| Note |
|---|
Om review makkelijker te maken werden de wijzigingen tegenover ICRv2 als volgt in de tekst duidelijk gemaakt: |
4.1.2.1. Minimale algemene maatregelen
Het beheren van configuratie-items omvat een aantal activiteiten die, afhankelijk van de klasse waartoe de getroffen informatie behoort, al dan niet verplicht uitgevoerd moeten worden. Deze activiteiten zijn (zie hoofdstuk ‘De bouwstenen van asset- en configuratie beheer’)
...
In volgende paragrafen worden enkele noodzakelijke attributen verduidelijkt.
Klasse-onafhankelijke maatregelen voor beschikbaarheid, integriteit, vertrouwelijkheid
IC klasse | Minimale maatregelen |
|---|
| PAS TOE |
| Inrichten proces asset- en configuratiebeheer: Alle ICT-componenten die deel uitmaken van de ICT-architectuur nodig voor de ICT-dienstverlening moeten gedefinieerd en geregistreerd worden als configuratie-item in de CMS. Configuratie-items moeten een gedocumenteerde en up-to-date eigenaar hebben (CyFun ID.AM.2.3); Beheer van elk configuratie-item: toegevoegd indien nieuw, de nodige attributen wijzigen waar nodig, uit de CMS verwijderen en vernietigen zodra uitgefaseerd (CyFun ID.AM.4). Status bijhouden en up-to-date houden van elk configuratie-item (CyFun ID.AM.4). Inhoudelijke verificatie van de attributen van elk configuratie-item: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? (CyFun ID.AM.4) Verificatie of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. Documenteren en bijhouden van een basis configuratie volgens het principe ‘least functionality’ (CyFun PR.IP.1).
|
klasse-afhankelijke maatregelen
Vertrouwelijkheid
IC klasse | Minimale maatregelen |
|---|
| PAS TOE |
   | Klasse 1, Klasse 2 en Klasse 3 kennen dezelfde maatregelen: Alle ICT-componenten die deel uitmaken van de ICT-architectuur nodig voor de ICT-dienstverlening moeten gedefinieerd en geregistreerd worden als configuratie-item in de CMS (CyFun ID.AM 3.1). Onder ICT-componenten verstaan we: Jaarlijks moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden (CyFun ID.AM.4); Jaarlijks moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. Er moeten mechanismen voor het detecteren van niet-geautoriseerde hardware, firmware en software opgezet worden: zie document minimale maatregelen - netwerken. (CyFun ID.AM.2.5) Gedetecteerde, niet-geautoriseerde ICT-componenten moeten in quarantaine geplaatst worden en na behandeling moet de inventaris waar nodig bijgewerkt worden. (CyFun ID.AM.2.4).
|
| PAS TOE OF LEG UIT |
 | Alle maatregelen van Klasse 1 / Klasse 2 / Klasse 3 + Inventarisatie van interne verbindingen en communicatie- en data flows (CyFun ID.AM.3.2 en 3.3); Inventarisatie van externe verbindingen (ID.AM.4.1); Tweemaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden (CyFun ID.AM.3.2); De resultaten van deze inhoudelijke verificatie worden; gerapporteerd aan de betrokken toepassingseigena(a)r(en); Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. Automatisatie van het proces voor aanduiden en opvolging van asset eigenaars: automatische controle en validatie.
|
 | Alle maatregelen van Klasse 1 / Klasse 2 / Klasse 3 + Klasse 4 + Inventarisatie van externe communicatie- en dataflows (CyFun ID.AM.4.2); Viermaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en aan de DPO. Tweemaal per jaar of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is.
|
Integriteit: alle maatregelen van vertrouwelijkheid, aangevuld met
IC klasse | Minimale maatregelen |
|---|
| PAS TOE |
   | |
Beschikbaarheid
IC klasse | Minimale maatregelen |
|---|
| PAS TOE |
| Klasse 1 t/m Klasse 5 kennen dezelfde maatregelen: |
4.1.2.2. Minimale specifieke (GDPR) maatregelen
De minimale algemene fysieke maatregelen moeten toegepast worden: per klasse zijn de overeenkomende maatregelen van toepassing.
Vertrouwelijkheid
IC klasse | Minimale maatregelen |
|---|
| PAS TOE |
| |
| Klasse 2 t/m klasse 5 kennen dezelfde maatregelen: Jaarlijks of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en naar de DPO. Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is.
|
Integriteit
IC klasse | Minimale maatregelen |
|---|
| PAS TOE |
| |
| Maatregelen voor Klasse 3: Jaarlijks of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en naar de DPO. Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is.
|
| PAS TOE OF LEG UIT |
  | Maatregelen voor Klasse 4 en klasse 5: Alle maatregelen van Klasse 1 / Klasse 2 / Klasse 3 + |
Beschikbaarheid
Er zijn geen GDPR specifieke maatregelen gedefinieerd in het kader van beschikbaarheid.
4.1.2.3. Minimale specifieke (NIS2) maatregelen
NIS2 is een Europese richtlijn bedoeld om de cyberbeveiliging en weerbaarheid van kritieke diensten in EU-lidstaten te verbeteren.
Alle minimale algemene maatregelen worden verplicht toegepast (geen ‘leg uit’).
Afhankelijk van het CyFun zekerheidsniveau van de entiteit moet het proces voldoen aan volgende vereisten:
CyFun basis: zijn opgenomen in de klasse-onafhankelijke maatregelen;
CyFun belangrijk: de basisvereisten, aangevuld met automatisatie en toezicht van het proces;
CyFun essentieel: de vereisten voor ‘belangrijk’, aangevuld met integratie van het proces met andere processen waar nodig.
Daarnaast zijn volgende specifieke maatregelen van kracht:
IC klasse | Minimale maatregelen |
| PAS TOE |
    | Er moet een baseline van netwerkoperaties en verwachte beheersstromen ontwikkeld en onderhouden worden: zie document minimale maatregelen – netwerken. |
4.1.2.4. Minimale specifieke (KSZ) maatregelen
De minimale algemene maatregelen voor asset en configuratiebeheer moeten toegepast worden: per klasse zijn de overeenkomende maatregelen van toepassing (zie hoofdstuk ‘minimale algemene maatregelen’).
...
