Page Comparison

Vertrouwelijkheid

...

IC klasse

...

Minimale maatregelen

...

PAS TOE

...

...

Klasse 1, Klasse 2, Klasse 3 en Klasse 4 kennen dezelfde maatregelen:  

Analyse van de zakelijke omgeving; 

• Toepassen van de minimale maatregelen volgens Vo informatieclassificatie raamwerk; 

• Validatie: maturiteit bepalen van de minimale maatregelen 

• Risico identificatie met alle stakeholders inclusief CISO. Voor deze risicoanalyse dienen minstens volgende categorieën beschouwd te worden: 

  • Hard- en software (inclusief diensten); 

  • Data (inclusief datacenters); 

  • De organisatie (inclusief gebouwen en de menselijke factor); 

  • Omgevingsfactoren (inclusief de volledige supply chain); 

  • Deze lijst is niet-uitputtend

...

PAS TOE OF LEG UIT

...

...

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 en Klasse 4 +

• Risicostrategie bepalen: mitigeren, accepteren of vermijden (overdragen is niet toegestaan voor klasse 5) 

Integriteit

...

IC klasse

...

Minimale maatregelen

...

PAS TOE

...

...

Klasse 1, Klasse 2, Klasse 3 en Klasse 4 kennen dezelfde maatregelen:  

• Analyse van de zakelijke omgeving; 

• Toepassen van de minimale maatregelen volgens Vo informatieclassificatie raamwerk; 

• Validatie: maturiteit bepalen van de minimale maatregelen 

• Risico identificatie met alle stakeholders inclusief CISO. Voor deze risicoanalyse dienen minstens volgende categorieën beschouwd te worden: 

  • Hard- en software (inclusief diensten); 

  • Data (inclusief datacenters); 

  • De organisatie (inclusief gebouwen en de menselijke factor); 

  • Omgevingsfactoren (inclusief de volledige supply chain); 

  • Deze lijst is niet-uitputtend; 

• Risicoanalyse met alle stakeholders inclusief CISO; 

  • Risicoanalyse moet gedocumenteerd worden en verspreid naar relevante stakeholders; 

• Formele bepaling van de risico appetijt ism top management 

• Risico evaluatie waarbij minimaal het huidig risiconiveau, het gewenste risiconiveau en het rest risico bepaald wordt  

  • minstens jaarlijks of bij significante wijzigingen in de omgeving (infrastructuur, dienstverlening, dreigingen); 

• Formele aanvaarding van het rest risico door topmanagement; 

• Risicostrategie bepalen: risico’s worden gemitigeerd, geaccepteerd, vermeden of overgedragen; 

• Risico behandelen volgens gekozen risicostrategie met rapportering aan het topmanagement en aan CISO; 

  • Rekening houdend met prioriteit die uit de risicoanalyse is gekomen  

• Communicatie en overleg met alle stakeholders; 

• Opvolgen implementatie risicostrategie; 

• Beoordelen risicostrategie met rapportering aan topmanagement en aan CISO. 

...

PAS TOE OF LEG UIT

...

...

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 en Klasse 4 +

• Risicostrategie bepalen: mitigeren, accepteren of vermijden (overdragen is niet toegestaan voor klasse 5) 

Beschikbaarheid

...

IC klasse

...

Minimale maatregelen

...

...

PAS TOE

...

Klasse 1, Klasse 2, Klasse 3 en Klasse 4 kennen dezelfde maatregelen:  

• Analyse van de zakelijke omgeving; 

• Toepassen van de minimale maatregelen volgens Vo informatieclassificatie raamwerk; 

• Validatie: maturiteit bepalen van de minimale maatregelen 

• Risico identificatie met alle stakeholders inclusief CISO. Voor deze risicoanalyse dienen minstens volgende categorieën beschouwd te worden: 

  • Hard- en software (inclusief diensten); 

  • Data (inclusief datacenters); 

  • De organisatie (inclusief gebouwen en de menselijke factor); 

  • Omgevingsfactoren (inclusief de volledige supply chain); 

  • Deze lijst is niet-uitputtend; 

• Risicoanalyse met alle stakeholders inclusief CISO; 

  • Risicoanalyse moet gedocumenteerd worden en verspreid naar relevante stakeholders; 

• Formele bepaling van de risico appetijt ism top management 

• Risico evaluatie waarbij minimaal het huidig risiconiveau, het gewenste risiconiveau en het rest risico bepaald wordt  

  • minstens jaarlijks of bij significante wijzigingen in de omgeving (infrastructuur, dienstverlening, dreigingen); 

• Formele aanvaarding van het rest risico door topmanagement; 

• Risicostrategie bepalen: risico’s worden gemitigeerd, geaccepteerd, vermeden of overgedragen; 

• Risico behandelen volgens gekozen risicostrategie met rapportering aan het topmanagement en aan CISO; 

  • Rekening houdend met prioriteit die uit de risicoanalyse is gekomen  

• Communicatie en overleg met alle stakeholders; 

• Opvolgen implementatie risicostrategie; 

• Beoordelen risicostrategie met rapportering aan topmanagement en aan CISO. 

