Wat houdt deze control in?
Regels, procedures en overeenkomsten voor overdracht van informatie moeten aanwezig zijn voor alle soorten communicatiekanalen.
Waarom is dit verplicht?
Informatie die via onbeveiligde kanalen wordt overgedragen is kwetsbaar voor onderschepping en ongeautoriseerde toegang.
Praktische implementatie
- Verplicht encryptie voor overdracht van gevoelige informatie
- Stel regels op voor gebruik van e-mail, bestandsoverdracht en cloudopslag
- Verbied gebruik van consumentendiensten voor gevoelige overheidsinformatie
- Sluit geheimhoudingsovereenkomsten af met ontvangende partijen
Aandachtspunten voor de overheid
Gebruik voor vertrouwelijke communicatie bij voorkeur rijksoverheid-goedgekeurde kanalen zoals Zivver of beveiligde mail.
Relatie met andere controls
Gerelateerd aan 5.12 (classificatie) en 8.24 (cryptografie).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je zorgt voor regels, procedures en overeenkomsten voor de overdracht van informatie via alle communicatiekanalen. De overheidsmaatregelen zijn hier uitgebreid en concreet: internetfacing-systemen en e-mail voldoen aan de verplichte beveiligingsstandaarden (Forum Standaardisatie, Cyberbeveiligingsbesluit) en worden getoetst via internet.nl; webverkeer met gevoelige gegevens gebruikt minimaal OV-certificaten (intern minimaal OV of private PKIo); elektronische handtekeningen voldoen aan de AdES Baseline Profiles; er is een actuele registratie van alle internetfacing-systemen, webapplicaties, IP-adressen en API's; en publieke websites worden via het RIO bekendgemaakt en minimaal halfjaarlijks geactualiseerd. Informatie via onbeveiligde kanalen is kwetsbaar voor onderschepping.
Passende maatregelen
6 basismaatregelen + 1 verdieping.
- ›Zorg dat internetfacing-systemen en e-mail voldoen aan de verplichte beveiligingsstandaarden en toets dit via internet.nl.
- ›Gebruik bij openbaar webverkeer met gevoelige gegevens minimaal OV-certificaten; bij intern webverkeer minimaal OV of private PKIo-certificaten.
- ›Zorg dat geavanceerde/gekwalificeerde elektronische handtekeningen voldoen aan de AdES Baseline Profiles.
- ›Houd een actuele registratie bij van alle internetfacing-systemen, webapplicaties, IP-adressen en API's.
- ›Maak publiek toegankelijke websites bekend via het Register Internetdomeinen Overheid (RIO) en actualiseer dit minimaal iedere zes maanden.
- ›Stel regels op voor e-mail, bestandsoverdracht en cloudopslag, verplicht encryptie voor gevoelige informatie en verbied consumentendiensten voor gevoelige overheidsinformatie (gebruik bijv. goedgekeurde kanalen zoals beveiligde mail).
- ›Sluit geheimhoudingsovereenkomsten af met ontvangende partijen bij structurele informatieoverdracht.verdieping
Bewijs dat je kunt verzamelen
- ›internet.nl-toetsresultaten van internetfacing-systemen en e-mail
- ›Overzicht van gebruikte certificaten (OV/PKIo) per verbinding
- ›Actuele registratie van internetfacing-systemen, webapplicaties, IP's en API's
- ›RIO-registratie van publieke websites met datum van laatste actualisatie
- ›Regels/beleid voor informatieoverdracht en bewijs van encryptie
- ›Afgesloten geheimhoudingsovereenkomsten met ontvangende partijen
Wat je bij een audit moet kunnen aantonen
- ›Dat internetfacing-systemen en e-mail voldoen aan de standaarden (internet.nl)
- ›Dat de juiste certificaten worden gebruikt voor web- en intern verkeer
- ›Dat er een actuele registratie is van internetfacing-assets, IP's en API's
- ›Dat publieke websites in het RIO staan en halfjaarlijks worden geactualiseerd
- ›Dat gevoelige informatie versleuteld en via goedgekeurde kanalen wordt overgedragen
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn de standaarden, certificaateisen en overdrachtsregels vastgesteld?
- ›Is registratie van internetfacing-assets en RIO belegd?
- ›Is bepaald welke kanalen zijn toegestaan voor gevoelige informatie?
- ›Voldoen systemen en e-mail aantoonbaar (internet.nl)?
- ›Is de assets-/API-registratie aanwezig en actueel?
- ›Staan publieke sites in het RIO?
- ›Wordt periodiek getoetst via internet.nl en bijgestuurd?
- ›Wordt de RIO-registratie minimaal halfjaarlijks geactualiseerd?
- ›Worden overdrachtsregels in de praktijk nageleefd?
Gekoppelde overheidsmaatregel(en)
Hierop wordt gestuurd met de metingen van internet.nl.
Daarbij dienen alle onderdelen te worden ingesteld zodat een optimale beveiliging wordt bereikt zonder afbreuk te doen aan de functionaliteit van de geboden dienst.
De entiteit maakt bij intern webverkeer voor gevoelige gegevens gebruik van ten minste publieke vertrouwde OV-certificaten of private PKIo-certificaten.
Hogere eisen aan certificaten vloeien voort uit een risicoanalyse, aansluitvoorwaarden of wetgeving.
Deze informatie wordt ten minste iedere zes maanden geactualiseerd.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.