Wat houdt deze control in?
Processen voor aanschaf, gebruik, beheer en beëindiging van clouddiensten moeten worden vastgesteld conform de informatiebeveiligingseisen van de organisatie.
Waarom is dit verplicht?
Cloudgebruik groeit snel bij overheidsorganisaties en brengt specifieke risico’s mee rond dataresidency, toegangsbeheer en vendor lock-in.
Praktische implementatie
- Stel een cloudbeleid op met goedkeuringsproces voor nieuwe clouddiensten
- Beoordeel clouddiensten op gegevenslokalisatie (EU-wetgeving)
- Stel exit-eisen vast bij aanvang van cloudcontracten
- Implementeer Cloud Access Security Broker (CASB) voor zichtbaarheid
Aandachtspunten voor de overheid
Verwerking van bijzondere persoonsgegevens in de cloud vereist een DPIA en bij voorkeur opslag binnen de EU.
Relatie met andere controls
Gerelateerd aan 5.19 (leveranciersbeveiliging) en 5.20 (afspraken).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je stelt processen vast voor aanschaf, gebruik, beheer en beëindiging van clouddiensten, conform je informatiebeveiligingseisen. De overheidsmaatregel vereist een vastgesteld beleid voor het inventariseren, classificeren, selecteren, beoordelen en managen van Cloud Service Providers (CSP's), dat minimaal eens per drie jaar wordt herzien. Cloudgebruik groeit snel bij de overheid en brengt specifieke risico's mee rond dataresidency, toegangsbeheer en vendor lock-in. Verwerking van bijzondere persoonsgegevens vereist een DPIA en bij voorkeur opslag binnen de EU.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Stel een cloudbeleid op voor het inventariseren, classificeren, selecteren, beoordelen en managen van CSP's, en herzie dit minimaal eens per drie jaar.
- ›Richt een goedkeuringsproces in voor het in gebruik nemen van nieuwe clouddiensten.
- ›Beoordeel clouddiensten op gegevenslokalisatie (EU-wetgeving) en voer een DPIA uit bij verwerking van bijzondere persoonsgegevens.
- ›Stel exit-eisen vast bij aanvang van cloudcontracten om vendor lock-in te beperken.
- ›Implementeer een Cloud Access Security Broker (CASB) voor zichtbaarheid en beheersing van cloudgebruik.verdieping
Bewijs dat je kunt verzamelen
- ›Het vastgestelde cloudbeleid met herzieningsdatum (max. 3 jaar oud)
- ›Goedkeuringsdossiers van in gebruik genomen clouddiensten
- ›Beoordelingen op dataresidency en uitgevoerde DPIA's
- ›Exit-bepalingen in cloudcontracten
Wat je bij een audit moet kunnen aantonen
- ›Dat een cloudbeleid bestaat dat de CSP-levenscyclus dekt en tijdig is herzien
- ›Dat nieuwe clouddiensten via een goedkeuringsproces lopen
- ›Dat dataresidency en DPIA's zijn beoordeeld waar nodig
- ›Dat exit-eisen contractueel zijn vastgelegd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een cloudbeleid (incl. 3-jaarlijkse herziening) vastgesteld?
- ›Is een goedkeuringsproces voor clouddiensten ingericht?
- ›Zijn eisen voor dataresidency, DPIA en exit belegd?
- ›Is het cloudbeleid actueel en toegepast?
- ›Zijn recente clouddiensten goedgekeurd en beoordeeld?
- ›Zijn exit-eisen in contracten opgenomen?
- ›Wordt het beleid minimaal driejaarlijks herzien?
- ›Doorlopen nieuwe clouddiensten het goedkeuringsproces?
- ›Worden dataresidency en DPIA's structureel meegenomen?
Gekoppelde overheidsmaatregel(en)
Dit beleid wordt minimaal eens per drie jaar herzien.
In de inkoopcontracten wordt opgenomen welke situaties aanleiding kunnen geven tot ontbinding van het contract.
Wanneer zich belangrijke wijzigingen bij de leverancier optreden, beoordeel de risico's daarvan en neem passende maatregelen.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.