Art. 8.3 Informatiebeveiligingsbeleid gemeente Lingewaard

De baseline maakt onderscheid in de volgende specifieke beheersmaatregelen: Beheersmaatregelen m.b.t. de analyse en specificatie van beveiligingseisen In projecten worden een beveiligingsrisicoanalyse en maatregelbepaling opgenomen als onderdeel van het ontwerp. Ook bij wijzigingen worden de veiligheidsconsequenties meegenomen; In standaarden voor analyse, ontwikkeling en testen van informatiesystemen wordt structureel aandacht besteed aan beveiligingsaspecten. Waar mogelijk wordt gebruikt gemaakt van bestaande richtlijnen (bijv. secure codingguidelines23 Voor voorbeelden van secure coding guidelines, zie http://www.cert.org/secure-coding/ of bijvoorbeeld ook OWASP) Bij aanschaf van producten wordt een proces gevolgd waarbij beveiliging een onderdeel is van de specificatie. Waar het gaat om beveiligingsrelevante producten wordt de keuze voor een bepaald product verantwoord onderbouwd. Voor beveiliging worden componenten gebruikt die aantoonbaar voldoen aan geaccepteerde beveiligingscriteria zoals NBV24 NBV: Nationaal Bureau voor Verbindingsbeveiliging, onderdeel van het ministerie van BZK. goedkeuring of certificering volgens ISO/IEC 15408 (common criteria). Er is expliciet aandacht voor leveranciers accounts, hardcoded wachtwoorden en mogelijke ‘achterdeurtjes’. Beheersmaatregelen m.b.t. de correcte verwerking in toepassingen Er moeten controles worden uitgevoerd op de invoer van gegevens. Daarbij wordt minimaal gecontroleerd op grenswaarden, ongeldige tekens, onvolledige gegevens, gegevens die niet aan het juiste format voldoen, toevoegen van parameters (SQL-injection) en inconsistentie van gegevens. Er bestaan voldoende mogelijkheden om reeds ingevoerde gegevens te kunnen corrigeren door er gegevens aan te kunnen toevoegen. Het informatiesysteem moet functies bevatten waarmee vastgesteld kan worden of gegevens correct verwerkt zijn. Hiermee wordt een geautomatiseerde controle bedoeld waarmee (duidelijke) transactie- en verwerkingsfouten kunnen worden gedetecteerd. Stapelen van fouten wordt voorkomen door toepassing van ‘noodstop’ mechanismen. Verwerkingen zijn bij voorkeur herstelbaar zodat bij het optreden van fouten en/of wegraken van informatie dit hersteld kan worden door het opnieuw verwerken van de informatie. De uitvoerfuncties van programma's maken het mogelijk om de volledigheid en juistheid van de gegevens te kunnen vaststellen (bijv. door checksums). Bij uitvoer van gegevens wordt gegarandeerd dat deze met het juiste niveau van vertrouwelijkheid beschikbaar gesteld worden (bijv. beveiligd printen). Alleen gegevens die noodzakelijk zijn voor de doeleinden van de gebruiker worden uitgevoerd (need-to-know). Beheersmaatregelen m.b.t. cryptografie De gebruikte cryptografische algoritmen voor versleuteling zijn als open standaard gedocumenteerd en zijn door onafhankelijke betrouwbare deskundigen getoetst. Bij de inzet van cryptografische producten volgt een afweging van de risico’s aangaande locaties, processen en behandelende partijen. [A]De cryptografische beveiligingsvoorzieningen en componenten voldoen aan algemeen gangbare beveiligingscriteria (zoals FIPS 140-2 en waar mogelijk NBV). In het sleutelbeheer is minimaal aandacht besteed aan het proces, de actoren en hun verantwoordelijkheden. De geldigheidsduur van cryptografische sleutels wordt bepaald aan de hand van de beoogde toepassing en is vastgelegd in het cryptografisch beleid. De vertrouwelijkheid van cryptografische sleutels dient te zijn gewaarborgd tijdens generatie, gebruik, transport en opslag van de sleutels. Er is een procedure vastgesteld waarin is bepaald hoe wordt omgegaan met gecompromitteerde sleutels. [A]Bij voorkeur is sleutelmanagement ingericht volgens PKI Overheid. Beheersmaatregelen m.b.t. systeembestanden Alleen geautoriseerd personeel kan functies en software installeren of activeren. Programmatuur behoort pas te worden geïnstalleerd op een productieomgeving na een succesvolle test en acceptatie. Geïnstalleerde programmatuur, configuraties en documentatie worden bijgehouden in een configuratiedatabase. Er worden alleen door de leverancier25 Dit kan ook een interne leverancier zijn. onderhouden (versies van) software gebruikt. Van updates wordt een log bijgehouden. Er is een rollbackstrategie. Beheersmaatregelen m.b.t. de bescherming van testdata Het gebruik van kopieën van operationele databases voor testgegevens wordt vermeden. Indien toch noodzakelijk, worden de gegevens zoveel mogelijk geanonimiseerd en na de test zorgvuldig verwijderd. Beheersmaatregelen m.b.t. het doorvoeren van wijzigingen Er is aantoonbaar wijzigingsmanagement ingericht volgens gangbare best practices zoals ITIL26 Information Technology Infrastructure Library, zie http://www.itil-officialsite.com en voor applicaties ASL. Van aanpassingen (zoals updates) aan softwarematige componenten van de technische infrastructuur wordt vastgesteld dat deze de juiste werking van de technische componenten niet in gevaar brengen. Bij het instellen van besturingsprogrammatuur en programmapakketten wordt uitgegaan van de aanwijzingen van de leverancier. Beheersmaatregelen m.b.t. het uitlekken van informatie Op het grensvlak van een vertrouwde en een onvertrouwde omgeving vindt content-scanning plaats. 27 Het gaat hier dan om informatie die zich daar voor leent. Encrypted informatie is niet zondermeer te scannen. Er dient een proces te zijn om te melden dat (persoons) informatie is uitgelekt Beheersmaatregelen m.b.t. technische kwetsbaarheden Er is een proces ingericht voor het beheer van technische kwetsbaarheden; dit omvat minimaal het melden van incidenten aan de Informatiebeveiligingsdienst, periodieke penetratietests, risicoanalyses van kwetsbaarheden en patching. Van softwarematige voorzieningen van de technische infrastructuur kan (bij voorkeur geautomatiseerd) gecontroleerd worden of de laatste updates (patches) in zijn doorgevoerd. Het doorvoeren van een update vindt niet geautomatiseerd plaats, tenzij hier speciale afspraken over zijn met de leverancier. Indien een patch beschikbaar is, dienen de risico's verbonden met de installatie van de patch te worden geëvalueerd (de risico's verbonden met de kwetsbaarheid dienen vergeleken te worden met de risico's van het installeren van de patch). [A]Updates/patches voor kwetsbaarheden waarvan de kans op misbruik hoog is en waarvan de schade hoog is worden zo spoedig mogelijk doorgevoerd, echter minimaal binnen één week. Minder kritische beveiligings-updates/patches moeten worden ingepland bij de eerst volgende onderhoudsronde. Indien nog geen patch beschikbaar is dient gehandeld te worden volgens het advies van de Informatiebeveiligingsdienst of een andere CERT zoals bijvoorbeeld het NCSC.

Rechtspraak bij dit artikel