de beveiliging van fysieke opslag en transport van gegevens, rapportage over de wijze waarop wordt omgegaan met het beheer van , de (remote) toegang tot , de omgang met productiegegevens et cetera. Zorg daarnaast voor controle van de diensten die door leveranciers worden geleverd om de aanwezigheid en juiste werking van beveiligingsmaatregelen garanderen. Zie hoofdstuk 3 voor een volledig overzicht van de resultaten van de diepgaande risicoanalyse.
Pagina 5 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
1.7 Aanbevelingen Op basis van de risicoanalyse worden de hierna beschreven vervolgstappen geadviseerd. Het is de verantwoordelijkheid van de proceseigenaren in samenwerking met de systeemeigenaar van om (in overleg met de beveiligingscoördinator van ) zorg te dragen voor de juiste afhandeling van deze aanbevelingen. Beveiligingsconcept De beveiliging van is bij de realisatie opgebouwd op basis van heldere eisen en conform een uitgedacht beveiligingsconcept. Inmiddels zijn nieuwe inzichten gekomen en veranderingen in de infrastructuur aangebracht die van invloed zijn op de totale beveiliging van beveiliging van . Dit betreft onder meer: • Het is vastgesteld dat in persoonsgegevens worden verwerkt welke een dusdanig vertrouwensniveau hebben, dat melding van de verwerking moet worden gemaakt; • De eisen aan de beschikbaarheid van zijn toegenomen, onder meer omdat het ondersteunende proces structureel in de publieke belangstelling staat; Resultaat hiervan is dat het onduidelijk is hoe de huidige inrichting zich verhoudt tot het originele beveiligingsconcept en of de beveiliging daarmee voldoende is gewaarborgd. Geadviseerd wordt om de beveiliging van op architectuur niveau nader te onderzoeken. Vervolgstappen op de analyse 1. Detaillering maatregelen Detailleer de, in deze rapportage beschreven, maatregeldoelstellingen (zie bijlage D) naar concrete maatregelen, zodanig dat invulling wordt gegeven aan de boogde doelstellingen. Hiervoor is de systeemeigenaar verantwoordelijk en kan de informatiebeveiligingscoördinator ondersteuning leveren. Maak gebruik van de voorbeeldmaatregelen die zijn benoemd. 2. Invoering van maatregelen Overleg per detailmaatregel met de informatiebeveiligingscoördinator van A over de implementatiewijze. Bepaalde maatregelen zijn specifiek voor terwijl anderen organisatiebreed zullen moeten worden opgepakt. Beschrijf per detailmaatregel wat de invulling en vindplaats ervan is, aan de hand waarvan de invoering (bestaan en werking) kan worden vastgesteld. 3. Borging maatregelen Zorg voor een proces waarmee de borging van de maatregelen wordt gegarandeerd. In dit proces moet periodiek op de aanwezigheid (het ‘bestaan’) en de juiste werking (de ‘werking’) van de maatregelen worden getoetst alsmede worden ingespeeld in veranderingen in de (technische) omgeving en/of het gebruik van .
1.8 Leeswijzer In hoofdstuk 2 zijn de opzet en de resultaten van de baselinetoets beschreven. Dit betreft onder meer de karakteristieken van het proces en het informatiesysteem evenals de eisen die de processen stellen aan de betrouwbaarheid van het informatiesysteem . In hoofdstuk 3 zijn de opzet en de resultaten van de diepgaande risicoanalyse beschreven. Dit betreft onder meer de gevolgen van het niet functioneren van , de belangrijkste dreigingen die hier aanleiding voor kunnen zijn en tenslotte welke maatregelen (op het niveau van doelstelling) genomen kunnen worden om deze te mitigeren. De bijlagen A t/m E bevatten de detailresultaten.
Pagina 6 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
2 Baselinetoets Dit hoofdstuk beschrijft de opzet, aanpak en resultaten van de afhankelijkheidsanalyse.
2.1 Aanpak Voor het bepalen van de eisen vanuit de processen die een relatie hebben met het informatiesysteem is een baselinetoets uitgevoerd. Op basis van inzicht in deze processen en het informatiesysteem is bepaald welke eisen worden gesteld aan het informatiesysteem. Omdat de analyse meerdere processen omvat zijn de meest zwaarwegende afhankelijkheden en de meest zwaarwegende betrouwbaarheidseisen bepalend voor de verdere analyse. De baselinetoets bestaat uit de volgende stappen: Analyse processen In kaart brengen van de eisen die vanuit de omgeving (afnemers, leveranciers, wet- en regelgeving) worden gesteld aan de processen. De meest zwaarwegende afhankelijkheden bepalen de focus van het vervolgonderzoek. De processen waaraan de belangrijkste eisen worden gesteld zijn bepalend voor de betrouwbaarheidseisen die aan worden gesteld. Bepalen betrouwbaarheidseisen Formuleren van de eisen die vanuit het de betrokken processen worden gesteld aan het informatiesysteem . De meest zwaarwegende betrouwbaarheidseisen bepalen de diepgang van de kwetsbaarheidsanalyse. Met andere woorden, de ‘hoogste’ eis bepaalt hoe er naar de kwetsbaarheden van zal worden gekeken.
2.2 Werkwijze Onderstaande figuur beschrijft de stappen van de baselinetoets.
Pagina 7 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
(BIV-P staat voor: Beschikbaarheid, Integriteit, Vertrouwelijkheid en Privacy-eisen, zie de baselinetoets)
2.3 Bronnen De processen die een relatie hebben met zijn: •
- PROCESEIGENAAR
•
- PROCESEIGENAAR
Met de eigenaren van de processen heeft een interview plaatsgevonden op
Zie vetgedrukte namen hierboven
•
, coördinator informatiebeveiliging & privacy
•
, analist informatiebeveiliging
•
, analist informatiebeveiliging
De volgende documenten zijn als uitgangspunt voor de analyses gebruikt: •
•
2.4 Resultaten baselinetoets 2.4.1 Belang van de processen De onderstaande tabel benoemt de processen die gebruik maken van . Per proces is aangegeven welk belang dit heeft voor de . Proces
Classificatie
Onderbouwing
Kritisch Strategisch
XXX
(1 op schaal van 5)
Kritisch Strategisch
YYY
(1 op schaal van 5)
De verschillende betrokken processen gebruiken over het algemeen specifieke systemen voor de ondersteuning van het eigen proces.
