PR-03

Elk inkoopdossier krijgt een informatiebeveiligingsclassificatie op basis van de Baseline Informatiebeveiliging Overheid (BIO): bepaald wordt welk basisbeschermingsniveau geldt en of een verhoogd niveau (op basis van risicoanalyse) van toepassing is. De classificatie wordt vastgelegd en stuurt de beveiligingseisen aan de opdracht.

Zonder expliciete classificatie worden beveiligingseisen ad hoc gekozen: te zwaar (drempel voor de markt) of te licht (onaanvaardbaar restrisico). De BIO koppelt eisen aan een classificatie; door die classificatie per dossier vast te leggen wordt de zwaarte van de eisen navolgbaar en proportioneel.

Een gemeente koopt een zaaksysteem in. PR-03 stelt vast dat het systeem gegevens van burgers en interne besluitvorming verwerkt; classificatie volgens BIO met een verhoogd niveau voor vertrouwelijkheid. Dat bepaalt welke beveiligingsmaatregelen als eis in het bestek komen.

De toets is goed als per dossier vastligt welk beschermingsniveau geldt en waarom, en die classificatie herkenbaar de zwaarte van de beveiligingseisen bepaalt, zó dat een auditor kan zien dat de eisen niet willekeurig maar risicogebaseerd zijn gekozen.

[
  "Basisbeschermingsniveau (BIO) toegekend aan het dossier",
  "Risicoanalyse uitgevoerd waar verhoogd niveau mogelijk aan de orde is",
  "Classificatie per aspect: beschikbaarheid, integriteit, vertrouwelijkheid (BIV)",
  "Classificatie vertaald naar concrete beveiligingseisen in het bestek (zie PR-04)",
  "Betrokken rol vastgelegd (CISO)"
]

{
  "ICT": "Kernsector: classificatie stuurt eisen aan hosting, toegang, logging, pentesten; koppeling aan IR-04 (jurisdictie/exit) bij cloud.",
  "ZORG": "Naast BIO ook NEN 7510 (informatiebeveiliging in de zorg) als normatief kader.",
  "DEFENSIE": "Rubricering kan boven de BIO uitgaan; gerubriceerde dossiers volgen een eigen regime.",
  "SPECIAAL": "Bij vitale processen (drinkwater, energie) kunnen aanvullende sectorale beveiligingseisen gelden."
}

{}

0, 2