Wat houdt deze control in?
Testinformatie moet worden beschermd om te voorkomen dat gevoelige productiedata in testomgevingen terechtkomt.
Waarom is dit verplicht?
Testomgevingen hebben minder beveiligingsmaatregelen; gevoelige data vormt er een onacceptabel risico.
Praktische implementatie
- Gebruik gesynthetiseerde of gemaskeerde testdata
- Stel beleid op voor gebruik van testdata
- Verwijder testdata na afronding
- Log toegang tot testomgevingen met gevoelige data
Aandachtspunten voor de overheid
Gebruik van echte BSN-nummers in testomgevingen is niet toegestaan onder de AVG.
Relatie met andere controls
Gerelateerd aan 8.11 (datamaskering) en 8.31 (omgevingsscheiding).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beschermt testinformatie om te voorkomen dat gevoelige productiedata in testomgevingen terechtkomt. Testomgevingen hebben minder beveiligingsmaatregelen; gevoelige data vormt er een onacceptabel risico. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Gebruik van echte BSN-nummers in testomgevingen is niet toegestaan onder de AVG.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Gebruik gesynthetiseerde of gemaskeerde testdata (geen echte BSN-nummers).
- ›Stel beleid op voor het gebruik van testdata.
- ›Verwijder testdata na afronding.
- ›Log toegang tot testomgevingen met gevoelige data.verdieping
Bewijs dat je kunt verzamelen
- ›Testdatabeleid
- ›Bewijs van gesynthetiseerde/gemaskeerde testdata
- ›Registratie van verwijdering van testdata
- ›Toegangslogging van testomgevingen met gevoelige data
Wat je bij een audit moet kunnen aantonen
- ›Dat testdata gesynthetiseerd of gemaskeerd is
- ›Dat geen echte BSN's in test worden gebruikt
- ›Dat testdata na afronding wordt verwijderd
- ›Dat toegang tot gevoelige testomgevingen wordt gelogd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een testdatabeleid vastgesteld?
- ›Is maskering/synthese belegd?
- ›Is verwijdering na afronding bepaald?
- ›Wordt gemaskeerde/synthetische testdata gebruikt?
- ›Zijn echte BSN's afwezig?
- ›Wordt toegang gelogd?
- ›Wordt testdata consequent gemaskeerd?
- ›Wordt data na afronding verwijderd?
- ›Blijft het beleid nageleefd?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.