Wat houdt deze control in?
De organisatie moet plannen hoe informatiebeveiliging wordt gehandhaafd tijdens verstoringen, calamiteiten en crises.
Waarom is dit verplicht?
Tijdens crises neigen organisaties beveiligingsmaatregelen te omzeilen; dit vergroot het risico juist op het meest kwetsbare moment.
Praktische implementatie
- Neem beveiligingsvereisten op in het bedrijfscontinuïteitsplan
- Definieer minimale beveiligingsniveaus die ook in crises van kracht blijven
- Test of beveiligingsmaatregelen werken in uitwijkscenario’s
- Beschrijf hoe toegangsbeheer werkt bij uitval van normale systemen
Aandachtspunten voor de overheid
Gemeenten moeten continuïteit van kritieke processen borgen; IB maakt hier integraal onderdeel van uit.
Relatie met andere controls
Gerelateerd aan 5.30 (ICT-continuïteit) en 8.13 (back-up).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je plant hoe informatiebeveiliging gehandhaafd blijft tijdens verstoringen, calamiteiten en crises. Tijdens crises neigen organisaties beveiligingsmaatregelen te omzeilen — juist op het meest kwetsbare moment. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Voor gemeenten maakt IB integraal onderdeel uit van de continuïteit van kritieke processen.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Neem beveiligingsvereisten expliciet op in het bedrijfscontinuïteitsplan.
- ›Definieer minimale beveiligingsniveaus die ook tijdens crises van kracht blijven.
- ›Beschrijf hoe toegangsbeheer werkt bij uitval van de normale systemen.
- ›Test of beveiligingsmaatregelen werken in uitwijkscenario's.verdieping
Bewijs dat je kunt verzamelen
- ›Bedrijfscontinuïteitsplan met opgenomen beveiligingsvereisten
- ›Gedefinieerde minimale beveiligingsniveaus voor crisissituaties
- ›Beschrijving van toegangsbeheer bij systeemuitval
- ›Testverslagen van beveiliging in uitwijkscenario's
Wat je bij een audit moet kunnen aantonen
- ›Dat beveiliging deel uitmaakt van het continuïteitsplan
- ›Dat minimale beveiligingsniveaus voor crises zijn vastgesteld
- ›Dat toegangsbeheer bij uitval is uitgewerkt
- ›Dat beveiliging in uitwijkscenario's is getest
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn beveiligingsvereisten in het BCP opgenomen?
- ›Zijn minimale beveiligingsniveaus voor crises gedefinieerd?
- ›Is toegangsbeheer bij uitval beschreven?
- ›Bevat het BCP daadwerkelijk de beveiligingsvereisten?
- ›Zijn de minimale niveaus vastgelegd?
- ›Is er een uitwerking voor toegangsbeheer bij uitval?
- ›Wordt beveiliging in uitwijkscenario's getest?
- ›Blijven de minimale niveaus in crises gehandhaafd?
- ›Worden testbevindingen opgevolgd?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.