Wat houdt deze control in?
Bij uitbestede softwareontwikkeling moeten beveiligingseisen worden opgelegd en de naleving worden gecontroleerd.
Waarom is dit verplicht?
Uitbestede ontwikkeling brengt risico’s van onveilige code en datalekken bij de leverancier.
Praktische implementatie
- Neem beveiligingseisen op in het contract
- Vereis toegang tot broncode en escrow-afspraken
- Laat opgeleverde software onafhankelijk testen
- Controleer beveiligingspraktijken van de leverancier
Aandachtspunten voor de overheid
Gebruik GIBIT of ARBIT inkoopvoorwaarden als basis.
Relatie met andere controls
Gerelateerd aan 5.19 (leveranciersbeveiliging) en 8.28 (veilig coderen).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Bij uitbestede softwareontwikkeling leg je beveiligingseisen op en controleer je de naleving. De overheidsmaatregel vereist dat de interne maatregelen voor systeemontwikkeling onverkort van toepassing zijn op uitbestede ontwikkeling, aangevuld met maatregelen die uit de uitbesteding volgen. Uitbestede ontwikkeling brengt risico's van onveilige code en datalekken bij de leverancier. Gebruik GIBIT of ARBIT inkoopvoorwaarden als basis.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Pas de interne ontwikkelmaatregelen onverkort toe op uitbestede ontwikkeling, aangevuld met maatregelen die uit de uitbesteding volgen.
- ›Neem beveiligingseisen op in het contract (GIBIT/ARBIT als basis).
- ›Laat opgeleverde software onafhankelijk testen.
- ›Vereis toegang tot broncode en escrow-afspraken en controleer de beveiligingspraktijken van de leverancier.verdieping
Bewijs dat je kunt verzamelen
- ›Contract met beveiligingseisen (GIBIT/ARBIT) en doorwerking van interne maatregelen
- ›Onafhankelijke testrapporten van opgeleverde software
- ›Escrow-/broncode-afspraken
- ›Beoordeling van leveranciers-beveiligingspraktijken
Wat je bij een audit moet kunnen aantonen
- ›Dat interne ontwikkelmaatregelen op uitbesteding van toepassing zijn
- ›Dat beveiligingseisen contractueel zijn opgenomen
- ›Dat opgeleverde software onafhankelijk is getest
- ›Dat leverancierspraktijken worden gecontroleerd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is doorwerking van interne maatregelen naar uitbesteding belegd?
- ›Zijn contractuele eisen (GIBIT/ARBIT) bepaald?
- ›Is onafhankelijke toetsing vastgesteld?
- ›Bevatten contracten de eisen?
- ›Is opgeleverde software getest?
- ›Zijn escrow/broncode-afspraken gemaakt?
- ›Worden leverancierspraktijken gecontroleerd?
- ›Wordt opgeleverde software structureel getest?
- ›Blijven eisen actueel?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.