Wat houdt deze control in?
De organisatie moet procedures opstellen voor het identificeren, verzamelen, bewaren en presenteren van bewijsmateriaal bij beveiligingsincidenten.
Waarom is dit verplicht?
Correct verzameld bewijsmateriaal is essentieel voor forensisch onderzoek en eventuele juridische procedures.
Praktische implementatie
- Stel forensische procedures op voor het veiligstellen van bewijsmateriaal
- Train medewerkers in het niet verstoren van bewijsmateriaal
- Bewaar logbestanden minimaal 12 maanden voor forensisch gebruik
- Schakel bij ernstige incidenten een forensisch expert in
Aandachtspunten voor de overheid
Bewijsmateriaal moet chain-of-custody procedures volgen (oorsprong, authenticiteit en locatie moet te traceren zijn) als juridische stappen worden overwogen.
Relatie met andere controls
Gerelateerd aan 8.15 (logging) en 5.26 (incidentrespons).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je stelt procedures op voor het identificeren, verzamelen, bewaren en presenteren van bewijsmateriaal bij beveiligingsincidenten. De overheidsmaatregel stelt een concrete eis: de bewaartermijn van een (vermoedelijk) IB-incident en alle relevante informatie (logging, oplossing, advies) is minimaal drie jaar. Correct verzameld bewijsmateriaal is essentieel voor forensisch onderzoek en eventuele juridische procedures. Volg chain-of-custody als juridische stappen worden overwogen.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Bewaar een (vermoedelijk) IB-incident en alle relevante informatie (logging, oplossing, advies) minimaal drie jaar.
- ›Stel forensische procedures op voor het veiligstellen van bewijsmateriaal.
- ›Train medewerkers in het niet verstoren van bewijsmateriaal.
- ›Volg chain-of-custody-procedures (oorsprong, authenticiteit en locatie traceerbaar) wanneer juridische stappen worden overwogen.
- ›Schakel bij ernstige incidenten een forensisch expert in.verdieping
Bewijs dat je kunt verzamelen
- ›Forensische procedures voor het veiligstellen van bewijsmateriaal
- ›Bewaarbeleid waaruit de termijn van minimaal drie jaar blijkt
- ›Chain-of-custody-documentatie bij relevante incidenten
- ›Bewijs van ingeschakelde forensische expertise (indien van toepassing)
Wat je bij een audit moet kunnen aantonen
- ›Dat incidenten en relevante informatie minimaal drie jaar worden bewaard
- ›Dat forensische procedures bestaan en worden gevolgd
- ›Dat chain-of-custody wordt toegepast waar juridisch relevant
- ›Dat bewijsmateriaal niet ongecontroleerd wordt verstoord
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn forensische procedures en de 3-jaars bewaartermijn vastgesteld?
- ›Is chain-of-custody belegd?
- ›Is bepaald wanneer een forensisch expert wordt ingeschakeld?
- ›Worden incidenten en logging daadwerkelijk (min. 3 jaar) bewaard?
- ›Zijn procedures aanwezig en bekend?
- ›Is chain-of-custody toegepast bij relevante zaken?
- ›Blijft de bewaartermijn in de praktijk gehaald?
- ›Worden procedures bij incidenten gevolgd?
- ›Wordt bij ernstige incidenten expertise ingeschakeld?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.