Page Comparison

PAS TOE

Inrichten, documenteren, valideren en regelmatig reviewen van een proces asset- en configuratiebeheer:

• Alle ICT-componenten die deel uitmaken van de ICT-architectuur nodig voor de ICT-dienstverlening moeten gedefinieerd en geregistreerd worden als configuratie-item in de CMS.

• Configuratie-items moeten een gedocumenteerde en up-to-date eigenaar hebben (CyFun ID.AM.2.3);

• Beheer van elk configuratie-item: toegevoegd indien nieuw, de nodige attributen wijzigen waar nodig, uit de CMS verwijderen en vernietigen zodra uitgefaseerd (CyFun ID.AM.4).

• Status bijhouden en up-to-date houden van elk configuratie-item (CyFun ID.AM.4).

• Inhoudelijke verificatie van de attributen van elk configuratie-item: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? (CyFun ID.AM.4)

• Verificatie of de eigenaar van elk configuratie-item nog correct geïdentificeerd is.

• Documenteren en bijhouden van een basis configuratie volgens het principe ‘least functionality’ (CyFun PR.IP.1). 

PAS TOE

Klasse 1, Klasse 2 en Klasse 3  kennen dezelfde maatregelen: 

• Alle ICT-componenten die deel uitmaken van de ICT-architectuur nodig voor de ICT-dienstverlening moeten gedefinieerd en geregistreerd worden als configuratie-item in de CMS (CyFun ID.AM 3.1). Onder ICT-componenten verstaan we: 

  • Hardware assets; 

  • Software assets; 

  • Diensten; 

  • Documentatie en gegevensbeheer.

• Jaarlijks moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden (CyFun ID.AM.4);

• Jaarlijks moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

• Er moeten mechanismen voor het detecteren van niet-geautoriseerde hardware, firmware en software opgezet worden: zie document minimale maatregelen - netwerken. (CyFun ID.AM.2.5)

• Gedetecteerde, niet-geautoriseerde ICT-componenten moeten in quarantaine geplaatst worden en na behandeling moet de inventaris waar nodig bijgewerkt worden. (CyFun ID.AM.2.4).

PAS TOE OF LEG UIT

Alle maatregelen van Klasse 1 / Klasse 2 / Klasse 3 +

• Inventarisatie van interne verbindingen en communicatie- en data flows (CyFun ID.AM.3.2 en 3.3);

• Inventarisatie van externe verbindingen (ID.AM.4.1);

• Tweemaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden (CyFun ID.AM.3.2); 

• De resultaten van deze inhoudelijke verificatie worden; gerapporteerd aan de betrokken toepassingseigena(a)r(en);

• Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

• Automatisatie van het proces voor aanduiden en opvolging van asset eigenaars: automatische controle en validatie.

Alle maatregelen van Klasse 1 / Klasse 2 / Klasse 3 + Klasse 4 +

• Inventarisatie van externe communicatie- en dataflows (CyFun ID.AM.4.2);

• Viermaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? 

• De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en aan de DPO. 

• Tweemaal per jaar of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

PAS TOE

• De informatie in de CMS krijgt minimaal integriteitsklasse 2 – toepassen van de minimale maatregelen voor deze klasse. 

PAS TOE

Klasse 1 t/m Klasse 5 kennen dezelfde maatregelen:

• Beschikbaarheid van het proces asset- en configuratiebeheer is minimaal kantooruren (5d x 10u)

PAS TOE

• Er zijn geen GDPR maatregelen voor Klasse 1. 

Klasse 2 t/m klasse 5 kennen dezelfde maatregelen:

• Jaarlijks of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? 

• De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en naar de DPO. 

• Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

PAS TOE

• Er zijn geen GDPR maatregelen voor Klasse 1 en klasse 2

Maatregelen voor Klasse 3:

• Jaarlijks of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid? 

• De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en naar de DPO. 

• Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

PAS TOE OF LEG UIT

Maatregelen voor Klasse 4 en klasse 5:

Alle maatregelen van Klasse 1 / Klasse 2 / Klasse 3 +

• Tweemaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid. 

IC klasse

Minimale maatregelen

PAS TOE

Er moet een baseline van netwerkoperaties en verwachte beheersstromen ontwikkeld en onderhouden worden: zie document minimale maatregelen – netwerken.