Wat houdt deze control in?
Wijzigingen aan systemen moeten worden beheerd via een formeel wijzigingsbeheerproces.
Waarom is dit verplicht?
Ongecontroleerde wijzigingen zijn een van de meest voorkomende oorzaken van uitval.
Praktische implementatie
- Implementeer formeel change management (bijv. ITIL)
- Vereis goedkeuring voor alle productiewijzigingen
- Documenteer wijzigingen inclusief rollback-procedure
- Test wijzigingen eerst in acceptatieomgeving
Aandachtspunten voor de overheid
Noodwijzigingen moeten achteraf worden gedocumenteerd en beoordeeld.
Relatie met andere controls
Gerelateerd aan 8.9 (configuratiebeheer) en 8.31 (omgevingsscheiding).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beheert wijzigingen aan systemen via een formeel wijzigingsbeheerproces. De overheidsmaatregelen vereisen dat het proces minimaal aandacht besteedt aan de administratie van wijzigingen met testresultaten, een risicoafweging van de gevolgen inclusief rollback-plan, en een goedkeuringsprocedure — en dat wijzigingsbeheer plaatsvindt op basis van een algemeen geaccepteerd beheerraamwerk (zoals ITIL). Ongecontroleerde wijzigingen zijn een van de meest voorkomende oorzaken van uitval. Noodwijzigingen moeten achteraf worden gedocumenteerd en beoordeeld.
Passende maatregelen
4 basismaatregelen.
- ›Richt het wijzigingsbeheerproces zo in dat het minimaal de administratie van wijzigingen met testresultaten, een risicoafweging inclusief rollback-plan en een goedkeuringsprocedure omvat.
- ›Baseer wijzigingsbeheer op een algemeen geaccepteerd beheerraamwerk (bijv. ITIL).
- ›Test wijzigingen eerst in de acceptatieomgeving en vereis goedkeuring voor alle productiewijzigingen.
- ›Documenteer en beoordeel noodwijzigingen achteraf.
Bewijs dat je kunt verzamelen
- ›Beschrijving van het wijzigingsbeheerproces (raamwerk, administratie, risicoafweging, rollback, goedkeuring)
- ›Wijzigingsregistraties met testresultaten en goedkeuringen
- ›Bewijs van acceptatietests vóór productiewijzigingen
- ›Registratie en beoordeling van noodwijzigingen
Wat je bij een audit moet kunnen aantonen
- ›Dat wijzigingen via een formeel proces met de verplichte elementen lopen
- ›Dat een algemeen geaccepteerd raamwerk wordt gebruikt
- ›Dat wijzigingen worden getest en goedgekeurd
- ›Dat noodwijzigingen achteraf worden beoordeeld
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een wijzigingsbeheerproces (incl. verplichte elementen) vastgesteld?
- ›Is een beheerraamwerk gekozen?
- ›Is de noodwijzigingsprocedure belegd?
- ›Worden wijzigingen geregistreerd met testresultaten en goedkeuring?
- ›Worden ze getest in acceptatie?
- ›Zijn noodwijzigingen vastgelegd?
- ›Verloopt wijzigingsbeheer consistent via het proces?
- ›Worden risicoafwegingen/rollback toegepast?
- ›Worden noodwijzigingen achteraf beoordeeld?
Gekoppelde overheidsmaatregel(en)
• het administreren van wijzigingen, met de resultaten van het testplan;
• een risicoafweging van mogelijke gevolgen van de wijzigingen, inclusief een beschreven rollback-plan;
• de goedkeuringsprocedure voor wijzigingen.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.