2.4.2 Belang van het informatiesysteem De onderstaande tabel geeft aan welk belang heeft voor de werking van de in de linkerkolom benoemde processen. Belang van voor…
Classificatie
Onderbouwing
Pagina 8 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
PROCES1
Vitaal
XXX
PROCES2
Vitaal
YYY
is een ‘leverancier’ van gegevens voor een aantal bedrijfsprocessen van . Het onderstaande schema geeft een overzicht van de relaties tussen de relevante processen, systemen en . <SCHEMA> De informatiesystemen dragen indirect/direct bij aan de gemeentetaak
2.4.3 Betrouwbaarheidseisen De onderstaande tabel bevat de eisen die vanuit de processen worden gesteld aan de betrouwbaarheid van . Deze eisen zijn gebaseerd op de eisen die per proces worden gesteld aan de verschillende gegevensgroepen die binnen bestaan. Per proces zijn deze eisen vertaald naar een totaal per betrouwbaarheidsaspect (beschikbaarheid, integriteit en vertrouwelijkheid). In de tabel zijn daarvan steeds de hoogste waarde en het gemiddelde (tussen haakjes) weergegeven. Nr.
Eis aan vanuit…
Beschikbaarh eid
Integriteit
Vertrouwelijkh eid
1.
PROCES1
<waarde uit baselinetoets>
<waarde uit baselinetoet s>
<waarde uit baselinetoets>
2.
PROCES2
<waarde uit baselinetoets>
<waarde uit baselinetoet s>
<waarde uit baselinetoets>
Op basis van de bovenstaande tabel wordt geconcludeerd dat vooral aan de beschikbaarheid en integriteit van hoge eisen worden gesteld (X op schaal van 4) en dat vertrouwelijkheid minder belangrijk is (Y op schaal van 4). De onderstaande tabel beschrijft de samenvatting van de eisen die de processen stellen aan het informatiesysteem .
Pagina 9 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
Parameter/ Classificatie
Onderbouwing
Beschikbaarheid
XXX
Belangrijk (wezenlijk; <X> op een schaal van 4) Continuïteit
YYY
Veel schade na <X> dagen niet beschikbaar voor wat betreft bedrijfsvoering Veel schade na <X> dag in het geval van transport van belangrijke stukken Integriteit
ZZZ
Belangrijk (Detecteerbaar; <X> op een schaal van 4) Vertrouwelijkheid
XXX
Wenselijk (afgeschermd; <X> op een schaal van 4) Privacy
YYY
Meldingplichtig
<er zijn XX vragen op een drie gescoord bij de privacyvragen, er is een PIA nodig.
2.5 Conclusies baselinetoets De belangrijkste bevindingen van de baselinetoets zijn: • De processen en zijn in hoge mate afhankelijk van de beschikbaarheid van gegevens uit het informatiesysteem . De eis aan de beschikbaarheid is in de afgelopen jaren toegenomen omdat in het bijzonder het structureel in de publieke belangstelling staat. Het tijdig kunnen beschikken over juiste informatie is essentieel bij het vermijden van reputatie, of imago of zelfs politieke schade. Uitval gedurende openingstijden is daarom nauwelijks aanvaardbaar; Voor de gegevensverzameling van is zelf niet de enige en definitieve bron. De beschikbaarheid van deze gegevens is belangrijk in de zin van ‘hoe minder achterloopt op basisregistraties, hoe beter het is’, de gegevens moeten zo actueel als mogelijk zijn. • De integriteit van de gegevens die via beschikbaar worden gesteld is zwaarwegend voor de processen en . Binnen de processen wordt ‘blind gevaren’ op de inhoudelijke
Pagina 10 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
•
•
gegevens in . Dit blind varen betekent niet dat men extreem afhankelijk is van de correctheid van gegevens en werking van . Het informatiesysteem bevat in beperkte mate vertrouwelijke informatie. Voor de gegevens afkomstig van , bepaalde financiële gegevens en het geldt de classificatie ‘afgeschermd’. Openbaarmaking hiervan kan de privacy van burgers aantasten. Dit geldt voor de wanneer deze in bulk worden behandeld, de financiële gegevens aangaande de XXX die door middel van een batch uit XXX worden opgehaald. Voor het geldt dat deze gegevens conform de leveringscontracten niet mogen worden doorgeleverd c.q. gepubliceerd. Uit een privacyonderzoek door een externe partij op datum <XX> is naar voren gekomen dat in/met persoonsgegevens worden verwerkt waarvan een melding moet worden gedaan aan het College bescherming persoonsgegevens (CBP) of de functionaris gegevensbescherming binnen de gemeente.
Pagina 11 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
3 Diepgaande risicoanalyse In de baselinetoets is vastgesteld dat een aantal processen die door worden ‘gevoed’ van strategisch tot kritisch strategisch belang zijn voor de organisatie, en dat de beschikbaarheid en integriteit van van groot belang zijn (classificatie belangrijk) voor deze processen. Dit is (conform de aanpak voor de baselinetoets informatiebeveiliging) aanleiding om de diepgaande risicoanalyse uit te voeren. Dit hoofdstuk beschrijft de opzet, de aanpak en de resultaten van de diepgaande risicoanalyse.
3.1 Aanpak Voor het bepalen van de beveiligingsmaatregelen wordt een diepgaande risicoanalyse uitgevoerd. Hierin wordt op basis van de risico’s bepaald welke maatregelen genomen moeten worden voor de realisatie van een adequate beveiliging van het informatiesysteem. Deze diepgaande risicoanalyse bestaat uit de volgende stappen:
Analyse Informatiesysteem In kaart brengen van het informatiesysteem. Hierbij worden de componenten van het informatiesysteem: Mens, Apparatuur, Programmatuur, Gegevens, Organisatie, Omgeving en Diensten in kaart gebracht. Bedreigingenanalyse Bepalen van de relevante bedreigingen waardoor verlies aan beschikbaarheid, integriteit of vertrouwelijkheid kan ontstaan. De basis voor deze analyse is een bespreking met de systeemeigenaar. Bepalen maatregelen Formuleren maatregelen op het niveau van doelstellingen, op basis van de eisen en relevante bedreigingen.
