Wat houdt deze control in?
Ontwikkel-, test- en productieomgevingen moeten strikt worden gescheiden.
Waarom is dit verplicht?
Testen in productie leidt tot ongewenste wijzigingen en datalekken.
Praktische implementatie
- Implementeer aparte OTAP-omgevingen
- Gebruik geen productiedata in test- en ontwikkelomgevingen
- Beperk toegang tot productie tot geautoriseerde beheerders
- Implementeer formeel change management
Aandachtspunten voor de overheid
Zorg dat de acceptatieomgeving representatief is voor productie.
Relatie met andere controls
Gerelateerd aan 8.11 (datamaskering) en 8.32 (wijzigingsbeheer).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je scheidt ontwikkel-, test- en productieomgevingen strikt. De overheidsmaatregelen vereisen dat in de productieomgeving niet wordt getest (afwijken alleen met voorafgaande goedkeuring van de proceseigenaar), en dat significante wijzigingen altijd worden getest voordat ze in productie gaan (afwijken alleen met goedkeuring van de proceseigenaar). Testen in productie leidt tot ongewenste wijzigingen en datalekken. Zorg dat de acceptatieomgeving representatief is voor productie.
Passende maatregelen
4 basismaatregelen.
- ›Test niet in de productieomgeving; afwijken kan alleen met voorafgaande goedkeuring van de proceseigenaar.
- ›Test significante wijzigingen altijd vóór productiegang; afwijken alleen met goedkeuring van de proceseigenaar.
- ›Implementeer aparte OTAP-omgevingen en gebruik geen productiedata in test-/ontwikkelomgevingen.
- ›Beperk toegang tot productie tot geautoriseerde beheerders en zorg dat acceptatie representatief is voor productie.
Bewijs dat je kunt verzamelen
- ›OTAP-inrichting met gescheiden omgevingen
- ›Goedkeuringsregistraties voor uitzonderingen (testen in productie)
- ›Testbewijs van significante wijzigingen vóór productiegang
- ›Toegangsbeperking tot de productieomgeving
Wat je bij een audit moet kunnen aantonen
- ›Dat niet in productie wordt getest (behoudens goedgekeurde uitzondering)
- ›Dat significante wijzigingen vóór productie worden getest
- ›Dat omgevingen zijn gescheiden en productiedata niet in test staat
- ›Dat productietoegang beperkt is
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is het verbod op testen in productie (met uitzonderingsprocedure) vastgesteld?
- ›Is testen vóór productiegang belegd?
- ›Is OTAP-scheiding ontworpen?
- ›Zijn omgevingen gescheiden?
- ›Zijn uitzonderingen goedgekeurd en vastgelegd?
- ›Staat er geen productiedata in test?
- ›Wordt niet in productie getest?
- ›Worden wijzigingen vóór productie getest?
- ›Blijft productietoegang beperkt?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.