Implementatiemaatregel

Het volgende MOET minimaal worden vastgesteld in een risicobeoordeling bij uitbesteding / inkoop / aankoop:

• De geleverde producten en/of diensten en de mogelijke impact op vertrouwelijkheid, integriteit en beschikbaarheid van informatie(verwerking), met als uitkomst een informatieklassebepaling en risicorating

• De informatie, ICT-diensten en fysieke infrastructuur van onze organisatie waartoe leveranciers toegang hebben

• Veiligheidscriteria hoe leveranciers worden geëvalueerd en geselecteerd

• Beoordeling en beheersing van informatiebeveiligingsrisico’s in verband met het gebruik of beheer door leveranciers van informatie en bedrijfsmiddelen van onze organisatie of organisaties die waar wij informatie van verwerken

• Recente storingen en/of kwetsbaarheden van de door de leverancier geleverde producten of diensten

Implementatiemaatregel - Minimale algemene voorwaarden

De volgende voorwaarden MOETEN minimaal worden overwogen om op te nemen in overeenkomsten met leveranciers:

• Omschrijving van de te verstrekken producten en/of diensten door de leverancier

• Omschrijving van de te benaderen informatie en informatiesystemen van onze organisatie

• Classificatie van de informatie in overeenstemming met de informatieklassebepaling procedure

• Specifieke eisen van wet- en regelgeving, zoals bescherming persoonsgegevens, rechten van intellectuele eigendom en auteursrecht

• Informatiebeveiligingseisen voor elk type informatie en elk type toegang

• De verplichting van elke contractpartij om overeengekomen beheersmaatregelen te implementeren, met inbegrip van prestatiebeoordeling, monitoren, melden, rapportage en audits

• De regels van aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen

• Procedures of voorwaarden voor autorisatie en voor het intrekken van de autorisatie voor het gebruik van de informatie en andere gerelateerde bedrijfsmiddelen van de organisatie door personeel van de leverancier

• Rollen en verantwoordelijkheden met betrekking tot het gebruik en beheer van clouddiensten, daar waar functioneel beheer (deels) belegd kan zijn bij onze eigen organisatie

• Schadeloosstellingen en herstel indien de contractant niet aan de eisen voldoet

• Eisen voor incidentbeheer en -procedures (in het bijzonder notificatie en samenwerking tijdens herstel van het incident)

• Procedures voor het oplossen van defecten en conflicten

• Afspraken over bewustwording en training van personeel van de leverancier betreffende beleidsregels, processen, procedures en gedrag

• Relevante contacten, met inbegrip van een contactpersoon voor aangelegenheden betreffende informatiebeveiliging

• Screeningeisen voor het personeel van leveranciers

• Voorzien in back-up afgestemd op de informatieklassebepaling

• Het bewerkstelligen van de beschikbaarheid van een alternatieve faciliteit waarvoor niet dezelfde dreigingen gelden als voor de primaire faciliteit

• De beschikking over een proces voor wijzigingsbeheer dat bewerkstelligt dat onze organisatie vooraf op de hoogte wordt gebracht en de mogelijkheid heeft om wijzigingen niet te aanvaarden

• Fysieke beveiligingsbeheersmaatregelen die passen bij de informatieklassebepaling

• Het verwerken op goedgekeurde locaties (bijv. een bepaald land of bepaalde regio) of binnen een bepaald rechtsgebied of krachtens een bepaalde rechtsbevoegdheid opslaan van gevoelige informatie en/of persoonsgegevens

• Beheersmaatregelen voor overdragen van informatie om de informatie te beschermen tijdens fysiek transport of tijdens logische overdracht

• Het voorzien in een methode om de door de leverancier opgeslagen informatie van onze organisatie op beveiligde wijze te vernietigen zodra die informatie niet meer nodig is

Implementatiemaatregel - Overeenkomsten over de toegang van externe partijen

Er MOET gezorgd worden dat externe partijen pas toegang krijgen tot bedrijfsmiddelen en informatieverwerkende faciliteiten nadat een toegangsovereenkomst is ingevuld en ondertekend. De toegangsovereenkomsten MOETEN het volgende omvatten:

• Rollen en verantwoordelijkheden van binnen de organisatie en de externe partij.

• Geheimhoudingsovereenkomsten.

• Vereisten voor uitbesteding.

• Gespecialiseerde beveiligingsmaatregelen (d.w.z. voldoen aan bijzondere bedrijfs- en beveiligingsregelingen, wettelijke of regelgevende vereisten).

• Voorwaarden voor beëindiging van het contract.

• Rechten, verantwoordelijkheden en processen over audit en toezicht op de naleving.

• Rapportageverplichtingen voor vermeende of daadwerkelijke beveiligings- en privacy incidenten.

• Voorwaarden voor verlenging en hernieuwing van de overeenkomst.

• Vereisten voor regelmatige beoordelingen van de naleving.

Goedgekeurde vormen van overeenkomsten zijn onder meer:

• Algemene dienstverleningsovereenkomst voor de aankoop van goederen of diensten;

• Overeenkomsten voor alternatieve dienstverlening;

• Overeenkomst voor het delen van informatie; of,

• Andere vormen van overeenkomsten zoals goedgekeurd door de Juridische Dienst.