3.2 Werkwijze De onderstaande figuur beschrijft de stappen van de diepgaande risicoanalyse. De laatste stap (7. Opstellen plan) behoort niet tot het bereik van de diepgaande risicoanalyse.
Pagina 12 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
3.3 Bronnen Met de eigenaren van de relevante processen, en met de systeemeigenaar van heeft een interview plaatsgevonden op om de gevolgen van het niet of niet goed werken van nader te bepalen. Aanwezigen: •
, ICT-projectmanager & GGG-adviseur en grondlegger van de applicatie, namens de systeemeigenaar
•
, coördinator informatiebeveiliging & privacy
•
, analist informatiebeveiliging
•
. analist informatiebeveiliging
Afgesproken is dat de resultaten van de gesprekken aangaande deze processen representatief zijn voor en de gevolgen derhalve niet met de andere proceseigenaren zullen worden besproken. In gesprekken met de systeemeigenaar zijn de bedreigingen voor het functioneren van in kaart gebracht en de benodigde maatregelen besproken. •
3.4 Resultaten kwetsbaarheidsanalyse 3.4.1 Analyseren informatiesysteem De onderdelen van zijn beschreven in Bijlage A: Opbouw informatiesysteem – MAPGOOD.
Pagina 13 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
3.4.2 Analyse bedreigingen Op basis van afstemming met de systeemeigenaar zijn de bedreigingen geanalyseerd. De resultaten hiervan zijn beschreven in Bijlage B: resultaten analyse bedreigingen. De meest prominente bedreigingen die hierbij zijn vastgesteld betreffen: Meest prominente bedreigingen met betrekking tot Onopzettelijk foutief handelen door functioneel beheer en X-medewerkers Geen goede afspraken met leverancier op het gebied van levering/betrouwbaarheid programmatuur Verlies van gegevens die geleverd/ontvangen worden door gebruik mobiele gegevensdragers Vertrouwelijke gegevens op verkeerde plek wegens onjuiste werking scripts Fouten in basisgegevens wegens onjuist werken inleesscripts Onvoldoende controle op vernietiging van gegevens Onvoldoende beveiliging van PC waarop veel gegevens van staan (XXX) Onvoldoende beveiliging bij gebruik van op thuiswerkplek (tevens XXX) Diensten worden niet conform afspraak geleverd door slecht opgeleid personeel Diensten worden niet conform afspraak geleverd door personeelsverloop Diensten worden niet conform afspraak geleverd door onvoldoende capaciteit voor beheer c.q. oplossen van bugs Diensten worden niet conform afspraak geleverd omdat personeel niet aan de veiligheidseisen voldoet Diensten worden niet conform afspraak geleverd wegens slordigheden in de uitvoering van het beheer Diensten worden niet conform afspraak geleverd wegens onjuiste inrichting veiligheid: geen functiescheiding, te hoge autorisaties et cetera.
3.4.3 Keuze maatregelen Als laatste stap is vastgesteld welke maatregeldoelstellingen van toepassing zijn. In bijlage C: ‘overzicht maatregeldoelstellingen’ en bijlage E: ‘maatregeldoelstellingen’ zijn de meest relevante maatregeldoelstellingen opgenomen die van toepassing zijn op het informatiesysteem . Bijlage C geeft de samenhang weer tussen bedreigingen, opbouw van het informatiesysteem en het raamwerk voor informatiebeveiliging (BIG en/of ISO 27002). heeft de BIG geïmplementeerd. De tabel met maatregeldoelstellingen in de bijlage richt zich daarom op de dominante en aanvullende (ten opzichte van de BIG) maatregeldoelstellingen die voortkomen uit deze diepgaande risicoanalyse. De benoemde voorbeeldmaatregelen zijn mogelijke oplossingen. Het is aan om een passende set van maatregelen per maatregeldoelstelling te selecteren. De meest belangrijke maatregeldoelstellingen, waar expliciete aandacht aan moet worden besteed, zijn opgenomen in de onderstaande tabel.
Meest prominente maatregeldoelstellingen voor IB-beleid en -plan
•
Zorg ervoor dat goede afspraken met leveranciers worden gemaakt die aansluiten op de eisen vanuit .
Pagina 14 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
Organisatie van IB
•
Classificatie en beheer van informatie en bedrijfsmiddelen
•
Personele beveiligingseisen/bewustwording
•
•
•
Fysieke beveiliging
•
•
Beheer van communicatie- en bedieningsprocessen
•
•
Logische toegangsbeveiliging
•
•
Zorg voor een proces van continue aandacht voor informatiebeveiliging ten aanzien van . Verantwoordelijkheid ligt bij de systeemeigenaar omdat het een basisregistratie is. Zorg ervoor dat bij de leveranciers duidelijk is wat de classificatie is van de (gevoelige) gegevens is waarmee wordt gewerkt en de eisen die aan de beschikbaarheid en integriteit worden gesteld. Denk aan vastlegging in SLA's. Zorg ervoor dat de XXX medewerkers en functioneel beheerders voldoende beschikbaar en getraind zijn om de werkzaamheden betrouwbaar uit te voeren. Zorg ervoor dat voor alle gebruikers duidelijk is hoe met de gegevens moet worden omgegaan (awareness), zeker wanneer gebruik wordt gemaakt van thuisapparatuur. Maak afspraken met de leveranciers over eisen die aan medewerkers worden gesteld met betrekking tot de omgang met gegevens in . Denk aan awareness en waar nodig/mogelijk geheimhoudingsverklaring. Maak goede afspraken over de fysieke beveiliging van werkplekken binnen waar bulk gegevens vanuit zijn opgeslagen. Denk aan XXX. Stel eisen aan leveranciers over het niveau waarop fysieke opslag en transport van gegevens zijn beveiligd. -medewerkers kunnen ook vanuit thuis gebruik maken van . Neem maatregelen om te voorkomen dat gebruikers vanuit de thuissituatie vertrouwelijke gegevens kunnen lekken. Maak afspraken over het gewenste inzicht (rapportage/logging) in de wijze waarop door de leveranciers wordt omgegaan met het beheer van en in het bijzonder de omgang met gegevens. Zorg ervoor dat alleen geautoriseerde personen toegang hebben tot de gegevens in en in het bijzonder tot de vertrouwelijke gegevens. Maak afspraken over de (remote) toegang tot door beheerders, ontwikkelaars et cetera.
