Wat houdt deze control in?
Er moeten beveiligingsmaatregelen zijn voor medewerkers die buiten de kantoorlocatie werken, inclusief thuiswerken en mobiel werken.
Waarom is dit verplicht?
Thuiswerken vergroot het aanvalsoppervlak; onbeveiligde thuisnetwerken zijn een bekend risico.
Praktische implementatie
- Verplicht gebruik van VPN bij toegang tot organisatiesystemen
- Stel eisen aan de thuiswerkplek
- Verplicht versleuteling op mobiele apparaten
- Verbied gebruik van privé-apparaten voor gevoelige informatie zonder MDM
Aandachtspunten voor de overheid
Gemeenten met veel buitendienstmedewerkers moeten ook mobiel werken in de buitenruimte meenemen.
Relatie met andere controls
Gerelateerd aan 8.1 (gebruikersapparatuur: zero footprint, MDM/MAM en de gebruikersovereenkomst mobiel werken), 8.5 (veilige authenticatie), 6.3 (bewustwording, met 6.03.04 over veilig mobiel werken), 7.7 (clear desk / clear screen, ook thuis en bij beeldbellen) en 7.9 (beveiliging van bedrijfsmiddelen buiten het terrein).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je treft beveiligingsmaatregelen voor medewerkers die buiten de kantoorlocatie werken, inclusief thuiswerken en mobiel werken. Thuiswerken vergroot het aanvalsoppervlak; onbeveiligde thuisnetwerken zijn een bekend risico. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Let op: gedragsaspecten van veilig mobiel werken horen ook in het bewustwordingsprogramma (zie control 6.3).
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Verplicht gebruik van VPN bij toegang tot organisatiesystemen vanaf afstand.
- ›Stel eisen aan de thuiswerkplek en verplicht versleuteling op mobiele apparaten.
- ›Verbied het gebruik van privé-apparaten voor gevoelige informatie zonder MDM/MAM.
- ›Neem mobiel werken in de buitenruimte mee (relevant voor organisaties met veel buitendienstmedewerkers).
- ›Toets periodiek de naleving van de thuiswerk- en mobiel-werkeisen (bijv. via device-compliance in MDM).verdieping
Bewijs dat je kunt verzamelen
- ›Beleid of richtlijn voor werken op afstand met de gestelde eisen
- ›VPN-configuratie en bewijs dat toegang op afstand via VPN verloopt
- ›MDM/MAM-inrichting met versleuteling en compliance-eisen
- ›Rapportage van periodieke nalevingstoetsing
Wat je bij een audit moet kunnen aantonen
- ›Dat er beleid voor werken op afstand bestaat met concrete eisen
- ›Dat toegang op afstand aantoonbaar beveiligd is (VPN, versleuteling)
- ›Dat privé-apparaten voor gevoelige informatie alleen met MDM/MAM worden toegestaan
- ›Dat naleving periodiek wordt getoetst
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is beleid voor werken op afstand vastgesteld met concrete eisen?
- ›Zijn VPN, versleuteling en MDM/MAM als eisen belegd?
- ›Is mobiel werken in de buitenruimte meegenomen waar relevant?
- ›Verloopt toegang op afstand daadwerkelijk via VPN?
- ›Zijn mobiele apparaten versleuteld en onder MDM/MAM gebracht?
- ›Kennen medewerkers de thuiswerkeisen?
- ›Wordt naleving periodiek getoetst (bijv. device-compliance)?
- ›Worden afwijkingen opgevolgd?
- ›Blijft het beleid actueel bij nieuwe werkvormen?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.