Wat houdt deze control in?
Principes voor veilig systeemontwerp moeten worden vastgesteld en toegepast bij alle implementaties.
Waarom is dit verplicht?
Een solide architectuur is de basis voor alle beveiligingsmaatregelen.
Praktische implementatie
- Documenteer architectuurprincipes zoals defence-in-depth
- Toets nieuwe systemen aan de beveiligingsarchitectuur
- Gebruik enterprise architectuurmethoden zoals NORA
- Betrek de CISO bij architectuurbesluiten
Aandachtspunten voor de overheid
Sluit aan op de NORA en de GEMMA voor gemeenten.
Relatie met andere controls
Gerelateerd aan 8.25 (ontwikkelomgeving) en 8.22 (netwerksegmentatie).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je stelt principes voor veilig systeemontwerp vast en past ze toe bij alle implementaties. De overheidsmaatregel vereist dat architectuurprincipes zoals 'security by design' en 'security by default' worden vastgesteld, gedocumenteerd, onderhouden en toegepast bij alle ontwikkelactiviteiten. Een solide architectuur is de basis voor alle beveiligingsmaatregelen. Sluit aan op de NORA en de GEMMA voor gemeenten.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Stel architectuurprincipes zoals 'security by design' en 'security by default' vast, documenteer en onderhoud ze, en pas ze toe bij alle ontwikkelactiviteiten.
- ›Documenteer aanvullende principes zoals defence-in-depth.
- ›Toets nieuwe systemen aan de beveiligingsarchitectuur en sluit aan op NORA/GEMMA.
- ›Betrek de CISO bij architectuurbesluiten.verdieping
Bewijs dat je kunt verzamelen
- ›Vastgelegde architectuurprincipes (security by design/default)
- ›Documentatie van aanvullende principes (defence-in-depth)
- ›Toetsingen van nieuwe systemen aan de architectuur (NORA/GEMMA)
- ›Bewijs van CISO-betrokkenheid bij architectuurbesluiten
Wat je bij een audit moet kunnen aantonen
- ›Dat security-by-design/default-principes zijn vastgesteld en gedocumenteerd
- ›Dat ze worden onderhouden en toegepast bij ontwikkeling
- ›Dat nieuwe systemen aan de architectuur worden getoetst
- ›Dat aansluiting op NORA/GEMMA bestaat
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn de architectuurprincipes vastgesteld en gedocumenteerd?
- ›Is toetsing van nieuwe systemen belegd?
- ›Is CISO-betrokkenheid geregeld?
- ›Zijn de principes vastgelegd en actueel?
- ›Worden nieuwe systemen getoetst?
- ›Is NORA/GEMMA-aansluiting zichtbaar?
- ›Worden de principes bij alle ontwikkeling toegepast?
- ›Worden ze onderhouden?
- ›Is de CISO betrokken bij besluiten?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.