| Excerpt | ||
|---|---|---|
| ||
De continuïteit van de dienstverlening van de organisatie, is in toenemende mate afhankelijk van de beschikbaarheid van ICT-systemen. Het is dan ook belangrijk om de nodige maatregelen te implementeren om verstoringen van ICT-systemen tot een minimum te beperken. |
|
DOELSTELLINGEN| Filter by label (Content by label) | ||||||||
|---|---|---|---|---|---|---|---|---|
|
|
| Filter by label (Content by label) | ||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
ICT-continuïteit voor bedrijfscontinuïteit
De ICT-continuïteit dient te worden gepland, geïmplementeerd, onderhouden en getest op basis van bedrijfscontinuïteitsdoelstellingen die zich moeten vertalen in ICT-continuïteitseisen. De ICT-continuïteit voor bedrijfscontinuïteit is een fundamenteel onderdeel van bedrijfscontinuïteitsbeheer en informatiebeveiligingsbeheer om te bewerkstelligen dat ook tijdens een verstoring aan de doelstellingen van de organisatie kan blijven worden voldaan.
Business Impact Assessment (BIA)
Een business impact assessment (BIA) van een ICT-dienst is een proces waarbij de potentiële effecten van een verstoring van de ICT-dienst op de bedrijfsactiviteiten worden geïdentificeerd en geëvalueerd. Het richt zich op het bepalen van de impact van een gebeurtenis op de bedrijfsvoering, financiën en reputatie. Een BIA geeft organisaties objectieve parameters om prioriteit aan herstelmaatregelen en middelen toe te wijzen op basis van de ernst van de impact.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel De ICT-continuïteitseisen voor elke ICT-dienst MOETEN het resultaat zijn van een business impact assessment. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel Voor iedere kritische ICT-dienst MOET een business impact assessment onderhouden worden. |
Een BIA heeft als als uitkomst een Recovery Time Objective (RTO) en een Recovery Point Objective (RPO).
Deze en andere termen worden gedefinieerd in het algemene Strategiedocument “Business Continuity Management” van Digitaal Vlaanderen, editie 2024. Hieronder worden ze specifiek verwoord voor de ICT-diensten.
Recovery Time Objective (RTO)
RTO staat voor Recovery Time Objective en is de maximale toegestane tijd die kan verstrijken na een onderbreking voordat de continuïteit van de bedrijfsvoering en de ICT-diensten hersteld moeten zijn om onaanvaardbare gevolgen te voorkomen. Het bepaalt de tijdslimieten voor herstelwerkzaamheden, inclusief het herstellen van systemen, netwerken en applicaties na een incident. Het vaststellen van een RTO helpt organisaties bij het prioriteren van herstelinspanningen en het toewijzen van de benodigde middelen om de bedrijfscontinuïteit te waarborgen.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel Een business impact assessment MOET gebruik maken van impactsoorten en -criteria om de impact in de tijd als gevolg van een verstoring van de bedrijfsactiviteiten te beoordelen. De omvang en de duur van de daaruit voortvloeiende gevolgen MOETEN worden gebruikt om geprioriteerde activiteiten te identificeren en een hersteltijdsdoelstelling (RTO) toe te kennen. |
Recovery Point Objective (RPO)
RPO staat voor Recovery Point Objective en verwijst naar het maximale toegestane verlies van informatie ten gevolge van een incident. Het vertegenwoordigt de hoeveelheid gegevens die een organisatie zich kan veroorloven te verliezen zonder significante negatieve gevolgen. Het definiëren van een RPO is cruciaal voor het plannen van gegevensherstelstrategieën en het implementeren van een passend back-up schema en replicatiemethoden.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel Een business impact assessment MOET gebruik maken van impactsoorten en -criteria om de impact op gegevens als gevolg van een verstoring van de bedrijfsactiviteiten te beoordelen. De omvang van de daaruit voortvloeiende gevolgen MOETEN worden gebruikt om te bepalen of er gegevens moeten hersteld worden en een datahersteldoelstelling (RPO) toe te kennen. |
Business Continuity Management (BCM) en Business Continuity Plan (BCP)
Op het BCM-portaal wordt verder toegelicht hoe bedrijfscontinuïteit wordt beheerd voor Digitaal Vlaanderen. Hier vindt men onder meer een Business Continuity Plan (BCP) voor meerdere verschillende scenario’s dat telkens beschrijft hoe Digitaal Vlaanderen omgaat met een verstoring van bedrijfsactiviteiten. Een BCP is bijgevolg algemener dan een ICT-continuïteitsplan dat specifiek beschrijft hoe een specifieke ICT-dienst of kritisch systeem wordt behandeld in geval van een verstoring. Alsdusdanig zijn ICT-continuïteitsplannen een onderdeel van BCM en één of meerdere BCPs.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel Een Business Continuity Plan MOET als onderdeel een ICT-continuïteitsplan bevatten voor de ICT-diensten in het domein van het plan. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel Een Business Continuity Plan MOET beschrijven hoe tijdelijke ICT-diensten en activiteiten worden georganiseerd tijdens de verstoring zolang de normale bedrijfsvoering onderbroken is en tot deze volledig hersteld is. |
ICT-continuïteitsplan
Het beheer van de ICT-continuïteit vormt een essentieel onderdeel van de bedrijfscontinuïteitseisen met betrekking tot beschikbaarheid om in staat te zijn:
Te reageren op en te herstellen van verstoringen van ICT-diensten ongeacht de oorzaak;