Pagina 15 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
Ontwikkeling en onderhoud van systemen
•
•
Continuïteit
• •
Naleving
•
• •
Zorg voor adequaat beheer van de programmatuur (scripts) die bij zelf in beheer zijn. Denk aan documentatie, afspraken voor ontwikkeling en gebruik, testen et cetera. Zorg ervoor dat de invulling en instandhouding van beveiligingsmaatregelen onderdeel zijn van de afspraken met betrekking tot ontwikkeling en onderhoud. Denk aan de omgang van productiegegevens door XXX en het beheer van XXX door XXX. Zorg voor een visie/aanpak hoe om te gaan met de eis die wordt gesteld aan de continuïteit van . Vertaal de visie/aanpak voor continuïteit van naar eisen die aan de leveranciers worden gesteld. Zorg voor een proces dat controleert op de juiste werking van de mens (vooral XXX) met betrekking tot de maatregelen voor informatiebeveiliging. Zorg ervoor dat de controle van extern betrokken diensten onderdeel is van het reguliere demand proces. Zorg voor controle van de diensten die door leveranciers worden geleverd om de aanwezigheid en juiste werking van beveiligingsmaatregelen te garanderen. Bijvoorbeeld de omgang met productiegegevens bij XXX.
3.5 Conclusies diepgaande risicoanalyse De belangrijkste bevindingen van de diepgaande risicoanalyse zijn: • De drie belangrijkste gevolgen van niet of niet correct functioneren van hebben betrekking op: 1. Tijdverlies, extra werk: waarbij de aard van het werk in processen zoals het ondoenlijk maakt om snel extra capaciteit in te zetten. 2. Juridische gevolgen: wanneer contracten worden gebaseerd op onjuiste gegevens. Bij kunnen bijvoorbeeld schadeclaims ontstaan wanneer een foutieve wordt gehanteerd. 3. Imagoverlies, reputatieschade en eventuele politieke gevolgen: omdat vooral in de publieke belangstelling staan. • De drie belangrijkste bedreigingen voor het niet of niet correct functioneren van zijn: 1. Onopzettelijk foutief handelen door functioneel beheer en XXX-medewerkers. 2. Onvoldoende beveiliging van gegevens op specifieke plekken: PC van XXXbeheer, thuiswerkplek et cetera. 3. Diensten worden niet correct geleverd, bijvoorbeeld door onvoldoende duidelijke afspraken, slecht opgeleid personeel, onvoldoende capaciteit, personeel dat aan de veiligheidseisen voldoet, geen functiescheiding, te hoge autorisaties. • De drie belangrijkste maatregelen (op het niveau van doelstelling) die (in aanvulling op de baseline) aanwezig moeten zijn voor het betrouwbaar functioneren van zijn: 1. Zorg ervoor dat de medewerkers van functioneel beheer en de XXXmedewerkers optimaal worden ondersteund in hun werk en daarmee deze werkzaamheden betrouwbaar kunnen uitvoeren. Dit betreft onder meer
Pagina 16 van 37
Voorbeeld Rapportage diepgaande Risicoanalyse
2.
3.
voldoende beschikbaarheid en training alsmede adequaat beheer van de programmatuur (scripts) en documentatie evenals duidelijke afspraken voor ontwikkeling, gebruik, testen et cetera. Zorg ervoor dat alleen geautoriseerde personen toegang hebben tot de gegevens in en in het bijzonder tot de vertrouwelijke gegevens. Dit betreft zowel de beveiliging van de speciale werkplekken, de juiste beveiliging bij thuiswerken als de juiste inrichting en het gebruik van de middelen voor toegangsbeveiliging voor gebruikers en beheerders (OS, DB, programmatuur). Zorg voor goede afspraken met leveranciers die aansluiten op de eisen vanuit . Dit betreft onder meer afspraken over eisen die aan medewerkers worden gesteld met bterekking tot de omgang met gegevens, eisen aan de beveiliging van fysieke opslag en transport van gegevens, rapportage over de wijze waarop wordt omgegaan met het beheer van , de (remote) toegang tot , de omgang met productiegegevens et cetera. Zorg daarnaast voor controle van de diensten die door leveranciers worden geleverd om de aanwezigheid en juiste werking van beveiligingsmaatregelen te garanderen.
Pagina 17 van 37
Rapportage Diepgaande Risicoanalyse
4 Bijlage A: Opbouw informatiesysteem – MAPGOOD Onderstaande tabel beschrijft de componenten van het informatiesysteem. Deze informatie is overgenomen uit de eerdere analyse en gevalideerd door (projectleider , systeemeigenaar).
