Wat houdt deze control in?
De aanpak van informatiebeveiliging en de implementatie ervan moeten onafhankelijk worden beoordeeld met geplande tussenpozen of bij significante wijzigingen.
Waarom is dit verplicht?
Interne beoordeling is niet voldoende; onafhankelijke ogen identificeren blinde vlekken en geven geloofwaardigheid aan het beveiligingsprogramma.
Praktische implementatie
- Plan jaarlijkse interne audits op het ISMS
- Laat periodiek een externe audit of assessment uitvoeren
- Gebruik ENSIA als auditinstrument voor gemeenten
- Volg auditbevindingen op via een verbeterplan
Aandachtspunten voor de overheid
ENSIA combineert meerdere audits in één; maak hier optimaal gebruik van om auditlast te beperken.
Relatie met andere controls
Gerelateerd aan 5.1 (beleid) en 5.36 (naleving).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je laat de aanpak van informatiebeveiliging en de implementatie ervan onafhankelijk beoordelen, met geplande tussenpozen of bij significante wijzigingen. De overheidsmaatregel vereist een vastgesteld auditplan waarin jaarlijks keuzes worden gemaakt voor welke systemen welk soort beveiligingsaudits worden uitgevoerd. Interne beoordeling alleen is niet genoeg; onafhankelijke ogen vinden blinde vlekken en geven geloofwaardigheid. ENSIA combineert meerdere audits in één — benut dat om auditlast te beperken.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Stel een auditplan vast waarin jaarlijks wordt bepaald welke systemen welk type beveiligingsaudit ondergaan.
- ›Plan jaarlijkse interne audits op het ISMS.
- ›Gebruik ENSIA als auditinstrument (voor gemeenten) om meerdere audits te combineren en auditlast te beperken.
- ›Volg auditbevindingen op via een verbeterplan.
- ›Laat periodiek een externe audit of assessment uitvoeren voor een onafhankelijk oordeel.verdieping
Bewijs dat je kunt verzamelen
- ›Het vastgestelde auditplan met jaarlijkse systeemkeuzes
- ›Verslagen van interne (en externe) audits
- ›ENSIA-verantwoording (voor gemeenten)
- ›Verbeterplannen met opvolging van auditbevindingen
Wat je bij een audit moet kunnen aantonen
- ›Dat een auditplan bestaat met jaarlijkse keuzes voor systemen en audittypen
- ›Dat interne audits op het ISMS plaatsvinden
- ›Dat onafhankelijke beoordeling aantoonbaar is
- ›Dat bevindingen via een verbeterplan worden opgevolgd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een auditplan met jaarlijkse systeemkeuzes vastgesteld?
- ›Zijn interne (en externe) audits belegd?
- ›Is opvolging via verbeterplannen ingericht?
- ›Is het auditplan aanwezig en actueel?
- ›Zijn recente audits uitgevoerd?
- ›Zijn bevindingen vastgelegd?
- ›Wordt het auditplan jaarlijks ingevuld en uitgevoerd?
- ›Worden bevindingen daadwerkelijk opgevolgd?
- ›Wordt ENSIA benut om auditlast te beperken?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.