• FINAAL CONCEPT
  • Document toolboxDocument toolbox


    Digitaal Vlaanderen | Team Informatieveiligheid (TIV)

    Procedure toetsing van maatregelen

    De procedure toetsing van maatregelen voor Digitaal Vlaanderen beschrijft hoe de toetsing van maatregelen voor een informatieasset wordt uitgevoerd en hierover gerapporteerd.

     

    Inhoud

     

    Uitvoering van de toetsing van maatregelen

    Zodra de informatieklasse (IK) voor een informatieasset werd bepaald in het proces informatieklassebepaling (IKB), zie Proces - Informatieklassebepaling en in het geval de IK van het informatieasset groter is dan 2, dient een toetsing te gebeuren van de beheersmaatregelen voor het informatieasset. Met IK wordt bedoeld het maximum van de scores voor beschikbaarheid, integriteit en vertrouwelijkheid.

    Technische assets

    In het geval van een technisch asset, wordt door de informatieveiligheidsfunctionaris (Information Security Officer (ISO)) van Team Informatieveiligheid (TIV) een toetsing van technische maatregelen (TTM) opgestart met de applicatie-eigenaar (Asset Owner (AO)) door middel van een TTM-sjabloon dat door de ISO ter beschikking wordt gesteld. De ISO stelt ook een handleiding ter beschikking voor het gebruik van het TTM-sjabloon.

    Wanneer een toepassing met gestructureerde data ondersteunt wordt als platform door bijvoorbeeld de ICT afdeling, werden één of meerdere  IKB's door de gebruikers vd toepassing ingevuld. Deze moeten dan zelf geen TTM uitvoeren, echter wel de ICT afdeling die het platform opzet en beheerd. Om later in de risicobeoordeling een evaluatie te maken van de TTM bevraging, wordt aan het platform asset de IKB-score gegeven van het toepassing asset. Indien er meerdere IKB’s zijn uitgevoerd omdat er verschillende afdeling dezelfde toepassing gebruiken, worden deze IKB’s gecombineerd en wordt telkens de maximum score genomen voor beschikbaarheid, integriteit en vertrouwelijkheid.

    Bijv.:

    Naam asset

    Afdeling

    Type asset

    B

    I

    V

    P

    IKB ingevuld door

    TTM ingevuld door

    Risicobeoordeling?

    Dynamics

    Financiën

    Toepassing

    4

    5

    3

    Nee

    Financiën

    Niemand, nvt

    Nee

    Dynamics

    Portfolio Mgt

    Toepassing

    3

    3

    3

    Ja

    Portfolio Mgt

    Niemand, nvt

    Nee

    Dynamics

    ICT

    Platform

    4

    5

    3

    Ja

    Niemand, berekend door TIV

    ICT

    Ja door ICT

     Een asset van het type platform dat een systeem is dat enkel ongestructureerde data bevat, krijgt by default een IKB 4 – 4 – 4 – Ja. De TTM wordt uitgevoerd door de afdeling die het platform opzet en beheert.

    Bijv.:

    Naam asset

    Afdeling

    Type asset

    B

    I

    V

    P

    IKB ingevuld door

    TTM ingevuld door

    Risicobeoordeling ?

    SharePoint

    ICT

    Platform

    4

    4

    4

    Ja

    Niemand, default score

    ICT

    Ja door ICT

     Dat betekent ook dat voor:

    • Assets van het type product de IKB en de TTM door dezelfde afdeling wordt uitgevoerd, en

    • Assets van het type toepassing de IKB en de TTM door dezelfde afdeling wordt uitgevoerd, behalve wanneer de toepassing wordt beheerd niet door de gebruikersafdeling zelf maar als een platform door ICT, in dat geval maakt de gebruikersafdeling de IKB, en doet ICT de TTM

    In het geval de AO een bestaande IKB herziet ten gevolge van de jaarlijkse herziening of ten gevolge een wijziging, dient ook de bestaande TTM bevraging te worden herzien.

    Indien er geen IKB voor het asset werd uitgevoerd, kan de TTM niet starten, en moet deze eerst worden uitgevoerd, zie Proces - Informatieklassebepaling.

    De ISO zal een meeting inplannen om de TTM-bevraging te overlopen met de AO. In de meeting wordt met de AO besproken of de minimale maatregelen zoals bepaald in het informatieclassificatieraamwerk van de Vlaamse overheid (Vo-ICR) zijn geïmplementeerd.

    De ISO maakt een analyse van de geïmplementeerde maatregelen en geeft een score voor de maturiteit van de maatregelen aan de hand van een gedefinieerde schaal (1 t/m 5) zoals aangegeven in de volgende tabel. De inschatting van de maturiteit moet worden uitgevoerd door de ISO.

    Organisatie en fysieke assets

    Voor organisatie assets en fysieke assets wordt een toetsing van organisatorische maatregelen (TOM) en fysieke maatregelen (TFM) minstens jaarlijks uitgevoerd door een ISO door middel van een TOM- of TFM-sjabloon.

    Net zoals bij de TTM, wordt ook hier de maturiteit van de maatregelen ingeschat door de ISO volgens dezelfde scores als voor de TTM.

    Dashboard

    De ISO past het asset-dashboard aan met de volgende velden:

    • Datum toetsing van maatregelen,

    • Auteur toetsing van maatregelen,

    • Status toetsing van maatregelen.

    De ISO start vervolgens het proces risicobeoordeling met de AO, zie Proces - Risicobeoordeling.

    Rapportering van de toetsing van maatregelen

    Op maandelijkse basis berekent de ISO de KPI’s voor het toetsing van maatregelen proces, zie KPI's toetsing van maatregelen.

    De ISO stuurt maandelijks de berekende KPI’s samen naar de CISO ter herziening.

    De ISO stuurt maandelijks de berekende KPI’s samen met het asset-dashboard naar elk single point of contact (SPOC) dat werd aangeduid voor het faciliteren van risicobeheer in DV. Op basis hiervan kan deze verantwoordelijke een AO aanspreken indien de toetsing van maatregelen ontbreekt of overtijd is.

    Op kwartaalbasis worden de berekende KPI’s samen met het asset-dashboard door de CISO, de DPO, de DV risicomanager en het DV directiecomité gevalideerd.

     

    Document status

     

    Titel

    Auteur

    Datum

    Versie

    Opmerking

    Titel

    Auteur

    Datum

    Versie

    Opmerking

    Procedure toetsing van maatregelen

    Guido Calomme

    19/03/2024

    1.0

    Eerste versie

    Procedure toetsing van maatregelen

    Guido Calomme

    31/05/2024

    1.1

    Verduidelijking van de procedure voor assets van het type “platform”

     

     

    Related pages

    Dit is een document voor publiek gebruik.