Component
Onderdeel
Invulling
Mens
Gebruikersorganisatie
Apparatuur
Zie onder 'Diensten'
De volgende gebruikers / groepen zijn in de analyse meegenomen: Algemene gebruikers: o XXX Bijzondere gebruikers: o YYY heeft geen eigen apparatuur in gebruik in relatie tot
Programmatuur
Zie onder 'Diensten'
XXX is functioneel eigenaar van programmatuur, beheer en budget ligt bij XXX
Componenten van XXX Maatwerk Applicatie xxx Gegevens
Autorisatiegegevens
BAG gegevens Bron / basisregistratie gegevens Log gegevens Kopie gegevens Organisatie Omgeving
Gebruikersorganisatie Beheerorganisatie Werkplekken
Op rollen gebaseerde gegevens betreffende de autorisatie die medewerkers hebben om bepaalde functies in uit te voeren, inclusief functioneel beheerders (technisch beheerders hebben feitelijk geen autorisaties, wel op OS, database et cetera.) Wordt door XXX geleverd gegevens geleverd door Gegevens die het informatiesysteem opslaat met betrekking tot de transacties die worden uitgevoerd. Geverifieerd moet worden of deze nog daadwerkelijk vastgelegd worden. Voor ontwikkeling door XXX in de ontwikkelomgeving die XXX heeft staan. De organisatiedelen waarin de gebruikers in zijn ondergebracht (zie component Mens) XXX
Overige werkplekken
Pagina 18 van 37
Rapportage Diepgaande Risicoanalyse
Component
Onderdeel
Invulling
Diensten
Technisch applicatiebeheer Technisch systeembeheer (besturingssystemen, databases et cetera.) Netwerkinfrastructuur, netwerkdiensten (Inloggen, werkplekken, printers et cetera. Operating System laag Maatwerk beveiligingscomponenten
Door XXX (onderhoud software en doorvoeren changes) door XXX
door XXX
Door XXX Software op voornoemde servers, beheer door XXX
Pagina 19 van 37
Rapportage Diepgaande Risicoanalyse
5 Bijlage B: resultaten analyse bedreigingen Onderstaande tabel geeft de relatie aan tussen de onderdelen van het informatiesysteem (conform de MAPGOOD-componenten) die zijn geanalyseerd en de effecten die dreigingen kunnen hebben. De dreigingen zijn de in de vorm van incidenten verwoord en per incident is op een 3-puntenschaal (L, M, H) aangegeven hoe groot de invloed ervan is op werking van . Bij deze werking wordt onderscheid gemaakt tussen de eisen die op het gebied van beschikbaarheid, integriteit en vertrouwelijkheid aan worden gesteld vanuit de ondersteunde processen. De bedreigingenanalyse heeft op plaatsgevonden met XXX (gedelegeerd systeemeigenaar ) en XX (analist informatiebeveiliging). Per MAPGOOD-element (bijvoorbeeld Mens) is besproken wat het effect is van het ‘onjuist werken’ (werkt onjuist), ‘(tijdelijk) niet werken’ (werkt –tijdelijk- niet) of ‘niet aanwezig zijn’ (is er niet). Hierbij is per component steeds onderscheid gemaakt tussen relevante onderdelen.
Component
Incident
Mens
Wegvallen: • Voorzienbaar (ontslag, vakantie) • Onvoorzienbaar (ziekten, overlijden, ongeval, staking) Onopzettelijk foutief handelen: • Onkunde, slordigheid • Foutieve procedures • Complexe foutgevoelige bediening • Onzorgvuldige omgang met wachtwoorden • Onvoldoende kennis/training Opzettelijk foutief handelen: • Niet werken volgens voorschriften/procedures • Fraude/diefstal/lekken van informatie • Ongeautoriseerde toegang met account van medewerker met hogere
• • •
Functioneert onjuist Niet aanwezig Niet in dienst
Scha de (L,M, H)
Kans (L,M, H)
Totaa l (L,M, H)
Toelichting (gevolgen et cetera.)
M
L
L
XXX
H
L
M
n.v.t.
n.v.t.
De integriteit van de gegevens die via beschikbaar worden gesteld is zwaarwegend voor de processen en . Binnen de processen wordt ‘blind gevaren’ op de inhoudelijke gegevens in . Dit blind varen betekent niet dat men extreem afhankelijk is van de correctheid van gegevens en werking van . Onopzettelijk foutief handelen door functioneel beheer en XXXmedewerkers kan een hoge schade opleveren, de kans wordt laag ingeschat. Er wordt geen rekening gehouden met het opzettelijk foutief handelen van ‘de mens’.
Pagina 20 van 37
Rapportage Diepgaande Risicoanalyse Component
Apparatuur • • •
Functioneert onjuist Stoort Gaat verloren of raakt ernstig beschadigd
Programmatuur • • •
Functioneert onjuist Loopt vast of vertraagde uitvoering Gaat verloren of raakt ernstig
Incident
autorisaties Spontaan technisch falen: • Veroudering/slijtage • Storing • Ontwerp/fabricage/install atie-onderhouds fouten Technisch falen door externe invloeden: • Stroomuitval • Slechte klimaatbeheersing • Nalatig onderhoud door schoonmaak • Natuurgeweld • Diefstal/schade Menselijk handelen/falen: • Installatiefout • Vverkeerde instellingen • Bedieningsfouten • Opzettelijke aanpassingen/sabotage • Beschadiging/vernieling • Verlies/diefstal (onder andere verlies USB-sticks) • Verwijdering van onderdelen waardoor storingen ontstaan Nalatig menselijk handelen: • Ontwerp-, programmeer-, invoeringbeheer/onderhoudsfouten • Introductie van virus en dergelijke, door gebruik van niet gescreende programma's • Gebruik van de verkeerde
Scha de (L,M, H)
Kans (L,M, H)
Totaa l (L,M, H)
Toelichting (gevolgen et cetera.)
ZIE VOOR APPARATUUR DE COMPONENT DIENSTEN, WANT ALLE APPARATUUR WORDT AFGENOMEN VAN XXX
IDEM
IDEM
M
L
L
Dit wordt tegengegaan door zaken zoveel mogelijk te standaardiseren. Standaard vragen vanuit de gebruikers (vaak rapportages) worden bijvoorbeeld afgehandeld met scripts, die door FB zijn gedocumenteerd.
Pagina 21 van 37
Rapportage Diepgaande Risicoanalyse Component
beschadigd
Incident
versie van programmatuur • Slechte documentatie Onopzettelijk menselijk handelen: • Fouten door niet juist volgen van procedures • Installatie van malware en virussen door gebruik van onjuiste autorisaties Opzettelijk menselijk handelen • Manipulatie voor of na ingebruikname • (ongeautoriseerde) functieverandering en/of toevoeging • Installatie van virussen, Trojaanse paarden en dergelijke. • Kapen van autorisaties van collega's • Illegaal kopiëren van programmatuur • Oneigenlijk gebruik of privégebruik van bedrijfs programmatuur Technische fouten/mankementen: • Fouten in code programmatuur die de werking verstoren • Achterdeuren in programmatuur voor (onbevoegde) toegang
Scha de (L,M, H)
Kans (L,M, H)
Totaa l (L,M, H)
M
M
M
n.v.t.
n.v.t.
