Wat houdt deze control in?
Bedieningsprocedures voor informatieverwerkende faciliteiten moeten worden gedocumenteerd en beschikbaar gesteld aan alle medewerkers die ze nodig hebben.
Waarom is dit verplicht?
Gedocumenteerde procedures borgen continuïteit bij personeelswisselingen en zorgen voor consistente en veilige uitvoering van taken.
Praktische implementatie
- Documenteer alle operationele procedures voor kritieke systemen
- Bewaar procedures op een centrale, toegankelijke locatie
- Review en actualiseer procedures minimaal jaarlijks
- Betrek systeembeheerders bij het opstellen en reviewen van procedures
Aandachtspunten voor de overheid
Procedures moeten ook beschikbaar zijn in uitwijkscenario’s; bewaar kopieën offline of op een separate locatie.
Relatie met andere controls
Gerelateerd aan 8.9 (configuratiebeheer) en 5.29 (IB tijdens verstoring).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je documenteert bedieningsprocedures voor informatieverwerkende faciliteiten en stelt ze beschikbaar aan alle medewerkers die ze nodig hebben. Gedocumenteerde procedures borgen continuïteit bij personeelswisselingen en zorgen voor consistente, veilige uitvoering van taken. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Let op: procedures moeten ook in uitwijkscenario's beschikbaar zijn — bewaar kopieën offline of op een separate locatie.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Documenteer alle operationele procedures voor kritieke systemen.
- ›Bewaar procedures op een centrale, toegankelijke locatie en zorg dat ze ook in uitwijkscenario's beschikbaar zijn (offline/separate locatie).
- ›Betrek systeembeheerders bij het opstellen en reviewen van procedures.
- ›Review en actualiseer procedures minimaal jaarlijks.verdieping
Bewijs dat je kunt verzamelen
- ›Gedocumenteerde bedieningsprocedures voor kritieke systemen
- ›Bewijs van centrale, toegankelijke opslag én offline/uitwijk-kopieën
- ›Betrokkenheid van systeembeheerders bij opstellen/review
- ›Registratie van de (jaarlijkse) review en actualisatie
Wat je bij een audit moet kunnen aantonen
- ›Dat operationele procedures voor kritieke systemen zijn gedocumenteerd
- ›Dat procedures toegankelijk zijn, ook in uitwijkscenario's
- ›Dat beheerders betrokken zijn bij opstellen/review
- ›Dat procedures periodiek worden geactualiseerd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is bepaald welke procedures gedocumenteerd moeten worden?
- ›Is centrale én uitwijk-opslag geregeld?
- ›Is een reviewcyclus belegd?
- ›Zijn de procedures daadwerkelijk gedocumenteerd?
- ›Zijn ze toegankelijk (ook offline)?
- ›Zijn beheerders betrokken geweest?
- ›Worden procedures minimaal jaarlijks gereviewd?
- ›Zijn ze in uitwijkscenario's beschikbaar?
- ›Blijven ze actueel bij systeemwijzigingen?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.