Wat houdt deze control in?
Gerapporteerde beveiligingsgebeurtenissen moeten worden beoordeeld en geclassificeerd als beveiligingsincident of niet, om prioritering en respons te bepalen.
Waarom is dit verplicht?
Niet elke melding is een incident; een goede classificatie zorgt voor effectieve inzet van middelen.
Praktische implementatie
- Stel een classificatiematrix op voor incidenten (ernst vs impact)
- Train de servicedesk in eerste beoordeling van meldingen
- Documenteer de beoordeling en motivering in het incidentlog
- Stel drempelwaarden vast voor escalatie naar CISO en management
Aandachtspunten voor de overheid
Houd bij welke incidenten meldplichtig zijn onder de AVG of Cyberbeveiligingswet.
Relatie met andere controls
Gerelateerd aan 5.24 (planning) en 5.26 (respons).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beoordeelt gerapporteerde beveiligingsgebeurtenissen en classificeert ze wel of niet als beveiligingsincident, om prioritering en respons te bepalen. Niet elke melding is een incident; een goede classificatie zorgt voor effectieve inzet van middelen. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Houd wel bij welke incidenten meldplichtig zijn onder de AVG of Cyberbeveiligingswet.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Stel een classificatiematrix op voor incidenten (ernst versus impact).
- ›Documenteer de beoordeling en motivering in het incidentlog.
- ›Houd bij welke incidenten meldplichtig zijn onder de AVG of Cyberbeveiligingswet.
- ›Stel drempelwaarden vast voor escalatie naar CISO en management.
- ›Train de servicedesk in de eerste beoordeling van meldingen.verdieping
Bewijs dat je kunt verzamelen
- ›De classificatiematrix voor incidenten
- ›Incidentlog met beoordelingen en motiveringen
- ›Overzicht/markering van meldplichtige incidenten (AVG/Cbw)
- ›Vastgelegde escalatiedrempels naar CISO/management
Wat je bij een audit moet kunnen aantonen
- ›Dat gemelde gebeurtenissen worden beoordeeld en geclassificeerd
- ›Dat de beoordeling wordt gedocumenteerd en gemotiveerd
- ›Dat meldplicht (AVG/Cbw) wordt herkend
- ›Dat escalatie via vastgestelde drempels verloopt
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een classificatiematrix en escalatiedrempels vastgesteld?
- ›Is bepaald hoe meldplicht wordt herkend?
- ›Is de eerste beoordeling belegd (bijv. servicedesk)?
- ›Wordt de matrix toegepast en vastgelegd in het log?
- ›Worden meldplichtige incidenten gemarkeerd?
- ›Zijn escalaties herleidbaar?
- ›Worden meldingen consistent beoordeeld en geclassificeerd?
- ›Wordt meldplicht in de praktijk tijdig herkend?
- ›Blijft de servicedesk bekwaam in de eerste beoordeling?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.