H
L
Toelichting (gevolgen et cetera.)
Onopzettelijk foutief handelen zou kunnen voortkomen uit XXX. Gevolg hiervan zou zijn dat niet meer juist functioneert.
Er wordt geen rekening gehouden met het opzettelijk foutief handelen van ‘de mens’.
M
Er wordt gebruik gemaakt van standaard componenten van XXX met aanvullend maatwerk specifiek voor . Bij XXX staat een ontwikkelomgeving. Alle aanpassingen worden via een XXX straat welke staat bij XXX) geïmplementeerd, waarmee de kans op fouten wordt geminimaliseerd. Er wordt uitgegaan dat XXX geen opzettelijke fouten/achterdeuren inbouwt.
Pagina 22 van 37
Rapportage Diepgaande Risicoanalyse Component
Incident
Scha de (L,M, H)
Kans (L,M, H)
Totaa l (L,M, H)
Toelichting (gevolgen et cetera.)
M
L
M
Bij XXX staat een kopie van de applicatie. Daarnaast zijn afspraken over Escrow gemaakt en vastgelegd. heeft zelf het contract met XXX
H
M
H
Naar XXX gaat 2x per jaar een kopie van de productiegegevens. Met XXX zijn afspraken gemaakt over geheimhouding van deze gegevens.
•
Gegevens • • •
Worden onterecht ontsloten Zijn tijdelijk ontoegankelijk Gaan verloren
Bugs/fouten in code die tot exploits kunnen leiden Organisatorische fouten: • Leverancier gaat failliet • Geen goede afspraken met leverancier Via gegevensdragers (CD/DVD/ USB-sticks/ Harddisk/ Back-ups: • Diefstal/zoekraken/lekken • Beschadiging door verkeerde behandeling • Niet overeenkomende bestandformaten • Foutieve of geen versleuteling • Foutieve of vervalste identificatie van ontvangers om aan gegevens te komen Via Cloud voorzieningen: • Ongeautoriseerde toegang door onbevoegden (hackers/hosters) • Ongeautoriseerde wijziging of verwijdering van gegevens (hacking) Via apparatuur: • Fysieke schrijf- of leesfouten • Onvoldoende toegangsbeperking tot apparatuur • Fouten in interne
Van XXX worden <XXX> gegevens ontvangen. Eigendomsrechten komen van de gemeente Er worden gegevens over leegstand ontvangen van een extern bedrijf.
n.v.t.
n.v.t.
Er wordt extern geen data opgeslagen.
n.v.t.
n.v.t.
Zie DIENST
Pagina 23 van 37
Rapportage Diepgaande Risicoanalyse Component
Incident
geheugens • Aftappen van gegevens Via programmatuur: • Foutieve of gemanipuleerde programmatuur • Doorwerking van virussen/malware • Afbreken van verwerking Via personen: • (On)opzettelijke foutieve gegevensinvoer, verandering of – verwijdering van data • Onbevoegde toegang door onbevoegden • Onbevoegd kopiëren van gegevens • Meekijken over de schouder door onbevoegden • Onzorgvuldige vernietiging • Niet toepassen clear screen/clear desk • Aftappen (draadloos) netwerk door onbevoegden (telewerk situaties) • Oneigenlijk gebruik van autorisaties • Toegang verschaffen tot, door middel van.
Scha de (L,M, H)
Kans (L,M, H)
Totaa l (L,M, H)
H
M
H
H
L
M
H
L
M
M
M
M
Toelichting (gevolgen et cetera.)
Via scripts wordt informatie uit verzameld. Deze informatie wordt in principe alleen intern gebruikt. De beheerder die de scripts draait weet welke informatie wel/niet mag worden meegegeven. Van de basisregistraties (XXX) worden gegevens ingelezen in . Er vindt nu slechts een eenvoudige controle (vergelijking aantal records) plaats op de juistheid van het inlezen. Voor wat betreft ongewenst wijzigen van autorisatiegegevens. Deze worden in principe alleen gemuteerd door ervaren beheerders. Voor wat betreft ongewenst lekken van <systeem> gegevens gaat het om de doorsnede die iemand kan maken. Geeft bijvoorbeeld weer wat iemands eigendom is. Er vindt (nog) geen controle plaats op de vernietiging van gegevens.
Pagina 24 van 37
Rapportage Diepgaande Risicoanalyse Component
Organisatie • Werkt niet volgens vastgestelde uitgangspunten • Reorganiseert • Fuseert of wordt opgeheven
Incident
identiteitsfraude of social engineering Gebruikersorganisatie: • Mismanagement • Gebrekkige toedeling taken, bevoegdheden, verantwoordelijkheden • Onduidelijke of ontbrekende gedragscodes • Afwezige, verouderde of onduidelijke handboeken / • systeemdocumentatie / werkprocedures/ gebruiksinstructies • Onvoldoende interne controle • Onvoldoende toetsing op richtlijnen • Onvoldoende of geen contractbeheer • Ontbrekende of onduidelijke SLA’s • Gebrekkige doel/middelen beheersing Beheerorganisatie: • Gebrekkig beleid betreffende beheer • Onvoldoende kennis of capaciteit • Onvoldoende kwaliteitsborging • Onvoldoende beheer van systemen en middelen
Scha de (L,M, H)
Kans (L,M, H)
Totaa l (L,M, H)
Toelichting (gevolgen et cetera.)
M
L
L
Door middel van autorisaties wordt geregeld hoeveel gegevens men mag inzien, één of meerdere (bulk). Als bijvoorbeeld eigendomsgegevens van een persoon op straat komen is dat negatief voor het imago.
H
L
M
Zie beschrijving bij Mens.