Te bewerkstelligen dat de continuïteit van geprioriteerde activiteiten door de vereiste ICT-diensten wordt ondersteund;
Te reageren voordat er zich een verstoring van de ICT-diensten voordoet en zodra er ten minste één incident is waargenomen dat kan leiden tot een verstoring van de ICT-diensten.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel Op basis van de output van een Business Impact Assessment waarbij ICT-diensten worden betrokken, MOET de organisatie strategieën voor ICT-continuïteit identificeren en selecteren waarin mogelijke scenario’s voorafgaand aan, tijdens en na een verstoring in overweging worden genomen. De strategie voor ICT-continuïteit MOET de volgorde waarin systemen en middelen hersteld moeten worden, bepalen in functie van de kriticiteit van de bedrijfsprocessen (zie ook Disaster Recovery Plan). |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel Voor iedere kritische ICT-dienst en/of systeem MOET een ICT-continuïteitsplan onderhouden worden. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel Een ICT-continuïteitsplan MOET de volgende informatie omvatten:
|
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel De organisatie MOET ervoor te zorgen dat ICT-continuïteitsplannen:
De organisatie MOET een test en review periode specificeren. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel De organisatie MOET in ICT-continuïteitsplannen de middelen bepalen die nodig zijn om de ICT-continuïteit te herstellen, zoals personeel, apparatuur, software en faciliteiten. De organisatie MOET ervoor zorgen dat er een adequate organisatiestructuur is die is voorbereid op een verstoring, deze verzacht en erop reageert, ondersteund door personeel met de nodige verantwoordelijkheid, autoriteit en competentie. Dit betekent dat de volgende maatregelen MOETEN worden onderhouden:
|
| Info |
|---|
De Digitaal Vlaanderen BCM-portaal bevat templates voor de verschillende benodigde documenten. |
Disaster Recovery Plan (DRP)
Een DRP, oftewel Disaster Recovery Plan, is een uitgebreid plan dat de ICT-organisatie implementeert om de ICT-diensten en kritische systemen te herstellen na een grote calamiteit, zoals een natuurramp, brand, terroristische aanval, of pandemie.
| Info |
|---|
Let op: Een DRP zijn concreet uitgewerkte, veelal technische documenten, die de acties beschrijven die genomen moeten worden om ICT-infrastructuur en data weer operationeel te krijgen. Dit is zowel pro- als reactief. Dit mag niet verward worden met een CMP (Crisis Management Plan). Het Crisiscentrum van de Vlaamse overheid (CCVO) is een intern crisiscentrum dat de Vlaamse overheid voorbereidt op uitzonderlijke crisissituaties. |
Belangrijke onderdelen:
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel De organisatie MOET een Disaster Recovery Plan (DRP) opstellen met de volgende onderdelen:
|
Informatiebeveiliging tijdens een verstoring
De organisatie behoort plannen te maken om tijdens een verstoring het van toepassing zijnde niveau van de informatiebeveiliging te waarborgen. In de context van de bedrijfscontinuïteits- en ICT-continuïteitsplanning kan het nodig zijn de informatiebeveiligingseisen aan te passen, afhankelijk van de soort verstoring, in vergelijking met de normale operationele omstandigheden. Als onderdeel van de bedrijfsimpactanalyse en de risicobeoordeling die worden uitgevoerd binnen continuïteitsbeheer, behoren de gevolgen van het wegvallen van de geheimhouding en de integriteit van informatie, naast de noodzaak om de beschikbaarheid in stand te houden, te worden overwogen en geprioriteerd.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel De organisatie MOET in het bijzonder ICT-continuïteitseisen vaststellen om:
|
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel De organisatie MOET procedures hebben om verstoring van informatieveiligheid zo spoedig mogelijk te herstellen. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel De organisatie MOET procedures en plannen hebben om er voor te zorgen dat er tijdens een verstoring aan de informatieveiligheidsdoelstellingen van de organisatie wordt voldaan. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel De organisatie MOET haar eisen vast stellen voor het tijdens een verstoring aanpassen van beheersmaatregelen voor informatiebeveiliging. Deze informatiebeveiligingseisen MOETEN worden opgenomen in de processen voor bedrijfscontinuïteitsbeheer van de organisatie. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel Er MOETEN plannen worden ontwikkeld, geïmplementeerd, getest, beoordeeld en geëvalueerd om de beveiliging van informatie van essentiële bedrijfsprocessen in stand te houden of te herstellen na een verstoring. De beveiliging van informatie behoort op het vereiste niveau en binnen de vereiste tijdsbestekken te worden hersteld. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel De organisatie MOET het volgende implementeren en onderhouden:
|
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
Implementatiemaatregel De organisatie MOET het gebruik van compenserende beheersmaatregelen nauwkeurig documenteren. |
Voorkomen van verstoringen van ICT-diensten
De organisatie moet rekening houden met ICT-continuïteitsvereisten bij het ontwerpen en implementeren van ICT-diensten met het oog op het voorkomen van verstoringen van geleverde ICT-diensten.
