Wat houdt deze control in?
Deze control gaat over de beveiliging van apparatuur waarmee medewerkers werken: laptops, telefoons en tablets. De BIO2 richt zich hier specifiek op mobiele apparatuur — informatie hoort niet standaard op het apparaat te staan, en het apparaat moet centraal beheerd en op afstand wisbaar zijn.
Waarom is dit verplicht?
Mobiele apparatuur verlaat het kantoor en raakt kwijt of gestolen. Zonder zero footprint, versleuteling en wissen op afstand ligt bij verlies direct bedrijfsinformatie op straat.
Praktische implementatie
- Richt mobiele apparatuur in op zero footprint: bedrijfsinformatie staat niet standaard op het apparaat
- Kan dat niet, bescherm de toegang dan met minimaal versleuteling van de gegevens
- Zorg dat wissen op afstand mogelijk is op alle mobiele apparatuur
- Neem mobiele apparaten op in patchmanagement en hardening
- Breng ze onder Mobile Device Management (MDM) of Mobile Application Management (MAM)
- Laat gebruikers een gebruikersovereenkomst voor mobiel werken tekenen, geldend voor alle mobiele apparatuur die zij zakelijk gebruiken
- Toets periodiek of deze aspecten worden nageleefd
Aandachtspunten voor de overheid
De gebruikersovereenkomst voor mobiel werken is een harde eis, geen aanbeveling: gebruikers verklaren daarmee zich bewust te zijn van de gevaren van mobiel werken. Koppel dit aan het bewustwordingsprogramma uit control 6.3 — overheidsmaatregel 6.03.04 vereist dat gedragsaspecten van veilig mobiel werken daarin aan de orde komen.
Relatie met andere controls
Gerelateerd aan 6.7 (werken op afstand), 6.3 (bewustwording, met 6.03.04 over veilig mobiel werken), 5.10 (gedragsregels voor bedrijfsmiddelen, waaronder de gebruikersovereenkomst mobiel werken), 7.6 (telefoons en opnameapparatuur in beveiligde zones), 7.7 (automatische schermvergrendeling), 7.9 (bedrijfsmiddelen buiten het terrein), 8.8 (patchmanagement) en 8.9 (configuratiebeheer en hardening).
Toegangsbeheer valt niet onder deze control, maar onder 5.15 t/m 5.18 en 8.2 t/m 8.5.
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Deze control gaat over de beveiliging van de apparatuur waarmee medewerkers werken: laptops, telefoons en tablets. De BIO2 richt zich hier volledig op mobiele apparatuur. Bedrijfsinformatie staat bij voorkeur niet op het apparaat zelf ('zero footprint'); lukt dat niet, dan is de toegang minimaal beschermd met versleuteling. Wissen op afstand moet altijd mogelijk zijn. Daarnaast valt het apparaat onder patchmanagement en hardening, staat het onder MDM of MAM, en tekent de gebruiker een gebruikersovereenkomst voor mobiel werken die geldt voor alle mobiele apparatuur die hij zakelijk gebruikt. Op de naleving van die drie aspecten wordt periodiek getoetst. Let op: toegangsbeheer en autorisaties horen niet bij deze control, maar bij 5.15 tot en met 5.18 en 8.2 tot en met 8.5.
Passende maatregelen
5 basismaatregelen + 1 verdieping.
- ›Richt mobiele apparatuur in op zero footprint, zodat bedrijfsinformatie niet standaard op het apparaat wordt opgeslagen.
- ›Is zero footprint niet haalbaar, bescherm de toegang dan met een toegangsbeveiligingsmechanisme met minimaal versleuteling van de gegevens.
- ›Zorg dat wissen op afstand mogelijk is op alle mobiele apparatuur.
- ›Neem mobiele apparaten op in patchmanagement en hardening en breng ze onder MDM- of MAM-beheer.
- ›Laat gebruikers een gebruikersovereenkomst voor mobiel werken tekenen die geldt voor alle mobiele apparatuur die zij zakelijk gebruiken, en toets periodiek of alle drie de aspecten worden nageleefd.
- ›Koppel de inrichting aan het bewustwordingsprogramma uit 6.3; overheidsmaatregel 6.03.04 vereist dat gedragsaspecten van veilig mobiel werken daarin aan de orde komen.verdieping
Bewijs dat je kunt verzamelen
- ›MDM/MAM-configuratie met versleuteling, wissen op afstand en zero-footprint-inrichting
- ›Overzicht van mobiele apparaten met hun patch- en hardeningstatus
- ›Ondertekende gebruikersovereenkomsten voor mobiel werken
- ›Verslagen van de periodieke nalevingstoetsing op de drie aspecten uit 8.01.02
Wat je bij een audit moet kunnen aantonen
- ›Dat bedrijfsinformatie niet standaard op mobiele apparatuur wordt opgeslagen, of dat de gegevens anders versleuteld zijn
- ›Dat wissen op afstand op alle mobiele apparatuur mogelijk is
- ›Dat mobiele apparaten onder MDM/MAM, patchmanagement en hardening vallen
- ›Dat gebruikers een gebruikersovereenkomst voor mobiel werken hebben getekend
- ›Dat de naleving van deze drie aspecten periodiek wordt getoetst
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn de eisen voor mobiele apparatuur vastgesteld (zero footprint, versleuteling, wissen op afstand)?
- ›Is vastgelegd dat mobiele apparaten onder MDM/MAM, patchmanagement en hardening vallen?
- ›Is de gebruikersovereenkomst voor mobiel werken opgesteld en is de toetsingscyclus belegd?
- ›Zijn de mobiele apparaten conform ingericht en onder MDM/MAM gebracht?
- ›Is wissen op afstand daadwerkelijk beschikbaar?
- ›Zijn de gebruikersovereenkomsten getekend door alle gebruikers?
- ›Wordt de naleving van de drie aspecten uit 8.01.02 periodiek getoetst en vastgelegd?
- ›Worden nieuwe mobiele apparaten bij uitgifte conform ingericht?
- ›Wordt bij verlies of diefstal daadwerkelijk op afstand gewist?
Gekoppelde overheidsmaatregel(en)
Op mobiele apparatuur is 'wissen op afstand' mogelijk.
• Het apparaat maakt deel uit van patchmanagement en hardening.
• Er wordt gebruik gemaakt van Mobile Device Management (MDM)- of Mobile Application Management (MAM)-oplossingen.
• Gebruikers tekenen een gebruikersovereenkomst voor mobiel werken, waarmee zij verklaren zich bewust te zijn van de gevaren van mobiel werken en verklaren dit veilig te zullen doen. Deze verklaring heeft betrekking op alle mobiele apparatuur die de medewerker zakelijk gebruikt.
Periodiek wordt getoetst of deze drie aspecten worden nageleefd.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.