Pagina 25 van 37
Rapportage Diepgaande Risicoanalyse Component
Omgeving •
• •
Is toegankelijk voor ongeautoriseerd en Is beschadigd Is verwoest of ernstig beschadigd
Incident
(ICT, Atlas) Ontwikkelingsorganisatie: • Slecht projectmanagement • Niet volgen van projectenkalender of PPM • Geen ontwikkelrichtlijnen en/of – procedures • Er worden geen methoden/technieken gebruikt • Gebrek aan planmatig werken Huisvesting: • Niet geautoriseerde toegang tot gebouw(en) • Diefstal op werkplekken • Gebreken in ruimtes, waardoor kans op insluiping/inbraak • Onvoldoende fysieke voorzieningen om te vluchten of in te grijpen tijdens geweldsdreigingen/conflic ten met klanten Nutsvoorzieningen: • Uitval van elektriciteit, water, telefoon • Wateroverlast door lekkage, bluswater • Uitval van licht-, klimaat-, sprinklerinstallatie Buitengebeuren: • Natuurgeweld
Scha de (L,M, H)
Kans (L,M, H)
n.v.t.
n.v.t.
H
M
Totaa l (L,M, H)
Toelichting (gevolgen et cetera.)
Zie DIENST. De ontwikkelorganisatie ligt bij XXX.
M
Relevant is de PC van XXX waar, uit het oogpunt van performance, heel veel gegevens van staan. Ongewenste toegang tot (de data op) deze PC is onwenselijk. Daarnaast is echter ook de thuisomgeving belangrijk omdat medewerkers vanuit thuis, dus op hun eigen ICT-middelen, met kunnen werken. Er wordt een XXX voor authenticatie en de toegang loopt waarschijnlijk via XXX. Er is een risico dat vertrouwelijke gegevens via de thuissituatie worden gelekt.
n.v.t.
n.v.t.
Hier wordt geen rekening mee gehouden, want is onderdeel van Continuïteitsplan . Voor wat betreft ICT gaat het om afspraken met DICT, aangaande huisvesting is XXX aanspreekpunt en de beschikbaarheid van mensen moet zelf organiseren.
n.v.t.
n.v.t.
Idem
Pagina 26 van 37
Rapportage Diepgaande Risicoanalyse Component
Diensten • • •
Worden niet volgens afspraak geleverd Tijdelijk niet te leveren Definitief niet meer te leveren
Incident
(overstroming, blikseminslag, storm, aardbeving et cetera) • Overig geweld (oorlog, terrorisme, brandstichting, inbraak, neerstortend vliegtuig) • Blokkade/staking • Onveilige, geblokkeerde, vluchtwegen bij brand Diensten worden niet conform afspraak geleverd: • Slecht opgeleid personeel • Groot personeelsverloop • Onvoldoende capaciteit in personeel • Valse verklaringen over certificeringen • Onvoldoende of geen kwaliteitsborging • Personeel voldoet niet aan eisen zoals geldig VOGen geheimhoudingsverklaring en • Voert wanbeheer, slordigheden in beheersactiviteiten, • Werkt niet conform ITIL of BiSL principes • Maakt misbruik van toevertrouwde gegevens, applicaties en documentatie • Houdt zich niet aan
Scha de (L,M, H)
Kans (L,M, H)
Totaa l (L,M, H)
H H
L M
M M
H H
L H
M H
H H
M M
H H
L M H H n.v.t.
L L M L n.v.t.
L L H M
H M H H
L M L M
M H M H
Toelichting (gevolgen et cetera.)
•
XXX
Pagina 27 van 37
Rapportage Diepgaande Risicoanalyse Component
Incident
functiescheiding Maakt gebruik van te zware autorisatie, niet functie gebonden Diensten dienstverlener tijdelijk niet beschikbaar: • Levert diensten niet conform overeenkomst • Onderbreking dienstverlening door overname dienstverlener • Kan diensten tijdelijk niet uitvoeren door zaken buiten de eigen controle (stakingen en dergelijke) • Past verkeerde prioriteiten toe in klantbejegening • Levert onvoldoende capaciteit voor een goede dienstverlening Diensten dienstverlener definitief niet meer te leveren: • Een dienstverlener gaat failliet • Opzegging diensten door dienstverlener
Scha de (L,M, H)
Kans (L,M, H)
Totaa l (L,M, H)
Toelichting (gevolgen et cetera.)
H
L
M
•
H H
L ?
M M
XXX XXX
•
Zou kunnen door overname van XXX
Pagina 28 van 37
Rapportage Diepgaande Risicoanalyse
6 Bijlage C: Overzicht maatregelendoelstellingen Uitgangspunt is dat voor de beveiliging van de maatregelen uit de BIG zijn/worden geïmplementeerd. Het overzicht met maatregeldoelstellingen in deze bijlage richt zich derhalve op de dominante en aanvullende (ten opzicht van de ) maatregeldoelstellingen die voortkomen uit deze analyse. De onderstaande tabel geeft de maatregeldoelstellingen weer in samenhang met de componenten van het informatiesysteem (volgens MAPGOOD) en de onderdelen van het beveiligingsraamwerk (BIG/ISO). De inhoud van de tabel is door de IB-analist uitgewerkt op basis van de analyse en op besproken en gevalideerd met en de <SYSTEEMEIGENAAR> BESCHIKBAARHEID (3 op schaal van 4) Vooral de processen leunen zwaar op de beschikbaarheid van .
MAPGOOD
MENS
APPARAAT
PROGRAMMATUUR
CONTINUÏTEIT (3 op een schaal van 4)
INTEGRITEIT (3 op schaal van 4)
Het als gevolg van een calamiteit niet aanwezig zijn van levert voor na 3 dagen ‘veel schade’ op voor de normale bedrijfsvoering. Er treedt echter na 1 dag ‘veel schade’ op in geval van het transport van fysieke stukken/dossiers.
Binnen de processen wordt ‘blind gevaren’ op de inhoudelijke gegevens in . Dit betekent niet dat men extreem afhankelijk is van de correctheid van gegevens.
GEGEVENS
ORGANISATIE
VERTROUWELIJKHEID (2 op schaal van 4) Voor gegevens uit de Basisregistratie en voor geldt de classificatie ‘afgeschermd’,
OMGEVING
PRIVACY (3 op een schaal van 4) Uit een privacy onderzoek door een externe partij is naar voren gekomen dat in/met persoonsgegevens worden verwerkt waarvan een melding moet worden gedaan.
