De organisatie MOET een lijst bijhouden van goedgekeurde en toegestane software die door gebruikers kan gebruikt worden boven op de basis software ter ondersteuning van bedrijfstaken, en deze lijst MOET beschikbaar zijn voor alle gebruikers op een gemakkelijk bereikbare plaats.
Als een gebruiker software nodig heeft andere dan de basis software voor het uitoefenen van zijn/haar bedrijfstaken en waarbij admin rechten nodig zijn voor de installatie:
MOET bij voorkeur de software genomen worden uit de toegestane software lijst;
Als de software niet voorkomt op de toegestane software lijst, MOET deze software worden goedgekeurd door een review board en toegevoegd aan de toegestane software lijst; en
MOET deze software worden geïnstalleerd via een gedocumenteerd proces en een door de organisatie beheerd software management systeem.
De organisatie MOET ervoor zorgen dat alle softwarelicenties legaal en up-to-date zijn.
De organisatie MOET een lijst bijhouden van verboden software, en deze lijst MOET beschikbaar zijn voor alle gebruikers op een gemakkelijk bereikbare plaats.
De lijst met verboden software MOET periodiek worden nagekeken.
Als een gebruiker software nodig heeft andere dan de basis software voor het uitoefenen van zijn/haar bedrijfstaken en waarbij geen admin rechten nodig zijn voor de installatie:
Mag er NOOIT software die voorkomt op de lijst van verboden software worden geïnstalleerd; en
MOET bij voorkeur software van de standaard software lijst worden geïnstalleerd.
De organisatie MOET periodieke scans uitvoeren om na te gaan of er geen verboden software werd geïnstalleerd en deze software MOET onmiddellijk verwijderd worden.
Gebruikers die zelf admin rechten hebben omdat dit vereist is voor de uitoefening van hun taken, MOETEN de regels m.b.t. standaard en verboden software naleven.
Er MOETEN procedures bestaan voor het tijdig uitrollen van software patches conform het beleid Kwetsbaarhedenbeheer:
Deze procedures MOETEN patches prioritiseren en inplannen op basis van risicofactoren en baten; en
Updates die kritieke bugfixes of ernstige kwetsbaarheden aanpakken, MOETEN een hoge prioriteit krijgen en MOETEN sneller toegepast worden dan updates voor niet-kritieke fixes of functieverbeteringen.
