IM_CL.07

De overeenkomst tussen de organisatie (de afnemer, de klant) en de aanbieder van een clouddienst MOET minimaal de volgende bepalingen bevatten voor de bescherming van de gegevens van de organisatie en de beschikbaarheid van diensten:

• Het leveren van oplossingen op basis van door de industrie aanvaarde normen voor architectuur en infrastructuur; 

• Het beheren van toegangsbeveiligingsmaatregelen van de clouddienst conform de eisen van de organisatie; 

• Het implementeren van oplossingen voor het monitoren van en beschermen tegen malware; 

• Het verwerken en opslaan van gevoelige informatie van de organisatie op goedgekeurde locaties (bijv. een bepaald land of bepaalde regio) of binnen een bepaald rechtsgebied of krachtens een bepaalde rechtsbevoegdheid; 

• Het bieden van gerichte steun indien er zich een informatiebeveiligingsincident voordoet in de cloudomgeving; 

• Het bewerkstelligen dat aan de informatiebeveiligingseisen van de organisatie wordt voldaan indien clouddiensten verder worden uitbesteed aan een externe leverancier (of verbieden dat clouddiensten worden uitbesteed); 

• De eisen voor netwerksegregatie vanuit de organisatie; 

• Het ondersteunen van de organisatie bij het verzamelen van digitaal bewijsmateriaal, met inachtneming van wet- en regelgeving inzake digital bewijsmateriaal in verschillende rechtsgebieden; 

• Het voorzien in passende ondersteuning en beschikbaarheid van diensten gedurende een passend tijdsbestek wanneer de organisatie niet langer gebruik wil maken van de clouddienst; 

• Het voorzien in de vereiste back-ups van gegevens en configuratie-informatie en het veilig beheren van back-ups voor zover van toepassing, op basis van de capaciteiten van de leverancier van de clouddienst die wordt ingezet door de organisatie in haar rol als afnemer van de clouddienst; 

• Het verstrekken en retourneren van informatie zoals configuratiebestanden, broncode en gegevens die eigendom zijn van de organisatie in haar rol van afnemer van de clouddienst op verzoek of bij beëindiging van de dienst; 

• Maatregelen die veilige verwijdering (secure disposal) van data en middelen garanderen;

• Notificatie procedures bij datalekken. 

Leveranciersovereenkomsten

1 2 3 4 5

BESCHIKBAARHEID INTEGRITEIT VERTROUWELIJKHEID

PREVENTIEF

BESCHERMEN