DIENSTEN
Pagina 29 van 37
Rapportage Diepgaande Risicoanalyse IB-GEBIED
eindgebruikers, XXX tekenaars / XX medewerkers , gebruikers bij XXX en diensten, functioneel applicatiebeheer (FAB, ondergebracht bij staf XXX)
Apparatuur wordt afgenomen van DICT, zie component Dienst.
Standaard programmatuur en maatwerk wordt afgenomen van XXX, zie component dienst. Hier betreft het scripts voor het maken van overzichten en rapporten.
Gegevens van: autorisaties (uit systeem), logging (uit systeem), XXX (van XXX), gegevens (, XXX, van XXX),
Gebruikersorganisatie bij , stadsdelen en diensten. Functioneel beheerorganisatie bij . Demand organisatie bij .
Zorg voor een proces van continue aandacht voor informatiebeveiliging ten aanzien van .Verantwoordelijkheid ligt bij de systeemeigenaar omdat het een basisregistratie is.
02 Organisatie van IB
04 Personele beveiligingseisen
Technische voorzieningen (XXX), Technisch applicatiebeheer (XXX), Functionele programmatuur (XXX), Functioneel applicatiebeheer 2e lijns (XXX), Ontwikkeling (XXX), Huisvesting (XXX), Leveranciers van gegevens: fotografisch materiaal van XXX, gegevens van Zorg ervoor dat goede afspraken met leveranciers worden gemaakt die aansluiten op de eisen vanuit .
01 IB-beleid en plan
03 Classificatie en beheer van informatie en bedrijfsmiddelen
Qua omgeving is alleen de huisvesting van belang. Deze wordt van de facilitaire dienst afgenomen. Zie component dienst. Daarnaast is echter ook de thuisomgeving belangrijk omdat medewerkers vanuit thuis met kunnen werken.
Zorg ervoor dat alle medewerkers zich bewust zijn van de noodzaak van informatiebeveiliging in het algemeen en hoe om te gaan met in het bijzonder. Zorg ervoor dat de XXX en functioneel beheerders voldoende beschikbaar en getraind zijn om de werkzaamheden betrouwbaar uit te
Zorg ervoor dat voor alle gebruikers duidelijk is hoe met de gegevens moet worden omgegaan (awareness), zeker wanneer gebruik wordt gemaakt van thuisapparatuur.
Zorg ervoor dat bij de leveranciers duidelijk is wat de classificatie is van de gegevens is waarmee wordt gewerkt en de eisen die aan de beschikbaarheid en integriteit worden gesteld. Denk aan vastlegging in SLA's. Maak afspraken met de leveranciers over eisen die aan medewerkers worden gesteld met betrekking tot de omgang met gegevens in . Denk aan awareness en
Pagina 30 van 37
Rapportage Diepgaande Risicoanalyse voeren.
Maak goede afspraken over de fysieke beveiliging van werkplekken binnen waar bulk gegevens vanuit zijn opgeslagen. Denk aan XXX en FB. medewerkers kunnen ook vanuit thuis gebruik maken van . Neem maatregelen om te voorkomen dat gebruikers vanuit de thuissituatie vertrouwelijke gegevens kunnen lekken.
05 Fysieke beveiliging
06 Beheer van communicatie- en en bedieningsprocesse n
Zorg ervoor dat alleen geautoriseerde personen toegang hebben tot de gegevens in en in het bijzonder tot de vertrouwelijke gegevens.
07 Logische toegangsbeveiligin g
08 Ontwikkeling en onderhoud van systemen
09 Continuïteit
waar nodig/mogelijk geheimhoudingsverklarin g. Stel eisen aan leveranciers over het niveau waarop fysieke opslag en transport van gegevens zijn beveiligd.
Maak afspraken over het gewenste inzicht (rapportage/logging) in de wijze waarop door de leveranciers wordt omgegaan met het beheer van en in het bijzonder de omgang met gegevens. Maak afspraken over de (remote) toegang tot door beheerders, ontwikkelaars et cetera.
Zorg voor adequaat beheer van de programmatuur (scripts) die bij zelf in beheer is. Denk aan documentatie, afspraken voor ontwikkeling en gebruik, testen et cetera.
Zorg voor een visie/aanpak hoe om te gaan met de eis die wordt gesteld aan de continuïteit van .
Zorg ervoor dat de invulling en instandhouding van beveiligingsmaatregelen onderdeel zijn van de afspraken met betrekking tot ontwikkeling en onderhoud. Denk aan de omgang van productiegegevens door XXX en het beheer van XXX door XXX. Vertaal de visie/aanpak voor continuïteit van naar eisen die aan de leveranciers worden gesteld.
Pagina 31 van 37
Rapportage Diepgaande Risicoanalyse 10 Naleving / controle proces
Zorg voor een proces dat controleert op de juiste werking van de mens (vooral tekenaars en functioneel beheer) met betrekking tot de maatregelen voor informatiebeveiliging .
Zorg ervoor dat de controle van extern betrokken diensten onderdeel is van het reguliere demand proces.
Zorg voor controle van de diensten die door leveranciers worden geleverd om de aanwezigheid en juiste werking van beveiligingsmaatregelen garanderen. Bijvoorbeeld de omgang met productiegegevens bij XXX.
Aanvullende toelichting: de punten 1, 2, 9 en 10 zijn in brede zin van toepassing op voor (XXX) en de benoemde maatregelen zijn dan ook niet specifiek, maar hier voor de volledigheid wel benoemd.
Pagina 32 van 37
Rapportage Diepgaande Risicoanalyse
7 Bijlage E: Detaillering maatregeldoelstellingen Uitgangspunt is dat voor de maatregelen uit de BIG zijn/worden geïmplementeerd. De tabel met maatregeldoelstellingen in deze bijlage richt zich daarom op de dominante en aanvullende maatregeldoelstellingen die voortkomen uit de baselinetoets. De maatregelen zijn uitgedrukt in maatregeldoelstellingen, zodat zelfstandig (in overleg met leveranciers) kan bepalen op welke wijze (met welke maatregelen) een maatregeldoelstelling wordt gerealiseerd. In de kolom ‘toelichting’ zijn hiervoor opmerkingen (OPM) en voorbeeldmaatregelen (VBM) opgenomen. Het is de taak van de proceseigenaar / systeemeigenaar 
