Wat houdt deze control in?
Een actueel overzicht van alle informatiebedrijfsmiddelen (hardware, software, data, netwerken, diensten) moet worden bijgehouden en onderhouden.
Waarom is dit verplicht?
Je kunt niet beveiligen wat je niet kent; een actuele inventaris is de basis voor alle beveiligingsmaatregelen.
Praktische implementatie
- Implementeer een CMDB voor hardware en software-inventaris
- Wijs per bedrijfsmiddel een eigenaar aan
- Automatiseer inventarisatie via discovery-tools
- Herzie de inventaris bij elke significante wijziging
Aandachtspunten voor de overheid
Neem ook shadow IT en clouddiensten mee in de inventaris; deze worden vaak over het hoofd gezien.
Relatie met andere controls
Gerelateerd aan 5.10 (aanvaardbaar gebruik) en 8.8 (kwetsbaarheidsbeheer).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je houdt een actueel overzicht bij van alle informatiebedrijfsmiddelen (hardware, software, data, netwerken, diensten). De overheidsmaatregel vereist expliciet dat de inventaris ook OT, cloud en remote assets omvat, alle beheereigenschappen bevat en periodiek wordt gecontroleerd op volledigheid en actualiteit. Je kunt niet beveiligen wat je niet kent: een actuele inventaris is de basis voor alle andere maatregelen. Let op shadow IT en clouddiensten, die vaak worden vergeten.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Houd een inventaris bij die naast hardware en software ook OT, clouddiensten en remote assets omvat.
- ›Zorg dat de inventaris alle beheereigenschappen bevat (bijv. eigenaar, classificatie, locatie, status).
- ›Wijs per bedrijfsmiddel een eigenaar aan.
- ›Controleer de inventaris periodiek op volledigheid en actualiteit, en herzie bij elke significante wijziging. Neem shadow IT expliciet mee.
- ›Automatiseer de inventarisatie via discovery-tools/een CMDB, zodat het overzicht actueel blijft.verdieping
Bewijs dat je kunt verzamelen
- ›De actuele inventaris/CMDB met OT, cloud en remote assets
- ›Registratie van eigenaren en beheereigenschappen per bedrijfsmiddel
- ›Verslag van de periodieke volledigheids-/actualiteitscontrole
- ›Bewijs dat shadow IT en clouddiensten zijn meegenomen
Wat je bij een audit moet kunnen aantonen
- ›Dat er een inventaris bestaat die OT, cloud en remote assets omvat
- ›Dat beheereigenschappen en eigenaren zijn vastgelegd
- ›Dat de inventaris periodiek op volledigheid en actualiteit wordt gecontroleerd
- ›Dat de inventaris actueel is (niet verouderd)
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een inventaris/CMDB ingericht die alle categorieën (incl. OT/cloud/remote) dekt?
- ›Zijn beheereigenschappen en eigenaarschap gedefinieerd?
- ›Is een periodieke controle belegd?
- ›Is de inventaris daadwerkelijk gevuld en compleet?
- ›Zijn eigenaren toegewezen?
- ›Zijn cloud/shadow IT opgenomen?
- ›Wordt de inventaris periodiek gecontroleerd en bijgewerkt?
- ›Wordt hij herzien bij significante wijzigingen?
- ›Blijft hij aantoonbaar actueel?
Gekoppelde overheidsmaatregel(en)
De inventaris omvat alle eigenschappen die nodig zijn voor het beheer en onderhoud. In de inventaris zijn ook opgenomen: bedrijfsmiddelen op afstand, cloud-omgevingen en bedrijfsmiddelen die regelmatig zijn verbonden met de netwerkinfrastructuur maar niet onder controle van de entiteit staan.
De volledigheid en actualiteit van de inventaris wordt periodiek gecontroleerd met tussenpozen die passend zijn voor de frequentie waarmee wijzigingen optreden.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.