Wat houdt deze control in?
Informatiebeveiligingseisen moeten worden gespecificeerd bij ontwikkeling of aanschaf van applicaties.
Waarom is dit verplicht?
Beveiligingseisen achteraf toevoegen is duurder dan ze van het begin af aan meenemen.
Praktische implementatie
- Neem beveiligingseisen op in het programma van eisen
- Gebruik OWASP ASVS als raamwerk
- Laat beveiligingseisen reviewen door de CISO
- Voer een beveiligingstest uit voor ingebruikname
Aandachtspunten voor de overheid
Applicaties met DigiD-koppeling vereisen een assessment conform Logius-richtlijnen.
Relatie met andere controls
Gerelateerd aan 8.25 (ontwikkelomgeving) en 8.29 (beveiligingstesten).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je specificeert informatiebeveiligingseisen bij ontwikkeling of aanschaf van applicaties. Beveiligingseisen achteraf toevoegen is duurder dan ze vanaf het begin meenemen. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Applicaties met een DigiD-koppeling vereisen een assessment conform Logius-richtlijnen.
Passende maatregelen
4 basismaatregelen.
- ›Neem beveiligingseisen op in het programma van eisen en gebruik OWASP ASVS als raamwerk.
- ›Laat beveiligingseisen reviewen door de CISO.
- ›Voer een beveiligingstest uit vóór ingebruikname.
- ›Laat applicaties met DigiD-koppeling een assessment ondergaan conform Logius-richtlijnen.
Bewijs dat je kunt verzamelen
- ›Programma's van eisen met beveiligingseisen (ASVS)
- ›CISO-review van beveiligingseisen
- ›Beveiligingstestrapporten vóór ingebruikname
- ›DigiD-assessments conform Logius (indien van toepassing)
Wat je bij een audit moet kunnen aantonen
- ›Dat beveiligingseisen bij ontwikkeling/aanschaf worden gespecificeerd
- ›Dat de CISO eisen reviewt
- ›Dat vóór ingebruikname wordt getest
- ›Dat DigiD-koppelingen zijn geassesseerd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is opname van beveiligingseisen (ASVS) in PvE's belegd?
- ›Is CISO-review vastgesteld?
- ›Is een test vóór ingebruikname bepaald?
- ›Bevatten PvE's beveiligingseisen?
- ›Zijn eisen gereviewd?
- ›Zijn tests uitgevoerd?
- ›Worden eisen structureel meegenomen?
- ›Vindt review consequent plaats?
- ›Worden DigiD-assessments jaarlijks herhaald waar nodig?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.