Wat houdt deze control in?
De organisatie moet plannen, processen en procedures opstellen voor het beheer van beveiligingsincidenten gedurende de volledige levenscyclus.
Waarom is dit verplicht?
Zonder vooraf vastgestelde procedures gaat kostbare tijd verloren bij incidenten, wat de schade vergroot.
Praktische implementatie
- Stel een incidentresponsplan op met rollen, procedures en escalatiepaden
- Definieer wat een beveiligingsincident is en hoe het wordt geclassificeerd
- Oefen het incidentresponsplan minimaal jaarlijks
- Zorg voor 24/7 bereikbaarheid van sleutelpersonen bij ernstige incidenten
Aandachtspunten voor de overheid
Koppel het incidentresponsplan aan de gemeentelijke crisisbeheersingsstructuur.
Relatie met andere controls
Gerelateerd aan 5.25 t/m 5.28 (incidentbeheer) en 5.5 (autoriteiten).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je stelt plannen, processen en procedures op voor het beheer van beveiligingsincidenten gedurende de volledige levenscyclus. Dit is een van de zwaarste controls van het kader: de overheidsmaatregelen vereisen een toegankelijk meldloket voor alle interne én externe medewerkers, een meldprocedure met taken en verantwoordelijkheden, een proceseigenaar die verantwoordelijk is voor het oplossen én maandelijks rapporteert aan de eindverantwoordelijke voor de bedrijfsvoering, een koppeling naar de crisisbeheersingsprocedure, melding binnen de wettelijke termijn bij het CSIRT (en verwerking van CSIRT-meldingen én informeren van betrokkenen), en een gepubliceerde CVD-procedure conform NCSC-leidraad of ISO/IEC 29147. Zonder vooraf vastgestelde procedures gaat kostbare tijd verloren.
Passende maatregelen
5 basismaatregelen + 1 verdieping.
- ›Richt een toegankelijk meldloket voor IB-incidenten in voor alle interne en externe medewerkers.
- ›Stel een meldprocedure op met de taken en verantwoordelijkheden van het meldloket, en beleg het oplossen van incidenten bij de proceseigenaar.
- ›Laat de proceseigenaar maandelijks de opvolging van IB-incidenten rapporteren aan de eindverantwoordelijke voor de bedrijfsvoering.
- ›Zorg dat de incidentprocedure minimaal bevat: melding binnen de wettelijke termijn bij het CSIRT, verwerken van CSIRT-meldingen en het tijdig informeren van betrokkenen, met een verwijzing naar de crisisbeheersingsprocedure.
- ›Richt een Coordinated Vulnerability Disclosure (CVD)-procedure in en publiceer die conform de NCSC-leidraad of ISO/IEC 29147; neem CVD-meldingen op in de incidentrapportage.
- ›Oefen het incidentresponsplan minimaal jaarlijks en zorg voor 24/7-bereikbaarheid van sleutelpersonen bij ernstige incidenten.verdieping
Bewijs dat je kunt verzamelen
- ›Het incidentresponsplan met rollen, procedures en escalatiepaden
- ›Beschrijving van het meldloket (toegankelijk voor intern en extern) en de meldprocedure
- ›Maandelijkse incidentrapportages aan de eindverantwoordelijke voor de bedrijfsvoering
- ›De gepubliceerde CVD-procedure (conform NCSC/ISO 29147)
- ›Verslag van de jaarlijkse oefening van het incidentresponsplan
Wat je bij een audit moet kunnen aantonen
- ›Dat er een toegankelijk meldloket en meldprocedure zijn voor interne én externe medewerkers
- ›Dat de proceseigenaar incidenten oplost en maandelijks rapporteert
- ›Dat de procedure CSIRT-melding binnen de wettelijke termijn en informeren van betrokkenen borgt
- ›Dat een CVD-procedure is ingericht en gepubliceerd
- ›Dat het incidentresponsplan wordt geoefend
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn meldloket, meldprocedure en het incidentresponsplan vastgesteld?
- ›Is de rapportagelijn (maandelijks aan bedrijfsvoering) en de CSIRT-melding belegd?
- ›Is een gepubliceerde CVD-procedure ingericht?
- ›Is het meldloket toegankelijk voor intern en extern?
- ›Vinden maandelijkse rapportages daadwerkelijk plaats?
- ›Is de CVD-procedure daadwerkelijk gepubliceerd?
- ›Worden incidenten volgens de procedure (incl. CSIRT-termijn) afgehandeld?
- ›Wordt het plan jaarlijks geoefend?
- ›Worden CVD-meldingen in de rapportage verwerkt?
Gekoppelde overheidsmaatregel(en)
• dat binnen de wettelijke termijn informatiebeveiligingsincidenten worden gemeld bij het Cyber Security Incident Response Team (CSIRT);
• dat meldingen van het CSIRT worden ontvangen, beoordeeld en opgenomen in de risicobehandeling;
• dat betrokkenen binnen de wettelijke termijn op de hoogte gesteld worden van het incident.
Informatie afkomstig uit de Coordinated Vulnerability Disclosure (CVD)-meldingen is onderdeel van de incidentrapportage.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.