Page Comparison

PAS TOE

Inrichten proces asset- en configuratiebeheer:

• Alle ICT-componenten die deel uitmaken van de ICT-architectuur nodig voor de ICT-dienstverlening moeten gedefinieerd en geregistreerd worden als configuratie-item in de CMS.

• Configuratie-items moeten een gedocumenteerde en up-to-date eigenaar hebben (CyFun ID.AM.2.3);

• Beheer van elk configuratie-item: toegevoegd indien nieuw, de nodige attributen wijzigen waar nodig, uit de CMS verwijderen en vernietigen zodra uitgefaseerd (CyFun ID.AM.4).

• Status bijhouden en up-to-date houden van elk configuratie-item (CyFun ID.AM.4).

• Inhoudelijke verificatie van de attributen van elk configuratie-item: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? (CyFun ID.AM.4)

• Verificatie of de eigenaar van elk configuratie-item nog correct geïdentificeerd is.

• Documenteren en bijhouden van een basis configuratie volgens het principe ‘least functionality’ (CyFun PR.IP.1). 

PAS TOE

Klasse 1, Klasse 2 en Klasse 3  kennen dezelfde maatregelen: 

• Alle ICT-componenten die deel uitmaken van de ICT-architectuur nodig voor de ICT-dienstverlening moeten gedefinieerd en geregistreerd worden als configuratie-item in de CMS ; 

• Elke ICT-component die ook een configuratie-item is, moet geregistreerd worden in de CMS; 

• Elk configuratie-item moet beheerd worden, d.w.z. toegevoegd indien nieuw, de nodige attributen wijzigen waar nodig, uit de CMS verwijderen zodra uitgefaseerd. 

• Van elk configuratie-item moet de status bijgehouden en up-to-date gehouden worden; (CyFun ID.AM 3.1). Onder ICT-componenten verstaan we: 

  • Hardware assets; 

  • Software assets; 

  • Diensten; 

  • Documentatie en gegevensbeheer.

• Jaarlijks moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden : weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid?  (CyFun ID.AM.4);

• Jaarlijks moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

Image Removed

• Er moeten mechanismen voor het detecteren van niet-geautoriseerde hardware, firmware en software opgezet worden: zie document minimale maatregelen - netwerken. (CyFun ID.AM.2.5)

• Gedetecteerde, niet-geautoriseerde ICT-componenten moeten in quarantaine geplaatst worden en na behandeling moet de inventaris waar nodig bijgewerkt worden. (CyFun ID.AM.2.4).

PAS TOE OF LEG UIT

Alle maatregelen van Klasse 1 / Klasse 2 / Klasse 3 +

• Inventarisatie van interne verbindingen en communicatie- en data flows (CyFun ID.AM.3.2 en 3.3);

• Inventarisatie van externe verbindingen (ID.AM.4.1);

• Tweemaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden : weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? (CyFun ID.AM.3.2); 

• De resultaten van deze inhoudelijke verificatie worden; gerapporteerd aan de betrokken toepassingseigena(a)r(en). ;

• Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

Image Removed

• Automatisatie van het proces voor aanduiden en opvolging van asset eigenaars: automatische controle en validatie.

Alle maatregelen van Klasse 1 / Klasse 2 / Klasse 3 + Klasse 4 +

• Inventarisatie van externe communicatie- en dataflows (CyFun ID.AM.4.2);

• Viermaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? 

• De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en aan de DPO. 

• Tweemaal per jaar of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

• Alle ICT-componenten die deel uitmaken van de ICT-architectuur nodig voor de ICT-dienstverlening moeten gedefinieerd worden als configuratie-item in de CMS; 

• Elke ICT-component die ook een configuratie-item is, moet geregistreerd worden in de CMS; 

• Elk configuratie-item moet beheerd worden, d.w.z. toegevoegd indien nieuw, de nodige attributen wijzigen waar nodig, uit de CMS verwijderen zodra uitgefaseerd. 

• Van elk configuratie-item moet de status bijgehouden en up-to-date gehouden worden; 

• Jaarlijks moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? 

• Jaarlijks moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

Klasse 2 en Klasse 3 kennen dezelfde maatregelen:

Alle maatregelen van Klasse 1 +

PAS TOE

• De informatie in de CMS krijgt minimaal integriteitsklasse 2 – toepassen van de minimale maatregelen voor deze klasse. 

Alle maatregelen van Klasse 1 + Klasse 2 / Klasse 3 +

• Tweemaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? 

• De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en). 

• Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

• Viermaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? 

• De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en aan de DPO. 

• Tweemaal per jaar of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

PAS TOE

Klasse 1 t/m Klasse 5 kennen dezelfde maatregelen:

• Beschikbaarheid van het proces asset- en configuratiebeheer is minimaal kantooruren (5d x 10u)

PAS TOE

• Er zijn geen GDPR maatregelen voor Klasse 1. 

Klasse 2 t/m klasse 45 kennen dezelfde maatregelen:

• Jaarlijks of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? 

• De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en naar de DPO. 

• Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

Er zijn geen GDPR maatregelen voor klasse 5. 

Image Removed

Image Removed

PAS TOE

• Er zijn geen GDPR maatregelen voor Klasse 1 en klasse 2

Image RemovedImage Added

Maatregelen voor Klasse 3:

• Jaarlijks of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? 

• De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en naar de DPO. 

• Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

Image Removed

PAS TOE OF LEG UIT

Maatregelen voor Klasse 4 en klasse 5:

Alle maatregelen van Klasse 1 / Klasse 2 / Klasse 3 +

• Tweemaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid. 

Er zijn geen GDPR maatregelen voor Klasse 5.

IC klasse

Minimale maatregelen

PAS TOE

Er moet een baseline van netwerkoperaties en verwachte beheersstromen ontwikkeld en onderhouden worden: zie document minimale maatregelen – netwerken.