Naast onderstaande maatregelen dienen de volgende onderwerpen in acht genomen te worden:
Regelmatige updates en upgrades: Infrastructuurbeveiliging.
Monitoring en waarschuwingssystemen: IT Service management /wiki/spaces/ISMS/pages/6330876011 en Malwarebeveiliging
Training en bewustzijn: Personeelsbeveiliging (Vincent) /wiki/spaces/ISMS/pages/6330811457
Leveranciersbeheer: Leveranciersrelaties
Vereisten voor de back-up van informatie
Na het identificeren en classificeren van informatie dient bepaalt te worden welke vereisten van toepassing zijn voor de beschikbaarheid van de informatie.
Deze vereisten dienen te zijn gebaseerd op:
Informatieclassificatie,
Beschikbaarheidseisen,
Dreigingen en risico’s,
Back-up behoeften,
Beschikbare back-up technologieën,
Beschikbare en te ontwikkelen back-up procedures.
Voor specifieke vereisten dient er rekening gehouden te worden met:
Bevestigen dat de back-up en herstelstrategie voldoet aan:
Bedrijfscontinuïteitsplannen
Beleid, wet- en regelgeving en andere wettelijke verplichtingen.
Het documenteren van de back-up- en herstelprocessen, inclusief:
Soorten informatie waarvan een back-up moet worden gemaakt.
Schema's voor de back-up van informatie en informatiesystemen.
Beheer van back-up media (bijv. bewaartermijn, patroon van back-up cycli).
Methoden voor het uitvoeren, valideren en labelen van back-ups.
Methoden voor het valideren van het herstel van de informatie en het informatiesysteem.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
ImplementatiemaatregelDe organisatie MOET back-up- en herstelprocessen definiëren en documenteren die de informatiebeveiliging en de beschikbaarheidseisen van informatie en informatiesystemen weerspiegelen. |
Redundantie van informatie-verwerkende faciliteiten
Redundantie duidt op het ontdubbelen van ICT-infrastructuur componenten. Op die manier blijft bij het uitvallen van één component het geheel wel goed functioneren omdat een ander component de taken overneemt. Technisch zijn er vele oplossingen mogelijk en de gekozen oplossing is afhankelijk van de informatieasset en de onderliggende ICT-architectuur.
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
ImplementatiemaatregelDe organisatie MOET de infrastructuur zo structureren dat kritieke ICT-diensten en/of systemen beschikbaar blijven conform de waardebepaling van de informatie die wordt verwerkt. Zogenaamde “single point of failures” dienen gereduceerd te worden:
|
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
ImplementatiemaatregelUitwijkstrategieën die het informatieveiligheidsbeleid en informatiebeveiliging in acht nemen MOETEN opgesteld, getest en onderhouden worden. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
ImplementatiemaatregelDe organisatie MOET de beschikbaarheidseisen uitwerken voor netwerkdiensten en netwerkcomponenten. Voor netwerkdiensten en -componenten die als kritiek worden beschouwd MOET de organisatie continuïteitsplannen opstellen conform dit beleid. Wanneer de beschikbaarheid van complexe netwerkdiensten of -componenten een hoge prioriteit heeft dienen de uitrol stappen zover mogelijk te worden geautomatiseerd. Dit betekent wel dat de beheerders in staat MOETEN zijn zonder ontwikkelde automatisering het component of de dienst te kunnen herstellen. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
ImplementatiemaatregelDe organisatie MOET het gebruik van Content Delivery Networks (CDN) en andere caching technologie beperken tot gevallen waar met zekerheid kan worden vastgesteld dat er geen gevoelige data beschikbaar wordt gesteld. |
| Panel | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
ImplementatiemaatregelKritieke data dient op verschillende fysieke locaties in sync te worden opgeslagen. |
| Info |
|---|
Een DRP kent een nauwe relatie met een BCP. Zie de het BCM-portaal voor meer informatie. |
Regelgeving en standaarden (L1)
ISO 27001:2022 (Annex A)
| Page Properties Report | ||||||||
|---|---|---|---|---|---|---|---|---|
|
Titel | Auteur | Datum | Versie | Status | Opmerkingen | ||||||
|---|---|---|---|---|---|---|---|---|---|---|---|
Beleid voor ICT-continuïteit | Guido Calomme | 14/05/2024 | 1.0 |
| |||||||
Beleid voor ICT-continuïteit | Guido Calomme | 09/06/2024 | 1.0 |
| feedback van afdelingen verwerkt |
| Page Properties | ||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| ||||||||||||||||||||||||||||||||||||||||||
Document status (Metadata)Onderstaande gegevens worden gebruikt voor rapporteringsdoeleinden in documentregister
status opties:
status eveneens aanpassen bovenaan deze pagina |