Wat houdt deze control in?
Gevoelige gegevens moeten worden gemaskeerd in niet-productieomgevingen en bij verstrekking aan derden.
Waarom is dit verplicht?
Gebruik van echte productiedata in testomgevingen is een veelvoorkomende oorzaak van datalekken.
Praktische implementatie
- Maskeer persoonsgegevens in test- en ontwikkelomgevingen
- Gebruik maskeringstools bij aanlevering aan leveranciers
- Leg maskeringsregels vast in het classificatiebeleid
- Test of gemaskeerde data niet herleidbaar is
Aandachtspunten voor de overheid
Pseudonimisering voldoet niet altijd aan AVG-eisen; raadpleeg de FG.
Relatie met andere controls
Gerelateerd aan 5.12 (classificatie) en 8.31 (omgevingsscheiding).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je maskeert gevoelige gegevens in niet-productieomgevingen en bij verstrekking aan derden. Gebruik van echte productiedata in testomgevingen is een veelvoorkomende oorzaak van datalekken. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Let op: pseudonimisering voldoet niet altijd aan AVG-eisen — raadpleeg de FG.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Maskeer persoonsgegevens in test- en ontwikkelomgevingen.
- ›Gebruik maskeringstools bij aanlevering van data aan leveranciers.
- ›Leg maskeringsregels vast in het classificatiebeleid en betrek de FG bij pseudonimiseringsvraagstukken.
- ›Test of gemaskeerde data niet herleidbaar is.verdieping
Bewijs dat je kunt verzamelen
- ›Maskeringsregels in het classificatiebeleid
- ›Bewijs van maskering in test-/ontwikkelomgevingen
- ›Maskering bij aanlevering aan leveranciers
- ›Testresultaten van niet-herleidbaarheid
Wat je bij een audit moet kunnen aantonen
- ›Dat gevoelige data in niet-productie is gemaskeerd
- ›Dat data bij derden wordt gemaskeerd
- ›Dat maskeringsregels zijn vastgelegd
- ›Dat niet-herleidbaarheid wordt getest
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn maskeringsregels vastgesteld?
- ›Is maskering in niet-productie belegd?
- ›Is FG-betrokkenheid bij pseudonimisering geregeld?
- ›Wordt data in test/ontwikkel gemaskeerd?
- ›Wordt data bij leveranciers gemaskeerd?
- ›Zijn regels toegepast?
- ›Wordt niet-herleidbaarheid getest?
- ›Blijft maskering consistent toegepast?
- ›Worden nieuwe omgevingen meegenomen?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.