...

PAS TOE OF LEG UIT

...

Vertrouwelijkheid & integriteit

IC klasse	Minimale maatregelen
	PAS TOE
	Inrichten, documenteren, valideren en regelmatig reviewen van een kwetsbaarhedenbeheersproces:  Documenteren, goedkeuren, onderhouden en testen (effectiviteit) van een kwetsbaarhedenbeheersproces Melden van een kwetsbaarheid aan een meldpunt;  Registratie en documentatie van de kwetsbaarheid minimaal in een logboek;  Beoordeling van de geregistreerde kwetsbaarheid op basis van dreigingen en de waarschijnlijkheid dat deze effectief voorkomen bij specifieke business processen en assets Beheersing van de geregistreerde kwetsbaarheid Validatie van de genomen maatregelen ihkv de beheersing van de geregistreerde kwetsbaarheid;  Rapportering van de geregistreerde kwetsbaarheid Uitvoeren van lessons learned voor kwetsbaarheden met het oog op het verkrijgen van inzichten in procesoptimalisaties.
Image AddedImage AddedImage Added	Klasse 1, Klasse 2 enKlasse 3 kennen dezelfde maatregelen:   Code Review  Statische code reviews vanaf de start van de ontwikkeling  Automatische unit tests  Vulnerability Scanning  Regelmatige scans gericht op detectie van kwetsbaarheden Auditlogging actief  Gebruikte tool moet alle DIM/DIU versleutelen  Actieve detectie en behandeling van kwetsbaarheden gemeld door externe bronnen (zoals CVE-databases of leveranciers)  Automatische aanmaak van incident voor verdere afhandeling binnen incidentbeheer  Scans dienen zorgvuldig uitgevoerd te worden zonder dat ze de systeemfuncties nadelig beïnvloeden (CyFun DE.CM-8.1)  Penetratietesten  Specifieke penetratietesten waarbij bekende aanvalsvectoren op data worden getest. Scope vastgelegd in overleg met de specialist informatieveiligheid van je organisatie.  Auditlogging actief  Gebruikte tool moet alle DIM/DIU versleutelen  Responsible Disclosure  Algemene responsible disclosure programma’s  Rapportage en Risicoaanvaarding  Formeel vastleggen risico appetijt (CyFun ID.RM-2.1, ID.BE-2.1)  Duidelijke rapportageprocedures voor alle processen met KRI’s en formele (rest-)risicoaanvaarding door het management.  Beoordeling of bepaalde informatie nuttig is voor verdere verspreiding buiten de organisatie (kwetsbaarheid in algemeen gebruikte software, scope van onze scanning, wanneer stoppen we met OT scanning om geen downtime te creëren, ...) en hiernaar handelen bij informatiedeling (CyFun ID.RA-2.1).  Continue verbetering  Regelmatige evaluatie van incidenten, kwetsbaarheden en testresultaten om beveiligingsmaatregelen aan te passen.  Integratie van geleerde lessen uit vulnerability scans, penetratietesten en code reviews om toekomstige risico’s te mitigeren.
	PAS TOE OF LEG UIT
Image Added	Klasse 4 kent volgende maatregelen: Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 + Code Review  Dynamische reviews vanaf de test omgeving  Vulnerability Scanning  Frequente en diepgaande scans op alle data verwerkende systemen, met alarmen en directe actie bij geconstateerde kwetsbaarheden (CyFun DE.DP-5.2).  Penetratietesten  Gerichte penetratietesten waarbij alle mogelijke aanvalstechnieken worden getest.  Rapportage en Risicoaanvaarding  Intensieve automatische rapportage met expliciete (rest-)risicoaanvaarding door het hoogste management (CyFun RS.AN-5.2).  Alle kwetsbaarheden worden onmiddellijk geëscaleerd naar het hoogste managementniveau.  Continue verbetering  Continue evaluatie van incidenten, kwetsbaarheden en testresultaten bij kritische systemen om beveiligingsmaatregelen aan te passen.
Image Added	Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 en Klasse 4 + Vulnerability Management  Automatische opvolging van de remediëring van gemelde kwetsbaarheden

Beschikbaarheid

IC klasse	Minimale maatregelen
	PAS TOE
Image AddedImage AddedImage Added	Klasse 1, Klasse 2 en Klasse 3 kennen dezelfde maatregelen:   Performantietesten  Specifieke test op beschikbaarheid en stabiliteit van het systeem onder hoge belasting  Beschikbaarheid van het proces kwetsbaarhedenbeheer is minimaal kantooruren (5d x 10u)
	PAS TOE OF LEG UIT
Image AddedImage Added	Klasse 4 en Klasse 5 kennen dezelfde maatregelen Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 en Klasse 4 + Risicostrategie bepalen: mitigeren, accepteren of vermijden (overdragen is niet toegestaan voor klasse 5) v roo + Beschikbaarheid van het proces kwetsbaarhedenbeheer is minimaal permanente beschikbaarheid (7d x 24u)